Configurar TSP seguro

Introduction

Este documento descreve a integração do Cisco Unified Communications Manager (CUCM) com o provedor de serviços de telefonia (TSP) seguro.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos: 

• CUCM versão 11.5 e superior
• plug- in TSP

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Cisco Call Manager versão 11.5
• plug- in TSP

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Estes são os componentes do Cisco TSP:

• Implementação de serviço DLL-TAPI do CiscoTSP fornecida pelo CiscoTSP
• CTIQBE sobre TCP/IP - Protocolo da Cisco usado para monitorar e controlar dispositivos e linhas
• CTI Manager Service - Gerencia recursos e conexões CTI com dispositivos. Exposto a aplicativos de terceiros via Cisco TSP e/ou JTAPI 

1. Durante a conexão segura, o CiscoTSP faz uma conexão TFTP para obter o arquivo Certificate Trust List (CTL).
2. O arquivo CTL para um cluster autônomo consiste em certificados de recuperação ITL, gerenciador de chamadas e CAPF (Certificate Authority Proxy Function). Em seguida, o CiscoTSP, com a ID da instância e a string de autenticação fornecidos na configuração do CiscoTSP, faz um handshake CAPF.
3. Se o handshake for bem-sucedido, o CiscoTSP cria o certificado QBE com as informações da instância CAPF do usuário final.

Note: O Cisco TSP não funciona com CA offline.

Configurar

Verificações

• Verifique se você realizou todas as tarefas necessárias para instalar e configurar o Cisco CTL Client. Verifique se o Modo de segurança de cluster na janela Configuração de parâmetros empresariais é 1 (modo misto).
• Para usar o CAPF, você deve ativar o serviço Cisco CAPF no primeiro nó.
• Como a geração de vários certificados ao mesmo tempo pode causar interrupções no processamento de chamadas, a Cisco recomenda que você use o CAPF durante uma janela de manutenção programada.
• Certifique-se de que o primeiro nó está funcional e em execução durante toda a operação do certificado.
• Certifique-se de que o aplicativo CTI/JTAPI/TAPI está funcionando durante toda a operação do certificado.

CUCM 

1. Criar usuário do aplicativo:
   • Verifique se o aplicativo ou os usuários finais existem no grupo Padrão Habilitado para CTI
   • Para adicionar um usuário de aplicativo ou usuários finais ao grupo de usuários do Standard CTI Secure Connection, clique no link Padrão do CTI Secure Connection
   • Para adicionar um usuário de aplicativo ou usuários finais ao grupo de usuários do Material de Chave SRTP CTI Padrão Permitir Recepção de SRTP, clique no link CTI Padrão Permitir Recepção de Material de Chave SRTP, como mostrado na imagem.                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               
2. Crie o perfil CAPF para o usuário do aplicativo conforme mostrado na imagem.                                                                                                                                                                                                                            
3. Selecione o usuário criado na Etapa 1. (Tapi).
4. Forneça qualquer número como ID da instância.
5. Selecione a Operação do certificado na atualização de instalação.

Aplicativo/TSP 

1. Baixe e instale o plug-in TAPI do CUCM (Navegue até Application > Plugin).
2. Adicione os detalhes do usuário do aplicativo conforme configurado no CUCM, conforme mostrado na imagem.                                                                                                                                                                                                                                                                                                                                                                                                                                                                                
3. Insira os detalhes do gerenciador CTI, conforme mostrado na imagem.                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   
4. Digite a string de autorização como CUCM e clique em Buscar certificado pela ^primeira vez que os certificados tiverem que ser baixados, como mostrado na imagem.                                                                                                                                                                                                       

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

• No perfil CAPF do usuário do aplicativo, o LSC (Locally Significant Certificate) deve ser instalado com êxito. O status da operação do certificado não deve estar em operação pendente, como mostrado na imagem.

• Todos os certificados do CUCM são baixados na máquina do Windows. Caminho: C:\ProgramData\Cisco\certificates\ciscotsp001 e conforme mostrado na imagem.

  

• Você também pode verificar se a integração CTI está funcionando corretamente com o uso do discador de telefone interno do windows. Se a integração de CTI for bem-sucedida, você poderá ver o ramal dos telefones controlados pelo usuário, como mostrado na imagem.

Troubleshoot

Esta seção disponibiliza informações para a solução de problemas de configuração.

• No lado do aplicativo (TSP), você precisa definir os rastreamentos como detalhados e o local de rastreamento padrão é C:\Temp, como mostrado na imagem.

                                                                                                                             

• Do lado do CUCM, você precisa destes rastreamentos:

  • Rastreamentos de TVS
  • Rastos TFTP
  • CAPF rastreado

Exemplo de rastreamento do TSP

• Primeiro, o TSP entra em contato com o servidor TFTP para obter o arquivo CTL:

16:31:04.075 |   CSSLHelper::GetCTLFromTFTP CTLFileName = CTLCAPFA6A63C5.tlv

16:31:04.075 |-->TftpClient::TftpClient()

16:31:04.075 |   TftpClient::TftpClient() [] TftpClient instantiated successfully

• O arquivo CTL para um cluster autônomo consiste em ITLrecovery, call manager e certificados CAPF. Em seguida, o CiscoTSP, com a ID da instância e a string de autenticação fornecidos na configuração do CiscoTSP, faz um handshake CAPF. Se o handshake for bem-sucedido, o CiscoTSP cria o certificado QBE com as informações da instância CAPF do usuário final:

16:31:04.151 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/., fileName = .

16:31:04.151 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/.., fileName = ..

16:31:04.151 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/417b2018.0, fileName = 417b2018.0

16:31:04.154 |   CSSLHelper::GetCTLFromTFTP CERT SUBJECTNAME = /C=IN/O=cisco/OU=tac/CN=ITLRECOVERY_cucm11-pub/ST=Karnataka/L=BGL

16:31:04.154 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/f6bd2fd0.0, fileName = f6bd2fd0.0

16:31:04.156 |   CSSLHelper::GetCTLFromTFTP CERT SUBJECTNAME = /C=IN/O=cisco/OU=tac/CN=cucm11-pub/ST=Karnataka/L=BGL

16:31:04.156 |   CSSLHelper::GetCTLFromTFTP fullname = C:\ProgramData\Cisco\certificates\ciscotsp001/fed232f9.0, fileName = fed232f9.0

16:31:04.158 |   CSSLHelper::GetCTLFromTFTP CERT SUBJECTNAME = /C=IN/O=cisco/OU=tac/CN=CAPF-c5d37298/ST=Karnataka/L=BGL

• Handshake Secure Sockets Layer (SSL) com CAPF bem-sucedido:

16:31:04.177 |   CSSLHelper::startSSLConnectThread() SSLConnect thread created: threadHandle=1184 threadId=12504

16:31:04.177 |<--CSSLHelper::startSSLConnectThread()

16:31:04.183 |-->CSSLHelper::SSLConnectThreadEntry()

16:31:04.232 |   CSSLHelper::SSLConnectThreadEntry() Handshake: Finished

 

16:31:04.232 |   CSSLHelper::SSLConnectThreadEntry() SSL connection using AES128-SHA

 

16:31:04.232 |   CSSLHelper::SSLConnectThreadEntry() SSLConnect thread exiting ...

• Certificado de cliente QBE criado com detalhes do usuário do aplicativo:

16:31:05.295 |   CAPFclient::openFile() CAPF client: open file C:\ProgramData\Cisco\certificates\ciscotsp001/QBEClient.cer mode w+b

16:31:05.295 |<--CAPFclient::openFile()

16:31:05.296 |-->CAPFclient::openFile()

16:31:05.299 |   CAPFclient::openFile() CAPF client: open file C:\ProgramData\Cisco\certificates\ciscotsp001/QBEClient.pem mode w+b