Criptografando o seu SIP Trunk com TLS

Fala pessoal!!!
Primeiramente, gostaria de desejar um feliz 2014!!

Faz bastante tempo que eu num faço um post no blog que não seja relatos de pessoas que passaram na prova. Confesso que é uma forma bastante prática de manter o blog atualizado! hahaha... só que num é só disso que pode viver o blog, né? Por outro lado, o blueprint atual está quase no fim, e não tenho o intuito de ficar me atualizando no blueprint novo para postar coisas relativas à próxima prova (a não ser que eu capitalize o blog e comece a ganhar dinheiro com isso! hahaha).

Portanto, hoje farei um post sobre um assunto que num tem nada a ver com a prova (pelo menos não a atual), mas que eu achei extremamente difícil achar referências boas na Internet quando precisei fazer. É sobre a configuração de um voice gateway SIP criptografado (TLS), usando certificados da estrutura do cliente. O que tem bastante na internet é sobre como fazer usando certificados self-signed do CUCM e Gateway, mas convenhamos que num deployment real, dificilmente isso vai acontecer. Geralmente o cliente tem toda uma estrutura de certificados da empresa para os seus serviços, e pede que a gente utilize essa estrutura.

Ok, serei sincero. Isso definitivamente não é a minha área de especialidade, então certamente tem coisa que pode estar errada. O que mostro abaixo é como eu fiz e deu certo.

Importando os certificados no Roteador

1. Crie um par de chaves (pública e privada) no Voice Gateway, dando um nome qualquer. Sugiro nomear com o próprio Hostname do roteador:

crypto key generate rsa general-keys label <HOSTNAME> mod 2048 exportable

2. Crie um Trustpoint no Voice Gateway, e nomeie ele com o Hostname:

crypto pki trustpoint <HOSTNAME>
 enrollment terminal
 fqdn HOSTNAME.domain.example.com ! - hostname e domínio
 subject-name CN=HOSTNAME.domain.example.com
 revocation-check none
 rsakeypair <HOSTNAME> ! - referencia às chaves criadas  no passo 1

3. Autentique o trustpoint, incluindo certificado Root

crypto pki authenticate <HOSTNAME>

Ao dar o comando, o roteador vai pedir para você colar o certificado root. Esse certificado você deve pedir ao cliente:

Enter the base 64 encoded CA certificate
<COLE A STRING CONTENDO O CERTIFICADO ROOT>

4. Gere o CSR (Certificate Sign Request) do roteador para ser assinado pelo cliente:

crypto pki enroll <HOSTNAME>
%Start certificate enrolment ..
Include serial? No
Include IP Address? No
Display CSR? Yes

O roteador vai gerar uma string, que você deve copiar toda ela num TXT e encaminhar para o cliente assinar no CA dele. Caso seja um Windows, o template deve conter as funções TLS Web Server Authentication, TLS Web Client Authentication e IPSec End System.


5. Quando o cliente enviar o certificado assinado pelo CA dele, importe de volta para o Roteador:

crypto pki import <HOSTNAME> certificate
Enter the base 64 encoded certificate
<COLE A STRING CONTENDO O CERTIFICADO ASSINADO>

Agora vamos fazer a parte dos certificados do CUCM.

Importando os certificados no CUCM

1. No CUCM, entre no OS Administrator. Vá em Security >> Certificate Management

2. Clique em Upload Certificate, e faça upload do Certificado Root para CallManager-trust e tomcat-trust.

3. Clique em Generate CSR e gere os CSRs do CallManager e tomcat.

4. Clique em Download CSR para baixar os arquivos

5. Envie para o cliente assinar no CA dele. Caso seja um Windows, o template deve conter as funções TLS Web Server Authentication, TLS Web Client Authentication e IPSec End System.

6. Quando o cliente mandar os certificados assinados, importe novamente como CallManager e tomcat (sem o trust).

7. Faça isso em todos os servidores do cluster, e depois reinicie tudo.

Configurando o SIP Trunk no CUCM

1. Crie um SIP Trunk Security Profile, marcando a opção Encrypted, com transport type TLS. No X.509 Subject Name, coloque o Hostname e Domain name do roteador, como no exemplo abaixo

2. Crie um SIP Trunk como o usual, mas marque a opção SRTP Allowed, aplique o Security Profile criado acima, e utilize a porta 5061 como Destination Port. Como Device Name do trunk, utilize o Hostname do roteador.

Configurando o SIP Trunk no Gateway

1. Crie a dial-peer voip normalmente, porém com os dois comandos destacados abaixo:

dial-peer voice X voip
 destination-pattern <XXXX>
 session protocol sipv2
 session target ipv4:x.x.x.x:5061
 session transport tcp tls
 srtp fallback
 (...)

2. Configure o SIP-TLS:

sip-ua
 crypto signalling remote-addr <CUCM-Pub> 255.255.255.255 trustpoint <HOSTNAME> strict-cipher
 crypto signalling remote-addr <CUCM-Sub> 255.255.255.255 trustpoint <HOSTNAME> strict-cipher

E pronto!

Troubleshooting

Esses debugs são muito úteis para fazer o troubleshooting do TLS

debug ssl openssl errors
debug ssl openssl msg
debug ssl openssl state
show sip-ua connection tcp tls detail

Diego Nóbrega, CCIE #41728

Uma coisa é passar no CCIE, e outra coisa é passar no CCIE com um turbilhão de coisas acontecendo na sua vida pessoal. Realmente, o que o Diego fez é para poucos. Quando o mundo inteiro parecia estar indo contra ele, ele levantou a cabeça, e sempre com muito bom humor deu um tapa na cara dos problemas, e uma voadora na nuca dos desafios.
Acompanhei a saga do Diego do começo ao fim. Foram muitas conversas, muitos desabafos, muitos rabiscos no quadro, e até "empurradas" de leve! hehehe... Vi ele 100% focado e confiante, e vi também ele quase desistindo da porra toda e largando tudo para o alto.
Quando recebi a notícia de que ele havia passado, fiquei realmente muito feliz. Foi como se eu mesmo tivesse passado... Mentira!!! Nem foi tão da hora assim! ehuaheuaheuhauea... Mas foi realmente uma notícia que me deixou muito contente e aliviado. Até porque tava foda estar com um engenheiro a menos no time! hahahaha
Diegão, parabéns cara! Sei o quanto foi difícil, não só pela prova em si, mas por tudo que você passou nesse 1 ano. Espero que esse sacrifício te traga bons frutos daqui pra frente.

################################################################################

Antes de qualquer coisa...
Obrigado!!! Obrigado Deus, filhos, família, amigos e à Dimension Data!

Acho que os fatores cruciais para minha aprovação foi o apoio incondicional que tive (simplesmente de todo mundo), determinação e força de vontade. Minha jornada para o CCIE Voice teve início no final de Novembro de 2012, quando fui sinalizado pela Dimension Data quanto ao apoio nesta empreitada, neste momento, aproveitei a promoção do Black Friday e reservei minha vaga pro bootcamp com o VIK no IPExpert.

Utilizei todo material do IPExpert como base dos estudos e também o Blog do Bruno. Comecei assistindo aos videos do Vik, bem conceitual, mas eu já havia alterado minha rotina, minha vida era dentro do Laboratório da Dimension Data que ficou exclusivo para meu uso.

Após assistir a todos os videos e ter muitas anotações, parti para o WorkBook I, fui fazendo os labs, testando funcionalidade por funcionalidade, a cada dia que passava me sentia mais satisfeito com meu desenvolvimento e via quao grande era o abismo entre o nível "Professional" e "Expert", mas eu sabia que esse abismo ia se tornando cada vez menor a cada dia que passava. Tive o apoio muito próximo do Bruno, que sempre arrumava um tempinho pra tirar as dúvidas que surgiam (o blog também está bem rico de informações e tem uma leitura agradável).

O proximo passo foi partir pro Workbook II e já de olho nos labs do BootCamp. Eu simplesmente treinava todos os dias, sem folga, sem carnaval, sem pascoa, sem nada, meu foco era total nos labs mas ainda estava muuuito lento, mesmo confiante tecnicamente, sabia que velocidade era crucial pro exame e esse era meu gap naquele momento.

Fui pra San Jose para participar do BootCamp (Maio) e posso dizer que me deu uma visão mais clara sobre o formato da prova, o Vik é foi muito atencioso e sempre entrou em detalhes dos tópicos abordados no blue print, realmente vale muito a pena. Além do Vik, foi lá que conheci o Evandro Nunes (finado), por coincidência estavamos no mesmo hotel e passamos quase 20 dias lado a lado, trocavamos idéia direto, davamos risada de monte e ele se mostrou uma grande pessoa.
A primeira tentativa foi tensa de mais, o relógio foi o pior inimigo e falhei (dentro do esperado).

Retornado ao Brasil parei de fazer lab durante uma semana para poder digerir tudo que passei nos seis meses de preparação. Passado mais 10 dias vem a notícia...meu relacionamento de quase doze anos e dois filhos tinha ruído... minha casinha caiu. Foi FODA!!! Foram noites e noites sem sono e já tinha marcado novamente a prova. Em meio a tanta porrada veio a notícia que o Evandro havia sido aprovado. PQP!!! Ele me ligou, comemoramos, chorei minhas pitangas e ele me disse pra não desistir e fazer isso pelos meus filhos. Aos poucos e com ajuda da minha família, filhos e amigos fui me recompondo... até que... recebo a notícia que o Evandro havia passado mal e falecido. Mais um baque! Mesmo com os revés, tentei manter o foco; tentei fazer lab mas a cabeça num tava ajudando.
Dei o meu melhor (dentro do possível) e parti pra RTP em Setembro, pra segunda tentativa. Novamente um revés, mas eu estava preparado pra paulada.

Voltei para o Brasil e até pensei em desistir, mas meus amigos, minha família e meus filhos me deram muuuuita força.
Com a ajuda de todos superei as porradas, reagendei a prova e voltei a fazer lab, só que desta vez num ritmo frenééético, a rotina era realmente pesada, mas em compensação eu estava rápido e muito consistente. Apesar de ser minha última tentativa nesse blue print, minha confiança era muito grande.

Parti novamente pra RTP, fui com um amigo e dividimos o hotel. A companhia foi importante pra poder tirar um pouco o foco e tensão pré prova.
Chegado o grande dia! Fui pra Cisco bem tranquilo e só mentalizava que eu tinha que manter o foco e seguir minha abordagem pra prova.

Abri minha prova e fui preenchendo minhas tabelas. Estava muito preparado. Mandei bala e tentei fazer o máximo possível antes do almoço. Saí pra almoçar e não faltava muito para terminar, só um detalhe, do nada meu Pub estava inacessível e o proctor teve de intervir. Travei!!!

Voltei do almoço e o proctor resolveu o problema com o PUB. Nesse momento pensei... é o meu momento... Finalizei o lab e voltei em item por item, virgula por virgula, corrigi os detalhes e testei td novamente.
Ufaaa... apesar do cansaço tinha certeza que dei o meu melhor e teria minha vida de volta.

Voltei ao hotel e a primeira coisa que fiz foi dar um F5 kkkkk. Fui jantar, jogar conversa fora e tals e voltei pro hotel e mais um F5...PQP que angústia.
Estava exausto e apaguei. Acordei 7:30 e da-lhe F5, F5, F5 e nada de e-mail. Acessei a página da Cisco e apareceu algo diferente do usual...Pass!!!
Desloguei do portal e desliguei meu PC. Mesmo tendo visto o Pass fiquei pensando "será que ví certo?"

Compartilhei as novidades com todos! Mãe, Bruno, todo mundo do trampo, meus amigos, minha namorada (pois é, esqueci de comentar que nesse meio tempo conheci uma mulher maravilhosa que também me ajudou muito e continua me ajudando), mas o melhor foi quando pude falar com minha filha.

Ela perguntou como eu estava e tals e na sequência ela mandou... Pai você passou???
Respondi que sim e ela não parou de comemorar...

PQP tem coisa que é impagável!!!

Novamente só tenho a agradecer a Deus e todos que me cercam! Sozinho eu jamais teria conseguido!

Pra quem pretende encarar esta guerra, deixo uma dica:
- Esteja preparado para as baixas e cicatrizes pós guerra.
- Não compre essa briga sozinho.
- Enjoy your journey


<3<3<3<3<3<3
Abs,

Diego Nóbrega

################################################################################

Victor Cavalcante, CCIE #41440

Galera, saiu ontem o segundo CCIE Voice Cearense, Victor Cavalcante!!! Parabéns macho, por essa conquista!!! hehehe

################################################################################

Gostaria de agradecer a Deus mais uma graça ofertada por ele em minha vida ,sem ele nada posso. Dedico tb a minha amada mãe Albetiza que la de cima torce pro meu sucesso e felicidade.
Agradeço a minha esposa Jéssica Gomes pelos longos anos de paciência dedicação , compreensão que foi fundamental para o meu sucesso nesta empreitanda (sem você meu amor ,nada posso) e minha filha Tayla que mesmo na barriga da mamãe leva a dedicatoria.
Dedico ao meu amigo Emanuel Damasceno que me ajudou muito durante toda a minha caminhada CCIE com seu enorme conhecimento e experiencia compartilhando conhecimento , conselhos e nunca (eu repito) NUNCA em nenhum um momento ( mesmo depois que ele passou no seu ccie voice) deixou de me ajudar. Muitas sessões de teamviwer , skype (audio , video), enfim um exemplo de grande amigo do peito e tambem meu mentor (se alguem tiver interessado em ter know-how em ccie voice, fale com ele heheheheh) .Obrigado por tudo melzin meu id tb e seu hehehehe pode se considerar double agora.
Tambêm dedico ao meu estimado amigo Vagner Aragão que me emprestou equipamentos para que eu pude-se "Labear" bastante e teve a enorme paciência de deixar comigo , muito obrigado pela torcida e pelo financiamento CCIE , o que você precisar mano pode contar comigo meu amigo. Vamo organizar um baba pra comemorar.

Obrigado a todos os meus amigos que torceram por mim nesta minha empreitada que durou alguns anos , se sintam realmente abraçados por mim. Muito obrigado pela torcida.

Agradeço a minha dedicação , empenho e disciplina.

Obrigado tambėm ao Raul Motta que me fez o convite pra trabalhar em Angola e assim eu pude-se evoluir como humano e profissional , que de certa forma ajudou no sucesso desta empreitada rumo ao CCIE.

A sensação de não acreditar ainda e muito forte vlw a todos pela torcida.
Alô Cearà e todo Nordeste , bota mais um CCIE na conta , aaa de Voice viu hehhehehehehehe.
Iiiieeeeeeeeeeeeeeiiiiiiihhhh"

Victor Cavalcante

################################################################################

Emanuel Damasceno, CCIE #40965

Conheci o Emanuel durante a minha jornada do CCIE. Trocamos muitos e-mails, ligações no Skype, GTalk, Facebook, e sem dúvida ele me ajudou muito na minha conquista. O Emanuel é o exemplo de garra, perseverança, do brasileiro que não desiste nunca, que não abaixa a cabeça diante de um resultado negativo da Cisco. Pelo contrário, se empenhava cada vez mais na conquista desse objetivo. Fiquei muito feliz no sábado quando eu vi o post dele no Facebook comemorando a certificação! Parabéns Emanuel, e bem-vindo de volta à vida! hahaha

################################################################################

Cara, eu não vou iniciar desde a primeira tentativa, pois todo mundo vai ficar cansado de ler. A minha última falha foi em Agosto, no dia 6. Fui com o meu amigo Victor Cavalcante (que continua na pegada do IE Voice), apesar de ter tocado em todos os tópicos do exame, não consegui passar. Eu já saí da Cisco sabendo que não tinha passado.
Então, fui mandado embora do emprego. Resolvi pegar a rescisão e o FGTS e focar 100% no CCIE. Recusei algumas propostas de emprego, pois sabia que não era a hora, e passei a estudar em um ritmo bacana, onde eu me condicionei a trabalhar 8 horas por dia, em dois intervalos de 4 horas. Isto foi essencial... No começo eu não conseguia terminar os simulados, mas chegando mais próximo ao exame eu estava conseguindo terminar os simulados da em 4, 5, e até 5 horas e meia.
Viajei... Cheguei muito baqueado. O fuso de 5 horas para frente é pesado. Reservei o primeiro dia para descansar e me acostumar com o fuso. No segundo dia, já fiz uma sessão via teamviewer no meu lab de casa. Não deu pra cronometrar legal, pois o lag era imenso. No terceiro dia (um dia antes do exame), comecei a estudar, mas comecei a pensar... Para que estudar agora? Se eu não estou preparado, não é agora que irei conseguir me preparar.... Fiquei jogando videogame a tarde inteira. Fui para o centro de Bruxelas, passeei um pouco. Voltei para o hotel cansado, e fui direto dormir.
Acordei as 4 da manhã. Ainda com jetlag da viagem. Apesar de ter passado dois dias, ainda não tinha me acostumado com o fuso. Tomei banho, tomei café, e fiquei aguardando a hora de ir para a Cisco jogando videogame (estava com o meu guerreiro PSP). Chegada a hora, fui caminhando até a Cisco. No caminho, vi um rapaz indo para a Cisco também, e mal sabia eu que era outro Brasileiro. Quando entramos, geralmente nos apresentamos para os outros candidatos, e foi quando o Henrique falou "Sou do Rio de Janeiro!", rachei o bico junto com ele. O Henrique estava em sua primeira tentativa, e eu já na quinta...
Fomos chamados então para o moedor. Estava completamente confortável! Sentei no meu pod, esperei o Proctor dar início, e começamos. Comecei a mentalizar que estava em casa, praticando para o lab para que eu não ficasse aperriado e mudasse de estratégia no começo do exame. Acreditem, o nervosismo faz com que você mude seus planos. Fui configurando tudo utilizando o método "Device Based Approach", onde configuramos um dispositivo por vez, na sua totalidade. Depois de configurar os três roteadores e o switch, olhei para o relógio e vi que só tinha passado 1 hora e 10 minutos. Fiquei feliz, mas me contive. Comecei a configurar o CUCM, e fui. Chegando no registro dos telefones, houve um problema com dois telefones que não se registravam. Ao invés de ficar nervoso, diagnostiquei rápido o problema, mas como não resolvi rápido, não deixei aquilo me quebrar. Utilizei um paleativo e coloquei no meu papel "CHECK PROBLEM XXXXX". Continuei na luta, com todos os telefones registrados (dois no modo em que não estava sendo pedido no exame, ou seja, perdendo pontos). Não me abalei, pois iria olhar aquilo no final. Fiz o Unity e o mesmo foi tranquilo, redondo. Sem nenhum problema. Passei então para o Presence e quando terminei de configurá-lo, o proctor nos chamara para almoçar. Neste momento, eu não me contive e estava sorrindo com o vento, com o papel que caia no chão, ou seja, com tudo.
No caminho para o almoço, o Proctor deixa claro que só podemos conversar em Inglês, e nada sobre o exame. Mas é claro que não fere em nada perguntar uns aos outros como estamos indo. Perguntei a alguns candidatos como eles estavam, e a maioria respondia que não estava bem, e só um de Routing e Switching estava tão alegre como eu estava. O Henrique estava preocupado, mas manteve a postura guerreira. Éramos os únicos Brasileiros fazendo prova de Voz! :)
Voltamos do almoço, testei o Presence, e tudo funcionou divinamente. Sem problemas! Passei pro UCCX, e esse também não demorou muito. Ao terminar o UCCX, testei e tudo também estava redondo. Nesta hora, olhei para o relógio, olhei para o quadro onde estava nosso horário de término do exame. Eu estava com 2 horas e 45 minutos. Fiquei muito feliz, mas mantive a postura de guerreiro. Neste momento falei para mim mesmo "Você ainda não conseguiu! Bora revisar, negão!" Comecei a revisão, e vi que ainda tinham umas coisinhas que deixei para trás. Acho que é isso que faz com que percamos todos os pontos e falhemos. Fui  checando erros nas minhas show runs, mas nada muito grave. Depois da primeira checagem, ainda tinha uma 1 hora e 40 minutos. Não hesitei, e chequei TUDO novamente. Da primeira até a última questão, sem preguiça. Terminado a segunda checagem, ainda faltavam 50 minutos para o término do exame. Chequei tudo novamente! No fim da terceira checagem, ainda faltavam 15 minutos. Salvei tudo! Chamei o Proctor e falei "Você quer as questões assim e assado? Pois da última vez que estive aqui vocês me zeraram!" O Proctor respondeu como ele queria o output de certas questões, e eu fiz a questão ficar em conformidade com o que ele queria.
Quando o proctor deixou o meu pod, eu não contive mais a alegria. Mesmo sem o resultado, eu já sabia que tinha conseguido. Nesta hora, um candidato de CCIE Routing e Switching olhou para mim e eu estava sorrindo com o monitor. Então ele levantou sua mão e me mandou um "legal"! Respondi com um sorriso imenso!
Na saída, todo mundo pergunta como foi. Falei: "Se eu não for aprovado dessa vez, eu não sei o que a Cisco quer..." Mas o sentimento era de ter passado, de missão cumprida, mesmo sem ter o resultado. Ao sair da Cisco, começaram as "nóias", do tipo:  "Meu Deus, será que fiz tudo certo", "Putz, esqueci de checar aquilo, será?". Foi então que pensei, Putz, se eu ficar pensando nisso, vou ficar doido! Saímos então da Cisco, e com um novo amigo ao lado, Henrique, fomos jantar no centro de Bruxelas, junto com um outro amigo que havia conhecido (Rafael, que não trabalha na área)!
No outro dia, dia de voltar para casa, resolvi ligar para minha mãe. Liguei, falei que sentia que tinha passado, mas não havia recebido o resultado ainda. Apenas pedi sua bênção pois estava indo para o aeroporto para voltar para o Brasil. Como eu havia comprado um chip 3G lá, fiquei ligado na internet. Foi quando meu telefone avisou que tinha um e-mail. Pensei "Putz, bem que poderia ser o e-mail com o resultado". Quando abri a caixa de correio estava lá "Congratulations on becoming Cisco CCIE certified...". Minhas pernas cambalearam e eu tive que sentar... Liguei imediatamente para minha mãe e soltei um grito, PASSEI! A euforia era muito grande... Minha mãe pediu para eu me controlar.... kkkkkkk foi muito engraçado! Liguei também para minha esposa logo em seguida! Acordei todo mundo! Depois veio o sentimento de dever cumprido!!!
Depois de uma longa viagem de volta ao Brasil, cheguei hoje em SP (dia 20/10). Zoado de jetlag, sono, e fome, minha esposa foi me buscar, e ela me perguntou se eu queria dormir. Falei: "Não, vamos buscar a Zoey (nossa cachorrinha), e vamos para o Parque Villa Lobos!" A vida havia voltado ao normal!

É isso aí!! Agora eu posso jogar videogame sem remorso!!!!!!!!!!!!!!! :D

Emanuel Damasceno

################################################################################

Horario de verão

É galera, chegamos a mais um fatídico terceiro domingo do mês de Outubro. E o que isso quer dizer para as pessoas que trabalham com TI no Brasil: Horário de Verão! Ê delícia... quantos finais de semana não tive que ficar trabalhando, vendo se os telefones iam subir com o horário certo, ou se teria que mudar o horário na mão. Era sempre aquele plantão que ninguém queria pegar.

Por causa disso, resolvi fazer um post totalmente off topic sobre o horário de verão no Brasil.

Afinal, tem como saber previamente se o meu CUCM vai mudar de horário na data certa ou não?
Sim! E é muito fácil!

Dê um SSH no seu CUCM e rode o comando:

run sql select * from typetimezone

Esse comando vai listar todos os time zones do CUCM, incluindo as informações do summer time, direto da base de dados. Para buscarmos apenas o de São Paulo, podemos filtrar pelo campo enum:

run sql select * from typetimezone where enum=17

Esse será o output (cole num notepad, e desabilite o Word Wrap):

enum name              description          moniker                    bias stddate             stdbias dstdate              dstbias abbreviation legacyname                      
==== ================= ==================== ========================== ==== =================== ======= ==================== ======= ============ =======================================
17   America/Sao_Paulo (GMT-03:00) Brasilia TIMEZONE_AMERICA_SAO_PAULO 180  0/2/0/3,00:00:00:00 0       0/10/0/3,00:00:00:00 -60     BST          E. South America Standard/Daylight Time

O importante aqui é vermos os campos stddate e dstdate, que informam, respectivamente, o dia/hora que acaba o horário de verão, e o dia/hora que inicia.

No caso acima, temos:

stddate = 0/2/0/3,00:00:00:00

dstdate = 0/10/0/3,00:00:00:00

Não tenho certeza sobre os dois primeiros 0s. Talvez indique o dia da semana, sendo 0 = domingo. Not sure... se alguém souber, comenta aí. Mas o importante (pelo menos no Brasil) são os valores em vermelho. O primeiro é o mês e o segundo é a semana. Ou seja, nesse caso acima, o horário de verão acabará no terceiro domingo de fevereiro e começará no terceiro domingo de outubro.

Assim você já pode de antemão saber se vai ter que alterar algo na mão ou não.

E para os voice gateways, eu sempre uso os seguintes comandos:

clock timezone BRST -3

clock summer-time BRDT recurring 3 Sun Oct 0:00 3 Sun Feb 0:00

Isso porque no Brasil o horário de verão sempre começa no terceiro domingo de Outubro e acaba no terceiro domingo de Fevereiro. Se não me engano, a fixação dessas datas é coisa recente, do governo Lula, acho. Enfim... mas o problema é que, pelo que eu li, se o terceiro domingo de Fevereiro cai no Carnaval, aí o horário de verão acaba no quarto domingo. Foda, né? Nesses casos você (ou o plantonista azarado) tem que ficar esperto, porque provavelmente vai ter que ajustar na mão.

Tá, mas e a prova?

Ok, mas isso não tem absolutamente NADA a ver com a prova, né? Não, não tem! hehehe...

Mas para a prova você precisa saber configurar o NTP nos gateways e servidores, e se preocupar com o horário de cada site. E aqui eu dou algumas dicas.

NTP todo mundo está careca de saber como se configura, né? Por exemplo, se o horário é PST -8, colocamos no roteador:

ntp server x.x.x.x
! NÃO coloque o NTP master, a não ser que o roteador tenha
! o clock local, sem puxar de uma fonte externa. Ao colocar
! o comando ntp server, o roteador já estará pronto para 
! fornecer o horário para outro servidor. Não precisa do comando
! ntp master.

clock timezone PST -8

A dica que eu dou também é sempre configurar o summer-time. Eles descontam ponto se não configurar? Não sei... tem gente que especula que sim, e tem gente que diz que não. Mas é uma linha de comando, e não vale a pena corrermos o risco. Portanto:

clock summer-time PDT recurring

Se o horário do Site A é PST -8, quer dizer que o Date/Time Group desse site tem que estar certo (obvio), para os telefones aparecerem com o horário correto.
E o que mais? Isso, o horário dos usuários da Unity Connection, olha só! Muita gente esquece disso!!
E já que estamos considerando o horário dos subscribers na Unity, nada mais lógico do que configurar o NTP também nesse servidor, o que muita gente deixa de fazer (e não sei se perdem ponto ou não, mas é melhor pecar pelo excesso, né?)

Então é isso. Não me vá perder ponto de NTP por uma besteira, heim!
Além disso, lembre-se que a falta de sincronia de NTP do Publisher e Subscriber é a causa número 1 para problemas de replicação de base de dados.

Feliz início de horário de verão pra vocês!

Cluster em Mixed Mode

Já que o assunto da moda é a espionagem digital que os EUA andaram fazendo e tal, tive a ideia de começar a fazer uns posts sobre segurança. Até onde eu sei, não faz parte do blueprint atual do CCIE Voice, mas certamente é um conhecimento importante para qualquer profissional da área no dia-a-dia de projetos.

No primeiro post da série, vou mostrar como deixar o cluster em Mixed Mode, ou seja, habilitar a criptografia da sinalização e áudio nos telefones. É bem fácil de fazer, mas existe um pré-requisito, que é adquirir pelo menos dois tokens de segurança (part number KEY-CCM-ADMIN-K9=). Tendo isso, o resto é muito fácil. Vamos lá!

1. Primeiramente, você deve habilitar os serviços de CTL Provider e Certificate Authority Proxy Function (CAPF) no CUCM.

2. Feito isso, baixe do CUCM e instale no seu notebook o CTL Client. O caminho para baixar o plugin é indo em Applications >> Plugins. O notebook deve estar na rede para executar o programa, com o CUCM acessível.

3. Ao executar o CTL Client, insira o IP do Publisher, login e senha

4. Após a autenticação, a seguinte tela aparecerá. Escolha a opção "Set Cisco Unified CallManager Cluster to Mixed Mode"

5. O aplicativo pedirá para você inserir um Security Token. Faça isso e pressione OK. (obs: Insira apenas 1 dos tokens!)

6. As informações do Token serão exibidas. Pressione Add.

7. O programa vai coletar todos os certificados (CAPF, CCM e TFTP) dos servidores do cluster e exibir na tela, juntamente com o próprio Token, mostrando os certificados do CTL. Removi as informações do cliente no print screen abaixo:

8. Clique em Add Tokens para adicionar o seu segundo Token no CTL. O programa o alertará para remover o primeiro token antes de inserir o segundo:

9. As informações do segundo Token serão exibidas. Clique Add.

10. E o segundo token será adicionado ao CTL. Clique em Finish.

11. O programa vai pedir agora a senha do eToken. Você tem apenas 15 tentativas, e depois disso o Token é inutilizado. A senha default é Cisco123.

12. Com isso, a chave privada do eToken será utilizada para assinar o arquivo CTL, que será "upado" para cada servidor do cluster.

13. Reinicie os serviços de CallManager e TFTP (ou dê logo um boot no servidor, afinal, um bootzinho sempre vai bem, né! hehe)

14. Agora o seu cluster já está em Mixed Mode! Para habilitar a criptografia em um telefone, você deve criar um Security Profile (System >> Security >> Phone Security Profile), como abaixo, habilitando a criptografia:

15. Aplicar o profile no telefone, e configurar as opções de CAPF nele. Para os telefones novos, que já vem de fábrica com um certificado MIC, você pode usar a o método "Por certificado existente (prioridade para MIC)". Caso seja um telefone antigo, modelo 7940, 7960, você tem que usar o "By Authentication String", e aí é muito mais trabalhoso, pois você tem que ir telefone por telefone e digitar uma senha para ele poder baixar os certificados. Ou seja, para deployments grandes, é inviável! No exemplo, estou considerando um dos telefones de modelo mais recente.

16. Após o reset do telefone, você verá que o Certificate Operation Status está como Upgrade Sucess:

17. Agora se você fizer uma chamada com esse telefone, ele mostrará um desenho de cadeado na tela, indicando que a chamada está sendo criptografada.

18. Uma observação. Quando você deixa o Cluster em Mixed Mode, o Auto-Registration deixa de funcionar!

Esse foi um post super simples. Tem diversas referências na Internet mostrando como se faz isso, e os guias da Cisco também são bem explicativos. Nos próximos posts da série de segurança, abordarei outros temas como SIP over TLS, Secure Conference Bridges, VG224, utilizando um Certificate Authority da empresa (e não os Self Signed do Call Manager). Esses são temas que eu pelo menos não encontrei nada muito explicativo na Internet. Até a próxima!

Peterson Cristovam, CCIE #40728

Pessoal, com muita satisfação anuncio um novo CCIE Voice brasileiro. É o Peterson Cristovam, engenheiro de redes na PromonLogicalis. Pedi ao Peterson que escrevesse um pouquinho sobre ele e sobre a sua saga, e aqui está! Parabéns Peterson, e obrigado pelo depoimento! :)

################################################################################

"Perseverar significa continuar uma ação sem se importar com a oposição, desânimo ou fracasso anterior". Hitch. :)


Bruno, obrigado pelo convite.

Nem sei por onde começar. É dificil escrever sobre a gente, lembra aquelas entrevistas de emprego na qual lhe pedem para escrever sobre si.

Eu nasci no extremo leste da Zona Leste, no bairro do Itaim Paulista e la morei por 20 dos meus quase 33 anos.
Eu fiz o Curso Técnico-Profissionalizante de Processamento de Dados no Colégio Cruzeiro do Sul, em São Miguel Paulista, na época, para ter o diploma técnico desta área era necessário concluir 4 anos de curso. Nesta época eu gostava mais de programação. Depois fui pra Faculdade de Engenharia da Computação, na São Judas, repeti alguns anos, as mensalidades eram altas e faltava grana no final do mês, então parei, dei um tempo, mas sempre pensando em voltar. Um tempo depois pedi transferencia pra FASP, mesmo curso, cabendo no meu bolso, mas logo depois parei novamente por grana. Neste interim, entrei como funcionário concursado na Sabesp, na cidade de Itaquaquecetuba, Itaquá para os íntimos, como Praticante de escritório, ganhando uns 300 reais e poucos, se nao era o mínimo da época era bem próximo. Depois fui promovido a Auxiliar de Escritório, isto na carteira, pois sempre fazia os serviços de informática, me desenvolvi em programação, VB 6.0 e algumas brincadeiras no Access 97. Em um dado momento, pedi transferencia para área de cobrança da Sabesp, lá fiz alguns programas legais que ajudavam em nosso cotidiano. Alguns meses antes desta transferência, realizei um curso de SQL à noite, após o expediente. Em um dia deste curso, no intervalo, entrei na Internet e vi um anúncio do CIEE sobre o programa Cisco NetAcademy. Fiz a prova online, passei, e fui me apresentar, quando descobri que o curso era de 1 ano e meio, todas as segundas-feiras de manhã. Alinhei com minhas chefias, a reposição destas horas e comecei a cursar, toda segunda, lá no Itaim Bibi e depois ia correndo pra Itaquá e a noite ia pra faculdade. neste época eu já havia me transferido para a Unisantanna, mesmo curso, nesta finalmente consegui concluir e pegar meu CREA
Com o NetAcademy concluído, fiz a prova do CCNA, bombei por 2 pontos, fiz novamente e passei. Por esta empatia com a área de redes e por questões financeiras decidi largar a estabilidade do emprego público. Então, ao passar numa seleção em outra empresa, me desliguei da Sabesp. Fui trabalhar na Phonoway Soluções, uma empresa de telefonia, parceira Siemens, que estava entrando no mundo Cisco, lá a oportunidade de conhecer e aprender sobre PABX Siemens, além de colocar em prática meus conhecimentos de Cisco. Por esta empresa fiz alguns cursos de Cisco para certificação tanto da empresa quando minha. Lá eu poderia ter me tornardo um CCVP na época, mas não era o que eu almejava. Ter a certificação Professional é diferente de ser um profissional com tal qualificação e eu não me sentia um "CCVP" na época pois não tinha tanto tempo de mão-na-massa. Da Phonoway, fui para a Telsinc Informática, lá tive outros grandes desafios e depois de um certo tempo de experiência e suor decidi fazer as provas faltantes do CCVP pois já me sentia um profissional com o conhecimento para tal. Também na Telsinc, fiz minha primeira tentativa no CCIE-V no final de 2010 e falhei. Um tempo depois sai da Telsinc e fui para a PromonLogicalis. Lá tentei mais 2 vezes a prova e novamente não passei. Depois do leite derramado, percebo que hoje, não faria a segunda e terceira tentativa. pois não tive o tempo adequado de preparo, mas agora já é tarde Inês é morta.
Então depois de quase 3 anos da primeira tentativa, tentei uma última vez, pois agora, a prova irá mudar  de versão e desta vez, diferentemente das outras vezes, além de casado, já tenho filho e já vem mais um herdeiro pela frente. Quem já fez a prova ou procurou na internet, já percebeu que esta prova não afeta só você, afeta tudo ao seu redor, você vê menos seus parentes, seus amigos, e deixa um pouco em "segundo plano" sua esposa e filhos, isto mexe muito com você e com todos à volta.
Nesta última vez, após vários F5 na página da Cisco vi o resultado que eu havia passado. Ufa. A sensação é muito boa, de alívio, mas não somente por ter passado na prova, por ter perseverado ou por ter recebido um número, mas sim de você poder olhar para trás e vê o que você fez, as decisões, escolhas e as apostas, enfim um conjunto de coisas ter valido a pena. Me lembro lá nos anos 90, na época de colégio que havia uma coleção de revistas da InfoExame sobre certificações, falava além de outras das Certificações Cisco, dos seus profissionais e empresas, me lembro de ter dito a mim mesmo, eu vou trabalhar nesta área e vou tirar o CCIE. Tenho comigo Bruno, um pensamento de Max Heindel: "Só existe um fracasso, deixar de lutar"

Amplexos

Peterson

################################################################################