Ejemplo de Configuración de la Autoridad de Certificados de Video Communication Server

Introducción

Este documento describe la autenticación de certificados en Video Communication Server (VCS). Un certificado identifica el VCS y contiene los nombres por los que se lo conoce y a los que se rutea el tráfico. Si el VCS es conocido por varios nombres para estos fines, como si forma parte de un clúster, esto debe estar representado en los datos del asunto X.509. El certificado debe contener el nombre de dominio completo (FQDN) del propio VCS y del clúster. Si un certificado se comparte entre los pares de clúster, debe enumerar todos los FQDN de peer posibles.

Un VCS necesita certificados para:

• HTTP seguro con conectividad de seguridad de la capa de transporte (TLS) (HTTPS)
• Conectividad TLS para señalización de protocolo de inicio de sesión (SIP), terminales y zonas vecinas
• Conexiones a otros sistemas, como Cisco Unified Communications Manager (CUCM), Cisco TelePresence Management Suite (TMS), servidores LDAP (protocolo ligero de acceso a directorios) y servidores syslog

Utiliza su lista de certificados de autoridad certificadora (CA) de confianza y las listas de revocación de certificados (CRL) asociadas para validar otros dispositivos que se conectan a ella.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• VCS - Versiones 8.1 y 8.1.1
• Autoridad de certificados: Microsoft Windows 2008 R2 Enterprise

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

La versión 8.1.1 de VCS admite la función de acceso remoto móvil en el perímetro de colaboración (MRA) y requiere una conexión TLS entre VCS-Control y VCS-Expressway.

Para configurar TLS, debe cargar los certificados necesarios en el VCS. Puede completar esto con estos tres métodos:

• OpenSSL
• CA empresarial
• CA de terceros

La conexión TLS entre VCS-Control y VCS-Expressway requiere estos dos atributos:

• Autenticación del cliente TLS
• Autenticación de servidor web TLS

Este documento se concentra en el método de CA empresarial, ya que OpenSSL ya se ha tratado en la Guía de implementación de certificados de VCS.

Cuando instala la CA, el certificado del servidor web viene de forma predeterminada. Sin embargo, esta plantilla no se puede utilizar para generar el certificado para la conexión TLS entre VCS-Control y VCS-Expressway. Si intenta cargar el certificado en VCS, que se genera sólo con el atributo del servidor web, recibirá este error.

Para verificar esto, seleccione Mantenimiento > Certificado de servidor. Haga clic en Decodificar certificado. Consulte la sección "Uso de clave extendido".

Configurar

Como se indicó anteriormente, para la conexión TLS necesita un atributo de cliente y servidor web. Dado que no hay una plantilla predeterminada, puede crear una. Complete estos pasos para generar la nueva plantilla con los atributos de autenticación de cliente TLS y autenticación de servidor Web TLS:

1. Abra Certificate Authority (Autoridad de certificados) o vaya a la consola de Microsoft Management Console (MMC). Haga clic en Add/Remove Snapin y seleccione Certificate Authority. Expanda la CA en el panel izquierdo y seleccione Plantillas de certificado. Haga clic con el botón derecho del ratón en la plantilla de certificado y seleccione Administrar.

   

2. Haga clic con el botón derecho del ratón en la plantilla de certificado del servidor Web y seleccione Plantilla duplicada.

   

3. Haga clic en el botón de opción Windows Server 2003 Enterprise (si desea que la plantilla esté disponible para la inscripción en la Web). Click OK.

   

4. Introduzca el nombre de la plantilla en el campo Nombre de visualización de plantilla. Asigne el nombre a la plantilla según sus requisitos, por ejemplo, "web server client 2003".

   

5. Haga clic en la ficha Extensiones y seleccione la política Aplicación. Haga clic en Editar.

   

6. En el cuadro de diálogo Agregar política de aplicación, seleccione Autenticación de cliente. Click OK.

   

7. En el cuadro de diálogo Edit Application Policies Extension, haga clic en OK.

   

8. Desde la consola MMC o la ventana CA, haga clic con el botón derecho en Plantilla de certificado. Seleccione New > Certificate Template para emitir.

   

9. Seleccione la plantilla recién creada en el cuadro de diálogo Habilitar plantillas de certificados. Verifique la plantilla en la columna Propósito esperado. Click OK.

   

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

Complete estos pasos:

1. Verifique que su plantilla de certificado solicitada esté disponible para emitir nuevos certificados.

   

   Nota: La plantilla sólo estará disponible para la inscripción en la Web si seleccionó la plantilla como Windows 2003 cuando creó la plantilla de certificados.

   

2. Siga el procedimiento para generar la solicitud de firma de certificado (CSR) desde VCS y obtener el certificado firmado con la nueva plantilla.
3. Verifique que el certificado tenga el atributo cliente y servidor web disponibles.

   

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

Si la plantilla no está disponible para la inscripción en la Web, determine si el usuario que tiene acceso a certsrv tiene los permisos necesarios.

Como se ha indicado anteriormente, la plantilla de Windows 2008 no estará disponible para la inscripción en la Web. Para obtener más detalles, vea Inscripción en Web 2008 y Plantillas de la Versión 3.

Historial de revisiones