Introduction
Ce document décrit la procédure à suivre pour utiliser SHA256 avec CVP.
Conditions préalables
Exigences
Cisco vous recommande de prendre connaissance des rubriques suivantes :
Composants utilisés
Les informations contenues dans ce document sont basées sur la version 10.5 du CVP.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.
Informations générales
À partir de janvier 2016, tous les navigateurs ont rejeté les certificats signés SHA1. Cela n'a pas rendu correctement les services demandés, sauf si vous passez de SHA1 à SHA256.
Avec le développement récent des algorithmes de calcul ainsi que la capacité de calcul explosive, SHA1 s'est affaiblie jour après jour. Cela a conduit à une dégradation fondamentale de la résistance aux collisions du SHA1 et à sa disparition.
Configurer
Procédure d’échange de certificats entre la console d’exploitation CVP (OAMP) :
Sur OAMP
Étape 1 : exportation du certificat OAMP
c : \Cisco\CVP\jre\bin\keytool.exe -export -v -keystore .keystore -storetype JCEKS -alias oamp_certificate -file oamp_security_76.cer
Étape 2 : copie du certificat OAMP sur le serveur d'appels et importation
c : \Cisco\CVP\jre\bin\keytool.exe -import -trustcacerts -keystore .keystore -storetype JCEKS -alias orm_oamp_certificate -file oamp_security_76.cer
Serveur On Call
Étape 1. Exportation du CERTIFICAT CALLSERVER
c : \Cisco\CVP\jre\bin\keytool.exe -export -v -keystore .ormkeystore -storetype JCEKS -alias orm_certificate -file orm_security_108.cer
Étape 2. Copiez CALLSERVER CERT dans OAMP et importez-le.
c : \Cisco\CVP\jre\bin\keytool.exe -import -trustcacerts -keystore .keystore -storetype JCEKS -alias oamp_orm_certificate -file orm_security_108.cer
Étape 3. Exporter le certificat du formulaire dans le magasin de clés du serveur d’appels
C:\Cisco\CVP\conf\security>c : \Cisco\CVP\jre\bin\keytool.exe -import -trustcacerts -keystore .keystore -storetype JCEKS -alias vxml_orm_certificate -file orm_security_108.cer
Vérifier
Vous pouvez vérifier si la communication sécurisée est établie entre les composants. Accédez à OAMP Page > Device management > <managed server> Statistics
Les statistiques doivent être affichées.
Vous pouvez utiliser JConsole pour établir une connexion si la sécurité est correctement configurée :
Étape 1. c :\Cisco\CVP\conf\orm_jmx.conf sur OAMP ressemble à ceci :
javax.net.debug = all
com.sun.management.jmxremote.ssl.need.client.auth = false
com.sun.management.jmxremote.authenticate = false
com.sun.management.jmxremote.port = 2099
com.sun.management.jmxremote.ssl = true
javax.net.ssl.keyStore=C:\Cisco\CVP\conf\security\.ormkeystore
javax.net.ssl.keyStorePassword=<local security password>
Étape 2 : ouverture de la commande jconsole à partir de Utilisez la commande:
C:\Cisco\CVP\jre\bin>jconsole.exe -J-Djavax.net.ssl.trustStore=C:\Cisco\CVP\conf\security\.keystore -J-Djavax.net.ssl.trustStorePassword=<oamp security password/jconsole client> -J-Djavax.net.ssl.keyStore=C:\Cisco\CVP\conf\security\.keystore -J-Djavax.net.ssl.keyStorePassword=<oamp security password/jconsole client> -J-Djavax.net.ssl.keyStoreType=JCEKS -debug J-Djavax.net.ssl.trustStoreType=JCEKS
Clé dans le champ <managed server ip>:<secure jmx port eg:2099> dans Remote Process.
Remarque : JConsole doit se connecter sans invite pour que l'application ignore la méthode sécurisée.
Étape 3. Wireshark lorsque la connexion jconsole est appelée. La capture vous donne un aperçu des détails négociés lors de la connexion de sécurité.
Traces dans JMX
L'implémentation de JMX utilise java.util.logging pour consigner les traces de débogage. La plupart de ces traces concernent des classes internes non exposées, mais elles peuvent vous aider à comprendre ce qui se passe avec votre application.
L'implémentation JMX comporte deux ensembles d'enregistreurs :
javax.management.\* : tous les journaux associés à l'API JMXjavax.management.remote.\* : Journaliseurs spécifiquement associés à l'API distante JMX
Vous pouvez trouver une description plus complète de JMX Loggers ici.
Vous pouvez activer les suivis JMX de deux manières différentes :
- De manière statique, à l'aide d'un fichier logging.properties
- Dynamiquement, avec l'utilisation d'un MBean JMXTracing. Dans Java SE 6, vous pouvez effectuer cette opération pour une application, même si le connecteur JMX n'est pas activé sur la ligne de commande.
Utiliser un fichier logging.properties
Démarrez votre application avec les indicateurs suivants :
java -Djava.util.logging.config.file=<logging.properties> ....
où logging.properties active les traces pour les enregistreurs JMX :
handlers= java.util.logging.ConsoleHandler
.level=INFO
java.util.logging.FileHandler.pattern = %h/java%u.log
java.util.logging.FileHandler.limit = 50000
java.util.logging.FileHandler.count = 1
java.util.logging.FileHandler.formatter = java.util.logging.XMLFormatter
java.util.logging.ConsoleHandler.level = FINEST
java.util.logging.ConsoleHandler.formatter = java.util.logging.SimpleFormatter
// Use FINER or FINEST for javax.management.remote.level - FINEST is
// very verbose...
//
javax.management.level=FINEST
javax.management.remote.level=FINER
Commentaires