Pentru a activa modelul de control al accesului la autentificare, autorizare și contabilitate (AAA), utilizați model nou comandă în modul de configurare globală. Pentru a dezactiva modelul de control al accesului AAA, utilizați Nu forma acestei comenzi.

aaa model nou

Nu model nou aaa

Această comandă nu are argumente sau cuvinte cheie.

Comandă implicită: AAA nu este activat.

Modul comandă: Configurație globală (config)

Instrucţiuni de utilizare: Această comandă permite sistemul de control al accesului AAA.

Pentru a seta autentificarea, autorizarea și autentificarea contabilă (AAA) la conectare, utilizați autentificare aaa comandă în modul de configurare globală. Pentru a dezactiva autentificarea AAA, utilizați Nu forma acestei comenzi.

aaa autentificare autentificare {nume listă implicită |} metodă1 [metodă2...]

fărăautentificare aaa {default |list-name } method1 [method2...]

Comandă implicită: Autentificarea AAA la conectare este dezactivată.

Modul comandă: Configurație globală (config)

Instrucţiuni de utilizare: Dacă implicit Cuvântul cheie nu este setat, este bifată numai baza de date a utilizatorului local. Acest lucru are același efect ca și următoarea comandă:

aaa authentication login default local

Pe consolă, autentificarea va reuși fără verificări de autentificare dacă implicit cuvântul cheie nu este setat.

Numele implicite și opționale ale listei pe care le creați cu autentificare aaa comanda sunt utilizate cu autentificare conectare comandă .

Creați o listă introducând autentificare aaa comandă metodă listă-nume pentru un anumit protocol. Argumentul de nume de listă este șirul de caractere utilizat pentru a denumi lista metodelor de autentificare activate atunci când un utilizator se conectează. Argumentul metodei identifică lista metodelor pe care algoritmul de autentificare le încearcă, în secvența dată. Secțiunea „Metode de autentificare care nu pot fi utilizate pentru argumentul numelui listei” enumeră metode de autentificare care nu pot fi utilizate pentru argumentul numelui listei, iar tabelul de mai jos descrie cuvintele cheie ale metodei.

Pentru a crea o listă implicită care este utilizată dacă nu este alocată nicio listă unei linii, utilizați autentificare conectare comandă cu argumentul implicit urmat de metodele pe care doriți să le utilizați în situații implicite.

Parola este solicitată o singură dată pentru a autentifica datele de autentificare ale utilizatorului și, în caz de erori din cauza problemelor de conectivitate, sunt posibile mai multe retrageri prin metode suplimentare de autentificare. Cu toate acestea, trecerea la următoarea metodă de autentificare se întâmplă numai în cazul în care metoda anterioară returnează o eroare, nu în cazul în care nu reușește. Pentru a vă asigura că autentificarea reușește chiar dacă toate metodele returnează o eroare, specificați niciuna ca metodă finală în linia de comandă.

Dacă autentificarea nu este setată în mod specific pentru o linie, implicit este de a refuza accesul și nu se efectuează autentificarea. Utilizați mai multe sisteme: comandă pentru a afișa listele de metode de autentificare configurate în prezent.

Metode de autentificare care nu pot fi utilizate pentru Argumentul numelui listei

Metodele de autentificare care nu pot fi utilizate pentru argumentul de nume de listă sunt după cum urmează:

• oaspetele auth

• activare

• oaspete

• dacă este autentificat

• dacă este necesar

• krb5

• instanță krb

• telnet cu crb

• linie

• local

• nimic

• radiaţii

• rcmd

• tacacuri

• mai puţin frecvente

În tabelul de mai jos, razele de grup, tacacurile de grup +, ldap de grup și metodele de nume de grup se referă la un set de servere RADIUS sau TACACS+ definite anterior. Utilizați comenzile de gazdă ale serverului radio și ale serverului tacacs pentru a configura serverele gazdă. Utilizați raza serverului de grup aaa, serverul de grup aaa ldap și comenzile serverului de grup aaa tacacs+ pentru a crea un grup numit de servere.

Tabelul de mai jos descrie cuvintele cheie ale metodei.

Cuvânt cheie	Descriere
nume grup cache	Utilizează un grup de server cache pentru autentificare.
activare	Utilizează parola activată pentru autentificare. Acest cuvânt cheie nu poate fi utilizat.
nume grup	Utilizează un subset de servere RADIUS sau TACACS+ pentru autentificare, astfel cum este definit de raza serverului de grup aaa sau tacacs server de grup aaa+ comandă .
ldap de grup	Utilizează lista tuturor serverelor LDAP (Light Directory Access Protocol) pentru autentificare.
raza de grup	Utilizează lista tuturor serverelor RADIUS pentru autentificare.
tacacs de grup+	Utilizează lista tuturor serverelor TACACS+ pentru autentificare.
krb5	Folosește Kerberos 5 pentru autentificare.
telnet krb5	Utilizați protocolul de autentificare Kerberos 5 Telnet atunci când utilizați Telnet pentru a vă conecta la router.
linie	Utilizează parola de linie pentru autentificare.
local	Utilizează baza de date cu numele de utilizator local pentru autentificare.
caz local	Utilizează autentificarea locală a numelui de utilizator sensibil la caz.
nimic	Nu utilizează autentificare.
expirare pasivă	Activați modificarea parolei pe o listă de autentificare locală.   vsa radius-server trimite autentificare comanda este necesară pentru a face expirare pasivă lucrare cuvânt cheie.

Pentru a seta parametrii care restricționează accesul utilizatorului la o rețea, utilizați autorizație aaa comandă în modul de configurare globală. Pentru a elimina parametrii, utilizați Nu forma acestei comenzi.

aaa- Da. - Da, da. autorizare{ proxy automat- Da. - Da, da. |- Da. - Da, da. cache- Da. - Da, da. |- Da. - Da, da. comenzinivel - Da. - Da, da. |- Da. - Da, da. comenzi de configurare- Da. - Da, da. |- Da. - Da, da. configurare- Da. - Da, da. |- Da. - Da, da. consolă- Da. - Da, da. |- Da. - Da, da. exec- Da. - Da, da. |- Da. - Da, da. ipmobile- Da. - Da, da. |- Da. - Da, da. multicast- Da. - Da, da. |- Da. - Da, da. rețea- Da. - Da, da. |- Da. - Da, da. dacă politica- Da. - Da, da. |- Da. - Da, da. preplătit- Da. - Da, da. |- Da. - Da, da. proxy de rază- Da. - Da, da. |- Da. - Da, da. acces invers- Da. - Da, da. |- Da. - Da, da. serviciu de abonat- Da. - Da, da. |- Da. - Da, da. șablon} {prestabilită- Da. - Da, da. |- Da. - Da, da. nume listă } [metodă1[…]metoda2... ]]

Nu este cazul- Da. - Da, da. aaa- Da. - Da, da. autorizare{ proxy automat- Da. - Da, da. |- Da. - Da, da. cache- Da. - Da, da. |- Da. - Da, da. comenzinivel - Da. - Da, da. |- Da. - Da, da. comenzi de configurare- Da. - Da, da. |- Da. - Da, da. configurare- Da. - Da, da. |- Da. - Da, da. consolă- Da. - Da, da. |- Da. - Da, da. exec- Da. - Da, da. |- Da. - Da, da. ipmobile- Da. - Da, da. |- Da. - Da, da. multicast- Da. - Da, da. |- Da. - Da, da. rețea- Da. - Da, da. |- Da. - Da, da. dacă politica- Da. - Da, da. |- Da. - Da, da. preplătit- Da. - Da, da. |- Da. - Da, da. proxy de rază- Da. - Da, da. |- Da. - Da, da. acces invers- Da. - Da, da. |- Da. - Da, da. serviciu de abonat- Da. - Da, da. |- Da. - Da, da. șablon} {prestabilită- Da. - Da, da. |- Da. - Da, da. nume listă } [metodă1[…]metoda2... ]]

Comandă implicită: Autorizația este dezactivată pentru toate acțiunile (echivalent cu cuvântul cheie metoda niciuna ).

Modul comandă: Configurație globală (config)

Instrucţiuni de utilizare: Utilizați comanda de autorizare aaa pentru a activa autorizarea și pentru a crea liste de metode denumite, care definesc metode de autorizare care pot fi utilizate atunci când un utilizator accesează funcția specificată. Listele de metode pentru autorizare definesc modalitățile în care se va efectua autorizarea și secvența în care se vor efectua aceste metode. O listă de metode este o listă denumită care descrie metodele de autorizare (cum ar fi RADIUS sau TACACS+) care trebuie utilizate în secvență. Listele de metode vă permit să desemnați unul sau mai multe protocoale de securitate care urmează să fie utilizate pentru autorizare, asigurând astfel un sistem de rezervă în cazul în care metoda inițială eșuează. Software-ul Cisco IOS utilizează prima metodă listată pentru a autoriza utilizatorii pentru anumite servicii de rețea; dacă această metodă nu răspunde, software-ul Cisco IOS selectează următoarea metodă listată în lista de metode. Acest proces continuă până când există o comunicare reușită cu o metodă de autorizare enumerată sau până când toate metodele definite sunt epuizate.

Software-ul Cisco IOS încearcă autorizarea cu următoarea metodă listată numai atunci când nu există niciun răspuns din metoda anterioară. Dacă autorizarea eșuează în orice moment din acest ciclu - ceea ce înseamnă că serverul de securitate sau baza de date a numelui de utilizator local răspunde negând serviciile utilizatorului - procesul de autorizare se oprește și nu se încearcă alte metode de autorizare.

Dacă comanda de autorizare aaa pentru un anumit tip de autorizare este emisă fără o listă de metode specificată, lista de metode implicită se aplică automat tuturor interfețelor sau liniilor (în cazul în care se aplică acest tip de autorizare), cu excepția celor care au o listă de metode desemnată definită în mod explicit. (O listă de metode definită depășește lista de metode implicite.) Dacă nu este definită o listă de metode implicită, atunci nu are loc nicio autorizare. Lista de metode implicite de autorizare trebuie utilizată pentru a efectua autorizarea de ieșire, cum ar fi autorizarea descărcării de piscine IP de pe serverul RADIUS.

Utilizați comanda de autorizare aaa pentru a crea o listă introducând valorile pentru numele listei și argumentele metodei, în cazul în care numele listei este orice șir de caractere utilizate pentru a denumi această listă (excluzând toate numele metodei) și metoda identifică lista de metode de autorizare încercate în secvența dată.

Comanda de autorizare aaa acceptă 13 liste de metode separate. De exemplu:

aaa listă de metodologii de configurare a autorizației1 rază de grup

aaa lista metodologică de configurare a autorizației2 raza grupului

...

aaa lista metodologică de configurare a autorizației13 raza de grup

În tabelul de mai jos, numele grupului, ldap de grup, raza de grup și metodele tacace + de grup se referă la un set de servere RADIUS sau TACACS+ definite anterior. Utilizați comenzile de gazdă ale serverului radio și ale serverului tacacs pentru a configura serverele gazdă. Utilizați raza serverului de grup aaa, serverul de grup aaa ldap și comenzile serverului de grup aaa tacacs+ pentru a crea un grup numit de servere.

Software-ul Cisco IOS acceptă următoarele metode de autorizare:

• Grupuri de servere cache--Router-ul consultă grupurile sale de servere cache pentru a autoriza drepturi specifice pentru utilizatori.

• Dacă este autentificat --Utilizatorul are permisiunea de a accesa funcția solicitată, cu condiția ca utilizatorul să fi fost autentificat cu succes.

• Local --router-ul sau serverul de acces consultă baza sa de date locală, astfel cum este definită de comanda nume de utilizator, pentru a autoriza drepturi specifice pentru utilizatori. Doar un set limitat de funcții pot fi controlate prin baza de date locală.

• Niciuna --Serverul de acces la rețea nu solicită informații de autorizare; autorizarea nu este efectuată pe această linie sau interfață.

• RADIUS --Serverul de acces la rețea solicită informații de autorizare din grupul de server de securitate RADIUS. Autorizația RADIUS definește drepturi specifice pentru utilizatori prin asocierea atributelor, care sunt stocate într-o bază de date pe serverul RADIUS, cu utilizatorul corespunzător.

• TACACS+ --Serverul de acces la rețea face schimb de informații de autorizare cu daemonul de securitate TACACS+. Autorizația TACACS+ definește drepturi specifice pentru utilizatori prin asocierea perechilor atribute-valoare (AV), care sunt stocate într-o bază de date pe serverul de securitate TACACS+, cu utilizatorul corespunzător.

Pentru a permite conexiuni între anumite tipuri de puncte finale într-o rețea VoIP, utilizați permiteți conexiunile modul de configurare a serviciului vocal. Pentru a refuza anumite tipuri de conexiuni, utilizați Nu forma acestei comenzi.

permiteți conexiunilede la tiplatip

nu permiteți conexiunilede la tiplatip

Comandă implicită: Conexiunile SIP-SIP sunt dezactivate în mod implicit.

Modul comandă: Configurație serviciu de voce (config-voi-serv)

Instrucţiuni de utilizare: Această comandă este utilizată pentru a permite conexiuni între anumite tipuri de puncte finale într-un gateway Cisco multiservice IP-to-IP. Comanda este activată în mod implicit și nu poate fi modificată.

Pentru a permite introducerea „#” în orice loc din registrul vocal, utilizați permiteți hash-in-dn comandă în modul global de înregistrare vocală. Pentru a dezactiva acest lucru, utilizați Nu forma acestei comenzi.

permiteți hash-in-dn

nu permiteți hash-in-dn

Comandă implicită: Comanda este dezactivată în mod implicit.

Modul comandă: configurație globală a registrului vocal (config-register-global)

Instrucţiuni de utilizare: Înainte de introducerea acestei comenzi, caracterele acceptate în registrul vocal dn erau 0-9, + și *. Noua comandă este activată ori de câte ori utilizatorul necesită inserarea # în registrul vocal din. Comanda este dezactivată în mod implicit. Puteți configura această comandă numai în modurile Cisco Unified SRST și Cisco Unified E-SRST. Numărul de caractere poate fi introdus în orice loc în registrul vocal din DN. Când această comandă este activată, utilizatorii trebuie să schimbe caracterul de terminare implicit(#) la un alt caracter valid utilizând terminator dial-peer comandă în modul de configurare.

Pentru a introduce modul de configurare a aplicației de redundanță, utilizați redundanță aplicație comandă în modul de configurare a redundanței.

redundanță aplicație

Această comandă nu are argumente sau cuvinte cheie.

Comandă implicită: Fără

Modul comandă: configurație de redundanță (rețea de configurare)

Instrucţiuni de utilizare: Utilizați acest lucru redundanță aplicație comandă pentru a configura redundanța aplicației pentru disponibilitate ridicată.

Pentru a seta gateway-ul implicit pentru o aplicație, utilizați gateway implicit al aplicației comandă în modul de configurare a găzduirii aplicației. Pentru a elimina gateway-ul implicit, utilizați Nu forma acestei comenzi.

gateway-ul implicit al aplicației [IP-adresăutilizator-interfață de rețea-interfață-număr]

nu existăgateway-ul implicit al aplicației [IP-addressguest-interface-network-interface-number]

Comandă implicită: Gateway-ul implicit nu este configurat.

Modul comandă: Configurație hosting aplicație (config-app hosting)

Instrucţiuni de utilizare: Utilizați gateway implicit al aplicației comandă pentru a seta gateway-ul implicit pentru o aplicație. Conectorii gateway sunt aplicații instalate pe containerul Cisco IOS XE GuestShell.

Pentru a configura o aplicație și pentru a introduce modul de configurare a găzduirii aplicației, utilizați appid găzduire aplicație comandă în modul de configurare globală. Pentru a elimina aplicația, utilizați Nu forma acestei comenzi.

nume aplicație appidhosting aplicație

Comandă implicită: Nu este configurată nicio aplicație.

Modul comandă: Configurație globală (config)

Instrucțiuni de utilizare:Argumentul numelui aplicației poate fi de până la 32 de caractere alfanumerice.

Puteți actualiza configurația de găzduire a aplicației, după configurarea acestei comenzi.

Pentru a suprascrie profilul de resurse furnizat de aplicație, utilizați profil de rezonanță aplicație comandă în modul de configurare a găzduirii aplicației. Pentru a reveni la profilul de resurse specificat în aplicație, utilizați Nu forma acestei comenzi.

nume profil resoure aplicație- profil

nu există nume de profil profil aplicație-resoure

Comandă implicită: Profilul de resurse este configurat.

Modul comandă: Configurație hosting aplicație (config-app hosting)

Instrucţiuni de utilizare: Resursele rezervate specificate în pachetul de aplicații pot fi modificate prin setarea unui profil de resurse personalizat. Numai resursele CPU, memorie și virtual CPU (vCPU) pot fi schimbate. Pentru ca modificările de resurse să intre în vigoare, opriți și dezactivați aplicația, apoi activați-o și porniți-o din nou.

Se acceptă numai profilul personalizat.

Comanda configurează profilul de resurse al aplicației personalizate și intră în modul de configurare a profilului de resurse al aplicației personalizate.

Pentru a configura un gateway cu interfață de rețea virtuală pentru o aplicație, utilizați gateway vnic aplicație comandă în modul de configurare a găzduirii aplicației. Pentru a elimina configurația, utilizați Nu forma acestei comenzi.

Această comandă este acceptată numai pe platformele de rutare. Nu este acceptat pe platformele de comutare.

aplicație-vnic gatewaygrup de porturi virtualenumăroaspete-interfațărețea-interfață-număr

nici oaplicație-gateway vnicvirtualportgrupnumăroaspetele-interfațărețea-interfață-număr

Comandă implicită: Gateway-ul de rețea virtuală nu este configurat.

Modul comandă: Configurație hosting aplicație (config-app hosting)

Instrucţiuni de utilizare: După ce configurați gateway-ul interfeței de rețea virtuală pentru o aplicație, modul de comandă se modifică în modul de configurare a gateway-ului de găzduire a aplicației. În acest mod, puteți configura adresa IP a interfeței de invitați.

Pentru a activa suportul pentru antetul de identificare declarat în solicitările sau mesajele de răspuns din Protocolul de inițiere a sesiunii (SIP) de intrare și pentru a trimite informațiile de confidențialitate ID afirmate în solicitările SIP de ieșire sau mesajele de răspuns, utilizați afirmată-id comandă în modul de configurare VoIP-SIP a serviciului vocal sau în modul de configurare a entității găzduite din clasa vocală. Pentru a dezactiva suportul pentru antetul ID declarat, utilizați Nu forma acestei comenzi.

sistem asserted-id { pai|ppi }

niciun sistem asserted-id { pai|ppi }

Comandă implicită: Informațiile de confidențialitate sunt trimise utilizând antetul ID-ul de la distanță (RPID) sau antetul FROM.

Modul comandă: Configurația serviciului de voce VoIP-SIP (conf-serv-sip) și configurația clientului clasei de voce (config-class)

Instrucţiuni de utilizare: Dacă alegeţi pai cuvânt cheie sau ppi cuvânt cheie, gateway construiește antetul PAI sau antetul PPI, respectiv, în stiva SIP comună. pai cuvânt cheie sau ppi Cuvântul cheie are prioritate față de antetul ID-ul de la distanță (RPID) și elimină antetul RPID din mesajul de ieșire, chiar dacă routerul este configurat pentru a utiliza antetul RPID la nivel global.

Pentru a configura un suport asimetric pentru sarcina utilă din Protocolul de inițiere sesiuni (SIP), utilizați sarcină utilă asimetrică comandă în modul de configurare SIP sau în modul de configurare a entității găzduite din clasa vocală. Pentru a dezactiva suportul de sarcină utilă asimetric, utilizați Nu forma acestei comenzi.

asimetricăsarcină utilă { dtmf codec |dinamic |complet |sistem }

fărăsarcină utilă asimetrică { dtmf codec |dinamic |complet |sistem }

Comandă implicită: Această comandă este dezactivată.

Modul comandă: Configurație SIP serviciu de voce (conf-serv-sip), Configurație client clasă de voce (config-class)

Instrucţiuni de utilizare: Introduceți modul de configurare SIP din modul de configurare a serviciului vocal, după cum se arată în exemplu.

Pentru Cisco UBE, tipul de sarcină utilă asimetrică SIP este acceptat pentru codecurile audio/video, DTMF și NSE. Prin urmare, dtmf și codec dinamic cuvintele cheie sunt mapate intern la complet cuvânt cheie pentru a oferi suport asimetric de tip sarcină utilă pentru codec-uri audio/video, DTMF și NSE.

Pentru a activa autentificarea SIP dignă pe un coleg de apel individual, utilizați autentificare comandă în modul de configurare a vocii dial peer. Pentru a dezactiva autentificarea SIP digerată, utilizați Nu forma acestei comenzi.

autentificare- Da. - Da, da. nume de utilizator- Da. - Da, da. nume de utilizator- Da. - Da, da. parolă{ 0- Da. - Da, da. |- Da. - Da, da. 6.- Da. - Da, da. |- Da. - Da, da. 7.} parolă[…]domeniu- Da. - Da, da. domeniu- Da. - Da, da. |- Da. - Da, da. provocare- Da. - Da, da. |- Da. - Da, da. toate]

Nu este cazul- Da. - Da, da. autentificare- Da. - Da, da. nume de utilizator- Da. - Da, da. nume de utilizator- Da. - Da, da. parolă{ 0- Da. - Da, da. |- Da. - Da, da. 6.- Da. - Da, da. |- Da. - Da, da. 7.} parolă[…]domeniu- Da. - Da, da. domeniu- Da. - Da, da. |- Da. - Da, da. provocare- Da. - Da, da. |- Da. - Da, da. toate]

Comandă implicită: Autentificarea digest SIP este dezactivată.

Modul comandă: Configurație vocală pentru colegii de apelare (config-dial-peer)

Instrucţiuni de utilizare: Următoarele reguli de configurare se aplică la activarea autentificării digne:

• Doar un singur nume de utilizator poate fi configurat pentru fiecare pereche de apelare. Orice configurație a numelui de utilizator existentă trebuie eliminată înainte de configurarea unui alt nume de utilizator.

• Un maxim de cinci parolă sau domeniu argumentele pot fi configurate pentru orice nume de utilizator.

nume de utilizator și parolă argumentele sunt folosite pentru autentificarea unui utilizator. Un server de autentificare/proxy care emite un răspuns la provocare 407/401 include un domeniu în răspunsul la provocare, iar utilizatorul oferă acreditări valabile pentru acel domeniu. Deoarece se presupune că maximum cinci servere proxy din calea de semnalizare pot încerca să autentifice o anumită solicitare de la un client de agent utilizator (UAC) la un server de agent utilizator (UAS), un utilizator poate configura până la cinci parole și combinații de domenii pentru un nume de utilizator configurat.

Utilizatorul oferă parola în text simplu, dar este criptat și salvat pentru 401 răspuns la provocare. Dacă parola nu este salvată în formă criptată, se trimite o parolă nedorită, iar autentificarea eșuează.

• Specificația domeniului este opțională. Dacă este omisă, parola configurată pentru acel nume de utilizator se aplică tuturor domeniilor care încearcă să se autentifice.

• Numai o singură parolă poate fi configurată la un moment dat pentru toate domeniile configurate. Dacă este configurată o parolă nouă, aceasta suprascrie orice parolă configurată anterior.

Aceasta înseamnă că poate fi configurată o singură parolă globală (una fără un domeniu specificat). Dacă configurați o parolă nouă fără a configura un domeniu corespunzător, noua parolă suprascrie cea anterioară.

• Dacă un domeniu este configurat pentru un nume de utilizator și o parolă configurate anterior, specificația de domeniu este adăugată la acea configurație de nume de utilizator și parolă existentă. Cu toate acestea, odată ce un domeniu este adăugat la o configurație nume de utilizator și parolă, combinația nume de utilizator și parolă este valabilă numai pentru acel domeniu. Un domeniu configurat nu poate fi eliminat dintr-o configurație nume de utilizator și parolă fără a elimina mai întâi întreaga configurație pentru acel nume de utilizator și parolă - puteți reconfigura apoi acea combinație nume de utilizator și parolă cu sau fără un alt domeniu.

• Într-o intrare cu o parolă și un domeniu, puteți schimba fie parola, fie domeniul.

• Utilizați nicio autentificare comandă pentru a elimina toate intrările de autentificare pentru utilizator.

Este obligatoriu să specificați tipul de criptare pentru parolă. Dacă aveți o parolă de text clară (tastați 0) este configurat, este criptat ca tip 6 înainte de a-l salva la configurația de rulare.

Dacă specificați tipul de criptare ca 6 sau 7, parola introdusă este bifată de un tip valid 6 sau 7 format parolă și salvat ca tip 6 sau 7 respectiv.

Parolele de tip-6 sunt criptate utilizând un cipher AES și o cheie principală definită de utilizator. Aceste parole sunt relativ mai sigure. Cheia principală nu este niciodată afișată în configurație. Fără a cunoaște cheia principală, tastați 6 Parolele nu pot fi utilizate. Dacă cheia principală este modificată, parola care este salvată ca tip 6 este re-criptată cu noua cheie principală. Dacă configurația principală a cheii este eliminată, tipul 6 Parolele nu pot fi decriptate, ceea ce poate duce la eșecul autentificării pentru apeluri și înregistrări.

Atunci când copiați o configurație sau migrați configurația pe un alt dispozitiv, cheia principală nu este aruncată. Prin urmare, cheia principală trebuie configurată din nou manual.

Pentru a configura o tastă preshared criptată, consultați Configurarea unei tastă preshared criptată.

Se afișează următorul mesaj de avertizare atunci când tipul de criptare 7 este configurat. Avertisment: Comanda a fost adăugată la configurație utilizând o parolă de tip 7. Cu toate acestea, parolele de tip 7 vor fi decodificate în curând. Migrați la un tip de parolă acceptată 6.

Pentru a conecta adresa sursă pentru pachetele de semnalizare și media la adresa IPv4 sau IPv6 a unei interfețe specifice, utilizați legare comandă în modul de configurare SIP. Pentru a dezactiva legarea, utilizați Nu forma acestei comenzi.

cravată{ control- Da. - Da, da. |- Da. - Da, da. media- Da. - Da, da. |- Da. - Da, da. toate} interfață sursă- Da. - Da, da. id de interfață{ adresă ipv4- Da. - Da, da. adresă ipv4- Da. - Da, da. |- Da. - Da, da. adresă ipv6- Da. - Da, da. adresă ipv6}

Nu este cazul- Da. - Da, da. cravată{ control- Da. - Da, da. |- Da. - Da, da. media- Da. - Da, da. |- Da. - Da, da. toate} interfață sursă- Da. - Da, da. id de interfață{ adresă ipv4- Da. - Da, da. adresă ipv4- Da. - Da, da. |- Da. - Da, da. adresă ipv6- Da. - Da, da. adresă ipv6}

Comandă implicită: Legătura este dezactivată.

Modul comandă: Configurația SIP (conf-serv-sip) și clientul clasei de voce.

Instrucţiuni de utilizare: Async, Ethernet, FastEthernet, Loopback și Serial (inclusiv Frame Relay) sunt interfețe în aplicația SIP.

Dacă legare comanda nu este activată, stratul IPv4 oferă încă cea mai bună adresă locală.

Pentru a activa configurațiile de bază pentru Call-Home, utilizați raportare acasă la apel comandă în modul de configurare globală.

raportare la domiciliu { anonim |contact-e-mail-addr } [ http-proxy { ipv4-address |ipv6-address |name } port port-number ]

Comandă implicită: Niciun comportament sau valori implicite

Modul comandă: Configurație globală (config)

Instrucţiuni de utilizare: După ce s-a reușit activarea apelului-acasă, fie în mod anonim, fie în modul de înscriere completă, utilizând raportare acasă la apel comandă , este trimis un mesaj de inventar. Dacă Call-Home este activat în modul de înscriere completă, este trimis un mesaj de inventar complet pentru modul de înscriere completă. Dacă funcția Call-Home este activată în modul anonim, este trimis un mesaj de inventar anonim. Pentru mai multe informații despre detaliile mesajului, consultați Alert Group Trigger Events și Commands.

Pentru a activa asistența Cisco Unified SRST și a introduce modul de configurare a apelului-manager-back, utilizați eroare de apelare a managerului comandă în modul de configurare globală. Pentru a dezactiva asistența Cisco Unified SRST, utilizați Nu forma acestei comenzi.

eroare de apelare a managerului

nu există erori de apelare a managerului de apeluri

Această comandă nu are argumente sau cuvinte cheie.

Comandă implicită: Niciun comportament sau valori implicite.

Modul comandă: configurație Globală

Pentru a activa validarea serverului, a clientului sau a identității bidirecționale a unui certificat peer în timpul agitării manuale TLS, utilizați comanda cn-san validat modul de configurare a profilului tls în clasa vocală. Pentru a dezactiva validarea identității certificatului, utilizați Nu forma acestei comenzi.

cn-sanvalidat { server|client|bidirecțional }

nucn-sanvalidat { server|client|bidirecțional }

Comandă implicită: Validarea identității este dezactivată.

Modul comandă: Configurația clasei de voce (clasa de configurare)

Instrucţiuni de utilizare: Validarea identității serverului este asociată cu o conexiune de semnalizare securizată prin intermediul Global semnalizare cripto și profil tls de clasă vocală configurații .

Comanda este îmbunătățită pentru a include client și bidirecțională cuvinte cheie. Opțiunea client permite unui server să valideze identitatea unui client prin verificarea numelor de gazdă CN și SAN incluse în certificatul furnizat împotriva unei liste de încredere a Cn-san FQDNs. Conexiunea va fi stabilită numai dacă se găsește un meci. Această listă de cn-san FQDNs este, de asemenea, utilizată acum pentru a valida un certificat de server, în plus față de numele gazdei țintă a sesiunii. bidirecțională Opțiunea validează identitatea inter pares atât pentru conexiunile client, cât și pentru cele ale serverului, combinând ambele server și client moduri . După ce configurați cn-san validat, identitatea certificatului inter pares este validată pentru fiecare nouă conexiune TLS.

Pentru a configura o listă de nume de domeniu complet calificat (FQDN) pentru a valida pe baza certificatului inter pares pentru conexiunile TLS de intrare sau de ieșire, utilizați cn-san comandă în modul de configurare profil tls de clasă vocală. Pentru a șterge intrarea de validare a certificatului cn-san, utilizați Nu forma acestei comenzi.

cn-san{1-10}fqdn

nucn-san{1-10}fqdn

Comandă implicită: Nu sunt configurate nume de cn-san.

Modul comandă: Modul de configurare a profilului tls pentru clasa vocală (clasa config)

Instrucţiuni de utilizare: FQDN utilizat pentru validarea certificatului peer sunt atribuite unui profil TLS cu până la zece cn-san intrări . Cel puțin una dintre aceste intrări trebuie să corespundă unui FQDN în câmpurile denumirii comune a certificatului (CN) sau ale numelui alternativ al subiectului (SAN) înainte de stabilirea unei conexiuni TLS. Pentru a se potrivi oricărei gazde de domenii utilizate într-un câmp CN sau SAN, un cn-san intrarea poate fi configurată cu un wildcard de domeniu, strict în formularul *.domain-name (de ex. *.cisco.com). Nu este permisă nicio altă utilizare a cardurilor sălbatice.

Pentru conexiunile de intrare, lista este utilizată pentru a valida câmpurile CN și SAN din certificatul clientului. Pentru conexiunile de ieșire, lista este utilizată împreună cu numele de gazdă țintă al sesiunii pentru a valida câmpurile CN și SAN din certificatul serverului.

Certificatele serverului pot fi, de asemenea, verificate prin potrivirea țintă sesiune SIP FQDN la un câmp CN sau SAN.

Pentru a specifica o listă de codec-uri preferate de utilizat pe o pereche de apelare, utilizați codec preferință modul de configurare a clasei vocale. Pentru a dezactiva această funcționalitate, utilizați Nu forma acestei comenzi.

tip codecvaloare de preferințăcodec

fărăcodecpreferințăvaloarecodec tip

Comandă implicită: Dacă această comandă nu este introdusă, nu sunt identificate cu preferință tipuri specifice de codec-uri.

Modul comandă: configurație clasă de voce (clasă de configurare)

Instrucţiuni de utilizare: Routerele de la capetele opuse ale WAN-ului pot trebui să negocieze selecția codec pentru colegii de apelare din rețea. codec preferință comanda specifică ordinea de preferință pentru selectarea unui codec negociat pentru conexiune. Tabelul de mai jos descrie opțiunile de sarcină utilă vocală și valorile implicite pentru codec-urile și protocoalele vocale ale pachetului.

Pentru a utiliza portul global al ascultătorilor pentru trimiterea solicitărilor prin UDP, utilizați reutilizare conexiune comandă în modul sip-ua sau modul de configurare a entității găzduite din clasa vocală. Pentru a dezactiva, utilizați Nu forma acestei comenzi.

reutilizare conexiune { prin port |sistem }

fără reutilizare a conexiunii { prin |sistemul portului }

Comandă implicită: Gateway-ul local utilizează un port ephemeral UDP pentru trimiterea de solicitări prin UDP.

Moduri de comandă: configurație SIP UA (config-sip-ua), configurație client clasă vocală (config-class)

Instrucţiuni de utilizare: Executarea acestei comenzi permite utilizarea portului ascultătorului pentru trimiterea de solicitări prin UDP. Portul implicit al ascultătorului pentru SIP nesigur regulat este 5060 și SIP securizat este 5061. Configurare comandă port [nesigur | securizat]port în voip serviciu > modul de configurare sip pentru a schimba portul UDP global.

Pentru a modifica cota CPU sau unitatea alocată pentru o aplicație, utilizați cpu modul de configurare a profilului de resurse al aplicației personalizate. Pentru a reveni la cota CPU furnizată de aplicație, utilizați Nu forma acestei comenzi.

unitate cpu

nu existăunitate cpu

Comandă implicită: CPU implicit depinde de platforma.

Modul comandă: Configurație particularizată a profilului de resurse al aplicației (config-app-ressource-profile-custom)

Instrucţiuni de utilizare: O unitate CPU este alocarea minimă a CPU de către aplicație. Unitățile CPU totale se bazează pe unitățile CPU standardizate măsurate pentru dispozitivul țintă.

În cadrul fiecărui pachet de aplicații, este furnizat un profil de resurse specific aplicației care definește sarcina CPU recomandată, dimensiunea memoriei și numărul de CPU-uri virtuale (vCPU-uri) necesare pentru aplicație. Utilizați această comandă pentru a modifica alocarea resurselor pentru anumite procese din profilul de resurse personalizat.

Resursele rezervate specificate în pachetul de aplicații pot fi modificate prin setarea unui profil de resurse personalizat. Numai CPU, memorie, și resursele vCPU pot fi schimbate. Pentru ca modificările de resurse să intre în vigoare, opriți și dezactivați aplicația, apoi activați-o și porniți-o din nou.

Valorile de resurse sunt specifice aplicației și orice ajustare la aceste valori trebuie să se asigure că aplicația poate rula în mod fiabil cu modificările.

Pentru a configura un gateway de multiplicare a diviziunii temporale a protocolului de inițiere a sesiunii Cisco IOS (SIP) (TDM), un element de frontieră Cisco Unified (Cisco UBE) sau Cisco Unified Communications Manager Express (Cisco Unified CME) pentru a trimite un mesaj de înregistrare SIP atunci când se află în starea UP, utilizați acreditări comandă în modul de configurare SIP UA sau în modul de configurare client clasă vocală. Pentru a dezactiva datele de autentificare SIP digest, utilizați Nu forma acestei comenzi.

acreditări{ dhcp- Da. - Da, da. |- Da. - Da, da. număr- Da. - Da, da. număr- Da. - Da, da. nume de utilizator- Da. - Da, da. nume de utilizator} parolă{ 0- Da. - Da, da. |- Da. - Da, da. 6.- Da. - Da, da. |- Da. - Da, da. 7.} parolă- Da. - Da, da. domeniu- Da. - Da, da. domeniu

Nu este cazul- Da. - Da, da. acreditări{ dhcp- Da. - Da, da. |- Da. - Da, da. număr- Da. - Da, da. număr- Da. - Da, da. nume de utilizator- Da. - Da, da. nume de utilizator} parolă{ 0- Da. - Da, da. |- Da. - Da, da. 6.- Da. - Da, da. |- Da. - Da, da. 7.} parolă- Da. - Da, da. domeniu- Da. - Da, da. domeniu

Comandă implicită: Datele de autentificare digest SIP sunt dezactivate.

Modul comandă: Configurația SIP UA (config-sip-ua) și configurația clientului clasei de voce (config-class).

Instrucţiuni de utilizare: Următoarele reguli de configurare se aplică atunci când acreditările sunt activate:

• Doar o singură parolă este valabilă pentru toate numele de domenii. O nouă parolă configurată suprascrie orice parolă configurată anterior.

• Parola va fi afișată întotdeauna în format criptat atunci când acreditări comanda este configurată și spectacol configurare de rulare se utilizează comanda.

dhcp Cuvântul cheie din comandă înseamnă că numărul principal este obținut prin DHCP și gateway-ul Cisco IOS SIP TDM, Cisco UBE sau Cisco Unified CME pe care comanda este activată utilizează acest număr pentru a înregistra sau a anula înregistrarea numărului principal primit.

Este obligatoriu să specificați tipul de criptare pentru parolă. Dacă aveți o parolă de text clară (tastați 0) este configurat, este criptat ca tip 6 înainte de a-l salva la configurația de rulare.

Dacă specificați tipul de criptare ca 6 sau 7, parola introdusă este bifată de un tip valid 6 sau 7 format parolă și salvat ca tip 6 sau 7 respectiv.

Parolele de tip-6 sunt criptate utilizând un cipher AES și o cheie principală definită de utilizator. Aceste parole sunt relativ mai sigure. Cheia principală nu este niciodată afișată în configurație. Fără a cunoaște cheia principală, tastați 6 Parolele nu pot fi utilizate. Dacă cheia principală este modificată, parola care este salvată ca tip 6 este re-criptată cu noua cheie principală. Dacă configurația principală a cheii este eliminată, tipul 6 Parolele nu pot fi decriptate, ceea ce poate duce la eșecul autentificării pentru apeluri și înregistrări.

Atunci când copiați o configurație sau migrați configurația pe un alt dispozitiv, cheia principală nu este aruncată. Prin urmare, cheia principală trebuie configurată din nou manual.

Pentru a configura o tastă preshared criptată, consultați Configurarea unei tastă preshared criptată.

Avertisment: Comanda a fost adăugată la configurație utilizând o parolă de tip 7. Cu toate acestea, parolele de tip 7 vor fi decodificate în curând. Migrați la un tip de parolă acceptată 6.

În YANG, nu puteți configura același nume de utilizator în două domenii diferite.

Pentru a specifica preferința pentru o suită de cipher SRTP care va fi oferită de Cisco Unified Border Element (CUBE) în SDP în ofertă și răspuns, utilizați cripto modul de configurare a clasei vocale. Pentru a dezactiva această funcționalitate, utilizați Nu forma acestei comenzi.

criptopreferință cipher-suite

fărăcriptopreferință cipher-suite

Comandă implicită: Dacă această comandă nu este configurată, comportamentul implicit este de a oferi suitele srtp-cipher în următoarea ordine de preferință:

• AEAD_AES_256_GCM

• AEAD_AES_128_GCM

• AES_CM_128_HMAC_SHA1_80

• AES_CM_128_HMAC_SHA1_32

Modul comandă: srtp-cripto clasă de voce (config-clasă)

Instrucţiuni de utilizare: Dacă modificați preferința unei suite de cipher deja configurate, preferința este suprascris.

Pentru a genera perechi cheie Rivest, Shamir și Adelman (RSA), utilizați tastă cripto generează rsa comandă în modul de configurare globală.

cripto cheie generare rsa[ { chei generale - Da. - Da, da. |- Da. - Da, da. chei de utilizare - Da. - Da, da. |- Da. - Da, da. semnătură - Da. - Da, da. |- Da. - Da, da. criptare } ] [ etichetă etichetă cheie[…] exportabil […] modul - Da. - Da, da. dimensiunea modulului[…] stocare - Da. - Da, da. Nume de - Da. - Da, da. :[…] redundanță- Da. - Da, da. în - Da. - Da, da. Nume de - Da. - Da, da. :]

Comandă implicită: Nu există perechi de chei RSA.

Modul comandă: Configurație globală (config)

Instrucţiuni de utilizare: Utilizați tastă cripto generează rsa comandă pentru a genera perechi de taste RSA pentru dispozitivul Cisco (cum ar fi un router).

Tastele RSA sunt generate în perechi - o cheie RSA publică și o cheie RSA privată.

Dacă routerul dvs. are deja taste RSA atunci când emiteți această comandă, veți fi avertizat și vi se va cere să înlocuiți tastele existente cu taste noi.

tastă cripto generează rsa comanda nu este salvată în configurația routerului; cu toate acestea, cheile RSA generate de această comandă sunt salvate în configurația privată din NVRAM (care nu este niciodată afișată utilizatorului sau susținută pe alt dispozitiv) data viitoare când configurația este scrisă în NVRAM.

• Cheie de utilizare specială: Dacă generați chei speciale de utilizare, vor fi generate două perechi de chei RSA. O pereche va fi utilizată cu orice politică Internet Key Exchange (IKE) care specifică semnăturile RSA ca metodă de autentificare, iar cealaltă pereche va fi utilizată cu orice politică IKE care specifică cheile criptate RSA ca metodă de autentificare.

  Un CA este utilizat numai cu politici IKE care specifică semnăturile RSA, nu cu politici IKE care specifică anunțuri criptate RSA. (Cu toate acestea, ai putea specifica mai mult de o politică IKE și au semnături RSA specificate într-o politică și anunțuri criptate RSA într-o altă politică.)

  Dacă intenționați să aveți ambele tipuri de metode de autentificare RSA în politicile dvs. IKE, este posibil să preferați să generați taste speciale de utilizare. Cu chei speciale de utilizare, fiecare cheie nu este expusă în mod inutil. (Fără chei speciale de utilizare, o cheie este utilizată pentru ambele metode de autentificare, crescând expunerea acelei chei).

• Cheie de uz general: Dacă generați chei cu scop general, se va genera doar o pereche de chei RSA. Această pereche va fi utilizată cu politici IKE care specifică fie semnături RSA sau chei criptate RSA. Prin urmare, o pereche de chei cu scop general poate fi utilizată mai frecvent decât o pereche de chei cu scop special.

• Perechi cu tastatură numiți: Dacă generați o pereche de taste numită utilizând argumentul etichetei cheie, trebuie, de asemenea, să specificați chei de utilizare cuvânt cheie sau chei generale cuvânt cheie. Pereții cheii numiți vă permit să aveți mai multe perechi de chei RSA, permițând software-ului Cisco IOS să mențină o pereche de chei diferită pentru fiecare certificat de identitate.

• Lungimea modulului: Când generați taste RSA, vi se va cere să introduceți o lungime de modul. Cu cât modulul este mai lung, cu atât este mai puternică securitatea. Cu toate acestea, un modul mai lung necesită mai mult timp pentru a genera (a se vedea tabelul de mai jos pentru timpii de probă) și necesită mai mult timp pentru a utiliza.

  Tabelul 2. Eșantion de ori după lungimea modulului pentru a genera chei RSA

  Router	360 de biți	512 biți	1024 biți	2048 de biți (maxim)
  Cisco 2500	11 secunde	20 de secunde	4 minute, 38 de secunde	Mai mult de 1 oră
  Cisco 4700	Mai puţin de 1 secundă	1 secundă	4 secunde	50 de secunde

  Software-ul Cisco IOS nu acceptă un modul mai mare de 4096 biți. O lungime mai mică de 512 biți nu este recomandată în mod normal. În anumite situații, este posibil ca modulul mai scurt să nu funcționeze corect cu IKE, așa că vă recomandăm să utilizați un modul minim de 2048 de biți.

  Limitări suplimentare se pot aplica atunci când cheile RSA sunt generate de hardware criptografic. De exemplu, atunci când cheile RSA sunt generate de Cisco VPN Services Port Adapter (VSPA), modulul cheie RSA trebuie să fie de cel puțin 384 de biți și trebuie să fie un multiplu de 64.

• Specificarea unei locații de stocare pentru cheile RSA: Când emiteți tastă cripto generează rsa comandă cu stocare Nume deviză : cuvânt cheie și argument, cheile RSA vor fi stocate pe dispozitivul specificat. Această locație va înlocui orice stocare cheie cripto setări de comandă.

• Specificarea unui dispozitiv pentru generația cheie RSA: Puteți specifica dispozitivul în care sunt generate cheile RSA. Dispozitivele acceptate includ NVRAM, discuri locale și jetoane USB. Dacă routerul dvs. are un token USB configurat și disponibil, tokenul USB poate fi utilizat ca dispozitiv criptografic în plus față de un dispozitiv de stocare. Utilizarea unui token USB ca dispozitiv criptografic permite operații RSA, cum ar fi generarea de taste, semnarea și autentificarea acreditărilor care urmează să fie efectuate pe token. Cheia privată nu părăsește niciodată tokenul USB și nu este exportabilă. Cheia publică este exportabilă.

  Tastele RSA pot fi generate pe un token USB configurat și disponibil, prin utilizarea în Nume deviză : cuvânt cheie și argument. Cheile care locuiesc pe un token USB sunt salvate la stocarea persistentă a tokenului atunci când sunt generate. Numărul de taste care pot fi generate pe un token USB este limitat de spațiul disponibil. Dacă încercați să generați taste pe un token USB și este plin, veți primi următorul mesaj:

  % Error in generating keys:no available resources 

  Ștergerea tastelor va elimina imediat cheile stocate pe token din spațiul de stocare persistent. (Cheile care nu locuiesc pe un token sunt salvate sau șterse din locațiile de stocare fără token atunci când copie sau o comandă similară este emisă).

• Specificarea generației de redundanță a cheii RSA pe un dispozitiv: Puteți specifica redundanța pentru tastele existente numai dacă acestea sunt exportabile.

Pentru a autentifica autoritatea de certificare (CA) (obținând certificatul CA), utilizați comandă criptopkiautentificare în modul de configurare globală.

nume de autentificare criptopki

Comandă implicită: Niciun comportament sau valori implicite.

Modul comandă: Configurație globală (config)

Instrucţiuni de utilizare: Această comandă este necesară atunci când configurați inițial asistența CA la router.

Această comandă autentifică CA la router-ul dvs. obținând certificatul autosemnat al CA care conține cheia publică a CA. Deoarece CA semnează propriul certificat, trebuie să autentificați manual cheia publică a CA contactând administratorul CA atunci când introduceți această comandă.

Dacă utilizați modul Advertisements Router (RA) (utilizând înscriere comandă ) atunci când emiteți cripto pki autentificare comanda , apoi certificatele de semnare și criptare ale autorității de înregistrare vor fi returnate din certificatul CA și din certificatul CA.

Această comandă nu este salvată în configurația routerului. Cu toate acestea. cheile publice încorporate în certificatele CA (și RA) primite sunt salvate la configurație ca parte a Rivest, Shamir, și Adelman (RSA) înregistrare cheie publică (numit “RSA lanț cheie publică”).

În cazul în care CA nu răspunde printr-o perioadă de expirare după emiterea acestei comenzi, controlul terminalului va fi returnat astfel încât să rămână disponibil. Dacă se întâmplă acest lucru, trebuie să reintroduceți comanda. Software-ul Cisco IOS nu va recunoaște datele de expirare ale certificatului CA stabilite pentru perioada de după anul 2049. Dacă perioada de valabilitate a certificatului CA expiră după anul 2049, se va afișa următorul mesaj de eroare atunci când se încearcă autentificarea cu serverul CA: eroare la preluarea certificatului: lanț incomplet Dacă primiți un mesaj de eroare similar cu acesta, verificați data de expirare a certificatului dvs. CA. Dacă data de expirare a certificatului dvs. CA este stabilită după anul 2049, trebuie să reduceți data de expirare cu un an sau mai mult.

Pentru a importa manual un certificat prin TFTP sau ca o tăietură și lipire la terminal, utilizați comandă criptopkide import în modul de configurare globală.

criptomonedă pkiimportnumecertificat

Comandă implicită: Niciun comportament sau valori implicite

Modul comandă: Configurație globală (config)

Instrucţiuni de utilizare: Trebuie să introduceţi import cripto pki comandă de două ori dacă se utilizează tastele de utilizare (tastele de semnătură și criptare). Prima dată când comanda este introdusă, unul dintre certificate este lipit în router; a doua oară comanda este introdusă, celălalt certificat este lipit în router. (Nu contează ce certificat este lipit mai întâi.)

Pentru a declara punctul de încredere pe care router-ul dvs. ar trebui să îl utilizeze, utilizați comandă criptopkitrustpoint în modul de configurare globală. Pentru a șterge toate informațiile de identitate și certificatele asociate cu punctul de încredere, utilizați Nu forma acestei comenzi.

criptopkitrustpointnumeredundanță

nucriptopkitrustpointnumeredundanță

Comandă implicită: Routerul dvs. nu recunoaște niciun punct de încredere până când nu declarați un punct de încredere folosind această comandă. Router-ul dvs. utilizează identificatori unici în timpul comunicării cu serverele Protocolului de stare a certificatului online (OCSP), astfel cum sunt configurate în rețeaua dvs.

Modul comandă: Configurație globală (config)

Instrucţiuni de utilizare:

Declararea punctelor de Încredere

Utilizați cripto pki punct de încredere comanda de a declara un punct de încredere, care poate fi o autoritate de certificare rădăcină autosemnată (CA) sau un CA subordonat. Eliberarea cripto pki punct de încredere comanda vă pune în modul de configurare ca-trustpoint.

Puteți specifica caracteristici pentru punctul de încredere utilizând următoarele subcomenzi:

• crl—Apelează la lista de revocare a certificatului (CRL) pentru a se asigura că certificatul colegului nu a fost revocat.

• implicit(ca-trustpoint)—Resetează valoarea subcomenzilor modului de configurare ca-trustpoint la valorile implicite.

• înscriere—Specifică parametrii de înscriere (opțional).

• înscrierehttp-proxy—Accesează CA de către HTTP prin serverul proxy.

• înscriereself-signed—Specifică înscrierea self-signed (opțională).

• corespundcertificatului—Asociază o listă de control al accesului bazată pe certificat (ACL) definită cu comandă criptocacertificathartă .

• ocspdezactivați-nonce—Specifică faptul că routerul dvs. nu va trimite identificatori sau anunțuri unice în timpul comunicărilor OCSP.

• primar—Alocați un punct de încredere specificat ca punct de încredere principal al routerului.

• rădăcină—Definește TFTP pentru a obține certificatul CA și specifică atât un nume pentru server, cât și un nume pentru fișierul care va stoca certificatul CA.

Specificarea utilizării identificatorilor unici

Când utilizați OCSP ca metodă de revocare, identificatoarele unice sau anunțurile sunt trimise în mod implicit în timpul comunicărilor inter pares cu serverul OCSP. Utilizarea identificatorilor unici în timpul comunicării serverului OCSP permite comunicări mai sigure și mai fiabile. Cu toate acestea, nu toate serverele OCSP acceptă utilizarea unor dinți unice, consultați manualul OCSP pentru mai multe informații. Pentru a dezactiva utilizarea identificatorilor unici în timpul comunicărilor OCSP, utilizați ocsp dezactivați nonce subcomandă .

Pentru a importa manual (descărca) pachetul de certificate autorității de certificare (CA) în trustpool-ul public de infrastructură cheie (PKI) pentru a actualiza sau înlocui pachetul existent de certificate CA, utilizați import cripto pki trustpool comandă în modul de configurare globală. Pentru a elimina oricare dintre parametrii configurați, utilizați Nu forma acestei comenzi.

cryptopkitrustpoolimportcurat [ terminal|urlurl ]

nucriptopkitrustpoolimportcurat [ terminal|urlurl ]

Comandă implicită: Funcția PKI trustpool este activată. Routerul utilizează pachetul de certificate CA încorporat în bazinul de încredere PKI, care este actualizat automat de la Cisco.

Modul comandă: Configurație globală (config)

Amenințările de securitate, precum și tehnologiile criptografice pentru a ajuta la protejarea împotriva acestora, se schimbă în mod constant. Pentru mai multe informații despre cele mai recente recomandări criptografice Cisco, consultați Următoarea generație de criptare (NGE).

Certificatele PKI trustpool sunt actualizate automat de la Cisco. În cazul în care certificatele PKI trustpool nu sunt actuale, utilizați import cripto pki trustpool comandă pentru a le actualiza dintr-o altă locație.

url argumentul specifică sau modifică sistemul de fișiere URL al CA. Tabelul de mai jos listează sistemele de fișiere URL disponibile.

Tabelul 3. Sisteme de fișiere URL

Sistem de fișiere	Descriere
arhivă:	Importurile din sistemul de fișiere de arhivă.
cns:	Importurile din sistemul de fișiere Cluster Namespace (CNS).
disc0:	Importurile din sistemul de fișiere disc0.
disc1:	Importurile din sistemul de fișiere disc1.
ftp:	Importurile din sistemul de fișiere FTP.
http://www.europa.eu/	Importurile din sistemul de fișiere HTTP. URL-ul trebuie să fie în următoarele formate: http:// Caname:80, unde Canname este sistemul de nume de domeniu (DNS) http:// adresă ipv4 (80). De exemplu: http://10.10.10.1:80. http://[adresa ipv6]:80. De exemplu: http://[2001:DB8:1:1::1]:80. Adresa IPv6 este în notație hexazecimală și trebuie să fie inclusă în paranteze în URL.
https:	Importurile din sistemul de fișiere HTTPS. URL-ul trebuie să utilizeze aceleași formate ca și HTTP: formate sistem de fișiere.
null:	Importurile din sistemul de fișiere zero.
nvram:	Importurile din sistemul de fișiere NVRAM.
pram:	Importurile din sistemul de fișiere Parameter Random Access Memory (PRAM).
rcp:	Importurile din sistemul de fișiere al protocolului de copiere la distanță (rcp).
scp:	Importurile din sistemul de fișiere cu protocol de copiere securizat (scp).
snmp:	Importurile din Protocolul de gestionare a rețelei simple (SNMP).
sistem:	Importurile din sistemul de fișiere.
gudron:	Importurile din sistemul de fișiere UNIX tar.
tftp:	Importurile din sistemul de fișiere TFTP.   URL-ul trebuie să fie în: tftp://Caname/specificație filă.
tmpsys:	Importurile din sistemul de fișiere tmpsys Cisco IOS.
unix:	Importurile din sistemul de fișiere UNIX.
xmodem:	Importurile din sistemul de protocol simplu de transfer de fișiere xmodem.
imodem:	Importurile din sistemul de protocol simplu de transfer de fișiere ymodem.

Pentru a identifica cuvânt cheie trustpoint-trustpoint-name și argument utilizat în timpul agitației manuale de securitate a stratului de transport (TLS) care corespunde adresei dispozitivului la distanță, utilizați semnalizare cripto comandă în modul de configurare agent utilizator SIP (UA). Pentru a reseta la implicit punct de încredere șir , utilizați Nu forma acestei comenzi.

semnalizare cripto{ prestabilită- Da. - Da, da. |- Da. - Da, da. addr la distanță - Da. - Da, da. adresă IP - Da. - Da, da. mască subnet } [ profil tls - Da. - Da, da. etichetă - Da. - Da, da. |- Da. - Da, da. punct de încredere - Da. - Da, da. nume punct de încredere […] validare cn-san - Da. - Da, da. server[…] vtp client nume punct de încredere […] ecdsa-cipher - Da. - Da, da. |- Da. - Da, da. dimensiune curbă 384 - Da. - Da, da. |- Da. - Da, da. cifră strictă ]

Nu este cazul- Da. - Da, da. semnalizare cripto{ prestabilită- Da. - Da, da. |- Da. - Da, da. addr la distanță - Da. - Da, da. adresă IP - Da. - Da, da. mască subnet } [ profil tls - Da. - Da, da. etichetă - Da. - Da, da. |- Da. - Da, da. punct de încredere - Da. - Da, da. nume punct de încredere […] validare cn-san - Da. - Da, da. server[…] vtp client nume punct de încredere […] ecdsa-cipher - Da. - Da, da. |- Da. - Da, da. dimensiune curbă 384 - Da. - Da, da. |- Da. - Da, da. cifră strictă ]

Comandă implicită: Comanda de semnalizare cripto este dezactivată.

Modul comandă: configurare SIP UA (sip-ua)

Instrucţiuni de utilizare: Cuvântul cheie trustpoint-trustpoint-name și argumentul se referă la certificatul CUBE generat ca parte a procesului de înscriere utilizând comenzile Cisco IOS PKI.

Când este configurat un singur certificat, acesta este utilizat de toate dispozitivele de la distanță și este configurat de implicit cuvânt cheie.

Atunci când sunt utilizate mai multe certificate, acestea pot fi asociate cu servicii la distanță folosind addr la distanță argumentul pentru fiecare punct de încredere. addr la distanță și argumentele implicite pot fi utilizate împreună pentru a acoperi toate serviciile, după cum este necesar.

Suita de cipher implicită în acest caz este următorul set care este acceptat de stratul SSL de pe CUBE: TLS_RSA_CU_RC4_128_MD5 TLS_RSA_CU_AES_128_CBC_SHA TLS_DHE_RSA_CU_AES_128_CBC_SHA1 TLS_ECDHE_RSA_CU_AES_128_GCM_SHA256 TLS_ECDHE_RSA_CU_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_CU_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_CU_AES_256_GCM_SHA384

Cuvântul cheie validat de cn-san server permite validarea identității serverului prin câmpurile CN și SAN din certificat atunci când se stabilesc conexiuni SIP/TLS de partea clientului. Validarea câmpurilor CN și SAN ale certificatului de server asigură faptul că domeniul de partea serverului este o entitate validă. Când creați o conexiune securizată cu un server SIP, CUBE validează numele domeniului țintă al sesiunii configurate pe câmpurile CN/SAN din certificatul serverului înainte de a stabili o sesiune TLS. După ce configurați validat de cn-san server , validarea identității serverului are loc pentru fiecare nouă conexiune TLS.

profil tls opțiunea asociază configurațiile politicii TLS realizate prin intermediul asocierilor profil tls de clasă vocală configurare . În plus față de opțiunile de politică TLS disponibile direct cu semnalizare cripto comandă , o profil tls include, de asemenea, sni trimite opțiune .

sni send permite indicarea numelui serverului (SNI), o extensie TLS care permite unui client TLS să indice numele serverului la care încearcă să se conecteze în timpul procesului inițial TLS handshake. Numai numele de gazdă DNS complet calificat al serverului este trimis în întâmpinarea clientului. SNI nu acceptă adresele IPv4 și IPv6 în extensia de întâmpinare a clientului. După ce a primit un "salut" cu numele serverului de la clientul TLS, serverul utilizează certificatul corespunzător în procesul ulterior TLS handshake. SNI necesită versiunea TLS 1.2.

Caracteristicile politicii TLS vor fi disponibile numai printr-un profil tls de clasă vocală configurare . semnalizare cripto comanda continuă să sprijine opțiunile cripto TLS existente anterior. Puteți utiliza oricare dintre etichetă profil tls de clasă vocală sau semnalizare cripto comandă pentru a configura un punct de încredere. Vă recomandăm să utilizați comandă tls-profil de clasă vocală pentru a efectua configurații de profil TLS.