Questo documento descrive la configurazione, la verifica e la risoluzione dei problemi di connessione sicura tra Cisco Unified Communications Manager (CUCM) e il server Cisco Unity Connection (CUC).
Cisco raccomanda la conoscenza di CUCM.
Per ulteriori informazioni, consultare la guida alla sicurezza di Cisco Unified Communications Manager.
È necessario abilitare la crittografia per Unity Connection 11.5(1) SU3 e versioni successive.
Comando CLI "utils cuc encryption <enable/disable>"
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Questo diagramma spiega brevemente il processo che consente di stabilire una connessione sicura tra CUCM e CUC:

1. Call Manager imposta una connessione TLS (Transport Layer Security) sicura al server CUC sulla porta 2443 Skinny Call Control Protocol (SCCP) o 5061 Session Initiation Protocol based (SIP) sul protocollo utilizzato per l'integrazione.
2. Il server CUC scarica il file dell'elenco di certificati attendibili (CTL) dal server TFTP (processo occasionale), estrae il certificato CallManager.pem e lo memorizza.
3. Il server CUCM offre il certificato Callmanager.pem verificato rispetto al certificato CallManager.pem ottenuto nel passaggio precedente. È inoltre in corso la verifica del certificato CUC rispetto a un certificato radice CUC archiviato in CUCM. Notare che il certificato radice deve essere caricato in CUCM dall'amministratore.
4. Se la verifica dei certificati ha esito positivo, viene stabilita una connessione TLS sicura. Questa connessione viene utilizzata per scambiare una segnalazione SCCP o SIP crittografata.
5. Il traffico audio può essere scambiato come Real-time Transport Protocol (RTP) o come SRTP.
Selezionare Amministrazione CUC > Integrazioni telefonia > Protezione > Certificato SIP > Aggiungi nuovo

Passare a Integrazione telefonia > Sistema telefonico. È possibile utilizzare il sistema telefonico esistente o crearne uno nuovo.

Nella pagina Nozioni fondamentali sul sistema telefonico, nella casella a discesa Collegamenti correlati, selezionare Aggiungi gruppo porte e fare clic su Vai. Nella finestra di configurazione, immettere le seguenti informazioni:
Scegliere Salva.

Passare a Modifica > Server e aggiungere il server TFTP dal cluster CUCM, come mostrato in questa immagine.

Tornare alle nozioni di base sui gruppi di porte e ripristinare il gruppo di porte come richiesto dal sistema, come mostrato in questa immagine.

Nella pagina Nozioni fondamentali sul gruppo di porte, nella casella a discesa Collegamenti correlati, selezionare Aggiungi porte e Vai. Nella finestra di configurazione, immettere le informazioni riportate di seguito.

Passare a Telefonia > Integrazioni > Protezione > Certificato radice, fare clic con il pulsante destro del mouse sull'URL per salvare il certificato come file denominato <nomefile>.0 (l'estensione del file deve essere .0 anziché .htm)' e premere Salva come mostrato nell'immagine.

Selezionare CUCM Administration > System > Security > SIP Trunk Security Profile > Add new
Assicurarsi che i campi siano compilati correttamente:

Selezionare Periferica > Impostazioni dispositivo > Profilo SIP se è necessario applicare impostazioni specifiche. In caso contrario, è possibile utilizzare il profilo SIP standard.
Selezionare Device > Trunk > Add new.Create un trunk SIP da utilizzare per l'integrazione sicura con Unity Connection, come mostrato nell'immagine.

Nella sezione Device Information della configurazione del trunk, immettere le seguenti informazioni:

Nella sezione Chiamate in entrata della configurazione trunk, immettere le seguenti informazioni:

Nella sezione Chiamate in uscita della configurazione trunk, immettere le seguenti informazioni:

Nella sezione Informazioni SIP della configurazione trunk, immettere le seguenti informazioni:

Regolare altre impostazioni in base alle proprie esigenze.
Creare un modello di route che punti al trunk configurato (Routing chiamate > Route/Hunt > Modello di route). L'estensione immessa come numero di serie del percorso può essere utilizzata come pilota della segreteria telefonica. Immettere le informazioni seguenti:

Creare un programma pilota per la casella vocale per l'integrazione (Funzioni avanzate > Casella vocale > Programma pilota casella vocale). Immettere i seguenti valori:

Crea un profilo di segreteria telefonica per collegare tutte le impostazioni (Funzioni avanzate > Segreteria telefonica > Profilo segreteria telefonica). Immettere le informazioni seguenti:

Assegnare il profilo della segreteria telefonica ai DN destinati a utilizzare un'integrazione protetta. Non dimenticare di fare clic sul pulsante 'Applica configurazione' dopo aver modificato le impostazioni DN:
Accedere a: Instradamento delle chiamate > Numero directory e modifica:

Passare a Amministrazione sistema operativo > Protezione > Gestione certificati > Carica catena certificati/certificati e caricare il certificato radice CUC come CallManager-trust su tutti i nodi configurati per comunicare con il server CUC.

Selezionare Amministrazione CUC > Integrazione telefonia > Protezione > Certificato radice. Fare clic con il pulsante destro del mouse sull'URL per salvare il certificato come file denominato <nomefile>.0 (l'estensione del file deve essere .0 anziché .htm)' e scegliere Salva:

Passare a Integrazione telefonia > Sistema telefonico. È possibile utilizzare il sistema telefonico esistente o crearne uno nuovo.

Nella pagina Informazioni di base sistema telefonico, nella casella a discesa Collegamenti correlati, selezionare Aggiungi gruppo porte e Vai. Nella finestra di configurazione, immettere le seguenti informazioni:

Passare a Modifica > Server e aggiungere il server TFTP dal cluster CUCM.

Nella pagina Gruppo porte: Nozioni fondamentali selezionare Aggiungi porte nella casella a discesa Collegamenti correlati, quindi Vai. Nella finestra di configurazione immettere le informazioni seguenti:

Passa a CUCM Administration > Advanced features > Voice Mail Port Configuration > Add New (Amministrazione CUCM > Funzioni avanzate > Configurazione porta casella vocale > Aggiungi nuovo).
Configurare le porte della casella vocale SCCP come di consueto. L'unica differenza consiste nella modalità di sicurezza del dispositivo nella configurazione della porta, in cui è necessario selezionare l'opzione Encrypted Voice Mail Port (Porta segreteria telefonica crittografata).

Passare a Amministrazione sistema operativo > Protezione > Gestione certificati > Carica catena certificati/certificati e caricare il certificato radice CUC come CallManager-trust su tutti i nodi configurati per comunicare con il server CUC.

Selezionare Amministrazione CUCM > Funzioni avanzate > Configurazione porta casella vocale e configurare le estensioni MWI On/Off. I numeri MWI devono corrispondere alla configurazione CUC.


Creare un programma pilota per la casella vocale per l'integrazione (Funzioni avanzate > Casella vocale > Programma pilota casella vocale). Immettere i seguenti valori:

Crea un profilo di segreteria telefonica per collegare tutte le impostazioni (Funzioni avanzate > Segreteria telefonica > Profilo segreteria telefonica). Immettere le informazioni seguenti:

Assegnare il profilo della casella vocale ai DN che intendono utilizzare un'integrazione protetta. Fare clic sul pulsante Applica configurazione dopo aver modificato le impostazioni del DN:
Passare a Instradamento chiamate > Numero directory e modificare in:

a) Aggiungere un nuovo gruppo Linea (Instradamento chiamata > Instradamento/Caccia > Gruppo Linea)

b) Aggiungere un nuovo elenco di ricerca della segreteria telefonica (Instradamento delle chiamate > Instradamento/ricerca > Elenco di ricerca)

c) Aggiungere un nuovo pilota di ricerca (Instradamento delle chiamate > Instradamento/ricerca > Pilota di ricerca)

Passare a Amministrazione CUCM > Funzionalità avanzate > Segreteria telefonica > Porte della casella vocale e verificare la registrazione della porta.

Premere il pulsante Voice Mail sul telefono per chiamare la segreteria telefonica. Se l'estensione dell'utente non è configurata nel sistema Unity Connection, verrà visualizzato il messaggio di saluto iniziale.
Premere il pulsante Voice Mail sul telefono per chiamare la segreteria telefonica. Se l'estensione dell'utente non è configurata nel sistema Unity Connection, verrà visualizzato il messaggio di apertura.
In alternativa, è possibile abilitare le opzioni SIP keepalive per monitorare lo stato del trunk SIP. È possibile abilitare questa opzione nel profilo SIP assegnato al trunk SIP. Una volta abilitato, è possibile monitorare lo stato del trunk SIP tramite Device > Trunk, come mostrato nell'immagine.

Verificare se l'icona del lucchetto è presente nelle chiamate a Unity Connection. Significa che il flusso RTP è crittografato (per funzionare, il profilo di sicurezza del dispositivo deve essere protetto), come mostrato in questa immagine.

Per risolvere i problemi relativi all'integrazione protetta, attenersi alla procedura seguente:
Raccogli queste tracce per risolvere i problemi relativi all'integrazione protetta.
Fare riferimento a queste risorse per ulteriori informazioni su:
Come eseguire l'acquisizione di un pacchetto su CUCM:
Come abilitare le tracce sul server CUC:
Una volta raccolta l'acquisizione del pacchetto da uno dei server, viene stabilita la sessione TLS.

Il client ha inviato al server un avviso con un errore irreversibile di CA sconosciuta, semplicemente perché non è stato in grado di verificare il certificato inviato dal server.
Esistono due possibilità:
1) CUCM invia l'avviso CA sconosciuta
2) CUC invia l'avviso CA sconosciuta
Questo errore viene visualizzato nelle tracce di Gestione conversazioni:
MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
MiuGeneral,25,Error executing tftp command 'tftp://10.48.47.189:69/CTLFile.tlv' res=68 (file not found on server)
MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
Arbiter,-1,Created port PhoneSystem-1-001 objectId='7c2e86b8-2d86-4403-840e-16397b3c626b' as ID=1
MiuGeneral,25,Port group object 'b1c966e5-27fb-4eba-a362-56a5fe9c2be7' exists
MiuGeneral,25,FAILED SetInService=true parent port group is out of service:
Soluzione:
1. Verificare che il server TFTP sia corretto nella configurazione Gruppo porte > Modifica > Server.
2. Verificare che il cluster CUCM sia in modalità protetta.
3. Verificare che il file CTL esista sul TFTP CUCM.
Questo errore viene visualizzato nelle tracce di Gestione conversazioni:
MiuSkinny,23,Failed to retrieve Certificate for CCM Server <CUCM IP Address>
MiuSkinny,23,Failed to extract any CCM Certificates - Registration cannot proceed. Starting retry timer -> 5000 msec
MiuGeneral,24,Found local CTL file [/tmp/aaaaaaaa-xxxx-xxxx-xxxx-xxxxxxxxxxxx.tlv]
MiuGeneral,25,CCMCertificateCache::RetrieveServerCertificates() failed to find CCM Server '<CUCM IP Address>' in CTL File
Soluzione:
1. Questo problema è probabilmente dovuto alla mancata corrispondenza nel checksum md5 del file CTL su CUCM e CUC in seguito alla rigenerazione di
certificati. Riavviare il server CUC per aggiornare il file CTL.
CSCum48958 - CUCM 10.0 (lunghezza indirizzo IP non corretta)
CSCtn87264 - Connessione TLS non riuscita per porte SIP protette
CSCur10758 - Impossibile eliminare i certificati revocati Unity Connection
CSCur10534 - Unity Connection 10.5 TLS/PKI inter-op redundant CUCM
CSCve47775 - Richiesta di funzionalità per un metodo per aggiornare e rivedere il CTLFile di CUCM sul CUC
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
02-Jun-2016
|
Versione iniziale |