Come esportare un certificato TLS da CUCM Packet Capture (PCAP)

Introduzione

In questo documento viene descritta la procedura per esportare un certificato da un protocollo PCAP di Cisco Unified Communications Manager (CUCM).

Contributo di Adrian Esquillo, Cisco TAC Engineer.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:
· Handshake Transport Layer Security (TLS)
· Gestione certificati CUCM
· Server SFTP (Secure File Transport Protocol)
· Strumento di monitoraggio in tempo reale (RTMT)

· Applicazione Wireshark

Componenti usati

· CUCM release 9.X e successive

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

È possibile esportare un certificato server/catena di certificati per verificare che il certificato server/catena di certificati forniti dal server corrisponda ai certificati da caricare o caricati in Gestione certificati CUCM.

Come parte dell'handshake TLS, il server fornisce a CUCM il proprio certificato/catena di certificati server.

Esporta certificato TLS da CUCM PCAP

Passaggio 1. Avviare il comando packet capture su CUCM

Stabilire una connessione Secure Shell (SSH) al nodo CUCM ed eseguire il comando utilizza network capture (o capture-rotate) file <nomefile> count 1000000 size ALL, come mostrato nell'immagine:

Passaggio 2. Avviare una connessione TLS tra Server e CUCM

In questo esempio, viene avviata una connessione TLS tra un server Secure Lightweight Directory Access Protocol (LDAPS) e CUCM stabilendo una connessione sulla porta TLS 636, come mostrato nell'immagine:

Passaggio 3. Arrestare CUCM PCAP dopo il completamento dell'handshake TLS

Premere Control-C per interrompere l'acquisizione del pacchetto, come mostrato nell'immagine

Passaggio 4. Scaricare il file di acquisizione del pacchetto utilizzando uno dei due metodi elencati

1. Avviare RTMT per il nodo CUCM e passare a Sistema > Strumenti > Traccia > Centro traccia e log > Raccogli file e selezionare la casella Registri acquisizione pacchetti (continuare il processo RTMT per scaricare il pcap), come mostrato nell'immagine:

2. Avviare un server SFTP (Secure File Transport Protocol) e nella sessione SSH CUCM eseguire il file di comando get activelog /form/cli/<nomefile pac>.cap (continuare attraverso le richieste per scaricare PCAP sul server SFTP), come mostrato nell'immagine:

Passaggio 5. Determinare il numero di certificati presentati a CUCM dal server

Utilizzare l'applicazione Wireshark per aprire il cappuccio e filtrare in base a tls per determinare il pacchetto con Server Hello contenente la catena di certificati/certificati del server presentata a CUCM. Questo è il fotogramma 122, come mostrato nell'immagine:

· Espandere Transport Layer Security >Certificate information dal pacchetto Server Hello con certificato per determinare il numero di certificati presentati a CUCM. Il certificato principale è il certificato del server. In questo caso, viene visualizzato un solo certificato, il certificato server, come illustrato nell'immagine:

Passaggio 6. Esportare la catena di certificati/certificati del server dal protocollo PCAP CUCM

In questo esempio viene presentato solo il certificato del server, pertanto è necessario esaminarlo. Fare clic con il pulsante destro del mouse sul certificato del server e selezionare Export Packet Bytes (Esporta byte pacchetti) per salvare come certificato con estensione cer, come mostrato nell'immagine:

· Nella finestra successiva, fornire un nome file con estensione cer e fare clic su Salva. Il file salvato (in questo caso sul desktop) è stato denominato servercert.cer, come mostrato nell'immagine:

Passaggio 7. Aprire il file con estensione CER salvato per esaminarne il contenuto

Fare doppio clic sul file con estensione cer per esaminare le informazioni nelle schede Generale, Dettagli e Percorso certificato, come mostrato nell'immagine:

Verifica

Attualmente non è disponibile una procedura di verifica per questa configurazione.

Risoluzione dei problemi

Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.