Einleitung
In diesem Dokument wird das Verfahren zur Verwendung von SHA256 mit CVP beschrieben.
Voraussetzungen
Anforderungen
Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:
Verwendete Komponenten
Die Informationen in diesem Dokument basieren auf CVP 10.5.
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Hintergrundinformationen
Ab Januar 2016 lehnten alle Browser SHA1-Zertifikate ab. Die angeforderten Dienste wurden nicht ordnungsgemäß wiedergegeben, es sei denn, Sie wechseln von SHA1 zu SHA256.
Mit der jüngsten Entwicklung von Rechenalgorithmen sowie der explosiven Rechenleistung ist SHA1 von Tag zu Tag schwächer geworden. Dies führte zu grundlegenden Abbau Kollisionswiderstand des SHA1 und schließlich Tod.
Konfigurieren
Zertifikataustauschverfahren zwischen der CVP Operations Console (OAMP):
Auf OAMP
Schritt 1: OAMP CERT exportieren
c:\Cisco\CVP\jre\bin\keytool.exe -export -v -keystore .keystore -storetype JCEKS -alias oamp_certificate -file oamp_security_76.cer
Schritt 2: OAMP-Zertifikat auf Callserver kopieren und importieren.
c:\Cisco\CVP\jre\bin\keytool.exe -import -trustcacerts -keystore .keystore -storetype JCEKS -alias orm_oamp_certificate -file oamp_security_76.cer
On-Call-Server
Schritt 1: CALLSERVER-CERT exportieren
c:\Cisco\CVP\jre\bin\keytool.exe -export -v -keystore .ormkeystore -storetype JCEKS -alias orm_certificate -file orm_security_108.cer
Schritt 2: Kopieren Sie das CALLSERVER CERT in OAMP, und importieren Sie es.
c:\Cisco\CVP\jre\bin\keytool.exe -import -trustcacerts -keystore .keystore -storetype JCEKS -alias oamp_orm_certificate -file orm_security_108.cer
Schritt 3: Exportieren des Formularzertifikats in den Anrufserver-Schlüsselspeicher
C:\Cisco\CVP\conf\security>c:\Cisco\CVP\jre\bin\keytool.exe -import -trustcacerts -keystore .keystore -storetype JCEKS -alias vxml_orm_certificate -file orm_security_108.cer
Überprüfung
Sie können überprüfen, ob eine sichere Kommunikation zwischen den Komponenten besteht. Navigieren Sie zu OAMP Seite > Gerätemanagement > <verwalteter Server> > Statistik
Statistiken müssen angezeigt werden.
Sie können JConsole verwenden, um eine Verbindung herzustellen, wenn die Sicherheit richtig eingerichtet ist:
Schritt 1: c:\Cisco\CVP\conf\orm_jmx.conf für OAMP sieht wie folgt aus:
javax.net.debug = all
com.sun.management.jmxremote.ssl.need.client.auth = false
com.sun.management.jmxremote.authenticate = false
com.sun.management.jmxremote.port = 2099
com.sun.management.jmxremote.ssl = true
javax.net.ssl.keyStore=C:\Cisco\CVP\conf\security\.ormkeystore
javax.net.ssl.keyStorePassword=<local security password>
Schritt 2. Öffnen Sie jconsole über den Befehl. Verwenden Sie den Befehl:
C:\Cisco\CVP\jre\bin>jconsole.exe -J-Djavax.net.ssl.trustStore=C:\Cisco\CVP\conf\security\.keystore -J-Djavax.net.ssl.trustStorePassword=<oamp security password/jconsole client> -J-Djavax.net.ssl.keyStore=C:\Cisco\CVP\conf\security\.keystore -J-Djavax.net.ssl keyStorePassword=<oamp security password/jconsole client> -J-Djavax.net.ssl.keyStoreType=JCEKS -debug -J-Djavax.net.ssl.trustStoreType=JCEKS
Geben Sie <Managed Server-IP> ein:<Secure JMX-Port eg:2099> im Feld Remote Process (Remote-Prozess).
Hinweis: JConsole muss eine Verbindung ohne Aufforderung herstellen, damit die Anwendung die sichere Methode umgeht.
Schritt 3: Wireshark, während die jconsole-Verbindung aufgerufen wird. Die Aufzeichnung gibt Ihnen einen Einblick in die Details, die während des Sicherheits-Handshakes ausgehandelt wurden.
Ablaufverfolgungen in JMX
Die Implementierung von JMX verwendet java.util.logging, um Debug-Traces zu protokollieren. Viele dieser Ablaufverfolgungen betreffen interne, nicht verfügbar gemachte Klassen, können Ihnen jedoch dabei helfen zu verstehen, was mit Ihrer Anwendung geschieht.
Die JMX-Implementierung verfügt über zwei Gruppen von Protokollierungen:
javax.management.\*: Alle Protokollierungen, die mit der JMX-API in Zusammenhang stehenjavax.management.remote.\*: Protokollierungen, die sich speziell auf die JMX Remote API beziehen
Eine ausführlichere Beschreibung von JMX Loggers finden Sie hier.
Sie können die JMX-Traces auf zwei verschiedene Arten aktivieren:
- Statisch, mit der Datei logging.properties
- Dynamisch, mit der Verwendung eines JMXTracing MBean. In Java SE 6 können Sie dies für eine Anwendung tun, auch wenn der JMX-Connector in der Befehlszeile nicht aktiviert ist.
Verwenden einer Datei logging.properties
Starten Sie die Anwendung mit den folgenden Flags:
java -Djava.util.logging.config.file=<logging.properties> ....
wobei logging.properties Ablaufverfolgungen für JMX-Protokollierungen aktiviert:
handlers= java.util.logging.ConsoleHandler
.level=INFO
java.util.logging.FileHandler.pattern = %h/java%u.log
java.util.logging.FileHandler.limit = 50000
java.util.logging.FileHandler.count = 1
java.util.logging.FileHandler.formatter = java.util.logging.XMLFormatter
java.util.logging.ConsoleHandler.level = FINEST
java.util.logging.ConsoleHandler.formatter = java.util.logging.SimpleFormatter
// Use FINER or FINEST for javax.management.remote.level - FINEST is
// very verbose...
//
javax.management.level=FINEST
javax.management.remote.level=FINER
Feedback