Beveiligde integratie tussen CUCM en CUC configureren en oplossen van problemen

Inleiding

Dit document beschrijft de configuratie, verificatie en probleemoplossing van de beveiligde verbinding tussen de Cisco Unified Communications Manager (CUCM)- en Cisco Unity Connection-server (CUC).

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben over CUCM.

Raadpleeg de Cisco Unified Communications Manager security gids voor meer informatie. 

Opmerking: Deze moet op gemengde modus worden ingesteld om een veilige integratie te waarborgen.

Encryptie moet worden ingeschakeld voor Unity Connection 11.5(1) SU3 en hoger.

CLI-opdracht "utils cuc-encryptie <Enable/blocks>"

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• CUCM versie 10.5.2.1900-3.
• CUC versie 10.5.2.1900-3.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Diagram

In dit diagram wordt kort het proces uitgelegd dat helpt een beveiligde verbinding tussen CUCM en CUC tot stand te brengen:

1. Call Manager stelt een beveiligde transportlaag security (TLS) verbinding naar CUC-server in op poort 2443 Sony Call Control Protocol (SCCP) of 5061 Session Initiation Protocol (SIP) op basis van het protocol dat voor integratie is gebruikt.

2. CUC-server downloads het CTL-bestand (certificaatlijst) van TFTP-server (één keer proces), haalt het CallManager.pem-certificaat uit en slaat het op.

3. De CUCM-server biedt het CallManager.pem-certificaat aan, dat wordt geverifieerd aan de hand van het CallManager.pem-certificaat dat in de vorige stap is verkregen. Bovendien wordt het CUC-certificaat gecontroleerd aan de hand van een CUC-wortelcertificaat dat in CUCM is opgeslagen. Merk op dat het basiscertificaat door de beheerder in CUCM moet worden geüpload.

4. Indien de verificatie van de certificaten succesvol is, wordt een beveiligde TLS-verbinding tot stand gebracht. Deze verbinding wordt gebruikt om gecodeerde SCCP of SIP-signalering uit te wisselen.

5. Audio-verkeer kan worden uitgewisseld via Real-time Transport Protocol (RTP) of SRTP.

Opmerking: Wanneer u een TLS-communicatie instelt, gebruiken CUCM en CUC TLS wederzijdse authenticatie. Raadpleeg RFC5630 voor meer informatie.

Configureren - Secure SIP Trunk

CUC configureren

1. SIP-certificaat toevoegen

Navigeren in naar CUC-beheer > TelePresence-integraties > Security > SIP-certificaat > Toevoegen nieuwe software

• Naam weergeven: <elke betekenisvolle naam>
• Naam van het onderwerp: <een naam, bijvoorbeeld, SecureConnection>

Opmerking: de Onderwerp Naam moet overeenkomen met de X.509 Onderwerp Naam in het veiligheidsprofiel van de RFstam in SIP (gevormd in stap 1 van de configuratie van CUCM later in dit document).

Opmerking: Het certificaat wordt gegenereerd en ondertekend door het CUC root certificaat.

2. Maak een nieuw telefoonsysteem of wijzig standaard één

Navigeer naar telefonie integratie > telefoonsysteem. U kunt het telefoonsysteem gebruiken dat al bestaat of een nieuw systeem maken.

3. Voeg een nieuwe poortgroep toe

Selecteer in de pagina Telefoonsysteem basisinformatie in het vervolgkeuzevenster Verwante links de optie Port Groepering toevoegen en selecteer Ga. Voer in het configuratievenster deze informatie in:

• Telefoonsysteem:                       
• Van:                           SIP voor poortgroepen
• SIP-beveiligingsprofiel:                 5061/TLS
• SIP-certificaat:                        
• Beveiliging:                         Versleuteld
• Secure RTP:                            gecontroleerd
• IPv4-adres of hostnaam:  

Hit Save.

4. servers bewerken

Navigeer om > servers te bewerken en TFTP server toe te voegen uit de CUCM cluster zoals in deze afbeelding weergegeven.

Opmerking: Het is belangrijk om het juiste TFTP-adres te geven. CUC server downloads het CTL bestand uit dit TFTP zoals uitgelegd.

5. Reset de poortgroep

Ga terug naar Port Group Basics en stel poortgroep opnieuw in zoals gevraagd door het systeem zoals in deze afbeelding.

6. Spraakmailpoorten toevoegen

Selecteer in de pagina Port Group Basics, in het vervolgkeuzevenster Verwante links, de optie Add Port en selecteer Go. Typ deze informatie in het configuratievenster:

• Ingeschakeld: gecontroleerd
• Aantal poorten: 
• Telefoonsysteem:    
• Poortgroep:          
• Server:                 
• Poortgedrag:       

7. CUC-basiscertificaat downloaden

Navigeer naar Telefonieintegraties > Beveiliging > Opstartcertificaat, klik met de rechtermuisknop op de URL om het certificaat op te slaan als een bestand met de naam <filename>.0 (de bestandsextensie moet .0 in plaats van .htm)' en druk op Opslaan zoals in deze afbeelding wordt weergegeven.

CUCM configureren

1. SIP Trunk-beveiligingsprofiel voor Trunk naar CUC configureren

Navigeren in naar CUCM-beheer > Systeem > Security > SIP Trunk-beveiligingsprofiel > Nieuwe toevoegen

Zorg ervoor dat deze velden goed ingevuld zijn:

• Apparaatbeveiligingsmodus:              Versleuteld
• X.509 Onderwerp Naam:                Secure-verbinding>
• Uitgebreid dialoogvenster accepteren:         gecontroleerd
• Ongevraagde kennisgeving aanvaarden:  gecontroleerd
• Accept vervangt kop:           gecontroleerd

Opmerking: X.509 Onderwerp Naam moet overeenkomen met het veld Naam onderwerp in het SIP-certificaat op de Cisco Unity Connection-server (geconfigureerd in stap 1 van de CUC-configuratie).

2. SIP-profiel configureren

Navigeer naar Apparaat > Apparaatinstellingen > SIP Profile als u bepaalde instellingen moet toepassen. Anders kunt u gebruikmaken van het standaard SIP-profiel.

3. SIP-romp maken

Ga naar apparaat > Trunk > Nieuwe gereedschappen toevoegen.Maak een SIP-romp die gebruikt zal worden voor beveiligde integratie met Unity Connection zoals in deze afbeelding.

Voer in het gedeelte Apparaatinformatie van de hoofdconfiguratie deze informatie in:

• Apparaatnaam:            
• Apparaatpool:              
• SRTP toegestaan:           gecontroleerd

Opmerking: Zorg ervoor dat de CallManager-groep (in de configuratie van het apparaat) alle servers in CUC bevat (poortgroep > Bewerken > servers).

Voer in het gedeelte Inbound van de hoofdconfiguratie deze informatie in:

• Zoekruimte bellen:                                            
• Levering van afleidingsheader - inkomende:   gecontroleerd

In de buurt De sectie van de boomstam van configuratie, ingaat deze informatie:

• Levering via omleidingsheader - Uitvoer: gecontroleerd

Voer in het gedeelte Informatie over SIP van de boomconfiguratie deze informatie in:

• Bestemmingsadres:                                    
• SIP Trunk-beveiligingsprofiel:                           
• Rerouting van de zoekruimte:                
  
• Uitgebreid overzicht raadt het bellen van zoekruimte aan: 
• SIP-profiel:                                                    

Pas andere instellingen aan volgens uw vereisten.

4. Een routepatroon maken

Maak een routepatroon dat naar de geconfigureerde stam wijst (Oproeproutering > Route/Hunt > Routepatroon). Uitbreiding ingevoerd als een routepatroonnummer kan worden gebruikt als voicemail-piloot. Voer deze informatie in:

• Routepatroon:                        
• Gateway/route-lijst:               
  

5. Een spraakpostbus maken

Maak een voicemail-piloot voor de integratie (geavanceerde functies > Voice Mail > Voice Mail-Pilot). Voer deze waarden in:

• Spraakcontrolenummer:   
• Zoekruimte bellen:        die onderdelen bevatten die routepatroon bevatten dat als piloot wordt gebruikt>

6. Spraakmailprofiel maken

Maak een voicemailprofiel om alle instellingen samen te voegen (geavanceerde functies > Voice Mail > Voice Mail Profile). Geef de volgende informatie op:

• Spraakmailpiloot:                   
  
• Bericht per e-mail:           

7. Spraakmailprofiel aan de DNS’s toewijzen

Pas het voicemailprofiel aan de DNA's toe, bedoeld om een veilige integratie te gebruiken. Vergeet niet om op de knop "Config toepassen" te klikken na het wijzigen van de DNS-instellingen:

Navigeren in: Oproeproutering > Directory-nummer en wijziging van het volgende:

• Spraakprofiel:  Secure_SIP_integratie
  

8. CUC-basiscertificaat uploaden als CallManager-trust

Navigeer naar OS-beheer > Beveiliging > certificaatbeheer > Upload certificaatketen en uploaden het CUC-basiscertificaat als CallManager-trust op alle knooppunten die zijn geconfigureerd voor communicatie met CUC-server.

Opmerking: de service van Cisco CallManager moet opnieuw worden gestart nadat het certificaat is geüpload om het certificaat in werking te kunnen stellen.

Secure SCCP-poorten configureren

CUC configureren

1. Download het CUC-wortelcertificaat

Navigeer naar CUC-beheer > Telephony-integratie > Security > Root-certificaat. Klik met de rechtermuisknop op de URL om het certificaat op te slaan als een bestand met de naam <bestandsnaam>.0 (de bestandsextensie moet .0 in plaats van .htm)' en druk op Opslaan:

2. Maak een telefoonsysteem / wijzig het bestaande.

Navigeer naar telefonie integratie > Phone-systeem. U kunt het telefoonsysteem gebruiken dat al bestaat of een nieuw systeem maken.

3. Voeg een nieuwe SCCP-poortgroep toe

Selecteer in de pagina Basisbeginselen van het telefoonsysteem in het vervolgkeuzevenster Verwante links de optie Poortgroep toevoegen en selecteer Ga. Voer in het configuratievenster deze informatie in:

• Telefoonsysteem:           
• Poortgroeptype:           SCCP
• voorvoegsel apparaatnaam*:   Cisco UM1-VI
• MWI Bij uitbreiding:      
• Uitbreiding MWI uit:      

Opmerking: Deze configuratie moet overeenkomen met de configuratie op CUCM.

4. servers bewerken

Navigeer om > servers uit te werken en TFTP server toe te voegen uit de CUCM cluster.

Opmerking: Het is belangrijk om het juiste TFTP-adres te geven. CUC server downloads het CTL bestand uit dit TFTP zoals uitgelegd.

5. Voeg beveiligde SCCP-poorten toe

Selecteer in de pagina Basisbeginselen van de poortgroep, in het vervolgkeuzevenster Verwante Links de optie Ports toevoegen en selecteer Ga. Voer in het configuratievenster deze informatie in:

• Ingeschakeld: gecontroleerd
• Aantal poorten: 
• Telefoonsysteem:    
• Poortgroep:          
• Server:                 
• Poortgedrag:       
• Beveiliging:       Versleuteld

CUCM configureren

1. Poorten toevoegen

Navigeren in om CUCM-beheer > Geavanceerde functies > Configuratie van spraak-mail-poorten > Nieuw toevoegen.

Configureer de spraakpoorten van de SCCP zoals gebruikelijk. Het enige verschil is in de Apparaatbeveiligingsmodus onder de poortconfiguratie waarin de optie Versleuteld Voice Mail-poort moet worden geselecteerd.

2. CUC-basiscertificaat uploaden als CallManager-trust

Navigeer naar OS-beheer > Beveiligingsbeheer > certificaatbeheer > Upload certificaatketen en uploaden het CUC-basiscertificaat als CallManager-trust op alle knooppunten die zijn geconfigureerd voor communicatie met de CUC-server.

Opmerking: de service van Cisco CallManager moet opnieuw worden gestart nadat het certificaat is geüpload om het certificaat in werking te kunnen stellen.

3. MWI-uitbreidingen (Message Waiting Information) op/uit

Navigeer naar CUCM-beheer > Geavanceerde functies > Spraakpoortconfiguratie en stel MWI-aan/uit-uitbreidingen in. De MWI-nummers moeten overeenkomen met de CUC-configuratie.

4. Spraakmailbijlage maken

Maak een voicemail-piloot voor de integratie (geavanceerde functies > Voice Mail > Voice Mail-Pilot). Voer deze waarden in:

• Spraakcontrolenummer:   
• Zoekruimte bellen:        die onderdelen bevatten die routepatroon bevatten dat als piloot wordt gebruikt>

5. Spraakmailprofiel maken

Maak een voicemailprofiel om alle instellingen samen te voegen (geavanceerde functies > Voice Mail > Voice Mail Profile). Voer deze informatie in:

• Spraakmailpiloot:                   
  
• Bericht per e-mail:           

6. Spraakmailprofiel aan de DNS’s toewijzen

Pas het voicemailprofiel toe aan de DNA's die van plan zijn een veilige integratie te gebruiken. Klik op de knop Config nadat de DNS-instellingen zijn gewijzigd:

Navigeren in op Oproeproutering > Directory number en wijzigen in:

• Spraakprofiel:  Spraak-profiel-8000

7. Een hunting-groep voor Voice Mail maken

a) Voeg een nieuwe groep van de Lijn toe (Oproeproutering > Route/Hunt > Lijngroep)

b) Voeg een nieuwe lijst van de hunting voor spraak-mail toe (Oproeproutering > Route/Tunt > Taaklijst)

c) Voeg een nieuwe Tunt piloot toe (Oproeproutering > Route/Hunt > Taakpijp)

Verifiëren

SCCP-poortverificatie

Navigeer naar CUCM-beheer > Voorspelfuncties > Voice Mail > Voice Mail-poorten en controleer de poortregistratie.

Druk op de knop Voice Mail op de telefoon om spraakmail te bellen. U dient de openingsgroet te horen als de extensie van de gebruiker niet is ingesteld op het Unity Connection-systeem.

Secure SIP Trunk-verificatie

Druk op de knop Voice Mail op de telefoon om spraakmail te bellen. U dient de openingsgroet te horen als de gebruikersuitbreiding niet is ingesteld op het Unity Connection-systeem.

In plaats hiervan kunt u ook SIP OPTION's in stand houden om de SIP-boomstamstatus te controleren. Deze optie kan in het SIP-profiel worden ingeschakeld dat aan de SIP-stam is toegewezen. Als deze optie is ingeschakeld, kunt u de status van de Sip-romp bewaken via Apparaat > Trunk zoals in deze afbeelding wordt weergegeven.

Secure RTP-gespreksverificatie

Controleer of het pictogram van het hangslot aanwezig is op oproepen naar Unity Connection. Het betekent dat de RTP-stream versleuteld is (het profiel voor apparaatbeveiliging moet beveiligd zijn om het te laten werken) zoals in deze afbeelding.

Problemen oplossen

1. Algemene tips voor probleemoplossing

 Volg deze stappen om een oplossing voor de beveiligde integratie te vinden:

• Controleer de configuratie.
  
• Zorg ervoor dat alle verwante services actief zijn. (CUCM - CallManager, TFTP, CUC - Conversation Manager)
  
• Zorg ervoor dat poorten die vereist zijn voor beveiligde communicatie tussen servers, geopend zijn in het netwerk (TCP poort 2443 voor SCCP-integratie en TCP 5061 voor SIP-integratie).
  
• Als dit allemaal juist is, moet u de sporen verzamelen.

2. Te verzamelen sporen

Verzamel deze sporen om de veilige integratie te verhelpen.

• PacketCapture van CUCM en CUC
• CallManager-sporen
• Cisco Conversation Manager-sporen

Raadpleeg deze bronnen voor aanvullende informatie over:

Hoe voert u een pakketvastlegging op CUCM uit:

http://www.cisco.com/c/en/us/support/docs/voice-unified-communications/unified-communications-manager-version-50/112040-packet-capture-cucm-00.html

Hoe kunt u sporen op CUC-server inschakelen:

    

http://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/10x/troubleshooting/guide/10xcuctsgx/10xcuctsg010.html

Veelvoorkomende problemen

Zaak 1: Kan geen beveiligde verbinding instellen (onbekende CA-waarschuwing)

Nadat de pakketvastlegging van een van de servers is verzameld, wordt de TLS-sessie ingesteld.

De client gaf een waarschuwing met een fatale fout van Onbekende CA aan de server, alleen omdat de client het certificaat niet kon controleren dat door de server werd verzonden.

Er zijn twee mogelijkheden:

1) CUCM stuurt de waarschuwing Onbekende CA

• Controleer dat het huidige CUC root certificaat wordt geüpload op de server die communiceert met de CUC server.
• Zorg ervoor dat de CallManager-service opnieuw op de betreffende server is gestart.

2) CUC verstuurt de waarschuwing Onbekende CA

• Controleer dat het TFTP IP-adres correct is ingevoerd in de Port Group > Bewerken > configuratie van servers op de CUC-server.
  
• Controleer dat de CUCM TFTP-server bereikbaar is vanaf de verbindingsserver.
• Zorg ervoor dat het CTL-bestand op CUCM TFTP actueel is (vergelijk uitvoer van "show ctl" met certificaten zoals gezien op OS Admin-pagina). Draai de CTLClent opnieuw als dit niet het geval is.
• Start de CUC server opnieuw of verwijder en ontwerp de poortgroep opnieuw om het CTL-bestand opnieuw te downloaden van CUCM TFTP.

Zaak 2: Kan CTL-bestand niet downloaden van CUCM TFTP

Deze fout wordt in de Traces van de Conversation Manager gezien:

MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
MiuGeneral,25,Error executing tftp command 'tftp://10.48.47.189:69/CTLFile.tlv' res=68 (file not found on server)
MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
Arbiter,-1,Created port PhoneSystem-1-001 objectId='7c2e86b8-2d86-4403-840e-16397b3c626b' as ID=1
MiuGeneral,25,Port group object 'b1c966e5-27fb-4eba-a362-56a5fe9c2be7' exists
MiuGeneral,25,FAILED SetInService=true parent port group is out of service: 

Oplossing:

  1. Controleer of de TFTP-server correct is in de poortgroep > Bewerken > configuratie van servers.

  2. Controleer dat het CUCM-cluster in veilige modus staat.

  3. Controleer dat het CTL-bestand op CUCM TFTP bestaat.

Zaak 3: Poorten niet registreren

Deze fout wordt in de Traces van de Conversation Manager gezien:

MiuSkinny,23,Failed to retrieve Certificate for CCM Server <CUCM IP Address>
MiuSkinny,23,Failed to extract any CCM Certificates - Registration cannot proceed. Starting retry timer -> 5000 msec
MiuGeneral,24,Found local CTL file [/tmp/aaaaaaaa-xxxx-xxxx-xxxx-xxxxxxxxxxxx.tlv]
MiuGeneral,25,CCMCertificateCache::RetrieveServerCertificates() failed to find CCM Server '<CUCM IP Address>' in CTL File

Oplossing:

  1. Dit is waarschijnlijk het gevolg van een foutieve vergelijking in md5-checksum van het CTL-bestand op CUCM en CUC als gevolg van regeneratie van het CTL-bestand  

   certificaten. Start de CUC server opnieuw om het CTL-bestand te verfrissen.

Bovendien kunt u naar de deze handleiding voor probleemoplossing verwijzen:

Defecten

CSCum48958 - CUCM 10.0 (ip-adreslengte is onjuist)

CSCtn87264 - TLS-verbinding mislukt voor beveiligde SIP-poorten

CSCur10758 - kan herroepen certificaten niet verwijderen Unity Connection

CSCur10534 - Unity Connection 10.5 TLS/PKI redundante CUCM

CSCve4775 - Aanvraag voor functies voor een methode om het CUCM-bestand op het CUC-bestand te uploaden en te bekijken