Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Configuration

Diagramme du réseau

Obtenir un certificat VCS

Générer et télécharger un certificat autosigné VCS

Ajouter un certificat auto-signé du serveur CUCM au serveur VCS

Télécharger le certificat du serveur VCS vers le serveur CUCM

Connexion SIP

Vérification

Dépannage

Informations connexes

Introduction

Ce document décrit comment configurer une connexion SIP (Session Initiation Protocol) sécurisée entre Cisco Unified Communications Manager (CUCM) et le serveur Cisco TelePresence Video Communication Server (VCS).

Le CUCM et le VCS sont étroitement intégrés. Étant donné que les terminaux vidéo peuvent être enregistrés sur CUCM ou VCS, des liaisons SIP doivent exister entre les périphériques.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

Solutions Cisco Unified Communications Manager
Serveur de communication vidéo Cisco TelePresence
Certificats

Components Used

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques. Cet exemple utilise le logiciel Cisco VCS version X7.2.2 et CUCM version 9.x.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configuration

Assurez-vous que les certificats sont valides, ajoutez les certificats aux serveurs CUCM et VCS afin qu'ils se fassent mutuellement confiance, puis établissez la ligne principale SIP.

Diagramme du réseau

Obtenir un certificat VCS

Par défaut, tous les systèmes VCS sont fournis avec un certificat temporaire. Sur la page admin, accédez à Maintenance > Certificate management > Server certificate. Cliquez sur Show server certificate, et une nouvelle fenêtre s'ouvre avec les données brutes du certificat :

Voici un exemple des données brutes du certificat :

Vous pouvez décoder le certificat et voir les données du certificat en utilisant OpenSSL sur votre PC local ou en utilisant un décodeur de certificat en ligne tel que SSL Shopper :

Générer et télécharger un certificat autosigné VCS

Étant donné que chaque serveur VCS possède un certificat portant le même nom commun, vous devez placer de nouveaux certificats sur le serveur. Vous pouvez choisir d'utiliser des certificats auto-signés ou des certificats signés par l'autorité de certification (AC). Pour plus d'informations sur cette procédure, reportez-vous au Guide de déploiement de création et d'utilisation de certificats Cisco TelePresence avec Cisco VCS.

Cette procédure décrit comment utiliser le VCS lui-même pour générer un certificat auto-signé, puis télécharger ce certificat :

Connectez-vous en tant qu'utilisateur racine au serveur VCS, démarrez OpenSSL et générez une clé privée :

~ # openssl
OpenSSL> genrsa -out privatekey.pem 1024
Generating RSA private key, 1024 bit long modulus
..................................++++++
................++++++
e is 65537 (0x10001)

Utilisez cette clé privée afin de générer une demande de signature de certificat (CSR) :

OpenSSL> req -new -key privatekey.pem -out certcsr.pem
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:BE
State or Province Name (full name) [Some-State]:Vlaams-Brabant
Locality Name (eg, city) []:Diegem
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Cisco
Organizational Unit Name (eg, section) []:TAC
Common Name (e.g. server FQDN or YOUR name) []:radius.anatomy.com
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
OpenSSL> exit

Générez le certificat auto-signé :

~ # openssl x509 -req -days 360 -in certcsr.pem -signkey privatekey.pem -out vcscert.pem
Signature ok
subject=/C=BE/ST=Vlaams-Brabant/L=Diegem/O=Cisco/OU=TAC/CN=radius.anatomy.com
Getting Private key
~ #

Vérifiez que les certificats sont maintenant disponibles :

~ # ls -ltr *.pem
-rw-r--r-- 1 root root 891 Nov  1 09:23 privatekey.pem
-rw-r--r-- 1 root root 664 Nov  1 09:26 certcsr.pem
-rw-r--r-- 1 root root 879 Nov  1 09:40 vcscert.pem

Téléchargez les certificats avec WinSCP , et téléchargez-les sur la page Web afin que le VCS puisse utiliser les certificats ; vous avez besoin de la clé privée et du certificat généré :
Répétez cette procédure pour tous les serveurs VCS.

Ajouter un certificat auto-signé du serveur CUCM au serveur VCS

Ajoutez les certificats des serveurs CUCM afin que le VCS les approuve. Dans cet exemple, vous utilisez les certificats auto-signés standard de CUCM ; CUCM génère des certificats auto-signés pendant l'installation, vous n'avez donc pas besoin de les créer comme vous l'avez fait sur le VCS.

Cette procédure décrit comment ajouter un certificat auto-signé du serveur CUCM au serveur VCS :

Téléchargez le certificat CallManager.pem depuis CUCM. Connectez-vous à la page OS Administration, accédez à Security > Certificate Management, puis sélectionnez et téléchargez le certificat auto-signé CallManager.pem :
Ajoutez ce certificat en tant que certificat CA approuvé sur le VCS.Sur le VCS, accédez à Maintenance > Certificate management > Trusted CA certificate, et sélectionnez Show CA certificate :

Une nouvelle fenêtre s'ouvre avec tous les certificats actuellement approuvés.

Copiez tous les certificats actuellement approuvés dans un fichier texte. Ouvrez le fichier CallManager.pem dans un éditeur de texte, copiez son contenu et ajoutez ce contenu au bas du même fichier texte après les certificats actuellement approuvés :

CallManagerPub
======================
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Si vous avez plusieurs serveurs dans le cluster CUCM, ajoutez-les tous ici.

Enregistrez le fichier sous le nom CATrust.pem, et cliquez sur Upload CA certificate afin de télécharger le fichier à nouveau sur le VCS :

Le VCS fait désormais confiance aux certificats offerts par CUCM.
Répétez cette procédure pour tous les serveurs VCS.

Télécharger le certificat du serveur VCS vers le serveur CUCM

Le CUCM doit faire confiance aux certificats offerts par le VCS.

Cette procédure décrit comment télécharger le certificat VCS que vous avez généré sur le CUCM en tant que certificat CallManager-Trust :

Sur la page OS Administration, accédez à Security > Certificate Management, entrez le nom du certificat, accédez à son emplacement et cliquez sur Upload File:
Téléchargez le certificat à partir de tous les serveurs VCS. Effectuez cette opération sur chaque serveur CUCM qui communiquera avec le VCS ; il s'agit généralement de tous les noeuds qui exécutent le service CallManager.

Connexion SIP

Une fois que les certificats sont validés et que les deux systèmes se font confiance, configurez la zone voisine sur VCS et la ligne principale SIP sur CUCM. Pour plus d'informations sur cette procédure, reportez-vous au Guide de déploiement de Cisco TelePresence Cisco Unified Communications Manager avec Cisco VCS (ligne principale SIP).

Vérification

Vérifiez que la connexion SIP est active dans la zone voisine sur VCS :

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.