基于TC的协作边缘终端配置示例

简介

本文档介绍通过移动和远程访问解决方案对基于网真编解码器(TC)的终端注册进行配置和故障排除所需的内容。

先决条件

要求

Cisco 建议您了解以下主题：

• 移动和远程访问解决方案
• 视频通信服务器(VCS)证书
• Expressway X8.1.1或更高版本
• Cisco Unified Communication Manager(CUCM)9.1.2或更高版本
• 基于TC的终端
• CE8.x需要加密选项密钥以启用“边缘”作为调配选项

使用的组件

本文档中的信息基于以下软件和硬件版本：

• VCS X8.1.1或更高版本
• CUCM 9.1(2)SU1或更高版本以及IM & Presence 9.1(1)或更高版本
• TC 7.1或更高版本的固件（推荐TC7.2）
• VCS控制和Expressway/Expressway核心和边缘
• CUCM
• TC终端

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

配置

这些配置步骤假设管理员将配置基于TC的终端以进行安全设备注册。安全注册不是要求的，但整体移动和远程访问解决方案指南给人留下这样的印象，因为配置中有屏幕截图显示CUCM上的安全设备配置文件。

步骤1.在CUCM上以FQDN格式创建安全电话配置文件（可选）。

1. 在CUCM中，选择System > Security > Phone Security Profile。
2. 单击新增。
3. 选择基于TC的终端类型并配置以下参数：
4. 名称- Secure-EX90.tbtp.local（需要FQDN格式）
5. 设备安全模式 — 已加密
6. 传输类型 — TLS
7. SIP电话端口 — 5061

步骤2.确保集群安全模式为(1) — 混合（可选）。

1. 在CUCM中，选择系统>企业参数。
2. 向下滚动到Security Parameters > Cluster Security Mode > 1。

   

如果值不是1，则表示尚未保护CUCM。如果出现这种情况，管理员需要查看这两个文档之一以保护CUCM。

CUCM 9.1(2)安全指南

CUCM 10安全指南

步骤3.在CUCM中为基于TC的终端创建配置文件。

1. 在CUCM中，选择Device > Phone。
2. 单击新增。
3. 选择基于TC的终端类型并配置以下参数：
   1. MAC地址 — 来自基于TC的设备的MAC地址
   2. 必填星型字段(*)
   3. 所有者 — 用户
   4. 所有者用户ID — 与设备关联的所有者
   5. 设备安全配置文件 — 以前配置的配置文件(Secure-EX90.tbtp.local)
   6. SIP配置文件 — 标准SIP配置文件或之前创建的任何自定义配置文件

   

   

   

步骤4.将安全配置文件名称添加到Expressway-C/VCS-C证书的SAN（可选）。

1. 在Expressway-C/VCS-C中，导航到维护>安全证书>服务器证书。
2. 点击生成 CSR。
3. 填写证书签名请求(CSR)字段，并确保Unified CM电话安全配置文件名称具有完全限定域名(FQDN)格式中列出的确切电话安全配置文件。例如Secure-EX90.tbtp.local。

   注意：Unified CM电话安全配置文件名称列在Subject Alternate Name(SAN)（主题备用名称[SAN]）字段的后部。

4. 将CSR发送到内部或第三方证书颁发机构(CA)进行签名。
5. 选择Maintenance > Security Certificates > Server Certificate以将证书上传到Expressway-C/VCS-C。

   

步骤5.将UC域添加到Expressway-E/VCS-E证书。

1. 在Expressway-E/VCS-E中，选择Maintenance > Security Certificates > Server Certificate。
2. 点击生成 CSR。
3. 填写CSR字段并确保“Unified CM注册域”包含基于TC的终端将以域名服务器(DNS)或服务名称(SRV)格式向其发出协作边缘（协作边缘）请求的域。
4. 将CSR发送到要签署的内部或第三方CA。
5. 选择Maintenance > Security Certificates > Server Certificate以将证书上传到Expressway-E/VCS-E。

   

步骤6.将适当的受信任CA证书安装到基于TC的终端。

1. 在基于TC的终端中，选择Configuration > Security。
2. 选择CA选项卡，并浏览已签署Expressway-E/VCS-E证书的CA证书。
3. 点击添加证书颁发机构。

   注意：成功添加证书后，您会看到证书在证书列表中列出。

   

   注意：TC 7.2包含预安装的CA列表。如果签署Expressway E证书的CA包含在此列表中，则不需要执行本节中列出的步骤。

   

   注意：预安装的CA页面包含一个方便的“立即配置调配”按钮，该按钮可让您直接进入下一部分步骤2中记录的所需配置。

步骤7.为边缘调配设置基于TC的终端

• 在基于TC的终端中，选择Configuration > Network，并确保在DNS部分下正确填写这些字段：
  域名
  服务器地址
  
  
• 在基于TC的终端中，选择Configuration > Provisioning，并确保正确填写以下字段：
  LoginName — 在CUCM中定义
  模式 — 边缘
  密码 — 在CUCM中定义
  外部管理器
  Address - Expressway-E/VCS-E的主机名
  域 — 存在协作边缘记录的域

验证

使用本部分可确认配置能否正常运行。

基于TC的终端

1. 在Web GUI中，导航到“Home”。 在“SIP Proxy 1”部分查找“Registered”状态。代理地址是您的Expressway-E/VCS-E。

   

2. 在CLI中，输入xstatus //prov。如果您已注册，您应该会看到“Provisioned”调配状态。

   xstatus //prov
   *s Network 1 IPv4 DHCP ProvisioningDomain: ""
   *s Network 1 IPv4 DHCP ProvisioningServer: ""
   *s Provisioning CUCM CAPF LSC: Installed
   *s Provisioning CUCM CAPF Mode: IgnoreAuth
   *s Provisioning CUCM CAPF OperationResult: NotSet
   *s Provisioning CUCM CAPF OperationState: NonPending
   *s Provisioning CUCM CAPF ServerName: ""
   *s Provisioning CUCM CAPF ServerPort: 0
   *s Provisioning CUCM CTL State: Installed
   *s Provisioning CUCM ExtensionMobility Enabled: False
   *s Provisioning CUCM ExtensionMobility LastLoggedInUserId: ""
   *s Provisioning CUCM ExtensionMobility LoggedIn: False
   *s Provisioning CUCM ITL State: Installed
   *s Provisioning CUCM ProvisionSecurity: Signed
   *s Provisioning CUCM TVS Proxy 1 IPv6Address: ""
   *s Provisioning CUCM TVS Proxy 1 Port: 2445
   *s Provisioning CUCM TVS Proxy 1 Priority: 0
   *s Provisioning CUCM TVS Proxy 1 Server: "xx.xx.97.131"
   *s Provisioning CUCM UserId: "pstojano"
   *s Provisioning NextRetry: ""
   *s Provisioning Reason: ""
   *s Provisioning Server: "xx.xx.97.131"
   *s Provisioning Software Current CompletedAt: ""
   *s Provisioning Software Current URL: ""
   *s Provisioning Software Current VersionId: ""
   *s Provisioning Software UpgradeStatus LastChange: "2014-06-30T19:08:40Z"
   *s Provisioning Software UpgradeStatus Message: ""
   *s Provisioning Software UpgradeStatus Phase: None
   *s Provisioning Software UpgradeStatus SecondsUntilUpgrade: 0
   *s Provisioning Software UpgradeStatus SessionId: ""
   *s Provisioning Software UpgradeStatus Status: None
   *s Provisioning Software UpgradeStatus URL: ""
   *s Provisioning Software UpgradeStatus VersionId: ""
   *s Provisioning Status: Provisioned
   ** end

CUCM

在CUCM中，选择Device > Phone。滚动列表或根据您的终端过滤列表。您应该会看到“Registered with %CUCM_IP%”（已向%CUCM_IP%注册）消息。此位置右侧的IP地址应该是代理注册的Expressway-C/VCS-C。

Expressway-C

• 在Expressway-C/VCS-C中，选择Status > Unified Communications > View Provisioning sessions。
• 按基于TC的终端的IP地址过滤。图中显示了一个已调配会话的示例：

  

故障排除

本部分提供的信息可用于对配置进行故障排除。

注册问题可能由多种因素引起，包括DNS、证书问题、配置等。此部分包含一个全面的列表，列出遇到给定问题时通常会看到的内容以及如何补救。如果您遇到已记录内容以外的问题，请随时将其包括在内。

工具

首先，请注意可供您使用的工具。

TC终端

Web GUI

• all.log
• 开始扩展日志记录（包括完整数据包捕获）

CLI

以下命令对于实时故障排除最为有用：

• log ctx HttpClient debug 9
• log ctx PROV debug 9
• log output on < — 显示通过控制台进行日志记录

重新创建问题的有效方法是在Web GUI中将调配模式从“Edge”切换到“Off”，然后再切换回“Edge”。您还可以进入xConfiguration Provisioning Mode:命令。

Expressways

• 诊断日志
• TCPDump

CUCM

• SDI/SDL跟踪

问题 1:协作边缘记录不可见和/或主机名不可解析

如您所见，get_edge_config由于名称解析而失败。

TC终端日志

15716.23 HttpClient   HTTPClientCurl error
 (https://RTP-TBTP-EXPRWY-E.tbtp.local:8443/dGJ0cC5jb20/get_edge_config/):
 'Couldn't resolve host name'

15716.23 PROV    ProvisionRequest failed: 4 (Couldn't resolve host name)
15716.23 PROV I: notify_http_done: Received 0 (Couldn't resolve host name) on request
 https://RTP-TBTP-EXPRWY-E.tbtp.local:8443/dGJ0cC5jb20/get_edge_config/

补救

1. 验证协作边缘记录是否存在，并返回正确的主机名。
2. 验证客户端上配置的DNS服务器信息是否正确。

问题 2:CA不存在于基于TC的终端上的受信任CA列表中

TC终端日志

15975.85 HttpClient     Trying xx.xx.105.108...
15975.85 HttpClient     Adding handle: conn: 0x48390808
15975.85 HttpClient     Adding handle: send: 0
15975.86 HttpClient     Adding handle: recv: 0
15975.86 HttpClient     Curl_addHandleToPipeline: length: 1
15975.86 HttpClient     - Conn 64 (0x48396560) send_pipe: 0, recv_pipe: 0
15975.87 HttpClient     - Conn 65 (0x4835a948) send_pipe: 0, recv_pipe: 0
15975.87 HttpClient     - Conn 67 (0x48390808) send_pipe: 1, recv_pipe: 0
15975.87 HttpClient     Connected to RTP-TBTP-EXPRWY-E.tbtp.local (xx.xx.105.108)
 port 8443 (#67)
15975.87 HttpClient     successfully set certificate verify locations:
15975.87 HttpClient     CAfile: none
  CApath: /config/certs/edge_ca_list
15975.88 HttpClient   Configuring ssl context with special Edge certificate verifier
15975.88 HttpClient     SSLv3, TLS handshake, Client hello (1):
15975.88 HttpClient     SSLv3, TLS handshake, Server hello (2):
15975.89 HttpClient     SSLv3, TLS handshake, CERT (11):
15975.89 HttpClient     SSLv3, TLS alert, Server hello (2):
15975.89 HttpClient     SSL certificate problem: self signed certificate in
 certificate chain
15975.89 HttpClient     Closing connection 67
15975.90 HttpClient     HTTPClientCurl error
 (https://RTP-TBTP-EXPRWY-E.tbtp.local:8443/dGJ0cC5jb20/get_edge_config/):
 'Peer certificate cannot be authenticated with given CA certificates'

15975.90 PROV    ProvisionRequest failed: 4 (Peer certificate cannot be
 authenticated with given CA certificates)
15975.90 PROV I: notify_http_done: Received 0 (Peer certificate cannot be
 authenticated with given CA certificates) on request
 https://RTP-TBTP-EXPRWY-E.tbtp.local:8443/dGJ0cC5jb20/get_edge_config/
15975.90 PROV   EDGEProvisionUser: start retry timer for 15 seconds

补救

1. 验证终端Security > CAs选项卡下是否列出了第三方CA。
2. 如果列出了CA，请验证它是否正确。

问题 3:Expressway-E在SAN中没有列出UC域

TC终端日志

82850.02 CertificateVerification ERROR: [verify_edge_domain_in_san]: Edge TLS
 verification failed: Edge domain 'tbtp.local' and corresponding SRVName
 '_collab-edge._tls.tbtp.local' not found in certificate SAN list
82850.02 HttpClient     SSLv3, TLS alert, Server hello (2):
82850.02 HttpClient     SSL certificate problem: application verification failure
82850.02 HttpClient     Closing connection 113
82850.02 HttpClient     HTTPClientCurl error
(https://RTP-TBTP-EXPRWY-E.tbtp.local:8443/dGJ0cC5jb20/get_edge_config/):
 'Peer certificate cannot be authenticated with given CA certificates'

Expressway-E SAN

X509v3 Subject Alternative Name:
                DNS:RTP-TBTP-EXPRWY-E.tbtp.local, SRV:_collab-edge._tls.tbtppppp.local

补救

1. 重新生成Expressway-E CSR以包括UC域。
2. 在TC终端上，可能未将ExternalManager Domain参数设置为UC Domain是什么。如果是这种情况，您必须匹配它。

问题 4:TC调配配置文件中提供的用户名和/或密码不正确

TC终端日志

83716.67 HttpClient     Server auth using Basic with user 'pstojano'
83716.67 HttpClient     GET /dGJ0cC5jb20/get_edge_config/ HTTP/1.1
Authorization: xxxxxx
Host: RTP-TBTP-EXPRWY-E.tbtp.local:8443
Cookie: JSESSIONIDSSO=34AFA4A6DEE1DDCE8B1D2694082A6D0A
Content-Type: application/x-www-form-urlencoded
Accept: text/xml
User-Agent: Cisco/TC
Accept-Charset: ISO-8859-1,utf-8
83716.89 HttpClient     HTTP/1.1 401 Unauthorized
83716.89 HttpClient     Authentication problem. Ignoring this.
83716.90 HttpClient     WWW-Authenticate: Basic realm="Cisco-Edge"
83716.90 HttpClient     Server CE_C ECS is not blacklisted
83716.90 HttpClient     Server: CE_C ECS
83716.90 HttpClient     Date: Thu, 25 Sep 2014 17:42:51 GMT
83716.90 HttpClient     Age: 0
83716.90 HttpClient     Transfer-Encoding: chunked
83716.91 HttpClient     Connection: keep-alive
83716.91 HttpClient
83716.91 HttpClient     0
83716.91 HttpClient     Connection #116 to host RTP-TBTP-EXPRWY-E.tbtp.local
 left intact
83716.91 HttpClient   HTTPClientCurl received HTTP error 401

83716.91 PROV    ProvisionRequest failed: 5 (HTTP code=401)
83716.91 PROV I: notify_http_done: Received 401 (HTTP code=401) on request
 https://RTP-TBTP-EXPRWY-E.tbtp.local:8443/dGJ0cC5jb20/get_edge_config/

Expressway-C/VCS-C

2014-09-25T13:46:20-04:00 RTP-TBTP-EXPRWY-C edgeconfigprovisioning
 UTCTime="2014-09-25 17:46:20,92" Module="network.http.edgeconfigprovisioning"
 Level="DEBUG" Action="Received"
 Request-url="https://xx.xx.97.131:8443/cucm-uds/user/pstojano/devices" 
HTTPMSG:
|HTTP/1.1 401 Unauthorized
 Expires: Wed, 31 Dec 1969 19:00:00 EST
 Server: 
 Cache-Control: private
 Date: Thu, 25 Sep 2014 17:46:20 GMT
 Content-Type: text/html;charset=utf-8
 WWW-Authenticate: Basic realm="Cisco Web Services Realm"

2014-09-25T13:46:20-04:00 RTP-TBTP-EXPRWY-C UTCTime="2014-09-25 17:46:20,92"
 Module="developer.edgeconfigprovisioning.server" Level="DEBUG"
 CodeLocation="edgeprotocol(1018)" Detail="Failed to authenticate user against server"
 Username="pstojano" Server="('https', 'xx.xx.97.131', 8443)"
 Reason="<twisted.python.failure.Failure <type 'exceptions.Exception'>>
"2014-09-25T13:46:20-04:00 RTP-TBTP-EXPRWY-C edgeconfigprovisioning: 
Level="INFO" Detail="Failed to authenticate user against server" Username="pstojano" 
Server="('https', 'xx.xx.97.131', 8443)" Reason="<twisted.python.failure.Failure
 <type 'exceptions.Exception'>>" UTCTime="2014-09-25 17:46:20,92"

补救

1. 验证在TC终端上的Provisioning页面下输入的用户名/密码是否有效。
2. 根据CUCM数据库验证凭证。
3. 版本10 — 使用自助服务门户
4. 版本9 — 使用CM用户选项

两个门户的URL相同：https://%CUCM%/ucmuser/

如果出现权限不足错误，请确保将这些角色分配给用户：

• Standard CTI Enabled
• 标准CCM最终用户

问题 5:基于TC的终端注册被拒绝

CUCM跟踪

08080021.043 |16:31:15.937 |AppInfo  |SIPStationD(18400) - validTLSConnection:TLS
 InvalidX509NameInCertificate, Rcvd=RTP-TBTP-EXPRWY-C.tbtp.local,
 Expected=SEP00506006EAFE. Will check SAN the next
08080021.044 |16:31:15.937 |AppInfo  |SIPStationD(18400) - validTLSConnection:TLS
 InvalidX509NameInCertificate Error , did not find matching SAN either,
 Rcvd=RTP-TBTP-EXPRWY-C.tbtp.local, Expected=Secure-EX90.tbtp.local
08080021.045 |16:31:15.937 |AppInfo  |ConnectionFailure - Unified CM failed to open
 a TLS connection for the indicated device Device Name:SEP00506006EAFE
 IP Address:xx.xx.97.108 IPV6Address: Device type:584 Reason code:2 App ID:Cisco
 CallManager Cluster ID:StandAloneCluster Node ID:RTP-TBTP-CUCM9  08080021.046
 |16:31:15.938 |AlarmErr |AlarmClass: CallManager, AlarmName: ConnectionFailure,
 AlarmSeverity: Error, AlarmMessage: , AlarmDescription: Unified CM failed to open
 a TLS connection for the indicated device, AlarmParameters:
  DeviceName:SEP00506006EAFE, IPAddress:xx.xx.97.108, IPV6Address:,
 DeviceType:584, Reason:2, AppID:Cisco CallManager, ClusterID:StandAloneCluster,
 NodeID:RTP-TBTP-CUCM9,

TC终端

实际Expressway-C/VCS-C

X509v3 Subject Alternative Name:
DNS:RTP-TBTP-EXPRWY-C.tbtp.local, XMPP:conference-2-StandAloneCluster5ad9a.tbtp.local

在此特定日志示例中，Expressway-C/VCS-C在SAN中不包含电话安全配置文件FQDN。(Secure-EX90.tbtp.local)。 在传输层安全(TLS)握手中，CUCM检查Expressway-C/VCS-C的服务器证书。由于在SAN中找不到，因此它会抛出粗体错误，并报告以FQDN格式预期电话安全配置文件。

补救

1. 验证Expressway-C/VCS-C在其服务器证书的SAN中包含FQDN格式的电话安全配置文件。
2. 如果您使用FQDN格式的安全配置文件，请验证设备是否在CUCM中使用正确的安全配置文件。
3. 这也可能由Cisco Bug ID CSCuq86376引起。如果出现这种情况，请检查Expressway-C/VCS-C SAN的大小和电话安全配置文件在SAN中的位置。

问题 6:基于TC的终端调配失败 — 无UDS服务器

此错误必须出现在诊断 > 故障排除下：

Error: Provisioning Status
Provisioning failed: XML didnt contain UDS server addres

TC终端日志

 向右滚动查看粗体显示的错误

9685.56 PROV    REQUEST_EDGE_CONFIG:
9685.56 PROV    <?xml version='1.0' encoding='UTF-8'?>
9685.56 PROV    <getEdgeConfigResponse version="1.0"><serviceConfig><service><name>_cisco-phone-tftp</name><error>NameError</error></service><service><name>_cuplogin</name><error>NameError</error></service><service><name>_cisco-uds</name><server><priority>1</priority><weight>1</weight><port>8443</port><address>cucm.domain.int</address></server></service><service><name>tftpServer</name><address></address><address></address></service></serviceConfig><edgeConfig><sipEdgeServer><server><address>expe.domain.com</address><tlsPort>5061</tlsPort></server></sipEdgeServer><sipRequest><route>&lt;sip:192.168.2.100:5061;transport=tls;zone-id=3;directed;lr&gt;</route></sipRequest><xmppEdgeServer><server><address>expe.domain.com</address><tlsPort>5222</tlsPort></server></xmppEdgeServer><httpEdgeServer><server><address>expe.domain.com</address><tlsPort>8443</tlsPort></server></httpEdgeServer><turnEdgeServer/>
8443</edgeConfig></getEdgeConfigResponse>
9685.57 PROV ERROR: Edge provisioning failed! url='https://expe.domain.com:8443/ZXUuY2hlZ2cuY29t/get_edge_config/', message='XML didn't contain UDS server address'
9685.57 PROV   EDGEProvisionUser: start retry timer for 15 seconds
9700.57 PROV I: [statusCheck] No active VcsE, reprovisioning!

补救

1.确保服务配置文件和CTI UC服务与最终用户帐户相关联，用于通过MRA服务请求终端调配。

2.导航到CUCM admin > User Management > User Settings > UC Service 并创建指向CUCM IP的CTI UC Service（即MRA_UC-Service）。

3.导航到CUCM admin > User Management > User Settings > Service Profile，然后创建新的配置文件（即MRA_ServiceProfile）。

4.在新服务配置文件中，滚动至底部，在“CTI配置文件”部分中，选择您刚刚创建的新CTI统一通信服务（即MRA_UC服务），然后点击保存。

5.导航到CUCM admin > User Management > End User，找到用于通过MRA服务请求终端调配的用户帐户。

6.在该用户的Service Settings下，确保选中Home Cluster且UC Service Profile反映您创建的新服务配置文件（即MRA_ServiceProfile），然后点击Save。

7.可能需要几分钟才能完成复制。尝试禁用终端上的调配模式，并在几分钟后重新打开该模式，以查看终端现在是否注册。

相关信息

• 移动和远程访问指南
• VCS证书创建指南
• EX90/EX60入门指南
• 技术支持和文档 - Cisco Systems