9800/8875 上的自定义设备证书

自定义设备证书的安装

要在手机上安装自定义设备证书 (CDC)，请根据您的情况使用以下方法之一：

手机上最新安装的证书将生效。

手动安装——您可以通过从电话管理网页上传证书来安装证书。有关详细信息，请参阅通过上传手动安装自定义设备证书。
自动安装——您可以配置简单证书注册协议 (SCEP) 参数来触发证书的自动安装。电话向 SCEP 服务器发送 SCEP 请求以安装证书。
SCEP 参数可以通过电话管理网页、电话配置文件 (cfg.XML) 或 Control Hub 进行配置。有关详细信息，请参阅通过 SCEP 自动安装自定义设备证书和 Control Hub 上的电话设置参数。
DHCP 选项 43—在某些环境中，您可以利用 DHCP 选项 43 安装证书。选项 43 可以为证书安装提供 SCEP 参数。有关详细信息，请参阅通过 DHCP 选项 43 配置 SCEP 参数。
- 当您使用 DHCP 选项 43 配置 SCEP 参数时，电话还可以检索从 DHCP 选项 15 携带的域名。根据检索到的域名，电话可以构建 SCEP CSR 通用名称和 802.1X 用户 ID。有关详细信息，请参阅通过 DHCP 选项 15 提供通用名称或用户 ID。
  
  有关如何配置 DHCP 选项的更多信息，请参阅配置 DHCP 选项。

通过上传手动安装自定义设备证书

您可以通过从电话管理网页上传证书，在电话上手动安装自定义设备证书（CDC）。

准备工作

在为电话安装自定义设备证书之前，您必须拥有：

保存在您的电脑上的证书文件（.p12 或 .pfx）。该文件包含证书和私钥。
证书的提取密码。密码用于解密证书文件。

1	访问电话管理网页。
2	选择证书。
3	在添加证书部分中，单击浏览...。
4	浏览至您 PC 上的证书。
5	在提取密码字段中，输入证书提取密码。
6	单击上传。如果证书文件和密码正确无误，您将收到`证书已添加`消息。否则，上传会失败并出现错误消息，指明证书无法上传。
7	要查看已安装证书的详细信息，请单击现有证书部分中的查看。
8	要从电话中删除已安装的证书，请单击现有证书部分中的删除。单击该按键后，删除操作会立即开始，无需进行确认。删除证书后，将显示该`Certificate deleted` 消息。如果证书与有效的无线连接相关联，请重新启动手机以应用更改。

通过 SCEP 自动安装自定义设备证书

您可以配置简单证书注册协议（SCEP）相关参数，以便与 SCEP 服务器交互以自动安装自定义设备证书（CDC）。

一旦配置了任何 SCEP 参数，电话就会向服务器发送 SCEP 注册请求。手机将使用配置的指纹验证收到的 CA 证书。

准备工作

在为手机自动安装自定义设备证书 (CDC) 之前，您必须具备：

SCEP 服务器地址
颁发电话证书的 CA 的 SHA-1 或 SHA-256 指纹

1	访问电话管理网页。
2	选择证书。
3	在 SCEP 配置 1 部分中，按照说明设置参数 SCEP 配置参数。
4	单击 Submit All Changes。

SCEP 配置的参数

下表描述了电话管理网页 “ 证书” 选项卡上的 “SCEP 配置 1” 部分中 SCEP 配置参数的功能和用法。它还包括您添加到电话配置文件 (cfg.xml) 中以配置参数的字符串的语法。

更改重用续订质询密码参数只会更新续订政策，不会触发立即注册。但是，更改任何其他 SCEP 注册参数将导致电话自动申请新证书。

表 1. SCEP 配置参数
参数	描述
服务器	SCEP 服务器地址。这是必要参数。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_Server_1_ ua="na">http://10.79.57.91</CDC_Server_1_>` 在电话网页上，输入 SCEP 服务器地址。有效值：URL 或 IP 地址。不支持 HTTPS 方案。默认值：空
CA 指纹	输入颁发电话证书的 CA 证书的 SHA-256 或 SHA-1 指纹。 CA 证书必须包含在 SCEP 服务器的 `GetCACert`响应中。在多级层次结构中，使用立即颁发的 CA 的指纹，而不是根 CA 或其他更高级别的 CA。这是必要参数。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>` 在电话网页上，输入有效的指纹。 XML 参数保留旧名称 `CDC_Root_CA_Fingerprint_1_`。使用颁发电话证书的 CA 的指纹。如果是下级 CA 颁发的，则使用该 CA 的指纹，而不是根 CA 的指纹。默认值：空
质询密码	在通过 SCEP 注册证书期间，用于对电话进行 Certificate Authority (CA) 授权的质询密码。此参数是可选的。根据实际的 SCEP 环境，质询密码的行为会有所不同。如果电话从与 CA 进行通信的 Cisco RA 获取证书，则 CA 不支持质询密码。在这种情况下，Cisco RA 使用电话的 MIC/SUDI 进行身份验证以访问 CA。电话使用 MIC/SUDI 进行初始注册和证书续订。如果电话通过直接与 CA 通信来获取证书，则 CA 支持质询密码。如果已配置，它将仅用于初始注册。电话使用现有证书进行证书续订。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_Challenge_Password_1_ ua="na"></CDC_Challenge_Password_1_>` 密码在配置文件中会被掩蔽。在电话网页上，输入挑战密码。默认值：空
公用名	指定用作请求证书的电话的标识符的通用名称 (CN)。 CN 用于 SCEP 流程中的证书签名请求 (CSR)。该参数还支持宏展开变量，详见宏展开变量。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_Common_Name_1_ ua="na"></CDC_Common_Name_1_>` 在电话网页上，输入通用名称。有效值：最多 64 个字符默认值：空
国家/地区名称	指定组织所在的国家。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_Country_Name_1_ ua="na"></CDC_Country_Name_1_>` 在电话网页中，输入国家/地区名称。有效值：0 到 2 个字符的字符串默认值：空
州或省名称	指定组织的州或省。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_State_or_Province_Name_1_ ua="na"></CDC_State_or_Province_Name_1_>` 在电话网页中，输入州或省的名称。有效值：0 到 64 个字符的字符串。默认值：空
地方名称	指定证书主体的地域名称。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_Locality_Name_1_ ua="na"></CDC_Locality_Name_1_>` 在电话网页中，输入地点名称。有效值：0 到 64 个字符的字符串默认值：空
组织名称	指定证书签名请求 (CSR) 主题名称。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_Organization_Name_1_ ua="na"></CDC_Organization_Name_1_>` 在电话网页中，输入组织名称。有效值：0 到 64 个字符的字符串默认值：空
组织单位	为证书签名请求 (CSR) 主题名称指定组织单位名称。电话将向 CSR 主题名称添加最多 5 个 “/OU=” 参数。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_Organizational_Unit_1_ ua="na"></CDC_Organizational_Unit_1_ >` 在电话网页中，输入组织单位名称。有效值：每个条目是一个由 0 到 64 个字符组成的字符串数组，以逗号分隔，最大长度为 512 个字符。最多可以指定 5 个单位。默认值：空
SAN DNS	为证书签名请求 (CSR) 主题备用名称 (SAN) 指定域名服务器 (DNS) 参数。电话将向 CSR SAN 添加最多五个 DNS 参数。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_SAN_DNS_1_ ua="na"></CDC_SAN_DNS_1_ >` 在电话网页中，输入 CSR SAN 的 DNS。有效值：每个条目是一个由 0 到 64 个字符组成的字符串数组，以逗号分隔，最大长度为 512 个字符。最多可以指定五个 DNS 参数。默认值：空
SAN IP	为证书签名请求 (CSR) 主题备用名称 (SAN) 指定 IP 参数。电话将向 CSR SAN 添加最多五个 IP 参数。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_SAN_IP_1_ ua="na"></CDC_SAN_IP_1_ >` 在电话网页中，输入 CSR SAN 的 IP。有效值：每个条目是一个由 0 到 64 个字符组成的字符串数组，以逗号分隔，最大长度为 512 个字符。最多可以指定五个 IP 参数。默认值：空
SAN 电子邮件	为证书签名请求 (CSR) 主题备用名称 (SAN) 指定电子邮件参数。电话将向 CSR SAN 添加最多五个电子邮件参数。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_SAN_Email_1_ ua="na"></CDC_SAN_Email_1_ >` 在电话网页中，输入 CSR SAN 的电子邮件。有效值：每个条目是一个由 0 到 64 个字符组成的字符串数组，以逗号分隔，最大长度为 512 个字符。最多可以指定五个电子邮件参数。默认值：空
SAN URI	为证书签名请求 (CSR) 主题备用名称 (SAN) 指定 URI 参数。电话将向 CSR SAN 添加最多五个 URI 参数。执行下列操作之一：在包含 XML(cfg.xml) 的电话配置文件中，输入以下格式的字符串： `<CDC_SAN_URI_1_ ua="na"></CDC_SAN_URI_1_ >` 在电话网页中，输入 CSR SAN 的 URI。有效值：每个条目是一个由 0 到 64 个字符组成的字符串数组，以逗号分隔，最大长度为 512 个字符。最多可以指定五个 URI 参数。默认值：空

SCEP 的证书续订

SCEP 进程可以自动刷新设备证书。

电话每 4 小时检查证书是否会在 15 天后过期。如果是这样，电话会自动启动证书续订过程。
如果质询密码为空，则电话将使用 MIC/SUDI 进行初始注册和证书续订。如果配置了质询密码，则仅用于初始注册，现有/已安装的证书将用于证书续订。
电话在检索新设备证书之前不会删除旧设备证书。
如果证书续订因设备证书或 CA 过期而失败，电话将自动触发初始注册。同时，如果质询密码身份验证失败，电话屏幕上会弹出密码输入屏幕，提示用户在电话上输入质询密码。

CDC 通用名称配置

默认情况下，MIC/SUDI 中的通用名称用作 CDC 的通用名称。

您可以在安装证书时配置 CDC 的通用名称。使用以下方法之一在手机上安装 CDC：

生成包含所需通用名称的证书签名请求（CSR），然后在电话管理网页上上传并安装新证书。
通过电话管理网页、电话配置文件（cfg.XML）或控制中心配置通用名称。这将触发手机自动请求新证书。

有关电话网页和 Control Hub 上参数的更多信息，请参阅通过 SCEP 自动安装自定义设备证书和 Control Hub 上的电话设置参数。
利用 DHCP 选项 43 和 15 为 CDC 和有线 802.1X 身份提供通用名称。
有关详细信息，请参阅通过 DHCP 选项 15 提供通用名称或用户 ID。

通过 DHCP 选项 43 配置 SCEP 参数

在某些环境中，您无法通过上传自定义设备证书 (CDC) 或直接配置 SCEP 参数来安装它。在这种情况下，您可以使用 DHCP 选项 43 将来自 DHCP 服务器的 SCEP 参数提供给电话。电话重置为出厂默认设置后，它将接收来自 DHCP 服务器的参数并使用 SCEP 安装 CDC。

此功能（通过 DHCP 选项 43 配置 SCEP 参数）仅适用于已重置为出厂默认值的电话。
不要在也使用远程配置（例如，选项 66,150、159 和 160，或云配置）的网络中部署依赖选项 43 的电话。否则，电话可能无法接收选项 43 配置。

要通过 DHCP 选项 43 提供的 SCEP 参数安装 CDC 证书，请执行以下操作：

准备 SCEP 环境。
有关 SCEP 环境设置的信息，请参阅 SCEP 服务器文档。

设置 DHCP 选项 43（定义见 8.4 供应商特定信息，RFC 2132）。

子选项 (10-15) 保留用于该方法：

电话上的参数网页	子选项	类型	长度（字节）	强制
FIPS 模式	10	布尔	1	不*
服务器	11	字符串	208 - 长度（质询密码）	是
根 CA 指纹	12	十六进制	20、32、48 或 64	是
质询密码	13	字符串	208 - 长度（服务器）	不*
启用 802.1X 验证	14	布尔	1	否
证书选择	15	无符号 8 位	1	否

*表示该参数根据实际情况配置。

使用 DHCP 选项 43 时，请注意该方法的以下特征：

子选项（10–15）是为自定义设备证书（CDC）保留的。
DHCP 选项 43 的最大长度为 255 字节。
服务器 + 挑战密码的最大长度必须小于 208 字节。
FIPS 模式的值必须与入门配置相匹配。否则，电话在载入后将无法检索之前安装的证书。具体说来
- 如果电话注册到禁用 FIPS 模式的环境，则无需在 DHCP 选项 43 中配置 FIPS 模式。默认情况下，FIPS 模式是禁用的。
- 如果电话注册到启用 FIPS 模式的环境，则必须在 DHCP 选项 43 中启用 FIPS 模式。请参阅启用 FIPS 模式了解详情。
选项 43 中的质询密码为明文。
- 要让手机使用 MIC/SUDI 进行初始注册和证书续订，请将挑战密码留空。
- 要仅在初始注册时使用挑战密码，请提供挑战密码并将重用挑战密码进行续订设置为 “ 否”。在这种情况下，安装的证书用于证书续订。
启用 802.1X 身份验证和证书选择仅适用于有线网络中的电话。
DHCP 选项 60（供应商类标识符）用于标识设备型号。

DHCP 选项 43（子选项 10–15）的示例：

子选项十进制/十六进制	值长度（字节）十进制/十六进制	值	十六进制值
10/0a	1/01	1（0：已禁用;1：已启用）	01
11/0b	18/12	http://10.79.57.91	687474703a2f2f2f31302e37392e35372e3931
12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
14/0e	1/01	1（0：否;1：是）	01
15/0f	1/01	1（0：厂商预装；1：自定义安装）	01

参数值摘要：

FIPS 模式 = 启用
Server = http://10.79.57.91
根 CA 指纹 = 12040870625C5B755D73F5925285F8F5FF5D55AF
质询密码 = D233CCF9B9952A15
启用 802.1X 身份验证 = 是
证书选择 = 自定义安装

最终十六进制值的语法为： {<suboption><length><value>}...

根据上面的参数值，最终的十六进制值如下：

0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

在 DHCP 服务器上配置 DHCP 选项 43。

此步骤提供了 Cisco 网络寄存器上的 DHCP 选项 43 配置的示例。
1. 添加 DHCP 选项定义集。
  供应商选项字符串是 IP 电话的型号名称。有效值为：DP-9841、DP-9851、DP-9861、DP-9871 或 CP-8875。
2. 将 DHCP 选项 43 和子选项添加到 DHCP 选项定义集中。
  示例：
3. 将选项 43 添加到 DHCP 策略，并按如下所示设置值：
  示例：
  (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)
4. 验证设置。您可以使用 Wireshark 捕获电话和服务之间的网络流量跟踪。
将手机恢复出厂设置。
手机重置后，将自动填写服务器、根 CA 指纹和质询密码等参数。这些参数位于电话管理网页上 “证书” > “自定义” 下的 “SCEP 配置 1” 部分中。
要查看已安装证书的详细信息，请单击 “现有证书” 部分中的 “查看”。
若要检查证书安装状态，请选择 “证书 > 自定义证书状态”。 “下载状态 1” 字段显示最新结果。如果在证书注册期间出现问题，则下载状态会显示故障排除的原因。

如果质询密码身份验证失败，电话会提示用户在电话屏幕上输入密码。
（可选）：要从电话中删除已安装的证书，单击现有证书部分中的删除。

当您单击 “删除” 时，手机会立即删除证书，而不会出现确认提示。

通过 DHCP 选项 15 提供公用名或用户标识

在通过 DHCP 选项 43 注册 SCEP 证书期间，电话还可以获取 DHCP 选项 15 中提供的域名（如果已配置）。电话收到域名后，可以用域名构造公用名或用户 ID，具体表示如下：

公用名 = <MIC/SUDI >中的公用名。<选项 15 中的域名>
在 SCEP 进程中，公用名将用于 CSR，稍后它将是 CDC 中的公用名。
用户标识 = <MIC/SUDI 中的公用名 >@<选项 15 中的域名>
用户标识将用作有线 802.1X 身份验证的标识。

例如，电话的 MAC 地址是 00：1A：2B：3C：4D：5E，电话型号为 9871：

DHCP 选项 15 中的域名	公用名	用户 ID
example.nl	CP-9871-SEP001A2b3c4d5E.example.nl	CP-9871-SEP001A2B3C4D5E@example.nl
空	CP-9871-SEP001A2B3C4D5E	CP-9871-SEP001A2B3C4D5E

如果未在选项 15 中配置域名，则公用名和用户标识将与 MIC/SUDI 中的公用名相同。

Cisco AI Assistant

感谢您的反馈。