Inleiding
Dit document biedt een voorbeeldconfiguratie die toont hoe u de adaptieve security applicatie (ASA) en CallManager apparaten kunt configureren om certificatie te bieden voor AnyConnect-clients die op Cisco IP-telefoons worden uitgevoerd. Nadat deze configuratie is voltooid, kunnen Cisco IP-telefoons VPN-verbindingen naar de ASA maken die gebruik maken van certificaten om de communicatie te beveiligen.
Voorwaarden
Vereisten
Zorg ervoor dat u aan deze vereisten voldoet voordat u deze configuratie probeert:
Afhankelijk van de ASA versie ziet u "AnyConnect voor Linksys Phone" voor ASA release 8.0.x of "AnyConnect voor Cisco VPN-telefoon" voor ASA release 8.2.x of later.
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
ASA - release 8.0(4) of hoger
IP-telefoonmodellen - 7942/7962/7945/7965/7975
Telefoons - 8961/9951/9971 met release 9.1(1) firmware
Telefoon - release 9.0(2)SR1S - Snipperny Call Control Protocol (SCCP) of hoger
Cisco Unified Communications Manager (CUCM) - release 8.0.1.100/2000-4 of hoger
De releases die in dit configuratievoorbeeld worden gebruikt zijn onder meer:
Voltooi de volgende stappen voor een compleet overzicht van de ondersteunde telefoons in uw CUCM-versie:
Open deze URL: https://<CUCM Server IP Address>:8443/cucreports/systemReports.do
Kies Unified CM-telefoonfunctielijst > Generate een nieuw rapport > Functie: Virtual Private Network.
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
Conventies
Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.
Telefooncertificaattypen
Cisco gebruikt deze certificaattypen in telefoons:
MIC’s (fabriekscertificaat) - MIC’s zijn meegeleverd voor alle 7941, 7961 en nieuwere modellen Cisco IP-telefoons. MIC’s zijn 2048-bits belangrijke certificaten die door de Cisco certificaatinstantie (CA) zijn ondertekend. Wanneer er een MIC is aanwezig, is het niet nodig om een lokaal belangrijk certificaat (LSC) te installeren. Om het CUCM te laten vertrouwen in het MIC certificaat, gebruikt het de voorgeïnstalleerde CA certificaten CAP-RTP-001, CAP-RTP-002 en Cisco_Manufacturing_CA in zijn certificaat trust store.
LSC - De LSC waarborgt de verbinding tussen CUCM en de telefoon nadat u de apparaatbeveiligingsmodus voor verificatie of encryptie hebt ingesteld.
LSC heeft de openbare sleutel voor de Cisco IP-telefoon, die door de privé-sleutel van de CUCM certificaatautoriteit Proxy-functie (CAPF) wordt ondertekend. Dit is de meest gewenste methode (in tegenstelling tot het gebruik van MIC’s) omdat alleen Cisco IP-telefoons die handmatig van provisioning zijn voorzien door een beheerder, het CTL-bestand mogen downloaden en controleren.
Opmerking: Vanwege het verhoogde veiligheidsrisico adviseert Cisco het gebruik van MIC's alleen voor LSC-installatie en niet voor doorlopend gebruik. Klanten die Cisco IP-telefoons configureren om MIC's te gebruiken voor TLS-verificatie (Transport Layer Security) of voor een ander doel, doen dit op hun eigen risico.
Configureren
Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.
Opmerking: Gebruik het Opdrachtupgereedschap (alleen geregistreerde klanten) om meer informatie te verkrijgen over de opdrachten die in deze sectie worden gebruikt.
Configuraties
In dit document worden deze configuraties beschreven:
ASA-configuratie
Configuratie van CallManager
VPN-configuratie op CallManager
Installatie van certificaat op IP-telefoons
ASA-configuratie
De configuratie van de ASA is vrijwel hetzelfde als wanneer u een AnyConnect-clientcomputer aansluit op de ASA. Deze beperkingen gelden echter:
Deze configuratie gebruikt een eerder ingesteld en geïnstalleerd ASA (zelf-ondertekend of derde) certificaat in het Secure Socket Layer (SSL) trustpunt van het ASA-apparaat. Verwijs voor meer informatie naar deze documenten:
De toepasselijke configuratie van de ASA is:
ip local pool SSL_Pool 10.10.10.1-10.10.10.254 mask 255.255.255.0
group-policy GroupPolicy_SSL internal
group-policy GroupPolicy_SSL attributes
split-tunnel-policy tunnelall
vpn-tunnel-protocol ssl-client
tunnel-group SSL type remote-access
tunnel-group SSL general-attributes
address-pool SSL_Pool
default-group-policy GroupPolicy_SSL
tunnel-group SSL webvpn-attributes
authentication certificate
group-url https://asa5520-c.cisco.com/SSL enable
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-3.0.3054-k9.pkg
anyconnect enable
ssl trust-point SSL outside
Configuratie van CallManager
Voltooi de volgende stappen om het certificaat van de ASA te exporteren en het certificaat in CallManager te importeren als een Phone-VPN-Trust-certificaat:
Registreer het gegenereerde certificaat met CUCM.
Controleer het certificaat dat wordt gebruikt voor SSL.
ASA(config)#show run ssl
ssl trust-point SSL outside
Exporteren van het certificaat.
ASA(config)#crypto ca export SSL identity-certificate
Het privacyuitgebreide e-mail (PEM) gecodeerde identiteitsbewijs:
-----BEGIN CERTIFICATE-----ZHUxFjAUBgkqhkiG9w0BCQIWB0FTQTU1NDAwHhcNMTMwMTMwMTM1MzEwWhcNMjMw
MTI4MTM1MzEwWjAmMQwwCgYDVQQDEwNlZHUxFjAUBgkqhkiG9w0BCQIWB0FTQTU1
NDAwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJAoGBAMYcrysjZ+MawKBx8Zk69SW4AR
FSpV6FPcUL7xsovhw6hsJE/2VDgd3pkawc5jcl5vkcpTkhjbf2xC4C1q6ZQwpahde22sdf1
wsidpQWq1DDrJD1We83L/oqmhkWJO7QfNrGZhOLv9xOpR7BFpZd1yFyzwAPkoBl1
-----END CERTIFICATE-----
Kopieert de tekst uit het terminal en slaat deze op als een .pem-bestand.
Meld u aan bij CallManager en kiest u Unified OS-beheer > Beveiliging > certificaatbeheer > Uploadcertificaat > Selecteer Phone-VPN-trust om het certificaatbestand te uploaden dat in de vorige stap is opgeslagen.
VPN-configuratie op CallManager
Navigeren in naar Cisco Unified CM-beheer.
Kies in de menubalk geavanceerde functies > VPN > VPN-gateway.
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-01.gif)
Voltooi de volgende stappen in het venster VPN-gateway Configuration:
Typ een naam in het veld Naam van de VPN-gateway. Dit kan elke naam zijn.
Typ een beschrijving (optioneel) in het veld VPN Gateway Description.
Voer in het veld URL van de VPN-gateway de groep-URL in die op de ASA is gedefinieerd.
In het veld VPN-certificaten in deze locatie selecteert u het certificaat dat eerder is geüpload naar CallManager om het vanuit de trustwinkel naar deze locatie te verplaatsen.
- Kies in de menubalk Geavanceerde functies > VPN > VPN-groep.
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-03.gif)
Selecteer in het veld Alle beschikbare VPN-gateways de eerder gedefinieerde VPN-gateway. Klik op de pijl-omlaag om de geselecteerde gateway naar de geselecteerde VPN-gateways in het veld VPN-groep te verplaatsen.
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-04.gif)
Kies in de menubalk geavanceerde functies > VPN > VPN-profiel.
Voltooi alle velden die met een asterisk (*) zijn gemarkeerd om het VPN-profiel te configureren.
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-06.gif)
Auto netwerk detecteren: Als ingeschakeld, wordt de VPN-telefoon op de TFTP-server geplaatst en als er geen respons wordt ontvangen, wordt er een VPN-verbinding automatisch gestart.
Schakel Host ID in: Als deze functie is ingeschakeld, vergelijkt de VPN-telefoon de FQDN van de VPN-gateway met de N/SAN van het certificaat. De client heeft geen verbinding als deze niet overeenkomen of als een certificaat met jokerteken met een sterretje (*) is gebruikt.
Wachtwoordpersistentie inschakelen: Dit staat de VPN telefoon toe om de gebruikersnaam en het wachtwoord voor de volgende VPN-poging in het geheugen te stoppen.
Klik in het venster Common Phone Profile Configuration op Config om de nieuwe VPN-configuratie toe te passen. U kunt het "Standaard gemeenschappelijke telefoonprofiel" gebruiken of een nieuw profiel maken.
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-07.gif)
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-08.gif)
Als u een nieuw profiel voor specifieke telefoons/gebruikers hebt gemaakt, gaat u naar het venster Configuration. Kies in het veld Gemeenschappelijk telefoonprofiel de optie Standaard gemeenschappelijk telefoonprofiel.
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-09.gif)
Registreer de telefoon aan CallManager opnieuw om de nieuwe configuratie te downloaden.
Configuratie van certificaten
Voltooi de volgende stappen in CallManager en de ASA:
Kies in de menubalk geavanceerde functies > VPN > VPN-profiel.
Controleer of het veld Clientverificatiemethode is ingesteld op Certificaat.
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-10.gif)
Meld u aan bij CallManager. Kies in de menubalk Unified OS-beheer > Beveiliging > certificaatbeheer > Zoeken.
Exporteren van de juiste certificaten voor de geselecteerde certificeringsmethode:
- Vind het certificaat, of Cisco_Manufacturing_CA of CAPF. Download het .pem-bestand en slaat het op als een .txt-bestand
- Maak een nieuw betrouwbaar punt op de ASA en bevestig het trustpunt met het vorige opgeslagen certificaat. Wanneer u wordt gevraagd om een standaard-64 gecodeerd CA-certificaat, selecteert en plakt u de tekst in het gedownload .pem-bestand samen met de regels BEGIN en END. Een voorbeeld wordt getoond:
ASA (config)#crypto ca trustpoint CM-Manufacturing
ASA(config-ca-trustpoint)#enrollment terminal
ASA(config-ca-trustpoint)#exit
ASA(config)#crypto ca authenticate CM-Manufacturing
ASA(config)#
<base-64 encoded CA certificate>
quit
Bevestig de authenticatie in de tunnelgroep op certificatie.
tunnel-group SSL webvpn-attributes
authentication certificate
group-url https://asa5520-c.cisco.com/SSL enable
Installatie van certificaat op IP-telefoons
De IP-telefoons kunnen werken met MIC's of LSC's, maar het configuratieproces is voor elk certificaat anders.
MIC-installatie
Standaard worden alle telefoons die VPN ondersteunen vooraf geladen met MIC's. De 7960- en 7940-telefoons hebben geen MIC en hebben een speciale installatieprocedure nodig voor de LSC om zich veilig te kunnen registreren.
Opmerking: Cisco raadt u aan MICs alleen te gebruiken voor LSC-installatie. Cisco ondersteunt LSC’s om de TLS-verbinding met CUCM te authenticeren. Omdat de MIC wortelcertificaten kunnen worden gecompromitteerd, doen klanten die telefoons configureren om MICs voor TLS authenticatie of voor een ander doel te gebruiken dit op hun eigen risico. Cisco is niet aansprakelijk als MIC’s gecompromitteerd zijn.
LSC-installatie
CAPF-service op CUCM inschakelen.
Nadat de CAPF-dienst is geactiveerd, verdeel de telefooninstructies om een LSC in CUCM te genereren. Meld u aan bij Cisco Unified CM Management en kies Apparaat > Telefoon. Selecteer de telefoon die u hebt ingesteld.
Zorg ervoor dat in het gedeelte Informatie over certificaatfunctie (CAPF) alle instellingen correct zijn en de bewerking is ingesteld op een toekomstige datum.
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-14.gif)
Als de verificatiemodus is ingesteld op Ongeldige string of bestaand certificaat, hoeft u geen verdere actie te ondernemen.
Als de verificatiemodus op een string is ingesteld, selecteert u handmatig Instellingen > Beveiligingsconfiguratie >*# > LSC > Update in de telefoonconsole.
Verifiëren
Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.
ASA-verificatie
ASA5520-C(config)#show vpn-sessiondb detail anyconnect
Session Type: AnyConnect Detailed
Username : CP-7962G-SEPXXXXXXXXXXXX
Index : 57
Assigned IP : 10.10.10.2 Public IP : 172.16.250.15
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium, AnyConnect for Cisco VPN Phone
Encryption : AnyConnect-Parent: (1)AES128 SSL-Tunnel: (1)AES128
DTLS-Tunnel: (1)AES128
Hashing : AnyConnect-Parent: (1)SHA1 SSL-Tunnel: (1)SHA1
DTLS-Tunnel: (1)SHA1Bytes Tx : 305849
Bytes Rx : 270069Pkts Tx : 5645
Pkts Rx : 5650Pkts Tx Drop : 0
Pkts Rx Drop : 0Group Policy :
GroupPolicy_SSL Tunnel Group : SSL
Login Time : 01:40:44 UTC Tue Feb 5 2013
Duration : 23h:00m:28s
Inactivity : 0h:00m:00s
NAC Result : Unknown
VLAN Mapping : N/A VLAN : none
AnyConnect-Parent Tunnels: 1
SSL-Tunnel Tunnels: 1
DTLS-Tunnel Tunnels: 1
AnyConnect-Parent:
Tunnel ID : 57.1
Assigned IP : 10.10.10.2 Public IP : 172.16.250.15
Encryption : AES128 Hashing : SHA1
Encapsulation: TLSv1.0 TCP Dst Port : 443
Auth Mode : Certificate
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client Type : AnyConnect Client Ver : Cisco SVC IPPhone Client v1.0 (1.0)
Bytes Tx : 1759 Bytes Rx : 799
Pkts Tx : 2 Pkts Rx : 1
Pkts Tx Drop : 0 Pkts Rx Drop : 0
SSL-Tunnel:
Tunnel ID : 57.2
Public IP : 172.16.250.15
Encryption : AES128 Hashing : SHA1
Encapsulation: TLSv1.0 TCP Src Port : 50529
TCP Dst Port : 443 Auth Mode : Certificate
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client Type : SSL VPN Client
Client Ver : Cisco SVC IPPhone Client v1.0 (1.0)
Bytes Tx : 835 Bytes Rx : 0
Pkts Tx : 1 Pkts Rx : 0
Pkts Tx Drop : 0 Pkts Rx Drop : 0
DTLS-Tunnel:
Tunnel ID : 57.3
Assigned IP : 10.10.10.2 Public IP : 172.16.250.15
Encryption : AES128 Hashing : SHA1
Encapsulation: DTLSv1.0 UDP Src Port : 51096
UDP Dst Port : 443 Auth Mode : Certificate
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client Type : DTLS VPN Client
Client Ver : Cisco SVC IPPhone Client v1.0 (1.0)
Bytes Tx : 303255 Bytes Rx : 269270
Pkts Tx : 5642 Pkts Rx : 5649
Pkts Tx Drop : 0 Pkts Rx Drop : 0
CUCM-verificatie
![](/c/dam/en/us/support/docs/unified-communications/unified-communications-manager-callmanager/115785-anyconnect-vpn-12.gif)
Problemen oplossen
Er is momenteel geen specifieke troubleshooting-informatie beschikbaar voor deze configuratie.
Verwante bellen
- Cisco bug-ID CSCtf09529, ondersteuning voor VPN-functie in CUCM voor 8961, 9951 en 9971 telefoons
- Cisco bug ID CSCuc71462, IP-telefoon VPN-failover duurt 8 minuten
- Ondersteuning van Cisco bug-ID CSCtz42052, IP-telefoon SSL VPN voor niet-standaard poortnummers
- Cisco bug-ID CSCth96551, niet alle ASCII-tekens worden ondersteund bij de inlognaam van een telefoon VPN-gebruiker + wachtwoord.
- Cisco bug-ID CSCuj71475, handmatige TFTP-ingang die nodig is voor IP-telefoon VPN
- Cisco bug-ID CSCum10683, IP-telefoons die niet kunnen worden vastgezet, geplaatst of ontvangen oproepen
Gerelateerde informatie