- Inicio
- /
- Artículo
Gracias por sus comentarios.
En este artículo
¿Comentarios?Puede instalar un Certificado de dispositivo personalizado (CDC) de forma manual o automática. Para ciertos entornos, puede utilizar la opción 43 de DHCP para proporcionar los parámetros SCEP para la instalación del certificado. Este artículo de ayuda es para Cisco Desk Phone serie 9800 y Cisco Video Phone 8875 registrados en Cisco BroadWorks.
Instalación del certificado de dispositivo personalizado
Para instalar un Certificado de dispositivo personalizado (CDC) en su teléfono, utilice una de las siguientes maneras según su situación:
El certificado instalado más recientemente en el teléfono entra en vigor.
- Instalación manual: puede instalar un certificado cargándolo desde la página web de administración del teléfono. Para obtener más información, consulte Instalación manual del certificado de dispositivo personalizado mediante carga.
- Instalación automática: puede configurar los parámetros del Protocolo simple de inscripción de certificados (SCEP) para activar una instalación automática de un certificado. El teléfono envía solicitudes SCEP a un servidor SCEP para instalar el certificado.
Los parámetros SCEP se pueden configurar a través de la página web de administración del teléfono, el archivo de configuración del teléfono (cfg.xml) o Control Hub. Para obtener más información, consulte Instalación automática del certificado de dispositivo personalizado por SCEP y Parámetros para la configuración del teléfono en Control Hub.
- Opción 43 de DHCP: en ciertos entornos, puede instalar un certificado utilizando la opción 43 de DHCP. La opción 43 puede proporcionar los parámetros SCEP para la instalación del certificado. Para obtener más información, consulte Configuración de parámetros SCEP a través de la opción 43 de DHCP.
-
Cuando utiliza la opción 43 de DHCP para el aprovisionamiento de parámetros SCEP, el teléfono también puede recuperar el nombre de dominio que se incluye en la opción 15 de DHCP. Según el nombre de dominio recuperado, el teléfono puede construir el nombre común de CSR SCEP y el ID de usuario 802.1X. Para obtener más información, consulte Aprovisionamiento de nombre común o ID de usuario mediante DHCP opción 15.
Para obtener más información acerca de cómo configurar las opciones DHCP, consulte Configurar opciones DHCP.
-
Instalación manual del certificado de dispositivo personalizado mediante carga
Puede instalar manualmente un Certificado de dispositivo personalizado (CDC) en el teléfono cargando el certificado desde la página web de administración del teléfono.
Antes de comenzar
Antes de que pueda instalar un certificado de dispositivo personalizado para un teléfono, debe tener:
- Un archivo de certificado (.p12 o.pfx) guardado en su PC. El archivo contiene el certificado y la clave privada.
- La contraseña de extracción del certificado. La contraseña se utiliza para descifrar el archivo del certificado.
| 1 |
Acceda a la página web de administración telefónica. |
| 2 |
Seleccione Certificado. |
| 3 |
En la sección Agregar certificado, haga clic en Examinar... . |
| 4 |
Busque el certificado en su PC. |
| 5 |
En el campo Extraer contraseña, escriba la contraseña de extracción del certificado. |
| 6 |
Haga clic en Cargar. Si el archivo de certificado y la contraseña son correctos, recibirá el mensaje "
Certificate added.”. De lo contrario, la carga falla con un mensaje de error que indica que el certificado no se puede cargar. |
| 7 |
Para verificar los detalles del certificado instalado, haga clic en Ver en la sección Certificados existentes. |
| 8 |
Para quitar el certificado instalado del teléfono, haga clic en Eliminar en la sección Certificados existentes. Una vez que haga clic en el botón, la operación de extracción comienza inmediatamente sin una confirmación. Después de quitar el certificado, aparece el |
Instalación automática del certificado de dispositivo personalizado por SCEP
Puede configurar los parámetros relacionados con el Protocolo simple de inscripción de certificados (SCEP) para que interactúen con el servidor SCEP para instalar automáticamente el Certificado de dispositivo personalizado (CDC).
Una vez configurado cualquiera de los parámetros de SCEP, el teléfono enviará una solicitud de inscripción SCEP al servidor. El teléfono validará el certificado de CA recibido utilizando la huella digital configurada.
Antes de comenzar
Antes de que pueda realizar una instalación automática de un Certificado de dispositivo personalizado (CDC) para un teléfono, debe tener:
- Dirección del servidor SCEP
- Huella digital SHA-1 o SHA-256 de la CA que emite el certificado telefónico
| 1 |
Acceda a la página web de administración telefónica. |
| 2 |
Seleccione Certificado. |
| 3 |
En la sección Configuración 1 de SCEP, defina los parámetros como se describe en Parámetros para la configuración de SCEP. |
| 4 |
Haga clic en Enviar todos los cambios. |
Parámetros para la configuración de SCEP
La siguiente tabla describe la función y el uso de los parámetros de configuración de SCEP en la sección Configuración 1 de SCEP de la ficha Certificado de la página web de administración del teléfono. También incluye la sintaxis de las cadenas que agrega al archivo de configuración del teléfono (cfg.xml) para configurar un parámetro.
Cambiar el parámetro Reuse Challenge Password for Renewal solo actualiza la política de renovación y no activa la inscripción inmediata. Sin embargo, cambiar cualquier otro parámetro de inscripción SCEP hará que el teléfono solicite automáticamente un nuevo certificado.
| Parámetro | Descripción |
|---|---|
| Servidor |
Dirección del servidor SCEP. Este parámetro es obligatorio. Realice una de las siguientes acciones:
Valores válidos: una dirección URL o IP. El esquema HTTPS no es compatible. Predeterminado: Vacío |
| CA Huella dactilar |
Introduzca la huella digital SHA-256 o SHA-1 del certificado de CA que emitió el
certificado telefónico. El certificado de CA debe incluirse en la
Realice una de las siguientes acciones:
El parámetro XML conserva el nombre heredado
Predeterminado: Vacío |
| Desafío Contraseña |
La contraseña de desafío para la autorización Certificate Authority (CA) contra el teléfono durante la inscripción de un certificado a través de SCEP. Este parámetro es opcional. Según el entorno SCEP real, el comportamiento de la contraseña de desafío varía.
Realice una de las siguientes acciones:
Predeterminado: Vacío |
| Nombre común |
Especifica el nombre común (CN) utilizado como identificador para el teléfono que solicita el certificado. El CN se utiliza para la solicitud de firma de certificados (CSR) en el proceso SCEP . Este parámetro también admite variables de expansión de macro; consulte Variables de expansión macro para obtener más detalles. Realice una de las siguientes acciones:
Valores válidos: Máximo de 64 caracteres Predeterminado: Vacío |
| Nombre del país |
Especifica el país de la organización. Realice una de las siguientes acciones:
Valores válidos: Cadena de 0 a 2 caracteres Predeterminado: Vacío |
| Nombre del estado o provincia |
Especifica el estado o provincia de la organización. Realice una de las siguientes acciones:
Valores válidos: Cadena de 0 a 64 caracteres. Predeterminado: Vacío |
| Nombre de la localidad |
Especifica el nombre de la localidad para el sujeto del certificado. Realice una de las siguientes acciones:
Valores válidos: Cadena de 0 a 64 caracteres Predeterminado: Vacío |
| Nombre de la organización |
Especifica el nombre del asunto de la solicitud de firma de certificado (CSR). Realice una de las siguientes acciones:
Valores válidos: Cadena de 0 a 64 caracteres Predeterminado: Vacío |
| Unidad organizativa |
Especifica los nombres de las unidades organizativas para el nombre del asunto de la solicitud de firma de certificado (CSR). El teléfono agregará hasta 5 parámetros “/OU=” al nombre del sujeto de CSR. Realice una de las siguientes acciones:
Valores válidos: Cada entrada es una matriz de cadenas de 0 a 64 caracteres separados por una coma, con una longitud máxima de 512 caracteres. Se pueden especificar hasta 5 unidades. Predeterminado: Vacío |
| SAN DNS |
Especifica los parámetros del servidor de nombres de dominio (DNS) para el nombre alternativo del sujeto (SAN) de solicitud de firma de certificado (CSR). El teléfono agregará hasta cinco parámetros DNS a la SAN CSR. Realice una de las siguientes acciones:
Valores válidos: Cada entrada es una matriz de cadenas de 0 a 64 caracteres separados por una coma, con una longitud máxima de 512 caracteres. Se pueden especificar hasta cinco parámetros DNS. Predeterminado: Vacío |
| SAN IP |
Especifica los parámetros de IP para el nombre alternativo del sujeto (SAN) de solicitud de firma de certificado (CSR). El teléfono agregará hasta cinco parámetros IP a la SAN CSR. Realice una de las siguientes acciones:
Valores válidos: Cada entrada es una matriz de cadenas de 0 a 64 caracteres separados por una coma, con una longitud máxima de 512 caracteres. Se pueden especificar hasta cinco parámetros IP. Predeterminado: Vacío |
| Correo electrónico SAN |
Especifica los parámetros de correo electrónico para el nombre alternativo del sujeto (SAN) de solicitud de firma de certificado (CSR). El teléfono agregará hasta cinco parámetros de correo electrónico a la SAN CSR. Realice una de las siguientes acciones:
Valores válidos: Cada entrada es una matriz de cadenas de 0 a 64 caracteres separados por una coma, con una longitud máxima de 512 caracteres. Se pueden especificar hasta cinco parámetros de correo electrónico. Predeterminado: Vacío |
| SAN URI |
Especifica los parámetros URI para el nombre alternativo del sujeto (SAN) de solicitud de firma de certificado (CSR). El teléfono agregará hasta cinco parámetros URI a la SAN CSR. Realice una de las siguientes acciones:
Valores válidos: Cada entrada es una matriz de cadenas de 0 a 64 caracteres separados por una coma, con una longitud máxima de 512 caracteres. Se pueden especificar hasta cinco parámetros URI. Predeterminado: Vacío |
Renovación del certificado por SCEP
El certificado del dispositivo se puede actualizar automáticamente mediante el proceso SCEP.
- El teléfono comprueba si el certificado caducará en 15 días cada 4 horas. Si es así, el teléfono inicia automáticamente el proceso de renovación del certificado.
- Si la contraseña del desafío está vacía, el teléfono utiliza MIC/SUDI tanto para la inscripción inicial como para la renovación del certificado. Si la contraseña de desafío está configurada, se usa solo para la inscripción inicial, el certificado existente/instalado se usa para la renovación del certificado.
- El teléfono no quita el certificado del dispositivo antiguo hasta que recupera el nuevo.
- Si la renovación del certificado falla porque el certificado del dispositivo o la CA caduca, el teléfono activa automáticamente la inscripción inicial. Mientras tanto, si falla la autenticación de la contraseña de desafío, aparece una pantalla de entrada de contraseña en la pantalla del teléfono y se solicita a los usuarios que ingresen la contraseña de desafío en el teléfono.
Configuración del nombre común de los CDC
De forma predeterminada, el nombre común en MIC/SUDI se usa como el nombre común para los CDC.
Puede configurar el nombre común para los CDC cuando instale el certificado. Utilice uno de los siguientes métodos para instalar un CDC en el teléfono:
-
Genere una solicitud de firma de certificado (CSR) que contenga su nombre común deseado y, a continuación, cargue e instale el nuevo certificado en la página web de administración del teléfono.
-
Configure el nombre común a través de la página web de administración del teléfono, el archivo de configuración del teléfono (cfg.xml) o Control Hub. Esto activará el teléfono para solicitar un nuevo certificado automáticamente.
Para obtener más información sobre los parámetros en la página web del teléfono y el Centro de control, consulte Instalación automática del certificado de dispositivo personalizado por SCEP y Parámetros para la configuración del teléfono en Control Hub.
- Utilice las opciones 43 y 15 de DHCP para proporcionar el nombre común para los CDC y la identidad 802.1X cableada.
Para obtener más información, consulte Aprovisionamiento de nombre común o ID de usuario a través de la opción 15 de DHCP.
Configuración de parámetros SCEP a través de la opción 43 de DHCP
En algunos entornos, no puede instalar el Certificado de dispositivo personalizado (CDC) cargándolo o configurando directamente los parámetros SCEP. En esta situación, puede usar la opción 43 de DHCP para suministrar los parámetros SCEP desde un servidor DHCP al teléfono. Una vez que el teléfono se restablece a los valores predeterminados de fábrica, recibe los parámetros del servidor DHCP e instala el CDC mediante SCEP.
- Esta función (configuración de parámetros SCEP a través de DHCP opción 43) solo está disponible para teléfonos que se han restablecido a los valores predeterminados de fábrica.
- No implemente teléfonos que dependen de las opciones 43 en una red que también utilice aprovisionamiento remoto (por ejemplo, las opciones 66.150, 159 y 160, o aprovisionamiento en la nube). De lo contrario, es posible que los teléfonos no reciban la opción 43 configuraciones.
Para instalar un certificado CDC según los parámetros SCEP proporcionados por la opción 43 de DHCP, haga lo siguiente:
- Prepare un entorno SCEP.
Para obtener información sobre la configuración del entorno SCEP, consulte la documentación del servidor SCEP.
- Configure la opción 43 de DHCP (definida en 8.4 Información específica del proveedor, RFC 2132).
Las suboopciones (10—15) están reservadas para el método:
Parámetro en la página web del teléfono Subopcion Tipo Longitud (byte) Obligatorio Modo FIPS 10 booleano 1 No* Servidor 11 cadena 208 - longitud (contraseña del desafío) Sí Huella digital Root CA 12 hexagonal 20, 32, 48 o 64 Sí Desafío Contraseña 13 cadena 208 - longitud (servidor) No* Habilitar la autenticación 802.1X 14 booleano 1 No Selección de certificado 15 8 bits sin firmar 1 No * significa que el parámetro está configurado de acuerdo con la situación real.
Cuando utilice la opción 43 de DHCP, observe las siguientes características del método:
- Las suboopciones (10—15) están reservadas para el Certificado de dispositivo personalizado (CDC).
- La longitud máxima de la opción 43 de DHCP es de 255 bytes.
- La longitud máxima de la contraseña del servidor + del desafío debe ser inferior a 208 bytes.
- El valor del modo FIPS debe coincidir con la configuración de aprovisionamiento de incorporación.
De lo contrario, el teléfono no puede recuperar el certificado instalado previamente después de la
incorporación. Específicamente,
- Si el teléfono está registrado en un entorno donde el modo FIPS está deshabilitado, no necesita configurar el modo FIPS en la opción 43 de DHCP. De forma predeterminada, el modo FIPS está deshabilitado.
- Si el teléfono está registrado en un entorno donde el modo FIPS está habilitado, debe habilitar el modo FIPS en la opción 43 de DHCP. Consulte Habilitar el modo FIPS para obtener más detalles.
- La contraseña del desafío en la opción 43 está en texto claro.
- Para que el teléfono use MIC/SUDI para la inscripción inicial y la renovación del certificado, deje vacía la contraseña del desafío.
- Para usar la contraseña del desafío solo para la inscripción inicial, proporcione la contraseña del desafío y establezca Reutilizar contraseña de desafío para renovación en No. En este caso, el certificado instalado se utiliza para la renovación del certificado.
- Habilite la autenticación 802.1X y la selección del certificado se aplica solo a teléfonos en redes cableadas.
- La opción 60 de DHCP (identificador de clase de proveedor) se utiliza para identificar el modelo de dispositivo.
Ejemplo de DHCP opción 43 (subopciones 10—15):
Subopción decimal/hexadecimal Longitud del valor (byte) decimal/hexadecimal Valor Valor hexadecimal 10/0a 1/01 1 (0: Desactivado; 1: Activado) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: No; 1: Sí) 01 15/0f 1/01 1 (0: Fabricación instalada; 1: Instalación personalizada) 01 Resumen de los valores de los parámetros:
-
Modo FIPS =
Enabled -
Server =
http://10.79.57.91 -
Huella digital de CA raíz =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Contraseña del desafío =
D233CCF9B9952A15 -
Habilitar autenticación 802.1X =
Yes -
Certificado Select =
Custom installed
La sintaxis del valor hexadecimal final es:
{<suboption><length><value>}...Según los valores de los parámetros anteriores, el valor hexadecimal final es el siguiente:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Configure la opción 43 de DHCP en un servidor DHCP.
Este paso proporciona un ejemplo de las configuraciones de la opción 43 de DHCP en Cisco Network Register.
- Agregue un conjunto de definiciones de opciones DHCP.
La cadena de opciones del proveedor es el nombre del modelo de los teléfonos IP. El valor válido es: DP-9841, DP-9851, DP-9861, DP-9871 o CP-8875.
- Agregue la opción 43 de DHCP y las subopciones al conjunto de definiciones de opciones DHCP.
Ejemplo:
- Agregue las opciones 43 a la política DHCP y configure el valor de la siguiente manera:
Ejemplo:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Verifique la configuración. Puede usar Wireshark para capturar un rastro del tráfico de red entre el teléfono y el servicio.
- Agregue un conjunto de definiciones de opciones DHCP.
- Restablezca de fábrica el teléfono.
Una vez restablecido el teléfono, los parámetros Servidor, Root CA Fingerprint y Challenge Password se completan automáticamente. Estos parámetros se encuentran en la sección Configuración 1 de SCEP bajo en la página web de administración del teléfono.
Para ver los detalles del certificado instalado, haga clic en Ver en la sección Certificados existentes.
Para verificar el estado de instalación del certificado, seleccione El campo Estado de descarga 1 muestra el resultado más reciente. Si se produce un problema durante la inscripción del certificado, el estado de descarga muestra el motivo de la solución de problemas.
Si falla la autenticación de contraseña de desafío, el teléfono solicita a los usuarios que ingresen la contraseña en la pantalla del teléfono.
- (Opcional): Para quitar el certificado instalado del teléfono, haga clic en Eliminar en la sección Certificados existentes.
Cuando hace clic en Eliminar, el teléfono elimina el certificado inmediatamente, sin un mensaje de confirmación.
Aprovisionamiento de nombre común o ID de usuario a través de DHCP opción 15
Durante la inscripción del certificado SCEP a través de la opción 43 de DHCP, el teléfono también puede obtener el nombre de dominio proporcionado en la opción 15 de DHCP (si está configurado). Una vez que el teléfono recibe el nombre de dominio, puede construir el nombre común o el ID de usuario con el nombre de dominio, que se representa de la siguiente manera:
- Nombre común = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
El nombre común se utilizará para la RSE en el proceso SCEP, y más tarde será el nombre común en los CDC.
- ID de usuario = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
El ID de usuario se utilizará como identidad para la autenticación 802.1X por cable.
Por ejemplo, la dirección MAC del teléfono es 00:1 A: 2B:3C:4D:5E, el modelo de teléfono es 9871:
| Nombre de dominio en DHCP opción 15 | Nombre común | ID de usuario |
|---|---|---|
| ejemplo.nl | CP-9871-SEP001A2B3C4D5E.Example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Vacío | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Si el nombre de dominio no está configurado en la opción 15, el nombre común y el ID de usuario serán los mismos que el nombre común en MIC/SUDI.
