セキュアな Unified SRST の設定方法
設定に関する次のセクションでは、セキュアな Cisco Unified SRST ルータと Cisco Unified IP Phone が TLS ハンドシェイク時に確実に相互認証を要求できるようにします。TLS ハンドシェイクは、WAN リンク障害の前後いずれにおいても、電話機が Cisco Unified SRST ルータに登録されるときに行われます。
ここでは、次の手順について説明します。
セキュア通信のための Cisco Unified SRST ルータの準備
次の作業では、セキュア通信を行うために Cisco Unified SRST ルータを準備します。
Cisco IOS 証明書サーバでの認証局サーバの設定
Cisco Unified SRST ルータがセキュア通信を提供するには、ネットワークのデバイス証明書を発行する CA サーバが 1 台必要です。CA サーバは、サードパーティ CA でも、Cisco IOS 証明書サーバから生成されたものでも構いません。
Cisco IOS 証明書サーバは、ネットワークにサードパーティ CA を持たないユーザに対して証明書生成オプションを提供します。Cisco IOS 証明書サーバは、SRST ルータまたは別の Cisco IOS ルータで実行できます。
サードパーティ CA を持っていない場合、CA サーバの有効化および設定手順の詳細については、 Cisco IOS 証明書サーバ のマニュアルを参照してください。次に、設定例を示します。
手順の概要
1. crypto pki server cs-label
2. database level { minimal | names | complete }
3. database url root-url
4. issuer-name DN-string
5. grant auto
6. no shutdown
手順の詳細
|
|
|
手順 1 |
crypto pki server cs-label
Router (config)# crypto pki server srstcaserver |
証明書サーバを有効にし、証明書サーバ コンフィギュレーション モードを開始します。 (注) 手動で RSA キー ペアを生成した場合、cs-label 引数はキー ペアの名前と一致する必要があります。 証明書サーバの詳細については、 Cisco IOS 証明書サーバ のマニュアルを参照してください。 |
手順 2 |
database level { minimal | names | complete }
Router (cs-server)# database level complete |
証明書登録データベースに保管されるデータのタイプを制御します。
- minimal :新しい証明書を、継続して問題なく発行できる程度の情報が保管されます。これがデフォルト値です。
- names :minimal レベルで提供される情報以外に、各証明書のシリアル番号および所有者名を保存します。
- complete :minimal レベルおよび names レベルで提供される情報以外に、発行済みの各証明書がデータベースに書き込まれます。
(注) complete キーワードを指定すると、大量の情報が生成されます。このキーワードを発行する場合、database url コマンドを使用して、データを保管する外部 TFTP サーバも指定する必要があります。 |
手順 3 |
database url root-url
Router (cs-server)# database url nvram |
証明書サーバのすべてのデータベース エントリを書き込む場所を指定します。 crypto pki server コマンドを使用して証明書サーバを作成したら、このコマンドを使用して、発行されたすべての証明書の結合リストを指定します。 root-url 引数は、データベース エントリを書き込む場所を指定します。
- データベース エントリが書き込まれるデフォルトの場所はフラッシュですが、この作業には NVRAM が推奨されます。
|
手順 4 |
issuer-name DN-string
Router (cs-server)# issuer-name CN=srstcaserver |
指定した識別名(DN-string)に CA 発行者名を設定します。デフォルト値は次のとおりです。 issuer-name CN = cs-label. |
手順 5 |
grant auto
Router (cs-server)# grant auto
|
あらゆる要求者に対して証明書が自動的に発行されるようにします。
|
手順 6 |
no shutdown
Router (cs-server)# no shutdown |
Cisco IOS 証明書サーバを有効にします。
- このコマンドは、証明書サーバの設定が完了した後で発行する必要があります。
|
例
次の例は、CA を生成する 1 つの方法を示しています。
Router(config)# crypto pki server srstcaserver
Router(cs-server)# database level complete
Router(cs-server)# database url nvram
Router(cs-server)# issuer-name CN=srstcaserver
Router(cs-server)# grant auto
% This will cause all certificate requests to be automatically granted.
Are you sure you want to do this? [yes/no]: y
Router(cs-server)# no shutdown
% Once you start the server, you can no longer change some of
% the configuration.
Are you sure you want to do this? [yes/no]: y
% Generating 1024 bit RSA keys...[OK]
% Certificate Server enabled.
CA サーバに対するセキュアな Cisco Unified SRST ルータの自動登録と認証
セキュアな Cisco Unified SRST ルータでは、トラストポイントを定義する必要があります。つまり、CA サーバからデバイスの証明書を取得する必要があります。この手順は、証明書の登録と呼ばれます。登録されると、セキュアな Cisco Unified SRST ルータはセキュア SRST ルータとして Cisco Unified Communications Manager に認識されます。
CA サーバにセキュアな Cisco Unified SRST ルータを登録するためのオプションは、自動登録、カット アンド ペースト、および TFTP の 3 つです。CA サーバが Cisco IOS 証明書サーバの場合、自動登録を使用できます。それ以外の場合は、手動の登録が必要です。手動の登録とは、カット アンド ペーストまたは TFTP を指します。
自動登録に対しては、 enrollment url コマンドを使用します。SRST ルータを認証するには、 crypto pki authenticate コマンドを使用します。コマンドの使用手順の詳細については、 証明機関相互運用性コマンドのマニュアルを参照してください。自動登録の例は、 証明書登録拡張 機能で入手できます。“例” sectionに、設定例を示します。
手順の概要
1. crypto pki trustpoint name
2. rsakeypair keypair-label
3. enrollment url url
4. revocation-check method1
5. exit
6. crypto pki authenticate name
7. crypto pki enroll name
手順の詳細
|
|
|
手順 1 |
crypto pki trustpoint name
Router(config)# crypto pki trustpoint srstca
|
ルータが使用する CA を宣言し、CA トラストポイント コンフィギュレーション モードを開始します。
|
手順 2 |
rsakeypair keypair-label
Router(config-trustp)# rsakeypair srstcakey 2048
|
このトラストポイントに対して名前付きの Rivest, Shamir, and Adelman(RSA)キー ペアを指定するには、トラストポイント コンフィギュレーション モードで rsakeypair コマンドを使用します。
- TLS 1.2 バージョンでは、RSA キーの長さは 2048 ビットに設定されています。
|
手順 3 |
enrollment url url
Router(ca-trustpoint)# enrollment url http://10.1.1.22
|
CA の登録パラメータを指定します。
- url url :ルータが認証要求を送信する CA の URL を指定します。
- 登録にシスコ独自の SCEP を使用している場合、url は http:// CA_name という形式にする必要があります。ここで、 CA_name は、Cisco IOS CA のホスト ドメイン ネーム システム(DNS)名または IP アドレスです。
- “Cisco IOS 証明書サーバでの認証局サーバの設定” sectionに記載されている手順を使用した場合、URL は、ステップ 1 で設定した証明書サーバ ルータの IP アドレスです。サードパーティ CA を使用した場合、IP アドレスは外部 CA になります。
|
手順 4 |
revocation-check method1
Router(ca-trustpoint)# revocation-check none |
証明書の失効ステータスをチェックします。 method1 引数は、ルータが証明書の失効ステータスをチェックするために使用する方法です。この作業で使用できる方法は、 none だけです。 none キーワードは、失効チェックが実行されず、証明書が常に承認されることを意味します。
- この作業では、 none キーワードを使用することが必須です。
|
手順 5 |
exit
Router(ca-trustpoint)# exit |
CA トラストポイント コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに戻ります。 |
手順 6 |
crypto pki authenticate name
Router(config)# crypto pki authenticate srstca
|
CA から証明書を取得することにより、CA を認証します。
|
手順 7 |
crypto pki enroll name
Router(config)# crypto pki enroll srstca |
CA から SRST ルータの証明書を取得します。
|
例
次の例では、Cisco Unified SRST ルータを自動登録および認証します。
Router(config)# crypto pki trustpoint srstca
Router(ca-trustpoint)# enrollment url http://10.1.1.22
Router(ca-trustpoint)# revocation-check none
Router(ca-trustpoint)# exit
Router(config)# crypto pki authenticate srstca
Certificate has the following attributes:
Fingerprint MD5: 4C894B7D 71DBA53F 50C65FD7 75DDBFCA
Fingerprint SHA1: 5C3B6B9E EFA40927 9DF6A826 58DA618A BF39F291
% Do you accept this certificate? [yes/no]: y
Trustpoint CA certificate accepted.
Router(config)# crypto pki enroll srstca
%
% Start certificate enrollment..
% Create a challenge password. You will need to verbally provide this
password to the CA Administrator in order to revoke your certificate.
For security reasons your password will not be saved in the configuration.
Please make a note of it.
Password:
Re-enter password:
% The fully-qualified domain name in the certificate will be: router.cisco.com
% The subject name in the certificate will be: router.cisco.com
% Include the router serial number in the subject name? [yes/no]: y
% The serial number in the certificate will be: D0B9E79C
% Include an IP address in the subject name? [no]: n
Request certificate from CA? [yes/no]: y
% Certificate request sent to Certificate Authority
% The certificate request fingerprint will be displayed.
% The 'show crypto pki certificate' command will also show the fingerprint.
Sep 29 00:41:55.427: CRYPTO_PKI: Certificate Request Fingerprint MD5: D154FB75
2524A24D 3D1F5C2B 46A7B9E4
Sep 29 00:41:55.427: CRYPTO_PKI: Certificate Request Fingerprint SHA1: 0573FBB2
98CD1AD0 F37D591A C595252D A17523C1
Sep 29 00:41:57.339: %PKI-6-CERTRET: Certificate received from Certificate Authority
手順の概要
1. crypto pki server cs-label
2. shutdown
3. no grant auto
4. no shutdown
手順の詳細
|
|
|
手順 1 |
crypto pki server cs-label
Router (config)# crypto pki server srstcaserver |
証明書サーバを有効にし、証明書サーバ コンフィギュレーション モードを開始します。 (注) 手動で RSA キー ペアを生成した場合、cs-label 引数はキー ペアの名前と一致する必要があります。 |
手順 2 |
shutdown
Router (cs-server)# shutdown |
Cisco IOS 証明書サーバを無効にします。 |
手順 3 |
no grant auto
Router (cs-server)# no grant auto
|
あらゆる要求者に対する証明書の自動発行を無効にします。
- このコマンドは登録時にのみ使用するので、この作業で削除する必要があります。
|
手順 4 |
no shutdown
Router (cs-server)# no shutdown |
Cisco IOS 証明書サーバを有効にします。
- このコマンドは、証明書サーバの設定が完了した後で発行する必要があります。
|
証明書登録の確認
Cisco IOS 証明書サーバを CA として使用した場合、証明書登録を確認するには show running-config コマンドを使用し、CA サーバのステータスを確認するには show crypto pki server コマンドを使用します。
手順の概要
1. show running-config
2. show crypto pki server
手順の詳細
|
|
|
手順 1 |
show running-config
Router# show running-config . . . ! SRST router device certificate. crypto pki certificate chain srstca certificate 02 308201AD 30820116 A0030201 02020102 300D0609 2A864886 F70D0101 04050030 17311530 13060355 0403130C 73727374 63617365 72766572 301E170D 30343034 31323139 35323233 5A170D30 35303431 32313935 3232335A 30343132 300F0603 55040513 08443042 39453739 43301F06 092A8648 86F70D01 09021612 6A61736F 32363931 2E636973 636F2E63 6F6D305C 300D0609 2A864886 F70D0101 01050003 4B003048 024100D7 0CC354FB 5F7C1AE7 7A25C3F2 056E0485 22896D36 6CA70C19 C98F9BAE AE9D1F9B D4BB7A67 F3251174 193BB1A3 12946123 E5C1CCD7 A23E6155 FA2ED743 3FB8B902 03010001 A330302E 300B0603 551D0F04 04030205 A0301F06 03551D23 04183016 8014F829 CE97AD60 18D05467 FC293963 C2470691 F9BD300D 06092A86 4886F70D 01010405 00038181 007EB48E CAE9E1B3 D1E7A185 D7F0D565 CB84B17B 1151BD78 B3E39763 59EC650E 49371F6D 99CBD267 EB8ADF9D 9E43A5F2 FB2B18A0 34AF6564 11239473 41478AFC A86E6DA1 AC518E0B 8657CEBB ED2BDE8E B586FE67 00C358D4 EFDD8D44 3F423141 C2D331D3 1EE43B6E 6CB29EE7 0B8C2752 C3AF4A66 BD007348 D013000A EA3C206D CF quit certificate ca 01 30820207 30820170 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 17311530 13060355 0403130C 73727374 63617365 72766572 301E170D 30343034 31323139 34353136 5A170D30 37303431 32313934 3531365A 30173115 30130603 55040313 0C737273 74636173 65727665 7230819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281 8100C3AF EE1E4BB1 9922A8DA 2BB9DC8E 5B1BD332 1051C9FE 32A971B3 3C336635 74691954 98E765B1 059E24B6 32154E99 105CA989 9619993F CC72C525 7357EBAC E6335A32 2AAF9391 99325BFD 9B8355EB C10F8963 |
CA サーバ(01)およびデバイス(02)の証明書の作成を確認するには、show running-config コマンドを使用します。この例は、登録された証明書を示します。 |
|
9D8FC222 EE8AC831 71ACD3A7 4E918A8F D5775159 76FBF499 5AD0849D CAA41417 DD866902 21E5DD03 C37D4B28 0FAB0203 010001A3 63306130 0F060355 1D130101 FF040530 030101FF 300E0603 551D0F01 01FF0404 03020186 301D0603 551D0E04 160414F8 29CE97AD 6018D054 67FC2939 63C24706 91F9BD30 1F060355 1D230418 30168014 F829CE97 AD6018D0 5467FC29 3963C247 0691F9BD 300D0609 2A864886 F70D0101 04050003 8181007A F71B25F9 73D74552 25DFD03A D8D1338F 6792C805 47A81019 795B5AAE 035400BB F859DABF 21892B5B E71A8283 08950414 8633A8B2 C98565A6 C09CA641 88661402 ACC424FD 36F23360 ABFF4C55 BB23C66A C80A3A57 5EE85FF8 C1B1A540 E818CE6D 58131726 BB060974 4E1A2F4B E6195522 122457F3 DEDBAAD7 3780136E B112A6 quit |
|
手順 2 |
show crypto pki server
Router# show crypto pki server Certificate Server srstcaserver: Status: enabled Server's configuration is locked (enter "shut" to unlock it) Issuer name: CN=srstcaserver CA cert fingerprint: AC9919F5 CAFE0560 92B3478A CFF5EC00 Granting mode is: auto Last certificate issued serial number: 0x2 CA certificate expiration timer: 13:46:57 PST Dec 1 2007 CRL NextUpdate timer: 14:54:57 PST Jan 19 2005 Current storage dir: nvram Database Level: Complete - all issued certs written as <serialnum>.cer |
起動手順の後に CA サーバのステータスを確認するには、show crypto pki server コマンドを使用します。 |
セキュアな Cisco Unified SRST ルータでのクレデンシャル サービスの有効化
Cisco Unified SRST ルータが独自の証明書を取得したら、Cisco Unified Communications Manager に証明書を提供する必要があります。クレデンシャル サービスを有効にすると、Cisco Unified Communications Manager はセキュアな SRST デバイスの証明書を取得して、Cisco Unified IP Phone のコンフィギュレーション ファイルに保管することができます。
すべての Cisco Unified SRST ルータのクレデンシャル サービスを有効化します。
(注) セキュリティ上のベスト プラクティスは、コントロール プレーン ポリシングを使用してクレデンシャル サービス ポートを保護することです。コントロール プレーン ポリシングは、ゲートウェイを保護し、トラフィックの負荷が大きいときもパケット転送とプロトコルの状態を維持します。コントロール プレーンの詳細については、コントロール プレーン ポリシングのマニュアルを参照してください。また、“コントロール プレーン ポリシング:例” sectionに設定例を示します。
手順の概要
1. credentials
2. ip source-address ip-address [ port port ]
3. trustpoint trustpoint-name
4. exit
手順の詳細
|
|
|
手順 1 |
Router(config)# credentials
|
Cisco Unified SRST ルータの証明書を Cisco Unified Communications Manager に提供し、クレデンシャル コンフィギュレーション モードを開始します。 |
手順 2 |
ip source-address ip-address [ port port ]
Router(config-credentials)# ip source-address 10.1.1.22 port 2445 |
Cisco Unified SRST ルータが、指定した IP アドレスとポートを介して Cisco Unified Communications Manager からメッセージを受信できるようにします。
- ip-address :IP アドレスは既存のルータの IP アドレスです。通常、ルータのイーサネット ポートのアドレスの 1 つです。
- port port :(任意)Cisco Unified Communications Manager からメッセージを受信するためにゲートウェイ ルータが接続されるポート。ポート番号は 2000 ~ 9999 です。デフォルトのポート番号は 2445 です。
|
手順 3 |
trustpoint trustpoint-name
Router(config-credentials)# trustpoint srstca |
Cisco Unified SRST ルータの証明書と関連付けるトラストポイントの名前を指定します。 trustpoint-name 引数はトラストポイント名で、SRST デバイスの証明書に対応します。
|
手順 4 |
exit
Router(config-credentials)# exit |
クレデンシャル コンフィギュレーション モードを終了します。 |
例
Router(config)# credentials
Router(config-credentials)# ip source-address 10.1.1.22 port 2445
Router(config-credentials)# trustpoint srstca
Router(config-credentials)# exit
クレデンシャル設定のトラブルシューティング
次の手順では、クレデンシャル設定を表示するか、Cisco Unified SRST ルータのクレデンシャル設定のデバッグを設定します。
手順の概要
1. show credentials
2. debug credentials
手順の詳細
|
|
|
手順 1 |
show credentials
Router# show credentials Credentials IP: 10.1.1.22 Credentials PORT: 2445 Trustpoint: srstca |
セキュアな Cisco Unified SRST のフォールバック時に使用する Cisco Unified Communications Manager に提供される Cisco Unified SRST ルータのクレデンシャル設定を表示するには、 show credentials コマンドを使用します。 |
手順 2 |
debug credentials
Router# debug credentials Credentials server debugging is enabled Router# Sep 29 01:01:50.903: Credentials service: Start TLS Handshake 1 10.1.1.13 2187 Sep 29 01:01:50.903: Credentials service: TLS Handshake returns OPSSLReadWouldBlockErr Sep 29 01:01:51.903: Credentials service: TLS Handshake returns OPSSLReadWouldBlockErr Sep 29 01:01:52.907: Credentials service: TLS Handshake returns OPSSLReadWouldBlockErr Sep 29 01:01:53.927: Credentials service: TLS Handshake completes. |
Cisco Unified SRST ルータのクレデンシャル設定のデバッグを設定するには、 debug credentials コマンドを使用します。 |
関連コマンド
次のコマンドを使用して、証明書が見つからない(認証しようとする証明書が欠落している)かどうかを表示したり、特定の証明書が照合されたことを表示したりします(したがって、ルータが電話機の認証に使用した証明書がわかります)。
セキュアな SRST ルータへの電話機の証明書ファイル(PEM 形式)のインポート
この作業では、Cisco Unified IP Phone に必要な作業を完了して、セキュア SRST を認証します。
Cisco Unified Communications Manager 5.0 以降のバージョン
Cisco Unified CM 5.0 以降のバージョンを実行しているシステムには、表 8-1 に示されている要件に加えて、4 つの証明書(CAPF、CiscoCA、CiscoManufactureCA、CiscoRootCA2048)が必要です。これらの証明書は、Cisco Unified SRST ルータにコピー アンド ペーストする必要があります。
(注) CiscoRootCA は、CiscoRoot2048CA とも呼ばれます。
前提条件
最後のコンフィギュレーション コマンド( crypto pki authenticate )が次のプロンプトを発行するときに、有効な証明書が必要になります。
Enter the base 64 encoded CA certificate.
End with a blank line or the word "quit" on a line by itself
Cisco Unified CM 5.0 以降のバージョンの場合、次の手順を実行します。
手順 1 Cisco Unified Communications Manager にログインします。
手順 2 [セキュリティ(Security)] > [証明書の管理(Certificate Management)] > [証明書/CTL のダウンロード(Download Certificate/CTL)] に進みます。
手順 3 [信頼証明書のダウンロード(Download Trust Cert)] を選択し、[次へ(Next)] をクリックします。
手順 4 [CAPF 信頼(CAPF-trust)] を選択し、[次へ(Next)] をクリックします。
手順 5 [CiscoCA] を選択し、[次へ(Next)] をクリックします。
手順 6 [続行(Continue)] をクリックします。
手順 7 ファイル名をクリックします。
手順 8 「-----BEGIN CERTIFICATE-----」と「-----END CERTIFICATE-----」の間に表示されるすべての内容を、後で取得できる場所にコピーします。
手順 9 CiscoManufactureCA、CiscoRootCA2048、および CAPF に対して、ステップ 5 ~ 8 を繰り返します。
Cisco Unified Communications Manager 6.0 以降のバージョン
Cisco Unified Communications Operating System Administration から、[CAPF 信頼(CAPF-trust)] の下にリストされているすべての証明書(Cisco_Manufacturing_CA、Cisco_Root_CA_2048、CAP-RTP-001、CAP-RTP-002、CAPF、CAPF- xxx など)をダウンロードします。また、[CAPF 信頼(CAPF-trust)] の下にはなく [CallManager 信頼(CallManager-trust)] の下にリストされているすべての CAPF- xxx 証明書もダウンロードします。
証明書のダウンロード手順については、適切なバージョンの『 Cisco Unified Communications Operating System Administration Guide 』の「Security」の章を参照してください。
Cisco Unified SRST ルータでのインポートされた証明書の認証
Cisco Unified SRST ルータで証明書を認証するには、次の手順を実行します。
制約事項
仮想 Web サーバを介した Cisco Unified Communications Manager からの HTTP 自動登録は、サポートされていません。
手順の概要
1. crypto pki trustpoint name
2. revocation-check none
3. enrollment terminal
4. exit
5. crypto pki authenticate name
手順の詳細
|
|
|
手順 1 |
crypto pki trustpoint name
Router (config)# crypto pki trustpoint CAPF |
ルータが使用する CA を宣言し、CA トラストポイント コンフィギュレーション モードを開始します。
- name :各証明書の名前を個別に入力します(たとえば、CAPF、CiscoCA、CiscoManufactureCA、CiscoRootCA2048)。
|
手順 2 |
revocation-check none
Router(ca-trustpoint)# revocation-check none |
選択した方法を使用して、証明書の失効ステータスをチェックします。
- この作業では、 none キーワードを使用することが必須です。 none キーワードは、失効チェックが実行されず、証明書が常に承認されることを意味します。
|
手順 3 |
enrollment terminal
Router(ca-trustpoint)# enrollment terminal
|
カット アンド ペーストによる手動での証明書登録を指定します。 |
手順 4 |
exit
Router(ca-trustpoint)# exit |
CA トラストポイント コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに戻ります。 |
手順 5 |
crypto pki authenticate name
Router(config)# crypto pki authenticate CAPF
|
CA から証明書を取得することにより、CA を認証します。
- 手順 1 において crypto pki trustpoint コマンドで使用したのと同じ name 引数を入力します。
|
Cisco Unified Communications Manager 4.X.X 以前のバージョンの例
次の例は、Cisco Unified SRST ルータにインポートされた 3 つの証明書(Cisco 7970、7960、PEM)を示しています。
Router(config)# crypto pki trustpoint 7970
Router(ca-trustpoint)# revocation-check none
Router(ca-trustpoint)# enrollment terminal
Router(ca-trustpoint)# exit
Router(config)# crypto pki authenticate 7970
Enter the base 64 encoded CA certificate.
End with a blank line or the word "quit" on a line by itself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quit
Certificate has the following attributes:
Fingerprint MD5: F7E150EA 5E6E3AC5 615FC696 66415C9F
Fingerprint SHA1: 1BE2B503 DC72EE28 0C0F6B18 798236D8 D3B18BE6
% Do you accept this certificate? [yes/no]: y
Trustpoint CA certificate accepted.
% Certificate successfully imported
Router(config)# crypto pki trustpoint 7960
Router(ca-trustpoint)# revocation-check none
Router(ca-trustpoint)# enrollment terminal
Router(ca-trustpoint)# exit
Router(config)# crypto pki authenticate 7960
Enter the base 64 encoded CA certificate.
End with a blank line or the word "quit" on a line by itself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quit
Certificate has the following attributes:
Fingerprint MD5: 4B9636DF 0F3BA6B7 5F54BE72 24762DBC
Fingerprint SHA1: A9917775 F86BB37A 5C130ED2 3E528BB8 286E8C2D
% Do you accept this certificate? [yes/no]: y
Trustpoint CA certificate accepted.
% Certificate successfully imported
Router(config)# crypto pki trustpoint PEM
Router(ca-trustpoint)# revocation-check none
Router(ca-trustpoint)# enrollment terminal
Router(ca-trustpoint)# exit
Router(config)# crypto pki authenticate PEM
Enter the base 64 encoded CA certificate.
End with a blank line or the word "quit" on a line by itself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quit
Certificate has the following attributes:
Fingerprint MD5: 233C8E33 8632EA4E 76D79FEB FFB061C6
Fingerprint SHA1: F7B40B94 5831D2AB 447AB8F2 25990732 227631BE
% Do you accept this certificate? [yes/no]: y
Trustpoint CA certificate accepted.
% Certificate successfully imported
Use the show crypto pki trustpoint status command to show that enrollment has succeeded and that five CA certificates were granted. The five certificates include the three certificates just entered and the CA server certificate and the SRST router certificate.
Router# show crypto pki trustpoint status
Trustpoint 7970:
Issuing CA certificate configured:
Subject Name:
cn=CAP-RTP-002,o=Cisco Systems
Fingerprint MD5: F7E150EA 5E6E3AC5 615FC696 66415C9F
Fingerprint SHA1: 1BE2B503 DC72EE28 0C0F6B18 798236D8 D3B18BE6
State:
Keys generated............. Yes (General Purpose)
Issuing CA authenticated....... Yes
Certificate request(s)..... None
Trustpoint 7960:
Issuing CA certificate configured:
Subject Name:
cn=CAPF-508A3754,o=Cisco Systems Inc,c=US
Fingerprint MD5: 6BAE18C2 0BCE391E DAE2FE4C 5810F576
Fingerprint SHA1: B7735A2E 3A5C274F C311D7F1 3BE89942 355102DE
State:
Keys generated............. Yes (General Purpose)
Issuing CA authenticated....... Yes
Certificate request(s)..... None
Trustpoint PEM:
Issuing CA certificate configured:
Subject Name:
cn=CAP-RTP-001,o=Cisco Systems
Fingerprint MD5: 233C8E33 8632EA4E 76D79FEB FFB061C6
Fingerprint SHA1: F7B40B94 5831D2AB 447AB8F2 25990732 227631BE
State:
Keys generated............. Yes (General Purpose)
Issuing CA authenticated....... Yes
Certificate request(s)..... None
Trustpoint srstcaserver:
Issuing CA certificate configured:
Subject Name:
cn=srstcaserver
Fingerprint MD5: 6AF5B084 79C93F2B 76CC8FE6 8781AF5E
Fingerprint SHA1: 47D30503 38FF1524 711448B4 9763FAF6 3A8E7DCF
State:
Keys generated............. Yes (General Purpose)
Issuing CA authenticated....... Yes
Certificate request(s)..... None
Trustpoint srstca:
Issuing CA certificate configured:
Subject Name:
cn=srstcaserver
Fingerprint MD5: 6AF5B084 79C93F2B 76CC8FE6 8781AF5E
Fingerprint SHA1: 47D30503 38FF1524 711448B4 9763FAF6 3A8E7DCF
Router General Purpose certificate configured:
Subject Name:
serialNumber=F3246544+hostname=c2611XM-sSRST.cisco.com
Fingerprint: 35471295 1C907EC1 45B347BC 7A9C4B86
State:
Keys generated............. Yes (General Purpose)
Issuing CA authenticated....... Yes
Certificate request(s)..... Yes
Cisco Unified Communications Manager 5.0 以降のバージョンの例
次の例は、Cisco Unified Communications Manager 5.0 を実行するシステムに必要な 4 つの証明書(CAPF、CiscoCA、CiscoManufactureCA、および CiscoRootCA2048)の設定を示します。
Router(config)# crypto pki trustpoint CAPF
Router(ca-trustpoint)# revocation-check none
Router(ca-trustpoint)# enrollment terminal
Router(ca-trustpoint)# exit
Router(config)# crypto pki authenticate CAPF
Enter the base 64 encoded CA certificate.
End with a blank line or the word "quit" on a line by itself MIICKjCCAZOgAwIBAgIC8wEwDQYJKoZIhvcNAQEFBQAwQTELMAkGA1UEBhMCVVMx GjAYBgNVBAoTEUNpc2NvIFN5c3RlbXMgSW5jMRYwFAYDVQQDEw1DQVBGLTU4RUFE MkQyMB4XDTA2MDMwMTIxMjc1MloXDTIxMDIyNTIxMjc1MVowQTELMAkGA1UEBhMC VVMxGjAYBgNVBAoTEUNpc2NvIFN5c3RlbXMgSW5jMRYwFAYDVQQDEw1DQVBGLTU4 RUFEMkQyMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC99KgZT94qhozw4bOB f8Z0tYwT2l4L++mC64O3s3AshDi8xe8Y8sN/f/ZKRRhNIxBlK4SWafXnHKJBqKZn WtSgkRjJ3Dh0XtqcWYt8VS2sC69g8sX09lskKl3m+TpWsr2T/mDXv6CceaKN+mch gcrrnNo8kamOOIG8OsQc4L6XzQIDAQABozEwLzAOBgNVHQ8BAf8EBAMCAoQwHQYD
quit
Certificate has the following attributes:
Fingerprint MD5: 1951DJ4E 76D79FEB FFB061C6 233C8E33
Fingerprint SHA1: 222891BE Z7B89B94 447AB8F2 5831D2AB 25990732
% Do you accept this certificate? [yes/no]: y
Trustpoint CA certificate accepted.
% Certificate successfully imported
Router(config)# crypto pki trustpoint CiscoCA
Router(ca-trustpoint)# revocation-check none
Router(ca-trustpoint)# enrollment terminal
Router(ca-trustpoint)# exit
Router(config)# crypto pki authenticate CiscoCA
Enter the base 64 encoded CA certificate.
End with a blank line or the word "quit" on a line by itself
MIIDqDCCApCgAwIBAgIQdhL5YBU9b59OQiAgMrcjVjANBgkqhkiG9w0BAQUFADAu MRYwFAYDVQQKEw1DaXNjbyBTeXN0ZW1zMRQwEgYDVQQDEwtDQVAtUlRQLTAwMTAe Vd54qlpc/hQDfWlbrIFkCcYhHws7vwnPsLuy1Kw2L2cP0UXxYghSsx8H4vGqdPFQ NnYy7aKJ43SvDFt4zn37n8jrvlRuz0x3mdbcBEdHbA825Yo7a8sk12tshMJ/YdMm vny0pmDNZXmeHjqEgVO3UFUn6GVCO+K1y1dUU1qpYJNYtqLkqj7wgccGjsHdHr3a U+bw1uLgSGsQnxMWeMaWo8+6hMxwlANPweufgZMaywIBA6OBwzCBwDALBgNVHQ8E c6Ea7fm53nQRlcSPmUVLjDBzKYDNbnEjizptaIC5fgB/S9S6C1q0YpTZFn5tjUjy WXzeYSXPrcxb0UH7IQJ1ogpONAAUKLoPaZU7tVDSH3hD4+VjmLyysaLUhksGFrrN phzZrsVVilK17qpqCPllKLGAS4fSbkruq3r/6S/SpXS6/gAoljBKixP7ZW2PxgCU 1aU9cURLPO95NDOFN3jBk3Sips7cVidcogowPQ==
quit
Certificate has the following attributes:
Fingerprint MD5: 21956CBR 4B9706DF 0F3BA6B7 7P54AZ72
Fingerprint SHA1: A9917775 F86BB37A 7H130ED2 3E528BB8 286E8C2D
% Do you accept this certificate? [yes/no]: y
Trustpoint CA certificate accepted.
% Certificate successfully imported
Router(config)# crypto pki trustpoint CiscoManufactureCA
Router(ca-trustpoint)# revocation-check none
Router(ca-trustpoint)# enrollment terminal
Router(ca-trustpoint)# exit
Router(config)# crypto pki authenticate CiscoManufactureCA
Enter the base 64 encoded CA certificate.
End with a blank line or the word "quit" on a line by itself
MIIE2TCCA8GgAwIBAgIKamlnswAAAAAAAzANBgkqhkiG9w0BAQUFADA1MRYwFAYD D/g2qgfEMkHFp68dGf/2c5k5WnNnYhM0DR9elXBSZBcG7FNcXNtq6jUAQQIBA6OC AecwggHjMBIGA1UdEwEB/wQIMAYBAf8CAQAwHQYDVR0OBBYEFNDFIiarT0Zg7K4F kcfcWtGwR/dsMAsGA1UdDwQEAwIBhjAQBgkrBgEEAYI3FQEEAwIBADAZBgkrBgEE AYI3FAIEDB4KAFMAdQBiAEMAQTAfBgNVHSMEGDAWgBQn88gVHm6aAgkWrSugiWBf 2nsvqjBDBgNVHR8EPDA6MDigNqA0hjJodHRwOi8vd3d3LmNpc2NvLmNvbS9zZWN1 cml0eS9wa2kvY3JsL2NyY2EyMDQ4LmNybDBQBggrBgEFBQcBAQREMEIwQAYIKwYB BQUHMAKGNGh0dHA6Ly93d3cuY2lzY28uY29tL3NlY3VyaXR5L3BraS9jZXJ0cy9j cmNhMjA0OC5jZXIwXAYDVR0gBFUwUzBRBgorBgEEAQkVAQIAMEMwQQYIKwYBBQUH I+ii6itvaSN6go4cTAnPpE+rhC836WVg0ZrG2PML9d7QJwBcbx2RvdFOWFEdyeP3 OOfTC9Fovo4ipUsG4eakqjN9GnW6JvNwxmEApcN5JlunGdGTjaubEBEpH6GC/f08 S25l3JNFBemvM2tnIwcGhiLa69yHz1khQhrpz3B1iOAkPV19TpY4gJfVb/Cbcdi6 YBmlsGGGrd1lZva5J6LuL2GbuqEwYf2+rDUU+bgtlwavw+9tzD0865XpgdOKXrbO +nmka9eiV2TEP0zJ2+iC7AFm1BCIolblPFft6QKoSJFjB6thJksaE5/k3Npf
quit
Certificate has the following attributes:
Fingerprint MD5: 0F3BA6B7 4B9636DF 5F54BE72 24762SBR
Fingerprint SHA1: L92BB37A S9919925 5C130ED2 3E528UP8 286E8C2D
% Do you accept this certificate? [yes/no]: y
Trustpoint CA certificate accepted.
% Certificate successfully imported
Router(config)# crypto pki trustpoint CiscoRootCA2048
Router(ca-trustpoint)# revocation-check none
Router(ca-trustpoint)# enrollment terminal
Router(ca-trustpoint)# exit
Router(config)# crypto pki authenticate CiscoRootCA2048
Enter the base 64 encoded CA certificate.
End with a blank line or the word "quit" on a line by itself
MIIDQzCCAiugAwIBAgIQX/h7KCtU3I1CoxW1aMmt/zANBgkqhkiG9w0BAQUFADA1 MRYwFAYDVQQKEw1DaXNjbyBTeXN0ZW1zMRswGQYDVQQDExJDaXNjbyBSb290IENB IDIwNDgwHhcNMDQwNTE0MjAxNzEyWhcNMjkwNTE0MjAyNTQyWjA1MRYwFAYDVQQK Ew1DaXNjbyBTeXN0ZW1zMRswGQYDVQQDExJDaXNjbyBSb290IENBIDIwNDgwggEg MA0GCSqGSIb3DQEBAQUAA4IBDQAwggEIAoIBAQCwmrmrp68Kd6ficba0ZmKUeIhH FR5umgIJFq0roIlgX9p7L6owEAYJKwYBBAGCNxUBBAMCAQAwDQYJKoZIhvcNAQEF BQADggEBAJ2dhISjQal8dwy3U8pORFBi71R803UXHOjgxkhLtv5MOhmBVrBW7hmW Yqpao2TB9k5UM8Z3/sUcuuVdJcr18JOagxEu5sv4dEX+5wW4q+ffy0vhN4TauYuX cB7w4ovXsNgOnbFp1iqRe6lJT37mjpXYgyc81WhJDtSd9i7rp77rMKSsH0T8lasz Bvt9YAretIpjsJyp8qS5UwGH0GikJ3+r/+n6yUA4iGe0OcaEb1fJU9u6ju7AQ7L4 CYNu/2bPPu8Xs1gYJQk0XuPL1hS27PKSb3TkL4Eq1ZKR4OCXPDJoBYVL0fdX4lId kxpUnwVwwEpxYB5DC2Ae/qPOgRnhCzU=
quit
Certificate has the following attributes:
Fingerprint MD5: 2G3LZ6B7 2R1995ER 6KE4WE72 3E528BB8
Fingerprint SHA1: M9912245 5C130ED2 24762JBC 3E528VF8 956E8S5H
% Do you accept this certificate? [yes/no]: y
Trustpoint CA certificate accepted.
% Certificate successfully imported
セキュアな Cisco Unified SRST ルータへの Cisco Unified Communications Manager の設定
次の作業を Cisco Unified Communications Manager で実行します。
Cisco Unified Communications Manager への SRST リファレンスの追加
SRST リファレンスを Cisco Unified Communications Manager に追加する手順は、次のとおりです。
この手順に従う前に、Cisco Unified SRST ルータでクレデンシャル サービスが実行されていることを確認してください。Cisco Unified Communications Manager は、デバイスの証明書のために Cisco Unified SRST ルータに接続します。クレデンシャル サービスを有効にするには、“セキュアな Cisco Unified SRST ルータでのクレデンシャル サービスの有効化” sectionを参照してください。
Cisco Unified Communications Manager への Cisco Unified SRST の追加の詳細については、実行している Cisco Unified Communications Manager バージョンの「Survivable Remote Site Telephony Configuration」のセクションを参照してください。すべての Cisco Unified CM アドミニストレーション ガイドは、 http://www.cisco.com/en/US/products/sw/voicesw/ps556/prod_maintenance_guides_list.html にあります。
手順 1 Cisco Unified Communications Manager のメニュー バーで、 [CCMAdmin] > [システム(System)] > [SRST] を選択します。
手順 2 [新規 SRST リファレンスの追加(Add New SRST Reference)] をクリックします。
手順 3 適切な設定値を入力します。図 8-3 に、[SRST リファレンスの設定(SRST Reference Configuration)] ウィンドウで使用可能なフィールドを示します。
a. SRST ゲートウェイの名前、IP アドレス、およびポートを入力します。
b. SRST ゲートウェイがセキュアかどうかを尋ねるボックスをオンにします。
c. 証明書プロバイダー(クレデンシャル サービス)のポート番号を入力します。クレデンシャル サービスは、デフォルトのポート 2445 で実行されます。
図 8-3 [SRST リファレンスの設定(SRST Reference Configuration)] ウィンドウ
手順 4 新しい SRST リファレンスを追加するには、[挿入(Insert)] をクリックします。「ステータス:挿入が完了しました(Status: Insert completed)」メッセージが表示されます。
手順 5 さらに SRST リファレンスを追加するには、ステップ 2 ~ 4 を繰り返します。
Cisco Unified Communications Manager での SRST フォールバックの設定
デバイス プールを SRST に割り当てることにより、Cisco Unified Communications Manager に SRST フォールバックを設定する手順は、次のとおりです。
デバイス プールの Cisco Unified Communications Manager への追加の詳細については、実行している Cisco Unified Communications Manager バージョンの『 Cisco Unified Communications Manager Administration Guide 』の「Device Pool Configuration」のセクションを参照してください。すべての Cisco Unified CM アドミニストレーション ガイドは、 http://www.cisco.com/en/US/products/sw/voicesw/ps556/prod_maintenance_guides_list.html にあります。
手順 1 Cisco Unified Communications Manager のメニュー バーで、 [CCMAdmin] > [システム(System)] > [デバイス プール(Device Pool)] を選択します。
手順 2 デバイス プールを追加するには、次のいずれかの方法を使用します。
- 追加するデバイス プールと同様の設定を持つデバイス プールがすでに存在する場合は、設定を表示するために既存のデバイス プールを選択し、[コピー(Copy)] をクリックして、必要に応じて設定を変更してください。手順 4 に進みます。
- 既存のものをコピーせずにデバイス プールを追加するには、手順 3 に進みます。
手順 3 ウィンドウの右上隅で、[新規 デバイス プールの追加(Add New Device Pool)] リンクをクリックします。[デバイス プール設定(Device Pool Configuration)] ウィンドウが表示されます(図 8-4 を参照)。
図 8-4 [デバイス プール設定(Device Pool Configuration)] ウィンドウ
手順 4 SRST リファレンスを入力します。
手順 5 [更新(Update)] をクリックして、デバイス プール情報をデータベースに保存します。
Cisco Unified Communications Manager での CAPF の設定
認証局プロキシ機能(CAPF)プロセスでは、Cisco Unified Communications Manager などのサポート対象デバイスが、Cisco Unified IP Phone に LSC 証明書を要求できます。CAPF ユーティリティは、キー ペアおよび CAPF に特有の証明書を生成し、クラスタ内のすべての Cisco Unified Communications Manager サーバにこの証明書をコピーします。
Cisco Unified Communications Manager の CAPF の設定の詳細については、『 Cisco IP Phone Authentication and Encryption for Cisco Communications Manager 』を参照してください。
セキュアな Cisco Unified SRST ルータでの SRST モードの有効化
Cisco Unified IP Phone 機能をサポートするようにルータ上のセキュア SRST を設定するには、グローバル コンフィギュレーション モードを開始して、次のコマンドを使用します。
手順の概要
1. call-manager-fallback
2. secondary-dialtone digit-string
3. transfer-system { blind | full-blind | full-consult | local-consult }
4. ip source-address ip-address [ port port ]
5. max-ephones max-phones
6. max-dn max-directory-numbers
7. transfer-pattern transfer-pattern
8. exit
手順の詳細
|
|
|
手順 1 |
call-manager-fallback
Router(config)# call-manager-fallback |
call-manager-fallback コンフィギュレーション モードを開始します。 |
手順 2 |
secondary-dialtone digit-string
Router(config-cm-fallback)# secondary-dialtone 9 |
digit-string がダイヤルされたときに、2 次ダイヤル トーンをアクティブにします。 |
手順 3 |
transfer-system { blind | full-blind | full-consult | local-consult }
Router(config-cm-fallback)# transfer-system full-consult |
Cisco Unified SRST ルータが提供するすべての回線のコール転送方法を定義します。
- blind:シスコ独自の方法を使用して、単一電話回線で、打診を行わずにコールを転送します。
- full-blind:H.450.2 標準方式を使用して、打診を行わずにコールを転送します。
- full-consult:使用可能な 2 番目の電話回線を使用し、打診を行ってコールを転送します。2 番目の回線が使用できない場合、コールは full-blind にフォールバックします。
- local-consult:使用可能な 2 番目の電話回線を使用し、ローカルで打診を行ってコールを転送します。打診先または転送先がローカル以外の場合、コールは blind にフォールバックします。
|
手順 4 |
ip source-address ip-address [ port port ]
Router(config-cm-fallback)# ip source-address 10.1.1.22 port 2000 |
指定した IP アドレスを使用してルータが Cisco IP Phone からメッセージを受信できるようにし、厳密な IP アドレスの検証を提供します。デフォルトのポート番号は 2000 です。 |
手順 5 |
max-ephones max-phones
Router(config-cm-fallback)# max-ephones 15
|
ルータがサポートできる Cisco IP Phone の最大数を設定します。最大数は、プラットフォームによって異なります。デフォルトは 0 です。詳細については、“プラットフォームとメモリのサポート” sectionを参照してください。 |
手順 6 |
max-dn max-directory-numbers
Router(config-cm-fallback)# max-dn 30 |
ルータがサポートできる電話番号(DN)または仮想音声ポートの最大数を設定します。
|
手順 7 |
transfer-pattern
transfer-pattern
Router(config-cm-fallback)# transfer-pattern..... |
Cisco Unified IP Phone による電話コールを指定の電話番号パターンに転送できるようにします。
- transfer-pattern :許可されるコール転送の数字列。ワイルドカードを使用できます。
|
手順 8 |
exit
Router(config-cm-fallback)# exit |
call-manager-fallback コンフィギュレーション モードを終了します。 |
例
次の例では、ルータで SRST モードを有効にします。
Router(config)# call-manager-fallback
Router(config-cm-fallback)# secondary-dialtone 9
Router(config-cm-fallback)# transfer-system full-consult
Router(config-cm-fallback)# ip source-address 10.1.1.22 port 2000
Router(config-cm-fallback)# max-ephones 15
Router(config-cm-fallback)# max-dn 30
Router(config-cm-fallback)# transfer-pattern.....
Router(config-cm-fallback)# exit
セキュア SCCP SRST を設定するための前提条件
- Cisco Unified Communications Manager 4.1(2) 以降がインストールされ、セキュリティ モード(認証および暗号化モード)をサポートしている必要があります。
セキュア SCCP SRST の設定に関する制約事項
セキュア SCCP SRST モードではサポートされない
- Cisco Unified Communications Manager 4.1(2) 以前のバージョン
- セキュアな MOH(MOH はアクティブのままであるが非セキュアに戻る)
- セキュアなトランスコーディングまたは電話会議
- セキュアな H.323 または SIP トランク
- SIP 電話の相互運用性
- Hot Standby Router Protocol (HSRP)
セキュア SCCP SRST モードでサポートされるコール
セキュア SCCP SRST モードでは音声コールのみがサポートされます。具体的には、次の音声コールがサポートされます。
- 基本的なコール
- コール転送(コンサルタティブ、ブラインド)
- コール自動転送(話中、無応答時、不在転送)
- 共有回線(IP Phone)
- 保留と復帰
電話機のステータスおよび登録の確認
Cisco Unified IP Phone のステータスおよび登録について、確認またはトラブルシューティングを行うには、特権 EXEC モードを開始して、次の手順を実行します。
(注) 次の手順を実行した後に、セキュア SCCP SRST の電話機のステータスおよび登録を確認できます。
手順の概要
1. show ephone
2. show ephone offhook
3. show voice call status
4. debug ephone register
5. debug ephone state
手順の詳細
|
|
|
手順 1 |
show ephone
Router# show ephone ephone-1 Mac:1000.1111.0002 TCP socket:[5] activeLine:0 REGISTERED in SCCP ver 5 + Authentication + Encryption with TLS connection mediaActive:0 offhook:0 ringing:0 reset:0 reset_sent:0 paging 0 debug:0 IP:10.1.1.40 32626 7970 keepalive 390 max_line 8 button 1: dn 14 number 2002 CM Fallback CH1 IDLE ephone-2 Mac:1000.1111.000B TCP socket:[12] activeLine:0 REGISTERED in SCCP ver 5 + Authentication + Encryption with TLS connection mediaActive:0 offhook:0 ringing:0 reset:0 reset_sent:0 paging 0 debug:0 IP:10.1.1.40 32718 7970 keepalive 390 max_line 8 button 1: dn 21 number 2011 CM Fallback CH1 IDLE ephone-3 Mac:1000.1111.000A TCP socket:[16] activeLine:0 REGISTERED in SCCP ver 5 + Authentication + Encryption with TLS connection mediaActive:0 offhook:0 ringing:0 reset:0 reset_sent:0 paging 0 debug:0 IP:10.1.1.40 32862 7970 keepalive 390 max_line 8 button 1: dn 2 number 2010 CM Fallback CH1 IDLE |
登録された Cisco Unified IP Phone およびその機能を表示するには、このコマンドを使用します。 show ephone コマンドは、セキュア SCCP SRST に対して使用されると、認証と暗号化のステータスも表示します。この例では、TLS 接続で認証と暗号化のステータスがアクティブになっています。 |
手順 2 |
show ephone offhook
Router# show ephone offhook ephone-1 Mac:1000.1111.0002 TCP socket:[5] activeLine:1 REGISTERED in SCCP ver 5 + Authentication + Encryption with TLS connection mediaActive:1 offhook:1 ringing:0 reset:0 reset_sent:0 paging 0 :0 IP:10.1.1.40 32626 7970 keepalive 391 max_line 8 button 1: dn 14 number 2002 CM Fallback CH1 CONNECTED Active Secure Call on DN 14 chan 1 :2002 10.1.1.40 29632 to 10.1.1.40 25616 via 10.1.1.40 G711Ulaw64k 160 bytes no vad Tx Pkts 295 bytes 49468 Rx Pkts 277 bytes 46531 Lost 0 Jitter 0 Latency 0 callingDn 22 calledDn -1 ephone-2 Mac:1000.1111.000B TCP socket:[12] activeLine:1 REGISTERED in SCCP ver 5 + Authentication + Encryption with TLS connection mediaActive:1 offhook:1 ringing:0 reset:0 reset_sent:0 paging 0 debug:0 IP:10.1.1.40 32718 7970 keepalive 391 max_line 8 |
Cisco IP Phone のステータスおよびオフフック状態のすべての電話機の品質を表示するには、このコマンドを使用します。この例では、TLS 接続で認証と暗号化のステータスがアクティブで、さらにアクティブなセキュア コールが存在します。 |
|
button 1: dn 21 number 2011 CM Fallback CH1 CONNECTED Active Secure Call on DN 21 chan 1 :2011 10.1.1.40 16382 to 10.1.1.40 16382 via 10.1.1.40 G711Ulaw64k 160 bytes no vad Tx Pkts 295 bytes 49468 Rx Pkts 277 bytes 46531 Lost 0 Jitter 0 Latency 0 callingDn -1 calledDn 11 |
|
手順 3 |
show voice call status
CallID CID ccVdb Port DSP/Ch Called # Codec Dial-peers 0x1164 2BFE 0x8619A460 50/0/35.0 2014 g711ulaw 20035/20027 0x1165 2BFE 0x86144B78 50/0/27.0 *2014 g711ulaw 20027/20035 0x1166 2C01 0x861043D8 50/0/21.0 2012 g711ulaw 20021/20011 0x1168 2C01 0x860984C4 50/0/11.0 *2012 g711ulaw 20011/20021 0x1167 2C04 0x8610EC7C 50/0/22.0 2002 g711ulaw 20022/20014 0x1169 2C04 0x860B8894 50/0/14.0 *2002 g711ulaw 20014/20022 0x116A 2C07 0x860A374C 50/0/12.0 2010 g711ulaw 20012/20002 0x116B 2C07 0x86039700 50/0/2.0 *2010 g711ulaw 20002/20012 0x116C 2C0A 0x86119520 50/0/23.0 2034 g711ulaw 20023/20020 0x116D 2C0A 0x860F9150 50/0/20.0 *2034 g711ulaw 20020/20023 0x116E 2C0D 0x8608DC20 50/0/10.0 2022 g711ulaw 20010/20008 0x116F 2C0D 0x86078AD8 50/0/8.0 *2022 g711ulaw 20008/20010 0x1170 2C10 0x861398F0 50/0/26.0 2016 g711ulaw 20026/20028 0x1171 2C10 0x8614F41C 50/0/28.0 *2016 g711ulaw 20028/20026 0x1172 2C13 0x86159CC0 50/0/29.0 2018 g711ulaw 20029/20004 0x1173 2C13 0x8604E848 50/0/4.0 *2018 g711ulaw 20004/20029 0x1174 2C16 0x8612F04C 50/0/25.0 2026 g711ulaw 20025/20030 0x1175 2C16 0x86164F48 50/0/30.0 *2026 g711ulaw 20030/20025 0x1176 2C19 0x860D8C64 50/0/17.0 2032 g711ulaw 20017/20018 0x1177 2C19 0x860E4008 50/0/18.0 *2032 g711ulaw 20018/20017 0x1178 2C1C 0x860CE3C0 50/0/16.0 2004 g711ulaw 20016/20019 0x1179 2C1C 0x860EE8AC 50/0/19.0 *2004 g711ulaw 20019/20016 0x117A 2C1F 0x86043FA4 50/0/3.0 2008 g711ulaw 20003/20024 0x117B 2C1F 0x861247A8 50/0/24.0 *2008 g711ulaw 20024/20003 0x117C 2C22 0x8608337C 50/0/9.0 2020 g711ulaw 20009/20031 0x117D 2C22 0x8616F7EC 50/0/31.0 *2020 g711ulaw 20031/20009 0x117E 2C25 0x86063990 50/0/6.0 2006 g711ulaw 20006/20001 |
Cisco Unified SRST ルータのすべての音声ポートのコール ステータスを表示するには、このコマンドを使用します。このコマンドは、2 つの POTS ダイヤル ピア間のコールには適用できません。 |
|
0x117F 2C25 0x85C6BE6C 50/0/1.0 *2006 g711ulaw 20001/20006 0x1180 2C28 0x860ADFF0 50/0/13.0 2029 g711ulaw 20013/20034 0x1181 2C28 0x8618FBBC 50/0/34.0 *2029 g711ulaw 20034/20013 0x1182 2C2B 0x860C3B1C 50/0/15.0 2036 g711ulaw 20015/20005 0x1183 2C2B 0x860590EC 50/0/5.0 *2036 g711ulaw 20005/20015 0x1184 2C2E 0x8617A090 50/0/32.0 2024 g711ulaw 20032/20007 0x1185 2C2E 0x8606E234 50/0/7.0 *2024 g711ulaw 20007/20032 0x1186 2C31 0x861A56E8 50/0/36.0 2030 g711ulaw 20036/20033 0x1187 2C31 0x86185318 50/0/33.0 *2030 g711ulaw 20033/20036 18 active calls found |
|
手順 4 |
debug ephone register
Router# debug ephone register EPHONE registration debugging is enabled *Jun 29 09:16:02.180: New Skinny socket accepted [2] (0 active) *Jun 29 09:16:02.180: sin_family 2, sin_port 51617, in_addr 10.5.43.177 *Jun 29 09:16:02.180: skinny_socket_process: secure skinny sessions = 1 *Jun 29 09:16:02.180: add_skinny_secure_socket: pid =155, new_sock=0, ip address = 10.5.43.177 *Jun 29 09:16:02.180: skinny_secure_handshake: pid =155, sock=0, args->pid=155, ip address = 10.5.43.177 *Jun 29 09:16:02.184: Start TLS Handshake 0 10.5.43.177 51617 *Jun 29 09:16:02.184: TLS Handshake retcode OPSSLReadWouldBlockErr *Jun 29 09:16:03.188: TLS Handshake retcode OPSSLReadWouldBlockErr *Jun 29 09:16:04.188: TLS Handshake retcode OPSSLReadWouldBlockErr *Jun 29 09:16:05.188: TLS Handshake retcode OPSSLReadWouldBlockErr *Jun 29 09:16:06.188: TLS Handshake retcode OPSSLReadWouldBlockErr *Jun 29 09:16:07.188: TLS Handshake retcode OPSSLReadWouldBlockErr *Jun 29 09:16:08.188: CRYPTO_PKI_OPSSL - Verifying 1 Certs *Jun 29 09:16:08.212: TLS Handshake completes |
Cisco IP Phone の登録プロセスをデバッグするには、このコマンドを使用します。 |
手順 5 |
debug ephone state
Router# debug ephone state *Jan 11 18:33:09.231:%SYS-5-CONFIG_I:Configured from console by console *Jan 11 18:33:11.747:ephone-2[2]:OFFHOOK *Jan 11 18:33:11.747:ephone-2[2]:---SkinnySyncPhoneDnOverlays is onhook *Jan 11 18:33:11.747:ephone-2[2]:SIEZE on activeLine 0 activeChan 1 *Jan 11 18:33:11.747:ephone-2[2]:SetCallState line 1 DN 2(-1) chan 1 ref 6 TsOffHook *Jan 11 18:33:11.747:ephone-2[2]:Check Plar Number *Jan 11 18:33:11.751:DN 2 chan 1 Voice_Mode *Jan 11 18:33:11.751:dn_tone_control DN=2 chan 1 tonetype=33:DtInsideDialTone onoff=1 pid=232 *Jan 11 18:33:15.031:dn_tone_control DN=2 chan 1 tonetype=0:DtSilence onoff=0 pid=232 *Jan 11 18:33:16.039:ephone-2[2]:Skinny-to-Skinny call DN 2 chan 1 to DN 4 chan 1 instance 1 *Jan 11 18:33:16.039:ephone-2[2]:SetCallState line 1 DN 2(-1) chan 1 ref 6 TsProceed *Jan 11 18:33:16.039:ephone-2[2]:SetCallState line 1 DN 2(-1) chan 1 ref 6 TsRingOut *Jan 11 18:33:16.039:ephone-2[2]::callingNumber 6000 *Jan 11 18:33:16.039:ephone-2[2]::callingParty 6000 *Jan 11 18:33:16.039:ephone-2[2]:Call Info DN 2 line 1 ref 6 call state 1 called 6001 calling 6000 origcalled *Jan 11 18:33:16.039:ephone-2[2]:Call Info DN 2 line 1 ref 6 called 6001 calling 6000 origcalled 6001 calltype 2 *Jan 11 18:33:16.039:ephone-2[2]:Call Info for chan 1 *Jan 11 18:33:16.039:ephone-2[2]:Original Called Name 6001 *Jan 11 18:33:16.039:ephone-2[2]:6000 calling *Jan 11 18:33:16.039:ephone-2[2]:6001 *Jan 11 18:33:16.047:ephone-3[3]:SetCallState line 1 DN 4(4) chan 1 ref 7 TsRingIn *Jan 11 18:33:16.047:ephone-3[3]::callingNumber 6000 *Jan 11 18:33:16.047:ephone-3[3]::callingParty 6000 *Jan 11 18:33:16.047:ephone-3[3]:Call Info DN 4 line 1 ref 7 call state 7 called 6001 calling 6000 origcalled *Jan 11 18:33:16.047:ephone-3[3]:Call Info DN 4 line 1 ref 7 called 6001 calling 6000 origcalled 6001 calltype 1 *Jan 11 18:33:16.047:ephone-3[3]:Call Info for chan 1 *Jan 11 18:33:16.047:ephone-3[3]:Original Called Name 6001 *Jan 11 18:33:16.047:ephone-3[3]:6000 calling *Jan 11 18:33:16.047:ephone-3[3]:6001 *Jan 11 18:33:16.047:ephone-3[3]:Ringer Inside Ring On |
2 つのセキュアな Cisco Unified IP Phone 間のコール設定を見直すには、このコマンドを使用します。debug ephone state トレースは、2 つの電話機間の暗号化および複合化キーの生成と配布を示します。 |
|
*Jan 11 18:33:16.051:dn_tone_control DN=2 chan 1 tonetype=36:DtAlertingTone onoff=1 pid=232 *Jan 11 18:33:20.831:ephone-3[3]:OFFHOOK *Jan 11 18:33:20.831:ephone-3[3]:---SkinnySyncPhoneDnOverlays is onhook *Jan 11 18:33:20.831:ephone-3[3]:Ringer Off *Jan 11 18:33:20.831:ephone-3[3]:ANSWER call *Jan 11 18:33:20.831:ephone-3[3]:SetCallState line 1 DN 4(-1) chan 1 ref 7 TsOffHook *Jan 11 18:33:20.831:ephone-3[3][SEP000DEDAB3EBF]:Answer Incoming call from ephone-(2) DN 2 chan 1 *Jan 11 18:33:20.831:ephone-3[3]:SetCallState line 1 DN 4(-1) chan 1 ref 7 TsConnected *Jan 11 18:33:20.831:defer_start for DN 2 chan 1 at CONNECTED *Jan 11 18:33:20.831:ephone-2[2]:SetCallState line 1 DN 2(-1) chan 1 ref 6 TsConnected *Jan 11 18:33:20.835:ephone-3[3]::callingNumber 6000 *Jan 11 18:33:20.835:ephone-3[3]::callingParty 6000 *Jan 11 18:33:20.835:ephone-3[3]:Call Info DN 4 line 1 ref 7 call state 4 called 6001 calling 6000 origcalled *Jan 11 18:33:20.835:ephone-3[3]:Call Info DN 4 line 1 ref 7 called 6001 calling 6000 origcalled 6001 calltype 1 *Jan 11 18:33:20.835:ephone-3[3]:Call Info for chan 1 *Jan 11 18:33:20.835:ephone-3[3]:Original Called Name 6001 *Jan 11 18:33:20.835:ephone-3[3]:6000 calling *Jan 11 18:33:20.835:ephone-3[3]:6001 *Jan 11 18:33:20.835:ephone-2[2]:Security Key Generation ! Ephone 2 generates a security key. *Jan 11 18:33:20.835:ephone-2[2]:OpenReceive DN 2 chan 1 codec 4:G711Ulaw64k duration 20 ms bytes 160 *Jan 11 18:33:20.835:ephone-2[2]:Send Decryption Key ! Ephone 2 sends the decryption key. *Jan 11 18:33:20.835:ephone-3[3]:Security Key Generation !Ephone 3 generates its security key. *Jan 11 18:33:20.835:ephone-3[3]:OpenReceive DN 4 chan 1 codec 4:G711Ulaw64k duration 20 ms bytes 160 *Jan 11 18:33:20.835:ephone-3[3]:Send Decryption Key ! Ephone 3 sends its decryption key. *Jan 11 18:33:21.087:dn_tone_control DN=2 chan 1 tonetype=0:DtSilence onoff=0 pid=232 *Jan 11 18:33:21.087:DN 4 chan 1 Voice_Mode *Jan 11 18:33:21.091:DN 2 chan 1 End Voice_Mode *Jan 11 18:33:21.091:DN 2 chan 1 Voice_Mode *Jan 11 18:33:21.095:ephone-2[2]:OpenReceiveChannelAck:IP 1.1.1.8, port=25552, dn_index=2, dn=2, chan=1 |
|
|
*Jan 11 18:33:21.095:ephone-3[3]:StartMedia 1.1.1.8 port=25552 *Jan 11 18:33:21.095:DN 2 chan 1 codec 4:G711Ulaw64k duration 20 ms bytes 160 *Jan 11 18:33:21.095:ephone-3[3]:Send Encryption Key ! Ephone 3 sends its encryption key. *Jan 11 18:33:21.347:ephone-3[3]:OpenReceiveChannelAck:IP 1.1.1.9, port=17520, dn_index=4, dn=4, chan=1 *Jan 11 18:33:21.347:ephone-2[2]:StartMedia 1.1.1.9 port=17520 *Jan 11 18:33:21.347:DN 2 chan 1 codec 4:G711Ulaw64k duration 20 ms bytes 160 *Jan 11 18:33:21.347:ephone-2[2]:Send Encryption Key !Ephone 2 sends its encryption key.*Jan 11 18:33:21.851:ephone-2[2]::callingNumber 6000 *Jan 11 18:33:21.851:ephone-2[2]::callingParty 6000 *Jan 11 18:33:21.851:ephone-2[2]:Call Info DN 2 line 1 ref 6 call state 4 called 6001 calling 6000 origcalled *Jan 11 18:33:21.851:ephone-2[2]:Call Info DN 2 line 1 ref 6 called 6001 calling 6000 origcalled 6001 calltype 2 *Jan 11 18:33:21.851:ephone-2[2]:Call Info for chan 1 *Jan 11 18:33:21.851:ephone-2[2]:Original Called Name 6001 *Jan 11 18:33:21.851:ephone-2[2]:6000 calling *Jan 11 18:33:21.851:ephone-2[2]:6001 |
|
セキュア SCCP SRST の設定例
ここでは、次の設定例を示します。
(注) 例に示す IP アドレスおよびホスト名は架空のものです。
セキュア SCCP SRST:例
ここでは、前のセクションで説明した設定作業に対応する設定例を示します。この例には、サードパーティ CA の使用は含まれていません。Cisco IOS 証明書サーバを使用して、証明書を生成することを前提とします。
Router# show running-config
! Define Unified Communications Manager.
ccm-manager fallback-mgcp
ccm-manager music-on-hold
ccm-manager config server 10.1.1.13
crypto pki server srstcaserver
issuer-name CN=srstcaserver
crypto pki trustpoint srstca
enrollment url http://10.1.1.22:80
crypto pki trustpoint srstcaserver
! Define CTL/7970 trustpoint.
crypto pki trustpoint 7970
crypto pki trustpoint PEM
! Define CAPF/7960 trustpoint.
crypto pki trustpoint 7960
! SRST router device certificate.
crypto pki certificate chain srstca
308201AD 30820116 A0030201 02020102 300D0609 2A864886 F70D0101 04050030
17311530 13060355 0403130C 73727374 63617365 72766572 301E170D 30343034
31323139 35323233 5A170D30 35303431 32313935 3232335A 30343132 300F0603
55040513 08443042 39453739 43301F06 092A8648 86F70D01 09021612 6A61736F
32363931 2E636973 636F2E63 6F6D305C 300D0609 2A864886 F70D0101 01050003
4B003048 024100D7 0CC354FB 5F7C1AE7 7A25C3F2 056E0485 22896D36 6CA70C19
C98F9BAE AE9D1F9B D4BB7A67 F3251174 193BB1A3 12946123 E5C1CCD7 A23E6155
FA2ED743 3FB8B902 03010001 A330302E 300B0603 551D0F04 04030205 A0301F06
03551D23 04183016 8014F829 CE97AD60 18D05467 FC293963 C2470691 F9BD300D
06092A86 4886F70D 01010405 00038181 007EB48E CAE9E1B3 D1E7A185 D7F0D565
CB84B17B 1151BD78 B3E39763 59EC650E 49371F6D 99CBD267 EB8ADF9D 9E43A5F2
FB2B18A0 34AF6564 11239473 41478AFC A86E6DA1 AC518E0B 8657CEBB ED2BDE8E
B586FE67 00C358D4 EFDD8D44 3F423141 C2D331D3 1EE43B6E 6CB29EE7 0B8C2752
C3AF4A66 BD007348 D013000A EA3C206D CF
30820207 30820170 A0030201 02020101 300D0609 2A864886 F70D0101 04050030
17311530 13060355 0403130C 73727374 63617365 72766572 301E170D 30343034
31323139 34353136 5A170D30 37303431 32313934 3531365A 30173115 30130603
55040313 0C737273 74636173 65727665 7230819F 300D0609 2A864886 F70D0101
01050003 818D0030 81890281 8100C3AF EE1E4BB1 9922A8DA 2BB9DC8E 5B1BD332
1051C9FE 32A971B3 3C336635 74691954 98E765B1 059E24B6 32154E99 105CA989
9619993F CC72C525 7357EBAC E6335A32 2AAF9391 99325BFD 9B8355EB C10F8963
9D8FC222 EE8AC831 71ACD3A7 4E918A8F D5775159 76FBF499 5AD0849D CAA41417
DD866902 21E5DD03 C37D4B28 0FAB0203 010001A3 63306130 0F060355 1D130101
FF040530 030101FF 300E0603 551D0F01 01FF0404 03020186 301D0603 551D0E04
160414F8 29CE97AD 6018D054 67FC2939 63C24706 91F9BD30 1F060355 1D230418
30168014 F829CE97 AD6018D0 5467FC29 3963C247 0691F9BD 300D0609 2A864886
F70D0101 04050003 8181007A F71B25F9 73D74552 25DFD03A D8D1338F 6792C805
47A81019 795B5AAE 035400BB F859DABF 21892B5B E71A8283 08950414 8633A8B2
C98565A6 C09CA641 88661402 ACC424FD 36F23360 ABFF4C55 BB23C66A C80A3A57
5EE85FF8 C1B1A540 E818CE6D 58131726 BB060974 4E1A2F4B E6195522 122457F3
crypto pki certificate chain srstcaserver
30820207 30820170 A0030201 02020101 300D0609 2A864886 F70D0101 04050030
17311530 13060355 0403130C 73727374 63617365 72766572 301E170D 30343034
31323139 34353136 5A170D30 37303431 32313934 3531365A 30173115 30130603
55040313 0C737273 74636173 65727665 7230819F 300D0609 2A864886 F70D0101
01050003 818D0030 81890281 8100C3AF EE1E4BB1 9922A8DA 2BB9DC8E 5B1BD332
1051C9FE 32A971B3 3C336635 74691954 98E765B1 059E24B6 32154E99 105CA989
9619993F CC72C525 7357EBAC E6335A32 2AAF9391 99325BFD 9B8355EB C10F8963
9D8FC222 EE8AC831 71ACD3A7 4E918A8F D5775159 76FBF499 5AD0849D CAA41417
DD866902 21E5DD03 C37D4B28 0FAB0203 010001A3 63306130 0F060355 1D130101
FF040530 030101FF 300E0603 551D0F01 01FF0404 03020186 301D0603 551D0E04
160414F8 29CE97AD 6018D054 67FC2939 63C24706 91F9BD30 1F060355 1D230418
30168014 F829CE97 AD6018D0 5467FC29 3963C247 0691F9BD 300D0609 2A864886
F70D0101 04050003 8181007A F71B25F9 73D74552 25DFD03A D8D1338F 6792C805
47A81019 795B5AAE 035400BB F859DABF 21892B5B E71A8283 08950414 8633A8B2
C98565A6 C09CA641 88661402 ACC424FD 36F23360 ABFF4C55 BB23C66A C80A3A57
5EE85FF8 C1B1A540 E818CE6D 58131726 BB060974 4E1A2F4B E6195522 122457F3
crypto pki certificate chain 7970
certificate ca 353FB24BD70F14A346C1F3A9AC725675
308203A8 30820290 A0030201 02021035 3FB24BD7 0F14A346 C1F3A9AC 72567530
0D06092A 864886F7 0D010105 0500302E 31163014 06035504 0A130D43 6973636F
20537973 74656D73 31143012 06035504 03130B43 41502D52 54502D30 3032301E
170D3033 31303130 32303138 34395A17 0D323331 30313032 30323733 375A302E
31163014 06035504 0A130D43 6973636F 20537973 74656D73 31143012 06035504
03130B43 41502D52 54502D30 30323082 0120300D 06092A86 4886F70D 01010105
00038201 0D003082 01080282 010100C4 266504AD 7DC3FD8D 65556FA6 308FAE95
B570263B 575ABD96 1CC8F394 5965D9D0 D8CE02B9 F808CCD6 B7CD8C46 24801878
57DC4440 A7301DDF E40FB1EF 136212EC C4F3B50F BCAFBB4B CD2E5826 34521B65
01555FE4 D4206776 03368357 83932638 D6FC953F 3A179E44 67255A73 45C69DEE
FB4D221B 21D7A3AD 38184171 8FD8C271 42183E65 09461434 736C77CC F380EEBF
632C7B3F A5F92AA6 A8EF3490 8724A84F 4DAF7FD7 0928F585 764D3558 3C0FE9AF
1ED8763F A299A802 970004AD 1912D265 7DE335B4 BCB6F789 DC68B9FA C8FDF85E
8A28AD8F 0F4883C0 77112A47 141DBEE0 948FBE53 FE67B308 D40C8029 87BD790E
CDAB9FD7 A190C1A2 A462C5F2 4A6E0B02 0103A381 C33081C0 300B0603 551D0F04
04030201 86300F06 03551D13 0101FF04 05300301 01FF301D 0603551D 0E041604
1452922B E288EE2E 098A4E7E 702C56A5 9AB4D49B 96306F06 03551D1F 04683066
3064A062 A060862D 68747470 3A2F2F63 61702D72 74702D30 30322F43 65727445
6E726F6C 6C2F4341 502D5254 502D3030 322E6372 6C862F66 696C653A 2F2F5C5C
6361702D 7274702D 3030325C 43657274 456E726F 6C6C5C43 41502D52 54502D30
30322E63 726C3010 06092B06 01040182 37150104 03020100 300D0609 2A864886
F70D0101 05050003 82010100 56838CEF C4DA3AD1 EA8FBB15 2FFE6EE5 50A1972B
D4D7AF1F D298892C D5A2A76B C3462866 13E0E55D DC0C4B92 5AA94B6E 69277F9B
FC73C697 11266E19 451C0FAB A55E6A28 901A48C5 B9911EE6 348A8920 0AEDE1E0
B6EA781C FFD97CA4 B03C0E34 0E5B0649 8B0A34C9 B73A654E 09050C1F 4DA53E44
BF78443D B08C3A41 2EEEB873 78CB8089 34F9D16E 91512F0D 3A8674AD 0991ED1A
92841E76 36D7740E CB787F11 685B9E9D 0C67E85D AF6D05BA 3488E86D 7E2F7F65
6918DE0F BD3C7F67 D8A33F70 9C4A596E D9F62B3B 1EDEE854 D5882AD4 3D71F72B
8FAB7F3C 0B5F0759 D9828F83 954D7BB1 57A638EC 7D72BFF1 8933C16F 760BCA94
4C5B1931 67947A4F 89A1BDB5
crypto pki certificate chain PEM
certificate ca 7612F960153D6F9F4E42202032B72356
308203A8 30820290 A0030201 02021076 12F96015 3D6F9F4E 42202032 B7235630
0D06092A 864886F7 0D010105 0500302E 31163014 06035504 0A130D43 6973636F
20537973 74656D73 31143012 06035504 03130B43 41502D52 54502D30 3031301E
170D3033 30323036 32333237 31335A17 0D323330 32303632 33333633 345A302E
31163014 06035504 0A130D43 6973636F 20537973 74656D73 31143012 06035504
03130B43 41502D52 54502D30 30313082 0120300D 06092A86 4886F70D 01010105
00038201 0D003082 01080282 010100AC 55BBED18 DE9B8709 FFBC8F2D 509AB83A
21C1967F DEA7F4B0 969694B7 80CC196A 463DA516 54A28F47 5D903B5F 104A3D54
A981389B 2FC7AC49 956262B8 1C143038 5345BB2E 273FA7A6 46860573 CE5C998D
55DE78AA 5A5CFE14 037D695B AC816409 C6211F0B 3BBF09CF B0BBB2D4 AC362F67
0FD145F1 620852B3 1F07E2F1 AA74F150 367632ED A289E374 AF0C5B78 CE7DFB9F
C8EBBE54 6ECF4C77 99D6DC04 47476C0F 36E58A3B 6BCB24D7 6B6C84C2 7F61D326
BE7CB4A6 60CD6579 9E1E3A84 8153B750 5527E865 423BE2B5 CB575453 5AA96093
58B6A2E4 AA3EF081 C7068EC1 DD1EBDDA 53E6F0D6 E2E0486B 109F1316 78C696A3
CFBA84CC 7094034F C1EB9F81 931ACB02 0103A381 C33081C0 300B0603 551D0F04
04030201 86300F06 03551D13 0101FF04 05300301 01FF301D 0603551D 0E041604
14E917B1 82C71FCF ACA91B6E F4A9269C 70AE05A0 9A306F06 03551D1F 04683066
3064A062 A060862D 68747470 3A2F2F63 61702D72 74702D30 30312F43 65727445
6E726F6C 6C2F4341 502D5254 502D3030 312E6372 6C862F66 696C653A 2F2F5C5C
6361702D 7274702D 3030315C 43657274 456E726F 6C6C5C43 41502D52 54502D30
30312E63 726C3010 06092B06 01040182 37150104 03020100 300D0609 2A864886
F70D0101 05050003 82010100 AB64FDEB F60C32DC 360F0E10 5FE175FA 0D574AB5
02ACDCA3 C7BBED15 A4431F20 7E9286F0 770929A2 17E4CDF4 F2629244 2F3575AF
E90C468C AE67BA08 AAA71C12 BA0C0E79 E6780A5C F814466C 326A4B56 73938380
73A11AED F9B9DE74 1195C48F 99454B8C 30732980 CD6E7123 8B3A6D68 80B97E00
7F4BD4BA 0B5AB462 94D9167E 6D8D48F2 597CDE61 25CFADCC 5BD141FB 210275A2
0A4E3400 1428BA0F 69953BB5 50D21F78 43E3E563 98BCB2B1 A2D4864B 0616BACD
A61CD9AE C5558A52 B5EEAA6A 08F96528 B1804B87 D26E4AEE AB7AFFE9 2FD2A574
BAFE0028 96304A8B 13FB656D 8FC60094 D5A53D71 444B3CEF 79343385 3778C193
74A2A6CE DC56275C A20A303D
crypto pki certificate chain 7960
308201F7 30820160 A0030201 020202F3 01300D06 092A8648 86F70D01 01050500
3041310B 30090603 55040613 02555331 1A301806 0355040A 13114369 73636F20
53797374 656D7320 496E6331 16301406 03550403 130D4341 50462D33 35453038
33333230 1E170D30 34303430 39323035 3530325A 170D3139 30343036 32303535
30315A30 41310B30 09060355 04061302 5553311A 30180603 55040A13 11436973
636F2053 79737465 6D732049 6E633116 30140603 55040313 0D434150 462D3335
45303833 33323081 9F300D06 092A8648 86F70D01 01010500 03818D00 30818902
818100C8 BD9B6035 366B44E8 0F693A47 250FF865 D76C35F7 89B1C4FD 1D122CE0
F5E5CDFF A4A87EFF 41AD936F E5C93163 3E55D11A AF82A5F6 D563E21C EB89EBFA
F5271423 C3E875DC E0E07967 6E1AAB4F D3823E12 53547480 23BA1A09 295179B6
85A0E83A 77DD0633 B9710A88 0890CD4D DB55ADD0 964369BA 489043BB B667E60F
93954B02 03010001 300D0609 2A864886 F70D0101 05050003 81810056 60FD3AB3
6F98D2AD 40C309E2 C05B841C 5189271F 01D864E8 98BCE665 2AFBCC8C 54007A84
8F772C67 E3047A6C C62F6508 B36A6174 B68C1D78 C2228FEA A89ECEFB CC8BA9FC
0F30E151 431670F9 918514D9 868D1235 18137F1E 50DFD32E 1DC29CB7 95EF4096
421AF22F 5C1D5804 B83F8E8E 95B04F45 86563BFE DF976C5B FB490A
crypto isakmp key cisco123 address 10.1.1.13
! The crypto key should match the key configured on Cisco Unified Communications Manager.
! The crypto IPSec configuration should match your Cisco Unified Communications Manager configuration.
crypto ipsec transform-set rtpset esp-des esp-md5-hmac
crypto map rtp 1 ipsec-isakmp
interface FastEthernet0/0
ip address 10.1.1.22 255.255.255.0
interface FastEthernet0/1
! Define traffic to be encrypted by IPSec.
access-list 116 permit ip host 10.1.1.22 host 10.1.1.13
call application alternate DEFAULT
! Enable MGCP voice protocol.
mgcp call-agent 10.1.1.13 2427 service-type mgcp version 0.1
mgcp dtmf-relay voip codec all mode out-of-band
mgcp rtp unreachable timeout 1000 action notify
mgcp package-capability rtp-package
mgcp package-capability sst-package
no mgcp package-capability fxr-package
no mgcp timer receive-rtcp
mgcp rtp payload-type g726r16 static
dial-peer voice 81235 pots
destination-pattern 81235
dial-peer voice 81234 pots
destination-pattern 81234
dial-peer voice 999100 pots
dial-peer voice 999110 pots
! Enable credentials service on the gateway.
ip source-address 10.1.1.22 port 2445
transfer-system full-consult
ip source-address 10.1.1.22 port 2000
コントロール プレーン ポリシング:例
ここでは、コントロール プレーン ポリシングを使用してクレデンシャル サービス ポートを保護するための、セキュリティ上のベスト プラクティスの設定例を示します。コントロール プレーン ポリシングは、ゲートウェイを保護し、トラフィックの負荷が大きいときもパケット転送とプロトコルの状態を維持します。コントロール プレーンの詳細については、 コントロール プレーン ポリシング のマニュアルを参照してください。
Router# show running-config
! Allow trusted host traffic.
access-list 140 deny tcp host 10.1.1.11 any eq 2445
! Rate-limit all other traffic.
access-list 140 permit tcp any any eq 2445
access-list 140 deny ip any any
! Define class-map "sccp-class."
class-map match-all sccp-class
match access-group 140
policy-map control-plane-policy
class sccp-class
police 8000 1500 1500 conform-action drop exceed-action drop
! Define aggregate control plane service for the active Route Processor.
control-plane
service-policy input control-plane-policy
Cisco SRST でのセキュアな SIP コール シグナリングおよび SRTP メディアの設定
Cisco Unified Survivable Remote Site Telephony(Cisco SRST)は、セキュアなコール シグナリングと、メディア暗号化のための Secure Real-Time Transport Protocol(SRTP)を提供します。これにより、Cisco Unified IP Phone とゲートウェイ デバイスの間でセキュアな暗号化された接続を確立できます。
Cisco SRST でセキュアな SIP コール シグナリングおよび SRTP メディアを設定するための前提条件
Cisco SRST でのセキュアな SIP コール シグナリングおよび SRTP メディアの設定に関する制約事項
SIP 電話は Cisco Unified CM で認証済みデバイス セキュリティ モードに設定できます。Cisco Unified CM は、シグナリングに NULL-SHA 暗号を使用する TLS 接続によって、電話機の整合性と認証を保証します。認証済みの SIP 電話が Cisco Unified SRST デバイスにフェールオーバーする場合は、デバイスが TLS/TCP ではなく TCP を使用して登録されるため、SIP 電話が Cisco Unified CM にフェールバックするまで認証済みモードは無効になります。
- デフォルトでは、非セキュア TCP SIP 電話は、プライマリ コール制御からのフェールオーバー時に SRST デバイスへの登録が許可されます。TCP SIP 電話のサポートには、暗号化された電話機が導入されていない場合でも、ここで説明するセキュア SRST の設定が必要です。セキュア SIP SRST が設定されていない場合、TCP 電話は、シグナリング転送用の UDP を使用して SRST デバイスに登録されます。
Cisco Unified SIP SRST のセキュア SIP シグナリングおよび SRTP メディアのサポートについて
Cisco IP Phone ファームウェア 8.5(3) および Cisco IOS リリース 15.0(1)XA 以降、Cisco SRST は、RTP と SRTP の両方のメディア接続が IP 電話のセキュリティ設定に基づいている場合に、UDP、TCP、および TLS 接続を介した SIP シグナリングをサポートします。
Cisco SRST の SIP-to-SIP および SIP-to-PSTN サポートには、次の機能が含まれます。
- 基本的なコール
- 保留/復帰
- 会議
- 転送
- ブラインド転送
- コール転送
Cisco SRST の SIP-to-Other(SIP-to-SCCP を含む)サポートには基本的なコールが含まれます(ただし、他の機能が動作することがあります)。
Cisco Unified Communications Manager の設定
SCCP で制御されるデバイスと同様に、SIP で制御されるデバイスは、割り当てられたデバイス プールにリストされる SRST リファレンス プロファイルを使用します。WAN に障害が発生した場合に SIP/TLS 通信が必要な場合は、SRST リファレンス プロファイルで [SRST はセキュアか(Is SRST Secure)] チェックボックスがオンになっている必要があります。
(注) すべての Cisco Unified IP Phone のファームウェアがバージョン 8.5(3) 以降に更新されている必要があります。8.5(3) より前のファームウェアを持つデバイスには、[SRST はセキュアか(Is SRST Secure)] オプションがオフの状態で作成された別のデバイス プールおよび SRST リファレンス プロファイルが必要です。このデバイス プールの SIP で制御されたデバイスは、UDP を介して SIP を使用して SRST ルータへの登録を試みます。
Cisco Unified CM Administration で、[システム(System)] > [SRST] を選択し、次のことを確認します。
- セキュアな SRST プロファイルの場合は、[SRST はセキュアか(Is SRST Secure?)] をオンにする必要があります。SIP ポートは 5061 である必要があります。
- セキュアでない SRST プロファイルの場合は、[SRST はセキュアか(Is SRST Secure?)] チェックボックスをオンにしないでください。また、SIP ポートは 5060 である必要があります。
[デバイス(Device)] > [電話(Phone)] を選択し、次のことを確認します。
- セキュアな電話機はセキュアな SRST プロファイルを使用するプールに属する必要があります。
- セキュアでない電話機はセキュアでない SRST プロファイルを使用するプールに属する必要があります。
(注) SIP 電話は、電話セキュリティ プロファイルによってそれらに割り当てられた転送方式を使用します。
電話の設定
ここでは、SRTP を使用してセキュアなコールを有効にする必要があることを指定し、セキュアでないコールが RTP メディアを使用して「フォールバック」することを許可します。
手順の概要
1. enable
2. configure terminal
3. voice service voip
4. srtp
5. allow-connections sip to h323
6. allow-connections sip to sip
7. end
手順の詳細
|
|
|
手順 1 |
enable
Router> enable |
特権 EXEC モードをイネーブルにします。
- プロンプトが表示されたら、パスワードを入力します。
|
手順 2 |
configure terminal
Router# configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
手順 3 |
voice service voip
Router(config)# voice service voip |
音声サービス コンフィギュレーション モードを開始します。 |
手順 4 |
srtp
Router(config-voi-serv)# srtp |
SRTP を使用してセキュアなコールを有効にするように指定します。 |
手順 5 |
allow-connections sip to h323
Router(config-voi-serv)# allow-connections sip to h323 |
(任意)SIP エンドポイントから H.323 エンドポイントへの接続を許可します。 |
手順 6 |
allow-connections sip to sip
Router(config-voi-serv)# allow-connections sip to sip |
SIP エンドポイントから SIP エンドポイントへの接続を許可します。 |
手順 7 |
end
Router(conf-voi-serv)# end |
現在のコンフィギュレーション セッションを終了して、特権 EXEC モードに戻ります。 |
セキュア SIP SRST の SIP オプションの設定
ここでは、セキュア SIP SRTP を設定する方法について説明します。
手順の概要
1. enable
2. configure terminal
3. voice service voip
4. sip
5. url sip | sips
6. srtp negotiate cisco
7. end
手順の詳細
|
|
|
手順 1 |
enable
Router> enable |
特権 EXEC モードをイネーブルにします。
- プロンプトが表示されたら、パスワードを入力します。
|
手順 2 |
configure terminal
Router# configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
手順 3 |
voice service voip
Router(config)# voice service voip |
音声サービス コンフィギュレーション モードを開始します。 |
手順 4 |
sip
Router(config-voi-serv)# sip |
SIP コンフィギュレーション モードを開始します。 |
手順 5 |
url sip | sips
Router(conf-serv-sip)# url sips |
セキュア モードを設定するには、 sips キーワードを使用して URL を VoIP コールの SIP Secure(SIPS)形式で生成します。 デバイスデフォルト モードを設定するには、 sip キーワードを使用して URL を VoIP コールの SIP 形式で生成します。 |
手順 6 |
srtp negotiate cisco
Router(conf-serv-sip)# srtp negotiate cisco |
SRTP オファーの応答時に Cisco IOS SIP ゲートウェイが RTP プロファイルの送信と受信をネゴシエートできるようにします。 |
手順 7 |
end
Router(conf-serv-sip)# end |
現在のコンフィギュレーション セッションを終了して、特権 EXEC モードに戻ります。 |
SIP SRST セキュリティ ポリシーの設定
ここでは、セキュア モードで、セキュアでない電話機の SRST ルータへの登録をブロックする方法について説明します。
手順の概要
1. voice register global
2. security-policy secure | no security-policy
3. end
手順の詳細
|
|
|
手順 1 |
voice register global
Router(config)# voice register global |
音声レジスタ グローバル コンフィギュレーション モードを開始します。 |
手順 2 |
security-policy secure
Router(config-register-global)# security-policy secure |
SIP/TLS/TCP 接続だけが許可されるよう SIP 登録セキュリティ ポリシーを設定します。デバイスデフォルト モードの場合は、 no security-policy コマンドを使用します。デバイスデフォルト モードでは、セキュアでないデバイスの TLS を使用しない登録が許可されます。 (注) security-policy secure をセキュア SRST 機能に対して設定し、非セキュア電話機がセキュア SRST にフォールバックしないようにすることを推奨します。 |
手順 3 |
end
Router(config-register-global)# end |
現在のコンフィギュレーション セッションを終了して、特権 EXEC モードに戻ります。 |
セキュア SIP SRST の SIP ユーザ エージェントの設定
ここでは、厳密な暗号によって、許可される暗号化アルゴリズムを制限する方法について説明します。
手順の概要
1. sip-ua
2. registrar ipv4 : destination-address expires seconds
3. xfer target dial-peer
4. crypto signaling default trustpoint string [ strict-cipher ]
5. crypto signaling remote-addr {ip address |subnet mask} trustpoint trustpoint-name
6. end
手順の詳細
|
|
|
手順 1 |
sip-ua
Router(config)# sip-ua |
SIP ユーザ エージェント コンフィギュレーション モードを開始します。 |
手順 2 |
registrar ipv4 : destination-address expires seconds
Router(config-sip-ua)# registrar ipv4:192.168.2.10 expires 3600 |
ゲートウェイがプライマリおよびセカンダリ外部 SIP レジストラに E.164 電話番号を登録できるようにします。 destination-address はプライマリ SIP レジストラ サーバの IP アドレスです。 |
手順 3 |
xfer target dial-peer
Router(config-sip-ua)# xfer target dial-peer |
SRST が転送先として、メッセージ本文で指定されたものではなくダイヤル ピアを使用するよう指定します。 |
手順 4 |
crypto signaling default trustpoint string [strict-cipher]
Router(config-sip-ua)# crypto signaling default trustpoint 3745-SRST strict-cipher |
TLS ハンドシェイク中に使用される trustpoint string キーワードおよび引数を識別します。 trustpoint string キーワードおよび引数は、Cisco IOS Public Key Infrastructure(PKI)コマンドを使用して、登録プロセスの一部として生成されたゲートウェイの証明書を参照します。 strict-cipher キーワードは、Advanced Encryption Standard-128(AES-128)Cipher-Block-Chaining(CBC)セキュア ハッシュ アルゴリズム(SHA)(TLS_RSA_WITH_AES_128_CBC_SHA)暗号スイートでの TLS RSA 暗号化のサポートを制限します。 デバイスデフォルト モードを設定するには、 strict-cipher キーワードを省略します。 |
手順 5 |
crypto signaling remote-addr {ip address |subnet mask} trustpoint trustpoint-name
Router(config-sip-ua)# crypto signaling remote-addr 8.41.20.20 255.255.0.0 trustpoint srst-trunk1 |
トラストポイント ラベルは、登録プロセスの一部として Cisco IOS PKI コマンドで生成される CUBE の証明書を指します。 キーワードと引数は次のとおりです。
- remote-addr ip address :トラストポイントに IP アドレスを関連付けます。
- trustpoint trustpoint-name :Cisco IOS PKI コマンドを使用した登録プロセスの一環として生成された SIP ゲートウェイ証明書を指します。
|
手順 6 |
end
Router(config-sip-ua)# end |
現在のコンフィギュレーション セッションを終了して、特権 EXEC モードに戻ります。 |
複数のトラストポイント
セキュア モードで Unified SRST に登録する電話機に対しては、 sip-ua 設定モードの下でデフォルトのトラストポイント設定を使用します。たとえば、 srstca は、セキュア SRST のデフォルトのトラストポイントです。このデフォルトのシグナリング トラストポイントは、SIP 電話から Unified セキュア SRST ルータへのすべての SIP TLS 相互作用に使用されます。
複数のトラストポイントがある導入シナリオでは、CA 発行の証明書でのセキュア トランクを介したサービス プロバイダーとの通信は、 sip-ua 設定モードの下で、CLI コマンド crypto signaling remote-addr 8.41.20.20 255.255.0.0 trustpoint srst-trunk1 を使用して実現されます。
例
次に示すのは、Unified SRST 導入の複数のトラストポイントの設定例です。この例では、 srst-trunk1 トラストポイントは IP アドレス 8.39.0.0 のネットワークを指示し、 srst-trunk2 トラストポイントは IP アドレス 8.41.20.20 のネットワークを指示します。
crypto signaling remote-addr 8.39.0.0 255.255.0.0 trustpoint srst-trunk1
crypto signaling remote-addr 8.41.20.20 255.255.0.0 trustpoint srst-trunk2
crypto signaling default trustpoint secsrst
設定の確認
次の例は、 show sip-ua status registrar コマンドと show voice register global コマンドによって表示された設定例を示しています。
特権 EXEC モードで show sip-ua status registrar コマンドを使用すると、連絡先アドレスに現在登録されているすべての SIP エンドポイントが表示されます。
Router# show sip-ua status registrar
Line destination expires(sec) contact
============ =============== ============ ===============
3029991 192.168.2.108 388 192.168.2.108
TLS 00120014-4ae40064-f1a3e9fe-8d301072@192.168.2.1
3029993 192.168.2.103 382 192.168.2.103
TCP 001bd433-1c840052-655cd596-4e992eed@192.168.2.1
3029982 192.168.2.106 406 192.168.2.106
UDP 001d452c-dbba0056-0481d321-1f3f848d@192.168.2.1
3029983 192.168.2.106 406 192.168.2.106
UDP 001d452c-dbba0057-1c69b699-d8dc6625@192.168.2.1
3029992 192.168.2.107 414 192.168.2.107
TLS 001e7a25-50c9002c-48ef7663-50c71794@192.168.2.1
特権 EXEC モードで show voice register global コマンドを使用すると、SIP 電話に関連付けられたすべてのグローバル コンフィギュレーション パラメータが表示されます。
Router# show voice register global
Outbound-proxy is enabled and will use global configured value
Security Policy: DEVICE-DEFAULT
network-locale[0] US (This is the default network locale for this box)
user-locale[0] US (This is the default user locale for this box)
Cisco Unified SIP SRST の設定例
Current configuration : 15343 bytes
!
! Last configuration change at 05:34:06 UTC Tue Jun 13 2017
! NVRAM config last updated at 11:57:03 UTC Thu Jun 8 2017
!
version 16.7
service timestamps debug datetime msec
service timestamps log datetime msec
platform qfp utilization monitor load 80
no platform punt-keepalive disable-kernel-core
!
hostname router
!
boot-start-marker
boot-end-marker
!
vrf definition Mgmt-intf
!
address-family ipv4
exit-address-family
!
address-family ipv6
exit-address-family
!
! card type command needed for slot/bay 0/3
no logging queue-limit
logging buffered 20000000
no logging rate-limit
no logging console
enable password xxxx
!
no aaa new-model
!
subscriber templating
!
multilink bundle-name authenticated
!
crypto pki server SRST-CA-2
database level complete
no database archive
grant auto
!
crypto pki trustpoint TRUSTPT-SRST-CA-2
enrollment url http://10.0.0.1:80
serial-number
revocation-check none
rsakeypair srstcakey 2048
rsakeypair SRST-CA-2
!
crypto pki trustpoint SRST-CA-2
revocation-check crl
rsakeypair SRST-CA-2
!
crypto pki trustpoint Cisco_Manufacturing_CA
enrollment terminal
revocation-check none
!
crypto pki trustpoint CAPF-3a66269a
enrollment terminal
revocation-check none
!
crypto pki trustpoint Cisco_Root_CA_2048
enrollment terminal
revocation-check none
!
!
crypto pki certificate chain TRUSTPT-SRST-CA-2
certificate 02
3082020B 30820174 A0030201 02020102 300D0609 2A864886 F70D0101 05050030
14311230 10060355 04031309 53525354 2D43412D 32301E17 0D313730 36303831
31333131 325A170D 31383036 30383131 33313132 5A303231 30301206 03550405
130B4647 4C313735 31313150 42301A06 092A8648 86F70D01 0902160D 416E7473
41726D79 2D343430 3030819F 300D0609 2A864886 F70D0101 01050003 818D0030
81890281 81009E24 6259A98D A61C1973 45A95DA8 DE83ECAD C2B1B448 741F7E64
3D753BF1 19BD54FB 9A4D4A8E 7A2BA416 B93C40B3 A63A7C4D 7303498F 098EF07F
96F26F5F 49AD4E39 EC113DF4 696CB887 607D545A 52A11469 958F4C04 05868DF9
317456F6 3D23837C D46331FA 69FB29E8 3211E01C A7AB19A3 94DAC09F 97601196
A08D7073 76210203 010001A3 4F304D30 0B060355 1D0F0404 030205A0 301F0603
551D2304 18301680 142110B8 F25BD9BD E1D401EC 9D11DC0E AE52CDB8 2F301D06
03551D0E 04160414 2110B8F2 5BD9BDE1 D401EC9D 11DC0EAE 52CDB82F 300D0609
2A864886 F70D0101 05050003 8181003A DC409694 26D08A31 7B4F495F 002D4E57
B28669A9 10E93C68 A9556659 97D326EC A5508201 C1A86659 B1CDC910 73097FCA
F6174794 1057DDDE DBA666D6 0BAFC503 96A10BE5 5FCA3B93 5D377ABE BC9B2774
3732DF01 CE3BF12B 1899AA69 F7EC8726 A1964C5A D6A99A0E E27EE2A0 15A7D364
793C6C8D 961C77E4 397F9CB4 C6A271
quit
certificate ca 01
30820201 3082016A A0030201 02020101 300D0609 2A864886 F70D0101 04050030
14311230 10060355 04031309 53525354 2D43412D 32301E17 0D313730 36303831
31323135 305A170D 32303036 30373131 32313530 5A301431 12301006 03550403
13095352 53542D43 412D3230 819F300D 06092A86 4886F70D 01010105 0003818D
00308189 02818100 9E246259 A98DA61C 197345A9 5DA8DE83 ECADC2B1 B448741F
7E643D75 3BF119BD 54FB9A4D 4A8E7A2B A416B93C 40B3A63A 7C4D7303 498F098E
F07F96F2 6F5F49AD 4E39EC11 3DF4696C B887607D 545A52A1 1469958F 4C040586
8DF93174 56F63D23 837CD463 31FA69FB 29E83211 E01CA7AB 19A394DA C09F9760
1196A08D 70737621 02030100 01A36330 61300F06 03551D13 0101FF04 05300301
01FF300E 0603551D 0F0101FF 04040302 0186301F 0603551D 23041830 16801421
10B8F25B D9BDE1D4 01EC9D11 DC0EAE52 CDB82F30 1D060355 1D0E0416 04142110
B8F25BD9 BDE1D401 EC9D11DC 0EAE52CD B82F300D 06092A86 4886F70D 01010405
00038181 0018859E D39C6A05 63509442 8746D970 BB716DE2 E82BA822 58AA55AD
AC37260F 36BFDFE6 F2D0E489 A8D23690 791AD903 F19AC857 5002E621 A5927ACC
DCB759C0 B126ACAB C53BF054 1F62D895 A895C50A E3AE83E3 EC68F346 50B88D39
BB053EE9 5D466AE4 C6B4593D 7EFA7A78 213C0766 7307A051 78FED92E 5A34AAB6
98D2A59C 31
quit
crypto pki certificate chain SRST-CA-2
certificate ca 01
30820201 3082016A A0030201 02020101 300D0609 2A864886 F70D0101 04050030
14311230 10060355 04031309 53525354 2D43412D 32301E17 0D313730 36303831
31323135 305A170D 32303036 30373131 32313530 5A301431 12301006 03550403
13095352 53542D43 412D3230 819F300D 06092A86 4886F70D 01010105 0003818D
00308189 02818100 9E246259 A98DA61C 197345A9 5DA8DE83 ECADC2B1 B448741F
7E643D75 3BF119BD 54FB9A4D 4A8E7A2B A416B93C 40B3A63A 7C4D7303 498F098E
F07F96F2 6F5F49AD 4E39EC11 3DF4696C B887607D 545A52A1 1469958F 4C040586
8DF93174 56F63D23 837CD463 31FA69FB 29E83211 E01CA7AB 19A394DA C09F9760
1196A08D 70737621 02030100 01A36330 61300F06 03551D13 0101FF04 05300301
01FF300E 0603551D 0F0101FF 04040302 0186301F 0603551D 23041830 16801421
10B8F25B D9BDE1D4 01EC9D11 DC0EAE52 CDB82F30 1D060355 1D0E0416 04142110
B8F25BD9 BDE1D401 EC9D11DC 0EAE52CD B82F300D 06092A86 4886F70D 01010405
00038181 0018859E D39C6A05 63509442 8746D970 BB716DE2 E82BA822 58AA55AD
AC37260F 36BFDFE6 F2D0E489 A8D23690 791AD903 F19AC857 5002E621 A5927ACC
DCB759C0 B126ACAB C53BF054 1F62D895 A895C50A E3AE83E3 EC68F346 50B88D39
BB053EE9 5D466AE4 C6B4593D 7EFA7A78 213C0766 7307A051 78FED92E 5A34AAB6
98D2A59C 31
quit
crypto pki certificate chain Cisco_Manufacturing_CA
certificate ca 6A6967B3000000000003
308204D9 308203C1 A0030201 02020A6A 6967B300 00000000 03300D06 092A8648
86F70D01 01050500 30353116 30140603 55040A13 0D436973 636F2053 79737465
6D73311B 30190603 55040313 12436973 636F2052 6F6F7420 43412032 30343830
1E170D30 35303631 30323231 3630315A 170D3239 30353134 32303235 34325A30
39311630 14060355 040A130D 43697363 6F205379 7374656D 73311F30 1D060355
04031316 43697363 6F204D61 6E756661 63747572 696E6720 43413082 0120300D
06092A86 4886F70D 01010105 00038201 0D003082 01080282 010100A0 C5F7DC96
943515F1 F4994EBB 9B41E17D DB791691 BBF354F2 414A9432 6262C923 F79AE7BB
9B79E807 294E30F5 AE1BC521 5646B0F8 F4E68E81 B816CCA8 9B85D242 81DB7CCB
94A91161 121C5CEA 33201C9A 16A77DDB 99066AE2 36AFECF8 0AFF9867 07F430EE
A5F8881A AAE8C73C 1CCEEE48 FDCD5C37 F186939E 3D71757D 34EE4B14 A9C0297B
0510EF87 9E693130 F548363F D8ABCE15 E2E8589F 3E627104 8726A415 620125AA
D5DFC9C9 5BB8C9A1 077BBE68 92939320 A86CBD15 75D3445D 454BECA8 DA60C7D8
C8D5C8ED 41E1F55F 578E5332 9349D5D9 0FF836AA 07C43241 C5A7AF1D 19FFF673
99395A73 67621334 0D1F5E95 70526417 06EC535C 5CDB6AEA 35004102 0103A382
01E73082 01E33012 0603551D 130101FF 04083006 0101FF02 0100301D 0603551D
0E041604 14D0C522 26AB4F46 60ECAE05 91C7DC5A D1B047F7 6C300B06 03551D0F
04040302 01863010 06092B06 01040182 37150104 03020100 30190609 2B060104
01823714 02040C1E 0A005300 75006200 43004130 1F060355 1D230418 30168014
27F3C815 1E6E9A02 0916AD2B A089605F DA7B2FAA 30430603 551D1F04 3C303A30
38A036A0 34863268 7474703A 2F2F7777 772E6369 73636F2E 636F6D2F 73656375
72697479 2F706B69 2F63726C 2F637263 61323034 382E6372 6C305006 082B0601
05050701 01044430 42304006 082B0601 05050730 02863468 7474703A 2F2F7777
772E6369 73636F2E 636F6D2F 73656375 72697479 2F706B69 2F636572 74732F63
72636132 3034382E 63657230 5C060355 1D200455 30533051 060A2B06 01040109
15010200 30433041 06082B06 01050507 02011635 68747470 3A2F2F77 77772E63
6973636F 2E636F6D 2F736563 75726974 792F706B 692F706F 6C696369 65732F69
6E646578 2E68746D 6C305E06 03551D25 04573055 06082B06 01050507 03010608
2B060105 05070302 06082B06 01050507 03050608 2B060105 05070306 06082B06
01050507 0307060A 2B060104 0182370A 0301060A 2B060104 01823714 02010609
2B060104 01823715 06300D06 092A8648 86F70D01 01050500 03820101 0030F330
2D8CF2CA 374A6499 24290AF2 86AA42D5 23E8A2EA 2B6F6923 7A828E1C 4C09CFA4
4FAB842F 37E96560 D19AC6D8 F30BF5DE D027005C 6F1D91BD D14E5851 1DC9E3F7
38E7D30B D168BE8E 22A54B06 E1E6A4AA 337D1A75 BA26F370 C66100A5 C379265B
A719D193 8DAB9B10 11291FA1 82FDFD3C 4B6E65DC 934505E9 AF336B67 23070686
22DAEBDC 87CF5921 421AE9CF 707588E0 243D5D7D 4E963880 97D56FF0 9B71D8BA
6019A5B0 6186ADDD 6566F6B9 27A2EE2F 619BBAA1 3061FDBE AC3514F9 B82D9706
AFC3EF6D CC3D3CEB 95E981D3 8A5EB6CE FA79A46B D7A25764 C43F4CC9 DBE882EC
0166D410 88A256E5 3C57EDE9 02A84891 6307AB61 264B1A13 9FE4DCDA 5F
quit
crypto pki certificate chain CAPF-3a66269a
certificate ca 583BD5B4844C8BC172B8C4979092A067
308203C3 308202AB A0030201 02021058 3BD5B484 4C8BC172 B8C49790 92A06730
0D06092A 864886F7 0D01010B 05003071 310B3009 06035504 06130249 4E310E30
0C060355 040A0C05 63697363 6F311230 10060355 040B0C09 75637467 2D656467
65311630 14060355 04030C0D 43415046 2D336136 36323639 61311230 10060355
04080C09 6B61726E 6174616B 61311230 10060355 04070C09 62616E67 616C6F72
65301E17 0D313730 35323931 30333631 335A170D 32323035 32383130 33363132
5A307131 0B300906 03550406 1302494E 310E300C 06035504 0A0C0563 6973636F
31123010 06035504 0B0C0975 6374672D 65646765 31163014 06035504 030C0D43
4150462D 33613636 32363961 31123010 06035504 080C096B 61726E61 74616B61
31123010 06035504 070C0962 616E6761 6C6F7265 30820122 300D0609 2A864886
F70D0101 01050003 82010F00 3082010A 02820101 00BC774F BAED3986 05BDFFBC
4EABBFA7 1F73D150 2989EFF2 902502F6 248DA7AB 261E474C 08A4BB6F 35B10449
0A6A3D94 E2C6EB98 57BECE0C 34F30517 CA6CC9B2 710B511B 8826E0AB 733FF26F
F7ADC4B9 76118300 6156072C 43F78E5E 3AD7C92B 54CB5BDB 00B53FC8 875100C4
056BC4A7 0F96CE69 E58B1C22 194CCEC6 968ECF9B 08B7B7B2 0FF0800E 43764BB1
E6ED36C0 A738F762 81A88F6D E464E2A5 FD74207F 1EC7ACAC 2F63B04D E0E9DA4C
901A1710 E3D1C069 82EFF77E 0597254D 149C1263 EC67DAE9 305FD8BF C7410B17
8C6DE9FF 28A37514 86AF828C BC698DD5 F18A3B66 9D8D895A 5562E08D 383F790A
A5C7F6F6 915CB558 042E5B99 71F7169D B3AFA699 2B020301 0001A357 3055300B
0603551D 0F040403 0202A430 13060355 1D25040C 300A0608 2B060105 05070301
301D0603 551D0E04 16041475 71EC5D35 1A431511 7E8C8462 6E65E570 7C551930
12060355 1D130101 FF040830 060101FF 02010030 0D06092A 864886F7 0D01010B
05000382 0101008F 0D3E9F3E 3574100D 97AD876D B4015C21 300A1BD0 59D5C9BF
41A8448D 597CD278 718A6431 BA94C042 7EC64BA0 71F04501 C33C1664 16484373
F3C226A7 256363A9 8BE97291 6B25B8B4 E3DB84C3 3DDB63E7 A9D8D577 6B8F37B3
7CFCE019 D6F09573 946191F7 C4028465 B072DF74 9D6DED45 CA9E6A3B 1401D1A3
5449EDCE 9FA593E3 2FD71031 C7C7EB9C 045DAAFE C67603BF DAB40EE0 352C009F
EAAA6816 A11F6D8B 7C406211 1045A0C6 488B34E1 AF968FAF 3705A364 1EE21A1D
B7080EDC 40D4AA15 E110C5F1 D8A57561 DB2B09F1 0779B855 3998CE22 C471B5CB
09605E24 99855176 2D1CA40E BEBC2F23 7434CA2B 8D1C5EFB 822147CC 81F98825
47A1A14F DC5480
quit
crypto pki certificate chain Cisco_Root_CA_2048
certificate ca 5FF87B282B54DC8D42A315B568C9ADFF
30820343 3082022B A0030201 0202105F F87B282B 54DC8D42 A315B568 C9ADFF30
0D06092A 864886F7 0D010105 05003035 31163014 06035504 0A130D43 6973636F
20537973 74656D73 311B3019 06035504 03131243 6973636F 20526F6F 74204341
20323034 38301E17 0D303430 35313432 30313731 325A170D 32393035 31343230
32353432 5A303531 16301406 0355040A 130D4369 73636F20 53797374 656D7331
1B301906 03550403 13124369 73636F20 526F6F74 20434120 32303438 30820120
300D0609 2A864886 F70D0101 01050003 82010D00 30820108 02820101 00B09AB9
ABA7AF0A 77A7E271 B6B46662 94788847 C6625584 4032BFC0 AB2EA51C 71D6BC6E
7BA8AABA 6ED21588 48459DA2 FC83D0CC B98CE026 68704A78 DF21179E F46105C9
15C8CF16 DA356189 9443A884 A8319878 9BB94E6F 2C53126C CD1DAD2B 24BB31C4
2BFF8344 6FB63D24 7709EABF 2AA81F6A 56F6200F 11549781 75A725CE 596A8265
EFB7EAE7 E28D758B 6EF2DD4F A65E629C CF100A64 D04E6DCE 2BCC5BF5 60A52747
8D69F47F CE1B70DE 701B20D6 6ECDA601 A83C12D2 A93FA06B 5EBB8E20 8B7A91E3
B568EEA0 E7C40174 A8530B2B 4A9A0F65 120E824D 8E63FDEF EB9B1ADB 53A61360
AFC27DD7 C76C1725 D473FB47 64508180 944CE1BF AE4B1CDF 92ED2E05 DF020103
A351304F 300B0603 551D0F04 04030201 86300F06 03551D13 0101FF04 05300301
01FF301D 0603551D 0E041604 1427F3C8 151E6E9A 020916AD 2BA08960 5FDA7B2F
AA301006 092B0601 04018237 15010403 02010030 0D06092A 864886F7 0D010105
05000382 0101009D 9D8484A3 41A97C77 0CB753CA 4E445062 EF547CD3 75171CE8
E0C6484B B6FE4C3A 198156B0 56EE1996 62AA5AA3 64C1F64E 5433C677 FEC51CBA
E55D25CA F5F0939A 83112EE6 CBF87445 FEE705B8 ABE7DFCB 4BE13784 DAB98B97
701EF0E2 8BD7B0D8 0E9DB169 D62A917B A9494F7E E68E95D8 83273CD5 68490ED4
9DF62EEB A7BEEB30 A4AC1F44 FC95AB33 06FB7D60 0ADEB48A 63B09CA9 F2A4B953
0187D068 A4277FAB FFE9FAC9 40388867 B439C684 6F57C953 DBBA8EEE C043B2F8
09836EFF 66CF3EEF 17B35818 2509345E E3CBD614 B6ECF292 6F74E42F 812AD592
91E0E097 3C326805 854BD1F7 57E2521D 931A549F 0570C04A 71601E43 0B601EFE
A3CE8119 E10B35
quit
!
voice service voip
no ip address trusted authenticate
media bulk-stats
media disable-detailed-stats
allow-connections sip to sip
srtp
no supplementary-service sip refer
supplementary-service media-renegotiate
no supplementary-service sip handle-replaces
fax protocol t38 version 0 ls-redundancy 0 hs-redundancy 0 fallback none
sip
registrar server expires max 120 min 60
!
voice register global
default mode
no allow-hash-in-dn
security-policy secure
max-dn 50
max-pool 40
!
voice register pool 1
id network 10.0.0.1 mask 255.255.0.0
dtmf-relay rtp-nte
codec g711ulaw
!
voice hunt-group 1 sequential
final 89898
list 1008,2005
timeout 5
pilot 1111
!
voice-card 0/1
no watchdog
!
voice-card 0/2
no watchdog
!
voice-card 0/3
no watchdog
!
voice-card 1/0
no watchdog
!
license udi pid ISR4451-X/K9 sn FOC1743565L
license accept end user agreement
license boot level uck9
license boot level securityk9
no license smart enable
diagnostic bootup level minimal
!
spanning-tree extend system-id
!
redundancy
mode none
!
interface GigabitEthernet0/0/0
ip address 10.0.0.1 255.255.0.0
negotiation auto
!
interface GigabitEthernet0/0/1
no ip address
negotiation auto
!
interface GigabitEthernet0/0/2
ip address 10.0.0.1 255.0.0.0
negotiation auto
!
interface GigabitEthernet0/0/3
no ip address
negotiation auto
!
interface Service-Engine0/1/0
shutdown
!
interface Service-Engine0/2/0
shutdown
!
interface Service-Engine0/3/0
!
interface Service-Engine1/0/0
!
interface GigabitEthernet0
vrf forwarding Mgmt-intf
no ip address
negotiation auto
!
ip forward-protocol nd
ip http server
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 10.0.0.1
!
ip ssh server algorithm encryption aes128-ctr aes192-ctr aes256-ctr
ip ssh client algorithm encryption aes128-ctr aes192-ctr aes256-ctr
!
control-plane
!
!
voice-port 0/1/0
!
voice-port 0/1/1
!
voice-port 0/2/0
!
voice-port 0/2/1
!
voice-port 0/2/2
!
voice-port 0/2/3
!
mgcp behavior rsip-range tgcp-only
mgcp behavior comedia-role none
mgcp behavior comedia-check-media-src disable
mgcp behavior comedia-sdp-force disable
!
mgcp profile default
!
sip-ua
crypto signaling default trustpoint TRUSTPT-SRST-CA-2
!
!
credentials
ip source-address 10.0.0.1 port 2445
trustpoint TRUSTPT-SRST-CA-2
!
!
call-manager-fallback
max-conferences 8 gain -6
transfer-system full-consult
max-ephones 50
max-dn 50
call-park system application
fac standard
!
!
line con 0
exec-timeout 0 0
length 0
transport input none
stopbits 1
line aux 0
stopbits 1
line vty 0 4
exec-timeout 0 0
password xxxx
no login
length 0
transport preferred none
transport input telnet ssh
!
end