Actualización del certificado ASA en CUCM para la función Phone VPN with AnyConnect
Contenido
Introducción
Este documento describe el proceso correcto para actualizar el certificado del dispositivo de seguridad adaptable (ASA) en Cisco Unified Communications Manager (CUCM) para teléfonos a través de una red privada virtual (VPN) con la función AnyConnect para evitar la interrupción del servicio telefónico.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- Phone VPN con función AnyConnect.
- Certificados ASA y CUCM.
Componentes Utilizados
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
- Cisco Unified Communications Manager 10.5.2.15900-8.
- Software Cisco Adaptive Security Appliance versión 9.8(2)20.
- Teléfono IP Cisco CP-8841.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
La función VPN del teléfono con AnyConnect permite la prestación de servicios telefónicos a través de una conexión VPN.
Antes de que el teléfono esté listo para VPN, primero debe aprovisionarse en la red interna. Esto requiere acceso directo al servidor TFTP de CUCM (protocolo trivial de transferencia de archivos).
El primer paso después de que el ASA esté completamente configurado, es tomar el certificado seguro (HTTPS) del protocolo de transferencia de hipertexto ASA y cargarlo en el servidor CUCM como Phone-VPN-trust, y asignarlo al gateway VPN correcto en CUCM. Esto permite al servidor CUCM generar un archivo de configuración del teléfono IP que indica al teléfono cómo llegar al ASA.
El teléfono debe aprovisionarse dentro de la red antes de que pueda moverse fuera de la red y utilizar la función VPN. Una vez que el teléfono se ha aprovisionado internamente, se puede mover a la red externa para obtener acceso VPN.
El teléfono se conecta en el puerto TCP 443 a través de HTTPS al ASA. El ASA responde con el certificado configurado y verifica el certificado presentado.
¿Cómo se actualiza el certificado ASA sin la interrupción de los servicios de los teléfonos VPN?
En algún momento, el certificado ASA debe ser cambiado, debido a cualquier circunstancia, por ejemplo.
El certificado está a punto de caducar
El certificado está firmado por terceros y la autoridad certificadora (CA) cambia, etc
Hay algunos pasos a seguir para evitar la interrupción del servicio para los teléfonos que están conectados a CUCM a través de VPN con AnyConnect.
Paso 1. Genere el nuevo certificado ASA pero no lo aplique aún a la interfaz.
El certificado puede ser firmado automáticamente o firmado por la CA.
Paso 2. Cargue ese certificado en CUCM como confianza de VPN de teléfono en CUCM Publisher.
Inicie sesión en Call Manager y navegue hasta Unified OS Administration > Security > Certificate Management > Upload Certificate > Select Phone-VPN-trust.
Como recomendación, cargue la cadena completa de certificados, si los certificados raíz e intermedio ya están cargados en CUCM, vaya al siguiente paso.
Paso 3. En el gateway VPN, seleccione ambos certificados (el anterior y el nuevo).
Vaya a Administración de Cisco Unified CM >Funciones avanzadas > VPN > Gateway VPN.
Asegúrese de tener ambos certificados en los certificados VPN en este campo de ubicación.
Paso 4. Verifique que el grupo VPN, el perfil y el perfil de teléfono común estén configurados correctamente.
Paso 5. Reinicie los teléfonos.
Este paso permite que los teléfonos descarguen los nuevos valores de configuración y asegura que los teléfonos tengan ambos hashes de certificados, de modo que puedan confiar en el certificado antiguo y en el nuevo.
Paso 6. Aplique el nuevo certificado en la interfaz ASA.
Una vez que el certificado se aplica en la interfaz ASA, los teléfonos deben confiar en ese nuevo certificado, ya que ambos tienen hashes de certificado del paso anterior.
Verificación
Utilice esta sección para confirmar que ha seguido los pasos correctamente.
Paso 1. Abra los certificados ASA antiguos y nuevos y anote la huella digital SHA-1.
Paso 2. Elija un teléfono que se debe conectar a través de VPN y recopile su archivo de configuración.
Paso 3. Una vez que tenga el archivo de configuración, busque la sección:
<vpnGroup>
<mtu>1290</mtu>
<failConnectTime>30</failConnectTime>
<authMethod>2</authMethod>
<pswdPersistent>0</pswdPersistent>
<autoNetDetect>1</autoNetDetect>
<enableHostIDCheck>0</enableHostIDCheck>
<addresses>
<url1> https://radc.cgsinc.com/Cisco_VOIP_VPN</url1>;
</addresses>
<credentials>
<hashAlg>0</hashAlg>
vcRjqz0ivVp04BSuntrmbZAxnC8=
SEnDU8oo49agcRObtMBACXdaiTI=
</credentials>
</vpnGroup>
Paso 4. El hash en el archivo de configuración se imprime en formato Base 64 y en el certificado ASA se imprime en formato hexadecimal, por lo que puede utilizar un descodificador de Base 64 a Hexadecimal para verificar que ambos hash (teléfono y ASA) coincidan.
Información Relacionada
Para obtener más información sobre la función AnyConnect VPN Phone:
-
Configure AnyConnect VPN Phone con autenticación de certificado en un ASA.
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)