Expressway-certificaat verlengen

Inleiding

In dit document wordt de procedure voor het vernieuwen van het VCS-certificaat (Expressway/Video Communication Server) beschreven.

Achtergrondinformatie

De informatie in dit document is van toepassing op zowel Expressway als VCS. Het document verwijst naar Expressway, maar dit kan worden uitgewisseld met VCS.

Opmerking: hoewel dit document is ontworpen om u te helpen bij het vernieuwen van certificaten, is het een goed idee om ook de Cisco Expressway Certificate Creation and Use Deployment Guide voor uw versie te controleren.

Bij de verlenging van een certificaat moeten twee hoofdpunten in aanmerking worden genomen om na te gaan of het systeem goed blijft functioneren nadat het nieuwe certificaat is geïnstalleerd:

1. De kenmerken van het nieuwe certificaat moeten overeenkomen met die van het oude certificaat (voornamelijk de alternatieve naam van het onderwerp en het gebruik van de uitgebreide sleutel).

2. De certificeringsinstantie (CA) die het nieuwe certificaat ondertekent, moet worden vertrouwd door andere servers die rechtstreeks met de Expressway communiceren (bijvoorbeeld CUCM, Expressway-C, Expressway-E, enzovoort).

procédé

A) Informatie verkrijgen uit het huidige certificaat

1. Open Expressway Webpage Maintenance > Security > Servercertificaat > Gecodeerde weergave.

2. Kopieer in het nieuwe venster de extensies Subject Alternative name en Authority Key Identifier X509v3 naar een notitieblokdocument.

Gedecodeerd certificeringsvenster weergeven

B) Genereer het certificaatondertekeningsverzoek (CSR) en stuur het naar de certificeringsinstantie (CA) voor ondertekening

1. Navigeer naar Expressway Webpage Maintenance > Security > Servercertificaat > CSR genereren.

2. Voer in het veld Extra alternatieve namen (kommagescheiden) in het venster CSR genereren alle waarden in voor alternatieve onderwerpnamen die zijn opgeslagen in sectie A, en verwijder DNS: en scheid de lijst met komma's.

In dit image wordt naast Alternatieve naam een lijst weergegeven met alle SAN's die in het certificaat moeten worden gebruikt:

CSR SAN-items genereren

3. Voer de rest van de informatie in onder de sectie Aanvullende informatie (zoals land, bedrijf, staat, enzovoort) en klik op MVO genereren.

4. Nadat u de CSR hebt gegenereerd, toont de pagina Onderhoud > Beveiliging > Servercertificaat een optie om CSR en downloaden te negeren. Kies Downloaden en stuur de CSR naar de CA voor ondertekening.

Opmerking: gooi CSR niet weg voordat het nieuwe certificaat is geïnstalleerd. Als CSR verwijderen is uitgevoerd en vervolgens wordt geprobeerd een certificaat te installeren dat is ondertekend met de CSR en dat is verwijderd, mislukt de installatie van het certificaat.

C) Controleer de SAN-lijst en het attribuut Extended/Enhanced Key Usage in het nieuwe certificaat

Open het nieuw ondertekende certificaat in Certificaatbeheer van Windows en controleer:

1. De SAN-lijst komt overeen met de SAN-lijst die u hebt opgeslagen in sectie A waarin u de CSR hebt gebruikt en gegenereerd.

2. Het attribuut Uitgebreid/Uitgebreid sleutelgebruik moet zowel clientverificatie als serververificatie bevatten.

Opmerking: Als het certificaat de .pem-extensie heeft, wijzigt u de naam in .cer of .crt om het te kunnen openen met Windows Certificate Manager. Zodra het certificaat is geopend met Windows Certificate Manager, kunt u naar het tabblad Details gaan > Kopiëren naar bestand en exporteren als een Base64-gecodeerd bestand, een base64-gecodeerd bestand heeft normaal "-----BEGIN CERTIFICATE-----" aan de bovenkant en "-----END CERTIFICATE-----" aan de onderkant wanneer geopend in een teksteditor

Controleer of de CA die het nieuwe certificaat heeft ondertekend, hetzelfde is als de CA die het oude certificaat heeft ondertekend

Open het nieuw ondertekende certificaat in Windows-certificaatbeheer en kopieer de waarde voor de sleutelidentificatie van de autoriteit en vergelijk deze met de waarde voor de sleutelidentificatie van de autoriteit die u in sectie A hebt opgeslagen.

Nieuwe certificering geopend met Windows Certification Manager

Als beide waarden hetzelfde zijn, betekent dit dat dezelfde CA is gebruikt om het nieuwe certificaat te ondertekenen als het certificaat dat is gebruikt om het oude certificaat te ondertekenen, en u kunt doorgaan naar sectie E om het nieuwe certificaat te uploaden.

Als de waarden verschillen, betekent dit dat de CA die wordt gebruikt om het nieuwe certificaat te ondertekenen, anders is dan de CA die wordt gebruikt om het oude certificaat te ondertekenen, en de stappen die moeten worden genomen voordat u kunt doorgaan naar sectie E zijn:

1. Verkrijg alle tussenliggende CA-certificaten, indien van toepassing, en het basiscertificaat van CA.

2. Navigeer naar Onderhoud > Beveiliging > Vertrouwd CA-certificaat, klik op Bladeren, zoek vervolgens naar het tussenliggende CA-certificaat op uw computer en upload het. Doe hetzelfde voor andere tussenliggende CA-certificaten en het basisCA-certificaat.

3. Doe hetzelfde op elke Expressway-E (als het te vernieuwen certificaat een Expressway-C-certificaat is) die verbinding maakt met deze server of elke Expressway-C (als het te vernieuwen certificaat een Expressway-E-certificaat is) die verbinding maakt met deze server.

4. Als het te verlengen certificaat een Expressway-C-certificaat is en u MRA heeft of beveiligde zones heeft naar CUCM.

• Controleer of CUCM de nieuwe root en de tussenliggende CA vertrouwt.
• Upload de root- en intermediate CA-certificaten naar CUCM naar de callmanager-trust en callmanager-trust stores.
• Start de relevante services op CUCM opnieuw op.

Installeer het nieuwe certificaat

Nadat alle voorgaande punten zijn gecontroleerd, kunt u het nieuwe certificaat installeren op de snelweg via Onderhoud > Beveiliging > Servercertificaat.

Klik op Bladeren en selecteer het nieuwe certificaatbestand op uw computer en upload het.

U moet de Expressway opnieuw starten nadat u een nieuw certificaat hebt geïnstalleerd.

Opmerking: controleer of het certificaat dat vanuit Onderhoud > Beveiliging > Servercertificaat naar Expressway moet worden geüpload, alleen het servercertificaat van Expressway bevat en niet de volledige certificaatketen en controleer of het een Base64-certificaat is.

Eén certificaat toevoegen aan meerdere snelwegen: