Ofrecer certificado

Predeterminado = Activado.

Este es un valor fijo con fines indicativos solamente. Esto establece si el sistema ofrecerá un certificado en el intercambio TLS.

Ofrecer cadena de certificado de Id.

Predeterminado = Activado

Cuando esta opción está habilitada, IP Office anuncia una cadena de certificados durante el establecimiento de la sesión TLS.

• La cadena de certificados comienza con el certificado de identidad del sistema

• Luego agrega cualquier certificado que encuentre en su almacén de certificados de confianza con el mismo Common Name en su campo Subject Distinguished Name.

• Si el certificado CA Root se encuentra en el almacén de certificados de confianza, eso también se incluye en la cadena de certificados.

• Se admite un máximo de seis certificados en la cadena de certificados.

Emitido para

Predeterminado = Certificado de identidad de IP Office.

Solo para fines informativos. E nombre común del emisor en el certificado.

Días de advertencia de caducidad del certificado

Predeterminado = 60, Rango = 30 a 180

IP Office Manager puede mostrar una advertencia cuando el certificado de seguridad de un sistema está a punto de caducar. Esta configuración se usa para establecer el desencadenante de advertencias de certificado.

Administración automática de certificados

Predeterminado = Desactivado

Compatible únicamente con los sistemas en modo de suscripción. Cuando esta opción está habilitada, el sistema utiliza un certificado de identidad suministrado por COM junto con una copia del certificado raíz COM. El mantenimiento y la renovación de este certificado de identidad y su cadena de confianza se realizan automáticamente.

Origen de detalles SAN

Si el certificado de identidad emitido al sistema por COM necesita incluir cualquier valor de nombre alternativo de asunto específico de la ubicación, este campo puede utilizarse para definir esos valores.

• Migrar del certificado de Id. existente: cuando genera un nuevo certificado para el sistema, utilice los detalles de SAN de su certificado de identidad existente.

• Generar a partir de la configuración de LAN actual: cuando genere un certificado nuevo, cree los detalles de SAN a partir de la configuración LAN y SIP existente del sistema.

Aprovisionamiento automático de teléfono

Predeterminado = Habilitado

Esta opción adicional es compatible cuando se utiliza Administración automática de certificados. Cuando esta opción está habilitada, los certificados de teléfono en teléfonos que admiten la descarga de certificados se actualizan automáticamente cuando se actualiza el certificado de identidad del sistema.

• Los teléfonos nuevos y predeterminados obtienen el certificado usando la confianza normal en el primer proceso de uso.

• Cuando ocurre una actualización, el archivo 46xxsettings.txt se actualiza para incluir detalles de ambos certificados. Después de un reinicio, los teléfonos recuperan el certificado nuevo usando los detalles del certificado anterior.

Establecer

Usar Establecer le permite cargar un certificado de identidad y su clave privada asociada.

• Este control no se muestra para los sistemas en modo de suscripción que usan Administración automática de certificados.

El IP Office admite lo siguiente:

• Teclas RSA de 1024, 2048 y 4096 bits. El uso de las claves RSA de 4096 puede afectar el rendimiento del sistema.

• Algoritmos de firma SHA-1, SHA-256, SHA-384 y SHA-512. El uso de un tamaño de firma mayor que SHA-256 puede afectar el rendimiento del sistema.

El origen puede ser:

• Depósito actual de certificados de usuario.

• Depósito de certificados de la máquina local.

• Archivo en formato PKCS#12.

  • Pegado desde el portapapeles con el formato PEM, incluso texto de encabezado y pie de página. Se debe utilizar este método para archivos PEM (.cer) y archivos PEM (.cer) protegidos por contraseña. El certificado de identidad requiere el certificado y también la clave privada. El formato CER no contiene la clave privada. Para estos tipos de archivos, seleccione Pegar desde portapapeles y luego copie el texto del certificado y el texto de la clave privada en la ventana Captura de texto del certificado.

Uso de un archivo como origen del certificado

En Manager, cuando se utiliza la opción de archivo, el archivo importado (.p12, .pfx o .cer) solo puede contener la clave privada y los datos del certificado de identidad. No puede contener certificados Intermediate CA o el certificado Root CA. Los certificados Intermediate CA o el certificado Root CA se deben importar por separado en el depósito de certificados de confianza de IP Office. Esto no se aplica a Web Manager.

Ver

Muestra detalles del certificado de identidad actual. El menú de vista de certificado también puede utilizarse para instalar el certificado (pero no su clave privada) en el almacén de certificados local de la PC que lo visualiza. Esto puede ser utilizado por la PC para una conexión segura al sistema o para exportar el certificado desde la PC.

Regenerar

Este comando genera un nuevo certificado de identidad:

• Para los sistemas que utilizan el certificado de identidad autofirmado generado por el propio sistema, este comando genera un reemplazo para el certificado de identidad actual.

• Para los sistemas en modo de suscripción, este comando solicita un certificado de identidad de reemplazo de COM. De manera alternativa, puede utilizarse para solicitar un certificado de identidad para otro servidor.

Cuando se hace clic, la ventana Regenerar certificado le solicita que ingrese los valores en la siguiente tabla.

Días de advertencia de caducidad del certificado

Predeterminado = 60. Rango = 30 a 180 días.

Establezca el número de días antes del vencimiento de cualquier certificado almacenado, momento en el cual IP Office Manager, IP Office Web Manager y System Status Application mostrarán advertencias.

Utilizar un certificado diferente para telefonía SIP

Predeterminado = Ninguno

La configuración posible es Ninguno/a, Líneas troncales SIP o Líneas troncales SIP y SM, teléfonos SIP.

• Cuando se establece a Ninguno/a, todas las comunicaciones de telefonía seguras utilizan el certificado de identidad y las configuraciones predeterminadas del sistema.

• Cuando se configura en cualquier otra opción, se muestra un conjunto adicional de opciones similares a las que se muestran para la sección Certificado de identidad. Estas pueden utilizarse para definir el certificado que se utiliza para comunicaciones de telefonía seguras. El certificado que se debe usar se carga al almacén de certificados del sistema usando el botón Establecer.

Verificaciones de certificados recibidas (Interfaces de administración)

Predeterminado = Ninguna.

Esta configuración se utiliza para conexiones de administración HTTPS/TLS al sistema por aplicaciones como IP Office Manager cuando el Nivel de seguridad de servicio del servicio que se utiliza está configurado en Alto.

El certificado recibido es comprobado de la siguiente manera:

• Ninguno/a: el certificado debe estar en fecha. No se realizan verificaciones adicionales.

• Bajo: como se mencionó anteriormente, pero también:

  • Verifique que la clave pública del certificado sea de 1024 bits o superior.

• Medio: como se mencionó anteriormente, pero también:

  • Verifique que haya una cadena de confianza desde el depósito de certificados de confianza (TCS) hasta la autoridad de certificación (CA) raíz.

  • Para IP Office R11.1.3 y versiones posteriores:

    • Verifique que el certificado tenga un uso clave definido.

    • Si el certificado tiene una configuración de uso clave extendida, verifique que coincida con el propósito para el cual se utiliza el certificado.

    • Verifique que el certificado no incluya extensiones desconocidas marcadas como críticas.

    • Nota: Para sistemas actualizados a R11.1.3, estas verificaciones adicionales solo se utilizan después de cambiar la configuración existente. Por ejemplo, cambió de Medio a Alto y luego volvió a Medio. Avaya se recomienda realizar un respaldo de la configuración antes de realizar cualquier cambio.

• Alto: esta configuración permite la implementación de un dominio de confianza estricto donde solo se aceptan certificados conocidos. Esta es una forma de “anclaje de certificados” y supera la limitación de los PKI de estructura de árbol estándar donde cualquier certificado emitido por la CA raíz siempre es de confianza. Alto utiliza las mismas verificaciones que Medio, más:

  • Verifique que la clave pública del certificado sea de 2048 bits o superior

  • Verifique que el certificado no sea un certificado autofirmado.

  • No se refleja.

  • Verifique que haya una copia del certificado en el depósito de certificados de confianza del IP Office sistema.

• Medio y verificaciones remotas: utilice las mismas verificaciones que Medio, más lo siguiente:

  • Para realizar la validación del nombre de host, verifique que una de las entradas SAN coincida con el FQDN de la conexión. Si es necesario, la entrada SAN utilizada puede ser una dirección IP.

  • Para SIP, verifique que el origen del certificado sea autorizado para el dominio SIP según RFC5922.

• Alto y verificaciones remotas: utilice las mismas verificaciones que Alto, más las mismas verificaciones adicionales que Medio y verificaciones remotas.

Verificaciones de certificados recibidas (Terminales de telefonía)

Predeterminado = Ninguna.

Esta configuración establece cómo IP Office valida el certificado de identidad que recibe para las conexiones de telefonía TLS.

• No se instala un certificado de identidad en todos los teléfonos SIP. Por lo tanto, para SIP, IP Office no solicita un certificado de cliente de teléfonos SIP; únicamente de líneas troncales SIP y SM.

El certificado recibido es comprobado de la siguiente manera:

• Ninguno/a: el certificado debe estar en fecha. No se realizan verificaciones adicionales.

• Bajo: como se mencionó anteriormente, pero también:

  • Verifique que la clave pública del certificado sea de 1024 bits o superior.

• Medio: como se mencionó anteriormente, pero también:

  • Verifique que haya una cadena de confianza desde el depósito de certificados de confianza (TCS) hasta la autoridad de certificación (CA) raíz.

  • Para IP Office R11.1.3 y versiones posteriores:

    • Verifique que el certificado tenga un uso clave definido.

    • Si el certificado tiene una configuración de uso clave extendida, verifique que coincida con el propósito para el cual se utiliza el certificado.

    • Verifique que el certificado no incluya extensiones desconocidas marcadas como críticas.

    • Nota: Para sistemas actualizados a R11.1.3, estas verificaciones adicionales solo se utilizan después de cambiar la configuración existente. Por ejemplo, cambió de Medio a Alto y luego volvió a Medio. Avaya se recomienda realizar un respaldo de la configuración antes de realizar cualquier cambio.

• Alto: esta configuración permite la implementación de un dominio de confianza estricto donde solo se aceptan certificados conocidos. Esta es una forma de “anclaje de certificados” y supera la limitación de los PKI de estructura de árbol estándar donde cualquier certificado emitido por la CA raíz siempre es de confianza. Alto utiliza las mismas verificaciones que Medio, más:

  • Verifique que la clave pública del certificado sea de 2048 bits o superior

  • Verifique que el certificado no sea un certificado autofirmado.

  • No se refleja.

  • Verifique que haya una copia del certificado en el depósito de certificados de confianza del IP Office sistema.

• Medio y verificaciones remotas: utilice las mismas verificaciones que Medio, más lo siguiente:

  • Para realizar la validación del nombre de host, verifique que una de las entradas SAN coincida con el FQDN de la conexión. Si es necesario, la entrada SAN utilizada puede ser una dirección IP.

  • Para SIP, verifique que el origen del certificado sea autorizado para el dominio SIP según RFC5922.

• Alto y verificaciones remotas: utilice las mismas verificaciones que Alto, más las mismas verificaciones adicionales que Medio y verificaciones remotas.

Nivel de seguridad H.323

Predeterminado = Alto (Medio para sistemas IP500 y actualización de sistemas a R11.1.3 o versiones posteriores).

Establece la potencia de cifrado mínima que IP Office acepta en conexiones TLS para teléfonos y líneas troncales H.323. No se utiliza para clientes donde los cifrados están habilitados y se eligen según la oferta del servidor TLS.

• Esta configuración reemplaza el NUSM CIPHER_LEVELS_H232 que utilizan los sistemas R11.1.2.x.

• Para obtener más detalles, consulte el manual Avaya Pautas de seguridad de IP Office™ Platform.

• Bajo (0): acepte cifrados de baja, media y alta potencia. Baja y media en sistemas IP500 V2.

• Medio (1): acepte cifrados de media y alta potencia. Media en sistemas IP500 V2.

• Alto (2): acepte cifrados de alta potencia. No compatible con sistemas IP500 V2.

  • Para obtener una lista de cifrados, consulte Avaya Pautas de seguridad de IP Office™ Platform.

  • Los cifrados de alta potencia son cifrados GCM. Estos no son compatibles con ningún modelo del sistema IP500 V2.

Nivel de sesguridad SIP

Predeterminado = Alto (Medio para sistemas IP500 V2 y sistemas actualizados a R11.1.3 o versiones posteriores).

Establece la potencia de cifrado mínima que IP Office acepta en conexiones TLS para líneas troncales y teléfonos SIP. No se utiliza para clientes donde los cifrados están habilitados y se eligen según la oferta del servidor TLS.

• Esta configuración reemplaza el NUSN CIPHER_LEVELS_SIP que utilizan los sistemas R11.1.2.x.

• Para obtener más detalles, consulte el manual Avaya Pautas de seguridad de IP Office™ Platform.

• Bajo (0): acepte cifrados de baja, media y alta potencia. Baja y media en sistemas IP500 V2.

• Medio (1): acepte cifrados de media y alta potencia. Media en sistemas IP500 V2.

• Alto (2): acepte cifrados de alta potencia. No compatible con sistemas IP500 V2.

  • Para obtener una lista de cifrados, consulte Avaya Pautas de seguridad de IP Office™ Platform.

  • Los cifrados de alta potencia son cifrados GCM. Estos no son compatibles con ningún modelo del sistema IP500 V2.

Activo

Predeterminado = Desactivado.

Intervalo de solicitud (seg)

Predeterminado = 120 segundos. Intervalo = 5 a 3600 segundos.

Nombre/Dirección IP del servidor de SCEP

Predeterminado = En blanco.

Puerto del servidor de SCEP

Predeterminado = 80 para HTTP y 443 para HTTPS.

URI SCEP

Predeterminado = /ejbca/publicweb/apply/scep/pkiclient.exe

Contraseña SCEP

Predeterminado = En blanco.