L’architettura Collaboration Edge è la soluzione Cisco per estendere in modo sicuro i servizi di collaborazione (voce, video, presence, messaging) oltre il perimetro aziendale, senza esporre direttamente i sistemi interni come Cisco Unified Communications Manager (CUCM), IM&Presence o Unity Connection. Il cuore dell’architettura è una coppia di server Expressway: Expressway-C nella rete interna ed Expressway-E in DMZ.
Componenti dell’architettura
Expressway-C (expressway-core)
Expressway-C risiede nella rete interna trusted, insieme a CUCM e agli altri applicativi UC. Agisce da punto di raccordo verso l’edge: proxy delle registrazioni e delle chiamate, terminazione TLS interna e mediazione tra i servizi UC e il mondo esterno. Fondamentale: Expressway-C non è raggiungibile da Internet e non riceve mai connessioni inbound dalla DMZ.
Expressway-E (edge)
Expressway-E è posizionato in DMZ, con un’interfaccia (o NAT statico) verso Internet. È l’unico componente che termina le connessioni provenienti dall’esterno: endpoint remoti in MRA, chiamate B2B, traffico verso i cloud service. Espone i servizi pubblici (DNS SRV _collab-edge._tls, porte TLS 8443/5061/5222 e range media) e non ospita mai dati sensibili in chiaro.
La relazione traversal: chi inizia e chi termina
Il meccanismo chiave è la traversal zone. Contro l’intuito, è Expressway-C (traversal client) a iniziare la connessione verso Expressway-E (traversal server), sempre in direzione outbound dalla rete interna verso la DMZ.
| Aspetto | Expressway-C | Expressway-E |
|---|---|---|
| Posizione | Rete interna | DMZ |
| Ruolo traversal | Client (inizia) | Server (attende) |
| Termina connessioni esterne | No | Sì |
| Raggiungibile da Internet | No | Sì |
| Firewall interno→DMZ | Consente outbound C→E | — |
Poiché il canale è stabilito dall’interno, il firewall tra DMZ e rete interna non richiede alcuna regola inbound: nessun pinhole verso i sistemi UC. Questo è il vantaggio di sicurezza fondante dell’intero modello.
I tre casi d’uso
- MRA (Mobile and Remote Access): endpoint remoti (Jabber, Webex App, telefoni 78xx/88xx) si registrano al CUCM on-prem passando attraverso la coppia E→C, senza VPN. La registrazione è proxata: l’endpoint parla con Expressway-E, che inoltra a Expressway-C, che a sua volta dialoga con CUCM.
- B2B (Business-to-Business): chiamate SIP/H.323 tra domini di aziende diverse, con Expressway-E che espone il dominio verso Internet e gestisce l’interworking.
- Hybrid: connettività verso i servizi cloud Cisco (es. Webex hybrid call/calendar), dove Expressway funge da connettore sicuro on-prem.
Expressway vs VCS legacy
Expressway è l’evoluzione del VCS (Video Communication Server), di cui eredita il motore di traversal (Assent, H.460.18/19). Le differenze rilevanti:
- VCS nasce come call control e registrar per endpoint H.323/SIP video, con licensing a option key (Traversal/Non-traversal call).
- Expressway è progettato come pura soluzione di edge e firewall traversal: non registra endpoint come call agent e non sostituisce CUCM. In MRA il call control resta a CUCM; Expressway fa solo da proxy sicuro.
- Il modello di licensing di Expressway distingue le Rich Media Sessions (B2B/interworking) dalle sessioni MRA (non consumano RMS).
Perché la coppia C-E sostituisce la VPN
Con la VPN tradizionale l’utente remoto deve stabilire un tunnel, autenticarsi e “entrare” in rete: esperienza pesante, client da gestire, superficie d’attacco ampia. Con MRA:
- l’endpoint stabilisce solo una sessione TLS verso Expressway-E, trovato via DNS SRV
_collab-edge._tls.<dominio>; - il traffico è cifrato end-to-edge e proxato, non tunnelato;
- nessun software VPN, autenticazione integrata con CUCM/LDAP, media SRTP.
Il risultato è accesso remoto trasparente e sicuro senza esporre i sistemi UC.
Trappole tipiche d’esame
- Scenario: “Quale peer termina le connessioni degli endpoint remoti?” → Expressway-E (in DMZ). Expressway-C non riceve mai traffico da Internet.
- Scenario: “Su quale server si registrano gli endpoint MRA?” → Sul CUCM interno; Expressway-E/C fanno solo da proxy, non da registrar.
- Scenario: “Chi inizia la connessione della traversal zone?” → Expressway-C (client) verso Expressway-E (server), sempre outbound dall’interno.
- Scenario: “Serve una regola firewall inbound dalla DMZ verso la rete interna?” → No: il canale è avviato da C verso E, quindi nessun pinhole inbound.
- Scenario: “MRA richiede una VPN?” → No: sostituisce la VPN con firewall traversal TLS via DNS SRV
_collab-edge._tls.