SRTP с MS CA и локальным сетевым интерфейсом

[anonymous]

Всем привет!
Есть необходимость настройки SRTP для внешних VoIP клиентов, в статье приведен пример с Simple CA, однако, у меня уже есть действующий MS CA (2008), поэтому сразу есть вопросы по соответствию типов сертификатов из Simple CA c шаблонами по которым выпускаются сертификаты в MS CA. Для 3CX сервера необходим TLS сертификат, может подойти шаблон веб-сервер или любой по сходному назначению? На клиентах же устанавливается корневой сертификат как доверительный центр - это ещё можно понять (аутентификация идет только сервера), но, с указанным общим именем 3CXPHONE, вот здесь интересней, я искренне надеюсь, что я неправильно понял этот момент из статьи. Или в действительности разработчики замутили такую хрень?
Что касается сетевого интерфейса который в 3CX сервере только один и внутренний, на вкладке безопасность я могу указать сертификаты только к определенным адресам, внешний адрес у меня находится на шлюзе. В настройках сети я указал внешний адрес (шлюза), но даже после этого в безопасности не добавилось внешнего интерфеса. Как необходимо настраивать систему, чтобы не выделять физически внешний адрес для сервера, а просто на шлюзе прокинуть необходимые порты?

 

[misstake2012]

Шифрование голоса SRTP работает и без сертификатов. Включаете у клиента, включаете в 3CX в общих настройках и в настройках внутреннего номера.

Что касается сетевого интерфейса который в 3CX сервере только один и внутренний, на вкладке безопасность я могу указать сертификаты только к определенным адресам

Мы как-то сталкивались с этим, пришлось физически добавлять еще один интерфейс с реальным IP, а потом генерили два сертификата, один для локалки, другой для реального IP. Клиенту соответственно тоже загружали по два сертификата.

 

[anonymous]

Наверное, остановлюсь на шифровании без сертификатов, т.к. второй интерфейс невозможен физически.
Что же касается двух сертификатов для клиентов не могу разобраться, по статье для них экспортируется корневой сертификат, чтобы подтвердить подлинность серверного или я что-то неправильно понял?

 

[misstake2012]

видимо так и есть, самому интересно

 

[anonymous]

@Sergiy wrote:На клиентах же устанавливается корневой сертификат как доверительный центр - это ещё можно понять (аутентификация идет только сервера), но, с указанным общим именем 3CXPHONE, вот здесь интересней, я искренне надеюсь, что я неправильно понял этот момент из статьи. Или в действительности разработчики замутили такую хрень?
Никакой "хрени" никто не "мутил".
@Sergiy wrote:
Что же касается двух сертификатов для клиентов не могу разобраться, по статье для них экспортируется корневой сертификат, чтобы подтвердить подлинность серверного или я что-то неправильно понял?
Вы всё поняли правильно. Есть CA. Есть его подписи на сертификатах серверов. Есть клиент, который доверяет CA.

Думаю, что сначала надо попробовать настроить TLS для внутренней сети используя существующий MS CA (разобраться с тем, как нужно заполнять запросы на сертификацию для PBX).
Как только заработает в локальной сети, попробуем решить (или обойти) проблему пользовательского интерфейса.

Спасибо за вопрос

 

[anonymous]

Допустим, я выпущу подходящий сертификат для сервера под указанный ip адрес. Но для клиентов мне придется перевыпустить корневой сертификат CA, чтобы common name было 3CXPHONE?

 

[anonymous]

@Sergiy wrote:Допустим, я выпущу подходящий сертификат для сервера под указанный ip адрес. Но для клиентов мне придется перевыпустить корневой сертификат CA, чтобы common name было 3CXPHONE?

Практика, лучшая проверка теории. Зачем предполагать? Просто попробуйте.

О "3CXPHONE", который фигурирует в этом (и предыдущем, на который я уже ответил), вопросе:
"3CXPHONE" это не "замутка разработчиков", это просто пример заполнения полей пользовательского интерфейса Simple CA, который фигурировал в статье.

 

[anonymous]

Я понял, просто пример в простой красной рамке. Завтра попробую.

 

[anonymous]

Итак, выпустил сертификат по шаблону Веб-сервер, экспортировал его в файл личной информации и затем уже при помощи утилиты openssl.exe перегнал в base64
Как это сделать подсказали здесь http://forum.ixbt.com/topic.cgi?id=7:40870

Вставил текст сертификата и ключа в дополнительных настройках, включил использование Secure SIP, затем перезагрузил сервисы.

Далее экспортировал корневой сертификат моего CA в root_cert*.pem файл (base64) и указал в клиенте TLS, импортировал сертификат, клиент сказал, что успешно.

Пытаюсь подключиться к серверу - нет соединения.

Следующая ошибка появляется в логе сервера:
15:41:34.422 Exception thrown from Transportprocess: ParseException .ParseBuffer.cxx:79, Parse failed skipped over eof in context:
****_***[**N******_*{(*g****+*m0*R***eP******4*****9*5*8*****3*/*2***
^
@ .ParseBuffer.cxx:79

 

[anonymous]

Похоже, что Вы забыли к адресу сервера добавить :5061

 

[anonymous]

Совершенно верно! Так оно и есть, после указания порта соединение прошло и совершаются звонки. Можно ли как-то проверить работает ли оно в режиме secure sip или если в соединении указано tls, то в простом практически уже не может?

 

[anonymous]

Итак, с последним разобрался, в логах явно пишет транспорт - TLS. Под руками был Yealink T20P настроил его аналогичным методом - на дисплее индикация замка появилась, так я сразу понял - оно.
Теперь, что касается внешних соединений, дальше я пойти не смогу, у меня на шлюзе ISA 2006 без SIP фильтра (я его не нашел), ставить сейчас FF нет возможности.
PS
Но разве STUN не должен был помочь мне в решении этой проблемы?