Veilige integratie tussen CUCM en CUC configureren en oplossen

Inleiding

Dit document beschrijft de configuratie, verificatie en probleemoplossing van de beveiligde verbinding tussen de Cisco Unified Communication Manager (CUCM) en de Cisco Unity Connection (CUC)-server.

Voorwaarden

Vereisten

Cisco raadt je aan om kennis te hebben van CUCM.

Raadpleeg de Cisco Unified Communications Manager Security Guide voor meer informatie. 

Opmerking: deze moet op de gemengde modus worden ingesteld om ervoor te zorgen dat de veilige integratie correct werkt.

Codering moet zijn ingeschakeld voor Unity Connection 11.5(1) SU3 en hoger.

CLI-opdracht "utils cuc encryption <enable/disable>"

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• CUCM-versie 10.5.2.11900-3.
• CUC versie 10.5.2.11900-3.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Diagram

In dit diagram wordt kort het proces uitgelegd dat helpt bij het tot stand brengen van een veilige verbinding tussen CUCM en CUC:

1. Call Manager stelt een beveiligde TLS-verbinding (Transport Layer Security) in met de CUC-server op basis van poort 2443 Skinny Call Control Protocol (SCCP) of 5061 Session Initiation Protocol (SIP) op basis van het protocol dat wordt gebruikt voor integratie.

2. De CUC-server downloadt het CTL-bestand (Certificate Trust List) van de TFTP-server (eenmalige procedure), extraheert het CallManager.pem-certificaat en slaat het op.

3. CUCM-server biedt het Callmanager.pem-certificaat aan dat is geverifieerd aan de hand van het CallManager.pem-certificaat dat in de vorige stap is verkregen. Bovendien wordt het CUC-certificaat geverifieerd aan de hand van een CUC-basiscertificaat dat is opgeslagen in CUCM. Merk op dat het rootcertificaat door de beheerder in CUCM moet worden geüpload.

4. Als de verificatie van de certificaten succesvol is, wordt een beveiligde TLS-verbinding tot stand gebracht. Deze verbinding wordt gebruikt om gecodeerde SCCP- of SIP-signalering uit te wisselen.

5. Audioverkeer kan worden uitgewisseld als Real-time Transport Protocol (RTP) of SRTP.

Opmerking: Wanneer u een TLS-communicatie tot stand brengt, gebruiken CUCM en CUC wederzijdse TLS-verificatie. Zie RFC5630 voor meer informatie.

Configureren - Secure SIP Trunk

CUC configureren

1. SIP-certificaat toevoegen

Navigeer naar CUC-beheer > Telefonie-integraties > Beveiliging > SIP-certificaat > Nieuw toevoegen

• Display Name: <elke betekenisvolle naam>
• Onderwerpnaam: <elke naam, bijvoorbeeld SecureConnection>

Opmerking: de naam van het onderwerp moet overeenkomen met de X.509-onderwerpnaam in het SIP trunk-beveiligingsprofiel (geconfigureerd in stap 1 van de CUCM-configuratie verderop in dit document).

Opmerking: Het certificaat wordt gegenereerd en ondertekend door het CUC-basiscertificaat.

2. Maak een nieuw telefoonsysteem of wijzig het standaardsysteem

Ga naar Telefonie-integratie > Telefoonsysteem. U kunt het telefoonsysteem gebruiken dat al bestaat of een nieuw systeem maken.

3. Een nieuwe poortgroep toevoegen

Selecteer op de pagina Basisprincipes telefoonsysteem in de vervolgkeuzelijst Gerelateerde koppelingen de optie Poortgroepen toevoegen en selecteer Go. Voer in het configuratievenster de volgende informatie in:

• Telefoonsysteem:                       
• Maken van: Poortgroeptype SIP
• SIP-beveiligingsprofiel: 5061/TLS
• SIP-certificaat:                        
• Beveiligingsmodus: gecodeerd
• Veilige RTP: gecontroleerd
• IPv4-adres of hostnaam:  

Sla op Save.

4. Servers bewerken

Navigeer naar Bewerken > Servers en voeg een TFTP-server toe vanuit het CUCM-cluster, zoals in deze afbeelding wordt weergegeven.

Opmerking: Het is belangrijk om het juiste TFTP-adres op te geven. CUC server downloadt het CTL bestand van deze TFTP zoals uitgelegd.

5. De poortgroep opnieuw instellen

Ga terug naar de basisprincipes van de poortgroep en stel de poortgroep opnieuw in zoals wordt gevraagd door het systeem, zoals wordt weergegeven in deze afbeelding.

6. Voicemailpoorten toevoegen

Selecteer op de pagina Basisbeginselen van de poortgroep in de vervolgkeuzelijst Gerelateerde koppelingen de optie Poorten toevoegen en selecteer Gaan. Voer in het configuratievenster de volgende informatie in:

• Ingeschakeld: ingeschakeld
• Aantal poorten: 
• Telefoonsysteem:    
• Poortgroep:          
• Server:                 
• Poortgedrag:       

7. CUC-basiscertificaat downloaden

Navigeer naar Telefonie-integraties > Beveiliging > Hoofdcertificaat, klik met de rechtermuisknop op de URL om het certificaat op te slaan als een bestand met de naam <bestandsnaam>.0 (de bestandsextensie moet .0 zijn in plaats van .htm)' en druk op opslaan zoals weergegeven in deze afbeelding.

CUCM configureren

1. SIP Trunk-beveiligingsprofiel configureren voor Trunk naar CUC

Navigeer naar CUCM Beheer > Systeem > Beveiliging > SIP Trunk Beveiligingsprofiel > Nieuwe toevoegen

Zorg ervoor dat deze velden correct zijn ingevuld:

• Apparaatbeveiligingsmodus: gecodeerd
• X.509 Onderwerpnaam: SecureConnection>
• Accepteer out-of-dialoog verwijzing: aangevinkt
• Ongevraagde melding accepteren: aangevinkt
• Accepteren vervangt koptekst: aangevinkt

Opmerking: de X.509-onderwerpnaam moet overeenkomen met het veld Onderwerpnaam in het SIP-certificaat op de Cisco Unity Connection-server (geconfigureerd in stap 1 van de CUC-configuratie).

2. SIP-profiel configureren

Navigeer naar Apparaat > Apparaatinstellingen > SIP-profiel als u specifieke instellingen wilt toepassen. U kunt ook het standaard SIP-profiel gebruiken.

3. SIP-trunk maken

Ga naar Apparaat > Trunk > Nieuw toevoegen.Maak een SIP-trunk die wordt gebruikt voor veilige integratie met Unity Connection zoals weergegeven in deze afbeelding.

Voer in het gedeelte Apparaatinformatie van trunkconfiguratie deze informatie in:

• Apparaatnaam:            
• Apparaatgroep:              
• SRTP toegestaan: ingeschakeld

Opmerking: zorg ervoor dat de groep CallManager (in Configuratie apparaatgroep) alle servers bevat die zijn geconfigureerd in CUC (Poortgroep > Bewerken > Servers).

Voer in het gedeelte Inkomende oproepen van trunkconfiguratie deze informatie in:

• Zoekruimte bellen:                                            
• Omleiding omleiden Header Delivery - Inbound: gecontroleerd

Voer in het gedeelte Oubound Calls van trunkconfiguratie deze informatie in:

• Omleiden Omleiding Header Delivery - Uitgaand: aangevinkt

Voer in het gedeelte SIP-informatie van trunkconfiguratie deze informatie in:

• Bestemmingsadres:                                    
• SIP Trunk-beveiligingsprofiel:                           
• Zoekruimte voor bellen omleiden:                
  
• Verwijs naar de zoekruimte voor oproepen buiten dialoog: 
• SIP-profiel:                                                    

Pas andere instellingen aan volgens uw vereisten.

4. Een routepatroon maken

Maak een routepatroon dat verwijst naar de geconfigureerde trunk (Oproep Routering > Route/Hunt > Routepatroon). De extensie die als routepatroonnummer is ingevoerd, kan worden gebruikt als voicemailpiloot. Voer deze gegevens in:

• Routepatroon:                        
• Gateway/Route-lijst:               
  

5. Een voicemailpiloot maken

Maak een voicemailpilot voor de integratie (Geavanceerde functies > Voice Mail > Voicemailpilot). Voer de volgende waarden in:

• Nummer van voicemailpiloot:   
• Zoekruimte oproepen: dit omvat partities met routepatronen die als piloot worden gebruikt>

6. Een profiel voor voicemailberichten maken

Maak een voicemailprofiel om alle instellingen aan elkaar te koppelen (Geavanceerde functies > Voice Mail > Voice Mail Profile). Voer deze gegevens in:

• Voice Mail Pilot:                   
  
• Voice Mail Box Mask:           

7. Voice Mail-profiel toewijzen aan de DN's

Wijs het voicemailprofiel toe aan de DN's die bedoeld zijn om een beveiligde integratie te gebruiken. Vergeet niet om op 'Config toepassen' te klikken na het wijzigen van DN-instellingen:

Navigeer naar: Oproeproutering > Directory-nummer en wijzig:

• Voicemailprofiel: Secure_SIP_Integration
  

8. Upload CUC Root Certificate als CallManager-trust

Navigeer naar Beheer van besturingssysteem > Beveiliging > Certificaatbeheer > Certificaat/certificaatketen uploaden en upload het CUC-basiscertificaat als CallManager-trust op alle knooppunten die zijn geconfigureerd om met de CUC-server te communiceren.

Opmerking: de Cisco CallManager-service moet opnieuw worden gestart nadat het certificaat is geüpload, zodat het certificaat van kracht kan worden.

Beveiligde SCCP-poorten configureren

CUC configureren

1. Download het CUC-basiscertificaat

Navigeer naar CUC-beheer > telefonie-integratie > beveiliging > basiscertificaat. Klik met de rechtermuisknop op de URL om het certificaat op te slaan als een bestand met de naam <bestandsnaam>.0 (de bestandsextensie moet .0 zijn in plaats van .htm)' en druk op Opslaan:

2. Maak telefoonsysteem aan / Wijzig het bestaande systeem.

Navigeer naar Telefonie-integratie > Telefoon systeem. U kunt het telefoonsysteem gebruiken dat al bestaat of een nieuw systeem maken.

3. Een nieuwe SCCP-poortgroep toevoegen

Selecteer op de pagina Basisprincipes telefoonsysteem in de vervolgkeuzelijst Gerelateerde koppelingen de optie Poortgroep toevoegen en selecteer Go. Voer in het configuratievenster de volgende informatie in:

• Telefoonsysteem:           
• Poortgroeptype: SCCP
• Prefix apparaatnaam*: CiscoUM1-VI
• MWI On-extensie:      
• MWI Off-extensie:      

Opmerking: deze configuratie moet overeenkomen met de configuratie op CUCM.

4. Servers bewerken

Navigeer naar Bewerken > Servers en voeg TFTP-server toe vanuit het CUCM-cluster.

Opmerking: Het is belangrijk om het juiste TFTP-adres op te geven. CUC server downloadt het CTL bestand van deze TFTP zoals uitgelegd.

5. Beveiligde SCCP-poorten toevoegen

Selecteer op de pagina Basisbeginselen van de poortgroep in de vervolgkeuzelijst Gerelateerde koppelingen de optie Poorten toevoegen en selecteer Gaan. Voer in het configuratievenster de volgende informatie in:

• Ingeschakeld: aangevinkt
• Aantal poorten: 
• Telefoonsysteem:    
• Poortgroep:          
• Server:                 
• Poortgedrag:       
• Beveiligingsmodus: gecodeerd

CUCM configureren

1. Poorten toevoegen

Navigeer naar CUCM-beheer > Geavanceerde functies > Configuratie van voicemailpoort > Nieuw toevoegen.

Configureer de SCCP-voicemailpoorten zoals gewoonlijk. Het enige verschil is de modus Apparaatbeveiliging in de poortconfiguratie waarbij de optie Gecodeerde spraakpostpoort moet worden geselecteerd.

2. Upload CUC Root Certificate als CallManager-trust

Navigeer naar Beheer van besturingssysteem > Beveiliging > Certificaatbeheer > Certificaat/certificaatketen uploaden en upload het CUC-basiscertificaat als CallManager-trust op alle knooppunten die zijn geconfigureerd om met de CUC-server te communiceren.

Opmerking: de Cisco CallManager-service moet opnieuw worden gestart nadat het certificaat is geüpload, zodat het certificaat van kracht kan worden.

3. Berichtwachtinformatie (MWI) aan/uit-extensies configureren

Navigeer naar CUCM Administration > Advanced Features > Voice Mail Port Configuration en configureer MWI On/Off Extensions. De MWI-nummers moeten overeenkomen met de CUC-configuratie.

4. Voicemailpilot maken

Maak een voicemailpilot voor de integratie (Geavanceerde functies > Voice Mail > Voicemailpilot). Voer de volgende waarden in:

• Nummer van voicemailpiloot:   
• Zoekruimte oproepen: dit omvat partities met routepatronen die als piloot worden gebruikt>

5. Voicemailprofiel maken

Maak een voicemailprofiel om alle instellingen aan elkaar te koppelen (Geavanceerde functies > Voice Mail > Voice Mail Profile). Voer deze gegevens in:

• Voice Mail Pilot:                   
  
• Voice Mail Box Mask:           

6. Voice Mail-profiel toewijzen aan de DN's

Wijs het voicemailprofiel toe aan de DN's die een beveiligde integratie willen gebruiken. Klik op Config toepassen nadat de DN-instellingen zijn gewijzigd:

Navigeer naar Oproeproutering > Directory-nummer en wijzig in:

• Voicemail-profiel: Voicemail-profile-8000

7. Een groep maken voor spraakmaillenjacht

a) Een nieuwe lijngroep toevoegen (oproeproutering > Route/Hunt > lijngroep)

b) Een nieuwe lijst met voicemailberichten toevoegen (oproeproutering > Route/Hunt > Hunt List)

c) Voeg een nieuwe Hunt Pilot toe (Call Routing > Route/Hunt > Hunt Pilot)

Verifiëren

Verificatie van SCCP-poorten

Navigeer naar CUCM-beheer > Geavanceerde functies > Voice Mail > Voice Mail Ports en controleer de poortregistratie.

Druk op de knop Voice Mail op de telefoon om voicemail te bellen. U hoort de openingsbegroeting als de extensie van de gebruiker niet is geconfigureerd op het Unity Connection-systeem.

Beveiligde verificatie SIP Trunk

Druk op de knop Voice Mail op de telefoon om voicemail te bellen. U hoort de openingsbegroeting als de extensie van de gebruiker niet is geconfigureerd op het Unity Connection-systeem.

Als alternatief kunt u de status van de SIP-trunk controleren door de SIP OPTIONs keepalive in te schakelen. Deze optie kan worden ingeschakeld in het SIP-profiel dat is toegewezen aan de SIP-trunk. Zodra dit is ingeschakeld, kunt u de status van de Sip-trunk controleren via Apparaat > Trunk zoals weergegeven in deze afbeelding.

Beveiligde RTP-gespreksverificatie

Controleer of het hangslotpictogram aanwezig is bij oproepen naar Unity Connection. Dit betekent dat de RTP-stream is gecodeerd (het profiel Apparaatbeveiliging moet veilig zijn om te kunnen werken), zoals in deze afbeelding wordt weergegeven.

Problemen oplossen

1. Algemene tips voor probleemoplossing

Gebruik deze stappen om problemen met de veilige integratie op te lossen:

• De configuratie verifiëren.
  
• Zorg ervoor dat alle gerelateerde services actief zijn. (CUCM - CallManager, TFTP, CUC - Conversation Manager)
  
• Zorg ervoor dat de poorten die nodig zijn voor veilige communicatie tussen servers, geopend zijn in het netwerk (TCP-poort 2443 voor SCCP-integratie en TCP 5061 voor SIP-integratie).
  
• Als dit allemaal klopt, ga dan verder met het verzamelen van sporen.

2. Sporen om te verzamelen

Verzamel deze sporen om problemen met de veilige integratie op te lossen.

• Pakketvastlegging van CUCM en CUC
• CallManager-traces
• Cisco Conversation Manager traceert

Raadpleeg deze bronnen voor aanvullende informatie over:

Hoe een pakketopname op CUCM te doen:

http://www.cisco.com/c/en/us/support/docs/voice-unified-communications/unified-communications-manager-version-50/112040-packet-capture-cucm-00.html

Traces inschakelen op CUC-server:

    

http://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/10x/troubleshooting/guide/10xcuctsgx/10xcuctsg010.html

Veelvoorkomende problemen

Geval 1: Kan geen beveiligde verbinding tot stand brengen (CA-waarschuwing onbekend)

Nadat de pakketopname van een van de servers is verzameld, wordt de TLS-sessie ingesteld.

De client gaf een waarschuwing met een fatale fout van Onbekende CA naar de server, alleen omdat de client het certificaat dat door de server is verzonden niet kon verifiëren.

Er zijn twee mogelijkheden:

1) CUCM stuurt de waarschuwing Onbekende CA

• Controleer of het huidige CUC-rootcertificaat is geüpload op de server die communiceert met de CUC-server.
• Zorg ervoor dat de CallManager-service opnieuw wordt gestart op de bijbehorende server.

2) CUC stuurt de waarschuwing Onbekende CA

• Controleer of het TFTP-IP-adres correct is ingevoerd in Poortgroep > Bewerken > Serverconfiguratie op de CUC-server.
  
• Controleer of de CUCM TFTP-server bereikbaar is vanaf de Connection-server.
• Zorg ervoor dat het CTL-bestand op de CUCM TFTP actueel is (vergelijk de uitvoer van "show ctl" met certificaten zoals te zien op de OS Admin-pagina). Voer de CTLC-client opnieuw uit als dat niet het geval is.
• Start de CUC-server opnieuw op OF verwijder en maak de poortgroep opnieuw om het CTL-bestand opnieuw te downloaden van de CUCM TFTP.

Zaak 2: Kan CTL-bestand niet downloaden van CUCM TFTP

Deze fout wordt weergegeven in de Conversation Manager Traces:

MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
MiuGeneral,25,Error executing tftp command 'tftp://10.48.47.189:69/CTLFile.tlv' res=68 (file not found on server)
MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
Arbiter,-1,Created port PhoneSystem-1-001 objectId='7c2e86b8-2d86-4403-840e-16397b3c626b' as ID=1
MiuGeneral,25,Port group object 'b1c966e5-27fb-4eba-a362-56a5fe9c2be7' exists
MiuGeneral,25,FAILED SetInService=true parent port group is out of service: 

Oplossing:

  1. Controleer of de TFTP-server correct is in de poortgroep > Bewerken > Servers configuratie.

  2. Controleer of het CUCM-cluster zich in de veilige modus bevindt.

  3. Controleer of het CTL-bestand op de CUCM TFTP staat.

Geval 3: Poorten registreren niet

Deze fout wordt weergegeven in de Conversation Manager Traces:

MiuSkinny,23,Failed to retrieve Certificate for CCM Server <CUCM IP Address>
MiuSkinny,23,Failed to extract any CCM Certificates - Registration cannot proceed. Starting retry timer -> 5000 msec
MiuGeneral,24,Found local CTL file [/tmp/aaaaaaaa-xxxx-xxxx-xxxx-xxxxxxxxxxxx.tlv]
MiuGeneral,25,CCMCertificateCache::RetrieveServerCertificates() failed to find CCM Server '<CUCM IP Address>' in CTL File

Oplossing:

  1. Dit is hoogstwaarschijnlijk te wijten aan mismatch in md5 checksum van CTL-bestand op CUCM en CUC als gevolg van regeneratie van  

   certificaten. Start de CUC-server opnieuw op om het CTL-bestand te vernieuwen.

gebreken

CSCum48958 - CUCM 10.0 (lengte IP-adres is onjuist)

CSCtn87264 - TLS-verbinding mislukt voor beveiligde SIP-poorten

CSCur10758 - Kan ingetrokken certificaten niet opschonen Unity Connection

CSCur10534 - Unity Connection 10.5 TLS/PKI inter-op redundant CUCM

CSCve47775 - Aanvraag voor een methode voor het bijwerken en herzien van het CTLF-bestand van de CUCM op de CUC

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
1.0	02-Jun-2016	Eerste vrijgave