- Kezdőlap
- /
- Cikk
Köszönjük visszajelzését.
Ebben a cikkben
Visszajelzés?Az egyéni eszköztanúsítványt (CDC) manuálisan vagy automatikusan telepítheti. Bizonyos környezetek esetén használhatja a DHCP 43. opciót a tanúsítvány telepítéséhez szükséges SCEP paraméterek megadásához. Ez a súgócikk a Cisco BroadWorks szolgáltatásban regisztrált Cisco asztali telefonra és 8875 Cisco asztali telefonra vonatkozik.
Egyéni eszköztanúsítvány telepítése
Egyéni eszköztanúsítvány (CDC) telepítéséhez a telefonra az alábbi módszerek valamelyikét használja a helyzetétől függően:
A legutóbb telepített tanúsítvány a telefonon lép hatályba.
- Kézi telepítés — a tanúsítványt úgy telepítheti, hogy feltölti azt a telefon adminisztrációs weboldaláról. További részletekért lásd: Egyéni eszköztanúsí tvány kézi telepítése feltöltés útján.
- Automatikus telepítés — a Simple Certificate Enrollment Protocol (SCEP) paramétereit úgy konfigurálhatja, hogy automatikus tanúsítvány telepítését indítsa el. A telefon SCEP kéréseket küld egy SCEP kiszolgálónak a tanúsítvány telepítéséhez.
Az SCEP paraméterek konfigurálhatók a telefon adminisztrációs weboldalán, a telefon konfigurációs fájlján (cfg.xml) vagy a Control Hubon keresztül. További részletekért lásd: Egyéni eszköztanúsítvány automatikus telepítése az SCEP által, valamint a Vezérlőközpont telefonbeállításainak paraméterei című témakörben.
- DHCP opció 43 — Bizonyos környezetben a 43-as DHCP opció használatával telepíthet tanúsítványt. A 43-as opció megadhatja az SCEP paramétereket a tanúsítvány telepítéséhez. Részletekért lásd: SCEP paraméterek konfigurálása a DHCP 43 opcióval.
-
Ha az SCEP paraméterek biztosításához a DHCP 43 opciót használja, a telefon a 15-ös DHCP opcióból is letöltheti a tartománynevet. A letöltött domain név alapján a telefon létrehozhatja az SCEP CSR közös nevet és a 802.1X felhasználói azonosítót. Részletekért lásd: Közönséges név vagy felhasználóazonosító biztosítása DHCP-en keresztül 15. opció.
A DHCP-beállítások konfigurálásáról további információt a DHCP-beállítások konfigurálása című témak örben tal ál.
-
Az egyéni eszköztanúsítvány kézi telepítése feltöltéssel
Az egyéni eszköztanúsítványt (CDC) manuálisan telepítheti a telefonra, ha feltölti a tanúsítványt a telefon adminisztrációs weboldaláról.
Mielőtt elkezdené
Mielőtt telepítené egy egyéni eszköztanúsítványt egy telefonra, rendelkeznie kell:
- A számítógépre mentett tanúsítványfájl (.p12 vagy .pfx). A fájl tartalmazza a tanúsítványt és a privát kulcsot.
- A tanúsítvány kivonási jelszava. A jelszó a tanúsítványfájl visszafejtésére szolgál.
| 1 |
Nyissa meg a telefon adminisztrációs weboldalát. |
| 2 |
Válassza a Tan úsítvá ny lehetőséget |
| 3 |
A Tanúsí tvány hozzáad ása szakaszban kattintson a Talló zás... gombra . |
| 4 |
Keresse meg a tanúsítványt a számítógépén. |
| 5 |
A Jel szó kibontása mező be írja be a tanúsítvány kibontási jelszavát. |
| 6 |
Kattintson a Feltöltés gombra Ha a tanúsítványfájl és a jelszó helyes, akkor megkapja az "
Certificate added.” üzenetet. Ellenkező esetben a feltöltés sikertelen, hibaüzenet jelenik meg, amely jelzi, hogy a tanúsítvány nem tölthető fel. |
| 7 |
A telepített tanúsítvány részleteinek ellenőrzéséhez kattintson a Meglévő tanúsí tványok szakasz ban a Nézet gombra. |
| 8 |
A telepített tanúsítvány telefonról történő eltávolításához kattintson a Törlés gombra a Meg lévő tanúsítványok szakaszban. Miután rákattint a gombra, az eltávolítási művelet azonnal megkezdődik megerősítés nélkül. A tanúsítvány eltávolítása után megjelenik |
Az egyéni eszköztanúsítvány automatikus telepítése az SCEP által
A Simple Certificate Enrollment Protocol (SCEP) kapcsolódó paramétereket úgy konfigurálhatja, hogy az SCEP kiszolgálóval kölcsönhatásba lépjenek az egyéni eszköztanúsítvány (CDC) automatikus telepítéséhez.
Miután az SCEP paraméterek bármelyikét konfigurálták, a telefon SCEP regisztrációs kérelmet küld a kiszolgálónak. A telefon a konfigurált ujjlenyomat segítségével érvényesíti a kapott CA tanúsítványt.
Mielőtt elkezdené
Mielőtt elvégezheti az egyéni eszköztanúsítvány (CDC) automatikus telepítését egy telefonra, a következőkkel kell rendelkeznie:
- SCEP szerver címe
- Az SCEP kiszolgáló gyökér CA-tanúsítványának SHA-1 vagy SHA-256 ujjlenyomata
| 1 |
Nyissa meg a telefon adminisztrációs weboldalát. |
| 2 |
Válassza a Tan úsítvá ny lehetőséget |
| 3 |
Az SCEP konfiguráció 1 szakaszban állítsa be a paramétereket az SCEP konfiguráció paraméterei részben le írtak szerint. |
| 4 |
Kattintson az Összes módosítás küldése elemre |
Az SCEP konfiguráció paraméterei
Az alábbi tábláz at az SCEP konfigurációs paraméterek működését és használatát ismerteti a telefonfelügyeleti weboldal Tanúsítvány lapján található SCEP konfiguráció 1 szakaszban. Tartalmaz za azon karakterláncok szintaxisát is, amelyeket a telefon konfigurációs fájljához (cfg.xml) hozzáad egy paraméter konfigur álásához.
A paraméterek bármilyen módosítása miatt a telefon új tanúsítványt kér.
| paraméter | Leírás |
|---|---|
| Szerver |
SCEP szerver címe. Ez a paraméter kötelező. Végezze el az alábbiak egyikét:
Érvényes értékek: URL vagy IP-cím. A HTTPS-rendszer nem támogatott. Alapértelmezett: Üres |
| CA ujjlenyomat |
A Root CA SHA256 vagy SHA1 ujjlenyomata az SCEP folyamat során történő érvényesítéshez. Ez a paraméter kötelező. Végezze el az alábbiak egyikét:
Alapértelmezett: Üres |
| Jelszó kihívása |
Az SCEP-en keresztüli tanúsítvány regisztrációja során a telefonon történő Certificate Authority (CA) engedélyezéshez szükséges kihívás jelszava. Ez a paraméter opcionális. A tényleges SCEP környezet szerint a kihívás jelszavának viselkedése változik.
Végezze el az alábbiak egyikét:
Alapértelmezett: Üres |
| Közös név |
Megadja a tanúsítványt kér ő telefon azonosítójaként használt közös nevet (CN). A KN-t a tanúsítvány aláírási kérelméhez (CSR) használják az SCEP folyamatban . Ez a paraméter támogatja a makróbővítési változókat is. Részletek ért lásd a Makróbővítési változ ókat. Végezze el az alábbiak egyikét:
Érvényes értékek: Legfeljebb 64 karakter Alapértelmezett: Üres |
| Ország neve |
Megadja a szervezet országát. Végezze el az alábbiak egyikét:
Érvényes értékek: 0-2 karakterből álló karakterlánc Alapértelmezett: Üres |
| Állam vagy tartomány neve |
Megadja a szervezet államát vagy tartományát. Végezze el az alábbiak egyikét:
Érvényes értékek: 0-64 karakterből álló karakterlánc. Alapértelmezett: Üres |
| Helység neve |
Megadja a tanúsítvány tárgyának helyének nevét. Végezze el az alábbiak egyikét:
Érvényes értékek: 0-64 karakterből álló karakterlánc Alapértelmezett: Üres |
| Szervezet neve |
Megadja a tanúsítványaláírási kérelem (CSR) tárgy nevét. Végezze el az alábbiak egyikét:
Érvényes értékek: 0-64 karakterből álló karakterlánc Alapértelmezett: Üres |
| Szervezeti egység |
Megadja a Tanúsítványaláírási kérelem (CSR) tárgy nevéhez tartozó szervezeti egységek nevét. A telefon legfeljebb 5 „/OU=” paramétert ad hozzá a CSR tárgy nevéhez. Végezze el az alábbiak egyikét:
Érvényes értékek: Minden bejegyzés 0-64 karakterből álló karakterlánc-tömb vesszővel elválasztva, maximális hossza 512 karakter. Legfeljebb 5 egység adható meg. Alapértelmezett: Üres |
| SAN DNS |
Megadja a Tanúsítványaláírási ké relem (CSR) tárgy alternatív neve (SAN) tartománynévkiszolgáló (DNS) paramétereit. A telefon legfeljebb öt DNS- paramétert ad hozzá a CSR SAN-hoz. Végezze el az alábbiak egyikét:
Érvényes értékek: Minden bejegyzés 0-64 karakterből álló karakterlánc-tömb vesszővel elválasztva, maximális hossza 512 karakter. Legfeljebb öt DNS-paraméter adható meg. Alapértelmezett: Üres |
| SAN IP |
Megadja a Tanúsítványaláírási kérelem (CSR) tárgy alternatív neve (SAN) IP-paramétereit. A telefon legfeljebb öt IP-paramétert ad hozzá a CSR SAN-hoz. Végezze el az alábbiak egyikét:
Érvényes értékek: Minden bejegyzés 0-64 karakterből álló karakterlánc-tömb vesszővel elválasztva, maximális hossza 512 karakter. Legfeljebb öt IP-paraméter adható meg. Alapértelmezett: Üres |
| E-mail SAN |
Megadja a Tanúsítványaláírási kérelem (CSR) tárgy alternatív neve (SAN) e-mail paramétereit. A telefon legfeljebb öt e-mail paramétert ad hozzá a CSR SAN-hoz. Végezze el az alábbiak egyikét:
Érvényes értékek: Minden bejegyzés 0-64 karakterből álló karakterlánc-tömb vesszővel elválasztva, maximális hossza 512 karakter. Legfeljebb öt e-mail paraméter adható meg. Alapértelmezett: Üres |
| SAN URI |
Megadja a Tanúsítványaláírási kérelem (CSR) tárgy alternatív neve (SAN) URI-paramétereit. A telefon legfeljebb öt URI paramétert ad hozzá a CSR SAN-hoz. Végezze el az alábbiak egyikét:
Érvényes értékek: Minden bejegyzés 0-64 karakterből álló karakterlánc-tömb vesszővel elválasztva, maximális hossza 512 karakter. Legfeljebb öt URI paraméter adható meg. Alapértelmezett: Üres |
Tanúsítvány megújítása az SCEP által
Az eszköztanúsítvány automatikusan frissíthető az SCEP folyamattal.
- A telefon 4 óránként ellenőrzi, hogy a tanúsítvány 15 napon belül lejárt-e. Ha igen, a telefon automatikusan elindítja a tanúsítvány megújítási folyamatát.
- Ha a kihívás jelszava üres, a telefon MIC/SUDI-t használ mind a kezdeti regisztrációhoz,
mind a tanúsítvány megújításához. Ha a kihívás jelsz
ava be van állítva, azt a következő esetekben használják:
-
Ha a Megújítá shoz használt kihívás jelszavának újrafelhasznál ása Nem (alapértelmezett) értékre van beállítva, a telefon csak a kezdeti regisztrációhoz használja a megadott jelszót, és a megújításhoz a meglévő tanúsítványt használja.
-
Ha az Ú jrafelhasználási kihívás jelszavának megúj ítá sához Igen értékre van beállítva, a telefon a megadott jelszót használja mind a kezdeti regisztrációhoz, mind a megújításhoz.
-
- A telefon addig nem távolítja el a régi eszköztanúsítványt, amíg le nem veszi az újat.
- Ha a tanúsítvány megújítása sikertelen, mert az eszköztanúsítvány vagy hitelesítő lejár, a telefon automatikusan aktiválja a kezdeti regisztrációt. Időközben, ha a kihívás jelszavának hitelesítése sikertelen, a telefon képernyőjén megjelenik egy jelszó beviteli képernyő, és a felhasználókat arra kérik, hogy írják be a kihívás jelszavát a telefonon.
CDC közös név konfigurációja
Alapértelmezés szerint a MIC/SUDI közös neve a CDC közös névként szolgál.
A tanúsítvány telepítésekor konfigurálhatja a CDC általános nevét. Használja a következő módszerek egyikét a CDC telepítéséhez a telefonra:
-
Hozzon létre egy tanúsítványaláírási kérelmet (CSR), amely tartalmazza a kívánt általános nevet, majd töltse fel és telepítse az új tanúsítványt a telefonfelügyeleti weboldalra.
-
Konfigurálja a Közös nevet a telefonfelügyeleti weboldalon, a telefonkonfigurációs fájlban (cfg.xml) vagy a Vezérlőközpontban. Ez automatikusan elindítja a telefon új tanúsítványt kérésére.
A telefon weboldalán és a Vezérlőközpontban található paraméterekkel kapcsolatos további információkért lásd: Egyéni eszköztanúsítvány automatikus telepítése az SCEP által, valamint a Vezérlőközpont telefonbeállításainak paraméterei című témakörben.
- Használja a DHCP 43. és 15-ös opciót a CDC közös név és a vezetékes 802.1X identitás megadásához.
További információt a Köz ös név vagy felhasználóazonosító biztosítása DHCP-en keresztül című témakörben talál 15. opcióban.
SCEP paraméterek konfigurálása DHCP opcióval 43
Bizonyos környezetben nem telepítheti az egyéni eszköztanúsítványt (CDC) a feltöltéssel vagy az SCEP paraméterek közvetlen konfigurálásával. Ebben a helyzetben a DHCP 43. opcióval elláthatja az SCEP paramétereket egy DHCP-kiszolgálóról a telefonra. Miután a telefon visszaállította a gy ári alapértelmezett beállításokat, megkapja a paramétereket a DHCP szerverről, és telepíti a CDC-t az SCEP segítségével.
- Ez a funkció (SCEP paraméterek konfigurálása a DHCP 43. opcióval) csak olyan telefonoknál érhető el, amelyek visszaállították a gyári alapértelmezett beállításokat.
- Ne telepítse a 43. opcióra támaszkodó telefonokat olyan hálózatban, amely távoli ellátást is használ (például a 66 150., 159. és 160-as opciók, vagy felhőalapú szolgáltatást). Ellenkező esetben előfordulhat, hogy a telefonok nem kapják meg a 43 opciós konfigurációt.
CDC-tanúsítvány telepítéséhez a DHCP 43-as opcióban megadott SCEP paraméterek alapján tegye a következőket:
- Készítsen elő egy SCEP környezetet.
Az SCEP környezet beállításáról az SCEP kiszolgáló dokumentációjában talál információt.
- Állítsa be a DHCP-opciót 43 (a 8.4 Szállítóspecifikus információk, RFC 2 132 pontban definiálva).
Az alopciók (10—15) a módszerhez vannak fenntartva:
Paraméter a telefon weboldalán Alopció Típus Hossz (bájt) Kötelező FIPS mód 10 logikai 1 Ninc* Szerver 11 karakterlánc 208 - hosszúság (Kihívás jelszava) Igen Root CA ujjlenyomat 12 hatlapú 20, 32, 48 vagy 64 Igen Jelszó kihívása 13 karakterlánc 208 - hossz (Szerver) Ninc* 802.1X hitelesítés engedélyezése 14 logikai 1 Nem Tanúsítvány kiválasztása 15 aláírás nélküli 8 bites 1 Nem * azt jelenti, hogy a paraméter a tényleges helyzetnek megfelelően van konfigurálva.
A DHCP 43. opció használatakor vegye figyelembe a módszer következő jellemzőit:
- Az alopciók (10—15) a Custom Device Certificate (CDC) számára vannak fenntartva.
- A DHCP opció 43 maximális hossza 255 bájt.
- A Server + Challenge Password maximális hosszának keves ebbnek kell lennie, mint 208 bájt.
- A FIPS mód értékének meg kell egyeznie a beépítési beállítási konfigurációnak.
Ellenkező esetben a telefon a beépítés után nem tudja lekérni a korábban telepített tanúsítvá
nyt. Pontosabban
- Ha a telefon olyan környezetben van regisztrálva, ahol a FIPS mód le van tiltva, akkor nem kell konfigurálnia a FIPS mó dot a DHCP 43 opcióban. Alapértelmezés szerint a FIPS mód le van tiltva.
- Ha a telefon olyan környezetben van regisztrálva, ahol a FIPS mód engedélyezve van, engedélyeznie kell a FIPS módot a DHCP 43 opcióban. Részletekért lá sd: FIPS mód engedél yezése.
- A 43. opció kihívási jelszava tiszta szövegben van.
- Ahhoz, hogy a telefon a MIC/SUDI-t használja a kezdeti regisztrációhoz és a tanúsítvány megújításához, hagyja üresen a kihívás jelszavát.
- Ha a kihívás jelszavát csak a kezdeti regisztrációhoz szeretné használni, adja meg a kihívás jelszavát, és állítsa a Felhasznál ási kihívás jelszavát a megúj ításhoz No érték re. Ebben az esetben a telepített tanúsítvány a tanúsítvány megújítására szolgál.
- Ha a kihívás jelszavát mind a kezdeti regisztrációhoz, mind a megújításhoz szeretné használni, adja meg a jelszót, és állítsa az Újrafelhasználási kihívás jel szavát a Meg új ításhoz
- A 802.1X hitelesítés engedélyez ése és a tanúsítvány kiválasz tása csak vezetékes hálózat okban lévő telefonokra vonatkozik.
- A DHCP 60. opció (Vendor Class Identifier) az eszközmodell azonosítására szolgál.
Példa a DHCP 43. opcióra (10—15 alopciók):
Tizedeses/hex alapló Értékhossz (bájt) tizedeses/hex Érték Hex érték 10/0a 1/01 1 (0: Letiltva; 1: Engedélyezve) 01 11/0b 18/12 http://10.79.57.91 687474703A2F2F31302E37392E35372E3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Nem; 1: Igen) 01 15/0f 1/01 1 (0: Gyártás telepítve; 1: Egyedi telepítés) 01 A paraméterértékek összefoglalása:
-
FIPS mód =
Enabled -
Server =
http://10.79.57.91 -
Root CA ujjlenyomat =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Kihívás jelszó =
D233CCF9B9952A15 -
802.1X hitelesítés engedélyezése =
Yes -
Tanúsítvány kiválasztása =
Custom installed
A végső hex érték szintaxisa:
{<suboption><length><value>}...A fenti paraméterértékek szerint a végső hex érték a következő:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Konfigurálja a DHCP 43-as opciót egy DHCP-kiszolgálón.
Ez a lépés példát mutat a DHCP opció 43 konfigurációjára a Cisco Network Register alkalmazásban.
- DHCP opciódefiníciós készlet hozzáadása.
A szállítói opciós karakterlánc az IP-telefonok modellneve. Az érvényes érték: DP-9841, DP-9851, DP-9861, DP-9871 vagy CP-8875.
- Adja hozzá a DHCP opciót 43 és az alopciókat a DHCP opciódefiníciós készlethez.
Példa:
- Adja hozzá a 43-as opciót a DHCP-házirenthez, és állítsa be az értéket az alábbiak szerint:
Példa:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Ellenőrizze a beállításokat. A Wireshark segítségével rögzítheti a telefon és a szolgáltatás közötti hálózati forgalom nyomait.
- DHCP opciódefiníciós készlet hozzáadása.
- Gyári alaphelyzetbe állítsa a telefont.
A telefon visszaállítása után a Server, a Root CA ujjlenyom at és a Challenge Password paraméterek automatikusan kitöltődnek. Ezek a paraméterek az SCEP konfiguráció 1 szakaszában találhatók a Tanúsí részben a telefonfelügyeleti weboldalon.
A telepített tanúsítvány részleteinek megtekintéséhez kattintson a Meglévő tanúsí tványok szakaszban a Meg lévő tanúsítv ányok elemre.
A tanúsítvány telepítési állapotának ellenőrzéséhez válassza a Tanúsí lehetőséget. Az 1. letöltési állapot mező a legfrissebb eredményt jeleníti meg. Ha a tanúsítvány regisztrációja során hiba lép fel, a letöltés állapota mutat ja a hibaelhárítás okát.
Ha a kihívás jelszóhitelesítése sikertelen, a telefon felkéri a felhasználókat, hogy írják be a jelszót a telefon képernyőjén.
- (Opcionális): A telepített tanúsítvány telefonról történő eltávolításához kattintson a Törlés gombra a Meg lévő tanúsítványok szakaszban.
Ha a Törlés gombra kattint, a telefon azonnal eltávolítja a tanúsítványt, megerősítő üzenet nélkül.
Közös név vagy felhasználóazonosító biztosítása a DHCP 15. opcióval
Az SCEP tanúsítvány regisztrálása során a DHCP 43 opcióval a telefon megkaphatja a 15-ös DHCP opcióban megadott domain nevet is (ha konfigurálva van). Miután a telefon megkapta a domain nevet, létrehozhatja a közös nevet vagy a felhasználóazonosítót a domain névvel, amely a következőképpen jelenik meg:
- Közös név = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
A közös nevet a CSR-hez használják az SCEP folyamatban, később pedig a CDC-ben a közös név lesz.
- Felhasználóazonosító = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
A felhasználói azonosító t a vezetékes 802.1X hitelesítés azonosítójaként fogjuk használni.
Például a telefon MAC-címe 00:1 A:2B: 3C:4D:5E, a telefon modellje 9871:
| Domainnév a DHCP 15. opcióban | Közös név | Felhasználói azonosító |
|---|---|---|
| példa.nl | CP-9871-SEP001A2B3C4D5E.Example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Üres | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Ha a tartománynév nincs konfigurálva a 15. opcióban, a Közös név és a felhasználóazonosító megegyezik a MIC/SUDI közös névvel.
