Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Solucionar problemas de certificado

Verificar

Informações Relacionadas

Introduction

Este documento descreve a metodologia para solucionar problemas de registro de telefone IP para o Communications Manager Express (CME) via Secure Sockets Layer (SSL) VPN.

Prerequisites

Requirements

A Cisco recomenda que você tenha uma compreensão básica dos certificados de segurança, da ferramenta de captura de pacotes e do Communications Manager Express.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Communications Manager Express versão 8.6

- Telefone IP Cisco 7965 versão 8.5.3

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Solucionar problemas de certificado

Há dois métodos para configurar a VPN SSL entre um telefone IP na Internet e o CME dentro da rede corporativa.

- O CME está por trás de um Cisco Adaptive Security Appliance (ASA) que atua como o headend de VPN. Nesse cenário, o CME e o ASA compartilham o mesmo certificado e o telefone IP negocia a configuração de segurança com o ASA.

- O CME é conectado diretamente à Internet e atua como o headend da VPN. Negocia a configuração de segurança com o telefone IP diretamente.

Em ambos os cenários, estabelecer VPN SSL entre um telefone IP na Internet e o CME consiste em etapas semelhantes:

1. O CME gera ou obtém um certificado de segurança.

2. O CME "envia" o hash do certificado no formato Base64 para o telefone por meio do arquivo de configuração que o telefone faz o download do CME via TFTP.

3. O telefone IP tenta fazer login com o VPN Headend e recebe o certificado pelo protocolo TLS (Transport Layer Security).

4. O telefone IP extrai o hash do certificado e o compara com o hash que ele baixou do CME anteriormente. Se o hash coincidir, o telefone confia no headend da VPN e prossegue com a negociação da VPN.

Verificar

Para verificar se o CME empurrou o hash para o telefone IP, verifique o arquivo de configuração que ele gerou para o telefone seguro. Para simplificar esta etapa, você pode configurar o CME para gerar um arquivo de configuração por telefone e armazená-lo na memória flash:

R009-3945-1(config-telephony)#cnf-file perphone

R009-3945-1(config-telephony)#cnf-file location flash:

Para garantir que a nova configuração seja gerada, é recomendável recriar os arquivos de configuração:

R009-3945-1(config-telephony)#no create cnf-files

CNF files deleted

R009-3945-1(config-telephony)#create cnf-file

Creating CNF files

Depois que o arquivo de configuração correspondente na flash for exibido (para um ephone com vpn-group configurado), você verá isso próximo ao final do conteúdo do arquivo:

<vpnGroup>  <enableHostIDCheck>0</enableHostIDCheck>

<addresses>

<url1>https://10.201.160.201/SSLVPNphone</url1>

</addresses>

<credentials>

<hashAlg>0</hashAlg>

<certHash1>fZ2xQHMBcWj/fSoNs5IkPbA2Pt8=</certHash1>

</credentials>

</vpnGroup>

O valor certHash1 é o hash do certificado. Quando o telefone IP recebe o certificado do VPN Headend durante a configuração de TLS, ele espera que o hash do certificado seja igual ao valor de hash armazenado. Se o telefone IP emitir um erro de "Certificado inválido", pode ser que os valores de hash não coincidam.

Para verificar, siga estas etapas para extrair o valor de hash da captura de pacotes coletada entre o telefone IP e o headend da VPN:

1. Localize o pacote do dispositivo VPN Headend para o telefone IP que contém o certificado. Geralmente, ele está no pacote Hello do servidor TLS.

2. Expanda o conteúdo do pacote e localize o cabeçalho:

SSL > TLS V1 Record Layer > Handshake Protocol: Certificado > Certificados > Certificado.

3. Clique com o botão direito do mouse no cabeçalho Certificado e exporte os valores para um arquivo .CER:

4. Abra o arquivo .CER, vá até a guia Detalhes, escolha Impressão digital e escolha os valores. Os valores são o hash no formato hexadecimal:

5. Em seguida, converta o hash de hex para Base64 usando qualquer ferramenta de conversão on-line Hex para Base64. O valor convertido pode ser comparado ao valor de hash no arquivo de configuração do telefone IP se não corresponder, então significa que o hash recebido pelo telefone IP é de um certificado diferente do usado pelo VPN Headend para SSL.

Informações Relacionadas

- Configurando o cliente VPN SSL para telefones IP SCCP

- Suporte Técnico e Documentação - Cisco Systems

>