- Početak
- /
- Članak
Certifikat prilagođenog uređaja (CDC) možete instalirati ručno ili automatski. Za određena okruženja možete koristiti DHCP opciju 43 za pružanje SCEP parametara za instalaciju certifikata. Ovaj članak pomoći odnosi se na Cisco Desk Phone 9800 Series i Cisco Video Phone 8875 registriran na Cisco BroadWorks.
Instalacija certifikata prilagođenog uređaja
Da biste instalirali certifikat prilagođenog uređaja (CDC) na telefon, upotrijebite jedan od sljedećih načina na temelju vaše situacije:
Najnoviji instalirani certifikat na telefonu stupa na snagu.
- Ručna instalacija — certifikat možete instalirati tako da ga prenesete s web stranice administracije telefona. Pojedinosti potražite u odjel jku Ručna instalacija certifikata prilagođenog uređaja prijenosom.
- Automatska instalacija — možete konfigurirati parametre Simple Certificate Enrollment Protocol (SCEP) kako biste pokrenuli automatsku instalaciju certifikata. Telefon šalje SCEP zahtjeve SCEP poslužitelju za instaliranje certifikata.
Parametri SCEP mogu se konfigurirati putem web stranice administracije telefona, konfiguracijske datoteke telefona (cfg.xml) ili Control Hub. Detalje potražite u odjel jku Automatska instalacija certifikata prilagođenog uređaja od strane SCEP -a i Parametri za postavke telefona na Control Hub.
- DHCP opcija 43 — U određenom okruženju možete instalirati certifikat pomoću DHCP opcije 43. Opcija 43 može pružiti SCEP parametre za instalaciju certifikata. Za detalje pogledajte Konfiguracija parametara SCEP putem DHCP opcije 43.
-
Kada koristite DHCP opciju 43 za pružanje SCEP parametara, telefon također može preuzeti naziv domene koji se nosi iz DHCP opcije 15. Na temelju preuzete domene, telefon može konstruirati SCEP CSR zajedničko ime i 802.1X korisnički ID. Pojedinosti potražite u od jeljku Davanje zajedničkog imena ili korisničkog ID-a putem DHCP opcije 15.
Dodatne informacije o tome kako konfigurirati DHCP opcije potražite u odjeljku Konfiguriranje DHCP opcija.
-
Ručna instalacija certifikata prilagođenog uređaja prijenosom
Certifikat prilagođenog uređaja (CDC) možete ručno instalirati na telefon prijenosom certifikata s web stranice administracije telefona.
Prije nego što počnete
Prije nego što možete instalirati prilagođeni certifikat uređaja za telefon, morate imati:
- Datoteka certifikata (.p12 ili .pfx) spremljena na vašem računalu. Datoteka sadrži certifikat i privatni ključ.
- Lozinka za ekstrakt certifikata. Lozinka se koristi za dešifriranje datoteke certifikata.
| 1 |
Pristupite web stranici administracije telefona. |
| 2 |
Odaberite Certifikat. |
| 3 |
U odjeljku Dodaj certifikat kliknite Pregledaj... . |
| 4 |
Pregledajte certifikat na računalu. |
| 5 |
U polje Izd voji lozinku unesite lozinku za izdvajanje certifikata. |
| 6 |
Kliknite U čitaj. Ako su datoteka certifikata i lozinka točni, primit ćete poruku "
Certificate added.". U suprotnom, prijenos ne uspije s porukom o pogrešci koja ukazuje da se certifikat ne može prenijeti. |
| 7 |
Da biste provjerili detalje instaliranog certifikata, kliknite Pri kaz u odjeljku Postojeći certifikati. |
| 8 |
Da biste uklonili instalirani certifikat s telefona, kliknite Izbri ši u odjeljku Postojeći certifikati. Nakon što kliknete gumb, postupak uklanjanja započinje odmah bez potvrde. Nakon uklanjanja certifikata, pojavljuje se |
Automatska instalacija certifikata prilagođenog uređaja od strane SCEP
Možete konfigurirati parametre povezane sa Simple Certificate Enrollment Protocol (SCEP) za interakciju sa SCEP poslužiteljem kako biste automatski instalirali certifikat prilagođenog uređaja (CDC).
Nakon što je bilo koji od parametara SCEP konfiguriran, telefon će poslati zahtjev za upis na SCEP poslužitelj. Telefon će potvrditi primljeni CA certifikat pomoću konfiguriranog otiska prsta.
Prije nego što počnete
Prije nego što možete izvršiti automatsku instalaciju certifikata prilagođenog uređaja (CDC) za telefon, morate imati:
- Adresa SCEP poslužitelja
- SHA-1 ili SHA-256 otisak prsta korijenskog CA certifikata za SCEP poslužitelj
| 1 |
Pristupite web stranici administracije telefona. |
| 2 |
Odaberite Certifikat. |
| 3 |
U odjeljku SCEP konfiguracija 1 postavite parametre kako je opisano u Par ametri za konfiguraciju SCEP. |
| 4 |
Kliknite Po šalji sve promjene. |
Parametri za konfiguraciju SCEP
Sljedeća tablica opisuje funkciju i upotrebu SCEP konfiguracijskih parametara u odjelj ku SCEP konfiguracija 1 na kartici Certifikat na web stranici administracije telefona. Također uključuje sintaksu nizova koje dodate u konfiguracijsku datoteku telefona (cfg.xml) za konfiguriranje parametra.
Svaka promjena tih parametara uzrokuje da telefon zatraži novi certifikat.
| Parametar | Opis |
|---|---|
| Poslužitelj |
Adresa SCEP poslužitelja. Ovaj parametar je obavezan. Izvršite jedno od sljedećeg:
Važeće vrijednosti: URL ili IP adresa. HTTPS shema nije podržana. Zadano: Prazno |
| CA otisak prsta |
SHA256 ili SHA1 otisak prsta Root CA za provjeru valjanosti tijekom SCEP procesa. Ovaj parametar je obavezan. Izvršite jedno od sljedećeg:
Zadano: Prazno |
| Izazov lozinku |
Lozinka izazova za Certificate Authority (CA) autorizaciju na telefonu tijekom upisa certifikata putem SCEP-a. Ovaj parametar nije obavezan. Prema stvarnom SCEP okruženju, ponašanje lozinke izazova varira.
Izvršite jedno od sljedećeg:
Zadano: Prazno |
| Uobičajeno ime |
Određuje zajednički naziv (CN) koji se koristi kao identifikator za telefon koji traži certifik at. CN se koristi za zahtjev za potpisivanje certifikata (CSR) u procesu SCEP . Ovaj parametar također podržava varijable proširenja makro, pogledajte Varijable proširenja makronared be za detalje. Izvršite jedno od sljedećeg:
Važeće vrijednosti: Maksimalno 64 znaka Zadano: Prazno |
| Naziv države |
Određuje zemlju organizacije. Izvršite jedno od sljedećeg:
Važeće vrijednosti: Niz od 0 do 2 znaka Zadano: Prazno |
| Naziv države ili pokrajine |
Određuje državu ili pokrajinu organizacije. Izvršite jedno od sljedećeg:
Važeće vrijednosti: Niz od 0 do 64 znaka. Zadano: Prazno |
| Naziv lokaliteta |
Određuje naziv lokaliteta za predmet certifikata. Izvršite jedno od sljedećeg:
Važeće vrijednosti: Niz od 0 do 64 znakova Zadano: Prazno |
| Naziv organizacije |
Određuje naziv subjekta zahtjeva za potpisivanje certifikata (CSR). Izvršite jedno od sljedećeg:
Važeće vrijednosti: Niz od 0 do 64 znakova Zadano: Prazno |
| Organizacijska jedinica |
Određuje nazive organizacijskih jedinica za naziv subjekta zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do 5 parametara "/OU=" u naziv subjekta CSR. Izvršite jedno od sljedećeg:
Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do 5 jedinica. Zadano: Prazno |
| SAN DNS |
Određuje parametre Domain Name Server (DNS) za alternativni naziv subjekta (SAN) zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do pet DNS parametara u CSR SAN. Izvršite jedno od sljedećeg:
Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do pet DNS parametara. Zadano: Prazno |
| SAN IP |
Određuje IP parametre alternativnog naziva subjekta (SAN) zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do pet IP parametara CSR SAN. Izvršite jedno od sljedećeg:
Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do pet IP parametara. Zadano: Prazno |
| e-pošta SAN |
Određuje parametre e-pošte za alternativni naziv subjekta (SAN) zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do pet parametara e-pošte u CSR SAN. Izvršite jedno od sljedećeg:
Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do pet parametara e-poš te. Zadano: Prazno |
| SAN URI |
Određuje URI parametre za alternativni naziv subjekta (SAN) zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do pet URI parametara CSR SAN. Izvršite jedno od sljedećeg:
Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do pet URI parametara. Zadano: Prazno |
Obnova certifikata od strane SCEP
Certifikat uređaja može se automatski osvježiti SCEP procesom.
- Telefon provjerava hoće li certifikat istekati za 15 dana svaka 4 sata. Ako je to slučaj, telefon automatski pokreće postupak obnove certifikata.
- Ako je lozinka izazova prazna, telefon koristi MIC/SUDI i za početni upis i
za obnovu certifikata. Ako je lozinka izazova konfiguri
rana, koristi se u sljedećim slučajevima:
-
Kada je ponovno korištenje lozin ke izazova za obnov u postavljena na Ne (zadano), telefon koristi navedenu lozinku samo za početni upis i koristi postojeći certifikat za obnovu.
-
Kada je lozinka ponovnog korištenja izazova za obnov u postavljena na Da, telefon koristi navedenu lozinku i za početni upis i za obnovu.
-
- Telefon ne uklanja stari certifikat uređaja sve dok ne preuzme novi.
- Ako obnova certifikata ne uspije zbog isteka certifikata uređaja ili CA, telefon automatski pokreće početnu registraciju. U međuvremenu, ako provjera autentičnosti lozinke izazova ne uspije, na zaslonu telefona pojavljuje se zaslon za unos lozinke i od korisnika se traži da unesu lozinku izazova na telefon.
CDC konfiguracija zajedničkog imena
Prema zadanim postavkama, zajednički naziv u MIC/SUDI koristi se kao zajednički naziv za CDC.
Uobičajeni naziv za CDC možete konfigurirati kada instalirate certifikat. Koristite jednu od sljedećih metoda za instaliranje CDC-a na telefon:
-
Generirajte zahtjev za potpisivanje certifikata (CSR) koji sadrži željeni zajednički naziv, a zatim prenesite i instalirajte novi certifikat na web stranicu administracije telefona.
-
Konfigurirajte zajedničko ime putem web stranice administracije telefona, konfiguracijske datoteke telefona (cfg.xml) ili Control Hub. To će pokrenuti telefon da automatski zatraži novi certifikat.
Dodatne informacije o parametrima na web stranici telefona i upravljačkom čvorištu potražite u odjeljku Automatska instalacija certifikata prilagođenog uređaja od strane SCEP-a i Par ametri za postavke telefona na upravljačkom čvorištu.
- Koristite DHCP opcije 43 i 15 za pružanje zajedničkog naziva za CDC i žičani 802.1X identitet.
Dodatne informacije potražite u odjel jku Davanje zajedničkog imena ili korisničkog ID-a putem DHCP opcije 15.
Konfiguracija parametara SCEP putem DHCP opcije 43
U nekim okruženjima ne možete instalirati certifikat prilagođenog uređaja (CDC) prijenosom ili izravnim konfiguriranjem parametara SCEP. U takvoj situaciji možete koristiti DHCP opciju 43 za isporuku parametara SCEP s DHCP poslužitelja na telefon. Nakon što se telefon vrati na tvorničke postavke, prima parametre s DHCP poslužitelja i instalira CDC pomoću SCEP-a.
- Ova značajka (konfiguracija parametara SCEP putem DHCP opcije 43) dostupna je samo za telefone koji su vraćeni na tvorničke postavke.
- Ne postavljajte telefone koji se oslanjaju na opcije 43 u mreži koja također koristi daljinsko pruž anje usluga (na primjer, Opcije 66,150, 159 i 160 ili pružanje usluga u oblaku). U suprotnom, telefoni možda neće dobiti opciju 43 konfiguracije.
Da biste instalirali CDC certifikat prema parametrima SCEP navedenim iz DHCP opcije 43, učinite sljedeće:
- Pripremite SCEP okruženje.
Informacije o postavljanju SCEP okruženja potražite u dokumentaciji SCEP poslužitelja.
- Postavite DHCP opciju 43 (definirano u 8.4 Informacije o specifičnim dobavljačima, RFC 2132).
Podopcije (10—15) rezervirane su za metodu:
Parametar na web stranici telefona Subopcija Vrsta Dužina (bajt) Obavezno FIPS način rada 10 boolean 1 Ne* Poslužitelj 11 niz 208 - duljina (lozinka izazova) Da Root CA otisak prsta 12 šesterokutni 20, 32, 48 ili 64 Da Izazov lozinku 13 niz 208 - duljina (poslužitelj) Ne* Omogući 802.1X provjeru autentičnosti 14 boolean 1 Ne Odaberite certifikat 15 nepotpisani 8-bitni 1 Ne * znači da je parametar konfiguriran prema stvarnoj situaciji.
Kada koristite DHCP opciju 43, primijetite sljedeće karakteristike metode:
- Podopcije (10—15) rezervirane su za certifikat prilagođenog uređaja (CDC).
- Maksimalna duljina DHCP opcije 43 je 255 bajtova.
- Maksimalna duljina lo zinke Server + Challenge mora biti manja od 208 bajtova.
- Vrijednost FIPS načina mora odgovarati konfiguraciji pružanja usluga za ugradnju.
U suprotnom, telefon ne uspije preuzeti prethodno instalirani certifikat nakon
ugradnje. Konkretno,
- Ako je telefon registriran u okruženju u kojem je FIPS način onemogućen, ne morate konfigurirati FIPS način rada u DHCP opciji 43. Prema zadanim postavkama, FIPS način rada je onemogućen.
- Ako je telefon registriran u okruženju u kojem je omogućen FIPS način rada, morate omogućiti FIPS način rada u DHCP opciji 43. Detalje potra žite u odjeljku Omogući FIPS način rada.
- Lozinka izazova u opciji 43 nalazi se u jasnom tekstu.
- Da bi telefon koristio MIC/SUDI za početni upis i obnovu certifikata, ostavite lozinku izazova praznom.
- Da biste lozinku izazova koristili samo za početnu prijavu, navedite lozinku izazova i postavite ponovno korištenje lozinke izazova za obnov u na br. U tom se slučaju instalirani certifikat koristi za obnovu certifikata.
- Da biste koristili lozinku izazova i za početni upis i za obnovu, navedite lozinku i postavite Ponovno korištenje lozinke izazova za obnov u na Da.
- Omogućite 802.1X provjeru autentičnosti i odabir certifikata primjenjuju se samo na telefone u žičanim mrežama.
- DHCP opcija 60 (Identifikator klase dobavljača) koristi se za identifikaciju modela uređaja.
Primjer DHCP opcije 43 (podopcije 10—15):
Podopcija decimalna/šesterokutna Duljina vrijednosti (bajt) decimalna/šesterokutna Vrijednost Šesterokutna vrijednost 10/0a 1/01 1 (0: Onemogućeno; 1: Omogućeno) 01 11/0b 18/12 http://10.79.57.91 687474703A2F2F31302E37392E35372E393931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Ne; 1: Da) 01 15/0f 1/01 1 (0: Instalirana proizvodnja; 1: Prilagođeno instalirano) 01 Sažetak vrijednosti parametara:
-
FIPS način =
Enabled -
Server =
http://10.79.57.91 -
Korijenski CA otisak prsta =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Izazov lozinka =
D233CCF9B9952A15 -
Omogući 802.1X provjeru autentičnosti =
Yes -
Odaberite certifikat =
Custom installed
Sintaksa konačne heksadecalne vrijednosti je:
{<suboption><length><value>}...Prema gornjim vrijednostima parametara, konačna šesterokutna vrijednost je sljedeća:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Konfigurirajte DHCP opciju 43 na DHCP poslužitelju.
Ovaj korak daje primjer DHCP opcije 43 konfiguracije na Cisco Network Registru.
- Dodajte DHCP skup definicija opcija.
N iz opcije dobavljača naziv je modela IP telefona. Važeća vrijednost je: DP-9841, DP-9851, DP-9861, DP-9871 ili CP-8875.
- Dodajte DHCP opciju 43 i podopcije u skup definicija opcija DHCP.
Primjer:

- Dodajte opcije 43 u DHCP pravilo i postavite vrijednost na sljedeći način:
Primjer:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Provjerite postavke. Pomoću Wiresharka možete snimiti trag mrežnog prometa između telefona i usluge.
- Dodajte DHCP skup definicija opcija.
- Vratite telefon na tvorničke postavke.
Nakon resetiranja telefona, parametri Server, Root CA Fingerprint i Challenge Password automatski se popunjavaju. Ti se parametri nalaze u odjeljku SCEP konfiguracija 1 u odjeljku agođeno na web stranici administracije telefona.
Da biste vidjeli detalje instaliranog certifikata, kliknite Pri kaz u odjeljku Posto jeći certifikati.
Da biste provjerili status instalacije certifikata, odaberite . Pol je Status preuzimanja 1 prikazuje najnoviji rezultat. Ako dođe do problema tijekom upisa certifikata, status preuzimanja prikazuje razlog za rješavanje problema.
Ako provjera autentičnosti lozinke izazova ne uspije, telefon traži od korisnika da unesu lozinku na zaslonu telefona.
- (Opcionalno): Da biste uklonili instalirani certifikat s telefona, kliknite Izbri ši u odjeljku Postojeći certifikati.
Kada kliknete Izbri ši, telefon odmah uklanja certifikat, bez upita za potvrdu.
Davanje zajedničkog imena ili korisničkog ID-a putem DHCP opcije 15
Tijekom upisa SCEP certifikata putem DHCP opcije 43, telefon također može dobiti ime domene navedeno u DHCP opciji 15 (ako je konfiguriran). Nakon što telefon primi ime domene, može konstruirati zajedničko ime ili korisnički ID s imenom domene, koji je predstavljen na sljedeći način:
- Uobičajeno ime = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Zajed nički naziv koristit će se za CSR u procesu SCEP, a kasnije će to biti zajedničko ime u CDC-u.
- Korisnički ID = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Korisnički ID koristit će se kao identitet za žičnu 802.1X provjeru autentičnosti.
Na primjer, MAC adresa telefona je 00:1 A: 2B: 3C: 4D: 5E, model telefona je 9871:
| Naziv domene u DHCP opciji 15 | Uobičajeno ime | Korisnički ID |
|---|---|---|
| primjer.nl | CP-9871-sep001a2b3c4d5e.example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Prazan | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Ako naziv domene nije konfiguriran u opciji 15, zajedničko ime i korisnički ID bit će isti s Uobičajenim imenom u MIC/SUDI.