- Start
- /
- Artikel
Hartelijk dank voor uw feedback
In dit artikel
Feedback?U kunt een Custom Device Certificate (CDC) handmatig of automatisch installeren. Voor bepaalde omgevingen kunt u DHCP-optie 43 gebruiken om de SCEP-parameters voor de installatie van het certificaat op te geven. Dit Help-artikel is voor Cisco Desk Phone 9800 Series en Cisco Video Phone 8875 geregistreerd bij Cisco BroadWorks.
Installatie van een certificaat voor aangepaste apparaten
Om een Custom Device Certificate (CDC) op uw telefoon te installeren, moet u een van de volgende manieren gebruiken, afhankelijk van uw situatie:
Het laatst geïnstalleerde certificaat op de telefoon wordt van kracht.
- Handmatige installatie: u kunt een certificaat installeren door het te uploaden vanaf de webpagina voor de telefoonadministratie. Zie Handmatige installatie van een Custom Device Certificate via upload voor meer informatie.
- Automatische installatie: u kunt de parameters van het Simple Certificate Enrollment Protocol (SCEP) configureren om een automatische installatie van een certificaat te activeren. De telefoon stuurt SCEP-aanvragen naar een SCEP-server om het certificaat te installeren.
De SCEP-parameters kunnen worden geconfigureerd via de webpagina voor telefoonbeheer, het telefoonconfiguratiebestand (cfg.xml) of de Control Hub. Voor meer informatie, zie Automatische installatie van een aangepast apparaatcertificaat van SCEP en Parameters voor telefooninstellingen op de Control Hub.
- DHCP-optie 43 — In bepaalde omgevingen kunt u een certificaat installeren door de DHCP-optie 43 te gebruiken. De optie 43 kan de SCEP-parameters leveren voor de installatie van het certificaat. Zie SCEP-parameterconfiguratie via DHCP-optie 43 voor meer informatie.
-
Wanneer u de DHCP-optie 43 gebruikt voor de inrichting van SCEP-parameters, kan de telefoon ook de domeinnaam ophalen die is overgedragen via de DHCP-optie 15. Op basis van de opgehaalde domeinnaam kan de telefoon de SCEP CSR Common Name en 802.1X-gebruikersnaam samenstellen. Zie Provisioning of Common Name of User ID via DHCP optie 15 voor meer informatie.
Zie DHCP-opties configureren voor meer informatie over het configureren van DHCP-opties.
-
Handmatige installatie van Custom Device Certificate via upload
U kunt handmatig een Custom Device Certificate (CDC) op de telefoon installeren door het certificaat te uploaden vanaf de webpagina voor telefoonbeheer.
Voordat u begint
Voordat u een aangepast apparaatcertificaat voor een telefoon kunt installeren, moet u beschikken over:
- Een certificaatbestand (.p12 of .pfx) dat op uw pc is opgeslagen. Het bestand bevat het certificaat en de privésleutel.
- Het wachtwoord voor het uittreksel van het certificaat. Het wachtwoord wordt gebruikt om het certificaatbestand te ontcijferen.
| 1 |
Ga naar de webpagina voor telefoonadministratie. |
| 2 |
Selecteer Certificaat. |
| 3 |
Klik in de sectie Certificaat toevoegen op Bladeren... . |
| 4 |
Blader naar het certificaat op uw pc. |
| 5 |
Voer in het veld Wachtwoord extraheren het wachtwoord voor het uitpakken van het certificaat in. |
| 6 |
Klik op Uploaden. Als het certificaatbestand en wachtwoord juist zijn, ontvangt u het bericht "
Certificate added.”. Anders mislukt het uploaden met een foutmelding die aangeeft dat het certificaat niet kan worden geüpload. |
| 7 |
Om de gegevens van het geïnstalleerde certificaat te controleren, klikt u op Bekijken in de sectie Bestaande certificaten. |
| 8 |
Om het geïnstalleerde certificaat van de telefoon te verwijderen, klikt u op Verwijderen in de sectie Bestaande certificaten. Zodra u op de knop klikt, begint de verwijderingsoperatie onmiddellijk zonder bevestiging. Nadat het certificaat is verwijderd, verschijnt het |
Automatische installatie van het Custom Device Certificate door SCEP
U kunt de parameters die verband houden met het Simple Certificate Enrollment Protocol (SCEP) configureren om te communiceren met de SCEP-server om het Custom Device Certificate (CDC) automatisch te installeren.
Zodra een van de SCEP-parameters is geconfigureerd, stuurt de telefoon een SCEP-inschrijvingsverzoek naar de server. De telefoon valideert het ontvangen CA-certificaat met behulp van de geconfigureerde vingerafdruk.
Voordat u begint
Voordat u een Custom Device Certificate (CDC) voor een telefoon automatisch kunt installeren, moet u beschikken over:
- Adres van de SCEP-server
- SHA-1- of SHA-256-vingerafdruk van de CA die het telefooncertificaat uitgeeft
| 1 |
Ga naar de webpagina voor telefoonadministratie. |
| 2 |
Selecteer Certificaat. |
| 3 |
Stel in de sectie SCEP-configuratie 1 de parameters in zoals beschreven in Parameters voor SCEP-configuratie. |
| 4 |
Klik op Alle wijzigingen indienen. |
Parameters voor de SCEP-configuratie
De volgende tabel beschrijft de functie en het gebruik van de SCEP-configuratieparameters in de sectie SCEP-configuratie 1 op het tabblad Certificaat van de webpagina voor telefoonbeheer. Het bevat ook de syntaxis van de tekenreeksen die u toevoegt aan het telefoonconfiguratiebestand (cfg.xml) om een parameter te configureren.
Als u de parameter Reuse Challenge Password for Renewal wijzigt, wordt alleen het verlengingsbeleid bijgewerkt en wordt geen onmiddellijke inschrijving geactiveerd. Als u echter andere inschrijvingsparameters voor SCEP wijzigt, vraagt de telefoon automatisch een nieuw certificaat aan.
| Parameter | Beschrijving |
|---|---|
| Server |
Adres van de SCEP-server. Deze parameter is verplicht. Voer een van de volgende handelingen uit:
Geldige waarden: een URL of IP-adres. Het HTTPS-schema wordt niet ondersteund. Standaard: Leeg |
| CA-vingerafdruk |
Voer de SHA-256- of SHA-1-vingerafdruk in van het CA-certificaat dat het
telefooncertificaat heeft uitgegeven. Het CA-certificaat moet worden opgenomen in het
Voer een van de volgende handelingen uit:
De XML-parameter behoudt de oude naam
Standaard: Leeg |
| Wachtwoord voor de uitdaging |
Het uitdagingswachtwoord voor Certificate Authority (CA) autorisatie tegen de telefoon tijdens de inschrijving van een certificaat via SCEP. Deze parameter is optioneel. Afhankelijk van de daadwerkelijke SCEP-omgeving varieert het gedrag van het uitdagingswachtwoord.
Voer een van de volgende handelingen uit:
Standaard: Leeg |
| Algemene naam |
Specificeert de Common Name (CN) die wordt gebruikt als identificator voor de telefoon die het certificaat aanvraagt. De CN wordt gebruikt voor Certificate Signing Request (CSR) in het SCEP-proces . Deze parameter ondersteunt ook macro-uitbreidingsvariabelen. Zie Macro-uitbreidingsvariabelen voor meer informatie. Voer een van de volgende handelingen uit:
Geldige waarden: maximaal 64 tekens Standaard: Leeg |
| Naam van het land |
Specificeert het land van de organisatie. Voer een van de volgende handelingen uit:
Geldige waarden: tekenreeks van 0 tot 2 tekens Standaard: Leeg |
| Naam van staat of provincie |
Specificeert de staat of provincie van de organisatie. Voer een van de volgende handelingen uit:
Geldige waarden: tekenreeks van 0 tot 64 tekens. Standaard: Leeg |
| Naam van de plaats |
Specificeert de plaatsnaam voor de proefpersoon van het certificaat. Voer een van de volgende handelingen uit:
Geldige waarden: tekenreeks van 0 tot 64 tekens Standaard: Leeg |
| Naam van de organisatie |
Specificeert de onderwerpnaam van het Certificate Signing Request (CSR). Voer een van de volgende handelingen uit:
Geldige waarden: tekenreeks van 0 tot 64 tekens Standaard: Leeg |
| Organisatie-eenheid |
Specificeert de namen van de organisatie-eenheden voor de onderwerpnaam van het Certificate Signing Request (CSR). Telefoon voegt maximaal 5 „/OU=” -parameters toe aan de CSR-onderwerpnaam. Voer een van de volgende handelingen uit:
Geldige waarden: Elke invoer bestaat uit een reeks van 0 tot 64 tekens, gescheiden door een komma, met een maximale lengte van 512 tekens. Er kunnen maximaal 5 eenheden worden gespecificeerd. Standaard: Leeg |
| SAN DNS |
Specificeert de DNS-parameters (Domain Name Server) voor de Certificate Signing Request (CSR) Subject Alternative Name (SAN). De telefoon voegt maximaal vijf DNS-parameters toe aan het CSR-SAN. Voer een van de volgende handelingen uit:
Geldige waarden: Elke invoer bestaat uit een reeks van 0 tot 64 tekens, gescheiden door een komma, met een maximale lengte van 512 tekens. Er kunnen maximaal vijf DNS-parameters worden gespecificeerd. Standaard: Leeg |
| SAN IP |
Specificeert de IP-parameters voor de Certificate Signing Request (CSR) Subject Alternative Name (SAN). De telefoon voegt maximaal vijf IP-parameters toe aan het CSR SAN. Voer een van de volgende handelingen uit:
Geldige waarden: Elke invoer bestaat uit een reeks van 0 tot 64 tekens, gescheiden door een komma, met een maximale lengte van 512 tekens. Er kunnen maximaal vijf IP-parameters worden gespecificeerd. Standaard: Leeg |
| SAN E-mailadres |
Specificeert de e-mailparameters voor de certificaatondertekeningsaanvraag (CSR) Subject Alternative Name (SAN). De telefoon voegt maximaal vijf e-mailparameters toe aan het CSR-SAN. Voer een van de volgende handelingen uit:
Geldige waarden: Elke invoer bestaat uit een reeks van 0 tot 64 tekens, gescheiden door een komma, met een maximale lengte van 512 tekens. Er kunnen maximaal vijf e-mailparameters worden gespecificeerd. Standaard: Leeg |
| SAN URI |
Specificeert de URI-parameters voor de Certificate Signing Request (CSR) Subject Alternative Name (SAN). De telefoon voegt maximaal vijf URI-parameters toe aan het CSR SAN. Voer een van de volgende handelingen uit:
Geldige waarden: Elke invoer bestaat uit een reeks van 0 tot 64 tekens, gescheiden door een komma, met een maximale lengte van 512 tekens. Er kunnen maximaal vijf URI-parameters worden gespecificeerd. Standaard: Leeg |
Verlenging van het certificaat door SCEP
Het certificaat van het apparaat kan automatisch worden vernieuwd via het SCEP-proces.
- De telefoon controleert elke 4 uur of het certificaat over 15 dagen verloopt. Zo ja, dan start de telefoon automatisch het verlengingsproces van het certificaat.
- Als het uitdagingswachtwoord leeg is, gebruikt de telefoon MIC/SUDI voor zowel de eerste inschrijving als de verlenging van het certificaat. Als het uitdagingswachtwoord is geconfigureerd, wordt het alleen gebruikt voor de eerste inschrijving; het bestaand/geïnstalleerde certificaat wordt gebruikt voor de verlenging van het certificaat.
- De telefoon verwijdert het certificaat van het oude apparaat niet totdat het nieuwe certificaat is opgehaald.
- Als de verlenging van het certificaat mislukt omdat het certificaat van het apparaat of de CA verloopt, wordt de eerste inschrijving automatisch op de telefoon geactiveerd. In de tussentijd, als de authenticatie van het uitdagingswachtwoord mislukt, verschijnt er een scherm voor het invoeren van een wachtwoord op het telefoonscherm en worden gebruikers gevraagd het uitdagingswachtwoord in te voeren op de telefoon.
CDC Common Name-configuratie
De algemene naam in MIC/SUDI wordt standaard gebruikt als de algemene naam voor CDC.
U kunt de Common Name voor CDC configureren wanneer u het certificaat installeert. Gebruik een van de volgende methoden om een CDC op de telefoon te installeren:
-
Genereer een certificaatondertekeningsverzoek (CSR) dat de door u gewenste algemene naam bevat, en upload en installeer het nieuwe certificaat vervolgens op de webpagina voor telefoonbeheer.
-
Configureer de Common Name via de webpagina voor telefoonbeheer, het configuratiebestand van de telefoon (cfg.xml) of de Control Hub. Dan wordt de telefoon automatisch geactiveerd om een nieuw certificaat aan te vragen.
Voor meer informatie over de parameters op de webpagina van de telefoon en de Control Hub, zie Automatische installatie van een aangepast apparaatcertificaat door SCEP en Parameters voor telefooninstellingen op de Control Hub.
- Gebruik DHCP-optie 43 en 15 om Common Name in te stellen voor CDC- en bekabelde 802.1X-identiteit.
Zie Provisioning of Common Name of User ID via DHCP optie 15 voor meer informatie.
Configuratie van SCEP-parameters via DHCP-optie 43
In sommige omgevingen kunt u het Custom Device Certificate (CDC) niet installeren door het te uploaden of door de SCEP-parameters rechtstreeks te configureren. In deze situatie kunt u DHCP-optie 43 gebruiken om de SCEP-parameters van een DHCP-server naar de telefoon te sturen. Nadat de telefoon is teruggezet naar de fabrieksinstellingen, ontvangt hij de parameters van de DHCP-server en wordt de CDC geïnstalleerd met behulp van SCEP.
- Deze functie (configuratie van de SCEP-parameters via DHCP-optie 43) is alleen beschikbaar voor telefoons waarvan de fabrieksinstellingen zijn hersteld.
- Gebruik geen telefoons die afhankelijk zijn van opties 43 in een netwerk dat ook gebruik maakt van externe provisioning (bijvoorbeeld opties 66.150, 159 en 160, of cloudvoorziening). Anders krijgen de telefoons mogelijk niet de optie 43-configuraties.
Ga als volgt te werk om een CDC-certificaat te installeren met behulp van de SCEP-parameters die zijn verstrekt via DHCP-optie 43:
- Bereid een SCEP-omgeving voor.
Zie de documentatie van uw SCEP-server voor informatie over de configuratie van de SCEP-omgeving.
- DHCP-optie 43 instellen (gedefinieerd in 8.4 Vendor Specific Information, RFC 2132).
Subopties (10—15) zijn gereserveerd voor de methode:
Parameter op de webpagina van de telefoon Suboptie Typ Lengte (byte) Verplicht FIPS-modus 10 booleaans 1 Nee* Server 11 snaar 208 - lengte (wachtwoord voor de uitdaging) Ja Root CA-vingerafdruk 12 heks 20, 32, 48 of 64 Ja Wachtwoord voor de uitdaging 13 snaar 208 - lengte (server) Nee* 802.1X-verificatie inschakelen 14 booleaans 1 Nee Certificaat Select 15 8-bit zonder handtekening 1 Nee * betekent dat de parameter is geconfigureerd op basis van de werkelijke situatie.
Wanneer u de DHCP-optie 43 gebruikt, let dan op de volgende kenmerken van de methode:
- Subopties (10—15) zijn gereserveerd voor Custom Device Certificate (CDC).
- De maximale lengte van DHCP-optie 43 is 255 bytes.
- De maximale lengte van Server + Challenge Password mag minder dan 208 bytes zijn.
- De waarde van de FIPS-modus moet overeenkomen met de configuratie van de onboarding-inrichting.
Anders kan de telefoon het eerder geïnstalleerde certificaat niet ophalen na de
onboarding. In het bijzonder
- Als de telefoon is geregistreerd in een omgeving waar de FIPS-modus is uitgeschakeld, hoeft u de FIPS-modus niet te configureren in DHCP-optie 43. De FIPS-modus is standaard uitgeschakeld.
- Als de telefoon is geregistreerd in een omgeving waar de FIPS-modus is ingeschakeld, moet u de FIPS-modus inschakelen in DHCP-optie 43. Zie FIPS-modus inschakelen voor meer informatie.
- Het uitdagingswachtwoord in optie 43 is in duidelijke tekst.
- Als u de telefoon MIC/SUDI wilt laten gebruiken voor de eerste inschrijving en de verlenging van het certificaat, moet u het wachtwoord voor de uitdaging leeg laten.
- Als u het uitdagingswachtwoord alleen wilt gebruiken voor de eerste inschrijving, moet u het wachtwoord voor de uitdaging opgeven en het wachtwoord voor hergebruiken van de uitdaging voor verlenging instellen op Nee. In dit geval wordt het geïnstalleerde certificaat gebruikt voor de verlenging van het certificaat.
- 802.1X-verificatie inschakelen en Certificate Select zijn alleen van toepassing op telefoons in bekabelde netwerken.
- DHCP-optie 60 (Vendor Class Identifier) wordt gebruikt om het apparaatmodel te identificeren.
Voorbeeld van DHCP-optie 43 (subopties 10—15):
Suboptie decimaal/hexadecimaal Waardelengte (byte), decimaal/hexadecimaal Waarde Hexale waarde 10/0a 1/01 1 (0: Uitgeschakeld; 1: Ingeschakeld) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0 1/01 1 (0: Nee; 1: Ja) 01 15/0 f 1/01 1 (0: Productie geïnstalleerd; 1: Op maat geïnstalleerd) 01 Samenvatting van de parameterwaarden:
-
FIPS-modus =
Enabled -
Server =
http://10.79.57.91 -
Root CA-vingerafdruk =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Wachtwoord voor de uitdaging =
D233CCF9B9952A15 -
802.1X-verificatie inschakelen =
Yes -
Certificaat Select =
Custom installed
De syntaxis van de uiteindelijke hexadecimale waarde is:
{<suboption><length><value>}...Volgens de parameterwaarden hierboven is de uiteindelijke hexadecimale waarde als volgt:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Configureer DHCP-optie 43 op een DHCP-server.
Deze stap biedt een voorbeeld van de DHCP-configuratie van optie 43 op Cisco Network Register.
- Voeg een DHCP-optiedefinitieset toe.
De Vendor Option String is de modelnaam van de IP-telefoons. De geldige waarde is: DP-9841, DP-9851, DP-9861, DP-9871 of CP-8875.
- Voeg de DHCP-optie 43 en subopties toe aan de DHCP-optiedefinitieset.
Voorbeeld:
- Voeg opties 43 toe aan het DHCP-beleid en stel de waarde als volgt in:
Voorbeeld:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Controleer de instellingen. U kunt Wireshark gebruiken om een spoor vast te leggen van het netwerkverkeer tussen de telefoon en de dienst.
- Voeg een DHCP-optiedefinitieset toe.
- De telefoon terugzetten naar de fabrieksinstellingen.
Nadat de telefoon is gereset, worden de parameters Server, Root CA Fingerprint en Challenge Password automatisch ingevuld. Deze parameters bevinden zich in de sectie SCEP-configuratie 1 onder op de webpagina voor telefoonbeheer.
Om de details van het geïnstalleerde certificaat te bekijken, klikt u op Bekijken in de sectie Bestaande certificaten.
Om de installatiestatus van het certificaat te controleren, selecteert u . Het veld Downloadstatus 1 toont het laatste resultaat. Als er zich een probleem voordoet tijdens de inschrijving van het certificaat, geeft de downloadstatus de reden aan voor het oplossen van problemen.
Als de authenticatie van het Challenge-wachtwoord mislukt, vraagt de telefoon gebruikers om het wachtwoord in te voeren op het telefoonscherm.
- (Optioneel): Om het geïnstalleerde certificaat van de telefoon te verwijderen, klikt u op Verwijderen in de sectie Bestaande certificaten.
Wanneer u op Verwijderen klikt, verwijdert de telefoon het certificaat onmiddellijk, zonder dat er een bevestigingsverzoek wordt gedaan.
Verstrekking van een gemeenschappelijke naam of gebruikersnaam via DHCP-optie 15
Tijdens de inschrijving van het SCEP-certificaat via DHCP-optie 43 kan de telefoon ook de domeinnaam krijgen die is opgegeven in DHCP-optie 15 (indien geconfigureerd). Nadat de telefoon de domeinnaam heeft ontvangen, kan de algemene naam of gebruikersnaam worden samengesteld met de domeinnaam, die als volgt wordt weergegeven:
- Algemene naam = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
De Common Name zal worden gebruikt voor MVO in het SCEP-proces, en later de Common Name in CDC.
- Gebruikers-ID = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
De gebruikersnaam wordt gebruikt als identiteit voor bekabelde 802.1X-authenticatie.
Het MAC-adres van de telefoon is bijvoorbeeld 00:1 A:2B:3C:4D:5E, het telefoonmodel is 9871:
| Domeinnaam in DHCP-optie 15 | Algemene naam | Gebruikers-ID |
|---|---|---|
| voorbeeld.nl | CP-9871-SEP001A2B3C4D5E.Example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Leeg | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Als de domeinnaam niet is geconfigureerd in optie 15, zijn de algemene naam en gebruikersnaam hetzelfde als de algemene naam in MIC/SUDI.
