- Domov
- /
- Članek
Hvala za povratne informacije.
V tem članku
Povratne informacije?Certifikat naprave po meri (CDC) lahko namestite ročno ali samodejno. Za določena okolja lahko uporabite možnost DHCP 43, da zagotovite parametre SCEP za namestitev certifikata. Ta članek pomoči je namenjen Cisco Desk Phone 9800 Series in Cisco Video Phone 8875, registriranemu pri Cisco BroadWorks.
Namestitev potrdila o napravi po meri
Če želite v telefon namestiti potrdilo o napravi po meri (CDC), uporabite enega od naslednjih načinov glede na vašo situacijo:
Zadnje nameščeno potrdilo v telefonu začne veljati.
- Ročna namestitev — potrdilo lahko namestite tako, da ga naložite s spletne strani za upravljanje telefona. Za podrobnosti glejte Ročna namestitev potrdila o napravi po meri z nalaganjem.
- Samodejna namestitev — parametre Simple Certificate Enrollment Protocol (SCEP) lahko konfigurirate tako, da sprožite samodejno namestitev potrdila. Telefon pošlje zahteve SCEP strežniku SCEP za namestitev potrdila.
Parametre SCEP lahko konfigurirate prek spletne strani za upravljanje telefona, konfiguracijske datoteke telefona (cfg.xml) ali Control Hub. Za podrobnosti glejte Samo dejna namestitev potrdila o napravi po meri s strani SCEP in parametri za nastavitve telefona v nadzornem središču.
- DHCP možnost 43 — V določenem okolju lahko namestite potrdilo z uporabo možnosti DHCP 43. Možnost 43 lahko zagotovi parametre SCEP za namestitev certifikata. Za podrobnosti glejte Konfiguracija parametrov SCEP prek možnosti DHCP 43.
-
Ko za zagotavljanje parametrov SCEP uporabite možnost DHCP 43, lahko telefon pridobi tudi ime domene, preneseno iz možnosti DHCP 15. Na podlagi pridobljenega imena domene lahko telefon zgradi splošno ime SCEP CSR in 802.1X uporabniški ID. Za podrobnosti glejte Dod ajanje skupnega imena ali uporabniškega ID-ja prek DHCP možnosti 15.
Če želite več informacij o konfiguriranju možnosti DHCP, glejte Konfiguriranje možnosti DHCP.
-
Ročna namestitev potrdila o napravi po meri z nalaganjem
Certifikat naprave po meri (CDC) lahko v telefon namestite ročno tako, da potrdilo naložite s spletne strani za upravljanje telefona.
Preden začnete
Preden lahko namestite potrdilo o napravi po meri za telefon, morate imeti:
- Datoteka s potrdilom (.p12 ali .pfx), shranjena v računalniku. Datoteka vsebuje potrdilo in zasebni ključ.
- Geslo za izvleček potrdila. Geslo se uporablja za dešifriranje datoteke potrdila.
| 1 |
Dostopite do spletne strani za upravljanje telefona. |
| 2 |
Izberite Po trdilo. |
| 3 |
V razdelku Dodaj potrdilo kliknite Prebrskaj... . |
| 4 |
Brskajte do potrdila v računalniku. |
| 5 |
V polje Izv leči geslo vnesite geslo za izvleček potrdila. |
| 6 |
Kliknite N aloži. Če sta datoteka s potrdilom in geslo pravilna, boste prejeli sporočilo "
Certificate added.«. V nasprotnem primeru nalaganje ne uspe s sporočilom o napaki, ki kaže, da potrdila ni mogoče naložiti. |
| 7 |
Če želite preveriti podrobnosti nameščenega potrdila, kliknite Pogled v razdel ku Ob stoječa potr dila. |
| 8 |
Če želite odstraniti nameščeno potrdilo iz telefona, kliknite Izbriši v razdel ku Ob stoječa potr dila. Ko kliknete gumb, se postopek odstranjevanja začne takoj brez potrditve. Ko je potrdilo odstranjeno, se pri |
Samodejna namestitev certifikata naprave po meri s strani SCEP
Parametre, povezane s Simple Certificate Enrollment Protocol (SCEP), lahko konfigurirate za interakcijo s strežnikom SCEP in samodejno namestite potrdilo o napravi po meri (CDC).
Ko je kateri koli od parametrov SCEP konfiguriran, bo telefon strežniku poslal zahtevo za vpis SCEP. Telefon bo potrdil prejeto potrdilo CA s konfiguriranim prstnim odtisom.
Preden začnete
Preden lahko samodejno namestite potrdilo o napravi po meri (CDC) za telefon, morate imeti:
- Naslov strežnika SCEP
- SHA-1 ali SHA-256 prstni odtis CA, ki izda potrdilo o telefonu
| 1 |
Dostopite do spletne strani za upravljanje telefona. |
| 2 |
Izberite Po trdilo. |
| 3 |
V razdelku SCEP Configuration 1 nastavite parametre, kot je opisano v Par ametri za konfiguracijo SCEP. |
| 4 |
Kliknite Pošlji vse spremembe. |
Parametri za konfiguracijo SCEP
Naslednja tabela opisuje delovanje in uporabo konfiguracijskih parametrov SCEP v razdelku SCEP Configuration 1 na zavihku Certi ficate na spletni strani za upravljanje telefona. V ključuje tudi sintakso nizov, ki jih dodate v konfiguracijsko datoteko telefona (cfg.xml) za konfiguriranje parametra.
Spreminjanje parametra Geslo za ponovno uporabo za obnov itev posodobi samo pravilnik o podaljšanju in ne sproži takojšnjega vpisa. Če pa spremenite druge parametre vpisa SCEP, bo telefon samodejno zahteval novo potrdilo.
| Parameter | Opis |
|---|---|
| Strežnik |
Naslov strežnika SCEP. Ta parameter je obvezen. Izvedite eno od naslednjega:
Veljavne vrednosti: URL ali naslov IP. Shema HTTPS ni podprta. Privzeto: Prazno |
| CA Prstni odtis |
Vnesite prstni odtis SHA-256 ali SHA-1 certifikata CA, ki je izdal potrdilo o telefonu. Certifikat CA mora biti vključen v
Izvedite eno od naslednjega:
Parameter XML ohrani staro ime
Privzeto: Prazno |
| Geslo za izziv |
Geslo za izziv za Certificate Authority (CA) avtorizacijo na telefonu med vpisom potrdila prek SCEP. Ta parameter ni obvezen. Glede na dejansko okolje SCEP se obnašanje gesla za izziv razlikuje.
Izvedite eno od naslednjega:
Privzeto: Prazno |
| Splošno ime |
Določa skupno ime (CN), ki se uporablja kot identifikator za telefon, ki zahteva potr dilo. CN se uporablja za zahtevo za podpisovanje potrdil (CSR) v postopku SCEP . Ta parameter podpira tudi spremenljivke razširitve makrov, za podrobnosti gle jte Spremenljivke razšir itve makro. Izvedite eno od naslednjega:
Veljavne vrednosti: Največ 64 znakov Privzeto: Prazno |
| Ime države |
Določa državo organizacije. Izvedite eno od naslednjega:
Veljavne vrednosti: niz od 0 do 2 znaka Privzeto: Prazno |
| Ime države ali pokrajine |
Določa državo ali provinco organizacije. Izvedite eno od naslednjega:
Veljavne vrednosti: niz od 0 do 64 znakov. Privzeto: Prazno |
| Ime kraja |
Določa ime kraja za predmet certifikata. Izvedite eno od naslednjega:
Veljavne vrednosti: niz od 0 do 64 znakov Privzeto: Prazno |
| Ime organizacije |
Določa ime predmeta Zahteva za podpisovanje potrdila (CSR). Izvedite eno od naslednjega:
Veljavne vrednosti: niz od 0 do 64 znakov Privzeto: Prazno |
| Organizacijska enota |
Določa imena organizacijskih enot za ime predmeta zahteve za podpisovanje potrdil (CSR). Telefon bo v ime predmeta CSR dodal do 5 parametrov »/OU=«. Izvedite eno od naslednjega:
Veljavne vrednosti: Vsak vnos je niz nizov od 0 do 64 znakov, ločen z vejico, z največjo dolžino 512 znakov. Določite lahko do 5 enot. Privzeto: Prazno |
| SAN DNS |
Določa parametre strežnika domenskih imen (DNS) za alternativno ime predmeta (SAN) zahteve za podpisovanje potrdil (CSR). Telefon bo v CSR SAN dodal do pet parametrov DNS. Izvedite eno od naslednjega:
Veljavne vrednosti: Vsak vnos je niz nizov od 0 do 64 znakov, ločen z vejico, z največjo dolžino 512 znakov. Določite lahko do pet parametrov DNS. Privzeto: Prazno |
| SAN IP |
Določa parametre IP za alternativno ime predmeta (SAN) za zahtevo za podpisovanje certifikata (CSR). Telefon bo v CSR SAN dodal do pet IP parametrov. Izvedite eno od naslednjega:
Veljavne vrednosti: Vsak vnos je niz nizov od 0 do 64 znakov, ločen z vejico, z največjo dolžino 512 znakov. Določite lahko do pet IP parametrov. Privzeto: Prazno |
| E-pošta SAN |
Določa parametre e-pošte za alternativno ime predmeta (SAN) zahteve za podpisovanje certifikata (CSR). Telefon bo dodal do pet parametrov e-pošte v SAN CSR. Izvedite eno od naslednjega:
Veljavne vrednosti: Vsak vnos je niz nizov od 0 do 64 znakov, ločen z vejico, z največjo dolžino 512 znakov. Določite lahko do pet parametrov e-poš te. Privzeto: Prazno |
| SAN URI |
Določa parametre URI za alternativno ime predmeta (SAN) za zahtevo za podpisovanje certifikata (CSR). Telefon bo v CSR SAN dodal do pet parametrov URI. Izvedite eno od naslednjega:
Veljavne vrednosti: Vsak vnos je niz nizov od 0 do 64 znakov, ločen z vejico, z največjo dolžino 512 znakov. Določite lahko do pet parametrov URI. Privzeto: Prazno |
Podaljšanje certifikata s strani SCEP
Potrdilo naprave se lahko samodejno osveži s postopkom SCEP.
- Telefon preveri, ali bo potrdilo poteklo v 15 dneh vsake 4 ure. Če je tako, telefon samodejno zažene postopek podaljšanja potrdila.
- Če je geslo za izziv prazno, telefon uporablja MIC/SUDI tako za začetni vpis kot za podaljšanje potrdila. Če je geslo za izziv konfigurirano, se uporablja samo za začetni vpis, obstoječijo/nameščeno potrdilo pa se uporablja za podaljšanje potrdila.
- Telefon ne odstrani starega potrdila naprave, dokler ne pridobi novega.
- Če podaljšanje potrdila ne uspe, ker potrdilo naprave ali certifikat potrdila poteče, telefon samodejno sproži začetni vpis. Če medtem preverjanje pristnosti gesla za izziv ne uspe, se na zaslonu telefona prikaže zaslon za vnos gesla, uporabniki pa bodo pozvani, da vnesejo geslo za izziv v telefonu.
Konfiguracija splošnega imena CDC
Splošno ime v MIC/SUDI se privzeto uporablja kot splošno ime za CDC.
Ko namestite potrdilo, lahko konfigurirate skupno ime za CDC. Za namestitev CDC v telefon uporabite enega od naslednjih načinov:
-
Ustvarite zahtevo za podpisovanje potrdil (CSR), ki vsebuje želeno splošno ime, nato pa naložite in namestite novo potrdilo na spletno stran za upravljanje telefona.
-
Konfigurirajte skupno ime prek spletne strani za upravljanje telefona, konfiguracijske datoteke telefona (cfg.xml) ali Control Hub. To bo sprožilo, da bo telefon samodejno zahteval novo potrdilo.
Če želite več informacij o parametrih na spletni strani telefona in nadzornem središču, glejte Samo dejna namestitev potrdila o napravi po meri s strani SCEP in Parametri za nastavitve telefona v nadzornem središču.
- Uporabite DHCP možnost 43 in 15 za zagotovitev skupnega imena za CDC in žično identiteto 802.1X.
Če želite več informacij, glejte Dodajanje skupnega imena ali uporabniškega ID-ja prek DHCP možnost 15.
Konfiguracija parametrov SCEP prek DHCP možnosti 43
V nekaterih okoljih ne morete namestiti potrdila o napravi po meri (CDC) tako, da ga naložite ali neposredno konfigurirate parametre SCEP. V tem primeru lahko uporabite možnost DHCP 43 za dobavo parametrov SCEP iz strežnika DHCP v telefon. Ko je telefon ponastavljen na tovarniške privzete nastavitve, prejme parametre s strežnika DHCP in namesti CDC s pomočjo SCEP.
- Ta funkcija (konfiguracija parametrov SCEP prek možnosti DHCP 43) je na voljo samo za telefone, ki so ponastavljeni na tovarniške privzete nastavitve.
- Telefonov, ki se zanašajo na možnosti 43, ne uporabljajte v omrežju, ki uporablja tudi oddal jeno zagotavljanje (na primer možnosti 66,150, 159 in 160 ali zagotavljanje v oblaku). V nasprotnem primeru telefoni morda ne bodo prejeli možnosti 43 konfiguracij.
Če želite namestiti potrdilo CDC s parametri SCEP iz možnosti DHCP 43, naredite naslednje:
- Pripravite okolje SCEP.
Če želite informacije o nastavitvi okolja SCEP, glejte dokumentacijo strežnika SCEP.
- Nastavite možnost DHCP 43 (opredeljeno v točki 8.4 Informacije o specifičnih prodajalcih, RFC 2132).
Podopcije (10—15) so rezervirane za metodo:
Parameter na spletni strani telefona Subopcija Vrsta Dolžina (bajt) Obvezno Način FIPS 10 logično 1 Ne* Strežnik 11 niz 208 - dolžina (geslo za izziv) Da Prstni odtis Root CA 12 šesterokotni 20, 32, 48 ali 64 Da Geslo za izziv 13 niz 208 - dolžina (strežnik) Ne* Omogoči 802.1X preverjanje pristnosti 14 logično 1 Ne Izberite certifikat 15 nepodpisani 8-bitni 1 Ne * pomeni, da je parameter konfiguriran glede na dejansko situacijo.
Ko uporabljate možnost DHCP 43, upoštevajte naslednje značilnosti metode:
- Podopcije (10—15) so rezervirane za potrdilo o napravi po meri (CDC).
- Največja dolžina DHCP možnosti 43 je 255 bajtov.
- Največja dolžina gesla Server + Challenge mora biti manjša od 208 bajtov.
- Vrednost načina FIPS mora ustrezati konfiguraciji zagotavljanja vgradnje.
V nasprotnem primeru telefon po vstopu ne more pridobiti predhodno nameščenega potr
dila. Natančneje,
- Če je telefon registriran v okolju, kjer je način FIPS on emogočen, vam ni treba konfigurirati načina FIPS v DHCP možnosti 43. Način FIPS je privzeto on emogočen.
- Če je telefon registriran v okolju, kjer je omogočen način FIPS, morate omogočiti način FIPS v DHCP možnosti 43. Za podrobnosti glejte Omogočanje načina FIPS.
- Geslo za izziv v možnosti 43 je v jasnem besedilu.
- Če želite telefon uporabljati MIC/SUDI za začetni vpis in podaljšanje potrdila, pustite geslo za izziv prazno.
- Če želite geslo za izziv uporabljati samo za začetni vpis, vnesite geslo za izziv in nastavite Ges lo za ponovno uporabo izziva za obnov itev na št. V tem primeru se nameščeno potrdilo uporablja za podalj šanje certifikata.
- Omogoči 802.1X preverjanje pristnosti in izbiro certifik ata veljajo samo za telefone v žičnih omrežjih.
- Za identifikacijo modela naprave se uporablja možnost DHCP 60 (Identifikator razreda prodajalca).
Primer DHCP možnosti 43 (podopcije 10—15):
Podopcija decimalna/šesterokutna Dolžina vrednosti (bajt) decimalna/hex Vrednost Hex vrednost 10/0a 1/01 1 (0: Onemogočeno; 1: Omogočeno) 01 11/0b 18/12 http://10.79.57.91 687474703A2F2F31302E37392E35372E3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Ne; 1: Da) 01 15/0f 1/01 1 (0: Nameščena proizvodnja; 1: Nameščena po meri) 01 Povzetek vrednosti parametrov:
-
Način FIPS =
Enabled -
Server =
http://10.79.57.91 -
Korenski CA prstni odtis =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Geslo za izziv =
D233CCF9B9952A15 -
Omogoči 802.1X preverjanje pristnosti =
Yes -
Izberi potrdilo =
Custom installed
Sintaksa končne heksadne vrednosti je:
{<suboption><length><value>}...Glede na zgornje vrednosti parametrov je končna vrednost šesterokotnega naslednja:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Konfigurirajte možnost DHCP 43 na strežniku DHCP.
Ta korak ponuja primer konfiguracij DHCP možnosti 43 v Cisco Network Register.
- Dodajte nabor definicij možnosti DHCP.
N iz možnosti prodaj alca je ime modela telefonov IP. Veljavna vrednost je: DP-9841, DP-9851, DP-9861, DP-9871 ali CP-8875.
- Dodajte možnost DHCP 43 in podopcije v nabor definicij možnosti DHCP.
Primer:
- V pravilnik DHCP dodajte možnosti 43 in nastavite vrednost na naslednji način:
Primer:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Preverite nastavitve. Z Wireshark lahko zajamete sled omrežnega prometa med telefonom in storitvijo.
- Dodajte nabor definicij možnosti DHCP.
- Ponastavite telefon na tovarniške nastavitve.
Ko je telefon ponastavljen, se parametri Server, Root CA Finger print in Challenge Password samodejno izpolnijo. Ti parametri se nahajajo v razdelku SCEP Configuration 1 v razdelku na spletni strani za upravljanje telefona.
Če si želite ogledati podrobnosti nameščenega potrdila, kliknite Pog led v razdelku Ob stoje ča potr dila.
Če želite preveriti stanje namestitve potrdila, izberite Potr . V polju Stanje prenosa 1 je prikazan najnovej ši rezultat. Če se med vpisom potrdila pojavi težava, stanje prenosa prikazuje razlog za odpravljanje težav.
Če preverjanje pristnosti gesla izziva ne uspe, telefon pozove uporabnike, naj vnes ejo geslo na zaslonu telefona.
- (Neobvezno): Če želite odstraniti nameščeno potrdilo iz telefona, kliknite Izbriši v razdel ku Ob stoječa potr dila.
Ko kliknete Izbri ši, telefon takoj odstrani potrdilo brez potrditvenega poziva.
Zagotavljanje skupnega imena ali uporabniškega ID-ja prek DHCP možnosti 15
Med vpisom certifikata SCEP prek možnosti DHCP 43 lahko telefon dobi tudi ime domene, navedeno v možnosti DHCP 15 (če je konfigurirano). Ko telefon prejme ime domene, lahko sestavi skupno ime ali ID uporabnika z imenom domene, ki je predstavljeno na naslednji način:
- Splošno ime = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
S plošno ime bo uporabljeno za CSR v procesu SCEP, kasneje pa bo splošno ime v CDC.
- ID uporabnika = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Uporab niški ID bo uporablj en kot identiteta za žično preverjanje pristnosti 802.1X.
Na primer, MAC naslov telefona je 00:1 A: 2B: 3C: 4D: 5E, model telefona je 9871:
| Ime domene v DHCP možnosti 15 | Splošno ime | ID uporabnika |
|---|---|---|
| primer.nl | CP-9871-SEP001A2B3C4D5E.Example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Prazno | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Če ime domene ni konfigurirano v možnosti 15, bosta skupno ime in ID uporabnika enaka skupnemu imenu v MIC/SUDI.
