简介
本文档介绍升级到Cisco Unified Communications Manager(CUCM)10.5(2)SU2或9.1(2)SU3后安全轻量级目录访问协议(LDAP)的问题,以及可以采取的步骤。
先决条件
要求
本文档没有任何特定的要求。
使用的组件
本文档中的信息基于CUCM版本10.5(2)SU2。
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始(默认)配置。如果您使用的是真实网络,请确保您已经了解所有命令的潜在影响。
背景信息
CUCM可配置为使用IP地址或完全限定域名(FQDN)进行安全LDAP身份验证。FQDN已覆盖。CUCM的默认行为是使用FQDN。如果需要使用IP地址,则可以从CUCM发布方的命令行界面(CLI)运行utils ldap config ipaddr命令。
在10.5(2)SU2和9.1(2)SU3中引入的CSCun63825修复之前,CUCM未严格对LDAP的传输层安全(TLS)连接执行FQDN验证。FQDN验证涉及对LDAP中配置的主机名进行比较CUCM(CUCM Admin > System > LDAP > LDAP Authentication),以及LDAP服务器在从CUCM到LDAP服务器的TLS连接期间提供的LDAP证书的公用名称(CN)或使用者备用名称(SAN)字段。因此,如果启用LDAP身份验证(检查使用SSL),且LDAP服务器/服务器由IP地址定义,则即使未发出utils ldap config ipaddr命令,身份验证也会成功。
在CUCM升级到10.5(2)SU2、9.1(2)SU3或更高版本后,将执行FQDN验证,并且使用utils ldap config的任何更改将恢复为默认行为,即使用FQDN。此更改的结果是打开CSCux83666。此外,还添加了CLI命令utils ldap config status,以显示是否使用IP地址或FQDN。
场景 1
在启用升级LDAP身份验证之前,服务器/服务器由IP地址定义,在CUCM发布方的CLI上配置utils ldap config ipaddr命令。
升级LDAP身份验证失败后,CUCM发布者的CLI上的utils ldap config status命令显示FQDN用于身份验证。
场景 2
在启用升级LDAP身份验证之前,服务器/服务器由IP地址定义,CUCM发布服务器的CLI上未配置utils ldap config ipaddr命令。
升级LDAP身份验证失败后,CUCM发布者的CLI上的utils ldap config status命令显示FQDN用于身份验证。
问题
如果LDAP身份验证配置为在CUCM上使用安全套接字层(SSL),并且在升级之前使用IP地址配置了LDAP服务器/服务器,则安全LDAP身份验证失败。
要确认LDAP身份验证设置,请导航至CUCM Admin页面> System > LDAP > LDAP > LDAP Authentication,并验证LDAP服务器是由IP地址而非FQDN定义的。如果LDAP服务器由FQDN定义,而CUCM配置为使用FQDN(请参阅下面的命令进行验证),则不太可能是您的问题。
![](/c/dam/en/us/support/docs/ip/lightweight-directory-access-protocol-ldap/200562-Secure-LDAP-Problems-After-an-Upgrade-to-00.jpeg)
要验证CUCM(升级后)是否配置为使用IP地址或FQDN,请在CUCM发布方的CLI中使用utils ldap config status命令。
admin:utils ldap config status
utils ldap config fqdn configured
为了验证您遇到此问题,您可以检查CUCM DirSync日志中是否存在此错误。此错误表示LDAP服务器在CUCM的LDAP身份验证配置页面上使用IP地址进行配置,并且与LDAP证书中的CN字段不匹配。
2016-02-09 14:08:32,718 DEBUG [http-bio-443-exec-1] impl.AuthenticationLDAP -
URL contains IP Address
解决方案
导航至CUCM Admin > System > LDAP > LDAP Authentication页,并将LDAP服务器配置从LDAP服务器的IP地址更改为LDAP服务器的FQDN。如果必须使用LDAP服务器的IP地址,请从CUCM发布服务器的CLI使用此命令
admin:utils ldap config ipaddr
Now configured to use IP address
admin:
可能导致FQDN验证失败的其他原因与此特定问题无关:
1.在CUCM中配置的LDAP主机名与LDAP证书(LDAP服务器的主机名)中的CN字段不匹配。
要解决此问题,请导航至CUCM Admin > System > LDAP > LDAP Authentication页面,并修改LDAP Server Information以使用LDAP证书中CN字段中的主机名/FQDN。此外,验证使用的名称是可路由的,并且可以通过CUCM使用utils network ping 从CUCM发布方的CLI访问。
2. DNS负载均衡器部署在网络中,CUCM中配置的LDAP服务器使用DNS负载均衡器。例如,配置指向adaccess.example.com,然后根据地理位置或其他因素在多个LDAP服务器之间进行负载均衡。响应请求的LDAP服务器可以具有除adaccess.example.com之外的FQDN。这会导致验证失败,因为主机名不匹配。
2016-02-06 09:19:51,702 ERROR [http-bio-443-exec-23] impl.AuthenticationLDAP -
verifyHostName:Exception.javax.net .ssl.SSLPeerUnverifiedException: hostname of the server
'adlab.testing.cisco.local' does not match the hostname in the server's certificate.
为解决此问题,请更改LDAP负载均衡器方案,使TLS连接终止于负载均衡器,而不是LDAP服务器本身。如果这不可能,则唯一的选项是禁用FQDN验证,而是使用IP地址进行验证。