- 主页
- /
- 文章
感谢您的反馈。
在此文章中
反馈？您可以手动或自动安装自定义设备证书（CDC）。 在某些环境中，请使用 DHCP 选项 43 提供证书安装所需的简单证书注册协议（SCEP）参数。 本帮助文章适用于注册到 Webex Calling 的 Cisco 无线电话 9821。
要在电话上安装自定义设备证书（CDC），请根据您的具体情况使用以下方法之一：
- 手动安装 - 您可以通过从电话管理 Web 页面上传证书来安装证书。 有关详细信息，请参阅 通过上传手动安装自定义设备证书。
- 自动安装 - 您可以配置简单证书注册协议（SCEP）参数以触发证书自动安装。 电话将 SCEP 请求发送到 SCEP 服务器以安装证书。
SCEP 参数可以通过电话管理网页、电话配置文件（cfg.XML）或 Control Hub 进行配置。 有关详细信息，请参阅 SCEP 自动安装自定义设备证书和控制 中心的电话设置参数。
- DHCP 选项 43 - 在特定环境中，您可以使用 DHCP 选项 43 来安装证书。选项 43 可以为证书安装提供 SCEP 参数。 有关详细信息，请参阅 通过 DHCP 选项 43 配置 SCEP 参数。
当您使用 DHCP 选项 43 配置 SCEP 参数时，电话还可以检索从 DHCP 选项 15 携带的域名。基于检索到的域名，电话可以构造 802.1X 用户 ID 进行有线网络连接。 有关详细信息，请参阅 通过选项 15 通过 DHCP 预配用户 ID。
有关如何配置 DHCP 选项的详细信息，请参阅 配置 DHCP 选项。
电话上最近安装的证书将生效。
通过上传手动安装自定义设备证书
您可以通过从电话管理网页上传证书，在电话上手动安装自定义设备证书（CDC）。
开始之前
在为电话安装自定义设备证书之前，您必须拥有：
- 保存在电脑上的证书文件（.p12 或 .pfx）。 该文件包含证书和私钥。
- 证书的提取密码。 密码用于解密证书文件。
| 1 |
访问电话管理网页。 |
| 2 |
选择 证书。 |
| 3 |
在添加证书部分中，单击浏览...。 |
| 4 |
浏览至您 PC 上的证书。 |
| 5 |
在提取密码字段中，输入证书提取密码。 |
| 6 |
单击上传。 如果证书文件和密码正确无误，您将收到
证书已添加消息。 否则，上传会失败并出现错误消息，指明证书无法上传。 |
| 7 |
要查看已安装证书的详细信息，请单击现有证书部分中的查看。 |
| 8 |
要从电话中删除已安装的证书，请单击现有证书部分中的删除。 单击该按键后，删除操作会立即开始，无需进行确认。 删除证书后， |
通过 SCEP 自动安装自定义设备证书
您可以配置简单证书注册协议（SCEP）相关参数以与 SCEP 服务器交互，以自动安装自定义设备证书（CDC）。
配置任何 SCEP 参数后，电话将向服务器发送 SCEP 注册请求。 电话将使用配置的指纹验证收到的 CA 证书。
开始之前
要为电话执行自定义设备证书（CDC）的自动安装，您必须具备：
- SCEP 服务器地址
- SCEP 服务器根 CA 证书的 SHA-1 或 SHA-256 指纹
| 1 |
访问电话管理网页。 |
| 2 |
选择 证书。 |
| 3 |
在 SCEP 配置 1 部分中 ，按照 SCEP 配置 的参数中所述 设置参数。 |
| 4 |
单击 Submit All Changes。 |
SCEP 配置的参数
下表在电话 Web 界面的证书 Tab 下的 SCEP 配置 1 部分中定义了 SCEP 配置参数 的功能和用法。 它还定义在电话配置文件（cfg.xml）中添加以配置参数的字符串的语法。
任何参数更改都将导致电话请求新证书。
| 参数 | 说明 |
|---|---|
| 服务器 |
SCEP 服务器地址。 这是必要参数。 执行下列操作之一：
有效值：URL 或 IP 地址。 不支持 HTTPS 方案。 默认值：空 |
| CA 指纹 |
根 CA 的 SHA256 或 SHA1 指纹，用于在 SCEP 过程中进行验证。 这是必要参数。 执行下列操作之一：
默认值：空 |
SCEP 的证书续订
SCEP 进程可以自动刷新设备证书。
- 电话每 4 小时检查证书是否会在 15 天后过期。 如果是这样，电话会自动启动证书续订过程。
- 如果质询密码为空，则电话将使用 MIC/SUDI 进行初始注册和证书续订。 如果配置了质询密码，则仅用于初始注册，现有/已安装的证书将用于证书续订。
- 电话在检索新设备证书之前不会删除旧设备证书。
- 如果证书续订因设备证书或 CA 过期而失败，电话将自动触发初始注册。 同时，如果质询密码身份验证失败，电话屏幕上会弹出密码输入屏幕，提示用户在电话上输入质询密码。
通过 DHCP 选项 43 配置 SCEP 参数
在某些环境中，无法通过上传自定义设备证书（CDC）或直接配置 SCEP 参数来安装它。 在这种情况下，您可以使用 DHCP 选项 43 从 DHCP 服务器填充参数。 可将 DHCP 选项 43 配置为向电话提供 SCEP 参数。 电话恢复出厂设置后，可以从 DHCP 服务器接收参数，以通过 SCEP 协议安装 CDC。
- 此功能（通过 DHCP 选项 43 配置 SCEP 参数有空）仅适用于恢复出厂设置的电话。
- 电话不得放置在支持选项 43 和远程配置（例如，选项 66,160,159,150 或云配置）的网络中。 否则，电话可能无法获得选项 43 配置。
按照以下步骤通过 DHCP 选项 43 中提供的 SCEP 参数安装 CDC 证书。
| 1 |
准备 SCEP 环境。 有关 SCEP 环境设置的信息，请参阅 SCEP 服务器文档。 | ||||||||||||||||||||||||||||||||||||
| 2 |
设置 DHCP 选项 43（定义见 8.4 供应商特定信息，RFC 2132）。 子选项 (10-12) 保留用于该方法：
* 表示参数是根据实际情况配置的。 使用 DHCP 选项 43 时，请注意该方法的以下特征：
DHCP 选项 43（子选项 10–15）的示例：
参数值摘要：
最终十六进制值的语法为： 根据上面的参数值，最终的十六进制值如下： 0a01000b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF
| ||||||||||||||||||||||||||||||||||||
| 3 |
在 DHCP 服务器上配置 DHCP 选项 43。 此步骤提供了 Cisco 网络寄存器上的 DHCP 选项 43 配置的示例。
| ||||||||||||||||||||||||||||||||||||
| 4 |
为电话执行恢复出厂设置。 手机重置后，将自动填写服务器和根 CA 指纹 参数 。 这些参数位于电话管理网页上证书>自定义 中的 SCEP 配置 1 要查看已安装证书的详细信息，请单击现有证书部分中的查看。 若要检查证书安装状态，请选择 ”。 下载状态 1 显示最新结果。 如果在证书注册期间出现任何问题，下载状态会显示问题原因以进行故障排除。 | ||||||||||||||||||||||||||||||||||||
| 5 |
（可选）要从电话中删除已安装的证书，请单击 现有证书 部分中的删除 。 单击该按键后，删除操作会立即开始，无需进行确认。 |
通过 DHCP 选项 15 设置用户 ID
本节仅用于有线网络的 802.1X 身份验证。
在通过 DHCP 选项 43 注册 SCEP 证书期间，电话还可以获取 DHCP 选项 15 中提供的域名（如果已配置）。 手机收到域名后，可以用域名构造用户 ID，具体表示如下。
- MIC/SUDI 中的用户 ID =<Common Name> 选项 15 中的用户 #=<域名>
用户 ID 将用作有线 802.1X 身份验证的身份。
例如，Cisco 无线电话 9821phone 的 MAC 地址是 C8：78：F7：7C：09：F9。
| DHCP 选项 15 中的域名 | 用户 ID |
|---|---|
| example.nl | WP-9821-SEPC878F77C09F9@example.nl |
| 空 | WP-9821-SEPC878F77C09F9 |
