Configuración y solución de problemas de integración segura entre CUCM y CUC

Introducción

Este documento describe la configuración, verificación y solución de problemas de la conexión segura entre Cisco Unified Communication Manager (CUCM) y el servidor de Cisco Unity Connection (CUC).

Prerequisites

Requirements

Cisco recomienda que tenga conocimientos de CUCM.

Consulte la Guía de seguridad de Cisco Unified Communications Manager para obtener más información. 

Nota: Debe configurarse en modo mixto para que la integración segura funcione correctamente.

El cifrado debe estar habilitado para Unity Connection 11.5(1) SU3 y versiones posteriores.

Comando CLI "utils cuc encryption <enable/disable>"

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• CUCM, versión 10.5.2.11900-3.
• CUC versión 10.5.2.11900-3.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Diagrama

Este diagrama explica brevemente el proceso que ayuda a establecer una conexión segura entre CUCM y CUC:

1. Call Manager configura una conexión segura de seguridad de la capa de transporte (TLS) al servidor CUC en el puerto 2443 Skinny Call Control Protocol (SCCP) o 5061 Session Initiation Protocol (SIP) en el protocolo utilizado para la integración.

2. El servidor CUC descarga el archivo de lista de confianza de certificados (CTL) del servidor TFTP (proceso único), extrae el certificado CallManager.pem y lo almacena.

3. El servidor CUCM ofrece el certificado Callmanager.pem que se verifica con el certificado CallManager.pem obtenido en el paso anterior. Además, el certificado de CUC se está comprobando con un certificado raíz de CUC almacenado en CUCM. Tenga en cuenta que el administrador debe cargar el certificado raíz en CUCM.

4. Si la verificación de los certificados es satisfactoria, se establece una conexión TLS segura. Esta conexión se utiliza para intercambiar señales SCCP o SIP cifradas.

5. El tráfico de audio se puede intercambiar como protocolo de transporte en tiempo real (RTP) o SRTP.

Nota: Al establecer una comunicación TLS, CUCM y CUC utilizan la autenticación mutua TLS. Consulte RFC5630 para obtener más información.

Configurar - Troncal SIP seguro

Configurar CUC

1. Agregar certificado SIP

Vaya a CUC Administration > Telephony Integrations > Security > SIP Certificate > Add new .

• Nombre para mostrar: <cualquier nombre descriptivo>
• Nombre del asunto: <cualquier nombre, por ejemplo, SecureConnection>

Nota: El nombre del sujeto debe coincidir con el nombre del sujeto X.509 en el perfil de seguridad del troncal SIP (configurado en el paso 1 de la configuración de CUCM más adelante en este documento).

Nota: El certificado es generado y firmado por el certificado raíz de CUC.

2. Crear un nuevo sistema telefónico o modificar uno predeterminado

Vaya a Integración de telefonía > Sistema telefónico. Puede utilizar el sistema telefónico que ya existe o crear uno nuevo.

3. Agregar un nuevo grupo de puertos

En la página Phone System Basics (Conceptos básicos del sistema telefónico), en el cuadro desplegable Related Links (Enlaces relacionados), seleccione Add Port Group (Agregar grupo de puertos) y seleccione Go (Ir). En la ventana de configuración, introduzca esta información:

• Sistema telefónico:                       
• Crear desde:                           Tipo de grupo de puertos SIP
• Perfil de seguridad SIP:                 5061/TLS
• Certificado SIP:                        
• Modo de seguridad:                         Cifrados
• RTP seguro:                            Activado
• Dirección IPv4 o nombre de host:  

Pulse Guardar.

4. Editar servidores

Vaya a Edit > Servers y agregue el servidor TFTP desde el clúster de CUCM como se muestra en esta imagen.

Nota: Es importante proporcionar la dirección TFTP correcta. El servidor CUC descarga el archivo CTL de este TFTP como se explicó.

5. Restablezca el grupo de puertos

Vuelva a Fundamentos del Grupo de Puertos y reinicie el grupo de puertos como lo indica el sistema, como se muestra en esta imagen.

6. Agregar puertos de buzón de voz

En la página Fundamentos del Grupo de Puertos, en el recuadro desplegable Enlaces Relacionados, seleccione Agregar Puertos y seleccione Ir. En la ventana de configuración, introduzca esta información:

• Habilitado: Activado
• Número de puertos: 
• Sistema telefónico:    
• Grupo de puertos          
• Servidor:                 
• Comportamiento del puerto:       

7. Descargar certificado raíz CUC

Navegue hasta Telephony Integrations > Security > Root Certificate, haga clic derecho en la URL para guardar el certificado como un archivo llamado <filename>.0 (la extensión de archivo debe ser .0 en lugar de .htm)' y presione save como se muestra en esta imagen.

Configuración de CUCM

1. Configuración del perfil de seguridad del troncal SIP para el troncal hacia CUC

Vaya a CUCM Administration > System > Security > SIP Trunk Security Profile > Add new .

Asegúrese de que estos campos se han rellenado correctamente:

• Modo de seguridad del dispositivo:              Cifrados
• Nombre del sujeto X.509:                ConexiónSegura>
• Aceptar referencia fuera de cuadro de diálogo:         comprobado
• Aceptar notificación no solicitada:  comprobado
• Aceptar reemplaza el encabezado:           comprobado

Nota: El nombre del sujeto X.509 debe coincidir con el campo Nombre del sujeto en el certificado SIP en el servidor de Cisco Unity Connection (configurado en el paso 1 de la configuración de CUC).

2. Configuración del perfil SIP

Navegue hasta Device > Device Settings > SIP Profile si necesita aplicar alguna configuración específica. De lo contrario, puede utilizar Standard SIP Profile.

3. Crear troncal SIP

Vaya a Device > Trunk > Add new. Cree un troncal SIP que se utilice para la integración segura con Unity Connection, como se muestra en esta imagen.

En la sección Información del dispositivo de la configuración troncal, ingrese esta información:

• Nombre del dispositivo:            
• Agrupación de dispositivos:              
• SRTP permitido:           Activado

Nota: Asegúrese de que el grupo CallManager (en la configuración del conjunto de dispositivos) contenga todos los servidores configurados en CUC (Grupo de puertos > Editar > Servidores).

En la sección Llamadas entrantes de la configuración del troncal, introduzca esta información:

• Calling Search Space:                                            
• Redireccionamiento de envío de encabezado de desvío - Entrante:   Activado

En la sección Llamadas salientes de la configuración del troncal, ingrese esta información:

• Redireccionamiento de envío de encabezado de desvío - Saliente: comprobado

En la sección Información SIP de la configuración troncal, ingrese esta información:

• dirección de destino:                                    
• Perfil de seguridad del troncal SIP:                           
• Redireccionamiento del Espacio de Búsqueda de Llamadas:                
  
• Espacio de búsqueda de referencia de llamadas fuera de diálogo: 
• Perfil SIP:                                                    

Ajuste otros parámetros según sus requisitos.

4. Crear un patrón de ruta

Cree un patrón de ruta que apunte al enlace troncal configurado (Enrutamiento de llamada > Ruta/Búsqueda > Patrón de ruta). La extensión introducida como número de patrón de ruta se puede utilizar como cabecera de buzón de voz. Ingresar esta información

• Patrón de ruta:                        
• Lista de gateway/ruta:               
  

5. Crear un programa piloto de buzón de voz

Cree un programa piloto de buzón de voz para la integración (Funciones avanzadas > Buzón de voz > Buzón de voz piloto). Introduzca estos valores:

• Número piloto de buzón de voz:   
• Calling Search Space:        que incluye particiones que contienen un patrón de ruta utilizado como piloto>

6. Crear perfil de buzón de voz

Cree un perfil de correo de voz para vincular todos los ajustes (Funciones avanzadas > Correo de voz > Perfil de correo de voz). Ingresar esta información

• Piloto del correo de voz:                   
  
• Máscara de casilla de correo de voz:           

7. Asignar perfil de buzón de voz a los DN

Asigne el perfil de buzón de voz a los DN que se van a utilizar para utilizar una integración segura. No olvide hacer clic en el botón "Aplicar configuración" después de cambiar la configuración de DN:

Navegue hasta: Call Routing > Directory number y cambiar:

• Perfil del correo de voz:  Integración_SIP_segura
  

8. Cargue el certificado raíz de CUC como CallManager-trust

Navegue hasta OS Administration > Security > Certificate Management > Upload Certificate/Certificate Chain y cargue el certificado raíz de CUC como CallManager-trust en todos los nodos configurados para comunicarse con el servidor CUC.

Nota: El servicio Cisco CallManager debe reiniciarse después de que se cargue el certificado para que el certificado surta efecto.

Configuración de puertos SCCP seguros

Configurar CUC

1. Descargue el certificado raíz de CUC

Vaya a Administración de CUC > Integración de telefonía > Seguridad > Certificado raíz. Haga clic con el botón derecho del ratón en la URL para guardar el certificado como un archivo denominado <filename>.0 (la extensión del archivo debe ser .0 en lugar de .htm)' y haga clic en Guardar:

2. Crear sistema telefónico / Modificar el que existe.

Vaya a Integración de telefonía > sistema telefónico. Puede utilizar el sistema telefónico que ya existe o crear uno nuevo.

3. Agregar un nuevo grupo de puertos SCCP

En la página Phone System Basics, en el cuadro desplegable Related Links, seleccione Add Port Group y seleccione Go. En la ventana de configuración, introduzca esta información:

• Sistema telefónico:           
• Tipo de grupo de puertos:           SCCP
• Prefijo de nombre de dispositivo*:   CiscoUM1-VI
• MWI en extensión:      
• Extensión de desactivación de MWI:      

Nota: Esta configuración debe coincidir con la configuración de CUCM.

4. Editar servidores

Vaya a Edit > Servers y agregue el servidor TFTP desde el clúster de CUCM.

Nota: Es importante proporcionar la dirección TFTP correcta. El servidor CUC descarga el archivo CTL de este TFTP como se explicó.

5. Agregue puertos SCCP seguros

En la página Fundamentos del Grupo de Puertos, en el recuadro desplegable Enlaces Relacionados, seleccione Agregar Puertos y seleccione Ir. En la ventana de configuración, introduzca esta información:

• Habilitado: comprobado
• Número de puertos: 
• Sistema telefónico:    
• Grupo de puertos          
• Servidor:                 
• Comportamiento del puerto:       
• Modo de seguridad:       Cifrados

Configuración de CUCM

1. Agregar puertos

Vaya a  CUCM Administration > Advanced features > Voice Mail Port Configuration > Add New.

Configure los puertos de correo de voz SCCP de la forma habitual. La única diferencia está en el Modo de seguridad del dispositivo en la configuración del puerto donde debe seleccionarse la opción Puerto de correo de voz cifrado.

2. Cargue el certificado raíz de CUC como CallManager-trust

Navegue hasta OS Administration > Security > Certificate Management > Upload Certificate/Certificate Chain y cargue el certificado raíz de CUC como CallManager-trust en todos los nodos configurados para comunicarse con el servidor de CUC.

Nota: El servicio Cisco CallManager debe reiniciarse después de que se cargue el certificado para que el certificado surta efecto.

3. Configurar extensiones activado/desactivado de información de mensaje en espera (MWI)

Vaya a CUCM Administration > Advanced Features > Voice Mail Port Configuration y configure MWI On/Off Extensions. Los números de MWI deben coincidir con la configuración de CUC.

4. Crear cabecera de buzón de voz

Cree un programa piloto de buzón de voz para la integración (Funciones avanzadas > Buzón de voz > Buzón de voz piloto). Introduzca estos valores:

• Número piloto de buzón de voz:   
• Calling Search Space:        que incluye particiones que contienen un patrón de ruta utilizado como piloto>

5. Crear perfil de buzón de voz

Cree un perfil de correo de voz para vincular todos los ajustes (Funciones avanzadas > Correo de voz > Perfil de correo de voz). Ingresar esta información

• Piloto del correo de voz:                   
  
• Máscara de casilla de correo de voz:           

6. Asignar perfil de buzón de voz a los DN

Asigne el perfil de buzón de voz a los DN que pretendan utilizar una integración segura. Haga clic en el botón Apply Config después de cambiar la configuración de DN:

Navegue hasta Call Routing > Directory number y cambie a:

• Perfil del correo de voz:  Voicemail-profile-8000

7. Crear un grupo de búsqueda de buzón de voz

a) Agregar un nuevo grupo de línea (Enrutamiento de llamadas > Enrutamiento/captura > Grupo de línea)

b) Agregar una nueva lista de búsqueda de correo de voz (Enrutamiento de llamadas > Enrutamiento/Búsqueda > Lista de captura)

c) Agregar un nuevo cabecera de grupo de salto (Enrutamiento de llamada > Ruta/grupo de salto > Cabecera de grupo de salto)

Verificación

Verificación de puertos SCCP

Vaya a CUCM Administration > Advance Features > Voice Mail > Voice Mail Ports y verifique el registro del puerto.

Pulse el botón Buzón de voz del teléfono para llamar al buzón de voz. Oirá el saludo inicial si la extensión del usuario no está configurada en el sistema Unity Connection.

Verificación de línea troncal SIP segura

Pulse el botón Buzón de voz del teléfono para llamar al buzón de voz. Oirá el saludo de apertura si la extensión del usuario no está configurada en el sistema Unity Connection.

Como alternativa, puede activar el keepalive de opciones SIP para supervisar el estado del troncal SIP. Esta opción se puede activar en el perfil SIP asignado al troncal SIP. Una vez habilitada, puede supervisar el estado del troncal SIP mediante Device > Trunk, como se muestra en esta imagen.

Verificación segura de llamadas RTP

Verifique si el icono de candado está presente en las llamadas a Unity Connection. Significa que el flujo RTP está cifrado (el perfil de seguridad del dispositivo debe ser seguro para que funcione), como se muestra en esta imagen.

Troubleshoot

1. Consejos generales para la resolución de problemas

Utilice estos pasos para resolver problemas de la integración segura:

• Verifique la Configuración.
  
• Asegúrese de que todos los servicios relacionados se estén ejecutando. (CUCM: CallManager, TFTP, CUC: Conversation Manager)
  
• Asegúrese de que los puertos necesarios para una comunicación segura entre servidores estén abiertos en la red (puerto TCP 2443 para la integración SCCP y TCP 5061 para la integración SIP).
  
• Si todo esto es correcto, continúe con la recopilación de rastros.

2. Rastreos para recopilar

Recopile estos seguimientos para resolver problemas de la integración segura.

• Captura de paquetes de CUCM y CUC
• Seguimientos de CallManager
• Seguimientos de Cisco Conversation Manager

Consulte estos recursos para obtener información adicional sobre:

Cómo realizar una captura de paquetes en CUCM:

http://www.cisco.com/c/en/us/support/docs/voice-unified-communications/unified-communications-manager-version-50/112040-packet-capture-cucm-00.html

Cómo habilitar seguimientos en el servidor CUC:

    

http://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/10x/troubleshooting/guide/10xcuctsgx/10xcuctsg010.html

Problemas comunes

Caso 1: No se puede establecer una conexión segura (alerta de CA desconocida)

Una vez que se recopila la captura de paquetes de cualquiera de los servidores, se establece la sesión TLS.

El cliente emitió una alerta con un error irrecuperable de CA desconocida al servidor, simplemente porque el cliente no pudo verificar el certificado enviado por el servidor.

Hay dos posibilidades:

1) CUCM envía la alerta CA desconocida

• Verifique que el certificado raíz de CUC actual esté cargado en el servidor que se comunica con el servidor de CUC.
• Asegúrese de que el servicio CallManager se reinicie en el servidor correspondiente.

2) CUC envía la alerta CA desconocida

• Verifique que la dirección IP de TFTP esté ingresada correctamente en la configuración Port Group > Edit > Servers en el servidor CUC.
  
• Verifique que el servidor TFTP de CUCM sea accesible desde el servidor de Connection.
• Asegúrese de que el archivo CTL en el TFTP de CUCM esté actualizado (compare la salida de "show ctl" con los certificados tal como se ve en la página Administración del sistema operativo). Vuelva a ejecutar CTLClient si no lo está.
• Reinicie el servidor CUC O elimine y vuelva a crear el grupo de puertos para volver a descargar el archivo CTL del TFTP de CUCM.

Caso 2: No se puede descargar el archivo CTL desde el TFTP de CUCM

Este error se ve en los seguimientos del administrador de conversaciones:

MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
MiuGeneral,25,Error executing tftp command 'tftp://10.48.47.189:69/CTLFile.tlv' res=68 (file not found on server)
MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
Arbiter,-1,Created port PhoneSystem-1-001 objectId='7c2e86b8-2d86-4403-840e-16397b3c626b' as ID=1
MiuGeneral,25,Port group object 'b1c966e5-27fb-4eba-a362-56a5fe9c2be7' exists
MiuGeneral,25,FAILED SetInService=true parent port group is out of service: 

Solución:

  1. Verifique que el servidor TFTP sea correcto en la configuración del grupo de puertos > Editar > Servidores.

  2. Compruebe que el clúster de CUCM está en modo seguro.

  3. Verifique que el archivo CTL exista en el TFTP de CUCM.

Caso 3: Los puertos no se registran

Este error se ve en los seguimientos del administrador de conversaciones:

MiuSkinny,23,Failed to retrieve Certificate for CCM Server <CUCM IP Address>
MiuSkinny,23,Failed to extract any CCM Certificates - Registration cannot proceed. Starting retry timer -> 5000 msec
MiuGeneral,24,Found local CTL file [/tmp/aaaaaaaa-xxxx-xxxx-xxxx-xxxxxxxxxxxx.tlv]
MiuGeneral,25,CCMCertificateCache::RetrieveServerCertificates() failed to find CCM Server '<CUCM IP Address>' in CTL File

Solución:

  1. Esto se debe probablemente a la falta de coincidencia en la suma de comprobación md5 del archivo CTL en CUCM y CUC como resultado de la regeneración de  

   certificados. Reinicie el servidor CUC para actualizar el archivo CTL.

Defectos

CSCum48958 - CUCM 10.0 (la longitud de la dirección IP es incorrecta)

CSCtn87264 - La conexión TLS falla para los puertos SIP seguros

CSCur10758 - No se pueden purgar los certificados revocados de Unity Connection

CSCur10534 - CUCM redundante entre operaciones de Unity Connection 10.5 TLS/PKI

CSCve4775 - Solicitud de característica para un método para actualizar y revisar el CTLFile de CUCM en el CUC

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	02-Jun-2016	Versión inicial