Seguridad del teléfono (CAPF)

Finalidad

Para la señalización y la voz cifradas, un teléfono Cisco necesita un certificado propio (LSC). El CUCM lo emite mediante la Certificate Authority Proxy Function (CAPF). Para ello deben establecerse en cada teléfono los campos CAPF: operación de certificado, modo de autenticación, tipo de clave y un plazo.

Este cuadro de diálogo define estos valores una vez por conexión CUCM. Si la función está activada, EasyUC los escribe en el dispositivo mediante AXL al crear un teléfono: operación de certificado “Install/Upgrade”, el modo de autenticación seleccionado, el orden de claves con su tamaño y, como plazo, la fecha de hoy más los días configurados.

Con Enable only per Device, EasyUC no establece los valores automáticamente. En su lugar, la entrada Make it Secure aparece en Actions para los teléfonos. Con ella inicia la emisión del certificado para un único teléfono.

Requisitos

• Licencia con el módulo cucm y la función provisioning. Sin provisioning, la entrada no aparece en el menú Actions.
• Cuenta de EasyUC con el rol ROLE_APP_ADMIN. Solo los administradores ven el menú Administration.
• La conexión CUCM está creada y activada. En una conexión desactivada, Actions muestra únicamente Enable Connection.
• En el CUCM está configurado el servicio Cisco Certificate Authority Proxy Function y los teléfonos usan un perfil de seguridad adecuado para la operación prevista. EasyUC solo establece los campos CAPF en el dispositivo.
• Para la entrada Make it Secure, el operador necesita el rol ROLE_APP_UPDATE_DEVICE.

Paso a paso

1. En el encabezado, seleccione el área de trabajo EasyUC Cisco.
2. En el menú, abra Administration → CUCM & Provisioning → CUCM Connections. La página Manage CUCM Connections muestra todas las conexiones.
3. En la fila de la conexión deseada, haga clic en Actions. Se abre la ventana emergente Menu.
4. Haga clic en Phone Security. Se abre el cuadro de diálogo Phone security.
5. Active Enable. Aparecen los campos CAPF.
6. Active Enable only per Device si EasyUC no debe establecer los valores en cada teléfono nuevo, sino solo mediante la acción de dispositivo Make it Secure.
7. Seleccione el Authentication Mode. Con By Authentication String, introduzca además el Authentication String.
8. Seleccione el Key Order y, de acuerdo con él, el RSA Key Size, el EC Key Size o ambos.
9. En Days, introduzca cuántos días debe permanecer abierta la operación de certificado.
10. Haga clic en Save (arriba a la derecha o al final del cuadro de diálogo). El cuadro de diálogo se cierra y EasyUC muestra un mensaje de éxito (“Success”). Cancel cierra el cuadro de diálogo sin cambios.
11. Cree un teléfono de prueba o haga clic en Actions → Make it Secure en un teléfono existente. En el CUCM, compruebe la sección CAPF del dispositivo.

Campos y opciones

Comprobar el resultado y acotar errores

• Éxito: en la lista Manage CUCM Connections, la columna Ph. Security muestra el estado de la conexión. Un teléfono creado después tiene en el CUCM la operación de certificado “Install/Upgrade” con los valores seleccionados.
• Mensaje “This value should not be blank.”: falta un campo obligatorio, normalmente el tamaño de clave del orden de claves seleccionado, la cadena o Days.
• Falta la entrada Make it Secure en el teléfono: solo aparece si Enable y Enable only per Device están activados, el dispositivo es un teléfono y la cuenta tiene ROLE_APP_UPDATE_DEVICE.
• El teléfono no recibe ningún certificado: en el CUCM, compruebe el servicio CAPF, el perfil de seguridad del teléfono y si el plazo ha vencido. EasyUC solo establece los campos en el dispositivo y no emite ningún certificado por sí mismo.
• El ajuste por sí solo no prueba que la telefonía esté cifrada. Son determinantes el perfil de seguridad y el modo del clúster en el CUCM.