内部预设置和设置服务器

Size: px

Start display at page:

Download "内部预设置和设置服务器"

总湿即邓
5 years ago
Views:

第 1 页服务器准备和软件工具第 1 页内部设备预设置第 3 页设置服务器的设定第 4 页服务提供商会通过配置文件预设置电话而非远程自定义设备预设置配置文件中可能包含一组重新同步电话的有限参数配置文件也可包含远程服务器交付的一整组参数默认情况下电话会在接通电源时以及按照配置文件中配置的间隔重新同步当用户在客户场所连接电话时设备会下载更新的配置文件以及任何固件更新

1 第 1 页服务器准备和软件工具第 1 页内部设备预设置第 3 页设置服务器的设定第 4 页服务提供商会通过配置文件预设置电话而非远程自定义设备预设置配置文件中可能包含一组重新同步电话的有限参数配置文件也可包含远程服务器交付的一整组参数默认情况下电话会在接通电源时以及按照配置文件中配置的间隔重新同步当用户在客户场所连接电话时设备会下载更新的配置文件以及任何固件更新可以通过多种方法完成这一预设置部署和远程设置的流程服务器准备和软件工具本章中的示例要求一个或多个服务器可用这些服务器可以安装在本地 P 上并在其上运行 TFTP UDP 端口 69 系统日志 UDP 端口 514 HTTP TP 端口 80 HTTPS TP 端口 443 要对服务器配置进行故障排除最好在单独的服务器机器上安装每类服务器的客户端这种做法可以建立适当的服务器操作而不受与电话交互的影响我们还建议您安装以下软件工具要生成配置文件安装开放源码 gzip 压缩实用程序对于配置文件加密和 HTTPS 操作安装开放源码 OpenSSL 软件包 1

远程自定义 (R) 分配要使用 HTTPS 测试动态配置文件生成和单步远程设置, 我们推荐使用支持 GI 脚本的脚本语言开放源码 Perl 语言工具就是这种脚本语言的一个例子要验证设置服务器与电话之间的安全交换, 请安装以太网数据包探查器 ( 如可免费下载的 Ethereal/Wireshark) 捕获电话与设置服务器之间的以太网数据包交互跟踪记录为此,

2 远程自定义 (R) 分配要使用 HTTPS 测试动态配置文件生成和单步远程设置, 我们推荐使用支持 GI 脚本的脚本语言开放源码 Perl 语言工具就是这种脚本语言的一个例子要验证设置服务器与电话之间的安全交换, 请安装以太网数据包探查器 ( 如可免费下载的 Ethereal/Wireshark) 捕获电话与设置服务器之间的以太网数据包交互跟踪记录为此, 请在连接至启用了端口镜像的交换机的 P 上运行数据包嗅探器对于 HTTPS 事务, 您可以使用 ssldump 实用程序远程自定义 (R) 分配在初次设置之前, 所有电话都会联系 isco EDOS R 服务器在 R 分配模式下, 客户购买已与 isco EDOS R 服务器中的特定服务提供商关联的电话 Internet 电话服务提供商 (ITSP) 设置和维护设置服务器, 并向 isco EDOS R 服务器注册设置服务器信息当电话通过 Internet 连接供电时, 未设置电话的自定义状态是打开首先, 电话会向本地 DHP 服务器查询设置服务器的信息, 并设置电话的自定义状态如果 DHP 查询成功, 自定义状态将设置为中断, 且不会因 DHP 提供所需的设置服务器信息而尝试 R 电话第一次连接到网络时或恢复出厂设置后, 如果没有设置 DHP 选项, 电话会联系设备激活服务器以执行零接触配置新电话将使用 activate.cisco.com 而不是 webapps.cisco.com 进行配置如果固件版本为 11.2 (1), 电话将继续使用 webapps.cisco.com 思科建议您允许这两个域名通过防火墙如果 DHP 服务器不提供设置服务器信息, 电话会查询 isco EDOS R 服务器, 并提供其 MA 地址和模型, 自定义状态将设置为挂起 isco EDOS 服务器响应关联服务提供商的设置服务器信息, 包括设置服务器 URL, 电话的自定义状态将设置为自定义挂起电话随后会执行重新同步 URL 命令, 以检索服务提供商的配置, 如果成功, 自定义状态将设置为已获得 2

内部设备预设置如果 isco EDOS R 服务器没有与电话关联的服务提供商, 电话的自定义状态将设置为不可用可以手动配置电话, 也可以为电话的服务提供商添加与 isco EDOS 服务器的关联如果电话通过 LD 或 Web 配置实用程序设置, 在自定义状态变为已获得之前, 自定义状态将设置为中断, 除非电话恢复出厂设置, 否则 isco EDOS 服务器不会查询设置电话后,

3 内部设备预设置如果 isco EDOS R 服务器没有与电话关联的服务提供商, 电话的自定义状态将设置为不可用可以手动配置电话, 也可以为电话的服务提供商添加与 isco EDOS 服务器的关联如果电话通过 LD 或 Web 配置实用程序设置, 在自定义状态变为已获得之前, 自定义状态将设置为中断, 除非电话恢复出厂设置, 否则 isco EDOS 服务器不会查询设置电话后, 除非电话恢复出厂设置, 否则不会使用 isco EDOS R 服务器内部设备预设置使用思科出厂默认配置, 电话会自动尝试重新同步到 TFTP 服务器上的配置文件 LAN 上的受管 DHP 服务器提供与配置用于预设置到设备的配置文件和 TFTP 服务器相关的信息服务提供商将各部新电话连接到 LAN 电话自动重新同步到本地 TFTP 服务器并初始化其内部状态, 以便为部署做好准备此预设置配置文件通常包括远程设置服务器的 URL 当设备部署完毕并连接到客户网络后, 设置服务器会保持设备更新电话发送给客户前, 可以扫描预设置设备的条形码, 以记录其 MA 地址或序列号此信息可用于创建电话将重新同步的配置文件收到电话之后, 客户会将其连接到宽带链路开机时, 电话将利用通过预设置配置的 URL 联系设置服务器因此, 电话将根据需要重新同步和更新配置文件及固件相关主题零星分配 TFTP 设置, 第 4 页 3

4 设置服务器的设定设置服务器的设定本节介绍使用各种服务器和不同场景设置电话的设定要求出于本文档和测试的目的, 设置服务器安装在本地 P 上并在其上运行而且, 通用软件工具对于设置电话很有用 TFTP 设置电话支持 TFTP 用于设置重新同步和固件升级操作如果设备是远程部署, 建议使用 HTTPS, 不过也可以使用 HTTP 和 TFTP 这就需要设置文件加密以增强安全性, 因为它采用 NAT 和路由器保护机制, 提供了更高的可靠性 TFTP 对于内部预设置大量未设置的设备非常有用电话能够通过 DHP 选项 66 直接从 DHP 服务器获取 TFTP 服务器 IP 地址如果用 TFTP 服务器的文件路径配置 Profile_Rule, 设备将从 TFTP 服务器下载其配置文件当设备连接到 LAN 并接通电源时, 即会开始下载提供出厂默认配置的 Profile_Rule 是 &PN.cfg, 其中 &PN 表示电话型号名称例如, 对于 P P, 文件名是 P P.cfg 对于具有出厂默认配置文件的设备, 在接通电源时, 设备将重新同步到 DHP 选项 66 指定的本地 TFTP 服务器上的此文件文件路径与 TFTP 服务器虚拟根目录相关相关主题远程端点控制和 NAT 内部设备预设置, 第 3 页电话与网络地址转换 (NAT) 兼容, 从而通过路由器访问 Internet 为增强安全性, 路由器可能会尝试通过实施对称 NAT 来阻止未经授权的传入数据包, 这是一种严格限制可从 Internet 进入受保护网络的数据包的数据包过滤策略为此, 不建议使用 TFTP 进行远程设置仅当提供某种形式的 NAT 穿越时,VoIP 才可与 NAT 共存配置通过 NAT 的简单 UDP 穿越 (STUN) 此选项要求用户具备 : 来自您服务的动态外部 ( 公共 )IP 地址运行 STUN 服务器软件的计算机具有非对称 NAT 机制的边缘设备 HTTP 设置电话的行为方式与从远程 Internet 站点请求网页的浏览器类似这将提供到达设置服务器的可靠方式, 即使客户路由器实施对称 NAT 或其他保护机制亦不受影响在远程部署中,HTTP 和 HTTPS 比 TFTP 可靠, 特别是当部署的设备在居民防火墙或支持 NAT 的路由器后面连接时在下列请求类型说明中,HTTP 和 HTTPs 可以互换使用 4

重新同步和升级时的 HTTP 状态代码处理基于基本 HTTP 的设置依赖于 HTTP GET 方法来检索配置文件通常, 会为所部署的每部电话创建一个配置文件, 这些文件存储在 HTTP 服务器目录中当服务器收到 GET 请求时, 其仅返回 GET 请求标头中指定的文件配置文件可以通过查询客户数据库并实时生成配置文件来动态生成, 而非静态当电话请求重新同步时, 它可以使用 HTTP

5 重新同步和升级时的 HTTP 状态代码处理基于基本 HTTP 的设置依赖于 HTTP GET 方法来检索配置文件通常, 会为所部署的每部电话创建一个配置文件, 这些文件存储在 HTTP 服务器目录中当服务器收到 GET 请求时, 其仅返回 GET 请求标头中指定的文件配置文件可以通过查询客户数据库并实时生成配置文件来动态生成, 而非静态当电话请求重新同步时, 它可以使用 HTTP POST 方法请求重新同步配置数据可以配置设备, 在 HTTP POST 请求的正文内向服务器传达特定状态和标识信息服务器使用此信息生成所需的响应配置文件, 或存储状态信息供日后分析和跟踪作为 GET 和 POST 请求的一部分, 电话会自动在请求标头的用户 - 代理字段中包含基本标识信息此信息包括制造商产品名称当前固件版本和设备的产品序列号下面的示例是来自 P P 的用户 - 代理请求字段 : User-Agent: isco-p p/11.0 (00562b043615) 将电话配置为使用 HTTP 重新同步到配置文件时, 建议使用 HTTPS 或对配置文件加密以保护机密信息电话在 B 模式中支持通过 256 位 AES 解密配置文件电话通过 HTTP 下载的加密配置文件避免了暴露配置文件中包含的机密信息的危险相比使用 HTTPS, 这种重新同步模式在设置服务器上产生的计算负载较少注释当 HTTP 1.1 版是协商的传输协议时, 电话支持 HTTP 1.0 版 HTTP 1.1 版和分块编码重新同步和升级时的 HTTP 状态代码处理电话支持远程设置 ( 重新同步 ) 的 HTTP 响应当前电话行为以三种方式归类 : A 成功, 其中重新同步周期和重新同步随机延迟值决定后续请求 B 故障, 找不到文件或者配置文件受损重新同步错误重试延迟值决定后续请求其他故障,URL 或 IP 地址不正确导致连接错误重新同步错误重试延迟值决定后续请求表 1: 针对 HTTP 响应的电话行为 HTTP 状态代码 301 Moved Permanently 302 Found 3xx 400 Bad Request 说明此请求以及未来请求应定向到新的位置被称为暂时移动不处理其他 3xx 响应由于语法不正确, 不能满足请求电话行为立即用新位置重试请求立即用新位置重试请求 5

6 HTTPS 设置 HTTP 状态代码 401 Unauthorized 403 Forbidden 404 Not Found 407 Proxy Authentication Required 4xx 500 Internal Server Error 501 Not Implemented 502 Bad Gateway 503 Service Unavailable 504 Gateway Timeout 5xx 说明基本或 digest 访问验证质询服务器拒绝响应找不到请求的资源允许客户端的后续请求基本或 digest 访问验证质询不会处理其他客户端错误状态代码一般错误消息服务器不识别请求方法, 或无法完成请求服务器充当网关或代理, 接收来自上游服务器的无效响应服务器当前不可用 ( 过载, 或因维护而停机 ) 这是一个临时状态服务器充当网关或代理, 不接收来自上游服务器的及时响应其他服务器错误电话行为立即用验证凭证重试请求最多重试 2 次发生故障时, 电话行为是 B 立即用验证凭证重试请求最多重试两次发生故障时, 电话行为是电话行为是电话行为是电话行为是电话行为是 HTTPS 设置电话支持 HTTPS 用于设置, 以提高管理远程部署设备的安全性除 Sipura A 服务器根证书之外, 每部电话携带唯一的 SLL 客户端证书 ( 以及关联的专用密钥 ) 后者可让电话识别授权的设置服务器, 并拒绝未经授权的服务器另一方面, 客户端证书可让设置服务器识别出发出请求的单个设备要使服务提供商使用 HTTPS 管理部署, 必须为电话使用 HTTPS 重新同步的每个设置服务器生成服务器证书服务器证书必须由 isco 服务器 A 根密钥签名, 所有部署的设备都会携带其证书为获得签名的服务器证书, 服务提供商必须将证书签名请求转发给思科, 思科将签名并返回服务器证书以供在设置服务器上安装设置服务器证书必须包含公用名称 (N) 字段以及在主题中运行服务器的主机的 FQDN 主机 FQDN 后可能包含信息, 以斜线 (/) 字符分隔以下示例为电话接受的有效 N 条目 : N=sprov.callme.com 6

7 获取签名的服务器证书获取签名的服务器证书除验证服务器证书, 电话将依据针对服务器证书中指定的服务器名称的 DNS 查找, 测试服务器 IP 地址 OpenSSL 实用程序可以生成证书签名请求以下示例显示了生成 1024 位 RSA 公共 / 专用密钥对和证书签名请求的 openssl 命令 : openssl req new out provserver.csr 此命令会在 privkey.pem 中生成服务器专用密钥, 并在 provserver.csr 中生成对应的证书签名请求服务提供商会保留 privkey.pem 密钥并将 provserver.csr 提交给思科签名收到 provserver.csr 文件之后, 思科会生成签名的服务器证书 provserver.crt 过程步骤 1 导航到并使用 O 凭证登录步骤 2 选择证书管理在签名 SR 上, 将上传之前步骤中的 SR 供签名步骤 3 从选择产品下拉列表框中, 选择 SPA1xx 固件和更高版本 /SPA232D 固件和更高版本 /SPA5xx 固件和更高版本 /P-78xx-3P/P-88xx-3P 注释本产品包含 isco IP Phone 6800 系列多平台电话步骤 4 在 SR 文件字段中, 单击浏览并选择 SR 供签名步骤 5 选择加密方法 : MD5 SHA1 SHA256 思科建议您选择 SHA256 加密步骤 6 从登录持续时间下拉列表框选择适用的持续时间 ( 例如 1 年 ) 步骤 7 单击登录证书请求步骤 8 选择以下选项之一接收签名的证书 : 步骤 9 单击提交输入收件人的电子邮件地址如果您想要通过电子邮件接收证书, 在此字段中输入您的电子邮件地址下载如果想要下载签名的证书, 请选择此选项 7

8 多平台电话 A 客户端根证书会下载签名的服务器证书, 或者通过电子邮件将其发送给之前提供的电子邮件地址多平台电话 A 客户端根证书思科还为服务提供商提供多平台电话客户端根证书此根证书验证每部电话携带的客户端证书的可靠性多平台电话还支持第三方签名的证书, 例如 Verisign ybertrust 等提供的证书在 HTTPS 会话期间, 每个设备提供的唯一客户端证书携带嵌入到其主题字段中的标识信息 HTTPS 服务器可将此信息提供给被调用来处理安全请求的 GI 脚本使用具体而言, 证书主题指示设备产品名称 (OU 元素 ) MA 地址 (S 元素,) 和序列号 (L 元素 ) 以下 isco IP Phone 6841 多平台电话客户端证书主题字段的示例显示了这些元素 : OU=P P, L=88012BA01234, S=000e08abcdef 要确定电话是否携带个性化的证书, 请使用 $ERT 设置宏变量视乎是否存在唯一的客户端证书而定, 变量值将扩展为已安装或未安装如果采用通用的证书, 可能要从用户 - 代理字段的 HTTP 请求标头中获取设备的序列号可将 HTTPS 服务器配置为从连接的客户端请求 SSL 证书如果启用, 服务器可以使用思科提供用以验证客户端证书的多平台电话客户端根证书服务器然后可以向 GI 提供证书信息以供进一步处理证书存储位置可能不尽相同例如, 在 Apache 安装中, 存储设置服务器签名证书的文件路径其关联的专用密钥以及多平台电话 A 客户端根证书如下所示 : # Server ertificate: SSLertificateFile /etc/httpd/conf/provserver.crt # Server Private Key: SSLertificateKeyFile /etc/httpd/conf/provserver.key # ertificate Authority (A): SSLAertificateFile /etc/httpd/conf/spacroot.crt 冗余设置服务器有关详细信息, 请参阅 HTTPS 服务器文档思科客户端证书根颁发机构会在每个唯一的证书上签名相应的根证书可供服务提供商用于验证客户端设置服务器可以指定为 IP 地址或者为完全限定域名 (FQDN) 使用 FQDN 可加快冗余设置服务器的部署通过 FQDN 确定设置服务器后, 电话将尝试通过 DNS 将 FQDN 解析为 IP 地址仅支持将 DNS A 记录用于设置 ;DNS SRV 地址解析对设置不适用在服务器响应之前, 电话将继续处理 A 记录如果没有与 A 记录关联的服务器响应, 电话将向系统日志服务器记录一个错误 8

9 系统日志服务器系统日志服务器如果使用 <Syslog Server> 参数在电话上配置系统日志服务器, 执行重新同步和升级操作时会发送消息到系统日志服务器消息可在远程文件请求开始 ( 配置文件或固件负载 ) 和操作结束 ( 指示成功或失败 ) 时生成记录的消息在以下参数中配置, 并宏扩展到实际的系统日志消息 : Log_Request_Msg Log_Success_Msg Log_Failure_Msg 9

10 系统日志服务器 10

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP #

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP # iptables 默认安全规则脚本一 #nat 路由器 ( 一 ) 允许路由 # iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT ( 二 ) DNAT 与端口转发 1 启用 DNAT 转发 # iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 dprot 422 -j DNAT to-destination