Beveiligde SIP-signalering configureren in contactcenters onderneming

Inleiding

Dit document beschrijft hoe u Session Initiation Protocol (SIP)-signalering kunt beveiligen in CCE (Contact Center Enterprise) - uitgebreide gespreksstroom.

Voorwaarden

Het genereren en importeren van certificaten valt buiten het bereik van dit document, dus certificaten voor Cisco Unified Communications Manager (CUCM), Customer Voice Portal (CVP), Call Server, Cisco Virtual Voice Browser (CVVB) en Cisco Unified Border Element (CUBE) moeten worden gemaakt en geïmporteerd in de respectieve componenten. Als u zelfondertekende certificaten gebruikt, moet de certificaatuitwisseling tussen verschillende componenten plaatsvinden.

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• CCE
• CVP
• KUBUS
• CUCM
• CVVB

Gebruikte componenten

De informatie in dit document is gebaseerd op Package Contact Center Enterprise (PCCE), CVP, CVVB en CUCM versie 12.6, maar het is ook van toepassing op de eerdere versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Het volgende diagram toont de componenten betrokken bij SIP signalering in de uitgebreide gespreksstroom van het contactcentrum. Wanneer een spraakoproep naar het systeem komt, komt eerst via de toegangsgateway of CUBE, dus start beveiligde SIP-configuraties op CUBE. Configureer vervolgens CVP, CVVB en CUCM.

Taak 1. CUBE Secure-configuratie

In deze taak, vorm CUBE om de SIP protocolberichten te beveiligen.

Vereiste configuraties:

• Configureer een standaard trustpoint voor de SIP User Agent (UA)
• Wijzig de dial-peers om Transport Layer Security (TLS) te gebruiken

Stappen:

1. Open Secure Shell-sessie (SSH) voor CUBE.
2. Voer deze opdrachten uit om de SIP-stack te laten gebruikmaken van het certificaat van de certificeringsinstantie (CA) van de CUBE. CUBE maakt een SIP TLS-verbinding van/naar CUCM (198.18.133.3) en CVP (198.18.133.13).

conf t sip-ua transport tcp tls v1.2 crypto signaling remote-addr 198.18.133.3 255.255.255.255 trustpoint ms-ca-name crypto signaling remote-addr 198.18.133.13 255.255.255.255 trustpoint ms-ca-name exit

3. Voer deze opdrachten uit om TLS op de uitgaande dial-peer in te schakelen voor CVP. In dit voorbeeld, wijzerplaat-peer markering 6000 wordt gebruikt om vraag aan CVP te leiden.

Conf t dial-peer voice 6000 voip session target ipv4:198.18.133.13:5061 session transport tcp tls exit

Taak 2. CVP beveiligde configuratie

In deze taak, vorm de CVP gespreksserver om de SIP protocolberichten (SIP TLS) te beveiligen.

Stappen:

1. Inloggen opUCCE Web Administration.
2. Naar navigeren  Call Settings > Route Settings > SIP Server Group.
   

Op basis van uw configuraties hebt u SIP-servergroepen geconfigureerd voor CUCM, CVVB en CUBE. U moet beveiligde SIP-poorten instellen op 5061 voor alle poorten. In dit voorbeeld worden deze SIP-servergroepen gebruikt:

• cucm1.dcloud.cisco.com voor CUCM
• vvb1.dcloud.cisco.com voor CVVB
• cube1.dcloud.cisco.com  voor CUBE

3. Klik  cucm1.dcloud.cisco.com  en vervolgens in de  Members  tabblad, waarin de details van de configuratie van de SIP-servergroep worden weergegeven. instellen SecurePort in 5061 en klik op  Save .
   
   

4. Klik vvb1.dcloud.cisco.com en vervolgens in de  Members  tabblad. Secure-poort instellen op 5061 en klik op  Save.
   
   

Taak 3. CVVB beveiligde configuratie

Bij deze taak moet u CVVB configureren om de SIP-protocolberichten (SIP TLS) te beveiligen.

Stappen:

1. Inloggen op  Cisco VVB Administration  pagina.
2. Naar navigeren  System > System Parameters.
   
   

3. In het  Security Parameters  sectie, kies  Enable  voor TLS(SIP) . behouden  Supported TLS(SIP) version  als  TLSv1.2.
   
   

4. Klik op Bijwerken. Klik Ok wanneer deze wordt gevraagd de CVVB-motor te starten.
   
   

5. Deze veranderingen vereisen een nieuw begin van de motor van Cisco VVB. Om de VVB-motor opnieuw op te starten, navigeer naar Cisco VVB Serviceability klik vervolgens op  Go.
   
   

6. Naar navigeren  Tools > Control Center – Network Services.


7. Kiezen Engine en klik op  Restart.
   
   

Taak 4. CUCM Secure-configuratie

Voer de volgende configuraties uit om SIP-berichten op CUCM te beveiligen:

• CUM security modus instellen op gemengde modus
• SIP Trunk-beveiligingsprofielen voor CUBE en CVP configureren
• Koppel SIP Trunk-beveiligingsprofielen aan respectieve SIP-trunks
• Apparaatcommunicatie van beveiligde agents met CUCM

CUM security modus instellen op gemengde modus

CUCM ondersteunt twee beveiligingsmodi:

• Niet-beveiligde modus (standaardmodus)
• Gemengde modus (beveiligde modus)

Stappen:

1. Log in op om de beveiligingsmodus in te stellen op Gemengde modus  Cisco Unified CM Administration  interface.
   
   

2. Nadat u met succes bent aangemeld bij CUCM, navigeer naar  System > Enterprise Parameters.
   
   

3. Onder de Security Parameters Sectie, controleer of  Cluster Security Mode is ingesteld op  0.
   
   

4. Als Cluster Security Mode is ingesteld op 0, betekent dit dat de clusterbeveiligingsmodus is ingesteld op niet-veilig. U moet de gemengde modus van CLI inschakelen.
5. Open een SSH-sessie voor de CUCM.
6. Nadat u met succes aan CUCM via SSH hebt geregistreerd, voer deze opdracht uit: utils ctl set-cluster mixed-mode

7. Type y en klik op Enter wanneer hierom wordt gevraagd. Met deze opdracht wordt de clusterbeveiligingsmodus op gemengde modus ingesteld.
   
   

8. De wijzigingen worden pas van kracht na het opnieuw opstarten  Cisco CallManager  en  Cisco CTIManager  diensten.
9. Om de services opnieuw te starten, navigeer en log in op Cisco Unified Serviceability.
   
   

10. Nadat u met succes bent aangemeld, navigeer naar  Tools > Control Center – Feature Services.
    
    

11. Kies de server en klik op  Go.
    
    

12. Onder de CM diensten, kies Cisco CallManager  klik vervolgens op  Restart  knop boven op de pagina.
    
    

13. Bevestig het pop-upbericht en klik op  OK. Wacht tot de service opnieuw is gestart.
    
    

14. Na een succesvolle herstart van  Cisco CallManager, kies Cisco  CTIManager  klik vervolgens op Restart knop om opnieuw te starten  Cisco CTIManager  de dienst.
    
    

15. Bevestig het pop-upbericht en klik op  OK. Wacht tot de service opnieuw is gestart.
    
    

16. Nadat de services met succes opnieuw zijn gestart, controleert u of de clusterbeveiligingsmodus is ingesteld op gemengde modus, navigeert u naar CUCM-beheer zoals uitgelegd in stap 5. Controleer vervolgens het  Cluster Security Mode. Nu moet het worden ingesteld op  1.
    
    

SIP Trunk-beveiligingsprofielen voor CUBE en CVP configureren

Stappen:

1. Inloggen op  CUCM administration  interface.
2. Na succesvolle aanmelding bij CUCM, navigeer naar System > Security > SIP Trunk Security Profile  om een beveiligingsprofiel voor een apparaat te maken voor CUBE.
   
   

3. Klik linksboven op  Add New  om een nieuw profiel toe te voegen.
   
   

4. Configureren SIP Trunk Security Profile zoals in deze afbeelding, klik dan op  Save  linksonder op de pagina naar  Save  het.
   
   

5. Zorg ervoor dat de  Secure Certificate Subject or Subject Alternate Name  de algemene benaming (GN) van het CUBE-certificaat, zoals deze moet overeenstemmen.

6. Klik op  Copy  en wijzigt u de Name in  SecureSipTLSforCVP en de Secure Certificate Subject CVP call server certificaat zoals het moet overeenkomen. Klik Save knop.

Koppel SIP Trunk-beveiligingsprofielen aan respectieve SIP-trunks

Stappen:

1. Op de pagina CUCM-beheer navigeer u naar  Device > Trunk.
   
   

2. Zoek naar de CUBE trunk. In dit voorbeeld is de naam van de CUBE-trunk  vCube . Klik  Find.
   
   

3. Klik op vCUBE om de pagina met de trunkconfiguratie van vCUBE te openen.
4. Scroll naar beneden SIP Information sectie, en wijzigt u de  Destination Port  in  5061.
5. Wijzigen SIP Trunk Security Profile in  SecureSIPTLSForCube.
   
   

6. Klik Save dan Rest teneinde  Save en wijzigingen toepassen.
   
   

7. Naar navigeren  Device > Trunk, en zoeken naar CVP-trunk. In dit voorbeeld is de CVP-trunknaam  cvp-SIP-Trunk . Klik  Find.
   
   

8. Klik CVP-SIP-Trunk zo opent u de CVP trunkconfiguratiepagina.
9. Scroll naar beneden SIP Information sectie, en verandering  Destination Port  in  5061 .
10. Wijzigen  SIP Trunk Security Profile  in  SecureSIPTLSForCvp.
    
    

11. Klik  Save dan Rest teneinde save en wijzigingen toepassen.
    
    

Apparaatcommunicatie van beveiligde agents met CUCM

Om de beveiligingsfuncties voor een apparaat in te schakelen, moet u een LSC (Local Significant Certificate) installeren en een beveiligingsprofiel aan dat apparaat toewijzen. LSC bezit de openbare sleutel voor het eindpunt, dat door de privé sleutel van de Functie van de Autoriteit van het Certificaat (CAPF) wordt ondertekend. Het wordt niet geïnstalleerd op telefoons door gebrek.

Stappen:

1. Inloggen op Cisco Unified Serviceability Interface.
2. Naar navigeren  Tools > Service Activation.
   
   

3. Kies de CUCM-server en klik op  Go .
   
   

4. controleren Cisco Certificate Authority Proxy Function en klik op  Save om de service te activeren. Klik Ok om te bevestigen.
   
   

5. Zorg ervoor dat de service is geactiveerd en navigeer vervolgens naar  Cisco Unified CM Administration.
   
   

6. Nadat u met succes bent aangemeld bij de CUCM-administratie, navigeer naar  System > Security > Phone Security Profile  om een beveiligingsprofiel voor het agent-apparaat te maken.
   
   

7. Zoek de beveiligingsprofielen die overeenkomen met het apparaattype van de agent. In dit voorbeeld, wordt een zachte telefoon gebruikt, dus kies  Cisco Unified Client Services Framework - Standard SIP Non-Secure Profile . Klik Copy om dit profiel te kopiëren.
   
   

8. Hernoemen van het profiel naar  Cisco Unified Client Services Framework - Secure ProfileWijzig de parameters zoals in deze afbeelding, en klik vervolgens op  Save bovenaan links van de pagina.
   
   

9. Na de succesvolle creatie van het profiel van het telefoonapparaat, navigeer aan  Device > Phone.
   
   

10. Klik Find om van alle beschikbare telefoons een lijst te maken, klik dan op de telefoon van de agent.
11. De pagina voor de telefoonconfiguratie van de agent wordt geopend. Zoeken Certification Authority Proxy Function (CAPF) Information doorsnede. Zo installeert u LSC Certificate Operation in Install/Upgrade en Operation Completes by naar een latere datum.
    
    

12. Zoeken Protocol Specific Information doorsnede. Wijzigen Device Security Profile in  Cisco Unified Client Services Framework – Secure Profile.
    
    

13. Klik  Save bovenaan links van de pagina. Zorg ervoor dat de wijzigingen zijn opgeslagen en klik op  Reset.
    
    

14. Er wordt een pop-upvenster geopend. Klik op  Reset  om de actie te bevestigen.
    
    

15. Nadat het agent-apparaat opnieuw met CUCM is geregistreerd, verfris u de huidige pagina en controleert u of de LSC met succes is geïnstalleerd. controleren Certification Authority Proxy Function (CAPF) Information doorsnede, Certificate Operation moet worden ingesteld op  No Pending Operation, en Certificate Operation Status is ingesteld op  Upgrade Success .
    
    

16. Verwijs stappen. 7-13 om andere agenten apparaten te beveiligen die u wilt gebruiken om SIP met CUCM te beveiligen.

Verifiëren

Voer de volgende stappen uit om te controleren of SIP-signalering goed is beveiligd:

1. Open SSH-sessie voor vCUBE en voer de opdracht uit show sip-ua connections tcp tls detail , en bevestig dat er op dit moment geen TLS-verbinding is ingesteld met CVP (198.18.13.13).
   
   

Opmerking: op dit moment is slechts één actieve TLS-sessie met CUCM, voor SIP-opties, ingeschakeld op CUCM (198.18.13.3). Als geen SIP-opties zijn ingeschakeld, bestaat er geen SIP TLS-verbinding.

2. Log in op CVP en start Wireshark.
3. Maak een testvraag aan contactcenternummer.
4. Navigeer naar de CVP-sessie; voer op Wireshark dit filter uit om SIP-signalering met CUBE te controleren:
   ip.addr == 198.18.133.226 && tls && tcp.port==5061
   
   

Controleren: is SIP via TLS-verbinding ingesteld? Als dat het geval is, bevestigt de uitvoer de SIP-signalen tussen CVP en CUBE.

5. Controleer de SIP TLS-verbinding tussen CVP en CVVB. Voer in dezelfde Wireshark-sessie dit filter uit:

ip.addr == 198.18.133.143 && tls && tcp.port==5061

Controleren: is SIP via TLS-verbinding ingesteld? Zo ja, dan bevestigt de output SIP-signalen tussen CVP en CVVB beveiligd zijn.

6. U kunt ook de SIP TLS-verbinding met CVP via CUBE verifiëren. Navigeer naar de vCUBE SSH-sessie en voer deze opdracht uit om beveiligde sip-signalen te controleren:
show sip-ua connections tcp tls detail

Controleren: is de SIP-over-TLS-verbinding ingesteld met CVP? Als dat het geval is, bevestigt de uitvoer de SIP-signalen tussen CVP en CUBE.

7. Op dit moment is de oproep actief en hoor je Muziek op de wachtrij (MOH) omdat er geen agent beschikbaar is om de oproep te beantwoorden.

8. Maak de agent beschikbaar om de vraag te beantwoorden.

.

9. Agent wordt gereserveerd en de oproep wordt naar hem/haar verstuurd. Klik Answer om het gesprek te beantwoorden.

10. De oproep maakt verbinding met de agent.

1. Om de SIP-signalen tussen CVP en CUCM te verifiëren, navigeert u naar de CVP-sessie en voert u dit filter uit in Wireshark:
ip.addr == 198.18.133.3 && tls && tcp.port==5061

Controle: Zijn alle SIP-communicatie met CUCM (198.18.13.3) via TLS? Als ja, de output bevestigt SIP signalen tussen CVP en CUCM worden beveiligd.

Problemen oplossen

Als TLS niet is ingesteld, voert u deze opdrachten uit op CUBE om debug van TLS in te schakelen voor probleemoplossing:

• Debug ssl openssl errors
• Debug ssl openssl msg
• Debug ssl openssl states