リモート デバイス アドレスに対応する、トランスポート層セキュリティ (TLS) ハンドシェイク中に使用される trustpoint trustpoint-name キーワードと引数を識別するには、SIP ユーザー エージェント (UA) 設定モードで crypto signaling コマンドを使用します。 デフォルトの trustpoint 文字列にリセットするには、このコマンドの no 形式を使用します。
crypto signaling {default | remote-addr ip アドレス サブネットマスク} [tls-profile タグ |trustpoint トラストポイント名[ cn-san-validateserver ][client-vtp トラストポイント名 ] [{ecdsa-cipher [curve-size 384] | strict-cipher}] ]
no crypto signaling {remote-addr ip-address subnet-mask| default}
構文の説明
|
default
|
(オプション)デフォルトのトラストポイントを設定します。
|
|
remote-addr ip-address subnet-mask
|
(オプション) インターネット プロトコル (IP) アドレスをトラストポイントに関連付けます。
|
|
tls-profile タグ
|
(オプション) TLS プロファイル設定をコマンドに関連付けます crypto signaling 。
|
|
trustpoint トラストポイント名
|
(オプション) trustpointtrustpoint-name name は、Cisco IOS 公開キー インフラストラクチャ (PKI) コマンドを使用して登録プロセスの一部として生成されたデバイスの証明書を指します。
|
|
cn-san-validate server
|
(オプション) クライアント側の SIP/TLS 接続中に、サーバー証明書の共通名 (CN) フィールドとサブジェクト代替名 (SAN) フィールドを通じてサーバー ID の検証を有効にします。
|
|
client-vtp トラストポイント名
|
(オプション) SIP-UA にクライアント検証トラストポイントを割り当てます。
|
|
ecdsa-cipher
|
(オプション) ecdsa-cipher キーワードが指定されていない場合、SIP TLS プロセスは、Secure Socket Layer (SSL) のサポートに応じて、より大きな暗号セットを使用します。
サポートされている暗号スイートは次のとおりです。
|
|
curve-size 384
|
(オプション) TLS セッションに使用する楕円曲線の特定のサイズを設定します。
|
|
strict-cipher
|
(オプション) strict-cipher キーワード は、Advanced Encryption Standard-128 (AES-128) 暗号スイートを使用した TLS Rivest、Shamir、および Adelman (RSA) 暗号化のみをサポートします。
サポートされている暗号スイートは次のとおりです。
-
TLS_RSA_WITH_AES_128_CBC_SHA
-
TLS_DHE_RSA_WITH_AES_128_CBC_SHA1
-
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
-
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
|
(注)
|
strict-cipher キーワードが指定されていない場合、SIP TLS プロセスは、Secure Socket Layer (SSL) のサポートに応じてデフォルトの暗号セットを使用します。
|
|
コマンド デフォルト
暗号シグナリング コマンドは無効です。
コマンド モード
SIP UA 設定 (sip-ua)
コマンド履歴
|
リリース
|
変更
|
|
Cisco IOS XE 17.18.2
|
従来の TLS および関連する弱い暗号の使用に関するセキュリティ警告。
|
| Cisco IOS XE Cupertino 17.7.1a |
このコマンドにヤン モデルのサポートが導入されました。
|
| Cisco IOS XE Amsterdam 17.3.1a |
このコマンドは、キーワード: tls-profile tag を含めるように変更されました。
|
|
16.11.1a
|
このコマンドは、キーワード: cn-san-validate server を含むように変更されました。
|
|
16.10.1a
|
このコマンドは、キーワード: curve-size 384 を含むように変更されました。
|
|
16.9.1
|
このコマンドは、キーワード: client-vtp を含むように変更されました。
|
|
15.6(1)T と 3.17S
|
このコマンドにキーワード ecdsa-cipher が追加されました。
|
|
12.4(6)T
|
このコマンドが導入されました。
|
使用上のガイドライン
trustpointtrustpoint-name キーワード と引数は、Cisco IOS PKI コマンドを使用して登録プロセスの一部として生成された CUBE 証明書を参照します。
単一の証明書が設定されている場合、その証明書はすべてのリモート デバイスで使用され、 default キーワード によって設定されます。
複数の証明書を使用する場合、各トラストポイントの remote-addr 引数を使用して、証明書をリモート サービスに関連付けることができます。 remote-addr およびデフォルト引数を一緒に使用して、必要に応じてすべてのサービスをカバーすることができます。

(注)
|
この場合のデフォルトの暗号スイートは、CUBE の SSL レイヤーでサポートされている次のセットです。
-
TLS_RSA_WITH_RC4_128_MD5
-
TLS_RSA_WITH_AES_128_CBC_SHA
-
TLS_DHE_RSA_WITH_AES_128_CBC_SHA1
-
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
-
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
-
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
-
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
|
キーワード cn-san-validate server は、クライアント側の SIP/TLS 接続を確立するときに、証明書の CN フィールドと SAN フィールドを通じてサーバー ID の検証を有効にします。 サーバー証明書の CN フィールドと SAN フィールドを検証することで、サーバー側のドメインが有効なエンティティであることが確認されます。
SIP サーバーとの安全な接続を作成する場合、CUBE は TLS セッションを確立する前に、サーバーの証明書の CN/SAN フィールドに対して設定されたsession target ドメイン名を検証します。 一度設定すると cn-san-validate server 、新しい TLS 接続ごとにサーバー ID の検証が行われます。
tls-profile オプションは、関連付けられた voice class tls-profile 設定を通じて行われた TLS ポリシー設定を関連付けます。 crypto signaling コマンドで直接使用できる TLS ポリシー オプションに加えて、 tls-profile には sni send オプションも含まれています。
sni send TLS 拡張機能である Server Name Indication (SNI) を有効にします。これにより、TLS クライアントは、初期の TLS ハンドシェイク プロセス中に、接続しようとしているサーバーの名前を示すことができます。 クライアントの
hello では、サーバーの完全修飾 DNS ホスト名のみが送信されます。 SNI は、クライアント Hello 拡張で IPv4 および IPv6 アドレスをサポートしていません。 TLS クライアントからサーバー名を含む「hello」を受信すると、サーバーは後続の
TLS ハンドシェイク プロセスで適切な証明書を使用します。 SNI には TLS バージョン 1.2 が必要です。

(注)
|
Cisco IOS XE Amsterdam 17.3.1a 以降、新しい TLS ポリシー機能は設定を通じてのみ利用できるようになります。 voice class tls-profile
crypto signaling コマンドは、以前から存在していた TLS 暗号化オプションを引き続きサポートします。 トラストポイントを設定するには、 voice class tls-profile tag または crypto signaling コマンドのいずれかを使用できます。 Cisco IOS XE Amsterdam 17.3.1a 以降は、コマンド voice class tls-profile タグ を使用して TLS プロファイル設定を実行することをお勧めします。
|

(注)
|
Cisco IOS XE 17.18.2 リリースでは、TLS バージョン 1.2 未満および関連する弱い暗号を使用する設定に対して、セキュリティ警告メッセージが表示されます。 安全な設定のために、TLS バージョン 1.2 以降でより強力な暗号を設定することをお勧めします。
|
例
次の例では、CUBE が IP アドレス 172.16.0.0 を持つリモート デバイスとの TLS 接続を確立または受け入れるときに、 trustpoint trustpoint-name キーワード と引数を使用するように設定しています。
configure terminal
sip-ua
crypto signaling remote-addr 172.16.0.0 trustpoint user1
次の例では、CUBE がリモート デバイスとの TLS 接続を確立または受け入れるときに、 trustpoint trustpoint-name キーワードと引数を使用するように設定しています。
configure terminal
sip-ua
crypto signaling default trustpoint cube
次の例では、CUBE が IP アドレス 172.16.0.0 を持つリモート デバイスとの TLS 接続を確立または受け入れるときに、 trustpoint trustpoint-name キーワード と引数を使用するように設定しています。
configure terminal
sip-ua
crypto signaling remote-addr 172.16.0.0 trustpoint cube ecdsa-cipher
次の例では、TLS セッションに使用する楕円曲線の特定のサイズを設定します。
configure terminal
sip-ua
crypto signaling default trustpoint cubeTP ecdsa-cipher curve-size 384
次の例では、サーバー証明書の共通名 (CN) フィールドとサブジェクト代替名 (SAN) フィールドを通じてサーバー ID 検証を実行するように CUBE を設定します。
configure terminal
sip-ua
crypto signaling default trustpoint cubeTP cn-san-validate server
次の例では、コマンド voice class tls-profile tag を使用して行われた音声クラス設定をコマンド crypto signaling に関連付けます。
/* Configure TLS Profile Tag */
Router#configure terminal
Router(config)#voice class tls-profile 2
Router(config-class)#trustpoint TP1
exit
/* Associate TLS Profile Tag to Crypto Signaling */
Router(config)#sip-ua
Router(config-sip-ua)#crypto signaling default tls-profile 2
Router(config-sip-ua)#crypto signaling remote-addr 192.0.2.1 255.255.255.255 tls-profile 2
例
次の例は、1.2 未満の TLS バージョンと関連する弱い暗号を使用する設定のセキュリティ警告メッセージの表示を示しています。
Router(config)#sip-ua
Router(config-sip-ua)#crypto signaling remote-addr 10.10.10.70 255.255.255.255 trustpoint CUBE-TLS strict-cipher
SECURITY WARNING - Module: SIPUA, Command: crypto signaling remote-addr 10.10.10.70 255.255.255.255 trustpoint CUBE-TLS strict-cipher,
Reason: strict-cipher includes weak ciphers like RSA_WITH_AES_128_CBC_SHA,
Remediation: Use stronger cipher(s) to enhance security
Router(config-sip-ua)#
Router(config-sip-ua)#end
Router#sh run | sec sip-ua
sip-ua
no remote-party-id
timers connect 501
timers dns registrar-cache 60
transport tcp tls v1.1
registration spike 100
connection-reuse
crypto signaling remote-addr 10.10.10.70 255.255.255.255 trustpoint CUBE-TLS strict-cipher
alias exec tcp show sip-ua connections tcp tls detail
例
次の例は、デフォルト設定のセキュリティ警告メッセージの表示を示しています。
Router(config-sip-ua)#no crypto signaling default
SECURITY WARNING - Module: SIPUA, Command: no crypto signaling default, Reason: Weak cipher(s) are present in the command,
Remediation: Use stronger cipher(s) to enhance security
Router(config-sip-ua)#
Router(config-sip-ua)#do sh run | sec sip-ua
sip-ua
no remote-party-id
timers connect 501
timers dns registrar-cache 60
transport tcp tls v1.0
registration spike 100
connection-reuse
crypto signaling remote-addr 10.10.10.70 255.255.255.255 trustpoint CUBE-TLS strict-cipher
alias exec tcp show sip-ua connections tcp tls detail
Router(config-sip-ua)#