Cisco Cisco Expressway

These instructions explain how to take a system that is already configured and working using a TCP 
interconnection between Expressway and Unified CM, and to convert that connection to use TLS instead. 
This process involves:

 

n 

Ensuring certificate trust between Unified CM and Expressway

 

n 

Configuring a SIP trunk security profile on Unified CM

 

n 

Updating the Unified CM trunk to Expressway to use TLS

 

n 

Updating the Expressway neighbor zone to Unified CM to use TLS

For Unified CM and Expressway to establish a TLS connection with each other:

 

n 

Expressway and Unified CM must both have valid server certificates loaded (you must replace the 
Expressway's default server certificate with a valid server certificate)

 

n 

Unified CM must trust Expressway’s server certificate (the root CA of the Expressway server certificate 
must be loaded onto Unified CM)

 

n 

Expressway must trust Unified CM’s server certificate (the root CA of the Unified CM server certificate 
must be loaded onto Expressway)

See 

 for full details about loading certificates 

and how to generate CSRs on Expressway to acquire certificates from a Certificate Authority (CA).

Note that in a clustered environment, you must install CA and server certificates on each peer/node 
individually.

We strongly recommend that you do not use self-signed certificates in a production environment.

Certificate management is performed in the 

 application.

All  existing certificates are listed under 

. Server certificates are of type 

certs and trusted CA certificates are of type trust-certs.

By default, Unified CM has a self-signed server certificate CallManager.pem installed . We recommend that 
this is replaced with a certificate generated from a trusted certificate authority.

To load the root CA certificate of the authority that issued the Expressway certificate (if it is not already 
loaded):

 1.  Click Upload Certificate/Certificate chain.

 2.  Select a Certificate Name of CallManager-trust.

 3.  Click Browse and select the file containing the root CA certificate of the authority that issued the 

Microsoft Lync and Cisco Expressway Deployment Guide (X8.1)

Page 43 of 63

Connecting Expressway to Unified CM using TLS