如何在CVP VXML服务器的不同接口上启用TLS 1.2
目录
简介
本文档介绍如何配置思科客户语音门户(CVP)呼叫服务器和语音可扩展标记语言(VXML)服务器传输层安全(TLS)支持超文本传输协议(HTTP)。
先决条件
要求
Cisco 建议您了解以下主题：
- CVP VXML服务器
- 思科虚拟语音浏览器(CVVB)
- VXML网关
使用的组件
本文档中的信息基于以下软件版本：
- CVP 11.5(1)
- CVVB 11.5(1)
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。
背景信息
目前，VXML服务器可以有三个具有不同组件的安全接口，如图所示。
VXML服务器的TLS接口
接口1.这是VXML网关、思科虚拟化语音浏览器(CVVB)和VXML服务器之间的超文本传输协议(HTTP)接口。此处VXML服务器用作服务器。
接口2。这是VXML服务器与使用HTTP/简单对象访问协议(SOAP)接口的外部Web服务器交互的典型HTTP接口。此接口定义为自定义元素、WebService元素或SOAP元素的一部分。
接口3。这是使用内置DB元素接口或自定义元素接口的外部数据库(DB)(Microsoft Structured Query Language(MSSQL)Server和ORACLE DB)。
在此方案中，在接口1.中，VXML服务器充当服务器，在接口2.和3.中，VXML服务器充当安全客户端。
问题：如何在CVP VXML服务器的不同接口上启用TLS 1.2
CVP VXML服务器通过不同的接口与各种设备和服务器通信。必须在所有TLS 1.2上启用，才能达到所需的安全级别。
解决方案
在接口1中启用TLS 1.2的步骤
如前所述，在此接口中，CVP VXML服务器充当服务器。此安全实现由Tomcat完成。此配置由Tomcat中的server.xml控制。
典型连接器配置：
<Connector SSLCertificateFile="C:\Cisco\CVP\conf\security\vxml.crt" SSLCertificateKeyFile="C:\Cisco\CVP\conf\security\vxml.key" SSLEnabled="true" acceptCount="1500"
ciphers="TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256"
clientAuth="false" disableUploadTimeout="true" enableLookups="false" executor="tomcatThreadPool" keyAlias="vxml_certificate"
keystoreFile="C:\Cisco\CVP\conf\security\.keystore" keystorePass="3WJ~RH0WjKgyq3CKl$x?7f0?JU*7R3}WW0jE,I*_RC8w2Lf" keystoreType="JCEKS" maxHttpHeaderSize="8192" port="7443"
protocol="org.apache.coyote.http11.Http11NioProtocol" scheme="https" secure="true" sslEnabledProtocols="TLSv1, TLSv1.1, TLSv1.2" sslProtocol="TLS"/>
此示例具有TLS v1.2，因此需要配置的参数(sslEnabledProtocols和证书)具有支持TLS 1.2所需的配置。
使用java keytool.exe 以生成TLS 1.2证书。此工具可在Cisco\CVP\jre\bin\中找到。
在接口2中启用TLS 1.2的步骤
这是最常用的接口。此处，VXML服务器充当客户端，需要打开与外部WebServer的安全通信。
有两种不同的方法来处理此问题。
- 使用自定义代码。
- 使用CVP框架。
本章介绍CVP框架的使用。
从11.6开始，默认启用该功能，对于以前的版本，请检查下表：
如果安装了受此缺陷影响的ES版本：CSCvc39129 VXML服务器作为TLS客户端,则需要应用此手动配置：
步骤1.打开注册表编辑器并导航至HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Apache Software Foundation\Procrun 2.0\VXMLServer\Parameters\Java。
步骤2.打开选项密钥，并在末尾添加 — Dhttps.client.protocol=TLSv1.2。
步骤3.重新启动Cisco CVP VXMLServer服务。
以下是不同JAVA版本中默认协议支持的快速列表。
-Djdk.tls.client.protocols=TLSv1.2.
此配置要求VXML服务器在Java SE开发工具包(JDK)7和JDK6中使用TLS 1.2。
在接口3中启用TLS 1.2的过程
如前所述，在此接口中，CVP VXML服务器充当客户端，而第三方数据库服务器充当服务器。
确保第三方数据库服务器支持TLS 1.2，并在其上启用TLS 1.2。
例如，如果将SQL server 2014与Service Pack(SP)2配合使用，它将支持TLS 1.2，并确认 TLS 1.2协议在SQL Server上的注册表下启用，如下所述：
SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
要在CVP端为接口3启用TLS 1.2，请执行以下操作：
步骤1.打开注册表编辑器并导航至HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Apache Software Foundation\Procrun 2.0\VXMLServer\Parameters\Java。
步骤2.打开选项密钥，并在末尾添加 — Djdk.tls.client.protocols=TLSv1.2。
步骤3.重新启动Cisco CVP VXMLServer服务。
升级TLS 1.2支持的JRE的过程
CVP支持将Java Runtime Environment(JRE)升级到最新版本，以解决漏洞缺陷。
此表显示JAVA版本。
JAVA版本
按照此链接中描述的步骤操作。
升级Tomcat的步骤
支持Tomcat Minor升级。但是，请确保在执行升级之前检查自定义Jar（AXIS、JDBC等）之间的兼容性问题。
有关详细信息，请参阅此处的步骤。
反馈