Verlängerung des Expressway-Zertifikats

Einleitung

In diesem Dokument wird die Verlängerung des Expressway/Video Communication Server (VCS)-Zertifikats beschrieben.

Hintergrundinformationen

Die Informationen in diesem Dokument gelten für Expressway und VCS. Das Dokument verweist auf Expressway, dieser kann jedoch mit dem VCS ausgetauscht werden.

Hinweis: Dieses Dokument soll Sie bei der Erneuerung des Zertifikats unterstützen. Es empfiehlt sich jedoch, auch den Cisco Expressway Certificate Creation and Use Deployment Guide für Ihre Version zu lesen.

Wenn ein Zertifikat erneuert werden soll, müssen zwei Hauptpunkte berücksichtigt werden, um sicherzustellen, dass das System auch nach der Installation des neuen Zertifikats ordnungsgemäß funktioniert:

1. Die Attribute des neuen Zertifikats müssen mit denen des alten Zertifikats übereinstimmen (hauptsächlich der alternative Antragstellername und die erweiterte Schlüsselverwendung).

2. Die Zertifizierungsstelle, die das neue Zertifikat signiert, muss von anderen Servern als vertrauenswürdig eingestuft werden, die direkt mit dem Expressway kommunizieren (z. B. CUCM, Expressway-C, Expressway-E,...).

Prozess

A) Informationen aus dem aktuellen Zertifikat abrufen

1. Öffnen Sie Expressway-Webseite Wartung > Sicherheit > Serverzertifikat > Dekodiert anzeigen.

2. Kopieren Sie im neuen Fenster, das sich öffnet, die Erweiterungen Subject Alternative Name und Authority Key Identifier X509v3 in ein Notepad-Dokument.

Fenster "Dekodiertes Zertifikat anzeigen"

B) Erstellen Sie die CSR-Anfrage (Certificate Signing Request), und senden Sie sie zur Signatur an die Zertifizierungsstelle (Certification Authority).

1. Aus Expressway Webpage Maintenance > Security > Server certificate > Generate CSR.

2. Geben Sie im Fenster CSR generieren im Feld Zusätzliche alternative Namen (durch Komma getrennt) alle Werte für Subject Alternative Names ein, die im Abschnitt A gespeichert wurden, und entfernen Sie DNS: und trennen Sie die Liste durch Kommas.

In diesem Bild gibt es neben dem angezeigten alternativen Namen eine Liste aller SANs, die im Zertifikat verwendet werden sollen):

CSR SAN-Einträge generieren

3. Geben Sie den Rest der Informationen unter dem Abschnitt Zusätzliche Informationen (z. B. Land, Unternehmen, Bundesland usw.) ein, und klicken Sie auf CSR generieren.

4. Nachdem Sie den CSR generiert haben, zeigt die Seite Wartung > Sicherheit > Serverzertifikat eine Option zum Verwerfen von CSR und Herunterladen an. Wählen Sie Herunterladen, und senden Sie den CSR zur Signierung an die Zertifizierungsstelle.

Hinweis: CSR nicht vor der Installation des neuen Zertifikats verwerfen. Wenn CSR verwerfen durchgeführt wurde und dann versucht wird, ein mit dem CSR signiertes Zertifikat zu installieren, das verworfen wurde, schlägt die Zertifikatsinstallation fehl.

C) Überprüfen Sie die SAN-Liste und das Attribut für die erweiterte/erweiterte Schlüsselverwendung im neuen Zertifikat.

Öffnen Sie das neu signierte Zertifikat im Windows-Zertifikats-Manager, und überprüfen Sie Folgendes:

1. Die SAN-Liste stimmt mit der SAN-Liste überein, die wir im Abschnitt A gespeichert haben, in dem wir den CSR generiert haben.

2. Das Attribut "Erweiterte/Erweiterte Schlüsselverwendung" muss sowohl die Client-Authentifizierung als auch die Serverauthentifizierung enthalten.

Hinweis: Wenn das Zertifikat die Erweiterung .pem hat, benennen Sie es in .cer oder .crt um, damit es mit dem Windows-Zertifikats-Manager geöffnet werden kann. Wenn das Zertifikat mit dem Windows-Zertifikats-Manager geöffnet wurde, können Sie zur Registerkarte Details > In Datei kopieren gehen und es als Base64-kodierte Datei exportieren. Eine Base64-kodierte Datei hat normalerweise "-----BEGIN CERTIFICATE-----" oben und "-----END CERTIFICATE-----" unten, wenn sie in einem Texteditor geöffnet wird.

D) Überprüfen Sie, ob die Zertifizierungsstelle, die das neue Zertifikat signiert hat, mit der Zertifizierungsstelle übereinstimmt, die das alte Zertifikat signiert hat.

Öffnen Sie das neu signierte Zertifikat im Windows-Zertifikatmanager, kopieren Sie den Wert für die Autoritätsschlüssel-ID, und vergleichen Sie ihn mit dem Wert für die Autoritätsschlüssel-ID, den Sie in Abschnitt A gespeichert haben.

Neues Zertifikat mit Windows-Zertifikats-Manager geöffnet

Wenn beide Werte identisch sind, bedeutet dies, dass das neue Zertifikat mit derselben Zertifizierungsstelle signiert wurde wie das alte Zertifikat. Sie können mit Abschnitt E fortfahren, um das neue Zertifikat hochzuladen.

Wenn sich die Werte unterscheiden, bedeutet dies, dass die zum Signieren des neuen Zertifikats verwendete Zertifizierungsstelle sich von der Zertifizierungsstelle unterscheidet, die zum Signieren des alten Zertifikats verwendet wurde. Sie müssen folgende Schritte ausführen, bevor Sie mit Abschnitt E fortfahren können:

1. Holen Sie sich alle Zertifikate der Zwischen-Zertifizierungsstelle (Intermediate CA), sofern vorhanden, und das Zertifikat der Stammzertifizierungsstelle (Root CA).

2. Gehen Sie zu Maintenance > Security > Trusted CA certificate , klicken Sie auf Browse, suchen Sie dann nach dem Zwischenzertifikat auf Ihrem Computer, und laden Sie es hoch. Führen Sie den gleichen Vorgang für alle anderen Zwischenzertifikate der Zertifizierungsstelle und das Stammzertifikat der Zertifizierungsstelle aus.

3. Führen Sie dasselbe auf jedem Expressway-E (wenn das zu erneuernde Zertifikat ein Expressway-C-Zertifikat ist) durch, der mit diesem Server verbunden ist, oder auf jedem Expressway-C (wenn das zu erneuernde Zertifikat ein Expressway-E-Zertifikat ist), der mit diesem Server verbunden ist.

4. Wenn es sich bei dem zu erneuernden Zertifikat um ein Expressway-C-Zertifikat handelt und Sie über MRA verfügen oder über sichere Zonen zum CUCM verfügen

• Stellen Sie sicher, dass CUCM der neuen Stamm- und Zwischen-CA vertraut.
• Laden Sie die Stamm- und Zwischenzertifikate der Zertifizierungsstelle in CUCM hoch, um die Speicher "cat-trust" und "callmanager-trust" zu verwenden.
• Starten Sie die relevanten Services auf dem CUCM neu.

E) Installieren des neuen Zertifikats

Nachdem alle vorherigen Punkte überprüft wurden, können Sie das neue Zertifikat auf dem Expressway von Maintenance > Security > Server Certificate installieren.

Klicken Sie auf Durchsuchen, wählen Sie die neue Zertifikatsdatei von Ihrem Computer aus, und laden Sie sie hoch.

Sie müssen Expressway neu starten, nachdem Sie ein neues Zertifikat installiert haben.

Hinweis: Überprüfen Sie, ob das von Maintenance > Security > Server Certificate auf Expressway hochzuladende Zertifikat nur das Expressway-Serverzertifikat und nicht die vollständige Zertifikatkette enthält, und stellen Sie sicher, dass es sich um ein Base64-Zertifikat handelt.

Hinzufügen eines einzelnen Zertifikats zu mehreren Expressways: