المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

التكوين

المهمة 1. التكوين الآمن للمكعب

المهمة 2. التكوين الآمن ل CVP

المهمة 3. التكوين الآمن CVB

المهمة 4. التكوين الآمن ل CUCM

تعيين وضع أمان CUCM على الوضع المختلط

تكوين ملفات تعريف أمان خط اتصال SIP ل CUBE و CVP

إقران ملفات تعريف أمان خط اتصال SIP بشبكات SIP المقابلة

اتصال جهاز "الوكلاء الأمنين" ب CUCM

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

المقدمة

يوضح هذا المستند كيفية تأمين تدفق المكالمات الشامل لبروتوكول بدء جلسة عمل (SIP) في Contact Center Enterprise (CCE).

المتطلبات الأساسية

وخارج نطاق إنشاء الشهادات واستيرادها من هذا المستند، لذلك يجب إنشاء شهادات مدير الاتصالات الموحدة (CUCM) من Cisco وخادم المكالمات الخاص ب Customer Voice Portal (CVP) والمستعرض الصوتي الظاهري (CVB) من Cisco وعنصر الحدود الموحدة (CUBE) من Cisco واستيرادها إلى المكونات المعنية. إذا كنت تستخدم شهادات موقعة ذاتيا، فإن تبادل الشهادات يجب أن يتم بين مكونات مختلفة.

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- CCE

- CVP

- مكعب

- CUCM

- CVB

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى الإصدار 12.6 من Package Contact Center Enterprise (PCCE) و CVP و CVB و CVB، ولكنها تنطبق أيضا على الإصدارات السابقة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

التكوين

يعرض المخطط التالي المكونات المشاركة في إرسال إشارات SIP في تدفق المكالمات الشامل لمركز الاتصال. عندما تصل مكالمة صوتية إلى النظام، تأتي أولا من خلال بوابة الدخول أو المكعب، لذلك قم بتشغيل تكوينات SIP الآمنة على CUBE. بعد ذلك، قم بتكوين CVP و CVB و CUCM.

المهمة 1. التكوين الآمن للمكعب

في هذه المهمة، قم بتكوين CUBE لتأمين رسائل بروتوكول SIP.

التكوينات المطلوبة:

- تكوين TrustPoint افتراضي لوكيل مستخدم SIP (UA)

- تعديل أقران الطلب لاستخدام أمان طبقة النقل (TLS)

الخطوات:

1. فتح جلسة عمل Secure Shell (SSH) إلى المكعب.

2. قم بتشغيل هذه الأوامر لجعل مكدس SIP يستخدم شهادة المرجع المصدق (CA) الخاصة بالمكعب. ينشئ المكعب اتصال SIP TLS من/إلى CUCM (198.18.133.3) و CVP (198.18.133.13).

conf t sip-ua transport tcp tls v1.2 crypto signaling remote-addr 198.18.133.3 255.255.255.255 trustpoint ms-ca-name crypto signaling remote-addr 198.18.133.13 255.255.255.255 trustpoint ms-ca-name exit

3. قم بتشغيل هذه الأوامر لتمكين TLS على نظير الطلب الصادر إلى CVP. في هذا المثال، يتم إستخدام علامة نظير الطلب 6000 لتوجيه المكالمات إلى CVP.

Conf t dial-peer voice 6000 voip session target ipv4:198.18.133.13:5061 session transport tcp tls exit

المهمة 2. التكوين الآمن ل CVP

في هذه المهمة، قم بتكوين خادم مكالمات CVP لتأمين رسائل بروتوكول SIP (SIP TLS).

الخطوات:

1. تسجيل الدخول إلىUCCE Web Administration.

2. انتقل إلى  Call Settings > Route Settings > SIP Server Group.

استنادا إلى التكوينات الخاصة بك، لديك مجموعات خوادم SIP تم تكوينها ل CUCM و CVB و CUBE. أنت تحتاج أن يثبت يأمن SIP ميناء إلى 5061 لكل منهم. في هذا المثال، يتم إستخدام مجموعات خوادم SIP التالية:

- cucm1.dcloud.cisco.com ل CUCM

- vvb1.dcloud.cisco.com ل CVB

- cube1.dcloud.cisco.com  ل CUBE

3. انقر  cucm1.dcloud.cisco.com  ومن ثم في  Members  علامة التبويب التي تظهر تفاصيل تكوين مجموعة خوادم SIP. مجموعة SecurePort               إلى 5061 وانقر فوق  Save .

4. انقر vvb1.dcloud.cisco.com ومن ثم في  Members  علامة تبويب. تعيين SecurePort إلى 5061 وانقر فوق  Save.

المهمة 3. التكوين الآمن CVB

في هذه المهمة، قم بتكوين CVB لتأمين رسائل بروتوكول SIP (SIP TLS).

الخطوات:

1. تسجيل الدخول إلى  Cisco VVB Administration  صفحة.

2. انتقل إلى  System > System Parameters.

3. في  Security Parameters  مقطع، إختيار  Enable  من أجل TLS(SIP) . نبقي  Supported TLS(SIP) version  ك  TLSv1.2.

4. طقطقة تحديث. انقر Ok عند المطالبة بإعادة تشغيل محرك CVB.

5. تتطلب هذه التغييرات إعادة تشغيل محرك Cisco VVB. لإعادة تشغيل محرك VB، انتقل إلى Cisco VVB Serviceability ثم انقر Go.

6. انتقل إلى  Tools > Control Center – Network Services.

7. نختار Engine وانقر فوق  Restart.

المهمة 4. التكوين الآمن ل CUCM

لتأمين رسائل SIP على CUCM، قم بإجراء التكوينات التالية:

- تعيين وضع أمان CUCM على الوضع المختلط

- تكوين ملفات تعريف أمان خط اتصال SIP ل CUBE و CVP

- إقران ملفات تعريف أمان خط اتصال SIP بشبكات SIP المقابلة

- اتصال جهاز "الوكلاء الأمنين" ب CUCM

تعيين وضع أمان CUCM على الوضع المختلط

يدعم CUCM وضعي أمان:

- الوضع غير الآمن (الوضع الافتراضي)

- الوضع المختلط (الوضع الآمن)

الخطوات:

1. لتعيين وضع الأمان على الوضع المختلط، قم بتسجيل الدخول إلى  Cisco Unified CM Administration  الواجهة.

2. بعد تسجيل الدخول بنجاح إلى CUCM، انتقل إلى  System > Enterprise Parameters.

3. تحت Security Parameters المقطع، تحقق مما إذا  Cluster Security Mode تم تعيينه على 0.

4. في حالة تعيين "وضع أمان نظام المجموعة" على أنه 0، فهذا يعني تعيين وضع أمان نظام المجموعة على وضع غير آمن. تحتاج إلى تمكين الوضع المختلط من CLI.

5. افتح جلسة SSH إلى CUCM.

6. بعد تسجيل الدخول بنجاح إلى CUCM عبر SSH، قم بتشغيل هذا الأمر: utils ctl set-cluster mixed-mode

7. النوع y وانقر فوق إدخال عند طلبها. يقوم هذا الأمر بتعيين وضع أمان نظام المجموعة إلى الوضع المختلط.

8. لتفعيل التغييرات، قم بإعادة التشغيل  Cisco CallManager  و  Cisco CTIManager  الخدمات.

9. لإعادة تشغيل الخدمات، قم بالتنقل وتسجيل الدخول إلى Cisco Unified Serviceability.

10. بعد تسجيل الدخول بنجاح، انتقل إلى  Tools > Control Center – Feature Services.

11. أختر الخادم ثم انقر فوق Go.

12. تحت خدمات CM، أختر Cisco CallManager  ثم انقر  Restart  زر أعلى الصفحة.

13. تأكيد الرسالة المنبثقة والنقر OK. انتظر حتى يتم إعادة تشغيل الخدمة بنجاح.

14. بعد إعادة التشغيل الناجحة ل  Cisco CallManager، أختر Cisco  CTIManager  ثم انقر Restart زر إعادة التشغيل  Cisco CTIManager  الخدمه.

15. تأكيد الرسالة المنبثقة والنقر OK. انتظر حتى يتم إعادة تشغيل الخدمة بنجاح.

16. بعد إعادة تشغيل الخدمات بنجاح، تحقق من تعيين وضع أمان نظام المجموعة على الوضع المختلط، انتقل إلى إدارة CUCM كما هو موضح في الخطوة 5. ثم تحقق من Cluster Security Mode. والآن يجب تعيينها على 1.

تكوين ملفات تعريف أمان خط اتصال SIP ل CUBE و CVP

الخطوات:

1. تسجيل الدخول إلى  CUCM administration  الواجهة.

2. بعد تسجيل الدخول الناجح إلى CUCM، انتقل إلى System > Security > SIP Trunk Security Profile  لإنشاء ملف تعريف أمان للجهاز ل CUBE.

3. في أعلى اليسار، انقر  Add New  لإضافة ملف تعريف جديد.

4. التكوين SIP Trunk Security Profile كما هو موضح في هذه الصورة، ثم انقر  Save  في أسفل يسار الصفحة إلى  Save  هو.

5. تأكد من تعيين  Secure Certificate Subject or Subject Alternate Name  إلى الاسم الشائع (CN) لشهادة CUBE كما يجب أن تتطابق.

6. انقر فوق  Copy  زر وتغيير Name               إلى  SecureSipTLSforCVP و Secure Certificate Subject إلى CN الخاص بشهادة خادم الاتصال ب CVP كما يجب أن تطابق. انقر Save زر.

إقران ملفات تعريف أمان خط اتصال SIP بشبكات SIP المقابلة

الخطوات:

1. في صفحة إدارة CUCM، انتقل إلى  Device > Trunk.

2. البحث عن خط اتصال المكعب. في هذا المثال، اسم خط اتصال المكعب هو  vCube . انقر Find.

3. انقر فوق vCUBE لفتح صفحة تكوين خط اتصال vCUBE.

4. تمرير لأسفل إلى SIP Information قسم، وتغيير  Destination Port                إلى  5061.

5. تغيير SIP Trunk Security Profile               إلى  SecureSIPTLSForCube.

6. انقر Save ثم Rest من أجل  Save وتطبيق التغييرات.

7. انتقل إلى  Device > Trunk، والبحث عن خط اتصال CVP. في هذا المثال، اسم خط اتصال CVP هو  cvp-SIP-Trunk . انقر Find.

8. انقر CVP-SIP-Trunk لفتح صفحة تكوين خط اتصال CVP.

9. تمرير لأسفل إلى SIP Information مقطع، وتغيير  Destination Port                إلى  5061 .

10. تغيير  SIP Trunk Security Profile                إلى  SecureSIPTLSForCvp.

11. انقر  Save ثم Rest من أجل save وتطبيق التغييرات.

اتصال جهاز "الوكلاء الأمنين" ب CUCM

لتمكين ميزات الأمان للجهاز، يجب تثبيت شهادة ذات أهمية محلية (LSC) وتعيين ملف تعريف أمان لذلك الجهاز. يحتوي LSC على المفتاح العام لنقطة النهاية، والذي تم توقيعه من قبل المفتاح الخاص لوظيفة وكيل المرجع المصدق (CAPF). وهو غير مثبت على الهواتف بشكل افتراضي.

الخطوات:

1. تسجيل الدخول إلى Cisco Unified Serviceability Interface.

2. انتقل إلى  Tools > Service Activation.

3. أختر خادم CUCM وانقر  Go .

4. فحص Cisco Certificate Authority Proxy Function وانقر فوق  Save لتنشيط الخدمة. انقر Ok للتأكيد.

5. تأكد من تنشيط الخدمة ثم انتقل إلى  Cisco Unified CM Administration.

6. بعد تسجيل الدخول بنجاح إلى إدارة CUCM، انتقل إلى  System > Security > Phone Security Profile  لإنشاء ملف تعريف أمان للجهاز الوكيل.

7. اعثر على توصيفات التأمين المتعلقة بنوع جهاز الوكيل. في هذا المثال، يتم إستخدام هاتف ناعم، لذا أختر  Cisco Unified Client Services Framework - Standard SIP Non-Secure Profile . انقر Copy لنسخ ملف التعريف هذا.

8. إعادة تسمية ملف التعريف إلى  Cisco Unified Client Services Framework - Secure Profile، قم بتغيير المعاملات كما هو موضح في هذه الصورة، ثم انقر فوق  Save في أعلى يسار الصفحة.

9. بعد الإنشاء الناجح لملف تعريف جهاز الهاتف، انتقل إلى  Device > Phone.

10. انقر Find لسرد جميع الهواتف المتوفرة، انقر فوق هاتف الوكيل.

11. يتم فتح صفحة تكوين هاتف الوكيل. بحث Certification Authority Proxy Function (CAPF) Information قسم. لتثبيت LSC، قم بتعيين Certificate Operation               إلى Install/Upgrade و Operation Completes by إلى أي تاريخ في المستقبل.

12. بحث Protocol Specific Information قسم. تغيير Device Security Profile               إلى  Cisco Unified Client Services Framework – Secure Profile.

13. انقر  Save في أعلى يسار الصفحة. تأكد من حفظ التغييرات بنجاح وانقر فوق  Reset.

14. تفتح نافذة منبثقة، انقر  Reset  لتأكيد الإجراء.

15. بعد تسجيل جهاز الوكيل مرة أخرى باستخدام CUCM، قم بتحديث الصفحة الحالية وتحقق من تثبيت LSC بنجاح. فحص Certification Authority Proxy Function (CAPF) Information قسم، Certificate Operation يجب تعيينها إلى  No Pending Operation,و Certificate Operation Status تم تعيينه على  Upgrade Success .

16. أحلت steps. 7-13 لتأمين أجهزة العملاء الأخرى التي تريد إستخدامها لتأمين SIP باستخدام CUCM.

التحقق من الصحة

للتحقق من صحة إرسال إشارات SIP مؤمن بشكل صحيح، قم بتنفيذ الخطوات التالية:

1. فتح جلسة SSH إلى vCUBE، قم بتشغيل الأمر show sip-ua connections tcp tls detail ، وتأكيد عدم وجود اتصال TLS مثبت حاليا مع CVP (198.18.133.13).

ملاحظة: في هذه اللحظة، يتم تمكين جلسة TLS نشطة واحدة فقط مع CUCM، لخيارات SIP على CUCM (198.18.133.3). في حالة عدم تمكين خيارات SIP، لا يوجد اتصال SIP TLS.

2. سجل الدخول إلى CVP وابدأ Wireshark.

3. إجراء مكالمة إختبار لرقم مركز الاتصال.

4. انتقل إلى جلسة CVP؛ على Wireshark، قم بتشغيل عامل التصفية هذا للتحقق من إرسال إشارات SIP باستخدام CUBE:

ip.addr == 198.18.133.226 && tls && tcp.port==5061

التحقق: هل تم إنشاء اتصال SIP عبر TLS؟ إذا كانت الإجابة بنعم، فإن الإخراج يؤكد تأمين إشارات SIP بين CVP و CUBE.

5. تحقق من اتصال SIP TLS بين CVP و CVB. في نفس جلسة Wireshark، قم بتشغيل عامل التصفية هذا:

ip.addr == 198.18.133.143 && tls && tcp.port==5061

التحقق: هل تم إنشاء اتصال SIP عبر TLS؟ إذا كانت الإجابة بنعم، فإن الإخراج يؤكد تأمين إشارات SIP بين CVP و CVB.

6. يمكنك أيضا التحقق من اتصال SIP TLS ب CVP من CUBE. انتقل إلى جلسة SSH الخاصة ب vCUBE، وشغل هذا الأمر للتحقق من إشارات SIP الآمنة:

show sip-ua connections tcp tls detail

التحقق: هل تم إنشاء اتصال SIP عبر TLS مع CVP؟ إذا كانت الإجابة بنعم، فإن الإخراج يؤكد تأمين إشارات SIP بين CVP و CUBE.

7. في هذه اللحظة، يتم الاتصال بشكل نشط وتسمع الموسيقى قيد الانتظار (MoH) نظرا لعدم توفر وكيل للرد على المكالمة.

8. أجعل الوكيل متوفرا للرد على المكالمة.

.

9. يتم حجز العميل ويتم توجيه المكالمة إليه. انقر Answer رد على المكالمة.

10. يتصل الاتصال بالوكيل.

11. للتحقق من إشارات SIP بين CVP و CUCM، انتقل إلى جلسة CVP، وشغل هذا المرشح في Wireshark:

ip.addr == 198.18.133.3 && tls && tcp.port==5061

تحقق: هل جميع إتصالات SIP مع CUCM (198.18.133.3) عبر TLS؟ إذا كانت الإجابة بنعم، فإن المخرجات تؤكد أن إشارات SIP بين CVP و CUCM مؤمنة.

استكشاف الأخطاء وإصلاحها

إذا لم يتم إنشاء TLS، فقم بتشغيل هذه الأوامر على CUBE لتمكين تصحيح أخطاء TLS لاستكشاف الأخطاء وإصلاحها:

- Debug ssl openssl errors

- Debug ssl openssl msg

- Debug ssl openssl states