Cisco Cisco Expressway

 

If you used an external system to generate the Certificate Signing Request (CSR) you must also upload the 
server private key PEM file that was used to encrypt the server certificate. (The private key file will have been 
automatically generated and stored earlier if the Expressway was used to produce the CSR for this server 
certificate.)

 

—

The server private key PEM file must not be password protected.

 

—

You cannot upload a server private key if a certificate signing request is in progress.

 

Click Upload server certificate data.

 If you are using Unified CM version 8.5(1) or earlier and are having problems establishing a TLS connection 

between Expressway and Unified CM, we recommend adding the following x509 extended key attributes into the 
CSR:

 

■

serverAuth (1.3.6.1.5.5.7.3.1) -- TLS Web server authentication

 

■

clientAuth (1.3.6.1.5.5.7.3.2) -- TLS Web client authentication

 

■

ipsecEndSystem (1.3.6.1.5.5.7.3.5) -- IP security end system

The Trusted CA certificate page (Maintenance > Security certificates > Trusted CA certificate) allows you to 
manage the list of certificates for the Certificate Authorities (CAs) trusted by this Expressway. When a TLS 
connection to Expressway mandates certificate verification, the certificate presented to the Expressway must be 
signed by a trusted CA in this list and there must be a full chain of trust (intermediate CAs) to the root CA.

The root CA of the Unified CM server certificate must be loaded into the Expressway's trusted CA certificate list.

To upload a new file containing one or more CA certificates, Browse to the required PEM file and click Append CA 
certificate. This will append any new certificates to the existing list of CA certificates. If you are replacing existing 
certificates for a particular issuer and subject, you have to manually delete the previous certificates.

Repeat this process on every Expressway that will communicate with this Unified CM.

Load Server and Trust Certificates on Unified CM

Certificate management for Unified CM is performed in the Cisco Unified OS Administration application.

All  existing certificates are listed under Security > Certificate Management. Server certificates are of type certs and 
trusted CA certificates are of type trust-certs.

By default, Unified CM has a self-signed server certificate CallManager.pem installed. We recommend that this is 
replaced with a certificate generated from a trusted certificate authority.

To load the root CA certificate of the authority that issued the Expressway certificate (if it is not already loaded):

 

Click Upload Certificate/Certificate chain.

 

Select a Certificate Name of CallManager-trust.

 

Click Browse and select the file containing the root CA certificate of the authority that issued the Expressway 
certificate.

 

Click Upload File.

Repeat this process on every Unified CM server that will communicate with Expressway. Typically this is every node 
that is running the CallManager service.

Set the Cluster Security Mode to Mixed Mode

The Cisco Unified Communications Manager cluster must be in Mixed Mode to allow the registration of both secure 
devices and non-secure devices. This allows for best effort encryption between the Expressway and the Cisco 

26

Cisco Expressway SIP Trunk to Unified CM Deployment Guide

Connecting Expressway to Unified CM Using TLS