Cisco Cisco Expressway Maintenance Manual

 

■

: a traversal client or traversal server zone used for Unified Communications 

features such as mobile and remote access or Jabber Guest. Note that this zone type applies to the web 
interface only; the underlying CLI configuration uses traversal client and traversal server zone types.

The Expressway also has a pre-configured 

. 

 

■

See the 

 section for information about the configuration options available for all zone types.

 

■

See the 

 section for information about including zones as targets 

for search rules.

The Expressway may automatically generate some non-configurable neighbor zones:

 

■

An Expressway-C automatically generates neighbor zones between itself and each discovered Unified CM 
node when the system is configured for 

 

■

An Expressway automatically generates a neighbor zone named "To Microsoft destination via B2BUA" when 
the 

 is enabled.

Configuring Media Encryption Policy

The media encryption policy settings allow you to selectively add or remove media encryption capabilities for SIP calls 
flowing through the Expressway. This allows you to configure your system so that, for example, all traffic arriving or 
leaving an Expressway-E from the public internet is encrypted, but is unencrypted when in your private network. 

 

■

The policy is configured on a per zone basis and applies only to that leg of the call in/out of that zone.

 

■

Encryption is applied to the SIP leg of the call, even if other legs are H.323.

Media encryption policy is configured through the Media encryption mode setting on each zone, however the 
resulting encryption status of the call is also dependent on the encryption policy settings of the target system (such as 
an endpoint or another Expressway).

The encryption mode options are:

 

■

Force encrypted: all media to and from the zone must be encrypted. If the target system/endpoint is 
configured to not use encryption, then the call will be dropped.

 

■

Force unencrypted: all media must be unencrypted.  If the target system/endpoint is configured to use 
encryption, then the call may be dropped; if it is configured to use Best effort then the call will fall back to 
unencrypted media.

 

■

Best effort: use encryption if available, otherwise fall back to unencrypted media.

 

■

Auto: no specific media encryption policy is applied by the Expressway. Media encryption is purely dependent 
on the target system/endpoint requests. This is the default behavior and is equivalent to how the Expressway 
operated before this feature was introduced.

Encryption policy (any encryption setting other than Auto) is applied to a call by routing it through a back-to-back user 
agent (B2BUA) hosted on the Expressway. 

When configuring your system to use media encryption you should note that:

 

■

Any zone with an encryption mode of Force encrypted or Force unencrypted must be configured as a SIP-only 
zone (H.323 must be disabled on that zone).

 

■

TLS transport must be enabled if an encryption mode of Force encrypted or Best effort is required.

 

■

The call component routed through the B2BUA can be identified in the call history details as having a 
component type of B2BUA.

 

■

As the B2BUA must take the media, each call is classified as a traversal call and thus consumes a Rich Media 
Session (RMS) license.

127

Cisco Expressway Administrator Guide

Zones and Neighbors