SIP-TELEFOONS configureren tussen CUCM-CUBE/CUBE-SBC met CA-ondertekende certificaten

Downloadopties

  • PDF     (446.3 KB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (415.2 KB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (325.9 KB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:21 april 2020
Document-id:215412

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

    Inleiding

    Dit document beschrijft hoe u SIP Transport Layer Security (TLS) kunt configureren tussen Cisco Unified Communications Manager (CUCM) en Cisco Unified Border Element (CUBE) met door certificeringsinstanties (CA) ondertekende certificaten.

    Voorwaarden

    Cisco adviseert om kennis van deze onderwerpen te hebben

    •    SIP-protocol
    •    Security certificaten

    Vereisten

    • Datum en tijd moeten op de eindpunten overeenkomen (aanbevolen wordt om dezelfde NTP-bron te hebben).
    • CUCM moet in gemengde modus worden geplaatst.
    • TCP-connectiviteit is vereist (Open poort 5061 op elke transitfirewall).
    • De CUBE moet de security en Unified Communications K9 (UCK9) licenties hebben geïnstalleerd.

    Opmerking: Voor Cisco IOS-XE versie 16.10 heeft het platform zich verplaatst naar slimme licenties.

    Gebruikte componenten

    • SIP
    • Certificaten van certificeringsinstanties

    • Cisco IOS en IOS-XE gateways

      2900 / 3900 / 4300 / 4400 / CSR1000v / ASR100X versies: 15,4+

    • Cisco Unified Communications Manager (CUCM)

      Versies: 10,5+

    Configureren

    Netwerkdiagram

    Configuratie

    Stap 1. U gaat met behulp van deze opdracht een RSA-toets definiëren die overeenkomt met de certificaatlengte van het wortelcertificaat:

    Crypto key generate rsa label TestRSAkey exportable modulus 2048

    Deze opdracht maakt een RSA-toets met een lengte van 2048 bits (het maximum is 4096).

    Stap 2. Maak een betrouwbaar punt om ons CA-ondertekend certificaat te houden met opdrachten:

     Crypto pki trustpoint CUBE_CA_CERT
   serial-number none
   fqdn none
   ip-address none
   subject-name cn=ISR4451-B.cisco.lab !(this has to match the router’s hostname  [hostname.domain.name])
   revocation-check none
   rsakeypair TestRSAkey !(this has to match the RSA key you just created)

    Stap 3.  Nu u ons vertrouwde punt hebt, zult u ons CSR-verzoek met de onderstaande opdrachten genereren:

     Crypto pki enroll CUBE_CA_CERT

    Beantwoord de vragen op het scherm en kopieer vervolgens het CSR-verzoek, bewaar het in een bestand en verstuur het naar de CA.

    Stap 4. U moet weten of de keten van het wortelcertificaat tussentijdse certificaten heeft; indien er geen intermediaire certificeringsinstanties zijn , stap 7 , anders , voort in stap 6 .

    Stap 5. Maak een trust punt om het certificaat van de Opstarten te houden, plus, om een trust point te maken om een intermediaire CA te houden tot het punt dat ons CUBE-certificaat ondertekend heeft (zie afbeelding hieronder).

    In dit voorbeeld, het 1ste niveau is de Root CA, het 2e niveau is onze eerste intermediaire CA, het 3rd niveau is de CA die ons CUBE certificaat ondertekenen, en dus moet u een betrouwbaar punt creëren om de eerste 2 certificaten met deze opdrachten te bezitten.

    Crypto pki trustpoint Root_CA_CERT
Enrollment terminal pem
Revocation-check none

Crypto pki authenticate Root_CA_CERT
Paste the X.64 based certificate here

Crypto pki trustpoint Intermediate_CA
Enrollment terminal
Revocation-check none

Crypto pki authenticate Intermediate_CA

    Stap 6.  Nadat u ons door CA ondertekend certificaat hebt ontvangen, gaat u het vertrouwenspunt echt maken, dan moet de trustpoint het certificaat van de CA vlak voor het CUBE-certificaat in zijn bezit hebben. de opdracht die invoer van het certificaat mogelijk maakt, is:

    Crypto pki authenticate CUBE_CA_CERT

    Stap 7. Nadat u ons certificaat hebt geïnstalleerd, moet u deze opdracht uitvoeren om uw CUBE-certificaat te importeren

      Crypto pki import CUBE_CA_CERT cert

    Stap 8. Configureer de SIP-UA met het door u aangelegde betrouwbaar punt

      sip-ua
  crypto signaling default trustpoint CUBE_CA_CERT

    Stap 9.  Configureer kiestoon zoals hieronder wordt weergegeven:

      dial-peer voice 9999 voip
  answer-address 35..
  destination-pattern 9999
  session protocol sipv2
  session target dns:cucm10-5
  session transport tcp tls
  voice-class sip options-keepalive
  srtp

    Hierdoor is de CUBE-configuratie voltooid.

    Stap 10.  U gaat nu onze CUCM CSR genereren, volgt u de onderstaande instructies

    • Inloggen op CUCM OS-beheerder
    • Klik op beveiliging
    • Klik op certificaatbeheer.
    • Klik op om CSR te genereren

    Het CSR-verzoek moet hieronder worden weergegeven:

    Stap 11. Download de CSR en stuur het naar de CA.

    Stap 12. Upload de door CA ondertekende certificeringsketen naar CUCM, stappen zijn:

    • Klik op beveiliging en vervolgens op certificaatbeheer.
    • Klik op het uploaden van certificaat/certificeringsketen.
    • Selecteer in het vervolgkeuzemenu voor de certificaatfunctie de optie Call Manager.
    • Bladeren naar je bestand.
    • Klik op het uploaden.

    Stap 13. Meld u aan bij de CUCM CLI en voer deze opdracht uit

         utils ctl update CTLFile

    Stap 14. Configuratie van een CUCM SIP-routerbeveiligingsprofiel

    • Klik op het systeem, dan veiligheid en dan sloop het veiligheidsprofiel van de boomstam
    • Het profiel configureren zoals in de afbeelding wordt getoond,

    Opmerking: in dit geval moet de X.509-onderwerpregel overeenkomen met de CUCM-onderwerpregel zoals in het gemarkeerde gedeelte van de afbeelding wordt weergegeven.

    Stap 15. Configureer een SIP-stam zoals u normaal met CUCM zou doen

    • Zorg ervoor dat het selectieknop SRTP is ingeschakeld.
    • Configureer het juiste doeladres en zorg ervoor dat u poort 5060 door poort 5061 vervangt.
    • Zorg ervoor dat in het SIP stam veiligheidsprofiel de SIP profielnaam die op stap 14 is gemaakt, selecteert.

    Verifiëren

       

    Als alle configuratie nu goed is,

    Op CUCM toont de status van de SIP-stam de volledige service, zoals in de afbeelding wordt getoond.

    Op CUBE toont de dial-peer deze status:

    TAG    TYPE  MIN  OPER PREFIX    DEST-PATTERN      FER THRU SESS-TARGET    STAT PORT    KEEPALIVE

9999   voip  up   up             9999               0  syst dns:cucm10-5                  active

    Dit zelfde proces is van toepassing op andere routers, het enige verschil is dat in plaats van stappen te ondernemen om het CUCM-certificaat te uploaden, het certificaat dat door derden is geleverd te uploaden.

    Problemen oplossen

    Schakel deze apparaten op CUBE in

    debug crypto pki api
debug crypto pki callbacks
debug crypto pki messages
debug crypto pki transactions
debug ssl openssl errors
debug ssl openssl msg
debug ssl openssl states
debug ip tcp transactions
    TAC Authored

    Bijgedragen door Cisco-engineers

    • Julio Cascante
      Cisco TAC-ingenieur

    Was dit document nuttig?

    FeedbackFeedback

    Contact Cisco

    Dit document is van toepassing op deze producten