- Start
- /
- Artikel
Tack för din feedback.
I den här artikeln
Har du feedback?Du kan installera ett Custom Device Certificate (CDC) manuellt eller automatiskt. För vissa miljöer kan du använda DHCP-alternativ 43 för att tillhandahålla SCEP-parametrarna för certifikatinstallationen. Den här hjälpartikeln är för Cisco Desk Phone 9800-serien och Cisco Video Phone 8875 registrerade på Cisco BroadWorks.
Installation av anpassat enhetscertifikat
Om du vill installera ett Custom Device Certificate (CDC) på telefonen använder du något av följande sätt baserat på din situation:
Det senast installerade certifikatet på telefonen träder i kraft.
- Manuell installation — du kan installera ett certifikat genom att ladda upp det från webbsidan för telefonadministration. Mer information finns i Manuell installation av anpassat enhetscertifikat genom uppladdning.
- Automatisk installation — du kan konfigurera parametrarna SCEP (Simple Certificate Enrollment Protocol) för att utlösa en automatisk installation av ett certifikat. Telefonen skickar SCEP-förfrågningar till en SCEP-server för att installera certifikatet.
SCEP-parametrarna kan konfigureras via telefonadministrationswebbsidan, telefonkonfigurationsfilen (cfg.xml) eller Control Hub. Mer information finns i Automatisk installation av Custom Device Certificate by SCEP och Parametrar för telefoninställningar på Control Hub.
- DHCP-alternativ 43 — I vissa miljöer kan du installera ett certifikat genom att använda DHCP-alternativet 43. Alternativet 43 kan tillhandahålla SCEP-parametrarna för certifikatinstallationen. Mer information finns i Konfiguration av SCEP-parametrar via DHCP-alternativ 43.
-
När du använder DHCP-alternativet 43 för tillhandahållande av SCEP-parametrar kan telefonen också hämta domännamnet från DHCP-alternativet 15. Baserat på det hämtade domännamnet kan telefonen konstruera SCEP CSR Common Name och 802.1X User ID. Mer information finns i Tillhandah ållande av gemensamt namn eller användar-ID via DHCP-alternativ 15.
Mer information om hur du konfigurerar DHCP-alternativ finns i Konfigurera DHCP- alternativ.
-
Manuell installation av Custom Device Certificate genom uppladdning
Du kan installera ett Custom Device Certificate (CDC) manuellt på telefonen genom att ladda upp certifikatet från telefonadministrationens webbsida.
Innan du börjar
Innan du kan installera ett anpassat enhetscertifikat för en telefon måste du ha:
- En certifikatfil (.p12 eller .pfx) sparad på datorn. Filen innehåller certifikatet och den privata nyckeln.
- Extraheringslösenordet för certifikatet. Lösenordet används för att dekryptera certifikatfilen.
| 1 |
Gå till webbsidan för telefonadministration. |
| 2 |
Välj Cer tifikat. |
| 3 |
Klicka på Bläddra i avsnittet Lägg till certifikat... . |
| 4 |
Bläddra till certifikatet på datorn. |
| 5 |
Ange lösenordet för certifikatextrah ering i fältet Extrahera lösenord. |
| 6 |
Klicka på Ladda upp. Om certifikatfilen och lösenordet är korrekta får du meddelandet
Certificate added."”. Annars misslyckas uppladdningen med ett felmeddelande som anger att certifikatet inte kan laddas upp. |
| 7 |
Om du vill kontrollera informationen om det installerade certifikatet klickar du på Visa i avsnittet Befintliga certifikat. |
| 8 |
Om du vill ta bort det installerade certifikatet från telefonen klickar du på Ta bort i avsnittet Befintliga certifikat. När du klickar på knappen startar borttagningen omedelbart utan bekräftelse. När certifikatet har tagits bort visas |
Automatisk installation av anpassat enhetscertifikat av SCEP
Du kan konfigurera SCEP-relaterade parametrar (Simple Certificate Enrollment Protocol) för att interagera med SCEP-servern för att installera Custom Device Certificate (CDC) automatiskt.
När någon av SCEP-parametrarna har konfigurerats skickar telefonen en SCEP-registreringsbegäran till servern. Telefonen validerar det mottagna CA-certifikatet med det konfigurerade fingeravtrycket.
Innan du börjar
Innan du kan utföra en automatisk installation av ett Custom Device Certificate (CDC) för en telefon måste du ha följande:
- SCEP-serveradress
- SHA-1- eller SHA-256-fingeravtryck från certifikatutfärdaren som utfärdar telefoncertifikatet
| 1 |
Gå till webbsidan för telefonadministration. |
| 2 |
Välj Cer tifikat. |
| 3 |
I avsnittet SCEP-konfiguration 1 ställer du in parametrarna enligt beskrivningen i Parametrar för SCEP- konfiguration. |
| 4 |
Klicka på Skicka alla ändringar. |
Parametrar för SCEP-konfiguration
Följande tabell beskriver funktionen och användningen av SCEP-konfigurationsparametrar i avsnittet SCEP-konfiguration 1 på fliken Cer tifikat på webbsidan för telefonadministration. Den innehåller också syntaxen för strängarna som du lägger till i telefonkonfigurationsfilen (cfg.xml) för att konfigurera en parameter.
Om du ändrar parametern Återanvänd utmaningslösenord för förny else uppdateras endast förnyelsepolicyn och utlöser inte omedelbar registrering. Men om du ändrar andra SCEP-registreringsparametrar kommer telefonen att automatiskt begära ett nytt certifikat.
| Parameter | Beskrivning |
|---|---|
| Servern |
SCEP-serveradress. Denna parameter är obligatorisk. Utför något av följande:
Giltiga värden: En URL eller IP-adress. HTTPS-systemet stöds inte. Standard: Tom |
| CA Fingeravtryck |
Ange SHA-256- eller SHA-1-fingeravtrycket för CA-certifikatet som utfärdade telefoncertifikatet. CA-certifikatet måste ingå i SCEP-serverns
Utför något av följande:
XML-parametern behåller det äldre namnet
Standard: Tom |
| Utmaningslösenord |
Utmaningslösenordet för Certificate Authority (CA) auktorisering mot telefonen under en certifikatregistrering via SCEP. Denna parameter är valfri. Enligt den faktiska SCEP-miljön varierar beteendet för utmaningslösenord.
Utför något av följande:
Standard: Tom |
| Vanligt namn |
Anger det gemensamma namnet (CN) som används som identifierare för den telefon som begär certifik atet. CN används för Certificate Signing Request (CSR) i SCEP-processen . Den här parametern stöder även makroexpansionsvariabler, se Makroexpansionsvariabler för detaljer. Utför något av följande:
Giltiga värden: Högst 64 tecken Standard: Tom |
| Landets namn |
Anger organisationens land. Utför något av följande:
Giltiga värden: sträng med 0 till 2 tecken Standard: Tom |
| Namn på delstat eller provins |
Anger organisationens delstat eller provins. Utför något av följande:
Giltiga värden: Sträng med 0 till 64 tecken. Standard: Tom |
| Lokalnamn |
Anger ortsnamnet för certifikatets ämne. Utför något av följande:
Giltiga värden: sträng med 0 till 64 tecken Standard: Tom |
| Organisationsnamn |
Anger ämnesnamnet på CSR-begäran (Certificate Signing Request). Utför något av följande:
Giltiga värden: sträng med 0 till 64 tecken Standard: Tom |
| Organisationsenhet |
Anger organisationsenhetsnamnen för ämnesnamnet på begäran om certifikatsignering (CSR). Telefonen lägger till upp till 5 ”/OU =” parametrar till CSR-ämnesnamnet. Utför något av följande:
Giltiga värden: Varje post är en strängarray med 0 till 64 tecken åtskilda av ett komma, med en maximal längd på 512 tecken. Upp till 5 enheter kan specificeras. Standard: Tom |
| SAN DNS |
Anger DNS-parametrarna (Domain Name Server) för CSR (Subject Subject Alternative Name) (SAN) för begäran om certifikatsignering. Telefonen lägger till upp till fem DNS- parametrar till CSR SAN. Utför något av följande:
Giltiga värden: Varje post är en strängarray med 0 till 64 tecken åtskilda av ett komma, med en maximal längd på 512 tecken. Upp till fem DNS-parametrar kan anges. Standard: Tom |
| SAN IP |
Anger IP-parametrarna för certifikatsigneringsbegäran (CSR) Subject Al ternative Name (SAN). Telefonen lägger till upp till fem IP-parametrar till CSR SAN. Utför något av följande:
Giltiga värden: Varje post är en strängarray med 0 till 64 tecken åtskilda av ett komma, med en maximal längd på 512 tecken. Upp till fem IP-parametrar kan anges. Standard: Tom |
| E-post SAN |
Anger e-postparametrarna för CSR (Subject Alter native Name) (SAN) för begäran om certifikatsignering. Telefonen lägger till upp till fem e-postparametrar till CSR SAN. Utför något av följande:
Giltiga värden: Varje post är en strängarray med 0 till 64 tecken åtskilda av ett komma, med en maximal längd på 512 tecken. Upp till fem e-postparametrar kan anges. Standard: Tom |
| SAN URI |
Anger URI-parametrarna för certifikatsigneringsbegäran (CSR) Subject Al ternative Name (SAN). Telefonen lägger till upp till fem URI-parametrar till CSR SAN. Utför något av följande:
Giltiga värden: Varje post är en strängarray med 0 till 64 tecken åtskilda av ett komma, med en maximal längd på 512 tecken. Upp till fem URI-parametrar kan anges. Standard: Tom |
Certifikatförnyelse av SCEP
Enhetscertifikatet kan uppdateras automatiskt av SCEP-processen.
- Telefonen kontrollerar om certifikatet kommer att löpa ut om 15 dagar var 4: e timme. Om så är fallet startar telefonen certifikatförnyelseprocessen automatiskt.
- Om lösenordet för utmaning är tomt använder telefonen MIC/SUDI för både inledande registrering och förnyelse av certifikat. Om lösenordet för utmaning är konfigurerat används det endast för den första registreringen, det existerande eller installerade certifikatet används för förnyelse av certifikat.
- Telefonen tar inte bort det gamla enhetscertifikatet förrän det nya hämtas.
- Om förnyelsen av certifikatet misslyckas på grund av att enhetscertifikatet eller certifikatutfärdaren löper ut, utlöser telefonen den första registreringen automatiskt. Under tiden, om autentiseringen av utmaningslösenord misslyckas, dyker en lösenordsinmatningsskärm upp på telefonskärmen och användarna uppmanas att ange utmaningslösenordet på telefonen.
Konfiguration av CDC-gemensamt namn
Som standard används det vanliga namnet i MIC/SUDI som vanligt namn för CDC.
Du kan konfigurera det vanliga namnet för CDC när du installerar certifikatet. Använd någon av följande metoder för att installera en CDC på telefonen:
-
Skapa en begäran om certifikatsignering (CSR) som innehåller önskat gemensamt namn och ladda sedan upp och installera det nya certifikatet på webbsidan för telefonadministration.
-
Konfigurera det vanliga namnet via webbsidan för telefonadministration, telefonkonfigurationsfilen (cfg.xml) eller Control Hub. Detta kommer att utlösa telefonen att begära ett nytt certifikat automatiskt.
Mer information om parametrarna på telefonens webbsida och Control Hub finns i Automatisk installation av Custom Device Certificate by SCEP och Parametrar för telefoninställningar på Control Hub.
- Använd DHCP-alternativ 43 och 15 för att tillhandahålla Common Name för CDC och trådbunden 802.1X-identitet.
Mer information finns i Tillhandah ålla gemensamt namn eller användar-ID via DHCP-alternativ 15.
Konfiguration av SCEP-parametrar via DHCP-alternativ 43
I vissa miljöer kan du inte installera Custom Device Certificate (CDC) genom att ladda upp det eller konfigurera SCEP-parametrarna direkt. I den här situationen kan du använda DHCP-alternativ 43 för att leverera SCEP-parametrarna från en DHCP-server till telefonen. När telefonen har återställts till fabriksinställningarna tar den emot parametrarna från DHCP-servern och installerar CDC med SCEP.
- Den här funktionen (konfiguration av SCEP-parametrar via DHCP-alternativ 43) är endast tillgänglig för telefoner som har återställts till fabriksinställningarna.
- Distribuera inte telefoner som är beroende av alternativ 43 i ett nätverk som också använder fjärr provisionering (till exempel alternativ 66 150, 159 och 160 eller molnprovisionering). Annars kanske telefonerna inte får alternativ 43-konfigurationer.
Om du vill installera ett CDC-certifikat med SCEP-parametrarna från DHCP-alternativet 43 gör du följande:
- Förbered en SCEP-miljö.
Information om SCEP-miljöinställningar finns i dokumentationen för SCEP-servern.
- Ställ in DHCP-alternativ 43 (definierat i 8.4 Leverantörsspecifik information, RFC 2132).
Delalternativ (10—15) är reserverade för metoden:
Parameter på telefonens webbsida Delalternativ Typ Längd (byte) Obligatorisk FIPS-läge 10 booleska 1 Nej* Servern 11 sträng 208 - längd (Utmaningslösenord) Javisst Root CA Fingeravtryck 12 hex 20, 32, 48 eller 64 Javisst Utmaningslösenord 13 sträng 208 - längd (Server) Nej* Aktivera 802.1X-autentisering 14 booleska 1 Nej Certifikat Välj 15 osignerad 8-bit 1 Nej * betyder att parametern är konfigurerad enligt den faktiska situationen.
När du använder DHCP-alternativet 43 märker du följande egenskaper hos metoden:
- Delalternativ (10—15) är reserverade för Custom Device Certificate (CDC).
- Den maximala längden på DHCP-alternativ 43 är 255 byte.
- Den maximala längden på Server + Challenge Password måste vara mindre än 208 byte.
- Värdet för FIPS-läge måste matcha konfigurationen för etablering av onboarding.
Annars misslyckas telefonen med att hämta det tidigare installerade certifikatet efter
onboarding. Specifikt,
- Om telefonen är registrerad i en miljö där FIPS-läget är inaktiverat behöver du inte konfigurera FIPS-läge i DHCP-alternativ 43. Som standard är FIPS- läget inaktiverat.
- Om telefonen är registrerad i en miljö där FIPS-läge är aktiverat måste du aktivera FIPS-läge i DHCP-alternativ 43. Mer information finns i Aktivera FIPS-läge.
- Utmaningslösenordet i alternativ 43 finns i klartext.
- För att telefonen ska använda MIC/SUDI för första registrering och förnyelse av certifikat, lämna utmaningslösenordet tomt.
- Om du vill använda utmaningslösenordet endast för den första registreringen anger du utmaningslösen ordet och ställer in Re use Challenge Password for Renew al till No. I det här fallet används det installerade certifikatet för förnyelse av certifikat.
- Aktivera 802.1X-autentisering och certifikat val gäller endast telefoner i trådbundna nätverk.
- DHCP-alternativ 60 (Vendor Class Identifier) används för att identifiera enhetsmodellen.
Exempel på DHCP-alternativ 43 (underalternativ 10—15):
Underalternativ decimal/hex Värdelängd (byte) decimal/hex Värde Hexvärde 10/0a 1/01 1 (0: Inaktiverad; 1: Aktiverad) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0d 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0: Nej; 1: Ja) 01 15/0f 1/01 1 (0: Tillverkning installerad; 1: Anpassad installerad) 01 Sammanfattning av parametervärdena:
-
FIPS-läge =
Enabled -
Server =
http://10.79.57.91 -
Root CA Fingeravtryck =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Utmaningslösenord =
D233CCF9B9952A15 -
Aktivera 802.1X-autentisering =
Yes -
Certifikat Välj =
Custom installed
Syntaxen för det slutliga hexvärdet är:
{<suboption><length><value>}...Enligt parametervärdena ovan är det slutliga hexvärdet enligt följande:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Konfigurera DHCP-alternativ 43 på en DHCP-server.
Detta steg ger ett exempel på DHCP-alternativ 43-konfigurationer på Cisco Network Register.
- Lägg till definitionsuppsättning för DHCP-alternativ.
V endor Option String är modellnamnet på IP-telefonerna. Det giltiga värdet är: DP-9841, DP-9851, DP-9861, DP-9871 eller CP-8875.
- Lägg till DHCP-alternativ 43 och underalternativ i definitionsuppsättningen för DHCP-alternativ.
Exempel:
- Lägg till alternativ 43 i DHCP-principen och ställ in värdet enligt följande:
Exempel:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Kontrollera inställningarna. Du kan använda Wireshark för att fånga ett spår av nätverkstrafiken mellan telefonen och tjänsten.
- Lägg till definitionsuppsättning för DHCP-alternativ.
- Fabriksåterställ telefonen.
När telefonen har återställts fylls parametrarna Server, Root CA Finger print och Challenge Password automatiskt i. Dessa parametrar finns i avsnittet SCEP-konfiguration 1 under Cer på webbsidan för telefonadministration.
Om du vill visa information om det installerade certifikatet klickar du på Visa i avsnittet Be fintliga certifikat.
Om du vill kontrollera certifikatets installationsstatus väljer du . F ältet Nedladdningsstatus 1 visar det senaste resultatet. Om ett problem uppstår under certifikatregistreringen visar nedladdningsstat usen orsaken till felsökning.
Om autentisering av utmaningslösenord misslyckas uppmanas användarna att ange lösenordet på telefonskärmen.
- (Valfritt): Om du vill ta bort det installerade certifikatet från telefonen klickar du på Ta bort i avsnittet Befintliga certifikat.
När du klickar på Ta bort tar telefonen bort certifikatet omedelbart, utan en bekräftelseuppmaning.
Tillhandahållande av gemensamt namn eller användar-ID via DHCP-alternativ 15
Under SCEP-certifikatregistreringen via DHCP-alternativet 43 kan telefonen också få domännamnet som anges i DHCP-alternativet 15 (om konfigurerat). När telefonen har tagit emot domännamnet kan den konstruera det gemensamma namnet eller användar-ID med domännamnet, som representeras enligt följande:
- Vanligt namn = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Det vanliga namnet kommer att användas för CSR i SCEP-processen, och senare kommer det att vara det vanliga namnet i CDC.
- Användar-ID = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Användar-ID kommer att användas som identitet för trådbunden 802.1X-autentisering.
Till exempel är telefonens MAC-adress 00:1 A:2B:3C:4D:5E, telefonmodell 9871:
| Domännamn i DHCP-alternativ 15 | Vanligt namn | Användar-ID |
|---|---|---|
| exempel.nl | CP-9871-SEP001A2B3C4D5E.exempel.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Tomma | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Om domännamnet inte är konfigurerat i alternativ 15 kommer det vanliga namnet och användar-ID:t att vara detsamma med det vanliga namnet i MIC/SUDI.
