Configurar e solucionar problemas de integração segura entre CUCM e CUC

Introdução

Este documento descreve a configuração, a verificação e a solução de problemas da conexão segura entre o Cisco Unified Communication Manager (CUCM) e o servidor Cisco Unity Connection (CUC).

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento do CUCM.

Consulte o Guia de Segurança do Cisco Unified Communications Manager para obter mais detalhes. 

Note: Ele deve ser definido no modo misto para fazer com que a integração segura funcione corretamente.

A criptografia deve ser ativada para o Unity Connection 11.5(1) SU3 e posterior.

Comando CLI "utils cuc encryption <enable/disable>"

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• CUCM versão 10.5.2.11900-3.
• CUC versão 10.5.2.11900-3.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Diagrama

Este diagrama explica brevemente o processo que ajuda a estabelecer uma conexão segura entre CUCM e CUC:

1. O Call Manager configura uma conexão segura TLS (Transport Layer Security) para o servidor CUC na porta 2443 Skinny Call Control Protocol (SCCP) ou na porta 5061 Session Initiation Protocol (SIP) com base no protocolo usado para integração.

2. O servidor CUC baixa o arquivo CTL (Certificate Trust List) do servidor TFTP (processo único), extrai o certificado CallManager.pem e o armazena.

3. O servidor CUCM oferece o certificado Callmanager.pem que é verificado em relação ao certificado CallManager.pem obtido na etapa anterior. Além disso, o certificado CUC está sendo verificado em relação a um certificado raiz CUC armazenado no CUCM. Observe que o certificado raiz deve ser carregado no CUCM pelo administrador.

4. Se a verificação dos certificados for bem-sucedida, a conexão TLS segura será estabelecida. Essa conexão é usada para trocar o SCCP criptografado ou a sinalização SIP.

5. O tráfego de áudio pode ser trocado como Real-time Transport Protocol (RTP) ou SRTP.

Note: Quando você estabelece uma comunicação TLS, o CUCM e o CUC usam a autenticação mútua TLS. Consulte RFC5630 para obter mais informações.

Configurar - Tronco SIP Seguro

Configurar CUC

1. Adicionar certificado SIP

Navegue até CUC Administration > Telephony Integrations > Security > SIP Certificate > Add new

• Nome de exibição: <qualquer nome significativo>
• Nome do assunto: <qualquer nome, por exemplo, SecureConnection>

Observação: o nome do assunto deve corresponder ao nome do assunto X.509 no perfil de segurança do tronco SIP (configurado na etapa 1 da configuração do CUCM, mais adiante neste documento).

Note: O certificado é gerado e assinado pelo certificado raiz CUC.

2. Criar um Novo Sistema Telefônico ou Modificar o Padrão

Navegue até Integração de telefonia > Sistema de telefone. Você pode usar o sistema telefônico que já existe ou criar um novo.

3. Adicionar um Novo Grupo de Portas

Na página Opções Básicas do Sistema de Telefone, na caixa suspensa Links Relacionados, selecione Adicionar Grupo de Portas e selecione Ir. Na janela de configuração, digite estas informações:

• Sistema telefônico:                       
• Criar de:                           Tipo de grupo de portas SIP
• Perfil de segurança SIP:                 5061/TLS
• Certificado SIP:                        
• Modo de segurança:                         Criptografado
• RTP seguro:                            Marcado
• Endereço IPv4 ou nome do host:  

Pressione Salvar.

4. Editar Servidores

Navegue para Editar > Servidores e adicione o servidor TFTP do cluster CUCM como mostrado nesta imagem.

Note: É importante fornecer o endereço TFTP correto. O servidor CUC faz o download do arquivo CTL deste TFTP conforme explicado.

5. Redefina o grupo de portas

Volte para Port Group Basics e redefina o grupo de portas conforme solicitado pelo sistema, conforme mostrado nesta imagem.

6. Adicionar Portas de Caixa Postal

Na página Fundamentos do grupo de portas, na caixa suspensa Links relacionados, selecione Adicionar portas e selecione Ir. Na janela de configuração, digite estas informações:

• Habilitado: Marcado
• Número de portas: 
• Sistema telefônico:    
• Grupo de porta:          
• Servidor:                 
• Comportamento da porta:       

7. Fazer Download do Certificado Raiz CUC

Navegue até Telephony Integrations > Security > Root Certificate, clique com o botão direito do mouse no URL para salvar o certificado como um arquivo chamado <filename>.0 (a extensão do arquivo deve ser .0 em vez de .htm)' e clique em save conforme mostrado nesta imagem.

Configurar CUCM

1. Configurar o perfil de segurança do tronco SIP para o tronco em direção ao CUC

Navegue até CUCM Administration > System > Security > SIP Trunk Security Profile > Add new

Verifique se estes campos estão preenchidos corretamente:

• Modo de segurança do dispositivo:              Criptografado
• Nome do assunto X.509:                Conexão segura>
• Aceitar referência fora do diálogo:         verificado
• Aceitar notificação não solicitada:  verificado
• Aceitar substitui cabeçalho:           verificado

Note: O Nome da Entidade X.509 deve corresponder ao campo Nome da Entidade no certificado SIP no servidor do Cisco Unity Connection (configurado na etapa 1 da configuração do CUC).

2. Configurar o Perfil SIP

Navegue até Device > Device Settings > SIP Profile se precisar aplicar configurações específicas. Caso contrário, você poderá usar o Perfil SIP Padrão.

3. Criar tronco SIP

Vá para Device > Trunk > Add new.Crie um tronco SIP que seja usado para integração segura com o Unity Connection, como mostrado nesta imagem.

Na seção Informações do dispositivo da configuração do tronco, digite estas informações:

• Nome de dispositivo:            
• Conjunto de dispositivos:              
• SRTP permitido:           Marcado

Note: Certifique-se de que o grupo CallManager (na configuração do pool de dispositivos) contenha todos os servidores configurados no CUC (Grupo de portas > Editar > Servidores).

Na seção Chamadas de entrada da configuração de tronco, insira estas informações:

• Espaço de pesquisa de chamada:                                            
• Redirecionando a entrega de cabeçalho de desvio - Entrada:   Marcado

Na seção Chamadas de Saída da configuração de tronco, insira estas informações:

• Redirecionando Entrega de Cabeçalho de Desvio - Saída: verificado

Na seção Informações de SIP da configuração de tronco, insira estas informações:

• endereço de destino:                                    
• Perfil de segurança do tronco SIP:                           
• Espaço de Pesquisa de Redirecionamento de Chamada:                
  
• Espaço de Pesquisa de Chamada de Referência Fora do Diálogo: 
• Perfil SIP:                                                    

Ajuste outras configurações de acordo com seus requisitos.

4. Crie um Padrão de Rota

Crie um padrão de rota que aponte para o tronco configurado (Roteamento de chamada > Rota/busca > Padrão de rota). O ramal inserido como um número de padrão de rota pode ser usado como um piloto de correio de voz. Insira esta informação:

• Padrão de rota:                        
• Lista de gateways/rotas:               
  

5. Criar um piloto de correio de voz

Crie um piloto de correio de voz para a integração (Recursos avançados > Correio de voz > Piloto de correio de voz). Insira estes valores:

• Número piloto do correio de voz:   
• Espaço de pesquisa de chamada:        que inclui partições contendo o padrão de rota usado como um piloto>

6. Criar Perfil de Caixa Postal

Crie um perfil de correio de voz para vincular todas as configurações (Recursos avançados > Correio de voz > Perfil de correio de voz). Insira esta informação:

• Piloto de correio de voz:                   
  
• Máscara da caixa de correio de voz:           

7. Atribuir Perfil de Correio de Voz aos DNs

Atribua o perfil de correio de voz aos DNs destinados a usar uma integração segura. Não se esqueça de clicar no botão "Aplicar configuração" após alterar as configurações de DN:

Navegue até: Roteamento de chamadas > Número do diretório e alteração:

• Perfil de correio de voz:  Secure_SIP_Integration
  

8. Carregue o certificado raiz do CUC como CallManager-trust

Navegue para OS Administration > Security > Certificate Management > Upload Certificate/Certificate Chain e carregue o certificado raiz de CUC como CallManager-trust em todos os nós configurados para se comunicar com o servidor CUC.

Observação: o serviço Cisco CallManager precisa ser reiniciado após o upload do certificado para que o certificado entre em vigor.

Configurar portas SCCP seguras

Configurar CUC

1. Faça o download do certificado raiz do CUC

Navegue até CUC Administration > Telephony Integration > Security > Root Certificate. Clique com o botão direito do mouse na URL para salvar o certificado como um arquivo chamado <nome do arquivo>.0 (a extensão do arquivo deve ser .0 em vez de .htm)' e pressione Salvar:

2. Criar Sistema Telefônico / Modificar o que Existe.

Navegue até Integração de telefonia > Sistema de telefone. Você pode usar o sistema telefônico que já existe ou criar um novo.

3. Adicionar um novo grupo de portas SCCP

Na página Phone System Basics, na caixa suspensa Related Links, selecione Add Port Group e selecione Go. Na janela de configuração, digite estas informações:

• Sistema telefônico:           
• Tipo de grupo de portas:           SCCP
• Prefixo do nome do dispositivo*:   CiscoUM1-VI
• Extensão MWI On:      
• Ramal MWI desligado:      

Note: Essa configuração deve corresponder à configuração no CUCM.

4. Editar Servidores

Navegue para Editar > Servidores e adicione o servidor TFTP do cluster CUCM.

Note: É importante fornecer o endereço TFTP correto. O servidor CUC faz o download do arquivo CTL deste TFTP conforme explicado.

5. Adicionar portas SCCP seguras

Na página Fundamentos do grupo de portas, na caixa suspensa Links relacionados, selecione Adicionar portas e selecione Ir. Na janela de configuração, digite estas informações:

• Habilitado: verificado
• Número de portas: 
• Sistema telefônico:    
• Grupo de porta:          
• Servidor:                 
• Comportamento da porta:       
• Modo de segurança:       Criptografado

Configurar CUCM

1. Adicionar Portas

Navegue até Administração do CUCM > Recursos avançados > Configuração de porta de correio de voz > Adicionar novo.

Configure as portas de correio de voz SCCP normalmente. A única diferença está no Modo de segurança do dispositivo na configuração de porta em que a opção Porta de correio de voz criptografado precisa ser selecionada.

2. Carregue o certificado raiz do CUC como CallManager-trust

Navegue para OS Administration > Security > Certificate Management > Upload Certificate/Certificate Chain e carregue o certificado raiz de CUC como CallManager-trust em todos os nós configurados para se comunicar com o servidor CUC.

Observação: o serviço Cisco CallManager precisa ser reiniciado após o upload do certificado para que o certificado entre em vigor.

3. Configurar Extensões Ativadas/Desativadas de Informações de Espera de Mensagem (MWI)

Navegue para CUCM Administration > Advanced Features > Voice Mail Port Configuration e configure as extensões MWI On/Off. Os números MWI devem corresponder à configuração CUC.

4. Criar piloto de correio de voz

Crie um piloto de correio de voz para a integração (Recursos avançados > Correio de voz > Piloto de correio de voz). Insira estes valores:

• Número piloto do correio de voz:   
• Espaço de pesquisa de chamada:        que inclui partições contendo o padrão de rota usado como um piloto>

5. Criar perfil de correio de voz

Crie um perfil de correio de voz para vincular todas as configurações (Recursos avançados > Correio de voz > Perfil de correio de voz). Insira esta informação:

• Piloto de correio de voz:                   
  
• Máscara da caixa de correio de voz:           

6. Atribuir um Perfil de Correio de Voz aos DNs

Atribua o perfil de correio de voz aos DNs que pretendem usar uma integração segura. Clique no botão Apply Config depois que as configurações de DN forem alteradas:

Navegue para Roteamento de chamadas > Número de diretório e altere para:

• Perfil de correio de voz:  Voicemail-profile-8000

7. Criar um grupo de busca de correio de voz

a) Adicionar um novo grupo de linhas (Roteamento de chamadas > Rota/busca > Grupo de linhas)

b) Adicionar uma nova lista de busca de correio de voz (Roteamento de chamadas > Rota/busca > Lista de busca)

c) Adicione um novo piloto de busca (Roteamento de chamada > Rota/busca > Piloto de busca)

Verificar

Verificação de portas SCCP

Navegue até CUCM Administration > Advance Features > Voice Mail > Voice Mail Ports e verifique o registro da porta.

Pressione a tecla Correio de voz no telefone para chamar o correio de voz. Você ouvirá a saudação de abertura se o ramal do usuário não estiver configurado no sistema Unity Connection.

Verificação de Tronco SIP Seguro

Pressione a tecla Correio de voz no telefone para chamar o correio de voz. Você ouvirá a saudação de abertura se o ramal do usuário não estiver configurado no sistema Unity Connection.

Como alternativa, você pode habilitar o keepalive das OPÇÕES SIP para monitorar o status do tronco SIP. Essa opção pode ser ativada no perfil SIP atribuído ao tronco SIP. Uma vez habilitado, você pode monitorar o status do tronco Sip via Device > Trunk como mostrado nesta imagem.

Verificação de chamada RTP segura

Verifique se o ícone de cadeado está presente nas chamadas para o Unity Connection. Isso significa que o fluxo RTP é criptografado (o perfil de segurança do dispositivo deve ser seguro para que funcione) como mostrado nesta imagem.

Troubleshooting

1. Dicas Gerais de Solução de Problemas

Use estas etapas para solucionar problemas da integração segura:

• Verificar a configuração.
  
• Verifique se todos os serviços relacionados estão em execução. (CUCM - CallManager, TFTP, CUC - Conversation Manager)
  
• Certifique-se de que as portas necessárias para comunicação segura entre servidores estejam abertas na rede (porta TCP 2443 para integração SCCP e TCP 5061 para integração SIP).
  
• Se tudo isso estiver correto, continue com a coleta de rastreamentos.

2. Rastreamentos a Serem Coletados

Colete esses rastreamentos para solucionar problemas da integração segura.

• Captura de pacotes do CUCM e CUC
• rastreamentos do CallManager
• rastreamentos do Cisco Conversation Manager

Consulte estes recursos para obter informações adicionais sobre:

Como fazer uma captura de pacote no CUCM:

http://www.cisco.com/c/en/us/support/docs/voice-unified-communications/unified-communications-manager-version-50/112040-packet-capture-cucm-00.html

Como habilitar rastreamentos no servidor CUC:

    

http://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/10x/troubleshooting/guide/10xcuctsgx/10xcuctsg010.html

Problemas comuns

Caso 1: Não é possível estabelecer uma conexão segura (alerta de CA desconhecido)

Após a captura do pacote ser coletada de qualquer um dos servidores, a sessão TLS é estabelecida.

O cliente emitiu um alerta com um erro fatal de CA Desconhecida para o servidor, simplesmente porque o cliente não pôde verificar o certificado enviado pelo servidor.

Há duas possibilidades:

1) O CUCM envia o alerta CA desconhecida

• Verifique se o certificado raiz CUC atual está carregado no servidor que se comunica com o servidor CUC.
• Certifique-se de que o serviço CallManager seja reiniciado no servidor correspondente.

2) O CUC envia o alerta CA desconhecida

• Verifique se o endereço IP TFTP foi inserido corretamente na configuração Port Group > Edit > Servers no servidor CUC.
  
• Verifique se o servidor CUCM TFTP pode ser acessado a partir do servidor do Connection.
• Certifique-se de que o arquivo CTL no CUCM TFTP esteja atual (compare a saída de "show ctl" com os certificados conforme visto na página OS Admin). Execute novamente o CTLClient, caso não esteja.
• Reinicialize o servidor CUC OU exclua e recrie o grupo de portas para baixar novamente o arquivo CTL do CUCM TFTP.

Caso 2: Não é possível baixar o arquivo CTL do CUCM TFTP

Esse erro é visto nos rastreamentos do Conversation Manager:

MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
MiuGeneral,25,Error executing tftp command 'tftp://10.48.47.189:69/CTLFile.tlv' res=68 (file not found on server)
MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.
Arbiter,-1,Created port PhoneSystem-1-001 objectId='7c2e86b8-2d86-4403-840e-16397b3c626b' as ID=1
MiuGeneral,25,Port group object 'b1c966e5-27fb-4eba-a362-56a5fe9c2be7' exists
MiuGeneral,25,FAILED SetInService=true parent port group is out of service: 

Solução:

  1. Verifique novamente se o servidor TFTP está correto na configuração Port group > Edit > Servers.

  2. Verifique se o cluster do CUCM está no modo seguro.

  3. Verifique se o arquivo CTL existe no CUCM TFTP.

Caso 3: As portas não são registradas

Esse erro é visto nos rastreamentos do Conversation Manager:

MiuSkinny,23,Failed to retrieve Certificate for CCM Server <CUCM IP Address>
MiuSkinny,23,Failed to extract any CCM Certificates - Registration cannot proceed. Starting retry timer -> 5000 msec
MiuGeneral,24,Found local CTL file [/tmp/aaaaaaaa-xxxx-xxxx-xxxx-xxxxxxxxxxxx.tlv]
MiuGeneral,25,CCMCertificateCache::RetrieveServerCertificates() failed to find CCM Server '<CUCM IP Address>' in CTL File

Solução:

  1. Isso ocorre provavelmente devido à incompatibilidade na soma de verificação md5 do arquivo CTL no CUCM e no CUC como resultado da regeneração de  

   certificados. Reinicie o servidor CUC para atualizar o arquivo CTL.

Defeitos

CSCum48958 - CUCM 10.0 (comprimento do endereço ip incorreto)

CSCtn87264 - A conexão TLS falha para portas SIP seguras

CSCur10758 - Não é possível limpar certificados revogados do Unity Connection

CSCur10534 - CUCM redundante interoperável Unity Connection 10.5 TLS/PKI

CSCve4775 - Solicitação de recurso para um método para atualizar e revisar o arquivo CTLF do CUCM no CUC

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	02-Jun-2016	Versão inicial