Inhaltsverzeichnis
Werbung
HTTPS-Clientfilterung und dynamischer Inhalt
Der Server benötigt ein Clientzertifikat, um das Cisco IP Phone zu authentifizieren, bevor er die
Verbindungsanforderung akzeptiert.
Deswegen kann die Resynchronisierung mit einem Browser, der nicht über die richtigen Anmeldeinformationen
verfügt, nicht unabhängig getestet werden. Der SSL-Schlüsselaustausch in der HTTPS-Verbindung zwischen
dem Cisco IP Phone-Testgerät und dem Server kann mit dem Utility ssldump beobachtet werden. Das Utility
trace zeigt die Interaktion zwischen Client und Server.
Übung: HTTPS mit Clientzertifikatauthentifizierung
Verfahren
Schritt 1
Aktivieren Sie die Clientzertifikatauthentifizierung auf dem HTTPS-Server.
Schritt 2
Legen Sie in Apache (v.2) folgende Einstellung in der Serverkonfigurationsdatei fest:
SSLVerifyClient
Stellen Sie außerdem sicher, dass die Datei „spacroot.cert" so gespeichert wurde, wie in der Übung
Grundlegende HTTPS-Resynchronisierung, auf Seite 54
Schritt 3
Starten Sie den HTTPS-Server neu, und beachten Sie den Syslog-Trace des Cisco IP Phones.
Bei jeder Resynchronisierung mit dem Server wird jetzt eine symmetrische Authentifizierung durchgeführt,
sodass das Serverzertifikat und das Clientzertifikat überprüft werden, bevor das Profil übertragen wird.
Schritt 4
Erfassen Sie mit ssldump eine Resynchronisierungsverbindung zwischen dem Cisco IP Phone und dem
HTTPS-Server.
Wenn die Überprüfung des Clientzertifikats auf dem Server ordnungsgemäß aktiviert ist, zeigt die
ssldump-Ablaufverfolgung den symmetrischen Austausch der Zertifikate (zuerst vom Server an den Client
und anschließend vom Client an den Server), bevor die verschlüsselten Pakete, die das Profil enthalten,
übertragen werden.
Wenn die Clientauthentifizierung aktiviert ist, kann nur ein Cisco IP Phone mit einer MAC-Adresse, die einem
gültigen Clientzertifikat entspricht, das Profil vom Bereitstellungsserver anfordern. Der Server lehnt
Anforderungen von einem normalen Browser oder anderen nicht autorisierten Geräten ab.
HTTPS-Clientfilterung und dynamischer Inhalt
Wenn der HTTPS-Server so konfiguriert ist, dass ein Clientzertifikat erforderlich ist, identifizieren die
Informationen im Zertifikat das resychronisierende Cisco IP Phone und liefern die richtigen
Konfigurationsinformationen.
Der HTTPS-Server macht die Zertifikatinformationen für CGI-Skripts (oder kompilierte CGI Programme)
verfügbar, die als Bestandteil der Resynchronisierungsanforderung aufgerufen werden. Zur Veranschaulichung
wird in dieser Übung die Open Source-Skriptsprache Perl verwendet und davon ausgegangen, dass Apache
(v.2) als HTTPS-Server verwendet wird.
Cisco IP Conference Phone 7832-Multiplattform-Telefone Bereitstellungshandbuch
56
require
Bereitstellungsbeispiele
gezeigt.
Werbung
Kapitel
Inhaltsverzeichnis
