Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Configurazione

Modello Callmanager / Tomcat / TVS

Modello IPSec

Modello CAPF

Genera una richiesta di firma del certificato

Verifica

Risoluzione dei problemi

Introduzione

In questo documento viene descritta una procedura dettagliata per creare modelli di certificato in Autorità di certificazione (CA) basate su Windows Server.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- CUCM versione 11.5(1).

- È inoltre consigliabile avere una conoscenza di base dell'amministrazione di Windows Server

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Le informazioni fornite in questo documento si basano sulla versione 11.5(1) di CUCM.

- Microsoft Windows Server 2012 R2 con i servizi CA installati.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Questi modelli di certificato sono conformi ai requisiti di estensione X.509 per ogni tipo di certificato Cisco Unified Communications Manager (CUCM).

Esistono cinque tipi di certificati che possono essere firmati da una CA esterna:

Certificato

Utilizzo

Servizi interessati

CallManager

Presentato durante la registrazione sicura del dispositivo, può firmare i file CTL (Certificate Trust List)/ITL (Internal Trust List), utilizzati per interazioni protette con altri server, ad esempio i trunk SIP (Secure Session Initiation Protocol).

· Cisco Call Manager

· Cisco CTI Manager

·Cisco TFTP

tomcat

Presentato per le interazioni HTTPS (Secure Hypertext Transfer Protocol).

·Cisco Tomcat

· Single Sign-On (SSO)

· Mobilità di estensione

· Directory aziendale

ipsec

Utilizzato per la generazione di file di backup, nonché per l'interazione di IPsec (IP Security) con i gateway Media Gateway Control Protocol (MGCP) o H323.

· Cisco DRF Master

· Cisco DRF locale

CAPF

Utilizzato per generare certificati LSC (Locally Significant Certificates) per telefoni.

· Funzione proxy Cisco Certificate Authority

TVS

Utilizzato per creare una connessione al servizio di verifica attendibilità (TVS), quando i telefoni non sono in grado di autenticare un certificato sconosciuto.

· Servizio di verifica attendibilità Cisco

Nota: il certificato IPSec non è correlato al master DRF Cisco e a Cisco DRF Local poiché nelle versioni più recenti viene utilizzato il certificato Tomcat. Non è prevista l'aggiunta di questa modifica alla versione 12.5 o precedenti.

Ognuno di questi certificati ha alcuni requisiti di estensione X.509 che devono essere impostati, altrimenti si possono verificare comportamenti errati su uno qualsiasi dei suddetti servizi:

Certificato

Utilizzo chiavi X.509

Utilizzo chiavi esteso X.509

CallManager

Firma digitale

· Crittografia

· Crittografia dei dati

· Autenticazione server Web

· Autenticazione client Web

tomcat

Firma digitale

· Crittografia

· Crittografia dei dati

· Autenticazione server Web

· Autenticazione client Web

ipsec

Firma digitale

· Crittografia

· Crittografia dei dati

· Autenticazione server Web

· Autenticazione client Web

· Sistema terminale IPsec

CAPF

Firma digitale

· Firma certificato

· Crittografia

· Autenticazione server Web

· Autenticazione client Web

TVS

Firma digitale

· Crittografia

· Crittografia dei dati

· Autenticazione server Web

· Autenticazione client Web

Per ulteriori informazioni, fare riferimento alla Guida alla sicurezza per Cisco Unified Communications Manager

Configurazione

Passaggio 1. In Windows Server, selezionare Server Manager > Strumenti > Autorità di certificazione, come mostrato nell'immagine.

Passaggio 2. Selezionare la CA, passare a Modelli di certificato, fare clic con il pulsante destro del mouse sull'elenco e selezionare Gestisci, come mostrato nell'immagine.

Modello Callmanager / Tomcat / TVS

Nelle immagini successive viene visualizzata solo la creazione del modello CallManager, ma è possibile seguire gli stessi passaggi per creare i modelli di certificato per i servizi Tomcat e TVS. L'unica differenza consiste nel garantire che il nome del servizio corrispondente venga utilizzato per ogni nuovo modello al passaggio 2.

Passaggio 1. Individuare il modello Web Server, fare clic con il pulsante destro del mouse su di esso e selezionare Duplica modello, come mostrato nell'immagine.

Passaggio 2. In Generale è possibile modificare il nome, il nome visualizzato, la validità e altre variabili del modello di certificato.

Passaggio 3. Passare a Estensioni > Uso chiave > Modifica, come mostrato nell'immagine.

Passaggio 4. Selezionate queste opzioni e fate clic su OK, come mostrato nell'immagine.

- Firma digitale

- Consenti scambio chiave solo con crittografia (cifratura chiave)

- Consenti crittografia dei dati utente

Passaggio 5. Passare a Estensioni > Criteri di applicazione > Modifica > Aggiungi, come mostrato nell'immagine.

Passaggio 6. Cercare Autenticazione client, selezionarlo e scegliere OK sia in questa finestra che in quella precedente, come mostrato nell'immagine.

Passaggio 7. Tornare al modello, selezionare Applica, quindi OK.

Passaggio 8. Chiudere la finestra Console modello certificato e tornare alla prima finestra, selezionare Nuovo > Modello di certificato da emettere, come mostrato nell'immagine.

Passaggio 9. Selezionare il nuovo modello CallManager CUCM e scegliere OK, come mostrato nell'immagine.

Passaggio 10. Ripetere tutti i passaggi precedenti per creare modelli di certificato per i servizi Tomcat e TVS in base alle esigenze.

Modello IPSec

Passaggio 1. Individuare il modello Web Server, fare clic con il pulsante destro del mouse su di esso e selezionare Duplica modello, come mostrato nell'immagine.

Passaggio 2. In Generale è possibile modificare il nome, il nome visualizzato, la validità e altre variabili del modello di certificato.

Passaggio 3. Passare a Estensioni > Uso chiave > Modifica, come mostrato nell'immagine.

Passaggio 4. Selezionate queste opzioni e fate clic su OK, come mostrato nell'immagine.

- Firma digitale

- Consenti scambio chiave solo con crittografia (cifratura chiave)

- Consenti crittografia dei dati utente

Passaggio 5. Passare a Estensioni > Criteri di applicazione > Modifica > Aggiungi, come mostrato nell'immagine.

Passaggio 6. Cercare Autenticazione client, selezionarla e quindi OK, come mostrato nell'immagine.

Passaggio 7. Selezionare di nuovo Add, cercare IP security end system, selezionarlo, quindi selezionare OK anche in questo caso e nella finestra precedente.

Passaggio 8. Tornare al modello, selezionare Apply (Applica), quindi OK, come mostrato nell'immagine.

Passaggio 9. Chiudere la finestra della console Modelli di certificato e tornare alla prima finestra, passare a Nuovo > Modello di certificato da emettere, come mostrato nell'immagine.

Passaggio 10. Selezionare il nuovo modello IPSEC CUCM e scegliere OK, come mostrato nell'immagine.

Modello CAPF

Passaggio 1. Individuare il modello Root CA (CA radice) e fare clic con il pulsante destro del mouse su di esso. Quindi selezionate Duplica modello (Duplicate Template), come mostrato nell'immagine.

Passaggio 2. In Generale è possibile modificare il nome, il nome visualizzato, la validità e altre variabili del modello di certificato.

Passaggio 3. Passare a Estensioni > Uso chiave > Modifica, come mostrato nell'immagine.

Passaggio 4. Selezionate queste opzioni e fate clic su OK, come mostrato nell'immagine.

- Firma digitale

- Firma certificato

- Firma CRL

Passaggio 5. Passare a Estensioni > Criteri di applicazione > Modifica > Aggiungi, come mostrato nell'immagine.

Passaggio 6. Cercare Autenticazione client, selezionarla e quindi scegliere OK, come mostrato nell'immagine.

Passaggio 7. Selezionare di nuovo Add, cercare IP security end system, selezionarlo, quindi selezionare OK anche su questo e sulla finestra precedente, come mostrato nell'immagine.

Passaggio 8. Tornare al modello, selezionare Apply (Applica), quindi OK, come mostrato nell'immagine.

Passaggio 9. Chiudere la finestra della console Modelli di certificato e tornare alla prima finestra, passare a Nuovo > Modello di certificato da emettere, come mostrato nell'immagine.

Passaggio 10. Selezionate il nuovo modello CAPF CUCM e OK, come mostrato nell'immagine.

Genera una richiesta di firma del certificato

Utilizzare questo esempio per generare un certificato CallManager con l'utilizzo dei nuovi modelli creati. La stessa procedura può essere utilizzata per qualsiasi tipo di certificato. È sufficiente selezionare il certificato e i tipi di modello di conseguenza:

Passaggio 1. In CUCM, selezionare Amministrazione sistema operativo > Protezione > Gestione certificati > Genera CSR.

Passaggio 2. Selezionate queste opzioni e selezionate Genera (Generate), come mostrato nell'immagine.

- Scopo certificato: CallManager

- Distribuzione: <può trattarsi di un solo server o di più SAN>

Passaggio 3. Viene generato un messaggio di conferma, come mostrato nell'immagine.

Passaggio 4. Nell'elenco dei certificati cercare la voce con il tipo Solo CSR e selezionarla, come mostrato nell'immagine.

Passaggio 5. Nella finestra pop-up, selezionare Download CSR, quindi salvare il file sul computer.

Passaggio 6. Nel browser passare a questo URL e immettere le credenziali dell'amministratore del controller di dominio: https://<yourWindowsServerIP>/certsrv/.

Passaggio 7. Passare a Richiedi un certificato > Richiesta avanzata di certificati, come mostrato nell'immagine.

Passaggio 8. Aprire il file CSR e copiarne il contenuto:

Passaggio 9. Incollare il CSR nel campo Richiesta certificato con codifica Base 64. In Modello di certificato selezionare il modello corretto e scegliere Invia, come illustrato nell'immagine.

Passaggio 10. Infine, selezionare Base 64 encoded (Codificato in base 64) e Download certificate chain (Scarica catena di certificati), il file generato può ora essere caricato in CUCM.

Verifica

La procedura di verifica fa effettivamente parte del processo di configurazione.

Risoluzione dei problemi

Non sono attualmente disponibili informazioni specifiche per la risoluzione dei problemi per questa configurazione.