Cómo exportar certificados TLS de la captura de paquetes de CUCM (PCAP)

Introducción

Este documento describe el procedimiento para exportar un certificado desde un PCAP de Cisco Unified Communications Manager (CUCM).

Colaborado por Adrian Esquillo, Ingeniero del TAC de Cisco.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:
Apretón de manos · Transport Layer Security (TLS)
Administración de certificados de CUCM ·
Servidor · Secure File Transport Protocol (SFTP)
Herramienta de supervisión en tiempo real de · (RTMT)

Aplicación · Wireshark

Componentes Utilizados

· CUCM versión 9.X y posterior

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Se puede exportar un certificado de servidor/cadena de certificado para confirmar que la cadena de certificado del servidor proporcionada por el servidor coincide con los certificados que se van a cargar o que se cargan en CUCM Certificate Management.

Como parte del intercambio de señales TLS, el servidor proporciona su cadena de certificado/certificado del servidor a CUCM.

Exportar certificado TLS de CUCM PCAP

Paso 1. Iniciar el comando de captura de paquetes en CUCM

Establezca una conexión Secure Shell (SSH) al nodo CUCM y ejecute el comando utils network capture (o capture-rotate) file <filename> count 1000000 size ALL, como se muestra en la imagen:

Paso 2. Iniciar una conexión TLS entre el servidor y CUCM

En este ejemplo, se inicia una conexión TLS entre un servidor Secure Lightweight Directory Access Protocol (LDAPS) y CUCM mediante el establecimiento de una conexión en el puerto TLS 636, como se muestra en la imagen:

Paso 3. Detener CUCM PCAP después de que se complete el intercambio de señales TLS

Presione Control-C para detener la captura de paquetes, como se muestra en la imagen

Paso 4. Descargue el archivo de captura del empaquetador por cualquiera de los dos métodos enumerados

1. Inicie el nodo RTMT para CUCM y navegue hasta System > Tools > Trace > Trace & Log Central > Collect Files y marque la casilla Packet Capture Logs (continúe con el proceso RTMT para descargar el pcap), como se muestra en la imagen:

2. Inicie un servidor de protocolo seguro de transporte de archivos (SFTP) y en la sesión de CUCM SSH ejecute el comando file get activelog /patform/cli/<pcap filename>.cap (siga con las indicaciones para descargar el PCAP en el servidor SFTP), como se muestra en la imagen:

Paso 5. Determinar el número de certificados presentados a CUCM por el servidor

Utilice la aplicación Wireshark para abrir el pcap y filtrar en tls para determinar el paquete con Server Hello que contiene la cadena de certificado/certificado del servidor presentado a CUCM. Esta es la trama 122, como se muestra en la imagen:

· Expanda la información Transport Layer Security > Certificate del paquete Hello del servidor con el certificado para determinar el número de certificados presentados a CUCM. El certificado superior es el certificado del servidor. En este caso, sólo se presenta un certificado, el certificado del servidor, como se muestra en la imagen:

Paso 6. Exportar la cadena de certificado/certificado del servidor desde CUCM PCAP

En este ejemplo, sólo se presenta el certificado del servidor, por lo que debe examinar el certificado del servidor. Haga clic con el botón derecho del ratón en el certificado del servidor y seleccione Exportar bytes de paquete para guardar como un certificado .cer, como se muestra en la imagen:

· En la ventana siguiente, proporcione un nombre de archivo .cer y, a continuación, haga clic en guardar. El archivo que se guardó (en este caso, en el escritorio) se denominó servercert.cer, como se muestra en la imagen:

Paso 7. Abrir el archivo .CER guardado para examinar el contenido

Haga doble clic en el archivo .cer para examinar la información en las fichas General, Detalles y Ruta de certificado, como se muestra en la imagen:

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.