Outre l’enregistrement de certificat SCEP par les configurations manuelles sur la page Web du téléphone, vous pouvez également utiliser l’option DHCP 43 pour renseigner les paramètres à partir d’un serveur DHCP. L’option DHCP 43 est préconfigurée avec les paramètres SCEP ; plus tard, le téléphone peut récupérer les paramètres sur le serveur DHCP pour effectuer l’enregistrement du certificat SCEP.

Remarque

La configuration des paramètres SCEP via l’option DHCP 43 n’est disponible que pour le téléphone sur lequel une réinitialisation d’usine est effectuée. Les téléphones ne doivent pas être placés dans le réseau qui prend en charge à la fois l’option 43 et la mise à disposition à distance (par exemple, les options 66, 160, 159, 150 ou la mise à disposition dans le cloud). Sinon, les téléphones risquent de ne pas obtenir les configurations Option 43.

Pour inscrire un certificat SCEP en configurant les paramètres SCEP dans l’option DHCP 43, procédez comme suit :

1. Préparer un environnement SCEP.

   Pour plus d’informations sur la configuration de l’environnement SCEP, consultez la documentation de votre serveur SCEP.

2. Configurez l’option DHCP 43 (définie dans 8.4 Vendor Specific Information, RFC 2132).

   Les sous-options (10 à 15) sont réservées à la méthode :

   Paramètre sur la page Web du téléphone	Sous-option	Type	Longueur (octet)	Mandatory
   Mode FIPS	10	booléen	1	Non
   Serveur	11	chaîne	La longueur maximale du serveur + du mot de passe de vérification doit être inférieure à 208 octets.	Oui
   Empreinte digitale de l’autorité de certification racine	12	binaire	20 (SHA-1) ou 32 (SHA-256)	Oui
   Mot de passe de vérification	13	chaîne	La longueur maximale du serveur + du mot de passe de vérification doit être inférieure à 208 octets.	Non
   Enable 802.1X Authentication	14	booléen	1	Non
   Sélection de certificat	15	Non signé 8 bits	1	Non

   Lorsque vous utilisez l’option DHCP 43, notez les caractéristiques suivantes de la méthode :

   • Les sous-options (10 à 15) sont réservées aux certificats de périphérique personnalisé (CDC).

   • La longueur maximale de l’option DHCP 43 est de 255 octets.

   • La valeur du mode FIPS doit être cohérente avec la configuration de mise à disposition de l’intégration. Sinon, le téléphone ne parvient pas à récupérer le certificat précédemment installé après l’intégration. Plus précisément,

     • Si le téléphone est enregistré dans un environnement où le mode FIPS est désactivé, vous n’avez pas besoin de configurer le paramètre Mode FIPS dans l’option DHCP 43. Par défaut, le mode FIPS est désactivé.

     • Si le téléphone sera enregistré dans un environnement où le mode FIPS est activé, vous devez activer le mode FIPS dans l’option DHCP 43. Voir Activer le mode FIPS pour plus de détails.

   • Le mot de passe de l’option 43 est en texte clair.

     Si le mot de passe de défi est vide, le téléphone utilise MIC/SUDI pour l’inscription initiale et le renouvellement du certificat. Si le mot de passe de défi est configuré, il n’est utilisé que pour l’inscription initiale et le certificat installé sera utilisé pour le renouvellement du certificat.

   • Activer l’authentification 802.1X et la sélection de certificat sont utilisés uniquement pour les téléphones en réseau filaire.

   • L’option DHCP 60 (Vendor Class Identifier) est utilisée pour identifier le modèle de périphérique.

   Le tableau suivant fournit un exemple de l’option DHCP 43 (sous-options 10 à 15) :

   Sous-option décimale/hexadécimale	Longueur de la valeur (octet) décimale/hexadécimale	Valeur	Valeur hexadécimale
   10/0a	1/01	1 (0 : Désactivé ; 1 : Activé)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1 (0 : Non ; 1 : Oui)	01
   15/0f	1/01	1 (0 : Installé en usine ; 1 : Installé par l’utilisateur)	01

   Résumé des valeurs des paramètres :

   • Mode FIPS = Activé

   • Serveur = http://10.79.57.91

   • Empreinte de l’autorité de certification racine = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • Mot de passe de vérification = D233CCF9B9952A15

   • Activer l’authentification 802.1X = Oui

   • Sélection du certificat = Personnalisé installé

   La syntaxe de la valeur hexadécimale finale est la suivante : {<suboption><length><value>}...

   Selon les valeurs des paramètres ci-dessus, la valeur hexadécimale finale est la suivante :

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. Configurez l’option DHCP 43 sur un serveur DHCP.

   Remarque

   Cette étape fournit un exemple de configuration de l’option DHCP 43 sur Cisco Network Register.

   1. Ajoutez l’ensemble de définitions d’options DHCP.

      La chaîne d’options du fournisseur est le nom du modèle des téléphones IP. Par exemple, CP-8865-3PCC, CP-8832-3PCC, etc.

   2. Ajoutez l’option DHCP 43 et les sous-options à l’ensemble de définition des options DHCP.

      Par exemple :

      

   3. Ajoutez l’option 43 à la stratégie DHCP et définissez la valeur comme suit :

      Par exemple :

      (10 1)(11 http ://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. Vérifiez les paramètres. Vous pouvez utiliser Wireshark pour capturer une trace du trafic réseau entre le téléphone et le service.

4. Réinitialisez le téléphone aux valeurs d’usine.

   Une fois le téléphone réinitialisé, les paramètres Serveur, Empreinte CA racine et Mot de passe de vérification seront renseignés automatiquement. Ces paramètres se trouvent dans la section Configuration SCEP 1 de Certificat > Personnalisé sur la page web d’administration du téléphone.

   Pour vérifier les détails du certificat installé, cliquez sur Afficher dans la section Certificats existants.

   Pour vérifier le statut d’installation du certificat, sélectionnez Certificat > Statut personnalisé du certificat . Le statut de téléchargement 1 indique le dernier résultat. Si un problème survient lors de l’enregistrement du certificat, l’état de téléchargement peut indiquer la raison du problème à des fins de dépannage.

   Remarque

   Si l’authentification par mot de passe échoue, les utilisateurs seront invités à saisir le mot de passe sur l’écran du téléphone.

5. Facultatif : Pour supprimer le certificat installé du téléphone, cliquez sur Supprimer dans la section Certificats existants.

   Remarque

   Une fois que vous avez cliqué sur le bouton, l’opération de suppression commence immédiatement sans confirmation.

Le certificat de l’appareil peut être actualisé automatiquement par le processus SCEP.

• Le téléphone vérifie si le certificat expire dans 15 jours toutes les 4 heures. Si tel est le cas, le téléphone démarre automatiquement le processus de renouvellement du certificat.

• Si le mot de passe de défi est vide, le téléphone utilise MIC/SUDI pour l’inscription initiale et le renouvellement du certificat. Si le mot de passe de défi est configuré, il est utilisé uniquement pour l’inscription initiale, le certificat existant/installé est utilisé pour le renouvellement du certificat.

• Le téléphone ne supprime pas l’ancien certificat d’appareil tant qu’il n’a pas récupéré le nouveau.

• Si le renouvellement du certificat échoue parce que le certificat de l’appareil ou l’autorité de certification expire, le téléphone déclenche automatiquement l’inscription initiale. En attendant, si l’authentification par mot de passe échoue, un écran de saisie de mot de passe s’affiche sur l’écran du téléphone et les utilisateurs sont invités à saisir le mot de passe sur le téléphone.