شكرًا على ملاحظاتك.

تحمي ميزات الأمان من التهديدات، بما في ذلك التهديدات لهوية الهاتف والبيانات. تعمل هذه الميزات على إنشاء تدفقات الاتصالات المصادق عليها والحفاظ عليها بين الهاتف Cisco Unified Communications Manager والخادم، والتأكد من أن الهاتف يستخدم الملفات الموقعة رقميًا فقط.

Cisco Unified Communications Managerيتضمن الإصدار 8.5 (1) والإصدارات الأحدث الأمان افتراضيًا، والذي يوفر ميزات الأمان التالية لهواتف Cisco IP دون تشغيل عميل CTL:

• توقيع ملفات تكوين الهاتف

• تشفير ملف تكوين الهاتف

• HTTPS مع Tomcat وخدمات الويب الأخرى

يؤدي تطبيق الأمان في Cisco Unified Communications Manager النظام إلى منع سرقة هوية الهاتف Cisco Unified Communications Manager والخادم، ويمنع التلاعب بالبيانات، ويمنع إرسال إشارات المكالمات والتلاعب ببث الوسائط.

وللتخفيف من حدة هذه التهديدات، تقوم شبكة Cisco IP الهاتفية بإنشاء تدفقات اتصال آمنة (مشفرة) والحفاظ عليها بين الهاتف والخادم، وتوقيع الملفات رقميًا قبل نقلها إلى الهاتف، وتشفير تدفقات الوسائط وإشارات المكالمات بين هواتف Cisco IP.

يتم تثبيت الشهادة ذات الأهمية المحلية (LSC) على الهواتف بعد تنفيذ المهام الضرورية المرتبطة بوظيفة Certificate Authority الوكيل (CAPF). يمكنك استخدامها Cisco Unified Communications Manager Administration لتكوين LSC، كما هو موضح في دليل Cisco Unified Communications Manager الأمان. بدلاً من ذلك، يمكنك بدء تثبيت LSC من قائمة الأمان على الهاتف. تتيح لك هذه القائمة أيضًا تحديث LSC أو إزالته.

تستخدم الهواتف ملف تعريف أمان الهاتف، الذي يحدد ما إذا كان الجهاز غير آمن أو آمن. للحصول على معلومات حول تطبيق ملف تعريف الأمان على الهاتف، راجع الوثائق الخاصة Cisco Unified Communications Manager بالإصدار الخاص بك.

إذا قمت بتكوين الإعدادات المتعلقة بالأمان فيCisco Unified Communications Manager Administration، فإن ملف تكوين الهاتف يحتوي على معلومات حساسة. لضمان خصوصية ملف التكوين، يجب تكوينه للتشفير. للحصول على معلومات تفصيلية، راجع الوثائق الخاصة Cisco Unified Communications Manager بالإصدار الخاص بك.

يقدم الجدول التالي نظرة عامة على ميزات الأمان التي تدعمها الهواتف. لمزيد من المعلومات، راجع الوثائق الخاصة Cisco Unified Communications Manager بالإصدار الخاص بك.

يحتوي الجدول التالي على رسائل التنبيه الخاصة بتحديث قائمة الثقة والمعنى. لمزيد من المعلومات، راجع Cisco Unified Communications Manager الوثائق.

عند تطبيق الأمان على الهاتف، يمكنك تحديد المكالمات الهاتفية الآمنة من خلال الرموز الموجودة على شاشة الهاتف. يمكنك أيضًا تحديد ما إذا كان الهاتف المتصل آمنًا ومحميًا إذا تم تشغيل نغمة الأمان في بداية المكالمة.

في مكالمة آمنة، يتم تشفير جميع إشارات المكالمات وتدفقات الوسائط. توفر المكالمة الآمنة مستوى عالٍ من الأمان، مما يوفر النزاهة والخصوصية للمكالمة. عندما يتم تشفير مكالمة قيد التقدم، يمكنك رؤية الرمز الآمن على الخط.

في Cisco Unified Communications Manager الداخل، يمكن تعيين حالة حماية للهواتف التي تم تكوينها على أنها آمنة (مشفرة وموثوقة). بمجرد الحماية، يمكن تكوين هذه الأجهزة لتشغيل نغمة أمان في بداية كل مكالمة.

• جهاز محمي:

  لتغيير حالة هاتف آمن إلى محمي:

  1. فيCisco Unified Communications Manager Administration، حدد الجهاز > الهاتف.
  2. حدد موقع الهاتف الذي ستقوم بإعداده.
  3. في نافذة تكوين الهاتف، حدد خانة اختيار الجهاز المحمي.
  4. انقر فوق حفظ.

• تشغيل نغمة الإشارة الآمنة:

  لتمكين الهاتف المحمي من تشغيل نغمة إشارة آمنة أو غير آمنة:

  1. فيCisco Unified Communications Manager Administration، حدد النظام > معلمات الخدمة.
  2. حدد الخادم ثم Cisco CallManager الخدمة.
  3. في منطقة المعلمات على مستوى المجموعة (الميزة - النغمة الآمنة)، اضبط نغمة التشغيل للإشارة إلى إعداد حالة المكالمة الآمنة/غير الآمنة إلى True.
  4. انقر فوق حفظ.

نظرًا لأن جميع أجهزة WLAN الموجودة ضمن النطاق يمكنها استقبال كل حركة مرور WLAN الأخرى، فإن تأمين الاتصالات الصوتية أمر بالغ الأهمية في شبكات WLAN. لضمان عدم قيام المتسللين بمعالجة حركة المرور الصوتية أو اعتراضها، تدعم بنية Cisco SAFE Security الهاتف. لمزيد من المعلومات حول الأمان في الشبكات، راجع http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

يوفر حل الاتصال الهاتفي عبر بروتوكول الإنترنت اللاسلكي من Cisco أمان الشبكة اللاسلكية الذي يمنع عمليات تسجيل الدخول غير المصرح بها والاتصالات المخترقة باستخدام أساليب المصادقة التالية التي يدعمها الهاتف.

• المصادقة المفتوحة: يمكن لأي جهاز لاسلكي طلب المصادقة في نظام مفتوح. قد تمنح AP التي تتلقى الطلب المصادقة لأي طالب أو فقط لمقدمي الطلبات الموجودين في قائمة المستخدمين. قد يكون الاتصال بين الجهاز اللاسلكي ونقطة الوصول (AP) غير مشفر.

• بروتوكول المصادقة القابل للتوسعة - المصادقة المرنة عبر المصادقة النفقية الآمنة (EAP-FAST): تقوم بنية أمان خادم العميل هذه بتشفير معاملات EAP داخل نفق أمان مستوى النقل (TLS) بين AP وخادم RADIUS، مثل محرك خدمات الهوية (ISE).

  يستخدم نفق TLS بيانات اعتماد الوصول المحمي (PACs) للمصادقة بين العميل (الهاتف) وخادم RADIUS. يرسل الخادم معرف السلطة (AID) إلى العميل (الهاتف)، والذي بدوره يحدد PAC المناسب. يقوم العميل (الهاتف) بإرجاع PAC معتم إلى خادم RADIUS. يقوم الخادم بفك تشفير PAC باستخدام المفتاح الأساسي. تحتوي كلتا نقطتي النهاية الآن على مفتاح PAC ويتم إنشاء نفق TLS. يدعم EAP-FAST التزويد التلقائي لـ PAC، ولكن يجب تمكينه على خادم RADIUS.

  في ISE، بشكل افتراضي، تنتهي صلاحية PAC في أسبوع واحد. إذا كان الهاتف يحتوي على PAC منتهي الصلاحية، فإن المصادقة مع خادم RADIUS تستغرق وقتًا أطول بينما يحصل الهاتف على PAC جديد. لتجنب التأخير في توفير PAC، قم بتعيين فترة انتهاء صلاحية PAC إلى 90 يومًا أو أكثر على خادم ISE أو RADIUS.

• بروتوكول المصادقة المتوسع - مصادقة أمان طبقة النقل (EAP-TLS): تتطلب EAP-TLS شهادة عميل للمصادقة والوصول إلى الشبكة. بالنسبة للشبكة اللاسلكية EAP-TLS، يمكن أن تكون شهادة العميل هي MIC أو LSC أو الشهادة المثبتة من قبل المستخدم.

• بروتوكول المصادقة المحمية القابلة للتوسعة (PEAP): نظام المصادقة المتبادلة المستند إلى كلمة المرور الخاص بشركة Cisco بين العميل (الهاتف) وخادم RADIUS. يمكن للهاتف استخدام PEAP للمصادقة مع الشبكة اللاسلكية. يتم دعم كل من أساليب المصادقة PEAP-MSCHAPV2 وPEAP-GTC.

• المفتاح المشترك مسبقًا (PSK): يدعم الهاتف تنسيقات ASCII والأشكال السداسية العشرية (HEX). يجب استخدام هذه التنسيقات عند إعداد مفتاح WPA2/SAE المشترك مسبقًا.

  ASCII: سلسلة أحرف ASCII بطول 8 إلى 63 حرفًا (0-9، أحرف صغيرة a-z، أحرف كبيرة A-Z، وأحرف خاصة). على سبيل المثال، GREG123567@9ZX&W.

  HEX: سلسلة من ستة أحرف بطول 64 رقمًا سداسيًا (0-9 أو a-f أو A-F).

تستخدم أنظمة المصادقة التالية خادم RADIUS لإدارة مفاتيح المصادقة:

• WPA2/WPA3: يستخدم معلومات خادم RADIUS لإنشاء مفاتيح فريدة للمصادقة. نظرًا لأن هذه المفاتيح يتم إنشاؤها في خادم RADIUS المركزي، فإن WPA2/WPA3 يوفر أمانًا أكثر من مفاتيح WPA المشتركة مسبقًا المخزنة على AP والهاتف.

• التجوال الآمن السريع: يستخدم خادم RADIUS ومعلومات خادم المجال اللاسلكي (WDS) لإدارة المفاتيح والمصادقة عليها. يقوم WDS بإنشاء ذاكرة تخزين مؤقت لبيانات اعتماد الأمان لأجهزة العميل التي تدعم FT لإعادة المصادقة السريعة والآمنة.

باستخدام WPA2/WPA3، لا يتم إدخال مفاتيح التشفير على الهاتف، ولكن يتم اشتقاقها تلقائيًا بين AP والهاتف. ولكن يجب إدخال اسم مستخدم EAP وكلمة المرور المستخدمة للمصادقة على كل هاتف.

للمساعدة في حماية حركة المرور الصوتية عبر الارتباط اللاسلكي، يدعم الهاتف التشفير المستند إلى AES لمصادقة WPA2/WPA3. AES عبارة عن تشفير كتلة متماثل تم توحيده بواسطة NIST. تستخدم AES حجم كتلة ثابتًا يبلغ 128 بت وتدعم أحجام المفاتيح من 128 بت و 192 بت و 256 بت. في شبكات Wi-Fi، يتم استخدام AES بواسطة مجموعات التشفير مثل CCMP أو GCMP، بينما يتم توفير المصادقة بشكل منفصل بواسطة PSK أو SAE أو 802.1X/EAP، اعتمادًا على وضع أمان WLAN الذي تم تكوينه. تعتمد مجموعة التشفير المدعومة وحجم المفتاح على طراز الهاتف وتكوين WLAN.

عندما يستخدم الهاتف تشفير AES، يتم تشفير كل من حزم SIP للإشارة وحزم بروتوكول النقل الصوتي في الوقت الحقيقي (RTP) بين AP والهاتف.

يتم إعداد أنظمة المصادقة والتشفير داخل شبكة LAN اللاسلكية. يتم تكوين شبكات VLAN في الشبكة وعلى نقاط الوصول وتحديد مجموعات مختلفة من المصادقة والتشفير. يرتبط SSID بشبكة VLAN ونظام المصادقة والتشفير المحدد. حتى تتمكن أجهزة العميل اللاسلكية من المصادقة بنجاح، يجب تكوين معرفات SSID نفسها مع أنظمة المصادقة والتشفير الخاصة بها على نقاط الوصول وعلى الهاتف.

تتطلب بعض أنظمة المصادقة أنواعًا محددة من التشفير.

تعرض أنظمة المصادقة والتشفير في الجدول التالي خيارات تكوين الشبكة لـ Cisco Wireless Phone 9821 التي تتوافق مع تكوين AP.

يدعم هاتف Cisco اللاسلكي 9821 مصادقة 802.1X للشبكات السلكية. يُستخدم هذا عادةً أثناء التزويد التلقائي عندما يكون الهاتف متصلاً بشاحن سطح المكتب عبر محول USB إلى Ethernet مدعوم.

يتطلب دعم مصادقة 802.1X على الشبكات السلكية عدة مكونات على النحو التالي:

• هاتف Cisco IP: يبدأ الهاتف طلب الوصول إلى الشبكة. تحتوي هواتف Cisco IP على مقدم الطلب 802.1X. يسمح هذا المتوسل لمسؤولي الشبكة بالتحكم في اتصال هواتف IP بمنافذ محول LAN. يستخدم الإصدار الحالي لموسل الهاتف 802.1X خياري EAP-FAST وEAP-TLS لمصادقة الشبكة.

• خادم المصادقة: يجب تكوين كل من خادم المصادقة والمحول بسر RADIUS المشترك.

• المحول: يجب أن يدعم المحول 802.1X، حتى يتمكن من العمل كمصدق ويقوم بترحيل رسائل EAP بين الهاتف وخادم المصادقة. بعد اكتمال التبادل، يمنح المحول أو يرفض وصول الهاتف إلى الشبكة.

تستخدم هواتف Cisco IP ومحولات Cisco Catalyst تقليديًا Cisco Discovery Protocol (CDP) لتعريف بعضها البعض وتحديد المعلمات مثل تخصيص VLAN ومتطلبات الطاقة المضمنة.

يجب تنفيذ الإجراءات التالية لتكوين 802.1X.

• قم بتكوين تجاوز شبكة VLAN الصوتية الخاصة بـ CDP/LLDP.

• قم بتكوين خادم المصادقة والمحول قبل تمكين مصادقة 802.1X للشبكات السلكية على الهاتف.

• تكوين Voice VLAN: نظرًا لأن معيار 802.1X لا يأخذ في الحسبان شبكات VLAN، يجب تكوين هذا الإعداد استنادًا إلى دعم المحول.

  • ممكّن: إذا كنت تستخدم محولًا يدعم المصادقة متعددة النطاقات، فيمكنك تكوينه لاستخدام VLAN الصوتية.
  • معطل: إذا كان المحول لا يدعم المصادقة متعددة المجالات، فقم بتعطيل Voice VLAN وفكر في تخصيص المنفذ لشبكة VLAN الأصلية.

• يحتوي هاتف Cisco اللاسلكي 9821 على بادئة مختلفة في PID عن تلك الخاصة بهواتف Cisco الأخرى. لتمكين هاتفك من اجتياز مصادقة 802.1X، قم بتعيين المعلمة Radius·User-Name لتضمين هاتف Cisco اللاسلكي 9821.

  على سبيل المثال، معرف التعريف الشخصي لهاتف Cisco اللاسلكي 9821 هو WP-9821. يمكنك تعيين Radius·User-Name إلى Start with WPأو Contains WPفي كلا القسمين التاليين:

  • السياسة > الشروط > شروط المكتبة

  • السياسة > مجموعات السياسات > سياسة التخويل > قاعدة التخويل 1