Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram

Configuraties

Verifiëren

Problemen oplossen

Gerelateerde informatie

Inleiding

Dit document beschrijft een van de best practices voor het migreren van telefoons van beveiligde Cisco Unified Communications Manager (CUCM) naar een niet-beveiligde CUCM.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- CUCM

- IP-telefoon 7811

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende softwareversies:

- CUCM-versies - 12.5.1.16065-1 en 12.5.1.14900-63

- IP-telefoon model - 8865 en versie - 12.8(1)

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Netwerkdiagram

IP_telefoon > Cisco Switch > Cisco router > Cisco Switch > CUCM Cluster

Configuraties

Deze scenario's verklaren de telefoonmigratie van veilig naar niet-veilig CUCM-cluster. Tijdens elke fase wordt de status van CTL-bestanden (Certificate Trust List) en ITL-bestanden (Identity Trust List) op de telefoon gedocumenteerd.

1. Registreer een telefoon naar een niet-beveiligde CUCM-cluster.

2. Converteer een niet-beveiligde cluster naar een beveiligd CUCM-cluster.

3. Terug naar niet-beveiligde cluster converteren vanuit beveiligd

4. Migreer de telefoon naar een nieuwe niet-beveiligde CUCM-cluster.

1. Registreer een telefoon naar een niet-beveiligde CUCM-cluster.

Dit is de informatie over het niet-beveiligde broncluster.

- IP-adres - 10.201.251.171

- FQDN - cucm1052.domain.com

- Versie: 12.5.1.16065-1

Registreer een telefoon naar een niet-beveiligde CUCM-cluster. Hiervoor configureer je Dynamic Host Configuration Protocol (DHCP) optie 150/66 om naar het Trivial File Transfer Protocol (TFTP) IP-adres te wijzen (dit zou de CUCM-knooppunt zijn waar de TFTP-service is ingeschakeld).

Voor de infrastructuur waar u niet de DHCP-servers hebt, moet u TFTP IP handmatig op de fysieke telefoon configureren.

Ga op de fysieke telefoon naar Instellingen > Beheerinstellingen > Netwerkinstallatie > Ethernet-instelling > IPv4-installatie.

Schakel DHCP uit en geef statische IP-gegevens over uw netwerk op. Daarna, verstrek niet-beveiligde CUCM IP in TFTP Server 1 sectie zoals getoond in het schermschot.

Opmerking: dit proces staat gelijk aan het wijzigen van het TFTP IP in de DHCP-scope - optie 150/66. En als de cluster is geconfigureerd met de domeinnaam, moet u ook de juiste Domain Name System (DNS)-servers instellen in de DHCP-scope.

Configureer TFTP IP op de telefoon

De IP-telefoon krijgt register naar de genoemde niet-beveiligde CUCM-cluster met succes.

Telefoon geregistreerd bij de CUCM

Meld u aan bij de CUCM-webinterface voor beheer en navigeer naar System > Enterprise Parameters.

Dit zijn de parameters’-waarden die zijn ingesteld onder de Enterprise-parameterpagina van het niet-beveiligde CUCM-cluster.

- Cluster security Mode is ingesteld op 0, dit bevestigt dat het cluster niet veilig is.

De modus Cluster Security is ingesteld op 0

- Bereid Cluster voor op Rollback naar pre 8.0 is ingesteld als False. De inhoud van de ITL & CTL-bestanden blijft dus behouden met de juiste waarden.

Klaarmaken Cluster voor terugdraaien naar pre 8.0 is ingesteld als onwaar

Aangezien de cluster niet veilig is, is er geen CTL-bestand op de TFTP-server. U kunt dit verifiëren door de opdracht ctl op de Secure Shell (SSH)-sessie van de CUCM-knooppunt uit te voeren.

CTL-bestand is niet aanwezig

Op de fysieke telefoon, kunt u bevestigen dat er geen CTL-bestand geïnstalleerd is. U ziet echter het ITL-bestand.

ITL is aanwezig vanwege de optie Security by Default (SBD) in de CUCM. Voor meer informatie over SBD, gelieve te klikken hier.

Navigeer op de fysieke telefoon naar Instellingen > Beheer instellingen > Beveiligingsinstellingen > Vertrouwenlijst.

Hier kunt u de status van zowel de CTL- als de ITL-bestanden vinden.

CTI is niet geïnstalleerd op de telefoon.

CTL-bestand op de telefoon

Phone heeft het ITL-bestand.

ITL-bestand op de telefoon

2. Niet-beveiligde cluster converteren naar beveiligde CUCM-cluster.

Schakel de gemengde modus in door de commando tools ctl set-cluster mixmode op de Command Line Interface (CLI) van de CUCM Publisher uit te voeren. Dit converteert de cluster van niet-veilig naar beveiligd.

Omzetten in een beveiligd cluster

Nadat u de opdracht hebt uitgevoerd, start u de Cisco CallManager (CCM)- en Cisco CTIM Manager (CTI)-services opnieuw op op alle knooppunten in het cluster.

Start de CCM- en CTI-services opnieuw

Op de fysieke telefoon kon je de aanwezigheid van het CTL-bestand zien.

CTL-bestand op de telefoon

Het ITL-bestand bleef met dezelfde waarden.

ITL-bestand op de telefoon

3. Converteer terug naar een niet-beveiligde cluster vanuit een beveiligde verbinding.

Om de cluster van veilig naar niet-veilig te converteren, moet u de commando hulpprogramma’s ctl set-cluster non-secure-mode op de CLI van de CUCM Publisher uitvoeren.

Omzetten in een niet-beveiligde cluster

Start de CCM- en CTI-services opnieuw op alle knooppunten in het cluster om de wijziging te laten doorklinken in alle knooppunten in het CUCM-cluster.

Nadat de cluster is geconverteerd naar niet-beveiligd, bevat de CTL de CUCM- en TFTP-vermeldingen niet. Het CTL-bestand bevat alleen de CAPF-ingang.

CTL-bestand op de telefoon

Het ITL-bestand bleef met dezelfde items.

ITL-bestand op de telefoon

Opmerking: Het wijzigen van het Apparaatbeveiligingsprofiel in de telefoon configuratie pagina (in de CUCM Administration web pagina) naar ofwel veilig of niet-veilig heeft geen effect op de ITL of CTL bestanden. Je kunt de omgeving dus houden zoals vroeger en je hoeft ze niet te veranderen.

4. Migreer de telefoon naar een nieuwe niet-beveiligde CUCM-cluster.

Opmerking: voordat u doorgaat met de migratie, is het een goede praktijk om de Trust Verification Service (TVS) en TFTP-services opnieuw te starten op alle knooppunten (alleen op deze services enabled knooppunten) in het broncluster. Dit elimineert alle hung- of lekkagesessies in de TVS/TFTP-service.

Meld u aan bij de CUCM-webinterface voor beheer en navigeer naar System > Enterprise Parameters.

Stel de waarde van Prepare Cluster for Rollback in op pre 8.0 to True. Klik vervolgens op de knoppen Apply Config en Reset.

De Help-sectie voor deze parameter is in deze screenshot voorzien.

Informatie over het voorbereide cluster voor terugdraaien naar 8.0 Parameter

Monitor de telefoonregistratie telt op het cluster (via Real Time Monitoring Tool - RTMT) voor en na het wijzigen van de parameterwaarde. Op deze manier kan worden gevalideerd of deze wijzigingen al dan niet worden toegepast op alle apparaten in het cluster.

Op de fysieke telefoon, kon u slechts de CAPF ingangen in zowel de ITL & CTL- dossiers zien. U kunt dit ook waarnemen door telefoon webpagina te openen in de webbrowser.

ITL-bestand

ITL-bestand op de telefoon

CTL-bestand

CTL-bestand op de telefoon

Voordat u de migratie start, is het goed om de ITL & CTL-bestanden in een paar telefoons te valideren om ervoor te zorgen dat de wijzigingen hebben plaatsgevonden.

Nu zijn de telefoons klaar voor de migratie.

Het migreren van de telefoons van broncluster aan de bestemmingscluster. Op dit moment zijn beide clusters niet veilig.

Broncluster:

- IP-adres - 10.201.251.171

- FQDN - cucm1052.domain.com

- Versie: 12.5.1.16065-1

Bestemmingscluster:

- IP-adres - 10.88.11.163

- FQDN - cucmpub.domain.com

- Versie : 12.5.1.14900-63

Stel op de fysieke telefoon de waarde TFTP Server 1 in op het nieuwe IP-adres van het cluster van bestemming en klik op de knop Toepassen.

Opmerking: dit proces staat gelijk aan het wijzigen van de TFTP-ip in de DHCP-scope - optie 150/66. Als het doelcluster in het andere domein zit, moet u ook de juiste DNS-servers in de DHCP-scope instellen.

Configureer TFTP IP op de telefoon

Klik op de knop Doorgaan, hierdoor blijven de oude CTL- en ITL-bestanden (die alleen de CAPF-ingang bevatten) uit het broncluster behouden.

Door op de knop Doorgaan te drukken, kunnen de oude CTL- en ITL-bestanden behouden blijven

Verifiëren

De telefoon wordt met succes geregistreerd in het doelcluster.

Telefoon geregistreerd bij de CUCM

De telefoon bevat de bestemmingen cluster Vertrouwen lijst ingangen.

ITL-bestand op de telefoon

Problemen oplossen

Er is momenteel geen specifieke troubleshooting-informatie beschikbaar voor deze configuratie.

Gerelateerde informatie

- Standaard CUCM-beveiliging en ITL-werking en probleemoplossing begrijpen

- CUCM Mixed Mode met Tokenless CTL

- Security Guide voor Cisco Unified Communications Manager, release 12.5(1)

- Cisco Technical Support en downloads