Konfigurieren des CUCM für die IPsec-Verbindung zwischen Knoten

Einleitung

In diesem Dokument wird beschrieben, wie eine IPsec-Verbindung zwischen den Cisco Unified Communications Manager (CUCM)-Knoten innerhalb eines Clusters hergestellt wird.

Hinweis: Standardmäßig ist die IPsec-Verbindung zwischen den CUCM-Knoten deaktiviert. 

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse des CUCM verfügen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf der CUCM-Version 10.5(1).

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Konfigurieren

Verwenden Sie die in diesem Abschnitt beschriebenen Informationen, um den CUCM zu konfigurieren und eine IPsec-Verbindung zwischen den Knoten in einem Cluster herzustellen.

Konfigurationsübersicht

Im Folgenden sind die einzelnen Schritte dieses Verfahrens aufgeführt, die in den folgenden Abschnitten im Einzelnen beschrieben werden:

1. Überprüfen der IPsec-Verbindung zwischen den Knoten
   
   
2. Überprüfen der IPsec-Zertifikate
   
   
3. Laden Sie die IPsec-Stammzertifikate vom Subscriber-Knoten herunter.
   
   
4. Laden Sie das IPsec-Stammzertifikat vom Subscriber-Knoten auf den Publisher-Knoten hoch.
   
   
5. Konfigurieren der IPsec-Richtlinie

Überprüfen der IPsec-Verbindung

Führen Sie die folgenden Schritte aus, um die IPsec-Verbindung zwischen den Knoten zu überprüfen:

1. Melden Sie sich bei der Seite Operating System (OS) Administration (Betriebssystemverwaltung) des CUCM-Servers an.
   
   
2. Navigieren Sie zu Dienste > Ping.
   
   
3. Geben Sie die IP-Adresse des Remote-Knotens an.
   
   
4. Aktivieren Sie das Kontrollkästchen IPsec validieren, und klicken Sie auf Ping.

Wenn keine IPsec-Verbindung besteht, werden ähnliche Ergebnisse angezeigt:

 

Überprüfen von IPsec-Zertifikaten

Führen Sie die folgenden Schritte aus, um die IPsec-Zertifikate zu überprüfen:

1. Melden Sie sich bei der Seite "Betriebssystemverwaltung" an.
   
   
2. Navigieren Sie zu Sicherheit > Zertifikatsverwaltung.
   
   
3. Suchen Sie nach den IPsec-Zertifikaten (melden Sie sich separat bei den Publisher- und Subscriber-Knoten an).

Hinweis: Das Abonnentenknoten-IPsec-Zertifikat kann normalerweise nicht vom Verlegerknoten aus angezeigt werden. Sie können jedoch die Verlegerknoten-IPsec-Zertifikate auf allen Abonnentenknoten als IPsec-Trust-Zertifikat anzeigen.

Um die IPsec-Verbindung zu aktivieren, muss ein IPsec-Zertifikat von einem Knoten als ipsec-trust-Zertifikat auf dem anderen Knoten festgelegt sein:

IPsec-Stammzertifikat vom Abonnenten herunterladen

Führen Sie die folgenden Schritte aus, um das IPsec-Stammzertifikat vom Subscriber-Knoten herunterzuladen:

1. Melden Sie sich bei der Seite "Betriebssystemverwaltung" des Subscriber-Knotens an.
   
   
2. Navigieren Sie zu Sicherheit > Zertifikatsverwaltung.
   
   
3. Öffnen Sie das IPsec-Stammzertifikat, und laden Sie es im Format .pem herunter:
   
   
   
   

IPsec-Stammzertifikat von Abonnent auf Publisher hochladen

Führen Sie die folgenden Schritte aus, um das IPsec-Stammzertifikat vom Subscriber-Knoten auf den Publisher-Knoten hochzuladen:

1. Melden Sie sich auf der Seite "Betriebssystemverwaltung" des Verlegerknotens an.
   
   
2. Navigieren Sie zu Sicherheit > Zertifikatsverwaltung.
   
   
3. Klicken Sie auf Zertifikat/Zertifikatskette hochladen, und laden Sie das IPsec-Stammzertifikat des Abonnentenknotens als ipsec-trust-Zertifikat hoch:
   
   
   
   
4. Nachdem Sie das Zertifikat hochgeladen haben, überprüfen Sie, ob das IPsec-Stammzertifikat des Abonnentenknotens wie folgt angezeigt wird:
   
   

Hinweis: Wenn Sie die IPsec-Verbindung zwischen mehreren Knoten in einem Cluster aktivieren müssen, müssen Sie auch die IPsec-Stammzertifikate für diese Knoten herunterladen und sie über dieselbe Prozedur auf den Publisher-Knoten hochladen.

Konfigurieren der IPsec-Richtlinie

Führen Sie die folgenden Schritte aus, um die IPsec-Richtlinie zu konfigurieren:

1. Melden Sie sich auf der Seite für die Betriebssystemverwaltung des Verlegers und der Subscriber-Knoten separat an.
   
   
2. Navigieren Sie zu Sicherheit > IPSEC-Konfiguration.
   
   
3. Verwenden Sie diese Informationen, um die IP-Adresse und die Zertifikatdetails zu konfigurieren:
   

   *****
   
   PUBLISHER : 10.106.122.155 & cucm912pub.pem
   SUBSCRIBER: 10.106.122.15 & cucm10sub.pem
   
   *****

   

Überprüfung

Führen Sie die folgenden Schritte aus, um sicherzustellen, dass Ihre Konfiguration funktioniert und die IPsec-Verbindung zwischen den Knoten hergestellt ist:

1. Melden Sie sich bei der OS-Administration des CUCM-Servers an.
   
   
2. Navigieren Sie zu Dienste > Ping.
   
   
3. Geben Sie die IP-Adresse des Remote-Knotens an.
   
   
4. Aktivieren Sie das Kontrollkästchen IPsec validieren, und klicken Sie auf Ping.

Wenn die IPsec-Verbindung hergestellt wurde, wird eine Meldung wie diese angezeigt:

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.

Zugehörige Informationen

• Cisco Unified Communications Operating System Administration Guide, Version 8.6(1) - Einrichtung einer neuen IPsec-Richtlinie
• Technischer Support und Dokumentation für Cisco Systeme