TLS 中继传输协议规范

要求

要为 BYOC Cloud 设置安全中继，您的运营商或电话提供商还必须支持使用 TCP 和 SRTP 上的 TLS 与 SIP 建立安全 VoIP 连接。BYOC Cloud 不支持 IPSEC 用于安全中继。设置安全的 BYOC 云中继与非安全中继类似，只需一些备用设置。然而，安全中继线确实有其他要求才能使连接成功。

连接

呼叫的始发设备启动 VoIP 连接。 但是，两个 VoIP 端点都充当服务器和客户端。 您可以为发起（入站）和终止（出站）呼叫的两个终端配置安全的 TLS 连接。 两个 VoIP 端点都必须具有由公共证书颁发机构签名的 X.509 证书，并且每个客户端端点都必须信任为服务器签名的证书颁发机构。两种连接都使用单向或服务器端 TLS，但不支持相互 TLS (MTLS)。

BYOC Cloud 的安全中继与非安全中继连接到相同的 VoIP 端点。 有关这些连接地址的更多信息，请参阅 BYOC Cloud 公有 SIP IP 地址。

端口和协议版本

BYOC Cloud 仅支持使用 TLS 1.2 版协议的终端节点。

支持的 TLS 密码包括：

• TLS_RSA_WITH_AES_256_CBC_SHA
• TLS_RSA_WITH_AES_256_CBC_SHA256
• TLS_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA*
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384*
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256*
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384*
  

* For elliptic curve Diffie-Hellman ephemeral (ECDHE) key exchanges only secp384r1 (NIST/SECG curve over a 384-bit prime field) elliptical curves are supported.

仅限 TLS 的侦听器在主机端口 5061 上可用。

证书信任

当客户端创建到服务器的安全连接时，它会检查证书的有效性。 证书授权包含的密钥的合法性。 有效的证书必须遵守以下规定：

证书机构

信誉良好的证书颁发机构必须颁发证书才能有效。

客户终端节点必须信任 BYOC Cloud 终端节点。 Genesys Cloud 使用公共证书颁发机构 DigiCert 颁发的 X.509 证书对 BYOC 云端点进行签名。 更具体地说，签署 BYOC 云端点的根证书颁发机构按地区分开，并使用由 DigiCert High Assurance EV Root CA 或 DigiCert Global Root G2/DigiCert Global Root G3 授权的证书。您可以从 DigiCert 下载适合您所在地区的根公钥证书。

根证书

当私钥发生变化时，Genesys Cloud 会重新生成或替换 BYOC Cloud 端点证书。务必不要信任服务器证书本身，因为它可能会在没有通知的情况下更改。您可以将客户端点配置为信任根证书，以防止出现任何问题。如果根证书发生变化，Genesys Cloud 中会出现弃用通知发行说明。

证书文件格式

Root CA certificates are available in two different file formats: DER and PEM. Both of these file formats contain the same data, but they differ in how they are encoded. Only download the file format that best suits your system.

• DER 证书使用可区分编码规则 (DER) 方法进行编码，该方法是一种二进制格式。 DER 证书旨在用于基于 Java 的系统。
• PEM 证书使用隐私增强邮件 (PEM) 方法进行编码，该方法是一种 base64 编码格式。 PEM 证书适用于基于 Unix 的系统。

按地区划分的证书颁发机构

BYOC Cloud 终端节点还必须信任客户终端节点。 要使 BYOC Cloud 终端节点信任客户终端节点，以下公共证书颁发机构之一必须对客户终端节点进行签名：

• 安特利斯
• 亚马逊信托服务
• 塞图姆
• 德国电信/T-TelSec
• DigiCert / QuoVadis / 赛门铁克 / Thawte / 威瑞信 
• Entrust/SSL.com
• GlobalSign
• 爸爸去吧 / 星空 
• 网络安全研究组
• 网络方案
• Sectigo / AddTrust / Comodo / UserTrust
• 瑞士标志
• 特利亚 / TeliaSonera 
• Trustwave / 安全信任 / Viking Cloud

从 BYOC 云 SIP 服务器接收安全 SIP TLS 连接的所有远程端点都必须配置证书。 该证书要么自行签名，要么更常见的是由 Genesys Cloud BYOC Cloud SIP 服务器信任的根证书颁发机构之一颁发的中间证书颁发机构签名。 如果证书未签名，连接将失败。 远程端点应在 TLS 握手中提供其终端实体证书以及所有中间证书颁发机构。

具有中间信任的 TLS 握手

TLS 使用握手协商两个端点之间的安全连接。 握手共享公共证书和特定于连接的要求。 客户端启动握手并请求来自服务器的安全连接。 服务器必须同时提供自己的签名证书和证书链中的所有中间证书。

The BYOC Cloud endpoints provide their own server certificate and all intermediate certificates in the certificate chain when acting as the server during the TLS handshake. The customer endpoints should only trust the DigiCert root certificate authority listed above.

BYOC Cloud 终端节点仅信任上面列出的提供商提供的根证书颁发机构证书。 在 TLS 握手期间充当服务器时，客户端点必须同时提供自己的服务器证书和证书链中的所有中间证书颁发机构证书。

主题名称验证

有效的证书必须包含客户端连接的位置的主题名称 (URI)。

安全连接的客户端使用使用者名称验证来确保远程终端节点将自己标识为预期目标。 如果服务器证书不包含作为公用名或使用者备用名称的客户端连接到的名称，则客户端应拒绝该连接。

为确保主题名称验证成功，与 BYOC Cloud 的连接使用下表作为潜在终端节点的列表。

• 美洲
• 欧洲、中东和非洲
• 亚太地区

公共证书颁发机构必须使用用作中继的 SIP 服务器或代理值的公用名或使用者备用名来签署客户端点 X.509 证书。 BYOC 端点通过主机名验证连接 — IP 地址是不可接受的。 有关 BYOC Cloud 中继的更多信息，请参阅 创建 BYOC 云中继。

日期验证

有效证件必须在有效期内，且不得超过有效期限。

X.509 证书有一个有效期，这是一个指定证书何时可以接受的日期范围。 在接近到期日或即将到期的某个日期，Genesys Cloud 会使用包含延长验证期的新证书续订终端节点的证书。

证书 吊销列表

有效的证书必须是有效颁发的证书，且不包含在颁发机构吊销列表中。

当公共证书颁发机构签署 X.509 证书时，它将包含证书吊销列表的地址。 公共证书颁发机构可以通过将证书添加到吊销列表中来在到期期之前撤销证书。 安全客户端在建立连接时检查吊销列表，并确认证书是否有效。 如果密钥对的安全性受到威胁，公共证书颁发机构通常会吊销端点公共证书。

SIP URI

The SIP URI is a mechanism that connects a VoIP endpoint. Each VoIP endpoint has a corresponding SIP URI to connect to the respective remote peer. The URI contains the remote address of the SIP device in the form of a DNS host name that includes the protocol, destination number, and remote host.

In addition to the host name, the URI can also contain attributes to control the connection. You apply attributes to the user portion and the host portion of the URI. For the URI to operate correctly, you must apply attributes to the appropriate portion of the URI.  

主要属性用于指定中继选择和传输协议。 在安全连接中，运输属性指定 TLS 传输协议。

有关更多信息，请参阅为 BYOC Cloud 中继 配置 SIP 路由的入站部分。

入站 SIP 路由

当您使用 TLS 为 BYOC 云使用安全 SIP 时，Genesys Cloud 建议您使用 TGRP 进行入站 SIP 路由的每个代理使用一组不同的 URI。 但是，在选择入站路由方法时，您还需要考虑其他一些选项：

TGRP（中继组路由协议）

The best practice is to use a TGRP configuration as it allows for trunk selection based on the attributes of the SIP URI. TGRP attributes control routing so the host name of the request URI is set to a value defined as the common name or subject alternate name of the X.509 certificate. This configuration allows the subject name validation to succeed.

DNIS（拨号号码识别服务）

DNIS routing may work with Secure BYOC Cloud trunks; however, subject name validation may limit the feasibility of this routing option. You typically use DNIS routing when the carrier limits control of the SIP URI and instead prefers an IP address. If calls are sent directly to an IP address rather than a supported host name, subject name validation of the X.509 certificates fails.

FQDN（完全限定的域名）

FQDN 可以与 Secure BYOC Cloud 中继一起使用；但是，X.509 证书的使用者名称验证预计不会通过，因为 FQDN 是用户定义的。 通配符证书可以支持用户定义的名称，但由于某些 SIP 设备缺乏支持，因此不能使用通配符证书。

可以使用 TLS 的 SRV 记录，并且代理证书确实包含 SRV 域名和 SRV 记录名称。 但是，公共证书颁发机构不允许在 SRV 记录中为服务和传输名称使用的公用名和主题备用名称中使用下划线字符。 如果远程 SIP 设备验证证书公用名，它将仅验证域名。 它不会验证整个资源记录名称，其中包括服务和传输。

有关更多信息，请参阅为 BYOC Cloud 中继 配置 SIP 路由的入站部分。

示例

为了帮助您正确配置 SIP URI，以下示例适用于使用 TGRP 的连接。 此示例显示了用于在每个 BYOC SIP 代理之间分配呼叫的当前所需的所有主机条目。 它还显示用于通过 X.509 证书的使用者名称验证的每个代理的 FQDN 主机名。 提供该协议是为了确保远程端点启动安全连接。

当您选择 TLS 作为 BYOC Premises 的中继传输协议时，您可以使用 TCP 上的 TLS 直接在客户端点和 Genesys Cloud Edge 之间建立安全中继。组织特定的证书颁发机构颁发一份服务器证书，用于签署每个 Genesys Cloud Edge TLS 端点。您的组织根证书颁发机构是管理 SIP 服务的有效证书。

您可以从 Genesys Cloud 中获取组织的公钥证书。 有关详细信息，请参阅 配置证书颁发机构

您可以在外部中继配置中调整传输和介质安全设置。 有关详细信息，请参阅 外部中继设置。