Zoom Node Dağıtım Hususları

Çeşitli dağıtım örneklerinin Zoom Node'u ve Zoom Node Hizmet Modüllerini nasıl desteklediği hakkında daha fazla bilgi edinin

Bu bölüm, Zoom Node'un Zoom Meetings Hybrid ve Zoom Phone Local Survivability (ZPLS) gibi çeşitli Hizmet Modüllerini nasıl destekleyebileceğine dair birkaç örnek içerir. Adanmış bir IP Adresi ile yapılan tipik dağıtımlar aşağıdaki diyagramlar koleksiyonuna benzeyebilir.

Zoom Node üzerinde dağıtılan her hizmet benzersiz bir IP Adresi gerektirir. Yönetim için belirli bir adres atanmışsa ve Node üzerinde dağıtılan her hizmet için (en fazla dört) bir adres varsa, bir Zoom Node'a en fazla beş (5) IP Adresi atanmış olur. ZPLS gibi tek bir hizmet çalıştıran bir Zoom Node, Node ve hizmet aynı IP Adresini paylaşacak şekilde atanmışsa tek bir IP Adresiyle dağıtılabilir.

Aşağıda birkaç dağıtım seçeneği gösterilmektedir. Çeşitli dağıtım seçenekleri için IP sayısına ve sertifikalara (CN/SAN'ler) dikkat edin.

Seçenek 1: Adanmış IP'ler ve ana makine adlarıyla dağıtılan Zoom Meetings Hybrid

Yukarıdaki görsel, dağıtmak için gereken IP ve sertifika yapılandırma gereksinimlerini özetler Zoom Meetings Hybrid yerel ortamda veya hibrit bulut ortamlarında.

Aşağıdaki tablo örnek Node'u ayrıntılandırır ve etkin proxy'sini ile MMR Hizmet Modüllerini içerir:

Bileşen	Ana makine adı	TLS Sertifika Rolü	İşlev
Node işletim sistemi	node1.customer.com	Ortak Ad (CN)	Çekirdek orkestrasyon
Zoom Bağlayıcı Proxy	zcp1.customer.com	Konu Alternatif Adı (SAN)	Sinyalizasyon ve oturum kontrolü
Medya Modülü Yönlendirici 1	mmr1.customer.com	Konu Alternatif Adı (SAN)	Medya yönlendirme ve işleme
Medya Modülü Yönlendirici 2	mmr2.customer.com	Konu Alternatif Adı (SAN)	Medya yönlendirme ve işleme
Medya Modülü Yönlendirici 3	mmr3.customer.com	Konu Alternatif Adı (SAN)	Medya yönlendirme ve işleme

Her modüle adanmış bir statik IP Adresi atamalısınız. Gerekli toplam IP Adresi sayısı: beş (5)

Yukarıdaki görsel, dağıtmak için gereken en düşük yapılandırmayı özetler Zoom Phone Yerel Dayanıklılık (ZPLS). ZPLS, internet veya bulut kesintisi durumunda hayatta kalma mantığını yerel olarak bir Zoom Node VM üzerinde çalıştırarak telefon hizmetinin kesintisiz kullanılabilirliğini sağlar.

Aşağıdaki ana makine adları DNS'de yapılandırılmalı ve TLS sertifikasına dahil edilmelidir:

• node1.customer.com

• zplsl.customer.com

Ana makine adı işlevsel eşlemesi

Bileşen	Ana makine adı	TLS Sertifika Rolü	İşlev
Node işletim sistemi	node1.customer.com	Ortak Ad (CN)	Çekirdek orkestrasyon
ZPLS Modülü	zplsl.customer.com	Konu Alternatif Adı	Zoom Phone Local Survivability mantığı

TLS Sertifika Yapılandırması

Alan	Değer
Ortak Ad (CN)	node1.customer.com
Konu Alternatif Adları	zplsl.customer.com

Sertifikalar, yukarıda listelenen CN ve SAN'lerin her ikisini de içerecek şekilde oluşturulmalı veya temin edilmelidir (genel ya da özel CA). Bu, güvenli modül içi iletişim için uygun TLS doğrulamasını sağlar.

IP Adresi Gereksinimleri

Metrik	Değer / Açıklama
Gerekli Toplam IP Adresi Sayısı	5 (genel tahsis)
ZPLS Bağlamında Kullanılan	2 IP (1'i Node işletim sistemi için, 1'i ZPLS modülü için)

Genel dağıtım için beş (5) IP gerekli olsa da, yalnızca iki (2) IP Adresi etkin olarak kullanılır ZPLS dağıtımında: modül başına bir tane, şu üzerinde çalışan adanmış bir Node VM.

ZPLS, Node VM başına yalnızca bir modüle izin verir. ZPLS'yi aynı VM üzerinde diğer Zoom modülleriyle birlikte bulunduramazsınız.

Bu diyagramlar nasıl karşılaştırılır? İlk görsel bir Zoom Meetings Hybrid dağıtım örneğini gösterir. İkinci görsel bir Zoom Phone Local Survivability dağıtım örneğini gösterir.

İsterseniz, gereken IP Adresi, ana makine adı ve Subject Alternative Name (SAN) sayısını azaltmak için ilk IP/ana makine adını işletim sistemi ile ilk modül arasında paylaşabilirsiniz.

Seçenek 2: Paylaşılan bir IP ve paylaşılan ana makine adıyla dağıtılan Zoom Meetings Hybrid

Bu yapılandırma, Seçenek 1 Zoom Meetings Hybrid diyagramında görülen Node yapısını tekrar eder. Ancak bu dağıtımda, Node işletim sistemi IP Adresini ilk dağıtılan modülle paylaşır (genellikle Zoom Bağlayıcı Proxy, ZCP). Bu, TLS ve işlevsel gereksinimler korunurken IP kullanımının azalmasını sağlar.

Aşağıdaki ana makine adları DNS'de yapılandırılmalı ve TLS sertifikasına dahil edilmelidir:

• zcp1.customer.com

• mmr1.customer.com

• mmr2.customer.com

• mmr3.customer.com

Ana makine adı işlevsel eşlemesi

Bileşen	Ana makine adı	TLS Sertifika Rolü	İşlev
ZCP (Zoom Bağlayıcı Proxy)	zcp1.customer.com	Ortak Ad (CN)	Sinyalizasyon ve oturum kontrolü
Medya Modülü Yönlendirici 1	mmr1.customer.com	Konu Alternatif Adı (SAN)	Medya yönlendirme ve işleme
Medya Modülü Yönlendirici 2	mmr2.customer.com	Konu Alternatif Adı (SAN)	Medya yönlendirme ve işleme
Medya Modülü Yönlendirici 3	mmr3.customer.com	Konu Alternatif Adı (SAN)	Medya yönlendirme ve işleme

TLS Sertifika Yapılandırması

Alan	Değer
Ortak Ad (CN)	zcp1.customer.com
Konu Alternatif Adları	mmr1.customer.com, mmr2.customer.com, mmr3.customer.com

Sertifikalar, Zoom Node ile yüklü Zoom modülleri arasında güvenli TLS iletişimini desteklemek için tüm SAN'leri içermelidir.

IP Adresi Gereksinimleri

Metrik	Değer / Açıklama
Gerekli Toplam IP Adresi Sayısı	4
IP Paylaşım Stratejisi	Node işletim sistemi IP'yi ilk modülle (ZCP) paylaşır
Şunlar için tekil IP'ler gereklidir	ZCP/MMR1, MMR2, MMR3

IP Adresi paylaşıldığında Node işletim sistemi ile ilk dağıtılan modül (ZCP) arasında, yalnızca dört (4) IP Adresi gerekir. Bu tasarım, dağıtım standartlarına yine de uyum sağlarken IP kullanımını optimize eder.

Yukarıdaki görsel, minimum bir ZPLS dağıtımını gösterir; burada Node işletim sistemi IP Adresini yüklü ZPLS modülüyle paylaşır. Bu, tek senaryo Zoom Node çerçevesinde bir tek oturum sahibi TLS sertifikasının geçerli olduğu.

Aşağıdaki ana makine adı DNS'de yapılandırılmalı ve TLS sertifikasına dahil edilmelidir:

• zplsl.customer.com

Ana makine adı işlevsel eşlemesi

Bileşen	Ana makine adı	TLS Sertifika Rolü	İşlev
ZPLS Modülü	zplsl.customer.com	Ortak Ad (CN)	Zoom Phone Local Survivability mantığı

TLS Sertifika Yapılandırması

Alan	Değer
Ortak Ad (CN)	zcp1.customer.com
SAN'ler	(gerekli değil)

Bu yapılandırmada, hem işletim sistemi hem de ZPLS modülü aynı ana makine adını ve IP Adresini paylaştığı için tek oturum sahibi sertifikası yeterlidir.

IP Adresi Gereksinimleri

Metrik	Değer / Açıklama
Gerekli Toplam IP Adresi Sayısı	1
IP Paylaşım Stratejisi	Node işletim sistemi ve ZPLS tek bir IP Adresini paylaşır
Dağıtım Kısıtı	Node VM başına yalnızca bir modüle izin verilir (yalnızca ZPLS)

Zoom Node mimarisinde desteklenen tek senaryo ZPLS'dir; burada:

• Tek oturum sahibi sertifikası (yalnızca CN) kabul edilebilir

• İşletim sistemi-modül IP paylaşımı nedeniyle dağıtım için yalnızca bir (1 )IP Adresi gerekir

• Aynı VM üzerinde ek modüllerin birlikte konumlandırılması desteklenmez

Dağıtımlarınız için hangi sertifika yönetimi yönteminin en uygun olduğuna karar verin

Zoom Node üzerinde dağıtılan her Hizmet Modülü, Zoom Node'un sertifika güven listesinde yer alan, genel olarak güvenilen bir Sertifika Otoritesi (CA) tarafından imzalanmış geçerli bir sertifika gerektirir. Buna bilinen genel otoriteler de dahildir.

Zoom Node iki sertifika yönetimi yöntemi sunar:

• Auto PKI: Bu yenilikçi çözüm, genel olarak güvenilen Sertifika Otoriteleri (CA'ler) ile güvenli sertifika kaydını ve yenilemeyi otomatikleştirir. Kayıt ve yenileme ile ilgili maliyetleri Zoom karşılar.

• Kendi Sertifikanızı Getirin (BYOC): Bu seçenekle, herhangi büyük bir genel olarak güvenilen CA tarafından imzalanmış kendi sertifikalarınızı sağlarsınız. Sertifika kaydı ve yenilemelerini siz yönetirsiniz. Müşteri tarafından sağlanan sertifikalar kullanıldığında Zoom Node'un en fazla beş ana makine adı/SAN desteği potansiyeliyle ilgili ek hususlar aşağıda daha ayrıntılı açıklanmaktadır.

Auto PKI ile Otomatik Sertifika Yönetimi

Zoom Auto PKI, Zoom Node platformu için ve üzerinde dağıtılan tüm modüller için geçerli, genel olarak güvenilen CA sertifikalarını otomatik olarak yükler. Sertifika yenileme de otomatik olarak ele alınır. Bu, tüm hizmetler ve Zoom Node'un kendisi için sertifika yönetimini basitleştirir.

Auto PKI Sertifika Kaydı ve Yenilemeyi Anlamak

Aşağıdaki senaryo, sertifika kaydının ve yenilemenin nasıl çalıştığını anlamanıza yardımcı olabilir.

Örneğin: Bir yönetici yeni bir Node örneği dağıttı. Her örnek geçerli bir x509 sertifikası gerektirir. Sertifikanın özel anahtarı bu örnekten asla çıkmamalıdır.

Auto PKI süreci aşağıdaki adımları gerçekleştirir:

1. Şablon Alma: Çoklu CA sağlayıcıları için seçenekler de dahil olmak üzere desteklenen tüm yapılandırma şablonlarını Zoom bulut içindeki Auto PKI hizmetinden çeker.

2. IP Adresi Toplama: Node üzerinde çalışan hizmetlerin kullandığı tüm IP Adreslerini toplar ve bunları Zoom bulut içindeki Auto PKI hizmetine gönderir.

3. DNS Adı Sağlama: Auto PKI bulut hizmeti aşağıdaki biçimde bir DNS adı kümesi döndürür <örnek_tanımlayıcı>.<müşteri_tanımlayıcı>.zoomonprem.com. Bu etki alanları A/AAAA kayıtlarıyla yapılandırılır.

4. Rezerve DNS Adı Talebi: aşağıdaki biçimde rezerve bir DNS adı ister rsvd-<rastgele_dize>.<müşteri_tanımlayıcı>.zoomonprem.com.

5. Sertifika Talebi Oluşturma: Üçüncü adımdaki DNS adlarını SAN alanında ve dördüncü adımdaki rezerve adı Ortak Ad (CN) alanında kullanarak bir x509 sertifika talebi oluşturur.

6. Sertifika Düzenleme: Sertifika İmzalama Talebini (CSR) Zoom bulut içindeki Auto PKI hizmetine gönderir. Bu hizmet daha sonra CA sağlayıcılarıyla birlikte çalışarak, önceki adımdaki SAN listesini ve CN alanını içeren sertifikayı düzenler.

7. Yerel Depolama: Son adımdaki yeni düzenlenen x509 sertifikasını ve buna karşılık gelen özel anahtarını (daha önce oluşturulan) yerel depolamaya yazar ve bunları Node örneğinde çalışan hizmetler için kullanılabilir hale getirir.

Auto PKI, son kullanma tarihlerini otomatik olarak izleyip yeni sertifikalar talep ederek Zoom Node üzerindeki sertifika yönetimini basitleştirir ve manuel yenileme ihtiyacını ortadan kaldırır.

Kendi Sertifikalarınızı Getirin (BYOC)

Yerel web arayüzünü kullanarak Zoom Node üzerine kendi geçerli, genel olarak imzalanmış sertifikalarınızı yükleyebilirsiniz. Bunu ilk kurulum sırasında veya daha sonraki bir zamanda yapabilirsiniz. Süreç, web tabanlı uygulamalara sertifika yüklemeye alışkın olanlara tanıdık gelecektir.

Kendi sertifikalarınızı kullanmayı seçerseniz, sertifikanın birden çok ana makine adıyla iletişim kuran bir sunucuda olacağını unutmayın. Bu nedenle, seçeceğiniz sertifika türü, birden fazla ana makine adından (sertifika CN) kaynaklanan trafik için şifrelemeyi desteklemelidir. Node için kullanılan ve dağıtılan tüm hizmetlerin ana makine adları Zoom'un bulut hizmetleri tarafından herkese açık olarak çözümlenebilir olmalıdır.

Zoom iki tür sertifika önerir:

• Wildcard Sertifika

• Çoklu SAN Sertifikası (aynı zamanda Çok Alan Adlı Sertifika, SAN Sertifikası veya UCC Sertifikası olarak da bilinir)

Tipik bir tek oturum sahibi sertifikası, Zoom Node ile tek bir modül arasında tek bir IP Adresi ve ana makine adı paylaşılan özel senaryo dışında Zoom Node ile çalışmaz. Ek bağlam için, bölümdeki ZPLS diyagramına bakın Zoom Node Dağıtım Hususları bölüm.

Wildcard Sertifikaları: Basitlik için önerilir

Bir wildcard sertifika, etki alanındaki herhangi bir ana makine adından gelen trafiği şifreleyebilir. Örneğin: *.customer.com gibi bir wildcard sertifika, aşağıdakilerden gelen trafiği şifreleyebilir oturum-sahibi1.customer.com ve oturum-sahibi2.customer.com veya içindeki herhangi bir ad .customer.com.

Zoom Node'u dağıtıp wildcard sertifikayı yüklediğinizde, dağıttığınız tüm Hizmetlerin wildcard etki alanından bir Tam Nitelikli Etki Alanı Adı (FQDN) kullanması şartıyla, Node üzerinde dağıttığınız tüm hizmetlerin trafiğini otomatik olarak şifreler.

Bu, Node üzerinde hizmet dağıtma çabasını en aza indirir: dağıtmadan önce hizmetlerin adlarını bilmeniz gerekmez. Ancak çoklu SAN sertifika yöntemini kullanıyorsanız hizmet adlarını bilmeniz gerekir.

Çoklu SAN, Çok Alan Adlı, SAN veya UCC Sertifikaları

Node için kullanacağınız ana makine adlarını ve IP Adreslerini (en fazla bir [1]) ve yükleyeceğiniz herhangi bir Hizmetin adlarını (en fazla dört [4]) bilmelisiniz.

Bu bilgiler, bir sertifika kaydetmeden önce gereklidir.

Zoom Node için bir Multi-SAN sertifikası gereklidir çünkü beş (5) ana makine adından gelen trafiği şifreler. Bu sertifika için tek seferlik bir talep, planlanan Node adları ve Node üzerinde dağıtılması planlanan tüm hizmetlerin adları dahil olmak üzere gerekli tüm bilgilerin önceden bilinmesini gerektirir. Örneğin, ZPLS gibi bir modülde, Node başına yalnızca bir ZPLS modülü dağıtılır; bu nedenle ZPLS hizmet ana makine adı için yalnızca bir ek SAN gerekir.

Aşağıdaki tablo örnek olarak kullanılabilir:

Ana makine adı (SAN)	IP Adresi
zoom-node01.company.com	10.1.50.100
zpls.company.com	10.1.50.100
zoom-recording.company.com	10.1.50.101
zoom-web-semineri.company.com	10.1.50.102
(Hizmet 4 - bu örnekte kullanılmıyor)	(Yok)

Bu örnek, bir Node'un aynı IP üzerinde ZPLS barındırdığı ve ayrıca ayrı IP'lerde iki ek hizmetin bulunduğu tipik bir yapılandırmadır. “company.com” yerine gerçek etki alanınızı yazın ve ağınızdaki IP Adreslerini kullanın.

DNS Çözümleme Gereksinimleri

Zoom, iki yönlü güven oluşturulabilmesi için ana makine adlarının genel olarak çözümlenebilir olmasını gerektirir. Node'lara dağıtılan tüm Zoom Node ana makine adları ve tüm hizmet ana makine adları DNS Bölgesine dahil edilmelidir.

Eğer Organizasyonunuz ayrı dahili ve harici DNS hizmetleri veya etki alanları çalıştırıyorsa, Zoom Node ana makine adlarının dış DNS sunucularınız tarafından çözümlenebilen bir bölgede barındırılması gerekir (yalnızca Zoom IP Adresleri aralıkları için çözümlenecek şekilde sınırlandırılabilir). Dahili Zoom kullanıcılarınız ve Zoom bulut, aynı ana makine adı kümesini kullanarak iletişim kurmalıdır.