إجراء إدارة الشهادات المجمعة بين مجموعات CUCM للترحيل عبر الهاتف

المقدمة

يقدم هذا المستند إجراء إرشادي لإدارة الشهادات المجمعة بين مجموعات مدير الاتصالات الموحدة (CUCM) من Cisco لترحيل الهواتف.

تمت المساهمة بواسطة أدريان إسكيللو، مهندس TAC من Cisco.

ملاحظة: هذا الإجراء موضح أيضا في قسم إدارة الشهادات المجمعة من دليل الإدارة الخاص بإصدار دليل إدارة عمليات حفظ الطبيعة (CUCM) الإصدار 12.5(1)

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:
· خادم بروتوكول نقل الملفات الآمن (SFTP)
· شهادات CUCM

المكونات المستخدمة

· تستند المعلومات الواردة في هذا المستند إلى CUCM 10.x.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تسمح "إدارة الشهادات المجمعة" بمشاركة مجموعة من الشهادات بين مجموعات CUCM. هذه الخطوة هي شرط لوظائف النظام الخاصة بالمجموعات الفردية التي تحتاج إلى الثقة التي سيتم إنشاؤها فيما بينها مثل Extension Mobility Cross Cluster (EMCC)، بالإضافة إلى النقل عبر الهاتف بين المجموعات.

كجزء من الإجراء، يتم إنشاء ملف معايير تشفير المفاتيح العامة #12 (PKCS12) يحتوي على شهادات من جميع العقد في نظام مجموعة. يجب أن يقوم كل نظام مجموعة بتصدير شهاداته إلى نفس دليل SFTP على نفس خادم SFTP. يجب إجراء تكوينات إدارة الشهادات المجمعة يدويا على ناشر CUCM لكل من مجموعتي المصدر والوجهة. يجب أن تكون مجموعات المصدر والوجهة نشطة وتشغيلية بحيث يكون للهواتف التي سيتم ترحيلها اتصال بكل من هذه المجموعات. يتم ترحيل هواتف نظام المجموعة المصدر إلى نظام المجموعة الوجهة.

إجراء إدارة الشهادات المجمعة

تصدير شهادات نظام المجموعة الوجهة

الخطوة 1. قم بتكوين خادم SFTP لإدارة الشهادات المجمعة على ناشر CUCM الخاص بالمجموعة الوجهة.

في هذا المثال، إصدار CUCM لمجموعة الوجهة هو 11.5.1.

· انتقل إلى إدارة Cisco الموحدة لنظام التشغيل > الأمان > إدارة الشهادات المجمعة أدخل تفاصيل خادم SFTP وانقر تصدير، كما هو موضح في الصورة.

الخطوة 2. قم بتصدير جميع الشهادات من جميع العقد في نظام المجموعة الوجهة إلى خادم SFTP.

· في الإطار المنبثق التالي، حدد الكل لنوع الشهادة ثم انقر تصدير، كما هو موضح في الصورة.

· إغلاق النافذة المنبثقة وتحديثات "إدارة الشهادات المجمعة" باستخدام ملفات PKCS12 التي تم إنشاؤها لكل عقد في المجموعة الوجهة، يتم تحديث صفحة الويب بهذه المعلومات كما هو موضح في الصورة.

تصدير شهادات نظام المجموعة المصدر

الخطوة 1. قم بتكوين خادم SFTP لإدارة الشهادات المجمعة على ناشر CUCM الخاص بنظام المجموعة المصدر.

في هذا المثال، إصدار CUCM الخاص بنظام المجموعة المصدر هو 10.5.2.

· انتقل إلى إدارة Cisco الموحدة لنظام التشغيل > الأمان > إدارة الشهادات المجمعة أدخل تفاصيل خادم SFTP وانقر تصدير، كما هو موضح في الصورة.

ملاحظة: تظهر ملفات PKCS12 التي تم تصديرها من نظام المجموعة الوجهة إلى خادم SFTP على صفحة الويب الخاصة بإدارة الشهادات المجمعة الخاصة بناشر نظام المجموعة المصدر CUCM عند الوصول إليها.

الخطوة 2. تصدير جميع الشهادات من جميع العقد في نظام المجموعة المصدر إلى خادم SFTP.

· في الإطار المنبثق التالي، حدد الكل لنوع الشهادة ثم انقر تصدير، كما هو موضح في الصورة.

· إغلاق النافذة المنبثقة وتحديثات "إدارة الشهادات المجمعة" باستخدام ملفات PKCS12 التي تم إنشاؤها لكل عقد في نظام المجموعة المصدر، يتم تحديث صفحة الويب بهذه المعلومات. تعرض صفحة ويب الخاصة بإدارة الشهادات المجمعة الخاصة بنظام المجموعة المصدر الآن كل من ملفات PKCS12 المصدر والوجهة المصدرة إلى SFTP، كما هو موضح في الصورة.

دمج ملفات PKCS12 المصدر والوجهة

ملاحظة: في حين يتم تصدير إدارة الشهادات المجمعة على كل من مجموعتي المصدر والوجهة، يتم الدمج من خلال ناشر CUCM في واحدة فقط من المجموعات.

الخطوة 1.  ارجع إلى صفحة إدارة الشهادات المجمعة الخاصة بناشر CUCM الخاص بنظام المجموعة المصدر وانقر فوق "الدمج"، كما هو موضح في الصورة.

· في الإطار المنبثق التالي، حدد الكل لنوع الشهادة ثم انقر دمج، كما هو موضح في الصورة.

'في أي وقت، يمكنك التحقق من دليل SFTP للتحقق من ملفات PKCS12 الموجودة لكل من مجموعات المصدر والوجهة. تم إكمال محتويات دليل SFTP بعد تصدير جميع الشهادات من كل من مجموعات الوجهة والمصدر، كما هو موضح في الصور.

إستيراد الشهادات إلى مجموعات الوجهة والمصدر

الخطوة 1. إستيراد الشهادات إلى نظام المجموعة الوجهة

>على ناشر CUCM الخاص بمجموعة الوجهة انتقل إلى إدارة Cisco Unified OS > الأمان > إدارة الشهادات المجمعة وترك تحديث الصفحة، ثم انقر إستيراد، كما هو موضح في الصورة.

· في الإطار المنبثق التالي، حدد الكل لنوع الشهادة ثم انقر على إستيراد، كما هو موضح في الصورة.

الخطوة 2.  كرر الخطوة 1 لنظام المجموعة المصدر.

ملاحظة: عند إجراء إستيراد الشهادات المجمعة، يتم تحميل الشهادات المعتمدة إلى نظام المجموعة البعيدة كما يلي:
· يتم تحميل شهادة دالة وكيل المرجع المصدق (CAPF) كوديعة CallManager
· يتم تحميل شهادة Tomcat كوثيقة مراقبة
· يتم تحميل شهادة CallManager كثقة في Phone-Ast و CallManager
· يتم تحميل شهادة إسترداد قائمة الثقة بالهوية (ITLRecovery) كثقة في Phone-Ast و CallManager

تكوين هواتف نظام المجموعة المصدر باستخدام معلومات خادم TFTP لنظام المجموعة الوجهة

قم بتكوين نطاق DHCP لهواتف نظام المجموعة المصدر باستخدام خيار بروتوكول نقل الملفات المبسط (TFTP) 150 للإشارة إلى خوادم نظام المجموعة الوجهة CUCM TFTP.

إعادة ضبط هواتف نظام المجموعة المصدر للحصول على ملف ITL/CTL لنظام المجموعة الوجهة لإكمال عملية الترحيل

كجزء من عملية الترحيل، تحاول هواتف نظام المجموعة المصدر إعداد اتصال آمن بخدمة التحقق من الثقة (TVS) الخاصة بنظام المجموعة المصدر للتحقق من CallManager الخاص بنظام المجموعة الوجهة أو شهادة ITLRecovery.

ملاحظة: إما أن شهادة CallManager الخاصة بنظام المجموعة المصدر من خادم CUCM الذي يشغل خدمة TFTP (المعروفة أيضا بشهادة TFTP) أو أن شهادة ITLRecovery الخاصة بها توقع على ملف قائمة الشهادات (CTL) الخاصة بعقدة CUCM المصدر و/أو ملف قائمة الثقة بالهوية (ITL). وبالمثل، إما أن شهادة CallManager الخاصة بمجموعة الوجهة من خادم CUCM الذي يشغل خدمة TFTP أو أن شهادة ITLRovery الخاصة بها توقع على CTL و/أو ملف ITL الخاص بعقدة CUCM الخاصة بعقدة نظام المجموعة الوجهة. يتم إنشاء ملفات CTL و ITL على عقد CUCM التي تقوم بتشغيل خدمة TFTP. إذا لم يتم التحقق من صحة ملف CTL و/أو ITL لنظام المجموعة الوجهة بواسطة أجهزة التلفزيون المصدر، يفشل ترحيل الهاتف إلى نظام المجموعة الوجهة.

ملاحظة: قبل بدء عملية ترحيل هاتف نظام المجموعة المصدر، تأكد من أن هذه الهواتف تحتوي على ملف CTL و/أو ITL صالح مثبت. تأكد أيضا من تعيين ميزة المؤسسة "إعداد نظام المجموعة للرجوع إلى ما قبل 8.0" إلى "خطأ" لنظام المجموعة المصدر. تحقق بالإضافة إلى ذلك من أن عقد CUCM الخاصة بمجموعة الوجهة التي تقوم بتشغيل خدمة TFTP بها ملفات CTL و/أو ITL صحيحة مثبتة.

قم بالعملية في نظام المجموعة غير الآمن للحصول على ملف ITL لنظام المجموعة الوجهة من أجل إتمام عملية ترحيل الهواتف:

الخطوة 1. لا يمكن إستخدام CallManager ولا شهادة ITLRecovery الموجودة في ملف ITL الخاص بالمجموعة الوجهة، والتي يتم تقديمها إلى هاتف نظام المجموعة المصدر عند إعادة التعيين، للتحقق من صحة ملف ITL المثبت حاليا. وهذا يتسبب في قيام هاتف نظام المجموعة المصدر بإنشاء اتصال بأجهزة التلفزيون الخاصة بنظام المجموعة المصدر للتحقق من ملف ITL لنظام المجموعة الوجهة.
الخطوة 2. ينشئ الهاتف اتصالا بأجهزة تلفاز نظام المجموعة المصدر على منفذ TCP 2445.
الخطوة 3. تعرض أجهزة التلفزيون الخاصة بمجموعة المصدر شهادتها على الهاتف. يتحقق الهاتف من صحة الاتصال ويطلب من أجهزة TVS لنظام المجموعة المصدر التحقق من صحة شهادة CallManager أو ITLRecovery الخاصة بنظام المجموعة الوجهة للسماح للهاتف بتنزيل ملف ITL الخاص بنظام المجموعة الوجهة.
الخطوة 4. بعد التحقق من صحة ملف ITL لنظام المجموعة الوجهة وتثبيته، يمكن لهاتف نظام المجموعة المصدر التحقق من صحة ملفات التكوين الموقعة وتنزيلها من نظام المجموعة الوجهة.

قم بالعملية في نظام مجموعة آمن للهواتف المصدر للحصول على ملف CTL لنظام المجموعة الوجهة لإكمال عملية ترحيل الهواتف:

الخطوة 1. يجري تمهيد الهاتف ويحاول تنزيل ملف CTL من مجموعة الوجهة.
الخطوة 2. يتم توقيع ملف CTL من قبل شهادة CallManager أو ITLRecovery الخاصة بنظام المجموعة الوجهة والتي ليست موجودة في ملف CTL أو ITL الحالي للهاتف.
الخطوة 3. ونتيجة لذلك، يتصل الهاتف بالتلفاز على نظام المجموعة المصدر للتحقق من شهادة CallManager أو ITLRecovery.

ملاحظة: في هذه المرحلة، لا يزال للهاتف التكوين القديم الخاص به الذي يحتوي على عنوان IP الخاص بخدمة أجهزة التلفزيون الخاصة بمجموعة المصادر. خوادم TVS المحددة في تكوين الهواتف هي نفسها مجموعة CallManager للهواتف.

الخطوة 4. يقوم الهاتف بإعداد اتصال "أمان طبقة النقل (TLS)" بالتلفاز في مجموعة المصدر.
الخطوة 5. عندما يقدم مصدر نظام المجموعة TVS شهادته إلى الهاتف، يتحقق الهاتف من شهادة TVS هذه مقابل الشهادة في ملف ITL الحالي.
الخطوة 6. إذا كانا متماثلين، تكتمل المصافحة بنجاح.
الخطوة 7. يطلب الهاتف المصدر أن يقوم نظام المجموعة المصدر TVS بالتحقق من شهادة CallManager أو ITLRecovery من ملف CTL لنظام المجموعة الوجهة.
الخطوة 8. تبحث خدمة TVS المصدر عن CallManager أو ITLRecovery لنظام المجموعة الوجهة في مخزن الشهادات الخاص بها، وتتحقق من صحته ويمضي هاتف نظام المجموعة المصدر في التحديث باستخدام ملف CTL لنظام المجموعة الوجهة.
الخطوة 9. يقوم الهاتف المصدر بتنزيل ملف ITL الخاص بنظام المجموعة الوجهة والذي تم التحقق من صحته مقابل ملف CTL لنظام المجموعة الوجهة الذي يحتوي عليه الآن. بما أن ملف CTL الخاص بالهاتف المصدر يحتوي الآن على شهادة CallManager أو ITLRecovery الخاصة بنظام المجموعة الوجهة، يمكن للهاتف المصدر التحقق الآن من شهادة CallManager أو ITLRecovery دون الحاجة إلى الاتصال بأجهزة TVS الخاصة بنظام المجموعة المصدر.

التحقق من الصحة

لا يوجد حاليًا إجراء للتحقق من صحة هذا التكوين.

استكشاف الأخطاء وإصلاحها

لا تتوفر حاليًا معلومات محددة لاستكشاف الأخطاء وإصلاحها لهذا التكوين.

فيديو المرور عبر التكوين

يوفر هذا الارتباط إمكانية الوصول إلى فيديو يسير عبر إدارة الشهادات المجمعة بين مجموعات CUCM:

إدارة الشهادات المجمعة بين مجموعات CUCM