- Strona główna
- /
- Artykuł
Dziękujemy za opinię.
W tym artykule
Opinia?Certyfikat urządzenia niestandardowego (CDC) można zainstalować w sposób ręczny lub automatyczny. W niektórych środowiskach można użyć opcji DHCP 43, aby podać parametry SCEP dla instalacji certyfikatu. Ten artykuł pomocy dotyczy telefonu Cisco Desk Phone 9800 Series i Cisco Video Phone 8875 zarejestrowanego w Cisco BroadWorks.
Instalacja certyfikatu urządzenia niestandardowego
Aby zainstalować niestandardowy certyfikat urządzenia (CDC) w telefonie, użyj jednego z następujących sposobów w zależności od sytuacji:
Ostatnio zainstalowany certyfikat w telefonie zaczyna obowiązywać.
- Instalacja ręczna — certyfikat można zainstalować, przesyłając go ze strony internetowej administracji telefonu. Aby uzyskać szczegółowe informacje, zobacz Ręczna instalacja certyfikatu urządzenia niestandardowego przez przesłanie.
- Automatyczna instalacja — można skonfigurować parametry Simple Certificate Enrollment Protocol (SCEP) w celu uruchomienia automatycznej instalacji certyfikatu. Telefon wysyła żądania SCEP do serwera SCEP w celu zainstalowania certyfikatu.
Parametry SCEP można skonfigurować za pośrednictwem strony internetowej administracji telefonu, pliku konfiguracyjnego telefonu (cfg.xml) lub Control Hub. Aby uzyskać szczegółowe informacje, zobacz Automatyczna instalacja niestandardowego certyfikatu urządzenia według SCEP i Parametry dla ustawień telefonu w Centrum sterowania.
- Opcja DHCP 43 — W określonym środowisku można zainstalować certyfikat, korzystając z opcji DHCP 43. Opcja 43 może podać parametry SCEP dla instalacji certyfikatu. Aby uzyskać szczegółowe informacje, zobacz Konfiguracja parametrów SCEP za pomocą opcji DHCP 43.
-
Gdy używasz opcji DHCP 43 do udostępniania parametrów SCEP, telefon może również pobrać nazwę domeny przenoszoną z opcji DHCP 15. Na podstawie pobranej nazwy domeny telefon może skonstruować nazwę wspólną SCEP CSR i identyfikator użytkownika 802.1X. Aby uzyskać szczegółowe informacje, zobacz Udostępnianie nazwy wspólnej lub identyfikatora użytkownika za pomocą opcji DHCP 15.
Aby uzyskać więcej informacji na temat konfigurowania opcji DHCP, zobacz Konfigurowanie opcji DHCP.
-
Ręczna instalacja certyfikatu urządzenia niestandardowego przez przesłanie
Certyfikat urządzenia niestandardowego (CDC) można ręcznie zainstalować w telefonie, przesyłając certyfikat ze strony internetowej administracji telefonu.
Zanim zaczniesz
Zanim będzie można zainstalować niestandardowy certyfikat urządzenia dla telefonu, musisz mieć:
- Plik certyfikatu (.p12 lub .pfx) zapisany na komputerze. Plik zawiera certyfikat i klucz prywatny.
- Hasło wyodrębnienia certyfikatu. Hasło służy do odszyfrowania pliku certyfikatu.
| 1 |
Uzyskaj dostęp do strony internetowej administracji telefonu. |
| 2 |
Wybierz Certyfikat. |
| 3 |
W sekcji Dodaj certyfikat kliknij Przeglądaj... . |
| 4 |
Przejdź do certyfikatu na komputerze. |
| 5 |
W polu Wyo drębnij hasło wprowadź hasło wyodrębnienia certyfikatu. |
| 6 |
Kliknij Prześlij. Jeśli plik certyfikatu i hasło są poprawne, otrzymasz wiadomość "
Certificate added.”. W przeciwnym razie przesyłanie nie powiedzie się z komunikatem o błędzie wskazującym, że certyfikat nie może zostać przesłany. |
| 7 |
Aby sprawdzić szczegóły zainstalowanego certyfikatu, kliknij Widok w sekcji Ist niejące certyfikaty. |
| 8 |
Aby usunąć zainstalowany certyfikat z telefonu, kliknij przycisk Usuń w sekcji Ist niejące certyfikaty. Po kliknięciu przycisku operacja usuwania rozpoczyna się natychmiast bez potwierdzenia. Po usunięciu certyfikatu pojawi się |
Automatyczna instalacja certyfikatu urządzenia niestandardowego przez SCEP
Można skonfigurować parametry związane z Simple Certificate Enrollment Protocol (SCEP) do interakcji z serwerem SCEP w celu automatycznego zainstalowania niestandardowego certyfikatu urządzenia (CDC).
Po skonfigurowaniu któregokolwiek z parametrów SCEP telefon wyśle żądanie rejestracji SCEP na serwer. Telefon zweryfikuje otrzymany certyfikat CA za pomocą skonfigurowanego odcisku palca.
Zanim zaczniesz
Zanim będzie można wykonać automatyczną instalację Custom Device Certificate (CDC) dla telefonu, musisz mieć:
- Adres serwera SCEP
- Odcisk palca SHA-1 lub SHA-256 głównego certyfikatu CA dla serwera SCEP
| 1 |
Uzyskaj dostęp do strony internetowej administracji telefonu. |
| 2 |
Wybierz Certyfikat. |
| 3 |
W sekcji Konfiguracja SCEP 1 u staw parametry zgodnie z opisem w Par ametry dla konfiguracji SCEP. |
| 4 |
Kliknij Prześlij wszystkie zmiany. |
Parametry konfiguracji SCEP
Poniższa tabela opisuje funkcję i użycie parametrów konfiguracyjnych SCEP w sekcji Kon figuracja SCEP 1 na karcie Certyfikat na stronie internetowej administracji telefonu. Zawi era również składnię ciągów dodanych do pliku konfiguracyjnego telefonu (cfg.xml) w celu skonfigurowania parametru.
Każda zmiana tych parametrów powoduje, że telefon zażąda nowego certyfikatu.
| Parametr | Opis |
|---|---|
| Serwer |
Adres serwera SCEP. Ten parametr jest obowiązkowy. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: adres URL lub adres IP. Schemat HTTPS nie jest obsługiwany. Domyślnie: pusty |
| CA Odcisk palca |
Odcisk palca SHA256 lub SHA1 głównego urzędu certyfikacyjnego do walidacji podczas procesu SCEP. Ten parametr jest obowiązkowy. Wykonaj jedną z następujących czynności:
Domyślnie: pusty |
| Hasło wyzwania |
Hasło wyzwania do autoryzacji Certificate Authority (CA) na telefonie podczas rejestracji certyfikatu przez SCEP. Ten parametr jest opcjonalny. W zależności od rzeczywistego środowiska SCEP zachowanie hasła wyzwania jest różne .
Wykonaj jedną z następujących czynności:
Domyślnie: pusty |
| Nazwa zwyczajowa |
Określa nazwę wspólną (CN) używaną jako identyfikator telefonu żąd ającego certyfikatu. CN jest używany do wniosku o podpisanie certyfikatu (CSR) w procesie SCEP . Ten parametr obsługuje również zmienne rozszerzeń makr. Szczegółowe informacje można znaleźć w sekcji Zmienne rozszerzenia mak ra. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: maksymalnie 64 znaki Domyślnie: pusty |
| Nazwa kraju |
Określa kraj organizacji. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: ciąg znaków od 0 do 2 Domyślnie: pusty |
| Nazwa stanu lub prowincji |
Określa stan lub prowincję organizacji. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: ciąg znaków od 0 do 64. Domyślnie: pusty |
| Nazwa miejscowości |
Określa nazwę miejscowości dla przedmiotu certyfikatu. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: ciąg znaków od 0 do 64 Domyślnie: pusty |
| Nazwa organizacji |
Określa nazwę podmiotu żądania podpisania certyfikatu (CSR). Wykonaj jedną z następujących czynności:
Prawidłowe wartości: ciąg znaków od 0 do 64 Domyślnie: pusty |
| Jednostka organizacyjna |
Określa nazwy jednostek organizacyjnych dla nazwy podmiotu żądania podpisania certyfikatu (CSR). Telefon doda do 5 parametrów „/OU=” do nazwy podmiotu CSR. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: Każdy wpis jest tablicą ciągów od 0 do 64 znaków oddzielonych prz ecinkiem, o maksymalnej długości 512 znaków. Można określić do 5 jednostek. Domyślnie: pusty |
| SAN DNS |
Określa parametry serwera nazw domen (DNS) dla alternatywnej nazwy podmiotu żądania podpisywania certyfikatu (CSR) (SAN). Telefon doda do pięciu parametrów DNS do CSR SAN. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: Każdy wpis jest tablicą ciągów od 0 do 64 znaków oddzielonych prz ecinkiem, o maksymalnej długości 512 znaków. Można określić maksymalnie pięć parametrów DNS. Domyślnie: pusty |
| SAN IP |
Określa parametry IP dla alternatywnej nazwy podmiotu (SAN) żądania podpisania certyfikatu (CSR). Telefon doda do pięciu parametrów IP do CSR SAN. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: Każdy wpis jest tablicą ciągów od 0 do 64 znaków oddzielonych prz ecinkiem, o maksymalnej długości 512 znaków. Można określić maksymalnie pięć parametrów IP. Domyślnie: pusty |
| Adres e-mail SAN |
Określa parametry wiadomości e-mail dla alternatywnej nazwy podmiotu żądania podpisania certyfikatu (CSR) (SAN). Telefon doda do pięciu parametrów poczty e-mail do CSR SAN. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: Każdy wpis jest tablicą ciągów od 0 do 64 znaków oddzielonych prz ecinkiem, o maksymalnej długości 512 znaków. Można określić maksymalnie pięć parametrów poczty e-mail. Domyślnie: pusty |
| SAN URI |
Określa parametry URI dla alternatywnej nazwy podmiotu (SAN) żądania podpisania certyfikatu (CSR). Telefon doda maksymalnie pięć parametrów URI do CSR SAN. Wykonaj jedną z następujących czynności:
Prawidłowe wartości: Każdy wpis jest tablicą ciągów od 0 do 64 znaków oddzielonych prz ecinkiem, o maksymalnej długości 512 znaków. Można określić maksymalnie pięć parametrów URI. Domyślnie: pusty |
Odnowienie certyfikatu przez SCEP
Certyfikat urządzenia może być automatycznie odświeżany przez proces SCEP.
- Telefon sprawdza, czy certyfikat wygasa w ciągu 15 dni co 4 godziny. Jeśli tak, telefon automatycznie rozpoczyna proces odnawiania certyfikatu.
- Jeśli hasło wyzwania jest puste, telefon używa MIC/SUDI
zarówno do wstępnej rejestracji, jak i odnowienia certyfikatu. Jeśli hasło wyzwania jest skonfigurow
ane, jest ono używane w następujących przypadkach:
-
Gdy hasło ponownego użycia wyzwania dla odno wienia jest ustawione na Nie (domyślnie), telefon używa podanego hasła tylko do rejestracji początkowej i używa istniejącego certyfikatu do odnowienia.
-
Gdy hasło ponownego użycia wyzwania do odno wienia jest ustawione na Tak, telefon używa podanego hasła zarówno do początkowej rejestracji, jak i odnowienia.
-
- Telefon nie usuwa starego certyfikatu urządzenia, dopóki nie pobierze nowego.
- Jeśli odnowienie certyfikatu nie powiedzie się z powodu wygaśnięcia certyfikatu urządzenia lub urzędu certyfikacji, telefon automatycznie uruchamia wstępną rejestrację. W międzyczasie, jeśli uwierzytelnianie hasła wyzwania nie powiedzie się, na ekranie telefonu pojawi się ekran wprowadzania hasła, a użytkownicy zostaną poproszeni o wprowadzenie hasła wyzwania w telefonie.
Konfiguracja nazwy wspólnej CDC
Domyślnie nazwa wspólna w MIC/SUDI jest używana jako nazwa wspólna dla CDC.
Podczas instalacji certyfikatu można skonfigurować nazwę wspólną dla CDC. Użyj jednej z następujących metod, aby zainstalować CDC w telefonie:
-
Wygeneruj żądanie podpisania certyfikatu (CSR) zawierające żądaną nazwę zwyczajową, a następnie prześlij i zainstaluj nowy certyfikat na stronie internetowej administracji telefonu.
-
Skonfiguruj nazwę wspólną za pomocą strony internetowej administracji telefonu, pliku konfiguracji telefonu (cfg.xml) lub Centrum sterowania. Spowoduje to automatyczne żądanie nowego certyfikatu przez telefon.
Aby uzyskać więcej informacji na temat parametrów na stronie internetowej telefonu i Centrum sterowania, zobacz temat Automatyczna instalacja certyfikatu urządzenia niestandardowego przez SCEP i Parametry ustawień telefonu w Centrum sterowania.
- Użyj opcji DHCP 43 i 15, aby podać nazwę wspólną dla CDC i przewodowej tożsamości 802.1X.
Aby uzyskać więcej informacji, zobacz U dostępnianie nazwy zwyczajowej lub identyfikatora użytkownika za pomocą opcji DHCP 15.
Konfiguracja parametrów SCEP za pomocą opcji DHCP 43
W niektórych środowiskach nie można zainstalować niestandardowego certyfikatu urządzenia (CDC), przesyłając go lub bezpośrednio konfigurując parametry SCEP. W tej sytuacji można użyć opcji DHCP 43, aby dostarczyć parametry SCEP z serwera DHCP do telefonu. Po przywróceniu ustawień fabrycznych telefon odbiera parametry z serwera DHCP i instaluje CDC za pomocą SCEP.
- Ta funkcja (konfiguracja parametrów SCEP za pośrednictwem opcji DHCP 43) jest dostępna tylko dla telefonów, które zostały zresetowane do ustawień fabrycznych.
- Nie wdrażaj telefonów, które opierają się na opcjach 43 w sieci, która również wykorzystuje zdalne udostępnianie (na przykład opcje 66 150, 159 i 160 lub udostępnianie w chmurze). W przeciwnym razie telefony mogą nie otrzymać opcji 43 konfiguracji.
Aby zainstalować certyfikat CDC według parametrów SCEP dostarczonych z opcji DHCP 43, wykonaj następujące czynności:
- Przygotuj środowisko SCEP.
Aby uzyskać informacje na temat konfiguracji środowiska SCEP, zobacz dokumentację serwera SCEP.
- Skonfiguruj opcję DHCP 43 (zdefiniowaną w 8.4 Dostawcy Specific Information, RFC 2132).
Podopcje (10—15) są zarezerwowane dla metody:
Parametr na stronie internetowej telefonu Suboption Typ Długość (bajt) Obowiązkowe Tryb FIPS 10 logiczny 1 Nie* Serwer 11 sznur 208 - długość (Hasło wyzwania) tak Root CA Odcisk palca 12 klątwa 20, 32, 48 lub 64 tak Hasło wyzwania 13 sznur 208 - długość (Serwer) Nie* Włącz uwierzytelnianie 802.1X 14 logiczny 1 Nie Wybierz certyfikat 15 niepodpisany 8-bitowy 1 Nie * oznacza, że parametr jest skonfigurowany zgodnie z rzeczywistą sytuacją.
Podczas korzystania z opcji DHCP 43 zwróć uwagę na następujące cechy metody:
- Podopcje (10—15) są zarezerwowane dla Custom Device Certificate (CDC).
- Maksymalna długość opcji DHCP 43 wynosi 255 bajtów.
- Maksymalna długość hasła serwera + Challenge musi być mniejsza niż 208 bajtów.
- Wartość trybu FIPS musi być zgodna z konfiguracją przydziału wdrażania.
W przeciwnym razie telefon nie odzyskuje wcześniej zainstalowanego certyfikatu po wdroż
eniu. Konkretnie,
- Jeśli telefon jest zarejestrowany w środowisku, w którym tryb FIPS jest wyłączony, nie musisz konfigurować trybu FIPS w opcji DHCP 43. Domyślnie tryb FIPS jest wyłączony.
- Jeśli telefon jest zarejestrowany w środowisku, w którym włączony jest tryb FIPS, należy włączyć tryb FIPS w opcji DHCP 43. Szczegółowe informacje można znaleźć w sekcji Włączanie trybu FIPS.
- Hasło do wyzwania w opcji 43 jest wyraźne.
- Aby telefon używał MIC/SUDI do wstępnej rejestracji i odnowienia certyfikatu, pozost aw puste hasło wyzwania.
- Aby użyć hasła wyzwania tylko podczas rejestracji początkowej, podaj hasło wyzwania i u staw Ponowne użycie hasła wyzwania do odno wienia na Nr. W takim przypadku zainstalowany certyfikat jest używany do odnawiania certyfikatu.
- Aby użyć hasła wyzwania zarówno do początkowej rejestracji, jak i odnowienia, podaj hasło i ustaw Ponow ne hasło wyzwania do odno wienia na Tak.
- Włącz uwierzytelnianie 802.1X i wybór certyfik atu mają zastosowanie tylko do telefonów w sieciach przewodowych.
- Opcja DHCP 60 (Identyfikator klasy dostawcy) służy do identyfikacji modelu urządzenia.
Przykład opcji DHCP 43 (opcje 10—15):
Podwartość dziesiętna/sześciokątna Długość wartości (bajt) dziesiętna/heksadecymalna Wartość Wartość sześciokątna 10/0a 1/01 1 (0: Wyłączone; 1: Włączone) 01 11/0b 18/12 http://10.79.57.91 687474703A2F2F31302E37392E35372E3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Nie; 1: Tak) 01 15/0f 1/01 1 (0: Instalacja produkcji; 1: zainstalowana na zamówienie) 01 Podsumowanie wartości parametrów:
-
Tryb FIPS =
Enabled -
Server =
http://10.79.57.91 -
Root CA Odcisk palca =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Hasło wyzwania =
D233CCF9B9952A15 -
Włącz uwierzytelnianie 802.1X =
Yes -
Wybierz certyfikat =
Custom installed
Składnia ostatecznej wartości sześciokątnej to:
{<suboption><length><value>}...Zgodnie z powyższymi wartościami parametrów końcowa wartość sześciokątna jest następująca:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Skonfiguruj opcję DHCP 43 na serwerze DHCP.
Ten krok przedstawia przykład konfiguracji opcji DHCP 43 w rejestrze sieciowym Cisco.
- Dodaj zestaw definicji opcji DHCP.
Ci ąg opcji dostawcy to nazwa modelu telefonów IP. Prawidłowa wartość to: DP-9841, DP-9851, DP-9861, DP-9871 lub CP-8875.
- Dodaj opcję DHCP 43 i podopcje do zestawu definicji opcji DHCP.
Przykład:
- Dodaj opcje 43 do zasad DHCP i skonfiguruj wartość w następujący sposób:
Przykład:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Zweryfikuj ustawienia. Możesz użyć Wireshark, aby uchwycić ślad ruchu sieciowego między telefonem a usługą.
- Dodaj zestaw definicji opcji DHCP.
- Przywróć ustawienia fabryczne telefonu.
Po zresetowaniu telefonu parametry Serwer, Root CA Finger print i Has ło wyz wania są wypełniane automatycznie. Parametry te znajdują się w sekcji Konfiguracja SCEP 1 w obszarze na stronie internetowej administracji telefonu.
Aby wyświetlić szczegóły zainstalowanego certyfikatu, kliknij przycisk Widok w sekcji Ist niejące certyfikaty.
Aby sprawdzić stan instalacji certyfikatu, wybierz . W polu Status pobierania 1 wyświetlany jest najnow szy wynik. Jeśli podczas rejestracji certyfikatu wystąpi błąd, stan pobierania pokazuje przy czynę rozwiązywania problemów.
Jeśli uwierzytelnianie hasła wyzwania nie powiedzie się, telefon wyświetli monit użytkowników o wprowad zenie hasła na ekranie telefonu.
- (Opcjonalnie): Aby usunąć zainstalowany certyfikat z telefonu, kliknij przycisk Usuń w sekcji Ist niejące certyfikaty.
Po kliknięciu przycisku Usuń telefon natychmiast usuwa certyfikat, bez monitu o potwierdzenie.
Udostępnianie nazwy zwyczajowej lub identyfikatora użytkownika za pomocą opcji DHCP 15
Podczas rejestracji certyfikatu SCEP za pomocą opcji DHCP 43 telefon może również uzyskać nazwę domeny podaną w opcji DHCP 15 (jeśli jest skonfigurowana). Gdy telefon otrzyma nazwę domeny, może skonstruować nazwę wspólną lub identyfikator użytkownika z nazwą domeny, która jest reprezentowana w następujący sposób:
- Nazwa zwyczajowa = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Nazwa zwyczajowa będzie używana do CSR w procesie SCEP, a później będzie to nazwa wspólna w CDC.
- Identyfikator użytkownika = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Ident yfikator użytkownika będzie używany jako tożsamość dla przewodowego uwierzytelniania 802.1X.
Na przykład adres MAC telefonu to 00:1 A:2B:3C:4D:5E, model telefonu to 9871:
| Nazwa domeny w opcji DHCP 15 | Nazwa zwyczajowa | Identyfikator użytkownika |
|---|---|---|
| przykład.nl | CP-9871-SEP001A2B3C4D5E.Example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Puste | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Jeśli nazwa domeny nie jest skonfigurowana w opcji 15, nazwa wspólna i identyfikator użytkownika będą identyczne z nazwą wspólną w MIC/SUDI.
