Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Configurazione

Esempio di rete

Supporto servizi supplementari

Configurazioni

Verifica

Risoluzione dei problemi

Introduzione

Questo documento descrive un processo dettagliato su come configurare l'interworking SRTP-RTP su CUBE.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Cisco Unified Border Element (CUBE)

- SIP (Session Initiation Protocol)

- TLS (Transport Layer Security)

- Protocollo RTP (Real-time Transport Protocol)

- Secure Media - Protocollo SRTP (Secure Real-time Transport Protocol)

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco Unified Border Element (CUBE)

- Cisco IOS XE - versione 17.6 e successive

- Cisco C8200-1N-4T

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Il supporto Cisco Unified Border Element (CUBE) per la funzione di interoperabilità SRTP-RTP connette i domini SRTP aziendali ai trunk SIP del provider SIP RTP. L'interworking SRTP-RTP collega le reti RTP aziendali con SRTP su una rete esterna tra aziende. Questo garantisce comunicazioni business-to-business flessibili e sicure senza la necessità di tunnel IPsec statici o di implementare l'SRTP all'interno dell'azienda.

I punti chiave sull'interoperabilità SRTP-RTP su CUBE includono:

1. Crittografia e decrittografia: CUBE è in grado di crittografare e decrittografare i flussi di dati da e verso le reti SRTP e RTP.

2. Supporto TLS: è possibile abilitare o disabilitare Transport Layer Security (TLS) tra il server SCCP e il client SCCP. Per impostazione predefinita, TLS è abilitato per proteggere le chiavi SRTP.

3. Servizi supplementari: in Cisco IOS versione 15.2(1), la funzione è stata estesa per supportare servizi supplementari su CUBE.

4. Transcoding: l'internetworking SRTP-RTP è disponibile con transcoder normali e universali, richiamati tramite messaggistica SCCP.

5. Gestione fallback: se uno degli endpoint di chiamata non supporta SRTP, la chiamata può eseguire il fallback a RTP-RTP o avere esito negativo, a seconda della configurazione. Questo fallback si verifica solo se il comando srtp fallback è configurato sul rispettivo dial peer.

6. Implementazione: l'interoperabilità SRTP-RTP può essere implementata su interfacce UNI (User to Network Interfaces) e NNI (Network to Network Interfaces).

Nota:

- Le risorse DSP sono richieste per le piattaforme in esecuzione sulle versioni Cisco IOS.

- Le piattaforme in esecuzione su Cisco IOS XE release non richiedono risorse DSP.

Configurazione

Esempio di rete

Supporto servizi supplementari

I servizi supplementari sovvenzionati sono i seguenti:

- Modifica del codec per le chiamate intermedie con configurazione del codec della classe voce

- Riprendi sospensione chiamata basata su invito

- Musica in attesa (MoH) richiamata da Cisco Unified Communications Manager (Cisco UCM), dove la coda di chiamata cambia tra SRTP e RTP per un'origine MoH

- Inoltro di chiamata e trasferimento di chiamata basati su nuovi inviti

- Trasferimento di chiamata basato su un messaggio REFERENCE, con consumo locale o pass-through del messaggio REFERENCE sul CUBE

- Inoltro di chiamata basato su un messaggio 302, con utilizzo locale o pass-through del messaggio 302 sul CUBE

- T.38 fax switchover

- Switchover pass-through fax

Per i trasferimenti di chiamata che interessano messaggi REFERENCE e 302 (messaggi utilizzati localmente su CUBE), la rinegoziazione end-to-end dei supporti viene avviata da CUBE solo quando si configura il comando additional-service media-renegotiate in modalità di configurazione voip del servizio vocale.

Per qualsiasi flusso di chiamata in cui è presente un passaggio da RTP a SRTP sullo stesso segmento di chiamata SIP, è necessario che il comando supplementare-service media-renegotiate sia abilitato in modalità di configurazione globale o vocale voip per assicurare la presenza di audio a 2 vie.

Esempi di flussi di chiamate:

- Trasferimento RTP - SRTP su lato CUCM

- Riproduzione di MOH non protetti durante l'attesa o la ripresa di una chiamata protetta

Quando si richiamano servizi supplementari dagli endpoint, la chiamata può passare da SRTP a RTP durante la durata della chiamata. Pertanto, Cisco consiglia di configurare tali trunk SIP per il fallback SRTP.

Nota: da Cisco IOS XE Everest release 16.5.1b in avanti, queste suite crittografiche sono abilitate per impostazione predefinita sul segmento SRTP:

- AEAD_AES_256_GCM

- AEAD_AES_128_GCM

- AES_CM_128_HMAC_SHA1_80

- AES_CM_128_HMAC_SHA1_32

Configurazioni

Passaggio 1. Abilitare SRTP e configurare Dial-Peer per il segmento SRTP: questo è il segmento in cui è richiesto SRTP.

dial-peer voice <tag> voip

descrizione Incoming SRTP Dial-Peer

destination-pattern <pattern>

protocollo di sessione sipv2

ipv4 destinazione sessione:<indirizzo IP-peer-SRTP>

codec voice-class 1

srtp

dtmf-relay rtp-net

segnalazione dscp cs3 ip qos

!

Passaggio 2. Configurare Dial-Peer per il segmento RTP: questo è il segmento in cui è richiesto il RTP.

dial-peer voice <tag> voip

descrizione RTP Dial-Peer in uscita

destination-pattern <pattern>

protocollo di sessione sipv2

ipv4 destinazione sessione:<RTP-Peer-IP-Address>

codec voice-class 1

dtmf-relay rtp-net

segnalazione dscp cs3 ip qos

!

Passaggio 3. Configura autenticazione crittografica

Procedura per configurare CUBE in modo che supporti una connessione SRTP utilizzando la suite di crittografia AES_CM_128_HMAC_SHA1_80

- Configurazione dial-peer

dial-peer voice <tag> voip

voice-class sip srtp-auth sha1-80

!

- Configurazione a livello globale

voice service voip

sorso

srtp-auth sha1-80

!

- Configurazione livello classe voce

voice class srtp-crypto 3000

crypto 1 AES_CM_128_HMAC_SHA1_80

crypto 2 AES_CM_128_HMAC_SHA1_32

!

Passaggio 4. Abilita fallback SRTP: è possibile configurare SRTP con l'opzione di fallback in modo che una chiamata possa eseguire il fallback su RTP se SRTP non è supportato dall'altra estremità della chiamata. L'abilitazione del fallback SRTP è necessaria per il supporto di servizi supplementari non protetti come MoH, trasferimento di chiamata e trasferimento di chiamata.

- In modalità di configurazione dial-peer

dial-peer voice <tag> voip

srtp fallback (per l'interoperabilità con dispositivi diversi da Cisco Unified Communications Manager)

o

voice-class sip srtp negozia cisco (abilitare questa CLI insieme al comando srtp fallback per supportare il fallback SRTP con Cisco Unified Communications Manager)

- In modalità di configurazione SIP VoIP globale

voice service voip

sorso

srtp fallback (per l'interoperabilità con dispositivi diversi da Cisco Unified Communications Manager)

o

srtp negozia cisco (abilitare questa CLI insieme al comando srtp fallback per supportare il fallback SRTP con Cisco Unified Communications Manager)

Configurazione di esempio:

Di seguito è riportato un esempio di configurazione consolidata:

voice class srtp-crypto 300

crypto 1 AES_CM_128_HMAC_SHA1_80

crypto 2 AES_CM_128_HMAC_SHA1_32

!

dial-peer voice 100 voip

descrizione Incoming SRTP Dial-Peer

modello di destinazione 1234

protocollo di sessione sipv2

destinazione sessione ipv4:192.0.2.1

codec voice-class 1

voice-class sip srtp

dtmf-relay rtp-net

srtp

voice-class sip srtp-crypto 300

segnalazione dscp cs3 ip qos

!

dial-peer voice 200 voip

descrizione RTP Dial-Peer in uscita

modello di destinazione 5678

protocollo di sessione sipv2

destinazione sessione ipv4:192.0.2.2

codec voice-class 1

dtmf-relay rtp-net

segnalazione dscp cs3 ip qos

!

Verifica

Eseguire il comando durante una chiamata attiva per verificare le tracce SRTP e RTP.

N. CUBO: show call active voice brief

Call-leg di telefonia: 0

Call-leg SIP: 2

Call-leg H323: 0

Call-leg controllato da agente di chiamata: 0

Call-leg SCCP: 0

call-leg multicast: 0

Totale call-leg: 2

0 : 1 12:49:45.256 IST venerdì 19 ott 2024.1 +29060 pid:1 risposta 10008001 connected

dur 00:01:19 tx:1653/271092 rx:2831/464284 dscp:0 media:0

IP XX.XX.XX.XX:7892 SRTP: su rtt:0ms pl:0/0ms persi:0/0/0 ritardo:0/0/0ms g711ulaw TextRelay: disattivato

media inattivi rilevati:n media control rcvd:n/d timestamp:n/d

chiamata di lunga durata rilevata:n durata chiamata lunga:n/d timestamp:n/d

0 : 2 12:49:45.256 IST venerdì 19 ott 2024.2 +29060 pid:22 Originate 20009001 connected

dur 00:01:19 tx:2831/452960 rx:1653/264480 dscp:0 media:0

IP XX.XX.XX.XX:7893 SRTP: disattivato rtt:0ms pl:0/0ms persi:0/0/0 ritardo:0/0ms g711ulaw TextRelay: disattivato

media inattivi rilevati:n media control rcvd:n/d timestamp:n/d

chiamata di lunga durata rilevata:n durata chiamata lunga:n/d timestamp:n/d

Risoluzione dei problemi

È necessario raccogliere questi debug e log per poter individuare eventuali problemi relativi all'interoperabilità.

- debug ccsip all

- debug voip ccapi inout

- debug voip srtp packet

- errore debug voip srtp

- debug voip srtp session

- Acquisizioni pacchetti