CUCM과 CUC 간의 보안 통합 구성 및 트러블슈팅

소개

이 문서에서는 CUCM(Cisco Unified Communication Manager)과 CUC(Cisco Unity Connection) 서버 간의 보안 연결의 컨피그레이션, 확인 및 트러블슈팅에 대해 설명합니다.

사전 요구 사항

요구 사항

CUCM에 대한 지식이 있는 것이 좋습니다.

자세한 내용은 Cisco Unified Communications Manager 보안 가이드를 참조하십시오. 

참고: 보안 통합이 올바르게 작동하려면 혼합 모드로 설정해야 합니다.

Unity Connection 11.5(1) SU3 이상에 대해 암호화를 활성화해야 합니다.

CLI 명령 "utils cuc encryption <enable/disable>"

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• CUCM 버전 10.5.2.11900-3.
• CUC 버전 10.5.2.11900-3.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

다이어그램

이 다이어그램에서는 CUCM과 CUC 간의 보안 연결을 설정하는 데 도움이 되는 프로세스를 간략하게 설명합니다.

1. Call Manager는 통합에 사용되는 프로토콜에 대해 포트 2443 SCCP(Skinny Call Control Protocol) 또는 5061 SIP(Session Initiation Protocol based)에서 CUC 서버에 대한 TLS(Secure Transport Layer Security) 연결을 설정합니다.

2. CUC 서버가 TFTP 서버에서 CTL(Certificate Trust List) 파일을 다운로드하고(1회 프로세스), CallManager.pem 인증서를 추출하여 저장합니다.

3. CUCM 서버는 이전 단계에서 얻은 CallManager.pem 인증서와 비교하여 확인된 Callmanager.pem 인증서를 제공합니다. 또한 CUCM에 저장된 CUC 루트 인증서에 대해 CUC 인증서를 검증하고 있습니다. 루트 인증서는 관리자가 CUCM에 업로드해야 합니다.

4. 인증서 검증에 성공하면 보안 TLS 연결이 설정됩니다. 이 연결은 암호화된 SCCP 또는 SIP 신호 교환을 위해 사용됩니다.

5. 오디오 트래픽은 RTP(Real-Time Transport Protocol) 또는 SRTP로 교환할 수 있습니다.

참고: TLS 통신을 설정할 때 CUCM과 CUC는 TLS 상호 인증을 사용합니다. 자세한 내용은 RFC5630을 참조하십시오.

구성 - 보안 SIP 트렁크

CUC 구성

1. SIP 인증서 추가

CUC Administration(CUC 관리) > Telephony Integrations(텔레포니 통합) > Security(보안) > SIP Certificate(SIP 인증서) > Add new(새로 추가)로 이동합니다.

• 표시 이름: <모든 의미 있는 이름>
• 주체 이름: <모든 이름(예: SecureConnection>)

참고: 주체 이름은 SIP 트렁크 보안 프로파일의 X.509 주체 이름과 일치해야 합니다(이 문서의 뒷부분에 나오는 CUCM 구성의 1단계에서 구성됨).

참고: 인증서는 CUC 루트 인증서에서 생성되고 서명됩니다.

2. 새 전화 시스템을 만들거나 기본 전화 시스템을 수정합니다.

Telephony Integration > Phone System으로 이동합니다. 이미 있는 전화 시스템을 사용하거나 새로 만들 수 있습니다.

3. 새 포트 그룹 추가

Phone System Basics(전화 시스템 기본 사항) 페이지의 Related Links(관련 링크) 드롭다운 상자에서 Add Port Groups(포트 그룹 추가)를 선택하고 Go(이동)를 선택합니다. 컨피그레이션 창에서 다음 정보를 입력합니다.

• 전화 시스템:                       
• 생성 위치:                           포트 그룹 유형 SIP
• SIP 보안 프로파일:                 5061/TLS
• SIP 인증서:                        
• 보안 모드:                         암호화
• 보안 RTP:                            선택됨
• IPv4 주소 또는 호스트 이름:  

Save(저장)를 누릅니다.

4. 서버 편집

이 이미지에 표시된 대로 Edit(수정) > Servers(서버)로 이동하고 CUCM 클러스터에서 TFTP 서버를 추가합니다.

참고: 올바른 TFTP 주소를 제공하는 것이 중요합니다. CUC 서버는 설명한 대로 이 TFTP에서 CTL 파일을 다운로드합니다.

5. 포트 그룹 재설정

이 이미지에 표시된 대로 Port Group Basics(포트 그룹 기본)로 돌아가서 시스템에서 요청하는 대로 포트 그룹을 재설정합니다.

6. 음성 메일 포트 추가

[포트 그룹 기본 정보] 페이지의 [관련 링크] 드롭다운 상자에서 [포트 추가]를 선택하고 [이동]을 선택합니다. [구성] 창에서 다음 정보를 입력합니다.

• 활성화됨: 선택됨
• 포트 수: 
• 전화 시스템:    
• 포트 그룹:          
• 서버:                 
• 포트 동작:       

7. CUC 루트 인증서 다운로드

Telephony Integrations(텔레포니 통합) > Security(보안) > Root Certificate(루트 인증서)로 이동하고 URL을 마우스 오른쪽 버튼으로 클릭하여 인증서를 <filename>.0(파일 확장명은 .htm이 아닌 .0)이라는 이름의 파일로 저장한 다음 이 이미지에 표시된 대로 save(저장)를 누릅니다.

CUCM 구성

1. CUC를 향하는 트렁크에 대한 SIP 트렁크 보안 프로파일 구성

CUCM Administration(CUCM 관리) > System(시스템) > Security(보안) > SIP Trunk Security Profile(SIP 트렁크 보안 프로파일) > Add new(새로 추가)로 이동합니다.

다음 필드가 제대로 채워졌는지 확인합니다.

• 장치 보안 모드:              암호화
• X.509 주체 이름:                보안 연결>
• 대화 상자 외부 수락 참조:         선택됨
• 원치 않는 알림 수락:  선택됨
• Accept replaces 헤더:           선택됨

참고: X.509 주체 이름은 Cisco Unity Connection 서버(CUC 구성의 1단계에서 구성)의 SIP 인증서에 있는 주체 이름 필드와 일치해야 합니다.

2. SIP 프로필 구성

특정 설정을 적용해야 할 경우 Device(디바이스) > Device Settings(디바이스 설정) > SIP Profile(SIP 프로필)로 이동합니다. 그렇지 않으면 표준 SIP 프로필을 사용할 수 있습니다.

3. SIP 트렁크 생성

Device(디바이스) > Trunk(트렁크) > Add new(새로 추가)로 이동합니다.이 이미지에 표시된 대로 Unity Connection과의 안전한 통합에 사용되는 SIP 트렁크를 생성합니다.

트렁크 컨피그레이션의 Device Information(디바이스 정보) 섹션에서 다음 정보를 입력합니다.

• 장치 이름:            
• 디바이스 풀:              
• SRTP 허용:           선택됨

참고: CallManager 그룹(디바이스 풀 컨피그레이션)에 CUC에서 구성된 모든 서버(Port group > Edit > Servers)가 포함되어 있는지 확인합니다.

트렁크 컨피그레이션의 Inbound Calls(인바운드 통화) 섹션에서 다음 정보를 입력합니다.

• 발신 검색 공간:                                            
• Redirecting Diversion Header Delivery - 인바운드:   선택됨

트렁크 컨피그레이션의 아웃바운드 통화 섹션에서 다음 정보를 입력합니다.

• Redirecting Diversion Header Delivery - 아웃바운드: 선택됨

트렁크 컨피그레이션의 SIP Information 섹션에 다음 정보를 입력합니다.

• 대상 주소:                                    
• SIP 트렁크 보안 프로파일:                           
• Rerouting Calling Search Space(경로 변경 발신 검색 공간):                
  
• 발신 검색 공간 참조: 
• SIP 프로필:                                                    

요구 사항에 따라 다른 설정을 조정합니다.

4. 경로 패턴 생성

구성된 트렁크를 가리키는 경로 패턴을 생성합니다(Call Routing > Route/Hunt > Route Pattern). 경로 패턴 번호로 입력한 내선 번호는 음성 메일 파일럿으로 사용할 수 있습니다. 다음 정보를 입력합니다.

• 경로 패턴:                        
• 게이트웨이/경로 목록:               
  

5. 음성 메일 파일럿 생성

통합을 위한 음성 메일 파일럿을 생성합니다(Advanced Features(고급 기능) > Voice Mail(음성 메일) > Voice Mail Pilot(음성 메일 파일럿)). 다음 값을 입력합니다.

• 음성 메일 파일럿 번호:   
• 발신 검색 공간:        파일럿으로 사용되는 경로 패턴이 포함된 파티션 포함>

6. 음성 메일 프로필 만들기

모든 설정을 함께 연결하려면 음성 메일 프로필을 만듭니다(고급 기능 > 음성 메일 > 음성 메일 프로필). 다음 정보를 입력합니다.

• 음성 메일 파일럿:                   
  
• 음성 사서함 마스크:           

7. DN에 음성 메일 프로필 할당

보안 통합을 사용하도록 DN에 음성 메일 프로필을 할당합니다. DN 설정을 변경한 후 'Apply Config' 버튼을 클릭하는 것을 잊지 마십시오.

다음으로 이동합니다. 통화 라우팅 > 디렉토리 번호 및 변경:

• 음성 메일 프로필:  Secure_SIP_통합
  

8. CUC 루트 인증서를 CallManager-trust로 업로드

OS Administration(OS 관리) > Security(보안) > Certificate Management(인증서 관리) > Upload Certificate/Certificate Chain(인증서/인증서 체인 업로드)으로 이동하고 CUC 서버와 통신하도록 구성된 모든 노드에서 CUC 루트 인증서를 CallManager-trust로 업로드합니다.

참고: 인증서가 효력을 발휘하려면 인증서가 업로드된 후 Cisco CallManager 서비스를 다시 시작해야 합니다.

보안 SCCP 포트 구성

CUC 구성

1. CUC 루트 인증서 다운로드

CUC Administration(CUC 관리) > Telephony Integration(텔레포니 통합) > Security(보안) > Root Certificate(루트 인증서)로 이동합니다. 인증서를 <filename>.0(파일 확장명이 .htm이 아닌 .0)이라는 이름의 파일로 저장하려면 URL을 마우스 오른쪽 버튼으로 클릭하고 Save(저장)를 누릅니다.

2. 전화 시스템을 생성하고 기존 시스템을 수정합니다.

Telephony Integration(텔레포니 통합) > Phone system(전화 시스템)으로 이동합니다. 이미 있는 전화 시스템을 사용하거나 새로 만들 수 있습니다.

3. 새 SCCP 포트 그룹 추가

Phone System Basics(전화 시스템 기본 사항) 페이지의 Related Links(관련 링크) 드롭다운 상자에서 Add Port Group(포트 그룹 추가)을 선택하고 Go(이동)를 선택합니다. 컨피그레이션 창에서 다음 정보를 입력합니다.

• 전화 시스템:           
• 포트 그룹 유형:           SCCP
• 장치 이름 접두사*:   CiscoUM1-VI
• MWI 확장:      
• MWI 끄기 확장:      

참고: 이 컨피그레이션은 CUCM의 컨피그레이션과 일치해야 합니다.

4. 서버 편집

Edit(편집) > Servers(서버)로 이동하고 CUCM 클러스터에서 TFTP 서버를 추가합니다.

참고: 올바른 TFTP 주소를 제공하는 것이 중요합니다. CUC 서버는 설명한 대로 이 TFTP에서 CTL 파일을 다운로드합니다.

5. 보안 SCCP 포트 추가

[포트 그룹 기본 정보] 페이지의 [관련 링크] 드롭다운 상자에서 [포트 추가]를 선택하고 실행을 선택합니다. 구성 창에서 다음 정보를 입력합니다.

• 활성화됨: 선택됨
• 포트 수: 
• 전화 시스템:    
• 포트 그룹:          
• 서버:                 
• 포트 동작:       
• 보안 모드:       암호화

CUCM 구성

1. 포트 추가

로 이동합니다 CUCM Administration(CUCM 관리) > Advanced features(고급 기능) > Voice Mail Port Configuration(음성 메일 포트 컨피그레이션) > Add New(새로 추가)

평소와 같이 SCCP 음성 메일 포트를 구성합니다. 유일한 차이점은 Encrypted Voice Mail Port(암호화된 음성 메일 포트) 옵션을 선택해야 하는 포트 컨피그레이션 아래의 Device Security Mode(디바이스 보안 모드)입니다.

2. CUC 루트 인증서를 CallManager-trust로 업로드

OS Administration(OS 관리) > Security(보안) > Certificate Management(인증서 관리) > Upload Certificate/Certificate Chain(인증서/인증서 체인 업로드)으로 이동하고 CUC 서버와 통신하도록 구성된 모든 노드에서 CUC 루트 인증서를 CallManager-trust로 업로드합니다.

참고: 인증서가 효력을 발휘하려면 인증서가 업로드된 후 Cisco CallManager 서비스를 다시 시작해야 합니다.

3 . MWI(Message Waiting Information) On/Off 확장 구성

CUCM Administration(CUCM 관리) > Advanced Features(고급 기능) > Voice Mail Port Configuration(음성 메일 포트 컨피그레이션)으로 이동하고 MWI On/Off Extensions(MWI 켜기/끄기 확장)를 구성합니다. MWI 번호는 CUC 컨피그레이션과 일치해야 합니다.

4. 음성 메일 파일럿 생성

통합을 위한 음성 메일 파일럿을 생성합니다(Advanced Features(고급 기능) > Voice Mail(음성 메일) > Voice Mail Pilot(음성 메일 파일럿)). 다음 값을 입력합니다.

• 음성 메일 파일럿 번호:   
• 발신 검색 공간:        파일럿으로 사용되는 경로 패턴이 포함된 파티션 포함>

5. 음성 메일 프로필 만들기

모든 설정을 함께 연결하려면 음성 메일 프로필을 만듭니다(고급 기능 > 음성 메일 > 음성 메일 프로필). 다음 정보를 입력합니다.

• 음성 메일 파일럿:                   
  
• 음성 사서함 마스크:           

6. DN에 음성 메일 프로필 할당

보안 통합을 사용하려는 DN에 음성 메일 프로필을 할당합니다. DN 설정을 변경한 후 Apply Config 버튼을 클릭합니다.

Call Routing(통화 라우팅) > Directory number(디렉토리 번호)로 이동하여 다음으로 변경합니다.

• 음성 메일 프로필:  음성 메일 프로필-8000

7 . 음성 메일 헌트 그룹 만들기

a) 새 라인 그룹 추가(Call Routing > Route/Hunt > Line group)

b) 새 음성 메일 헌트 목록 추가(Call Routing(통화 라우팅) > Route/Hunt(경로/헌트) > Hunt List)

c) 새 헌트 파일럿 추가(Call Routing > Route/Hunt > Hunt Pilot)

다음을 확인합니다.

SCCP 포트 확인

CUCM Administration(CUCM 관리) > Advance Features(고급 기능) > Voice Mail(음성 메일) > Voice Mail Ports(음성 메일 포트)로 이동하고 포트 등록을 확인합니다.

전화기의 음성 메일 단추를 눌러 음성 메일을 호출합니다. 사용자의 내선 번호가 Unity Connection 시스템에 구성되지 않은 경우 시작 인사말이 재생됩니다.

보안 SIP 트렁크 확인

전화기의 음성 메일 단추를 눌러 음성 메일을 호출합니다. 사용자의 내선 번호가 Unity Connection 시스템에 구성되지 않은 경우 시작 인사말이 재생됩니다.

또는 SIP 트렁크 상태를 모니터링하기 위해 SIP OPTIONs keepalive를 활성화할 수 있습니다. 이 옵션은 SIP 트렁크에 할당된 SIP 프로파일에서 활성화할 수 있습니다. 이 기능이 활성화되면 이 이미지에 표시된 대로 Device(디바이스) > Trunk(트렁크)를 통해 Sip 트렁크 상태를 모니터링할 수 있습니다.

보안 RTP 통화 확인

Unity Connection에 대한 통화에 자물쇠 아이콘이 표시되는지 확인합니다. 이 이미지에 표시된 대로 RTP 스트림이 암호화됨을 의미합니다(디바이스 보안 프로파일이 작동하려면 안전해야 함).

문제 해결

1. 일반적인 트러블슈팅 팁

보안 통합 문제를 해결하려면 다음 단계를 수행하십시오.

• 구성 확인.
  
• 모든 관련 서비스가 실행 중인지 확인합니다. (CUCM - CallManager, TFTP, CUC - 대화 관리자)
  
• 서버 간 보안 통신에 필요한 포트가 네트워크에 열려 있는지 확인합니다(SCCP 통합의 경우 TCP 포트 2443, SIP 통합의 경우 TCP 5061).
  
• 이 모든 것이 올바르면 추적 수집을 계속 진행합니다.

2. 수거할 흔적

이러한 추적을 수집하여 보안 통합 문제를 해결합니다.

• CUCM 및 CUC에서 패킷 캡처
• CallManager 추적
• Cisco Conversation Manager 추적

다음에 대한 자세한 내용은 다음 리소스를 참조하십시오.

CUCM에서 패킷 캡처를 수행하는 방법:

http://www.cisco.com/c/en/us/support/docs/voice-unified-communications/unified-communications-manager-version-50/112040-packet-capture-cucm-00.html

CUC 서버에서 추적을 활성화하는 방법:

    

http://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/10x/troubleshooting/guide/10xcuctsgx/10xcuctsg010.html

일반적인 문제

사례 1: 보안 연결을 설정할 수 없음(알 수 없는 CA 경고)

어느 한 서버에서 패킷 캡처가 수집되면 TLS 세션이 설정됩니다.

클라이언트가 서버에서 보낸 인증서를 확인할 수 없기 때문에 서버에서 알 수 없는 CA라는 치명적인 오류를 알리는 경고를 발행했습니다.

다음 두 가지 가능성이 있습니다.

1) CUCM에서 Unknown CA(알 수 없는 CA)에 경고를 보냅니다.

• 현재 CUC 루트 인증서가 CUC 서버와 통신하는 서버에 업로드되었는지 확인합니다.
• 해당 서버에서 CallManager 서비스가 다시 시작되었는지 확인합니다.

2) CUC가 알 수 없는 CA에 경고 전송

• TFTP IP 주소가 CUC 서버의 Port Group(포트 그룹) > Edit(편집) > Servers(서버) 컨피그레이션에 올바르게 입력되었는지 확인합니다.
  
• 연결 서버에서 CUCM TFTP 서버에 연결할 수 있는지 확인합니다.
• CUCM TFTP의 CTL 파일이 최신 상태인지 확인합니다("show ctl"의 출력을 OS Admin(OS 관리) 페이지에 표시된 인증서와 비교). 그렇지 않은 경우 CTLClient를 다시 실행합니다.
• CUC 서버를 재부팅하거나 포트 그룹을 삭제 및 재생성하여 CUCM TFTP에서 CTL 파일을 다시 다운로드합니다.

사례 2: CUCM TFTP에서 CTL 파일을 다운로드할 수 없습니다.

이 오류는 대화 관리자 추적에서 나타납니다.

MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
MiuGeneral,25,Error executing tftp command 'tftp://10.48.47.189:69/CTLFile.tlv' res=68 (file not found on server)
MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
Arbiter,-1,Created port PhoneSystem-1-001 objectId='7c2e86b8-2d86-4403-840e-16397b3c626b' as ID=1
MiuGeneral,25,Port group object 'b1c966e5-27fb-4eba-a362-56a5fe9c2be7' exists
MiuGeneral,25,FAILED SetInService=true parent port group is out of service: 

해결책:

  1. Port group(포트 그룹) > Edit(편집) > Servers(서버) 컨피그레이션에서 TFTP 서버가 올바른지 다시 확인합니다.

  2. CUCM 클러스터가 보안 모드에 있는지 확인합니다.

  3. CTL 파일이 CUCM TFTP에 있는지 확인합니다.

사례 3: 포트가 등록되지 않음

이 오류는 대화 관리자 추적에서 나타납니다.

MiuSkinny,23,Failed to retrieve Certificate for CCM Server <CUCM IP Address>
MiuSkinny,23,Failed to extract any CCM Certificates - Registration cannot proceed. Starting retry timer -> 5000 msec
MiuGeneral,24,Found local CTL file [/tmp/aaaaaaaa-xxxx-xxxx-xxxx-xxxxxxxxxxxx.tlv]
MiuGeneral,25,CCMCertificateCache::RetrieveServerCertificates() failed to find CCM Server '<CUCM IP Address>' in CTL File

해결책:

  1. 이는 CUCM 및 CUC에서 CTL 파일의 md5 체크섬이  

   인증서입니다. CUC 서버를 재시작하여 CTL 파일을 새로 고칩니다.

결함

CSCum48958 - CUCM 10.0(ip 주소 길이가 잘못됨)

CSCtn87264 - 보안 SIP 포트에 대한 TLS 연결 실패

CSCur10758 - 폐기된 인증서 Unity Connection을 삭제할 수 없습니다.

CSCur10534 - Unity Connection 10.5 TLS/PKI inter-op redundant CUCM

CSCve47775 - CUC에서 CUCM의 CTLFile을 업데이트하고 검토하는 방법에 대한 기능 요청

개정 이력

개정	게시 날짜	의견
1.0	02-Jun-2016	최초 릴리스