若要啟用驗證、授權及計費 (AAA) 存取控制模型，請使用aaa 新機型在全域組態模式中使用指令。 若要停用 AAA 存取控制模型，請使用無此指令的格式。

aaa 新機型

無aaa 新機型

此指令沒有參數或關鍵字。

指令預設： 未啟用 AAA。

指令模式： 全域設定 (config)

使用指南： 此指令可啟用 AAA 存取控制系統。

若要在登入時設定驗證、授權和計費 (AAA) 驗證，請使用aaa 驗證登入在全域組態模式中使用指令。 若要停用 AAA 驗證，請使用無此指令的格式。

aaa 驗證登入{預設|清單名稱}方法1 [方法 2... ]

無aaa 驗證登入{預設|清單名稱}方法1 [方法 2... ]

指令預設： 登入時的 AAA 驗證已停用。

指令模式： 全域設定 (config)

使用指南： 如果預設未設定關鍵字，只會檢查本機使用者資料庫。 這與以下指令具有相同的效果：

aaa authentication login default local

在主控台上，發生以下情況的登入將成功而無需任何驗證檢查：預設未設定關鍵字。

您建立的預設和選用清單名稱aaa 驗證登入命令與登入驗證命令。

透過輸入以下內容建立清單aaa 驗證登入特定通訊協定的 list-name 方法指令。 list-name 參數是用於為使用者登入時啟動的驗證方法清單命名的字串。 方法參數按給定順序識別驗證算法嘗試的方法清單。 「不能用於 list-name 參數的驗證方法」區段列出了不能用於 list-name 參數的驗證方法，下表描述了方法關鍵字。

若要建立在未指定清單給線路時使用的預設清單，請使用登入驗證命令，帶有預設參數，然後是您想要在預設情況下使用的方法。

驗證使用者憑證時僅提示一次密碼，且萬一因連線問題而發生錯誤，則可透過其他驗證方法重試多次。 但是，只有當上一種驗證方法返回錯誤時，才會切換到下一種驗證方法。 若要確保即使所有方法都返回錯誤也能成功驗證，請指定無作為命令列中的最終方法。

若未專門為線路設定驗證，則預設為拒絕存取且不執行任何驗證。 使用更多系統：執行設定命令以顯示目前已設定的驗證方法的清單。

不能用於 list-name 參數的驗證方法

不能用於 list-name 參數的驗證方法如下：

• 訪客驗證

• 啟用

• 訪客

• 已驗證

• 隨選

• krb5

• krb 實例

• krb-Telnet

• 線條

• 本地

• 無

• 半徑

• rcmd

• tacac

• tacacsplus

在下面的表格中，群組半徑、群組 tacacs +、群組 ldap 和群組群組名稱方法是指一組先前定義的 RADIUS 或 TACACS+ 伺服器。 使用 radius-server 主機 和 tacas 伺服器主機指令來設定主機伺服器。 使用 aaa 群組伺服器 radius、aaa 群組伺服器 ldap 和 aaa 群組伺服器 tacas+ 指令來建立命名的伺服器群組。

下表描述了方法關鍵字。

關鍵字	說明
快取群組名稱	使用快取伺服器群組進行驗證。
啟用	使用啟用密碼進行驗證。 無法使用此關鍵字。
群組群組名稱	使用 RADIUS 或 TACACS+ 伺服器的子集進行驗證，如aaa 群組伺服器半徑或aaa 群組伺服器 tacas+命令。
群組ldap	使用所有Lightweight Directory Access Protocol(LDAP) 伺服器的清單進行驗證。
群組半徑	使用所有 RADIUS 伺服器的清單進行驗證。
群組tacacs+	使用所有 TACACS+ 伺服器的清單進行驗證。
krb5	使用 Kerberos 5 進行驗證。
krb5-Telnet	當使用 Telnet 連線至路由器時，使用 Kerberos 5 Telnet 驗證通訊協定。
線條	使用線路密碼進行驗證。
本地	使用本機使用者名稱資料庫進行驗證。
本機案例	使用區分大小寫的本機使用者名稱驗證。
無	不使用任何驗證。
密碼到期	在本機驗證清單上啟用密碼使用期限。   的?極雿€?靘?指令是必需的，以使密碼到期關鍵字工作。

若要設定限制使用者存取網路的參數，請使用aaa 授權在全域組態模式中使用指令。 若要移除參數，請使用無此指令的格式。

aaa授權{驗證代理|快取|指令層級|設定指令|組態|主控台|執行|移動通信|多播|網路|策略假設|預付費|proximity Proxy|反向存取|訂閱者服務|範本} {預設|清單名稱} [方法1 [方法 2... ]]

無aaa授權{驗證代理|快取|指令層級|設定指令|組態|主控台|執行|移動通信|多播|網路|策略假設|預付費|proximity Proxy|反向存取|訂閱者服務|範本} {預設|清單名稱} [方法1 [方法 2... ]]

指令預設： 對所有動作停用授權（相當於方法關鍵字無)。

指令模式： 全域設定 (config)

使用指南： 使用 aaa 授權指令來啟用授權並建立命名方法清單，該清單定義當使用者存取指定功能時可使用的授權方法。 授權的方法清單定義了執行授權的方式以及執行這些方法的順序。 方法清單是描述必須順序使用的授權方法（例如 RADIUS 或 TACACS+）的命名清單。 方法清單可讓您指定一個或多個安全性協議以用於授權，從而確保有一個備份系統以防初始方法失敗。 Cisco IOS軟體使用所列的第一種方法來授權使用者使用特定的網路服務。如果該方法無法回應， Cisco IOS軟體會選擇方法清單中所列的下一個方法。 此程序會繼續，直到與列出的授權方法成功通訊，或直到用盡所有定義的方法。

僅當上一個方法沒有回應時， Cisco IOS軟體才會嘗試使用下一個列出的方法進行授權。 如果授權在此週期中的任何時候失敗（這意味著安全伺服器或本機使用者名稱資料庫會以拒絕使用者服務的方式進行回應），授權程序會停止，並且不會嘗試其他授權方法。

若發出特定授權類型的 aaa 授權指令而未指定命名方法清單，則預設方法清單會自動套用至所有介面或線路（此授權類型適用的地方），但有明確定義的命名方法清單的介面或線路除外。 （定義的方法清單會覆蓋預設方法清單。） 若未定義預設方法清單，則不進行授權。 必須使用預設授權方法清單才能執行輸出授權，例如授權從 RADIUS 伺服器下載IP集區。

使用 aaa 授權指令來建立清單已按給定順序嘗試。

aaa 授權指令支援 13 個獨立的方法清單。 譬如：

aaa 授權組態方法清單 1 群組半徑

aaa 授權組態方法清單 2 群組半徑

...

aaa 授權組態方法清單13 群組半徑

在下面的表格中，群組「群組名稱」、群組 ldap、群組 Radius 和群組 tacacs + 方法是指一組先前定義的 RADIUS 或 TACACS+ 伺服器。 使用 radius-server 主機 和 tacas 伺服器主機指令來設定主機伺服器。 使用 aaa 群組伺服器 radius 、aaa 群組伺服器 ldap 和 aaa 群組伺服器 tacas+ 指令來建立命名的伺服器群組。

Cisco IOS軟體支援下列授權方法：

• 快取伺服器群組 -- 路由器會諮詢其快取伺服器群組，以為使用者授權特定的權利。

• 如果-驗證 － 如果使用者已成功驗證，則允許使用者存取請求的功能。

• 本端 － 路由器或存取伺服器會參考 username 指令所定義的本端資料庫，以授予使用者特定的權限。 透過本機資料庫，只能控制有限的一組功能。

• 無 － 網路存取伺服器不請求授權資訊；未透過此線路或介面執行授權。

• RADIUS --網路存取伺服器會從 RADIUS 安全性伺服器群組請求授權資訊。 RADIUS 授權透過將儲存在 RADIUS 伺服器上的資料庫中的屬性與適當的使用者關聯來定義使用者的特定權利。

• TACACS+ --網路存取伺服器與 TACACS+ 安全性守護進程交換授權資訊。 TACACS+ 授權透過將儲存在 TACACS+ 安全伺服器上的資料庫中的屬性-值 (AV) 配對與適當的使用者關聯，來定義使用者的特定權利。

若要允許VoIP網路中特定類型的端點之間的連線，請使用允許連線語音服務組態模式中的指令。 若要拒絕特定類型的連線，請使用無此指令的格式。

允許連線寄件者類型至鍵入

無允許連線寄件者類型至鍵入

指令預設： 預設會停用SIP至SIP連線。

指令模式： 語音服務設定 (config-voi-serv)

使用指南： 此指令用於允許Cisco多服務IP至IP閘道中特定類型的端點之間的連線。 指令預設為啟用且無法變更。

若要允許在語音寄存器 DN 的任何位置插入「#」，請使用允許在 DN 中散列語音註冊全域模式中的指令。 若要停用此功能，請使用無此指令的格式。

允許在 DN 中散列

不允許在 DN 中使用雜湊

指令預設： 依預設，會停用該指令。

指令模式： 語音註冊全域設定 (config-register-global)

使用指南： 在引入此指令之前，語音寄存器 DN 支援的字元為 0-9、+ 和 *。 每當使用者需要在語音寄存器 DN 中插入 # 時，都會啟用新指令。 依預設，會停用該指令。 您只能在Cisco Unified SRST和Cisco Unified E-SRST模式下配置此指令。 可將字元 # 插入語音寄存器 DN 的任何位置。 當啟用此指令後，使用者需要使用以下方式將預設終止字元 (#) 變更為另一個有效的字元：撥號點終止符於組態模式下的指令。

若要進入備援應用程式組態模式，請使用應用程式備援備援組態模式中使用的指令。

應用程式備援

此指令沒有參數或關鍵字。

指令預設： 無

指令模式： 備援組態 (config-red)

使用指南： 使用此應用程式備援指令，以配置應用程式備援以實現高可用性。

若要設定應用程式的預設閘道道，請使用應用程式預設閘道命令。 若要移除預設閘道，請使用無此指令的格式。

應用程式預設閘道[ ip 位址訪客介面網路介面號碼]

無應用程式預設閘道[ ip 位址訪客介面網路介面號碼]

指令預設： 未設定預設閘道道。

指令模式： 應用程式託管設定 (config-app-hosting)

使用指南： 使用應用程式預設閘道指令，為應用程式設定預設閘道。 閘道連接器是安裝在Cisco IOS XE GuestShell 容器上的應用程式。

若要設定應用程式並進入應用程式託管組態模式，請使用應用程式託管 appid在全域組態模式中使用指令。 若要移除該應用程式，請使用無此指令的格式。

應用程式託管 appid應用程式名稱

指令預設： 未設定應用程式。

指令模式： 全域設定 (config)

使用指南：應用程式名稱參數最多為 32 個字母數位字元。

您可以在設定此指令後更新應用程式託管設定。

若要覆寫應用程式提供的資源設定檔，請使用應用程式資源設定檔命令。 若要恢復為應用程式指定的資源設定檔，請使用無此指令的格式。

應用程式資源設定檔設定檔名稱

無應用程式資源設定檔設定檔名稱

指令預設： 已設定資源設定檔。

指令模式： 應用程式託管設定 (config-app-hosting)

使用指南： 可透過設定自訂資源設定檔來變更應用程式封裝中指定的保留資源。 只能變更CPU、記憶體和虛擬CPU (vCPU) 資源。 要使資源變更生效，請停止並停用應用程式，然後重新啟動並重新啟動它。

僅支援自訂設定檔。

此指令會配置自訂應用程式資源設定檔，並進入自訂應用程式資源設定檔組態模式。

若要為應用程式設定虛擬網路介面閘道，請使用app-vnic 閘道命令。 若要移除設定，請使用無此指令的格式。

此指令僅在路由平台上受支援。 切換平台不支援此功能。

app-vnic 閘道虛擬連接埠群組號碼訪客介面網路介面號碼

無app-vnic 閘道虛擬埠群組號碼訪客介面網路介面號碼

指令預設： 未設定虛擬閘道。

指令模式： 應用程式託管設定 (config-app-hosting)

使用指南： 在您為應用程式設定虛擬網路介面閘道之後，指令模式會變更為應用程式託管閘道組態模式。 在此模式下，您可以配置訪客界面的IP 位址。

若要在傳入的作業階段啟始通訊協定 (SIP)請求或回應訊息中啟用對認定的ID標題的支援，並在輸出的SIP請求或回應訊息中傳送認定的ID隱私權資訊，請使用聲明的 ID VoIP中的指令 - SIP組態模式或語音類別租用戶組態模式。 若要停用對宣告ID標頭的支援，請使用無此指令的格式。

聲明的 ID {排|ppi }系統

無聲明的 ID {排|ppi }系統

指令預設： 使用 Remote-Party- ID (RPID) 標題或 FROM 標題傳送隱私資訊。

指令模式： 語音服務VoIP- SIP組態 (conf-serv-sip) 和語音類別租用戶組態 (config-class)

使用指南： 如果您選擇排關鍵字或ppi關鍵字，閘道將 PAI 標頭或 PPI 標頭分別建立到通用SIP堆疊中。 的排關鍵字或ppi關鍵字的優先級高於 Remote-Party- ID （RPID）標題，並從輸出訊息中移除 RPID 標題，即使路由器已設定為在全域使用 RPID 標題。

若要設定作業階段啟始通訊協定 (SIP)非對稱有效荷載支援，請使用非對稱有效荷載在SIP組態模式或語音類別租用戶組態模式下使用命令。 若要停用非對稱有效荷載支援，請使用無此指令的格式。

非對稱有效荷載{ dtmf|動態編解碼器|滿|系統}

無非對稱有效荷載{ dtmf|動態編解碼器|滿|系統}

指令預設： 此指令已停用。

指令模式： 語音服務SIP組態 (conf-serv-sip), 語音類別租用戶組態 (config-class)

使用指南： 如範例所示，從語音服務組態模式進入SIP組態模式。

對於Cisco UBE，音訊/視訊編解碼器、 DTMF和 NSE 支援SIP非對稱有效荷載類型。 因此， dtmf和動態編解碼器關鍵字在內部被對應滿關鍵字，為音訊/視訊編解碼器、 DTMF和 NSE 提供非對稱有效荷載類型支援。

若要在個別撥號對等體上啟用SIP摘要式驗證，請使用驗證撥號對等語音組態模式中的指令。 若要停用SIP摘要式驗證，請使用無此指令的格式。

驗證使用者名稱使用者名稱密碼{ 0| 6| 7 }密碼[領域領域|挑戰|全部]

無驗證使用者名稱使用者名稱密碼{ 0| 6| 7 }密碼[領域領域|挑戰|全部]

指令預設： SIP摘要式驗證已停用。

指令模式： 撥號對等語音設定 (config-dial-peer)

使用指南： 啟用摘要式驗證時，下列組態規則適用：

• 每個撥號對等體只能設定一個使用者名稱。 必須移除任何現有的使用者名稱設定，然後才能設定其他使用者名稱。

• 最多五個密碼或領域可為任何使用者名稱設定參數。

的使用者名稱和密碼參數用於驗證使用者。 發出 407/401 質詢回應的驗證伺服器/代理在質詢回應中包含一個領域，且使用者提供對該領域有效的憑證。 因為假設訊號路徑中最多有五個 Proxy 伺服器可以嘗試驗證從使用者代理用戶端 (UAC) 到使用者代理伺服器 (UAS) 的給定請求，所以使用者可以設定最多五個密碼和已設定使用者名稱的領域組合。

使用者以純文字形式提供密碼，但密碼會經過加密並儲存，以用於 401 質詢回應。 若密碼未以加密形式儲存，則會傳送垃圾密碼且驗證失敗。

• 領域規格是可選的。 如果忽略，為該使用者名稱設定的密碼適用於所有嘗試驗證的領域。

• 一次只能為所有已設定的領域設定一個密碼。 如果設定了新密碼，它將覆寫任何先前設定的密碼。

這意味著只能設定一個全域密碼（一個沒有指定範圍的全域密碼）。 若設定新密碼而不設定對應的領域，新密碼會覆寫舊密碼。

• 若先前設定的使用者名稱和密碼已設定領域，該領域規格將新增至該現有的使用者名稱和密碼設定。 但是，一旦將領域新增至使用者名稱和密碼設定，該使用者名稱和密碼組合僅適用於該領域。 在沒有先移除該使用者名稱和密碼的整個設定的情況下，無法從使用者名稱和密碼設定中移除已設定的領域 — 然後，您可以使用或不使用不同的領域來重新設定該使用者名稱和密碼組合。

• 在同時具有密碼和領域的項目中，您可以變更密碼或領域。

• 使用全部不驗證命令以移除使用者的所有驗證項目。

必須指定密碼的加密類型。 如果明文密碼（鍵入0 ) 時，則它會加密為類型6在將其儲存至執行設定之前。

若您將加密類型指定為6或7 ，會根據有效的類型檢查輸入的密碼6或7密碼格式並另存為類型6或7分別。

第 6 類密碼使用AES密碼和使用者定義的主金鑰進行加密。 這些密碼相對更安全。 主鍵從不顯示在設定中。 在不知道主鍵的情況下，鍵入6密碼無法使用。 如果主鍵已修改，則儲存為類型 6 的密碼會使用新的主鍵重新加密。 若主鍵設定已移除，則類型6無法解密密碼，這可能會導致通話和註冊的驗證失敗。

當備份設定或將設定移轉至另一裝置時，不會轉儲主鍵。 因此，必須手動再次設定主鍵。

若要設定加密的預先共用金鑰，請參閱設定加密的預先共用金鑰。

使用加密類型時，會顯示以下警告訊息7已設定。 警告： 已將指令新增至使用類型 7 密碼的設定。 但是，類型 7 密碼很快將被棄用。 移轉至受支援的密碼類型 6。

若要將訊號和媒體封包的來源位址綁定到特定介面的IPv4或IPv6 位址，請使用系結SIP組態模式中的指令。 若要停用綁定，請使用無此指令的格式。

系結{控制|媒體|全部}來源介面介面 ID { ipv4 位址ipv4 位址|IPv6 位址IPv6 位址}

無系結{控制|媒體|全部}來源介面介面 ID { ipv4 位址ipv4 位址|IPv6 位址IPv6 位址}

指令預設： 結合已停用。

指令模式： SIP組態 (conf-serv-sip) 和語音類別租用戶。

使用指南： 異步、乙太網路、快速乙太網路、回送和串行 (包括幀中繼) 是SIP應用程式中的介面。

如果系結命令未啟用， IPv4層仍會提供最佳本端位址。

若要啟用 Call-Home 的基本設定，請使用回撥報告在全域組態模式中使用指令。

回撥報告{匿名|聯絡人電子郵件地址} [ http Proxy { ipv4 位址|IPv6 位址|名稱}埠埠號]

指令預設： 無預設行為或值

指令模式： 全域設定 (config)

使用指南： 使用 以匿名或完整註冊模式成功啟用 Call-Home 之後回撥報告指令時，會傳送庫存訊息。 如果在完整註冊模式下啟用了 Call-Home，則會傳送完整註冊模式的完整庫存訊息。 如果在匿名模式下啟用了 Call-Home，則會傳送匿名庫存訊息。 有關訊息詳細資訊的更多資訊，請參閱警示群組觸發事件和指令。

若要啟用Cisco Unified SRST支援並進入 call-manager-fallback 組態模式，請使用通話管理程式回退在全域組態模式中使用指令。 若要停用Cisco Unified SRST支援，請使用無此指令的格式。

通話管理程式回退

無通話管理程式回退

此指令沒有參數或關鍵字。

指令預設： 無預設行為或值。

指令模式： 全域設定

若要在TLS握手期間啟用對等憑證的伺服器、用戶端或雙向身分驗證，請使用以下指令cn-san 驗證在語音類別 tls 設定檔組態模式中。 若要停用憑證身分驗證，請使用無此指令的格式。

中山驗證{伺服器|用戶端|雙向}

無中山驗證{伺服器|用戶端|雙向}

指令預設： 身分驗證已停用。

指令模式： 語音類別組態 (config-class)

使用指南： 伺服器身分驗證與透過全球的安全訊號連線相關聯加密訊號和語音類別 tls 設定檔設定。

該指令已得到增強，現在包括用戶端和雙向關鍵字。 用戶端選項可讓伺服器根據受信任的 cn-san FQDN 清單核對所提供的憑證中包含的 CN 和 SAN 主機名稱，來驗證用戶端的身分。 只有找到相符項時，才會建立連線。 除了階段作業目標主持人名稱之外，這個 cn-san FQDN 清單現在也用於驗證伺服器憑證。 的雙向選項透過結合兩者來驗證用戶端和伺服器連線的對等身分伺服器和用戶端模式。 一旦設定cn-san 驗證，會針對每個新的TLS連線驗證對對等憑證的身分。

若要設定完整網域名稱 (FQDN) 名稱的清單以針對入埠或出TLS連線的對等憑證進行驗證，請使用中山在語音類別 tls 設定檔組態模式中使用命令。 若要刪除 cn-san 憑證驗證項目，請使用無此指令的格式。

中山{1-10}摮?

無中山{1-10}摮?

指令預設： 未設定 cn-san 名稱。

指令模式： 語音類別 tls-profile 組態模式 (config-class)

使用指南： 用於對對等憑證驗證的TLS會指派給最多包含十個中山項目。 必須至少將其中一個項目與憑證通用名稱 (CN) 或主體替代名稱 (SAN) 欄位中的 FQDN 相符，然後才能建立TLS連線。 若要相符 CN 或 SAN 欄位中使用的任何網域主機，中山項目可使用網域萬用字元配置，嚴格採用 *.domain-name 格式（例如 *.cisco.com）。 不允許將萬用字元用於其他任何用途。

對於入埠連線，此清單用於驗證用戶用戶端憑證中的 CN 和 SAN 欄位。 對於輸出連線，此清單與階段作業目標主機名稱一起使用，以驗證伺服器憑證中的 CN 和 SAN 欄位。

伺服器憑證也可透過將SIP階段作業目標 FQDN 與 CN 或 SAN 欄位相配來驗證。

若要指定要在撥號對等體上使用的偏好編解碼器清單，請使用編解碼器喜好設定在語音類別組態模式中使用指令。 若要停用此功能，請使用無此指令的格式。

編解碼器喜好設定值編解碼器類型

無編解碼器喜好設定值編解碼器類型

指令預設： 若未輸入此指令，則不會透過偏好設定特定類型的編解碼器。

指令模式： 語音類別組態 (config-class)

使用指南： 位於 WAN 另一端的路由器可能必須交涉網路撥號對等項目的編解碼器選擇。 的編解碼器喜好設定命令指定為連線選取交涉的編解碼器的偏好順序。 下表描述了編解碼器和封包語音通訊協定的語音有效荷載選項與預設值。

若要使用全域偵聽器埠透過UDP傳送請求，請使用連線重用在 sip-ua 模式或語音類別租用戶組態模式下使用命令。 若要停用，請使用無此指令的格式。

連線重用{經由埠|系統}

無連線重用{經由埠|系統}

指令預設： 本機閘道使用暫時的UDP埠透過UDP傳送請求。

指令模式： SIP UA 組態 (config-sip-ua)、語音類別租用戶組態 (config-class)

使用指南： 執行此指令可啟用使用監聽器埠透過UDP傳送請求。 一般非安全SIP的預設偵聽器埠為 5060，而安全SIP為 5061。 設定接聽埠 [非安全的|安全]埠語音服務 VoIP > sip 組態模式中的指令可變更全域UDP埠。

若要變更為應用程式分配的CPU配額或單位，請使用CPU在自訂應用程式資源設定檔組態模式中使用命令。 若要恢復為應用程式提供的CPU配額，請使用無此指令的格式。

CPU單位

無CPU單位

指令預設： 預設CPU取決於平台。

指令模式： 自訂應用程式資源設定檔組態 (config-app-resource-profile-custom)

使用指南： CPU單位是應用程式的最小CPU配額。 CPU單位總數基於為目標裝置測量的標準化CPU單位數。

在每個應用程式封裝中，都提供了應用程式特定的資源設定檔，該資源設定檔定義了建議的CPU負載、記憶體大小及應用程式所需的虛擬 CPU (vCPU) 數量。 使用此指令可變更自訂資源設定檔中特定流程的資源分配。

可透過設定自訂資源設定檔來變更應用程式封裝中指定的保留資源。 只能變更CPU、記憶體和 vCPU 資源。 要使資源變更生效，請停止並停用應用程式，然後啟動它並重新啟動。

資源值是特定於應用程式的，對這些值的任何調整都必須確保應用程式可以隨著變更可靠地執行。

若要Cisco IOS階段作業階段啟始通訊協定 (SIP)時分多址 (TDM) 閘道、 Cisco Unified Border Element (Cisco UBE) 或Cisco Unified Communications Manager Express (Cisco Unified CME) 以在位於以下位置時傳送SIP註冊訊息： UP 狀態，請使用憑證在SIP UA 組態模式或語音類別租用戶組態模式下使用命令。 若要停用SIP摘要憑證，請使用無此指令的格式。

憑證{ DHCP|號碼號碼使用者名稱使用者名稱}密碼{ 0| 6| 7 }密碼領域領域

無憑證{ DHCP|號碼號碼使用者名稱使用者名稱}密碼{ 0| 6| 7 }密碼領域領域

指令預設： SIP摘要憑證已停用。

指令模式： SIP UA 組態 (config-sip-ua) 和語音類別租用戶組態 (config-class)。

使用指南： 啟用憑證時，下列組態規則適用：

• 只有一個密碼適用於所有網域名稱。 新的設定密碼會覆寫任何先前設定的密碼。

• 密碼將一律以加密的格式顯示，憑證指令已設定，並且顯示執行-設定指令。

的DHCP指令中的關鍵字表示主要號碼是透過DHCP取得，且啟用該指令的Cisco IOS SIP TDM 閘道、 Cisco UBE 或Cisco Unified CME 會使用此號碼來註冊或取消註冊收到的主要號碼。

必須指定密碼的加密類型。 如果明文密碼（鍵入0 ) 時，則它會加密為類型6在將其儲存至執行設定之前。

若您將加密類型指定為6或7 ，會根據有效的類型檢查輸入的密碼6或7密碼格式並另存為類型6或7分別。

第 6 類密碼使用AES密碼和使用者定義的主金鑰進行加密。 這些密碼相對更安全。 主鍵從不顯示在設定中。 在不知道主鍵的情況下，鍵入6密碼無法使用。 如果主鍵已修改，則儲存為類型 6 的密碼會使用新的主鍵重新加密。 若主鍵設定已移除，則類型6無法解密密碼，這可能會導致通話和註冊的驗證失敗。

當備份設定或將設定移轉至另一裝置時，不會轉儲主鍵。 因此，必須手動再次設定主鍵。

若要設定加密的預先共用金鑰，請參閱設定加密的預先共用金鑰。

警告： 已將指令新增至使用類型 7 密碼的設定。 但是，類型 7 密碼很快將被棄用。 移轉至受支援的密碼類型 6。

在 YANG 中，您無法在兩個不同的領域中設定相同的使用者名稱。

若要指定將由Cisco Unified Border Element (CUBE) 在提供和接聽的 SDP 中提供的SRTP加密套件的喜好設定，請使用加密在語音類別組態模式中使用指令。 若要停用此功能，請使用無此指令的格式。

加密喜好設定加密套件

無加密喜好設定加密套件

指令預設： 若未設定此指令，預設行為是按以下偏好順序提供 srtp-cipher 套件：

• AEAD_ AES_ 256_ GCM

• AEAD_ AES_ 128_ GCM

• AES_CM_128_HMAC_SHA1_80

• AES_ CM_ 128_ HMAC_ SHA1_ 32

指令模式： 語音類別 srtp-crypto (組態類別)

使用指南： 若變更已設定密碼套件的喜好設定，則喜好設定會被覆寫。

若要產生 Rivest、Shamir 和 Adelman (RSA) 密鑰配對，請使用加密金鑰產生 rsa在全域組態模式中使用指令。

加密金鑰產生 rsa [ {通用鍵|使用鍵|簽署|加密} ] [標籤鍵標籤] [可匯出的] [模數模數-大小] [儲存裝置名稱： ] [備援開啟裝置名稱： ]

指令預設： RSA密鑰對不存在。

指令模式： 全域設定 (config)

使用指南： 使用加密金鑰產生 rsa命令為您的Cisco裝置（例如路由器）產生RSA密鑰配對。

RSA鑰成對產生 — 一個RSA公開金鑰和一個RSA私人金鑰。

如果在發出此指令時您的路由器已經具有RSA金鑰，則係統將會警告您並提示您用新金鑰取代現有的金鑰。

的加密金鑰產生 rsa命令未儲存在路由器設定中；但是，下次將設定寫入 NVRAM 時，此指令產生的RSA金鑰會儲存在 NVRAM 的私人設定中（從不向使用者顯示或備份到另一裝置）。

• 特殊用途鍵： 如果您產生特殊用途金鑰，將會產生兩對RSA金鑰。 一個配對將與任何指定RSA簽章作為驗證方法的網際網路金鑰交換 (IKE) 策略一起使用，另一個配對將與任何指定RSA加密金鑰作為驗證方法的 IKE 策略一起使用。

  CA 只能與指定RSA簽章的 IKE 策略一起使用，而不能與指定RSA加密的隨機數的 IKE 策略一起使用。 （但是，您可以指定多個 IKE 策略，並在一個策略中指定RSA簽章，在另一個策略中指定RSA加密的隨機數。）

  若您計劃在 IKE 策略中同時使用這兩種RSA驗證方法，您可能希望產生特殊用途金鑰。 有了特殊用途的金鑰，就不會不必要地暴露每個金鑰。 （如果沒有特殊用途的金鑰，則會將一個金鑰用於兩種驗證方法，從而增加該金鑰的曝光）。

• 通用鍵： 如果您產生通用金鑰，則只會產生一對RSA金鑰。 此配對將與指定RSA簽章或RSA加密金鑰的 IKE 策略一起使用。 因此，通用金鑰對的使用頻率可能比特殊用途金鑰對的使用頻率高。

• 指定的金鑰對： 若您使用密鑰標籤參數產生命名密鑰對，您還必須指定使用鍵關鍵字或通用鍵關鍵字。 指定的金鑰配對允許您擁有多個RSA金鑰配對，從而使Cisco IOS軟體能夠為每個身分憑證維護不同的金鑰配對。

• 模數長度： 當您產生RSA鑰時，系統將提示您輸入模數長度。 模數越長，安全性越強。 但是，更長的模塊需要更長的時間來生成（請參閱下表以了解採樣時間）並且需要更長的時間來使用。

  表格 2. 依模數長度生成RSA鑰的採樣時間

  路由器	360 位元	512 位元	1024 位元	2048 位元（最大）
  Cisco 2500	11 秒	20 秒	4 分 38 秒	超過 1 小時
  Cisco 4700	不到 1 秒	1 秒	4 秒	50 秒

  Cisco IOS軟體不支援大於 4096 位元的模數。 一般不建議長度小於 512 位元。 在某些情況下，較短的模數可能無法在 IKE 中正常運作，因此我們建議使用 2048 位元的最小模數。

  當密碼硬體產生RSA鑰時，可能適用其他限制。 例如，當Cisco VPN服務埠配接器 (VSPA) 產生RSA金鑰時， RSA金鑰模數必須至少為 384 位元，且必須是 64 的倍數。

• 指定RSA鑰的儲存位置： 當您發出加密金鑰產生 rsa命令與儲存裝置名稱：關鍵字及參數， RSA金鑰將儲存在指定裝置上。 此位置將取代任何加密金鑰儲存指令設定。

• 指定用於RSA鑰產生的裝置： 您可以指定產生RSA金鑰的裝置。 支援的裝置包括 NVRAM、本機磁碟和USB權杖。 如果您的路由器已設定且可用的USB權杖，則USB權杖除可用作儲存裝置外，還可用作密碼裝置。 使用USB權杖作為密碼裝置，可在權杖上執行RSA操作，例如金鑰產生、簽署和憑證驗證。 私密金鑰永不離開USB權杖，且無法彙出。 公鑰是可匯出的。

  可在已設定且可用的USB權杖上生成RSA密鑰，方法是使用開啟裝置名稱：關鍵字和參數。 駐留在USB權杖上的金鑰在產生時會儲存到永久權杖儲存體中。 可在USB權杖上產生的金鑰數目受可用空間的限制。 如果您嘗試在USB權杖上產生金鑰，且該金鑰已滿，您將收到下列訊息：

  % Error in generating keys:no available resources 

  刪除金鑰將立即從持續性儲存體中移除儲存在權杖上的金鑰。 （未駐留在權杖上的金鑰將儲存到非權杖儲存位置或從非權杖儲存位置刪除，當複製或類似的指令）。

• 在裝置上指定RSA鑰備援產生： 僅在現有金鑰可匯出時，您才能為現有金鑰指定備援。

若要驗證憑證授權單位 (CA)（透過取得 CA 憑證），請使用加密pki驗證在全域組態模式中使用指令。

加密pki驗證名稱

指令預設： 無預設行為或值。

指令模式： 全域設定 (config)

使用指南： 當您最初在路由器上設定 CA 支援時，需要此指令。

此指令透過取得包含 CA 公開金鑰的 CA 的自我簽署憑證，向路由器驗證 CA。 因為 CA 簽署自己的憑證，所以當您輸入此指令時，您應該聯絡 CA 管理員來手動驗證 CA 的公開金鑰。

若您使用的是路由器通告 (RA) 模式（使用註冊命令） 當您發出加密pki驗證命令，則將從 CA 和CA 憑證。

此指令不會儲存到路由器設定中。 但是。收到的 CA（和 RA）憑證中內嵌的公開金鑰會儲存到設定中，作為 Rivest、Shamir 和 Adelman (RSA) 公開金鑰記錄（稱為「RSA公開金鑰鏈」）的一部分。

若在發出此指令後，CA 未在逾時期間內作出回應，則將返回終端控制權，使其保持可用。 如果發生這種情況，您必須重新輸入指令。 Cisco IOS軟體將無法識別設定為 2049 年之後的CA 憑證到期日期。 如果CA 憑證的有效期設定在 2049 年之後到期，則嘗試使用 CA 伺服器進行驗證時，將顯示以下錯誤訊息： 擷取憑證時發生錯誤：鏈結不完整 如果您收到與此類似的錯誤訊息，請檢查CA 憑證的到期日。 如果CA 憑證的到期日設定在 2049 年之後，您必須將到期日縮短一年或更長。

若要透過TFTP手動匯入憑證或在終端上以剪切並貼的形式匯入，請使用加密pki匯入在全域組態模式中使用指令。

加密pki匯入名稱憑證

指令預設： 無預設行為或值

指令模式： 全域設定 (config)

使用指南： 您必須輸入crypto pki 匯入如果使用了用法金鑰（簽名和加密金鑰），則命令兩次。 第一次輸入該指令時，其中一個憑證會貼至路由器；第二次輸入該指令時，會將另一個憑證貼至路由器。 （首先貼上哪個憑證都沒有關係。）

若要聲明您的路由器應使用的信任點，請使用加密pki信任點在全域組態模式中使用指令。 若要刪除與信任點關聯的所有身分資訊和憑證，請使用無此指令的格式。

加密pki信任點名稱備援

無加密pki信任點名稱備援

指令預設： 在您使用此指令宣布信任點之前，路由器不會識別任何信任點。 您的路由器在與線上憑證狀態通訊協定 (OCSP) 伺服器通訊期間使用您網路中的設定的唯一標識符。

指令模式： 全域設定 (config)

使用指南：

宣告信任點

使用加密pki信任點命令來聲明信任點，該信任點可以是自我簽署的根憑證授權單位 (CA) 或從屬 CA。 發出加密pki信任點命令會將您置於 ca-trustpoint 組態模式。

您可以使用下列子指令來指定信任點的特徵：

• 嚗- 查詢憑證撤銷清單 (CRL) 以確保對等的憑證尚未被撤銷。

• 預設（ca 信任點） - 將 ca-trustpoint 組態模式子命令的值重設為其預設值。

• 註冊- 指定註冊參數（選用）。

• 註冊http Proxy - 透過代理伺服器以 HTTP 存取 CA。

• 註冊自我簽署- 指定自我簽署註冊（選用）。

• 相符憑證- 將定義的基於憑證的存取控制清單 (ACL) 與加密大約憑證地圖命令。

• ocsp停用隨機數- 指定您的路由器在 OCSP 通訊期間不傳送唯一標識符或隨機數。

• 主要的- 將指定的信任點指定為路由器的主要信任點。

• 根- 定義TFTP以取得CA 憑證，並指定伺服器的名稱和將儲存CA 憑證的檔案的名稱。

指定唯一標識符的使用

當使用 OCSP 作為撤銷方法時，在與 OCSP 伺服器進行對等通訊期間，預設會傳送唯一標識符或 nonces。 在 OCSP 伺服器通訊期間使用唯一標識符可實現更安全可靠的通訊。 但是，並非所有 OCSP 伺服器都支援使用獨特的義齒，請參閱 OCSP 手冊以獲取更多資訊。 若要在 OCSP 通訊期間停用唯一標識符的使用，請使用ocsp停用隨機數子指令。

若要手動將憑證授權單位 (CA) 憑證組合匯入（下載）到公開金鑰基礎結構 (PKI) 信任集區以更新或取代現有的 CA 組合，請使用crypto pki 信任集區匯入在全域組態模式中使用指令。 若要移除任何已設定的參數，請使用無此指令的格式。

加密pki信任集區匯入乾淨的[終端|網址網址]

無加密pki信任集區匯入乾淨的[終端|網址網址]

指令預設： PKI 信任集區功能已啟用。 路由器使用 PKI 信任集區中的內建CA 憑證組合，該組合可從Cisco自動更新。

指令模式： 全域設定 (config)

安全威脅以及協助防禦威脅的密碼技術正在不斷變化。 如需最新Cisco密碼編譯建議的相關資訊，請參閱新一代加密(NGE) 白皮書。

PKI 信任集區憑證會從Cisco自動更新。 當 PKI 信任集區憑證不是最新時，請使用crypto pki 信任集區匯入命令，從其它位置更新它們。

的網址參數指定或變更 CA 的URL檔案系統。 下表列出了可用的URL檔案系統。

表 3. URL檔案系統

檔案系統	說明
歸檔：	從歸檔檔案系統匯入。
cns：	從叢集命名空間 (CNS) 檔案系統匯入。
磁碟 0：	從 disc0 檔案系統匯入。
磁碟 1：	從 disc1 檔案系統匯入。
FTP：	從FTP檔案系統匯入。
http:	從 HTTP 檔案系統匯入。 URL必須採用下列格式： http:// CA名稱：80 ，其中CAname是網域名稱系統 (DNS) http:// ipv4 位址：80。 譬如： http://10.10.10.1:80. http:// [ipv6 位址]：80 。 譬如： http://[2001:DB8:1:1::1]:80。 IPv6 位址採用十六進製表示法，且必須在URL中用方括號括起來。
https：	從 HTTPS 檔案系統匯入。 URL必須使用與 HTTP 相同的格式： 檔案系統格式。
空值：	從空檔案系統匯入。
NVRAM：	從 NVRAM 檔案系統匯入。
嬰兒車：	從參數隨機存取記憶體 (PRAM) 檔案系統匯入。
rcp：	從遠端複製通訊協定 (rcp) 檔案系統匯入。
scp：	從安全複製通訊協定 (scp) 檔案系統匯入。
snmp：	從簡單網路管理通訊協定 (SNMP) 匯入。
系統：	從系統檔案系統匯入。
焦油：	從 Unix Tar 檔案系統匯入。
TFTP：	從TFTP檔案系統匯入。   URL必須位於來自： tftp:// CA 名稱/檔案規格。
tmpsys：	從Cisco IOS tmpsys 檔案系統匯入。
unix：	從 Unix 檔案系統匯入。
xmodem：	從 xmodem 簡單檔案傳輸通訊協定係統匯入。
y 調製解調器：	從 ymodem 簡單檔案傳輸通訊協定係統匯入。

若要識別信任點信任點名稱在與遠端裝置位址相對應的傳輸層安全性性 (TLS ) 握手期間使用的關鍵字和參數，請使用加密訊號SIP 使用者值機員(UA) 組態模式中的指令。 若要重設為預設值信任點字串，請使用無此指令的格式。

加密訊號{預設|遠端地址ip 位址子網路遮罩} [ tls 設定檔標記|信任點信任點名稱] [ cn-san-驗證伺服器] [用戶端-vtp信任點名稱] [ ecdsa 加密|曲線大小 384|嚴格密碼]

無加密訊號{預設|遠端地址ip 位址子網路遮罩} [ tls 設定檔標記|信任點信任點名稱] [ cn-san-驗證伺服器] [用戶端-vtp信任點名稱] [ ecdsa 加密|曲線大小 384|嚴格密碼]

指令預設： 加密訊號傳遞指令已停用。

指令模式： SIP UA 組態 (sip-ua)

使用指南： 的信任點信任點名稱關鍵字和參數是指作為使用Cisco IOS PKI 指令的註冊過程的一部分產生的 CUBE 憑證。

當設定了單一憑證時，所有遠端裝置都會使用該憑證，並由預設關鍵字。

使用多個憑證時，可能會使用遠端地址每個信任點的參數。 的遠端地址和 預設 參數可根據需要一起使用，以涵蓋所有服務。

在這種情況下，預設密碼套件是 CUBE 上的SSL層所支援的下列集合： TLS_ RSA_有了_RC4_ 128_ MD5 TLS_ RSA_有了_AES_ 128_ CBC_ SHA TLS_ DHE_ RSA_有了_AES_ 128_ CBC_ SHA1 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ ECDHE_ RSA_有了_AES_ 256_ GCM_ SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ ECDHE_ ECDSA_有了_AES_ 256_ GCM_ SHA384

關鍵字cn-san-驗證伺服器在建立用戶端SIP/ TLS連線時，透過憑證中的 CN 和 SAN 欄位啟用伺服器身分驗證。 驗證伺服器憑證的 CN 和 SAN 欄位可確保伺服器端網域是有效的實體。 當建立與SIP伺服器的安全連線時，CUBE 會在建立TLS之前，根據伺服器憑證中的 CN/SAN 欄位驗證設定的階段作業目標網域名稱。 一旦您設定cn-san-驗證伺服器，則每個新的TLS連線都會驗證伺服器身分。

的tls 設定檔選項將透過關聯進行的TLS策略設定關聯語音類別 tls 設定檔設定。 除了TLS策略選項之外，加密訊號指令，一個tls 設定檔還包括監視傳送選項。

監視傳送啟用伺服器名稱指示 (SNI)，這是一個TLS擴充功能，可讓TLS用戶端指出它在初始TLS握手過程期間嘗試連線的伺服器的名稱。 僅伺服器的完整DNS主機名稱會在用戶端問候語中傳送。 SNI 不支援在用戶端問候語擴充功能中使用IPv4和IPv6位址。 從TLS用戶端收到帶有伺服器名稱的「問候語」後，伺服器會在後續的TLS握手過程中使用適當的憑證。 SNI 需要TLS 1.2 版。

TLS策略功能將只能透過以下方式使用：語音類別 tls 設定檔設定。 的加密訊號命令繼續支援先前存在的TLS加密選項。 您可以使用語音類別 tls 設定檔標記或加密訊號指令以設定信任點。 我們建議您使用語音類別 tls 設定檔標記命令來執行TLS檔組態。