أمان هاتف Cisco اللاسلكي 9821 (متعدد المنصات)

تكوين خيارات DHCP

يمكنك ضبط الترتيب الذي يستخدم به هاتفك خيارات DHCP. للحصول على مساعدة بشأن خيارات DHCP، راجع دعم خيار DHCP.

1	قم بالوصول إلى صفحة الويب الخاصة بإدارة الهاتف. `http://<ip address>/admin/advanced`
2	حدد الصوت > التزويد.
3	في قسم ملف تعريف التكوين، قم بتعيين خيار DHCP للاستخدام وخيار DHCPv6 لاستخدام المعلمات كما هو موضح أدناه. خيار DHCP للاستخدام: خيارات DHCP، المحددة بفواصل، تستخدم لاسترداد البرامج الثابتة وملفات التعريف. يمكنك أيضًا تكوين هذه المعلمة في ملف التكوين (cfg.xml): `<DHCP_Option_To_Use ua="na">66,160,159,150,60,43,125</DHCP_Option_To_Use>` الإعداد الافتراضي: `66,160,159,150,60,43,125` خيار DHCPv6 للاستخدام: خيارات DHCPv6، المحددة بفواصل، تستخدم لاسترداد البرامج الثابتة وملفات التعريف. يمكنك أيضًا تكوين هذه المعلمة في ملف التكوين (cfg.xml): `<DHCPv6_Option_To_Use ua="na">17,160,159</DHCPv6_Option_To_Use>` الإعداد الافتراضي: `17,160,159`
4	انقر فوق إرسال جميع التغييرات.

دعم خيار DHCP

يسرد الجدول التالي خيارات DHCP المدعومة على هاتف Cisco Wireless Phone 9821.

معيار الشبكة	وصف
خيار DHCP 1	قناع الشبكة الفرعية
خيار DHCP 2	تعويض الوقت
خيار DHCP 3	جهاز التوجيه
خيار DHCP 6	خادم أسماء النطاقات
خيار DHCP 15	اسم النطاق
خيار DHCP 17	مسار الجذر
خيار DHCP 41	وقت تأجير عنوان IP
خيار DHCP 42	خادم NTP تكوين خادم NTP مع IPv6
خيار DHCP 43	معلومات خاصة بالبائع يمكن استخدامه لتوفير تكوين SCEP.
خيار DHCP 56	خادم NTP
خيار DHCP 60	معرف فئة المورد
خيار DHCP 66	اسم خادم TFTP
خيار DHCP 125	معلومات خاصة بالبائع لتحديد البائع
خيار DHCP 150	خادم TFTP
خيار DHCP 159	بروتوكول الإنترنت الخاص بخادم التزويد
خيار DHCP 160	عنوان URL الخاص بالتزويد

أمان الشبكة المحلية اللاسلكية

نظرًا لأن جميع أجهزة WLAN الموجودة ضمن النطاق يمكنها استقبال كل حركة مرور WLAN الأخرى، فإن تأمين الاتصالات الصوتية أمر بالغ الأهمية في شبكات WLAN. لضمان عدم قيام المتسللين بمعالجة حركة المرور الصوتية أو اعتراضها، تدعم بنية Cisco SAFE Security الهاتف. لمزيد من المعلومات حول الأمان في الشبكات، راجع http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

يوفر حل الاتصال الهاتفي عبر بروتوكول الإنترنت اللاسلكي من Cisco أمان الشبكة اللاسلكية الذي يمنع عمليات تسجيل الدخول غير المصرح بها والاتصالات المخترقة باستخدام أساليب المصادقة التالية التي يدعمها الهاتف.

المصادقة المفتوحة: يمكن لأي جهاز لاسلكي طلب المصادقة في نظام مفتوح. قد تمنح AP التي تتلقى الطلب المصادقة لأي طالب أو فقط لمقدمي الطلبات الموجودين في قائمة المستخدمين. قد يكون الاتصال بين الجهاز اللاسلكي ونقطة الوصول (AP) غير مشفر.
بروتوكول المصادقة القابل للتوسعة - المصادقة المرنة عبر المصادقة النفقية الآمنة (EAP-FAST): تقوم بنية أمان خادم العميل هذه بتشفير معاملات EAP داخل نفق أمان مستوى النقل (TLS) بين AP وخادم RADIUS، مثل محرك خدمات الهوية (ISE).

يستخدم نفق TLS بيانات اعتماد الوصول المحمي (PACs) للمصادقة بين العميل (الهاتف) وخادم RADIUS. يرسل الخادم معرف السلطة (AID) إلى العميل (الهاتف)، والذي بدوره يحدد PAC المناسب. يقوم العميل (الهاتف) بإرجاع PAC معتم إلى خادم RADIUS. يقوم الخادم بفك تشفير PAC باستخدام المفتاح الأساسي. تحتوي كلتا نقطتي النهاية الآن على مفتاح PAC ويتم إنشاء نفق TLS. يدعم EAP-FAST التزويد التلقائي لـ PAC، ولكن يجب تمكينه على خادم RADIUS.

في ISE، بشكل افتراضي، تنتهي صلاحية PAC في أسبوع واحد. إذا كان الهاتف يحتوي على PAC منتهي الصلاحية، فإن المصادقة مع خادم RADIUS تستغرق وقتًا أطول بينما يحصل الهاتف على PAC جديد. لتجنب التأخير في توفير PAC، قم بتعيين فترة انتهاء صلاحية PAC إلى 90 يومًا أو أكثر على خادم ISE أو RADIUS.
بروتوكول المصادقة المتوسع - مصادقة أمان طبقة النقل (EAP-TLS): تتطلب EAP-TLS شهادة عميل للمصادقة والوصول إلى الشبكة. بالنسبة للشبكة اللاسلكية EAP-TLS، يمكن أن تكون شهادة العميل عبارة عن MIC أو شهادة مثبتة من قبل المستخدم.
بروتوكول المصادقة المحمية القابلة للتوسعة (PEAP): نظام المصادقة المتبادلة المستند إلى كلمة المرور الخاص بشركة Cisco بين العميل (الهاتف) وخادم RADIUS. يمكن للهاتف استخدام PEAP للمصادقة مع الشبكة اللاسلكية. يتم دعم كل من أساليب المصادقة PEAP-MSCHAPV2 وPEAP-GTC.

لدعم مصادقة PEAP-GTC لهاتف Cisco اللاسلكي 9821، قم بتكوين السياسة الضرورية ضمن مجموعة سياسات Cisco ISE.
المفتاح المشترك مسبقًا (PSK): يدعم الهاتف تنسيقات ASCII والأشكال السداسية العشرية (HEX). يجب استخدام هذه التنسيقات عند إعداد مفتاح WPA2/SAE المشترك مسبقًا.

ASCII: سلسلة أحرف ASCII بطول 8 إلى 63 حرفًا (0-9، أحرف صغيرة a-z، أحرف كبيرة A-Z، وأحرف خاصة). على سبيل المثال، GREG123567@9ZX&W.

HEX: سلسلة من ستة أحرف بطول 64 رقمًا سداسيًا (0-9 أو a-f أو A-F).

تستخدم أنظمة المصادقة التالية خادم RADIUS لإدارة مفاتيح المصادقة:

WPA2/WPA3: يستخدم معلومات خادم RADIUS لإنشاء مفاتيح فريدة للمصادقة. نظرًا لأن هذه المفاتيح يتم إنشاؤها في خادم RADIUS المركزي، فإن WPA2/WPA3 يوفر أمانًا أكثر من مفاتيح WPA المشتركة مسبقًا المخزنة على AP والهاتف.
التجوال الآمن السريع: يستخدم خادم RADIUS ومعلومات خادم المجال اللاسلكي (WDS) لإدارة المفاتيح والمصادقة عليها. يقوم WDS بإنشاء ذاكرة تخزين مؤقت لبيانات اعتماد الأمان لأجهزة العميل التي تدعم FT لإعادة المصادقة السريعة والآمنة.

باستخدام WPA2/WPA3، لا يتم إدخال مفاتيح التشفير على الهاتف، ولكن يتم اشتقاقها تلقائيًا بين AP والهاتف. ولكن يجب إدخال اسم مستخدم EAP وكلمة المرور المستخدمة للمصادقة على كل هاتف.

للمساعدة في حماية حركة المرور الصوتية عبر الارتباط اللاسلكي، يدعم الهاتف التشفير المستند إلى AES لمصادقة WPA2/WPA3. AES عبارة عن تشفير كتلة متماثل تم توحيده بواسطة NIST. تستخدم AES حجم كتلة ثابتًا يبلغ 128 بت وتدعم أحجام المفاتيح من 128 بت و 192 بت و 256 بت. في شبكات Wi-Fi، يتم استخدام AES بواسطة مجموعات التشفير مثل CCMP أو GCMP، بينما يتم توفير المصادقة بشكل منفصل بواسطة PSK أو SAE أو 802.1X/EAP، اعتمادًا على وضع أمان WLAN الذي تم تكوينه. تعتمد مجموعة التشفير المدعومة وحجم المفتاح على طراز الهاتف وتكوين WLAN.

يتم إعداد أنظمة المصادقة والتشفير داخل شبكة LAN اللاسلكية. يتم تكوين شبكات VLAN في الشبكة وعلى نقاط الوصول وتحديد مجموعات مختلفة من المصادقة والتشفير. يرتبط SSID بشبكة VLAN ونظام المصادقة والتشفير المحدد. حتى تتمكن أجهزة العميل اللاسلكية من المصادقة بنجاح، يجب تكوين معرفات SSID نفسها مع أنظمة المصادقة والتشفير الخاصة بها على نقاط الوصول وعلى الهاتف.

تتطلب بعض أنظمة المصادقة أنواعًا محددة من التشفير.

عند استخدام مفتاح WPA2 المشترك مسبقًا أو SAE، يجب تعيين المفتاح المشترك مسبقًا بشكل ثابت على الهاتف. يجب أن تتطابق هذه المفاتيح مع المفاتيح الموجودة على AP.

تعرض أنظمة المصادقة والتشفير في الجدول التالي خيارات تكوين الشبكة لـ Cisco Wireless Phone 9821 التي تتوافق مع تكوين AP.

الجدول 1. أنظمة المصادقة والتشفير
نوع FSR	المصادقة	إدارة المفاتيح	التشفير	إطار الإدارة المحمي (PMF)
802.11r (FT)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	لا
802.11r (FT)	WPA3	SAE FT-SAE	AES	نعم
802.11r (FT)	EAP-TLS	WPA-EAP FT-EAP	AES	لا
802.11r (FT)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	نعم
802.11r (FT)	EAP-FAST	WPA-EAP FT-EAP	AES	لا
802.11r (FT)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	نعم
802.11r (FT)	EAP-PEAP	WPA-EAP FT-EAP	AES	لا
802.11r (FT)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	نعم
غير قابل للأقدام	جناح B	WPA-EAP-SUITE-B	GCMP	نعم
غير قابل للأقدام	جناح B-192	WPA-EAP-SUITE-B-192	GCMP	نعم

إعداد ملف تعريف Wi-Fi

يمكنك تكوين ملفات تعريف Wi-Fi من صفحة الويب الخاصة بإدارة الهاتف أو من خلال إعادة مزامنة ملف تعريف الجهاز البعيد. بمجرد التهيئة، يمكنك ربط ملفات التعريف هذه بالشبكات اللاسلكية المتاحة لإنشاء الاتصال. يدعم هاتف Cisco اللاسلكي 9821 أربعة ملفات تعريف Wi-Fi مكونة كحد أقصى.

يحتوي ملف التعريف على المعلمات المطلوبة للهواتف للاتصال بخادم الهاتف باستخدام Wi-Fi. عند إنشاء ملف تعريف Wi-Fi واستخدامه، لن تحتاج أنت أو المستخدمون إلى تكوين الشبكة اللاسلكية للهواتف الفردية.

يتيح لك ملف تعريف Wi-Fi منع التغييرات في تكوين Wi-Fi على الهاتف من قبل المستخدم أو الحد منها.

نوصي باستخدام ملف تعريف آمن مع بروتوكولات تمكين التشفير لحماية المفاتيح وكلمات المرور عند استخدام ملف تعريف Wi-Fi.

عندما تقوم بإعداد الهواتف لاستخدام أسلوب مصادقة EAP-FAST في وضع الأمان، يحتاج المستخدمون لديك إلى بيانات اعتماد فردية للاتصال بنقطة وصول.

1	قم بالوصول إلى صفحة الويب الخاصة بالهاتف.
2	حدد الصوت > النظام.
3	في قسم ملف تعريف Wi-Fi (n)، قم بتعيين المعلمات كما هو موضح في الجدول التالي المعلمات لملف تعريف Wi-Fi. تكوين ملف تعريف Wi-Fi متاح أيضًا لتسجيل دخول المستخدم.
4	انقر فوق إرسال جميع التغييرات.

معايير ملف تعريف Wi-Fi

يحدد الجدول التالي وظيفة واستخدام كل معلمة في قسم Wi-Fi Profile (n) ضمن علامة تبويب النظام على صفحة الويب الخاصة بالهاتف. كما تحدد أيضًا صيغة السلسلة التي تمت إضافتها في ملف تكوين الهاتف (cfg.xml) لتكوين المعلمة.

المعلمة	وصف
اسم الشبكة	يسمح لك بإدخال اسم SSID الذي سيتم عرضه على الهاتف. يمكن أن تحتوي ملفات التعريف المتعددة على نفس اسم الشبكة مع وضع أمان مختلف. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Network_Name_1_ ua="rw">cisco</Network_Name_1_>` في صفحة الويب الخاصة بالهاتف، أدخل اسمًا لـ SSID. الإعداد الافتراضي: فارغ
وضع الأمان	يسمح لك بتحديد طريقة المصادقة المستخدمة لتأمين الوصول إلى شبكة Wi-Fi. وفقًا للطريقة التي تختارها، يظهر حقل كلمة المرور حتى تتمكن من تقديم بيانات الاعتماد المطلوبة للانضمام إلى شبكة Wi-Fi هذه. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Security_Mode_1_ ua="rw">EAP-TLS</Security_Mode_1_> <!-- available options: \|EAP-FAST\|\|\|PSK\|\|None\|EAP-PEAP\|EAP-TLS -->` في صفحة الويب الخاصة بالهاتف، حدد إحدى الطرق: EAP-FAST PSK لا شيء EAP-PEAP EAP-TLS الإعداد الافتراضي: لا يوجد
معرف مستخدم Wi-Fi	يسمح لك بإدخال معرف مستخدم لملف تعريف الشبكة. يتوفر هذا الحقل عندما تقوم بتعيين وضع الأمان إلى تلقائي أو EAP-FAST أو EAP-PEAP. هذا حقل إلزامي ويسمح بحد أقصى 32 حرفًا أبجديًا رقميًا. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Wi-Fi_User_ID_1_ua="rw"></Wi-Fi_User_ID_1_>` في صفحة الويب الخاصة بالهاتف، أدخل معرف المستخدم لملف تعريف الشبكة. الإعداد الافتراضي: فارغ
كلمة مرور الواي فاي	يسمح لك بإدخال كلمة المرور لمعرف مستخدم Wi-Fi المحدد. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Wi-Fi_Password_1_ ua="rw"></Wi-Fi_Password_1_>` في صفحة الويب الخاصة بالهاتف، أدخل كلمة مرور لمعرف المستخدم الذي قمت بإضافته. الإعداد الافتراضي: فارغ
نطاق التردد	يسمح لك بتحديد نطاق تردد الإشارة اللاسلكية الذي تستخدمه شبكة WLAN. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Frequency_Band_1_ ua="rw">Auto</Frequency_Band_1_>` في صفحة الويب الخاصة بالهاتف، حدد أحد الخيارات: السيارات 2.4 جيجا هرتز 5 جيجا هرتز أو 6 جيجا هرتز الإعداد الافتراضي: تلقائي
اختيار الشهادة	يسمح لك بتحديد نوع الشهادة للتسجيل الأولي للشهادة وتجديد الشهادة في الشبكة اللاسلكية. هذه العملية متاحة فقط لمصادقة 802.1X. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Certificate_Select_1_ ua="rw">Manufacturing installed</Certificate_Select_1_>` في صفحة الويب الخاصة بالهاتف، حدد أحد الخيارات: تم تثبيت التصنيع تم تثبيته بشكل مخصص الإعداد الافتراضي: تم تثبيت التصنيع
وضع التحكم	يتحكم في السماح للمستخدم بتكوين ملفات تعريف Wi-Fi. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Control_Mode_1_ ua="rw">Allow</Control_Mode_1_>` في صفحة الويب الخاصة بالهاتف، حدد أحد الخيارات: السماح غير مسموح به مُقيّد الإعداد الافتراضي: السماح
تمكين	يتحكم في تمكين ملف تعريف Wi-Fi. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Enable_1_ ua="rw">Yes</Enable_1_>` في صفحة الويب الخاصة بالهاتف، حدد أحد الخيارات: نعم لا الإعداد الافتراضي: نعم
اسم الملف الشخصي	يسمح لك بإدخال اسم لملف التعريف الذي سيتم عرضه على الهاتف. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<Profile_Name_1_ ua="rw">Profile 1</Profile_Name_1_>` في صفحة الويب الخاصة بالهاتف، أدخل اسمًا لملف التعريف. الافتراضي: الملف الشخصي 1
عبارة مرور PSK	يسمح لك بإدخال عبارة مرور PSK عند ضبط وضع الأمان على PSK. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<PSK_Passphrase_1_ ua="rw">*************</PSK_Passphrase_1_>` في صفحة الويب الخاصة بالهاتف، أدخل عبارة مرور PSK. الإعداد الافتراضي: السماح

مصادقة 802.1X للشبكات السلكية

يدعم هاتف Cisco اللاسلكي 9821 مصادقة 802.1X للشبكات السلكية. يُستخدم هذا عادةً أثناء التزويد التلقائي عندما يكون الهاتف متصلاً بشاحن سطح المكتب عبر محول USB إلى Ethernet مدعوم.

يتطلب دعم مصادقة 802.1X على الشبكات السلكية عدة مكونات على النحو التالي:

هاتف Cisco IP: يبدأ الهاتف طلب الوصول إلى الشبكة. تحتوي هواتف Cisco IP على مقدم الطلب 802.1X. يسمح هذا المتوسل لمسؤولي الشبكة بالتحكم في اتصال هواتف IP بمنافذ محول LAN. يستخدم الإصدار الحالي لموسل الهاتف 802.1X خياري EAP-FAST وEAP-TLS لمصادقة الشبكة.
خادم المصادقة: يجب تكوين كل من خادم المصادقة والمحول بسر RADIUS المشترك.
المحول: يجب أن يدعم المحول 802.1X، حتى يتمكن من العمل كمصدق ويقوم بترحيل رسائل EAP بين الهاتف وخادم المصادقة. بعد اكتمال التبادل، يمنح المحول أو يرفض وصول الهاتف إلى الشبكة.

تستخدم هواتف Cisco IP ومحولات Cisco Catalyst تقليديًا Cisco Discovery Protocol (CDP) لتعريف بعضها البعض وتحديد المعلمات مثل تخصيص VLAN ومتطلبات الطاقة المضمنة.

يجب تنفيذ الإجراءات التالية لتكوين 802.1X.

قم بتكوين تجاوز شبكة VLAN الصوتية الخاصة بـ CDP/LLDP.
قم بتكوين خادم المصادقة والمحول قبل تمكين مصادقة 802.1X للشبكات السلكية على الهاتف.
تكوين Voice VLAN: نظرًا لأن معيار 802.1X لا يأخذ في الحسبان شبكات VLAN، يجب تكوين هذا الإعداد استنادًا إلى دعم المحول.
- ممكّن: إذا كنت تستخدم محولًا يدعم المصادقة متعددة النطاقات، فيمكنك تكوينه لاستخدام VLAN الصوتية.
- معطل: إذا كان المحول لا يدعم المصادقة متعددة المجالات، فقم بتعطيل Voice VLAN وفكر في تخصيص المنفذ لشبكة VLAN الأصلية.
يحتوي هاتف Cisco اللاسلكي 9821 على بادئة مختلفة في PID عن تلك الخاصة بهواتف Cisco الأخرى. لتمكين هاتفك من اجتياز مصادقة 802.1X، قم بتعيين المعلمة Radius·User-Name لتضمين هاتف Cisco اللاسلكي 9821.

على سبيل المثال، معرف التعريف الشخصي لهاتف Cisco اللاسلكي 9821 هو WP-9821. يمكنك تعيين Radius·User-Name إلى Start with WPأو Contains WPفي كلا القسمين التاليين:
- السياسة > الشروط > شروط المكتبة
- السياسة > مجموعات السياسات > سياسة التخويل > قاعدة التخويل 1

قم بتمكين مصادقة 802.1X للشبكات السلكية على هاتفك

اتبع هذه الخطوات لتمكين مصادقة 802.1X للشبكات السلكية على هاتفك. لاحظ أن مصادقة 802.1X لشبكة Wi-Fi ممكّنة افتراضيًا ولا تتطلب أي تكوين يدوي.

1	الوصول إلى الإعدادات التطبيق.
2	أدخل كلمة المرور للوصول إلى قائمة الإعدادات، إذا طُلب منك ذلك. يمكنك الحصول على كلمة المرور من المسؤول.
3	حدد إعدادات المسؤول > إعداد الأمان > مصادقة 802.1X.
4	قم بتمييز مصادقة الجهاز واضغط على تشغيل.

قم بتمكين مصادقة 802.1X للشبكات السلكية على صفحة الويب الخاصة بالهاتف

عند تمكين مصادقة 802.1X للشبكات السلكية، يستخدم الهاتف مصادقة 802.1X لطلب الوصول إلى الشبكة من منفذ Ethernet LAN. عند تعطيل مصادقة 802.1X للشبكات السلكية، يستخدم الهاتف Cisco Discovery Protocol (CDP) للحصول على VLAN والوصول إلى الشبكة. لاحظ أن مصادقة 802.1X لشبكة Wi-Fi ممكّنة افتراضيًا ولا تتطلب أي تكوين يدوي.

يمكنك تحديد شهادة (MIC/SUDI أو CDC) تستخدم لمصادقة 802.1X. لمزيد من المعلومات حول CDC، راجع شهادة الجهاز المخصص على هاتف Cisco اللاسلكي 9821.

يمكنك عرض حالة المعاملة وإعدادات الأمان في قائمة شاشة الهاتف. لمزيد من المعلومات، راجع قائمة إعدادات الأمان على الهاتف.

1	قم بتمكين مصادقة 802.1X. حدد الصوت > النظام. في قسم مصادقة 802.1X، قم بتعيين معلمة تمكين مصادقة 802.1X إلى نعم. يمكنك أيضًا تكوين هذه المعلمة في ملف التكوين (cfg.xml): `<Enable_802.1X_Authentication ua="rw">Yes</Enable_802.1X_Authentication>` قيم صالحة: نعم\|لا الإعداد الافتراضي: لا
2	في قسم مصادقة 802.1X، حدد إحدى الشهادات المثبتة التالية المستخدمة لمصادقة 802.1X من القائمة المنسدلة «تحديد الشهادة». خيارات القيمة: التصنيع المثبت: MIC/SUDI. تثبيت مخصص: شهادة جهاز مخصص (CDC). يمكنك أيضًا تكوين هذه المعلمة في ملف التكوين (cfg.xml): `<Certificate_Select ua="rw">Custom installed</Certificate_Select>` القيم الصالحة: تم تثبيت التصنيع \| تثبيت مخصص الإعداد الافتراضي: تم تثبيت التصنيع
3	قم بتكوين معلمة معرف المستخدم التي سيتم استخدامها كهوية لمصادقة 802.1X في الشبكة السلكية. لا ينطبق هذا التكوين إلا عند استخدام شهادة جهاز مخصص (CDC) لمصادقة 802.1X السلكية، مع تعيين Certificate Select إلى Custom مثبتًا. يمكنك أيضًا تكوين هذه المعلمة في ملف التكوين (cfg.xml): `<Wired_User_ID ua="na"></Wired_User_ID>` القيم الصالحة: 127 حرفًا كحد أقصى الإعداد الافتراضي: فارغ تدعم هذه المعلمة أيضًا متغيرات توسيع الماكرو، راجع متغيرات توسيع الماكرو للحصول على التفاصيل. إذا كنت ترغب في توفير معرف المستخدم باستخدام تركيبة مع خيارات DHCP، راجع توفير الاسم الشائع أو معرف المستخدم عبر خيار DHCP 15.
4	انقر فوق إرسال جميع التغييرات.

قائمة إعدادات الأمان على الهاتف

لعرض معلومات حول إعدادات الأمان من قائمة الهاتف، قم بالوصول إلى الإعدادات 9821 Settings app icon قم بالتطبيق وحدد إعدادات المسؤول > إعداد الأمان > مصادقة 802.1X. يعتمد توفر المعلومات على إعدادات الشبكة في مؤسستك.

المعلمات	خيارات	إفتراضي	وصف
مصادقة الجهاز	على إيقاف	إيقاف	يقوم بتمكين مصادقة 802.1X أو تعطيلها على الهاتف. يمكن الاحتفاظ بإعداد المعلمة بعد تسجيل الهاتف خارج الصندوق (OOB).
حالة المعاملة		معاق	يعرض حالة مصادقة 802.1X. يمكن أن تكون الولاية (لا تقتصر على): المصادقة - تشير إلى أن عملية المصادقة قيد التقدم. تمت المصادقة - تشير إلى أن الهاتف قد تمت مصادقته. معطل - يشير إلى أن مصادقة 802.1x معطلة على الهاتف. الاتصال - يشير إلى أن الهاتف يرسل رسائل بدء EAP إلى المحول كل 30 ثانية. تم الحصول عليها - تشير إلى أن المحول قد رفض طلب EAP الخاص بالهاتف وأن الهاتف لا يتلقى أي تحدي EAP-TLS أو EAP-FAST من المحول. يقوم الهاتف بإعادة محاولة إرسال طلبات EAP. غير متصل - يشير إلى أن كبل Ethernet غير متصل. معطل - يشير إلى أن المحول قد عالج طلب EAP الخاص بالهاتف ولكنه رفض مصادقة EAP-FAST أو EAP-TLS. يقوم الهاتف بإعادة محاولة إرسال طلبات EAP.
بروتوكول		لا شيء	يعرض أسلوب EAP المستخدم لمصادقة 802.1X. يمكن أن يكون البروتوكول EAP-FAST أو EAP-TLS.
نوع شهادة المستخدم	تم تثبيت التصنيع تم تثبيته بشكل مخصص	تم تثبيت التصنيع	يقوم بتحديد الشهادة لمصادقة 802.1X أثناء التسجيل الأولي وتجديد الشهادة. تم تثبيت التصنيع - يتم استخدام معرف الجهاز الفريد الآمن (SUDI). مثبت بشكل مخصص - يتم استخدام شهادة الجهاز المخصص (CDC). يمكن تثبيت هذا النوع من الشهادات إما عن طريق التحميل اليدوي على صفحة الويب الخاصة بالهاتف أو عن طريق التثبيت من خادم بروتوكول تسجيل الشهادات البسيط (SCEP). تظهر هذه المعلمة على الهاتف فقط عند تمكين مصادقة الجهاز.

قم بتعيين كلمات مرور المستخدم والمشرف

عندما يتم تسجيل الهاتف بنظام التحكم في المكالمات لأول مرة أو بعد إعادة ضبط المصنع، يجب عليك تعيين كلمات مرور المستخدم والمشرف لتحسين أمان الهاتف. بعد تعيين كلمات المرور، يمكنك الوصول إلى واجهة الويب الخاصة بالهاتف.

افتراضيًا، تكون كلمتا المرور فارغتين. حتى تقوم بتعيينها، تظهر رسالة عدم توفير كلمة مرور في كل مرة تتم فيها إعادة تشغيل الهاتف. يتم الإبلاغ عن كلمة المرور المفقودة أيضًا ضمن الإعدادات > المشكلات والتشخيصات > المشكلات على الهاتف. يمكنك تعطيل شاشة التحذير من خلال إعداد «عرض تحذيرات كلمة المرور».

1	الوصول إلى صفحة الويب الخاصة بإدارة الهاتف
2	حدد الصوت > النظام.
3	في قسم تكوين النظام، انقر فوق تغيير كلمة المرور بجوار كلمة مرور المستخدم أو كلمة مرور المسؤول.
4	للإعداد لأول مرة، اترك حقل كلمة المرور القديمة فارغًا. أدخل كلمة المرور الحالية فقط عند تغييرها.
5	أدخل كلمة مرور جديدة في حقل كلمة المرور الجديدة. متطلبات كلمة المرور: يجب أن تحتوي كلمة المرور على ما بين 8 و127 حرفًا. يجب أن تحتوي كلمة المرور على ثلاث فئات على الأقل من الفئات الأربع: الأحرف الكبيرة والأحرف الصغيرة والأرقام والأحرف الخاصة. لا يُسمح بالمسافات. إذا كانت كلمة المرور الجديدة لا تفي بالمتطلبات، فسيتم رفضها.
6	انقر فوق إرسال. `Password has been changed successfully.`تظهر الرسالة في صفحة الويب. يتم تحديث صفحة الويب في عدة ثوانٍ. بعد تعيين كلمتي المرور، يتم عرضهما كقيم مقنعة في ملف XML الخاص بتكوين الهاتف (cfg.xml)، كما يلي: `<!-- <Admin_Password ua="na">***********</Admin_Password> <User_Password ua="rw">***********</User_Password> -->`
7	لتمكين تحذير كلمة المرور أو تعطيله، قم بتعيين «عرض تحذيرات كلمة المرور» إلى القيمة المطلوبة في قسم تكوين النظام، ثم انقر فوق إرسال جميع التغييرات. عند التعيين إلى نعم، يظهر التحذير على شاشة الهاتف إذا كانت كلمة المرور مفقودة. عند الضبط على «لا»، لا يتم عرض التحذير. يمكنك أيضًا تكوين المعلمات في ملف تكوين الهاتف (cfg.xml). `<Display_Password_Warnings ua="na">Yes</Display_Password_Warnings>` الإعداد الافتراضي: نعم الخيارات: نعم \| لا

قم بتعيين الحد الأدنى لإصدار TLS للعميل والخادم

افتراضيًا، يكون الحد الأدنى لإصدار TLS للعميل والخادم هو 1.2. هذا يعني أن العميل والخادم يقبلان إنشاء اتصالات مع TLS 1.2 أو أعلى. الإصدار الأقصى المدعوم من TLS للعميل والخادم هو 1.3. عند التهيئة، سيتم استخدام الحد الأدنى من إصدار TLS للتفاوض بين عميل TLS وخادم TLS.

يمكنك تعيين الحد الأدنى من إصدار TLS للعميل والخادم على التوالي، مثل 1.1 أو 1.2 أو 1.3.

قبل أن تبدأ

تأكد من أن خادم TLS يدعم الحد الأدنى من إصدار TLS الذي تم تكوينه. يمكنك استشارة مسؤول نظام التحكم في المكالمات.

1	قم بالوصول إلى صفحة الويب الخاصة بإدارة الهاتف.
2	حدد الصوت > النظام.
3	في قسم إعدادات الأمان، قم بتكوين المعلمة TLS Client Min Version. TLS 1.1: يدعم عميل TLS إصدارات TLS من 1.1 إلى 1.3. إذا كان إصدار TLS في الخادم أقل من 1.1، فلا يمكن إنشاء الاتصال. TLS 1.2 (افتراضي): يدعم عميل TLS TLS 1.2 و1.3. إذا كان إصدار TLS في الخادم أقل من 1.2، على سبيل المثال، 1.1، فلا يمكن إنشاء الاتصال. TLS 1.3: يدعم عميل TLS TLS 1.3 فقط. إذا كان إصدار TLS في الخادم أقل من 1.3، على سبيل المثال، 1.2 أو 1.1، فلا يمكن إنشاء الاتصال. إذا كنت ترغب في تعيين المعلمة «TLS Client Min Version» إلى «TLS 1.3"، فتأكد من أن جانب الخادم يدعم TLS 1.3. إذا كان جانب الخادم لا يدعم TLS 1.3، فقد يتسبب ذلك في حدوث مشكلات خطيرة. على سبيل المثال، لا يمكن إجراء عمليات التزويد على الهواتف. يمكنك أيضًا تكوين هذه المعلمة في ملف التكوين (cfg.xml): `<TLS_Client_Min_Version ua="na">TLS 1.2</TLS_Client_Min_Version>` القيم المسموح بها: TLS 1.1 وTLS1.2 وTLS 1.3. الإعداد الافتراضي: TLS 1.2
4	في قسم إعدادات الأمان، قم بتكوين المعلمة TLS Server Min Version. Webex Callingلا يدعم TLS 1.1. TLS 1.1: يدعم خادم TLS إصدارات TLS من 1.1 إلى 1.3. إذا كان إصدار TLS في العميل أقل من 1.1، فلا يمكن إنشاء الاتصال. TLS 1.2 (افتراضي): يدعم خادم TLS TLS TLS 1.2 و1.3. إذا كان إصدار TLS في العميل أقل من 1.2، على سبيل المثال، 1.1، فلا يمكن إنشاء الاتصال. TLS 1.3: يدعم خادم TLS TLS 1.3 فقط. إذا كان إصدار TLS في العميل أقل من 1.3، على سبيل المثال، 1.2 أو 1.1، فلا يمكن إنشاء الاتصال. يمكنك أيضًا تكوين هذه المعلمة في ملف التكوين (cfg.xml): `<TLS_Server_Min_Version ua="na">TLS 1.2</TLS_Server_Min_Version>` القيم المسموح بها: TLS 1.1 وTLS1.2 وTLS 1.3. الإعداد الافتراضي: TLS 1.2
5	انقر فوق إرسال جميع التغييرات.

تمكين الوضع الذي بدأه العميل لمفاوضات أمان الطائرة الإعلامية

لحماية جلسات الوسائط، يمكنك تكوين الهاتف لبدء مفاوضات أمان مستوى الوسائط مع الخادم. تتبع آلية الأمان المعايير المذكورة في RFC 3329 ومسودة التمديد لأسماء آلية الأمن لوسائل الإعلام (انظر https://tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2). يمكن لنقل المفاوضات بين الهاتف والخادم استخدام بروتوكول SIP عبر UDP و TCP و TLS. يمكنك تقييد تطبيق التفاوض الأمني على مستوى الوسائط فقط عندما يكون بروتوكول نقل الإشارات هو TLS.

1	قم بالوصول إلى صفحة الويب الخاصة بإدارة الهاتف.
2	حدد الصوت > النص (n).
3	في قسم إعدادات SIP، قم بتعيين حقلي طلب MediaSec و MediaSec Over TLS فقط كما هو محدد في جدول معاملات التفاوض على أمان مستوى الوسائط.
4	انقر فوق إرسال جميع التغييرات.

معايير التفاوض الأمني على مستوى الوسائط

يحدد الجدول التالي وظيفة واستخدام معاملات طلب MediaSec و MediaSec Over TLS فقط على صفحة الويب الخاصة بالهاتف. كما تحدد أيضًا صيغة السلسلة التي تمت إضافتها في ملف تكوين الهاتف (cfg.xml) لتكوين المعلمة.

الجدول 2. معايير التفاوض الأمني على مستوى الوسائط
المعلمة	وصف
طلب ميدياسيك	يحدد ما إذا كان الهاتف يبدأ مفاوضات أمان مستوى الوسائط مع الخادم. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<MediaSec_Request_1_ ua="na">Yes</MediaSec_Request_1_>` في واجهة الويب الخاصة بالهاتف، قم بتعيين هذا الحقل إلى نعم أو لا حسب الحاجة. القيم المسموح بها: نعم\|لا نعم - وضع بدء العميل. يبدأ الهاتف مفاوضات أمن الطائرة الإعلامية. لا - وضع بدء الخادم. يبدأ الخادم مفاوضات أمان الطائرة الإعلامية. لا يبدأ الهاتف المفاوضات، ولكن يمكنه التعامل مع طلبات التفاوض من الخادم لإجراء مكالمات آمنة. الإعداد الافتراضي: لا
ميدياسيك عبر TLS فقط	يحدد بروتوكول نقل الإشارات الذي يتم تطبيق التفاوض الأمني على مستوى الوسائط عليه. قبل تعيين هذا الحقل إلى نعم، تأكد من أن بروتوكول نقل الإشارات هو TLS. قم بتنفيذ أحد الإجراءات التالية: في ملف تكوين الهاتف باستخدام XML (cfg.xml)، أدخل سلسلة بهذا التنسيق: `<MediaSec_Over_TLS_Only_1_ ua="na">No</MediaSec_Over_TLS_Only_1_>` في واجهة الويب الخاصة بالهاتف، قم بتعيين هذا الحقل إلى نعم أو لا حسب الحاجة. القيم المسموح بها: نعم\|لا نعم - يبدأ الهاتف أو يتعامل مع مفاوضات أمان مستوى الوسائط فقط عندما يكون بروتوكول نقل الإشارات هو TLS. لا - يقوم الهاتف ببدء المفاوضات الأمنية على مستوى الوسائط والتعامل معها بغض النظر عن بروتوكول نقل الإشارات. الإعداد الافتراضي: لا

تعيين تطبيق تدبيس OCSP

يساعد بروتوكول حالة الشهادة عبر الإنترنت (OCSP) على منع الاتصالات التي تستخدم شهادات تم إبطالها أثناء مصافحة TLS. مع تمكين تطبيق تدبيس OCSP، يطلب الهاتف استجابة OCSP المدبوسة ويتحقق من صحتها. يرفض الهاتف الاتصال إذا كانت الاستجابة غير صالحة أو أبلغ عن إبطال الشهادة. وهي ترفض استجابة مفقودة أو استجابة OCSP صالحة بحالة غير معروفة فقط عندما تتطلب شهادة الخادم تدبيس OCSP (أي أنها تحتوي على الامتداد الضروري). لا يزال التحقق العادي من الشهادة ساريًا.

1	قم بالوصول إلى صفحة الويب الخاصة بإدارة الهاتف.
2	حدد الصوت > النظام.
3	في قسم إعدادات الأمان، قم بتكوين إعداد فرض OCSP Stapling. يمكنك أيضًا تمكين المعلمات في ملف تكوين الهاتف (cfg.xml). `<OCSP_Stapling_Enforcementua="na">Enabled</OCSP_Stapling_Enforcement>` الإعداد الافتراضي: ممكّن الخيارات: معطل \| ممكّن
4	انقر فوق إرسال جميع التغييرات.

Cisco AI Assistant

شكرًا على ملاحظاتك.