- Начало
- /
- Статия
Благодарим за обратната връзка.
В тази статия
Обратна връзка?Можете да инсталирате сертификат за персонализирано устройство (CDC) по ръчен или автоматичен начин. За определени среди можете да използвате DHCP опция 43, за да предоставите параметрите SCEP за инсталирането на сертификата. Тази Помощна статия е за настолен телефон Cisco от серия 9800 и видеотелефон Cisco 8875, регистриран в Cisco BroadWorks.
Инсталиране на сертификат за персонализирано устройство
За да инсталирате сертификат за персонализирано устройство (CDC) на телефона си, използвайте един от следните начини въз основа на вашата ситуация:
Последният инсталиран сертификат на телефона влиза в сила.
- Ръчно инсталиране — можете да инсталирате сертификат, като го качите от уеб страницата за администриране на телефона. За подробности вижте Ръ чно инсталиране на персонализиран сертификат за устройство чрез качване.
- Автоматично инсталиране — можете да конфигурирате параметрите на Simple Certificate Enrollment Protocol (SCEP), за да задействате автоматична инсталация на сертификат. Телефонът изпраща SCEP заявки до SCEP сървър за инсталиране на сертификата.
Параметрите на SCEP могат да бъдат конфигурирани чрез уеб страницата за администриране на телефона, конфигурационния файл на телефона (cfg.xml) или Control Hub. За подробности вижте Автоматично инсталиране на персонализиран сертификат за устройство от SCEP и Параметри за настройки на телефона в Control Hub.
- DHCP опция 43 — В определена среда можете да инсталирате сертификат, като използвате DHCP опцията 43. Опцията 43 може да предостави параметрите SCEP за инсталирането на сертификата. За подробности вижте конфигурация на параметрите на SCEP чрез DHCP опция 43.
-
Когато използвате DHCP опцията 43 за предоставяне на параметри на SCEP, телефонът може също да извлече името на домейна, носено от DHCP опцията 15. Въз основа на извлеченото име на домейн телефонът може да конструира общото име на SCEP CSR и 802.1X потребителски идентификатор. За подробности вижте Предостав яне на общо име или потребителски идентификатор чрез DHCP опция 15.
За повече информация относно това как да конфигурирате DHCP опциите вижте Конфигу риране на DHCP опции.
-
Ръчно инсталиране на сертификат за персонализирано устройство чрез качване
Можете ръчно да инсталирате сертификат за персонализирано устройство (CDC) на телефона, като качите сертификата от уеб страницата за администриране на телефона.
Преди да започнете
Преди да можете да инсталирате персонализиран сертификат за устройство за телефон, трябва да имате:
- Файл със сертификат (.p12 или .pfx), запазен на вашия компютър. Файлът съдържа сертификата и личния ключ.
- Паролата за извлечение на сертификата. Паролата се използва за декриптиране на файла на сертификата.
| 1 |
Достъп до уеб страницата за администриране на телефона. |
| 2 |
Изберете Сер тификат. |
| 3 |
В секцията Добавяне на сертификат щракнете върху Преглед... . |
| 4 |
Прегледайте сертификата на вашия компютър. |
| 5 |
В полето Изв личане на парола въведете паролата за извличане на сертификат. |
| 6 |
Щракнете върху Кач ване. Ако файлът на сертификата и паролата са верни, ще получите съобщението "
Certificate added.“. В противен случай качването се проваля със съобщение за грешка, което показва, че сертификатът не може да бъде качен. |
| 7 |
За да проверите подробности за инсталирания сертификат, щракнете върху Преглед в секцията Съществуващи сертификат и. |
| 8 |
За да премахнете инсталирания сертификат от телефона, щракнете върху Из три ване в секцията Съществуващи сертификат и. След като щракнете върху бутона, операцията за премахване започва веднага без потвърждение. След премахването на сертифи |
Автоматично инсталиране на сертификат за персонализирано устройство от SCEP
Можете да конфигурирате параметрите, свързани с протокола за записване на прости сертификати (SCEP), за да взаимодействат със сървъра SCEP, за да инсталирате автоматично сертификата за персонализирано устройство (CDC).
След като някой от параметрите на SCEP бъде конфигуриран, телефонът ще изпрати заявка за записване на SCEP до сървъра. Телефонът ще потвърди получения CA сертификат с помощта на конфигурирания пръстов отпечатък.
Преди да започнете
Преди да можете да извършите автоматична инсталация на сертификат за персонализирано устройство (CDC) за телефон, трябва да имате:
- Адрес на SCEP сървър
- SHA-1 или SHA-256 пръстов отпечатък на основния CA сертификат за SCEP сървъра
| 1 |
Достъп до уеб страницата за администриране на телефона. |
| 2 |
Изберете Сер тификат. |
| 3 |
В раздела SCEP конфигурация 1 за дайте параметрите, както е описано в Пара метри за конфигурация на SCEP. |
| 4 |
Щракнете върху Изпращане на всички промени. |
Параметри за конфигурация на SCEP
Следващата таблица описва функцията и използването на конфигурационните параметри на SCEP в раздела SCEP конфигурация 1 в раздела Серти фикат на уеб страницата за администриране на телефона. Той също така включва синтаксиса на низовете, които добавяте към конфигурационния файл на телефона (cfg.xml), за да конфигурирате параметър.
Всяка промяна в тези параметри кара телефона да поиска нов сертификат.
| параметър | Описание |
|---|---|
| сървър |
Адрес на SCEP сървъра. Този параметър е задължителен. Извършете едно от следните действия:
Валидни стойности: URL адрес или IP адрес. Схемата HTTPS не се поддържа. По подразбиране: Празно |
| CA пръстов отпечатък |
SHA256 или SHA1 пръстов отпечатък на Root CA за валидиране по време на процеса на SCEP. Този параметър е задължителен. Извършете едно от следните действия:
По подразбиране: Празно |
| Предизвикателна парола |
Паролата за предизвикателство за Certificate Authority (CA) оторизация срещу телефона по време на записване на сертификат чрез SCEP. Този параметър не е задължителен. Според действителната среда на SCEP поведението на паролата за предизвикателство варира.
Извършете едно от следните действия:
По подразбиране: Празно |
| Общо име |
Указва общото наименование (CN), използвано като идентификатор за телефона, който иска сертифи ката. КН се използва за заявка за подписване на сертификат (КСО) в процеса на SCEP . Този параметър поддържа и променливи за разширяване на макроса, вижте Променливи за разширяване на макроса за Извършете едно от следните действия:
Валидни стойности: Максимум 64 знака По подразбиране: Празно |
| Име на държавата |
Посочва държавата на организацията. Извършете едно от следните действия:
Валидни стойности: Низ от 0 до 2 знака По подразбиране: Празно |
| Име на държава или провинция |
Посочва държавата или провинцията на организацията. Извършете едно от следните действия:
Валидни стойности: Низ от 0 до 64 знака. По подразбиране: Празно |
| Наименование на местността |
Задава името на местността за обекта на сертификата. Извършете едно от следните действия:
Валидни стойности: Низ от 0 до 64 знака По подразбиране: Празно |
| Име на организацията |
Задава името на темата за заявка за подписване на сертификат (CSR). Извършете едно от следните действия:
Валидни стойности: Низ от 0 до 64 знака По подразбиране: Празно |
| Организационна единица |
Задава имената на организационните единици за името на предмета Заявка за подписване на сертификат (CSR) . Телефонът ще добави до 5 параметъра „/OU=“ към името на темата за КСО. Извършете едно от следните действия:
Валидни стойности: Всеки запис е низов масив от 0 до 64 знака, разделен със запетая, с максимална дължина 512 знака. Могат да бъдат посочени до 5 единици. По подразбиране: Празно |
| SAN DNS |
Задава параметрите на сървъра за имена на домейн (DNS) за алтернативно име на субекта (SAN) на заявката за подписване на сертификат (CSR). Телефонът ще добави до пет DNS параметъра към CSR SAN. Извършете едно от следните действия:
Валидни стойности: Всеки запис е низов масив от 0 до 64 знака, разделен със запетая, с максимална дължина 512 знака. Могат да бъдат зададени до пет DNS параметъра. По подразбиране: Празно |
| SAN IP |
Задава IP параметрите за алтернативно име на обекта (SAN) на заявката за подписване на сертификат (CSR). Телефонът ще добави до пет IP параметъра към CSR SAN. Извършете едно от следните действия:
Валидни стойности: Всеки запис е низов масив от 0 до 64 знака, разделен със запетая, с максимална дължина 512 знака. Могат да бъдат посочени до пет IP параметъра. По подразбиране: Празно |
| Имейл на SAN |
Задава параметрите на имейл за алтернативно име на тема (SAN) на заявката за подписване на сертификат (CSR). Телефонът ще добави до пет параметъра за имейл към CSR SAN. Извършете едно от следните действия:
Валидни стойности: Всеки запис е низов масив от 0 до 64 знака, разделен със запетая, с максимална дължина 512 знака. Могат да бъдат зададени до пет параметъра на имейл. По подразбиране: Празно |
| SAN URI |
Задава параметрите URI за алтернативно име на обекта (SAN) на заявката за подписване на сертификат (CSR). Телефонът ще добави до пет URI параметъра към CSR SAN. Извършете едно от следните действия:
Валидни стойности: Всеки запис е низов масив от 0 до 64 знака, разделен със запетая, с максимална дължина 512 знака. Могат да бъдат зададени до пет URI параметъра. По подразбиране: Празно |
Подновяване на сертификата от SCEP
Сертификатът на устройството може да бъде обновен автоматично чрез процеса SCEP.
- Телефонът проверява дали сертификатът ще изтече след 15 дни на всеки 4 часа. Ако е така, телефонът стартира процеса на подновяване на сертификата автоматично.
- Ако паролата за предизвикателство е празна, телефонът използва MIC/SUDI както за първоначално записване,
така и за подновяване на сертификата. Ако паролата за предизвикателство е конфигурирана,
тя се използва в следните случаи:
-
Когато Пар олата за повторно използване на предизвикателството за подновяване е зада дена на Не (по подразбиране), телефонът използва предоставената парола само за първоначално записване и използва съществуващия сертификат за под новяване.
-
Когато Пар олата за повторно използване на предизвикателството за подновяване е зада дена на Да, телефонът използва предоставената парола както за първоначално записване, така и за подновяване.
-
- Телефонът не премахва стария сертификат за устройство, докато не извлече новия.
- Ако подновяването на сертификата не успее поради изтичането на сертификата на устройството или CA, телефонът автоматично задейства първоначалното записване. Междувременно, ако удостоверяването на паролата за предизвикателство не успее, на екрана на телефона се появява екран за въвеждане на парола и потребителите ще бъдат подканени да въведат паролата за предизвикателство в телефона.
Конфигурация на общото име на CDC
По подразбиране общото име в MIC/SUDI се използва като общо име за CDC.
Можете да конфигурирате Общото име за CDC, когато инсталирате сертификата. Използвайте един от следните методи, за да инсталирате CDC на телефона:
-
Генерирайте заявка за подписване на сертификат (CSR), която съдържа желаното от вас общо име, след което качете и инсталирайте новия сертификат на уеб страницата за администриране на телефона.
-
Конфигурирайте общото име чрез уеб страницата за администриране на телефона, конфигурационния файл на телефона (cfg.xml) или Control Hub. Това ще задейства телефона да поиска автоматично нов сертификат.
За повече информация относно параметрите на уеб страницата на телефона и контролния център вижте Автоматично инсталиране на сертификат за персонализирано устройство от SCEP и Пара метри за настройките на телефона в Control Hub.
- Използвайте DHCP опция 43 и 15, за да предоставите общо име за CDC и кабелна идентичност 802.1X.
За повече информация вижте Предостав яне на общо име или потребителски идентификатор чрез DHCP опция 15.
Конфигуриране на параметрите на SCEP чрез DHCP опция 43
В някои среди не можете да инсталирате сертификата за персонализирано устройство (CDC), като го качите или директно конфигурирате параметрите на SCEP. В тази ситуация можете да използвате DHCP опция 43, за да предоставите параметрите SCEP от DHCP сървър към телефона. След като телефонът се възстанови до фабричните настройки по подразбиране, той получава параметрите от DHCP сървъра и инсталира CDC с помощта на SCEP.
- Тази функция (конфигурация на параметрите на SCEP чрез DHCP опция 43) е достъпна само за телефони, които са нулирани до фабричните настройки по подразбиране.
- Не внедрявайте телефони, които разчитат на опции 43 в мрежа, която също използва ди станционно осигуряване (например Опции 66,150, 159 и 160 или предоставяне на облак). В противен случай телефоните може да не получат опцията 43 конфигурации.
За да инсталирате CDC сертификат по параметрите SCEP, предоставени от DHCP опцията 43, направете следното:
- Подгответе SCEP среда.
За информация относно настройката на SCEP средата вижте документацията на вашия SCEP сървър.
- Настройте DHCP опция 43 (дефинирана в 8.4 Специфична информация за доставчика, RFC 2132).
Подопциите (10—15) са запазени за метода:
Параметър на уеб страницата на телефона Подопция Тип Дължина (байт) Задължително Режим FIPS 10 булев 1 Не* сървър 11 струна 208 - дължина (Парола за предизвикателство) Да Root CA пръстов отпечатък 12 шестостен 20, 32, 48 или 64 Да Предизвикателна парола 13 струна 208 - дължина (сървър) Не* Активирайте 802.1X удостоверяване 14 булев 1 Не Избор на сертификат 15 неподписан 8-битов 1 Не * означава, че параметърът е конфигуриран според действителната ситуация.
Когато използвате DHCP опцията 43, забележете следните характеристики на метода:
- Подопциите (10—15) са запазени за сертификат за персонализирано устройство (CDC).
- Максималната дължина на DHCP опция 43 е 255 байта.
- Максималната дължина на Server + Challenge Password трябва да бъде по-малка от 208 байта.
- Стойността на FIPS Mo de трябва да съответства на конфигурацията за осигуряване на въвеждане.
В противен случай телефонът не успява да извлече предварително инсталирания сертификат след въ
веждане. По-конкретно,
- Ако телефонът е регистриран в среда, в която режимът FIPS е деактивиран, не е необходимо да конфигурирате FIPS режим в DHCP опция 43. По подразбиране режимът FIPS е деактивиран.
- Ако телефонът е регистриран в среда, в която е активиран режим FIPS, трябва да активирате FIPS режим в DHCP опция 43. Вижте А ктивиране на режим FIPS за подробности.
- Паролата за предизвикателство във вариант 43 е в ясен текст.
- За да накарате телефонът да използва MIC/SUDI за първоначално записване и подновяване на сертификата, оставете паролата за предизвикателство празна.
- За да използвате паролата за предизвикателство само за първоначално записване, въведете паролата за предизвикателство и за дайте Повторно използване на паролата за предизвикателство за под новяване на No. В този случай инсталираният сертификат се използва за подновяване на сертификата.
- За да използвате паролата за предизвикателство както за първоначално записване, така и за подновяване, въведете паролата и задайте Повторно използване на паролата за предизвикателство за под новяване на Да.
- Активиране на 802.1X удостоверяване и избор на сертификат се прилагат само за телефони в кабелни мрежи.
- DHCP опция 60 (идентификатор на класа на доставчика) се използва за идентифициране на модела на устройството.
Пример за DHCP опция 43 (подопции 10—15):
Подопция десетично/шестостенна Дължина на стойността (байт) десетично/шестостенна Стойност Шестостенна стойност 10/0а 1/01 1 (0: Деактивирано; 1: Активирано) 01 11/0б 18/12 http://10.79.57.91 687474703А2Ф2Ф31302Е37392Е35372Е3931 12/0в 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0ден 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0е 1/01 1 (0: Не; 1: Да) 01 15/0з 1/01 1 (0: Инсталирано производство; 1: Инсталирано по поръчка) 01 Обобщение на стойностите на параметрите:
-
Режим FIPS =
Enabled -
Server =
http://10.79.57.91 -
Корен CA пръстов отпечатък =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Предизвикателна парола =
D233CCF9B9952A15 -
Активиране на 802.1X удостоверяване =
Yes -
Избор на сертификат =
Custom installed
Синтаксисът на крайната шестостенна стойност е:
{<suboption><length><value>}...Според стойностите на параметрите по-горе крайната шестостенна стойност е следната:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Конфигурирайте DHCP опция 43 на DHCP сървър.
Тази стъпка предоставя пример за конфигурациите на DHCP опция 43 в Cisco Network Register.
- Добавете набор от дефиниции на опции за DHCP.
Низ ът на опцията на доставчика е име на модела на IP телефоните. Валидната стойност е: DP-9841, DP-9851, DP-9861, DP-9871 или CP-8875.
- Добавете DHCP опцията 43 и подопциите към набора за дефиниции на опции DHCP.
Пример:
- Добавете опции 43 към DHCP правилата и настройте стойността, както следва:
Пример:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Проверете настройките. Можете да използвате Wireshark, за да заснемете следа от мрежовия трафик между телефона и услугата.
- Добавете набор от дефиниции на опции за DHCP.
- Фабрично нулиране на телефона.
След нулиране на телефона параметрите Server, Root CA Fingerprint и Challenge Password се попълват автоматично. Тези параметри се намират в раздела SCEP Конфигурация 1 под Серти на уеб страницата за администриране на телефона.
За да видите подробности за инсталирания сертификат, щракнете върху Преглед в секцията Съществува щи сертификат и.
За да проверите състоянието на инсталиране на сертификата, изберете Серти сертификат. Полето Състояние на изтегляне 1 показва последния резултат. Ако възникне проблем по време на записването на сертификата, състоянието на изтегляне показва причината за целите на отстраняването на неизправности.
Ако удостоверяването на паролата за предизвикателство не успее, телефонът подканва потребителите да въведат паролата на екрана на телефона.
- (Незадължително): За да премахнете инсталирания сертификат от телефона, щракнете върху Из триване в секцията Съществуващи сертификат и.
Когато щракнете върху Изтри ване, телефонът премахва сертификата незабавно, без подкана за потвърждение.
Предоставяне на общо име или потребителски идентификатор чрез DHCP опция 15
По време на записването на SCEP сертификат чрез DHCP опцията 43, телефонът може да получи и името на домейна, предоставено в DHCP опцията 15 (ако е конфигурирано). След като телефонът получи името на домейна, той може да конструира Общото име или потребителския идентификатор с името на домейна, което е представено по следния начин:
- Общо име = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Об щото име ще се използва за КСО в процеса на SCEP, а по-късно ще бъде Общото име в CDC.
- Потребителски идентификат ор = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Потребителският идентификат ор ще се използва като идентификация за кабелна 802.1X удостоверяване.
Например MAC адресът на телефона е 00:1 A: 2B: 3C: 4D: 5E, моделът на телефона е 9871:
| Име на домейн в DHCP опция 15 | Общо име | Потребителски идентификатор |
|---|---|---|
| пример.nl | КП-9871-СЕП001А2Б3С4Д5Е.пример.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Празен | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Ако името на домейна не е конфигурирано в опция 15, общото име и потребителския идентификатор ще бъдат същите с Общото име в MIC/SUDI.
