Inhalt

Einleitung

Voraussetzungen

Hintergrundinformationen

Konfiguration

Schritt 1: Rufen Sie Root- und Zwischenzertifikate ab, die das Expressway-C-Serverzertifikat signiert haben.

Phase 2: Laden Sie Root- und Zwischenzertifikate (falls vorhanden) auf CUCM hoch.

Schritt 3: Führen Sie einen Neustart der erforderlichen Services auf dem CUCM durch.

Einleitung

In diesem Dokument wird beschrieben, wie die Stamm- und Zwischenzertifikate, die das Expessway-C-Zertifikat signiert haben, in den CUCM-Publisher als "tomcat-trust" und als "callmanager-trust" hochgeladen werden.

Aufgrund der Verbesserungen beim Datenverkehrsserver-Service auf Expressway in X14.0.2 sendet Expressway-C sein Client-Zertifikat, wenn ein Server (CUCM) es anfordert, für Dienste, die auf anderen Ports als 8443 ausgeführt werden (z. B. 6971,6972), auch wenn sich CUCM im ungesicherten Modus befindet. Aufgrund dieser Änderung muss die Expressway-C Certificate Signing Certificate Authority (CA) in CUCM sowohl als "tomcat-trust" als auch als "callmanager-trust" hinzugefügt werden.

Wenn die Expressway-C signierende CA auf CUCM nicht hochgeladen wird, schlägt die MRA-Anmeldung nach einem Upgrade von Expressways auf X14.0.2 oder höher fehl. In der Paketerfassung zwischen Expressway-C und CUCM wird ein TLS-Fehler der 'Unknown CA' an Expressway-C gesendet.

Voraussetzungen

Hintergrundinformationen

Damit CUCM dem Zertifikat vertrauen kann, das Expressway-C sendet, muss es in der Lage sein, eine Verbindung zwischen diesem Zertifikat und einer Zertifizierungsstelle der obersten Stufe (Root) herzustellen, der es vertraut. Ein solcher Link, eine Hierarchie von Zertifikaten, die ein Entitätszertifikat mit einem CA-Stammzertifikat verknüpfen, wird als Vertrauenskette bezeichnet. Um eine solche Vertrauenskette überprüfen zu können, enthält jedes Zertifikat zwei Felder: Emittent (oder 'Ausgestellt von') und Betreff (oder 'Ausgestellt an').

Serverzertifikate, wie das, das Expressway-C an CUCM sendet, weisen in der Regel im Feld "Betreff" ihren FQDN in der CN (Common Name) auf:

Issuer: DC=lab, DC=vngtp, CN=vngtp-ACTIVE-DIR-CA

Subject: C=BE, ST=Flamish-Brabant, L=Diegem, O=Cisco, OU=TAC, CN=vcs-c1.vngtp.lab

Beispiel eines Serverzertifikats für Expressway vcs-c1.vngtp.lab. Es hat den FQDN im CN-Attribut des Betrefffelds zusammen mit anderen Attributen wie Land (C), Staat (ST), Standort (L), ... Wir können auch sehen, dass das Serverzertifikat von einer CA mit dem Namen vngtp-ACTIVE-DIR-CA (vngtp-ACTIVE-DIR-CA.vngtp.lab) ausgestellt (ausgestellt) wird.

CAs der obersten Ebene (Root CAs) können auch ein Zertifikat ausstellen, um sich selbst zu identifizieren. In einem solchen Stammzertifikat der Zertifizierungsstelle sehen wir, dass Emittent und Betreff denselben Wert haben:

Issuer:  DC=lab, DC=vngtp, CN=vngtp-ACTIVE-DIR-CA

Subject: DC=lab, DC=vngtp, CN=vngtp-ACTIVE-DIR-CA

In diesem Zertifikat haben die Felder "Issuer" und "Subject" den gleichen Wert. Ein Zertifikat, das von einer Stammzertifizierungsstelle ausgegeben wird, um sich zu identifizieren.

In einer typischen Situation stellen Root-CAs keine Serverzertifikate direkt aus. Stattdessen stellen sie Zertifikate für andere Zertifizierungsstellen aus. Diese anderen CAs werden dann als zwischengeschaltete CAs bezeichnet. Erweiterte CAs können ihrerseits direkt Serverzertifikate oder Zertifikate für andere zwischengeschaltete CAs ausstellen. Es kann vorkommen, dass ein Serverzertifikat von der Zwischenstation CA 1 ausgestellt wird, die wiederum ein Zertifikat von der Zwischenstation CA 2 erhält usw. Bis Zwischengeschaltete CA ihr Zertifikat direkt von der Root-CA erhält:

Server certificate :

Issuer:  DC=lab, DC=vngtp, CN=vngtp-intermediate-CA-1

Subject: C=BE, ST=Flamish-Brabant, L=Diegem, O=Cisco, OU=TAC, CN=vcs-c1.vngtp.lab

Intermediate CA 1 certificate :

Issuer:  DC=lab, DC=vngtp, CN=vngtp-intermediate-CA-2

Subject: DC=lab, DC=vngtp, CN=vngtp-intermediate-CA-1

Intermediate CA 2 certificate :

Issuer:  DC=lab, DC=vngtp, CN=vngtp-intermediate-CA-3

Subject: DC=lab, DC=vngtp, CN=vngtp-intermediate-CA-2

...

Intermediate CA n certificate :

Issuer:  DC=lab, DC=vngtp, CN=vngtp-ACTIVE-DIR-CA

Subject: DC=lab, DC=vngtp, CN=vngtp-intermediate-CA-n

Root CA certificate :

Issuer:  DC=lab, DC=vngtp, CN=vngtp-ACTIVE-DIR-CA

Subject: DC=lab, DC=vngtp, CN=vngtp-ACTIVE-DIR-C

Damit CUCM dem Serverzertifikat vertrauen kann, das Expressway-C sendet, muss es in der Lage sein, die Vertrauenskette aus diesem Serverzertifikat bis zu einem Stammzertifikat der Zertifizierungsstelle zu erstellen. Dazu müssen wir das Root-Zertifizierungsstellenzertifikat und auch alle dazwischenliegenden Zertifizierungsstellenzertifikate (falls es welche gibt, was nicht der Fall ist, wenn die Root-Zertifizierungsstelle das Serverzertifikat von Expressway-C direkt ausgegeben hätte) in die Vertrauensliste von CUCM hochladen.

Anmerkung: Obwohl die Felder "Issuer" und "Subject" leicht lesbar für die Vertrauenskette erstellt werden können, verwenden Expressway-C und CUCM diese Felder im Zertifikat nicht. Stattdessen verwenden sie die Felder "X509v3 Authority Key Identifier" und "X509v3 Subject Key Identifier", um die Vertrauenskette zu erstellen. Diese Schlüssel enthalten Bezeichner für die Zertifikate, die genauer sind als die Felder Betreff/Aussteller: Es können zwei Zertifikate mit demselben Betreff/Aussteller-Feld vorhanden sein, aber eines davon ist abgelaufen und eines noch gültig. Beide verfügen über eine andere X509v3-Betreffschlüsselkennung, sodass Expressway/CUCM weiterhin die richtige Vertrauenskette ermitteln kann.

Konfiguration

Schritt 1: Rufen Sie Root- und Zwischenzertifikate ab, die das Expressway-C-Serverzertifikat signiert haben.

Als bewährtes Verfahren haben Sie das Serverzertifikat zunächst von einer CA (Root CA oder Intermediate CA) erhalten, die dieses Serverzertifikat signiert hat. Außerdem haben Sie das Root- und Zwischenzertifikat für dieses Serverzertifikat erhalten und an einem sicheren Ort gespeichert. In diesem Fall können Sie diese Root- und Zwischenzertifikate abrufen und in Schritt 2 fortfahren, wo Sie Anweisungen zum Hochladen auf den CUCM finden.

Wenn Sie die gute Praxis nicht befolgt haben, Ihre Root-/Intermedate-Zertifikate irgendwo sicher zu speichern, können wir sie aus dem Expressway-C holen, so wie Sie sie auch dort hochgeladen hätten, bevor Sie das Serverzertifikat hochgeladen haben. Der erste Schritt besteht darin, das Zertifikat zu überprüfen, das wir genau benötigen. Navigieren Sie dazu auf dem Expressway-C zu Maintenance > Security > Server certificate und klicken Sie auf oder wählen Sie die Schaltfläche 'Show (decoded)' neben 'Server certificate'. Dadurch wird ein neues Fenster/Register mit dem Inhalt des Expressway-C Serverzertifikats geöffnet. Wir suchen dort nach dem Feld "Issuer" (Aussteller):

Certificate:

Data:

Version: 3 (0x2)

Serial Number:

55:00:00:02:21:bb:2d:41:60:55:d7:b2:27:00:01:00:00:02:21

Signature Algorithm: sha256WithRSAEncryption

Issuer: O=DigiCert Inc, CN=DigiCert Global CA-1

Validity

Not Before: Dec  8 10:36:57 2021 GMT

Not After : Dec  8 10:36:57 2023 GMT

Subject: C=BE, ST=Flamish-Brabant, L=Diegem, O=Cisco, OU=TAC, CN=vcs-c1.vngtp.lab

Subject Public Key Info:

...

Unser Expressway-Serverzertifikat wird von einer Organisation DigiCert Inc mit dem gemeinsamen Namen 'DigiCert Global CA-1' ausgestellt.

Wir gehen jetzt zu Maintenance > Security > Trusted CA certificate und schauen in die Liste, ob dort im Feld "Subject" (Betreff) ein Zertifikat mit dem gleichen Wert (O=DigiCert Inc, CN=DigiCert Global CA-1) vorhanden ist.

Expressway Trust Store

Wir sehen in der Tat, dass es ein Zertifikat im Expressway-C Trust Store gibt, das ein Thema hat, das identisch ist wie der 'Issuer' des Expressway-C Server-Zertifikats. Dieses Zertifikat (das letzte in der Liste, wie im Bild gezeigt) wird von O=DigiCert Inc, OU=www.digicert.com, CN=DigiCert Global Root CA ausgestellt. Das ist anders als das "Betreff", also wissen wir, dass es sich nicht um ein Stammzertifikat der Zertifizierungsstelle, sondern um ein Zertifikat der Zertifizierungsstelle handelt.

Hinweis: Wenn Sie in dieser Liste kein Zertifikat mit einem 'Subject' sehen, das zum 'Issuer' unseres Expressway-C-Zertifikats passt, sehen Sie sich die Spalte 'Issuer' in der Liste an und sehen Sie, ob Sie dort eine Übereinstimmung finden können. Wenn dies der Fall ist und in der Spalte "Betreff" die Option "Matches Issuer" für dieses Zertifikat angezeigt wird, bedeutet dies, dass es ein Root-Zertifikat gibt, das unser Expressway-C Server-Zertifikat sofort signiert hat, ohne dazwischen eine Zwischen-CA.

Nachdem wir das Zwischenzertifikat gefunden haben, sind wir noch nicht fertig.  Wir müssen bis zum Stammzertifikat gehen. Daher müssen wir das Zertifikat der Zertifizierungsstelle finden, die das Zertifikat der Zertifizierungsstelle mit dem Betreff O=DigiCert Inc, CN=DigiCert Global CA-1 ausgestellt hat. Wir wissen, dass die Zertifizierungsstelle, die dieses Zertifikat ausgestellt hat, O=DigiCert Inc, OU=www.digicert.com, CN=DigiCert Global Root CA ist. Da in der Betreffspalte keine Übereinstimmung für diese CA angezeigt wird, sehen wir in der Spalte "Issuer" (Aussteller) eine Übereinstimmung: das 4. Zertifikat in der Liste hat ein Issuer O=DigiCert Inc, OU=www.digicert.com, CN=DigiCert Global Root CA, und da das "Subject" "Matches Issuer" lautet, wissen wir, dass dies das Stammzertifikat der Zertifizierungsstelle ist.

Fazit: unser Expressway-C Serverzertifikat wurde signiert von CA O=DigiCert Inc, CN=DigiCert Global CA-1, die wiederum von der Root CA O=DigiCert Inc, OU=www.digicert.com, CN=DigiCert Global Root CA signiert wurde.

Um das Root- und Zwischenzertifikat zu erhalten, klicken Sie auf oder wählen Sie die Schaltfläche 'Show all (PEM file)' in der Liste aus. Hier werden alle Root- und Zwischenzertifikate im PEM-Format angezeigt. Blättern Sie nach unten zum 4. und letzten Zertifikat, und kopieren Sie den Inhalt. Das 4. Zertifikat ist unser Root CA cert:

...

Epn3o0WC4zxe9Z2etiefC7IpJ5OCBRLbf1wbWsaY71k5h+3zvDyny67G7fyUIhz

ksLi4xaNmjICq44Y3ekQEe5+NauQrz4wlHrQMz2nZQ/1/I6eYs9HRCwBXbsdtTLS

R9I4LtD+gdwyah617jzV/OeBHRnDJELqYzmp

-----END CERTIFICATE-----

O=DigiCert Inc, CN=DigiCert Global Root CA

-----BEGIN CERTIFICATE-----

MIIDrzCCApegAwIBAgIQCDvgVpBCRrGhdWrJWZHHSjANBgkqhkiG9w0BAQUFADBh

MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3

d3cuZGlnaWNlcnQuY29tMSAwHgYDVQQDExdEaWdpQ2VydCBHbG9iYWwgUm9vdCBD

QTAeFw0wNjExMTAwMDAwMDBaFw0zMTExMTAwMDAwMDBaMGExCzAJBgNVBAYTAlVT

MRUwEwYDVQQKEwxEaWdpQ2VydCBJbmMxGTAXBgNVBAsTEHd3dy5kaWdpY2VydC5j

b20xIDAeBgNVBAMTF0RpZ2lDZXJ0IEdsb2JhbCBSb290IENBMIIBIjANBgkqhkiG

9w0BAQEFAAOCAQ8AMIIBCgKCAQEA4jvhEXLeqKTTo1eqUKKPC3eQyaKl7hLOllsB

CSDMAZOnTjC3U/dDxGkAV53ijSLdhwZAAIEJzs4bg7/fzTtxRuLWZscFs3YnFo97

nh6Vfe63SKMI2tavegw5BmV/Sl0fvBf4q77uKNd0f3p4mVmFaG5cIzJLv07A6Fpt

43C/dxC//AH2hdmoRBBYMql1GNXRor5H4idq9Joz+EkIYIvUX7Q6hL+hqkpMfT7P

T19sdl6gSzeRntwi5m3OFBqOasv+zbMUZBfHWymeMr/y7vrTC0LUq7dBMtoM1O/4

gdW7jVg/tRvoSSiicNoxBN33shbyTApOB6jtSj1etX+jkMOvJwIDAQABo2MwYTAO

BgNVHQ8BAf8EBAMCAYYwDwYDVR0TAQH/BAUwAwEB/zAdBgNVHQ4EFgQUA95QNVbR

TLtm8KPiGxvDl7I90VUwHwYDVR0jBBgwFoAUA95QNVbRTLtm8KPiGxvDl7I90VUw

DQYJKoZIhvcNAQEFBQADggEBAMucN6pIExIK+t1EnE9SsPTfrgT1eXkIoyQY/Esr

hMAtudXH/vTBH1jLuG2cenTnmCmrEbXjcKChzUyImZOMkXDiqw8cvpOp/2PV5Adg

06O/nVsJ8dWO41P0jmP6P6fbtGbfYmbW0W5BjfIttep3Sp+dWOIrWcBAI+0tKIJF

PnlUkiaY4IBIqDfv8NZ5YBberOgOzW6sRBc4L0na4UU+Krk2U886UAb3LujEV0ls

YSEY1QSteDwsOoBrp+uvFRTp2InBuThs4pFsiv9kuXclVzDAGySj4dzp30d8tbQk

CAUw7C29C79Fv1C5qfPrmAESrciIxpg0X40KPMbp1ZWVbd4=

-----END CERTIFICATE-----

O=The Go Daddy Group, Inc.

-----BEGIN CERTIFICATE-----

MIIEADCCAuigAwIBAgIBADANBgkqhkiG9w0BAQUFADBjMQswCQYDVQQGEwJVUzEh

MB8GA1UEChMYVGhlIEdvIERhZGR5IEdyb3VwLCBJbmMuMTEwLwYDVQQLEyhHbyBE

...

Für jedes Stamm- und ggf. Zwischenzertifikat kopieren Sie alles, was mit '—BEGIN CERTIFICATE—' beginnt und mit '—ENDE CERTIFICATE—' endet (im Lieferumfang enthalten). Setzen Sie sie jeweils in eine separate Textdatei und fügen Sie unten eine zusätzliche leere Zeile hinzu (nach der Zeile mit —END CERTIFICATE—). Speichern Sie diese Dateien mit der .pem-Erweiterung: root.pem, intermediär1.pem, intermediär2.pem, ... Sie benötigen eine separate Datei für jedes Root-/Zwischenzertifikat. Im vorherigen Beispiel würde unsere root.pem-Datei Folgendes enthalten:

-----BEGIN CERTIFICATE-----

MIIDrzCCApegAwIBAgIQCDvgVpBCRrGhdWrJWZHHSjANBgkqhkiG9w0BAQUFADBh

MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3

d3cuZGlnaWNlcnQuY29tMSAwHgYDVQQDExdEaWdpQ2VydCBHbG9iYWwgUm9vdCBD

QTAeFw0wNjExMTAwMDAwMDBaFw0zMTExMTAwMDAwMDBaMGExCzAJBgNVBAYTAlVT

MRUwEwYDVQQKEwxEaWdpQ2VydCBJbmMxGTAXBgNVBAsTEHd3dy5kaWdpY2VydC5j

b20xIDAeBgNVBAMTF0RpZ2lDZXJ0IEdsb2JhbCBSb290IENBMIIBIjANBgkqhkiG

9w0BAQEFAAOCAQ8AMIIBCgKCAQEA4jvhEXLeqKTTo1eqUKKPC3eQyaKl7hLOllsB

CSDMAZOnTjC3U/dDxGkAV53ijSLdhwZAAIEJzs4bg7/fzTtxRuLWZscFs3YnFo97

nh6Vfe63SKMI2tavegw5BmV/Sl0fvBf4q77uKNd0f3p4mVmFaG5cIzJLv07A6Fpt

43C/dxC//AH2hdmoRBBYMql1GNXRor5H4idq9Joz+EkIYIvUX7Q6hL+hqkpMfT7P

T19sdl6gSzeRntwi5m3OFBqOasv+zbMUZBfHWymeMr/y7vrTC0LUq7dBMtoM1O/4

gdW7jVg/tRvoSSiicNoxBN33shbyTApOB6jtSj1etX+jkMOvJwIDAQABo2MwYTAO

BgNVHQ8BAf8EBAMCAYYwDwYDVR0TAQH/BAUwAwEB/zAdBgNVHQ4EFgQUA95QNVbR

TLtm8KPiGxvDl7I90VUwHwYDVR0jBBgwFoAUA95QNVbRTLtm8KPiGxvDl7I90VUw

DQYJKoZIhvcNAQEFBQADggEBAMucN6pIExIK+t1EnE9SsPTfrgT1eXkIoyQY/Esr

hMAtudXH/vTBH1jLuG2cenTnmCmrEbXjcKChzUyImZOMkXDiqw8cvpOp/2PV5Adg

06O/nVsJ8dWO41P0jmP6P6fbtGbfYmbW0W5BjfIttep3Sp+dWOIrWcBAI+0tKIJF

PnlUkiaY4IBIqDfv8NZ5YBberOgOzW6sRBc4L0na4UU+Krk2U886UAb3LujEV0ls

YSEY1QSteDwsOoBrp+uvFRTp2InBuThs4pFsiv9kuXclVzDAGySj4dzp30d8tbQk

CAUw7C29C79Fv1C5qfPrmAESrciIxpg0X40KPMbp1ZWVbd4=

-----END CERTIFICATE-----

(Beachten Sie, dass unten eine leere Zeile angezeigt wird.)

Phase 2: Laden Sie Root- und Zwischenzertifikate (falls vorhanden) auf CUCM hoch.

- Melden Sie sich auf der Cisco Unified OS Administration-Seite Ihres CUCM Publisher an.

- Navigieren Sie zu Sicherheit > Zertifikatsverwaltung.

- Klicken oder wählen Sie die Schaltfläche "Zertifikat/Zertifikatskette hochladen".

- Laden Sie im neuen Fenster das root.pem-Zertifikat hoch, das Sie aus Schritt 1 erhalten haben. Laden Sie es zuerst als "Tomcat Trust" hoch:

- Klicken Sie auf oder wählen Sie die Schaltfläche "Hochladen". Als Nächstes müssen Sie "Erfolg: Zertifikat hochgeladen". Ignorieren Sie die Meldung Tomcat neu starten für jetzt.

- Laden Sie jetzt die gleiche root.pem-Datei als 'CallManager-trust' für 'Certificate Purpose' hoch.

- Wiederholen Sie die vorherigen Schritte (Upload als 'tomcat-trust' und 'CallManager-trust') für alle Zwischenzertifikate, die Sie besitzen.

Schritt 3: Führen Sie einen Neustart der erforderlichen Services auf dem CUCM durch.

Diese Services müssen auf jedem CUCM-Knoten im CUCM-Cluster neu gestartet werden:

- Cisco CallManager

- Cisco TFTP

- Cisco Tomcat

Die ersten beiden können wir von den CUCM-Seiten zu Cisco Unified Serviceability neu starten:

- Melden Sie sich auf der Cisco Unified Service-Seite Ihres CUCM Publisher an.

- Navigieren Sie zu Extras > Control Center - Feature Services.

- Wählen Sie Ihren Publisher als Server aus.

- Wählen Sie den Service "Cisco CallManager" aus, und klicken Sie auf die Schaltfläche "Neustart".

- Wenn der Cisco CallManager-Dienst neu gestartet wurde, wählen Sie den Service "Cisco TFTP" aus, und klicken Sie auf die Schaltfläche "Neu starten".

- Warten Sie, bis der Cisco TFTP-Dienst neu gestartet wird.

- Wiederholen Sie die vorherigen Schritte für jeden Ihrer Herausgeber.

Cisco Tomcat kann nur von der CLI aus neu gestartet werden:

- Öffnen einer Befehlszeilenverbindung mit dem CUCM Publisher

- Verwenden Sie den Befehl: utils service restart Cisco Tomcat

- Wiederholen Sie die vorherigen Schritte auf jedem Ihrer Subscriber-Knoten.