Installations- / Konfigurations- Handbuch. TLS und srtp

Transkript

1 Installations- / Konfigurations- Handbuch TLS und srtp Version vom 16. Dezember 2010 Änderungen vorbehalten NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 1/56

2 Inhalt Änderungen... 4 Einleitung Verschlüsselung für RTP aktivieren TLS aktivieren um SIP abzusichern TLS für eine S3 aktivieren TraceInfo CA Erstellen eines Novatec S3 Root-CA und Keys TLS für SIP konfigurieren Spezielle SIP via TLS Einstellungen Signieren eines SIP-TLS-Zertifikates Zertifikatsanfragen online signieren Gesicherte SIP/sRTP Verbindung zwischen S6 und CUCM Trunk konfigurieren Unterschiede zwischen S3 und S6 Konfiguration Einen S6-Trunk auf CUCM-Seite konfigurieren TLS und srtp auf S3 und S6 deaktivieren Verschlüsselung für SIP und Wartung ausschalten Ändern des IP-Transport-Services TLS-Ports entfernen und von srtp zu RTP wechseln TLS und srtp für ein S3-Gerät in der CUCM-Konfiguration deaktivieren TLS und srtp für einen S6/Trunk in der CUCM-Konfiguration deaktivieren Cisco CTL Client Installation und Sicherheitszertifikat Den Cisco CTL Client installieren CUCM Zertifikate auf eine S3 exportieren Importieren eines S3 Zertifikates in den CUCM Eine allgemeine Drittpartei als Zertifikats Authorität für CUCM und S3 oder S Ersetzen eines selbst signierten CUCM Zertifikates durch ein von einer dritten Partei signiertes Generieren eines neuen CUCM Zertifikats-Requests Herunterladen eines generierten Zertifikat-Requests von einem CUCM Hochladen der RootCA Zertifikate in den CUCM Ersetzten der selbst signierten Zertifikate im CUCM NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 2/56

3 7.2 Ersetzten eines selbst signierten TI-CA-Zertifikates durch ein von einer Drittpatei signiertes Importieren eines Drittpartei-RootCA-Zertifikates in eine S3 oder S Signieren eines S3 oder S6 SIP-Zertifikates durch eine Drittpartei Das RootCA signiert TI-CA: TI-CA signiert das Novatec Gateway MNT: Auf PC-Seite: Erzeugen und signieren eines Requests Import von CA Zertifikaten Workaround für Option 2: NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 3/56

4 Änderungen Neue Auswahlmöglichkeit CUCM Trunk siehe Kapitel 4.1. Einleitung Wichtig: Nach der Aktivierung von TLS ist der ungeschützte Zugang zu den Geräten blockiert. Jeder Zugangsversuch über V24/USB, ISDN und IP wie z.b. HTTP und TELNET wird abgewiesen. Wie eine S3 kofiguriert und für eine gesicherte und verschlüsselte SIP/sRTP Verbindung zu einer CUCM eingerichtet wird: - Bitte lesen Sie Kapitel 4, wenn Sie eine S6 konfigurieren wollen und lesen Sie anschließend hier weiter. - Um TLS und srtp bei einer S3 oder S6 auszuschalten lesen Sie in Kapitel 6 weiter. - Version 3.3 enthält in Kapitel 6: 1. Cisco CTL Client Installation, Secure token addition und Secure configuration 2. Anweisungen für das Herunterladen des CUCM-Zertifikats, um dieses in die S3 zu laden und 3. Anweisungen für das Hochladen von S3 Zertifikaten in den CUCM. - Version 3.4 Hinweis: Nachdem die TLS-Lizenz geladen und SIP konfiguriert wurde, werden einige Einstellungen in der Konfiguration automatisch vorgenommen. In der Vergangenheit mussten diese manuell eingestellt werden. Bitte überprüfen Sie diese Einstellungen (siehe auch Kapitel 2.1). Die Firmware entsperren I) Es wurde ein neues Lizenzmanagement zur Absicherung der Firmware eingeführt. Die Lizenzen entsperren die Firmware. Sie werden von NovaTec mit Hilfe der MAC-Adressen erstellt. Firmware und Konfiguration funktionieren auf einem Gerät nur wenn eine bezüglich Firmwareversion und MAC- Adresse gültige FWE-Lizenz eingespielt wurde. II) Es wurde eine neue TLS-Lizensierung eingeführt. Diese ist wie die Firmwarelizensierung aufgebaut und entsperrt TLS für alle Geräte, deren MAC-Adresse in der geladenen TLS-Lizenz enthalten ist. III) Nachdem Sie die firmware.lic und (optional) die tls.lic Datei von Novatec erhalten haben, öffnen Sie bitte die Konfiguration mit NovaTec Configuration (Version 6.5) und laden Sie die Firmware-Lizenz hoch. Wie die TLS-Lizenz hochgeladen wird hat sich nicht geändert (siehe auch 2. TLS aktivieren um SIP abzusichern ). Nach dem Hochladen der TLS-Lizenz bleiben existierende Lizenzen erhalten, IP- Dienste wie z.b. UDP oder TCP für SIP werden deaktiviert. (siehe nächste Seite unter IV). NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 4/56

5 Hochladen der Firmware-Lizenz: IV) Aktivieren Sie unter System IP options -> Available IP services die zutreffenden IP-Dienste wie z.b. UDP oder TCP für SIP. Die Dienste HTTP und TELNET können aus Sicherheitsgründen nicht aktiviert werden. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 5/56

6 1 Verschlüsselung für RTP aktivieren Um srtp für eine S3 freizuschalten senden Sie bitte deren Backplane-ID per Mail an NovaTec. Der TraceInfo Client zeigt die Backplane-ID unter Device -> System ID an. Eine Serien-Nummer und ein Name wird Ihnen zurück gesandt. Öffnen Sie die Konfigurations-Datei des Systems mit NovaTec Configuration. Wählen Sie Encryption und geben Sie die Seriennummer an. Geben Sie Backplane-ID, den erhaltenen Kunden-Namen und die Serien-Nummer ein. Die Daten sind gerätespezifisch und können nur zur Konfiguration der S3/S6 verwendet werden, für die die Daten erzeugt wurden (die System-ID (Backplane-ID) wird zur Erzeugung der Verschlüsselungs- Seriennummer genutzt). NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 6/56

7 Drücken Sie OK! Bearbeiten Sie die Daten, schließen Sie die Datei und öffnen Sie sie wieder. Nun wird auf der linken Fensterseite der Punkt System encryption options sichtbar. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 7/56

8 Ändern Sie das Verschlüsselungsprofil bitte nicht. Wählen Sie Encryption handling profiles. Setzen Sie Handling method auf MIKEY / Elmeg. Unter Encryption -> Handling profile ordnen Sie das erstellte Encryption profile einem Handling method zu. Unter System modul / interface settings -> Modul assignment ordnen Sie die Handling method einem Modul zu derzeit ist nur SIP möglich. Sie können den Namen/die Beschreibung des Profiles nach Ihren Wünschen ändern. Das so erstellte Handling profile kann unter NIP -> SIP -> Mapping lists -> User mapping ausgewählt werden. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 8/56

9 Wählen Sie das zutreffende Handling profile aus. Wenn kein Handling profile angezeigt wird, bearbeiten Sie die Daten und versuchen es erneut! Die Einstellung Try to use an Stelle von Must use für die Verschlüsselungseinstellungen aktiviert das srtp Fallback. Befolgen Sie die nächsten Schritte um TLS für SIP zu aktivieren. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 9/56

10 2 TLS aktivieren um SIP abzusichern Einige Teile der TLS Konfiguration waren vorläufig und wurden geändert (siehe auch Kapitel 2.1 und 3.2). 2.1 TLS für eine S3 aktivieren Fragen Sie NovaTec nach der Lizenz, um TLS für dieses System zu aktivieren. Schicken Sie NovaTec die MAC-Adresse des Systems und Sie erhalten eine tls.lic zurück. Wählen Sie im Konfigurationsprogramm System IP options aus. Unten rechts wählen Sie nun Enable Security und geben den Pfad zu der gesicherten tls.lic -Datei an. Bestätigen Sie die angezeigten Fenster. Wenn das Kästchen Licence is loaded angehakt ist, ist es möglich TLS zu verwenden. Im Baum in der linken Fensterhälfte wird nun eine neue Verzweigung TLS Security unter dem Punkt System IP options angezeigt. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 10/56

11 Hinweis: Nachdem die TLS-Lizenz geladen und SIP konfiguriert wurde, werden einige Einstellungen automatisch vorgenommen. In der Vergangenheit mussten diese manuell ausgeführt werden. Bitte überprüfen Sie diese Einstellungen (siehe auch Kapitel 3.2.1): 1. System IP options Available IP services : Ein TCP/IP Service für SIP via TLS mit Port 5061 wird eingerichtet. 2. NIP SIP Mapping lists -> User mapping : Der Port 5061 wird der User-IP-Adresse hinzugefügt. 3. NIP SIP Mapping lists -> Local mapping : Der Port 5061 wird zu der IP-Adresse des Registrars hinzugefügt. Wenn TLS deaktiviert wird müssen diese durch das System erstellten Einstellungen manuell entfernt werden. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 11/56

12 3 TraceInfo CA 3.1 Erstellen eines Novatec S3 Root-CA und Keys Der TraceInfo CA wird dazu genuzt ein ROOT-CA zu erstellen und mit diesem das SIP-TLS-Zertifikat zu signieren. Um dieses Programm zu starten benötigen Sie zwingend einen NovaTec TI-CA Dongle. Alternativ kann NovaTec die Zertifikate online erstellen und signieren. Bitte stellen Sie sicher, dass nur ein Dongle (z.b. NMS, TI-CA ) am lokalen USB-Port angeschlossen ist. Ein durch TI-CA erstelltes Zertifikat enthält Klartexte. Der vorgeschriebene Teil des Zertifikates beginnt mit der Zeile -----BEGIN CERTIFICATE----- und endet mit der Zeile -----END CERTIFICATE----- Bitte benutzen Sie einen Editor wie z.b. WordPad um den Klartext und Leerzeilen zu entfernen und das Zertifikat zu sichern. Laden Sie die gesicherte Datei ohne Klartext in den CUCM (siehe auch CUCM Crypto Install Guide ). TI-CA Release 1.3 und höher haben eine Option um Zertifikate mit oder ohne Klartext zu erstellen: Die "Create Key/Certificate" Seite. Erstellen Sie einen CA private key und ein Root-Zertifikat: NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 12/56

13 - Eine Verbindung zwischen der TI-CA Applikation und dem Zielsystem ist nicht zwingend erforderlich. - Wählen Sie "Root key (2048b) + Certificate" in der Auswahl. - Geben Sie ein CA-Passwort an, dass mindestens 4 und maximal 20 Zeichen lang ist. - Wiederholen Sie die Eingabe des CA-Passwortes. Schlägt dieser Schritt fehl, erscheint eine Fehlermeldung in der unteren Zeile und der Button "Generate key and certificate" wird deaktiviert. - Nun geben Sie Land, Staat, Stadt, Unternehmen, Abteilung, Name und -Adresse für die CA ein. Das Land muss mit 2 Zeichen angegeben werden, alle anderen Angaben sind auf 64 Zeichen begrenzt. - Geben Sie die Gültigkeitsdauer des Root-Zertifikates in Tagen an. - Geben Sie einen Pfad an, unter dem die Serien-Nummer des Zertifikates gespeichert werden soll. (1) - Geben Sie den Pfad an, unter dem der CA Private Key gespeichert werden soll. Der erstellte Key und das Zertifikat werden hier im Format.pem/.crt mit Defaul-Namen gesichert: cakey.pem und ca_cert.crt. - Nachdem diese Angaben gemacht wurden drücken Sie bitte den Button "Generate key and certificate". Es dauert einige Sekunden den Private key zu generieren. Es werden Statusmeldungen angezeigt. - Bitte bestätigen Sie diese durch einen Klick auf den Ok-Button. Anmerkung (1): Die Serien-Nummer wird in der Datei serial.txt gesichert. Wenn diese Datei im angegebenen Pfad nicht auffindbar ist wird die Applikation eine neue Datei mit einer Default-Startnummer erstellen. Der Nutzer kann die Startnummer selbst definieren, in dem er eine serial.txt Datei mit einem 16-stelligen Hexadezimalcode erzeugt, z.b ABCDEF. Die Applikation wird die aktuelle Seriennummer der Datei serial.txt verwenden. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 13/56

14 3.2 TLS für SIP konfigurieren Gehen Sie auf System IP options TLS Security und wählen Sie den Reiter SIP - Setzen Sie Security Method auf TLSv1. - Setzen Sie das Häkchen bei Server-Authentication, um das vom TLS-Server erhaltene Zertifikat zu verifizieren (z.b. S3 und S6 an einem CUCM). - Setzen Sie das Häckchen Client-Authentication, um ein Zertifikat von einem TLS-Client anzufragen und zu verifizieren (z.b. S6 als Trunk an einer CUCM). - Die SSL-Verifizierungstiefe ist jetzt konfigurierbar (Werte von 1 bis 9 siehe auch openssl Dokumentation). Die Verifizierungstiefe ist das Limit bis zu dem Zertifikate in einer Kette während des Verifikations-Prozesses genutzt werden. Wenn die Zertifikatskette länger als erlaubt ist, werden Zertifikate über dem Limit ignoriert. Fehlermeldungen werden generiert, als ob diese nicht existent währen z.b. (depth = 0) SIP-CRT (1) Sub-CRT (2) Root-CA. - Klicken Sie auf Cipher Options um die für die TLS-Verschlüsselung verwendete Ziffer festzulegen (empfohlen mit CUCM AES128-SHA). Wählen Sie die Ziffer NULL SHA nur für Debug-Absichten. Wählen Sie nicht die Ziffer NULL SHA, wenn srtp in der CUCM konfiguriert ist. Hinweis: Es ist nicht zwingend erforderlich hier ein Cipher auszuwählen. Wenn Sie keine Einstellungen unter Cipher Options auswählen werden die Defaultwerte verwendet. Diese Defaultwerte werden TLS abgesicherten Verbindungen nicht schaden. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 14/56

15 1) Erstellen eines Zertifikat-Requests: Geben Sie SEP gefolgt von der MAC-Adresse der S3 im Feld Common Name ein. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 15/56

16 2) Importieren von zwei CAs Importieren Sie das CUCM-CA-Zertifikat (von dem CUCM herunterzuladen) und das NovaTec-CA- Zertifikat, welches duch das TraceInfo-CA erstellt wurde. Klicken Sie auf den Button Show Cert, um die importierten Zertifikate anzeigen zu lassen. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 16/56

17 3.2.1 Spezielle SIP via TLS Einstellungen Gehen Sie auf System IP options -> Available IP services um zu verifizieren, dass ein TCP/IP Service (mit Port 5061) für SIP via TLS automatisch erstellt wurde. Prüfen Sie ob andere Services wie z.b. UDP oder TCP vom Typ SIP deaktiviert wurden. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 17/56

18 Gehen Sie nun auf NIP -> SIP -> Mapping lists -> User mapping. Im URI/Name/IP Feld sollte der TLS-Port 5061 eingetragen sein. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 18/56

19 Gehen Sie jetzt nach NIP -> SIP -> Mapping lists -> Local mapping. In dem Registrar -Feld sollte der TLS-Port 5061 konfiguriert sein. Gehen Sie auf SIP general settings und wählen Sie Optional flags 2. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 19/56

20 Um eine S3 am CUCM als S3 line/phone zu nutzen, aktivieren Sie bitte die Option Register as Cisco device at UCM. Setzen Sie dieses Häkchen nicht, wenn Sie die S3/S6 als SIP-Trunk an einem CUCM verwenden. Bereiten Sie die Daten auf und übertragen Sie diese zur S3. Nachdem die S3 neu gestartet wurde signieren Sie den SIP-request mit dem TraceInfo-CA um ein SIP- Zertifikat zu erhalten. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 20/56

21 3.3 Signieren eines SIP-TLS-Zertifikates Öffnen Sie das TraceInfo-CA. Unter Settings geben Sie bitte die IP-Adresse der S3 ein. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 21/56

22 Stellen Sie nun eine Verbindung zu der S3 her. Geben Sie den Usernamen technik an. Nachdem die Verbindung aufgebaut wurde wählen Sie den Reiter Sign Certificate Requests Zertifikatsanfragen online signieren Unter diesem Reiter kann ein Certificate-Request mit einem Zertifikat signiert werden. Der Request kann eine Datei auf einem PC oder dem Zielsystem sein (S3/S6). Signieren Sie ein Certificate-Request aus dem Zielsystem und schreiben Sie das signierte Zertifikat zurück auf das Zielsystem (S3/S6). NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 22/56

23 - Eine Verbindung zwischen TI-CA Applikation und dem Zielsystem ist in diesem Fall zwingend erforderlich. - Geben Sie das CA Passwort ein, welches mit dem CA private key (cakey.pem) verknüpft ist. - Wiederholen Sie die Passworteingabe. Sollte dieser Schritt fehlschlagen, erscheint eine Fehlermeldung in der unteren Zeile und der Button "Sign the certificate request" wird deaktiviert. - Auf der linken Seite unter Input wählen Sie bitte folgendes aus: Wählen Sie "certificate request from target" unter CSR from aus. Wählen Sie die CA Private Key -Datei. Wählen Sie das CA Zertifikat. Wählen Sie einen Pfad aus, in dem die Zertifikatsanfrage temporär gesichert werden soll. - Auf der rechten Seite unter Output wählen Sie bitte folgendes aus: Wählen Sie "signed certificate to target" unter CSR from aus. Geben Sie den Pfad der gesicherten Seriennummer-Datei an.(1) Geben Sie die Gültigkeit des Root-Zertifikates in Tagen an. Geben Sie einen Pfad für die temporäre Sicherung der signierten Zertifikatsdatei an. Bitte deaktivieren Sie Certificate with human readable header. - Nachdem Sie die Einstellungen wie oben Beschrieben vorgenommen haben drücken Sie den Button "Sign the certificate request". Wenn der Certificate-Request signiert wurde, resettieren Sie bitte die S3. Die S3 sollte jetzt eine TLS- Verbindung aufbauen und sich beim Call Manager registrieren. Der RTP-Strom sollte nun mit srtp verschlüsselt sein. Hinweis (1): Die Seriennummer wird in einer Datei namens serial.txt gesichert. Wenn diese im angegebenen Pfad nicht auffindbar ist wird die Applikation eine neue Datei mit einer Default-Startnummer anlegen. Der Nutzer kann die Startnummer selbst bestimmen indem er eine Datei serial.txt mit einer 16-stelligen Hexadazimalzahl, z.b ABCDEF, anlegt. Die Applikation wird die aktuell in der serial.txt-datei hinterlegte Seriennummer verwenden. Nachdem die aktuelle Seriennummer verwendet wurde, wird die Applikation die serial.txt-datei hochzählen. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 23/56

24 4 Gesicherte SIP/sRTP Verbindung zwischen S6 und CUCM Trunk konfigurieren 4.1 Unterschiede zwischen S3 und S6 Konfiguration Die Unterschiede auf der Seite der S6 sind minimal. Sie können die S6 genauso konfigurieren wie es für die S3 in diesem Dokument in den vorherigen Kapiteln beschrieben wird, mit folgender Ausnahme: Unter SIP general settings wählen sie Optional flags 2. Hier setzen Sie bei Register as Cisco device at UCM nicht das Häkchen. Dies wird nur für die S3 gebraucht und nicht für die S6 Trunk-Leitung bzw. SIP-Trunk. Als eine Hilfslösung für bessere Performance versucht die S6 sich wie eine S3 am CUCM zu registrieren. Die Registrierung wird fehlschlagen, aber es wird vor dem eigentlichen Ruf eine ausgehende TLS Verbindung vom S6 zum CUCM aufgebaut. Der CUCM wird einen zweiten TLS-Kanal in die entgegengesezte Richtung aufbauen. Daher konfigurieren Sie bitte Local mapping (löst die SIP- Registrierung am CUCM/Registrar aus) wie im S3-Kapitel beschrieben. Auf Seite des CUCM ist keine Konfiguration für die SIP-Registrierung notwendig. Änderungen: Um anzugeben, dass ein SIP-Trunk via TLS zu einem CUCM verwendet werden soll, setzten Sie das neue Häkchen CUCM trunk unter Nutzer/local mapping. Die Option ist nur verfügbar, wenn TLS aktiviert wurde und das globale Häkchen Register as CISCO device at UCM nicht gesetzt wurde. Eingeführt mit FW-Version NIP SIP Mapping lists -> User mapping : Neues Häkchen CUCM trunk setzen. 2. NIP SIP Mapping lists -> Local mapping : Neues Häkchen CUCM trunk setzen. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 24/56

25 NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 25/56

26 4.2 Einen S6-Trunk auf CUCM-Seite konfigurieren Geben Sie im Trunk security profile SEP gefolgt von der jeweiligen MAC-Adresse an. Dies bedeutet auch, dass für jeden TLS-gesicherten Trunk ein eigenes Sicherheitsprofil erstellt werden muss. Setzen Sie Incoming Port: NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 26/56

27 Setzten Sie in der Tunk-Konfiguration den Destination Port auf 5061 und wählen Sie das zutreffende Trunk-Sicherheitsprofil aus. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 27/56

28 NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 28/56

29 NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 29/56

30 5 TLS und srtp auf S3 und S6 deaktivieren 5.1 Verschlüsselung für SIP und Wartung ausschalten Gehen Sie auf NovaTec-System -> System IP options. Wählen Sie Disable Security und bestätigen Sie die angezeigten Fenster. Im Baum auf der linken Seite wird nun der Knotenpunkt TLS security unter System IP options entfernt. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 30/56

31 5.2 Ändern des IP-Transport-Services Nun wird das Übertragungsprotokoll TCP für TLS ausgeschaltet und UDP aktiviert. Gehen Sie auf NovaTec-System -> System IP options -> Available IP services. Doppel-klicken Sie auf TLS-SIP Dienst (Bezeichnung kann abweichen) und nehmen Sie das Häkchen bei Activate service raus. Bestätigen Sie mit OK. Wenn ein UDP-Dienst vorhanden aber nicht aktiviert ist doppel-klicken Sie den Eintrag und setzten Sie das Häkchen bei Activate service. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 31/56

32 Wenn kein UDP-Dienst verfügbar ist, betätigen Sie den Button einzurichten. New, um diesen Diest für SIP Geben Sie einen Namen für den Service ein und wählen Sie Datagram (UDP) als neues IP-Protokol. Unter dem Reiter Access options nehmen Sie das Häckchen bei Activate authorization heraus. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 32/56

33 Geben Sie unter dem Reiter SIP specific options den Session Owner -Namen an (freie Wahl). Das neue Übertragungsprotokoll ist nun angelegt. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 33/56

34 5.3 TLS-Ports entfernen und von srtp zu RTP wechseln Gehen Sie nun zu NIP -> SIP -> Mapping lists -> User mapping. In dem URI/Name/IP -Feld entfernen Sie TLS-Port :5061. Um srtp zu deaktivieren, bestätigen Sie Do not use für Encryption setting. Gehen Sie jetzt auf NIP -> SIP -> Mapping lists -> Local mapping. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 34/56

35 Im Registrar -Feld entfernen Sie bitte TLS-Port : TLS und srtp für ein S3-Gerät in der CUCM-Konfiguration deaktivieren Ändern Sie das Profil von einem crypto security -Profil auf ein non security phone -Profil. Die Einstellung des Telefons im non security -Profil sollte wie folgt sei: Incoming Port: NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 35/56

36 5.5 TLS und srtp für einen S6/Trunk in der CUCM-Konfiguration deaktivieren Im Trunk-Konfigurationsfenster nehmen Sie die Häkchen im SRTP Allowed.. -Kästchen raus, setzten den Destination Port auf 5060 und wählen das zutreffende Trunk- non secure -Profil aus. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 36/56

37 Die Einstellungen des Trunk- non secure -Profils sollten wie die im Beispiel aussehen. Incoming Port: NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 37/56

38 NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 38/56

39 6 Cisco CTL Client Installation und Sicherheitszertifikat Für zusätzliche Informationen lesen Sie bitte die CUCM Hilfeseiten. Um die S3 oder Trunk-TLS und srtp gesicherte SIP Verbindungen zu unterstützen, muss der Cisco Unified Communication Manager (CUCM)-Cluster-Sicherheits-Modus auf mixed mode gesetzt werden. Siehe auch den "Configuring the Cisco CTL Client -Abschnitt in den CUCM-Sicherheitsrichtlinien ( um die zur mixed mode -Sicherheitsmodusaktivierung auf der CUCM nötigen Schritte zu überprüfen. 6.1 Den Cisco CTL Client installieren Führen Sie folgende Schritte aus um den Cisco CTL Client zu installieren: 1. Öffnen Sie die Cisco Unified Communications Manager Administration wie im Cisco Unified Communications Manager Administration Guide beschrieben auf der Windows Workstation oder dem Windows Server, auf dem Sie den Client installieren möchten. 2. Wählen Sie im Cisco Unified Communications Manager Administration folgendes aus: Application > Plugins. Das Find and List-Plugins -Fenster wird angezeigt. 3. In der Liste des Drop-Down-Menüs des Plugins Installation eingeben und Find anklicken. 4. Lokalisieren Sie den Cisco CTL Client. 5. Um die Datei herunterzuladen, klicken Sie auf Download rechts im Fenster auf Höhe des Cisco-CTL- Client-Plugins. 6. Wählen Sie Speichern und geben Sie einen Pfad zum Abspeichern an. Merken Sie sich diesen gut. 7. Gehen Sie sicher, dass die Sicherheitssoftware ausgeschaltet ist. Z.B.: Es läuft keine Unternehmens-Sicherheitssoftware/Firewall auf diesem Server. 8. Um mit der Installation zu beginnen, doppel-klicken Sie Cisco CTL Client (Icon oder ausführbare Datei, je nachdem, wo der Download gespeichert wurde). Hinweis: Sie können auch über Öffnen in der Download komplett -Meldung gehen. 9. Die Version des Cisco CTL Clients wird angezeigt; klicken Sie auf die Schaltfläche Weiter. 10. Der Installations-Assistent wird angezeigt. Klicken Sie auf Weiter. 11. Nehmen Sie die Lizenzvereinbarung an und klicken Sie auf Weiter. 12. Wählen Sie ein Verzeichnis, in das Sie den Client installieren wollen. Wenn Sie dies möchten, wählen Sie durchsuchen um die Defaulteinstellung zu ändern. Nachdem Sie den Installationsort gewählt haben, klicken Sie Weiter. 13. Klicken Sie auf Weiter, um mit der Installation zu beginnen. 14. Wenn die Installation komplett ist, drücken Sie auf Fertig stellen. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 39/56

40 Bitte überprüfen Sie folgende Punkte, bevor Sie beginnen den CTL Client mit dem CUCM zu verbinden: 1. Gehen Sie auf Cisco Unified Serviceability-> Tools-> Service Activation und versichern Sie sich, dass folgende Dienste aktiv sind: Cisco CTL Provider ist ACTIVE Cisco Certificate Authority Proxy Function ist ACTIVE 2. Gehen Sie auf die CUCM Admin page -> System -> Select CUCM server und Cisco CTL Provider service, um die Portnummer zu bestätigen. Hinzufügen des Security-Tokens zum CUCM und Mixed Mode -Sicherheitskonfiguration 1. Starten Sie den CTL Client. Benutzen Sie keinen CUCM-Namen, sondern ausschließlich die IP-Adresse. Der Default-Port sollte 2444 sein. Username und Passwort sind CUCM Username und Passwort. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 40/56

41 2. CTL wird den User bestätigen und sich mit dem CUCM verbinden. 3. Die abgebildete Meldung wird angezeigt. An diesem Punkt wählen Sie bitte Set Cisco Unified CallManger Cluster to Mixed Mode. Drücken Sie auf Next (Weiter). 4. Ein Client wird zum Hinzufügen eines Sicherheitsnachweises auffordern. Bitte stecken Sie nun den Token in einen USB-Port des Servers, auf dem der CTL-Client installiert wurde. 5. Der CTL-Client wird nun das Passwort für den Token abfragen. Benutzen Sie das Passwort (z.b. Cisco_xyz ) welches auf dem Aufkleber des Tokens steht. 6. Seien Sie bei der Passworteingabe besonders aufmerksam, da zwei falsche Eingaben den Token unbrauchbar machen! 7. Bei Prozessende wird eine Fertig stellen -Option angezeigt, aber auch die Möglichkeit, weitere Token hinzuzufügen. 8. Befolgen Sie bei Hinzufügen weiterer Zertifikate - die Schritte erneut und wählen Sie Fertig stellen oder fügen Sie weitere hinzu. 9. Nach Abschluss dieses Vorganges werden Sie neben den Einträgen CAPF und CCM TFTP die entsprechende Anzahl an Einträgen für Sicherheitsnachweise (security token), wie auch unten abgebildet, sehen. ACHTUNG: Das Bild zeigt vier Sicherheitsnachweise, je nachdem wie viele Sie geladen haben, wird die Anzahl abweichen. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 41/56

42 10. Schließen Sie den CTL Client. 11. Starten Sie den CUCM und TFTP Dienst über die CUCM serviceability Seite neu. 6.2 CUCM Zertifikate auf eine S3 exportieren Herunterladen eines Zertifikates oder CTLs Um ein Zertifikat oder CTL vom Cisco Unified Communication Operating System auf Ihren PC herunterzuladen, gehen Sie bitte wie folgt vor: 1. Gehen Sie auf Security -> Certifikate Management. Die Liste der Zertifikate wird angezeigt. 2. Sie können die Suchfunktion nutzen, um die Zertifikatsliste zu filtern. 3. Klicken Sie auf den Namen des Zertifikates oder CTL. Die Zertifikats-Konfiguration wird als Fenster angezeigt. 4. Drücken Sie den Button Download. 5. Öffnen Sie den Download-Dialog und speichern Sie die herunter geladenen Daten ab. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 42/56

43 6.3 Importieren eines S3 Zertifikates in den CUCM I. Die S3 CA, welches die Zertifikate des S3 Gerätes signiert, muss in den CUCM trust store geladen werden. Hierzu berücksichtigen Sie bitte auch den Sicherheitsabsatz im CUCM OS Admin Guide ( um herauszufinden, wie ein Zertifikat in den CUCM trust store geladen werden kann. II. S3-CA Empfehlungsupload auf den CUCM: Die Datei "xxxxx" sollte in den Call-Manager hochgeladen und als vertrauenswürdiges Zertifikat klassifiziert werden. OS Administration; Security; Certificate Management Upload Certificate Certificate Name: Callmanager-trust Root Certificate (kann leer gelassen werden) Upload File: <file siptcl_ca_cert.pem> Wenn mehrere Call-Manager in einem Cluster konfiguriert sind, muss xxxxx auf alle Call-Manger im Cluster geladen werden. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 43/56

44 7 Eine allgemeine Drittpartei als Zertifikats Authorität für CUCM und S3 oder S6 Dieses Kapitel demonstriert den Workflow um ein allgemeines RootCA für einen Cisco Call-Manager und eine S3 oder S5 aufzubauen. 7.1 Ersetzen eines selbst signierten CUCM Zertifikates durch ein von einer dritten Partei signiertes 1 generate CallManager.csr 2 1 sign CallManager RootCA TI-CA_BASE.crt upload CallManager.cer RootCA.cer Generieren eines neuen CUCM Zertifikats-Requests Gehen Sie in die Cisco Unified OS Administration. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 44/56

45 7.1.2 Herunterladen eines generierten Zertifikat-Requests von einem CUCM Laden Sie die neue Request vom Call-Manager herunter. Lassen Sie die Drittpartei diesen Request signieren. Erhalten Sie das Zertifikat der CA und das RootCA-Zertifikat zurück. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 45/56

46 7.1.3 Hochladen der RootCA Zertifikate in den CUCM Wählen Sie den Zertifikatsnamen Callmanger-trust zum Hochladen des RootCA-Zertifikates. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 46/56

47 7.1.4 Ersetzten der selbst signierten Zertifikate im CUCM Um die erhaltenen Zertifikate hochzuladen wählen Sie den Zertifikatsnamen CallManager und geben den Namen des RootCA-Zertifikates an. Durch den Bezug zum Root-Zertifikat wird das nun importierte Zertifikat das alte Zertifikat des Call-Mangers ersetzen. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 47/56

48 Laden Sie zusätzlich das TI-CA_Basiszertifikat in den CUCM (siehe auch Kapitel 7.2 ). 7.2 Ersetzten eines selbst signierten TI-CA-Zertifikates durch ein von einer Drittpatei signiertes Bitte lesen Sie Kapitel 3.1 um zu erfahren, wie ein Zertifikats-Request für eine S3 oder S6 abläuft. Lassen Sie das DrittparteiCA die Request signieren. Erhalten Sie das CA-Zertifikat (hier TI-CA_BASE genannt) und das RootCA-Zertifikat zurück. cakey.pem 4 1 NovaTec TI-CA create ca_req.csr sign RootCA TICA_BASE.crt RootCA.cer NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 48/56

49 7.3 Importieren eines Drittpartei-RootCA-Zertifikates in eine S3 oder S6 Siehe Kapitel 3.2 um zu erfahren, wie RootCA-Zertifikate in eine S3 oder S6 geladen werden. NTconfig RootCA.cer sip_req.cnf import S3/S6 7.4 Signieren eines S3 oder S6 SIP-Zertifikates durch eine Drittpartei Siehe Kapitel 3.3 um zu erfahren, wie ein SIP-Zertifikat durch ein Drittpartei-Zertifikat mit Namen TI-CA_ BASE signiert werden kann. cakey.pem S3/S create by reboot sip_req.csr sign by TICA_BASE.crt NovaTec TI-CA sip_cert.crt Wählen Sie im unten abgebildeten Fenster TI-CA_BASE anstelle von ca_cert. NovaTec Kommunikationstechnik GmbH Titel des Dokumentes 49/56