Exemplo de configuração da conexão do telefone VPN do AnyConnect com um roteador Cisco IOS

Introdução

Este documento descreve como configurar o roteador Cisco IOS^® e os dispositivos Call Manager para que os telefones IP da Cisco possam estabelecer conexões VPN para o roteador Cisco IOS. Essas conexões VPN são necessárias para proteger a comunicação com um destes dois métodos de autenticação de cliente:

• Servidor AAA (Authentication, Authorization, and Accounting) ou banco de dados local
• Certificado do telefone

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas nas seguintes versões de hardware e software:

• Cisco IOS 15.1(2)T ou posterior
• Conjunto de recursos/Licença: Universal (dados e segurança e UC) para Cisco IOS Integrated Service Router (ISR)-G2
• Conjunto de recursos/Licença: Segurança avançada para Cisco IOS ISR
• Cisco Unified Communications Manager (CUCM) versão 8.0.1.100000-4 ou posterior
• Telefone IP versão 9.0(2)SR1S - Skinny Call Control Protocol (SCCP) ou posterior

Para obter uma lista completa de telefones compatíveis em sua versão do CUCM, siga estas etapas:

1. Abrir este URL: https://<CUCM Server IP Address>:8443/cucreports/systemReports.do
2. Escolha Lista de recursos de telefone do Unified CM > Gerar um novo relatório > Recurso: Virtual Private Network (Rede virtual privada).

As versões usadas neste exemplo de configuração incluem:

• Roteador Cisco IOS versão 15.1(4)M4
• Call Manager versão 8.5.1.10000-26
• Telefone IP versão 9.1(1)SR1S

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando. 

Configurar

Esta seção abrange as informações necessárias para configurar os recursos descritos neste documento.

Note: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Topologia de rede

A topologia usada neste documento inclui um Telefone IP da Cisco, o Roteador Cisco IOS como o Gateway VPN SSL e o CUCM como o gateway de voz.

Configuração de Servidor VPN SSL

Esta seção descreve como configurar o head-end do Cisco IOS para permitir conexões VPN SSL de entrada.

Etapas de configuração comuns

1. Gere a chave RSA (Rivest-Shamir-Adleman) com um comprimento de 1024 bytes:
   
   

   Router(config)#crypto key generate rsa general-keys label SSL modulus 1024 

2. Crie o ponto confiável para o certificado autoassinado e anexe a chave SSL RSA:
   
   

   Router(config)#crypto pki trustpoint server-certificate
    enrollment selfsigned
    usage ssl-server
    serial-number
    subject-name CN=10.198.16.144
    revocation-check none
    rsakeypair SSL

3. Quando o ponto confiável estiver configurado, registre o certificado autoassinado com este comando:
   
   

   Router(config)#crypto pki enroll server-certificate
   % Include an IP address in the subject name? [no]: no
   Generate Self Signed Router Certificate? [yes/no]: yes
   
   Router Self Signed Certificate successfully created

4. Ative o pacote correto do AnyConnect no headend. O próprio telefone não baixa este pacote. Mas, sem o pacote, o túnel VPN não é estabelecido. É recomendável usar a versão mais recente do software cliente disponível em Cisco.com. Este exemplo usa a versão 3.1.3103.
   
   Em versões mais antigas do Cisco IOS, este é o comando para ativar o pacote:
   

   Router(config)#webvpn install svc flash:anyconnect-win-3.1.03103-k9.pkg

   
   No entanto, na versão mais recente do Cisco IOS, este é o comando:
   

   Router(config)#crypto vpn anyconnect flash:/webvpn/anyconnect-win-
   3.1.03103-k9.pkg sequence 1

5. Configure o gateway VPN. O Gateway WebVPN é usado para encerrar a conexão SSL do usuário.
   

   webvpn gateway SSL 
   ip address 10.198.16.144 port 443 
    ssl encryption 3des-sha1 aes-sha1
    http-redirect port 80 
    ssl trustpoint server-certificate 
    inservice

   
   

   Note: O endereço IP usado aqui precisa estar na mesma sub-rede da interface à qual os telefones se conectam ou o gateway precisa ser originado diretamente de uma interface no Roteador. O gateway também é usado para definir qual certificado é usado pelo Roteador para validar a si mesmo para o cliente.

6. Defina o pool local que é usado para atribuir endereços IP aos clientes quando eles se conectam:
   

   ip local pool ap_phonevpn 192.168.100.1 192.168.100.254

Configuração com Autenticação AAA

Esta seção descreve os comandos necessários para configurar o servidor AAA ou o banco de dados local para autenticar seus telefones. Se você planeja usar a autenticação somente de certificado para os telefones, vá para a próxima seção.

Configurar o banco de dados do usuário

O banco de dados local do roteador ou um servidor AAA externo pode ser usado para autenticação:

• Para configurar o banco de dados local, insira:
  

  aaa new-model
  aaa authentication login SSL local 
  username phones password 0 phones

• Para configurar um servidor remoto AAA RADIUS para autenticação, insira:
  

  aaa new-model
  aaa authentication login SSL group radius
  radius-server host 192.168.100.200 auth-port 1812 acct-port 1813
  radius-server key cisco 

Configurar o Contexto Virtual e a Política de Grupo

O Virtual Context é usado para definir os atributos que controlam a conexão VPN, como:

• Qual URL usar ao conectar
• Qual pool usar para atribuir endereços de cliente
• Qual método de autenticação usar

Estes comandos são um exemplo de um contexto que usa autenticação AAA para o cliente: 

webvpn context SSL
 aaa authenticate list SSL
 gateway SSL domain SSLPhones
 !
 ssl authenticate verify all
 inservice
 !
 policy group phones
  functions svc-enabled
  svc address-pool "ap_phonevpn" netmask 255.255.255.0
  svc keep-client-installed
 default-group-policy phones

Configuração com o LSC (Locally Significant Certificate) do telefone IP para autenticação do cliente

Esta seção descreve os comandos necessários para configurar a autenticação de cliente baseada em certificado para os telefones. No entanto, para fazer isso, é necessário conhecer os vários tipos de certificados de telefone:

• Certificado instalado pelo fabricante (MIC) - Os MICs estão incluídos em todos os telefones IP 7941, 7961 e modelos mais recentes da Cisco. Os MICs são certificados de chave de 2.048 bits assinados pela Autoridade de Certificação (CA) da Cisco. Para que o CUCM confie no certificado MIC, ele usa os certificados de CA pré-instalados CAP-RTP-001, CAP-RTP-002 e Cisco_Manufacturing_CA em seu armazenamento de certificados confiáveis. Como este certificado é fornecido pelo próprio fabricante, como indicado no nome, não é recomendável usá-lo para autenticação de cliente.
• LSC - O LSC protege a conexão entre o CUCM e o telefone depois que você configura o modo de segurança do dispositivo para autenticação ou criptografia. O LSC possui a chave pública para o telefone IP da Cisco, que é assinada pela chave privada da função de proxy da autoridade de certificação (CAPF) do CUCM. Esse é o método mais seguro (em oposição ao uso de MICs).
  

  Caution: Devido ao aumento do risco à segurança, a Cisco recomenda o uso de MICs somente para instalação de LSC e não para uso contínuo. Os clientes que configuram telefones IP da Cisco para usar MICs para autenticação de Transport Layer Security (TLS), ou para qualquer outra finalidade, fazem isso por sua conta e risco.

Neste exemplo de configuração, o LSC é usado para autenticar os telefones.

Tip: A maneira mais segura de conectar seu telefone é usar a autenticação dupla, que combina certificado e autenticação AAA. Você pode configurar isso se combinar os comandos usados para cada um em um contexto virtual.

Configure o ponto confiável para validar o certificado do cliente

O Roteador deve ter o certificado CAPF instalado para validar o LSC do telefone IP. Para obter esse certificado e instalá-lo no Roteador, siga estas etapas:

1. Vá para a página da Web Administração do sistema operacional (SO) do CUCM. 
2. Escolha Security > Certificate Management.
   

   Note: Esse local pode ser alterado com base na versão do CUCM.

3. Localize o certificado CAPF e faça o download do arquivo .pem. Salve-o como um arquivo .txt
4. Depois que o certificado for extraído, crie um novo ponto confiável no Roteador e autentique o ponto confiável com CAPF, como mostrado aqui. Quando solicitado o certificado de CA codificado na base 64, selecione e cole o texto no arquivo .pem baixado junto com as linhas BEGIN e END.

   Router(config)#crypto pki trustpoint CAPF
    enrollment terminal
    authorization username subjectname commonname
    revocation-check none
   Router(config)#crypto pki authenticate CAPF 
   Router(config)#
   
       
   
    quit

Itens a Observar:

• O método de registro é terminal, pois o certificado precisa ser instalado manualmente no Roteador.
• O comando authorization username é necessário para informar ao Roteador o que usar como nome de usuário quando o cliente fizer a conexão. Nesse caso, ele usa o Nome comum (CN).
• Uma verificação de revogação precisa ser desabilitada porque os certificados do telefone não têm uma Lista de Certificados Revogados (CRL) definida. Portanto, a menos que esteja desabilitada, a conexão falhará e as depurações de Public Key Infrastructure (PKI) mostrarão esta saída:
  

  Jun 17 21:49:46.695: CRYPTO_PKI: (A0076) Starting CRL revocation check
  Jun 17 21:49:46.695: CRYPTO_PKI: Matching CRL not found
  Jun 17 21:49:46.695: CRYPTO_PKI: (A0076) CDP does not exist. Use SCEP to 
  query CRL.
  Jun 17 21:49:46.695: CRYPTO_PKI: pki request queued properly
  Jun 17 21:49:46.695: CRYPTO_PKI: Revocation check is complete, 0
  Jun 17 21:49:46.695: CRYPTO_PKI: Revocation status = 3
  Jun 17 21:49:46.695: CRYPTO_PKI: status = 0: poll CRL
  Jun 17 21:49:46.695: CRYPTO_PKI: Remove session revocation service providers
  CRYPTO_PKI: Bypassing SCEP capabilies request 0
  Jun 17 21:49:46.695: CRYPTO_PKI: status = 0: failed to create GetCRL
  Jun 17 21:49:46.695: CRYPTO_PKI: enrollment url not configured
  Jun 17 21:49:46.695: CRYPTO_PKI: transaction GetCRL completed
  Jun 17 21:49:46.695: CRYPTO_PKI: status = 106: Blocking chain verification 
  callback received status
  Jun 17 21:49:46.695: CRYPTO_PKI: (A0076) Certificate validation failed

Configurar o Contexto Virtual e a Política de Grupo

Essa parte da configuração é semelhante à configuração usada anteriormente, exceto por dois pontos:

• O método de autenticação
• O ponto confiável que o contexto usa para autenticar os telefones

 Os comandos são mostrados aqui:

webvpn context SSL
 gateway SSL domain SSLPhones
 authentication certificate
 ca trustpoint CAPF
 !
 ssl authenticate verify all
 inservice
 !
 policy group phones
 functions svc-enabled
 svc address-pool "ap_phonevpn" netmask 255.255.255.0
 svc keep-client-installed
 default-group-policy phones

Configuração do Call Manager

Esta seção descreve as etapas de configuração do Call Manager.

Exportar o certificado autoassinado ou de identidade do roteador para o CUCM

Para exportar o certificado do Roteador e importá-lo para o Call Manager como um certificado Phone-VPN-Trust, siga estas etapas:

1. Verifique o certificado usado para SSL.
   

   Router#show webvpn gateway SSL
   SSL Trustpoint: server-certificate

2. Exporte o certificado.
   

   Router(config)#crypto pki export server-certificate pem terminal
   The Privacy Enhanced Mail (PEM) encoded identity certificate follows:
   -----BEGIN CERTIFICATE-----
   
   <output removed>
   
   -----END CERTIFICATE-----

3. Copie o texto do terminal e salve-o como um arquivo .pem.
4. Inicie a sessão no Call Manager e escolha Unified OS Administration > Security > Certificate Management > Upload Certificate > Select Phone-VPN-trust para carregar o arquivo de certificado salvo na etapa anterior.

Configure o gateway, o grupo e o perfil de VPN no CUCM

1. Navegue até Cisco Unified CM Administration.
2. Na barra de menus, selecione Advanced Features > VPN > VPN Gateway.
   

   

3. Na janela VPN Gateway Configuration, siga estes passos:
   
   • No campo VPN Gateway Name, insira um nome. Pode ser qualquer nome.
   • No campo Descrição do gateway VPN, insira uma descrição (opcional).
   • No campo VPN Gateway URL, insira o group-URL definido no Roteador.
   • No campo VPN Certificates in this Location (Certificados VPN neste local), escolha o certificado que foi carregado anteriormente para o Call Manager para movê-lo do armazenamento confiável para este local.

   

4. Na barra de menus, selecione Advanced Features > VPN > VPN Group.
   

   

5. No campo All Available VPN Gateways, escolha o VPN Gateway definido anteriormente. Clique na seta para baixo para mover o gateway selecionado para os Gateways VPN selecionados neste campo Grupo VPN.
   

   

6. Na barra de menus, selecione Advanced Features > VPN > VPN Profile.
   

   

7. Para configurar o Perfil VPN, preencha todos os campos marcados com um asterisco (*).
   

   

   
   
   • Habilitar detecção automática de rede: Se habilitado, o telefone VPN faz ping no servidor TFTP. Se nenhuma resposta for recebida, uma conexão VPN será iniciada automaticamente.
   • Habilitar verificação de ID do host: Se habilitado, o telefone VPN compara o Nome de domínio totalmente qualificado (FQDN) do URL do gateway VPN com o CN/Rede de área de armazenamento (SAN) do certificado. O cliente não poderá se conectar se esses itens não corresponderem ou se um certificado curinga com um asterisco (*) for usado.
   • Ativar persistência de senha: Isso permite que o telefone VPN armazene em cache o nome de usuário e a senha para a próxima tentativa de VPN.

Aplicar o grupo e o perfil ao telefone IP com o perfil de telefone comum

Na janela Common Phone Profile Configuration, clique em Apply Config para aplicar a nova configuração de VPN. Você pode usar o perfil de telefone comum padrão ou criar um novo perfil.

Aplicar o perfil telefônico comum ao telefone IP

Se você criou um novo perfil para telefones/usuários específicos, navegue para a janela Configuração do telefone. No campo Common Phone Profile, escolha o perfil Standard Common Phone.

Instalar Locally Significant Certificates (LSC) em telefones IP da Cisco

O guia a seguir pode ser usado para instalar certificados localmente significativos em telefones IP da Cisco.  Esta etapa só é necessária se a autenticação usando o LSC for usada.  A autenticação usando o Certificado Instalado pelo Fabricante (MIC) ou o nome de usuário e a senha não exige a instalação de um LSC.

Instale um LSC em um telefone com o modo de segurança de cluster do CUCM definido como Não seguro.

Registre o telefone para o Call Manager novamente para baixar a nova configuração

 Esta é a etapa final no processo de configuração. 

Verificar

Verificação do roteador

Para verificar as estatísticas da sessão VPN no Roteador, você pode usar estes comandos e verificar as diferenças entre as saídas (destacadas) para o nome de usuário e a autenticação de certificado:

Para autenticação de nome de usuário/senha:

Router#show webvpn session user phones context SSL
Session Type      : Full Tunnel
Client User-Agent : Cisco SVC IPPhone Client v1.0 (1.0)

Username          : phones               Num Connection : 1
Public IP         : 172.16.250.34        VRF Name       : None
Context           : SSL                  Policy Group   : SSLPhones
Last-Used         : 00:00:29             Created        : 15:40:21.503 GMT 
Fri Mar 1 2013
Session Timeout   : Disabled             Idle Timeout   : 2100
DPD GW Timeout    : 300                  DPD CL Timeout : 300
Address Pool      : SSL                  MTU Size       : 1290
Rekey Time        : 3600                 Rekey Method   :
Lease Duration    : 43200
Tunnel IP         : 10.10.10.1           Netmask        : 255.255.255.0
Rx IP Packets     : 106                  Tx IP Packets  : 145
CSTP Started      : 00:11:15             Last-Received  : 00:00:29
CSTP DPD-Req sent : 0                    Virtual Access : 1
Msie-ProxyServer  : None                 Msie-PxyPolicy : Disabled
Msie-Exception    :
Client Ports      : 51534
DTLS Port         : 52768
Router#

Router#show webvpn session context all
WebVPN context name: SSL
Client_Login_Name  Client_IP_Address  No_of_Connections  Created  Last_Used
phones             172.16.250.34              1         00:30:38  00:00:20

Para autenticação de certificado:

Router#show webvpn session user SEP8CB64F578B2C context all
Session Type      : Full Tunnel
Client User-Agent : Cisco SVC IPPhone Client v1.0 (1.0)

Username          : SEP8CB64F578B2C      Num Connection : 1
Public IP         : 172.16.250.34        VRF Name       : None                 
CA Trustpoint  : CAPF
Context           : SSL                  Policy Group   :
Last-Used         : 00:00:08             Created        : 13:09:49.302 GMT 
Sat Mar 2 2013
Session Timeout   : Disabled             Idle Timeout   : 2100
DPD GW Timeout    : 300                  DPD CL Timeout : 300
Address Pool      : SSL                  MTU Size       : 1290
Rekey Time        : 3600                 Rekey Method   :
Lease Duration    : 43200
Tunnel IP         : 10.10.10.2           Netmask        : 255.255.255.0
Rx IP Packets     : 152                  Tx IP Packets  : 156
CSTP Started      : 00:06:44             Last-Received  : 00:00:08
CSTP DPD-Req sent : 0                    Virtual Access : 1
Msie-ProxyServer  : None                 Msie-PxyPolicy : Disabled
Msie-Exception    :
Client Ports      : 50122
DTLS Port         : 52932


Router#show webvpn session context all
WebVPN context name: SSL
Client_Login_Name  Client_IP_Address  No_of_Connections  Created  Last_Used
SEP8CB64F578B2C    172.16.250.34              1         3d04h     00:00:16 

Verificação de CUCM

Confirme se o Telefone IP está registrado no Call Manager com o endereço atribuído pelo Roteador à conexão SSL.

Troubleshooting

Depurações no servidor VPN SSL

Router#show debug

WebVPN Subsystem:
 WebVPN (verbose) debugging is on
 WebVPN HTTP debugging is on
 WebVPN AAA debugging is on
 WebVPN tunnel debugging is on
 WebVPN Tunnel Events debugging is on
 WebVPN Tunnel Errors debugging is on
 Webvpn Tunnel Packets debugging is on


PKI:
 Crypto PKI Msg debugging is on
 Crypto PKI Trans debugging is on
 Crypto PKI Validation Path debugging is on

Depurações do telefone

1. Navegue até Device > Phone no CUCM.
2. Na página de configuração do dispositivo, defina Web Access como Enabled.
3. Clique em Save e em Apply Config.
   

   

4. Em um navegador, insira o endereço IP do telefone e escolha Console Logs no menu à esquerda.
   

   

5. Descarregue todos os arquivos /FS/cache/log*.log. Os arquivos de log do console contêm informações sobre o motivo pelo qual o telefone falha ao se conectar à VPN.

Bugs relacionados

ID de bug Cisco CSCty46387 , IOS SSLVPN: Aprimoramento para que um contexto seja um padrão
ID de bug Cisco CSCty46436 , IOS SSLVPN: Aprimoramento do comportamento de validação do certificado do cliente