目錄

簡介

必要條件

需求

採用元件

圖表

配置 — 安全SIP中繼

配置CUC

1.新增SIP證書

2.建立新電話系統或修改預設電話系統

3.新增新埠組

4.編輯伺服器

5.重置埠組

6.新增語音郵件埠

7.下載CUC根證書

配置CUCM

1.為指向CUC的中繼配置SIP中繼安全配置檔案

2.配置SIP配置檔案

3.建立SIP中繼

4.建立路由模式

5.建立語音郵件引導

6.建立語音郵件配置檔案

7.將語音郵件配置檔案分配給DN

8.將CUC根證書上傳為CallManager-trust

配置安全SCCP埠

配置CUC

1.下載CUC根證書

2.建立電話系統/修改現有的電話系統。

3.新增新的SCCP埠組

4.編輯伺服器

5.新增安全SCCP埠

配置CUCM

1.新增埠

2.將CUC根證書上傳為CallManager-trust

3.配置消息等待資訊(MWI)開/關擴展

4.建立語音郵件引導

5.建立語音郵件配置檔案

6.將語音郵件配置檔案分配給DN

7.建立語音郵件搜尋組

驗證

SCCP連線埠驗證

安全SIP中繼驗證

安全RTP呼叫驗證

疑難排解

1.一般故障排除提示

2.要收集的跟蹤

常見問題

案例1:無法建立安全連線（未知CA警報）

案例2:無法從CUCM TFTP下載CTL檔案

案例3:連線埠未註冊

缺陷

簡介

本檔案介紹Cisco Unified Communication Manager(CUCM)與Cisco Unity Connection(CUC)伺服器之間安全連線的配置、驗證和故障排除。

必要條件

需求

思科建議您瞭解CUCM。

有關詳細資訊，請參閱思科統一通訊管理器安全指南。

附註：必須將其設定為混合模式，才能使安全整合正常工作。

必須為Unity Connection 11.5(1)SU3及更高版本啟用加密。

CLI命令「utils cuc encryption <enable/disable>」

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- CUCM版本10.5.2.11900-3。

- CUC版本10.5.2.11900-3。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

圖表

此圖簡要說明了幫助在CUCM和CUC之間建立安全連線的過程：

1.呼叫管理器在用於整合的協定上，通過埠2443精簡型呼叫控制協定(SCCP)或基於5061會話初始協定(SIP)建立與CUC伺服器的安全傳輸層安全(TLS)連線。

2. CUC伺服器從TFTP伺服器下載證書信任清單(CTL)檔案（一次性進程），提取CallManager.pem證書並儲存它。

3. CUCM伺服器提供Callmanager.pem證書，該證書根據上一步獲得的CallManager.pem證書進行驗證。此外，正在根據CUCM中儲存的CUC根證書驗證CUC證書。請注意，根證書必須由管理員上傳到CUCM。

4.如果證書驗證成功，則建立安全的TLS連線。此連線用於交換加密的SCCP或SIP信令。

5.音訊流量可以交換為即時傳輸協定(RTP)或SRTP。

附註：建立TLS通訊時，CUCM和CUC使用TLS相互驗證。如需詳細資訊，請參閱RFC5630。

配置 — 安全SIP中繼

配置CUC

1.新增SIP證書

導覽至CUC Administration > Telephony Integrations > Security > SIP Certificate > Add new

- 顯示名稱：<任何有意義的名稱>

- 使用者名稱：<任意名稱，例如SecureConnection>

注意：主題名稱必須與SIP中繼安全配置檔案中的X.509主題名稱相匹配（本文檔後面的CUCM配置步驟1中進行了配置）。

附註：證書由CUC根證書生成並簽名。

2.建立新電話系統或修改預設電話系統

導覽至Telephony Integration > Phone System。您可以使用已經存在的電話系統或建立一個新系統。

3.新增新埠組

在Phone System Basics頁面的Related Links下拉框中，選擇Add Port Group並選擇Go。在組態視窗中，輸入以下資訊：

- 電話系統：

- 建立源：                           埠組型別SIP

- SIP安全配置檔案：                 5061/TLS

- SIP證書：

- 安全模式：                         已加密

- 安全RTP:                            已檢查

- IPv4地址或主機名：

按儲存。

4.編輯伺服器

導覽至Edit > Servers，然後從CUCM群集中新增TFTP伺服器，如下圖所示。

附註：提供正確的TFTP地址非常重要。CUC伺服器按說明從此TFTP下載CTL檔案。

5.重置埠組

按照系統提示返回Port Group Basics，重置埠組，如下圖所示。

6.新增語音郵件埠

在「埠組基本資訊」頁的「相關連結」下拉框中，選擇Add Ports並選擇Go。在配置視窗中，輸入以下資訊：

- 已啟用:已檢查

- 連線埠數量：

- 電話系統：

- 埠組：

- 伺服器:

- 埠行為：

7.下載CUC根證書

導覽至Telephony Integrations > Security > Root Certificate，按一下右鍵URL以將憑證儲存為名為<filename>.0（檔案副檔名必須是。0而不是.htm）'的檔案，然後按下save，如下圖所示。

配置CUCM

1.為指向CUC的中繼配置SIP中繼安全配置檔案

導航至CUCM Administration > System > Security > SIP Trunk Security Profile > Add new

確保正確填寫以下欄位：

- 裝置安全模式：              已加密

- X.509使用者名稱：                SecureConnection>

- 接受對話之外的內容請參閱：         已檢查

- 接受未經請求的通知：  已檢查

- 接受替換報頭：           已檢查

附註：X.509使用者名稱必須與Cisco Unity Connection伺服器（在CUC配置步驟1中配置）上SIP證書中的Subject Name欄位匹配。

2.配置SIP配置檔案

如果您需要應用任何特定設定，請導航到Device > Device Settings > SIP Profile。否則，您可以使用標準SIP配置檔案。

3.建立SIP中繼

轉至Device > Trunk > Add new。建立將用於與Unity Connection安全整合的SIP中繼，如下圖所示。

在Trunk配置的Device Information部分中，輸入以下資訊：

- 裝置名稱：

- 裝置池：

- 允許的SRTP:           已檢查

附註：確保CallManager組（在裝置池配置中）包含在CUC中配置的所有伺服器(埠組>編輯>伺服器)。

在TRUNK配置的Inbound Calls部分，輸入以下資訊：

- 呼叫搜尋空間：

- 重定向轉接轉接標頭傳送 — 傳入：   已檢查

《外界》 Calls（呼叫）部分，輸入以下資訊：

- 重定向轉接轉接標頭傳送 — 出站：已檢查

在中繼配置的SIP資訊部分，輸入以下資訊：

- 目的地位址:

- SIP中繼安全配置檔案：

- 重新路由呼叫搜尋空間：

- 對話中斷引用呼叫搜尋空間：

- SIP配置檔案：

根據您的要求調整其他設定。

4.建立路由模式

建立指向已配置中繼的路由模式(Call Routing > Route/Hunt > Route Pattern)。 作為路由模式編號輸入的分機可用作語音郵件引導。輸入以下資訊：

- 路由模式：

- 網關/路由清單：

5.建立語音郵件引導

為整合建立語音郵件引導(高級功能>語音郵件>語音郵件引導)。 輸入以下值：

- 語音郵件引導號碼：

- 呼叫搜尋空間：        其中包括包含用作引導的路由模式的分割槽>

6.建立語音郵件配置檔案

建立語音郵件配置檔案以將所有設定連結在一起(「高級功能」>「語音郵件」>「語音郵件配置檔案」)。 輸入以下資訊：

- 語音郵件引導：

- 語音信箱掩碼：

7.將語音郵件配置檔案分配給DN

將語音郵件配置檔案分配給使用安全整合的DN。更改DN設定後不要忘記按一下「Apply Config」按鈕：

導覽至：呼叫Routing > Directory number並更改以下內容：

- 語音郵件配置檔案：  Secure_SIP_Integration

8.將CUC根證書上傳為CallManager-trust

導航到OS Administration > Security > Certificate Management > Upload Certificate/Certificate Chain，然後以CallManager-trust方式上傳所有配置為與CUC伺服器通訊的節點上的CUC根證書。

註意：上傳證書後，需要重新啟動Cisco CallManager服務以使證書生效。

配置安全SCCP埠

配置CUC

1.下載CUC根證書

導航到CUC管理>電話整合>安全>根證書。按一下右鍵URL以將證書另存為名為<filename>.0（副檔名必須是。0而不是.htm）'的檔案，然後按下Save:

2.建立電話系統/修改現有的電話系統。

導航到電話整合>電話系統。您可以使用已經存在的電話系統或建立一個新系統。

3.新增新的SCCP埠組

在Phone System Basics頁面的Related Links下拉框中，選擇Add Port Group並選擇Go。在組態視窗中，輸入以下資訊：

- 電話系統：

- 埠組型別：           SCCP

- 裝置名稱字首*:   CiscoUM1-VI

- MWI On分機：

- MWI關閉分機：

附註：此配置必須與CUCM上的配置匹配。

4.編輯伺服器

導航到Edit > Servers，然後從CUCM群集新增TFTP伺服器。

附註：提供正確的TFTP地址非常重要。CUC伺服器按說明從此TFTP下載CTL檔案。

5.新增安全SCCP埠

在「埠組基本資訊」頁的「相關連結」下拉框中，選擇Add Ports，然後選擇Go。在配置視窗中，輸入以下資訊：

- 已啟用:已檢查

- 連線埠數量：

- 電話系統：

- 埠組：

- 伺服器:

- 埠行為：

- 安全模式：       已加密

配置CUCM

1.新增埠

導航至 CUCM管理>高級功能>語音郵件埠配置>新增新。

照常配置SCCP語音郵件埠。唯一的區別是裝置安全模式下的埠配置需要選擇Encrypted Voice Mail Port選項。

2.將CUC根證書上傳為CallManager-trust

導航到OS Administration > Security > Certificate Management > Upload Certificate/Certificate Chain，然後以CallManager-trust在配置為與CUC伺服器通訊的所有節點上上上傳CUC根證書。

註意：上傳證書後，需要重新啟動Cisco CallManager服務以使證書生效。

3. 配置消息等待資訊(MWI)開/關擴展

導航到CUCM Administration > Advanced Features > Voice Mail Port Configuration，然後配置MWI開/關擴展。MWI編號必須與CUC配置匹配。

4.創建語音郵件引導

為整合建立語音郵件引導(高級功能>語音郵件>語音郵件引導)。 輸入以下值：

- 語音郵件引導號碼：

- 呼叫搜尋空間：        其中包括包含用作引導的路由模式的分割槽>

5.建立語音郵件配置檔案

建立語音郵件配置檔案以將所有設定連結在一起(「高級功能」>「語音郵件」>「語音郵件配置檔案」)。 輸入以下資訊：

- 語音郵件引導：

- 語音信箱掩碼：

6.將語音郵件配置檔案分配給DN

將語音郵件配置檔案分配到打算使用安全整合的DN。更改DN設定後，按一下Apply Config按鈕：

導航到Call Routing > Directory number，然後更改為：

- 語音郵件配置檔案：  Voicemail-profile-8000

7. 建立語音郵件搜尋組

a)新增新的線路組(呼叫路由>路由/尋線>線路組)

b)新增新的語音郵件尋線清單(呼叫路由>路由/尋線>尋線清單)

c)新增新的尋線引導(呼叫路由>路由/尋線>尋線引導)

驗證

SCCP連線埠驗證

導航到CUCM Administration > Advanced Features > Voice Mail > Voice Mail Ports，然後驗證埠註冊。

按電話上的Voice Mail按鍵以呼叫語音郵件。如果使用者的分機未在Unity Connection系統上配置，您應該聽到開場問候語。

安全SIP中繼驗證

按電話上的Voice Mail按鍵以呼叫語音郵件。如果未在Unity Connection系統上配置使用者分機，您應該會聽到開始問候語。

或者，您可以啟用SIP OPTION保持連線以監控SIP中繼狀態。可以在分配給SIP中繼的SIP配置檔案中啟用此選項。啟用此功能後，您可以透過Device > Trunk監控Sip中繼狀態，如下圖所示。

安全RTP呼叫驗證

驗證對Unity Connection的呼叫中是否出現掛鎖圖示。它表示RTP流已加密（裝置安全配置檔案必須安全才能運行），如下圖所示。

疑難排解

1.一般故障排除提示

請按照以下步驟操作，對安全整合進行故障排除：

- 驗證設定.

- 確保所有相關服務都在運行。（CUCM - CallManager、TFTP、CUC — 對話管理器）

- 確保在網路中開啟伺服器間安全通訊所需的埠（TCP埠2443用於SCCP整合，TCP 5061用於SIP整合）。

- 如果所有這些都是正確的，則繼續收集跟蹤。

2.要收集的跟蹤

收集這些跟蹤以排除安全整合故障。

- 從CUCM和CUC捕獲資料包

- CallManager跟蹤

- 思科對話管理器跟蹤

請參閱以下資源以瞭解其他資訊：

如何在CUCM上執行資料包捕獲：

http://www.cisco.com/c/en/us/support/docs/voice-unified-communications/unified-communications-manager-version-50/112040-packet-capture-cucm-00.html

如何在CUC伺服器上啟用跟蹤：

http://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/10x/troubleshooting/guide/10xcuctsgx/10xcuctsg010.html

常見問題

案例1:無法建立安全連線（未知CA警報）

從任一伺服器收集資料包捕獲後，建立TLS會話。

客戶端向伺服器發出警報，通知中含有未知的CA錯誤，原因僅僅是客戶端無法驗證伺服器傳送的證書。

可能發生兩種情況：

1)CUCM傳送警報 未知CA

- 驗證當前CUC根證書是否上載到與CUC伺服器通訊的伺服器上。

- 確保在相應的伺服器上重新啟動CallManager服務。

2)CUC傳送警報Unknown CA

- 驗證CUC伺服器上的Port Group > Edit > Servers 配置中是否正確輸入了TFTP IP地址。

- 驗證是否可從連線伺服器訪問CUCM TFTP伺服器。

- 確保CUCM TFTP上的CTL檔案為當前檔案（將「show ctl」的輸出與OS Admin頁面上顯示的證書進行比較）。 如果沒有運行，請重新運行CTLClient。

- 重新啟動CUC伺服器，或者刪除並重新建立埠組，以便從CUCM TFTP重新下載CTL檔案。

案例2:無法從CUCM TFTP下載CTL檔案

在對話管理器跟蹤中出現此錯誤：

MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.

MiuGeneral,25,Error executing tftp command 'tftp://10.48.47.189:69/CTLFile.tlv' res=68 (file not found on server)

MiuGeneral,25,FAILED Port group 'PhoneSystem-1' attempt set InService(true), error retrieving server certificates.

Arbiter,-1,Created port PhoneSystem-1-001 objectId='7c2e86b8-2d86-4403-840e-16397b3c626b' as ID=1

MiuGeneral,25,Port group object 'b1c966e5-27fb-4eba-a362-56a5fe9c2be7' exists

MiuGeneral,25,FAILED SetInService=true parent port group is out of service:

解決方案：

1.在Port group > Edit > Servers配置中再次檢查TFTP伺服器是否正確。

2.驗證CUCM群集是否處於安全模式。

3.檢驗CUCM TFTP上是否存在CTL檔案。

案例3:連線埠未註冊

在對話管理器跟蹤中出現此錯誤：

MiuSkinny,23,Failed to retrieve Certificate for CCM Server <CUCM IP Address>

MiuSkinny,23,Failed to extract any CCM Certificates - Registration cannot proceed. Starting retry timer -> 5000 msec

MiuGeneral,24,Found local CTL file [/tmp/aaaaaaaa-xxxx-xxxx-xxxx-xxxxxxxxxxxx.tlv]

MiuGeneral,25,CCMCertificateCache::RetrieveServerCertificates() failed to find CCM Server '<CUCM IP Address>' in CTL File

解決方案：

1.這很可能是由於CUCM和CUC上的CTL檔案的md5校驗和不匹配，這是由於

憑證。重新啟動CUC伺服器以刷新CTL檔案。

思科內部資訊

或者，也可以按如下方式從根目錄刪除CTL檔案：

從/tmp/資料夾中刪除CTL檔案並重置埠組。您可以對檔案執行md5總和檢查碼

並在刪除之前進行比較：

CUCM:   [root@vfrscucm1 trust-certs]# md5sum /usr/local/cm/tftp/CTLFile.tlv

e5bf2ab934a42f4d8e6547dfd8cc82e8 /usr/local/cm/tftp/CTLFile.tlv

CUC:      [root@vstscuc1 tmp]# cd /tmp

[root@vstscuc1 tmp]# ls -al *tlv

-rw-rw-r— 1 cucsmgr customervice 6120 2月5日15:29 a31cefe5-9359-4cbc-a0f3-52eb870d976c.tlv

[root@vstscuc1 tmp]# md5sum a31cefe5-9359-4cbc-a0f3-52eb870d976c.tlv

e5bf2ab934a42f4d8e6547dfd8cc82e8 a31cefe5-9359-4cbc-a0f3-52eb870d976c.tlv

此外，您還可以參閱本故障排除指南：

缺陷

CSCum48958 - CUCM 10.0（IP地址長度不正確）

CSCtn87264 — 安全SIP埠的TLS連線失敗

CSCur10758 -無法清除吊銷的證書Unity Connection

CSCur10534 - Unity Connection 10.5 TLS/PKI互操作冗餘CUCM

CSCve47775 -用於更新和檢查CUC上的CUCM CTLFile方法的功能請求