Webexin hallitun yhdyskäytävän komento-opas

Voit ottaa käyttöön todennus-, valtuutus- ja kirjanpitomallin (AAA) käyttämällä aaa uusi malli komento globaalissa määritystilassa. Voit poistaa AAA-käytönvalvontamallin käytöstä käyttämällä ei tämän komennon muodossa.

aaa uusi malli

ei aaa uusi malli

Tässä komennossa ei ole argumentteja tai avainsanoja.

Komennon oletusarvo: AAA ei ole käytössä.

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet: Tämä komento ottaa käyttöön AAA-kulunvalvontajärjestelmän.

Voit määrittää todennus-, valtuutus- ja kirjanpitotodennuksen (AAA) kirjautumisen yhteydessä käyttämällä aaa todennuskirjautuminen komento globaalissa määritystilassa. Voit poistaa AAA-todennuksen käytöstä käyttämällä ei tämän komennon muodossa.

aaa todennuskirjautuminen {oletuksena | listanimi } menetelmä 1 [menetelmä 2...]

ei aaa todennuskirjautuminen {oletuksena | listanimi } menetelmä 1 [menetelmä 2...]

Komennon oletusarvo: AAA-todennus sisäänkirjautumisen yhteydessä on poistettu käytöstä.

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet: Jos oletuksena avainsanaa ei ole asetettu, vain paikallinen käyttäjätietokanta tarkistetaan. Tällä on sama vaikutus kuin seuraavalla komennolla:

aaa authentication login default local

Konsolissa sisäänkirjautuminen onnistuu ilman todennustarkistuksia, jos oletuksena avainsanaa ei ole asetettu.

Oletus- ja valinnaiset luettelonimet, jotka luot -sovelluksella aaa todennuskirjautuminen -komentoa käytetään kirjautumisen todennus komento.

Luo luettelo kirjoittamalla aaa todennuskirjautuminen list-name-menetelmäkomento tietylle protokollalle. Listan nimi -argumentti on merkkijono, jota käytetään nimeämään käyttäjän kirjautuessa käyttöön aktivoitujen todennusmenetelmien luettelo. Metodiargumentti identifioi luettelon menetelmistä, joita todennusalgoritmi yrittää tietyssä järjestyksessä. "Todennusmenetelmät, joita ei voida käyttää argumentille list-name" -osiossa luetellaan todennusmenetelmät, joita ei voida käyttää argumentille list-name, ja alla olevassa taulukossa kuvataan menetelmän avainsanat.

Voit luoda oletusluettelon, jota käytetään, jos riville ei ole määritetty luetteloa, käyttämällä kirjautumisen todennus komento oletusargumentilla ja menetelmät, joita haluat käyttää oletustilanteissa.

Salasanaa pyydetään vain kerran käyttäjän tunnistetietojen todentamiseksi, ja jos yhteysongelmista aiheutuu virheitä, useita uudelleenyrityksiä on mahdollista käyttää lisätodennusmenetelmillä. Vaihto seuraavaan todennusmenetelmään tapahtuu kuitenkin vain, jos edellinen menetelmä palauttaa virheen, ei jos se epäonnistuu. Määritä, että todennus onnistuu, vaikka kaikki menetelmät palauttaisivat virheen ei mitään viimeisenä menetelmänä komentorivillä.

Jos todennusta ei ole erikseen asetettu linjalle, oletusarvoisesti käyttö estetään eikä todennusta suoriteta. Käytä lisää system:running-config komento näyttää tällä hetkellä määritettyjen todennusmenetelmien luettelot.

Todennusmenetelmät, joita ei voida käyttää argumentille listan nimi

Todennusmenetelmät, joita ei voi käyttää argumentille list-name, ovat seuraavat:

• auth-vieras

• ota käyttöön

• vieras

• jos-todennettu

• tarvittaessa

• krb5

• krb-instanssi

• krb-telnet

• linja

• paikallinen

• ei mitään

• säde

• rcmd

• tacacs

• tacacsplus

Alla olevassa taulukossa ryhmän säde, ryhmä tacacs +, ryhmä ldap ja ryhmän ryhmän nimi viittaavat joukkoon aiemmin määritettyjä RADIUS- tai TACACS+ -palvelimia. Käytä radius-server host- ja tacacs-server host -komentoja isäntäpalvelimien määrittämiseen. Käytä aaa ryhmäpalvelimen sädettä, aaa ryhmäpalvelin ldap ja aaa group server tacacs+ komentoja luodaksesi nimetyn palvelinryhmän.

Alla olevassa taulukossa kuvataan menetelmän avainsanat.

avainsana	Kuvaus
kätkö ryhmän nimi	Käyttää välimuistipalvelinryhmää todentamiseen.
ota käyttöön	Käyttää todentamiseen käyttöönoton salasanaa. Tätä avainsanaa ei voi käyttää.
ryhmä ryhmän nimi	Käyttää RADIUS- tai TACACS+-palvelimien osajoukkoa todentamiseen, kuten on määrittänyt aaa ryhmäpalvelimen säde tai aaa ryhmäpalvelin tacacs+ komento.
ryhmä ldap	Käyttää todentamiseen luetteloa kaikista Lightweight Directory Access Protocol (LDAP) -palvelimista.
ryhmä säde	Käyttää kaikkien RADIUS-palvelimien luetteloa todentamiseen.
ryhmä tacacs+	Käyttää kaikkien TACACS+ -palvelimien luetteloa todentamiseen.
krb5	Käyttää Kerberos 5:tä todentamiseen.
krb5-telnet	Käyttää Kerberos 5 Telnet -todennusprotokollaa, kun Telnet muodostaa yhteyden reitittimeen.
linja	Käyttää linjan salasanaa todentamiseen.
paikallinen	Käyttää paikallista käyttäjätunnustietokantaa todentamiseen.
paikallinen tapaus	Käyttää kirjainkoolla välittävää paikallista käyttäjänimen todennusta.
ei mitään	Ei käytä todennusta.
passwd-expiry	Ottaa käyttöön salasanan vanhentamisen paikallisessa todennusluettelossa.   The radius-palvelin vsa lähetystodennus komento vaaditaan tekemiseen passwd-expiry avainsanatyötä.

Aseta parametrit, jotka rajoittavat käyttäjän pääsyä verkkoon, käyttämällä aaa valtuutus komento globaalissa määritystilassa. Voit poistaa parametrit käyttämällä ei tämän komennon muodossa.

aaa valtuutus { auth-välityspalvelin | kätkö | komentojataso | config-komennot | kokoonpano | konsoli | exec | ipmobile | monilähetys | verkkoon | politiikka-jos | ennakkoon maksettu | säde-välityspalvelin | käänteinen pääsy | tilaajapalvelu | sapluuna} {oletuksena | listanimi } [menetelmä 1 [menetelmä 2... ]]

ei aaa valtuutus { auth-välityspalvelin | kätkö | komentojataso | config-komennot | kokoonpano | konsoli | exec | ipmobile | monilähetys | verkkoon | politiikka-jos | ennakkoon maksettu | säde-välityspalvelin | käänteinen pääsy | tilaajapalvelu | sapluuna} {oletuksena | listanimi } [menetelmä 1 [menetelmä 2... ]]

Komennon oletusarvo: Valtuutus on poistettu käytöstä kaikille toimille (vastaa metodiavainsanaa ei mitään ).

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet: Käytä aaa Authorization -komentoa valtuutuksen ottamiseen käyttöön ja nimettyjen menetelmäluetteloiden luomiseen, jotka määrittelevät valtuutusmenetelmät, joita voidaan käyttää, kun käyttäjä käyttää määritettyä toimintoa. Valtuutuksen menetelmäluettelot määrittelevät tavat, joilla valtuutus suoritetaan, ja järjestys, jossa nämä menetelmät suoritetaan. Menetelmäluettelo on nimetty luettelo, joka kuvaa valtuutusmenetelmät (kuten RADIUS tai TACACS+), joita on käytettävä peräkkäin. Menetelmäluetteloiden avulla voit määrittää yhden tai useamman suojausprotokollan käytettäväksi valtuutuksessa, mikä varmistaa varmuuskopiojärjestelmän siltä varalta, että alkuperäinen menetelmä epäonnistuu. Cisco IOS -ohjelmisto käyttää ensimmäistä luettelossa olevaa menetelmää valtuuttamaan käyttäjät tiettyihin verkkopalveluihin. Jos tämä menetelmä ei vastaa, Cisco IOS -ohjelmisto valitsee seuraavan menetelmän luettelosta. Tätä prosessia jatketaan, kunnes yhteys lueteltuun valtuutusmenetelmään on onnistunut tai kunnes kaikki määritetyt menetelmät on käytetty loppuun.

Cisco IOS -ohjelmisto yrittää valtuutusta seuraavalla luettelossa olevalla menetelmällä vain, jos edellisestä menetelmästä ei saada vastausta. Jos valtuutus epäonnistuu jossain vaiheessa tätä sykliä – mikä tarkoittaa, että suojauspalvelin tai paikallinen käyttäjätunnustietokanta vastaa estämällä käyttäjäpalvelut – valtuutusprosessi pysähtyy eikä muita valtuutusmenetelmiä yritetä.

Jos aaa-valtuutuskomento tietylle valtuutustyypille annetaan ilman määritettyä nimettyä menetelmäluetteloa, oletusmenetelmäluetteloa sovelletaan automaattisesti kaikkiin liitäntöihin tai linjoihin (jos tämä valtuutustyyppi koskee) paitsi niihin, joilla on nimenomaisesti määritetty nimetty menetelmäluettelo. (Määritetty menetelmäluettelo ohittaa oletusmenetelmäluettelon.) Jos oletusmenetelmäluetteloa ei ole määritetty, valtuutusta ei tehdä. Oletusvaltuutusmenetelmien luetteloa on käytettävä lähtevän liikenteen valtuutuksen suorittamiseen, kuten IP-varantojen latauksen valtuuttaminen RADIUS-palvelimelta.

Käytä aaa Authorization -komentoa luettelon luomiseen syöttämällä arvot listan nimi ja metodiargumentit, jossa listan nimi on mikä tahansa tämän luettelon nimeämiseen käytetty merkkijono (lukuun ottamatta kaikkia menetelmien nimiä) ja metodi identifioi valtuutusmenetelmien luettelon. kokeiltu annetussa järjestyksessä.

Aaa-valtuutuskomento tukee 13 erillistä menetelmäluetteloa. Esimerkiksi:

aaa valtuutusmäärityksen metodilista1 ryhmän säde

aaa valtuutusmäärityksen methodlist2 ryhmän säde

...

aaa valtuutuksen määritysmenetelmälist13 ryhmän säde

Alla olevassa taulukossa ryhmän ryhmän nimi, ryhmän ldap, group radius ja group tacacs + -menetelmät viittaavat joukkoon aiemmin määritettyjä RADIUS- tai TACACS+ -palvelimia. Käytä radius-server host- ja tacacs-server host -komentoja isäntäpalvelimien määrittämiseen. Käytä aaa group server radius , aaa group server ldap ja aaa group server tacacs+ komentoja luodaksesi nimetyn palvelinryhmän.

Cisco IOS -ohjelmisto tukee seuraavia valtuutusmenetelmiä:

• Välimuistipalvelinryhmät -- Reititin kuulee välimuistipalvelinryhmiään antaakseen käyttäjille tietyt oikeudet.

• If-Authenticated --Käyttäjällä on oikeus käyttää pyydettyä toimintoa edellyttäen, että käyttäjä on todennettu onnistuneesti.

• Paikallinen -- Reititin tai pääsypalvelin tarkastelee paikallista tietokantaansa käyttäjänimi-komennon mukaisesti valtuuttaakseen käyttäjille tiettyjä oikeuksia. Vain rajoitettua joukkoa toimintoja voidaan ohjata paikallisen tietokannan kautta.

• Ei mitään -- Verkkoyhteyspalvelin ei pyydä valtuutustietoja; valtuutusta ei suoriteta tämän linjan tai rajapinnan kautta.

• RADIUS -- Verkkoyhteyspalvelin pyytää valtuutustietoja RADIUS-suojauspalvelinryhmältä. RADIUS-valtuutus määrittää käyttäjille tietyt oikeudet yhdistämällä attribuutteja, jotka on tallennettu RADIUS-palvelimen tietokantaan, asianmukaiseen käyttäjään.

• TACACS+ -- Verkkoyhteyspalvelin vaihtaa valtuutustietoja TACACS+ -tietoturvadaemonin kanssa. TACACS+-valtuutus määrittää käyttäjille erityisiä oikeuksia yhdistämällä attribuutti-arvo (AV) -parit, jotka on tallennettu TACACS+ -turvapalvelimen tietokantaan, sopivaan käyttäjään.

Jos haluat sallia yhteydet tietyntyyppisten päätepisteiden välillä VoIP-verkossa, käytä salli-yhteydet komento äänipalvelun määritystilassa. Jos haluat kieltäytyä tietyntyyppisistä yhteyksistä, käytä ei tämän komennon muodossa.

salli-yhteydet alkaen-tyypistä to kirjoittaa

ei salli-yhteydet alkaen-tyypistä to kirjoittaa

Komennon oletusarvo: SIP-SIP-yhteydet on oletuksena poistettu käytöstä.

Komentotila: Äänipalvelun määritys (config-voi-serv)

Käyttöohjeet: Tätä komentoa käytetään sallimaan yhteydet tietyntyyppisten päätepisteiden välillä Ciscon monipalvelu IP-to-IP-yhdyskäytävässä. Komento on oletusarvoisesti käytössä, eikä sitä voi muuttaa.

Jos haluat sallia '#':n lisäämisen mihin tahansa paikkaan äänirekisterissä dn, käytä salli-hash-in-dn komento äänirekisterin globaalissa tilassa. Voit poistaa tämän käytöstä käyttämällä ei tämän komennon muodossa.

salli-hash-in-dn

ei salli-hash-in-dn

Komennon oletusarvo: Komento on oletuksena pois käytöstä.

Komentotila: äänirekisterin globaali määritys (config-register-global)

Käyttöohjeet: Ennen tämän komennon käyttöönottoa äänirekisterissä dn tuetut merkit olivat 0-9, + ja *. Uusi komento on käytössä aina, kun käyttäjä vaatii #:n lisäämistä äänirekisteriin dn. Komento on oletuksena pois käytöstä. Voit määrittää tämän komennon vain Cisco Unified SRST- ja Cisco Unified E-SRST -tiloissa. Merkki # voidaan lisätä mihin tahansa paikkaan äänirekisterissä dn. Kun tämä komento on käytössä, käyttäjien on vaihdettava oletusarvoinen lopetusmerkki (#) toiseksi kelvolliseksi merkiksi käyttämällä soitto-peer terminaattori komento konfigurointitilassa.

Siirry redundanssisovelluksen määritystilaan käyttämällä sovelluksen redundanssi komento redundanssin määritystilassa.

sovellus redundanssi

Tässä komennossa ei ole argumentteja tai avainsanoja.

Komennon oletusarvo: Ei mitään

Komentotila: Redundanssimääritys (config-red)

Käyttöohjeet: Käytä tätä sovelluksen redundanssi komento sovelluksen redundanssin määrittämiseksi korkeaa käytettävyyttä varten.

Voit määrittää sovelluksen oletusyhdyskäytävän käyttämällä app-default-gateway komento sovelluksen isännöinnin määritystilassa. Voit poistaa oletusyhdyskäytävän käyttämällä ei tämän komennon muodossa.

app-default-gateway [IP-osoite vieraskäyttöliittymä verkkoliittymän numero]

ei app-default-gateway [IP-osoite vieraskäyttöliittymä verkkoliittymän numero]

Komennon oletusarvo: Oletusyhdyskäytävää ei ole määritetty.

Komentotila: Sovelluksen isännöintimääritys (config-app-hosting)

Käyttöohjeet: Käytä app-default-gateway komento asettaaksesi oletusyhdyskäytävän sovellukselle. Yhdyskäytäväliittimet ovat Cisco IOS XE GuestShell -säiliöön asennettuja sovelluksia.

Voit määrittää sovelluksen ja siirtyä sovelluksen isännöintitilaan käyttämällä app-isännöinti appid komento globaalissa määritystilassa. Voit poistaa sovelluksen käyttämällä ei tämän komennon muodossa.

app-isännöinti appid sovelluksen nimi

Komennon oletusarvo: Mitään sovellusta ei ole määritetty.

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet:Sovelluksen nimen argumentissa voi olla enintään 32 aakkosnumeerista merkkiä.

Voit päivittää sovelluksen isännöintiasetukset tämän komennon määrittämisen jälkeen.

Voit ohittaa sovelluksen tarjoaman resurssiprofiilin käyttämällä app-resurssiprofiili komento sovelluksen isännöinnin määritystilassa. Voit palata sovelluskohtaiseen resurssiprofiiliin käyttämällä ei tämän komennon muodossa.

app-resurssiprofiili profiili nimi

ei app-resurssiprofiili profiili nimi

Komennon oletusarvo: Resurssiprofiili on määritetty.

Komentotila: Sovelluksen isännöintimääritys (config-app-hosting)

Käyttöohjeet: Sovelluspaketissa määritettyjä varattuja resursseja voidaan muuttaa asettamalla mukautettu resurssiprofiili. Vain suorittimen, muistin ja virtuaalisen CPU:n (vCPU) resursseja voidaan muuttaa. Jotta resurssimuutokset tulevat voimaan, pysäytä ja deaktivoi sovellus, sitten aktivoi ja käynnistä se uudelleen.

Vain mukautettua profiilia tuetaan.

Komento määrittää mukautetun sovellusresurssiprofiilin ja siirtyy mukautetun sovellusresurssiprofiilin määritystilaan.

Voit määrittää virtuaalisen verkkoliittymän yhdyskäytävän sovellukselle käyttämällä app-vnic-yhdyskäytävä komento sovelluksen isännöinnin määritystilassa. Voit poistaa kokoonpanon käyttämällä ei tämän komennon muodossa.

Tätä komentoa tuetaan vain reititysalustoilla. Sitä ei tueta alustan vaihtamisessa.

app-vnic-yhdyskäytävä virtualportgroup määrä vieraskäyttöliittymä verkkoliittymän numero

ei app-vnic-yhdyskäytävä virtualportgroup määrä vieraskäyttöliittymä verkkoliittymän numero

Komennon oletusarvo: Virtuaaliverkon yhdyskäytävää ei ole määritetty.

Komentotila: Sovelluksen isännöintimääritys (config-app-hosting)

Käyttöohjeet: Kun olet määrittänyt virtuaalisen verkkoliittymän yhdyskäytävän sovellukselle, komentotila vaihtuu sovelluksen isännöintiyhdyskäytävän määritystilaan. Tässä tilassa voit määrittää vierasliittymän IP-osoitteen.

Ota käyttöön vahvistetun ID-otsikon tuki saapuvissa Session Initiation Protocol (SIP) -pyynnöissä tai -vastausviesteissä ja lähetä vahvistetun tunnuksen tietosuojatiedot lähtevissä SIP-pyynnöissä tai vastaussanomissa käyttämällä vahvistettu-id komento puhepalvelun VoIP-SIP-määritystilassa tai ääniluokan vuokraajan konfigurointitilassa. Voit poistaa vahvistetun tunnuksen otsikon tuen käytöstä käyttämällä ei tämän komennon muodossa.

vahvistettu-id { pai | ppi } järjestelmä

ei vahvistettu-id { pai | ppi } järjestelmä

Komennon oletusarvo: Tietosuojatiedot lähetetään Remote-Party-ID (RPID) -otsikon tai FROM-otsikon avulla.

Komentotila: Äänipalvelun VoIP-SIP-määritys (conf-serv-sip) ja ääniluokan vuokraajan määritys (config-class)

Käyttöohjeet: Jos valitset pai avainsana tai ppi avainsana, yhdyskäytävä rakentaa PAI-otsikon tai PPI-otsikon, vastaavasti, yhteiseen SIP-pinoon. The pai avainsana tai ppi avainsanalla on etusija Remote-Party-ID (RPID) -otsikon yläpuolelle, ja se poistaa RPID-otsikon lähtevästä viestistä, vaikka reititin olisi määritetty käyttämään RPID-otsikkoa globaalilla tasolla.

Voit määrittää SIP (Session Initiation Protocol) epäsymmetrisen hyötykuorman tuen käyttämällä epäsymmetrinen hyötykuorma komento SIP-määritystilassa tai ääniluokan vuokraajan määritystilassa. Voit poistaa epäsymmetrisen hyötykuorman tuen käytöstä käyttämällä ei tämän komennon muodossa.

epäsymmetrinen hyötykuorma { dtmf | dynaamiset koodekit | koko | järjestelmä }

ei epäsymmetrinenhyötykuorma { dtmf | dynaamiset koodekit | koko | järjestelmä }

Komennon oletusarvo: Tämä komento on poistettu käytöstä.

Komentotila: Puhepalvelun SIP-määritys (conf-serv-sip), ääniluokan vuokraajan määritys (config-class)

Käyttöohjeet: Siirry SIP-määritystilaan puhepalvelun määritystilasta esimerkin mukaisesti.

Cisco UBE:ssä epäsymmetristä SIP-hyötykuormatyyppiä tuetaan ääni-/videokoodekeille, DTMF:lle ja NSE:lle. Siten, dtmf ja dynaamiset koodekit avainsanat on sisäisesti kartoitettu koko avainsana tarjoaa epäsymmetrisen hyötykuorman tyyppisen tuen ääni-/videokoodekeille, DTMF:lle ja NSE:lle.

Voit ottaa SIP-tiivistelmän todennuksen käyttöön yksittäisessä soittajakumppanissa käyttämällä todennus komento soittaa vertaisäänimääritystilassa. Voit poistaa SIP-tiivistelmän todennuksen käytöstä käyttämällä ei tämän komennon muodossa.

todennus käyttäjätunnus käyttäjätunnus Salasana { 0 | 6 | 7 } Salasana [valtakunta valtakunta | haaste | kaikki ]

ei todennus käyttäjätunnus käyttäjätunnus Salasana { 0 | 6 | 7 } Salasana [valtakunta valtakunta | haaste | kaikki ]

Komennon oletusarvo: SIP-tiivistelmätodennus on poistettu käytöstä.

Komentotila: Soita vertaisäänimääritys (config-dial-peer)

Käyttöohjeet: Seuraavat määrityssäännöt ovat voimassa, kun tiivistelmätodennus otetaan käyttöön:

• Vain yksi käyttäjätunnus voidaan määrittää soittovertaisuudelle. Kaikki olemassa olevat käyttäjätunnukset on poistettava ennen toisen käyttäjänimen määrittämistä.

• Enintään viisi Salasana tai valtakunta argumentit voidaan määrittää mille tahansa käyttäjätunnukselle.

The käyttäjätunnus ja Salasana argumentteja käytetään käyttäjän todentamiseen. Todennuspalvelin/välityspalvelin, joka antaa 407/401-haastevastauksen, sisältää haastevastauksen alueen, ja käyttäjä antaa valtuustiedot, jotka ovat voimassa tälle alueelle. Koska oletetaan, että enintään viisi välityspalvelinta signalointipolulla voi yrittää todentaa tietyn pyynnön käyttäjäagenttiasiakkaalta (UAC) käyttäjäagenttipalvelimelle (UAS), käyttäjä voi määrittää enintään viisi salasanaa ja salasanaa. alueyhdistelmät määritetylle käyttäjätunnukselle.

Käyttäjä antaa salasanan pelkkänä tekstinä, mutta se on salattu ja tallennettu 401-haastevastausta varten. Jos salasanaa ei tallenneta salatussa muodossa, roskasalasana lähetetään ja todennus epäonnistuu.

• Aluemäärittely on valinnainen. Jos se jätetään pois, kyseiselle käyttäjätunnukselle määritetty salasana koskee kaikkia todennusta yrittäviä alueita.

• Vain yksi salasana voidaan määrittää kerrallaan kaikille määritetyille alueille. Jos uusi salasana on määritetty, se korvaa kaikki aiemmin määritetyt salasanat.

Tämä tarkoittaa, että vain yksi yleinen salasana (yksi ilman määritettyä aluetta) voidaan määrittää. Jos määrität uuden salasanan määrittämättä vastaavaa aluetta, uusi salasana korvaa edellisen.

• Jos alue on määritetty aiemmin määritetylle käyttäjänimelle ja salasanalle, tämä aluemääritys lisätään olemassa olevaan käyttäjänimen ja salasanan kokoonpanoon. Kuitenkin, kun alue on lisätty käyttäjänimen ja salasanan kokoonpanoon, tämä käyttäjänimen ja salasanan yhdistelmä on voimassa vain kyseiselle alueelle. Määritettyä aluetta ei voi poistaa käyttäjänimen ja salasanan määrityksestä poistamatta ensin kyseisen käyttäjänimen ja salasanan koko määritystä – voit sitten määrittää kyseisen käyttäjätunnuksen ja salasanan yhdistelmän uudelleen toisen alueen kanssa tai ilman sitä.

• Kohdassa, jossa on sekä salasana että alue, voit vaihtaa joko salasanan tai alueen.

• Käytä ei todennusta kaikki komento poistaa kaikki käyttäjän todennusmerkinnät.

Salasanan salaustyypin määrittäminen on pakollista. Jos salasana on selkeä teksti (kirjoita 0 ) on määritetty, se on salattu tyypin mukaan 6 ennen kuin tallennat sen käynnissä olevaan kokoonpanoon.

Jos määrität salaustyypin 6 tai 7 , syötetty salasana tarkistetaan kelvollisen tyypin mukaan 6 tai 7 salasanan muodossa ja tallennettu tyyppinä 6 tai 7 vastaavasti.

Tyypin 6 salasanat salataan käyttämällä AES-salausta ja käyttäjän määrittämää ensisijaista avainta. Nämä salasanat ovat verrattain turvallisempia. Ensisijaista avainta ei koskaan näytetä asetuksissa. Tietämättä ensisijaista avainta, kirjoita 6 salasanat ovat käyttökelvottomia. Jos ensisijaista avainta muutetaan, tyyppinä 6 tallennettu salasana salataan uudelleen uudella ensisijaisella avaimella. Jos ensisijaisen avaimen kokoonpano poistetaan, tyyppi 6 salasanoja ei voida purkaa, mikä voi johtaa puheluiden ja rekisteröintien todennusvirheeseen.

Kun varmuuskopioidaan määritystä tai siirretään kokoonpano toiseen laitteeseen, ensisijaista avainta ei poisteta. Tästä syystä ensisijainen avain on määritettävä uudelleen manuaalisesti.

Jos haluat määrittää salatun esijaetun avaimen, katso Salatun esijaetun avaimen määrittäminen.

Seuraava varoitusviesti näytetään, kun salaustyyppi on 7 on määritetty. Varoitus: Komento on lisätty kokoonpanoon tyypin 7 salasanalla. Tyyppi 7 salasanat poistetaan kuitenkin pian käytöstä. Siirrä tuettuun salasanatyyppiin 6.

Jos haluat sitoa signaloinnin ja mediapakettien lähdeosoitteen tietyn liitännän IPv4- tai IPv6-osoitteeseen, käytä sitoa komento SIP-määritystilassa. Voit poistaa sitomisen käytöstä käyttämällä ei tämän komennon muodossa.

sitoa { ohjata | media | kaikki } lähde-käyttöliittymä käyttöliittymätunnus { ipv4-osoite ipv4-osoite | ipv6-osoite ipv6-osoite }

ei sitoa { ohjata | media | kaikki } lähde-käyttöliittymä käyttöliittymätunnus { ipv4-osoite ipv4-osoite | ipv6-osoite ipv6-osoite }

Komennon oletusarvo: Sidonta on poistettu käytöstä.

Komentotila: SIP-määritys (conf-serv-sip) ja ääniluokan vuokraaja.

Käyttöohjeet: Async, Ethernet, FastEthernet, Loopback ja Serial (mukaan lukien Frame Relay) ovat liitäntöjä SIP-sovelluksessa.

Jos sitoa komento ei ole käytössä, IPv4-kerros tarjoaa silti parhaan paikallisen osoitteen.

Ota Call-Homen perusasetukset käyttöön käyttämällä soitto kotiin raportointi komento globaalissa määritystilassa.

soitto kotiin raportointi { anonyymi | contact-email-addr } [ http-välityspalvelin { ipv4-osoite | ipv6-osoite | nimi } portti porttinumero ]

Komennon oletusarvo: Ei oletuskäyttäytymistä tai arvoja

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet: Kun Call-Home on otettu onnistuneesti käyttöön joko nimettömässä tai täydessä rekisteröintitilassa soitto kotiin raportointi komennon, inventaarioviesti lähetetään. Jos Call-Home on käytössä täydessä rekisteröintitilassa, täydestä rekisteröintitilasta lähetetään täyden varaston viesti. Jos Call-Home on käytössä nimettömässä tilassa, anonyymi inventaarioviesti lähetetään. Lisätietoja viestin tiedoista, katso Alert Group Trigger -tapahtumat ja -komennot.

Ota Cisco Unified SRST -tuki käyttöön ja siirry call-manager-varamäärittelytilaan käyttämällä call-manager-varatakuu komento globaalissa määritystilassa. Voit poistaa Cisco Unified SRST -tuen käytöstä käyttämällä ei tämän komennon muodossa.

call-manager-varatakuu

ei call-manager-varatakuu

Tässä komennossa ei ole argumentteja tai avainsanoja.

Komennon oletusarvo: Ei oletuskäyttäytymistä tai arvoja.

Komentotila: Globaali kokoonpano

Ota vertaisvarmenteen palvelin-, asiakas- tai kaksisuuntainen identiteetin vahvistus TLS-kättelyn aikana käyttöön komennolla cn-san vahvistaa ääniluokan tls-profiilimääritystilassa. Voit poistaa varmenteen identiteetin vahvistuksen käytöstä käyttämällä ei tämän komennon muodossa.

cn-san vahvistaa { palvelin | asiakas | kaksisuuntainen }

ei cn-san vahvistaa { palvelin | asiakas | kaksisuuntainen }

Komennon oletusarvo: Henkilöllisyyden vahvistus on poistettu käytöstä.

Komentotila: Puheluokan määritys (config-class)

Käyttöohjeet: Palvelimen identiteetin vahvistus liittyy suojattuun signalointiyhteyteen globaalin kautta kryptosignalointi ja ääniluokan tls-profiili kokoonpanot.

Komentoa on parannettu sisältämään asiakas ja kaksisuuntainen avainsanoja. Asiakasasetuksen avulla palvelin voi vahvistaa asiakkaan identiteetin tarkistamalla toimitettuun varmenteeseen sisältyvät CN- ja SAN-isäntänimet cn-san FQDN:ien luotetusta luettelosta. Yhteys muodostetaan vain, jos vastaavuus löytyy. Tätä cn-san FQDN-luetteloa käytetään nyt myös palvelinvarmenteen vahvistamiseen istunnon kohteen isäntänimen lisäksi. The kaksisuuntainen -vaihtoehto vahvistaa vertaisidentiteetin sekä asiakas- että palvelinyhteyksille yhdistämällä molemmat palvelin ja asiakas tilat. Kun olet määrittänyt cn-san vahvistaa , vertaisvarmenteen identiteetti tarkistetaan jokaisessa uudessa TLS-yhteydessä.

Jos haluat määrittää luettelon Fully Qualified Domain Name (FQDN) -nimistä, jotka vahvistetaan vertaisvarmenteen kanssa saapuville tai lähteville TLS-yhteyksille, käytä cn-san komento ääniluokan tls-profiilin määritystilassa. Voit poistaa cn-san-varmenteen vahvistusmerkinnän käyttämällä ei tämän komennon muodossa.

cn-san {1-10} fqdn

ei cn-san {1-10} fqdn

Komennon oletusarvo: Cn-san-nimiä ei ole määritetty.

Komentotila: Ääniluokan tls-profiilin määritystila (config-class)

Käyttöohjeet: Vertaisvarmenteen vahvistamiseen käytetyt FQDN:t on määritetty TLS-profiilille, jossa on enintään kymmenen cn-san merkinnät. Ainakin yksi näistä tiedoista on sovitettava FQDN:ään joko varmenteen yleisnimi (CN) tai Subject-Alternate-Name (SAN) -kentässä, ennen kuin TLS-yhteys muodostetaan. Vastatakseen mitä tahansa CN- tai SAN-kentässä käytettyä verkkotunnuspalvelinta, a cn-san merkintä voidaan määrittää verkkotunnuksen yleismerkillä, tiukasti muodossa *.domain-name (esim. *.cisco.com). Jokerimerkkien muu käyttö ei ole sallittua.

Saapuvien yhteyksien osalta luetteloa käytetään asiakasvarmenteen CN- ja SAN-kenttien vahvistamiseen. Lähteville yhteyksille luetteloa käytetään yhdessä istunnon kohteen isäntänimen kanssa palvelinvarmenteen CN- ja SAN-kenttien vahvistamiseen.

Palvelinvarmenteet voidaan myös tarkistaa sovittamalla SIP-istunnon kohde FQDN CN- tai SAN-kenttään.

Voit määrittää luettelon ensisijaisista koodekeista, joita käytetään valintavertaisissa, käyttämällä koodekki etusija komento ääniluokan määritystilassa. Voit poistaa tämän toiminnon käytöstä käyttämällä ei tämän komennon muodossa.

koodekki etusija arvo koodekkityyppinen

ei koodekki etusija arvo koodekkityyppinen

Komennon oletusarvo: Jos tätä komentoa ei anneta, tietyntyyppisiä koodekkeja ei tunnisteta ensisijaisesti.

Komentotila: ääniluokan määritys (config-class)

Käyttöohjeet: WAN-verkon vastakkaisissa päissä olevien reitittimien on ehkä neuvoteltava koodekin valinnasta verkkovalinnan vertaisille. The koodekki etusija komento määrittää etusijajärjestyksen neuvotellun koodekin valitsemiseksi yhteyteen. Alla olevassa taulukossa kuvataan puheen hyötykuormavaihtoehdot ja koodekkien ja pakettiääniprotokollien oletusarvot.

Käytä globaalia kuuntelijaporttia pyyntöjen lähettämiseen UDP:n kautta yhteys-uudelleenkäyttö komento sip-ua-tilassa tai ääniluokan vuokraajan määritystilassa. Poista käytöstä käyttämällä ei tämän komennon muodossa.

yhteys-uudelleenkäyttö { portin kautta | järjestelmä }

ei yhteys-uudelleenkäyttö { portin kautta | järjestelmä }

Komennon oletusarvo: Paikallinen yhdyskäytävä käyttää lyhytaikaista UDP-porttia pyyntöjen lähettämiseen UDP:n kautta.

Komentotilat: SIP UA -kokoonpano (config-sip-ua), ääniluokan vuokraajan kokoonpano (config-class)

Käyttöohjeet: Tämän komennon suorittaminen ottaa käyttöön kuuntelijan portin pyyntöjen lähettämiseen UDP:n kautta. Tavallisen suojaamattoman SIP:n oletuskuuntelijaportti on 5060 ja suojattu SIP on 5061. Määritä kuuntele-portti [ei-suojattu | turvallinen] portti komento puhepalvelun voip > sip konfigurointitilassa muuttaaksesi yleistä UDP-porttia.

Voit muuttaa sovellukselle varattua CPU-kiintiötä tai yksikköä käyttämällä prosessori -komento mukautetun sovelluksen resurssiprofiilin määritystilassa. Voit palata sovelluksen tarjoamaan prosessorikiintiöön käyttämällä ei tämän komennon muodossa.

prosessori yksikkö

ei prosessori yksikkö

Komennon oletusarvo: Oletussuoritin riippuu alustasta.

Komentotila: Mukautetun sovelluksen resurssiprofiilin määritys (config-app-resource-profile-custom)

Käyttöohjeet: Prosessoriyksikkö on sovelluksen pienin CPU-allokaatio. CPU-yksiköiden kokonaismäärä perustuu kohdelaitteen normalisoituihin CPU-yksiköihin.

Jokaisessa sovelluspaketissa on sovelluskohtainen resurssiprofiili, joka määrittelee suositellun suorittimen kuormituksen, muistin koon ja sovellukselle vaadittujen virtuaalisten suoritinten (vCPU:iden) määrän. Käytä tätä komentoa muuttaaksesi resurssien allokointia mukautetussa resurssiprofiilissa tietyille prosesseille.

Sovelluspaketissa määritettyjä varattuja resursseja voidaan muuttaa asettamalla mukautettu resurssiprofiili. Vain CPU-, muisti- ja vCPU-resursseja voidaan muuttaa. Jotta resurssien muutokset tulevat voimaan, pysäytä ja poista sovellus käytöstä, aktivoi se ja käynnistä se uudelleen.

Resurssiarvot ovat sovelluskohtaisia, ja kaikkien näiden arvojen säätöjen on varmistettava, että sovellus voi toimia luotettavasti muutosten kanssa.

Cisco IOS Session Initiation Protocol (SIP) aikajakoisen multipleksoinnin (TDM) yhdyskäytävän, Cisco Unified Border Elementin (Cisco UBE) tai Cisco Unified Communications Manager Expressin (Cisco Unified CME) määrittäminen lähettämään SIP-rekisteröintiviestin ollessaan UP-tilassa, käytä valtakirjat komento SIP UA -määritystilassa tai ääniluokan vuokraajan määritystilassa. Voit poistaa SIP-tiivistelmän valtuustiedot käytöstä käyttämällä ei tämän komennon muodossa.

valtakirjat { dhcp | määrä määrä käyttäjätunnus käyttäjätunnus } Salasana { 0 | 6 | 7 } Salasana valtakunta valtakunta

ei valtakirjat { dhcp | määrä määrä käyttäjätunnus käyttäjätunnus } Salasana { 0 | 6 | 7 } Salasana valtakunta valtakunta

Komennon oletusarvo: SIP-tiivistelmän valtuustiedot on poistettu käytöstä.

Komentotila: SIP UA -kokoonpano (config-sip-ua) ja ääniluokan vuokraajan kokoonpano (config-class).

Käyttöohjeet: Seuraavat määrityssäännöt ovat voimassa, kun tunnistetiedot ovat käytössä:

• Vain yksi salasana on voimassa kaikille verkkotunnuksille. Uusi määritetty salasana korvaa kaikki aiemmin määritetyt salasanat.

• Salasana näytetään aina salatussa muodossa, kun valtakirjat komento on määritetty ja näytä running-config komentoa käytetään.

The dhcp Avainsana komennossa tarkoittaa, että ensisijainen numero saadaan DHCP:n kautta ja Cisco IOS SIP TDM -yhdyskäytävä, Cisco UBE tai Cisco Unified CME, jossa komento on käytössä, käyttää tätä numeroa vastaanotetun ensisijaisen numeron rekisteröimiseen tai rekisteröinnin poistamiseen.

Salasanan salaustyypin määrittäminen on pakollista. Jos salasana on selkeä teksti (kirjoita 0 ) on määritetty, se on salattu tyypin mukaan 6 ennen kuin tallennat sen käynnissä olevaan kokoonpanoon.

Jos määrität salaustyypin 6 tai 7 , syötetty salasana tarkistetaan kelvollisen tyypin mukaan 6 tai 7 salasanan muodossa ja tallennettu tyyppinä 6 tai 7 vastaavasti.

Tyypin 6 salasanat salataan käyttämällä AES-salausta ja käyttäjän määrittämää ensisijaista avainta. Nämä salasanat ovat verrattain turvallisempia. Ensisijaista avainta ei koskaan näytetä asetuksissa. Tietämättä ensisijaista avainta, kirjoita 6 salasanat ovat käyttökelvottomia. Jos ensisijaista avainta muutetaan, tyyppinä 6 tallennettu salasana salataan uudelleen uudella ensisijaisella avaimella. Jos ensisijaisen avaimen kokoonpano poistetaan, tyyppi 6 salasanoja ei voida purkaa, mikä voi johtaa puheluiden ja rekisteröintien todennusvirheeseen.

Kun varmuuskopioidaan määritystä tai siirretään kokoonpano toiseen laitteeseen, ensisijaista avainta ei poisteta. Tästä syystä ensisijainen avain on määritettävä uudelleen manuaalisesti.

Jos haluat määrittää salatun esijaetun avaimen, katso Salatun esijaetun avaimen määrittäminen.

Varoitus: Komento on lisätty kokoonpanoon tyypin 7 salasanalla. Tyyppi 7 salasanat poistetaan kuitenkin pian käytöstä. Siirrä tuettuun salasanatyyppiin 6.

YANG:ssa et voi määrittää samaa käyttäjänimeä kahdelle eri alueelle.

Voit määrittää Cisco Unified Border Elementin (CUBE) tarjoaman SRTP-salauspaketin ensisijaisen SDP:n tarjouksessa ja vastauksessa käyttämällä krypto komento ääniluokan määritystilassa. Voit poistaa tämän toiminnon käytöstä käyttämällä ei tämän komennon muodossa.

krypto etusija salaussarja

ei krypto etusija salaussarja

Komennon oletusarvo: Jos tätä komentoa ei ole määritetty, oletustoiminto on tarjota srtp-salaussarjat seuraavassa asetusjärjestyksessä:

• AEAD_AES_256_GCM

• AEAD_AES_128_GCM

• AES_CM_128_HMAC_SHA1_80

• AES_CM_128_HMAC_SHA1_32

Komentotila: ääniluokka srtp-crypto (config-class)

Käyttöohjeet: Jos muutat jo määritetyn salaussarjan asetusta, asetus korvataan.

Luo Rivest, Shamir ja Adelman (RSA) avainparit käyttämällä kryptoavain luo rsa komento globaalissa määritystilassa.

kryptoavain luo rsa [ { yleiset avaimet | käyttöavaimet | allekirjoitus | salaus } ] [ etiketti avaimen etiketti ] [ vientikelpoinen ] [ moduuli moduulikoko ] [ varastointi laitteen nimi : ] [ redundanssi päällä laitteen nimi : ]

Komennon oletusarvo: RSA-avainpareja ei ole olemassa.

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet: Käytä kryptoavain luo rsa komento RSA-avainparien luomiseksi Cisco-laitteellesi (kuten reitittimellesi).

RSA-avaimet luodaan pareittain – yksi julkinen RSA-avain ja yksi yksityinen RSA-avain.

Jos reitittimelläsi on jo RSA-avaimet, kun annat tämän komennon, sinua varoitetaan ja kehotetaan korvaamaan nykyiset avaimet uusilla avaimilla.

The kryptoavain luo rsa komentoa ei ole tallennettu reitittimen kokoonpanoon; tämän komennon luomat RSA-avaimet kuitenkin tallennetaan NVRAM-muistiin yksityisiin määrityksiin (joita ei koskaan näytetä käyttäjälle tai varmuuskopioida toiseen laitteeseen), kun kokoonpano kirjoitetaan seuraavan kerran NVRAM-muistiin.

• Erikoiskäyttöavaimet: Jos luot erikoiskäyttöavaimia, luodaan kaksi paria RSA-avaimia. Toista paria käytetään minkä tahansa Internet Key Exchange (IKE) -käytännön kanssa, joka määrittää RSA-allekirjoitukset todennusmenetelmäksi, ja toista paria käytetään minkä tahansa IKE-käytännön kanssa, joka määrittää RSA-salatut avaimet todennusmenetelmäksi.

  CA:ta käytetään vain RSA-allekirjoituksia määrittävien IKE-käytäntöjen kanssa, ei RSA-salattuja nonces-määrittelyjä sisältävien IKE-käytäntöjen kanssa. (Voit kuitenkin määrittää useamman kuin yhden IKE-käytännön ja määrittää RSA-allekirjoitukset yhdessä käytännössä ja RSA-salatut poikkeamat toisessa käytännössä.)

  Jos aiot käyttää molempia RSA-todennusmenetelmiä IKE-käytännöissäsi, voit mieluummin luoda erikoiskäyttöavaimia. Erikoiskäyttönäppäimillä jokainen näppäin ei ole tarpeettomasti esillä. (Ilman erikoiskäyttöavaimia yhtä avainta käytetään molempiin todennusmenetelmiin, mikä lisää avaimen näkyvyyttä).

• Yleiskäyttöiset avaimet: Jos luot yleiskäyttöisiä avaimia, RSA-avaimia luodaan vain yksi pari. Tätä paria käytetään IKE-käytäntöjen kanssa, jotka määrittävät joko RSA-allekirjoitukset tai RSA-salatut avaimet. Siksi yleiskäyttöinen avainpari saattaa tottua useammin kuin erikoiskäyttöinen avainpari.

• Nimetyt avainparit: Jos luot nimetyn avainparin käyttämällä avainnimike-argumenttia, sinun on myös määritettävä käyttöavaimet avainsana tai yleiset avaimet avainsana. Nimetyt avainparit mahdollistavat useita RSA-avainpareja, jolloin Cisco IOS -ohjelmisto voi ylläpitää eri avainparia kullekin henkilöllisyystodistukselle.

• Modulin pituus: Kun luot RSA-avaimia, sinua pyydetään syöttämään moduulin pituus. Mitä pidempi moduuli, sitä vahvempi turvallisuus. Pidemmän moduulin luominen kestää kuitenkin kauemmin (katso näyteajat alla olevasta taulukosta) ja kestää kauemmin käyttää.

  Taulukko 2. Ota näyteaikoja moduulin pituuden mukaan RSA-avaimien luomiseksi

  Reititin	360 bittiä	512 bittiä	1024 bittiä	2048 bittiä (enintään)
  Cisco 2500	11 sekuntia	20 sekuntia	4 minuuttia, 38 sekuntia	Yli 1 tunti
  Cisco 4700	Alle 1 sekunti	1 sekunti	4 sekuntia	50 sekuntia

  Cisco IOS -ohjelmisto ei tue moduulia, joka on suurempi kuin 4096 bittiä. Alle 512 bitin pituutta ei yleensä suositella. Tietyissä tilanteissa lyhyempi moduuli ei välttämättä toimi kunnolla IKE:n kanssa, joten suosittelemme käyttämään 2048 bitin vähimmäismoduulia.

  Lisärajoituksia saatetaan soveltaa, kun RSA-avaimet luodaan salauslaitteistolla. Esimerkiksi kun RSA-avaimia luo Cisco VPN Services Port Adapter (VSPA), RSA-avainmoduulin on oltava vähintään 384 bittiä ja sen on oltava 64:n kerrannainen.

• Tallennuspaikan määrittäminen RSA-avaimille: Kun annat kryptoavain luo rsa komennon kanssa varastointi laitteen nimi : avainsana ja argumentti, RSA-avaimet tallennetaan määritettyyn laitteeseen. Tämä sijainti korvaa kaikki kryptoavainten säilytys komentoasetukset.

• Laitteen määrittäminen RSA-avainten luomista varten: Voit määrittää laitteen, jossa RSA-avaimet luodaan. Tuettuja laitteita ovat NVRAM, paikalliset levyt ja USB-tunnisteet. Jos reitittimessäsi on määritetty ja käytettävissä USB-tunnus, USB-tunnusta voidaan käyttää salauslaitteena tallennuslaitteen lisäksi. USB-tunnisteen käyttäminen salauslaitteena mahdollistaa RSA-toimintojen, kuten avainten luomisen, allekirjoittamisen ja valtuustietojen todentamisen, suorittamisen tunnukselle. Yksityinen avain ei koskaan poistu USB-tunnuksesta, eikä sitä voi viedä. Julkinen avain on vientikelpoinen.

  RSA-avaimet voidaan luoda määritetylle ja käytettävissä olevalle USB-tunnisteelle käyttämällä päällä laitteen nimi : avainsana ja argumentti. USB-tunnuksessa sijaitsevat avaimet tallennetaan pysyvään tunnukseen, kun ne luodaan. USB-tunnisteelle luotavien avainten määrää rajoittaa käytettävissä oleva tila. Jos yrität luoda avaimia USB-tunnisteelle ja se on täynnä, saat seuraavan viestin:

  % Error in generating keys:no available resources 

  Avaimen poistaminen poistaa tunnukselle tallennetut avaimet pysyvästä tallennustilasta välittömästi. (Avaimet, jotka eivät sijaitse tunnuksessa, tallennetaan tai poistetaan ei-token-tallennuspaikoista, kun kopio tai vastaava komento annetaan).

• RSA-avaimen redundanssin luomisen määrittäminen laitteella: Voit määrittää redundanssin olemassa oleville avaimille vain, jos ne ovat vietävissä.

Varmenneviranomaisen (CA) todentamiseksi (hankimalla varmentajan varmenne) käytä krypto pki todentaa komento globaalissa määritystilassa.

krypto pki todentaa nimi

Komennon oletusarvo: Ei oletuskäyttäytymistä tai arvoja.

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet: Tämä komento tarvitaan, kun määrität CA-tuen reitittimessäsi.

Tämä komento todentaa CA:n reitittimellesi hankkimalla CA:n itseallekirjoitetun varmenteen, joka sisältää CA:n julkisen avaimen. Koska CA allekirjoittaa oman varmenteensa, sinun tulee todentaa CA:n julkinen avain manuaalisesti ottamalla yhteyttä CA-järjestelmänvalvojaan, kun annat tämän komennon.

Jos käytät Router Advertisements (RA) -tilaa (käyttäen ilmoittautuminen komento), kun annat krypto pki todentaa komennon, rekisteröintiviranomaisen allekirjoitus- ja salausvarmenteet palautetaan CA:lta ja CA-varmenteelta.

Tätä komentoa ei tallenneta reitittimen kokoonpanoon. Kuitenkin. vastaanotettuihin CA- (ja RA)-varmenteisiin upotetut julkiset avaimet tallennetaan konfiguraatioon osana Rivest, Shamir ja Adelman (RSA) julkista avaintietuetta (kutsutaan "RSA:n julkiseksi avainketjuksi").

Jos CA ei vastaa aikakatkaisujakson kuluessa tämän komennon antamisen jälkeen, pääteohjaus palautetaan niin, että se pysyy käytettävissä. Jos näin tapahtuu, sinun on annettava komento uudelleen. Cisco IOS -ohjelmisto ei tunnista CA-varmenteiden vanhenemispäiviä, jotka on asetettu vuoden 2049 jälkeen. Jos CA-varmenteen voimassaoloaika on asetettu vanhentumaan vuoden 2049 jälkeen, seuraava virhesanoma näytetään, kun CA-palvelimen todennusta yritetään: virhe hae sertifikaatti :epätäydellinen ketju Jos saat tämänkaltaisen virhesanoman, tarkista CA-varmenteen viimeinen voimassaolopäivä. Jos CA-varmenteen viimeinen voimassaolopäivä on asetettu vuoden 2049 jälkeen, sinun on lyhennettävä vanhenemispäivää vuodella tai enemmän.

Voit tuoda varmenteen manuaalisesti TFTP:n kautta tai leikkaa ja liitä päätteessä käyttämällä krypto pki tuonti komento globaalissa määritystilassa.

krypto pki tuonti nimi todistus

Komennon oletusarvo: Ei oletuskäyttäytymistä tai arvoja

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet: Sinun on syötettävä krypto-pki-tuonti komento kahdesti, jos käytetään käyttöavaimia (allekirjoitus- ja salausavaimia). Kun komento annetaan ensimmäisen kerran, yksi varmenteista liitetään reitittimeen; Kun komento annetaan toisen kerran, toinen varmenne liitetään reitittimeen. (Sillä ei ole väliä, mikä varmenne liitetään ensin.)

Voit määrittää reitittimesi käytettävän luottamuspisteen käyttämällä krypto pki luottamuspiste komento globaalissa määritystilassa. Voit poistaa kaikki luottamuspisteeseen liittyvät identiteettitiedot ja varmenteet käyttämällä ei tämän komennon muodossa.

krypto pki luottamuspiste nimi redundanssi

ei krypto pki luottamuspiste nimi redundanssi

Komennon oletusarvo: Reitittimesi ei tunnista luottamuspisteitä ennen kuin ilmoitat luottamuspisteen tällä komennolla. Reitittimesi käyttää yksilöllisiä tunnisteita viestiessään Online Certificate Status Protocol (OCSP) -palvelimien kanssa, kuten verkossasi on määritetty.

Komentotila: Maailmanlaajuinen määritys (config)

Käyttöohjeet:

Luottamuspisteiden ilmoittaminen

Käytä krypto pki luottamuspiste -komento ilmoittaa luottamuspiste, joka voi olla itse allekirjoitettu päävarmenteen myöntäjä (CA) tai alisteinen CA. Myöntämällä krypto pki luottamuspiste komento asettaa sinut ca-trustpoint-määritystilaan.

Voit määrittää luottamuspisteen ominaisuudet käyttämällä seuraavia alikomentoja:

• crl —Tekee kyselyn sertifikaattien kumoamisluettelosta (CRL) varmistaakseen, ettei vertaisversion varmennetta ole peruutettu.

• oletuksena (ca-trustpoint) — Palauttaa ca-trustpoint-määritystilan alikomentojen arvon oletusarvoihinsa.

• ilmoittautuminen —Määrittää rekisteröintiparametrit (valinnainen).

• ilmoittautuminen http-välityspalvelin — Käyttää CA:ta HTTP:n kautta välityspalvelimen kautta.

• ilmoittautuminen itse allekirjoitettu —Määrittää itse allekirjoitetun ilmoittautumisen (valinnainen).

• ottelu todistus —Liittää varmenteeseen perustuvan käyttöoikeusluettelon (ACL), joka on määritetty krypto noin todistus kartta komento.

• ocsp pois käytöstä —Määrittää, että reitittimesi ei lähetä yksilöllisiä tunnisteita tai poikkeamia OCSP-viestinnän aikana.

• ensisijainen — Määrittää määritetyn luottamuspisteen reitittimen ensisijaiseksi luottamuspisteeksi.

• juuri —Määrittää TFTP:n CA-varmenteen saamiseksi ja määrittää sekä nimen palvelimelle että nimen tiedostolle, joka tallentaa CA-varmenteen.

Yksilöllisten tunnisteiden käytön määrittäminen

Kun käytät OCSP:tä peruutusmenetelmänä, yksilölliset tunnisteet eli nonces lähetetään oletuksena vertaisviestinnän aikana OCSP-palvelimen kanssa. Yksilöllisten tunnisteiden käyttö OCSP-palvelinviestinnän aikana mahdollistaa turvallisemman ja luotettavamman viestinnän. Kaikki OCSP-palvelimet eivät kuitenkaan tue ainutlaatuisten proteesien käyttöä, katso lisätietoja OCSP-käsikirjasta. Voit estää yksilöllisten tunnisteiden käytön OCSP-viestinnän aikana käyttämällä ocsp pois käytöstä alakomento.

Jos haluat tuoda (ladata) varmenteen myöntäjän (CA) varmennepaketin manuaalisesti julkisen avaimen infrastruktuurin (PKI) luottamuspooliin päivittääksesi tai korvataksesi olemassa olevan CA-paketin, käytä krypto pki trustpool -tuonti komento globaalissa määritystilassa. Voit poistaa määritetyt parametrit käyttämällä ei tämän komennon muodossa.

krypto pki luottamuspool tuonti puhdas [ terminaali | url url ]

ei krypto pki luottamuspool tuonti puhdas [ terminaali | url url ]

Komennon oletusarvo: PKI-luottamuspooliominaisuus on käytössä. Reititin käyttää sisäänrakennettua CA-varmennepakettia PKI-luottamuspoolissa, joka päivitetään automaattisesti Ciscosta.

Komentotila: Maailmanlaajuinen määritys (config)

Tietoturvauhat sekä niiltä suojaavat salaustekniikat muuttuvat jatkuvasti. Lisätietoja uusimmista Ciscon salaussuosituksista on kohdassa Seuraavan sukupolven salaus (NGE) valkoista paperia.

PKI-luottamuspoolin varmenteet päivitetään automaattisesti Ciscosta. Kun PKI-luottamuspoolin varmenteet eivät ole ajan tasalla, käytä krypto pki trustpool -tuonti komento päivittää ne toisesta sijainnista.

The url argumentti määrittää tai muuttaa varmentajan URL-tiedostojärjestelmää. Alla olevassa taulukossa on lueteltu käytettävissä olevat URL-tiedostojärjestelmät.

Taulukko 3. URL-tiedostojärjestelmät

Tiedostojärjestelmä	Kuvaus
arkisto:	Tuodaan arkiston tiedostojärjestelmästä.
cns:	Tuo klusterin nimiavaruuden (CNS) tiedostojärjestelmästä.
levy0:	Tuonti levyn tiedostojärjestelmästä.
levy1:	Tuonti levy1-tiedostojärjestelmästä.
ftp:	Tuo FTP-tiedostojärjestelmästä.
http:	Tuonti HTTP-tiedostojärjestelmästä. URL-osoitteen on oltava seuraavissa muodoissa: http:// CAnimi:80 , missä CAnimi on Domain Name System (DNS) http:// ipv4-osoite :80. Esimerkiksi: http://10.10.10.1:80. http:// [ipv6-osoite]:80 . Esimerkiksi: http://[2001:DB8:1:1::1]:80. IPv6-osoite on heksadesimaalimuodossa, ja se on suljettava URL-osoitteessa.
https:	Tuonti HTTPS-tiedostojärjestelmästä. URL-osoitteen tulee käyttää samoja muotoja kuin HTTP: tiedostojärjestelmän muotoja.
tyhjä:	Tuo nollatiedostojärjestelmästä.
nvram:	Tuonti NVRAM-tiedostojärjestelmästä.
vaunut:	Tuo Parameter Random-access Memory (PRAM) -tiedostojärjestelmästä.
rcp:	Tuo etäkopiointiprotokollan (rcp) tiedostojärjestelmästä.
scp:	Tuo suojatun kopiointiprotokollan (scp) tiedostojärjestelmästä.
snmp:	Tuonti SNMP (Simple Network Management Protocol) -protokollasta.
järjestelmä:	Tuodaan järjestelmän tiedostojärjestelmästä.
terva:	Tuo UNIX tar -tiedostojärjestelmästä.
tftp:	Tuo TFTP-tiedostojärjestelmästä.   URL-osoitteen on oltava lähteessä: tftp:// CAnimi/tiedoston määrittely .
tmpsys:	Tuo Cisco IOS tmpsys -tiedostojärjestelmästä.
unix:	Tuo UNIX-tiedostojärjestelmästä.
xmodem:	Tuo xmodem simple -tiedostonsiirtoprotokollajärjestelmästä.
modeemi:	Tuo ymodem yksinkertainen tiedostonsiirtoprotokollajärjestelmästä.

Tunnistaaksesi luottamuspiste luottamuspisteen nimi Avainsanaa ja argumenttia, jota käytetään Transport Layer Securityn (TLS) kättelyssä, joka vastaa etälaitteen osoitetta, käytä kryptosignalointi komento SIP-käyttäjäagentin (UA) määritystilassa. Palauttaaksesi oletusasetukset luottamuspiste merkkijono, käytä ei tämän komennon muodossa.

kryptosignalointi { oletuksena | etäosoite IP-osoite aliverkon peite } [ tls-profiili tag | luottamuspiste luottamuspisteen nimi ] [ cn-san-validation palvelin ] [ asiakas-vtp luottamuspisteen nimi ] [ ecdsa-salaus | käyrän koko 384 | tiukka salaus ]

ei kryptosignalointi { oletuksena | etäosoite IP-osoite aliverkon peite } [ tls-profiili tag | luottamuspiste luottamuspisteen nimi ] [ cn-san-validation palvelin ] [ asiakas-vtp luottamuspisteen nimi ] [ ecdsa-salaus | käyrän koko 384 | tiukka salaus ]

Komennon oletusarvo: Salaussignalointikomento on poistettu käytöstä.

Komentotila: SIP UA -kokoonpano (sip-ua)

Käyttöohjeet: The luottamuspiste luottamuspisteen nimi avainsana ja argumentti viittaa CUBE-varmenteeseen, joka on luotu osana rekisteröintiprosessia käyttämällä Cisco IOS PKI -komentoja.

Kun yksi varmenne on määritetty, kaikki etälaitteet käyttävät sitä ja määrittävät sen oletuksena avainsana.

Kun käytetään useita varmenteita, ne voidaan liittää etäpalveluihin, jotka käyttävät etäosoite argumentti jokaiselle luottamuspisteelle. The etäosoite ja oletusargumentteja voidaan käyttää yhdessä kattamaan kaikki palvelut tarpeen mukaan.

Oletussalauspaketti tässä tapauksessa on seuraava joukko, jota CUBEn SSL-taso tukee: TLS_RSA_KANSSA_RC4_128_MD5 TLS_RSA_KANSSA_AES_128_CBC_SHA TLS_DHE_RSA_KANSSA_AES_128_CBC_SHA1 TLS_ECDHE_RSA_KANSSA_AES_128_GCM_SHA256 TLS_ECDHE_RSA_KANSSA_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_KANSSA_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_KANSSA_AES_256_GCM_SHA384

Avainsana cn-san-validate palvelin mahdollistaa palvelimen identiteetin vahvistamisen varmenteen CN- ja SAN-kenttien kautta, kun muodostetaan asiakaspuolen SIP/TLS-yhteyksiä. Palvelinvarmenteen CN- ja SAN-kenttien validointi varmistaa, että palvelinpuolen toimialue on kelvollinen kokonaisuus. Kun luot suojatun yhteyden SIP-palvelimeen, CUBE tarkistaa määritetyn istunnon kohdealueen nimen palvelimen varmenteen CN/SAN-kenttien perusteella ennen TLS-istunnon muodostamista. Kun olet määrittänyt cn-san-validate palvelin , palvelinidentiteetin vahvistus tapahtuu jokaiselle uudelle TLS-yhteydelle.

The tls-profiili -vaihtoehto yhdistää TLS-käytäntömääritykset, jotka on tehty liitetyn kautta ääniluokan tls-profiili kokoonpano. TLS-käytäntövaihtoehtojen lisäksi, jotka ovat saatavilla suoraan kryptosignalointi komento, a tls-profiili sisältää myös sni lähettää vaihtoehto.

sni lähettää mahdollistaa Server Name Indication (SNI), TLS-laajennuksen, jonka avulla TLS-asiakas voi ilmoittaa sen palvelimen nimen, johon se yrittää muodostaa yhteyden ensimmäisen TLS-kättelyprosessin aikana. Ainoastaan palvelimen täysin kelvollinen DNS-isäntänimi lähetetään asiakassovelluksessa hello. SNI ei tue IPv4- ja IPv6-osoitteita asiakkaan hello-laajennuksessa. Saatuaan "hei" palvelimen nimellä TLS-asiakkaalta, palvelin käyttää asianmukaista varmennetta seuraavassa TLS-kättelyprosessissa. SNI vaatii TLS-version 1.2.

TLS-käytäntöominaisuudet ovat käytettävissä vain a ääniluokan tls-profiili kokoonpano. The kryptosignalointi komento tukee edelleen olemassa olevia TLS-salausvaihtoehtoja. Voit käyttää joko ääniluokan tls-profiili tag tai kryptosignalointi -komento määrittääksesi luottamuspisteen. Suosittelemme, että käytät ääniluokan tls-profiili tag -komento suorittaa TLS-profiilimääritykset.