- Головна
- /
- Стаття
Дякуємо за відгук.
У цій статті
Надіслати відгук?Ви можете встановити спеціальний сертифікат пристрою (CDC) вручну або автоматично. Для певних середовищ можна використовувати параметр DHCP 43 для надання параметрів SCEP для встановлення сертифіката. Ця довідкова стаття стосується настільних телефонів Cisco серії 9800 та відеотелефону Cisco 8875, зареєстрованих у Cisco BroadWorks.
Встановлення спеціального сертифіката пристрою
Щоб встановити сертифікат Custom Device Certificate (CDC) на свій телефон, скористайтеся одним із наведених нижче способів залежно від вашої ситуації:
Останній встановлений сертифікат на телефон вступає в силу.
- Встановлення вручну — ви можете встановити сертифікат, завантаживши його з веб-сторінки адміністрування телефону. Докладніші відомості див. у розділі Вручне встановлення сертифіката власного пристрою шляхом завантаження.
- Автоматичне інсталяція—ви можете налаштувати параметри протоколу SCEP (Simple Certificate Enrollment Protocol) для запуску автоматичної інсталяції сертифіката. Телефон надсилає SCEP-запити на сервер SCEP для встановлення сертифіката.
Параметри SCEP можна налаштувати через веб-сторінку адміністрування телефону, файл конфігурації телефону (cfg.xml) або Контрольний центр. Докладніші відомості див. у розділі Автоматичне встановлення сертифіката власного пристрою за допомогою SCEP та Параметри для налаштувань телефону на Контрольному центрі.
- Параметр DHCP 43 — У певному середовищі можна встановити сертифікат, використовуючи параметр DHCP 43. Опція 43 може забезпечити параметри SCEP для встановлення сертифіката. Для отримання детальної інформації див. Кон фігурація параметрів SCEP за допомогою параметра DHCP 43.
-
Коли ви використовуєте параметр DHCP 43 для забезпечення параметрів SCEP, телефон також може отримати доменне ім'я, перенесене з параметра DHCP 15. На основі отриманого доменного імені телефон може побудувати загальне ім'я SCEP CSR та ідентифікатор користувача 802.1X. Докладніші відомості див. у розділі Забезпечення загального імені або ідентифікатора користувача за допомогою параметра DHCP 15.
Докладніші відомості про те, як налаштувати параметри DHCP, див. розділ Н алаштування параметрів DHCP.
-
Встановлення власного сертифіката пристрою вручну шляхом завантаження
Ви можете вручну встановити сертифікат Custom Device Certificate (CDC) на телефон, завантаживши сертифікат з веб-сторінки адміністрування телефону.
Перш ніж почати
Перш ніж встановити спеціальний сертифікат пристрою для телефону, необхідно мати:
- Файл сертифіката (.p12 або .pfx), збережений на вашому ПК. Файл містить сертифікат і приватний ключ.
- Витяг пароля сертифіката. Пароль використовується для розшифровки файлу сертифіката.
| 1 |
Перейдіть на веб-сторінку адміністрування телефону. |
| 2 |
Виберіть Сер тифікат. |
| 3 |
У розділі Додати сертифікат натисніть кнопку Огляд... . |
| 4 |
Перейдіть до сертифіката на своєму ПК. |
| 5 |
У полі В итягти пароль введіть пароль для вилучення сертифіката. |
| 6 |
Натисніть Завантажити. Якщо файл сертифіката і пароль правильні, ви отримаєте повідомлення "
Certificate added.». В іншому випадку завантаження не вдається з повідомленням про помилку, що вказує на неможливість завантаження сертифіката. |
| 7 |
Щоб перевірити деталі встановленого сертифіката, натисніть кнопку Перегляд у розділі Іс нуючі сертифікати. |
| 8 |
Щоб видалити встановлений сертифікат з телефону, натисніть Ви дал ити в розділі Існу ючі сертифікати. Після натискання кнопки операція видалення починається негайно без підтвердження. Після видалення сертифіката з'яви |
Автоматична установка спеціального сертифіката пристрою SCEP
Ви можете налаштувати параметри протоколу реєстрації простих сертифікатів (SCEP) для взаємодії з сервером SCEP для автоматичної інсталяції сертифіката власного пристрою (CDC).
Після того, як будь-який з параметрів SCEP буде налаштований, телефон надішле запит на реєстрацію SCEP на сервер. Телефон перевірить отриманий сертифікат CA за допомогою налаштованого відбитка пальця.
Перш ніж почати
Перш ніж ви зможете виконати автоматичну установку сертифіката Custom Device Certificate (CDC) для телефону, у вас повинні бути:
- Адреса сервера SCEP
- SHA-1 або SHA-256 відбиток кореневого сертифіката CA для сервера SCEP
| 1 |
Перейдіть на веб-сторінку адміністрування телефону. |
| 2 |
Виберіть Сер тифікат. |
| 3 |
У розділі Кон фігурація SCEP 1 встанов іть параметри, як описано в Параметри для конфігурації SCEP. |
| 4 |
Натисніть Надіслати всі зміни. |
Параметри для конфігурації SCEP
У наступній таблиці описано функції та використання параметрів конфігурації SCEP у розділі Кон фігурація SCEP 1 на вкладці Сер тифікат веб-сторінки адміністрування телефону. Він також включає синтаксис рядків, які ви додаєте до файлу конфігурації телефону (cfg.xml) для налаштування параметра.
Будь-яка зміна цих параметрів змушує телефон запросити новий сертифікат.
| Параметр | Опис |
|---|---|
| Сервер |
Адреса сервера SCEP. Цей параметр є обов'язковим. Виконайте одну з наступних дій:
Допустимі значення: URL-адреса або IP-адреса. Схема HTTPS не підтримується. За замовчуванням: Порожній |
| CA відбиток пальців |
SHA256 або SHA1 відбиток кореневої CA для перевірки під час процесу SCEP. Цей параметр є обов'язковим. Виконайте одну з наступних дій:
За замовчуванням: Порожній |
| Пароль виклику |
Пароль виклику для авторизації Certificate Authority (CA) на телефоні під час реєстрації сертифіката через SCEP. Цей параметр необов'язковий. Відповідно до фактичного середовища SCEP поведінка пароля виклику змінюється .
Виконайте одну з наступних дій:
За замовчуванням: Порожній |
| Загальна назва |
Вказує загальне ім'я (CN), яке використовується як ідентифікатор телефону, який запит ує сертифікат. CN використовується для запиту на підписання сертифікатів (CSR) у процесі SCEP . Цей параметр також підтримує змінні розширення макросів, докладніше див . Змінні розширення макро сів. Виконайте одну з наступних дій:
Допустимі значення: максимум 64 символи За замовчуванням: Порожній |
| Назва країни |
Вказує країну організації. Виконайте одну з наступних дій:
Допустимі значення: Рядок від 0 до 2 символів За замовчуванням: Порожній |
| Назва штату або провінції |
Вказує штат або провінцію організації. Виконайте одну з наступних дій:
Допустимі значення: Рядок від 0 до 64 символів. За замовчуванням: Порожній |
| Назва місцевості |
Вказує назву місцевості для суб'єкта сертифіката. Виконайте одну з наступних дій:
Допустимі значення: Рядок від 0 до 64 символів За замовчуванням: Порожній |
| Назва організації |
Вказує назву теми запиту на підписання сертифіката (CSR). Виконайте одну з наступних дій:
Допустимі значення: Рядок від 0 до 64 символів За замовчуванням: Порожній |
| Організаційний підрозділ |
Вказує назви організаційних підрозділів для назви теми запиту на підписання сертифіката (CSR). Телефон додасть до 5 параметрів «/OU =» до назви теми КСВ. Виконайте одну з наступних дій:
Допустимі значення: кожен запис являє собою рядковий масив з 0 до 64 символів, розді лених комою, максимальною довжиною 512 символів. Можна вказати до 5 одиниць. За замовчуванням: Порожній |
| SAN DNS |
Вказує параметри сервера доменних імен (DNS) для альтернативного імені (SAN) запиту на підписання сертифікатів (CSR). Телефон додасть до п'яти параметрів DNS до CSR SAN. Виконайте одну з наступних дій:
Допустимі значення: кожен запис являє собою рядковий масив з 0 до 64 символів, розді лених комою, максимальною довжиною 512 символів. Можна вказати до п'яти параметрів DNS. За замовчуванням: Порожній |
| SAN IP |
Вказує параметри IP для альтернативного імені (SAN) запиту на підписання сертифіката (CSR). Телефон додасть до п'яти параметрів IP до CSR SAN. Виконайте одну з наступних дій:
Допустимі значення: кожен запис являє собою рядковий масив з 0 до 64 символів, розді лених комою, максимальною довжиною 512 символів. Можна вказати до п'яти параметрів IP. За замовчуванням: Порожній |
| Електронна пошта SAN |
Вказує параметри електронної пошти для альтернативного імені (SAN) теми запиту на підписання сертифіката (CSR). Телефон додасть до п'яти параметрів електронної пошти до CSR SAN. Виконайте одну з наступних дій:
Допустимі значення: кожен запис являє собою рядковий масив з 0 до 64 символів, розді лених комою, максимальною довжиною 512 символів. Можна вказати до п'яти параметрів електронної пош ти. За замовчуванням: Порожній |
| SAN URI |
Вказує параметри URI для альтернативного імені (SAN) запиту на підписання сертифіката (CSR). Телефон додасть до п'яти параметрів URI до CSR SAN. Виконайте одну з наступних дій:
Допустимі значення: кожен запис являє собою рядковий масив з 0 до 64 символів, розді лених комою, максимальною довжиною 512 символів. Можна вказати до п'яти параметрів URI. За замовчуванням: Порожній |
Продовження сертифіката SCEP
Сертифікат пристрою може бути оновлений автоматично процесом SCEP.
- Телефон перевіряє, чи закінчиться термін дії сертифіката через 15 днів кожні 4 години. Якщо так, телефон автоматично запускає процес поновлення сертифіката.
- Якщо пароль виклику порожній, телефон використовує MIC/SUDI як для початкової реєстрації,
так і для продовження сертифіката. Якщо налаштований пароль виклику,
він використовується в наступних випадках:
-
Якщо Пов тор не використання пароля виклику для понов лення встановлено значення Ні (за замовчуванням), телефон використовує вказаний пароль лише для початкової реєстрації та використовує існуючий сертифікат для по новлення.
-
Якщо для повторного використання пароля виклику для поновлення встанов лено значення Так, телефон використовує вказаний пароль як для початкової реєстрації, так і для поновлення.
-
- Телефон не видаляє старий сертифікат пристрою, поки не відновить новий.
- Якщо поновлення сертифіката не вдається через закінчення терміну дії сертифіката пристрою або сертифіката сертифіката, телефон автоматично запускає початкову реєстрацію. Тим часом, якщо аутентифікація пароля виклику не вдається, на екрані телефону з'явиться екран введення пароля, і користувачам пропонується ввести пароль виклику на телефоні.
Конфігурація загальної назви CDC
За замовчуванням загальна назва в MIC/SUDI використовується як загальна назва для CDC.
Ви можете налаштувати загальну назву для CDC під час встановлення сертифіката. Для установки CDC на телефон скористайтеся одним із наведених нижче способів:
-
Створіть запит на підписання сертифіката (CSR), який містить потрібне загальне ім'я, а потім завантажте та встановіть новий сертифікат на веб-сторінці адміністрування телефону.
-
Налаштуйте загальне ім'я через веб-сторінку адміністрування телефону, файл конфігурації телефону (cfg.xml) або Контрольний центр. Це призведе до автоматичного запиту телефону на новий сертифікат.
Для отримання додаткової інформації про параметри на веб-сторінці телефону та Контрольному центрі див. Автоматичне встановлення сертифіката власного пристрою за SCEP та Параметри для налаштувань телефону на Контрольному центрі.
- Використовуйте варіанти DHCP 43 та 15 для надання загального імені для CDC та дротової ідентифікації 802.1X.
Докладніші відомості див. у статті Заб езпечення загального імені або ідентифікатора користувача за допомогою параметра DHCP 15.
Конфігурація параметрів SCEP за допомогою DHCP опції 43
У деяких середовищах неможливо встановити сертифікат власного пристрою (CDC), завантаживши його або безпосередньо налаштувавши параметри SCEP. У цій ситуації можна використовувати DHCP варіант 43 для подачі параметрів SCEP з DHCP-сервера на телефон. Після скидання телефону до за водських налаштувань він отримує параметри від сервера DHCP і встановлює CDC за допомогою SCEP.
- Ця функція (конфігурація параметрів SCEP через DHCP варіант 43) доступна тільки для телефонів, які були скинуті до заводських налаштувань.
- Не розгортайте телефони, які спираються на параметри 43, у мережі, яка також використовує віддалене забезпечення (наприклад, параметри 66,150, 159 та 160 або хмарне забезпечення). В іншому випадку телефони можуть не отримати конфігурації опції 43.
Щоб встановити сертифікат CDC за параметрами SCEP, наданими з параметра DHCP 43, виконайте наступне:
- Підготуйте середовище SCEP.
Для отримання інформації про налаштування середовища SCEP див. документацію сервера SCEP.
- Налаштуйте параметр DHCP 43 (визначено в 8.4 Інформація про постачальника, RFC 2132).
Підпункти (10—15) зарезервовані для методу:
Параметр на веб-сторінці телефону Субоопціон Тип Довжина (байт) Обов'язковий Режим FIPS 10 булевий 1 Немає* Сервер 11 рядок 208 - довжина (пароль виклику) Так Root CA відбиток пальців 12 шестигранний 20, 32, 48 або 64 Так Пароль виклику 13 рядок 208 - довжина (Сервер) Немає* Включити автентифікацію 802.1X 14 булевий 1 Ні Виберіть сертифікат 15 без знаку 8-біт 1 Ні * означає, що параметр налаштовується відповідно до фактичної ситуації.
При використанні параметра DHCP 43 зверніть увагу на наступні характеристики методу:
- Підпункти (10—15) зарезервовані для сертифіката спеціального пристрою (CDC).
- Максимальна довжина DHCP варіанту 43 становить 255 байт.
- Максимальна довжина пароля сервера + викли ку повинна бути менше 208 байт.
- Значення режиму FIPS має відповідати конфігурації забезпечення впровадження.
В іншому випадку телефон не зможе отримати раніше встановлений сертифікат після вклю
чення. Зокрема,
- Якщо телефон зареєстрований в середовищі, де режим FIPS вимкнено, вам не потрібно налаштовувати режим FIPS у варіанті DHCP 43. За замовчуванням режим FIPS відключений.
- Якщо телефон зареєстрований в середовищі, де включений режим FIPS, потрібно включити режим FIPS у варіанті DHCP 43. Докладніші відомості див. у розділі Увімкнення режиму FIPS.
- Пароль виклику у варіанті 43 знаходиться у чіткому тексті.
- Щоб телефон використовував MIC/SUDI для первинної реєстрації та продовження сертифіката, залиште пароль виклику порожнім.
- Щоб використовувати пароль виклику лише для початкової реєстрації, вкажіть пароль виклику та встановіть пароль повторного використання виклику для понов лення значення No. У цьому випадку встановлений сертифікат використовується для продовження сертифіката.
- Щоб використовувати пароль виклику як для початкової реєстрації, так і для поновлення, вкажіть пароль і встановіть Повтор не використання пароля виклику для по новлення значення Так.
- Увімкнути аутентифікацію 802.1X та вибір серти фіката застосовується лише до телефонів у дротових мережах.
- Параметр DHCP 60 (ідентифікатор класу постачальника) використовується для ідентифікації моделі пристрою.
Приклад параметра DHCP 43 (підпункти 10—15):
Підпараметр десятковий/шестигранний Довжина значення (байт) десятковий/шестигранний Значення Шестигранне значення 10/0а 1/01 1 (0: вимкнено; 1: увімкнено) 01 11/0б 18/12 http://10.79.57.91 687474703а2ф2ф31302е37392е35372е3931 12/0с 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0день 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0е 1/01 1 (0: Ні; 1: Так) 01 15/0ф 1/01 1 (0: Виробництво встановлено; 1: встановлено на замовлення) 01 Короткий зміст значень параметрів:
-
Режим FIPS =
Enabled -
Server =
http://10.79.57.91 -
Root CA відбиток пальця =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Пароль виклику =
D233CCF9B9952A15 -
Увімкнути автентифікацію 802.1X =
Yes -
Вибір сертифіката =
Custom installed
Синтаксис кінцевого шістнадцяткового значення такий:
{<suboption><length><value>}...Відповідно до значень параметрів вище, остаточне шістнадцяткове значення виглядає наступним чином:
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Налаштування параметра DHCP 43 на сервері DHCP.
На цьому кроці наведено приклад конфігурацій параметра DHCP 43 у реєстрі мережі Cisco.
- Додати набір визначення параметрів DHCP.
Р ядок параметрів постачаль ника - це назва моделі IP-телефонів. Допустиме значення: ДП-9841, ДП-9851, ДП-9861, ДП-9871 або СП-8875.
- Додайте параметр DHCP 43 та підпараметри до набору визначень параметрів DHCP.
Приклад:
- Додайте параметри 43 до політики DHCP і встановіть значення наступним чином:
Приклад:
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Перевірте налаштування. Ви можете використовувати Wireshark для фіксації сліду мережевого трафіку між телефоном і сервісом.
- Додати набір визначення параметрів DHCP.
- Скинути телефон до заводських налаштувань.
Після скидання телефону параметри Сер вер, Root CA Fingerprint і Challenge Password заповнюються автоматично. Ці параметри знаходяться в розділі Кон фігурація SCEP 1 у розділі Серти альний на веб-сторінці адміністрування телефону.
Щоб переглянути відомості про встановлений сертифікат, натисніть кнопку Перегляд у розділі Іс нуючі сертифікати.
Щоб перевірити стан інсталяції сертифіката, виберіть Серти кату. У по лі Статус завантаження 1 відображається останній результат. Якщо під час реєстрації сертифіката виникає проблема, стан завантаження показує причи ну усунення несправностей.
Якщо перевірка автентифікації пароля не вдається, телефон запропонує користувачам в вести пароль на екрані телефону.
- (Необов'язково): Щоб видалити встановлений сертифікат з телефону, натисніть Ви дал ити в розділі Існу ючі сертифікати.
Коли ви натискаєте Видал ити, телефон видаляє сертифікат негайно, без підказки про підтвердження.
Забезпечення загального імені або ідентифікатора користувача через DHCP варіант 15
Під час реєстрації сертифіката SCEP через DHCP варіант 43 телефон також може отримати доменне ім'я, надане в опції DHCP 15 (якщо налаштовано). Після того, як телефон отримає доменне ім'я, він може побудувати загальне ім'я або ідентифікатор користувача з доменним ім'ям, яке представлено наступним чином:
- Загальна назва = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Загальна назва буде використовуватися для КСВ у процесі SCEP, а пізніше це буде загальна назва в CDC.
- Ідентифікатор користувача = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Іденти фікатор користувача буде використовуватися як ідентифікатор для дротової автентифікації 802.1X.
Наприклад, MAC-адреса телефону 00:1 A: 2B: 3C: 4D: 5E, модель телефону 9871:
| Доменне ім'я в DHCP варіант 15 | Загальна назва | Ідентифікатор користувача |
|---|---|---|
| приклад.nl | КП-9871-СЕП001a2b3c4d5e.приклад.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Порожній | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Якщо доменне ім'я не налаштовано у варіанті 15, загальне ім'я та ідентифікатор користувача будуть однаковими з загальним іменем у MIC/SUDI.
