U ovome članku
Instalacija certifikata prilagođenog uređaja
Ručna instalacija certifikata prilagođenog uređaja prijenosom
dropdown icon
Automatska instalacija certifikata prilagođenog uređaja od strane SCEP
    Parametri za konfiguraciju SCEP
    Obnova certifikata od strane SCEP
CDC konfiguracija zajedničkog imena
dropdown icon
Konfiguracija parametara SCEP putem DHCP opcije 43
    Davanje zajedničkog imena ili korisničkog ID-a putem DHCP opcije 15
Certifikat prilagođenog uređaja na 9800/8875
list-menuU ovome članku
list-menuŽelite li poslati povratne informacije?

Certifikat prilagođenog uređaja (CDC) možete instalirati ručno ili automatski. Za određena okruženja možete koristiti DHCP opciju 43 za pružanje SCEP parametara za instalaciju certifikata. Ovaj članak pomoći odnosi se na Cisco Desk Phone 9800 Series i Cisco Video Phone 8875 registriran na Cisco BroadWorks.

Instalacija certifikata prilagođenog uređaja

Da biste instalirali certifikat prilagođenog uređaja (CDC) na telefon, upotrijebite jedan od sljedećih načina na temelju vaše situacije:

Najnoviji instalirani certifikat na telefonu stupa na snagu.

Ručna instalacija certifikata prilagođenog uređaja prijenosom

Certifikat prilagođenog uređaja (CDC) možete ručno instalirati na telefon prijenosom certifikata s web stranice administracije telefona.

Prije nego što počnete

Prije nego što možete instalirati prilagođeni certifikat uređaja za telefon, morate imati:

  • Datoteka certifikata (.p12 ili .pfx) spremljena na vašem računalu. Datoteka sadrži certifikat i privatni ključ.
  • Lozinka za ekstrakt certifikata. Lozinka se koristi za dešifriranje datoteke certifikata.
1

Pristupite web stranici administracije telefona.

2

Odaberite Certifikat.

3

U odjeljku Dodaj certifikat kliknite Pregledaj... .

4

Pregledajte certifikat na računalu.

5

U polje Izd voji lozinku unesite lozinku za izdvajanje certifikata.

6

Kliknite U čitaj.

Ako su datoteka certifikata i lozinka točni, primit ćete poruku "Certificate added.". U suprotnom, prijenos ne uspije s porukom o pogrešci koja ukazuje da se certifikat ne može prenijeti.
7

Da biste provjerili detalje instaliranog certifikata, kliknite Pri kaz u odjeljku Postojeći certifikati.

8

Da biste uklonili instalirani certifikat s telefona, kliknite Izbri ši u odjeljku Postojeći certifikati.

Nakon što kliknete gumb, postupak uklanjanja započinje odmah bez potvrde.

Nakon uklanjanja certifikata, pojavljuje se Certificate deleted poruka. Ako je certifikat povezan s aktivnom bežičnom vezom, ponovno pokrenite telefon da biste primijenili promjene.

Automatska instalacija certifikata prilagođenog uređaja od strane SCEP

Možete konfigurirati parametre povezane sa Simple Certificate Enrollment Protocol (SCEP) za interakciju sa SCEP poslužiteljem kako biste automatski instalirali certifikat prilagođenog uređaja (CDC).

Nakon što je bilo koji od parametara SCEP konfiguriran, telefon će poslati zahtjev za upis na SCEP poslužitelj. Telefon će potvrditi primljeni CA certifikat pomoću konfiguriranog otiska prsta.

Prije nego što počnete

Prije nego što možete izvršiti automatsku instalaciju certifikata prilagođenog uređaja (CDC) za telefon, morate imati:

  • Adresa SCEP poslužitelja
  • SHA-1 ili SHA-256 otisak prsta korijenskog CA certifikata za SCEP poslužitelj
1

Pristupite web stranici administracije telefona.

2

Odaberite Certifikat.

3

U odjeljku SCEP konfiguracija 1 postavite parametre kako je opisano u Par ametri za konfiguraciju SCEP.

4

Kliknite Po šalji sve promjene.

Parametri za konfiguraciju SCEP

Sljedeća tablica opisuje funkciju i upotrebu SCEP konfiguracijskih parametara u odjelj ku SCEP konfiguracija 1 na kartici Certifikat na web stranici administracije telefona. Također uključuje sintaksu nizova koje dodate u konfiguracijsku datoteku telefona (cfg.xml) za konfiguriranje parametra.

Svaka promjena tih parametara uzrokuje da telefon zatraži novi certifikat.

Tablica 1. Parametri za konfiguraciju SCEP
ParametarOpis
Poslužitelj

Adresa SCEP poslužitelja. Ovaj parametar je obavezan.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_Server_1_ ua="na">http://10.79.57.91</CDC_Server_1_>

  • Na web stranici telefona unesite adresu SCEP poslužitelja.

Važeće vrijednosti: URL ili IP adresa. HTTPS shema nije podržana.

Zadano: Prazno

CA otisak prsta

SHA256 ili SHA1 otisak prsta Root CA za provjeru valjanosti tijekom SCEP procesa. Ovaj parametar je obavezan.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>

  • Na web stranici telefona unesite valjani otisak prsta.

Zadano: Prazno

Izazov lozinku

Lozinka izazova za Certificate Authority (CA) autorizaciju na telefonu tijekom upisa certifikata putem SCEP-a. Ovaj parametar nije obavezan.

Prema stvarnom SCEP okruženju, ponašanje lozinke izazova varira.

  • Ako telefon dobije certifikat Cisco RA koji komunicira s CA, lozinka izazova nije podržana na CA. U ovom slučaju, Cisco RA koristi MIC/SUDI telefona za provjeru autentičnosti za pristup CA. Telefon koristi MIC/SUDI i za početni upis i za obnovu certifikata.
  • Ako telefon dobije certifikat izravnom komunikacijom s CA, lozinka izazova podržana je na CA. Lozinka izazova koristi se u sljedećim slučajevima:
    • Kada je ponovno korištenje lozin ke izazova za obnov u postavljena na Ne (zadano), telefon koristi navedenu lozinku samo za početni upis i koristi postojeći certifikat za obnovu.

    • Kada je lozinka ponovnog korištenja izazova za obnov u postavljena na Da, telefon koristi navedenu lozinku i za početni upis i za obnovu.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_Challenge_Password_1_ ua="na"></CDC_Challenge_Password_1_>

    Lozinka je maskirana u konfiguracijskoj datoteci.

  • Na web stranici telefona unesite lozinku izazova.

Zadano: Prazno

Uobičajeno ime

Određuje zajednički naziv (CN) koji se koristi kao identifikator za telefon koji traži certifik at. CN se koristi za zahtjev za potpisivanje certifikata (CSR) u procesu SCEP .

Ovaj parametar također podržava varijable proširenja makro, pogledajte Varijable proširenja makronared be za detalje.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_Common_Name_1_ ua="na"></CDC_Common_Name_1_>

  • Na web stranici telefona unesite zajednički naziv.

Važeće vrijednosti: Maksimalno 64 znaka

Zadano: Prazno

Naziv države

Određuje zemlju organizacije.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_Country_Name_1_ua="na"></CDC_Country_Name_1_>

  • Na web stranici telefona unesite naziv zemlje.

Važeće vrijednosti: Niz od 0 do 2 znaka

Zadano: Prazno

Naziv države ili pokrajine

Određuje državu ili pokrajinu organizacije.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_State_or_Province_Name_1_ ua="na"></CDC_State_or_Province_Name_1_ >

  • Na web stranici telefona unesite naziv države ili pokrajine.

Važeće vrijednosti: Niz od 0 do 64 znaka.

Zadano: Prazno

Naziv lokaliteta

Određuje naziv lokaliteta za predmet certifikata.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_Locality_Name_1_ ua="na"></CDC_Locality_Name_1_ >

  • Na web stranici telefona unesite naziv lokaliteta.

Važeće vrijednosti: Niz od 0 do 64 znakova

Zadano: Prazno

Naziv organizacije

Određuje naziv subjekta zahtjeva za potpisivanje certifikata (CSR).

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_Organization_Name_1_ ua="na"></CDC_Organization_Name_1_ >

  • Na web stranici telefona unesite naziv organizacije.

Važeće vrijednosti: Niz od 0 do 64 znakova

Zadano: Prazno

Organizacijska jedinica

Određuje nazive organizacijskih jedinica za naziv subjekta zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do 5 parametara "/OU=" u naziv subjekta CSR.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_Organizational_Unit_1_ ua="na"></CDC_Organizational_Unit_1_ >

  • Na web stranici telefona unesite naziv jedinice organizacije.

Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do 5 jedinica.

Zadano: Prazno

SAN DNS

Određuje parametre Domain Name Server (DNS) za alternativni naziv subjekta (SAN) zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do pet DNS parametara u CSR SAN.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_SAN_DNS_1_ ua="na"></CDC_SAN_DNS_1_ >

  • Na web stranici telefona unesite DNS za CSR SAN.

Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do pet DNS parametara.

Zadano: Prazno

SAN IP

Određuje IP parametre alternativnog naziva subjekta (SAN) zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do pet IP parametara CSR SAN.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_SAN_IP_1_ ua="na"></CDC_SAN_IP_1_ >

  • Na web stranici telefona unesite IP za CSR SAN.

Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do pet IP parametara.

Zadano: Prazno

e-pošta SAN

Određuje parametre e-pošte za alternativni naziv subjekta (SAN) zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do pet parametara e-pošte u CSR SAN.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_SAN_Email_1_ ua="na"></CDC_SAN_Email_1_ >

  • Na web stranici telefona unesite e-poštu za CSR SAN.

Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do pet parametara e-poš te.

Zadano: Prazno

SAN URI

Određuje URI parametre za alternativni naziv subjekta (SAN) zahtjeva za potpisivanje certifikata (CSR). Telefon će dodati do pet URI parametara CSR SAN.

Izvršite jedno od sljedećeg:

  • U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu:

    <CDC_SAN_URI_1_ ua="na"></CDC_SAN_URI_1_ >

  • Na web stranici telefona unesite URI za CSR SAN.

Valjane vrijednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, s maksimalnom duljinom od 512 znakova. Može se odrediti do pet URI parametara.

Zadano: Prazno

Obnova certifikata od strane SCEP

Certifikat uređaja može se automatski osvježiti SCEP procesom.

  • Telefon provjerava hoće li certifikat istekati za 15 dana svaka 4 sata. Ako je to slučaj, telefon automatski pokreće postupak obnove certifikata.
  • Ako je lozinka izazova prazna, telefon koristi MIC/SUDI i za početni upis i za obnovu certifikata. Ako je lozinka izazova konfiguri rana, koristi se u sljedećim slučajevima:
    • Kada je ponovno korištenje lozin ke izazova za obnov u postavljena na Ne (zadano), telefon koristi navedenu lozinku samo za početni upis i koristi postojeći certifikat za obnovu.

    • Kada je lozinka ponovnog korištenja izazova za obnov u postavljena na Da, telefon koristi navedenu lozinku i za početni upis i za obnovu.

  • Telefon ne uklanja stari certifikat uređaja sve dok ne preuzme novi.
  • Ako obnova certifikata ne uspije zbog isteka certifikata uređaja ili CA, telefon automatski pokreće početnu registraciju. U međuvremenu, ako provjera autentičnosti lozinke izazova ne uspije, na zaslonu telefona pojavljuje se zaslon za unos lozinke i od korisnika se traži da unesu lozinku izazova na telefon.

CDC konfiguracija zajedničkog imena

Prema zadanim postavkama, zajednički naziv u MIC/SUDI koristi se kao zajednički naziv za CDC.

Uobičajeni naziv za CDC možete konfigurirati kada instalirate certifikat. Koristite jednu od sljedećih metoda za instaliranje CDC-a na telefon:

Konfiguracija parametara SCEP putem DHCP opcije 43

U nekim okruženjima ne možete instalirati certifikat prilagođenog uređaja (CDC) prijenosom ili izravnim konfiguriranjem parametara SCEP. U takvoj situaciji možete koristiti DHCP opciju 43 za isporuku parametara SCEP s DHCP poslužitelja na telefon. Nakon što se telefon vrati na tvorničke postavke, prima parametre s DHCP poslužitelja i instalira CDC pomoću SCEP-a.

  • Ova značajka (konfiguracija parametara SCEP putem DHCP opcije 43) dostupna je samo za telefone koji su vraćeni na tvorničke postavke.
  • Ne postavljajte telefone koji se oslanjaju na opcije 43 u mreži koja također koristi daljinsko pruž anje usluga (na primjer, Opcije 66,150, 159 i 160 ili pružanje usluga u oblaku). U suprotnom, telefoni možda neće dobiti opciju 43 konfiguracije.

Da biste instalirali CDC certifikat prema parametrima SCEP navedenim iz DHCP opcije 43, učinite sljedeće:

  1. Pripremite SCEP okruženje.

    Informacije o postavljanju SCEP okruženja potražite u dokumentaciji SCEP poslužitelja.

  2. Postavite DHCP opciju 43 (definirano u 8.4 Informacije o specifičnim dobavljačima, RFC 2132).

    Podopcije (10—15) rezervirane su za metodu:

    Parametar na web stranici telefonaSubopcijaVrstaDužina (bajt)Obavezno
    FIPS način rada10boolean1Ne*
    Poslužitelj11niz208 - duljina (lozinka izazova)Da
    Root CA otisak prsta12šesterokutni20, 32, 48 ili 64Da
    Izazov lozinku13niz208 - duljina (poslužitelj)Ne*
    Omogući 802.1X provjeru autentičnosti14boolean1Ne
    Odaberite certifikat15nepotpisani 8-bitni1Ne

    * znači da je parametar konfiguriran prema stvarnoj situaciji.

    Kada koristite DHCP opciju 43, primijetite sljedeće karakteristike metode:

    • Podopcije (10—15) rezervirane su za certifikat prilagođenog uređaja (CDC).
    • Maksimalna duljina DHCP opcije 43 je 255 bajtova.
    • Maksimalna duljina lo zinke Server + Challenge mora biti manja od 208 bajtova.
    • Vrijednost FIPS načina mora odgovarati konfiguraciji pružanja usluga za ugradnju. U suprotnom, telefon ne uspije preuzeti prethodno instalirani certifikat nakon ugradnje. Konkretno,
      • Ako je telefon registriran u okruženju u kojem je FIPS način onemogućen, ne morate konfigurirati FIPS način rada u DHCP opciji 43. Prema zadanim postavkama, FIPS način rada je onemogućen.
      • Ako je telefon registriran u okruženju u kojem je omogućen FIPS način rada, morate omogućiti FIPS način rada u DHCP opciji 43. Detalje potra žite u odjeljku Omogući FIPS način rada.
    • Lozinka izazova u opciji 43 nalazi se u jasnom tekstu.
      • Da bi telefon koristio MIC/SUDI za početni upis i obnovu certifikata, ostavite lozinku izazova praznom.
      • Da biste lozinku izazova koristili samo za početnu prijavu, navedite lozinku izazova i postavite ponovno korištenje lozinke izazova za obnov u na br. U tom se slučaju instalirani certifikat koristi za obnovu certifikata.
      • Da biste koristili lozinku izazova i za početni upis i za obnovu, navedite lozinku i postavite Ponovno korištenje lozinke izazova za obnov u na Da.
    • Omogućite 802.1X provjeru autentičnosti i odabir certifikata primjenjuju se samo na telefone u žičanim mrežama.
    • DHCP opcija 60 (Identifikator klase dobavljača) koristi se za identifikaciju modela uređaja.

    Primjer DHCP opcije 43 (podopcije 10—15):

    Podopcija decimalna/šesterokutnaDuljina vrijednosti (bajt) decimalna/šesterokutnaVrijednostŠesterokutna vrijednost
    10/0a1/011 (0: Onemogućeno; 1: Omogućeno)01
    11/0b18/12http://10.79.57.91687474703A2F2F31302E37392E35372E393931
    12/0c20/1412040870625C5B755D73F5925285F8F5FF5D55AF12040870625C5B755D73F5925285F8F5FF5D55AF
    13/0d16/10D233CCF9B9952A1544323333434346394239393532413135
    14/0e1/011 (0: Ne; 1: Da)01
    15/0f1/011 (0: Instalirana proizvodnja; 1: Prilagođeno instalirano) 01

    Sažetak vrijednosti parametara:

    • FIPS način = Enabled

    • Server = http://10.79.57.91

    • Korijenski CA otisak prsta = 12040870625C5B755D73F5925285F8F5FF5D55AF

    • Izazov lozinka = D233CCF9B9952A15

    • Omogući 802.1X provjeru autentičnosti = Yes

    • Odaberite certifikat = Custom installed

    Sintaksa konačne heksadecalne vrijednosti je: {<suboption><length><value>}...

    Prema gornjim vrijednostima parametara, konačna šesterokutna vrijednost je sljedeća:

    0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

  3. Konfigurirajte DHCP opciju 43 na DHCP poslužitelju.

    Ovaj korak daje primjer DHCP opcije 43 konfiguracije na Cisco Network Registru.

    1. Dodajte DHCP skup definicija opcija.

      N iz opcije dobavljača naziv je modela IP telefona. Važeća vrijednost je: DP-9841, DP-9851, DP-9861, DP-9871 ili CP-8875.

    2. Dodajte DHCP opciju 43 i podopcije u skup definicija opcija DHCP.

      Primjer:

      Screenshot of DHCP option 43 definitions on Cisco Network Register

    3. Dodajte opcije 43 u DHCP pravilo i postavite vrijednost na sljedeći način:

      Primjer:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

    4. Provjerite postavke. Pomoću Wiresharka možete snimiti trag mrežnog prometa između telefona i usluge.
  4. Vratite telefon na tvorničke postavke.

    Nakon resetiranja telefona, parametri Server, Root CA Fingerprint i Challenge Password automatski se popunjavaju. Ti se parametri nalaze u odjeljku SCEP konfiguracija 1 u odjeljku Certifikat > Pril agođeno na web stranici administracije telefona.

    Da biste vidjeli detalje instaliranog certifikata, kliknite Pri kaz u odjeljku Posto jeći certifikati.

    Da biste provjerili status instalacije certifikata, odaberite Certifikat > Prilagođeni status certifikata. Pol je Status preuzimanja 1 prikazuje najnoviji rezultat. Ako dođe do problema tijekom upisa certifikata, status preuzimanja prikazuje razlog za rješavanje problema.

    Ako provjera autentičnosti lozinke izazova ne uspije, telefon traži od korisnika da unesu lozinku na zaslonu telefona.

  5. (Opcionalno): Da biste uklonili instalirani certifikat s telefona, kliknite Izbri ši u odjeljku Postojeći certifikati.

    Kada kliknete Izbri ši, telefon odmah uklanja certifikat, bez upita za potvrdu.

Davanje zajedničkog imena ili korisničkog ID-a putem DHCP opcije 15

Tijekom upisa SCEP certifikata putem DHCP opcije 43, telefon također može dobiti ime domene navedeno u DHCP opciji 15 (ako je konfiguriran). Nakon što telefon primi ime domene, može konstruirati zajedničko ime ili korisnički ID s imenom domene, koji je predstavljen na sljedeći način:

  • Uobičajeno ime = <Common Name in MIC/SUDI >. <Domain Name in Option 15>

    Zajed nički naziv koristit će se za CSR u procesu SCEP, a kasnije će to biti zajedničko ime u CDC-u.

  • Korisnički ID = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>

    Korisnički ID koristit će se kao identitet za žičnu 802.1X provjeru autentičnosti.

Na primjer, MAC adresa telefona je 00:1 A: 2B: 3C: 4D: 5E, model telefona je 9871:

Naziv domene u DHCP opciji 15Uobičajeno imeKorisnički ID
primjer.nlCP-9871-sep001a2b3c4d5e.example.nlCP-9871-SEP001A2B3C4D5E@example.nl
PrazanCP-9871-SEP001A2B3C4D5E

CP-9871-SEP001A2B3C4D5E

Ako naziv domene nije konfiguriran u opciji 15, zajedničko ime i korisnički ID bit će isti s Uobičajenim imenom u MIC/SUDI.

Je li taj članak bio koristan?
Je li taj članak bio koristan?