Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Configurar

Diagrama de Rede

Zona transversal

Servidor de transversal

Cliente transversal

Domínio de serviços de voz

Registros de DNS

Domínios SIP na Expressway-C

Nome de host/Endereço IP dos servidores CUCM

Certificados

NIC dupla

Duas Interfaces

Uma Interface - endereço IP público

Uma Interface - endereço IP privado

Verificar

Troubleshoot

Zona transversal

NIC dupla

DNS

Domínios SIP

Introduction

Este documento descreve como configurar o Cisco TelePresence Video Communication Server (VCS) para acesso remoto móvel (MRA, Mobile Remote Access) quando são utilizados vários domínios.

A configuração do MRA quando há apenas um domínio é relativamente simples e você pode seguir as etapas documentadas no guia de implantação. Quando a implantação envolve vários domínios, ela se torna mais complexa. Este documento não é um guia de configuração, mas descreve os aspectos importantes quando vários domínios estão envolvidos. A configuração principal é documentada no Guia de implantação do Cisco TelePresence Video Communication Server (VCS).

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Use as informações descritas nesta seção para configurar o VCS.

Diagrama de Rede

Este é um breve resumo dos diferentes domínios:

- domain1 - este é o domínio de borda usado pelo cliente para descobrir a localização do servidor de borda e pelo qual ele descobre o serviço de dados do usuário (UDS).

- domain2 e domain3 - usados na descoberta de servidores.

- domain4 - este é o domínio de mensagens instantâneas e de presença (IM&P) usado pelo tráfego da plataforma extensível de comunicações (XCP) e do protocolo extensível de Mensagem e Presença (XMPP).

Zona transversal

A zona transversal consiste no servidor transversal (Expressway E), localizado na zona desmilitarizada (DMZ) e no cliente transversal (Expressway C), localizado dentro da rede:

Servidor de transversal

O servidor transversal está localizado na configuração de zona da Expressway E:

Cliente transversal

O cliente transversal está localizado na configuração de zona da Expressway C:

Domínio de serviços de voz

O usuário sempre faz logon com userid@domain4, já que não deve haver nenhuma diferença na experiência do usuário quando dentro ou fora do ambiente do usuário. Isso significa que se domain1 é diferente de domain4, você deve configurar o domínio de serviços de voz no cliente Jabber. Isso ocorre porque a parte do domínio do logon é usada para descobrir os serviços de borda de colaboração pelo uso de pesquisas no registro de serviço (SRV).

O cliente executa uma consulta de registro SRV no sistema de nomes de domínio (DNS) por _collab-edge._tls.<domain>. Isso significa que, quando o domínio da ID de logon do usuário é diferente do domínio da Expressway E, você deve usar a configuração do domínio de serviço de voz. O Jabber usa essa configuração para descobrir a borda de colaboração e o UDS.

Existem várias opções que você pode usar para realizar essa tarefa:

1. Adicione-o como um parâmetro quando você instalar o Jabber com a Media Services Interface (MSI):

msiexec /i CiscoJabberSetup.msi VOICE_SERVICES_DOMAIN=domain1 CLEAR=1

2. Navegue até %APPDATA% > Cisco > Unified Communications > Jabber > CSF > Config e crie este arquivo jabber-config-user.xml no diretório:

<?xml version="1.0" encoding="utf-8"?>

<config version ="1.0">

<Policies>

<VoiceServicesDomain>domain1</VoiceServicesDomain>

</Policies>

</config>

Note: Esse método é experimental e não tem suporte oficial da Cisco.

3. Edite o arquivo jabber-config.xml. Isso exige que o cliente faça o logon internamente primeiro. O Jabber Config File Generator pode ser usado para:

<Policies>

<VoiceServicesDomain>domain1</VoiceServicesDomain>

</Policies>

4. Além disso, clientes Jabber móveis podem ser configurados para o domínio de serviços de voz de início, então não precisam fazer logon internamente primeiro. Isto é explicado no guia de instalação e implantação no capítulo Descoberta de serviço. Você deve criar uma URL de configuração que o usuário precisa clicar:
ciscojabber://provision?ServicesDomain=domain4&VoiceServicesDomain=domain1

Note: É necessário usar o domínio de serviços de voz porque você deve assegurar que executou a pesquisa nos registos SRV de borda de colaboração para o domínio externo (domain1).

Registros de DNS

Esta seção descreve as definições de configuração dos registros de DNS internos e externos.

Externos

Tipo

Entrada

Resolve em

Registro SRV

_collab-edge._tls.domain1

ExpresswayE.domain1

Um registro

ExpresswayE.domain1

O endereço IP da Expressway E

É importante notar que:

- Os registros SRV retornam um nome de domínio totalmente qualificado (FQDN) e não um endereço IP.

- O FQDN retornado pelos registros SRV deve corresponder ao FQDN real da Expressway-E ou o destino do registro SRV é um CNAME e os pontos de alias para um servidor dentro do mesmo domínio da Expressway-E (ID de Cisco bug pendente CSCuo82526).

Isso é necessário porque a Expressway-E define um cookie no cliente com domínio próprio (domain1) e se isto não corresponde ao domínio retornado pelo FQDN, o cliente não aceita isso. A ID do Cisco bug CSCuo83458 está em aberto como um aprimoramento para esse cenário.

Interno

Tipo

Entrada

Resolve em

Registro SRV

_cisco-uds._tcp.domain1

cucm.domain3

Um registro

cucm.domain3

Endereço IP CUCM

Devido ao domínio de serviços de voz estar definido como domain1, o Jabber incorpora domain1 na URL transformada da descoberta de configuração de borda de colaboração (get edge_config). Uma vez recebida, a Expressway-C executa uma consulta de registro no UDS do SRV por domain1 e retorna os registros na mensagem 200 OK.

Tipo

Entrada

Resolve em

SRV

_cisco-uds._tcp.domain4

cucm.domain3

Um registro

cucm.domain3

Endereço IP CUCM

Quando o cliente está na rede, a descoberta de registro no UDS do SRV é necessária para o domain4.

Domínios SIP na Expressway-C

Você deve adicionar esses domínios do Session Initiation Protocol (SIP) à Expressway-C e ativá-los para ARM:

Nome de host/Endereço IP dos servidores CUCM

Ao configurar os servidores Cisco Unified Communications Manager (CUCM), existem dois cenários:

- Se a Expressway-C (domain2) estiver configurada no mesmo domínio que o servidor CUCM (domain3), você pode configurar os servidores CUCM (Sistema > Servidores) com:

- O endereço IP

- O nome de host

- O FQDN

- Se a Expressway-C (domain2) estiver configurada em um domínio diferente do servidor CUCM (domain3), então você deve configurar os servidores CUCM com:

- O endereço IP

- O FQDN

Isso é necessário porque quando a Expressway-C descobre os servidores CUCM e o nome de host é retornado, ela executa uma pesquisa de DNS por hostname.domain2, que não funciona se domain2 e domain3 são diferentes.

Certificados

Além dos requisitos de certificado geral, algumas coisas devem ser adicionadas aos nomes alternativos de assunto (SAN, Subject Alternate Names) dos certificados:

- Expressway-C

- Os aliases de nó de bate-papo configurados nos servidores IM&P devem ser adicionados. Isso só é necessário para implantações em federação do Unified Communications XMPP que pretendam usar a segurança de camada de transporte (TLS) e o bate-papo em grupo. Isso é adicionado automaticamente à solicitação de assinatura de certificado (CSR, Certificate Signing Request), desde que ele já tenha descoberto os servidores IM&P.

- Os nomes, no formato FQDN, de todos os perfis de segurança por telefone no CUCM configurados com TLS criptografado e usados em dispositivos que exigem acesso remoto devem ser adicionados.

Note: O formato FQDN é apenas necessário quando sua autoridade de certificação (CA) não permite a sintaxe de nome de host no SAN.

- Expressway-E

- O domínio usado para descoberta de serviços (domain1) deve ser adicionado.

- Domínios em federação XMPP.

- Os aliases de nó de bate-papo configurados nos servidores IM&P devem ser adicionados. Isso só é necessário para implantações em federação do Unified Communications XMPP que pretendam usar TLS e bate-papo em grupo. Eles podem ser copiados da CSR gerada na Expressway-C.

NIC dupla

Esta seção descreve as definições de configuração quando placas de interface de rede (NICs) duplas são usadas.

Duas Interfaces

Ao configurar a Expressway-E para usar interfaces de rede duplas, é importante assegurar que as duas interfaces estejam configuradas e sejam usadas.

Quando a opção Usar interfaces de rede duplas é configurada com um valor de Sim, o Expressway-E só escuta na interface interna para comunicação XMPP com o Expressway-C. Portanto, você deve garantir que essa interface esteja configurada e funcione corretamente.

Uma Interface - endereço IP público

Quando apenas uma interface é usada e você configura a Expressway-E com um endereço IP público, nenhuma consideração especial é necessária.

Uma Interface - endereço IP privado

Quando apenas uma interface é usada e você configura a Expressway-E com um endereço IP privado, você também deve configurar o endereço estático da Network Address Translation (NAT):

Nesta situação, é importante assegurar que:

- A Expressway-C tem permissão do firewall para enviar tráfego ao endereço IP público. Isso é conhecido como reflexão de NAT

- A zona do cliente transversal na Expressway-C é configurada com um endereço de mesmo nível que corresponde ao endereço NAT estático na Expressway-E, que é 20.20.20.20 neste caso.

Tip: Mais informações sobre implantações de redes avançadas estão disponíveis no Apêndice 4 do Guia de implantação da configuração básica (controle do Expressway) do Cisco TelePresence Video Communication Server.

Verificar

No momento, não há procedimento de verificação disponível para esta configuração.

Troubleshoot

Esta seção disponibiliza informações para a solução de problemas de configuração.

Alguns cenários específicos são cobertos nesta seção, mas você também pode usar o Analisador de soluções de colaboração que oferece uma visão detalhada de todas as comunicações para tentativas de logon ARM e informações para a solução de problemas com base em seus registros de diagnóstico.

Zona transversal

Quando o endereço de mesmo nível é configurado como um endereço IP ou não corresponde ao nome comum (CN), isso aparece nos registros:

Event="Outbound TLS Negotiation Error" Service="SIP" Src-ip="10.48.80.161"

Src-port="25697" Dst-ip="10.48.36.171" Dst-port="7001" Detail="Peer's TLS

certificate identity was unacceptable" Protocol="TLS" Common-name="10.48.36.171"

Quando a senha está incorreta, você vê isso nos registros da Expressway-E:

Module="network.ldap" Level="INFO": Detail="Authentication credential found in

directory for identity: traversal"

Module="developer.nomodule" Level="WARN" CodeLocation="ppcmains/sip/sipproxy/

SipProxyAuthentication.cpp(686)" Method="SipProxyAuthentication::

checkDigestSAResponse" Thread="0x7f2485cb0700": calculated response does not

match supplied response, calculatedResponse=769c8f488f71eebdf28b61ab1dc9f5e9,

response=319a0bb365decf98c1bb7b3ce350f6ec

Event="Authentication Failed" Service="SIP" Src-ip="10.48.80.161"

Src-port="25723" Detail="Incorrect authentication credential for user"

Protocol="TLS" Method="OPTIONS" Level="1"

NIC dupla

Quando a NIC dupla está ativada, mas a segunda interface não é usada nem está conectada, a Expressway-C não pode se conectar com a Expressway-E para a comunicação XMPP na porta 7400 e os registros da Expressway-C mostram isso:

xwayc XCP_JABBERD[23843]: UTCTime="2014-03-25 17:19:45,843" ThreadID=

"139747212576512" Module="Jabber" Level="INFO " CodeLocation="mio.c:1109"

Detail="Connecting on fd 28 to host '10.48.36.171', port 7400"xwayc

XCP_JABBERD[23843]: UTCTime="2014-03-25 17:19:45,847" ThreadID="139747212576512"

Module="Jabber" Level="ERROR" CodeLocation="mio.c:1121" Detail="Unable to

connect to host '10.48.36.171', port 7400:(111) Connection refused"

xwayc XCP_JABBERD[23843]: UTCTime="2014-03-25 17:19:45,847" ThreadID=

"139747406935808" Module="Jabber" Level="ERROR" CodeLocation=

"base_connection.cpp:104" Detail="Failed to connect to component

jabberd-port-1.expresswayc-vngtp-lab"

DNS

Quando o FQDN retornado pela pesquisa de registro SRV para borda de colaboração não corresponde ao FQDN configurado na Expressway-E, os registros do Jabber mostram esse erro:

WARNING [9134000] - [csf.edge][executeEdgeConfigRequest] XAuth Cookie expiration

time is invalid or not available. Attempting to Failover.

DEBUG [9134000] - [csf.edge][executeEdgeConfigRequest]Failed to retrieve

EdgeConfig with error:INTERNAL_ERROR

Nos registros de diagnóstico da Expressway-E, você pode ver para qual domínio o cookie está definido na mensagem HTTPS:

Set-Cookie: X-Auth=1e1111e1-dddb-49e9-ad0d-ab34526e2b00; Expires=Fri,

09 May 2014 20:21:31 GMT; Domain=.vngtp.lab; Path=/; Secure

Domínios SIP

Quando os domínios SIP necessários não são adicionados à Expressway-C, a Expressway-E não aceita mensagens desse domínio e nos registros de diagnóstico você vê uma mensagem 403 Forbidden enviada para o cliente:

ExpresswayE traffic_server[15550]:

Module="network.http.trafficserver" Level="DEBUG": Detail="Sending Response"

Txn-id="2" Dst-ip="10.48.79.80" Dst-port="50314"

HTTPMSG:

|HTTP/1.1 403 Forbidden

Date: Wed, 21 May 2014 14:31:18 GMT

Connection: close

Server: CE_E

Content-Length: 0

ExpresswayE traffic_server[15550]: Event="Sending HTTP error response"

Status="403" Reason="Forbidden" Dst-ip="10.48.79.80" Dst-port="50314"