Благодарим вас за обратную связь.

Вы можете добавить сертификаты из локального веб-интерфейса устройства. Кроме того, вы можете добавить сертификаты, выполнив команды API. Чтобы узнать, какие команды позволяют добавлять сертификаты, см. roomos.cisco.com.

Сервисные сертификаты и доверенные центры сертификации

При использовании протокола TLS (Transport Layer Security) может потребоваться проверка сертификата. Сервер или клиент могут потребовать, чтобы устройство предъявило им действительный сертификат перед настройкой связи.

Сертификаты представляют собой текстовые файлы, подтверждающие подлинность устройства. Эти сертификаты должны быть подписаны доверенным центром сертификации (CA). Для проверки подписи сертификатов на устройстве должен находиться список доверенных центров сертификации. В списке должны быть указаны все центры сертификации, необходимые для проверки сертификатов как для ведения журнала аудита, так и для других подключений.

Сертификаты используются для следующих служб: HTTPS-сервер, SIP, IEEE 802.1X и ведение журнала аудита. На устройстве можно хранить несколько сертификатов, но для каждой службы одновременно активирован только один сертификат.

В RoomOS в октябре 2023 года и более поздних версиях при добавлении сертификата CA к устройству он также применяется к устройству, Room Navigator если оно подключено. Чтобы синхронизировать ранее добавленные сертификаты CA с подключеннымRoom Navigator, необходимо перезагрузить устройство. Если вы не хотите, чтобы периферийные устройства получали те же сертификаты, что и устройство, к которому они подключены, задайте для конфигурации Peripherals Security Certificates SynctoPeripherals значение False.

Для подключения к Wi-Fi

Мы рекомендуем добавить доверенный сертификат CA для каждого устройства серии Board, Desk или Room, если в вашей сети используется аутентификация WPA-EAP. Это необходимо сделать отдельно для каждого устройства и перед подключением к Wi-Fi.

Поддерживаемые форматы сертификатов и ключей

• Эта система принимает файлы сертификатов в формате PEM или двоичном формате.

• Файлы PEM могут содержать сертификат и закрытый ключ в одном файле.

• Закрытый ключ должен быть в том же формате, что и сертификат; то есть оба ключа должны быть PEM или двоичными.

• Поддерживаемые форматы двоичных сертификатов включают файлы X.509 с расширениями .der, .cer или .crt и файлы PKCS7 с расширением.p7b.

• Поддерживаемые форматы двоичных закрытых ключей включают зашифрованные ключи RSA или DSA, обычно с расширениями .key, .der или .p8.

Сертификат и закрытый ключ хранятся в одном файле на устройстве. Если аутентификация не удалась, соединение не будет установлено.

Администраторы должны создать запрос на подписание сертификата (CSR) из Control Hub для зарегистрированных в облаке устройств серии Board, Desk или Room.

Выполните следующие действия, чтобы создать CSR и загрузить подписанный сертификат на свое устройство:

1. В окне просмотра информации о клиенте в Control Hub перейдите на страницу «Устройства» и выберите свое устройство из списка.
2. Перейдите в раздел Действия > Выполнить команду > Безопасность > Сертификаты > CSR > Создать.
3. Введите необходимые сведения о сертификате и нажмите Выполнить.
4. Скопируйте весь текст в диапазоне от ----НАЧАТЬ ЗАПРОС НА СЕРТИФИКАТ---- до ----ЗАВЕРШИТЬ ЗАПРОС НА СЕРТИФИКАТ ----.
5. Для подписания CSR используйте выбранный вами сертификат Certificate Authority (CA).
6. Экспортируйте подписанный сертификат в формате PEM (кодировка Base64).
7. Откройте подписанный файл сертификата в текстовом редакторе (например, в Блокноте) и скопируйте весь текст в диапазоне от ----BEGIN CERTIFICATE---- до ----END CERTIFICATE----.
8. В Control Hub перейдите в раздел Устройства > выберите устройство > Действия > Выполнить команду > Безопасность > Сертификаты > CSR > Ссылка.
9. Вставьте скопированное содержимое сертификата в раздел Body и нажмите «Выполнить».
10. Обновите страницу, чтобы убедиться, что сертификат отображается в разделе Существующий сертификат.

Простой протокол регистрации сертификатов (SCEP) обеспечивает автоматический механизм регистрации и обновления сертификатов, используемых, например, для аутентификации 802.1X на устройствах. SCEP позволяет поддерживать доступ устройства к защищенным сетям без ручного вмешательства.

• Когда устройство новое или было восстановлено до заводских настроек, для доступа к URL-адресу SCEP ему требуется доступ к сети. Для получения IP-адреса устройство должно быть подключено к сети без 802.1X.

• Если используется беспроводной регистрационный SSID, просмотрите экраны подключения, чтобы настроить соединение с сетью.

• После подключения к сети инициализации устройство не обязательно должно отображаться на определенном экране подключения.

• Чтобы соответствовать требованиям всех развертываний, XAPI SCEP Enrollment не будут хранить сертификат CA, используемый для подписи сертификата устройства. Для аутентификации сервера сертификат CA, используемый для проверки сертификата сервера, необходимо дополнить сертификатами безопасности xCommand CA Add.

Предварительные условия

Вам нужна следующая информация:

• URL-адрес сервера SCEP.

• Отпечаток подписывающего сертификата CA (Certificate Authority).

• Информация о сертификате для регистрации. Это и есть название субъекта сертификата.

  • Общее имя

  • Название страны

  • Название штата или провинции

  • Название населенного пункта

  • Название организации

  • Организационное подразделение

• Название субъекта будет упорядочено в следующем порядке: /C = /ST = /L = /O = /OU = /CN =

• Пробный пароль сервера SCEP, если вы настроили сервер SCEP на применение одноразового пароля или общего секрета.

Вы можете установить необходимый размер ключа для пары ключей запроса сертификата с помощью следующей команды. По умолчанию 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Мы отправляем запрос на сертификат, действительный в течение одного года до истечения срока действия сертификата. Политика на стороне сервера может изменить дату истечения срока действия сертификата во время подписания сертификата.

Ethernet-соединение

Когда устройство подключено к сети, убедитесь, что оно имеет доступ к серверу SCEP. Для получения IP-адреса устройство должно быть подключено к сети без 802.1x. Для получения IP-адреса, возможно, потребуется предоставить MAC-адрес устройства в сеть инициализации. MAC-адрес можно найти в пользовательском интерфейсе или на этикетке на задней панели устройства.

После подключения устройства к сети вы можете подключиться к устройству по протоколу SSH в качестве администратора, чтобы получить доступ к TSH, а затем выполните следующую команду для отправки запроса на регистрацию SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Как только сервер SCEP вернет подписанный сертификат устройства, активируйте 802.1X.

Активируйте подписанный сертификат:

xCommand Security Certificates Services Activate 

Перезагрузите устройство после активации сертификата.

Беспроводное соединение

Когда устройство подключено к беспроводной сети, убедитесь, что оно имеет доступ к серверу SCEP.

После подключения устройства к сети вы можете подключиться к устройству по протоколу SSH в качестве администратора, чтобы получить доступ к TSH, а затем выполните следующую команду для отправки запроса на регистрацию SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Устройство получает подписанный сертификат от сервера SCEP.

Активируйте подписанный сертификат:

xCommand Security Certificates Services Activate

После активации необходимо настроить сеть Wi-Fi с аутентификацией EAP-TLS.

xCommand Network Wifi Configure 

По умолчанию конфигурация Wi-Fi пропускает валидационные проверки сервера. Если требуется только односторонняя аутентификация, оставьте для AllowMissingCA значение по умолчанию True.

Чтобы принудительно проверить сервер, убедитесь, что для дополнительного параметра AllowMissingCA установлено значение False. Если соединение не удается установить из-за ошибок проверки сервиса, убедитесь, что добавлен правильный центр сертификации, чтобы проверить сертификат сервера, который может отличаться от сертификата устройства.

Описания API

Роль: администратор, интегратор

xCommand Security Certificates Services Enrollment SCEP Request

Отправляет CSR на данный сервер SCEP для подписания. Параметры CSR SubjectName будут построены в следующем порядке: C, ST, L, O, OU, CN.

Параметры:

• URL-адрес (ы): <S: 0, 256>

  URL-адрес сервера SCEP.

• Отпечаток пальца (ы): <S: 0, 128>

  Отпечаток сертификата CA, который подпишет запрос SCEP (CSR).

• Общее имя (имена): <S: 0, 64>

  Добавляет «/CN=» к имени субъекта корпоративной социальной ответственности.

• Пароль вызова: <S: 0, 256>

  OTP или общий секрет с сервера SCEP для доступа к подписи.

• Название страны: <S: 0, 2>

  Добавляет «/C=» к имени субъекта корпоративной социальной ответственности.

• Название штата или провинции: <S: 0, 64>

  Добавляет «/ST=» к имени субъекта корпоративной социальной ответственности.

• Название населенного пункта: <S: 0, 64>

  Добавляет «/L=» к имени субъекта корпоративной социальной ответственности.

• Название организации: <S: 0, 64>

  Добавляет «/O=» к имени субъекта корпоративной социальной ответственности.

• Организационное подразделение [5]: <S: 0, 64>

  Добавляет до 5 параметров «/OU=» к имени субъекта CSR.

• SandN [5]: <S: 0, 64>

  Добавляет до 5 параметров Dns к альтернативному имени субъекта CSR.

• SanEmail [5]: <S: 0, 64>

  Добавляет до 5 параметров электронной почты к альтернативному имени субъекта CSR.

• SanIP [5]: <S: 0, 64>

  Добавляет до 5 параметров Ip к альтернативному имени субъекта CSR.

• URL-адрес [5]: <S: 0, 64>

  Добавляет до 5 параметров Uri к альтернативному имени субъекта CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Удаляет профиль регистрации, чтобы больше не продлевать сертификаты.

Параметры:

• Отпечаток пальца (ы): <S: 0, 128>

  Отпечаток сертификата CA, идентифицирующий профиль, который вы хотите удалить. Список доступных профилей для удаления можно посмотреть, выполнив следующую команду:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Перечисляет профили регистрации для продления сертификата.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Добавьте профиль регистрации сертификатов, выданных по отпечатку пальца CA, чтобы использовать указанный URL-адрес SCEP для продления.

Продление

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Для автоматического продления сертификата устройство должно иметь доступ к URL-адресу SCEP, по которому можно отменить действие сертификата.

Один раз в день устройство проверяет наличие сертификатов, срок действия которых истекает через 45 дней. Затем устройство попытается продлить этот сертификат, если его эмитент совпадает с профилем.

ПРИМЕЧАНИЕ. Все сертификаты устройств будут проверены на предмет продления, даже если сертификат изначально не был зарегистрирован с помощью SCEP.

навигатор

1. Прямое сопряжение: зарегистрированные сертификаты можно активировать как сертификат «Сопряжение».

2. Удаленное сопряжение: попросите навигатора зарегистрировать новый сертификат SCEP, используя идентификатор периферийного устройства:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Профили регистрации автоматически синхронизируются с сопряженным навигатором.

3. Автономный навигатор: то же, что и регистрация в кодеках

Настроить аутентификацию 802.1x можно прямо из меню «НастройкиRoom Navigator».

Стандарт аутентификации 802.1x особенно важен для сетей Ethernet и обеспечивает доступ к сетевым ресурсам только авторизованным устройствам.

Доступны различные варианты входа в систему в зависимости от метода EAP, настроенного в вашей сети. Например:

• TLS: имя пользователя и пароль не используются.
• PEAP: сертификаты не используются.
• TTLS: требуются как имя пользователя/пароль, так и сертификаты; ни то, ни другое не является обязательным.

Получить сертификат клиента на устройство можно несколькими способами:

1. Загрузите PEM: используйте функцию добавления служб сертификатов безопасности.
2. Создайте CSR: создайте запрос на подписание сертификата (CSR), подпишите его и свяжите с помощью сертификатов безопасности CSR Create/Link.
3. SCEP: используйте запрос SCEP на регистрацию в службу сертификатов безопасности.
4. Вариант 43 DHCP: настройте доставку сертификатов с помощью этой опции.

Настройку и обновление сертификатов для 802.1x следует выполнять до их сопряжения с системой или после сброса настроек Room Navigator к заводским настройкам. Room Navigator

По умолчанию используются учетные данные администратора и пустой пароль. Дополнительные сведения о добавлении сертификатов с помощью доступа к API см. в последней версии руководства по API.

1. Откройте панель управления в навигаторе, нажав кнопку в правом верхнем углу или проводя пальцем вправо. Затем нажмите «Настройки устройства».
2. Перейдите в раздел «Сетевое подключение» и выберите Ethernet.
3. Включите опцию Использовать IEEE 802.1X.
   • Если аутентификация настроена с использованием учетных данных, введите имя пользователя и кодовую фразу. Можно также ввести анонимный идентификатор: это необязательное поле позволяет отделить фактическую личность пользователя от первоначального запроса на аутентификацию.
   • Можно выключить или включить TLS Verify. Когда функция TLS verify включена, клиент активно проверяет подлинность сертификата сервера во время рукопожатия по протоколу TLS. Когда функция TLS verify выключена, клиент не выполняет активную проверку сертификата сервера.
   • Если вы загрузили сертификат клиента, воспользовавшись API, включите опцию Использовать сертификат клиента.
   • Переключите методы расширяемого протокола аутентификации (EAP), которые хотите использовать. Выбор метода EAP зависит от конкретных требований безопасности, инфраструктуры и возможностей клиента. Методы EAP крайне важны для обеспечения безопасного и аутентифицированного доступа к сети.

Теперь Cisco поддерживает использование встроенных сертификатов безопасного уникального идентификатора устройства (SUDI) для беспроводной аутентификации 802.1x. Ранее сертификаты SUDI поддерживались только для аутентификации 802.1x по проводной и локальной сети.

Эта функция доступна начиная с версии RoomOS 26.7.1.7. Все устройства под управлением RoomOS 26 поддерживают эту функцию, в то время как в RoomOS 11 она не поддерживается.

Чтобы включить эту функцию, модуль Cisco Identity Services Engine (ISE) для сети Wi-Fi должен добавить в ISE TrustStore следующие сертификаты CA:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Сертификат SUDI можно активировать с помощью веб-интерфейса устройства, выбрав вариант использования сертификата SUDI для аутентификации 802.1x.

В качестве альтернативы можно использовать следующую команду:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Чтобы найти отпечаток пальца SUDI, запустите:

xCommand Security Certificates Services Show

Если отпечаток пальца успешно активирован, в eventlog/auditlog вы увидите записи, похожие на следующие:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

После активации сертификата SUDI настройте сеть Wi-Fi на использование аутентификации EAP-TLS. Это можно сделать с сенсорной панели или экрана устройства, выбрав метод аутентификации EAP-TLS.