يصف هذا المستند المشاكل الشائعة بعد إعادة إنشاء الشهادات في Cisco Unified Communications Manager (CUCM) وكيفية حلها.
توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:
تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:
تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.
يعرض هذا الجدول تأثير كل تجديد للشهادة على الشركة في عمليتك. راجعوا المعلومات باعتناء. تجديد الشهادات المطلوبة بعد ساعات العمل أو في فترات الهدوء، استنادا إلى مستوى المخاطر لكل شهادة.

ملاحظة: وينطبق هذا السيناريو على عمليات النشر في إطار مجموعات CUCM المختلطة وغير الآمنة، بالإضافة إلى ذلك، ينطبق على الشهادات الموقعة ذاتيا وشهادات CA.
عند انتهاء صلاحية شهادات Call Manager و TVS و ITL وتم تجديدها في نفس الوقت، فإنها تتسبب في وضع جميع هواتفنا في حالة غير مسجلة مما يتسبب في تأثير كبير على النظام، ومن المتوقع أن يكون هذا سلوكا نظرا لأننا نقوم بتشغيل الهواتف لعدم الثقة في CUCM.
1. تأكد من أن الشهادات منتهية الصلاحية بالفعل تحت إدارة نظام التشغيل الموحد من Cisco > الأمان > إدارة الشهادات

2. ابحث بواسطة CallManager أو TVS أو ITL تحت عامل التصفية في أعلى الصفحة واستخدم خيارات التضمين أو البدء بالخيارات:

3. يجب أن تكون الشهادات حديثة ومتكاملة تحت عمود انتهاء الصلاحية (نفس لشهادات TVS و ITL)

4. بمجرد التحقق من أن كل شيء جيد بعد تجديد الشهادة، يتم عرض الهواتف على أنها حالة غير مسجلة.

هناك خياران لإصلاح المشكلة:

ملاحظة: يمكن تطبيق هذا السيناريو على عمليات النشر التي تستخدم إتفاقية على مستوى المجموعة أو لكل عقدة لتكوين تسجيل الدخول الأحادي
تسجيل الدخول ضمن CUCM باستخدام تسجيل دخول أحادي (SSO) يعرض رسالة خطأ ¨خطأ أثناء معالجة إستجابة saml" أو ¨خطأ أثناء معالجة إستجابة saml فشلت في فك تشفير المفتاح السري"
2026-01-10 06:06:31,274 ERROR [http-nio-81-exec-157] cpi.sso.saml.sp.security.authentication.SAMLAuthenticator - Error while processing saml response Failed to decrypt the secret key.
com.sun.identity.saml2.common.SAML2Exception: Failed to decrypt the secret key.
at com.sun.identity.saml2.xmlenc.FMEncProvider.getEncryptionKey(FMEncProvider.java:724) ~[?:?]
at com.sun.identity.saml2.xmlenc.FMEncProvider.decrypt(FMEncProvider.java:607) ~[?:?]
at com.sun.identity.saml2.assertion.impl.EncryptedAssertionImpl.decrypt(EncryptedAssertionImpl.java:112) ~[?:?]
...
تصدير بيانات تعريف CUCM بعد تجديد شهادة TOMCAT واستيرادها إلى خادم موفر التعريف للتأكد من توفر شهادة TOMCAT الجديدة لهذا الاتصال.
إجراء تجديد TOMCAT مع تمكين نشر SSO:
تحذير: يوصي مركز المساعدة التقنية (TAC) بالخطوات التالية لمنع أي مشكلة بعد تجديد شهادة Tomcat، وينصح بإجراء هذا الإجراء بعد ساعات.

1. تعطيل SSO في جميع عقد CUCM


2. تجديد شهادة Tomcat في مجموعة CUCM

الإجراء الإجمالي لتجديد شهادة Tomcat متعددة شبكات منطقة التخزين (SAN) في مجموعة CUCM:


للحصول على مزيد من المعلومات، ارجع إلى هذه الوثائق:
3. تصدير بيانات تعريف موفر الخدمة (SP)


إستيراد بيانات تعريف SP إلى خادم موفر الهوية (IdP). لمزيد من المعلومات، راجع تكوين SAML SSO على موفر الهوية
4. تمكين SSO في مجموعة CUCM







4. إعادة تشغيل الخدمات المطلوبة بعد تمكين SSO.


ومع ذلك، يوصي TAC بإعادة تشغيل Tomcat (إعادة تشغيل خدمة utils Cisco Tomcat) و UDS Tomcat (إعادة تشغيل خدمة utils CiscoUDSTomcat) يدويا في جميع العقد بعد عملية تمكين SSO.
يتعذر على تطبيق Webex التسجيل مع CUCM عبر Mobility و Remote Access (MRA) بعد تجديد شهادات Call Manager و Tomcat و Expressway C على عمليات النشر في الوضع المختلط.
2026-01-29T14:01:16.974-05:00 exp-c traffic_server[2030]: UTCTime="2026-01-29 19:01:16,974" Module="network.http.trafficserver" Level="DEBUG": Detail="Sending Request" Txn-id="3028" TrackingID="fxxxxxxx-86f6-4030-8259-0b768c07723e" Dst-ip="xxx.xxx.xxx.xxx" Dst-port="6972" HTTPMSG: |GET /CSFmarcoalh.cnf.xml HTTP/1.1 Host: expc.cisco.com:6972 Accept: */* Cookie:<CONCEALED> User-Agent: WebEx/0.0.0.0 TrackingID: fxxxxxxx-86f6-4030-8259-0b768c07723e Client-ip: xxx.xxx.xxx.xxx X-Forwarded-For: xxx.xxx.xxx.xxx, 127.0.0.1 Via: https/1.1 vcs[0fxxxxxx-c853-xxxx-aa16-0a290bf56fc8] (ATS), http/1.1 vcs[5xxxxxxx-7feb-4xxx-91e0-757d251d9116] (ATS) | 2026-01-29T14:01:16.974-05:00 exp-c traffic_server[2030]:[ET_NET 1]ERROR:SSL connection failed for 'expc.cisco.com':error:14094418:SSL routines:ssl3_read_bytes:tlsv1 alert unknown ca
تصدير واستيراد الشهادات بين CUCM و Expressway-C لضمان علاقة الثقة.
تحذير: يوصي TAC بتنفيذ هذا الإجراء بعد ساعات العمل لأن هذا الإجراء يتطلب إعادة تشغيل الخدمات. تأثير العمل هو


انتقل إلى إدارة نظام التشغيل > التأمين > إدارة الشهادات وقم بتنزيل شهادة المرجع المصدق الجذر وعلامة وسيطة (إن وجدت) توقع على مدير المكالمات وشهادة Tomcat.

ثم انتقل إلى Expressway-C > صيانة > التأمين > شهادة CA الموثوق بها وقم بتحميل شهادة CA الخاصة بإدارة المكالمات وشهادة Tomcat.



ملاحظة: في السيناريوهات التي تتضمن شهادة "مدير المكالمات" و"شهادة Tomcat" كتوقيع ذاتي، قم بتنزيل "مدير المكالمات" الفعلي وشهادة Tomcat وتحميلها إلى Expressway.

انتقل إلى Expressway-C > صيانة > التأمين > شهادة المرجع المصدق الثقة > إظهار الكل (ملف PEM)

انسخ قيمة PEM الخاصة بشهادة CA التي توقع Expressway-C وحفظها في ملف txt.

انتقل إلى إدارة نظام التشغيل > الأمان > إدارة الشهادات وحدد تحميل الشهادة/سلسلة الشهادات وتحميل شهادة CA عبر الطريق السريع C كثقة Tomcat و Call Manager-Trust



إعادة تشغيل الخدمات المطلوبة في مجموعة CUCM:
لا تتم مصادقة الهاتف مع ASA بعد إعادة إنشاء شهادة وظيفة وكيل المرجع المصدق (CAPF) على ناشر CUCM.

4592 NOT Feb 17 11:01:25.041733 (349-349) PAE: -Secure Connection Handshake in progress - status SSL_ERROR_WANT_READ. 4593 NOT Feb 17 11:01:25.041826 (349-349) PAE: -EV_REQUEST_REC, ST_AUTHENTICATING->ST_AUTHENTICATING ++ EAP-Failure 4594 NOT Feb 17 11:01:25.041898 (349-349) PAE: -send EAP-Resp/TLS - id 9 4595 NOT Feb 17 11:01:25.042032 (349-349) PAE: -authWhile timer set: 30 sec 4596 NOT Feb 17 11:01:27.061822 (349-349) PAE: -[0001-0] 08-cc-a7-1c-bb-ae vid=0xfff=4095 static=0 pri=0 4597 NOT Feb 17 11:01:27.061950 (349-349) PAE: -port=0 4598 NOT Feb 17 11:01:27.062009 (349-349) PAE: -cprCdpGetPort address: 8:CC:A7:1C:BB:AE Phyport=0 appPort=0 4599 NOT Feb 17 11:01:27.062068 (349-349) PAE: - >>>>>>>>>>>>> port obtained = 0 for mac macAddress 08:cc:a7:1c:bb:ae 4600 NOT Feb 17 11:01:27.062134 (349-349) PAE: -rcvd EAP-Failure 4601 NOT Feb 17 11:01:27.062189 (349-349) PAE: -EV_FAILURE, ST_AUTHENTICATING->ST_HELD 4602 WRN Feb 17 11:01:27.062462 (349-349) PAE: -802.1X auth FAILED 4603 NOT Feb 17 11:01:27.062550 (349-349) PAE: -paeInfoToInetd: PAE info sent to NETSD 4604 NOT Feb 17 11:01:27.062717 (1786-1880) JAVA-Calling handleNetSDEvent 4605 WRN Feb 17 11:01:27.062953 (1786-1880) JAVA-Thread-11|cip.sec.Security:? - Security: Received a propertyChanged() for device.settings.security.notify 4606 DEB Feb 17 11:01:27.063039 (1786-1880) JAVA-openQue(): que->/tmp/pae_msg_que, key->0x101019ab 4607 DEB Feb 17 11:01:27.063069 (1786-1880) JAVA-openQue(): que->/tmp/pae_rsp_que, key->0x10101c4c 4608 DEB Feb 17 11:01:27.063091 (1786-1880) JAVA-getpaeinfo: send pae info message paeCmd.mtype=1880, paeCmd.cmd=82, paeCmd.qname=/tmp/pae_rsp_que 4609 DEB Feb 17 11:01:27.063121 (1786-1880) JAVA-getpaeinfo: recv pae info resp ret=-1, errno=No message of desired type 4610 NOT Feb 17 11:01:27.063306 (349-349) PAE: -paeInfoToInetd: Netsd event NETSD_EV_PAE sent to NETSD 4611 NOT Feb 17 11:01:27.063370 (349-349) PAE: - PAE RE-AUTH, not sending SEC_DOWN Netsd event for CDP 4612 NOT Feb 17 11:01:27.063423 (349-349) PAE: -paeSetLastSupStatus: LastSupStatus 0 4613 NOT Feb 17 11:01:27.063475 (349-349) PAE: -heldWhile timer set: 60 sec 4614 NOT Feb 17 11:01:27.064074 (349-349) PAE: -paeNetsdRcvMsg(349): PAE event: status: FAIL : Resource temporarily unavailable
قم بتنزيل شهادة CAPF من ناشر CUCM وتحميلها إلى خادم المصادقة، وتجاوز 802.1x للسماح بالتسجيل وتثبيت شهادة LSC على الهواتف المتأثرة.
تظهر الهواتف "يتم تسجيل الهاتف" بعد إعادة إنشاء شهادة CAPF على ناشر CUCM.


أعد إنشاء ملف CTL على CUCM وأعد تشغيل الخدمات المطلوبة لضمان حصول الهواتف على ملف CTL الجديد باستخدام ملف CAPF.
تحذير: يوصي TAC بتنفيذ هذا الإجراء بعد ساعات العمل لأن هذا الإجراء يتطلب إعادة تشغيل الخدمات. تأثير العمل هو

إجراء لضمان تجديد قوة التحالف المؤقتة بنجاح.


قم بتحديث ملف CTL بعد إعادة إنشاء CAPF. قم بتسجيل الدخول إلى CLI الخاص ب Publisher وأدخل الأمر CTL Update CTLFile.





قم بتطبيق ملف تعريف أمان الجهاز الذي تم إنشاؤه على تكوين الهواتف المطلوبة، حدد حفظ التكوين وتطبيقه.


أستخدم قسم معلومات CAPF في تكوين الجهاز للهواتف المتأثرة لتثبيت شهادة LSC في الهواتف المطلوبة.


في قسم المعلومات الخاصة بالبروتوكول في تكوين الهاتف، حدد ملف تعريف الأمان مع تمكين TLS الذي تم إنشاؤه.


| المراجعة | تاريخ النشر | التعليقات |
|---|---|---|
1.0 |
16-Apr-2026
|
الإصدار الأولي |