- Pagină de pornire
- /
- Articol
Puteți instala un certificat de dispozitiv personalizat (CDC) într-un mod manual sau automat. Pentru anumite medii, puteți utiliza opțiunea DHCP 43 pentru a furniza parametrii SCEP pentru instalarea certificatului. Acest articol de ajutor este pentru Cisco Desk Phone 9800 Series și Cisco Video Phone 8875 înregistrate la Cisco BroadWorks.
Instalarea certificatului de dispozitiv personalizat
Pentru a instala un certificat de dispozitiv personalizat (CDC) pe telefon, utilizați unul dintre următoarele moduri în funcție de situația dvs.:
Cel mai recent certificat instalat pe telefon intră în vigoare.
- Instalare manuală — puteți instala un certificat încărcându-l de pe pagina web de administrare a telefonului. Pentru detalii, consultați Instalarea manuală a Certificatului de dispozitiv personalizat prin încărcare.
- Instalare automată—puteţi configura parametrii Protocolului de înregistrare a certificatelor simple (SCEP) pentru a declanşa instalarea automată a unui certificat. Telefonul trimite cereri SCEP către un server SCEP pentru instalarea certificatului.
Parametrii SCEP pot fi configurați prin pagina web de administrare a telefonului, fișierul de configurare a telefonului (cfg.xml) sau Control Hub. Pentru detalii, consultați Instalarea automată a Certificatului de dispozitiv personalizat de către SCEP și Parametrii pentru setările telefonului pe Control Hub.
- Opțiunea DHCP 43 — În anumite medii, puteți instala un certificat utilizând opțiunea DHCP 43. Opțiunea 43 poate furniza parametrii SCEP pentru instalarea certificatului. Pentru detalii, consultați configurarea parametrilor SCEP prin opțiunea DHCP 43.
-
Când utilizați opțiunea DHCP 43 pentru furnizarea parametrilor SCEP, telefonul poate prelua, de asemenea, numele de domeniu transportat din opțiunea DHCP 15. Pe baza numelui de domeniu preluat, telefonul poate construi numele comun SCEP CSR și ID-ul de utilizator 802.1X. Pentru detalii, consultați Furniz area numelui comun sau ID-ului de utilizator prin opțiunea DHCP 15.
Pentru mai multe informații despre configurarea opțiunilor DHCP, consultați Configurarea opțiunilor DHCP.
-
Instalarea manuală a certificatului de dispozitiv personalizat prin încărcare
Puteți instala manual un certificat de dispozitiv personalizat (CDC) pe telefon încărcând certificatul de pe pagina web de administrare a telefonului.
Înainte de a începe
Înainte de a putea instala un certificat de dispozitiv personalizat pentru un telefon, trebuie să aveți:
- Un fişier de certificat (.p12 sau.pfx) salvat pe PC. Fișierul conține certificatul și cheia privată.
- Parola de extragere a certificatului. Parola este utilizată pentru a decripta fișierul certificat.
| 1 |
Accesați pagina web de administrare a telefonului. |
| 2 |
Selectați Certificat. |
| 3 |
În secțiunea Adăugare certificat, faceți clic pe Răsfoire... . |
| 4 |
Răsfoiți la certificatul de pe computer. |
| 5 |
În câmpul Extragere parolă, introduceți parola de extragere a certificatului. |
| 6 |
Faceți clic pe Încăr care. Dacă fișierul de certificat și parola sunt corecte, veți primi mesajul "
Certificate added.”. În caz contrar, încărcarea eșuează cu un mesaj de eroare care indică faptul că certificatul nu poate fi încărcat. |
| 7 |
Pentru a verifica detaliile certificatului instalat, faceţi clic pe Vizualizare în secţiunea Certificate existente. |
| 8 |
Pentru a elimina certificatul instalat din telefon, faceți clic pe Șter gere în secțiunea Certificate existente. După ce faceți clic pe buton, operația de eliminare începe imediat fără o confirmare. După eliminarea certificatului, apare |
Instalarea automată a certificatului de dispozitiv personalizat de către SCEP
Puteți configura parametrii legați de Protocolul de înregistrare a certificatelor simple (SCEP) pentru a interacționa cu serverul SCEP pentru a instala automat Certificatul de dispozitiv personalizat (CDC).
Odată configurat oricare dintre parametrii SCEP, telefonul va trimite o cerere de înscriere SCEP către server. Telefonul va valida certificatul CA primit folosind amprenta configurată.
Înainte de a începe
Înainte de a putea efectua o instalare automată a unui certificat de dispozitiv personalizat (CDC) pentru un telefon, trebuie să aveți:
- Adresa serverului SCEP
- Amprenta SHA-1 sau SHA-256 a certificatului CA rădăcină pentru serverul SCEP
| 1 |
Accesați pagina web de administrare a telefonului. |
| 2 |
Selectați Certificat. |
| 3 |
În secțiunea Configurare SCEP 1, setați parametrii așa cum este descris în Parametri pentru configurarea SCEP. |
| 4 |
Faceți clic pe Trimiteți toate modificările. |
Parametrii pentru configurarea SCEP
Următorul tabel descrie funcția și utilizarea parametrilor de configurare SCEP în secțiunea Configurare SCEP 1 din fila Certi ficat a paginii web de administrare a telefonului. De asemenea, include sintaxa șirurilor pe care le adăugați la fișierul de configurare a telefonului (cfg.xml) pentru a configura un parametru.
Orice modificare a acestor parametri determină telefonul să solicite un nou certificat.
| Parametru | Descriere |
|---|---|
| Server |
Adresa serverului SCEP. Acest parametru este obligatoriu. Efectuați una dintre următoarele acțiuni:
Valori valide: o adresă URL sau o adresă IP. Schema HTTPS nu este acceptată. Implicit: gol |
| Amprentă CA |
Amprenta SHA256 sau SHA1 a CA rădăcină pentru validare în timpul procesului SCEP. Acest parametru este obligatoriu. Efectuați una dintre următoarele acțiuni:
Implicit: gol |
| Parola de provocare |
Parola de provocare pentru autorizarea Certificate Authority (CA) împotriva telefonului în timpul înscrierii unui certificat prin SCEP. Acest parametru este opțional. În funcție de mediul SCEP real, comportamentul parolei de provocare variază.
Efectuați una dintre următoarele acțiuni:
Implicit: gol |
| Denumire comună |
Specifică numele comun (CN) utilizat ca identificator pentru telefonul care solicită certific atul. CN este utilizat pentru Cererea de semnare a certificatului (CSR) în procesul SCEP . Acest parametru acceptă, de asemenea, variabile de expansiune macro, consultați Variabile de expansiune macro pentru detalii. Efectuați una dintre următoarele acțiuni:
Valori valide: maxim 64 de caractere Implicit: gol |
| Denumirea țării |
Specifică țara organizației. Efectuați una dintre următoarele acțiuni:
Valori valide: Șir de 0 până la 2 caractere Implicit: gol |
| Numele statului sau provinciei |
Specifică statul sau provincia organizației. Efectuați una dintre următoarele acțiuni:
Valori valide: Șir de 0 până la 64 de caractere. Implicit: gol |
| Numele localității |
Specifică numele localității pentru subiectul certificatului. Efectuați una dintre următoarele acțiuni:
Valori valide: Șir de caractere 0 până la 64 Implicit: gol |
| Numele organizației |
Specifică numele subiectului Cererii de semnare a certificatului (CSR). Efectuați una dintre următoarele acțiuni:
Valori valide: Șir de caractere 0 până la 64 Implicit: gol |
| Unitatea organizatorică |
Specifică numele unităților organizaționale pentru numele subiectului Cererii de semnare a certificatului (CSR). Telefonul va adăuga până la 5 parametri „/OU =” la numele subiectului CSR. Efectuați una dintre următoarele acțiuni:
Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificate până la 5 unități. Implicit: gol |
| SAN DNS |
Specifică parametrii serverului de nume de domeniu (DNS) pentru numele alternativ al cer erii de semnare a certificatului (CSR) (SAN). Telefonul va adăuga până la cinci parametri DNS la CSR SAN. Efectuați una dintre următoarele acțiuni:
Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificați până la cinci parametri DNS. Implicit: gol |
| SAN IP |
Specifică parametrii IP pentru Cererea de semnare a certificatului (CSR) Subject Al ternative Name (SAN). Telefonul va adăuga până la cinci parametri IP la CSR SAN. Efectuați una dintre următoarele acțiuni:
Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificați până la cinci parametri IP. Implicit: gol |
| E-mail SAN |
Specifică parametrii de e-mail pentru Cererea de semnare a certificatului (CSR) Subject Alternative Name (SAN). Telefonul va adăuga până la cinci parametri de e-mail la CSR SAN. Efectuați una dintre următoarele acțiuni:
Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificați până la cinci parametri de e-mail. Implicit: gol |
| SAN URI |
Specifică parametrii URI pentru Cererea de semnare a certificatului (CSR) Subject Al ternative Name (SAN). Telefonul va adăuga până la cinci parametri URI la CSR SAN. Efectuați una dintre următoarele acțiuni:
Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificați până la cinci parametri URI. Implicit: gol |
Reînnoirea certificatului de către SCEP
Certificatul dispozitivului poate fi reîmprospătat automat prin procesul SCEP.
- Telefonul verifică dacă certificatul va expira în 15 zile la fiecare 4 ore. Dacă da, telefonul pornește automat procesul de reînnoire a certificatului.
- Dacă parola de provocare este goală, telefonul utilizează MIC/SUDI atât pentru înscrierea inițială,
cât și pentru reînnoirea certificatului. Dacă parola de provocare este configurată,
aceasta este utilizată în următoarele cazuri:
-
Când Reutilizați parola provocării pentru reînnoire este set ată la Nu (implicit), telefonul utilizează parola furnizată numai pentru înscrierea inițială și utilizează certificatul existent pentru reînnoire.
-
Când reutilizați parola provocării pentru reînnoire este set ată la Da, telefonul utilizează parola furnizată atât pentru înscrierea inițială, cât și pentru reînnoire.
-
- Telefonul nu elimină vechiul certificat de dispozitiv până nu îl recuperează pe cel nou.
- Dacă reînnoirea certificatului nu reușește deoarece certificatul dispozitivului sau CA expiră, telefonul declanșează automat înscrierea inițială. Între timp, dacă autentificarea parolei provocării nu reușește, pe ecranul telefonului apare un ecran de introducere a parolei, iar utilizatorilor li se solicită să introducă parola de provocare pe telefon.
Configurarea numelui comun CDC
În mod implicit, numele comun în MIC/SUDI este utilizat ca nume comun pentru CDC.
Puteți configura numele comun pentru CDC atunci când instalați certificatul. Utilizați una dintre următoarele metode pentru a instala un CDC pe telefon:
-
Generați o solicitare de semnare a certificatului (CSR) care conține numele comun dorit, apoi încărcați și instalați noul certificat pe pagina web de administrare a telefonului.
-
Configurați numele comun prin pagina web de administrare a telefonului, fișierul de configurare a telefonului (cfg.xml) sau Control Hub. Acest lucru va declanșa telefonul să solicite automat un nou certificat.
Pentru mai multe informații despre parametrii de pe pagina web a telefonului și Control Hub, consultați Instalarea automată a Certificatului de dispozitiv personalizat de către SCEP și Parametrii pentru setările telefonului pe Control Hub.
- Utilizați opțiunile DHCP 43 și 15 pentru a furniza nume comun pentru CDC și identitatea 802.1X prin cablu.
Pentru mai multe informații, consultați Furniz area numelui comun sau a ID-ului de utilizator prin opțiunea DHCP 15.
Configurarea parametrilor SCEP prin opțiunea DHCP 43
În unele medii, nu puteți instala Certificatul de dispozitiv personalizat (CDC) încărcându-l sau configurând direct parametrii SCEP. În această situație, puteți utiliza opțiunea DHCP 43 pentru a furniza parametrii SCEP de la un server DHCP la telefon. După ce telefonul este resetat la valorile implicite din fabrică, acesta primește parametrii de la serverul DHCP și instalează CDC utilizând SCEP.
- Această caracteristică (configurarea parametrilor SCEP prin opțiunea DHCP 43) este disponibilă numai pentru telefoanele care au fost resetate la valorile implicite din fabrică.
- Nu implementați telefoane care se bazează pe opțiunile 43 într-o rețea care utilizează și furnizarea de la distanță (de exemplu, Opțiunile 66,150, 159 și 160 sau furnizarea în cloud). În caz contrar, este posibil ca telefoanele să nu primească configurațiile opțiunii 43.
Pentru a instala un certificat CDC prin parametrii SCEP furnizați din opțiunea DHCP 43, procedați în felul următor:
- Pregătiți un mediu SCEP.
Pentru informaţii despre configurarea mediului SCEP, consultaţi documentaţia serverului SCEP.
- Configurați opțiunea DHCP 43 (definită în 8.4 Informații specifice furnizorului, RFC 2132).
Subopțiunile (10-15) sunt rezervate metodei:
Parametru pe pagina web a telefonului Subopțiune Tip Lungime (octet) Obligatoriu Modul FIPS 10 boolean 1 Nu* Server 11 şir 208 - lungime (Parola provocării) da Amprenta rădăcină CA 12 hex 20, 32, 48 sau 64 da Parola de provocare 13 şir 208 - lungime (Server) Nu* Activați autentificarea 802.1X 14 boolean 1 Nu Selectarea certificatului 15 nesemnat pe 8 biți 1 Nu * înseamnă că parametrul este configurat în funcție de situația reală.
Când utilizați opțiunea DHCP 43, observați următoarele caracteristici ale metodei:
- Subopțiunile (10—15) sunt rezervate pentru Certificatul de dispozitiv personalizat (CDC).
- Lungimea maximă a opțiunii DHCP 43 este de 255 octeți.
- Lungimea maximă a parol ei Server +Challenge trebuie să fie mai mică de 208 octeți.
- Valoarea modului FIPS trebuie să se potrivească cu configurația de aprovizionare pentru integrare.
În caz contrar, telefonul nu reușește să recupereze certificatul instalat anterior după
onboarding. În mod specific,
- Dacă telefonul este înregistrat într-un mediu în care modul FIPS este dezactivat, nu este necesar să configurați modul FIPS în opțiunea DHCP 43. În mod implicit, modul FIPS este dezactivat.
- Dacă telefonul este înregistrat într-un mediu în care modul FIPS este activat, trebuie să activați modul FIPS în opțiunea DHCP 43. Consultați Activarea modului FIPS pentru detalii.
- Parola de provocare din opțiunea 43 este în text clar.
- Pentru ca telefonul să utilizeze MIC/SUDI pentru înscrierea inițială și reînnoirea certificatului, lăsați parola de provocare goală.
- Pentru a utiliza parola de provocare numai pentru înscrierea inițială, furnizați parola provocării și setați Reuse Challenge Password for Renew al la No. În acest caz, certificatul instalat este utilizat pentru reînnoirea certificatului.
- Pentru a utiliza parola de provocare atât pentru înscrierea inițială, cât și pentru reînnoire, furnizați parola și setați Re use Challenge Password for Renew al la Da.
- Activați autentificarea 802.1X și selectarea certificatului se aplică numai telefoanelor din rețelele cu fir.
- Opțiunea DHCP 60 (Vendor Class Identifier) este utilizată pentru a identifica modelul dispozitivului.
Exemplu de opțiune DHCP 43 (subopțiunile 10—15):
Subopțiunea zecimală/hexagonală Lungimea valorii (octet) zecimală/hexagonală Valoare Valoarea hexagonală 10/0a 1/01 1 (0: Dezactivat; 1: Activat) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0 1/01 1 (0: Nu; 1: Da) 01 15/0f 1/01 1 (0: Producție instalată; 1: Instalat personalizat) 01 Rezumatul valorilor parametrilor:
-
Mod FIPS =
Enabled -
Server =
http://10.79.57.91 -
Amprentă CA rădăcină =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Parola de provocare =
D233CCF9B9952A15 -
Activați autentificarea 802.1X =
Yes -
Selectarea certificatului =
Custom installed
Sintaxa valorii hexagonale finale este:
{<suboption><length><value>}...Conform valorilor parametrilor de mai sus, valoarea hexagonală finală este următoarea:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Configurați opțiunea DHCP 43 pe un server DHCP.
Acest pas oferă un exemplu de configurații ale opțiunii DHCP 43 pe Registrul de rețea Cisco.
- Adăugați setul de definiție a opțiunilor DHCP.
Șir ul de opțiuni al furnizorului este numele modelului telefoanelor IP. Valoarea valabilă este: DP-9841, DP-9851, DP-9861, DP-9871 sau CP-8875.
- Adăugați opțiunea DHCP 43 și subopțiunile la setul de definiție a opțiunilor DHCP.
Exemplu:

- Adăugați opțiunile 43 la politica DHCP și configurați valoarea după cum urmează:
Exemplu:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Verificați setările. Puteți utiliza Wireshark pentru a capta o urmă a traficului de rețea între telefon și serviciu.
- Adăugați setul de definiție a opțiunilor DHCP.
- Resetați din fabrică telefonul.
După resetarea telefonului, parametrii Server, Root CA Finger print și Challenge Password sunt completați automat. Acești parametri sunt localizați în secțiunea Configurare SCEP 1 sub pagina web de administrare a telefonului.
Pentru a vizualiza detalii despre certificatul instalat, faceţi clic pe Vizu alizare în secţiunea Certificate existente.
Pentru a verifica starea instalării certificatului, selectați . Câmp ul Starea descărcării 1 arată cel mai recent rezultat. Dacă apare o problemă în timpul înscrierii certificatului, starea descărcării arată motivul scopurilor de depanare.
Dacă autentificarea parolei provocării nu reușește, telefonul solicită utilizatorilor să introduc ă parola pe ecranul telefonului.
- (Opțional): Pentru a elimina certificatul instalat din telefon, faceți clic pe Șter gere în secțiunea Certificate existente.
Când faceți clic pe Șter gere, telefonul elimină imediat certificatul, fără o solicitare de confirmare.
Furnizarea numelui comun sau a ID-ului de utilizator prin opțiunea DHCP 15
În timpul înscrierii certificatului SCEP prin opțiunea DHCP 43, telefonul poate obține, de asemenea, numele de domeniu furnizat în opțiunea DHCP 15 (dacă este configurat). După ce telefonul primește numele de domeniu, acesta poate construi numele comun sau ID-ul de utilizator cu numele de domeniu, care este reprezentat după cum urmează:
- Nume comun = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Numele comun va fi utilizat pentru CSR în procesul SCEP, iar mai târziu va fi numele comun în CDC.
- ID utilizator = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
ID-ul de utilizator va fi utilizat ca identitate pentru autentificarea prin cablu 802.1X.
De exemplu, adresa MAC a telefonului este 00:1 A:2B:3C:4D:5E, modelul telefonului este 9871:
| Numele domeniului în opțiunea DHCP 15 | Denumire comună | ID-ul utilizatorului |
|---|---|---|
| examplu.nl | CP-9871-SEP001A2B3C4D5E.example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Gol | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Dacă numele de domeniu nu este configurat în opțiunea 15, numele comun și ID-ul utilizatorului vor fi aceleași cu numele comun din MIC/SUDI.