Cisco Cisco Expressway

tomcat self-signed certs have the same CN in the Expressway's trusted CA list, then it can only trust one of them. 
This means that either secure HTTP or secure SIP, between Expressway-C and Cisco Unified Communications 
Manager, will fail.

Also, when generating tomcat certificate signing requests for any products within the Cisco Collaboration Systems 
Release 10.5.2, you need to be aware of 

. You need to work around this issue to ensure that the 

FQDNs of the nodes are in the certificates as Subject Alternative Names. The Expressway X8.5.3 Release Notes have 
the details of the workarounds.

Expressway Certificates

The Expressway certificate signing request (CSR) tool prompts for and incorporates the relevant subject alternate 
name (SAN) entries as appropriate for the Unified Communications features that are supported on that Expressway.

The following table shows which CSR alternative name elements apply to which Unified Communications features:

Add these items

as Subject 

Alternative Names

When generating a CSR for these purposes

Mobile and Remote 

Access

Jabber 

Guest

XMPP Federation

Business to 

Business Calls

Unified CM registrations domains

Required on 

Expressway-E only

—

—

—

XMPP federation domains

—

—

Required on 

Expressway-E only

—

IM and Presence chat node 
aliases
(federated group chat)

—

—

Required

—

Unified CM phone security profile 
names

Required on 

Expressway-C only

—

—

—

 

■

You may need to produce a new server certificate for the Expressway-C if chat node aliases are added or 
renamed, when IM and Presence nodes are added or renamed, or when new TLS phone security profiles are 
added. 

 

■

You must produce a new Expressway-E certificate if new chat node aliases are added to the system, or if the 
Unified CM or XMPP federation domains are modified. 

 

■

You must restart the Expressway for any new uploaded server certificate to take effect.

More details about the individual feature requirements per Expressway-C / Expressway-E are described below.

The Expressway-C server certificate needs to include the following elements in its list of subject alternate names:

 

■

Unified CM phone security profile names: the names of the Phone Security Profiles in Unified CM that are 
configured for encrypted TLS and are used for devices requiring remote access. Use the FQDN format and 
separate multiple entries with commas.

Having the secure phone profiles as alternative names means that Unified CM can communicate via TLS with 
the Expressway-C  when it is forwarding messages from devices that use those  profiles.

9

Cisco Expressway Certificate Creation and Use Deployment Guide

Server Certificate Requirements for Unified Communications