Cisco Expressway

Cisco Expressway — это программно-аппаратный комплекс, предназначенный для обеспечения безопасного удаленного доступа к системам унифицированных коммуникаций (UC) и совместной работы корпорации Cisco. Основная функция Expressway заключается в организации защищённых соединений для передачи голоса, видео и данных между внутренней корпоративной сетью и внешними пользователями или партнёрскими организациями через общедоступные сети, включая интернет, без необходимости организации полномасштабных VPN-соединений.

История

Разработка Cisco Expressway началась как ответ на потребность в безопасном и простом подключении удалённых сотрудников и внешних участников к корпоративным системам видеоконференцсвязи (ВКС). Первоначально продукт назывался Cisco TelePresence Expressway и был ориентирован исключительно на видеосвязь. С развитием технологий и расширением экосистемы Cisco, функционал Expressway был интегрирован с платформами Cisco Unified Communications Manager (CUCM) и Cisco Unified Border Element (CUBE), что позволило использовать его для всех типов трафика унифицированных коммуникаций — от голосовых вызовов до обмена мгновенными сообщениями.

В 2016 году компания Cisco переименовала продукт в Cisco Expressway, подчеркнув его универсальность. Начиная с версии X8.11, Expressway получил поддержку облачных сервисов Cisco Webex, что позволило гибридным развёртываниям объединять локальные UC-системы с облачной платформой Webex (организация Cisco признана нежелательной и запрещена в РФ). В последующих версиях (X8.12 и выше) были добавлены функции безопасности, такие как шифрование TLS 1.2 и поддержка протокола SRTP (Secure Real-time Transport Protocol).

Архитектура и компоненты

Cisco Expressway состоит из двух основных логических компонентов, которые могут быть развёрнуты как на одном физическом сервере, так и на разных:

• Expressway-C (Core) — устанавливается во внутренней корпоративной сети, за межсетевым экраном. Он взаимодействует с серверами UC (CUCM, Cisco Unity Connection, Cisco IM and Presence) и управляет регистрацией внутренних устройств.
• Expressway-E (Edge) — размещается в демилитаризованной зоне (DMZ) или в публичном облаке. Он принимает входящие соединения от внешних устройств и партнёрских Expressway-систем, выполняет аутентификацию и шифрует трафик.

Оба компонента могут работать как на физических серверах (например, Cisco UCS C220), так и в виде виртуальных машин на гипервизорах VMware ESXi или Microsoft Hyper-V. Для обеспечения высокой доступности рекомендуется развёртывание кластеров из нескольких узлов Expressway-C и Expressway-E.

Основные функции

Безопасный удалённый доступ

Expressway обеспечивает сквозное шифрование трафика по протоколам TLS (для сигнализации) и SRTP (для медиапотоков). Все соединения инициируются изнутри корпоративной сети наружу, что исключает необходимость открытия портов на межсетевом экране для внешних подключений. Это снижает поверхность атаки и упрощает настройку безопасности.

Трансляция сетевых адресов (NAT)

Expressway-E автоматически обрабатывает трансляцию адресов (NAT), позволяя устройствам за NAT (например, домашним компьютерам или мобильным телефонам) устанавливать соединения с корпоративной UC-системой, используя только публичный IP-адрес Expressway-E.

Прокси-сервис для протоколов

Expressway выступает в роли прокси-сервера для следующих протоколов:

• SIP (Session Initiation Protocol) — для голосовых и видеозвонков.
• H.323 — для устаревших систем видеоконференцсвязи.
• XMPP (Extensible Messaging and Presence Protocol) — для обмена мгновенными сообщениями и статусами присутствия.
• HTTP/HTTPS — для доступа к веб-интерфейсам управления и конфигурации.

Поддержка мобильных устройств

Expressway интегрируется с мобильными приложениями Cisco Jabber и Cisco Webex Teams, обеспечивая им доступ к корпоративным UC-ресурсам через интернет без необходимости настройки VPN.

Гибридные развёртывания с облачными сервисами

Начиная с версии X8.11, Expressway поддерживает гибридные конфигурации с Cisco Webex. Это позволяет локальным системам видеоконференцсвязи (например, Cisco TelePresence) подключаться к облачным встречам Webex, а также синхронизировать календари, контакты и сообщения между локальной средой и облаком.

Сценарии развёртывания

Удалённые сотрудники и мобильные пользователи

Наиболее распространённый сценарий — обеспечение доступа удалённых сотрудников к корпоративной телефонной системе и видеоконференциям через интернет. Expressway-E выступает единой точкой входа, аутентифицирует пользователей по протоколу LDAP или RADIUS и шифрует трафик.

Межкорпоративные соединения

Expressway позволяет организовать защищённые соединения между двумя или более организациями (например, между головным офисом и филиалами, а также с партнёрами). Для этого используется функция «зоны» (zones), где настраиваются взаимные доверительные отношения между Expressway-системами разных компаний.

Интеграция с облачными платформами

В сценариях гибридного развёртывания Expressway выступает шлюзом между локальной UC-инфраструктурой и облачными сервисами Cisco Webex. Это позволяет использовать локальные ресурсы (например, дорогостоящие системы видеоконференцсвязи в переговорных комнатах) для участия в облачных встречах, а также управлять устройствами через облачную консоль.

Преимущества и ограничения

Преимущества

• Безопасность: сквозное шифрование, аутентификация, работа через NAT.
• Простота развёртывания: не требует сложной настройки VPN-инфраструктуры.
• Масштабируемость: поддержка кластеризации до 8 узлов Expressway-E и до 10 узлов Expressway-C.
• Совместимость: работа с широким спектром устройств Cisco и сторонних производителей, поддерживающих SIP и H.323.

Ограничения

• Зависимость от экосистемы Cisco: Expressway оптимизирован для работы с продуктами Cisco, интеграция с решениями других вендоров может быть ограничена.
• Стоимость: для небольших организаций лицензирование Expressway может быть дорогим, особенно при необходимости поддержки большого числа одновременных сессий.
• Сложность настройки: для корректной работы требуется глубокое понимание сетевых протоколов, безопасности и архитектуры UC.

Критика

Основные критические замечания в адрес Cisco Expressway связаны с его закрытостью и привязкой к проприетарным протоколам Cisco. Конкурирующие решения, такие как open source-проекты (например, Asterisk с модулем chan_sip) или продукты других вендоров (Polycom RealPresence, Yealink VC), предлагают более гибкие и дешёвые способы организации удалённого доступа к ВКС. Кроме того, в условиях санкционных ограничений и ухода компании Cisco с российского рынка в 2022 году, эксплуатация Expressway в России сопряжена с трудностями, связанными с невозможностью получения обновлений и технической поддержки.

Интересные факты

• Expressway поддерживает до 10 000 одновременных регистраций устройств (в зависимости от версии и аппаратной платформы).
• В версии X8.10 была добавлена поддержка протокола WebRTC, что позволило подключать к корпоративным ВКС пользователей через обычный веб-браузер без установки дополнительного ПО.
• Expressway может работать в режиме «только передача» (transit mode), когда он не участвует в аутентификации, а лишь транслирует трафик между двумя другими Expressway-системами.

Источники

• Cisco Systems, Inc. «Cisco Expressway Administrator Guide, Release X8.12» — официальная документация Cisco.
• Cisco Systems, Inc. «Cisco Expressway Solution Overview» — технический обзор продукта.
• Cisco Systems, Inc. «Cisco Collaboration Systems Release 12.5 — Deployment Guide» — руководство по развёртыванию систем совместной работы Cisco.
• Сайт поддержки Cisco (Cisco Support Community) — обсуждения и практические кейсы развёртывания Expressway.