提供证书

默认 = 开启。

这是一个固定值，仅作为指示之用。这设置系统是否在 TLS 交换中提供证书。

提供 ID 证书链

默认 = 开

启用后，IP Office 会在 TLS 会话建立期间公布证书链。

• 证书链从系统的身份标识证书开始

• 然后，它会添加在其可信证书库中找到的以下任何证书：在“颁发者”Common Name 字段中具有相同的 Subject Distinguished Name。

• 如果在可信证书库中找到根 CA 证书，则该证书也将包含在证书链中。

• 证书链中最多支持 6 个证书。

持有者

默认 = IP Office 身份标识证书。

仅供参考。证书颁发者的常用名。

证书过期警告天数

默认 = 60，范围 = 30 至 180

IP Office Manager 会在系统的安全证书即将过期时显示警告。此设置用于设置证书警告的触发器。

自动证书管理

默认 = 禁用

仅支持订阅模式系统。启用后，系统将使用 COM 提供的身份标识证书以及 COM 根证书的副本。身份标识证书及其信任链的维护和续订均为自动执行。

SAN 详细信息来源

如果 COM 向系统颁发的身份标识证书需要包含任何位置特定的使用者备用名称值，则此字段可用于定义这些值。

• 从现有 ID 证书迁移- 为系统生成新证书时，使用系统现有身份标识证书中的 SAN 详细信息。

• 从当前 LAN 配置生成表单- 生成新证书时，从系统现有 LAN 和 SIP 设置中创建 SAN 详细信息。

自动配置话机

默认 = 启用

使用自动证书管理时，支持此附加选项。启用后，支持证书下载的电话上的电话证书会在系统身份标识证书更新时自动更新。

• 新电话和默认电话会在初次使用过程中使用常规信任获取证书。

• 发生更新时，46xxsettings.txt 文件会更新以包含两个证书的详细信息。重新启动后，电话将使用旧证书详细信息提取新证书。

集

使用集将允许您加载身份标识证书及其关联的私钥。

• 此控件对使用自动证书管理的订阅模式系统不显示。

IP Office 支持：

• 1024、2048 和 4096 位 RSA 密钥。使用 4096 位 RSA 密钥可能会影响系统性能。

• SHA-1、SHA-256、SHA-384 和 SHA-512 签名算法。使用大于 SHA-256 的签名可能会影响系统性能。

来源可能为：

• 当前用户证书库。

• 本机证书库。

• PKCS#12 格式的文件。

  • 以 PEM 格式从剪贴板中粘贴，包括标题和脚注文本。此方法必须用于 PEM (.cer) 和密码保护的 PEM (.cer) 文件。身份标识证书要求证书和私钥。CER 格式不包含私钥。对于这些文件类型，请选择从剪贴板粘贴，然后将证书文本和私钥文本复制至“证书文本捕获”窗口。

使用一个文件作为证书来源

在 Manager 中，使用文件选项时，导入的文件（.p12、.pfx 或 .cer）只能包含私钥和身份标识证书数据。这些文件不能包括额外的中间 CA 证书或根 CA 证书。中间 CA 证书或根 CA 证书必须分开导入到 IP Office 可信证书库中。这不适用于 Web Manager。

查看

显示当前身份标识证书的详细信息。证书视图菜单还可以用于将证书（而不是其私钥）安装到查看证书的 PC 的本地证书库中。之后，PC 可使用此证书安全连接到系统或从 PC 导出证书。

重新生成

此命令生成新的身份标识证书：

• 对于使用系统自己生成的自签名身份标识证书的系统，此命令将生成当前身份标识证书的替换证书。

• 对于订阅模式系统，此命令请求 COM 提供替换身份标识证书。或者，也可以使用此命令请求其他服务器的身份标识证书。

单击重新生成证书窗口时，它会提示您输入下表中的值：

证书过期警告天数

默认 = 60。范围 = 30 至 180 天。

设置任何存储的证书到期前的天数，其中 IP Office Manager、IP Office Web Manager 和 System Status Application 将显示警告

使用不同的 SIP 语音通信证书

默认 = 无

可能的设置是无、SIP 中继或SIP 和 SM 中继，SIP 话机。

• 设置为无时，所有安全语音通信均使用系统默认身份标识证书和设置。

• 当设置为任何其他选项时，系统将显示一组额外的选项（类似于为身份证书部分显示的选项）。这些选项可用于定义用于安全语音通信的证书。要使用的证书使用集按钮上传到系统的证书库。

已收到的证书检查（管理接口）

默认 = 无。

此设置用于应用程序（例如 IP Office Manager）与系统的 HTTPS/TLS 管理连接，例如当正在使用的服务的 服务安全级别 设置为 高 时。

收到的证书按如下所述进行测试：

• 无— 证书必须在有效期内。不进行额外检查。

• 低— 如上所述，但另请：

  • 检查证书的公钥是否为 1024 位或更大。

• 中等— 如上所述，但另请：

  • 检查是否存在从可信证书库 (TCS) 到根证书颁发机构 (CA) 的信任链。

  • 对于 IP Office R11.1.3 及更高版本：

    • 检查证书是否已定义了密钥用途。

    • 如果证书具有扩展密钥用途设置，请检查是否与证书的用途一致。

    • 检查证书是否不包括标记为关键的任何未知分机。

    • 注意：对于升级到 R11.1.3 的系统，仅在更改现有设置后使用这些其他检查。例如，从中等更改为高，然后改回中等。Avaya 建议在进行任何更改之前备份配置。

• 高— 此设置允许实施仅接受已知证书的严格信任域。这是一种“证书固定”，克服了标准树结构 PKI 的限制，其中根 CA 颁发的任何证书始终受信任。高使用与中等相同的检查，并且：

  • 检查证书的公钥是否为 2048 位或更大

  • 检查证书是否不是自签名证书。

  • 未反映。

  • 检查 IP Office 系统的可信证书库中是否有证书副本。

• 中 + 远程检查— 使用与中等相同的检查，并执行以下操作：

  • 通过验证其中一个 SAN 条目与连接的 FQDN 是否匹配来执行主机名验证。 如有必要，使用的 SAN 条目可以是 IP 地址。

  • 对于 SIP，根据 RFC5922 验证证书来源对 SIP 域是否具有权威性。

• 高 + 远程检查— 使用与高相同的检查以及与中 + 远程检查相同的其他检查。

已收到的证书检查（语音通信终端）

默认 = 无。

此设置会设置 IP Office 如何验证为 TLS 语音通信连接接收的身份证书。

• 并非所有 SIP 话机都安装了身份证书。因此，对于 SIP，IP Office 不需要来自 SIP 电话的客户端证书，只需要来自 SIP/SM 中继的客户端证书。

收到的证书按如下所述进行测试：

• 无— 证书必须在有效期内。不进行额外检查。

• 低— 如上所述，但另请：

  • 检查证书的公钥是否为 1024 位或更大。

• 中等— 如上所述，但另请：

  • 检查是否存在从可信证书库 (TCS) 到根证书颁发机构 (CA) 的信任链。

  • 对于 IP Office R11.1.3 及更高版本：

    • 检查证书是否已定义了密钥用途。

    • 如果证书具有扩展密钥用途设置，请检查是否与证书的用途一致。

    • 检查证书是否不包括标记为关键的任何未知分机。

    • 注意：对于升级到 R11.1.3 的系统，仅在更改现有设置后使用这些其他检查。例如，从中等更改为高，然后改回中等。Avaya 建议在进行任何更改之前备份配置。

• 高— 此设置允许实施仅接受已知证书的严格信任域。这是一种“证书固定”，克服了标准树结构 PKI 的限制，其中根 CA 颁发的任何证书始终受信任。高使用与中等相同的检查，并且：

  • 检查证书的公钥是否为 2048 位或更大

  • 检查证书是否不是自签名证书。

  • 未反映。

  • 检查 IP Office 系统的可信证书库中是否有证书副本。

• 中 + 远程检查— 使用与中等相同的检查，并执行以下操作：

  • 通过验证其中一个 SAN 条目与连接的 FQDN 是否匹配来执行主机名验证。 如有必要，使用的 SAN 条目可以是 IP 地址。

  • 对于 SIP，根据 RFC5922 验证证书来源对 SIP 域是否具有权威性。

• 高 + 远程检查— 使用与高相同的检查以及与中 + 远程检查相同的其他检查。

H.323 安全级别

默认 = 高（对于 IP500 系统和升级到 R11.1.3 或更高版本的系统，为中等）。

设置在 H.323 电话和中继的 TLS 连接上，IP Office 接受的最低密码强度。不适用于根据 TLS 服务器提供的密码启用和选择密码的客户端。

• 此设置取代 R11.1.2.x 系统使用的 CIPHER_LEVELS_H232 NUSN。

• 有关详细信息，请参阅Avaya IP Office™ Platform 安全指南手册。

• 低 (0) — 接受低、中、高强度密码。IP500 V2 系统接受低、中强度密码。

• 中等 (1) — 接受中、高强度密码。IP500 V2 系统接受中强度密码。

• 高 (2) — 接受高强度密码。IP500 V2 系统不支持。

  • 有关密码列表，请参阅 Avaya IP Office™ Platform 安全指南。

  • 高强度密码是 GCM 密码。任何 IP500 V2 系统型号都不支持这类密码。

SIP 安全级别

默认 = 高（对于 IP500 V2 系统和升级到 R11.1.3 或更高版本的系统，为中等）。

设置在 SIP 电话和中继的 TLS 连接上，IP Office 可接受的最低密码强度。不适用于根据 TLS 服务器提供的密码启用和选择密码的客户端。

• 此设置取代 R11.1.2.x 系统使用的 CIPHER_LEVELS_SIP NUSN。

• 有关详细信息，请参阅Avaya IP Office™ Platform 安全指南手册。

• 低 (0) — 接受低、中、高强度密码。IP500 V2 系统接受低、中强度密码。

• 中等 (1) — 接受中、高强度密码。IP500 V2 系统接受中强度密码。

• 高 (2) — 接受高强度密码。IP500 V2 系统不支持。

  • 有关密码列表，请参阅 Avaya IP Office™ Platform 安全指南。

  • 高强度密码是 GCM 密码。任何 IP500 V2 系统型号都不支持这类密码。

活动

默认 = 关。

请求间隔（秒）

默认 = 120 秒。范围 = 5 至 3600 秒。

SCEP 服务器 IP 地址/名称

默认 = 空。

SCEP 服务器端口

默认 = HTTP 为 80，HTTPS 为 443。

SCEP URI

默认 = /ejbca/publicweb/apply/scep/pkiclient.exe

SCEP 密码

默认 = 空。