Konfigurieren von sicherem RTP in Contact Center Enterprise

Einleitung

In diesem Dokument wird beschrieben, wie der SRTP-Datenverkehr (Real-time Transport Protocol) in Contact Center Enterprise (CCE) abgesichert wird.

Voraussetzungen

Die Erstellung und der Import von Zertifikaten werden in diesem Dokument nicht behandelt. Daher müssen Zertifikate für Cisco Unified Communication Manager (CUCM), Customer Voice Portal (CVP) Call Server, Cisco Virtual Voice Browser (CVVB) und Cisco Unified Border Element (CUBE) erstellt und in die entsprechenden Komponenten importiert werden. Wenn Sie selbstsignierte Zertifikate verwenden, muss der Zertifikataustausch zwischen verschiedenen Komponenten erfolgen.

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• CCE
• CVP
• WÜRFEL
• CUCM
• CVB

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Package Contact Center Enterprise (PCCE), CVP, CVVB und CUCM Version 12.6, gelten jedoch auch für die Vorgängerversionen.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfigurieren

Anmerkung: Im Contact Center ist ein umfassender Anruffluss erforderlich. Um sicheres RTP zu aktivieren, müssen sichere SIP-Signale aktiviert sein. Aus diesem Grund ermöglichen die Konfigurationen in diesem Dokument sowohl sicheres SIP als auch SRTP.

Das nächste Diagramm zeigt die Komponenten, die SIP-Signale und RTP im Contact Center nutzen, sowie einen umfassenden Anrufablauf. Wenn ein Sprachanruf beim System eingeht, erfolgt er zuerst über das Eingangs-Gateway oder CUBE. Starten Sie also die Konfigurationen für CUBE. Konfigurieren Sie anschließend CVP, CVVB und CUCM.

Aufgabe 1: Sichere CUBE-Konfiguration

Bei dieser Aufgabe konfigurieren Sie CUBE zum Sichern von SIP-Protokollnachrichten und RTP.

Erforderliche Konfigurationen:

• Konfigurieren eines Standard-Vertrauenspunkts für SIP UA
• Ändern der DFÜ-Peers zur Verwendung von TLS und SRTP

Schritte:

1. Öffnen einer SSH-Sitzung für CUBE

2. Führen Sie diese Befehle aus, damit der SIP-Stack das CA-Zertifikat des CUBE verwendet. CUBE stellt eine SIP-TLS-Verbindung vom/zum CUCM (198.18.133.3) und CVP (198.18.133.13) her:

Conf t Sip-ua Transport tcp tls v1.2 crypto signaling remote-addr 198.18.133.3 255.255.255.255 trustpoint ms-ca-name crypto signaling remote-addr 198.18.133.13 255.255.255.255 trustpoint ms-ca-name exit

3. Führen Sie diese Befehle aus, um TLS auf dem ausgehenden DFÜ-Peer für das CVP zu aktivieren. In diesem Beispiel wird das Dial-Peer-Tag 6000 verwendet, um Anrufe an CVP weiterzuleiten:

Conf t dial-peer voice 6000 voip session target ipv4:198.18.133.13:5061 session transport tcp tls srtp exit

Aufgabe 2: Sichere CVP-Konfiguration

Konfigurieren Sie bei dieser Aufgabe den CVP-Anrufserver zum Sichern der SIP-Protokollnachrichten (SIP TLS).

Schritte:

1. Melden Sie sich beimUCCE Web Administrationan.
2. Navigieren Sie zu .Call Settings > Route Settings > SIP Server Group
   
   

Basierend auf Ihren Konfigurationen haben Sie SIP-Servergruppen für CUCM, CVVB und CUBE konfiguriert. Sie müssen für alle SIP-Ports den Wert 5061 festlegen. In diesem Beispiel werden folgende SIP-Servergruppen verwendet:

• cucm1.dcloud.cisco.com für CUCM
• vvb1.dcloud.cisco.com für CVVB
• cube1.dcloud.cisco.com  für CUBE

3. Klicken Sie aufcucm1.dcloud.cisco.com, und klicken Sie dann auf dieMembersRegisterkarte, auf der die Details der SIP-Servergruppenkonfigurationen angezeigt werden. Legen SieSecurePortfest,5061und klicken Sie aufSave.
   
   

4. Klicken Sie aufvvb1.dcloud.cisco.com, und legen Sie dann auf derMembersRegisterkarte den WertSecurePortauf fest,5061und klicken Sie aufSave.
   
   

Aufgabe 3: Sichere CVVB-Konfiguration

Konfigurieren Sie bei dieser Aufgabe CVB zum Sichern der SIP-Protokollnachrichten (SIP TLS) und SRTP.

Schritte:

1. Öffnen Sie dieCisco VVB AdminSeite.
2. Navigieren Sie zu .System > System Parameters
   
   

3. Wählen Sie imSecurity ParametersAbschnittEnablefürTLS (SIP) aus. Behalten Sie dieSupported TLS(SIP) version as TLSv1.2und wählen SieEnablefürSRTP.
   
   

4. Klicken Sie auf .Update Klicken Sie aufOk, wenn Sie aufgefordert werden, das CVVB-Modul neu zu starten.
   
   

5. Diese Änderungen erfordern einen Neustart der Cisco VB-Engine. Um die VVB-Engine neu zu starten, navigieren Sie zuCisco VVB Serviceability, und klicken Sie dann aufGo.
   
   

6. Navigieren Sie zu .Tools > Control Center – Network Services
   
   

7. Wählen SieEngineund klicken Sie aufRestart.
   
   

Aufgabe 4: Sichere CUCM-Konfiguration

Um SIP-Nachrichten und RTP auf dem CUCM zu sichern, führen Sie die folgenden Konfigurationen durch:

• CUCM-Sicherheitsmodus auf "Gemischt" setzen
• Konfigurieren von SIP-Trunk-Sicherheitsprofilen für CUBE und CVP
• Zuordnen von SIP-Trunk-Sicherheitsprofilen zu den entsprechenden SIP-Trunks und Aktivieren von SRTP
• Sichere Gerätekommunikation der Agenten mit CUCM

CUCM-Sicherheitsmodus auf "Gemischt" setzen

CUCM unterstützt zwei Sicherheitsmodi:

• Nicht sicherer Modus (Standardmodus)
• Gemischter Modus (sicherer Modus)

Schritte:

1. Melden Sie sich bei der CUCM-Verwaltungsschnittstelle an.
   
   

2. Wenn Sie sich beim CUCM anmelden, können Sie zu navigierenSystem > Enterprise Parameters.
   
   

3. Überprüfen Sie imSecurity ParametersAbschnitt, ob dieCluster Security Modeauf0eingestellt ist.
   
   

4. Wenn der Clustersicherheitsmodus auf 0 festgelegt ist, bedeutet dies, dass der Clustersicherheitsmodus auf "nicht sicher" festgelegt ist. Sie müssen den gemischten Modus über die CLI aktivieren.
5. Öffnen Sie eine SSH-Sitzung mit dem CUCM.
6. Nach erfolgreicher Anmeldung bei CUCM über SSH führen Sie den folgenden Befehl aus:

utils ctl set-cluster mixed-mode

7. Geben Sieyein, und klicken Sie bei Aufforderung aufEnter. Mit diesem Befehl wird der Cluster-Sicherheitsmodus auf den gemischten Modus festgelegt.
   
   

8. Damit die Änderungen wirksam werden, starten Sie denCisco CallManagerund dieCisco CTIManagerDienste neu.
9. Um die Dienste neu zu starten, navigieren Sie zu , und melden Sie sich anCisco Unified Serviceability.
   
   

10. Navigieren Sie nach der erfolgreichen Anmeldung zuTools > Control Center – Feature Services.
    
    

11. Wählen Sie den Server aus, und klicken Sie dann aufGo.
    
    

12. Wählen Sie unter CM services (CM-Dienste) die OptionCisco CallManageraus, und klicken Sie dann oben auf der Seite auf dieRestartSchaltfläche.
    
    

13. Bestätigen Sie die Popup-Meldung, und klicken Sie aufOK. Warten Sie, bis der Dienst erfolgreich neu gestartet wurde.
    
    

14. Nach dem erfolgreichen Neustart vonCisco CallManager, wählen Sie dieCisco CTIManagerund klicken Sie auf die SchaltflächeRestartneu starten  Cisco CTIManager Services.
    
    

15. Bestätigen Sie die Popup-Meldung, und klicken Sie aufOK. Warten Sie, bis der Dienst erfolgreich neu gestartet wurde.
    
    

16. Wenn die Dienste erfolgreich neu gestartet wurden, können Sie überprüfen, ob der Cluster-Sicherheitsmodus auf den gemischten Modus gesetzt wurde. Navigieren Sie dazu zu CUCM-Verwaltung, wie in Schritt 5 beschrieben, und überprüfen Sie dann dieCluster Security Mode. Jetzt muss sie auf1gesetzt werden.
    
    

Konfigurieren von SIP-Trunk-Sicherheitsprofilen für CUBE und CVP

Schritte:

1. Melden Sie sich bei der CUCM-Verwaltungsschnittstelle an.
2. Navigieren Sie nach der erfolgreichen Anmeldung bei CUCM zu,System > Security > SIP Trunk Security Profileum ein Gerätesicherheitsprofil für CUBE zu erstellen.
   
   

3. Klicken Sie oben links auf Add New (Neu hinzufügen), um ein neues Profil hinzuzufügen.
   
   

4. Konfigurieren Sie das BildSIP Trunk Security Profileund klicken Sie dannSaveunten links auf der Seite.
   
   

5. Stellen Sie sicher, dass SieSecure Certificate Subject or Subject Alternate Nameauf den Common Name (CN) des CUBE-Zertifikats setzen, da dieses übereinstimmen muss.

6. Klicken Sie aufCopydie Schaltfläche, und ändern Sie dieNameinSecureSipTLSforCVP. Ändern SieSecure Certificate Subjectdie CN des CVP-Anrufserverzertifikats, da dieses übereinstimmen muss. Klicken Sie aufSave  die Schaltfläche.

Zuordnen von SIP-Trunk-Sicherheitsprofilen zu den entsprechenden SIP-Trunks und Aktivieren von SRTP

Schritte:

1. Navigieren Sie auf der Seite "CUCM Administration" zuDevice > Trunk.
   
   

2. Suchen Sie nach CUBE-Trunk. In diesem Beispiel lautet der CUBE-Trunk-NamevCube, und klicken Sie dann aufFind.
   
   

3. Klicken SievCUBEhier, um die Konfigurationsseite für vCUBE-Trunks zu öffnen.
4. Aktivieren SieDevice Informationim Abschnitt dasSRTP AllowedKontrollkästchen, um SRTP zu aktivieren.
   
   

5. Blättern Sie nach unten zumSIP InformationAbschnitt, und ändern Sie denDestination Portzu5061.
6. Ändern SieSIP Trunk Security ProfileinSecureSIPTLSForCube.
   
   

7. Klicken SieSaveRestdann auf , save und wenden Sie die Änderungen an.
   
   

8. Navigieren Sie zu,Device > Trunksuchen Sie nach CVP-Trunk, in diesem Beispiel lautet der Name des CVP-Trunkscvp-SIP-Trunk. Klicken Sie auf .Find
   
   

9. Klicken Sie hierCVP-SIP-Trunk, um die Konfigurationsseite für CVP-Trunks zu öffnen.
10. Aktivieren Sie imDevice InformationAbschnitt das Kontrollkästchen, um SRTP zu aktivierenSRTP Allowed.
    
    

11. Blättern Sie nach unten zumSIP InformationAbschnitt, und ändern Sie denDestination Portzu5061.
12. Ändern SieSIP Trunk Security ProfileinSecureSIPTLSForCvp.
    
    

13. Klicken SieSavedannRestauf , save und wenden Sie die Änderungen an.
    
    

Sichere Gerätekommunikation der Agenten mit CUCM

Um Sicherheitsfunktionen für ein Gerät zu aktivieren, müssen Sie ein LSC (Locally Signed Certificate) installieren und das Sicherheitsprofil diesem Gerät zuweisen. Das LSC verfügt über den öffentlichen Schlüssel für den Endpunkt, der vom privaten CUCM-CAPF-Schlüssel signiert wird. Es ist nicht standardmäßig auf Telefonen installiert.

Schritte:

1. Melden Sie sich bei der Schnittstelle anCisco Unified Serviceability.
2. Navigieren Sie zu .Tools > Service Activation
   
   

3. Wählen Sie den CUCM-Server aus, und klicken Sie aufGo.
   
   

4. Aktivieren Sie das KontrollkästchenCisco Certificate Authority Proxy Function, und klicken SieSave  auf, um den Service zu aktivieren. Klicken SieOkzur Bestätigung.
   
   

5. Stellen Sie sicher, dass der Service aktiviert ist, und navigieren Sie dann zur CUCM-Verwaltung.
   
   

6. Navigieren Sie nach der erfolgreichen Anmeldung bei der CUCM-Verwaltung zu ,System > Security > Phone Security Profileum ein Gerätesicherheitsprofil für das Agent-Gerät zu erstellen.
   
   

7. Suchen Sie das Sicherheitsprofil für den Gerätetyp Ihres Agenten. In diesem Beispiel wird ein Softphone verwendet. Wählen SieCisco Unified Client Services Framework - Standard SIP Non-Secure Profilediese Option aus. Klicken Sie auf das Kopiersymbol um dieses Profil zu kopieren.
   
   

8. Benennen Sie das Profil in umCisco Unified Client Services Framework - Secure Profile. Ändern Sie die Parameter wie in diesem Bild, und klicken Sie dann auf  Save  oben links auf der Seite.
   
   

9. Navigieren Sie nach der erfolgreichen Erstellung des Telefongeräteprofils zuDevice > Phone.
   
   

10. Klicken SieFindauf, um alle verfügbaren Telefone aufzulisten, und klicken Sie dann auf Agententelefon.
11. Die Konfigurationsseite für Agententelefone wird geöffnet. Abschnitt suchenCertification Authority Proxy Function (CAPF) Information. Um LSC zu installieren, setzen SieCertificate OperationaufInstall/UpgradeundOperation Completes byein beliebiges zukünftiges Datum.
    
    

12. SuchenProtocol Specific InformationSie Abschnitt, und ändern Sie denDevice Security ProfileinCisco Unified Client Services Framework – Secure Profile.
    
    

13. Klicken Sie links oben auf der Seite aufSave. Stellen Sie sicher, dass die Änderungen erfolgreich gespeichert wurden, und klicken Sie aufReset.
    
    

14. Wenn ein Popup-Fenster geöffnet wird, klicken Sie zur BestätigungResetder Aktion auf .
    
    

15. Nachdem sich das Agent-Gerät erneut beim CUCM registriert hat, aktualisieren Sie die aktuelle Seite, und überprüfen Sie, ob das LSC erfolgreich installiert wurde. Abschnitt aktivierenCertification Authority Proxy Function (CAPF) Information, mussCertificate Operationauf eingestellt seinNo Pending Operation, undCertificate Operation Statusist auf eingestellt  Upgrade Success.
    
    

16. Gehen Sie zu den gleichen Schritten wie in Schritt . 7 - 13 zum Sichern der Geräte anderer Agenten, die Sie mit CUCM sicheres SIP und RTP verwenden möchten.

Überprüfung

Führen Sie folgende Schritte durch, um zu überprüfen, ob das RTP ordnungsgemäß gesichert ist:

1. Führen Sie einen Testanruf beim Contact Center aus, und hören Sie sich die IVR-Aufforderung an.
2. Öffnen Sie gleichzeitig die SSH-Sitzung zu vCUBE, und führen Sie den folgenden Befehl aus:
   show call active voice brief
   
   

Tipp: Überprüfen Sie, ob sich das SRTP zwischen CUBE und VVB (198.18.133.143) befindeton. Wenn dies der Fall ist, wird bestätigt, dass der RTP-Verkehr zwischen CUBE und VVB sicher ist.

3. Stellen Sie einen Mitarbeiter zur Verfügung, um den Anruf entgegenzunehmen.
   .
4. Der Agent wird reserviert, und der Anruf wird an den Agent weitergeleitet. Nehmen Sie den Anruf an.
5. Der Anruf wird mit dem Mitarbeiter verbunden. Kehren Sie zur vCUBE SSH-Sitzung zurück, und führen Sie den folgenden Befehl aus:
   show call active voice brief
   
   

Tipp: Überprüfen Sie, ob sich das SRTP zwischen CUBE und den Telefonen der Agenten befindeton(198.18.133.75). Wenn ja, wird bestätigt, dass der RTP-Verkehr zwischen CUBE und Agent sicher ist.

6. Sobald der Anruf verbunden ist, wird auf dem Agentengerät eine Sicherheitssperre angezeigt.. Dies bestätigt auch, dass der RTP-Verkehr sicher ist.
   
   

Weitere Informationen zum Überprüfen der ordnungsgemäßen Sicherung der SIP-Signale finden Sie im Artikel Configure Secure SIP Signaling.