Cisco Cisco Expressway

These instructions explain how to take a system that is already configured and working using a TCP 
interconnection between Expressway and Unified CM, and to convert that connection to use TLS instead. 
This process involves:

 

n 

Ensuring certificate trust between Unified CM and Expressway

 

n 

Setting the Cluster Security Mode of the Unified CM to 1 (Mixed Mode)

 

n 

Configuring a SIP trunk security profile on Unified CM

 

n 

Updating the Unified CM trunk to Expressway to use TLS

 

n 

Updating the Expressway neighbor zone to Unified CM to use TLS

For Unified CM and Expressway to establish a TLS connection with each other:

 

n 

Expressway and Unified CM must both have valid server certificates loaded (you must replace the 
Expressway's default server certificate with a valid server certificate)

 

n 

Unified CM must trust Expressway’s server certificate (the root CA of the Expressway server certificate 
must be loaded onto Unified CM)

 

n 

Expressway must trust Unified CM’s server certificate (the root CA of the Unified CM server certificate 
must be loaded onto Expressway)

See 

 for full details about loading certificates 

and how to generate CSRs on Expressway to acquire certificates from a Certificate Authority (CA).

Note that in a clustered environment, you must install CA and server certificates on each peer/node 
individually.

We strongly recommend that you do not use self-signed certificates in a production environment.

Expressway has only one server certificate. By default, this is a certificate signed by a temporary certificate 
authority. We recommend that it is replaced by a certificate generated by a trusted certificate authority.

To upload a server certificate:

 1.  Go to 

.

 2.  Use the Browse button to select and upload the server certificate PEM file.

 3.  If you used an external system to generate the certificate request you must also upload the server private 

key PEM file that was used to encrypt the server certificate. (The private key file will have been 
automatically generated and stored earlier if the Expressway was used to produce the signing request for 
this server certificate.)

 

l 

The server private key must not be password protected.

 

l 

You cannot upload a server private key if a certificate signing request is in progress.

 4.  Click Upload server certificate data.

Unified CM with Cisco Expressway (SIP Trunk) Deployment Guide (X8.1)

Page 24 of 40

Connecting Expressway to Unified CM using TLS