목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

인증서 문제 해결

다음을 확인합니다.

관련 정보

소개

이 문서에서는 SSL(Secure Sockets Layer) VPN을 통해 CME(Communications Manager Express)에 대한 IP 전화 등록 문제를 해결하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

보안 인증서, 패킷 캡처 툴 및 Communications Manager Express에 대한 기본적인 이해가 필요합니다.

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

- Communications Manager Express 릴리스 8.6

- Cisco 7965 IP Phone 릴리스 8.5.3

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

인증서 문제 해결

인터넷상의 IP 전화기와 기업 네트워크 내의 CME 간에 SSL VPN을 설정하는 방법에는 두 가지가 있습니다.

- CME는 VPN 헤드엔드 역할을 하는 Cisco ASA(Adaptive Security Appliance) 뒤에 있습니다. 이 시나리오에서 CME와 ASA는 동일한 인증서를 공유하며 IP 전화에서는 ASA와 보안 설정을 협상합니다.

- CME는 인터넷에 직접 연결되어 VPN 헤드엔드 역할을 합니다. IP 폰으로 보안 설정을 직접 협상합니다.

두 시나리오 모두에서 인터넷과 CME 간의 SSL VPN을 설정하는 절차는 다음과 같습니다.

1. CME는 보안 인증서를 생성하거나 가져옵니다.

2. CME는 전화기가 TFTP를 통해 CME에서 다운로드하는 구성 파일을 통해 Base64 형식의 인증서 해시를 전화기에 "푸시"합니다.

3. IP 전화기는 VPN 헤드엔드로 로그인을 시도하며 TLS(Transport Layer Security) 프로토콜을 통해 인증서를 수신합니다.

4. IP Phone은 인증서에서 해시를 추출하여 CME에서 이전에 다운로드한 해시와 비교합니다. 해시가 일치하는 경우 전화기는 VPN 헤드엔드를 신뢰하고 추가 VPN 협상을 진행합니다.

다음을 확인합니다.

CME가 해시를 IP 전화에 푸시했는지 확인하려면 생성된 컨피그레이션 파일에서 보안 전화기를 확인합니다. 이 단계를 단순화하기 위해 CME를 구성하여 전화기당 구성 파일을 생성하고 이를 플래시에 저장할 수 있습니다.

R009-3945-1(config-telephony)#cnf-file perphone

R009-3945-1(config-telephony)#cnf-file location flash:

새 컨피그레이션이 생성되도록 하려면 컨피그레이션 파일을 다시 생성하는 것이 좋습니다.

R009-3945-1(config-telephony)#no create cnf-files

CNF files deleted

R009-3945-1(config-telephony)#create cnf-file

Creating CNF files

플래시에 해당 컨피그레이션 파일이 표시되면(vpn-group이 구성된 전화기의 경우) 파일 콘텐츠의 끝 근처에 이 파일이 표시됩니다.

<vpnGroup>  <enableHostIDCheck>0</enableHostIDCheck>

<addresses>

<url1>https://10.201.160.201/SSLVPNphone</url1>

</addresses>

<credentials>

<hashAlg>0</hashAlg>

<certHash1>fZ2xQHMBcWj/fSoNs5IkPbA2Pt8=</certHash1>

</credentials>

</vpnGroup>

certHash1 값은 인증서의 해시입니다. TLS 설정 중에 IP Phone이 VPN Headend에서 인증서를 수신할 경우 인증서의 해시가 저장된 해시 값과 동일해야 합니다. IP 전화기에서 "Bad Certificate(잘못된 인증서)" 오류가 발생할 경우 해시 값이 일치하지 않을 수 있습니다.

확인하려면 다음 단계를 수행하여 IP 전화기와 VPN 헤드엔드 간에 수집된 패킷 캡처에서 해시 값을 추출합니다.

1. VPN 헤드엔드 디바이스에서 인증서를 포함하는 IP 전화로의 패킷을 찾습니다. 일반적으로 TLS Server Hello 패킷에 있습니다.

2. 패킷 내용을 확장하고 헤더를 찾습니다.

Secure Socket Layer(보안 소켓 레이어) > TLS V1 Record Layer(TLS V1 레코드 레이어) > Handshake Protocol(핸드셰이크 프로토콜): Certificate(인증서) > Certificates(인증서) > Certificate(인증서).

3. 인증서 헤더를 마우스 오른쪽 버튼으로 클릭하고 값을 .CER 파일로 내보냅니다.

4. .CER 파일을 열고 세부 정보 탭으로 이동하여 지문을 선택한 다음 값을 선택합니다. 값은 16진수 형식의 해시입니다.

5. 그런 다음 온라인 Hex-to-Base64 변환 도구를 사용하여 해시를 16진수에서 Base64로 변환합니다. 변환된 값은 IP Phone 구성 파일의 해시 값과 일치하지 않을 경우 IP Phone에서 수신한 해시가 SSL에 대해 VPN Headend에서 사용하는 것과 다른 인증서에서 수신됨을 의미합니다.

관련 정보

- SCCP IP Phone용 SSL VPN 클라이언트 구성

- 기술 지원 및 문서 − Cisco Systems

>