- Domů
- /
- Článek
Děkujeme za vaši zpětnou vazbu.
V tomto článku
Zpětná vazba?Custom Device Certificate (CDC) můžete nainstalovat manuálním nebo automatickým způsobem. V určitých prostředích můžete použít možnost DHCP 43 k poskytnutí parametrů SCEP pro instalaci certifikátu. Tento článek nápovědy je určen pro Cisco Desk Phone řady 9800 a Cisco Video Phone 8875 registrované v Cisco BroadWorks.
Instalace certifikátu vlastního zařízení
Chcete-li do telefonu nainstalovat certifikát vlastního zařízení (CDC), použijte jeden z následujících způsobů v závislosti na vaší situaci:
Naposledy nainstalovaný certifikát v telefonu se projeví.
- Ruční instalace — certifikát můžete nainstalovat tak, že jej nahrajete z webové stránky správy telefonu. Podrobnosti naleznete v části Ruční instalace certifikátu vlastního zařízení nahráním.
- Automatická instalace — parametry protokolu SCEP (Simple Certificate Enrollment Protocol) můžete nakonfigurovat tak, aby spouštěly automatickou instalaci certifikátu. Telefon odešle žádosti SCEP serveru SCEP k instalaci certifikátu.
Parametry SCEP lze konfigurovat prostřednictvím webové stránky správy telefonu, konfiguračního souboru telefonu (cfg.xml) nebo Control Hub. Podrobnosti naleznete v části Automatická instalace certifikátu vlastního zařízení pomocí SCEP a Parametry pro nastavení telefonu v Control Hub.
- Možnost DHCP 43 — V určitém prostředí můžete certifikát nainstalovat pomocí možnosti DHCP 43. Možnost 43 může poskytnout parametry SCEP pro instalaci certifikátu. Podrobnosti viz Konfigurace parametrů SCEP pomocí možnosti DHCP 43.
-
Pokud pro zřizování parametrů SCEP použijete možnost DHCP 43, může telefon také načíst název domény přenášený z možnosti DHCP 15. Na základě načteného názvu domény může telefon vytvořit společné jméno SCEP CSR a ID uživatele 802.1X. Podrobnosti naleznete v tématu Zřízení obecného jména nebo ID uživatele pomocí možnosti DHCP 15.
Další informace o konfiguraci možností DHCP naleznete v tématu Konfigurace možností DHCP.
-
Ruční instalace certifikátu vlastního zařízení nahráním
Certifikát vlastního zařízení (CDC) můžete do telefonu nainstalovat ručně odesláním certifikátu z webové stránky správy telefonu.
Než začnete
Než budete moci nainstalovat vlastní certifikát zařízení pro telefon, musíte mít:
- Soubor certifikátu (.p12 nebo .pfx) uložený v počítači. Soubor obsahuje certifikát a soukromý klíč.
- Extrahované heslo certifikátu. Heslo se používá k dešifrování souboru certifikátu.
| 1 |
Přejděte na webovou stránku správy telefonu. |
| 2 |
Vyberte Cer tifikát. |
| 3 |
V části Přidat certifikát klikněte na tlačítko Procházet... . |
| 4 |
Přejděte na certifikát v počítači. |
| 5 |
Do pole Extrahovat heslo zadejte heslo pro extrahování certifikátu. |
| 6 |
Klikněte na Nahrát. Pokud je soubor certifikátu a heslo správné, obdržíte zprávu "
Certificate added.“. V opačném případě se nahrávání nezdaří s chybovou zprávou, že certifikát nelze nahrát. |
| 7 |
Chcete-li zkontrolovat podrobnosti o nainstalovaném certifikátu, klepněte na tlačítko Zobrazit v části Existující certifikáty. |
| 8 |
Chcete-li odebrat nainstalovaný certifikát z telefonu, klikněte na Od stran it v části Existující certifikáty. Jakmile kliknete na tlačítko, operace odstranění se spustí okamžitě bez potvrzení. Po odebrání certifikátu se |
Automatická instalace certifikátu Custom Device Certificate by SCEP
Parametry související s protokolem SCEP (Simple Certificate Enrollment Protocol) můžete nakonfigurovat tak, aby spolupracovaly se serverem SCEP a automaticky nainstalovaly certifikát Custom Device Certificate (CDC).
Jakmile je některý z parametrů SCEP nakonfigurován, telefon odešle na server požadavek na registraci SCEP. Telefon ověří přijatý certifikát CA pomocí nakonfigurovaného otisku prstu.
Než začnete
Než budete moci provést automatickou instalaci certifikátu Custom Device Certificate (CDC) pro telefon, musíte mít:
- Adresa serveru SCEP
- SHA-1 nebo SHA-256 otisk certifikační autority, která vydává telefonní certifikát
| 1 |
Přejděte na webovou stránku správy telefonu. |
| 2 |
Vyberte Cer tifikát. |
| 3 |
V části Konfigurace SCEP 1 nastavte parametry tak, jak je popsáno v části Parametry pro konfiguraci SCEP. |
| 4 |
Klikněte na Odeslat všechny změny. |
Parametry pro konfiguraci SCEP
Následující tabulka popisuje funkci a využití konfiguračních parametrů SCEP v části Konfigur ace SCEP 1 na kartě Cer tifikát webové stránky správy telefonu. Zahrnuje také syntaxi řetězců, které přidáte do konfiguračního souboru telefonu (cfg.xml) pro konfiguraci parametru.
Změna parametru Reuse Challenge Password for Renew al aktualizuje pouze zásady obnovení a nespustí okamžitou registraci. Změna jakýchkoli dalších parametrů zápisu SCEP však způsobí, že telefon automaticky požádá o nový certifikát.
| Parametr | Popis |
|---|---|
| Servery |
Adresa serveru SCEP. Tento parametr je povinný. Proveďte jeden z následujících úkonů:
Platné hodnoty: URL nebo IP adresa. Schéma HTTPS není podporováno. Výchozí: Prázdné |
| CA otisk prstu |
Zadejte otisk SHA-256 nebo SHA-1 certifikátu CA, který vydal telefonní certifikát. Certifikát CA musí být zahrnut v odpovědi serveru SCEP.
Proveďte jeden z následujících úkonů:
Parametr XML zachovává starší název
Výchozí: Prázdné |
| Heslo výzvy |
Heslo výzvy pro autorizaci Certificate Authority (CA) proti telefonu během registrace certifikátu prostřednictvím SCEP. Tento parametr je volitelný. Podle skutečného prostředí SCEP se chování hesla výzvy liší.
Proveďte jeden z následujících úkonů:
Výchozí: Prázdné |
| Obecný název |
Určuje společný název (CN) použitý jako identifikátor telefonu, který požad uje certifikát. KN se používá pro žádost o podpis certifikátu (CSR) v procesu SCEP . Tento parametr také podporuje proměnné rozšíření makra, podrobnosti viz Proměnné rozšíření mak ra. Proveďte jeden z následujících úkonů:
Platné hodnoty: maximálně 64 znaků Výchozí: Prázdné |
| Název země |
Určuje zemi organizace. Proveďte jeden z následujících úkonů:
Platné hodnoty: Řetězec 0 až 2 znaků Výchozí: Prázdné |
| Název státu nebo provincie |
Určuje stát nebo provincii organizace. Proveďte jeden z následujících úkonů:
Platné hodnoty: Řetězec 0 až 64 znaků. Výchozí: Prázdné |
| Název lokality |
Určuje název lokality pro předmět certifikátu. Proveďte jeden z následujících úkonů:
Platné hodnoty: Řetězec 0 až 64 znaků Výchozí: Prázdné |
| Název organizace |
Určuje název předmětu požadavku na podpis certifikátu (CSR). Proveďte jeden z následujících úkonů:
Platné hodnoty: Řetězec 0 až 64 znaků Výchozí: Prázdné |
| Organizační jednotka |
Určuje názvy organizačních jednotek pro název předmětu požadavku na podpis certifikátu (CSR). Telefon přidá do názvu předmětu CSR až 5 parametrů „/OU=“. Proveďte jeden z následujících úkonů:
Platné hodnoty: Každá položka je řetězcové pole 0 až 64 znaků oddělené čárkou s maximální délkou 512 znaků. Lze zadat až 5 jednotek. Výchozí: Prázdné |
| SAN DNS |
Určuje parametry serveru DNS (Domain Name Server) pro alternativní název předmětu (SAN) požadavku na podpis certifikátu (CSR). Telefon přidá do CSR SAN až pět parametrů DNS. Proveďte jeden z následujících úkonů:
Platné hodnoty: Každá položka je řetězcové pole 0 až 64 znaků oddělené čárkou s maximální délkou 512 znaků. Lze zadat až pět parametrů DNS. Výchozí: Prázdné |
| SAN IP |
Určuje parametry IP pro alternativní název předmětu (SAN) požadavku na podpis certifikátu (CSR). Telefon přidá do CSR SAN až pět IP parametrů. Proveďte jeden z následujících úkonů:
Platné hodnoty: Každá položka je řetězcové pole 0 až 64 znaků oddělené čárkou s maximální délkou 512 znaků. Lze zadat až pět parametrů IP. Výchozí: Prázdné |
| E-Mail SAN |
Určuje parametry e-mailu pro alternativní název předmětu (SAN) požadavku na podpis certifikátu (CSR). Telefon přidá do CSR SAN až pět parametrů e-mailu. Proveďte jeden z následujících úkonů:
Platné hodnoty: Každá položka je řetězcové pole 0 až 64 znaků oddělené čárkou s maximální délkou 512 znaků. Lze zadat až pět parametrů e-mail u. Výchozí: Prázdné |
| SAN URI |
Určuje parametry URI pro alternativní název předmětu (SAN) požadavku na podpis certifikátu (CSR). Telefon přidá do CSR SAN až pět parametrů URI. Proveďte jeden z následujících úkonů:
Platné hodnoty: Každá položka je řetězcové pole 0 až 64 znaků oddělené čárkou s maximální délkou 512 znaků. Lze zadat až pět parametrů URI. Výchozí: Prázdné |
Obnovení certifikátu SCEP
Certifikát zařízení lze automaticky obnovit procesem SCEP.
- Telefon kontroluje, zda platnost certifikátu vyprší za 15 dní každé 4 hodiny. Pokud ano, telefon spustí proces obnovení certifikátu automaticky.
- Pokud je heslo výzvy prázdné, telefon použije MIC/SUDI jak pro počáteční registraci, tak pro obnovení certifikátu. Pokud je heslo výzvy nakonfigurováno, použije se pouze pro počáteční registraci, existující/nainstalovaný certifikát se použije pro obnovení certifikátu.
- Telefon neodstraní starý certifikát zařízení, dokud nenačítá nový.
- Pokud obnovení certifikátu selže kvůli vypršení platnosti certifikátu zařízení nebo certifikační autority, telefon spustí počáteční registraci automaticky. Mezitím, pokud ověření hesla výzvy selže, na obrazovce telefonu se objeví obrazovka pro zadání hesla a uživatelé jsou vyzváni k zadání hesla výzvy v telefonu.
Konfigurace společného názvu CDC
Ve výchozím nastavení se Common Name in MIC/SUDI používá jako společný název pro CDC.
Při instalaci certifikátu můžete nakonfigurovat společný název pro CDC. K instalaci CDC do telefonu použijte jednu z následujících metod:
-
Vygenerujte požadavek na podpis certifikátu (CSR), který obsahuje požadované společné jméno, a poté nahrajte a nainstalujte nový certifikát na webové stránce správy telefonu.
-
Společný název nakonfigurujte prostřednictvím webové stránky správy telefonu, konfiguračního souboru telefonu (cfg.xml) nebo ovládacího centra. Tím se spustí, že telefon automaticky požádá o nový certifikát.
Další informace o parametrech na webové stránce telefonu a ovládacím centru naleznete v tématu Automatická instalace certifikátu vlastního zařízení podle SCEP a Parametry pro nastavení telefonu v Control Hub.
- Využijte možnosti DHCP 43 a 15 k zajištění Common Name pro CDC a kabelovou identitu 802.1X.
Další informace naleznete v tématu Z řízení obecného jména nebo ID uživatele pomocí možnosti DHCP 15.
Konfigurace parametrů SCEP pomocí možnosti DHCP 43
V některých prostředích nelze certifikát Custom Device Certificate (CDC) nainstalovat jeho odesláním nebo přímou konfigurací parametrů SCEP. V této situaci můžete použít možnost DHCP 43 k dodání parametrů SCEP ze serveru DHCP do telefonu. Poté, co je telefon resetován na výchozí tovární nastavení, obdrží parametry ze serveru DHCP a nainstaluje CDC pomocí SCEP.
- Tato funkce (konfigurace parametrů SCEP pomocí možnosti DHCP 43) je k dispozici pouze pro telefony, které byly resetovány na výchozí tovární nastavení.
- Nenasazujte telefony, které se spoléhají na možnosti 43, v síti, která také používá vzdálené zřizování (například Možnosti 66,150,159 a 160 nebo cloudové zřizování). V opačném případě nemusí telefony obdržet konfiguraci možnosti 43.
Chcete-li nainstalovat certifikát CDC podle parametrů SCEP poskytnutých z možnosti DHCP 43, postupujte takto:
- Připravte prostředí SCEP.
Informace o nastavení prostředí SCEP naleznete v dokumentaci k serveru SCEP.
- Nastavte možnost DHCP 43 (definovaná v 8.4 Informace o konkrétním dodavateli, RFC 2132).
Dílčí možnosti (10—15) jsou vyhrazeny pro metodu:
Parametr na webové stránce telefonu Dílčí možnost Typ Délka (byte) Povinné Režim FIPS 10 booleovský 1 Ne* Servery 11 řetězec 208 - délka (Heslo výzvy) Ano Root CA otisk prstu 12 šestihranný 20,32,48 nebo 64 Ano Heslo výzvy 13 řetězec 208 - délka (Server) Ne* Povolit ověřování 802.1X 14 booleovský 1 Ne Vybrat certifikát 15 nepodepsaný 8-bit 1 Ne * znamená, že parametr je nakonfigurován podle skutečné situace.
Při použití možnosti DHCP 43 si všimněte následujících charakteristik metody:
- Dílčí možnosti (10—15) jsou vyhrazeny pro certifikát Custom Device Certificate (CDC).
- Maximální délka možnosti DHCP 43 je 255 bajtů.
- Maximální délka hesla Server + Challenge musí být menší než 208 bajtů.
- Hodnota režimu FIPS se musí shodovat s konfigurací zřizování onboardingu.
V opačném případě se telefon po přihlášení nepodaří načíst dříve nainstalovaný certifikát
. Konkrétně
- Pokud je telefon registrován v prostředí, kde je režim FIPS zakázán, nemusíte konfigurovat režim FIPS v DHCP možnosti 43. Ve výchozím nastavení je režim FIPS zakázán.
- Pokud je telefon registrován v prostředí, kde je povolen režim FIPS, musíte povolit režim FIPS v možnosti DHCP 43. Podrobnosti najdete v tématu Povolení režimu FIPS.
- Heslo výzvy ve variantě 43 je v jasném textu.
- Chcete-li, aby telefon používal MIC/SUDI pro počáteční registraci a obnovení certifikátu, nechte heslo výzvy prázdné.
- Chcete-li použít heslo výzvy pouze pro počáteční registraci, zadejte heslo výzvy a nastavte heslo pro opětovné použití výzvy pro obnovení na číslo č. V tomto případě se nainstalovaný certifikát použije k obnovení certifikátu.
- Povolit ověřování 802.1X a výběr certifikátu platí pouze pro telefony v kabelových sítích.
- K identifikaci modelu zařízení se používá možnost DHCP 60 (identifikátor třídy dodavatele).
Příklad možnosti DHCP 43 (dílčí možnosti 10—15):
Dílčí možnost desetinné/hex Délka hodnoty (bajt) desetinné/hex Hodnota Hex hodnota 10/0a 1/01 1 (0: Zakázáno; 1: Povoleno) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Ne; 1: Ano) 01 15/0f 1/01 1 (0: Instalace výroby; 1: Instalace na zakázku) 01 Souhrn hodnot parametrů:
-
Režim FIPS =
Enabled -
Server =
http://10.79.57.91 -
Root CA otisk prstu =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Heslo výzvy =
D233CCF9B9952A15 -
Povolit ověřování 802.1X =
Yes -
Výběr certifikátu =
Custom installed
Syntaxe konečné hexadecimální hodnoty je:
{<suboption><length><value>}...Podle výše uvedených hodnot parametrů je konečná hexadecimální hodnota následující:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Nakonfigurujte možnost DHCP 43 na serveru DHCP.
Tento krok poskytuje příklad konfigurace možnosti DHCP 43 v Cisco Network Register.
- Přidat sadu definic možností DHCP.
Ř etězec možností dodav atele je název modelu IP telefonů. Platná hodnota je: DP-9841, DP-9851, DP-9861, DP-9871 nebo CP-8875.
- Přidejte možnost DHCP 43 a dílčí možnosti do sady definic možností DHCP.
Příklad:
- Přidejte možnosti 43 do zásady DHCP a nastavte hodnotu následovně:
Příklad:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Ověřte nastavení. Wireshark můžete použít k zachycení stopy síťového provozu mezi telefonem a službou.
- Přidat sadu definic možností DHCP.
- Obnovte tovární nastavení telefonu.
Po resetování telefonu se automaticky vyplní parametry Server, Root CA Finger print a Challenge Password. Tyto parametry jsou umístěny v části Konfigurace SCEP 1 v části Cer na webové stránce správy telefonu.
Chcete-li zobrazit podrobnosti o nainstalovaném certifikátu, klepněte na tlačítko Zobrazit v části Existující certifikáty.
Chcete-li zkontrolovat stav instalace certifikátu, vyberte možnost . P ole Stav stahování 1 zobrazuje nejnovější výsledek. Pokud během registrace certifikátu dojde k problému, stav stahování zobrazí důvod pro účely řešení potíží.
Pokud se ověřování hesla výzvy nezdaří, telefon vyzve uživatele k zad ání hesla na obrazovce telefonu.
- (Volitelné): Chcete-li odebrat nainstalovaný certifikát z telefonu, klikněte na Od stran it v části Existující certifikáty.
Když kliknete na tlačítko Odstranit, telefon okamžitě odstraní certifikát bez výzvy k potvrzení.
Zřízení obecného jména nebo ID uživatele pomocí možnosti DHCP 15
Během registrace certifikátu SCEP prostřednictvím možnosti DHCP 43 může telefon také získat název domény uvedený v možnosti DHCP 15 (pokud je nakonfigurován). Poté, co telefon obdrží název domény, může vytvořit společné jméno nebo ID uživatele s názvem domény, který je reprezentován následovně:
- Obecný název = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Společ ný název bude použit pro CSR v procesu SCEP a později to bude společný název v CDC.
- ID uživatele = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
ID uživatele bude použit o jako identita pro kabelové ověřování 802.1X.
Například MAC adresa telefonu je 00:1 A:2B:3C:4D:5E, model telefonu je 9871:
| Název domény v DHCP možnosti 15 | Obecný název | ID uživatele |
|---|---|---|
| příklad.nl | CP-9871-SEP001A2B3C4D5E.example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Prázdný | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Pokud název domény není nakonfigurován ve variantě 15, bude společné jméno a uživatelské ID stejné jako společný název v MIC/SUDI.
