- Página inicial
- /
- Artigo
Obrigado pelos seus comentários.
Neste artigo
Comentários?Você pode instalar um Certificado de Dispositivo Personalizado (CDC) de forma manual ou automática. Para determinados ambientes, você pode utilizar a opção 43 do DHCP para fornecer os parâmetros SCEP para a instalação do certificado. Este artigo de ajuda é para o Cisco Desk Phone 9800 Series e o Cisco Video Phone 8875 registrados no Cisco BroadWorks.
Instalação do certificado de dispositivo personalizado
Para instalar um Certificado de Dispositivo Personalizado (CDC) em seu telefone, use uma das seguintes formas com base na sua situação:
O certificado instalado mais recentemente no telefone entra em vigor.
- Instalação manual — você pode instalar um certificado fazendo o upload da página da web de administração do telefone. Para obter detalhes, consulte Instalação manual do certificado de dispositivo personalizado por upload.
- Instalação automática — você pode configurar os parâmetros do Simple Certificate Enrollment Protocol (SCEP) para acionar a instalação automática de um certificado. O telefone envia solicitações SCEP para um servidor SCEP para instalar o certificado.
Os parâmetros SCEP podem ser configurados por meio da página da web de administração do telefone, do arquivo de configuração do telefone (cfg.xml) ou do Control Hub. Para obter detalhes, consulte Instalação automática do certificado de dispositivo personalizado pelo SCEP e parâmetros para configurações do telefone no Control Hub.
- Opção DHCP 43 — Em determinado ambiente, você pode instalar um certificado utilizando a opção 43 do DHCP. A opção 43 pode fornecer os parâmetros SCEP para a instalação do certificado. Para obter detalhes, consulte Configuração de parâmetros SCEP via opção 43 do DHCP.
-
Quando você usa a opção 43 do DHCP para provisionar os parâmetros do SCEP, o telefone também pode recuperar o nome de domínio transportado da opção 15 do DHCP. Com base no nome de domínio recuperado, o telefone pode criar o nome comum SCEP CSR e o ID de usuário 802.1X. Para obter detalhes, consulte Provisionamento de nome comum ou ID de usuário via DHCP, opção 15.
Para obter mais informações sobre como configurar as opções de DHCP, consulte Configurar opções de DHCP.
-
Instalação manual do certificado de dispositivo personalizado por upload
Você pode instalar manualmente um certificado de dispositivo personalizado (CDC) no telefone fazendo o upload do certificado na página da web de administração do telefone.
Antes de começar
Antes de instalar um certificado de dispositivo personalizado para um telefone, você deve ter:
- Um arquivo de certificado (.p12 ou .pfx) salvo em seu PC. O arquivo contém o certificado e a chave privada.
- A senha de extração do certificado. A senha é usada para descriptografar o arquivo do certificado.
| 1 |
Acesse a página da web de administração do telefone. |
| 2 |
Selecione Certificado. |
| 3 |
Na seção Adicionar certificado, clique em Procurar... . |
| 4 |
Navegue até o certificado em seu PC. |
| 5 |
No campo Extrair senha, insira a senha de extração do certificado. |
| 6 |
Clique em Carregar. Se o arquivo do certificado e a senha estiverem corretos, você receberá a mensagem "
Certificate added.”. Caso contrário, o carregamento falhará com uma mensagem de erro indicando que o certificado não pode ser carregado. |
| 7 |
Para verificar os detalhes do certificado instalado, clique em Exibir na seção Certificados existentes. |
| 8 |
Para remover o certificado instalado do telefone, clique em Excluir na seção Certificados existentes. Depois de clicar no botão, a operação de remoção é iniciada imediatamente sem uma confirmação. Depois que o certificado for removido, a |
Instalação automática do certificado de dispositivo personalizado pelo SCEP
Você pode configurar os parâmetros relacionados ao Simple Certificate Enrollment Protocol (SCEP) para interagir com o servidor SCEP e instalar o Certificado de Dispositivo Personalizado (CDC) automaticamente.
Depois que qualquer um dos parâmetros do SCEP for configurado, o telefone enviará uma solicitação de inscrição do SCEP ao servidor. O telefone validará o certificado CA recebido usando a impressão digital configurada.
Antes de começar
Antes de realizar uma instalação automática de um Certificado de Dispositivo Personalizado (CDC) para um telefone, você deve ter:
- Endereço do servidor SCEP
- Impressão digital SHA-1 ou SHA-256 da CA que emite o certificado telefônico
| 1 |
Acesse a página da web de administração do telefone. |
| 2 |
Selecione Certificado. |
| 3 |
Na seção Configuração 1 do SCEP, defina os parâmetros conforme descrito em Parâmetros para configuração do SCEP. |
| 4 |
Clique em Enviar todas as alterações. |
Parâmetros para configuração do SCEP
A tabela a seguir descreve a função e o uso dos parâmetros de configuração do SCEP na seção Configuração 1 do SCEP na guia Certificado da página da web de administração do telefone. Também inclui a sintaxe das cadeias de caracteres que você adiciona ao arquivo de configuração do telefone (cfg.xml) para configurar um parâmetro.
Alterar o parâmetro Reuse Challenge Password for Renewal atualiza apenas a política de renovação e não aciona a inscrição imediata. No entanto, alterar qualquer outro parâmetro de inscrição no SCEP fará com que o telefone solicite automaticamente um novo certificado.
| Parâmetro | Descrição |
|---|---|
| Servidor |
Endereço do servidor SCEP. Esse parâmetro é obrigatório. Execute uma das seguintes ações:
Valores válidos: um URL ou endereço IP. O esquema HTTPS não é suportado. Padrão: Vazio |
| Impressão digital CA |
Insira a impressão digital SHA-256 ou SHA-1 do certificado CA que emitiu o certificado de telefone. O certificado CA deve ser incluído na resposta do servidor SCEP.
Execute uma das seguintes ações:
O parâmetro XML retém o nome
Padrão: Vazio |
| Senha do desafio |
A senha de contestação para autorização Certificate Authority (CA) no telefone durante a inscrição de um certificado via SCEP. Esse parâmetro é opcional. De acordo com o ambiente real do SCEP, o comportamento da senha de desafio varia.
Execute uma das seguintes ações:
Padrão: Vazio |
| Nome comum |
Especifica o nome comum (CN) usado como identificador para o telefone que solicita o certificado. O CN é usado para Solicitação de Assinatura de Certificado (CSR) no processo SCEP . Esse parâmetro também oferece suporte a variáveis de expansão de macro, consulte Variáveis de expansão de macro para obter detalhes. Execute uma das seguintes ações:
Valores válidos: máximo de 64 caracteres Padrão: Vazio |
| Nome do país |
Especifica o país da organização. Execute uma das seguintes ações:
Valores válidos: sequência de caracteres de 0 a 2 caracteres Padrão: Vazio |
| Nome do estado ou província |
Especifica o estado ou a província da organização. Execute uma das seguintes ações:
Valores válidos: sequência de caracteres de 0 a 64 caracteres. Padrão: Vazio |
| Nome da localidade |
Especifica o nome da localidade para o assunto do certificado. Execute uma das seguintes ações:
Valores válidos: sequência de caracteres de 0 a 64 caracteres Padrão: Vazio |
| Nome da organização |
Especifica o nome do assunto da Solicitação de Assinatura de Certificado (CSR). Execute uma das seguintes ações:
Valores válidos: sequência de caracteres de 0 a 64 caracteres Padrão: Vazio |
| Unidade organizacional |
Especifica os nomes das unidades organizacionais para o nome do assunto da Solicitação de Assinatura de Certificado (CSR). O telefone adicionará até 5 parâmetros “/OU=” ao nome do assunto da CSR. Execute uma das seguintes ações:
Valores válidos: cada entrada é uma matriz de seqüências de caracteres de 0 a 64 caracteres separada por uma vírgula, com um comprimento máximo de 512 caracteres. Até 5 unidades podem ser especificadas. Padrão: Vazio |
| SAN DNS |
Especifica os parâmetros do Servidor de Nomes de Domínio (DNS) para o Nome Alternativo do Assunto (SAN) da Solicitação de Assinatura de Certificado (CSR). O telefone adicionará até cinco parâmetros de DNS à SAN CSR. Execute uma das seguintes ações:
Valores válidos: cada entrada é uma matriz de seqüências de caracteres de 0 a 64 caracteres separada por uma vírgula, com um comprimento máximo de 512 caracteres. Até cinco parâmetros de DNS podem ser especificados. Padrão: Vazio |
| SAN IP |
Especifica os parâmetros IP para o Nome Alternativo do Assunto (SAN) da Solicitação de Assinatura de Certificado (CSR). O telefone adicionará até cinco parâmetros IP à SAN CSR. Execute uma das seguintes ações:
Valores válidos: cada entrada é uma matriz de seqüências de caracteres de 0 a 64 caracteres separada por uma vírgula, com um comprimento máximo de 512 caracteres. Até cinco parâmetros IP podem ser especificados. Padrão: Vazio |
| E-mail da SAN |
Especifica os parâmetros de e-mail para o Nome Alternativo do Assunto (SAN) da Solicitação de Assinatura de Certificado (CSR). O telefone adicionará até cinco parâmetros de e-mail à SAN CSR. Execute uma das seguintes ações:
Valores válidos: cada entrada é uma matriz de seqüências de caracteres de 0 a 64 caracteres separada por uma vírgula, com um comprimento máximo de 512 caracteres. Até cinco parâmetros de e-mail podem ser especificados. Padrão: Vazio |
| SAN URI |
Especifica os parâmetros de URI para o Nome Alternativo do Assunto (SAN) da Solicitação de Assinatura de Certificado (CSR). O telefone adicionará até cinco parâmetros de URI à SAN CSR. Execute uma das seguintes ações:
Valores válidos: cada entrada é uma matriz de seqüências de caracteres de 0 a 64 caracteres separada por uma vírgula, com um comprimento máximo de 512 caracteres. Até cinco parâmetros de URI podem ser especificados. Padrão: Vazio |
Renovação do certificado pelo SCEP
O certificado do dispositivo pode ser atualizado automaticamente pelo processo SCEP.
- O telefone verifica se o certificado expirará em 15 dias a cada 4 horas. Nesse caso, o telefone inicia o processo de renovação do certificado automaticamente.
- Se a senha do desafio estiver vazia, o telefone usará o MIC/SUDI tanto para a inscrição inicial quanto para a renovação do certificado. Se a senha do desafio estiver configurada, ela será usada somente para inscrição inicial; o certificado existente/instalado será usado para renovação do certificado.
- O telefone não remove o certificado antigo do dispositivo até recuperar o novo.
- Se a renovação do certificado falhar porque o certificado do dispositivo ou a CA expiram, o telefone acionará a inscrição inicial automaticamente. Enquanto isso, se a autenticação da senha de desafio falhar, uma tela de entrada de senha aparecerá na tela do telefone e os usuários serão solicitados a digitar a senha de desafio no telefone.
Configuração de nome comum do CDC
Por padrão, o nome comum no MIC/SUDI é usado como o nome comum do CDC.
Você pode configurar o nome comum do CDC ao instalar o certificado. Use um dos métodos a seguir para instalar um CDC no telefone:
-
Gere uma Solicitação de Assinatura de Certificado (CSR) que contenha o nome comum desejado e, em seguida, carregue e instale o novo certificado na página da web de administração do telefone.
-
Configure o nome comum por meio da página da web de administração do telefone, do arquivo de configuração do telefone (cfg.xml) ou do Control Hub. Isso fará com que o telefone solicite um novo certificado automaticamente.
Para obter mais informações sobre os parâmetros na página da web do telefone e no Control Hub, consulte Instalação automática do certificado de dispositivo personalizado pelo SCEP e Parâmetros para configurações do telefone no Control Hub.
- Utilize as opções 43 e 15 do DHCP para provisionar o nome comum para CDC e identidade 802.1X com fio.
Para obter mais informações, consulte Provisionamento de nome comum ou ID de usuário via DHCP, opção 15.
Configuração de parâmetros SCEP via DHCP, opção 43
Em alguns ambientes, você não pode instalar o Certificado de Dispositivo Personalizado (CDC) fazendo o upload ou configurando diretamente os parâmetros do SCEP. Nessa situação, você pode usar a opção 43 do DHCP para fornecer os parâmetros SCEP de um servidor DHCP para o telefone. Depois que o telefone é redefinido para os padrões de fábrica, ele recebe os parâmetros do servidor DHCP e instala o CDC usando o SCEP.
- Esse recurso (configuração de parâmetros SCEP via opção 43 de DHCP) está disponível somente para telefones que foram redefinidos para os padrões de fábrica.
- Não implante telefones que dependam das opções 43 em uma rede que também usa provisionamento remoto (por exemplo, as opções 66.150, 159 e 160 ou provisionamento em nuvem). Caso contrário, os telefones podem não receber as configurações da opção 43.
Para instalar um certificado CDC pelos parâmetros SCEP fornecidos pela opção 43 do DHCP, faça o seguinte:
- Prepare um ambiente SCEP.
Para obter informações sobre a configuração do ambiente SCEP, consulte a documentação do servidor SCEP.
- Configure a opção 43 do DHCP (definida em 8.4 Informações específicas do fornecedor, RFC 2132).
As subopções (10—15) são reservadas para o método:
Parâmetro na página da web do telefone Subopção Tipo Comprimento (byte) Obrigatório Modo FIPS 10 booleano 1 Não* Servidor 11 fio 208 - comprimento (senha de desafio) sim Impressão digital raiz da CA 12 enfeitiçar 20, 32, 48 ou 64 sim Senha do desafio 13 fio 208 - comprimento (servidor) Não* Ativar autenticação 802.1X 14 booleano 1 Não Seleção de certificado 15 8 bits não assinados 1 Não * significa que o parâmetro está configurado de acordo com a situação real.
Ao usar a opção 43 do DHCP, observe as seguintes características do método:
- As subopções (10—15) são reservadas para o Certificado de Dispositivo Personalizado (CDC).
- O tamanho máximo da opção 43 do DHCP é 255 bytes.
- O tamanho máximo do Servidor + Senha de Desafio deve ser menor que 208 bytes.
- O valor do modo FIPS deve corresponder à configuração de provisionamento de integração.
Caso contrário, o telefone não conseguirá recuperar o certificado instalado anteriormente após a
integração. Especificamente,
- Se o telefone estiver registrado em um ambiente em que o modo FIPS esteja desativado, você não precisará configurar o modo FIPS na opção 43 do DHCP. Por padrão, o modo FIPS está desativado.
- Se o telefone estiver registrado em um ambiente em que o modo FIPS esteja ativado, você deverá ativar o modo FIPS na opção 43 do DHCP. Consulte Ativar o modo FIPS para obter detalhes.
- A senha de desafio na Opção 43 está em texto não criptografado.
- Para que o telefone use o MIC/SUDI para inscrição inicial e renovação do certificado, deixe a senha do desafio vazia.
- Para usar a senha do desafio somente para a inscrição inicial, forneça a senha do desafio e defina Reutilizar a senha do desafio para renovação como Não. Nesse caso, o certificado instalado é usado para renovação do certificado.
- Ativar autenticação 802.1X e a seleção de certificados se aplicam somente a telefones em redes com fio.
- A opção 60 do DHCP (Vendor Class Identifier) é usada para identificar o modelo do dispositivo.
Exemplo da opção 43 de DHCP (subopções 10—15):
Subopção decimal/hexadecimal Comprimento do valor (byte) decimal/hexadecimal Valor Valor hexadecimal 10/0a 1/01 1 (0: Desativado; 1: Ativado) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Não; 1: Sim) 01 15/0f 1/01 1 (0: Fabricação instalada; 1: Instalação personalizada) 01 Resumo dos valores dos parâmetros:
-
Modo FIPS =
Enabled -
Server =
http://10.79.57.91 -
Impressão digital raiz da CA =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Senha do desafio =
D233CCF9B9952A15 -
Ativar autenticação 802.1X =
Yes -
Selecionar certificado =
Custom installed
A sintaxe do valor hexadecimal final é:
{<suboption><length><value>}...De acordo com os valores dos parâmetros acima, o valor hexadecimal final é o seguinte:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Configure a opção 43 do DHCP em um servidor DHCP.
Esta etapa fornece um exemplo das configurações da opção 43 de DHCP no Cisco Network Register.
- Adicione o conjunto de definições de opções DHCP.
O Vendor Option String é o nome do modelo dos telefones IP. O valor válido é: DP-9841, DP-9851, DP-9861, DP-9871 ou CP-8875.
- Adicione a opção 43 e as subopções de DHCP ao conjunto de definições de opções de DHCP.
Exemplo:
- Adicione as opções 43 à política DHCP e configure o valor da seguinte forma:
Exemplo:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Verifique as configurações. Você pode usar o Wireshark para capturar um traço do tráfego de rede entre o telefone e o serviço.
- Adicione o conjunto de definições de opções DHCP.
- Redefina o telefone para as configurações de fábrica.
Depois que o telefone é redefinido, os parâmetros Server, Root CA Fingerprint e Challenge Password são preenchidos automaticamente. Esses parâmetros estão localizados na seção Configuração 1 do SCEP, em , na página da web de administração do telefone.
Para ver os detalhes do certificado instalado, clique em Exibir na seção Certificados existentes.
Para verificar o status da instalação do certificado, selecione O campo Status do download 1 mostra o resultado mais recente. Se ocorrer um problema durante a inscrição do certificado, o status do download mostrará o motivo para fins de solução de problemas.
Se a autenticação da senha de desafio falhar, o telefone solicitará que os usuários insiram a senha na tela do telefone.
- (Opcional): Para remover o certificado instalado do telefone, clique em Excluir na seção Certificados existentes.
Quando você clica em Excluir, o telefone remove o certificado imediatamente, sem uma solicitação de confirmação.
Provisionamento de nome comum ou ID de usuário via DHCP, opção 15
Durante a inscrição do certificado SCEP por meio da opção 43 do DHCP, o telefone também pode obter o nome de domínio fornecido na opção 15 do DHCP (se configurado). Depois que o telefone recebe o nome de domínio, ele pode criar o nome comum ou a ID do usuário com o nome de domínio, que é representado da seguinte forma:
- Nome comum = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
O nome comum será usado para CSR no processo SCEP e, posteriormente, será o nome comum no CDC.
- ID de usuário = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
A ID do usuário será usada como identidade para a autenticação 802.1X com fio.
Por exemplo, o endereço MAC do telefone é 00:1 A:2B:3C:4D:5E, o modelo do telefone é 9871:
| Nome de domínio na opção DHCP 15 | Nome comum | ID de usuário |
|---|---|---|
| exemplo.nl | CP-9871-SEP001a2b3c4d5e.example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Vazio | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Se o nome de domínio não estiver configurado na opção 15, o nome comum e o ID do usuário serão os mesmos com o nome comum no MIC/SUDI.
