- Startseite
- /
- Artikel
Danke für Ihr Feedback.
In diesem Artikel
Feedback?Sie können ein Custom Device Certificate (CDC) manuell oder automatisch installieren. Für bestimmte Umgebungen können Sie DHCP-Option 43 verwenden, um die SCEP-Parameter für die Zertifikatsinstallation bereitzustellen. Dieser Hilfeartikel ist für Cisco Desk Phone der Serie 9800 und Cisco Video Phone 8875, registriert bei Cisco BroadWorks.
Installation eines benutzerdefinierten Gerätezertifikats
Um ein benutzerdefiniertes Gerätezertifikat (CDC) auf Ihrem Telefon zu installieren, verwenden Sie je nach Ihrer Situation eine der folgenden Methoden:
Es gilt das zuletzt auf dem Telefon installierte Zertifikat.
- Manuelle Installation – Sie können ein Zertifikat installieren, indem Sie es von der Webseite zur Telefonverwaltung hochladen. Weitere Einzelheiten finden Sie unter Manuelle Installation des benutzerdefinierten Gerätezertifikats durch Hochladen.
- Automatische Installation – Sie können die SCEP-Parameter (Simple Certificate Enrollment Protocol) so konfigurieren, dass eine automatische Installation eines Zertifikats ausgelöst wird. Das Telefon sendet SCEP-Anfragen an einen SCEP-Server, um das Zertifikat zu installieren.
Die SCEP-Parameter können über die Telefonverwaltungswebseite, die Telefonkonfigurationsdatei (cfg.XML) oder Control Hub konfiguriert werden. Weitere Einzelheiten finden Sie unter Automatische Installation des benutzerdefinierten Gerätezertifikats durch SCEP Und Parameter für Telefoneinstellungen auf Control Hub.
- DHCP Option 43 – In bestimmten Umgebungen können Sie ein Zertifikat installieren, indem Sie die DHCP Option 43 verwenden. Die Option 43 kann die SCEP-Parameter für die Zertifikatsinstallation bereitstellen. Weitere Einzelheiten finden Sie unter SCEP-Parameterkonfiguration über DHCP Option 43.
-
Wenn Sie die Option 43 DHCP zur Bereitstellung von SCEP-Parametern verwenden, kann das Telefon auch den Domänennamen aus der Option 15 DHCP abrufen. Basierend auf dem abgerufenen Domänennamen kann das Telefon den SCEP-Allgemeinnamen CSR und die 802.1X-Benutzer-ID erstellen. Weitere Einzelheiten finden Sie unter Bereitstellung des allgemeinen Namens oder der Benutzer-ID über DHCP Option 15.
Weitere Informationen zum Konfigurieren der Optionen von DHCP finden Sie unter Konfigurieren Sie die Optionen für DHCP.
-
Manuelle Installation des benutzerdefinierten Gerätezertifikats durch Hochladen
Sie können ein benutzerdefiniertes Gerätezertifikat (Custom Device Certificate, CDC) manuell auf dem Telefon installieren, indem Sie das Zertifikat von der Webseite für die Telefonverwaltung hochladen.
Vorbereitungen
Bevor Sie ein benutzerdefiniertes Gerätezertifikat für ein Telefon installieren können, benötigen Sie Folgendes:
- Eine auf Ihrem PC gespeicherte Zertifikatsdatei (.p12 oder .pfx). Die Datei enthält das Zertifikat und den privaten Schlüssel.
- Das Extraktionskennwort des Zertifikats. Das Kennwort wird verwendet, um die Zertifikatsdatei zu entschlüsseln.
| 1 |
Greifen Sie auf die Webseite zur Telefonverwaltung zu. |
| 2 |
Wählen Zertifikat. |
| 3 |
Klicken Sie im Abschnitt Zertifikat hinzufügen auf Durchsuchen. |
| 4 |
Navigieren Sie zum Zertifikat auf Ihren PC. |
| 5 |
Geben Sie im Feld Kennwort extrahieren das Extraktionskennwort des Zertifikats an. |
| 6 |
Klicken Sie auf Hochladen. Wenn die Zertifikatsdatei und das Passwort korrekt sind, erhalten Sie die Meldung "
Zertifikat hinzugefügt.". Andernfalls schlägt der Upload fehl und es wird eine Fehlermeldung ausgegeben, die besagt, dass das Zertifikat nicht hochgeladen werden kann. |
| 7 |
Um Details des installierten Zertifikats zu überprüfen, klicken Sie im Abschnitt Vorhandene Zertifikate auf Anzeigen. |
| 8 |
Um das installierte Zertifikat vom Telefon zu entfernen, klicken Sie im Abschnitt Vorhandene Zertifikate auf Löschen. Sobald Sie auf die Schaltfläche klicken, wird der Entfernungsvorgang sofort und ohne Bestätigung gestartet. Nachdem das Zertifikat entfernt wurde, erscheint die |
Automatische Installation des benutzerdefinierten Gerätezertifikats durch SCEP
Sie können die mit dem Simple Certificate Enrollment Protocol (SCEP) verbundenen Parameter so konfigurieren, dass sie mit dem SCEP-Server interagieren und das Custom Device Certificate (CDC) automatisch installieren.
Sobald einer der SCEP-Parameter konfiguriert ist, sendet das Telefon eine SCEP-Registrierungsanforderung an den Server. Das Telefon validiert das empfangene CA-Zertifikat mithilfe des konfigurierten Fingerabdrucks.
Vorbereitungen
Bevor Sie eine automatische Installation eines benutzerdefinierten Gerätezertifikats (CDC) für ein Telefon durchführen können, müssen Sie über Folgendes verfügen:
- SCEP-Server-Adresse
- SHA-1- oder SHA-256-Fingerabdruck der CA, die das Telefonzertifikat ausstellt
| 1 |
Greifen Sie auf die Webseite zur Telefonverwaltung zu. |
| 2 |
Wählen Zertifikat. |
| 3 |
Im SCEP-Konfiguration 1 Abschnitt, legen Sie die Parameter wie in Parameter für die SCEP-Konfiguration . |
| 4 |
Klicken Sie auf Submit All Changes. |
Parameter für die SCEP-Konfiguration
Die folgende Tabelle beschreibt die Funktion und Verwendung von SCEP-Konfigurationsparametern im Abschnitt SCEP-Konfiguration 1 auf der Registerkarte Zertifikat der Telefonverwaltungs-Webseite. Es beinhaltet auch die Syntax der Zeichenketten, die Sie zur Telefonkonfigurationsdatei (cfg.xml) hinzufügen, um einen Parameter zu konfigurieren.
Die Änderung des Parameters „Challenge-Passwort für Verlängerung wiederverwenden“ aktualisiert nur die Verlängerungsrichtlinie und löst keine sofortige Registrierung aus. Wenn Sie jedoch andere SCEP-Registrierungsparameter ändern, fordert das Telefon automatisch ein neues Zertifikat an.
| Parameter | Beschreibung |
|---|---|
| Server |
SCEP-Serveradresse. Dieser Parameter ist obligatorisch. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Eine URL oder eine IP-Adresse. Das HTTPS-Schema wird nicht unterstützt. Standard: leer |
| CA-Fingerabdruck |
Geben Sie den SHA-256- oder SHA-1-Fingerabdruck des CA-Zertifikats ein, das das Telefonzertifikat ausgestellt hat. Das CA-Zertifikat muss in der
Führen Sie eine der folgenden Aktionen aus:
Der XML-Parameter behält den alten Namen bei
Standard: leer |
| Abfragekennwort |
Das Abfragekennwort für die CA-Autorisierung (Certificate Authority) auf dem Telefon während einer Zertifikatsregistrierung über SCEP. Dieser Parameter ist optional. Je nach der tatsächlichen SCEP-Umgebung variiert das Verhalten des Abfragekennworts.
Führen Sie eine der folgenden Aktionen aus:
Standard: leer |
| Allgemeiner Name |
Gibt den Common Name (CN) an, der als Kennung für das Telefon verwendet wird, das das Zertifikat anfordert. Der CN wird für die Zertifikatsignieranforderung (CSR) im SCEP-Prozess verwendet. Dieser Parameter unterstützt auch Makroerweiterungsvariablen, (siehe Makroerweiterungsvariablen für Details. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Maximal 64 Zeichen Standard: leer |
| Ländername |
Gibt das Land der Organisation an. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Zeichenfolge von 0 bis 2 Zeichen Standard: leer |
| Name des Bundesstaats oder der Provinz |
Gibt das Bundesland oder die Provinz der Organisation an. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Zeichenfolge von 0 bis 64 Zeichen. Standard: leer |
| Name der Lokalität |
Gibt den Ortsnamen für den Betreff des Zertifikats an. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Zeichenfolge von 0 bis 64 Zeichen Standard: leer |
| Name der Organisation |
Gibt den Betreffnamen der Certificate Signing Request (CSR) an. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Zeichenfolge von 0 bis 64 Zeichen Standard: leer |
| Organisationseinheit |
Gibt die Namen der Organisationseinheiten für den Betreffnamen der Certificate Signing Request (CSR) an. Das Telefon fügt dem CSR-Betreffnamen bis zu 5 „/OU=“ -Parameter hinzu. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Jeder Eintrag ist ein Zeichenkettenarray von 0 bis 64 Zeichen, getrennt durch ein Komma, mit einer maximalen Länge von 512 Zeichen. Es können bis zu 5 Einheiten angegeben werden. Standard: leer |
| SAN DNS |
Gibt die Domain Name Server (DNS) -Parameter für den Subject Alternative Name (SAN) der Certificate Signing Request (CSR) an. Das Telefon fügt dem CSR-SAN bis zu fünf DNS-Parameter hinzu. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Jeder Eintrag ist ein Zeichenkettenarray von 0 bis 64 Zeichen, getrennt durch ein Komma, mit einer maximalen Länge von 512 Zeichen. Bis zu fünf DNS-Parameter können angegeben werden. Standard: leer |
| SAN IP |
Gibt die IP-Parameter für den Subject Alternative Name (SAN) der Certificate Signing Request (CSR) an. Das Telefon fügt dem CSR-SAN bis zu fünf IP-Parameter hinzu. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Jeder Eintrag ist ein Zeichenkettenarray von 0 bis 64 Zeichen, getrennt durch ein Komma, mit einer maximalen Länge von 512 Zeichen. Bis zu fünf IP-Parameter können angegeben werden. Standard: leer |
| SAN-E-Mail |
Gibt die E-Mail-Parameter für den Subject Alternative Name (SAN) der Certificate Signing Request (CSR) an. Das Telefon fügt dem CSR-SAN bis zu fünf E-Mail-Parameter hinzu. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Jeder Eintrag ist ein Zeichenkettenarray von 0 bis 64 Zeichen, getrennt durch ein Komma, mit einer maximalen Länge von 512 Zeichen. Bis zu fünf E-Mail-Parameter können angegeben werden. Standard: leer |
| SAN URI |
Gibt die URI-Parameter für den Subject Alternative Name (SAN) der Certificate Signing Request (CSR) an. Das Telefon fügt dem CSR-SAN bis zu fünf URI-Parameter hinzu. Führen Sie eine der folgenden Aktionen aus:
Gültige Werte: Jeder Eintrag ist ein Zeichenkettenarray von 0 bis 64 Zeichen, getrennt durch ein Komma, mit einer maximalen Länge von 512 Zeichen. Bis zu fünf URI-Parameter können angegeben werden. Standard: leer |
Zertifikatserneuerung durch SCEP
Das Gerätezertifikat kann durch den SCEP-Prozess automatisch erneuert werden.
- Das Telefon überprüft alle 4 Stunden, ob das Zertifikat in 15 Tagen abläuft. Wenn dies der Fall ist, startet das Telefon automatisch die Zertifikatserneuerung.
- Wenn das Abfragekennwort leer ist, verwendet das Telefon MIC/SUDI sowohl für die erstmalige Registrierung als auch für die Zertifikatserneuerung. Wenn das Abfragekennwort konfiguriert ist, wird es nur für die erstmalige Registrierung verwendet, und das vorhandene/installierte Zertifikat wird für die Zertifikatserneuerung verwendet.
- Das Telefon entfernt das alte Gerätezertifikat erst, wenn das neue abgerufen wird.
- Wenn die Zertifikatserneuerung fehlschlägt, weil das Gerätezertifikat oder die Zertifizierungsstelle abgelaufen ist, löst das Telefon automatisch die Erstregistrierung aus. Wenn in der Zwischenzeit die Authentifizierung des Abfragekennworts fehlschlägt, erscheint auf dem Telefonbildschirm eine Aufforderung zur Eingabe des Abfragekennworts, in der die Benutzer aufgefordert werden, das Abfragekennwort auf dem Telefon einzugeben.
CDC Common Name-Konfiguration
Standardmäßig wird der allgemeine Name in MIC/SUDI als allgemeiner Name für CDC verwendet.
Sie können den allgemeinen Namen für CDC konfigurieren, wenn Sie das Zertifikat installieren. Verwenden Sie eine der folgenden Methoden, um ein CDC auf dem Telefon zu installieren:
-
Erstellen Sie eine Zertifikatsignieranforderung (CSR), die Ihren gewünschten allgemeinen Namen enthält, und laden Sie dann das neue Zertifikat auf der Webseite zur Telefonverwaltung hoch und installieren Sie es.
-
Konfigurieren Sie den allgemeinen Namen über die Telefonverwaltungswebseite, die Telefonkonfigurationsdatei (cfg.XML) oder Control Hub. Dadurch wird das Telefon veranlasst, automatisch ein neues Zertifikat anzufordern.
Weitere Informationen zu den Parametern auf der Telefon-Webseite und im Control Hub finden Sie unter Automatische Installation des benutzerdefinierten Gerätezertifikats durch SCEP Und Parameter für Telefoneinstellungen auf Control Hub.
- Verwenden Sie die Optionen 43 und 15 von DHCP, um einen gemeinsamen Namen für CDC und eine kabelgebundene 802.1X-Identität bereitzustellen.
Weitere Informationen finden Sie unter Bereitstellung des allgemeinen Namens oder der Benutzer-ID über DHCP Option 15.
SCEP-Parameterkonfiguration über DHCP-Option 43
In einigen Umgebungen können Sie das Custom Device Certificate (CDC) nicht installieren, indem Sie es hochladen oder die SCEP-Parameter direkt konfigurieren. In dieser Situation können Sie die DHCP-Option 43 verwenden, um die SCEP-Parameter von einem DHCP-Server an das Telefon weiterzuleiten. Nachdem das Telefon auf die Werkseinstellungen zurückgesetzt wurde, empfängt es die Parameter vom DHCP-Server und installiert das CDC mithilfe von SCEP.
- Diese Funktion (Konfiguration der SCEP-Parameter über DHCP-Option 43) ist nur für Telefone verfügbar, die auf die Werkseinstellungen zurückgesetzt wurden.
- Stellen Sie keine Telefone bereit, die auf Optionen 43 angewiesen sind, in einem Netzwerk, das auch Remote-Provisioning verwendet (zum Beispiel Optionen 66.150, 159 und 160 oder Cloud-Provisioning). Andernfalls erhalten die Telefone möglicherweise nicht die Option 43-Konfigurationen.
Um ein CDC-Zertifikat mit den SCEP-Parametern zu installieren, die von der Option 43 von DHCP bereitgestellt werden, gehen Sie wie folgt vor:
- Bereiten Sie eine SCEP-Umgebung vor.
Weitere Informationen zum Einrichten der SCEP-Umgebung finden Sie in der Dokumentation zu Ihrem SCEP-Server.
- Richten Sie die DHCP-Option 43 ein (definiert in 8.4 Anbieterspezifische Informationen, RFC 2132).
Die Unteroptionen (10–15) sind für die Methode reserviert:
Parameter auf der Webseite des Telefons Unteroption Typ Länge (Byte) Obligatorisch FIPS-Modus 10 boolesch 1 Nein* Server 11 Zeichenfolge 208 – Länge (Challenge-Passwort) Ja Stamm-CA-Fingerabdruck 12 verhexen 20, 32, 48 oder 64 Ja Abfragekennwort 13 Zeichenfolge 208 – Länge (Server) Nein* 802.1X-Authentifizierung aktivieren 14 boolesch 1 Nein Zertifikat auswählen 15 8-Bit ohne Vorzeichen 1 Nein * bedeutet, dass der Parameter entsprechend der tatsächlichen Situation konfiguriert wird.
Wenn Sie die DHCP-Option 43 verwenden, beachten Sie die folgenden Merkmale der Methode:
- Die Unteroptionen (10 bis 15) sind für das benutzerdefinierte Gerätezertifikat (Custom Device Certificate, CDC) reserviert.
- Die maximale Länge der DHCP-Option 43 beträgt 255 Byte.
- Die maximale Länge von Server und Challenge-Passwort muss weniger als 208 Byte betragen.
- Der Wert des FIPS-Modus muss mit der Onboarding-Provisioning-Konfiguration übereinstimmen.
Andernfalls kann das zuvor installierte Zertifikat nach dem Onboarding nicht abgerufen werden. Insbesondere:
- Wenn das Telefon in einer Umgebung registriert ist, in der der FIPS-Modus deaktiviert ist, müssen Sie den FIPS-Modus nicht in der DHCP-Option 43 konfigurieren. Standardmäßig ist der FIPS-Modus deaktiviert.
- Wenn das Telefon in einer Umgebung registriert ist, in der der FIPS-Modus aktiviert ist, müssen Sie den FIPS-Modus in der DHCP-Option 43 aktivieren. Siehe FIPS-Modus aktivieren für Details.
- Das Challenge-Passwort in Option 43 ist im Klartext.
- Damit das Telefon MIC/SUDI für die Erstregistrierung und Zertifikatsverlängerung verwendet, lassen Sie das Challenge-Passwort leer.
- Um das Challenge-Passwort nur für die Erstanmeldung zu verwenden, geben Sie das Challenge-Passwort ein und setzen Sie „Challenge-Passwort für Verlängerung wiederverwenden“ auf Nein. In diesem Fall wird das installierte Zertifikat für die Verlängerung des Zertifikats verwendet.
- 802.1X-Authentifizierung und Zertifikatsauswahl aktivieren, gilt nur für Telefone in verkabelten Netzwerken.
- Die DHCP-Option 60 (Vendor Class Identifier) wird verwendet, um das Gerätemodell zu identifizieren.
Beispiel für DHCP Option 43 (Unteroptionen 10–15):
Suboption dezimal/hex Wertlänge (Byte) dezimal/hex Wert Hexadezimalwert 10/0a 1/01 1 (0: Deaktiviert; 1: Aktiviert) 01 11/0 b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0 Tage 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Nein; 1: Ja) 01 15/0f 1/01 1 (0: Vom Hersteller installiert; 1: Individuell installiert) 01 Zusammenfassung der Parameterwerte:
-
FIPS-Modus =
Aktiviert -
Server =
http://10.79.57.91 -
Stammzertifizierungsstellen-Fingerabdruck =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Abfragekennwort =
D233CCF9B9952A15 -
802.1X-Authentifizierung aktivieren =
Ja -
Zertifikatsauswahl =
Individuell installiert
Die Syntax des endgültigen Hex-Werts lautet:
{<Unteroption><Länge><Wert>}...Gemäß den obigen Parameterwerten lautet der endgültige Hexadezimalwert:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Konfigurieren Sie die DHCP-Option 43 auf einem DHCP-Server.
Dieser Schritt enthält ein Beispiel für die Konfigurationen der DHCP-Option 43 im Cisco-Netzwerkregister.
- Fügen Sie einen DHCP-Optionsdefinitionssatz hinzu.
Die Herstelleroptionszeichenfolge ist der Modellname der IP-Telefone. Der gültige Wert ist: DP-9841, DP-9851, DP-9861, DP-9871 oder CP-8875.
- Fügen Sie die DHCP-Option 43 und Unteroptionen zum DHCP-Optionsdefinitionssatz hinzu.
Beispiel:
- Fügen Sie der DHCP-Richtlinie die Option 43 hinzu und richten Sie den Wert wie folgt ein:
Beispiel:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Überprüfen Sie die Einstellungen. Sie können Wireshark verwenden, um eine Spur des Netzwerkverkehrs zwischen dem Telefon und dem Dienst zu erfassen.
- Fügen Sie einen DHCP-Optionsdefinitionssatz hinzu.
- Setzen Sie das Telefon auf die Werkseinstellungen zurück.
Nachdem das Telefon zurückgesetzt wurde, werden die Parameter Server, Root CA Fingerprint und Challenge Password automatisch ausgefüllt. Diese Parameter befinden sich im Abschnitt SCEP-Konfiguration 1 unter auf der Webseite für die Telefonverwaltung.
Um die Details des installierten Zertifikats anzuzeigen, klicken Sie im Abschnitt Bestehende Zertifikate auf Anzeigen.
Um den Installationsstatus des Zertifikats zu überprüfen, wählen Sie . Das Feld Download-Status 1 zeigt das neueste Ergebnis. Wenn bei der Zertifikatsregistrierung ein Problem auftritt, zeigt der Download-Status den Grund für die Problembehebung an.
Wenn die Authentifizierung mit dem Abfrage-Passwort fehlschlägt, fordert das Telefon die Benutzer auf, das Passwort auf dem Telefonbildschirm einzugeben.
- (Optional): Um das installierte Zertifikat vom Telefon zu entfernen, klicken Sie im Abschnitt vorhandene Zertifikate auf Löschen .
Wenn Sie auf Löschen klicken, entfernt das Telefon das Zertifikat sofort, ohne eine Bestätigungsaufforderung.
Bereitstellung des allgemeinen Namens oder der Benutzer-ID über DHCP Option 15
Während der SCEP-Zertifikatregistrierung über die DHCP-Option 43 kann das Telefon auch den in der DHCP-Option 15 angegebenen Domänennamen abrufen (sofern konfiguriert). Nachdem das Telefon den Domänennamen erhalten hat, kann es den allgemeinen Namen oder die Benutzer-ID mit dem Domänennamen erstellen, der wie folgt dargestellt wird:
- Allgemeiner Name = <allgemeiner Name in MIC/SUDI >.<Domänenname in Option 15>
Der Allgemeine Name wird im SCEP-Prozess für CSR verwendet und ist später der allgemeine Name in CDC.
- Benutzer-ID = <allgemeiner Name in MIC/SUDI >@<Domänenname in Option 15>
Die Benutzer-ID wird als Identität für die kabelgebundene 802.1X-Authentifizierung verwendet.
Beispielsweise lautet die MAC-Adresse des Telefons 00:1A:2B:3C:4D:5E, das Telefonmodell ist 9871:
| Domänenname in DHCP Option 15 | Allgemeiner Name | User ID (Benutzer-ID) |
|---|---|---|
| beispiel.nl | CP-9871-SEP001A2B3C4D5E.example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Leer | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Wenn in Option 15 kein Domänenname konfiguriert ist, sind der allgemeine Name und die Benutzer-ID identisch mit dem allgemeinen Namen in MIC/SUDI.
