Telefon-Sicherheit (CAPF)

Wozu dient das

Für verschlüsselte Signalisierung und Sprache braucht ein Cisco-Telefon ein eigenes Zertifikat (LSC). Der CUCM stellt es über die Certificate Authority Proxy Function (CAPF) aus. Dazu müssen an jedem Telefon die CAPF-Felder gesetzt sein: Zertifikatsoperation, Authentifizierungsmodus, Schlüsselart und eine Frist.

Dieser Dialog legt diese Werte einmal je CUCM-Verbindung fest. Ist die Funktion eingeschaltet, schreibt EasyUC sie beim Anlegen eines Telefons über AXL in das Gerät: Zertifikatsoperation „Install/Upgrade“, den gewählten Authentifizierungsmodus, die Schlüsselreihenfolge mit Schlüssellänge und als Frist das heutige Datum plus die eingestellten Tage.

Mit Nur je Gerät aktivieren setzt EasyUC die Werte nicht automatisch. Stattdessen erscheint bei Telefonen unter Aktionen der Eintrag Absichern. Damit stoßen Sie die Zertifikatsausstellung gezielt für ein einzelnes Telefon an.

Voraussetzungen

• Lizenz mit dem Modul cucm und der Funktion provisioning. Ohne provisioning fehlt der Eintrag im Menü Aktionen.
• EasyUC-Konto mit der Rolle ROLE_APP_ADMIN. Nur Administratoren sehen das Menü Verwaltung.
• Die CUCM-Verbindung ist angelegt und aktiviert. Bei einer deaktivierten Verbindung zeigt Aktionen nur Verbindung aktivieren.
• Im CUCM ist der Dienst Cisco Certificate Authority Proxy Function eingerichtet und die Telefone verwenden ein Security Profile, das zum gewünschten Betrieb passt. EasyUC setzt nur die CAPF-Felder am Gerät.
• Für den Eintrag Absichern braucht der Bearbeiter die Rolle ROLE_APP_UPDATE_DEVICE.

Schritt für Schritt

1. Wählen Sie in der Kopfzeile den Arbeitsbereich EasyUC Cisco.
2. Öffnen Sie im Menü Verwaltung → CUCM & Bereitstellung → CUCM-Verbindungen. Die Seite CUCM-Verbindungen verwalten zeigt alle Verbindungen.
3. Klicken Sie in der Zeile der gewünschten Verbindung auf Aktionen. Das Popover Menü öffnet sich.
4. Klicken Sie auf Telefon-Sicherheit. Der Dialog Telefonsicherheit öffnet sich.
5. Schalten Sie Aktivieren ein. Die CAPF-Felder erscheinen.
6. Schalten Sie Nur je Gerät aktivieren ein, wenn EasyUC die Werte nicht bei jedem neuen Telefon setzen soll, sondern nur über die Geräteaktion Absichern.
7. Wählen Sie den Authentifizierungsmodus. Bei By Authentication String tragen Sie zusätzlich die Authentifizierungszeichenfolge ein.
8. Wählen Sie die Schlüsselreihenfolge und dazu die RSA-Schlüssellänge, die EC-Schlüssellänge oder beide.
9. Tragen Sie unter Tage ein, wie viele Tage die Zertifikatsoperation offen bleiben soll.
10. Klicken Sie auf Speichern (oben rechts oder unten im Dialog). Der Dialog schließt sich und EasyUC zeigt eine Erfolgsmeldung („Success“). Mit Abbrechen verlassen Sie den Dialog ohne Änderung.
11. Legen Sie ein Testtelefon an oder klicken Sie bei einem vorhandenen Telefon auf Aktionen → Absichern. Prüfen Sie im CUCM am Gerät den Abschnitt zur CAPF.

Felder und Optionen

Ergebnis prüfen und Fehler eingrenzen

• Erfolg: In der Liste CUCM-Verbindungen verwalten zeigt die Spalte Tel.-Sicherheit den Status der Verbindung. Ein danach angelegtes Telefon hat im CUCM die Zertifikatsoperation „Install/Upgrade“ mit den gewählten Werten.
• Meldung „This value should not be blank.“: Ein Pflichtfeld fehlt, meist die Schlüssellänge zur gewählten Schlüsselreihenfolge, die Zeichenfolge oder Tage.
• Der Eintrag Absichern fehlt am Telefon: Er erscheint nur, wenn Aktivieren und Nur je Gerät aktivieren gesetzt sind, das Gerät ein Telefon ist und das Konto ROLE_APP_UPDATE_DEVICE hat.
• Das Telefon bekommt kein Zertifikat: Prüfen Sie im CUCM den CAPF-Dienst, das Security Profile des Telefons und ob die Frist abgelaufen ist. EasyUC setzt nur die Felder am Gerät und stellt selbst kein Zertifikat aus.
• Die Einstellung allein belegt keine verschlüsselte Telefonie. Maßgeblich sind Security Profile und Clustermodus im CUCM.