În acest articol
Instalarea certificatului de dispozitiv personalizat
Instalarea manuală a certificatului de dispozitiv personalizat prin încărcare
dropdown icon
Instalarea automată a certificatului de dispozitiv personalizat de către SCEP
    Parametrii pentru configurarea SCEP
    Reînnoirea certificatului de către SCEP
Configurarea numelui comun CDC
dropdown icon
Configurarea parametrilor SCEP prin opțiunea DHCP 43
    Furnizarea numelui comun sau a ID-ului de utilizator prin opțiunea DHCP 15
Certificat de dispozitiv personalizat pe 9800/8875
list-menuÎn acest articol
list-menuFeedback?

Puteți instala un certificat de dispozitiv personalizat (CDC) într-un mod manual sau automat. Pentru anumite medii, puteți utiliza opțiunea DHCP 43 pentru a furniza parametrii SCEP pentru instalarea certificatului. Acest articol de ajutor este pentru Cisco Desk Phone 9800 Series și Cisco Video Phone 8875 înregistrate la Cisco BroadWorks.

Instalarea certificatului de dispozitiv personalizat

Pentru a instala un certificat de dispozitiv personalizat (CDC) pe telefon, utilizați unul dintre următoarele moduri în funcție de situația dvs.:

Cel mai recent certificat instalat pe telefon intră în vigoare.

Instalarea manuală a certificatului de dispozitiv personalizat prin încărcare

Puteți instala manual un certificat de dispozitiv personalizat (CDC) pe telefon încărcând certificatul de pe pagina web de administrare a telefonului.

Înainte de a începe

Înainte de a putea instala un certificat de dispozitiv personalizat pentru un telefon, trebuie să aveți:

  • Un fişier de certificat (.p12 sau.pfx) salvat pe PC. Fișierul conține certificatul și cheia privată.
  • Parola de extragere a certificatului. Parola este utilizată pentru a decripta fișierul certificat.
1

Accesați pagina web de administrare a telefonului.

2

Selectați Certificat.

3

În secțiunea Adăugare certificat, faceți clic pe Răsfoire... .

4

Răsfoiți la certificatul de pe computer.

5

În câmpul Extragere parolă, introduceți parola de extragere a certificatului.

6

Faceți clic pe Încăr care.

Dacă fișierul de certificat și parola sunt corecte, veți primi mesajul "Certificate added.”. În caz contrar, încărcarea eșuează cu un mesaj de eroare care indică faptul că certificatul nu poate fi încărcat.
7

Pentru a verifica detaliile certificatului instalat, faceţi clic pe Vizualizare în secţiunea Certificate existente.

8

Pentru a elimina certificatul instalat din telefon, faceți clic pe Șter gere în secțiunea Certificate existente.

După ce faceți clic pe buton, operația de eliminare începe imediat fără o confirmare.

După eliminarea certificatului, apare Certificate deleted mesajul. Dacă certificatul a fost asociat cu o conexiune wireless activă, reporniți telefonul pentru a aplica modificările.

Instalarea automată a certificatului de dispozitiv personalizat de către SCEP

Puteți configura parametrii legați de Protocolul de înregistrare a certificatelor simple (SCEP) pentru a interacționa cu serverul SCEP pentru a instala automat Certificatul de dispozitiv personalizat (CDC).

Odată configurat oricare dintre parametrii SCEP, telefonul va trimite o cerere de înscriere SCEP către server. Telefonul va valida certificatul CA primit folosind amprenta configurată.

Înainte de a începe

Înainte de a putea efectua o instalare automată a unui certificat de dispozitiv personalizat (CDC) pentru un telefon, trebuie să aveți:

  • Adresa serverului SCEP
  • Amprenta SHA-1 sau SHA-256 a certificatului CA rădăcină pentru serverul SCEP
1

Accesați pagina web de administrare a telefonului.

2

Selectați Certificat.

3

În secțiunea Configurare SCEP 1, setați parametrii așa cum este descris în Parametri pentru configurarea SCEP.

4

Faceți clic pe Trimiteți toate modificările.

Parametrii pentru configurarea SCEP

Următorul tabel descrie funcția și utilizarea parametrilor de configurare SCEP în secțiunea Configurare SCEP 1 din fila Certi ficat a paginii web de administrare a telefonului. De asemenea, include sintaxa șirurilor pe care le adăugați la fișierul de configurare a telefonului (cfg.xml) pentru a configura un parametru.

Orice modificare a acestor parametri determină telefonul să solicite un nou certificat.

Tabelul 1. Parametrii pentru configurarea SCEP
ParametruDescriere
Server

Adresa serverului SCEP. Acest parametru este obligatoriu.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_Server_1_ ua="na">http://10.79.57.91</CDC_Server_1_>

  • În pagina web a telefonului, introduceți adresa serverului SCEP.

Valori valide: o adresă URL sau o adresă IP. Schema HTTPS nu este acceptată.

Implicit: gol

Amprentă CA

Amprenta SHA256 sau SHA1 a CA rădăcină pentru validare în timpul procesului SCEP. Acest parametru este obligatoriu.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>

  • În pagina web a telefonului, introduceți o amprentă validă.

Implicit: gol

Parola de provocare

Parola de provocare pentru autorizarea Certificate Authority (CA) împotriva telefonului în timpul înscrierii unui certificat prin SCEP. Acest parametru este opțional.

În funcție de mediul SCEP real, comportamentul parolei de provocare variază.

  • Dacă telefonul primește un certificat de la un Cisco RA care comunică cu CA, parola de provocare nu este acceptată pe CA. În acest caz, Cisco RA utilizează MIC/SUDI al telefonului pentru autentificare pentru a accesa CA. Telefonul folosește MIC/SUDI atât pentru înscrierea inițială, cât și pentru reînnoirea certificatului.
  • Dacă telefonul primește un certificat comunicând direct cu CA, parola de provocare este acceptată pe CA. Parola de provocare este utilizată în următoarele cazuri:
    • Când Reutilizați parola provocării pentru reînnoire este set ată la Nu (implicit), telefonul utilizează parola furnizată numai pentru înscrierea inițială și utilizează certificatul existent pentru reînnoire.

    • Când reutilizați parola provocării pentru reînnoire este set ată la Da, telefonul utilizează parola furnizată atât pentru înscrierea inițială, cât și pentru reînnoire.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_Challenge_Password_1_ ua="na"></CDC_Challenge_Password_1_>

    Parola este mascată în fișierul de configurare.

  • În pagina web a telefonului, introduceți parola de provocare.

Implicit: gol

Denumire comună

Specifică numele comun (CN) utilizat ca identificator pentru telefonul care solicită certific atul. CN este utilizat pentru Cererea de semnare a certificatului (CSR) în procesul SCEP .

Acest parametru acceptă, de asemenea, variabile de expansiune macro, consultați Variabile de expansiune macro pentru detalii.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_Common_Name_1_ ua="na"></CDC_Common_Name_1_>

  • În pagina web a telefonului, introduceți numele comun.

Valori valide: maxim 64 de caractere

Implicit: gol

Denumirea țării

Specifică țara organizației.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_Country_Name_1_ua="na"></CDC_Country_Name_1_>

  • În pagina web a telefonului, introduceți numele țării.

Valori valide: Șir de 0 până la 2 caractere

Implicit: gol

Numele statului sau provinciei

Specifică statul sau provincia organizației.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_State_or_Province_Name_1_ ua="na"></CDC_State_or_Province_Name_1_ >

  • În pagina web a telefonului, introduceți numele statului sau provinciei.

Valori valide: Șir de 0 până la 64 de caractere.

Implicit: gol

Numele localității

Specifică numele localității pentru subiectul certificatului.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_Locality_Name_1_ ua="na"></CDC_Locality_Name_1_ >

  • În pagina web a telefonului, introduceți numele localității.

Valori valide: Șir de caractere 0 până la 64

Implicit: gol

Numele organizației

Specifică numele subiectului Cererii de semnare a certificatului (CSR).

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_Organization_Name_1_ ua="na"></CDC_Organization_Name_1_ >

  • În pagina web a telefonului, introduceți numele organizației.

Valori valide: Șir de caractere 0 până la 64

Implicit: gol

Unitatea organizatorică

Specifică numele unităților organizaționale pentru numele subiectului Cererii de semnare a certificatului (CSR). Telefonul va adăuga până la 5 parametri „/OU =” la numele subiectului CSR.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_Organizational_Unit_1_ ua="na"></CDC_Organizational_Unit_1_ >

  • În pagina web a telefonului, introduceți numele unității organizației.

Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificate până la 5 unități.

Implicit: gol

SAN DNS

Specifică parametrii serverului de nume de domeniu (DNS) pentru numele alternativ al cer erii de semnare a certificatului (CSR) (SAN). Telefonul va adăuga până la cinci parametri DNS la CSR SAN.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_SAN_DNS_1_ ua="na"></CDC_SAN_DNS_1_ >

  • În pagina web a telefonului, introduceți DNS-ul pentru CSR SAN.

Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificați până la cinci parametri DNS.

Implicit: gol

SAN IP

Specifică parametrii IP pentru Cererea de semnare a certificatului (CSR) Subject Al ternative Name (SAN). Telefonul va adăuga până la cinci parametri IP la CSR SAN.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_SAN_IP_1_ ua="na"></CDC_SAN_IP_1_ >

  • În pagina web a telefonului, introduceți adresa IP pentru CSR SAN.

Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificați până la cinci parametri IP.

Implicit: gol

E-mail SAN

Specifică parametrii de e-mail pentru Cererea de semnare a certificatului (CSR) Subject Alternative Name (SAN). Telefonul va adăuga până la cinci parametri de e-mail la CSR SAN.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_SAN_Email_1_ ua="na"></CDC_SAN_Email_1_ >

  • În pagina web a telefonului, introduceți adresa de e-mail pentru CSR SAN.

Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificați până la cinci parametri de e-mail.

Implicit: gol

SAN URI

Specifică parametrii URI pentru Cererea de semnare a certificatului (CSR) Subject Al ternative Name (SAN). Telefonul va adăuga până la cinci parametri URI la CSR SAN.

Efectuați una dintre următoarele acțiuni:

  • În fișierul de configurare a telefonului cu XML (cfg.xml), introduceți un șir în acest format:

    <CDC_SAN_URI_1_ ua="na"></CDC_SAN_URI_1_ >

  • În pagina web a telefonului, introduceți URI pentru CSR SAN.

Valori valide: Fiecare intrare este o matrice de șiruri de caractere de la 0 la 64 de caractere separate printr-o virgulă, cu o lungime maximă de 512 caractere. Pot fi specificați până la cinci parametri URI.

Implicit: gol

Reînnoirea certificatului de către SCEP

Certificatul dispozitivului poate fi reîmprospătat automat prin procesul SCEP.

  • Telefonul verifică dacă certificatul va expira în 15 zile la fiecare 4 ore. Dacă da, telefonul pornește automat procesul de reînnoire a certificatului.
  • Dacă parola de provocare este goală, telefonul utilizează MIC/SUDI atât pentru înscrierea inițială, cât și pentru reînnoirea certificatului. Dacă parola de provocare este configurată, aceasta este utilizată în următoarele cazuri:
    • Când Reutilizați parola provocării pentru reînnoire este set ată la Nu (implicit), telefonul utilizează parola furnizată numai pentru înscrierea inițială și utilizează certificatul existent pentru reînnoire.

    • Când reutilizați parola provocării pentru reînnoire este set ată la Da, telefonul utilizează parola furnizată atât pentru înscrierea inițială, cât și pentru reînnoire.

  • Telefonul nu elimină vechiul certificat de dispozitiv până nu îl recuperează pe cel nou.
  • Dacă reînnoirea certificatului nu reușește deoarece certificatul dispozitivului sau CA expiră, telefonul declanșează automat înscrierea inițială. Între timp, dacă autentificarea parolei provocării nu reușește, pe ecranul telefonului apare un ecran de introducere a parolei, iar utilizatorilor li se solicită să introducă parola de provocare pe telefon.

Configurarea numelui comun CDC

În mod implicit, numele comun în MIC/SUDI este utilizat ca nume comun pentru CDC.

Puteți configura numele comun pentru CDC atunci când instalați certificatul. Utilizați una dintre următoarele metode pentru a instala un CDC pe telefon:

Configurarea parametrilor SCEP prin opțiunea DHCP 43

În unele medii, nu puteți instala Certificatul de dispozitiv personalizat (CDC) încărcându-l sau configurând direct parametrii SCEP. În această situație, puteți utiliza opțiunea DHCP 43 pentru a furniza parametrii SCEP de la un server DHCP la telefon. După ce telefonul este resetat la valorile implicite din fabrică, acesta primește parametrii de la serverul DHCP și instalează CDC utilizând SCEP.

  • Această caracteristică (configurarea parametrilor SCEP prin opțiunea DHCP 43) este disponibilă numai pentru telefoanele care au fost resetate la valorile implicite din fabrică.
  • Nu implementați telefoane care se bazează pe opțiunile 43 într-o rețea care utilizează și furnizarea de la distanță (de exemplu, Opțiunile 66,150, 159 și 160 sau furnizarea în cloud). În caz contrar, este posibil ca telefoanele să nu primească configurațiile opțiunii 43.

Pentru a instala un certificat CDC prin parametrii SCEP furnizați din opțiunea DHCP 43, procedați în felul următor:

  1. Pregătiți un mediu SCEP.

    Pentru informaţii despre configurarea mediului SCEP, consultaţi documentaţia serverului SCEP.

  2. Configurați opțiunea DHCP 43 (definită în 8.4 Informații specifice furnizorului, RFC 2132).

    Subopțiunile (10-15) sunt rezervate metodei:

    Parametru pe pagina web a telefonuluiSubopțiuneTipLungime (octet)Obligatoriu
    Modul FIPS10boolean1Nu*
    Server11şir208 - lungime (Parola provocării)da
    Amprenta rădăcină CA12hex20, 32, 48 sau 64da
    Parola de provocare13şir208 - lungime (Server)Nu*
    Activați autentificarea 802.1X14boolean1Nu
    Selectarea certificatului15nesemnat pe 8 biți1Nu

    * înseamnă că parametrul este configurat în funcție de situația reală.

    Când utilizați opțiunea DHCP 43, observați următoarele caracteristici ale metodei:

    • Subopțiunile (10—15) sunt rezervate pentru Certificatul de dispozitiv personalizat (CDC).
    • Lungimea maximă a opțiunii DHCP 43 este de 255 octeți.
    • Lungimea maximă a parol ei Server +Challenge trebuie să fie mai mică de 208 octeți.
    • Valoarea modului FIPS trebuie să se potrivească cu configurația de aprovizionare pentru integrare. În caz contrar, telefonul nu reușește să recupereze certificatul instalat anterior după onboarding. În mod specific,
      • Dacă telefonul este înregistrat într-un mediu în care modul FIPS este dezactivat, nu este necesar să configurați modul FIPS în opțiunea DHCP 43. În mod implicit, modul FIPS este dezactivat.
      • Dacă telefonul este înregistrat într-un mediu în care modul FIPS este activat, trebuie să activați modul FIPS în opțiunea DHCP 43. Consultați Activarea modului FIPS pentru detalii.
    • Parola de provocare din opțiunea 43 este în text clar.
      • Pentru ca telefonul să utilizeze MIC/SUDI pentru înscrierea inițială și reînnoirea certificatului, lăsați parola de provocare goală.
      • Pentru a utiliza parola de provocare numai pentru înscrierea inițială, furnizați parola provocării și setați Reuse Challenge Password for Renew al la No. În acest caz, certificatul instalat este utilizat pentru reînnoirea certificatului.
      • Pentru a utiliza parola de provocare atât pentru înscrierea inițială, cât și pentru reînnoire, furnizați parola și setați Re use Challenge Password for Renew al la Da.
    • Activați autentificarea 802.1X și selectarea certificatului se aplică numai telefoanelor din rețelele cu fir.
    • Opțiunea DHCP 60 (Vendor Class Identifier) este utilizată pentru a identifica modelul dispozitivului.

    Exemplu de opțiune DHCP 43 (subopțiunile 10—15):

    Subopțiunea zecimală/hexagonalăLungimea valorii (octet) zecimală/hexagonalăValoareValoarea hexagonală
    10/0a1/011 (0: Dezactivat; 1: Activat)01
    11/0b18/12http://10.79.57.91687474703a2f2f31302e37392e35372e3931
    12/0c20/1412040870625C5B755D73F5925285F8F5FF5D55AF12040870625C5B755D73F5925285F8F5FF5D55AF
    13/0d16/10D233CCF9B9952A1544323333434346394239393532413135
    14/01/011 (0: Nu; 1: Da)01
    15/0f1/011 (0: Producție instalată; 1: Instalat personalizat) 01

    Rezumatul valorilor parametrilor:

    • Mod FIPS = Enabled

    • Server = http://10.79.57.91

    • Amprentă CA rădăcină = 12040870625C5B755D73F5925285F8F5FF5D55AF

    • Parola de provocare = D233CCF9B9952A15

    • Activați autentificarea 802.1X = Yes

    • Selectarea certificatului = Custom installed

    Sintaxa valorii hexagonale finale este: {<suboption><length><value>}...

    Conform valorilor parametrilor de mai sus, valoarea hexagonală finală este următoarea:

    0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

  3. Configurați opțiunea DHCP 43 pe un server DHCP.

    Acest pas oferă un exemplu de configurații ale opțiunii DHCP 43 pe Registrul de rețea Cisco.

    1. Adăugați setul de definiție a opțiunilor DHCP.

      Șir ul de opțiuni al furnizorului este numele modelului telefoanelor IP. Valoarea valabilă este: DP-9841, DP-9851, DP-9861, DP-9871 sau CP-8875.

    2. Adăugați opțiunea DHCP 43 și subopțiunile la setul de definiție a opțiunilor DHCP.

      Exemplu:

      Screenshot of DHCP option 43 definitions on Cisco Network Register

    3. Adăugați opțiunile 43 la politica DHCP și configurați valoarea după cum urmează:

      Exemplu:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

    4. Verificați setările. Puteți utiliza Wireshark pentru a capta o urmă a traficului de rețea între telefon și serviciu.
  4. Resetați din fabrică telefonul.

    După resetarea telefonului, parametrii Server, Root CA Finger print și Challenge Password sunt completați automat. Acești parametri sunt localizați în secțiunea Configurare SCEP 1 sub Certi ficat > Personalizat pe pagina web de administrare a telefonului.

    Pentru a vizualiza detalii despre certificatul instalat, faceţi clic pe Vizu alizare în secţiunea Certificate existente.

    Pentru a verifica starea instalării certificatului, selectați Certificat > S tarea certului personalizat. Câmp ul Starea descărcării 1 arată cel mai recent rezultat. Dacă apare o problemă în timpul înscrierii certificatului, starea descărcării arată motivul scopurilor de depanare.

    Dacă autentificarea parolei provocării nu reușește, telefonul solicită utilizatorilor să introduc ă parola pe ecranul telefonului.

  5. (Opțional): Pentru a elimina certificatul instalat din telefon, faceți clic pe Șter gere în secțiunea Certificate existente.

    Când faceți clic pe Șter gere, telefonul elimină imediat certificatul, fără o solicitare de confirmare.

Furnizarea numelui comun sau a ID-ului de utilizator prin opțiunea DHCP 15

În timpul înscrierii certificatului SCEP prin opțiunea DHCP 43, telefonul poate obține, de asemenea, numele de domeniu furnizat în opțiunea DHCP 15 (dacă este configurat). După ce telefonul primește numele de domeniu, acesta poate construi numele comun sau ID-ul de utilizator cu numele de domeniu, care este reprezentat după cum urmează:

  • Nume comun = <Common Name in MIC/SUDI >. <Domain Name in Option 15>

    Numele comun va fi utilizat pentru CSR în procesul SCEP, iar mai târziu va fi numele comun în CDC.

  • ID utilizator = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>

    ID-ul de utilizator va fi utilizat ca identitate pentru autentificarea prin cablu 802.1X.

De exemplu, adresa MAC a telefonului este 00:1 A:2B:3C:4D:5E, modelul telefonului este 9871:

Numele domeniului în opțiunea DHCP 15Denumire comunăID-ul utilizatorului
examplu.nlCP-9871-SEP001A2B3C4D5E.example.nlCP-9871-SEP001A2B3C4D5E@example.nl
GolCP-9871-SEP001A2B3C4D5E

CP-9871-SEP001A2B3C4D5E

Dacă numele de domeniu nu este configurat în opțiunea 15, numele comun și ID-ul utilizatorului vor fi aceleași cu numele comun din MIC/SUDI.

A fost util acest articol?
A fost util acest articol?