- Domov
- /
- Článok
Ďakujeme za vašu spätnú väzbu.
V tomto článku
Spätná väzba?Certifikát vlastného zariadenia (CDC) môžete nainštalovať manuálne alebo automaticky. V určitých prostrediach môžete použiť možnosť DHCP 43 na poskytnutie parametrov SCEP pre inštaláciu certifikátu. Tento článok pomocníka je určený pre Cisco Desk Phone 9800 Series a Cisco Video Phone 8875 registrovaný v spoločnosti Cisco BroadWorks.
Inštalácia certifikátu vlastného zariadenia
Ak chcete do telefónu nainštalovať certifikát vlastného zariadenia (CDC), použite jeden z nasledujúcich spôsobov podľa vašej situácie:
Najnovšie nainštalovaný certifikát v telefóne nadobúda účinnosť.
- Manuálna inštalácia — certifikát môžete nainštalovať nahraním z webovej stránky správy telefónu. Podrobnosti nájdete v téme Manu álna inštalácia certifikátu vlastného zariadenia nahraním.
- Automatická inštalácia — môžete nakonfigurovať parametre Simple Certificate Enrollment Protocol (SCEP) tak, aby spustili automatickú inštaláciu certifikátu. Telefón odosiela požiadavky SCEP na server SCEP na inštaláciu certifikátu.
Parametre SCEP je možné nakonfigurovať prostredníctvom webovej stránky správy telefónu, konfiguračného súboru telefónu (cfg.xml) alebo Control Hub. Podrobnosti nájdete v téme Automatická inštalácia vlastného certifikátu zariadenia podľa SCEP a parametre pre nastavenia telefónu v ovládacom centre.
- Možnosť DHCP 43 — V určitom prostredí môžete nainštalovať certifikát pomocou možnosti DHCP 43. Možnosť 43 môže poskytnúť parametre SCEP pre inštaláciu certifikátu. Podrobnosti nájdete v časti Konfigurácia parametrov SCEP prostredníctvom možnosti DHCP 43.
-
Ak použijete možnosť DHCP 43 na poskytovanie parametrov SCEP, telefón môže tiež načítať názov domény prenášaný z možnosti DHCP 15. Na základe získaného názvu domény môže telefón vytvoriť spoločný názov SCEP CSR a 802.1X User ID. Podrobnosti nájdete v téme Poskytovanie bežného mena alebo ID používateľa prostredníctvom možnosti DHCP 15.
Ďalšie informácie o konfigurácii možností DHCP nájdete v téme Kon figurácia možností DHCP.
-
Manuálna inštalácia certifikátu vlastného zariadenia nahraním
Certifikát vlastného zariadenia (CDC) môžete manuálne nainštalovať do telefónu odovzdaním certifikátu z webovej stránky správy telefónu.
Skôr ako začnete
Pred inštaláciou vlastného certifikátu zariadenia pre telefón musíte mať:
- Súbor certifikátu (.p12 alebo .pfx) uložený v počítači. Súbor obsahuje certifikát a súkromný kľúč.
- Extrahové heslo certifikátu. Heslo sa používa na dešifrovanie súboru certifikátu.
| 1 |
Vstúpte na webovú stránku správy telefónu. |
| 2 |
Vyberte Certifik át. |
| 3 |
V časti Pri dať certifikát kliknite na položku Prehľadávať... . |
| 4 |
Prejdite na certifikát v počítači. |
| 5 |
Do poľa Extrahovať heslo zadajte heslo pre extrakciu certifikátu. |
| 6 |
Kliknite na polož ku Nahra ť. Ak sú súbor certifikátu a heslo správne, dostanete správu "
Certificate added.“. V opačnom prípade nahrávanie zlyhá a zobrazí sa chybové hlásenie naznačujúce, že certifikát nie je možné nahrať. |
| 7 |
Ak chcete skontrolovať podrobnosti o nainštalovanom certifikáte, kliknite na položku Zobraziť v časti Existujúce certifiká ty. |
| 8 |
Ak chcete nainštalovaný certifikát odstrániť z telefónu, kliknite na položku Od strá niť v časti Existujúce certifiká ty. Po kliknutí na tlačidlo sa operácia odstránenia spustí okamžite bez potvrdenia. Po odstránení certifikátu sa zobrazí |
Automatická inštalácia certifikátu vlastného zariadenia od SCEP
Parametre súvisiace s protokolom Simple Certificate Enrollment Protocol (SCEP) môžete nakonfigurovať tak, aby interagovali so serverom SCEP a automaticky nainštalovať certifikát vlastného zariadenia (CDC).
Po nakonfigurovaní ktoréhokoľvek z parametrov SCEP telefón pošle na server žiadosť o registráciu SCEP. Telefón overí prijatý certifikát CA pomocou nakonfigurovaného odtlačku prsta.
Skôr ako začnete
Predtým, ako budete môcť vykonať automatickú inštaláciu certifikátu vlastného zariadenia (CDC) pre telefón, musíte mať:
- Adresa servera SCEP
- SHA-1 alebo SHA-256 odtlačok prsta CA, ktorý vydáva certifikát telefónu
| 1 |
Vstúpte na webovú stránku správy telefónu. |
| 2 |
Vyberte Certifik át. |
| 3 |
V časti SCEP Configuration 1 nastavte parametre tak, ako je opísané v časti Parametre pre konfiguráciu SCEP. |
| 4 |
Kliknite na polož ku Odoslať všetky zmeny. |
Parametre pre konfiguráciu SCEP
Nasledujúca tabuľka popisuje funkciu a použitie konfiguračných parametrov SCEP v sekcii SCEP Configuration 1 na karte Certifik át webovej stránky správy telefónu. Zah ŕňa tiež syntax reťazcov, ktoré pridáte do konfiguračného súboru telefónu (cfg.xml) na konfiguráciu parametra.
Zmena parametra Použité heslo výzvy pre obnov u aktualizuje iba politiku obnovenia a nespúšťa okamžitú registráciu. Zmena akýchkoľvek ďalších parametrov registrácie SCEP však spôsobí, že telefón automaticky požiada o nový certifikát.
| Parameter | Popis |
|---|---|
| Server |
Adresa servera SCEP. Tento parameter je povinný. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: URL alebo adresa IP. Schéma HTTPS nie je podporovaná. Predvolené: Prázdne |
| CA Odtlačok prsta |
Zadajte odtlačok SHA-256 alebo SHA-1 certifikátu CA, ktorý vydal certifikát telefónu. Certifikát CA musí byť zahrnutý v odpovedi servera SCEP
Vykonajte jednu z nasledujúcich krokov:
Parameter XML zachováva starší názov
Predvolené: Prázdne |
| Heslo výzvy |
Heslo výzvy pre autorizáciu Certificate Authority (CA) proti telefónu počas registrácie certifikátu prostredníctvom SCEP. Tento parameter je voliteľný. Podľa skutočného prostredia SCEP sa správanie hesla výzvy líši.
Vykonajte jednu z nasledujúcich krokov:
Predvolené: Prázdne |
| Bežný názov |
Určuje bežný názov (KN) používaný ako identifikátor telefónu, ktorý požad uje certifikát. KN sa používa na žiadosť o podpis certifikátu (CSR) v procese SCEP . Tento parameter podporuje aj premenné rozšírenia makra. Podrobnosti nájdete v časti Premenné rozší renia makra. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Maximálne 64 znakov Predvolené: Prázdne |
| Názov krajiny |
Určuje krajinu organizácie. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Reťazec 0 až 2 znaky Predvolené: Prázdne |
| Názov štátu alebo provincie |
Určuje štát alebo provinciu organizácie. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Reťazec 0 až 64 znakov. Predvolené: Prázdne |
| Názov lokality |
Určuje názov lokality pre predmet certifikátu. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Reťazec 0 až 64 znakov Predvolené: Prázdne |
| Názov organizácie |
Určuje názov predmetu žiadosti o podpis certifikátu (CSR). Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Reťazec 0 až 64 znakov Predvolené: Prázdne |
| Organizačná jednotka |
Určuje názvy organizačných jednotiek pre názov predmetu žiadosti o podpis certifikátu (CSR). Telefón pridá do názvu predmetu CSR až 5 parametrov „/OU=“. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Každá položka je reťazcovým poľom 0 až 64 znakov oddelených čiarkou s maximálnou dĺžkou 512 znakov. Je možné zadať až 5 jednotiek. Predvolené: Prázdne |
| SAN DNS |
Určuje parametre Domain Name Server (DNS) pre alternatívny názov predmetu (SAN) žiadosti o podpis certifikátu (CSR). Telefón pridá do CSR SAN až päť parametrov DNS. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Každá položka je reťazcovým poľom 0 až 64 znakov oddelených čiarkou s maximálnou dĺžkou 512 znakov. Je možné zadať až päť parametrov DNS. Predvolené: Prázdne |
| SAN IP |
Určuje parametre IP alternatívneho názvu predmetu (SAN) žiadosti o podpis certifikátu (CSR). Telefón pridá do CSR SAN až päť parametrov IP. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Každá položka je reťazcovým poľom 0 až 64 znakov oddelených čiarkou s maximálnou dĺžkou 512 znakov. Je možné zadať až päť parametrov IP. Predvolené: Prázdne |
| E-mail SAN |
Určuje parametre E-mail pre alternatívny názov predmetu (SAN) žiadosti o podpis certifikátu (CSR). Telefón pridá do CSR SAN až päť parametrov e-mailu. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Každá položka je reťazcovým poľom 0 až 64 znakov oddelených čiarkou s maximálnou dĺžkou 512 znakov. Je možné zadať až päť parametrov e-ma ilu. Predvolené: Prázdne |
| SAN URI |
Určuje parametre URI pre alternatívny názov predmetu (SAN) žiadosti o podpis certifikátu (CSR). Telefón pridá do CSR SAN až päť parametrov URI. Vykonajte jednu z nasledujúcich krokov:
Platné hodnoty: Každá položka je reťazcovým poľom 0 až 64 znakov oddelených čiarkou s maximálnou dĺžkou 512 znakov. Je možné zadať až päť parametrov URI. Predvolené: Prázdne |
Obnovenie certifikátu spoločnosťou SCEP
Certifikát zariadenia môže byť automaticky obnovený procesom SCEP.
- Telefón kontroluje, či vyprší certifikát za 15 dní každé 4 hodiny. Ak áno, telefón automaticky spustí proces obnovy certifikátu.
- Ak je heslo výzvy prázdne, telefón používa MIC/SUDI na počiatočnú registráciu aj obnovenie certifikátu. Ak je heslo výzvy nakonfigurované, používa sa iba na počiatočnú registráciu, existujúci/nainštalovaný certifikát sa použije na obnovenie certifikátu.
- Telefón neodstráni starý certifikát zariadenia, kým nenahráti nový certifikát.
- Ak obnovenie certifikátu zlyhá z dôvodu platnosti certifikátu zariadenia alebo certifikátu certifikátu, telefón automaticky spustí počiatočnú registráciu. Medzitým, ak autentifikácia hesla výzvy zlyhá, na obrazovke telefónu sa zobrazí obrazovka zadávania hesla a používatelia sa zobrazia výzva na zadanie hesla výzvy v telefóne.
Konfigurácia spoločného názvu CDC
V predvolenom nastavení sa bežný názov v MIC/SUDI používa ako spoločný názov pre CDC.
Pri inštalácii certifikátu môžete nakonfigurovať bežný názov pre CDC. Na inštaláciu CDC do telefónu použite jednu z nasledujúcich metód:
-
Vytvorte požiadavku na podpisovanie certifikátu (CSR), ktorá obsahuje požadovaný bežný názov, a potom nahrajte a nainštalujte nový certifikát na webovú stránku správy telefónu.
-
Nakonfigurujte bežný názov prostredníctvom webovej stránky správy telefónu, konfiguračného súboru telefónu (cfg.xml) alebo Control Hub. Tým sa telefón automaticky požiada o nový certifikát.
Ďalšie informácie o parametroch na webovej stránke telefónu a ovládac om centre nájdete v téme Automatická inštalácia vlastného certifikátu zariadenia podľa SCEP a Parametre pre nastavenia telefónu v Control Hub.
- Využite možnosť DHCP 43 a 15 na poskytnutie spoločného názvu pre CDC a káblovú identitu 802.1X.
Ďalšie informácie nájdete v téme Po skytovanie bežného mena alebo ID používateľa prostredníctvom možnosti DHCP 15.
Konfigurácia parametrov SCEP prostredníctvom možnosti DHCP 43
V niektorých prostrediach nemôžete nainštalovať vlastný certifikát zariadenia (CDC) jeho nahraním alebo priamou konfiguráciou parametrov SCEP. V tejto situácii môžete použiť možnosť DHCP 43 na dodanie parametrov SCEP zo servera DHCP do telefónu. Po obnovení predvolených nastavení telefónu prijíma parametre zo servera DHCP a nainštaluje CDC pomocou SCEP.
- Táto funkcia (konfigurácia parametrov SCEP prostredníctvom možnosti DHCP 43) je k dispozícii iba pre telefóny, ktoré boli obnovené na predvolené nastavenia z výroby.
- Neumiestňujte telefóny, ktoré sa spoliehajú na možnosti 43 v sieti, ktorá využíva aj vzdialené poskytovanie (napríklad možnosti 66 150, 159 a 160 alebo poskytovanie cloudu). V opačnom prípade telefóny nemusia dostať možnosť 43 konfigurácií.
Ak chcete nainštalovať certifikát CDC podľa parametrov SCEP poskytnutých z možnosti DHCP 43, postupujte takto:
- Pripravte prostredie SCEP.
Informácie o nastavení prostredia SCEP nájdete v dokumentácii servera SCEP.
- Nastavte možnosť DHCP 43 (definované v 8.4 Informácie špecifické pre dodávateľa, RFC 2132).
Podmožnosti (10—15) sú vyhradené pre metódu:
Parameter na webovej stránke telefónu Subopcia Typ Dĺžka (bajt) Povinné Režim FIPS 10 boolean 1 Ne* Server 11 povrázok 208 - dĺžka (heslo výzvy) Áno Root CA odtlačok prsta 12 šesťhranný 20, 32, 48 alebo 64 Áno Heslo výzvy 13 povrázok 208 - dĺžka (Server) Ne* Povoliť 802.1X autentifikáciu 14 boolean 1 Nie Výber certifikátu 15 nepodpísaný 8-bitový 1 Nie * znamená, že parameter je nakonfigurovaný podľa skutočnej situácie.
Keď použijete možnosť DHCP 43, všimnite si nasledujúce charakteristiky metódy:
- Podmožnosti (10—15) sú vyhradené pre Custom Device Certificate (CDC).
- Maximálna dĺžka DHCP možnosti 43 je 255 bajtov.
- Maximálna dĺžka servera + Challenge Password musí byť menšia ako 208 bajtov.
- Hodnota režimu FIPS musí zodpovedať konfigur ácii poskytovania vstupu.
V opačnom prípade telefón po zavedení nedokáže načítať predtým nainštalovaný certifik
át. Konkrétne
- Ak je telefón zaregistrovaný v prostredí, kde je režim FIPS zakázaný, nemusíte konfigurovať režim FIPS vo voľbe DHCP 43. V predvolenom nastavení je režim FIPS zakázaný.
- Ak je telefón zaregistrovaný v prostredí, kde je povolený režim FIPS, musíte povoliť režim FIPS vo voľbe DHCP 43. Podrobnosti nájdete v téme Povoliť režim FIPS.
- Heslo výzvy v možnosti 43 je v jasnom texte.
- Ak chcete, aby telefón používal MIC/SUDI na počiatočnú registráciu a obnovenie certifikátu, nechajte heslo výzvy prázdne.
- Ak chcete heslo výzvy používať iba pri počiatočnej registrácii, zadajte heslo výzvy a nastavte Pou žiť heslo výzvy pre obno venie na číslo. V tomto prípade sa nainštalovaný certifikát použije na obnovenie certifikátu.
- Povoliť 802.1X autentifikáciu a výber certifikátov sa vzťahujú iba na telefóny v káblových sieťach.
- Na identifikáciu modelu zariadenia sa používa možnosť DHCP 60 (Identifikátor triedy dodávateľa).
Príklad možnosti DHCP 43 (podmožnosti 10—15):
Podpätie desatinný/šesťdesiatky Dĺžka hodnoty (bajt) desatinný/hex Hodnota Šesťhranná hodnota 10/0a 1/01 1 (0: Zakázané; 1: Povolené) 01 11/0b 18/12 http://10.79.57.91 687474703A2F2F31302E37392E35372E393931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Nie; 1: Áno) 01 15/0f 1/01 1 (0: Inštalovaná výroba; 1: Inštalovaná na mieru) 01 Zhrnutie hodnôt parametrov:
-
Režim FIPS =
Enabled -
Server =
http://10.79.57.91 -
Koreňový odtlačok prsta CA =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Heslo výzvy =
D233CCF9B9952A15 -
Povoliť 802.1X autentifikáciu =
Yes -
Výber certifikátu =
Custom installed
Syntax konečnej hodnoty hex je:
{<suboption><length><value>}...Podľa vyššie uvedených hodnôt parametrov je konečná hodnota hex nasledovná:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Nakonfigurujte možnosť DHCP 43 na serveri DHCP.
Tento krok poskytuje príklad konfigurácie DHCP možnosti 43 v Cisco Network Register.
- Pridajte sadu definícií možností DHCP.
Re ťazec možností dodáv ateľa je názov modelu telefónov IP. Platná hodnota je: DP-9841, DP-9851, DP-9861, DP-9871 alebo CP-8875.
- Pridajte možnosť DHCP 43 a podmožnosti do sady definícií možností DHCP.
Príklad:
- Pridajte možnosti 43 do politiky DHCP a nastavte hodnotu nasledovne:
Príklad:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Skontrolujte nastavenia. Pomocou Wireshark môžete zachytiť stopy sieťovej prevádzky medzi telefónom a službou.
- Pridajte sadu definícií možností DHCP.
- Obnovenie telefónu z výroby.
Po resetovaní telefónu sa automaticky vyplnia parametre Server, Root CA Finger print a Challenge Password. Tieto parametre sa nachádzajú v sekcii SCEP Configuration 1 v časti né na webovej stránke správy telefónu.
Ak chcete zobraziť podrobnosti o nainštalovanom certifikáte, kliknite na položku Zobraziť v časti Existujúce certifiká ty.
Ak chcete skontrolovať stav inštalácie certifikátu, vyberte . Pole Stav prevzatia 1 zobrazuje najnov ší výsledok. Ak sa počas registrácie certifikátu vyskytne problém, stav sťahovania zobraz í dôvod riešenia problémov.
Ak autentifikácia hesla výzvy zlyhá, telefón vyzve používateľov, aby zadali heslo na obrazovke telefónu.
- (Voliteľné): Ak chcete nainštalovaný certifikát odstrániť z telefónu, kliknite na položku Od strá niť v časti Existujúce certifiká ty.
Po kliknutí na položku Odstrániť telefón certifikát okamžite odstráni bez potvrdenia výzvy.
Poskytovanie bežného mena alebo ID používateľa prostredníctvom možnosti DHCP 15
Počas registrácie certifikátu SCEP prostredníctvom možnosti DHCP 43 môže telefón získať aj názov domény uvedený v možnosti DHCP 15 (ak je nakonfigurovaný). Keď telefón dostane názov domény, môže zostaviť spoločné meno alebo ID používateľa s názvom domény, ktoré je znázornené nasledovne:
- Bežný názov = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Spoloč ný názov sa použije pre CSR v procese SCEP a neskôr to bude spoločný názov v CDC.
- ID používateľa = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
ID používateľa sa použije ako identita pre káblové overenie 802.1X.
Napríklad MAC adresa telefónu je 00:1 A: 2B: 3C: 4D: 5E, model telefónu je 9871:
| Názov domény v DHCP možnosti 15 | Bežný názov | ID používateľa |
|---|---|---|
| príklad.nl | CP-9871-SEP001A2B3C4D5E.Example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Prázdny | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Ak názov domény nie je nakonfigurovaný v možnosti 15, bežné meno a ID používateľa budú rovnaké ako bežný názov v MIC/SUDI.
