Configurar TSP seguro

Introducción

Este documento describe la integración de Cisco Unified Communications Manager (CUCM) con el proveedor de servicios de telefonía segura (TSP).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas: 

• CUCM versión 11.5 y posteriores
• complemento TSP

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco Call Manager versión 11.5
• complemento TSP

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Estos son los componentes de Cisco TSP:

• DLL de CiscoTSP: implementación del servicio TAPI proporcionada por CiscoTSP
• CTIQBE sobre TCP/IP: protocolo de Cisco utilizado para supervisar y controlar dispositivos y líneas
• Servicio CTI Manager: gestiona los recursos CTI y las conexiones a los dispositivos. Expuesta a aplicaciones de terceros a través de Cisco TSP o JTAPI API 

1. Durante la conexión segura, CiscoTSP realiza una conexión TFTP para obtener el archivo de lista de confianza de certificados (CTL).
2. El archivo CTL para un clúster independiente consta de certificados ITL recovery, call manager y Certificate Authority Proxy Function (CAPF). A continuación, CiscoTSP, con el ID de instancia y la cadena de autenticación proporcionados en la configuración de CiscoTSP, realiza un intercambio de señales CAPF.
3. Si el intercambio de señales se realiza correctamente, CiscoTSP crea el certificado QBE con la información de la instancia CAPF del usuario final.

Nota: Cisco TSP no funciona con CA fuera de línea.

Configurar

Verificaciones

• Verifique que haya realizado todas las tareas necesarias para instalar y configurar Cisco CTL Client. Verifique que el Modo de seguridad del clúster en la ventana Configuración de parámetros de empresa sea 1 (modo mixto).
• Para utilizar CAPF, debe activar el servicio Cisco CAPF en el primer nodo.
• Debido a que la generación de muchos certificados al mismo tiempo puede causar interrupciones en el procesamiento de llamadas, Cisco recomienda encarecidamente que utilice CAPF durante una ventana de mantenimiento programada.
• Asegúrese de que el primer nodo funciona y se está ejecutando durante toda la operación de certificado.
• Asegúrese de que la aplicación CTI/ JTAPI/TAPI funcione durante toda la operación de certificado.

CUCM 

1. Crear usuario de aplicación:
   • Verifique que la aplicación o los usuarios finales existan en el grupo Standard CTI Enabled
   • Para agregar un usuario de aplicación o usuarios finales al grupo de usuarios de Standard CTI Secure Connection, haga clic en el enlace Standard CTI Secure Connection.
   • Para agregar un usuario de aplicación o usuarios finales al grupo de usuarios Standard CTI Allow Reception of SRTP Key Material, haga clic en el enlace Standard CTI Allow Reception of SRTP Key Material como se muestra en la imagen.                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               
2. Cree el perfil CAPF para el usuario de la aplicación como se muestra en la imagen.                                                                                                                                                                                                                            
3. Seleccione el usuario creado en el paso 1. (tapi).
4. Dé cualquier número como ID de instancia.
5. Seleccione el certificado Operación en la actualización de instalación.

Aplicación/TSP 

1. Descargue e instale el complemento TAPI de CUCM (Vaya a Aplicación > Complemento).
2. Agregue los detalles del usuario de la aplicación tal como se configuraron en CUCM, como se muestra en la imagen.                                                                                                                                                                                                                                                                                                                                                                                                                                                                                
3. Introduzca los detalles del administrador CTI como se muestra en la imagen.                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   
4. Ingrese la cadena de autorización igual que CUCM y haga clic en Obtener certificado para la ^{primera vez}, ya que los certificados deben descargarse, como se muestra en la imagen.                                                                                                                                                                                                       

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

• En el perfil CAPF del usuario de la aplicación, el certificado de importancia local (LSC) debe instalarse correctamente. El estado de la operación del certificado no debe estar pendiente, como se muestra en la imagen.

• Todos los certificados de CUCM se descargan en el equipo de windows. Ruta: C:\ProgramData\Cisco\certificates\ciscotsp001 y como se muestra en la imagen.

  

• También puede verificar si la integración de CTI funciona correctamente con el uso del marcador telefónico incorporado de Windows. Si la integración de CTI se realiza correctamente, puede ver la extensión de los teléfonos controlados por el usuario, como se muestra en la imagen.

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

• Desde el lado de la aplicación (TSP), debe establecer los seguimientos en detalle y la ubicación de seguimiento predeterminada es C:\Temp, como se muestra en la imagen.

                                                                                                                             

• Desde el lado de CUCM, necesita estos seguimientos:

  • Rastreo de TVS
  • seguimientos TFTP
  • CAPF rastreado

Seguimiento de ejemplo de TSP

• En primer lugar, el TSP se pone en contacto con el servidor TFTP para obtener el archivo CTL:

16:31:04.075 |   CSSLHelper::GetCTLFromTFTP CTLFileName = CTLCAPFA6A63C5.tlv

16:31:04.075 |-->TftpClient::TftpClient()

16:31:04.075 |   TftpClient::TftpClient() [] TftpClient instantiated successfully

• El archivo CTL para un clúster independiente consta de certificados ITLrecovery, Call Manager y CAPF. A continuación, CiscoTSP, con el ID de instancia y la cadena de autenticación proporcionados en la configuración de CiscoTSP, realiza un intercambio de señales CAPF. Si el intercambio de señales se realiza correctamente, CiscoTSP crea el certificado QBE con la información de la instancia CAPF del usuario final:

16:31:04.151 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/., fileName = .

16:31:04.151 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/.., fileName = ..

16:31:04.151 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/417b2018.0, fileName = 417b2018.0

16:31:04.154 |   CSSLHelper::GetCTLFromTFTP CERT SUBJECTNAME = /C=IN/O=cisco/OU=tac/CN=ITLRECOVERY_cucm11-pub/ST=Karnataka/L=BGL

16:31:04.154 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/f6bd2fd0.0, fileName = f6bd2fd0.0

16:31:04.156 |   CSSLHelper::GetCTLFromTFTP CERT SUBJECTNAME = /C=IN/O=cisco/OU=tac/CN=cucm11-pub/ST=Karnataka/L=BGL

16:31:04.156 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/fed232f9.0, fileName = fed232f9.0

16:31:04.158 |   CSSLHelper::GetCTLFromTFTP CERT SUBJECTNAME = /C=IN/O=cisco/OU=tac/CN=CAPF-c5d37298/ST=Karnataka/L=BGL

• El intercambio de señales de capa de sockets seguros (SSL) con CAPF se ha realizado correctamente:

16:31:04.177 |   CSSLHelper::startSSLConnectThread() SSLConnect thread created: threadHandle=1184 threadId=12504

16:31:04.177 |<--CSSLHelper::startSSLConnectThread()

16:31:04.183 |-->CSSLHelper::SSLConnectThreadEntry()

16:31:04.232 |   CSSLHelper::SSLConnectThreadEntry() Handshake: Finished

 

16:31:04.232 |   CSSLHelper::SSLConnectThreadEntry() SSL connection using AES128-SHA

 

16:31:04.232 |   CSSLHelper::SSLConnectThreadEntry() SSLConnect thread exiting ...

• Certificado de cliente QBE creado con los detalles del usuario de la aplicación:

16:31:05.295 |   CAPFclient::openFile() CAPF client: open file C:\ProgramData\Cisco\certificates\ciscotsp001/QBEClient.cer mode w+b

16:31:05.295 |<--CAPFclient::openFile()

16:31:05.296 |-->CAPFclient::openFile()

16:31:05.299 |   CAPFclient::openFile() CAPF client: open file C:\ProgramData\Cisco\certificates\ciscotsp001/QBEClient.pem mode w+b