Cisco Video/TelePresence アーキテクチャ デザイン ガイド

独立した Auxiliary VLAN

シスコでは、Unified Communications 環境の RTP トラフィック（音声とビデオ）とデータ トラフィックのために、独立した VLAN を実装することを推奨します この構成では、すべての Cisco IP Phone と TelePresence エンドポイントをデータ VLAN から独立した音声 VLAN に配置します。この実装には次の利点があります。

• 音声ネットワーク コンポーネントとデータ ネットワーク コンポーネントの間のトラフィックを制限するための VLAN アクセス コントロール リスト（VACL）の設計が簡単になります。また、ネットワーク管理者がネットワークで管理によるアクセス制限を効率的に実装できるようになります。

• アドレス空間を確保し、外部ネットワークから音声デバイスを保護します。Voice VLAN または Auxiliary VLAN 上で電話機のプライベート アドレッシングを行うと、アドレスが確実に確保され、パブリック ネットワークを介して電話機に直接アクセスできないようになります。

• QoS（Quality of Service）の設定と管理を簡単に行えるようになります。また、信頼と QoS 機能を PC やその他のデータ デバイスまで拡張せずに、QoS の信頼境界を音声デバイスとビデオ デバイスまで拡張することができます。

• VLAN アクセス コントロール、802.1Q、および 802.1p タギングは、データ デバイスが情報をスプーフできないようにするとともに、パケット タギングによってプライオリティ キューにアクセスすることができます。

（注） Cisco Unified IP Phones と Cisco TelePresence エンドポイントはサービス要件が異なっているため、これらを単一の VLAN に配置すると、通常のアクセス コントロール リストの設計が複雑になります。

HTTPS および SSH でのセキュリティ管理

Cisco TelePresence エンドポイントでは、Secure Shell（SSH）および Hyper-Text Transfer Protocol over Secure Sockets Layer（HTTPs）による管理をサポートします。HTTP、HTTPS、SSH、または Telnet を使用したエンドポイントへのアクセスは、エンドポイント自体の [Network Services] 設定で設定できます。

Cisco Unified IP Phones は、HTTPS のみを使用するよう制限することも、HTTP と HTTPS の両方で使用可能にすることもできます。

管理パスワード

エンドポイントはデフォルトの管理パスワードで出荷されており、シスコでは、設置時にパスワードを変更することを推奨します。管理機能へのアクセスは、管理権限を認可されたユーザに制限する必要があります。

デバイスへのアクセス

エンドポイントは、定義されているロールおよび権限に基づいてアクセスを付与されたユーザに割り当てることができます。これらのユーザにパスワードおよび PIN 指定して、SSH または Telnet および web ベースのアクセスを使用可能にすることができます。パスワードを定期的に失効させ、変更するとともに、アイドル状態のときにログインをタイムアウトにするために、クレデンシャル管理ポリシーを実装する必要があります。これは、デバイスへのアクセスを検証済みのユーザに限定するために必要です。

ユーザ認証およびクレデンシャル管理の設定の詳細については、次のマニュアルを参照してください。

• 『Cisco Unified Communication Manager Administration Guide』

http://www.cisco.com/en/US/products/sw/voicesw/ps556/prod_maintenance_guides_list.html

• 『Securing Cisco TelePresence Products』

http://www.cisco.com/en/US/products/ps8332/products_installation_and_configuration_guides_list.html

シグナリングおよびメディア暗号化

サポートされる Cisco Unified Communications デバイス用にシグナリングおよびメディアを暗号化して、アクティブなコールまたはコールの確立時に対する傍受およびスパイ攻撃を阻止することができます。Unified Communications の導入で安全な通信とシグナリングを提供するプロトコルおよびメカニズムは、以下のとおりです。

• 「トランスポート層セキュリティ（TLS）」。シグナリング トラフィックの暗号化に使用される。

• 「Secure Real-Time Transport Protocol（SRTP）および Secure Real-Time Transport Control Protocol（SRTCP）」。メディアの暗号化に使用される。

• 「データグラム トランスポート層セキュリティ（DTLS）Secure Real-Time Transport Protocol（SRTP）」。SRTP マスター キーのネゴシエーションや交換に使用される。

• 「デジタル証明書」

• 「Certificate Authority Proxy Function（CAPF）」

• 「証明書信頼リスト（CTL）」

トランスポート層セキュリティ（TLS）

トランスポート層セキュリティ（TLS）は、2 つのアプリケーション間の通信に認証、データ整合性、および機密性を提供するために設計されたプロトコルです。TLS は Secure Sockets Layer（SSL）バージョン 3.0 をベースにしていますが、2 つのプロトコルには互換性はありません。最新バージョン、TLS 1.2 は、IETF RFC 5246 で定義されています。TLS はクライアント/サーバ モードで動作し、サーバとして動作する側面とクライアントとして動作する側面を持ちます。TLS は、ハンドシェイク プロトコルを使用し、クライアントとサーバが公開キー暗号化（デジタル証明書）を使用して互いを認証できるようにします。また、これにより、アプリケーション データが送信される前に、圧縮アルゴリズム、メッセージ認証アルゴリズム、暗号化アルゴリズム、および必要な暗号キーの信頼できるネゴシエーションが可能になります。

Cisco Unified CM、Cisco Unified IP Phones、および Cisco TelePresence System コンポーネント間での SIP シグナリングの暗号化およびデータの認証は、トランスポート層セキュリティ（TLS）プロトコルを使用して実装されます。また、TLS はさまざまな Cisco TelePresence コンポーネント間での web サービスのシグナリングの認証および機密保護のためにも使用されます。

シグナリング プロトコルの暗号化は、Advanced Encryption Standard（AES）を使用し、対称キーを使用して行われます。メッセージ認証は HMAC-SHA1 ハッシュ アルゴリズムを使用して行われます。キー材料のネゴシエーションは、TLS ハンドシェイク プロトコル層内でクライアントおよびサーバのキー交換メッセージを介してセキュリティが保護されて行われます。

Secure Real-Time Transport Protocol（SRTP）および Secure Real-Time Transport Control Protocol（SRTCP）

Real-time Transport Protocol（RTP）の音声およびビデオ メディア フローのデータ認証および機密保護では、ポイントツーポイントおよびマルチポイントの TelePresence 会議で Secure Real-time Transport Protocol（SRTP）を使用します。

Secure RTP（SRTP）および Secure Real-time Transport Control Protocol（SRTCP）はともに IETF RFC 3711 に定義されています。この RFC には、RTP の音声およびビデオ メディアならびに対応する RTCP ストリームに対して機密性およびデータ整合性を提供する方法が詳述されています。

SRTP では、暗号化は、128 ビット キーを使用した Advanced Encryption Standard（AES）アルゴリズムを使用して、RTP パケットのペイロードにのみ適用されます。また、SRTP では、メッセージ認証ハッシュ アルゴリズムとして HMAC-SHA1 も使用します。メッセージ認証は、RTP のペイロードだけでなく RTP のヘッダーにも適用されます。SRTP は、ヘッダー内の RTP シーケンス番号にメッセージ認証を適用して、リプレイ アタックを防止します。

SRTCP パケットで暗号化を使用する場合は、SRTP パケットの場合と同様に、ペイロードにのみ適用されます。ただし、メッセージ認証は RTCP のヘッダーと RTCP のペイロードの両方に適用されます。

データグラム トランスポート層セキュリティ（DTLS）Secure Real-Time Transport Protocol（SRTP）

データグラム トランスポート層セキュリティ（DTLS）は、ユーザ データグラム プロトコル（UDP）などのデータグラム トランスポート プロトコルを介した 2 つのアプリケーション間の通信に認証、データ整合性、および機密性を提供するために設計されています。このプロトコルは IETF RFC 4347 で定義されています。DTLS は TLS をベースにして、UDP の低信頼性を埋め合わせるためにシーケンス番号および再送信機能などのメカニズムを追加したものです。DTLS-SRTP は、DTLS 内で SRTP キー材料のネゴシエーションのために DTLS を拡張したものです。

Cisco Telepresence ソリューションでは、DTLS のハンドシェイクは TelePresence エンドポイント間で直接行われます。DTLS-SRTP セッションは、コール内の関連する Cisco Unified IP Phone を使用せずに、2 つのエンドポイント間の RTP メディア ストリーム内で、Cisco TelePresence コーデック間で確立されます。各コールでは、2 つの DTLS-SRTP ハンドシェイクが行われます。1 つは音声用、もう 1 つはビデオ メディア用です。暗号化およびこれらのストリームの認証のために、キーがネゴシエーションされます。

デジタル証明書

Cisco Unified Communications System は、公開キー インフラストラクチャ（PKI）機能の構成要素として X.509 v3 証明書を使用し、メッセージの暗号化および復号化に使用する公開キーおよび秘密キーを生成します。この PKI の実装により生成されるキーのペアのうち、秘密キーによりメッセージが暗号化され、暗号化されたメッセージは、2 つのデバイス間で交換される公開キーを使用した場合のみ復号化できます。秘密キーは、デバイス内に安全に保管され、けっして公開されません。公開キーは、X.509 デジタル証明書に属性として定義、公開されています。属性は、証明書にデジタル署名する認証局（CA）によって設定されます。デジタル署名自体は、認証局の秘密キーを使用して暗号化された、メッセージのハッシュです。認証局のデジタル署名は、受信者が認証局の公開キーを使用して検証できます。

証明書としては、製造元がインストールした証明書（MIC）またはローカルで有効な証明書（LSC）を使用できます。Cisco Unified Communications Manager（Unified CM）には、LSC が Cisco Certificate Authority Proxy Function（CAPF）によってインストールされるのに対し、MIC はプレインストールされます。MIC 証明書は、エンドポイントが最初の認証および Cisco Unified CM のセキュリティ フレームワークへの登録を実行するためのクレデンシャルとなります。MIC を使用する場合、Cisco CA 証明書および Cisco Manufacturing CA 証明書はルート証明書として機能します。

（注） また、MIC は、Cisco TelePresence エンドポイント間でデータグラム トランスポート層セキュリティ（DTLS）セッションを確立するためにも使用されます。

Certificate Authority Proxy Function（CAPF）

Cisco Certificate Authority Proxy Function（CAPF）は、Cisco Unified CM の一部としてインストールされるソフトウェア サービスです。CAPF はデフォルトでは有効化されていないので、インストール後に設定する必要があります。CAPF は、Cisco Unified IP Phones および Cisco TelePresence エンドポイントのために、ローカルで有効な証明書（LSC）を発行します。CAPF は、自身の権限のもとで証明書に自己署名します。ただし、これは外部の認証局（CA）に証明書を要求するプロキシとして使用することもできます。Public-Key Cryptography Standard（PKCS） #10 証明書署名要求（CSR）を使用した、第三者認証局（CA）による証明書に署名することができます。

第三者 CA を使用する場合、CA により CAPF に署名できますが、電話機の LSC は、その後も CAPF により生成されます。自己署名した LSC を使用する場合は、CAPF 証明書がルート証明書になります。外部 CA を使用する場合は、CAPF が下位 CA として機能し、外部 CA がルート CA になります。

これらの証明書は、TLS で信号を送信する SIP などのプロトコルのために、安全な認証付きの接続を確立するために使用されます。

証明書信頼リスト（CTL）

CTL Provider は、Cisco Unified CM の一部としてインストールされるもう 1 つのソフトウェア サービスで、CTL Client と連携して証明書信頼リスト（CTL）を生成します。CTL Client は Cisco Unified CM サーバからダウンロードできるソフトウェア プラグインで、独立した Windows PC で実行されます。証明書信頼リスト自体は、Unified CM サーバにストアされた信頼できる証明書の定義済みリストで、Cisco エンドポイントにブート時にファイルとしてダウンロードされます。CTL は、Cisco Unified IP Phones および TelePresence エンドポイントがコール シグナリングのために TLS を介して SIP セッションを開始するときに信頼できる Unified CM サーバのリストを意味しています。CTL 自体の認証を可能するには、最低 2 つの独立した Cisco Universal Serial Bus（USB）ハードウェア セキュリティ キー（etoken）が必要です。これらの USB キーは Cisco Unified CM 製品に含まれていないため、別途購入する必要があります。これらのセキュリティ キーは、CTL クライアント プラグインを稼働している PC に CTL 生成プロセス中に挿入されます。

コンフィギュレーション ファイルの整合性と暗号化

Cisco TelePresence 装置および Cisco Unified IP Phones のコンフィギュレーション ファイルは、Cisco Unified CM 内にストアされます。これらのファイルは、エンドポイントにブート時にダウンロードされます。また、Unified CM 内でエンドポイントの設定に影響する設定変更が行われると、必ず自動的にコンフィギュレーション ファイルが Cisco TelePresence デバイスにダウンロードされます。さらに、コンフィギュレーション ファイルのダウンロードにより、デバイスがリセットされます。

Cisco Unified CM で、コンフィギュレーション ファイルの暗号化を要求するデバイス セキュリティ プロファイルを作成できます。これにより、コンフィギュレーション ファイルは、Unified CM によりデジタル署名されるため、権限のないユーザによって変更されなくなります。

DMZ でのファイアウォール トラバーサル

Cisco TelePresence Video Communication Server Expressway（VCS Expressway）は、企業ネットワーク外およびインターネットからデバイスへのビデオ コミュニケーション コールを確立することができます。外部の発信者がデバイスにアクセスできるようにするには、Cisco Unified Communications ソリューションで使用されるプライベート ネットワークの外部に VCS Expressway を配置する必要があります。これは、一般のインターネットまたは非武装地帯（DMZ）に導入できます。デフォルトでは、ファイアウォールは非請求の着信要求をブロックするため、VCS Expressway で VCS Control サーバとの常時接続を確立できるようにするには、ファイアウォールを設定する必要があります。

VCS Expressway を DMZ に配置することで、この実装がはるかに安全になります（図 9-3を参照）。これは、音声およびビデオ トラフィックを処理する専用サーバとして VCS を使用するので、ファイアウォール設定の複雑性が減少します。これは、管理トラフィック、したがって内部のプライベート トラフィックを VCS Expressway に限定し、外部からのアクセスをブロックします。

図 9-3 DMZ での VCS Expressway