- Home
- /
- Articolo
Grazie per il feedback.
In questo articolo
Feedback?Può installare un Custom Device Certificate (CDC) in modo manuale o automatico. Per determinati ambienti, può utilizzare l'opzione DHCP 43 per fornire i parametri SCEP per l'installazione del certificato. Questo articolo della Guida è per il telefono da tavolo Cisco serie 9800 e il telefono video Cisco 8875 registrati presso Cisco BroadWorks.
Installazione del certificato personalizzato del dispositivo
Per installare un Custom Device Certificate (CDC) sul suo telefono, utilizzi uno dei seguenti modi in base alla sua situazione:
L'ultimo certificato installato sul telefono ha effetto.
- Installazione manuale: può installare un certificato caricandolo dalla pagina web di amministrazione del telefono. Per i dettagli, vedere Installazione manuale del certificato personalizzato del dispositivo tramite caricamento.
- Installazione automatica: può configurare i parametri Simple Certificate Enrollment Protocol (SCEP) per attivare l'installazione automatica di un certificato. Il telefono invia richieste SCEP a un server SCEP per installare il certificato.
I parametri SCEP possono essere configurati tramite la pagina web di amministrazione del telefono, il file di configurazione del telefono (cfg.xml) o Control Hub. Per i dettagli, vedere Installazione automatica del certificato del dispositivo personalizzato tramite SCEP e Parametri per le impostazioni del telefono su Control Hub.
- Opzione DHCP 43: in determinati ambienti, può installare un certificato utilizzando l'opzione DHCP 43. L'opzione 43 può fornire i parametri SCEP per l'installazione del certificato. Per i dettagli, vedere la configurazione dei parametri SCEP tramite l'opzione DHCP 43.
-
Quando utilizza l'opzione DHCP 43 per il provisioning dei parametri SCEP, il telefono può anche recuperare il nome di dominio trasferito dall'opzione DHCP 15. In base al nome di dominio recuperato, il telefono può creare il nome comune CSR SCEP e l'ID utente 802.1X. Per i dettagli, vedere Fornitura del nome comune o dell'ID utente tramite l'opzione DHCP 15.
Per ulteriori informazioni su come configurare le opzioni DHCP, vedere Configurare le opzioni DHCP.
-
Installazione manuale del certificato personalizzato del dispositivo tramite caricamento
Può installare manualmente un Custom Device Certificate (CDC) sul telefono caricando il certificato dalla pagina web di amministrazione del telefono.
Prima che Lei cominci
Prima di poter installare un certificato personalizzato del dispositivo per un telefono, deve avere:
- Un file di certificato (.p12 o .pfx) salvato sul suo PC. Il file contiene il certificato e la chiave privata.
- L'estratto della password del certificato. La password viene utilizzata per decrittografare il file del certificato.
| 1 |
Accedere alla pagina web di amministrazione del telefono. |
| 2 |
Seleziona Certificato. |
| 3 |
Nella sezione Aggiungi certificato, faccia clic su Sfoglia... . |
| 4 |
Accedi al certificato sul suo PC. |
| 5 |
Nel campo Estrai password, inserire la password di estrazione del certificato. |
| 6 |
Faccia clic su Carica. Se il file del certificato e la password sono corretti, riceverà il messaggio "
Certificate added.». Altrimenti, il caricamento non riesce e viene visualizzato un messaggio di errore che indica che il certificato non può essere caricato. |
| 7 |
Per controllare i dettagli del certificato installato, faccia clic su Visualizza nella sezione Certificati esistenti. |
| 8 |
Per rimuovere il certificato installato dal telefono, faccia clic su Elimina nella sezione Certificati esistenti. Dopo aver fatto clic sul pulsante, l'operazione di rimozione inizia immediatamente senza conferma. Dopo la rimozione del certificato, viene visualizzato il |
Installazione automatica del certificato del dispositivo personalizzato da parte di SCEP
Può configurare i parametri relativi al Simple Certificate Enrollment Protocol (SCEP) per interagire con il server SCEP per installare automaticamente il Custom Device Certificate (CDC).
Una volta configurato uno qualsiasi dei parametri SCEP, il telefono invierà una richiesta di registrazione SCEP al server. Il telefono convaliderà il certificato CA ricevuto utilizzando l'impronta digitale configurata.
Prima che Lei cominci
Prima di poter eseguire l'installazione automatica di un Custom Device Certificate (CDC) per un telefono, deve avere:
- Indirizzo del server SCEP
- Impronta digitale SHA-1 o SHA-256 del certificato CA principale per il server SCEP
| 1 |
Accedere alla pagina web di amministrazione del telefono. |
| 2 |
Seleziona Certificato. |
| 3 |
Nella sezione Configurazione SCEP 1, imposta i parametri come descritto in Parametri per la configurazione SCEP. |
| 4 |
Faccia clic su Invia tutte le modifiche. |
Parametri per la configurazione SCEP
La tabella seguente descrive la funzione e l'utilizzo dei parametri di configurazione SCEP nella sezione Configurazione SCEP 1 della scheda Certificato della pagina web di amministrazione del telefono. Include anche la sintassi delle stringhe che aggiunge al file di configurazione del telefono (cfg.xml) per configurare un parametro.
Qualsiasi modifica a questi parametri fa sì che il telefono richieda un nuovo certificato.
| Parametro | Descrizione |
|---|---|
| Server |
Indirizzo del server SCEP. Questo parametro è obbligatorio. Effettui una delle seguenti operazioni:
Valori validi: un URL o un indirizzo IP. Lo schema HTTPS non è supportato. Predefinito: vuoto |
| Impronta digitale CA |
Impronta digitale SHA256 o SHA1 della Root CA per la convalida durante il processo SCEP. Questo parametro è obbligatorio. Effettui una delle seguenti operazioni:
Predefinito: vuoto |
| Password di sfida |
La sfida della password per l'autorizzazione Certificate Authority (CA) sul telefono durante la registrazione di un certificato tramite SCEP. Questo parametro è facoltativo. In base all'attuale ambiente SCEP, il comportamento della password di sfida varia.
Effettui una delle seguenti operazioni:
Predefinito: vuoto |
| Nome comune |
Specifica il nome comune (CN) utilizzato come identificatore del telefono che richiede il certificato. Il CN viene utilizzato per la richiesta di firma del certificato (CSR) nel processo SCEP . Questo parametro supporta anche le variabili di espansione macro, vedere Variabili di espansione macro per i dettagli. Effettui una delle seguenti operazioni:
Valori validi: massimo 64 caratteri Predefinito: vuoto |
| Nome del Paese |
Specifica il Paese dell'organizzazione. Effettui una delle seguenti operazioni:
Valori validi: stringa da 0 a 2 caratteri Predefinito: vuoto |
| Nome dello Stato o della Provincia |
Specifica lo stato o la provincia dell'organizzazione. Effettui una delle seguenti operazioni:
Valori validi: stringa da 0 a 64 caratteri. Predefinito: vuoto |
| Nome della località |
Specifica il nome della località per l'oggetto del certificato. Effettui una delle seguenti operazioni:
Valori validi: stringa da 0 a 64 caratteri Predefinito: vuoto |
| Nome dell'organizzazione |
Specifica il nome dell'oggetto della richiesta di firma del certificato (CSR). Effettui una delle seguenti operazioni:
Valori validi: stringa da 0 a 64 caratteri Predefinito: vuoto |
| Unità organizzativa |
Specifica i nomi delle unità organizzative per il nome dell' oggetto della richiesta di firma del certificato (CSR). Il telefono aggiungerà fino a 5 parametri «/OU=» al nome del soggetto della CSR. Effettui una delle seguenti operazioni:
Valori validi: Ogni voce è una matrice di stringhe da 0 a 64 caratteri separati da una virgola, con una lunghezza massima di 512 caratteri. È possibile specificare fino a 5 unità. Predefinito: vuoto |
| SAN DNS |
Specifica i parametri del Domain Name Server (DNS) per il Certificate Signing Request (CSR) Subject Alternative Name (SAN). Il telefono aggiungerà fino a cinque parametri DNS alla SAN CSR. Effettui una delle seguenti operazioni:
Valori validi: Ogni voce è una matrice di stringhe da 0 a 64 caratteri separati da una virgola, con una lunghezza massima di 512 caratteri. È possibile specificare fino a cinque parametri DNS. Predefinito: vuoto |
| SAN IP |
Specifica i parametri IP per il Certificate Signing Request (CSR) Subject Alternative Name (SAN). Il telefono aggiungerà fino a cinque parametri IP alla SAN CSR. Effettui una delle seguenti operazioni:
Valori validi: Ogni voce è una matrice di stringhe da 0 a 64 caratteri separati da una virgola, con una lunghezza massima di 512 caratteri. È possibile specificare fino a cinque parametri IP. Predefinito: vuoto |
| E-mail SAN |
Specifica i parametri e-mail per il Certificate Signing Request (CSR) Subject Alternative Name (SAN). Il telefono aggiungerà fino a cinque parametri e-mail al SAN CSR. Effettui una delle seguenti operazioni:
Valori validi: Ogni voce è una matrice di stringhe da 0 a 64 caratteri separati da una virgola, con una lunghezza massima di 512 caratteri. È possibile specificare fino a cinque parametri e-mail. Predefinito: vuoto |
| SAN URI |
Specifica i parametri URI per il Certificate Signing Request (CSR) Subject Alternative Name (SAN). Il telefono aggiungerà fino a cinque parametri URI alla SAN CSR. Effettui una delle seguenti operazioni:
Valori validi: Ogni voce è una matrice di stringhe da 0 a 64 caratteri separati da una virgola, con una lunghezza massima di 512 caratteri. È possibile specificare fino a cinque parametri URI. Predefinito: vuoto |
Rinnovo del certificato da parte di SCEP
Il certificato del dispositivo può essere aggiornato automaticamente tramite la procedura SCEP.
- Il telefono controlla se il certificato scadrà tra 15 giorni ogni 4 ore. In tal caso, il telefono avvia automaticamente la procedura di rinnovo del certificato.
- Se la password di verifica è vuota, il telefono utilizza MIC/SUDI
sia per la registrazione iniziale che per il rinnovo del certificato. Se la password di sfida è configurata,
viene utilizzata nei seguenti casi:
-
Quando Reuse Challenge Password for Renewal è impostato su No (impostazione predefinita), il telefono utilizza la password fornita solo per la registrazione iniziale e utilizza il certificato esistente per il rinnovo.
-
Quando Reuse Challenge Password for Renewal è impostato su Sì, il telefono utilizza la password fornita sia per la registrazione iniziale che per il rinnovo.
-
- Il telefono non rimuove il vecchio certificato del dispositivo finché non recupera quello nuovo.
- Se il rinnovo del certificato non riesce perché il certificato del dispositivo o la CA scade, il telefono attiva automaticamente la registrazione iniziale. Nel frattempo, se l'autenticazione della password di sfida fallisce, viene visualizzata una schermata di immissione della password sullo schermo del telefono e agli utenti viene richiesto di inserire la password di sfida sul telefono.
Configurazione del nome comune del CDC
Per impostazione predefinita, il nome comune in MIC/SUDI viene utilizzato come nome comune per CDC.
Può configurare il nome comune per CDC quando installa il certificato. Utilizza uno dei seguenti metodi per installare un CDC sul telefono:
-
Genera una richiesta di firma del certificato (CSR) che contenga il nome comune desiderato, quindi carichi e installi il nuovo certificato nella pagina web di amministrazione del telefono.
-
Configura il nome comune tramite la pagina web di amministrazione del telefono, il file di configurazione del telefono (cfg.xml) o Control Hub. Questo farà sì che il telefono richieda automaticamente un nuovo certificato.
Per ulteriori informazioni sui parametri sulla pagina web del telefono e su Control Hub, vedere Installazione automatica del certificato del dispositivo personalizzato tramite SCEP e Parametri per le impostazioni del telefono su Control Hub.
- Utilizza le opzioni DHCP 43 e 15 per fornire il nome comune per il CDC e l'identità 802.1X cablata.
Per ulteriori informazioni, vedere Fornitura del nome comune o dell'ID utente tramite l'opzione DHCP 15.
Configurazione dei parametri SCEP tramite l'opzione DHCP 43
In alcuni ambienti, non può installare il Custom Device Certificate (CDC) caricandolo o configurando direttamente i parametri SCEP. In questa situazione, può utilizzare l'opzione DHCP 43 per fornire i parametri SCEP da un server DHCP al telefono. Dopo aver ripristinato le impostazioni di fabbrica, il telefono riceve i parametri dal server DHCP e installa il CDC tramite SCEP.
- Questa funzione (configurazione dei parametri SCEP tramite l'opzione DHCP 43) è disponibile solo per i telefoni che sono stati ripristinati alle impostazioni di fabbrica.
- Non utilizzi telefoni che si basano sulle opzioni 43 in una rete che utilizza anche il provisioning remoto (ad esempio, le opzioni 66.150, 159 e 160 o il provisioning cloud). Altrimenti, i telefoni potrebbero non ricevere le configurazioni dell'opzione 43.
Per installare un certificato CDC in base ai parametri SCEP forniti dall'opzione DHCP 43, proceda come segue:
- Preparare un ambiente SCEP.
Per informazioni sulla configurazione dell'ambiente SCEP, consulti la documentazione del suo server SCEP.
- Configurare l'opzione DHCP 43 (definita in 8.4 Informazioni specifiche del fornitore, RFC 2132).
Le subopzioni (10-15) sono riservate al metodo:
Parametro sulla pagina web del telefono Sub-opzione Tipo Lunghezza (byte) Obbligatorio Modalità FIPS 10 booleano 1 No* Server 11 stringa 208 - lunghezza (Challenge Password) Sì Impronta digitale Root CA 12 esadecimale 20, 32, 48 o 64 Sì Password di sfida 13 stringa 208 - lunghezza (Server) No* Abilita l'autenticazione 802.1X 14 booleano 1 No Certificato Select 15 8 bit senza segno 1 No * significa che il parametro è configurato in base alla situazione attuale.
Quando utilizza l'opzione DHCP 43, noti le seguenti caratteristiche del metodo:
- Le opzioni secondarie (10-15) sono riservate al Custom Device Certificate (CDC).
- La lunghezza massima dell'opzione DHCP 43 è 255 byte.
- La lunghezza massima di Server + Challenge Password deve essere inferiore a 208 byte.
- Il valore della modalità FIPS deve corrispondere alla configurazione del provisioning di onboarding.
Altrimenti, il telefono non riesce a recuperare il certificato precedentemente installato dopo l'
onboarding. Nello specifico,
- Se il telefono è registrato in un ambiente in cui la modalità FIPS è disabilitata, non è necessario configurare la modalità FIPS nell'opzione DHCP 43. Per impostazione predefinita, la modalità FIPS è disabilitata.
- Se il telefono è registrato in un ambiente in cui è abilitata la modalità FIPS, deve abilitare la modalità FIPS nell'opzione DHCP 43. Vedere Abilitare la modalità FIPS per i dettagli.
- La password di sfida nell'opzione 43 è in testo non crittografato.
- Affinché il telefono utilizzi MIC/SUDI per la registrazione iniziale e il rinnovo del certificato, lasci vuota la password di sfida.
- Per utilizzare la password di sfida solo per l'iscrizione iniziale, fornisca la password di sfida e imposti Riutilizza la password di sfida per il rinnovo su No. In questo caso, il certificato installato viene utilizzato per il rinnovo del certificato.
- Per utilizzare la password di sfida sia per l'iscrizione iniziale che per il rinnovo, fornisca la password e imposti Riutilizza la password di sfida per il rinnovo su Sì.
- Abilita l'autenticazione 802.1X e la selezione del certificato si applicano solo ai telefoni su reti cablate.
- L'opzione DHCP 60 (Vendor Class Identifier) viene utilizzata per identificare il modello del dispositivo.
Esempio di opzione DHCP 43 (subopzioni 10—15):
Sottoopzione decimale/esadecimale Lunghezza del valore (byte) decimale/esadecimale Valore Valore esadecimale 10/0a 1/01 1 (0: Disabilitato; 1: Abilitato) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0g 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: No; 1: Sì) 01 15/0f 1/01 1 (0: Produzione installata; 1: Installazione personalizzata) 01 Riepilogo dei valori dei parametri:
-
Modalità FIPS =
Enabled -
Server =
http://10.79.57.91 -
Impronta digitale CA root =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Password di sfida =
D233CCF9B9952A15 -
Abilita l'autenticazione 802.1X =
Yes -
Certificato Select =
Custom installed
La sintassi del valore esadecimale finale è:
{<suboption><length><value>}...In base ai valori dei parametri sopra riportati, il valore esadecimale finale è il seguente:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Configurare l'opzione DHCP 43 su un server DHCP.
Questo passaggio fornisce un esempio delle configurazioni dell'opzione DHCP 43 su Cisco Network Register.
- Aggiungere il set di definizioni delle opzioni DHCP.
La Vendor Option String è il nome del modello dei telefoni IP. Il valore valido è: DP-9841, DP-9851, DP-9861, DP-9871 o CP-8875.
- Aggiungere l'opzione DHCP 43 e le sottoopzioni al set di definizioni delle opzioni DHCP.
Esempio:
- Aggiungere l'opzione 43 alla politica DHCP e impostare il valore come segue:
Esempio:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Verifichi le impostazioni. Può usare Wireshark per acquisire una traccia del traffico di rete tra il telefono e il servizio.
- Aggiungere il set di definizioni delle opzioni DHCP.
- Ripristino delle impostazioni di fabbrica del telefono.
Dopo il ripristino del telefono, i parametri Server, Root CA Fingerprint e Challenge Password vengono inseriti automaticamente. Questi parametri si trovano nella sezione Configurazione SCEP 1 in nella pagina web di amministrazione del telefono.
Per visualizzare i dettagli del certificato installato, faccia clic su Visualizza nella sezione Certificati esistenti.
Per verificare lo stato di installazione del certificato, selezioni Il campo Download Status 1 mostra il risultato più recente. Se si verifica un problema durante la registrazione del certificato, lo stato del download indica il motivo della risoluzione del problema.
Se l'autenticazione con password di verifica fallisce, il telefono richiede agli utenti di inserire la password sullo schermo del telefono.
- (Facoltativo): per rimuovere il certificato installato dal telefono, faccia clic su Elimina nella sezione Certificati esistenti.
Quando fa clic su Elimina, il telefono rimuove immediatamente il certificato, senza una richiesta di conferma.
Fornitura del nome comune o dell'ID utente tramite l'opzione DHCP 15
Durante la registrazione del certificato SCEP tramite l'opzione DHCP 43, il telefono può anche ottenere il nome di dominio fornito nell'opzione DHCP 15 (se configurato). Dopo che il telefono ha ricevuto il nome di dominio, può creare il nome comune o l'ID utente con il nome di dominio, che è rappresentato come segue:
- Nome comune = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Il nome comune verrà utilizzato per la CSR nel processo SCEP e successivamente sarà il nome comune nel CDC.
- ID utente = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
L'ID utente verrà utilizzato come identità per l'autenticazione cablata 802.1X.
Ad esempio, l'indirizzo MAC del telefono è 00:1 A:2B:3C:4D:5E, il modello di telefono è 9871:
| Nome di dominio nell'opzione DHCP 15 | Nome comune | ID utente |
|---|---|---|
| esempio.nl | CP-9871-sep001a2b3c4d5e.example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Vuoto | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Se il nome di dominio non è configurato nell'opzione 15, il nome comune e l'ID utente saranno gli stessi del nome comune in MIC/SUDI.
