Installatie van aangepast apparaatcertificaat

Om een aangepast apparaatcertificaat (CDC) op uw telefoon te installeren, kunt u een van de volgende manieren gebruiken, afhankelijk van uw situatie:

Het meest recent geïnstalleerde certificaat op de telefoon is van toepassing.

Handmatige installatie van aangepast apparaatcertificaat door uploaden

U kunt een CDC (Aangepast apparaatcertificaat) handmatig op de telefoon installeren door het certificaat via de webpagina voor telefoonbeheer te uploaden.

Voordat u begint

Voordat u een aangepast apparaatcertificaat voor een telefoon kunt installeren, moet u over de volgende beschikken:

  • Een certificaatbestand (.p12 of .pfx) opgeslagen op uw pc. Het bestand bevat het certificaat en de persoonlijke sleutel.
  • Het extractiewachtwoord van het certificaat. Het wachtwoord wordt gebruikt om het certificaatbestand te decoderen.
1

Open de beheerwebpagina van de telefoon.

2

Selecteer Certificaat.

3

Klik in het gedeelte Certificaat toevoegen op Bladeren....

4

Blader naar het certificaat op uw computer.

5

In het veld Wachtwoord ophalen voert u het certificaatwachtwoord in.

6

Klik op Uploaden.

Als het certificaatbestand en het wachtwoord juist zijn, wordt het bericht ′Certificaat toegevoegd′ weergegeven. Anders mislukt het uploaden en wordt er een foutbericht weergegeven dat het certificaat niet kan worden geüpload.
7

Als u details van het geïnstalleerde certificaat wilt controleren, klikt u Weergeven in het gedeelte Bestaande certificaten.

8

Als u het geïnstalleerde certificaat van de telefoon wilt verwijderen, klikt u Verwijderen in het gedeelte Bestaande certificaten.

Nadat u op de knop hebt geklikt, start het proces voor verwijderen meteen, zonder een bevestiging te vragen.

Als het certificaat is verwijderd, wordt het bericht 'Certificaat verwijderd′ weergegeven.

Automatische installatie van aangepast apparaatcertificaat door SCEP

U kunt de SCEP-gerelateerde (Simple Certificate Enrollment Protocol)-parameters configureren om met de SCEP-server te communiceren en het aangepaste apparaatcertificaat (CDC) automatisch te installeren.

Zodra een van de SCEP-parameters is geconfigureerd, stuurt de telefoon een SCEP-inschrijvingsverzoek naar de server. De telefoon valideert het ontvangen CA-certificaat met behulp van de geconfigureerde vingerafdruk.

Voordat u begint

Voordat u een automatische installatie van een aangepast apparaatcertificaat (CDC) voor een telefoon kunt uitvoeren, moet u aan het volgende voldoen:

  • SCEP-serveradres
  • SHA-1 of SHA-256 vingerafdruk van het CA-basiscertificaat voor de SCEP-server
1

Open de beheerwebpagina van de telefoon.

2

Selecteer Certificaat.

3

In de SCEP-configuratie 1 sectie, stel de parameters in zoals beschreven in Parameters voor SCEP-configuratie .

4

Klik op Submit All Changes.

Parameters voor SCEP-configuratie

De volgende tabel definieert de functie en het gebruik van SCEP-configuratieparameters in de SCEP-configuratie 1 sectie onder de Certificaat Tab in de webinterface van de telefoon. Het definieert ook de syntaxis van de string die in het telefoonconfiguratiebestand (cfg.xml) wordt toegevoegd om een parameter te configureren.

Elke wijziging in de parameters zorgt ervoor dat de telefoon een nieuw certificaat aanvraagt.

Tabel 1. Parameters voor SCEP-configuratie
ParameterBeschrijving
Server

SCEP-serveradres. Deze parameter is verplicht.

Voer een van de volgende handelingen uit:

  • Voer in het telefoonconfiguratiebestand met XML(cfg.xml) een tekenreeks in de volgende notatie in:

    <CDC_Server_1_ ua="na">http://10.79.57.91</CDC_Server_1_>

  • Voer op de webpagina van de telefoon het SCEP-serveradres in.

Geldige waarden: een URL of IP-adres. Het HTTPS-schema wordt niet ondersteund.

Standaard: leeg

Vingerafdruk van Root CA

SHA256- of SHA1-vingerafdruk van de Root CA voor validatie tijdens het SCEP-proces. Deze parameter is verplicht.

Voer een van de volgende handelingen uit:

  • Voer in het telefoonconfiguratiebestand met XML(cfg.xml) een tekenreeks in de volgende notatie in:

    <CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>

  • Voer op de webpagina van de telefoon een geldige vingerafdruk in.

Standaard: leeg

Controlewachtwoord

Het controlewachtwoord voor de Certificate Authority-autorisatie (CA) voor de telefoon tijdens de certificaatinschrijving via SCEP. Deze parameter is optioneel.

Afhankelijk van de SCEP-omgeving varieert het gedrag van het challenge wachtwoord.

  • Als de telefoon een certificaat krijgt van een Cisco RA die met CA communiceert, wordt het controlewachtwoord niet op CA ondersteund. In dit geval gebruikt Cisco RA de MIC/SUDI van de telefoon voor verificatie om toegang te krijgen tot CA. De telefoon gebruikt MIC/SUDI voor zowel de eerste inschrijving als het vernieuwen van het certificaat.
  • Als de telefoon een certificaat krijgt door rechtstreeks met CA te communiceren, wordt het controlewachtwoord op CA ondersteund. Indien geconfigureerd, wordt deze alleen voor de eerste inschrijving gebruikt. Voor het vernieuwen van het certificaat wordt in plaats daarvan het geïnstalleerde certificaat gebruikt.

Voer een van de volgende handelingen uit:

  • Voer in het telefoonconfiguratiebestand met XML(cfg.xml) een tekenreeks in de volgende notatie in:

    <CDC_Challenge_Password_1_ ua="na"></CDC_Challenge_Password_1_>

    Het wachtwoord wordt gemaskerd in het configuratiebestand.

  • Voer het uitdagingswachtwoord in op de webpagina van de telefoon.

Standaard: leeg

Algemene naam

Geeft de algemene naam (CN) op die wordt gebruikt als identificatie voor de telefoon die het certificaat aanvraagt. De CN wordt gebruikt voor Certificate Signing Request (CSR) in het SCEP-proces.

Deze parameter ondersteunt ook macro-uitbreidingsvariabelen, zie Macro-uitbreidingsvariabelen voor details.

Voer een van de volgende handelingen uit:

  • Voer in het telefoonconfiguratiebestand met XML(cfg.xml) een tekenreeks in de volgende notatie in:

    <CDC_Common_Name_1_ ua="na"></CDC_Common_Name_1_>

  • Voer op de webpagina van de telefoon de algemene naam in.

Geldige waarden: maximaal 64 tekens

Standaard: leeg

Certificaatverlenging door SCEP

Het apparaatcertificaat kan automatisch worden vernieuwd tijdens het SCEP-proces.

  • De telefoon controleert elke 4 uur of het certificaat over 15 dagen verloopt. Als dat gebeurt, dan wordt het vernieuwingsproces van het certificaat automatisch door de telefoon gestart.
  • Als het controlewachtwoord leeg is, gebruikt de telefoon MIC/SUDI zowel voor de eerste inschrijving als bij vernieuwing van het certificaat. Als het wachtwoord voor de uitdaging is geconfigureerd, wordt het alleen gebruikt voor de eerste aanmelding, en wordt het bestaande/geïnstalleerde certificaat gebruikt voor het vernieuwen van het certificaat.
  • Het oude apparaatcertificaat wordt pas verwijderd als het nieuwe certificaat is opgehaald.
  • Als de vernieuwing van het certificaat mislukt omdat het apparaatcertificaat of CA verloopt, wordt de initiële inschrijving automatisch door de telefoon geactiveerd. Als de wachtwoordcontrole mislukt, wordt er een invoerscherm voor het wachtwoord op het telefoonscherm weergegeven en worden gebruikers gevraagd om het controlewachtwoord op de telefoon in te voeren.

CDC Common Name-configuratie

Standaard wordt de algemene naam in MIC/SUDI gebruikt als de algemene naam voor CDC.

U kunt de algemene naam voor CDC configureren wanneer u het certificaat installeert. Gebruik een van de volgende methoden om een CDC op de telefoon te installeren:

Configuratie SCEP-parameters via DHCP-optie 43

In bepaalde omgevingen waar u het aangepaste apparaatcertificaat (CDC) niet kunt installeren door het te uploaden of de SCEP-parameters rechtstreeks te configureren. In deze situatie kunt u optie 43 van DHCP gebruiken om de parameters van een DHCP-server in te vullen. Optie 43 van DHCP kan worden geconfigureerd om de SCEP-parameters aan de telefoon te verstrekken. Nadat de fabrieksinstellingen van de telefoon zijn hersteld, kan deze de parameters van de DHCP-server ontvangen om de CDC via het SCEP-protocol te installeren.

  • Deze functie (SCEP-parameterconfiguratie via DHCP optie 43) is alleen beschikbaar voor de telefoon die is teruggezet naar de fabrieksinstellingen.
  • Telefoons mogen niet worden geplaatst in een netwerk dat optie 43 en externe provisioning ondersteunt (bijvoorbeeld opties 66,160,159,150 of cloud provisioning). Anders krijgen de telefoons mogelijk niet de optie 43-configuratie.

Ga als volgt te werk om een CDC-certificaat te installeren met behulp van de SCEP-parameters die zijn opgegeven in optie 43 van DHCP:

  1. Bereid een SCEP-omgeving voor.

    Raadpleeg uw SCEP-serverdocumentatie voor informatie over de SCEP-omgeving.

  2. Stel DHCP-optie 43 in (gedefinieerd in 8.4 Leveranciersspecifieke informatie, RFC 2132).

    Subopties (10-15) zijn voorbehouden voor de methode:

    Parameter op webpagina voor de telefoonSuboptieTypeLengte (byte)Verplicht
    FIPS-modus10booleaans1Nee*
    Server11tekenreeks208 - lengte (Challenge-wachtwoord)Ja
    Vingerafdruk van Root CA12hex20, 32, 48 of 64Ja
    Controlewachtwoord13tekenreeks208 - lengte (Server)Nee*
    802.1X-verificatie inschakelen14booleaans1Nee
    Certificaat selecteren15niet-ondertekend, 8-bits1Nee

    * betekent dat de parameter is geconfigureerd volgens de werkelijke situatie.

    Wanneer u DHCP-optie 43 gebruikt, let dan op de volgende kenmerken van de methode:

    • Subopties (10–15) zijn voorbehouden voor CDC (Aangepast apparaatcertificaat).
    • De maximumlengte van DHCP-optie 43 is 255 bytes.
    • De maximumlengte van Server + Controlewachtwoord moet minder dan 208 bytes zijn.
    • De waarde van de FIPS-modus moet in overeenstemming zijn met de inrichtingsconfiguratie bij onboarding. Anders kan de telefoon het eerder geïnstalleerde certificaat na onboarding niet ophalen. Specifiek,
      • Als de telefoon wordt geregistreerd in een omgeving waarin de FIPS-modus is uitgeschakeld, hoeft u deze niet te configureren. FIPS-modus in DHCP optie 43. Standaard is de FIPS-modus uitgeschakeld.
      • Als de telefoon wordt geregistreerd in een omgeving waarin de FIPS-modus is ingeschakeld, moet u de FIPS-modus inschakelen in DHCP optie 43. Zie FIPS-modus inschakelen voor details.
    • Het uitdagingswachtwoord in Optie 43 is in platte tekst.
      • Als u wilt dat de telefoon MIC/SUDI gebruikt voor de eerste registratie en certificaatvernieuwing, laat u het uitdagingswachtwoord leeg.
      • Als het uitdagingswachtwoord alleen voor de eerste inschrijving wordt gebruikt, configureert u het uitdagingswachtwoord. In dit geval wordt het geïnstalleerde certificaat gebruikt voor de certificaatvernieuwing.
    • 802.1X-verificatie inschakelen en Certificaat selecteren worden alleen gebruikt voor telefoons in bekabelde netwerken.
    • DHCP-optie 60 (Vendor Class Identifier) wordt gebruikt om het apparaatmodel aan te geven.

    Voorbeeld van DHCP optie 43 (subopties 10–15):

    Suboption decimaal/hexLengte van de waarde (byte) decimaal/hexWaardeHex-waarde
    10/0a1/011 (0: Uitgeschakeld; 1: Ingeschakeld)01
    11/0b18/12http://10.79.57.91687474703a2f2f31302e37392e35372e3931
    12/0c20/1412040870625C5B755D73F5925285F8F5FF5D55AF12040870625C5B755D73F5925285F8F5FF5D55AF
    13/0d16/10D233CCF9B9952A1544323333434346394239393532413135
    14/0e1/011 (0: Nee; 1: Ja)01
    15/0f1/011 (0: Fabrieksinstallatie; 1: Aangepaste installatie) 01

    Samenvatting van de parameterwaarden:

    • FIPS-modus = Ingeschakeld

    • Server = http://10.79.57.91

    • Root CA-vingerafdruk = 12040870625C5B755D73F5925285F8F5FF5D55AF

    • Controlewachtwoord = D233CCF9B9952A15

    • 802.1X-verificatie inschakelen = Ja

    • Certificaat selecteren = Aangepaste installatie

    De syntaxis van de uiteindelijke hexadecimale waarde is: {<suboptie><lengte><waarde>}...

    Volgens de bovenstaande parameterwaarden is de uiteindelijke hexwaarde als volgt:

    0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

  3. Configureer DHCP-optie 43 op een DHCP-server.

    Deze stap bevat een voorbeeld van configuraties van DHCP-optie 43 op Cisco Network Register.

    1. Voeg een definitieset met DHCP-opties toe.

      De Vendor Option String is de modelnaam van de IP-telefoons. De geldige waarde is: DP-9841, DP-9851, DP-9861, DP-9871 of CP-8875.

    2. Voeg de DHCP-optie 43 en-subinstellingen toe aan de definitieset met DHCP-opties.

      Voorbeeld:

      Screenshot van DHCP optie 43 definities op Cisco Netwerkregister

    3. Voeg optie 43 toe aan het DHCP-beleid en stel de waarde als volgt in:

      Voorbeeld:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

    4. Controleer de instellingen. Met Wireshark kunt u een spoor van het netwerkverkeer tussen de telefoon en de service vastleggen.
  4. Voer een reset van de fabrieksinstellingen uit voor de telefoon.

    Nadat de telefoon opnieuw is ingesteld, worden de parameters Server, Root CA-vingerafdruk en Controlewachtwoord automatisch ingevuld. Deze parameters bevinden zich in de sectie SCEP-configuratie 1 van Certificaat > Aangepast op de webpagina voor telefoonbeheer.

    Als u details van het geïnstalleerde certificaat wilt controleren, klikt u Weergeven in het gedeelte Bestaande certificaten.

    Om de installatiestatus van het certificaat te controleren, selecteert u Certificaat > Aangepaste certificaatstatus. Bij Downloadstatus 1 wordt het laatste resultaat weergegeven. Als zich een probleem voordoet tijdens het aanmelden van het certificaat, kan de downloadstatus de reden van het probleem aangeven.

    Als de wachtwoordverificatie voor de uitdaging mislukt, worden gebruikers gevraagd het wachtwoord in te voeren op het telefoonscherm.

  5. (Optioneel): Om het geïnstalleerde certificaat van de telefoon te verwijderen, klikt u op Verwijderen in de sectie Bestaande certificaten .

    Nadat u op de knop hebt geklikt, start het proces voor verwijderen meteen, zonder een bevestiging te vragen.

Inrichting van algemene naam of gebruikers-ID via DHCP optie 15

Tijdens de SCEP-certificaatinschrijving via optie 43 van DHCP kan de telefoon ook de domeinnaam ophalen die is opgegeven in optie 15 van DHCP (indien geconfigureerd). Nadat de telefoon de domeinnaam heeft ontvangen, kan deze de algemene naam of gebruikers-ID met de domeinnaam samenstellen. Dit wordt als volgt weergegeven:

  • Algemene naam = <Algemene naam in MIC/SUDI >.<Domeinnaam in optie 15>

    De Common Name wordt gebruikt voor CSR in het SCEP-proces en zal later de Common Name in CDC zijn.

  • Gebruikers-ID = <Algemene naam in MIC/SUDI >@<Domeinnaam in optie 15>

    De gebruikers-ID wordt gebruikt als identiteit voor bekabelde 802.1X-authenticatie.

Het adres van de telefoon MAC is bijvoorbeeld 00:1A:2B:3C:4D:5E, het telefoonmodel is 9871:

Domeinnaam in DHCP optie 15Algemene naamGebruikers-id
example.nlCP-9871-SEP001A2B3C4D5E.example.nlCP-9871-SEP001A2B3C4D5E@example.nl
LeegCP-9871-SEP001A2B3C4D5E

CP-9871-SEP001A2B3C4D5E

Als de domeinnaam niet is geconfigureerd in optie 15, zijn de algemene naam en gebruikers-ID hetzelfde als de algemene naam in MIC/SUDI.