Konfigurationsbeispiel für AnyConnect VPN-Telefonverbindung mit einem Cisco IOS-Router

Einleitung

In diesem Dokument wird beschrieben, wie Sie den Cisco IOS®^-Router und die Call Manager-Geräte konfigurieren, damit die Cisco IP-Telefone VPN-Verbindungen zum Cisco IOS-Router herstellen können. Diese VPN-Verbindungen werden benötigt, um die Kommunikation mit einer der beiden folgenden Client-Authentifizierungsmethoden zu sichern:

• AAA-Server (Authentication, Authorization, and Accounting) oder lokale Datenbank
• Telefonzertifikat

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf folgenden Hardware- und Software-Versionen:

• Cisco IOS 15.1(2)T oder spätere Version
• Feature-Set/Lizenz: Universell (Daten, Sicherheit und UC) für Cisco IOS Integrated Service Router (ISR)-G2
• Feature-Set/Lizenz: Erweiterte Sicherheit für Cisco IOS ISR
• Cisco Unified Communications Manager (CUCM) Version 8.0.1.100000-4 oder höher
• IP-Telefon Version 9.0(2)SR1S - Skinny Call Control Protocol (SCCP) oder höher

Führen Sie die folgenden Schritte aus, um eine vollständige Liste der in Ihrer CUCM-Version unterstützten Telefone anzuzeigen:

1. Öffnen Sie diese URL: https://<IP-Adresse des CUCM-Servers>:8443/cucreports/systemReports.do
2. Wählen Sie Unified CM Phone Feature List (Funktionsliste des Unified CM-Telefons) > Generate a new report (Neuen Bericht generieren) > Feature: Virtuelles privates Netzwerk.

Folgende Versionen werden in diesem Konfigurationsbeispiel verwendet:

• Cisco IOS Router Version 15.1(4)M4
• Call Manager Version 8.5.1.10000-26
• IP-Telefon Version 9.1(1) SR1S

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen. 

Konfigurieren

In diesem Abschnitt werden die Informationen behandelt, die zum Konfigurieren der in diesem Dokument beschriebenen Funktionen erforderlich sind.

Anmerkung: Verwenden Sie das Command Lookup-Tool (Tool für die Suche nach Befehlen) (nur registrierte Kunden), um weitere Informationen zu den in diesem Abschnitt verwendeten Befehlen zu erhalten.

Netzwerktopologie

Die in diesem Dokument verwendete Topologie umfasst ein Cisco IP-Telefon, den Cisco IOS-Router als SSL-VPN-Gateway (Secure Sockets Layer) und den CUCM als Sprach-Gateway.

SSL VPN-Serverkonfiguration

In diesem Abschnitt wird beschrieben, wie Sie das Cisco IOS-Headend konfigurieren, um eingehende SSL VPN-Verbindungen zuzulassen.

Gängige Konfigurationsschritte

1. Generieren Sie den Rivest-Shamir-Adleman (RSA) Key mit einer Länge von 1024 Bytes:
   
   

   Router(config)#crypto key generate rsa general-keys label SSL modulus 1024 

2. Erstellen Sie den Vertrauenspunkt für das selbstsignierte Zertifikat, und hängen Sie den SSL RSA-Schlüssel an:
   
   

   Router(config)#crypto pki trustpoint server-certificate
    enrollment selfsigned
    usage ssl-server
    serial-number
    subject-name CN=10.198.16.144
    revocation-check none
    rsakeypair SSL

3. Sobald der Vertrauenspunkt konfiguriert ist, registrieren Sie das selbstsignierte Zertifikat mit dem folgenden Befehl:
   
   

   Router(config)#crypto pki enroll server-certificate
   % Include an IP address in the subject name? [no]: no
   Generate Self Signed Router Certificate? [yes/no]: yes
   
   Router Self Signed Certificate successfully created

4. Aktivieren Sie das korrekte AnyConnect-Paket am Headend. Das Telefon selbst lädt dieses Paket nicht herunter. Ohne das Paket stellt sich der VPN-Tunnel jedoch nicht auf. Es wird empfohlen, die neueste Client-Softwareversion zu verwenden, die unter Cisco.com verfügbar ist. In diesem Beispiel wird Version 3.1.3103 verwendet.
   
   In älteren Cisco IOS-Versionen ist dies der Befehl zum Aktivieren des Pakets:
   

   Router(config)#webvpn install svc flash:anyconnect-win-3.1.03103-k9.pkg

   
   In der aktuellen Cisco IOS-Version lautet der Befehl jedoch:
   

   Router(config)#crypto vpn anyconnect flash:/webvpn/anyconnect-win-
   3.1.03103-k9.pkg sequence 1

5. Konfigurieren Sie das VPN-Gateway. Das WebVPN-Gateway wird verwendet, um die SSL-Verbindung des Benutzers zu beenden.
   

   webvpn gateway SSL 
   ip address 10.198.16.144 port 443 
    ssl encryption 3des-sha1 aes-sha1
    http-redirect port 80 
    ssl trustpoint server-certificate 
    inservice

   
   

   Anmerkung: Entweder muss sich die hier verwendete IP-Adresse im gleichen Subnetz wie die Schnittstelle befinden, mit der die Telefone verbunden sind, oder das Gateway muss direkt von einer Schnittstelle auf dem Router bezogen werden. Das Gateway wird auch verwendet, um zu definieren, welches Zertifikat vom Router verwendet wird, um sich gegenüber dem Client zu validieren.

6. Definieren Sie den lokalen Pool, der verwendet wird, um den Clients bei der Verbindung IP-Adressen zuzuweisen:
   

   ip local pool ap_phonevpn 192.168.100.1 192.168.100.254

Konfiguration mit AAA-Authentifizierung

In diesem Abschnitt werden die Befehle beschrieben, die Sie benötigen, um den AAA-Server oder die lokale Datenbank zu konfigurieren, um Ihre Telefone zu authentifizieren. Wenn Sie beabsichtigen, für die Telefone reine Zertifikatauthentifizierung zu verwenden, fahren Sie mit dem nächsten Abschnitt fort.

Benutzerdatenbank konfigurieren

Zur Authentifizierung kann entweder die lokale Datenbank des Routers oder ein externer AAA-Server verwendet werden:

• Geben Sie Folgendes ein, um die lokale Datenbank zu konfigurieren:
  

  aaa new-model
  aaa authentication login SSL local 
  username phones password 0 phones

• Geben Sie Folgendes ein, um einen Remote-AAA-RADIUS-Server für die Authentifizierung zu konfigurieren:
  

  aaa new-model
  aaa authentication login SSL group radius
  radius-server host 192.168.100.200 auth-port 1812 acct-port 1813
  radius-server key cisco 

Konfigurieren des virtuellen Kontexts und der Gruppenrichtlinie

Der virtuelle Kontext wird verwendet, um die Attribute für die VPN-Verbindung zu definieren, z. B.:

• Die URL, die Sie für die Verbindung verwenden möchten
• Welcher Pool zum Zuweisen der Clientadressen verwendet werden soll
• Zu verwendende Authentifizierungsmethode

Diese Befehle sind ein Beispiel für einen Kontext, der die AAA-Authentifizierung für den Client verwendet: 

webvpn context SSL
 aaa authenticate list SSL
 gateway SSL domain SSLPhones
 !
 ssl authenticate verify all
 inservice
 !
 policy group phones
  functions svc-enabled
  svc address-pool "ap_phonevpn" netmask 255.255.255.0
  svc keep-client-installed
 default-group-policy phones

Konfiguration mit dem LSC-Zertifikat (Locally Significant Certificate) für die Client-Authentifizierung

In diesem Abschnitt werden die Befehle beschrieben, die Sie zum Konfigurieren der zertifikatbasierten Clientauthentifizierung für die Telefone benötigen. Hierfür sind jedoch Kenntnisse über die verschiedenen Arten von Telefonzertifikaten erforderlich:

• MIC (Manufacturer Installed Certificate) - MICs sind in allen Cisco IP-Telefonen der Serien 7941, 7961 und neueren Modellen enthalten. MICs sind 2.048-Bit-Schlüsselzertifikate, die von der Cisco Certificate Authority (CA) signiert werden. Damit der CUCM dem MIC-Zertifikat vertraut, verwendet er die vorinstallierten CA-Zertifikate CAP-RTP-001, CAP-RTP-002 und Cisco_Manufacturing_CA im Zertifikatvertrauensspeicher. Da dieses Zertifikat vom Hersteller selbst bereitgestellt wird, wie im Namen angegeben, wird nicht empfohlen, dieses Zertifikat für die Client-Authentifizierung zu verwenden.
• LSC - Das LSC sichert die Verbindung zwischen dem CUCM und dem Telefon, nachdem Sie den Gerätesicherheitsmodus für die Authentifizierung oder Verschlüsselung konfiguriert haben. Das LSC verfügt über den öffentlichen Schlüssel für das Cisco IP-Telefon, der durch den privaten CAPF-Schlüssel (Certificate Authority Proxy Function) signiert wird. Dies ist die sicherere Methode (im Gegensatz zur Verwendung von MICs).
  

  Vorsicht: Aufgrund des erhöhten Sicherheitsrisikos empfiehlt Cisco die Verwendung von MICs ausschließlich für die LSC-Installation und nicht für die weitere Verwendung. Kunden, die Cisco IP-Telefone für die Verwendung von MICs für die TLS-Authentifizierung (Transport Layer Security) oder für einen anderen Zweck konfigurieren, gehen dabei ein eigenes Risiko ein.

In diesem Konfigurationsbeispiel wird das LSC verwendet, um die Telefone zu authentifizieren.

Tipp: Die sicherste Verbindungsmethode für Ihr Telefon ist die Verwendung der dualen Authentifizierung, die Zertifikat- und AAA-Authentifizierung kombiniert. Sie können dies konfigurieren, wenn Sie die für jeden Befehl verwendeten Befehle unter einem virtuellen Kontext kombinieren.

Konfigurieren Sie den Vertrauenspunkt so, dass das Clientzertifikat validiert wird.

Auf dem Router muss das CAPF-Zertifikat installiert sein, damit das LSC vom IP-Telefon validiert werden kann. Führen Sie die folgenden Schritte aus, um das Zertifikat abzurufen und auf dem Router zu installieren:

1. Rufen Sie die Webseite CUCM Operating System (OS) Administration (CUCM-Betriebssystemverwaltung) auf. 
2. Wählen Sie Security > Certificate Management aus.
   

   Anmerkung: Dieser Speicherort kann sich je nach CUCM-Version ändern.

3. Suchen Sie das Zertifikat mit der Bezeichnung CAPF, und laden Sie die .pem-Datei herunter. Speichern Sie die Datei als .txt-Datei.
4. Nachdem das Zertifikat extrahiert wurde, erstellen Sie einen neuen Vertrauenspunkt auf dem Router, und authentifizieren Sie den Vertrauenspunkt mit CAPF, wie hier gezeigt. Wenn Sie zur Eingabe des Base-64-codierten CA-Zertifikats aufgefordert werden, wählen Sie den Text aus, und fügen Sie ihn zusammen mit der BEGIN- und END-Zeile in die heruntergeladene PEM-Datei ein.

   Router(config)#crypto pki trustpoint CAPF
    enrollment terminal
    authorization username subjectname commonname
    revocation-check none
   Router(config)#crypto pki authenticate CAPF 
   Router(config)#
   
       
   
    quit

Wichtige Punkte:

• Die Registrierungsmethode ist terminal, da das Zertifikat manuell auf dem Router installiert werden muss.
• Der Befehl Authorization UserName (Autorisierungsbenutzername) ist erforderlich, um dem Router mitzuteilen, was er als Benutzername verwenden soll, wenn der Client die Verbindung herstellt. In diesem Fall wird der Common Name (CN) verwendet.
• Eine Sperrprüfung muss deaktiviert werden, da für Telefonzertifikate keine Zertifikatsperrliste (Certificate Revocation List, CRL) definiert ist. Wenn sie also nicht deaktiviert ist, schlägt die Verbindung fehl, und die PKI-Debugs (Public Key Infrastructure) zeigen diese Ausgabe an:
  

  Jun 17 21:49:46.695: CRYPTO_PKI: (A0076) Starting CRL revocation check
  Jun 17 21:49:46.695: CRYPTO_PKI: Matching CRL not found
  Jun 17 21:49:46.695: CRYPTO_PKI: (A0076) CDP does not exist. Use SCEP to 
  query CRL.
  Jun 17 21:49:46.695: CRYPTO_PKI: pki request queued properly
  Jun 17 21:49:46.695: CRYPTO_PKI: Revocation check is complete, 0
  Jun 17 21:49:46.695: CRYPTO_PKI: Revocation status = 3
  Jun 17 21:49:46.695: CRYPTO_PKI: status = 0: poll CRL
  Jun 17 21:49:46.695: CRYPTO_PKI: Remove session revocation service providers
  CRYPTO_PKI: Bypassing SCEP capabilies request 0
  Jun 17 21:49:46.695: CRYPTO_PKI: status = 0: failed to create GetCRL
  Jun 17 21:49:46.695: CRYPTO_PKI: enrollment url not configured
  Jun 17 21:49:46.695: CRYPTO_PKI: transaction GetCRL completed
  Jun 17 21:49:46.695: CRYPTO_PKI: status = 106: Blocking chain verification 
  callback received status
  Jun 17 21:49:46.695: CRYPTO_PKI: (A0076) Certificate validation failed

Konfigurieren des virtuellen Kontexts und der Gruppenrichtlinie

Dieser Teil der Konfiguration ähnelt der zuvor verwendeten Konfiguration, mit Ausnahme von zwei Punkten:

• Die Authentifizierungsmethode
• Der Vertrauenspunkt, den der Kontext zur Authentifizierung der Telefone verwendet

 Die Befehle werden hier angezeigt:

webvpn context SSL
 gateway SSL domain SSLPhones
 authentication certificate
 ca trustpoint CAPF
 !
 ssl authenticate verify all
 inservice
 !
 policy group phones
 functions svc-enabled
 svc address-pool "ap_phonevpn" netmask 255.255.255.0
 svc keep-client-installed
 default-group-policy phones

Call Manager-Konfiguration

In diesem Abschnitt werden die Konfigurationsschritte des Call Managers beschrieben.

Exportieren des selbstsignierten Zertifikats oder des Identitätszertifikats vom Router in den CUCM

Gehen Sie wie folgt vor, um das Zertifikat vom Router zu exportieren und es als Phone-VPN-Trust-Zertifikat in den Call Manager zu importieren:

1. Überprüfen Sie das für SSL verwendete Zertifikat.
   

   Router#show webvpn gateway SSL
   SSL Trustpoint: server-certificate

2. Exportieren Sie das Zertifikat.
   

   Router(config)#crypto pki export server-certificate pem terminal
   The Privacy Enhanced Mail (PEM) encoded identity certificate follows:
   -----BEGIN CERTIFICATE-----
   
   <output removed>
   
   -----END CERTIFICATE-----

3. Kopieren Sie den Text aus dem Terminal und speichern Sie ihn als .pem Datei.
4. Melden Sie sich bei Call Manager an, und wählen Sie Unified OS Administration > Security > Certificate Management > Upload Certificate > Select Phone-VPN-trust, um die im vorherigen Schritt gespeicherte Zertifikatsdatei hochzuladen.

VPN-Gateway, -Gruppe und -Profil im CUCM konfigurieren

1. Navigieren Sie zu Cisco Unified CM Administration.
2. Wählen Sie in der Menüleiste Advanced Features > VPN > VPN Gateway aus.
   

   

3. Führen Sie im Fenster "VPN Gateway Configuration" die folgenden Schritte aus:
   
   • Geben Sie im Feld "VPN Gateway Name" (Name des VPN-Gateways) einen Namen ein. Dies kann ein beliebiger Name sein.
   • Geben Sie im Feld "VPN Gateway Description" (Beschreibung des VPN-Gateways) eine Beschreibung ein (optional).
   • Geben Sie im Feld "VPN Gateway URL" (VPN-Gateway-URL) die Gruppen-URL ein, die auf dem Router definiert ist.
   • Wählen Sie im Feld "VPN Certificates in this Location" (VPN-Zertifikate in diesem Standort) das Zertifikat aus, das zuvor in den Call Manager hochgeladen wurde, um es aus dem vertrauenswürdigen Speicher an diesen Standort zu verschieben.

   

4. Wählen Sie in der Menüleiste Advanced Features > VPN > VPN Group (Erweiterte Funktionen > VPN-Gruppe) aus.
   

   

5. Wählen Sie im Feld All Available VPN Gateways (Alle verfügbaren VPN-Gateways) das zuvor definierte VPN-Gateway aus. Klicken Sie auf den Abwärtspfeil, um das ausgewählte Gateway zu den ausgewählten VPN-Gateways in diesem Feld "VPN Group" (VPN-Gruppe) zu verschieben.
   

   

6. Wählen Sie in der Menüleiste Advanced Features > VPN > VPN Profile aus.
   

   

7. Um das VPN-Profil zu konfigurieren, füllen Sie alle Felder aus, die mit einem Sternchen (*) gekennzeichnet sind.
   

   

   
   
   • Automatische Netzwerkerkennung aktivieren: Wenn diese Funktion aktiviert ist, pingt das VPN-Telefon einen Ping an den TFTP-Server. Wenn keine Antwort eingeht, wird automatisch eine VPN-Verbindung initiiert.
   • Host-ID-Prüfung aktivieren: Wenn aktiviert, vergleicht das VPN-Telefon den FQDN (Fully Qualified Domain Name) der VPN-Gateway-URL mit dem CN/Storage Area Network (SAN) des Zertifikats. Der Client stellt keine Verbindung her, wenn diese Elemente nicht übereinstimmen oder wenn ein Platzhalterzertifikat mit einem Sternchen (*) verwendet wird.
   • Kennwortpersistenz aktivieren: Dadurch kann das VPN-Telefon den Benutzernamen und das Kennwort für den nächsten VPN-Versuch zwischenspeichern.

Anwenden der Gruppe und des Profils auf das IP-Telefon mit dem allgemeinen Telefonprofil

Klicken Sie im Fenster "Common Phone Profile Configuration" auf Apply Config (Konfiguration anwenden), um die neue VPN-Konfiguration zu übernehmen. Sie können das standardmäßige allgemeine Telefonprofil verwenden oder ein neues Profil erstellen.

Anwenden des allgemeinen Telefonprofils auf das IP-Telefon

Wenn Sie ein neues Profil für bestimmte Telefone/Benutzer erstellt haben, navigieren Sie zum Fenster Telefonkonfiguration. Wählen Sie im Feld Common Phone Profile (Allgemeines Telefonprofil) das Standard Common Phone Profile (Allgemeines Telefonprofil) aus.

Installation von LSC-Zertifikaten (Locally Signed Certificates) auf Cisco IP-Telefonen

Die folgende Anleitung kann zur Installation von Zertifikaten von lokalem Wert auf Cisco IP-Telefonen verwendet werden.  Dieser Schritt ist nur erforderlich, wenn eine Authentifizierung mithilfe des LSC verwendet wird.  Für die Authentifizierung mit dem MIC (Manufacterer Installed Certificate) oder mit Benutzername und Kennwort muss kein LSC installiert sein.

Installieren Sie ein LSC auf einem Telefon, dessen CUCM-Cluster-Sicherheitsmodus auf "Nicht sicher" gesetzt ist.

Registrieren Sie das Telefon erneut beim Call Manager, um die neue Konfiguration herunterzuladen.

 Dies ist der letzte Schritt des Konfigurationsprozesses. 

Überprüfung

Router-Verifizierung

Um die Statistiken der VPN-Sitzung im Router zu überprüfen, können Sie die folgenden Befehle verwenden und die Unterschiede zwischen den Ausgaben (hervorgehoben) für die Benutzername- und Zertifikatsauthentifizierung überprüfen:

Benutzername/Kennwort-Authentifizierung:

Router#show webvpn session user phones context SSL
Session Type      : Full Tunnel
Client User-Agent : Cisco SVC IPPhone Client v1.0 (1.0)

Username          : phones               Num Connection : 1
Public IP         : 172.16.250.34        VRF Name       : None
Context           : SSL                  Policy Group   : SSLPhones
Last-Used         : 00:00:29             Created        : 15:40:21.503 GMT 
Fri Mar 1 2013
Session Timeout   : Disabled             Idle Timeout   : 2100
DPD GW Timeout    : 300                  DPD CL Timeout : 300
Address Pool      : SSL                  MTU Size       : 1290
Rekey Time        : 3600                 Rekey Method   :
Lease Duration    : 43200
Tunnel IP         : 10.10.10.1           Netmask        : 255.255.255.0
Rx IP Packets     : 106                  Tx IP Packets  : 145
CSTP Started      : 00:11:15             Last-Received  : 00:00:29
CSTP DPD-Req sent : 0                    Virtual Access : 1
Msie-ProxyServer  : None                 Msie-PxyPolicy : Disabled
Msie-Exception    :
Client Ports      : 51534
DTLS Port         : 52768
Router#

Router#show webvpn session context all
WebVPN context name: SSL
Client_Login_Name  Client_IP_Address  No_of_Connections  Created  Last_Used
phones             172.16.250.34              1         00:30:38  00:00:20

Für die Zertifikatsauthentifizierung:

Router#show webvpn session user SEP8CB64F578B2C context all
Session Type      : Full Tunnel
Client User-Agent : Cisco SVC IPPhone Client v1.0 (1.0)

Username          : SEP8CB64F578B2C      Num Connection : 1
Public IP         : 172.16.250.34        VRF Name       : None                 
CA Trustpoint  : CAPF
Context           : SSL                  Policy Group   :
Last-Used         : 00:00:08             Created        : 13:09:49.302 GMT 
Sat Mar 2 2013
Session Timeout   : Disabled             Idle Timeout   : 2100
DPD GW Timeout    : 300                  DPD CL Timeout : 300
Address Pool      : SSL                  MTU Size       : 1290
Rekey Time        : 3600                 Rekey Method   :
Lease Duration    : 43200
Tunnel IP         : 10.10.10.2           Netmask        : 255.255.255.0
Rx IP Packets     : 152                  Tx IP Packets  : 156
CSTP Started      : 00:06:44             Last-Received  : 00:00:08
CSTP DPD-Req sent : 0                    Virtual Access : 1
Msie-ProxyServer  : None                 Msie-PxyPolicy : Disabled
Msie-Exception    :
Client Ports      : 50122
DTLS Port         : 52932


Router#show webvpn session context all
WebVPN context name: SSL
Client_Login_Name  Client_IP_Address  No_of_Connections  Created  Last_Used
SEP8CB64F578B2C    172.16.250.34              1         3d04h     00:00:16 

CUCM-Verifizierung

Vergewissern Sie sich, dass das IP-Telefon beim Call Manager mit der zugewiesenen Adresse registriert ist, die der Router der SSL-Verbindung zugewiesen hat.

Fehlerbehebung

Debuggen auf dem SSL VPN-Server

Router#show debug

WebVPN Subsystem:
 WebVPN (verbose) debugging is on
 WebVPN HTTP debugging is on
 WebVPN AAA debugging is on
 WebVPN tunnel debugging is on
 WebVPN Tunnel Events debugging is on
 WebVPN Tunnel Errors debugging is on
 Webvpn Tunnel Packets debugging is on


PKI:
 Crypto PKI Msg debugging is on
 Crypto PKI Trans debugging is on
 Crypto PKI Validation Path debugging is on

Debuggen vom Telefon aus

1. Navigieren Sie zu Gerät > Telefon vom CUCM.
2. Legen Sie auf der Gerätekonfigurationsseite Web Access auf Enabled (Aktiviert) fest.
3. Klicken Sie auf Speichern und dann auf Konfiguration übernehmen.
   

   

4. Geben Sie in einem Browser die IP-Adresse des Telefons ein, und wählen Sie im Menü links die Option Konsolenprotokolle aus.
   

   

5. Laden Sie alle Dateien /FS/cache/log*.log herunter. Die Konsolenprotokolldateien enthalten Informationen darüber, warum das Telefon keine Verbindung mit dem VPN herstellen kann.

Verwandte Fehler

Cisco Bug-ID CSCty46387, IOS SSLVPN: Erweiterung, sodass ein Kontext als Standard festgelegt wird
Cisco Bug-ID CSCty46436, IOS SSLVPN: Verbesserung des Validierungsverhaltens von Clientzertifikaten