Cisco урвуу прокси суулгагч эзэмшигчийн гарын авлага

Cisco урвуу прокси суулгагч эзэмшигчийн гарын авлага

Агуулга нуугдах

1 Дууслааview

2 Урьдчилсан нөхцөл

3 Аюулгүй байдал

4 Хост зураглал File Сүлжээний орчуулгад зориулсан

5 Портын менежмент

6 Олон порттой нийтлэг домэйн ашиглах

7 Нийтлэг порт болон олон домэйн ашиглах

8 Finesse, IdS болон CUIC серверүүдэд зориулсан DNS тохиргоо

9 Баримт бичиг / нөөц

9.1 Лавлагаа

Дууслааview

The Cisco Reverse Proxy Installer (referred to as RP Installer in this document) is a component of the Cisco Unified CCE solution. It offers a ready-made reverse proxy solution (based on Open Resty Nginx) for Unified CCE, featuring built-in, battle-tested configurations. These configurations can be used to proxy other Unified CCE components and external applications,such as ADFS, which are commonly used when deploying Unified CCE.

The RP Installer has been pre-tested and load-qualified for various usage scenarios across the deployment models supported by the Unified CCE solution.

The RP Installer facilitates access to the Unified CCE solution from the internet and is typically set up to provide VPN-less access to the Finesse Agent Desktop or enable advanced functionalities like digital channels that require direct internet ingress.

The RP Installer is intended to be deployed in a Demilitarized Zone (DMZ) on a customer-provided and hardened host running the RHEL 9.4 Operating System. The pre-configured proxying rules allow for the proxying of the following components through data-driven configuration files:

Cisco Finesse
Үүлэн холболт
Cisco Тагнуулын нэгдсэн төв
Шууд өгөгдөл
Cisco Identity Service
Cisco IM&P Server
Microsoft ADFS 3.0 or 5.0

Анхаар
The term “upstream servers” is used in this guide to refer to all the solution components such as Finesse, CUIC, IdS, and IM&P servers that are configured to be accessed through reverse-proxy

Урьдчилсан нөхцөл

To configure VPN-less access to the Finesse desktop:

Reverse Proxy Installer must be 15.0(1) or above
Finesse, IdS, and Cisco Unified Intelligence Center must be 12.6(2) ES4 or above.
In coresident deployments, LiveData and Cisco Unified Intelligence Center should be 12.6(2) or above

Unified CCE and LiveData standalone must be 12.6 (1) or above with the latest ES for the respective versions
Cisco IM&P Server
DMZ with internet connectivity must be available to host the reverse-proxy.

Аюулгүй байдал

RP суулгагч нь нээлттэй прокси биш; Энэ нь бүх хүсэлтийг зохих дээд сервер рүү дамжуулахаас өмнө баталгаажуулдаг. Дээд талын серверүүд хүсэлтийг боловсруулахаас өмнө орон нутгийн баталгаажуулалтыг хэрэгжүүлдэг.

Beyond authentication, there are several additional аюулгүй байдал measures available to protect the solution. Details about security can be found in the Security chapter.

For information about security guidelines, see the Security Guidelines for Reverse-Proxy Deployment in
Security Guide for Cisco Unified ICM/Contact Center Enterprise.

Баталгаажуулалтын талаар нэмэлт мэдээлэл авахыг хүсвэл Баталгаажуулалтаас үзнэ үү.

Хост зураглал File Сүлжээний орчуулгад зориулсан

Урвуу прокси байршуулалт нь зураглал дээр тулгуурладаг file Гаднаас харагдах хостын нэр/портын хослолуудын жагсаалт болон тэдгээрийн Finesse, IdS болон CUIC серверүүдэд ашиглагдаж буй бодит серверийн нэр, порттой зураглалыг тохируулахын тулд администратор өгсөн. Энэ зураглал file Дээд талын серверүүд дээр тохируулагдсан тохиргоо нь интернетээр холбогдсон үйлчлүүлэгчдийг интернетэд хэрэглэгддэг шаардлагатай хостууд болон портууд руу дахин чиглүүлэх боломжийг олгодог гол тохиргоо юм. Газрын зургийн талаар дэлгэрэнгүй мэдээлэл авахыг хүсвэл Сүлжээний орчуулгын өгөгдлийг бөглөх хэсгээс үзнэ үү.

Анхаарна уу
It is recommended to use a dedicated web зураглалыг байршуулахын тулд LAN доторх сервер file, энэ зорилгоор урвуу прокси суулгагчийг ашиглахын оронд.

Урвуу проксигээр ирдэг бүх хүсэлтийн хувьд Finesse, IdS болон CUIC серверүүд хостын зураглалыг шалгана. file, to translate the internal host names and ports that are used on the LAN. They are translated to the publicly resolvable host names and ports that have to be used on the internet. This mapping file, Прокси тохиргооны газрын зураг гэж нэрлэдэг file, is the key configuration that allows the clients connected over the reverse proxy to be redirected to the required hosts and ports that are used on the internet.

Прокси тохиргооны газрын зураг file Finesse, IdS болон CUIC серверүүд дээр байгаа CLI-г ашиглан тохируулж болно. Газрын зургийн талаарх дэлгэрэнгүй мэдээллийг file формат болон тохируулсан өгөгдлийн талаар Сүлжээний орчуулгын өгөгдлийг бөглөх хэсгээс үзнэ үү. Тохируулахад ашигласан CLI-ийн талаарх дэлгэрэнгүй мэдээллийг file, refer to the utils system reverse-proxy config-uri CLI in the topic Configure Proxy Mapping by Using CLI.

Прокси тохиргооны газрын зураг file Unified CCX серверүүд болон Cisco Collaboration Platform серверүүд дээр байгаа CLI-г ашиглан тохируулж болно. Газрын зургийн талаарх дэлгэрэнгүй мэдээллийг file формат болон тохируулсан өгөгдлийн талаар Cisco нэгдсэн холбоо барих төвийн экспресс удирдлага, үйл ажиллагааны гарын авлагын Сүлжээний орчуулгын өгөгдлийг бөглөх хэсгээс үзнэ үү. Тохируулахад ашигласан CLI-ийн талаарх дэлгэрэнгүй мэдээллийг file, refer to the Configure Proxy Mapping by Using CLI section in Cisco Unified Contact Center Express Administration and Operations Guide available
at https://www.cisco.com/c/en/us/support/customer-collaboration/unified-contact-center-express/products-maintenance-guides-list.html..

Портын менежмент

Урвуу прокси байршуулах дизайны гол талуудын нэг нь домэйн болон програм руу нэвтрэх портууд юм. Эдгээр талууд нь харилцан хамааралтай бөгөөд байршуулалтыг төлөвлөхдөө бие биедээ нөлөөлдөг.

Урвуу прокси нь ирж буй хүсэлтийг аль дээд сервер рүү дамжуулахыг тодорхойлох чадвартай байх ёстой. Програмд хандахын тулд порт эсвэл хостын нэрийг өөрчилснөөр үүнийг хийж болно. Үндсэндээ прокси нь траффикийг зөв дээд талын бүрэлдэхүүн хэсэг рүү ялгаж, чиглүүлэхийн тулд хост болон портын хослол нь өвөрмөц байх ёстой бөгөөд энэ нь проксиг зөв эхлүүлэхэд тавигдах шаардлага юм.

Тиймээс эдгээр нь домэйн болон портын хандалтыг төлөвлөх боломжтой сонголтууд юм:

Use a common domain and differentiate application access using multiple ports.

Use a common port and differentiate application access using multiple domains

Домэйн болон портын хуваарилалтыг тодорхойлсны дараа дараах алхмуудыг хийх шаардлагатай.

Proxy map configuration has to be changed to match the port and domain required. See Configure Proxy Mapping by Using CLI.
The respective upstream component environment configuration in the reverse proxy installer has to be configured with the required hostname and port, see Configure deployment environment configurations

Олон порттой нийтлэг домэйн ашиглах

Дараах эксample нь энэхүү хандалтын загварыг ашиглан хэд хэдэн програмын серверүүдийг хэрхэн тохируулахыг харуулж байна:

The following are the benefits of using multiple ports:

More granular packet level rate-limits applicable to each application can be applied at the ingress point to control rate-limits. Domain-level access means that the rate-limits can’t be granular.

A single-domain requires only a single SSL certificate to access the application. It could be a factor in reducing costs, unlike a multiple-domain application which requires a wildcard certificate.

Дараахь нь сул тал юмtages in using multiple ports:

Certain network deployments like CDNs don’t support custom ports.
Security devices that automatically apply security rules might require custom configurations with non-standard ports.

Multiple ports must be opened in the DMZ firewall (10–15 ports are required for a standard 2k deployment). This isn’t recommended by the network security teams.
There’s an increased overhead regarding the port manageability.
Deploying new instances of the application requires firewall/network changes.

Анхаарна уу
Ports other than the ones mentioned in the Proxy Map must be blocked and shouldn’t be available for access on the reverse proxy host. This must be blocked at the ingress point as the proxy doesn’t currently have rules to block this access at network level.

The Cisco provided installer supports running multiple instances which cater to different sets of upstream servers, to aid in ease of maintenance. Multiple instances of the installer don’t allow to use the same ports across different instances of the proxy. Only one process can bind to the same TCP port.

Consider the above two points when deciding the port management strategy against proxy installer configuration.

Нийтлэг порт болон олон домэйн ашиглах

Дараах эксample illustrates how multiple application servers can be configured using this access pattern.:

FinesseA = FinesseA-ReverseProxyDomain.com:443
FinesseB = FinesseB-ReverseProxyDomain.com:443
Finesse1A = Finesse1A-ReverseProxyDomain.com:443
Finesse2B = Finesse2B-ReverseProxyDomain.com:443

Ганц портын тохиргоо нь дээр дурдсан давуу болон сул талуудыг олон портын тохиргоонд буцаана.

Анхаарна уу
Supporting a single port of access requires Unified Intelligence Center and LiveData components to be on 12.6(2)versions.

Finesse, IdS болон CUIC серверүүдэд зориулсан DNS тохиргоо

Finesse, IdS, CUIC, IM&P болон интернетэд холбогдох шаардлагатай гуравдагч талын серверүүд интернетээс хаяглах боломжтой байх ёстой. Энэ нь Интернэтээс шийдвэрлэх боломжтой хостын нэр болон холбогдох портыг нийтийн порт болон урвуу проксигийн IP-д тааруулах шаардлагатай бөгөөд ингэснээр урсгалыг холбогдох бүрэлдэхүүн сервер рүү чиглүүлнэ.

DNS registration of the publicly resolvable host names and the corresponding IP addresses is mandatory before the requests reach the reverse-proxy.

SSL сертификатууд
For the hostnames that are configured, corresponding to each unique hostname that is used by the internet client, the respective certificates must be acquired and configured on the reverse-proxy. Even though self signed certificates are supported, they are risky because the users access directly from the internet. The clients can be more secure by using CA-signed certificates. The best practice is to get CA certificates for proxy servers and third-party-gadget servers.

Баримт бичиг / нөөц

Cisco урвуу прокси суулгагч [pdf] Эзэмшигчийн гарын авлага
Урвуу прокси суулгагч, прокси суулгагч, суулгагч

Лавлагаа

Хэрэглэгчийн гарын авлага