Verlängerung des Expressway-Zertifikats

Einleitung

In diesem Dokument wird die Verlängerung des Expressway/Video Communication Server (VCS)-Zertifikats beschrieben.

Hintergrundinformationen

Die Informationen in diesem Dokument gelten für Expressway und VCS. Das Dokument verweist auf Expressway, dieser kann jedoch mit dem VCS ausgetauscht werden.

Anmerkung: Dieses Dokument soll Sie bei der Erneuerung des Zertifikats unterstützen. Es empfiehlt sich jedoch, auch den Cisco Expressway Certificate Creation and Use Deployment Guide für Ihre Version zu lesen.

Wenn ein Zertifikat erneuert werden soll, müssen zwei Hauptpunkte berücksichtigt werden, um sicherzustellen, dass das System auch nach der Installation des neuen Zertifikats ordnungsgemäß funktioniert:

1. Die Attribute des neuen Zertifikats müssen mit denen des alten Zertifikats übereinstimmen (hauptsächlich der alternative Antragstellername und die erweiterte Schlüsselverwendung).

2. Die Zertifizierungsstelle, die das neue Zertifikat signiert, muss von anderen Servern als vertrauenswürdig eingestuft werden, die direkt mit dem Expressway kommunizieren (z. B. CUCM, Expressway-C, Expressway-E usw.).

Prozess

A) Informationen aus dem aktuellen Zertifikat abrufen

1. Öffnen Sie Expressway-Webseite Wartung > Sicherheit > Serverzertifikat > Dekodiert anzeigen.

2. Kopieren Sie im neuen Fenster, das sich öffnet, die Erweiterungen Subject Alternative Name und Authority Key Identifier X509v3 in ein Notepad-Dokument.

Dekodiertes Zertifizierungsfenster anzeigen

B) Erstellen Sie eine Zertifikatsanforderung (Certificate Signing Request, CSR), und senden Sie diese zur Signierung an die Zertifizierungsstelle (Certification Authority, CA).

1. Navigieren Sie zu Expressway Webpage Maintenance > Security > Server certificate > Generate CSR.

2. Geben Sie im Fenster CSR generieren im Feld Zusätzliche alternative Namen (durch Komma getrennt) alle Werte für Subject Alternative Names ein, die im Abschnitt A gespeichert wurden, und entfernen Sie DNS: und trennen Sie die Liste durch Kommas.

In diesem Bild, neben Alternativer Name wie er angezeigt wird, gibt es eine Liste aller SANs, die im Zertifikat verwendet werden sollen:

CSR SAN-Einträge generieren

3. Geben Sie den Rest der Informationen unter dem Abschnitt Zusätzliche Informationen (z. B. Land, Unternehmen, Bundesland usw.) ein, und klicken Sie auf CSR generieren.

4. Nachdem Sie den CSR generiert haben, zeigt die Seite Wartung > Sicherheit > Serverzertifikat eine Option zum Verwerfen von CSR und Herunterladen an. Wählen Sie Herunterladen, und senden Sie den CSR zur Signierung an die Zertifizierungsstelle.

Anmerkung: Verwerfen Sie CSR nicht, bevor das neue Zertifikat installiert wurde. Wenn die CSR-Datei verwerfen abgeschlossen ist und dann versucht wird, ein mit der CSR-Datei signiertes Zertifikat zu installieren, das verworfen wurde, schlägt die Zertifikatsinstallation fehl.

C) Überprüfen Sie die SAN-Liste und das erweiterte/erweiterte Attribut für die Schlüsselverwendung im neuen Zertifikat.

Öffnen Sie das neu signierte Zertifikat im Windows-Zertifikats-Manager, und überprüfen Sie Folgendes:

1. Die SAN-Liste stimmt mit der SAN-Liste überein, die Sie in Abschnitt A gespeichert haben, in dem Sie den CSR verwendet und generiert haben.

2. Das Attribut für die erweiterte/erweiterte Schlüsselverwendung muss sowohl die Clientauthentifizierung als auch die Serverauthentifizierung umfassen.

Anmerkung: Wenn das Zertifikat die Erweiterung .pem aufweist, benennen Sie es in .cer oder .crt um, damit es mit dem Windows-Zertifikats-Manager geöffnet werden kann. Sobald das Zertifikat mit dem Windows-Zertifikats-Manager geöffnet wurde, können Sie zur Registerkarte Details > In Datei kopieren gehen und es als Base64-kodierte Datei exportieren. Eine Base64-kodierte Datei hat normalerweise "-----BEGIN CERTIFICATE-----" oben und "-----END CERTIFICATE-----" unten, wenn sie in einem Texteditor geöffnet wird.

D) Überprüfen Sie, ob die Zertifizierungsstelle, die das neue Zertifikat signiert hat, mit der Zertifizierungsstelle übereinstimmt, die das alte Zertifikat signiert hat.

Öffnen Sie das neu signierte Zertifikat im Windows-Zertifikatmanager, kopieren Sie den Wert für die Autoritätsschlüssel-ID, und vergleichen Sie ihn mit dem Wert für die Autoritätsschlüssel-ID, den Sie in Abschnitt A gespeichert haben.

Neue Zertifizierung mit Windows Certification Manager eröffnet

Wenn beide Werte identisch sind, bedeutet dies, dass das neue Zertifikat mit derselben Zertifizierungsstelle signiert wurde wie das alte Zertifikat. Sie können mit Abschnitt E fortfahren, um das neue Zertifikat hochzuladen.

Wenn sich die Werte unterscheiden, bedeutet dies, dass die zum Signieren des neuen Zertifikats verwendete Zertifizierungsstelle sich von der Zertifizierungsstelle unterscheidet, die zum Signieren des alten Zertifikats verwendet wurde. Sie müssen folgende Schritte ausführen, bevor Sie mit Abschnitt E fortfahren können:

1. Holen Sie sich alle Zertifikate der Zwischen-Zertifizierungsstelle (Intermediate CA), sofern vorhanden, und das Zertifikat der Stammzertifizierungsstelle (Root CA).

2. Navigieren Sie zu Maintenance > Security > Trusted CA certificate, klicken Sie auf Browse, suchen Sie dann nach dem Zwischenzertifikat der Zertifizierungsstelle auf Ihrem Computer, und laden Sie es hoch. Führen Sie den gleichen Vorgang für alle anderen Zwischenzertifikate der Zertifizierungsstelle und das Stammzertifikat der Zertifizierungsstelle aus.

3. Führen Sie dasselbe auf jedem Expressway-E (wenn das zu erneuernde Zertifikat ein Expressway-C-Zertifikat ist) durch, der mit diesem Server verbunden ist, oder auf jedem Expressway-C (wenn das zu erneuernde Zertifikat ein Expressway-E-Zertifikat ist), der mit diesem Server verbunden ist.

4. Wenn es sich bei dem zu verlängernden Zertifikat um ein Expressway-C-Zertifikat handelt und Sie MRA haben oder über sichere Zonen für CUCM verfügen.

• Stellen Sie sicher, dass CUCM der neuen Stamm- und Zwischen-CA vertraut.
• Laden Sie die Stamm- und Zwischenzertifikate der Zertifizierungsstelle in CUCM hoch, um die Speicher "cat-trust" und "callmanager-trust" zu verwenden.
• Starten Sie die relevanten Services auf dem CUCM neu.

E) Installieren des neuen Zertifikats

Nachdem Sie alle vorherigen Punkte überprüft haben, können Sie das neue Zertifikat auf dem Expressway unter Maintenance > Security > Server Certificate installieren.

Klicken Sie auf Durchsuchen, wählen Sie die neue Zertifikatsdatei von Ihrem Computer aus, und laden Sie sie hoch.

Sie müssen Expressway neu starten, nachdem Sie ein neues Zertifikat installiert haben.

Anmerkung: Stellen Sie sicher, dass das von Maintenance > Security > Server Certificate auf Expressway hochzuladende Zertifikat nur das Expressway-Serverzertifikat und nicht die vollständige Zertifikatkette enthält, und vergewissern Sie sich, dass es sich um ein Base64-Zertifikat handelt.

Hinzufügen eines einzelnen Zertifikats zu mehreren Expressways: