Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

Netzwerkdiagramm

Konfigurationen

Überprüfen

Fehlerbehebung

Einführung

Dieses Dokument beschreibt ein verbessertes Verhalten in Cisco Unified Communications Manager (CUCM), das eine zusätzliche Ebene der UserID-Authentifizierung in den SIP-REGISTERN-Nachrichten (Session Initiation Protocol) gegenüber der aktuellen Authentifizierungsmethode nur auf dem Expressway bietet.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- CUCM-Administration und -Konfiguration

- SIP-Protokoll

- Video Communication Server (VCS) Expressway

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Cisco Unified Communications Manager 11.5 und höher

- Video Communication Server (VCS) Expressway

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Hintergrundinformationen

In der Vergangenheit funktioniert die Geräteregistrierung über Video Communication Server (VCS) Expressway, wenn das Gerät Benutzernamen und Kennwort über das Hypertext Transfer Protocol (HTTP) sendet. Expressway authentifiziert dann den Benutzernamen und ermöglicht es dem Gerät, die Registrierung zum CUCM ohne weitere Überprüfung fortzusetzen.

Das neue Verhalten ist, dass CUCM jetzt die SIP-REGISTER-Nachricht überprüft und sicherstellt, dass die Benutzer-ID dem Gerät ordnungsgemäß zugeordnet ist. Mithilfe dieser Funktion sollte die Benutzer-ID autorisiert werden, bevor sie sich beim CUCM anmeldet. bietet daher den nächsten Schutz vor dem Gerät vor externen/unbekannten Netzwerken. Dadurch wird sichergestellt, dass der SIP-REGISTER autorisiert ist, d. h. nur ein gültiges Gerät, das dem gültigen Benutzer zugeordnet ist, sollte registriert werden. Wenn keine UserID-Zuordnung zum Gerät besteht, lehnt die Registrierung den Antwortcode 401 ab.

Hintergrundgeschichte

- CSCuu97283

- CVE-ID CVE-2015-6410

Einschränkungen

- Betrifft nur SIP-Telefone

- Standortbasierte Registrierungen sind nicht betroffen.

Konfigurieren

Netzwerkdiagramm

Verwendete Komponenten (alte und neue Architektur)

Altes Verhaltensbild:

Neues Verhaltensbild:

Konfigurationen

Neuer Dienstparameter zum Ein-/Ausschalten dieser Funktion System > Dienstparameter > Server > Cisco CallManager > SIP-Registrierungs-Autorisierung aktiviert

Werte:

- True - (Standard)

- Falsch

Die richtige UserID-Zuordnung zum richtigen Gerät bestimmt, ob die SIP-Registrierung autorisiert oder abgelehnt wird.

Die Anforderung des Registrierungs-Autorisierungsprozesses folgt folgenden Szenarien:

Szenario 1. Wenn die Benutzer-ID in der REGISTER-Nachricht nicht vorhanden ist, sollte sie autorisiert werden, und 200 OK werden gesendet.

Hinweis: Dadurch wird eine Interoperabilität vor Ort und Abwärtskompatibilität mit älteren Expressway-Versionen gewährleistet.

Szenario 2. Wenn die Benutzer-ID in der REGISTER-Nachricht vorhanden ist,..

- WENN die Benutzer-ID mit dem Feld Owner-ID auf der Seite "CUCM Phone Configuration" (CUCM-Telefonkonfiguration) übereinstimmt, dann 200 OK autorisieren und senden

- WENN die Benutzer-ID mit der Benutzer-ID-Zuordnung des Geräts auf der Seite "CUCM-Endbenutzerkonfiguration" übereinstimmt, autorisieren und senden Sie dann 200 OK.

- Wenn beide Felder für die Eigentümer-ID leer sind und die Gerätezuordnung zum Endbenutzer nicht vorhanden ist, dann autorisieren und senden Sie 200 OK.

- ELSE WENN keine Übereinstimmung, DANN FEHLEN und senden 401 nicht autorisiert

Szenario 3. Wenn die REGISTER-Nachricht mehr als eine UserID mit unterschiedlichen Werten enthält, VERSAGEN SIE THEN FAIL und senden Sie 401 Unauthorized.

Hinweis: Nur Expressway füllt diese UserID-Header auf.

Use Cases Results Table

Nummer

Testfälle

Autorisierung zur SIP-Registrierung aktiviert

Erwartetes Ergebnis

1

Der UserId-Parameter im Contact-Header ist nicht vorhanden.

Richtig

Autorisieren

(200 OK)

2

Der UserId-Parameter im Kontakt-Header stimmt mit der OwnerId auf der Konfigurationsseite des Telefons überein.

Richtig

Autorisieren

(200 OK)

1

Der UserId-Parameter im Kontakt-Header stimmt mit der BenutzerID überein, die einem Gerät auf der Seite Endbenutzer zugeordnet ist.

Richtig

Autorisieren

(200 OK)

4

Die BenutzerID im Kontakt-Header stimmt mit der OwnerId auf der Seite "Phone Config" (Telefonkonfig.) überein und stimmt nicht mit der auf der Endbenutzer-Seite konfigurierten Benutzer-ID überein.

Richtig

Autorisieren

(200 OK)

5

Die BenutzerID im Kontakt-Header stimmt mit der Benutzer-ID auf der Endbenutzer-Seite überein und stimmt nicht mit der OwnerId auf der Seite für die Telefonkonfiguration überein.

Richtig

Autorisieren

(200 OK)

6

Die OwnerId auf der Seite "Phone Config" (Telefonkonfiguration) ist leer, und dem Gerät ist auf der Seite "Endbenutzer" kein Benutzer zugeordnet.

Richtig

Autorisieren

(200 OK)

7

OwnerId auf der Seite "Phone Config" (Telefonkonfig.) und userId für ein Gerät auf der Seite "End User" (Endbenutzer) konfiguriert, aber keine Übereinstimmung gefunden

Richtig

401 Unautorisiert

8

Mehrere Benutzer-IDs im Kontakt-Header.

Richtig

401 Unautorisiert

9

Auf der Endbenutzerseite für ein Gerät konfigurierte Benutzer-ID

Richtig

Autorisierung (200 OK)

10

Benutzer-ID entschlüsseln

Richtig

Autorisierung (200 OK)

11

Aktualisierungsregister

Richtig

Wie bei der ersten REGISTER-Nachricht

12

UserId im Contact-Header ist eine leere Zeichenfolge, OwnerId und UserId sind für das Gerät nicht konfiguriert.

Richtig

Autorisierung (200 OK)

13

UserId im Contact-Header ist eine leere Zeichenfolge. Die OwnerId/UserId ist für das Gerät konfiguriert.

Richtig

401 Unautorisiert

14

UserID ist im Kontakt-Header vorhanden, OwnerId/UserId ist für das Gerät konfiguriert, aber keine Übereinstimmung gefunden

Falsch

200 OK

15

Mehr als eine Benutzer-ID im Kontakt-Header vorhanden

Falsch

200 OK

16

UserId im Contact-Header ist eine leere Zeichenfolge, ownerId /UserId ist für das Gerät konfiguriert.

Falsch

200 OK

Aktivieren Sie die Funktion über den Communications Manager-Serviceparameter (CCM). Standardmäßig ist sie aktiviert, und es ist keine weitere Konfiguration erforderlich.

Überprüfen

Kopfzeile des Kontakts

CUCM überprüft den Contact-Header der REGISTER-Nachricht auf Änderungen durch Expressway

Contact: <sip:ffeffb75-880e-f58f-a8ec-f5025d0f9136@10.50.179.6:5060;transport=tcp;orig- hostport=192.168.0.121:55854>;+sip.instance="<urn:uuid:00000000-0000-0000-0000-

00506005457e>";+u.sip!model.ccm.cisco.com="604";+u.sip!userid.ccm.cisco.com="mjavie r";+u.sip!serialno.ccm.cisco.com=A1AZ20D00153;audio=TRUE;video=TRUE;mobility="fixed";

duplex="full";description="TANDBERG-SIP“

Neuer Alarm (AuthorizationErrorWarningLevel)

Ein neuer Alarm (AuthorizationErrorWarningLevel) ist jetzt verfügbar, wenn ein Fehler bei der SIP-Registrierung auftritt.

Fehlerbehebung

Suchen nach Autorisierungsversuchen in der Debugausgabe von CCM Traces

Erfolgreiche Autorisierungsbeispiele:

Szenario 1:

00013222.041 |15:46:20.792 |AppInfo |SIPStationD(7) - User Authorized - Phone Config page

Szenario 2:

00015642.041 |16:01:39.112 |AppInfo |SIPStationD(9) - User Authorized - EndUser page

Autorisierung fehlgeschlagen und Alarm:

00186341.041 |13:17:37.187 |AppInfo |SIPStationD(133) - User: shree is unauthorized to register a device

00186341.042 |13:17:37.187 |AppInfo |SIPStationD(133) - sendRegisterResp: non-200 response code 401, ccbId 2303, expires 4294967295, warning Authorization failure -

Unauthorized user for this device

00186341.043 |13:17:37.188 |AppInfo |EndPointTransientConnection - An endpoint attempted to register but did not complete registration Connecting Port:5060 Device name:

SEPCD1111000015 Device type:647 Reason Code:35 Protocol:SIP Device MAC address:CD1111000015 LastSignalReceived:SIPRegisterInd StationState:wait_register App ID:Cisco

CallManager Cluster ID:10.77.29.71 Node ID:CuCM-71

00186341.044 |13:17:37.188 |AlarmWarn|AlarmClass: CallManager, AlarmName: EndPointTransientConnection, AlarmSeverity: Warning, AlarmMessage: , AlarmDescription: An endpoint

attempted to register but did not complete registration, AlarmParameters: ConnectingPort:5060, DeviceName:SEPCD1111000015, DeviceType:647, Reason:35, Protocol:SIP,

MACAddress:CD1111000015, LastSignalReceived:SIPRegisterInd, StationState:wait_register, AppID:Cisco CallManager, ClusterID:10.77.29.71, NodeID:CuCM-71,

00186346.000 |13:17:37.189 |SdlSig |SIPRegisterResp |wait |SIPHandler(1,100,80,1) |SIPStationD(1,100,74,133) |1,100,14,772.2^10.77.29.189^SEPCD1111000015 |[T:N-H:0,N:0,L:0,

V:0,Z:0,D:0] ccbID= 2303 --TransType=1 --TransSecurity=0 PeerAddr= 10.77.29.189:5060 respCode= 401 action= 2 device=