Da biste omogućili model kontrole pristupa provjere autentičnosti, autorizacije i računovodstva (AAA), koristite aaa novi model naredba u načinu globalne konfiguracije. Da biste onemogućili AAA model kontrole pristupa, koristite br oblik ove naredbe.

aaa novi model

br aaa novi model

Ova naredba nema argumente ili ključne riječi.

Zadana naredba: AAA nije omogućen.

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje: Ova naredba omogućuje AAA sustav kontrole pristupa.

Za postavljanje provjere autentičnosti, autorizacije i računovodstvene (AAA) provjere autentičnosti prilikom prijave, koristite aaa prijava za autentifikaciju naredba u načinu globalne konfiguracije. Da biste onemogućili AAA autentifikaciju, koristite br oblik ove naredbe.

aaa prijava za autentifikaciju { zadano| ime-listu } metoda1 [ metoda 2... ]

br aaa prijava za autentifikaciju { zadano| ime-listu } metoda1 [ metoda 2... ]

Zadana naredba: AAA autentifikacija pri prijavi je onemogućena.

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje: Ako je zadano ključna riječ nije postavljena, provjerava se samo lokalna korisnička baza podataka. Ovo ima isti učinak kao sljedeća naredba:

aaa authentication login default local

Na konzoli će se prijava uspjeti bez ikakvih provjera autentičnosti ako zadano ključna riječ nije postavljena.

Zadani i izborni nazivi popisa koje kreirate s aaa prijava za autentifikaciju naredbe se koriste s provjera autentičnosti prijave zapovijedati.

Napravite popis unosom aaa prijava za autentifikaciju naredba metode list-name za određeni protokol. Argument list-name niz je znakova koji se koristi za imenovanje popisa metoda provjere autentičnosti koji se aktiviraju kada se korisnik prijavi. Argument metode identificira popis metoda koje pokušava algoritam za provjeru autentičnosti, u danom slijedu. Odjeljak “Metode provjere autentičnosti koje se ne mogu koristiti za argument imena popisa” navodi metode provjere autentičnosti koje se ne mogu koristiti za argument imena popisa, a donja tablica opisuje ključne riječi metode.

Za izradu zadanog popisa koji se koristi ako nijedan popis nije dodijeljen retku, koristite provjera autentičnosti prijave naredba sa zadanim argumentom nakon čega slijede metode koje želite koristiti u zadanim situacijama.

Lozinka se traži samo jednom za provjeru autentičnosti korisničkih vjerodajnica, a u slučaju pogrešaka zbog problema s povezivanjem, višestruki pokušaji su mogući putem dodatnih metoda provjere autentičnosti. Međutim, prijelaz na sljedeću metodu provjere autentičnosti događa se samo ako prethodna metoda vrati pogrešku, a ne ako ne uspije. Kako biste bili sigurni da je provjera autentičnosti uspješna čak i ako sve metode vrate pogrešku, navedite nijedan kao posljednja metoda u naredbenom retku.

Ako provjera autentičnosti nije posebno postavljena za liniju, zadana je zabrana pristupa i ne provodi se provjera autentičnosti. Koristite više system:running-config naredba za prikaz trenutno konfiguriranih popisa metoda provjere autentičnosti.

Metode provjere autentičnosti koje se ne mogu koristiti za argument imena popisa

Metode provjere autentičnosti koje se ne mogu koristiti za argument ime-popisa su sljedeće:

• auth-gost

• omogući

• gost

• ako-ovjeren

• ako je potrebno

• krb5

• krb-instanca

• krb-telnet

• line

• lokalna

• ništa

• radijus

• rcmd

• tacacs

• tacacsplus

U donjoj tablici metode radijusa grupe, grupni tacacs +, group ldap i group-name odnose se na skup prethodno definiranih RADIUS ili TACACS+ poslužitelja. Koristite naredbe radius-server host i tacacs-server host za konfiguriranje host poslužitelja. Upotrijebite naredbe radijusa poslužitelja grupe aaa, ldap poslužitelja grupe aaa i tacacs+ aaa grupnog poslužitelja za stvaranje imenovane grupe poslužitelja.

Donja tablica opisuje ključne riječi metode.

Ključna riječ	Opis
cache naziv grupe	Koristi grupu poslužitelja predmemorije za provjeru autentičnosti.
omogući	Koristi zaporku za omogućavanje za provjeru autentičnosti. Ova se ključna riječ ne može koristiti.
grupa naziv grupe	Koristi podskup RADIUS ili TACACS+ poslužitelja za provjeru autentičnosti kako je definirano aaa radijus poslužitelja grupe ili aaa grupni poslužitelj tacacs+ zapovijedati.
grupa ldap	Koristi popis svih poslužitelja Lightweight Directory Access Protocol (LDAP) za provjeru autentičnosti.
grupa radijus	Koristi popis svih RADIUS poslužitelja za provjeru autentičnosti.
grupa tacacs+	Koristi popis svih TACACS+ poslužitelja za provjeru autentičnosti.
krb5	Koristi Kerberos 5 za autentifikaciju.
krb5-telnet	Koristi Kerberos 5 Telnet protokol provjere autentičnosti kada koristi Telnet za povezivanje s usmjerivačem.
line	Koristi lozinku linije za provjeru autentičnosti.
lokalna	Koristi lokalnu bazu podataka korisničkih imena za provjeru autentičnosti.
lokalni-slučaj	Koristi provjeru autentičnosti lokalnog korisničkog imena osjetljivu na velika i mala slova.
ništa	Ne koristi autentifikaciju.
passwd-istek	Omogućuje starenje lozinke na lokalnom popisu za provjeru autentičnosti.   The radius-server vsa pošalji provjeru autentičnosti potrebna je naredba da bi se passwd-istek rad na ključnoj riječi.

Za postavljanje parametara koji ograničavaju pristup korisnika mreži, koristite aaa autorizacija naredba u načinu globalne konfiguracije. Da biste uklonili parametre, koristite br oblik ove naredbe.

aaa ovlaštenje { auth-proxy| cache| naredbe razini| config-naredbe| konfiguraciju| konzola| izvršni| ipmobile| multicast| mreže| politika-ako| unaprijed plaćeni| radius-proxy| obrnuti pristup| pretplatnički servis| predložak } { zadano| ime-listu } [ metoda1 [ metoda 2... ]]

br aaa ovlaštenje { auth-proxy| cache| naredbe razini| config-naredbe| konfiguraciju| konzola| izvršni| ipmobile| multicast| mreže| politika-ako| unaprijed plaćeni| radius-proxy| obrnuti pristup| pretplatnički servis| predložak } { zadano| ime-listu } [ metoda1 [ metoda 2... ]]

Zadana naredba: Autorizacija je onemogućena za sve radnje (ekvivalentno ključnoj riječi metode nijedan ).

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje: Koristite naredbu aaa autorizacija da omogućite autorizaciju i da kreirate popise imenovanih metoda, koji definiraju metode autorizacije koje se mogu koristiti kada korisnik pristupi navedenoj funkciji. Popisi metoda za autorizaciju definiraju načine na koje će se autorizacija izvršiti i redoslijed u kojem će se te metode izvoditi. Popis metoda je imenovani popis koji opisuje metode autorizacije (kao što su RADIUS ili TACACS+) koje se moraju koristiti u nizu. Popisi metoda omogućuju vam da odredite jedan ili više sigurnosnih protokola koji će se koristiti za autorizaciju, čime se osigurava sigurnosni sustav u slučaju neuspjeha početne metode. Cisco IOS softver koristi prvu navedenu metodu za autorizaciju korisnika za određene mrežne usluge; ako ta metoda ne odgovori, softver Cisco IOS odabire sljedeću metodu navedenu na popisu metoda. Ovaj proces se nastavlja sve dok ne dođe do uspješne komunikacije s navedenom metodom autorizacije ili dok se ne iscrpe sve definirane metode.

Softver Cisco IOS pokušava autorizaciju sljedećom navedenom metodom samo kada nema odgovora od prethodne metode. Ako autorizacija ne uspije u bilo kojoj točki ovog ciklusa - što znači da sigurnosni poslužitelj ili lokalna baza podataka korisničkih imena reagiraju uskraćivanjem korisničkih usluga - proces autorizacije se zaustavlja i ne pokušavaju se druge metode autorizacije.

Ako je naredba aaa autorizacije za određeni tip autorizacije izdana bez specificiranog popisa imenovanih metoda, zadani popis metoda automatski se primjenjuje na sva sučelja ili linije (gdje se ovaj tip autorizacije primjenjuje) osim onih koji imaju eksplicitno definiran popis imenovanih metoda. (Definirani popis metoda nadjačava zadani popis metoda.) Ako nije definiran popis zadanih metoda, tada se ne vrši autorizacija. Zadani popis metoda autorizacije mora se koristiti za izvođenje izlazne autorizacije, kao što je autorizacija preuzimanja IP spremišta s RADIUS poslužitelja.

Upotrijebite naredbu za autorizaciju aaa za kreiranje popisa unosom vrijednosti za ime-popisa i argumente metode, pri čemu je ime-popisa bilo koji niz znakova koji se koristi za imenovanje ovog popisa (isključujući sve nazive metoda), a metoda identificira popis metoda autorizacije pokušao u zadanom slijedu.

Naredba za autorizaciju aaa podržava 13 zasebnih popisa metoda. Na primjer:

aaa konfiguracija autorizacije methodlist1 radijus grupe

aaa konfiguracija autorizacije methodlist2 radijus grupe

...

aaa konfiguracija autorizacije methodlist13 radijus grupe

U donjoj tablici metode group-name, group ldap, group radius i group tacacs + odnose se na skup prethodno definiranih RADIUS ili TACACS+ poslužitelja. Koristite naredbe radius-server host i tacacs-server host za konfiguriranje host poslužitelja. Koristite naredbe aaa group server radius , aaa group server ldap i aaa group server tacacs+ za stvaranje imenovane grupe poslužitelja.

Cisco IOS softver podržava sljedeće metode autorizacije:

• Grupe poslužitelja predmemorije – Usmjerivač konzultira svoje grupe poslužitelja predmemorije kako bi autorizirao određena prava za korisnike.

• If-Authenticated --Korisniku je dopušten pristup traženoj funkciji pod uvjetom da je korisnik uspješno autentificiran.

• Lokalno -- Usmjerivač ili pristupni poslužitelj konzultira svoju lokalnu bazu podataka, kako je definirana naredbom korisničkog imena, kako bi autorizirala određena prava za korisnike. Samo ograničeni skup funkcija može se kontrolirati putem lokalne baze podataka.

• Ništa -- poslužitelj za pristup mreži ne zahtijeva informacije o autorizaciji; autorizacija se ne izvodi preko ove linije ili sučelja.

• RADIUS --Poslužitelj za pristup mreži zahtijeva informacije o autorizaciji od grupe sigurnosnih poslužitelja RADIUS. RADIUS autorizacija definira specifična prava za korisnike povezujući atribute, koji su pohranjeni u bazi podataka na RADIUS poslužitelju, s odgovarajućim korisnikom.

• TACACS+ --Poslužitelj mrežnog pristupa razmjenjuje informacije o autorizaciji s TACACS+ sigurnosnim demonom. TACACS+ autorizacija definira specifična prava za korisnike povezujući parove atribut-vrijednost (AV), koji su pohranjeni u bazi podataka na TACACS+ sigurnosnom poslužitelju, s odgovarajućim korisnikom.

Da biste omogućili veze između određenih vrsta krajnjih točaka u VoIP mreži, koristite dopusti-veze naredba u načinu konfiguracije glasovne usluge. Da biste odbili određene vrste veza, upotrijebite br oblik ove naredbe.

dopusti-veze iz-vrste da na-tip

br dopusti-veze iz-vrste da na-tip

Zadana naredba: SIP-to- SIP veze su onemogućene prema zadanim postavkama.

Naredbeni način: Konfiguracija glasovne usluge (config-voi-serv)

Smjernice za korištenje: Ova se naredba koristi za dopuštanje povezivanja između određenih vrsta krajnjih točaka u Cisco multiservice IP-to- IP pristupniku. Naredba je zadano omogućeno i ne može se promijeniti.

Da biste omogućili umetanje '#' na bilo koje mjesto u glasovnom registru dn, koristite dopusti-haš-u-dn naredba u globalnom načinu glasovnog registra. Da biste to onemogućili, koristite br oblik ove naredbe.

dopusti-haš-u-dn

bez dopuštenja-hash-in-dn

Zadana naredba: Naredba je prema zadanim postavkama onemogućena.

Naredbeni način: globalna konfiguracija glasovnog registra (config-register-global)

Smjernice za korištenje: Prije nego je ova naredba uvedena, znakovi podržani u glasovnom registru dn bili su 0-9, + i *. Nova naredba je omogućena kad god korisnik zahtijeva umetanje # u glasovni registar dn. Naredba je prema zadanim postavkama onemogućena. Ovu naredbu možete konfigurirati samo u Cisco Unified SRST i Cisco Unified E-SRST . Znak # može se umetnuti na bilo koje mjesto u glasovnom registru dn. Kada je ova naredba omogućena, korisnici moraju promijeniti zadani završni znak (#) u drugi valjani znak pomoću terminator dial-peer naredba u konfiguracijskom modu.

Za ulazak u način konfiguracije redundantne aplikacije upotrijebite redundantnost aplikacije naredba u načinu konfiguracije redundantnosti.

primjena redundancija

Ova naredba nema argumente ili ključne riječi.

Zadana naredba: Ništa

Naredbeni način: Konfiguracija redundantnosti (konfiguracija-crvena)

Smjernice za korištenje: Iskoristi ovo redundantnost aplikacije naredba za konfiguriranje redundantnosti aplikacije za visoka dostupnost.

Da biste postavili zadani pristupnik za aplikaciju, koristite app-default-gateway naredba u načinu konfiguracije hostinga aplikacija. Za uklanjanje zadanog pristupnika upotrijebite br oblik ove naredbe.

app-default-gateway [ ip-adresa sučelje za goste broj mrežnog sučelja ]

br app-default-gateway [ ip-adresa sučelje za goste broj mrežnog sučelja ]

Zadana naredba: zadani pristupnik nije konfiguriran.

Naredbeni način: Konfiguracija hostinga aplikacije (config-app-hosting)

Smjernice za korištenje: Koristite app-default-gateway naredba za postavljanje zadani pristupnik za aplikaciju. Gateway konektori su aplikacije instalirane na Cisco IOS XE GuestShell spremnik.

Da biste konfigurirali aplikaciju i ušli u način konfiguracije hostinga aplikacija, koristite app-hosting appid naredba u načinu globalne konfiguracije. Da biste uklonili aplikaciju, koristite br oblik ove naredbe.

app-hosting appid naziv aplikacije

Zadana naredba: Nijedna aplikacija nije konfigurirana.

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje: Argument naziva aplikacije može imati najviše 32 alfanumerička znaka.

Nakon konfiguriranja ove naredbe možete ažurirati konfiguraciju hostinga aplikacije.

Da biste nadjačali profil resursa koji pruža aplikacija, upotrijebite profil app-resoure naredba u načinu konfiguracije hostinga aplikacija. Za povratak na profil resursa specificiran u aplikaciji, upotrijebite br oblik ove naredbe.

profil app-resoure ime-profil

br profil app-resoure ime-profil

Zadana naredba: Profil resursa je konfiguriran.

Naredbeni način: Konfiguracija hostinga aplikacije (config-app-hosting)

Smjernice za korištenje: Rezervirani resursi navedeni u aplikacijskom paketu mogu se promijeniti postavljanjem prilagođenog profila resursa. Mogu se mijenjati samo resursi CPU-a, memorije i virtualnog CPU -a (vCPU). Da bi promjene resursa stupile na snagu, zaustavite i deaktivirajte aplikaciju, zatim je aktivirajte i ponovno pokrenite.

Podržan je samo prilagođeni profil.

Naredba konfigurira prilagođeni profil resursa aplikacije i ulazi u način konfiguracije prilagođenog profila resursa aplikacije.

Da biste konfigurirali pristupnik virtualnog mrežnog sučelja za aplikaciju, koristite app-vnic pristupnik naredba u načinu konfiguracije hostinga aplikacija. Za uklanjanje konfiguracije upotrijebite br oblik ove naredbe.

Ova je naredba podržana samo na platformama za usmjeravanje. Nije podržan na platformama za prebacivanje.

app-vnic pristupnik virtualportgroup broj sučelje za goste broj mrežnog sučelja

br app-vnic pristupnik virtualportgroup broj sučelje za goste broj mrežnog sučelja

Zadana naredba: Virtualni mrežni pristupnik nije konfiguriran.

Naredbeni način: Konfiguracija hostinga aplikacije (config-app-hosting)

Smjernice za korištenje: Nakon što konfigurirate pristupnik virtualnog mrežnog sučelja za aplikaciju, način naredbe mijenja se u način konfiguracija pristupnika za hosting aplikacije. U ovom načinu možete konfigurirati IP adresa sučelja za goste.

Da biste omogućili podršku za zaglavlje potvrđenog ID-a u dolaznim zahtjevima ili odgovornim porukama Protokol za pokretanje sesije (SIP) , te da biste poslali podatke o privatnosti najavljenog ID-a u odlaznim SIP zahtjevima ili odgovornim porukama, koristite tvrdi-id naredba u glasovnoj usluzi VoIP- SIP konfiguracijski način ili način konfiguracije stanara glasovne klase. Da biste onemogućili podršku za navedeno zaglavlje ID-a , upotrijebite br oblik ove naredbe.

tvrdi-id { pai| ppi } sustav

br tvrdi-id { pai| ppi } sustav

Zadana naredba: Podaci o privatnosti šalju se pomoću zaglavlja Remote-Party- ID (RPID) ili zaglavlja FROM.

Naredbeni način: Govorna usluga VoIP- SIP konfiguracija (conf-serv-sip) i konfiguracija stanara glasovne klase (config-class)

Smjernice za korištenje: Ako odaberete pai ključnu riječ ili ppi ključnu riječ, pristupnik ugrađuje PAI zaglavlje odnosno PPI zaglavlje u zajednički SIP stog. The pai ključnu riječ ili ppi ključna riječ ima prioritet nad zaglavljem Remote-Party- ID (RPID) i uklanja RPID zaglavlje iz odlazne poruke, čak i ako je usmjerivač konfiguriran da koristi RPID zaglavlje na globalnoj razini.

Da biste konfigurirali podršku za asimetrično opterećenje za Protokol za pokretanje sesije (SIP) , upotrijebite asimetrično opterećenje naredba u načinu konfiguracije SIP -a ili načinu konfiguracije stanara glasovne klase. Da biste onemogućili podršku za asimetrično opterećenje, upotrijebite br oblik ove naredbe.

asimetrično nosivost { dtmf| dinamički kodeci| puna| sustav }

br asimetrično nosivost { dtmf| dinamički kodeci| puna| sustav }

Zadana naredba: Ova naredba je onemogućena.

Naredbeni način: SIP konfiguracija glasovne usluge (conf-serv-sip), konfiguracija stanara glasovne klase (config-class)

Smjernice za korištenje: Uđite u način SIP konfiguracije iz načina konfiguracije glasovne usluge, kao što je prikazano u primjeru.

Za Cisco UBE podržan je SIP asimetrični tip tereta za audio/video kodeke, DTMF i NSE. dakle, dtmf i dinamički kodeci ključne riječi su interno mapirane na puna ključna riječ za pružanje asimetrične potpore tipa korisnog opterećenja za audio/video kodeke, DTMF i NSE.

Da biste omogućili skraćena provjera autentičnosti SIP sažetka na pojedinačnom dial peeru, upotrijebite autentifikaciju naredba u načinu konfiguracije govora ravnopravnog biranja. Da biste onemogućili provjeru autentičnosti SIP skraćena provjera autentičnosti, upotrijebite br oblik ove naredbe.

autentifikaciju korisničko ime korisničko ime lozinka { 0| 6| 7 } lozinka [ carstvo carstvo| izazov| sve ]

br autentifikaciju korisničko ime korisničko ime lozinka { 0| 6| 7 } lozinka [ carstvo carstvo| izazov| sve ]

Zadana naredba: SIP skraćena provjera autentičnosti je onemogućena.

Naredbeni način: Konfiguracija glasa ravnopravnog biranja (config-dial-peer)

Smjernice za korištenje: Sljedeća pravila konfiguracije primjenjiva su kada se omogući skraćena provjera autentičnosti:

• Samo jedno korisničko ime može se konfigurirati po peeru za biranje. Sva postojeća konfiguracija korisničkog imena mora se ukloniti prije konfiguriranja drugog korisničkog imena.

• Najviše pet lozinka ili carstvo argumenti se mogu konfigurirati za bilo koje korisničko ime.

The korisničko ime i lozinka argumenti se koriste za provjeru autentičnosti korisnika. Poslužitelj/proxy za provjeru autentičnosti koji izdaje odgovor na izazov 407/401 uključuje područje u odgovoru na izazov i korisnik daje vjerodajnice koje su važeće za to područje. Budući da se pretpostavlja da najviše pet proxy poslužitelja na signalnom putu može pokušati autentifikovati zadani zahtjev od klijenta korisničkog agenta (UAC) do poslužitelja korisničkog agenta (UAS), korisnik može konfigurirati do pet lozinki i kombinacije područja za konfigurirano korisničko ime.

Korisnik daje lozinku u običnom tekstu, ali je šifrirana i spremljena za odgovor na izazov 401. Ako lozinka nije spremljena u šifriranom obliku, šalje se neželjena lozinka i provjera autentičnosti ne uspijeva.

• Specifikacija područja nije obavezna. Ako se izostavi, lozinka konfigurirana za to korisničko ime primjenjuje se na sva područja koja pokušavaju provjeru autentičnosti.

• Samo jedna lozinka može se konfigurirati odjednom za sva konfigurirana područja. Ako je konfigurirana nova lozinka, ona prepisuje svaku prethodno konfiguriranu lozinku.

To znači da se može konfigurirati samo jedna globalna lozinka (jedna bez specificiranog područja). Ako konfigurirate novu lozinku bez konfiguriranja odgovarajućeg područja, nova lozinka prepisuje prethodnu.

• Ako je područje konfigurirano za prethodno konfigurirano korisničko ime i lozinku, ta se specifikacija područja dodaje toj postojećoj konfiguraciji korisničkog imena i lozinke. Međutim, kada se područje doda konfiguraciji korisničkog imena i lozinke, ta kombinacija korisničkog imena i lozinke vrijedi samo za to područje. Konfigurirano područje ne može se ukloniti iz konfiguracije korisničkog imena i lozinke bez prethodnog uklanjanja cijele konfiguracije za to korisničko ime i zaporku - zatim možete ponovno konfigurirati tu kombinaciju korisničkog imena i lozinke sa ili bez drugog područja.

• U unosu s lozinkom i područjem možete promijeniti ili lozinku ili područje.

• Koristite nema provjere autentičnosti sve naredba za uklanjanje svih unosa za provjeru autentičnosti za korisnika.

Obavezno je navesti vrstu šifriranja za lozinku. Ako je lozinka za jasan tekst (upišite 0 ) je konfiguriran, šifriran je kao tip 6 prije spremanja u konfiguraciju koja radi.

Ako navedete vrstu šifriranja kao 6 ili 7 , unesena lozinka se provjerava u odnosu na važeći tip 6 ili 7 format lozinke i spremljen kao tip 6 ili 7 odnosno.

Lozinke tipa 6 šifrirane su pomoću AES šifre i korisnički definiranog primarnog ključa. Ove lozinke su relativno sigurnije. Primarni ključ se nikada ne prikazuje u konfiguraciji. Bez znanja o primarnom ključu, upišite 6 lozinke su neupotrebljive. Ako se primarni ključ promijeni, lozinka koja je spremljena kao tip 6 ponovno se šifrira novim primarnim ključem. Ako se konfiguracija primarnog ključa ukloni, tip 6 lozinke se ne mogu dešifrirati, što može rezultirati neuspjehom provjere autentičnosti za pozive i registracije.

Prilikom sigurnosne kopije konfiguracije ili migracije konfiguracije na drugi uređaj, primarni ključ se ne izbacuje. Stoga se primarni ključ mora ponovno konfigurirati ručno.

Da biste konfigurirali šifrirani unaprijed dijeljeni ključ, pogledajte Konfiguriranje šifriranog prethodno dijeljenog ključa .

Sljedeća poruka upozorenja prikazuje se kod vrste šifriranja 7 je konfiguriran. Upozorenje: Naredba je dodana u konfiguraciju pomoću lozinke tipa 7. Međutim, lozinke tipa 7 uskoro će biti zastarjele. Migrirajte na podržanu vrstu lozinke 6.

Da biste povezali izvornu adresu za signalizaciju i medijske pakete na IPv4 ili IPv6 adresa određenog sučelja, koristite vezati naredba u načinu SIP konfiguracije. Da biste onemogućili uvezivanje, koristite br oblik ove naredbe.

vezati { kontrolu| medija| sve } izvorno sučelje sučelje-id { ipv4-adresa ipv4-adresa| ipv6-adresa ipv6-adresa }

br vezati { kontrolu| medija| sve } izvorno sučelje sučelje-id { ipv4-adresa ipv4-adresa| ipv6-adresa ipv6-adresa }

Zadana naredba: Vezivanje je onemogućeno.

Naredbeni način: SIP konfiguracija (conf-serv-sip) i stanar glasovne klase.

Smjernice za korištenje: Async, Ethernet, FastEthernet, Loopback i Serial (uključujući Frame Relay) sučelja su unutar SIP aplikacije.

Ako je vezati naredba nije omogućena, sloj IPv4 i dalje pruža najbolju lokalnu adresu.

Da biste omogućili osnovne konfiguracije za Call-Home, koristite izvještavanje po pozivu kući naredba u načinu globalne konfiguracije.

izvještavanje po pozivu kući { anonimni| kontakt-e-mail-addr } [ http-proxy { ipv4-adresa| ipv6-adresa| ime } luka port-broj ]

Zadana naredba: Nema zadanog ponašanja ili vrijednosti

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje: Nakon uspješnog omogućavanja Call-Home bilo u anonimnom ili potpunom načinu registracije pomoću izvještavanje po pozivu kući naredbom, šalje se poruka o inventaru. Ako je Call-Home omogućen u načinu pune registracije, šalje se poruka o punom inventaru za način pune registracije. Ako je Call-Home omogućen u anonimnom načinu rada, šalje se anonimna poruka inventara. Za više informacija o pojedinostima poruke, pogledajte Događaji i naredbe pokretača grupe upozorenja .

Da biste omogućili podršku za Cisco Unified SRST i ušli u način konfiguracije zamjenskog upravitelja poziva, upotrijebite call-manager-fallback naredba u načinu globalne konfiguracije. Da biste onemogućili podršku za Cisco Unified SRST , upotrijebite br oblik ove naredbe.

call-manager-fallback

br call-manager-fallback

Ova naredba nema argumente ili ključne riječi.

Zadana naredba: Nema zadanog ponašanja ili vrijednosti.

Naredbeni način: Globalna konfiguracija

Da biste omogućili poslužiteljsku, klijentsku ili dvosmjernu provjeru identiteta istovrsnog certifikata tijekom TLS rukovanja, upotrijebite naredbu cn-san potvrditi u načinu konfiguracije tls profila glasovne klase. Da biste onemogućili provjeru identiteta certifikata, koristite br oblik ove naredbe.

cn-san potvrditi { poslužitelju| klijenta| dvosmjerna }

br cn-san potvrditi { poslužitelju| klijenta| dvosmjerna }

Zadana naredba: Provjera identiteta je onemogućena.

Naredbeni način: Konfiguracija glasovne klase (config-class)

Smjernice za korištenje: Provjera identiteta poslužitelja povezana je sa sigurnom signalnom vezom putem globalne mreže kripto signalizacija i glasovna klasa tls-profil konfiguracije.

Naredba je poboljšana tako da uključuje klijenta i dvosmjerna ključne riječi. Opcija klijenta omogućuje poslužitelju provjeru identiteta klijenta provjeravanjem CN i SAN imena hosta uključenih u dani certifikat u odnosu na pouzdani popis cn-san FQDN-ova. Veza će se uspostaviti samo ako se pronađe podudaranje. Ovaj popis cn-san FQDN-ova također se sada koristi za provjeru valjanosti certifikat poslužitelja, uz ime organizatora cilja sesije. The dvosmjerna opcija potvrđuje istovrsni identitet za klijentske i poslužiteljske veze kombinirajući oboje poslužitelju i klijenta načina rada. Nakon što konfigurirate cn-san potvrditi , identitet jednakopravnog certifikata provjerava se za svaku novu TLS vezu.

Da biste konfigurirali popis potpuno kvalificiranog naziva domene (FQDN) za provjeru valjanosti u odnosu na certifikat ravnopravnog korisnika za ulazne ili odlazne TLS veze, koristite cn-san naredba u načinu konfiguracije tls profila glasovne klase. Za brisanje unosa za provjeru valjanosti cn-san certifikata, koristite br oblik ove naredbe.

cn-san{1-10}fqdn

br cn-san{1-10}fqdn

Zadana naredba: Nijedan naziv cn-san nije konfiguriran.

Naredbeni način: Način konfiguracije tls profila glasovne klase (klasa config)

Smjernice za korištenje: FQDN koji se koristi za provjeru valjanosti certifikata ravnopravnih dodijeljen je TLS profilu s najviše deset cn-san unose. Najmanje jedan od ovih unosa mora biti uparen s FQDN-om u bilo kojem od polja certifikata Common Name (CN) ili Subject-Alternate-Name (SAN) prije nego se uspostavi TLS veza. Za podudaranje s bilo kojim hostom domene koji se koristi u polju CN ili SAN, a cn-san unos može biti konfiguriran zamjenskim znakom domene, strogo u obliku *.ime-domene (npr. *.cisco.com). Nikakva druga upotreba zamjenskih znakova nije dopuštena.

Za ulazne veze, popis se koristi za provjeru valjanosti CN i SAN polja u certifikat klijenta. Za izlazne veze, popis se koristi zajedno s imenom hosta cilja sesije za provjeru valjanosti CN i SAN polja u certifikat poslužitelja.

Certifikati poslužitelja također se mogu provjeriti usklađivanjem FQDN cilja SIP sesije s CN ili SAN poljem.

Za određivanje popisa preferiranih kodeka za korištenje na ravnom uređaju za biranje, upotrijebite kodek preferencija naredba u načinu konfiguracije glasovne klase. Da biste onemogućili ovu funkciju, koristite br oblik ove naredbe.

kodek preferencija vrijednost kodeka tipa

br kodek preferencija vrijednost kodeka tipa

Zadana naredba: Ako se ova naredba ne unese, nikakvi specifični tipovi kodeka nisu identificirani s preferencijom.

Naredbeni način: konfiguracija glasovne klase (config-class)

Smjernice za korištenje: Usmjerivači na suprotnim krajevima WAN-a možda će morati pregovarati o odabiru kodeka za mrežne dial peers. The kodek preferencija naredba specificira redoslijed preferencije za odabir dogovorenog kodeka za vezu. Tablica u nastavku opisuje opcije govornog opterećenja i zadane vrijednosti za kodeke i paketne glasovne protokole.

Za korištenje globalnog porta slušatelja za slanje zahtjeva putem UDP-a, upotrijebite povezivanje-ponovna upotreba naredba u načinu sip-ua ili načinu konfiguracije stanara glasovne klase. Da biste onemogućili, koristite br oblik ove naredbe.

povezivanje-ponovna upotreba { preko luke| sustav }

br povezivanje-ponovna upotreba { preko luke| sustav }

Zadana naredba: Lokalni pristupnik koristi efemerni UDP port za slanje zahtjeva putem UDP-a.

Načini naredbi: SIP UA konfiguracija (config-sip-ua), konfiguracija stanara glasovne klase (config-class)

Smjernice za korištenje: Izvršavanje ove naredbe omogućuje korištenje porta slušatelja za slanje zahtjeva putem UDP-a. Zadani port slušatelja za obični nesiguran SIP je 5060, a sigurni SIP je 5061. Konfigurirajte port za slušanje [nije siguran| siguran] luka naredba u glasovnoj usluzi voip > sip konfiguracijski način za promjenu globalnog UDP porta.

Za promjenu CPU kvote ili jedinice dodijeljene aplikaciji, koristite cpu naredba u prilagođenom načinu konfiguracije profila resursa aplikacije. Da biste se vratili na CPU kvotu koju daje aplikacija, upotrijebite br oblik ove naredbe.

cpu jedinica

br cpu jedinica

Zadana naredba: Zadani CPU ovisi o platformi.

Naredbeni način: Prilagođena konfiguracija profila resursa aplikacije (config-app-resource-profile-custom)

Smjernice za korištenje: CPU jedinica je minimalna alokacija CPU -a od strane aplikacije. Ukupni CPU jedinice temelji se na normaliziranim CPU jedinicama izmjerenim za ciljni uređaj.

Unutar svakog paketa aplikacije osiguran je profil resursa specifičan za aplikaciju koji definira preporučeno opterećenje CPU -a, veličinu memorije i broj virtualnih CPU-a (vCPU-ova) potrebnih za aplikaciju. Koristite ovu naredbu za promjenu dodjele resursa za određene procese u prilagođenom profilu resursa.

Rezervirani resursi navedeni u aplikacijskom paketu mogu se promijeniti postavljanjem prilagođenog profila resursa. Mogu se mijenjati samo resursi CPU-a, memorije i vCPU-a. Da bi promjene resursa stupile na snagu, zaustavite i deaktivirajte aplikaciju, zatim je aktivirajte i ponovno pokrenite.

Vrijednosti resursa su specifične za aplikaciju i svaka prilagodba tih vrijednosti mora osigurati da aplikacija može pouzdano raditi s promjenama.

Za konfiguriranje pristupnika s vremenskim multipleksiranjem (TDM) protokola Cisco IOS Protokol za pokretanje sesije (SIP) , Cisco Unified Border Element (Cisco UBE) ili Cisco Unified Communications Manager Express (Cisco Unified CME) za slanje SIP registracijske poruke kada ste u UP stanje, koristite vjerodajnice naredba u načinu konfiguracije SIP UA ili načinu konfiguracije stanara glasovne klase. Da biste onemogućili vjerodajnice za SIP sažetak, upotrijebite br oblik ove naredbe.

vjerodajnice { dhcp| broj broj korisničko ime korisničko ime } lozinka { 0| 6| 7 } lozinka carstvo carstvo

br vjerodajnice { dhcp| broj broj korisničko ime korisničko ime } lozinka { 0| 6| 7 } lozinka carstvo carstvo

Zadana naredba: SIP vjerodajnice sažetka su onemogućene.

Naredbeni način: Konfiguracija SIP UA (config-sip-ua) i konfiguracija stanara glasovne klase (config-class).

Smjernice za korištenje: Sljedeća pravila konfiguracije primjenjiva su kada su vjerodajnice omogućene:

• Samo jedna lozinka vrijedi za sve nazive domena. Nova konfigurirana lozinka prepisuje svaku prethodno konfiguriranu lozinku.

• Lozinka će uvijek biti prikazana u šifriranom formatu kada se vjerodajnice naredba je konfigurirana i pokazati run-config koristi se naredba.

The dhcp ključna riječ u naredbi označava da se primarni broj dobiva putem DHCP -a i da Cisco IOS SIP TDM pristupnik, Cisco UBE ili Cisco Unified CME na kojem je naredba omogućena koristi ovaj broj za registraciju ili odjavu primljenog primarnog broja.

Obavezno je navesti vrstu šifriranja za lozinku. Ako je lozinka za jasan tekst (upišite 0 ) je konfiguriran, šifriran je kao tip 6 prije spremanja u konfiguraciju koja radi.

Ako navedete vrstu šifriranja kao 6 ili 7 , unesena lozinka se provjerava u odnosu na važeći tip 6 ili 7 format lozinke i spremljen kao tip 6 ili 7 odnosno.

Lozinke tipa 6 šifrirane su pomoću AES šifre i korisnički definiranog primarnog ključa. Ove lozinke su relativno sigurnije. Primarni ključ se nikada ne prikazuje u konfiguraciji. Bez znanja o primarnom ključu, upišite 6 lozinke su neupotrebljive. Ako se primarni ključ promijeni, lozinka koja je spremljena kao tip 6 ponovno se šifrira novim primarnim ključem. Ako se konfiguracija primarnog ključa ukloni, tip 6 lozinke se ne mogu dešifrirati, što može rezultirati neuspjehom provjere autentičnosti za pozive i registracije.

Prilikom sigurnosne kopije konfiguracije ili migracije konfiguracije na drugi uređaj, primarni ključ se ne izbacuje. Stoga se primarni ključ mora ponovno konfigurirati ručno.

Da biste konfigurirali šifrirani unaprijed dijeljeni ključ, pogledajte Konfiguriranje šifriranog prethodno dijeljenog ključa .

Upozorenje: Naredba je dodana u konfiguraciju pomoću lozinke tipa 7. Međutim, lozinke tipa 7 uskoro će biti zastarjele. Migrirajte na podržanu vrstu lozinke 6.

U YANG-u ne možete konfigurirati isto korisničko ime u dva različita područja.

Da biste odredili preferenciju za SRTP paket šifriranja koji će ponuditi Cisco Unified Border Element (CUBE) u SDP-u u ponudi i odgovoru, koristite kripto naredba u načinu konfiguracije glasovne klase. Da biste onemogućili ovu funkciju, koristite br oblik ove naredbe.

kripto preferencija šifrirani paket

br kripto preferencija šifrirani paket

Zadana naredba: Ako ova naredba nije konfigurirana, zadano ponašanje je ponuditi pakete srtp-šifara u sljedećem redoslijedu preferencija:

• AEAD_ AES_ 256_ GCM

• AEAD_ AES_ 128_ GCM

• AES_CM_128_HMAC_SHA1_80

• AES_ CM_ 128_ HMAC_ SHA1_ 32

Naredbeni način: glasovna klasa srtp-crypto (config-class)

Smjernice za korištenje: Ako promijenite preferenciju već konfiguriranog paketa šifriranja, preferencija se prepisuje.

Za generiranje parova ključeva Rivest, Shamir i Adelman (RSA), upotrijebite kripto ključ generira RSA naredba u načinu globalne konfiguracije.

kripto ključ generira RSA [ { opći-ključevi| ključevi za korištenje| potpis| šifriranje } ] [ etiketa naljepnica za ključeve ] [ izvozivi ] [ modula veličina modula ] [ skladištenje naziv uređaja : ] [ redundancija na naziv uređaja : ]

Zadana naredba: RSA parovi ključeva ne postoje.

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje: Koristite kripto ključ generira RSA naredba za generiranje RSA parova ključeva za vaš Cisco uređaj (kao što je usmjerivač).

RSA ključevi se generiraju u parovima - jedan javni RSA ključ i jedan privatni RSA ključ.

Ako vaš usmjerivač već ima RSA ključeve kada izdate ovu naredbu, bit ćete upozoreni i zatražiti da zamijenite postojeće ključeve novim ključevima.

The kripto ključ generira RSA naredba nije spremljena u konfiguraciji usmjerivača; međutim, RSA ključevi generirani ovom naredbom spremaju se u privatnu konfiguraciju u NVRAM (koja se nikada ne prikazuje korisniku niti se sigurnosno kopira na drugi uređaj) sljedeći put kada se konfiguracija zapiše u NVRAM.

• Ključevi za posebnu upotrebu : Ako generirate ključeve za posebnu upotrebu, generirat će se dva para RSA ključeva. Jedan par će se koristiti s bilo kojom politikom razmjene internetskih ključeva (IKE) koja navodi RSA potpise kao metodu provjere autentičnosti, a drugi par će se koristiti s bilo kojom IKE politikom koja navodi RSA šifrirane ključeve kao metodu provjere autentičnosti.

  CA se koristi samo s IKE politikama koje specificiraju RSA potpise, a ne s IKE politikama koje specificiraju RSA šifrirane nonces. (Međutim, možete navesti više od jedne IKE politike i imati RSA potpise navedene u jednoj politici i RSA šifrirane nonces u drugoj politici.)

  Ako planirate imati obje vrste RSA metoda provjere autentičnosti u svojim IKE politikama, možda ćete radije generirati ključeve posebne upotrebe. S tipkama za posebnu upotrebu, svaki ključ nije nepotrebno izložen. (Bez ključeva posebne upotrebe, jedan ključ se koristi za obje metode provjere autentičnosti, povećavajući izloženost tog ključa).

• Ključevi opće namjene : Ako generirate ključeve opće namjene, generirat će se samo jedan par RSA ključeva. Ovaj par će se koristiti s IKE politikama koje navode ili RSA potpise ili RSA šifrirane ključeve. Stoga bi se par ključeva opće namjene mogao koristiti češće od para ključeva posebne namjene.

• Imenovani parovi ključeva : Ako generirate imenovani par ključeva koristeći argument ključ-oznaka, također morate navesti ključevi za korištenje ključnu riječ ili opći-ključevi ključna riječ. Imenovani parovi ključeva omogućuju vam da imate više parova RSA ključeva, omogućujući softveru Cisco IOS da održava drugačiji par ključeva za svaki certifikat identiteta.

• Duljina modula : Kada generirate RSA ključeve, od vas će se tražiti da unesete duljinu modula. Što je modul duži, to je jača sigurnost. Međutim, duljim modulima potrebno je više vremena za generiranje (pogledajte donju tablicu za vrijeme uzorka) i dulje za korištenje.

  Tablica 2 Vrijeme uzorkovanja prema duljini modula za generiranje RSA ključeva

  Usmjerivač	360 bita	512 bita	1024 bita	2048 bita (maksimalno)
  Cisco 2500	11 sekundi	20 s	4 minute, 38 sekundi	Više od 1 sata
  Cisco 4700	Manje od 1 sekunde	1 s	4 sekunde	50 sekundi

  Cisco IOS softver ne podržava modul veći od 4096 bita. Duljina manja od 512 bita se obično ne preporučuje. U određenim situacijama, kraći modul možda neće ispravno funkcionirati s IKE-om, stoga preporučujemo korištenje minimalnog modula od 2048 bita.

  Dodatna ograničenja mogu se primijeniti kada RSA ključeve generira kriptografski hardver. Na primjer, kada RSA ključeve generira Cisco VPN Services Port Adapter (VSPA), modul RSA ključa mora biti najmanje 384 bita i mora biti višekratnik od 64.

• Određivanje mjesta pohrane za RSA ključeve: Kada izdate kripto ključ generira RSA zapovijed sa skladištenje naziv uređaja : ključnu riječ i argument, RSA ključevi će biti pohranjeni na navedenom uređaju. Ova lokacija će zamijeniti bilo koju pohrana kripto ključeva postavke naredbi.

• Određivanje uređaja za generiranje RSA ključeva : Možete odrediti uređaj na kojem se generiraju RSA ključevi. Podržani uređaji uključuju NVRAM, lokalne diskove i USB tokene. Ako vaš usmjerivač ima konfiguriran i dostupan USB token, USB token se može koristiti kao kriptografski uređaj uz uređaj za pohranu. Korištenje USB tokena kao kriptografskog uređaja omogućuje izvođenje RSA operacija kao što su generiranje ključeva, potpisivanje i provjera vjerodajnica na tokenu. Privatni ključ nikada ne napušta USB token i nije ga moguće izvesti. Javni ključ se može izvesti.

  RSA ključevi mogu se generirati na konfiguriranom i dostupnom USB tokenu, korištenjem na naziv uređaja : ključna riječ i argument. Ključevi koji se nalaze na USB tokenu spremaju se u trajnu pohranu tokena kada se generiraju. Broj ključeva koji se mogu generirati na USB tokenu ograničen je raspoloživim prostorom. Ako pokušate generirati ključeve na USB tokenu i on je pun, dobit ćete sljedeću poruku:

  % Error in generating keys:no available resources 

  Brisanje ključa odmah će ukloniti ključeve pohranjene na tokenu iz trajne pohrane. (Ključevi koji se ne nalaze na tokenu spremaju se ili brišu s mjesta za pohranu netokena kada kopirati ili se izda slična naredba).

• Određivanje generiranja redundancije RSA ključa na uređaju : Možete odrediti redundantnost za postojeće ključeve samo ako se mogu izvesti.

Za provjeru autentičnosti certifikacijskog tijela (CA) (dobivanjem certifikata CA), upotrijebite kripto pki ovjeriti naredba u načinu globalne konfiguracije.

kripto pki ovjeriti ime

Zadana naredba: Nema zadanog ponašanja ili vrijednosti.

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje: Ova naredba je potrebna kada početno konfigurirate CA podršku na svom usmjerivaču.

Ova naredba provjerava autentičnost CA na vašem usmjerivaču dobivanjem certifikat sa samopotpisivanjem CA koji sadrži javni ključ CA. Budući da CA potpisuje vlastiti certifikat, trebali biste ručno provjeriti autentičnost javnog ključa CA tako da kontaktirate CA administratora kada unesete ovu naredbu.

Ako koristite način rada s oglasima usmjerivača (RA) (pomoću upis naredba) kada izdate kripto pki ovjeriti naredba, tada će se certifikati za potpisivanje i šifriranje autoriteta za registraciju vratiti od CA i CA certifikat.

Ova naredba nije spremljena u konfiguraciju usmjerivača. Međutim. javni ključevi ugrađeni u primljene CA (i RA) certifikate spremaju se u konfiguraciju kao dio zapisa javnog ključa Rivest, Shamir i Adelman (RSA) (koji se naziva “RSA lanac javnih ključeva”).

Ako CA ne odgovori nakon isteka vremena nakon izdavanja ove naredbe, kontrola terminala će se vratiti tako da ostaje dostupna. Ako se to dogodi, morate ponovno unijeti naredbu. Cisco IOS softver neće prepoznati datume isteka CA certifikat postavljene nakon 2049. godine. Ako je razdoblje valjanosti CA certifikat postavljeno da istječe nakon 2049. godine, prikazat će se sljedeća poruka o pogrešci o pogrešci kada se pokuša provjera autentičnosti s CA poslužiteljem: error dohvaćanje certifikata :nepotpuni lanac Ako primite poruku o poruka o pogrešci sličnu ovoj, provjerite datum isteka vašeg CA certifikat. Ako je datum isteka vašeg CA certifikat postavljen nakon 2049. godine, morate smanjiti datum isteka za godinu ili više.

Da biste uvezli certifikat ručno putem TFTP -a ili kao izrezivanje i lijepljenje na terminalu, upotrijebite kripto pki uvoziti naredba u načinu globalne konfiguracije.

kripto pki uvoziti ime certifikat

Zadana naredba: Nema zadanog ponašanja ili vrijednosti

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje: Morate unijeti kripto pki uvoz naredba dvaput ako se koriste ključevi za korištenje (ključevi za potpis i šifriranje). Prvi put kada se naredba unese, jedan od certifikata se zalijepi u usmjerivač; drugi put kada se naredba unese, drugi certifikat se zalijepi u usmjerivač. (Nije važno koji je certifikat prvi zalijepljen.)

Da biste deklarirali točku povjerenja koju bi vaš usmjerivač trebao koristiti, upotrijebite kripto pki punkt povjerenja naredba u načinu globalne konfiguracije. Za brisanje svih podataka o identitetu i certifikata povezanih s točkom povjerenja, koristite br oblik ove naredbe.

kripto pki punkt povjerenja ime redundancija

br kripto pki punkt povjerenja ime redundancija

Zadana naredba: Vaš usmjerivač ne prepoznaje nikakve točke povjerenja dok ne deklarirate točku povjerenja pomoću ove naredbe. Vaš usmjerivač koristi jedinstvene identifikatore tijekom komunikacije s poslužiteljima Online Certificate Status Protocol (OCSP), kako je konfigurirano u vašoj mreži.

Naredbeni način: Globalna konfiguracija (konfiguracija)

Smjernice za korištenje:

Deklariranje točaka povjerenja

Koristite kripto pki punkt povjerenja naredba za deklariranje točke povjerenja, koja može biti samopotpisani korijenski certifikat organ (CA) ili podređeni CA. Izdavanje kripto pki punkt povjerenja naredba vas stavlja u način konfiguracije ca-trustpoint.

Možete odrediti karakteristike za točku povjerenja pomoću sljedećih podnaredbi:

• crl —Upituje popis opoziva certifikata (CRL) kako bi osigurao da potvrda ravnopravnog korisnika nije opozvana.

• zadano (ca-povjerenje) —Resetira vrijednost podnaredbi načina konfiguracije ca-trustpoint na njihove zadane vrijednosti.

• upis —Određuje parametre upisa (izborno).

• upis http-proxy —Pristupa CA putem HTTP-a preko proxy poslužitelj.

• upis samopotpisan —Određuje samopotpisanu upis (izborno).

• podudarati certifikat —Pridružuje popis kontrole pristupa koji se temelji na certifikatima (ACL) definiran s kripto ca certifikat karta zapovijedati.

• ocsp onemogući-jednokratno —Određuje da vaš usmjerivač neće slati jedinstvene identifikatore ili nonces tijekom OCSP komunikacije.

• primarni —Dodjeljuje navedenu točku povjerenja kao primarnu točku povjerenja usmjerivača.

• korijen —Definira TFTP za dobivanje CA certifikat i navodi i naziv za poslužitelj i naziv za datoteku koja će pohraniti CA certifikat.

Određivanje upotrebe jedinstvenih identifikatora

Kada koristite OCSP kao svoju metodu opoziva, jedinstveni identifikatori ili nonces šalju se prema zadanim postavkama tijekom komunikacije ravnopravnih korisnika s OCSP poslužiteljem. Korištenje jedinstvenih identifikatora tijekom komunikacije OCSP poslužitelja omogućuje sigurniju i pouzdaniju komunikaciju. Međutim, ne podržavaju svi OCSP poslužitelji korištenje jedinstvenih proteza, za više informacija pogledajte svoj OCSP priručnik. Da biste onemogućili upotrebu jedinstvenih identifikatora tijekom OCSP komunikacija, upotrijebite ocsp onemogući-jednokratno podnaredba.

Za ručni uvoz (preuzimanje) paketa certifikata certifikacijskog tijela (CA) u skup povjerenja infrastrukture javnih ključeva (PKI) radi ažuriranja ili zamjene postojećeg CA paketa, koristite crypto pki trustpool uvoz naredba u načinu globalne konfiguracije. Da biste uklonili bilo koji od konfiguriranih parametara, koristite br oblik ove naredbe.

kripto pki fond povjerenja uvoziti čista [ terminala| url url ]

br kripto pki fond povjerenja uvoziti čista [ terminala| url url ]

Zadana naredba: Značajka PKI trustpool je omogućena. Usmjerivač koristi ugrađeni paket CA certifikat u PKI trustpoolu, koji se automatski ažurira iz Cisco.

Naredbeni način: Globalna konfiguracija (konfiguracija)

Sigurnosne prijetnje, kao i kriptografske tehnologije koje pomažu u zaštiti od njih, neprestano se mijenjaju. Za više informacija o najnovijim Cisco kriptografskim preporukama pogledajte Enkripcija sljedeće generacije (NGE) bijeli papir.

PKI certifikati povjereništva automatski se ažuriraju iz Cisco-a. Kada certifikati PKI fonda povjerenja nisu aktualni, upotrijebite crypto pki trustpool uvoz naredba za njihovo ažuriranje s drugog mjesta.

The url argument specificira ili mijenja URL datotečni sustav CA. Tablica u nastavku navodi dostupne URL datotečne sustave.

Tablica 3. URL datotečni sustavi

Sustav datoteka	Opis
arhiva:	Uvozi iz datotečnog sustava arhive.
cns:	Uvozi iz datotečnog sustava Cluster Namespace (CNS).
disk0:	Uvozi iz datotečnog sustava disk0.
disk1:	Uvozi iz datotečnog sustava disk1.
ftp:	Uvozi iz FTP datotečnog sustava.
http:	Uvozi iz HTTP datotečnog sustava. URL mora biti u sljedećim formatima: http:// CANaziv:80 , gdje CAname je sustav naziva domene (DNS) http:// ipv4-adresa :80. Na primjer: http://10.10.10.1:80. http:// [ipv6-adresa]:80 . Na primjer: http://[2001:DB8:1:1::1]:80. IPv6 adresa je u heksadecimalnom zapisu i mora biti zatvorena u zagradama u URL-u.
https:	Uvozi iz HTTPS datotečnog sustava. URL mora koristiti iste formate kao i HTTP: formati datotečnog sustava.
null:	Uvozi iz nultog datotečnog sustava.
nvram:	Uvozi iz NVRAM datotečnog sustava.
kolica:	Uvozi iz datotečnog sustava parametarske memorije s slučajnim pristupom (PRAM).
rcp:	Uvozi iz datotečnog sustava protokola udaljenog kopiranja (rcp).
scp:	Uvozi iz datotečnog sustava zaštićenog protokola kopiranja (scp).
snmp:	Uvozi iz jednostavnog protokola za upravljanje mrežom (SNMP).
sustav:	Uvozi iz datotečnog sustava sustava.
katran:	Uvozi iz UNIX tar datoteka .
tftp:	Uvozi iz TFTP datotečnog sustava.   URL mora biti u od: tftp:// CAname/specifikacija datoteke .
tmpsys:	Uvozi iz datotečnog sustava Cisco IOS tmpsys.
unix:	Uvozi iz UNIX datotečnog sustava.
xmodem:	Uvozi iz jednostavnog sustava protokola za prijenos prijenos datoteke xmodem.
ymodem:	Uvozi iz sustava protokola jednostavnog prijenos datoteke ymodem.

Za identificiranje punkt povjerenja naziv točke povjerenja ključna riječ i argument korišteni tijekom rukovanja Transport Layer Security (TLS) koji odgovara adresi udaljeni uređaj , upotrijebite kripto signalizacija naredba u načinu konfiguracije Agent korisnika SIP-a (UA). Za vraćanje na zadano punkt povjerenja niz, koristite br oblik ove naredbe.

kripto signalizacija { zadano| daljinski-addr ip-adresa podmrežna maska } [ tls-profil oznaka| punkt povjerenja naziv točke povjerenja ] [ cn-san-potvrđivanje poslužitelju ] [ klijent-vtp naziv točke povjerenja ] [ ecdsa-šifra| veličina krivulje 384| stroga-šifra ]

br kripto signalizacija { zadano| daljinski-addr ip-adresa podmrežna maska } [ tls-profil oznaka| punkt povjerenja naziv točke povjerenja ] [ cn-san-potvrđivanje poslužitelju ] [ klijent-vtp naziv točke povjerenja ] [ ecdsa-šifra| veličina krivulje 384| stroga-šifra ]

Zadana naredba: Naredba kripto signalizacije je onemogućena.

Naredbeni način: SIP UA konfiguracija (sip-ua)

Smjernice za korištenje: The punkt povjerenja naziv točke povjerenja ključna riječ i argument odnose se na CUBE certifikat generiran kao dio procesa upisa korištenjem Cisco IOS PKI naredbi.

Kada se konfigurira jedan certifikat, koriste ga svi udaljeni uređaji i konfigurira ga zadano ključna riječ.

Kada se koristi više certifikata, oni mogu biti povezani s udaljenim uslugama pomoću daljinski-addr argument za svaku točku povjerenja. The daljinski-addr i zadani argumenti mogu se koristiti zajedno za pokrivanje svih usluga prema potrebi.

Zadani paket šifriranja u ovom slučaju je sljedeći skup koji podržava SSL sloj na CUBE: TLS_ RSA_ SA_ RC4_ 128_ MD5 TLS_ RSA_ SA_ AES_ 128_ CBC_ SHA TLS_ DHE_ RSA_ SA_ AES_ 128_ CBC_ SHA1 TLS_ECDHE_RSA_I_AES_128_GCM_SHA256 TLS_ ECDHE_ RSA_ SA_ AES_ 256_ GCM_ SHA384 TLS_ECDHE_ECDSA_I_AES_128_GCM_SHA256 TLS_ ECDHE_ ECDSA_ SA_ AES_ 256_ GCM_ SHA384

Ključna riječ cn-san-validate poslužitelju omogućuje provjeru identiteta poslužitelja kroz CN i SAN polja u certifikatu prilikom uspostavljanja SIP/ TLS veza na strani klijenta. Validacija CN i SAN polja certifikat poslužitelja osigurava da je domena na strani poslužitelja valjan entitet. Prilikom stvaranja sigurna veza sa SIP poslužiteljem, CUBE provjerava konfigurirano ime ciljne naziv domene sesije prema CN/SAN poljima u certifikatu poslužitelja prije uspostavljanja TLS sesije. Nakon što konfigurirate cn-san-validate poslužitelju , provjera identiteta poslužitelja događa se za svaku novu TLS vezu.

The tls-profil opcija povezuje konfiguracije TLS politike napravljene putem pridruženog glasovna klasa tls-profil konfiguraciju. Uz opcije TLS politike dostupne izravno s kripto signalizacija zapovijed, a tls-profil također uključuje sni poslati opcija.

sni poslati omogućuje indikaciju imena poslužitelja (SNI), TLS proširenje koje omogućuje TLS klijentu da naznači ime poslužitelja s kojim se pokušava spojiti tijekom početnog procesa TLS rukovanja. Samo potpuno kvalificirano DNS ime poslužitelja šalje se u klijentu hello. SNI ne podržava IPv4 i IPv6 adrese u proširenju hello klijenta. Nakon što od TLS klijenta primi "zdravo" s naziv poslužitelja , poslužitelj koristi odgovarajući certifikat u naknadnom procesu TLS rukovanja. SNI zahtijeva TLS verziju 1.2.

Značajke TLS pravila bit će dostupne samo putem a glasovna klasa tls-profil konfiguraciju. The kripto signalizacija naredba nastavlja podržavati prethodno postojeće TLS kripto opcije. Možete koristiti bilo glasovna klasa tls-profil oznaka ili kripto signalizacija naredba za konfiguriranje točke povjerenja. Preporučujemo da koristite glasovna klasa tls-profil oznaka naredba za izvođenje konfiguracija TLS profila.