- Hjem
- /
- Artikkel
Takk for tilbakemeldingen.
I denne artikkelen
Tilbakemelding?Du kan installere et Custom Device Certificate (CDC) på en manuell eller automatisk måte. For visse miljøer kan du bruke DHCP-alternativ 43 for å tilveiebringe SCEP-parametrene for sertifikatinstallasjonen. Denne hjelpeartikkelen er for Cisco Desk Phone 9800-serien og Cisco Video Phone 8875 registrert hos Cisco BroadWorks.
Installasjon av tilpasset enhetssertifikat
Hvis du vil installere et Custom Device Certificate (CDC) på telefonen, bruker du en av følgende måter basert på situasjonen din:
Det sist installerte sertifikatet på telefonen trer i kraft.
- Manuell installasjon — du kan installere et sertifikat ved å laste det opp fra telefonadministrasjonens webside. Hvis du vil ha mer informasjon, kan du se Manuell installasjon av egendefinert enhetssertifikat ved opplasting.
- Automatisk installasjon — du kan konfigurere SCEP-parametrene (Simple Certificate Enrollment Protocol) for å utløse en automatisk installasjon av et sertifikat. Telefonen sender SCEP-forespørsler til en SCEP-server for å installere sertifikatet.
SCEP-parametrene kan konfigureres via telefonadministrasjonens webside, telefonkonfigurasjonsfilen (cfg.xml) eller Control Hub. Hvis du vil ha mer informasjon, kan du se Automatisk installasjon av Custom Device Certificate by SCEP og Parametre for telefoninnstillinger på Control Hub.
- DHCP-alternativ 43 — I visse miljøer kan du installere et sertifikat ved å bruke DHCP-alternativet 43. Alternativet 43 kan tilveiebringe SCEP-parametrene for sertifikatinstallasjonen. For detaljer, se konfigurasjon av SCEP-parametere via DHCP-alternativ 43.
-
Når du bruker DHCP-alternativet 43 for klargjøring av SCEP-parametere, kan telefonen også hente domenenavnet som bæres fra DHCP-alternativet 15. Basert på det hentede domenenavnet, kan telefonen konstruere SCEP CSR Common Name og 802.1X User ID. Hvis du vil ha mer informasjon, kan du se Klargjøring av fellesnavn eller bruker-ID via DHCP-alternativ 15.
Hvis du vil ha mer informasjon om hvordan du konfigurerer DHCP-alternativer, kan du se Konfigurere DHCP- alternativer.
-
Manuell installasjon av Custom Device Certificate ved opplasting
Du kan installere et Custom Device Certificate (CDC) manuelt på telefonen ved å laste opp sertifikatet fra telefonadministrasjonens webside.
Før du begynner
Før du kan installere et egendefinert enhetssertifikat for en telefon, må du ha:
- En sertifikatfil (.p12 eller .pfx) lagret på PC-en. Filen inneholder sertifikatet og den private nøkkelen.
- Ekstraktpassordet til sertifikatet. Passordet brukes til å dekryptere sertifikatfilen.
| 1 |
Gå til telefonadministrasjonens webside. |
| 2 |
Velg Sertifikat. |
| 3 |
I Legg til sertifikat- delen klikker du Bla gjennom... . |
| 4 |
Bla til sertifikatet på PC-en. |
| 5 |
I feltet Pak k ut passord skriver du inn passordet for sertifikatutdrag. |
| 6 |
Klikk på Last opp. Hvis sertifikatfilen og passordet er riktig, vil du motta meldingen "
Certificate added.». Ellers mislykkes opplastingen med en feilmelding som indikerer at sertifikatet ikke kan lastes opp. |
| 7 |
Hvis du vil sjekke detaljer om det installerte sertifikatet, klikker du Vis i seksjonen Eksisterende sertifikater. |
| 8 |
Hvis du vil fjerne det installerte sertifikatet fra telefonen, klikker du Slett i seksjonen Eksisterende sertifikater. Når du klikker på knappen, starter fjerningsoperasjonen umiddelbart uten bekreftelse. Etter at sertifikatet er fjernet, vises |
Automatisk installasjon av Custom Device Certificate av SCEP
Du kan konfigurere SCEP-relaterte parametere (Simple Certificate Enrollment Protocol) til å samhandle med SCEP-serveren for å installere Custom Device Certificate (CDC) automatisk.
Når noen av SCEP-parametrene er konfigurert, vil telefonen sende en SCEP-registreringsforespørsel til serveren. Telefonen vil validere det mottatte CA-sertifikatet ved hjelp av det konfigurerte fingeravtrykket.
Før du begynner
Før du kan utføre en automatisk installasjon av et Custom Device Certificate (CDC) for en telefon, må du ha:
- SCEP-serveradresse
- SHA-1 eller SHA-256 fingeravtrykk fra CA som utsteder telefonsertifikatet
| 1 |
Gå til telefonadministrasjonens webside. |
| 2 |
Velg Sertifikat. |
| 3 |
I delen SCEP-konfigurasjon 1 an gir du parametrene som beskrevet i Parametre for SCEP- konfigurasjon. |
| 4 |
Klikk på Send inn alle endringer. |
Parametre for SCEP-konfigurasjon
Tabellen nedenfor beskriver funksjonen og bruken av SCEP-konfigurasjonsparametere i delen SCEP-konfigurasjon 1 på fanen Sertifikat på websiden for telefonadministrasjon. Det inkluderer også syntaksen til strengene du legger til i telefonkonfigurasjonsfilen (cfg.xml) for å konfigurere en parameter.
Endring av parameteren Reuse Challenge Password for Renew al oppdaterer bare fornyelsespolicyen og utløser ikke umiddelbar registrering. Endring av andre SCEP-registreringsparametere vil imidlertid føre til at telefonen automatisk ber om et nytt sertifikat.
| Parameter | Beskrivelse |
|---|---|
| Tjeneren |
SCEP-serveradresse. Denne parameteren er obligatorisk. Utfør ett av følgende:
Gyldige verdier: En URL eller IP-adresse. HTTPS-ordningen støttes ikke. Standard: Tom |
| CA Fingeravtrykk |
Skriv inn SHA-256- eller SHA-1-fingeravtrykket til CA-sertifikatet som utstedte telefonsertifikatet. CA-sertifikatet må inkluderes i SCEP-serverens
Utfør ett av følgende:
XML-parameteren beholder det gamle navnet
Standard: Tom |
| Utfordringspassord |
Utfordringspassordet for Certificate Authority (CA) autorisasjon mot telefonen under en sertifikatregistrering via SCEP. Denne parameteren er valgfri. I henhold til det faktiske SCEP-miljøet varierer oppførselen til utfordringspassordet.
Utfør ett av følgende:
Standard: Tom |
| Vanlig navn |
Angir fellesnavnet (CN) som brukes som identifikator for telefonen som ber om sertifik atet. CN brukes til Certificate Signing Request (CSR) i SCEP-prosessen . Denne parameteren støtter også makroutvidelsesvariabler, se Makroutvidelsesvariabler for detaljer. Utfør ett av følgende:
Gyldige verdier: Maksimalt 64 tegn Standard: Tom |
| Landets navn |
Angir organisasjonens land. Utfør ett av følgende:
Gyldige verdier: Streng på 0 til 2 tegn Standard: Tom |
| Navn på delstat eller provins |
Angir organisasjonens stat eller provins. Utfør ett av følgende:
Gyldige verdier: Streng på 0 til 64 tegn. Standard: Tom |
| Lokalitetsnavn |
Angir lokalitetsnavnet for sertifikatemnet. Utfør ett av følgende:
Gyldige verdier: Streng på 0 til 64 tegn Standard: Tom |
| Organisasjonsnavn |
Angir CSR-emnenavnet (Certificate Signing Request). Utfør ett av følgende:
Gyldige verdier: Streng på 0 til 64 tegn Standard: Tom |
| Organisasjonsenhet |
Angir organisasjonsenhetsnavnene for CSR-emnenavnet (Certificate Signing Re quest). Telefonen vil legge til opptil 5 «/OU =» parametere til CSR-emnenavnet. Utfør ett av følgende:
Gyldige verdier: Hver oppføring er en strengmatrise på 0 til 64 tegn atskilt med komma, med en maksimal lengde på 512 tegn. Opptil 5 enheter kan spesifiseres. Standard: Tom |
| SAN DNS |
Angir DNS-parametrene (Domain Name Server) for CSR (Certificate Sig ning Request) Subject Alternative Name (SAN). Telefonen vil legge til opptil fem DNS- parametere til CSR SAN. Utfør ett av følgende:
Gyldige verdier: Hver oppføring er en strengmatrise på 0 til 64 tegn atskilt med komma, med en maksimal lengde på 512 tegn. Opptil fem DNS-parametere kan spesifiseres. Standard: Tom |
| SAN IP |
Angir IP-parametrene for CSR (Subject Alternative Name) for SAN (Certi ficate Signing Request). Telefonen vil legge til opptil fem IP-parametere til CSR SAN. Utfør ett av følgende:
Gyldige verdier: Hver oppføring er en strengmatrise på 0 til 64 tegn atskilt med komma, med en maksimal lengde på 512 tegn. Opptil fem IP-parametere kan spesifiseres. Standard: Tom |
| E-post SAN |
Angir e-postparametrene for sertifikatsigneringsforespørselen (CSR) Subject Al ternative Name (SAN). Telefon vil legge til opptil fem e-postparametere til CSR SAN. Utfør ett av følgende:
Gyldige verdier: Hver oppføring er en strengmatrise på 0 til 64 tegn atskilt med komma, med en maksimal lengde på 512 tegn. Opptil fem e-postparametere kan spesifiseres. Standard: Tom |
| SAN URI |
Angir URI-parametrene for CSR (Subject Alternative Name) for SAN (Certi ficate Signing Request). Telefonen vil legge til opptil fem URI-parametere til CSR SAN. Utfør ett av følgende:
Gyldige verdier: Hver oppføring er en strengmatrise på 0 til 64 tegn atskilt med komma, med en maksimal lengde på 512 tegn. Opptil fem URI-parametere kan spesifiseres. Standard: Tom |
Sertifikatfornyelse av SCEP
Enhetssertifikatet kan oppdateres automatisk av SCEP-prosessen.
- Telefonen sjekker om sertifikatet utløper om 15 dager hver 4. time. I så fall starter telefonen sertifikatfornyelsesprosessen automatisk.
- Hvis utfordringspassordet er tomt, bruker telefonen MIC/SUDI for både innledende påmelding og sertifikatfornyelse. Hvis utfordringspassordet er konfigurert, brukes det bare til første registrering, det eksister ende/installerte sertifikatet brukes til sertifikatfornyelse.
- Telefonen fjerner ikke det gamle enhetssertifikatet før det henter det nye.
- Hvis sertifikatfornyelsen mislykkes fordi enhetssertifikatet eller sertifiseringscertifikatet utløper, utløser telefonen den første registreringen automatisk. I mellomtiden, hvis utfordringspassordgodkjenningen mislykkes, dukker det opp en passordinntastingsskjerm på telefonskjermen, og brukerne blir bedt om å oppgi utfordringspassordet på telefonen.
Konfigurasjon av CDC-fellesnavn
Som standard brukes fellesnavnet i MIC/SUDI som vanlig navn for CDC.
Du kan konfigurere det vanlige navnet for CDC når du installerer sertifikatet. Bruk en av følgende metoder for å installere en CDC på telefonen:
-
Generer en forespørsel om sertifikatsignering (CSR) som inneholder ønsket fellesnavn, og last opp og installer det nye sertifikatet på websiden for telefonadministrasjon.
-
Konfigurer fellesnavnet via websiden for telefonadministrasjon, telefonkonfigurasjonsfilen (cfg.xml) eller Control Hub. Dette vil utløse telefonen til å be om et nytt sertifikat automatisk.
Hvis du vil ha mer informasjon om parametrene på telefonens webside og Control Hub, kan du se Automatisk installasjon av Custom Device Certificate by SCEP og Parametre for telefoninnstillinger på Control Hub.
- Bruk DHCP-alternativ 43 og 15 til å klargjøre Common Name for CDC og kablet 802.1X-identitet.
Hvis du vil ha mer informasjon, kan du se Klargjøring av fellesnavn eller bruker-ID via DHCP-alternativ 15.
Konfigurasjon av SCEP-parametere via DHCP-alternativ 43
I noen miljøer kan du ikke installere Custom Device Certificate (CDC) ved å laste det opp eller konfigurere SCEP-parametrene direkte. I denne situasjonen kan du bruke DHCP-alternativ 43 for å levere SCEP-parametrene fra en DHCP-server til telefonen. Etter at telefonen er tilbakestilt til fabrikkinnstillinger, mottar den parametrene fra DHCP-serveren og installerer CDC ved hjelp av SCEP.
- Denne funksjonen (konfigurasjon av SCEP-parametere via DHCP-alternativ 43) er bare tilgjengelig for telefoner som er tilbakestilt til fabrikkinnstillinger.
- Ikke distribuer telefoner som er avhengige av alternativ 43 i et nettverk som også bruker ekstern klargj øring (for eksempel Alternativer 66 150, 159 og 160 eller klargjøring i skyen). Ellers kan det hende at telefonene ikke mottar alternativet 43-konfigurasjonene.
Hvis du vil installere et CDC-sertifikat ved hjelp av SCEP-parametrene fra DHCP-alternativet 43, gjør du følgende:
- Forbered et SCEP-miljø.
Hvis du vil ha informasjon om oppsett av SCEP-miljø, kan du se dokumentasjonen for SCEP-serveren.
- Konfigurer DHCP-alternativ 43 (definert i 8.4 Leverandørspesifikk informasjon, RFC 2132).
Underalternativer (10—15) er reservert for metoden:
Parameter på telefonens webside Underalternativ Type Lengde (byte) Obligatorisk FIPS-modus 10 boolsk 1 Nei* Tjeneren 11 streng 208 - lengde (utfordringspassord) Ja Root CA fingeravtrykk 12 hekse 20, 32, 48 eller 64 Ja Utfordringspassord 13 streng 208 - lengde (Server) Nei* Aktiver 802.1X-godkjenning 14 boolsk 1 Nei Sertifikatvalg 15 usignert 8-bit 1 Nei * betyr at parameteren er konfigurert i henhold til den faktiske situasjonen.
Når du bruker DHCP-alternativet 43, legger du merke til følgende egenskaper ved metoden:
- Underalternativer (10—15) er reservert for Custom Device Certificate (CDC).
- Maksimal lengde på DHCP-alternativ 43 er 255 byte.
- Maksimal lengde på Server + Challenge Password må være mindre enn 208 byte.
- Verdien for FIPS-modus må samsvare med konfigurasjonen for klargjøring av onboarding.
Ellers klarer ikke telefonen å hente det tidligere installerte sertifikatet etter
onboarding. Nærmere bestemt
- Hvis telefonen er registrert i et miljø der FIPS-modus er deaktivert, trenger du ikke å konfigurere FIPS-modus i DHCP-alternativ 43. Som standard er FIPS- modus deaktivert.
- Hvis telefonen er registrert i et miljø der FIPS-modus er aktivert, må du aktivere FIPS-modus i DHCP-alternativ 43. Se Aktivere FIPS-modus for detaljer.
- Utfordringspassordet i alternativ 43 er i klar tekst.
- For at telefonen skal bruke MIC/SUDI for første påmelding og sertifikatfornyelse, la utfordringspass ordet være tomt.
- For å bruke utfordringspassordet bare for første påmelding, oppgi utfordringsp assordet og angi Gjenbruk utfordringspassord for fornyelse til nr. I dette tilfellet brukes det installerte sertifikatet til fornyelse av sertifikatet.
- Aktiver 802.1X-godkjen ning og sertifikat valg gjelder bare for telefoner i kablede nettverk.
- DHCP-alternativ 60 (leverandørklasseidentifikator) brukes til å identifisere enhetsmodellen.
Eksempel på DHCP-alternativ 43 (underalternativer 10—15):
Underalternativ desimal/sekskant Verdi lengde (byte) desimal/hex Verdi Hex-verdi 10/0a 1/01 1 (0: Deaktivert; 1: Aktivert) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Nei; 1: Ja) 01 15/0f 1/01 1 (0: Produksjon installert; 1: Tilpasset installert) 01 Sammendrag av parameterverdiene:
-
FIPS-modus =
Enabled -
Server =
http://10.79.57.91 -
Root CA fingeravtrykk =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Utfordringspassord =
D233CCF9B9952A15 -
Aktiver 802.1X-godkjenning =
Yes -
Sertifikatvalg =
Custom installed
Syntaksen til den endelige hex-verdien er:
{<suboption><length><value>}...I henhold til parameterverdiene ovenfor er den endelige hex-verdien som følger:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Konfigurer DHCP-alternativ 43 på en DHCP-server.
Dette trinnet gir et eksempel på DHCP-alternativ 43-konfigurasjoner på Cisco Network Register.
- Legg til DHCP-alternativdefinisjonssett.
Lever andøralternativstreng en er modellnavnet på IP-telefonene. Den gyldige verdien er: DP-9841, DP-9851, DP-9861, DP-9871 eller CP-8875.
- Legg til DHCP-alternativet 43 og underalternativene i DHCP-alternativdefinisjonssettet.
Eksempel:
- Legg til alternativer 43 i DHCP-policyen og sett opp verdien som følger:
Eksempel:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Bekreft innstillingene. Du kan bruke Wireshark til å fange et spor av nettverkstrafikken mellom telefonen og tjenesten.
- Legg til DHCP-alternativdefinisjonssett.
- Tilbakestill telefonen fra fabrikken.
Etter at telefonen er tilbakestilt, fylles parametrene Server, Root CA Finger print og Challenge Password automatisk ut. Disse parametrene er plassert i delen SCEP-konfigurasjon 1 under på telefonadministrasjonens webside.
Hvis du vil vise detaljer om det installerte sertifikatet, klikker du Vis i seksjonen Eksist erende sertifikater.
Hvis du vil kontrollere installasjonsstatusen for sertifikatet, velger du . Feltet Nedlastingsstatus 1 viser det siste resultatet. Hvis det oppstår et problem under sertifikatregistreringen, viser nedlastingsstat usen årsaken til feilsøking.
Hvis godkjenning av utfordringspassord mislykkes, ber telefonen brukerne om å skrive inn passordet på telefonskjermen.
- (Valgfritt): Hvis du vil fjerne det installerte sertifikatet fra telefonen, klikker du Slett i seksjonen Eksisterende sertifikater.
Når du klikker på Slett, fjerner telefonen sertifikatet umiddelbart, uten en bekreftelsesmelding.
Klargjøring av fellesnavn eller bruker-ID via DHCP-alternativ 15
Under SCEP-sertifikatregistreringen via DHCP-alternativet 43, kan telefonen også få domenenavnet som er angitt i DHCP-alternativet 15 (hvis konfigurert). Etter at telefonen mottar domenenavnet, kan den konstruere fellesnavnet eller bruker-ID-en med domenenavnet, som er representert som følger:
- Vanlig navn = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Det vanlige navnet vil bli brukt for CSR i SCEP-prosessen, og senere vil det være det vanlige navnet i CDC.
- Bruker-ID = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Bruker-ID-en vil bli brukt som identitet for kablet 802.1X-godkjenning.
For eksempel er telefonens MAC-adresse 00:1 A:2B:3C:4D:5E, telefonmodellen er 9871:
| Domenenavn i DHCP-alternativ 15 | Vanlig navn | Bruker-ID |
|---|---|---|
| eksempel.nl | CP-9871-SEP001A2B3C4D5E.eksempel.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Tomme | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Hvis domenenavnet ikke er konfigurert i alternativ 15, vil fellesnavnet og bruker-ID-en være det samme med fellesnavnet i MIC/SUDI.
