- Početak
- /
- Članak
Hvala na povratnim informacijama.
U ovom članku
Povratne informacije?Sertifikat prilagođenog uređaja (CDC) možete instalirati na ručni ili automatski način. Za određena okruženja možete koristiti DHCP opciju 43 da biste obezbedili SCEP parametre za instalaciju sertifikata. Ovaj članak pomoći je za Cisco Desk Phone 9800 Series i Cisco Video Phone 8875 registrovan na Cisco BroadVorks.
Instalacija sertifikata prilagođenog uređaja
Da biste instalirali sertifikat prilagođenog uređaja (CDC) na telefon, koristite jedan od sledećih načina na osnovu vaše situacije:
Poslednji instalirani sertifikat na telefonu stupa na snagu.
- Ručna instalacija—sertifikat možete instalirati tako što ćete ga otpremiti sa veb stranice administracije telefona. Detalje potražite u odelj ku Ručna instalacija prilagođenog sertifikata uređaja putem otpremanja.
- Automatska instalacija — možete da konfigurišete parametre Simple Certificate Enrollment Protocol (SCEP) da pokrenete automatsku instalaciju sertifikata. Telefon šalje SCEP zahteve SCEP serveru da instalira sertifikat.
Parametri SCEP mogu se konfigurisati putem veb stranice administracije telefona, datoteke za konfiguraciju telefona (cfg.xml) ili Control Hub. Detalje potražite u odelj ku Automatska instalacija sertifikata prilagođenog uređaja od strane SCEP i Parametri za podešavanja telefona na Control Hub.
- DHCP opcija 43 — U određenom okruženju možete instalirati sertifikat koristeći DHCP opciju 43. Opcija 43 može da obezbedi SCEP parametre za instalaciju sertifikata. Za detalje pogledajte konfiguraciju parametara SCEP preko DHCP opcije 43.
-
Kada koristite DHCP opciju 43 za obezbeđivanje SCEP parametara, telefon takođe može da preuzme ime domena koje se nosi iz DHCP opcije 15. Na osnovu preuzetog imena domena, telefon može da konstruiše SCEP CSR zajedničko ime i 802.1Ks korisnički ID. Detalje potražite u odelj ku Obezbeđivanje zajedničkog imena ili korisničkog ID-a putem DHCP opcije 15.
Više informacija o tome kako da konfigurišete DHCP opcije potražite u odeljku Konfigurisanje DHCP opcija.
-
Ručna instalacija sertifikata prilagođenog uređaja putem otpremanja
Možete ručno instalirati prilagođeni sertifikat uređaja (CDC) na telefon tako što ćete otpremiti sertifikat sa veb stranice administracije telefona.
Pre nego što počnete
Pre nego što instalirate prilagođeni sertifikat uređaja za telefon, morate imati:
- Datoteka sertifikata (.p12 ili .pfx) sačuvana na računaru. Datoteka sadrži sertifikat i privatni ključ.
- Lozinka za ekstrakt sertifikata. Lozinka se koristi za dešifrovanje datoteke sertifikata.
| 1 |
Pristupite veb stranici administracije telefona. |
| 2 |
Izaberite Sertifikat. |
| 3 |
U odeljku Dodaj sertifikat kliknite na Pregledaj... . |
| 4 |
Pređite do sertifikata na računaru. |
| 5 |
U polje Izd voji lozinku unesite lozinku za izdvajanje sertifikata. |
| 6 |
Kliknite na Otpremi. Ako su datoteka sertifikata i lozinka tačni, dobićete poruku "
Certificate added.“. U suprotnom, otpremanje ne uspeva sa porukom o grešci koja ukazuje da se sertifikat ne može otpremiti. |
| 7 |
Da biste proverili detalje instaliranog sertifikata, kliknite na dugme Prikaži u odeljku Postojeći sertifikati. |
| 8 |
Da biste uklonili instalirani sertifikat sa telefona, kliknite na dugme Izbriši u odeljku Postojeći sertifikati. Jednom kada kliknete na dugme, operacija uklanjanja počinje odmah bez potvrde. Nakon uklanjanja sertifikata, pojavljuje se |
Automatska instalacija sertifikata prilagođenog uređaja od strane SCEP
Možete da konfigurišete parametre povezane sa Simple Certificate Enrollment Protocol (SCEP) za interakciju sa SCEP serverom da biste automatski instalirali sertifikat prilagođenog uređaja (CDC).
Kada se konfiguriše bilo koji od parametara SCEP, telefon će poslati zahtev za upis na SCEP serveru. Telefon će potvrditi primljeni CA sertifikat pomoću konfigurisanog otiska prsta.
Pre nego što počnete
Da biste mogli da izvršite automatsku instalaciju sertifikata prilagođenog uređaja (CDC) za telefon, morate imati:
- Adresa SCEP servera
- SHA-1 ili SHA-256 otisak prsta CA koji izdaje telefonski sertifikat
| 1 |
Pristupite veb stranici administracije telefona. |
| 2 |
Izaberite Sertifikat. |
| 3 |
U odeljku SCEP konfiguracija 1 podesite parametre kako je opisano u Par ametri za konfiguraciju SCEP. |
| 4 |
Kliknite na dug me Pošalji sve promene. |
Parametri za konfiguraciju SCEP
Sledeća tabela opisuje funkciju i upotrebu parametara konfiguracije SCEP u odelj ku SCEP konfiguracija 1 na kartici Sertifikat veb stranice administracije telefona. Takođe uključuje sintaksu nizova koje dodate u konfiguracionu datoteku telefona (cfg.xml) da biste konfigurisali parametar.
Promena parametra Lozinka za ponovnu upotrebu izaz ova za obnovu samo ažurira politiku obnove i ne pokreće trenutnu registraciju. Međutim, promena bilo kojih drugih parametara za upis SCEP uzrokovaće da telefon automatski zatraži novi sertifikat.
| Parametar | Opis |
|---|---|
| Server |
Adresa SCEP servera. Ovaj parametar je obavezan. Izvršite jedno od sledećeg:
Važeće vrednosti: URL ili IP adresa. HTTPS šema nije podržana. Podrazumevano: Prazno |
| CA otisak prsta |
Unesite otisak SHA-256 ili SHA-1 CA sertifikata koji je izdao telefonski sertifikat. CA sertifikat mora biti uključen u
Izvršite jedno od sledećeg:
KSML parametar zadržava nasleđe ime
Podrazumevano: Prazno |
| Izazov lozinku |
Lozinka izazova za Certificate Authority (CA) autorizaciju na telefonu tokom upisa sertifikata preko SCEP-a. Ovaj parametar nije obavezan. Prema stvarnom SCEP okruženju, ponašanje lozinke izazova varira.
Izvršite jedno od sledećeg:
Podrazumevano: Prazno |
| Uobičajeno ime |
Određuje zajedničko ime (CN) koji se koristi kao identifikator za telefon koji zahteva sertifik at. CN se koristi za zahtev za potpisivanje sertifikata (CSR) u procesu SCEP . Ovaj parametar takođe podržava promenljive proširenja makro, pogledajte Pro menljive proširenja makro za detalje. Izvršite jedno od sledećeg:
Važeće vrednosti: Maksimalno 64 znaka Podrazumevano: Prazno |
| Naziv države |
Određuje zemlju organizacije. Izvršite jedno od sledećeg:
Važeće vrednosti: Niz od 0 do 2 znaka Podrazumevano: Prazno |
| Naziv države ili pokrajine |
Određuje državu ili pokrajinu organizacije. Izvršite jedno od sledećeg:
Važeće vrednosti: Niz od 0 do 64 znaka. Podrazumevano: Prazno |
| Naziv lokaliteta |
Određuje naziv lokaliteta za predmet sertifikata. Izvršite jedno od sledećeg:
Važeće vrednosti: Niz od 0 do 64 znakova Podrazumevano: Prazno |
| Naziv organizacije |
Određuje naziv predmeta Zahtev za potpisivanje sertifikata (CSR). Izvršite jedno od sledećeg:
Važeće vrednosti: Niz od 0 do 64 znakova Podrazumevano: Prazno |
| Organizaciona jedinica |
Određuje nazive organizacionih jedinica za naziv predmeta Zahtev za potpisivanje sertifikata (CSR) . Telefon će dodati do 5 parametara „/OU=“ u ime subjekta CSR. Izvršite jedno od sledećeg:
Važeće vrednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, sa maksimalnom dužinom od 512 znakova. Može se navesti do 5 jedinica. Podrazumevano: Prazno |
| SAN DNS |
Određuje parametre Servera imena domena (DNS) za alternativno ime subjekta (SAN) zahteva za potpisivanje sertifikata (CSR). Telefon će dodati do pet DNS parametara CSR SAN. Izvršite jedno od sledećeg:
Važeće vrednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, sa maksimalnom dužinom od 512 znakova. Može se navesti do pet DNS parametara. Podrazumevano: Prazno |
| SAN IP |
Određuje IP parametre alternativnog imena subjekta (SAN) zahteva za potpisivanje sertifikata (CSR). Telefon će dodati do pet IP parametara CSR SAN. Izvršite jedno od sledećeg:
Važeće vrednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, sa maksimalnom dužinom od 512 znakova. Može se navesti do pet IP parametara. Podrazumevano: Prazno |
| SAN e-pošta |
Određuje parametre e-pošte za alternativno ime predmeta (SAN) zahteva za potpisivanje sertifikata (CSR). Telefon će dodati do pet parametara e-pošte CSR SAN. Izvršite jedno od sledećeg:
Važeće vrednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, sa maksimalnom dužinom od 512 znakova. Može se navesti do pet parametara e-poš te. Podrazumevano: Prazno |
| SAN URI |
Određuje URI parametre za alternativno ime predmeta (SAN) zahteva za potpisivanje sertifikata (CSR). Telefon će dodati do pet URI parametara CSR SAN. Izvršite jedno od sledećeg:
Važeće vrednosti: Svaki unos je niz nizova od 0 do 64 znaka odvojen zarezom, sa maksimalnom dužinom od 512 znakova. Može se navesti do pet URI parametara. Podrazumevano: Prazno |
Obnova sertifikata od strane SCEP
Sertifikat uređaja može se automatski osvežiti SCEP procesom.
- Telefon proverava da li će sertifikat istekati za 15 dana svaka 4 sata. Ako je tako, telefon automatski pokreće postupak obnavljanja sertifikata.
- Ako je lozinka za izazov prazna, telefon koristi MIC/SUDI i za početni upis i za obnovu sertifikata. Ako je lozinka izazova konfigurisana, koristi se samo za početni upis, postojeći/instalirani sertifikat koristi se za obnovu sertifikata.
- Telefon ne uklanja stari sertifikat uređaja dok ne preuzme novi.
- Ako obnavljanje sertifikata ne uspe jer sertifikat uređaja ili CA ističe, telefon automatski pokreće početni upis. U međuvremenu, ako autentifikacija lozinke izazova ne uspe, na ekranu telefona se pojavljuje ekran za unos lozinke i od korisnika se traži da unesu lozinku izazova na telefonu.
CDC konfiguracija zajedničkog imena
Uobičajeno ime u MIC/SUDI podrazumevano se koristi kao zajedničko ime za CDC.
Možete da konfigurišete zajedničko ime za CDC kada instalirate sertifikat. Koristite jedan od sledećih metoda da biste instalirali CDC na telefon:
-
Generišite zahtev za potpisivanje sertifikata (CSR) koji sadrži željeno zajedničko ime, a zatim otpremite i instalirajte novi sertifikat na veb stranicu administracije telefona.
-
Konfigurišite zajedničko ime putem veb stranice administracije telefona, datoteke za konfiguraciju telefona (cfg.xml) ili Control Hub. Ovo će pokrenuti telefon da automatski zatraži novi sertifikat.
Za više informacija o parametrima na veb stranici telefona i kontrolnom čvorištu potražite u odeljku Automatska instalacija sertifikata prilagođenog uređaja od strane SCEP i Parametri za podešavanja telefona na Control Hub.
- Koristite DHCP opcije 43 i 15 da biste obezbedili zajedničko ime za CDC i žičani 802.1Ks identitet.
Više informacija potražite u odeljku Davanje zajedničkog imena ili korisničkog ID-a putem DHCP opcije 15.
Konfiguracija parametara SCEP preko DHCP opcije 43
U nekim okruženjima ne možete da instalirate sertifikat prilagođenog uređaja (CDC) tako što ćete ga otpremiti ili direktno konfigurirati SCEP parametre. U ovoj situaciji možete koristiti DHCP opciju 43 za isporuku SCEP parametara sa DHCP servera na telefon. Nakon što se telefon resetuje na fabričke podrazumevane vrednosti, on prima parametre sa DHCP servera i instalira CDC koristeći SCEP.
- Ova funkcija (konfiguracija parametara SCEP preko DHCP opcije 43) dostupna je samo za telefone koji su resetovani na fabričke podrazumevane vrednosti.
- Ne postavljajte telefone koji se oslanjaju na opcije 43 u mreži koja takođe koristi daljinsko obezbeđivanje (na primer, Opcije 66,150, 159 i 160 ili obezbeđivanje u oblaku). U suprotnom, telefoni možda neće dobiti opciju 43 konfiguracije.
Da biste instalirali CDC sertifikat prema SCEP parametrima obezbeđenim iz DHCP opcije 43, uradite sledeće:
- Pripremite SCEP okruženje.
Za informacije o podešavanju SCEP okruženja pogledajte dokumentaciju SCEP servera.
- Podesite DHCP opciju 43 (definisano u 8.4 Informacije o specifičnim dobavljačima, RFC 2132).
Podopcije (10—15) rezervisane su za metodu:
Parametar na veb stranici telefona Suboption Tip Dužina (bajt) Obavezno FIPS režim 10 boolean 1 Ne* Server 11 žica 208 - dužina (lozinka izazova) da Root CA otisak prsta 12 šesterokutni 20, 32, 48 ili 64 da Izazov lozinku 13 žica 208 - dužina (Server) Ne* Omogućite 802.1Ks autentifikaciju 14 boolean 1 Ne Izaberite sertifikat 15 nepotpisani 8-bitni 1 Ne * znači da je parametar konfigurisan u skladu sa stvarnom situacijom.
Kada koristite DHCP opciju 43, primetite sledeće karakteristike metode:
- Podopcije (10—15) rezervisane su za sertifikat prilagođenog uređaja (CDC).
- Maksimalna dužina DHCP opcije 43 je 255 bajtova.
- Maksimalna dužina lozin ke Server +Challenge mora biti manja od 208 bajtova.
- Vrednost FIPS režima mora odgovar ati konfiguraciji obezbeđenja ugradnje.
U suprotnom, telefon ne uspeva da preuzme prethodno instalirani sertifikat nakon
uključivanja. Konkretno,
- Ako je telefon registrovan u okruženju gde je FIPS režim onemogućen, ne morate da konfigurišete FIPS režim u DHCP opciji 43. Podrazumevano je FIPS režim onemogućen.
- Ako je telefon registrovan u okruženju gde je omogućen FIPS režim, morate omogućiti FIPS režim u DHCP opciji 43. Za detal je pogledajte Omogući FIPS režim.
- Lozinka izazova u opciji 43 je u jasnom tekstu.
- Da bi telefon koristio MIC/SUDI za početni upis i obnovu sertifikata, ostavite lozinku za izazov praznom.
- Da biste koristili lozinku izazova samo za početnu prijavu, navedite lozinku za izazov i postavite Lozinku za ponovnu upotrebu izazova za obnov u na br. U ovom slučaju, instalirani sertifikat se koristi za obnovu sertifikata.
- Omogućite 802.1Ks autentifik aciju i izbor sertifikata primen juju se samo na telefone u žičanim mrežama.
- DHCP opcija 60 (Identifikator klase dobavljača) koristi se za identifikaciju modela uređaja.
Primer DHCP opcije 43 (podopcije 10—15):
Podopcija decimalna/šesterokutna Dužina vrednosti (bajt) decimalna/šesterokutna Vrednost Hex vrednost 10/0a 1/01 1 (0: Onemogućeno; 1: Omogućeno) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Ne; 1: Da) 01 15/0f 1/01 1 (0: Instalirana proizvodnja; 1: Instalirano po meri) 01 Sažetak vrednosti parametara:
-
FIPS režim =
Enabled -
Server =
http://10.79.57.91 -
Root CA Otisak prsta =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Izazov lozinka =
D233CCF9B9952A15 -
Omogući 802.1Ks autentifikaciju =
Yes -
Izaberite sertifikat =
Custom installed
Sintaksa konačne heksadecalne vrednosti je:
{<suboption><length><value>}...Prema gornjim vrednostima parametara, konačna heksadecalna vrednost je sledeća:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Konfigurišite DHCP opciju 43 na DHCP serveru.
Ovaj korak daje primer DHCP opcije 43 konfiguracije na Cisco Netvork Registru.
- Dodajte DHCP set definicije opcija.
N iz opcija dobavljača je naziv modela IP telefona. Važeća vrednost je: DP-9841, DP-9851, DP-9861, DP-9871 ili CP-8875.
- Dodajte DHCP opciju 43 i podopcije u set definicije opcija DHCP.
Primer:
- Dodajte opcije 43 u DHCP politiku i podesite vrednost na sledeći način:
Primer:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Proverite podešavanja. Možete koristiti Vireshark da biste snimili trag mrežnog saobraćaja između telefona i usluge.
- Dodajte DHCP set definicije opcija.
- Vraćanje telefona na fabrička podešavanja.
Nakon resetovanja telefona, parametri Server, Root CA Finger print i Challenge Password se automatski popunjavaju. Ovi parametri se nalaze u odeljku SCEP konfiguracija 1 u odeljku ođeno na veb stranici administracije telefona.
Da biste videli detalje instaliranog sertifikata, kliknite na dugme Prikaži u odeljku Posto jeći sertifikati.
Da biste proverili status instalacije sertifikata, izaberite . Pol je Status preuzimanja 1 prikazuje najnoviji rezultat. Ako dođe do problema tokom upisa sertifikata, status preuzimanja prikazuje razlog za rešavanje problema.
Ako autentifikacija lozinke izazova ne uspe, telefon traži od korisnika da unesu lozinku na ekranu telefona.
- (Opcionalno): Da biste uklonili instalirani sertifikat sa telefona, kliknite na dugme Izbriši u odeljku Postojeći sertifikati.
Kada kliknete na Izbri ši, telefon odmah uklanja sertifikat, bez upita za potvrdu.
Obezbeđivanje zajedničkog imena ili korisničkog ID-a putem DHCP opcije 15
Tokom upisa SCEP sertifikata putem DHCP opcije 43, telefon takođe može dobiti ime domena navedeno u DHCP opciji 15 (ako je konfigurisano). Nakon što telefon primi ime domena, može da konstruiše zajedničko ime ili korisnički ID sa imenom domena, koji je predstavljen na sledeći način:
- Uobičajeno ime = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Zajed ničko ime će se koristiti za CSR u procesu SCEP, a kasnije će biti zajedničko ime u CDC-u.
- Korisnički ID = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Korisnički ID će se koristiti kao identitet za žičnu 802.1Ks autentifikaciju.
Na primer, MAC adresa telefona je 00:1 A: 2B: 3C: 4D: 5E, model telefona je 9871:
| Ime domena u DHCP opciji 15 | Uobičajeno ime | Korisnički ID |
|---|---|---|
| primer.nl | CP-9871-SEP001A2B3C4D5E.Example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Prazan | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Ako ime domena nije konfigurisano u opciji 15, zajedničko ime i korisnički ID biće isti sa zajedničkim imenom u MIC/SUDI.
