除了通过电话网页上的手动配置注册 SCEP 证书外，您还可以使用 DHCP 选项 43 填充 DHCP 服务器中的参数。 DHCP 选项 43 已预先配置 SCEP 参数，稍后电话可以从 DHCP 服务器获取参数以执行 SCEP 证书注册。

若要通过在 DHCP 选项 43 中配置 SCEP 参数来注册 SCEP 证书，请执行以下作：

1. 准备 SCEP 环境。

   有关 SCEP 环境设置的信息，请参阅 SCEP 服务器文档。

2. 设置 DHCP 选项 43（在 8.4 供应商特定信息，RFC 2132 中定义）。

   子选项（10–15）保留用于方法：

   电话网页上的参数	子选项	类型	长度（字节）	必需
   FIPS 模式	10	布尔	1	不*
   服务器	11	字符串	208 - 长度（质询密码）	是
   根 CA 指纹	12	二元的	20 或 32	是
   质询密码	13	字符串	208 - 长度（服务器）	不*
   启用 802.1X 验证	14	布尔	1	否
   证书选择	15	无符号 8 位	1	否

   使用 DHCP 选项 43 时，请注意该方法的以下特征：

   • 子选项（10–15）是为自定义设备证书（CDC）保留的。
   • 选项 43 DHCP 的最大长度为 255 字节。
   • 服务器 + 质询密码 的最大 长度应小于 208 字节。
   • FIPS 模式 的值 应与载入预配置一致。 否则，电话在载入后将无法检索之前安装的证书。 具体说来
     • 如果电话将注册到禁用 FIPS 模式的环境，您无需在选项 43 DHCP 配置参数 FIPS 模式 。默认情况下，FIPS 模式处于禁用状态。
     • 如果电话将注册到启用了 FIPS 模式的环境，您必须 DHCP 选项 43 中启用 FIPS 模式。有关详细信息，请参阅 启用 FIPS 模式 。
   • 选项 43 中的密码为明文形式。

     如果质询密码为空，电话将使用 MIC/SUDI 进行初始注册和证书续订。 如果配置了质询密码，它将仅用于初始注册，已安装的证书将用于证书续订。

   • 启用 802.1X 身份验证 和 证书选择 仅用于有线网络中的电话。
   • DHCP 选项 60（供应商类别标识符）用于标识设备型号。

   下表提供了选项 43（子选项 10-15）DHCP 的示例：

   子选项十进制/十六进制	值长度（字节）十进制/十六进制	值	十六进制值
   10/0A	1/01	1（0：已禁用;1：已启用）	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1（0：否;1：是）	01
   15/0 楼	1/01	1（0：已安装制造装置;1：自定义安装）	01

   参数值摘要：

   • FIPS 模式 = 启用

   • 服务器 = http://10.79.57.91

   • 根 CA 指纹 = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • 质询密码 = D233CCF9B9952A15

   • 启用 802.1X 身份验证 = 是

   • 证书选择 = 自定义安装

   最终十六进制值的语法为： {<suboption><length><value>}...

   根据上面的参数值，最终的十六进制值如下：

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. 在 DHCP 服务器上配置 DHCP 选项 43。
   此步骤提供 Cisco 网络寄存器上 DHCP 选项 43 配置的示例。
   1. 添加 DHCP 选项定义集。

      供应商选项字符串 是 IP 电话的型号名称。 有效值为：DP-9841、DP-9851、DP-9861、DP-9871 或 CP-8875。

   2. 将 DHCP 选项 43 和子选项添加到 DHCP 选项定义集中。

      示例：

      

   3. 将选项 43 添加到 DHCP 策略，并按如下所示设置值：

      示例：

      (10 1)（11 http://10.79.57.91）(12 12040870625C5B755D73F5925285F8F5FF5D55AF）（13 D233CCF9B9952A15)(14 1)(15 1）

   4. 验证设置。 您可以使用 Wireshark 捕获电话和服务之间的网络流量跟踪。
4. 为电话执行恢复出厂设置。

   重置手机后，将自动填写服务器、 根 CA 指纹和 质询密码等参数 。 这些参数位于电话管理网页上证书>自定义 中的 SCEP 配置 1 部分 。

   要检查已安装证书的详细信息，请单击 “现有证书 ” 部分中的“查看 ”。

   若要检查证书安装状态，请选择 “证书 > 自定义证书状态”。 下载 状态 1 显示最新结果。 如果在证书注册期间出现任何问题，下载状态会显示问题原因以进行故障排除。

   如果质询密码验证失败，系统将提示用户在电话屏幕上输入密码。
5. （可选）：要从电话中删除已安装的证书，单击现有证书 部分中的删除 。
   单击该按钮后，删除作将立即开始，无需确认。

SCEP 进程可以自动刷新设备证书。

• 电话每 4 小时检查证书是否会在 15 天后过期。 如果是这样，电话会自动启动证书续订过程。
• 如果验证密码为空，电话将使用 MIC/SUDI 进行初始注册和证书续订。 如果配置了质询密码，则仅用于初始注册，现有/已安装的证书用于证书续订。
• 电话在检索新设备证书之前不会删除旧设备证书。
• 如果证书续订因设备证书或 CA 过期而失败，电话将自动触发初始注册。 同时，如果质询密码认证失败，电话屏幕上会弹出密码输入画面，并提示用户在电话上输入质询密码。

Cisco IP 电话支持 802.1X 验证。

Cisco IP 电话和 Cisco Catalyst 交换机过去使用 Cisco Discovery Protocol (CDP) 来识别彼此并确定 VLAN 分配和线内电源要求等参数。 CDP 不识别本地连接的工作站。 Cisco IP 电话提供 EAPOL 传递机制。 利用此机制，连接至 Cisco IP 电话的工作站会将 EAPOL 消息传递给 LAN 交换机处的 802.1X 验证器。 该传递机制可确保，在访问网络前 IP 电话不会充当 LAN 交换机来验证数据终端。

Cisco IP 电话还提供代理 EAPOL 注销机制。 如果本地连接的 PC 与 IP 电话断开，LAN 交换机看不到物理链路失效，因为保持了 LAN 交换机与 IP 电话之间的链路。 为了避免损害网络完整性，IP 电话会代表下游 PC 向交换机发送一则 EAPOL 注销的消息，这会触发 LAN 交换机清除下游 PC 的验证条目。

对 802.1X 验证的支持需要多个组件：

• Cisco IP 电话：电话会发起访问网络的请求。 Cisco IP 电话包含 802.1X 请求方。 网络管理员可以通过此请求方控制 IP 电话至 LAN 交换机端口的连接。 电话 802.1X 请求方的最新版本使用 EAP-FAST 和 EAP-TLS 选项进行网络验证。

• 身份验证服务器：身份验证服务器和交换机都必须配置用于对电话进行身份验证的共享密钥。

• 交换机：交换机必须支持 802.1X，这样它才能充当验证器，并在电话和验证服务器之间传递消息。 在交换完成后，交换机会授予或拒绝电话访问网络的权限。

您必须执行以下操作来配置 802.1X。

• 在电话上启用 802.1X 验证前配置其他组件。

• 配置 PC 端口：802.1X 标准不会考虑 VLAN，因此建议只验证连接至特定交换机端口的单个设备。 但是，某些交换机支持多域验证。 交换机配置决定是否可以将 PC 连接至电话的 PC 端口。

  • 启用：如果您使用的是支持多域验证的交换机，可以启用 PC 端口并将 PC 连接至该端口。 在此情况下，Cisco IP 电话支持代理 EAPOL 注销，来监控交换机与所连 PC 之间的验证交换。

    有关 Cisco Catalyst 交换机上支持 IEEE 802.1X 的详细信息，请参阅位于以下网址的 Cisco Catalyst 交换机配置指南：

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 禁用：如果交换机不支持同一端口上的多个符合 802.1X 的设备，应在启用 802.1X 验证后禁用 PC 端口。 如果不禁用此端口，后来又尝试将 PC 连接至该端口，交换机会拒绝对电话和 PC 的网络访问。

• 配置语音 VLAN：由于 802.1X 标准不考虑 VLAN，应根据交换机支持来配置此设置。
  • 启用：如果您使用的是支持多域验证的交换机，则可以继续使用语音 VLAN。
  • 禁用：如果交换机不支持多域验证，则禁用语音 VLAN 并考虑将此端口分配给本机 VLAN。
• （仅适用于 Cisco 座机 9800 系列）

  Cisco 座机 9800 系列在 PID 中的前缀与其他 Cisco 电话的前缀不同。 要使您的电话通过 802.1X 身份验证，请设置 Radius·用户名 参数，用于包含您的 Cisco 座机 9800 系列。

  例如，电话 9841 的 PID 是 DP-9841;您可以设置 半径·以 DP 开头或 包含 DP 的用户名 。 您可以在以下两个部分中设置它：

  • 政策 > 条件 > 库条件

  • 策略 > 策略集 > 授权策略 > 授权规则 1

由于范围内的所有 WLAN 设备均可接收所有其他 WLAN 流量，因此安全语音通信在 WLAN 中至关重要。 为了确保入侵者不会纵或拦截语音流量，Cisco SAFE 安全体系结构支持该电话。 有关网络中安全性的详细信息，请参阅 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 无线 IP 电话解决方案提供无线网络安全性，通过使用电话支持的以下身份验证方法防止未经授权的登录和通信中断：

• 开放式验证：任何无线设备均可在开放式系统中请求验证。 收到请求的 AP 可允许任何请求方或仅允许用户列表中找到的请求方进行验证。 无线设备和接入点（AP）之间的通信可能未加密。

• 可扩展身份验证协议 - 通过安全隧道（EAP-FAST）身份验证进行灵活身份验证：此客户端 - 服务器安全体系结构对 AP 和 RADIUS 服务器（如身份服务引擎（ISE））之间的传输级别安全性（TLS）隧道内的 EAP 事务进行加密。

  TLS 隧道使用受保护的访问凭证 (PAC) 进行客户端（电话）与 RADIUS 服务器之间的验证。 服务器将授权 ID (AID) 发送给客户端（电话），后者会选择适当的 PAC。 客户端（电话）将返回 PAC - 对 RADIUS 服务器不透明。 服务器通过主密钥解密 PAC。 现在，两个终端均包含 PAC 密钥，且 TLS 隧道已创建。 EAP-FAST 支持自动 PAC 部署，但您必须在 RADIUS 服务器上启用该功能。

  在 ISE 中，默认情况下，PAC 将在一周后过期。 如果电话有过期的 PAC，则电话获取新 PAC 时，与 RADIUS 服务器的验证要花较长的时间。 为避免 PAC 部署延迟，在 ISE 或 RADIUS 服务器上，将 PAC 过期期限设置为 90 天或更长时间。

• 可扩展身份验证协议-传输层安全 (EAP-TLS) 验证：EAP-TLS 需要客户端证书用于身份验证和网络访问。 对于无线 EAP-TLS，客户端证书可以是 MIC、LSC 或用户安装的证书。

• 受保护的可扩展验证协议 (PEAP)：客户端（电话）与 RADIUS 服务器之间 Cisco 专有的、基于密码的相互验证方案。 电话可以使用 PEAP 通过无线网络进行身份验证。 支持 PEAP-MSCHAPV2 和 PEAP-GTC 验证方法。

• 预共享密钥（PSK）：电话支持 ASCII 格式。 设置 WPA/WPA2/SAE 预共享密钥时，必须使用此格式：

  ASCII：长度为 8 至 63 个字符的 ASCII 字符字符串（0-9、小写和大写 A-Z 以及特殊字符）

  示例：GREG123567@9ZX&W

以下验证方案使用 RADIUS 服务器管理验证密钥：

• WPA/WPA2/WPA3：使用 RADIUS 服务器信息生成用于身份验证的唯一密钥。 由于这些密钥在中央 RADIUS 服务器生成，因此 WPA2/WPA3 提供比存储在 AP 和电话上的 WPA 预共享密钥更高的安全性。

• 快速安全漫游：使用 RADIUS 服务器和无线域服务器 (WDS) 信息管理和验证密钥。 WDS 为启用 FT 的客户端设备创建安全凭据缓存，以便快速安全地重新进行身份验证。 Cisco 座机 9861 和 9871 以及 Cisco Video Phone 8875 支持 802.11r（FT）。 支持无线和 DS，以实现快速安全漫游。 但我们强烈建议使用空中 802.11r (FT) 方法。

使用 WPA/WPA2/WPA3，加密密钥不会在电话上输入，而是在 AP 和电话之间自动派生。 但必须在每部电话上输入用于验证的 EAP 用户名和密码。

为确保语音流量安全，电话支持 TKIP 和 AES 加密。 当使用这些机制进行加密时，信令 SIP 数据包和语音实时传输协议（RTP）数据包在 AP 和电话之间都会被加密。

TKIP

WPA 使用 TKIP 加密，与 WEP 相比有多项改进。 TKIP 提供每个信息包的密钥加密和更长的初始化向量 (IV) 来强化加密。 此外，消息完整性检查 (MIC) 可确保加密的信息包不会被更改。 TKIP 消除了有助于入侵者解密 WEP 密钥的 WEP 可预测性。

AES

用于 WPA2/WPA3 身份验证的加密方法。 此国家加密标准使用对称算法，加密和解密具有相同的密钥。 AES 使用大小为 128 位最小值的密码阻止链 (CBC) 加密，其支持的密钥大小为 128、192 和 256 位。 电话支持的密钥大小为 256 位。

验证和加密方案在无线 LAN 内设置。 VLAN 在网络和 AP 中配置，指定验证和加密的不同组合。 SSID 与 VLAN 以及特定验证和加密方案关联。 要使无线客户端设备成功进行身份验证，您必须在 AP 和电话上配置相同的 SSID 及其身份验证和加密方案。

某些验证方案需要特定类型的加密。

下表中的身份验证和加密方案显示了对应于 AP 配置的电话的网络配置选项。