Proceso de regeneración de certificados para ITLRecrecovery en CUCM 12.x y posteriores

Introducción

Este documento proporciona un procedimiento paso a paso recomendado sobre cómo regenerar certificados en Cisco Unified Communications Manager (CUCM) versión 12.X y posteriores. Este proceso no utiliza la reserva a las versiones anteriores a la funcionalidad 8.0 y actualiza los certificados por función. La función de seguridad predeterminada es Identity Trust List (ITL) y Mixed-Mode (Lista de confianza de certificados) para evitar problemas de registro.

Prerequisites

Requirements 

Cisco recomienda que tenga conocimiento sobre estos temas:

• Herramienta de supervisión en tiempo real (RTMT).
• Certificados de Cisco Unified Communications Manager (CUCM).

Componentes Utilizados

La información de este documento se basa en la versión 12.X y posteriores de CUCM.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Descargar e instalar RTMT

Paso 1. Abra la página de administración del Call Manager (CM).

Paso 2. Vaya a Application > Plugins > Find > Cisco Unified Real-Time Monitoring Tool - Windows > Download.

Paso 3. Inicie el software de instalación RTMT descargado y siga el asistente de instalación.

Supervise los terminales con RTMT

Paso 1.  Inicie RTMT e introduzca la dirección IP o el nombre de dominio completo (FQDN) y, a continuación, el nombre de usuario y la contraseña para acceder a la herramienta.

Paso 2. Esta sección identifica el número total de terminales registrados y cuántos se registran en cada nodo. Supervisión durante el restablecimiento del terminal para garantizar el registro antes de la regeneración del siguiente certificado.

a. Seleccione la ficha Voz/Vídeo.

b. Seleccione Device Summary.

Consejo: El proceso de regeneración de algunos certificados puede afectar a los terminales. Considere un plan de acción después del horario laboral normal debido a la necesidad de reiniciar los servicios y los teléfonos. Se recomienda supervisar el registro del teléfono a través de RTMT.

Advertencia: Los terminales con discrepancias actuales entre ITL pueden tener problemas de registro después de este proceso.  La eliminación del DIT en el terminal es una solución típica de las mejores prácticas después de que se complete el proceso de regeneración y se hayan registrado todos los demás teléfonos.

Identificación de clústeres en modo mixto o no seguro

Paso 1. Abra la página Administración de CM.

Paso 2. Vaya a System > Enterprise Parameters > Security Parameters > Cluster Security Mode.

Impacto del almacén de certificados

Es fundamental para el buen funcionamiento del sistema que todos los certificados estén actualizados en todo el clúster de CUCM. Si los certificados caducan o no son válidos, pueden afectar significativamente a la funcionalidad normal del sistema. Aquí se muestra una lista de servicios para los certificados específicos que no son válidos o que han caducado. El impacto puede variar según la configuración del sistema.

Proceso de regeneración de certificados

Explicación de ITL y CTL

• ITL contiene la función de certificado para el TFTP del Call Manager, todos los certificados de TVS en el clúster y la función de proxy de la autoridad certificadora (CAPF) cuando se ejecuta
• CTL contiene entradas para el token de seguridad del administrador del sistema (SAST), Cisco Call Manager y los servicios TFTP de Cisco que se ejecutan en el mismo servidor, CAPF, servidores TFTP y firewall Adaptive Security Appliance (ASA). No se hace referencia a TVS en CTL.

Nota: El certificado de recuperación ITLR se utiliza cuando los dispositivos pierden su estado de confianza. El certificado aparece tanto en ITL como en CTL (cuando el proveedor CTL está activo). Si los dispositivos pierden su estado de confianza, puede utilizar el comando utils itl reset localkey para clústeres no seguros y el comando utils ctl reset localkey para clústeres de modo mixto. Lea la guía de seguridad de la versión del Call Manager para familiarizarse con cómo se utiliza el certificado ITLRecrecovery y el proceso necesario para recuperar el estado de confianza.
Si el clúster se ha actualizado a una versión que admite una longitud de clave de 2048 y los certificados de servidor de clústeres se han regenerado a 2048 y ITLRecrecovery no se ha regenerado y actualmente tiene una longitud de clave de 1024, el comando de recuperación del DIT falla y el método ITLRecrecovery no se puede utilizar.

Clúster no seguro

Paso 1. Verifique que el archivo ITL sea válido (comando show itl) y que todos los teléfonos confíen en el archivo ITL actual.

Paso 2. Regenere el certificado de recuperación ITLR. Vaya a Administración de Cisco Unified OS > Seguridad > Gestión de certificados > Buscar.

1. Seleccione el certificado ITLRecrecovery pem.
2. Una vez abierto, seleccione Regenerar y espere hasta que vea la ventana emergente Éxito y, a continuación, cierre la ventana emergente o vuelva atrás y seleccione Buscar/Lista.

Paso 3. Firme el archivo ITL mediante el certificado de CallManager (utils itl reset localkey).

Paso 4. Reinicie todos los teléfonos.

1. Vaya a Administración de Cisco Unified CM > Sistema > Parámetros empresariales.
2. Seleccione Reset y aparecerá una ventana emergente con la instrucción Está a punto de restablecer todos los dispositivos del sistema. Esta acción no se puede deshacer. ¿Desea continuar?, seleccione Aceptar y, a continuación, seleccione Restablecer.

Paso 5. Reinicie el servicio TFTP (todos los nodos donde se esté ejecutando) para que el archivo ITL sea refirmado por el Nuevo certificado ITLRecrecovery.

Paso 6. Reinicie todos los teléfonos por segunda vez para recoger el nuevo archivo ITL.

1. Vaya a Administración de Cisco Unified CM > Sistema > Parámetros empresariales.
2. Seleccione Reset y aparecerá una ventana emergente con la instrucción Está a punto de restablecer todos los dispositivos del sistema. Esta acción no se puede deshacer. ¿Desea continuar?, seleccione Aceptar y, a continuación, seleccione Restablecer.

Clúster seguro (modo mixto)

Paso 1. Verifique el archivo CTL con el comando show ctl.

Paso 2. Regenere el certificado de recuperación ITLR. Vaya a Administración de Cisco Unified OS > Seguridad > Gestión de certificados > Buscar.

1. Seleccione el certificado ITLRecrecovery pem.
2. Una vez abierto, seleccione Regenerar y espere hasta que vea la ventana emergente Éxito y, a continuación, cierre la ventana emergente o vuelva atrás y seleccione Buscar/Lista.

Paso 3. Firme el CTLFile con CallManager Certificate (utils ctl reset localkey). Esto también actualizará el CTLFile con el nuevo certificado de recuperación ITLR.

Paso 4. Restablezca los teléfonos para recoger el nuevo CTLFile con el nuevo certificado ITLRecrecovery.

1. Cisco Unified CM Administration > System > Enterprise Parameters.
2. Seleccione Reset y aparecerá una ventana emergente con la instrucción Está a punto de restablecer todos los dispositivos del sistema. Esta acción no se puede deshacer. ¿Desea continuar?, seleccione Aceptar y, a continuación, seleccione Restablecer.

Paso 5. Actualice CTLFile para que sea refirmado por el nuevo certificado de recuperación ITLR (utils ctl update CTLFile).

Paso 6. Reinicie CallManager y TFTP Services.

1. Inicie sesión en la página Serviciabilidad de Cisco Unified de Publisher.
2. Vaya a Serviciabilidad de Cisco Unified > Herramientas > Centro de control - Servicios de funciones.
3. Comience con el editor y luego continúe con los suscriptores, reinicie Cisco CallManager Service donde se ejecute.
4. Vaya a Serviciabilidad de Cisco Unified > Herramientas > Centro de control - Servicios de funciones.
5. Comience con el editor y luego continúe con los suscriptores, reinicie Cisco TFTP Service sólo donde se ejecute.

Paso 7. Restablezca los teléfonos para recoger el nuevo CTLFile firmado por el nuevo certificado ITLRecrecovery.

1. Cisco Unified CM Administration > System > Enterprise Parameters.
2. Seleccione Reset y aparecerá una ventana emergente con la instrucción Está a punto de restablecer todos los dispositivos del sistema. Esta acción no se puede deshacer. ¿Desea continuar?, seleccione Aceptar y, a continuación, seleccione Restablecer.

Verificación 

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.