Q.a لشهادات هاتف CUCM (LSC/MIC)
المحتويات
المقدمة
يغطي هذا المستند بعض الأسئلة والإجابات لشهادات هاتف مدير الاتصالات الموحدة (CUCM) من Cisco. إليك طريقة عرض سريعة لشهادات الهاتف.
الشهادة المثبتة من الجهة المصنعة (MIC):
وكما يشير الاسم، فإن الهواتف يتم تثبيتها مسبقا مع الميكروفون وهذا لا يمكن حذفه / تعديله من قبل المسؤولين. شهادات مرجع الشهادات (CA) CAP-RTP-001، CAP-RTP-002، Cisco_MANUFACTURING_CA و Cisco Manufacturing CA SHA2 مثبتة مسبقا في CUCM للثقة في الميكروفون. لا يمكن إستخدام MIC بمجرد انتهاء صلاحية صلاحية MIC حيث لا يمكن إنشاء MIC CA مرة أخرى،
الشهادة ذات الأهمية المحلية (LSC):
يحتوي LSC على المفتاح العام لهاتف Cisco IP، والذي تم التوقيع عليه من قبل المفتاح الخاص لوظيفة وكيل مرجع شهادة مدير الاتصالات الموحدة (CAPF) من Cisco. لم يتم تثبيته على الهاتف بشكل افتراضي. يتمتع المسؤول بالتحكم الكامل في LSC. يمكن إعادة إنشاء شهادة CAPF CA بدورها إصدار LSC جديدة إلى الهواتف عند الحاجة.
ما هي الاستخدامات الشائعة لشهادات الهاتف؟
فيما يلي بعض الاستخدامات الشائعة لشهادات الهاتف
بين CAPF والهاتف لتثبيت/ترقية أو حذف أو أستكشاف الأخطاء وإصلاحها
ينشئ الهاتف الاتصال ب CAPF لتثبيت/ترقية أو حذف أو أستكشاف أخطاء الشهادة على الهاتف وإصلاحها. يتم إستخدام شهادة الهاتف لتأسيس الاتصال ب CAPF عندما يتم تعيين وضع المصادقة ضمن معلومات وظيفة وكيل المرجع المصدق (CAPF) على من قبل الشهادة الموجودة (أسبقية LSC) أو من قبل الشهادة الموجودة (أسبقية الميكروفون).
حسب الشهادة الموجودة (أسبقية على LSC): يستخدم الهاتف LSC للمصادقة باستخدام CAPF. ستستخدم MIC إذا لم يتم تثبيت LSC. يفشل التثبيت مع سبب "LSC غير صالح" إذا كانت هناك مشاكل في الشهادة المستخدمة. على سبيل المثال، لا يتوفر المرجع المصدق الموقع ل LSC في CAPF Trust. قم بتحديث وضع المصادقة باستخدام أسلوب شهادة آخر أو بسلسلة خالية لمثل حالات الفشل هذه.
حسب الشهادة الموجودة (أسبقية الميكروفون): يستخدم الهاتف الميكروفون للمصادقة باستخدام CAPF.
بين CallManager واتصال Phone لاتصال طبقة أمان الهاتف (TLS)
يستخدم الهاتف LSC أو MIC لإنشاء اتصال TLS باستخدام CallManager. سيقوم CallManager بالتحقق من صحة الشهادة المقدمة بواسطة الهاتف عن طريق التحقق من ثقة CallManager. يجب أن تكون شهادة CAPF الخاصة متوفرة في CallManager-trust ل LSC و Cisco Manufacturing CA ل MIC.
بين خادم الهاتف والمصادقة لمصادقة 802.1x
يتم تحميل شهادات CAPF/Manufacturing CA إلى خوادم المصادقة مثل خادم التحكم في الوصول الآمن (ACS) من Cisco أو محرك خدمات الهوية (ISE). يستخدم خادم المصادقة الشهادات التي تم تحميلها لمصادقة الهاتف عند تقديمه لشهادته (LSC أو MIC).
للمصادقة المستندة إلى الشهادة بين الهاتف وأجهزة الأمان المعدلة (ASA) من Cisco لشبكة VPN
يتم تحميل CAPF/Manufacturing CA في ASA، عندما يتم تحميل LIC/MIC على الهاتف، يقوم ASA بالتحقق من صحته عن طريق التحقق من الثقة به.
عند وجود LSC و MIC، هل هناك أي طريقة لتحديد LSC أو MIC بشكل صريح للاتصالات؟
لا خيار لتحديد ما إذا كان LSC أو MIC للاتصالات. إذا تم تثبيت LSC، يستخدم الهاتف LSC. الهاتف يستخدم الميكروفون إذا لم يتم تثبيت LSC .
إدخال وحدة التحكم عندما لا يكون LSC موجودا:
SECD: -PXY_NO_LSC: لا يوجد LSC ل [SCCP]، سيحاول إستخدام الميكروفون
إدخال وحدة التحكم عند وجود LSC:
SECD: -PXY_CERT_CIPHER: [SCCP]، [TLSv1]، شهادة [LSC]
لا يمكن تحديد LSC أو MIC إلا بين تثبيت/ترقية الهاتف أو الحذف أو أستكشاف الأخطاء وإصلاحها.
ما هو السبب في عدم تسجيل الهواتف التي تم تثبيتها على LSC بملف تعريف آمن عند الانتقال إلى نظام مجموعة جديد؟
يمكن أن يحدث هذا للهواتف التي لديها بالفعل LSC من نظام المجموعة القديمة. عندما يكون كل من MIC و LSC حاضرين، يستخدم LSC لإنشاء اتصال TLS. لا يمكن إنشاء TLS نظرا لأن CUCM الجديد لا يحتوي على CA ل LSC هذا في CallManager- trust الخاص به.
تظهر سجلات وحدة التحكم الشهادة التي يتم إستخدامها لإنشاء TLS. أسفل مدخل يظهر LSC استعملت.
3469 ليست 00:01:31.935298 SECD: -PXY_CERT_CIPHER: [SCCP]، [TLSv1]، cert [LSC]، cipher [AES256-SHA:AES128-SHA]
SSL3_Alert مع "CA غير معروف" لمثل هذه الحالات الفاشلة في سجلات وحدة التحكم :-
3486 ERR 00:01:31.938954 SECD: -STATE_SSL3_ALERT: SSL3 تنبيه [قراءة]:[مهلك]:[مرجع مصدق غير معروف
أحد الطرق لحل هذه المشكلة هو، الحصول على الهاتف مسجل باستخدام ملف تعريف غير آمن ثم حذف LSC الموجود. قم بتثبيت LSC من نظام مجموعة جديد ثم سجل الهاتف باستخدام ملف تعريف مؤمن. من الممكن أيضا أن يتم تسجيل الهاتف مع ملف التعريف الآمن باستخدام MIC بدون تثبيت LSC.
هل يلزم تثبيت LSC للهواتف لتسجيله باستخدام ملف تعريف مؤمن مصدق أو مشفر؟
رقم. في حالة عدم تثبيت LSC، يستخدم الهاتف ميكروفون لإنشاء اتصال TLS ب CUCM.
معيار 4878 WRN 15:47:34.756063 SECD: -PXY_NO_LSC: لا يوجد LSC ل [SCCP]، يحاول mic.
هل يلزم مصادقة وضع أمان الجهاز في ملف تعريف أمان الجهاز ذي الصلة أو تشفيره لتثبيت/ترقية/حذف LSC؟
وهذا ليس إلزاميا، ويمكن القيام بذلك باستخدام ملف تعريف قياسي غير آمن أيضا في حالة عدم تأمين وضع أمان الجهاز.
هل من الضروري أن يكون نظام المجموعة في الوضع المختلط لتثبيت LSC في الهاتف؟
إنه ليس إلزاميا. يمكن تثبيت/حذف LSC حتى عندما يكون وضع أمان نظام المجموعة غير آمن.
كيف إختبار سريع إذا هناك مشكلة مع ال LSC يستعمل الهاتف؟
احذف LSC في أحد الهواتف بالانتقال إلى صفحة إدارة الهاتف. وهذا يجبر الهاتف على إستعمال الميكروفون. إذا كان كله تمام مع MIC بعد ذلك تابع أستكشاف الأخطاء وإصلاحها مع LSC.
كيف تحصل على شهادات الهاتف لاستكشاف الأخطاء وإصلاحها؟
تعيين عملية الشهادة لاستكشاف الأخطاء وإصلاحها تحت الجهاز/الهاتف. اضغط على حفظ ثم قم بتطبيق التكوين. انتظر لرؤية حالة عملية الشهادة لاستكشاف الأخطاء وإصلاحها. تجميع سجلات وظائف وكيل مرجع شهادات Cisco من أداة مراقبة الوقت الفعلي (RTMT). يحتوي على الشهادات من الهاتف.
كيفية التحقق من التقاط الحزم، إذا تم إستخدام LSC أو MIC للهاتف لإنشاء اتصال TLS باستخدام CallManager؟
تجميع التقاط الحزمة التي تغطي إعادة تشغيل الهاتف.
تحقق من الشهادة، رسالة تبادل مفتاح العميل. تحقق من الشهادة المرسلة من هاتف IP.
مثال LSC:
بالنسبة ل LSC، يظهر CAPF CN في حقل المصدر. يجب أن يكون جذر CAPF الخاص موجودا في CallManager-trust.
مثال على MIC:
بالنسبة إلى MIC، Cisco Manufacturing CA في حقل المصدر. يجب أن يكون المرجع المصدق الجذر الخاص موجودا في CallManager-trust.
ما أهمية وضع المصادقة ضمن معلومات وظيفة وكيل المرجع المصدق (CAPF)؟ هل هناك أي أهمية لاتصال TLS بين CUCM والهاتف؟
وهو ليس سوى طريقة مصادقة بين الهاتف وملف CAPF لتثبيت/ترقية/حذف واستكشاف الأخطاء وإصلاحها. ليس له أي أهمية لاتصال TLS بين CUCM والهاتف.
ما هي عمليات LSC الأساسية للهواتف التي يجب مراعاتها بعد إنشاء شهادة CAPF؟
يغطي هذا القسم سيناريو الخمول حيث لا يتم إستخدام مرجع مصدق غير متصل لإصدار LSC.
اتصال TLS باستخدام CallManager
تأكد من تثبيت LSC الجديد على الهاتف قبل حذف شهادة CAPF السابقة من CallManager-trust. يؤدي حذف شهادة CAPF السابقة المتبوعة بإعادة تشغيل خدمة CallManager إلى حدوث مشاكل في التسجيل للهواتف التي تحتوي على LSC الصادر عنها شهادة CAPF هذه.
عمليات LSC باستخدام CAPF-Trust
تأكد من تثبيت LSC الجديد على الهاتف قبل حذف شهادة CAPF السابقة من CAPF-trust. عمليات LSC مثل install/delete باستخدام وضع المصادقة من قبل شهادة موجودة (أسبقية إلى LSC) يفشل مع خطأ LSC غير صحيح للهواتف التي لديها LSC صادرة من قبل شهادة CAPF هذه.
بين خادم الهاتف والمصادقة لمصادقة 802.1x
تأكد من عدم حذف شهادة CAPF السابقة من خادم المصادقة حتى يتم تحميل شهادة CAPF الجديدة ويحصل الهاتف على LSC التي تم إصدارها بواسطة CAPF جديد.
بين ASA والهاتف
تأكد من عدم حذف شهادة CAPF السابقة من ASA حتى يحصل الهاتف على LSC الجديد ويرفع شهادة CAPF CA جديدة إلى ASA.
ارجع إلى إعادة إنشاء الشهادة للخطوات التي يجب اتباعها لإعادة إنشاء شهادة CAPF.
التعليقات