L’architettura edge Cisco Collaboration si regge sulla coppia Expressway-C (control, nella rete interna) ed Expressway-E (edge, esposto verso Internet). L’Expressway-E vive nella DMZ e attraversa due firewall: quello esterno verso Internet e quello interno verso la LAN. Il traversal zone tra C ed E incapsula segnalazione (SIP/H.323) e media (SRTP/TURN) su porte note, ma il modo in cui l’Expressway-E “vede” e pubblica il proprio indirizzo dipende dal disegno di rete scelto. Le due opzioni principali sono single NIC e dual NIC.
Single NIC con NAT reflection
Con una sola interfaccia, l’Expressway-E ha un IP privato di DMZ dietro il firewall esterno, che lo mappa in static NAT verso un IP pubblico. Il problema nasce perche l’Expressway-E deve pubblicare l’indirizzo pubblico nelle candidate ICE/TURN e nella segnalazione, ma il traffico interno (da Expressway-C e dagli endpoint) lo raggiunge sul suo IP di DMZ. Serve quindi la NAT reflection (detta anche NAT hairpin o NAT loopback) sul firewall: un pacchetto originato internamente e diretto all’IP pubblico dell’Expressway-E viene “ripiegato” dal firewall e consegnato all’interfaccia di DMZ. Non tutti i firewall supportano bene la reflection, ed e la principale complicazione operativa di questo modello.
Dual NIC con static NAT (LAN1/LAN2)
Il deployment raccomandato per la maggior parte degli scenari usa due interfacce: una interna (verso il firewall interno / Expressway-C) e una esterna (verso il firewall esterno / Internet), tipicamente LAN1 esterna e LAN2 interna. Si abilita lo static NAT mode sull’interfaccia esterna e si imposta lo Static NAT address con l’IP pubblico che il firewall esterno mappa 1:1 sull’IP di DMZ dell’interfaccia. In questo modo l’Expressway-E conosce esplicitamente il proprio indirizzo pubblico e lo pubblica correttamente nei relay TURN e nel traversal, senza dipendere dalla NAT reflection.
| Aspetto | Single NIC | Dual NIC |
|---|---|---|
| Interfacce | 1 (LAN1) | 2 (LAN1 esterna, LAN2 interna) |
| NAT reflection sul firewall | Richiesta | Non necessaria |
| Static NAT address | Consigliato | Obbligatorio sull’esterna |
| Separazione dei domini di traffico | No | Si (interno vs esterno) |
| Opzione Advanced Networking | No | Si |
L’opzione Advanced Networking
Per usare la seconda NIC e lo static NAT su una Expressway virtuale serve l’Advanced Networking option key. Senza questa licenza l’interfaccia LAN2 e le funzioni di static NAT non sono configurabili: e un prerequisito d’esame quando lo scenario descrive dual NIC.
Clustering per capacity e high availability
Sia Expressway-C sia Expressway-E si possono raggruppare in cluster fino a 6 peer. Il cluster serve a due scopi: capacity (le sessioni si sommano) e high availability (se un peer cade, gli altri assorbono il carico). Va dimensionato in ottica di ridondanza N+1: la capacita nominale utile va calcolata assumendo il guasto di un peer, non a nodi tutti attivi. La configurazione si replica dal primary peer verso gli altri; il Cluster Name e un FQDN che deve risolvere verso tutti i peer ed e usato per la validazione TLS tra membri.
DNS SRV: priorita e peso
I client MRA e le chiamate B2B non puntano a un singolo IP ma risolvono record DNS SRV (_collab-edge._tls per MRA, _sips._tcp/_sip._tcp per B2B) che elencano i peer del cluster. La priority piu bassa vince (peer preferito); a parita di priority, il weight distribuisce proporzionalmente le sessioni tra i peer. Cosi si ottiene sia failover (priorita diverse) sia load balancing (stessa priorita, pesi calibrati) verso l’intero cluster Expressway-E.
Trappole tipiche d’esame
- Dual NIC senza Static NAT address configurato → TURN e il traversal pubblicano l’IP privato di DMZ invece di quello pubblico: i media esterni falliscono. La risposta giusta e impostare lo Static NAT address sull’interfaccia esterna con l’IP pubblico.
- Single NIC e il firewall non supporta la reflection → gli endpoint interni non raggiungono l’IP pubblico dell’Expressway-E. Risposta: abilitare NAT reflection oppure passare a dual NIC.
- Scenario dual NIC ma manca la funzione LAN2/static NAT → manca l’Advanced Networking option key, non e un problema di rete.
- Un peer del cluster cade e il servizio degrada troppo → il cluster non era dimensionato N+1; la capacita va calcolata assumendo un peer in meno.
- Traffico non bilanciato sui peer Expressway-E → correggere priority/weight dei record DNS SRV, non gli IP statici sui client.