Il problema: attraversare due firewall senza esporre la rete interna
In uno scenario Cisco Collaboration Edge, l’obiettivo è consentire chiamate business-to-business (B2B) e accesso Mobile and Remote Access (MRA) dall’esterno, senza mai aprire porte inbound verso la LAN. La soluzione è la coppia Expressway-C (nella rete interna trusted) ed Expressway-E (nella DMZ), collegati da una traversal zone.
L’architettura prevede due firewall:
- Firewall interno — separa LAN e DMZ. Attraverso di esso passa solo la traversal zone.
- Firewall esterno — separa DMZ e Internet. Espone Expressway-E al mondo (spesso con static NAT sull’interfaccia esterna dual-NIC).
Chi inizia la connessione: il principio del pinhole outbound
Il punto cardine dell’esame è la direzione della connessione. Nella traversal zone:
| Ruolo | Nodo | Posizione | Azione |
|---|---|---|---|
| Traversal client | Expressway-C | LAN interna | Inizia la connessione outbound |
| Traversal server | Expressway-E | DMZ | Ascolta e attende la connessione |
Expressway-C apre sempre la connessione outbound verso Expressway-E e la mantiene viva con keep-alive periodici. È questa connessione persistente, iniziata dall’interno, a creare il “pinhole” nel firewall interno. Quando arriva una chiamata dall’esterno, Expressway-E non deve bussare alla LAN: riutilizza il canale già aperto da Expressway-C.
Conseguenza operativa: sul firewall interno servono solo regole outbound (da Expressway-C verso Expressway-E). Non serve — e non si deve — configurare alcun port forwarding o pinhole inbound verso la LAN. Aprire porte inbound sul firewall interno vanifica l’intero modello di sicurezza dell’edge.
Assent vs H.460.18/.19
Per il traffico H.323, la traversal zone può usare due protocolli di traversal:
-
Assent — meccanismo proprietario Cisco. Gestisce sia signaling che media, con multiplexing efficiente del media su un numero ridotto di porte di demultiplexing su Expressway-E. È la scelta quando entrambi i lati sono Cisco (Expressway ↔ Expressway o VCS).
-
H.460.18 / H.460.19 — protocolli standard ITU-T:
- H.460.18 → traversal del signaling H.323.
- H.460.19 → traversal del media H.323.
Si usano per interoperabilità con dispositivi/gatekeeper di terze parti non-Cisco.
Per SIP, non si usano né Assent né H.460: la traversal zone SIP applica lo stesso principio client/server (Expressway-C inizia, Expressway-E ascolta) sfruttando la connessione TCP/TLS persistente.
Porte tipiche (valori di default)
| Traffico | Porta / range | Note |
|---|---|---|
| SIP traversal signaling | TCP 7001 | tra C ed E, tipicamente TLS |
| H.323 Assent signaling | UDP 6001 | incrementa per zona aggiuntiva |
| Media demultiplexing (Assent / H.460.19) | RTP 2776 / RTCP 2777 | porte fisse su Expressway-E |
| Range media RTP/RTCP | 36000–59999 | configurabile, ampiezza dipende dal sizing |
I due lati della traversal zone devono combaciare esattamente: stesse porte, stesso protocollo di traversal, stesse credenziali di autenticazione (username/password configurati sul traversal server e usati dal traversal client).
Riepilogo del flusso
- Expressway-C (client) apre e mantiene la connessione outbound verso Expressway-E (server).
- Il firewall interno consente solo quel traffico outbound; nessun pinhole inbound.
- Il firewall esterno consente il traffico B2B/MRA inbound solo verso Expressway-E (SIP TLS 5061, H.323 1720, media).
- Le chiamate esterne entrano su Expressway-E e viaggiano verso l’interno riusando il canale già stabilito.
Trappole tipiche d’esame
- Scenario: “Per far ricevere chiamate B2B alla rete interna, quali porte inbound aprire sul firewall interno?” → Risposta giusta: nessuna. È Expressway-C a iniziare la connessione outbound; il firewall interno richiede solo regole outbound. Aprire porte inbound è la risposta sbagliata (e insicura).
- Scenario: “Nella traversal zone, chi è il traversal server?” → Expressway-E (in DMZ) è il server; Expressway-C (in LAN) è il client. Invertire i ruoli è l’errore classico.
- Scenario: “Serve interoperabilità H.323 con un gatekeeper di terze parti non-Cisco.” → Usare H.460.18/.19, non Assent (proprietario Cisco).
- Scenario: “La traversal zone non si stabilisce; il signaling SIP resta down.” → Verificare che porte, protocollo e credenziali combacino tra traversal client (C) e traversal server (E), e che il firewall esterno consenta la connessione outbound di C verso E.
- Scenario: “Le chiamate si stabiliscono ma non c’è audio/video.” → Problema di media: controllare il range RTP/RTCP (default 36000–59999) e le porte di demultiplexing 2776/2777 su Expressway-E.