أمان هاتف بروتوكول الإنترنت من Cisco على 9800/8875 (Unified CM)

يمكنك Cisco Unified Communications Manager تمكين العمل في بيئة أمان محسنة. مع هذه التحسينات، تعمل شبكة الهاتف الخاص بك تحت مجموعة من الضوابط الصارمة للأمان وإدارة المخاطر لحمايتك وحماية المستخدمين.

تتضمن بيئة الأمان المحسّنة الميزات التالية:

مصادقة البحث عن جهات الاتصال (للأدلة المخصصة فقط)
TCP كبروتوكول افتراضي لتسجيل التدقيق عن بُعد
وضع FIPS
سياسة بيانات اعتماد محسنة
دعم عائلة SHA-2 من الهاشات للتوقيعات الرقمية
دعم حجم مفتاح RSA يبلغ 512 بت و4096 بت

مع Cisco Unified Communications Manager الإصدار 14.0 والإصدار 2.1 من البرنامج الثابت لهاتف Cisco Video Phone والإصدارات الأحدث، تدعم الهواتف مصادقة SIP OAuth.

يتم دعم OAuth لبروتوكول Proxy Trival لنقل الملفات (TFTP) مع Cisco Unified Communications Manager الإصدار 14.0 (1) SU1 أو إصدار أحدث. لا يتم دعم بروكسي TFTP وOAuth للوكيل TFTP على الهاتف المحمول Remote Access (MRA).

للحصول على معلومات إضافية حول الأمان، راجع ما يلي:

دليل تكوين النظام للإصدار 14.0 (1) أو الأحدث (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-installation-and-configuration-guides-list.html). Cisco Unified Communications Manager
دليل الأمان لـ Cisco Unified Communications Manager (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-maintenance-guides-list.html)

يمكن لهاتفك تخزين عدد محدود فقط من ملفات قائمة الثقة بالهوية (ITL). لا يمكن أن تتجاوز ملفات ITL 64 ألفًا على الهاتف، لذا حدد عدد الملفات التي Cisco Unified Communications Manager يرسلها إلى الهاتف.

ميزات الأمان المدعومة

تحمي ميزات الأمان من التهديدات، بما في ذلك التهديدات لهوية الهاتف والبيانات. تعمل هذه الميزات على إنشاء تدفقات الاتصالات المصادق عليها والحفاظ عليها بين الهاتف Cisco Unified Communications Manager والخادم، والتأكد من أن الهاتف يستخدم الملفات الموقعة رقميًا فقط.

Cisco Unified Communications Managerيتضمن الإصدار 8.5 (1) والإصدارات الأحدث الأمان افتراضيًا، والذي يوفر ميزات الأمان التالية لهواتف Cisco IP دون تشغيل عميل CTL:

توقيع ملفات تكوين الهاتف
تشفير ملف تكوين الهاتف
HTTPS مع Tomcat وخدمات الويب الأخرى

لا تزال ميزات الإشارات والوسائط الآمنة تتطلب منك تشغيل عميل CTL واستخدام eTokens للأجهزة.

يؤدي تطبيق الأمان في Cisco Unified Communications Manager النظام إلى منع سرقة هوية الهاتف Cisco Unified Communications Manager والخادم، ويمنع التلاعب بالبيانات، ويمنع إرسال إشارات المكالمات والتلاعب ببث الوسائط.

وللتخفيف من حدة هذه التهديدات، تقوم شبكة Cisco IP الهاتفية بإنشاء تدفقات اتصال آمنة (مشفرة) والحفاظ عليها بين الهاتف والخادم، وتوقيع الملفات رقميًا قبل نقلها إلى الهاتف، وتشفير تدفقات الوسائط وإشارات المكالمات بين هواتف Cisco IP.

يتم تثبيت الشهادة ذات الأهمية المحلية (LSC) على الهواتف بعد تنفيذ المهام الضرورية المرتبطة بوظيفة Certificate Authority الوكيل (CAPF). يمكنك استخدامها Cisco Unified Communications Manager Administration لتكوين LSC، كما هو موضح في دليل Cisco Unified Communications Manager الأمان. بدلاً من ذلك، يمكنك بدء تثبيت LSC من قائمة إعدادات الأمان على الهاتف. تتيح لك هذه القائمة أيضًا تحديث LSC أو إزالته.

بدءًا من إصدار PhoneOS 3.2، يمكن استخدام LSC كشهادة مستخدم لـ EAP-TLS مع مصادقة WLAN.

تستخدم الهواتف ملف تعريف أمان الهاتف، الذي يحدد ما إذا كان الجهاز غير آمن أو آمن. للحصول على معلومات حول تطبيق ملف تعريف الأمان على الهاتف، راجع الوثائق الخاصة Cisco Unified Communications Manager بالإصدار الخاص بك.

إذا قمت بتكوين الإعدادات المتعلقة بالأمان فيCisco Unified Communications Manager Administration، فإن ملف تكوين الهاتف يحتوي على معلومات حساسة. لضمان خصوصية ملف التكوين، يجب تكوينه للتشفير. للحصول على معلومات تفصيلية، راجع الوثائق الخاصة Cisco Unified Communications Manager بالإصدار الخاص بك.

يتوافق الهاتف مع معيار معالجة المعلومات الفيدرالي (FIPS). لكي يعمل وضع FIPS بشكل صحيح، يتطلب حجم مفتاح يبلغ 2048 بت أو أكثر. إذا كانت الشهادة أقل من 2048 بت، فلن يتم تسجيل الهاتف بها Cisco Unified Communications Manager وفشل الهاتف في التسجيل. حجم مفتاح Cert ليس شاشات متوافقة مع FIPS على الهاتف.

إذا كان الهاتف يحتوي على LSC، فأنت بحاجة إلى تحديث حجم مفتاح LSC إلى 2048 بت أو أكثر قبل تمكين FIPS.

يقدم الجدول التالي نظرة عامة على ميزات الأمان التي تدعمها الهواتف. لمزيد من المعلومات، راجع الوثائق الخاصة Cisco Unified Communications Manager بالإصدار الخاص بك.

لعرض وضع الأمان، اضغط على الإعدادات مفتاح الإعدادات الثابت وانتقل إلى الشبكة والخدمة > إعدادات الأمان.

الجدول 1. نظرة عامة على ميزات الأمان
ميزة	وصف
مصادقة الصور	تمنع الملفات الثنائية الموقعة العبث بصورة البرنامج الثابت قبل تحميل الصورة على الهاتف. يؤدي التلاعب بالصورة إلى فشل الهاتف في عملية المصادقة ورفض الصورة الجديدة.
تثبيت شهادة موقع العميل	يتطلب كل هاتف من هواتف Cisco IP شهادة فريدة لمصادقة الجهاز. تتضمن الهواتف شهادة التصنيع المثبتة (MIC)، ولكن لمزيد من الأمان، يمكنك تحديد تثبيت الشهادة Cisco Unified Communications Manager Administration باستخدام وظيفة Certificate Authority الوكيل (CAPF). بدلاً من ذلك، يمكنك تثبيت شهادة ذات أهمية محلية (LSC) من قائمة تكوين الأمان على الهاتف.
مصادقة الجهاز	يحدث بين Cisco Unified Communications Manager الخادم والهاتف عندما يقبل كل كيان شهادة الكيان الآخر. يحدد ما إذا كان Cisco Unified Communications Manager يجب حدوث اتصال آمن بين الهاتف وa؛ وإذا لزم الأمر، يقوم بإنشاء مسار إشارة آمن بين الكيانات باستخدام بروتوكول TLS. Cisco Unified Communications Managerلا تسجل الهواتف ما لم تتمكن من المصادقة عليها.
مصادقة الملفات	يتحقق من صحة الملفات الموقعة رقميًا التي يقوم الهاتف بتنزيلها. يقوم الهاتف بالتحقق من صحة التوقيع للتأكد من عدم حدوث التلاعب بالملف بعد إنشاء الملف. لا تتم كتابة الملفات التي تفشل في المصادقة إلى ذاكرة Flash على الهاتف. يرفض الهاتف هذه الملفات دون مزيد من المعالجة.
تشفير الملفات	يمنع التشفير الكشف عن المعلومات الحساسة أثناء نقل الملف إلى الهاتف. بالإضافة إلى ذلك، يتحقق الهاتف من صحة التوقيع للتأكد من عدم حدوث التلاعب بالملف بعد إنشاء الملف. لا تتم كتابة الملفات التي تفشل في المصادقة إلى ذاكرة Flash على الهاتف. يرفض الهاتف هذه الملفات دون مزيد من المعالجة.
مصادقة إرسال الإشارات	يستخدم بروتوكول TLS للتحقق من عدم حدوث أي تلاعب في حزم الإشارات أثناء الإرسال.
شهادة التصنيع المثبتة	يحتوي كل هاتف من هواتف Cisco IP على شهادة تصنيع فريدة مثبتة (MIC) ، تُستخدم لمصادقة الجهاز. يوفر MIC إثباتًا فريدًا دائمًا لهوية الهاتف Cisco Unified Communications Manager ويسمح بمصادقة الهاتف.
تشفير الوسائط	يستخدم SRTP للتأكد من أن تدفقات الوسائط بين الأجهزة المدعومة آمنة وأن الجهاز المقصود فقط يستقبل البيانات ويقرأها. يتضمن إنشاء زوج مفاتيح أساسي للوسائط للأجهزة، وتسليم المفاتيح إلى الأجهزة، وتأمين تسليم المفاتيح أثناء نقل المفاتيح.
CAPF (وظيفة Certificate Authority الوكيل)	يقوم بتنفيذ أجزاء من إجراءات إنشاء الشهادات التي تتطلب معالجة مكثفة للغاية بالنسبة للهاتف، ويتفاعل مع الهاتف لتوليد المفاتيح وتثبيت الشهادة. يمكن تكوين CAPF لطلب الشهادات من سلطات الشهادات المحددة من قبل العميل نيابة عن الهاتف، أو يمكن تكوينه لإنشاء الشهادات محليًا. يتم دعم كل من أنواع مفاتيح EC (المنحنى البيضاوي) و RSA. لاستخدام مفتاح EC، تأكد من تمكين المعلمة «دعم خوارزميات التشفير المتقدمة لنقطة النهاية» (من النظام > معلمة المؤسسة). لمزيد من المعلومات حول CAPF والتكوينات ذات الصلة، راجع المستندات التالية: دليل الأمان لـ Cisco Unified Communications Manager مثال على إنشاء واستيراد LSCs الموقعة من طرف ثالث من CUCM تكوين التسجيل التلقائي للشهادة وتجديدها عبر CAPF Online CA
ملف تعريف الأمان	يحدد ما إذا كان الهاتف غير آمن أو مصدق أو مشفر أو محمي. وتصف الإدخالات الأخرى في هذا الجدول ميزات الأمان.
ملفات التكوين المشفرة	يتيح لك ضمان خصوصية ملفات تكوين الهاتف.
تعطيل خادم الويب الاختياري للهاتف	لأغراض أمنية، يمكنك منع الوصول إلى صفحات الويب الخاصة بالهاتف (التي تعرض إحصاءات تشغيلية متنوعة للهاتف) وبوابة الرعاية الذاتية.
تصلب الهاتف	خيارات الأمان الإضافية، التي يمكنك التحكم فيها من خلالCisco Unified Communications Manager Administration: تعطيل منفذ الكمبيوتر تعطيل ARP المجاني (GARP) تعطيل الوصول إلى شبكة VLAN الصوتية للكمبيوتر الشخصي تعطيل الوصول إلى قائمة الإعداد أو توفير وصول مقيد تعطيل الوصول إلى صفحات الويب للهاتف تعطيل منفذ ملحقات البلوتوث تقييد شفرات TLS
مصادقة 802.1X	يمكن لهاتف Cisco IP Phone استخدام مصادقة 802.1X لطلب الوصول إلى الشبكة والوصول إليها. راجع مصادقة 802.1X للحصول على مزيد من المعلومات.
تجاوز فشل SIP الآمن لـ SRST	بعد تكوين مرجع Survivable Remote Site Telephony (SRST) للأمان ثم إعادة تعيين الأجهزة التابعةCisco Unified Communications Manager Administration، يضيف خادم TFTP شهادة SRST إلى ملف cnf.xml الخاص بالهاتف ويرسل الملف إلى الهاتف. ثم يستخدم الهاتف الآمن اتصال TLS للتفاعل مع جهاز التوجيه الذي يدعم SRST.
تشفير الإشارات	يضمن تشفير جميع رسائل إشارات SIP المرسلة بين الجهاز Cisco Unified Communications Manager والخادم.
إنذار تحديث قائمة الثقة	عندما يتم تحديث قائمة الثقة على الهاتف، Cisco Unified Communications Manager تتلقى تنبيهًا للإشارة إلى نجاح التحديث أو فشله. راجع الجدول التالي لمزيد من المعلومات.
تشفير AES 256	عند الاتصال Cisco Unified Communications Manager بالإصدار 10.5 (2) والإصدارات الأحدث، تدعم الهواتف دعم تشفير AES 256 لـ TLS و SIP للإشارة وتشفير الوسائط. يتيح ذلك للهواتف بدء اتصالات TLS 1.2 ودعمها باستخدام الأصفار المستندة إلى AES-256 والتي تتوافق مع معايير SHA-2 (خوارزمية التجزئة الآمنة) ومتوافقة مع معايير معالجة المعلومات الفيدرالية (FIPS). تشمل الأصفار: بالنسبة لاتصالات TLS: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 بالنسبة لـ sRTP: AEAD_AES_256_GCM AEAD_AES_128_GCM لمزيد من المعلومات، راجع Cisco Unified Communications Manager الوثائق.
شهادات خوارزمية التوقيع الرقمي ذات المنحنى البيضاوي (ECDSA)	كجزء من شهادة المعايير المشتركة (CC)، تمت إضافة شهادات ECDSA في الإصدار 11.0Cisco Unified Communications Manager. يؤثر هذا على جميع منتجات نظام التشغيل الصوتي (VOS) التي تعمل بنظام CUCM 11.5 والإصدارات الأحدث.
شهادة Tomcat متعددة الخوادم (SAN) مع Cisco UCM	يدعم Cisco UCM الهاتف شهادات Tomcat متعددة الخوادم (SAN) التي تم تكوينها. يمكن العثور على عنوان خادم TFTP الصحيح في ملف ITL الخاص بالهاتف لتسجيل الهاتف. لمزيد من المعلومات حول الميزة، راجع ما يلي: كيفية تكوين شهادة Tomcat متعددة الخوادم (SAN) باستخدام Cisco UCM دليل الأمان لـ Cisco Unified Communications Manager

يحتوي الجدول التالي على رسائل التنبيه الخاصة بتحديث قائمة الثقة والمعنى. لمزيد من المعلومات، راجع Cisco Unified Communications Manager الوثائق.

الجدول 2. رسائل التنبيه لتحديث قائمة الثقة
الرمز والرسالة	وصف
1 - TL_SUCCESS	تم استلام CTL و/أو سجل المعاملات الدولي الجديد
2 - CTL_INITIAL_SUCCESS	تم استلام CTL جديدة، ولا توجد ليرة تركية حالية
3 - ITL_INITIAL_SUCCESS	تم استلام سجل المعاملات الدولي الجديد، ولا توجد ليرة تركية موجودة
4 - TL_INITIAL_SUCCESS	تم استلام CTL وسجل المعاملات الدولي الجديدين، ولا توجد ليرة تركية حالية
5 - TL_FAILED_OLD_CTL	فشل التحديث إلى CTL الجديد، ولكن لديك TL سابق
6 - TL_FAILED_NO_TL	فشل التحديث إلى TL الجديد، وليس لديك TL قديم
7 - TL_FAILED	فشل عام
8 - TL_FAILED_OLD_ITL	فشل التحديث إلى ITL الجديد، ولكن لديك TL سابق
9 - TL_FAILED_OLD_TL	فشل التحديث إلى TL الجديد، ولكن لديك TL سابق

توفر قائمة إعداد الأمان معلومات حول إعدادات الأمان المختلفة. توفر القائمة أيضًا الوصول إلى قائمة Trust List وتشير إلى ما إذا كان ملف CTL أو ITL مثبتًا على الهاتف.

يصف الجدول التالي الخيارات الموجودة في قائمة إعداد الأمان.

الجدول 3. قائمة إعداد الأمان
خيار	وصف	للتغيير
وضع الأمان	يعرض وضع الأمان الذي تم تعيينه للهاتف.	منCisco Unified Communications Manager Administration، اختر الجهاز > الهاتف. يظهر الإعداد في جزء المعلومات الخاصة بالبروتوكول من نافذة تكوين الهاتف.
LSC	يشير إلى ما إذا كانت الشهادة ذات الأهمية المحلية المستخدمة لميزات الأمان مثبتة على الهاتف (مثبتة) أو غير مثبتة على الهاتف (غير مثبتة).	للحصول على معلومات حول كيفية إدارة LSC لهاتفك، راجع الوثائق الخاصة Cisco Unified Communications Manager بالإصدار الخاص بك.

قم بإعداد شهادة ذات أهمية محلية (LSC)

تنطبق هذه المهمة على إعداد LSC باستخدام أسلوب سلسلة المصادقة.

قبل أن تبدأ

تأكد من اكتمال تكوينات الأمان المناسبة Cisco Unified Communications Manager ووظيفة Certificate Authority الوكيل (CAPF):

يحتوي ملف CTL أو ITL على شهادة CAPF.
في Cisco Unified Communications Operating System الإدارة، تحقق من تثبيت شهادة CAPF.
يتم تشغيل CAPF وتكوينه.

لمزيد من المعلومات حول هذه الإعدادات، راجع الوثائق الخاصة Cisco Unified Communications Manager بالإصدار الخاص بك.

1	احصل على رمز مصادقة CAPF الذي تم تعيينه عند تكوين CAPF.
2	على الهاتف، اضغط على الإعدادات.
3	أدخل كلمة المرور للوصول إلى قائمة الإعدادات، إذا طُلب منك ذلك. يمكنك الحصول على كلمة المرور من المسؤول.
4	انتقل إلى الشبكة والخدمة > إعدادات الأمان > LSC. يمكنك التحكم في الوصول إلى قائمة الإعدادات باستخدام حقل الوصول إلى الإعدادات فيCisco Unified Communications Manager Administration.
5	أدخل سلسلة المصادقة وحدد إرسال. يبدأ الهاتف في تثبيت LSC أو تحديثه أو إزالته، اعتمادًا على كيفية تكوين CAPF. عند اكتمال الإجراء، يتم عرض «مثبت أو غير مثبت» على الهاتف. يمكن أن تستغرق عملية تثبيت LSC أو تحديثها أو إزالتها وقتًا طويلاً حتى تكتمل. عند نجاح إجراء تثبيت الهاتف، تظهر رسالة `التثبيت`. إذا كانت شاشة الهاتف `غير مثبتة`، فقد تكون سلسلة التفويض غير صحيحة أو قد لا يتم تمكين ترقية الهاتف. إذا أدت عملية CAPF إلى حذف LSC، فسيعرض الهاتف ميزة «`غير مثبت`» للإشارة إلى نجاح العملية . يقوم خادم CAPF بتسجيل رسائل الخطأ. راجع وثائق خادم CAPF لتحديد السجلات وفهم معنى رسائل الخطأ.

تمكين وضع FIPS

1	فيCisco Unified Communications Manager Administration، حدد الجهاز > الهاتف وحدد موقع الهاتف.
2	انتقل إلى منطقة التكوين الخاص بالمنتج.
3	قم بتعيين حقل وضع FIPS إلى ممكّن.
4	حدد حفظ.
5	حدد تطبيق التكوين.
6	أعد تشغيل الهاتف.

قم بإيقاف تشغيل مكبر الصوت وسماعة الرأس والهاتف على الهاتف

لديك خيارات إيقاف تشغيل مكبر الصوت وسماعة الرأس والهاتف بشكل دائم على الهاتف للمستخدم الخاص بك.

1	فيCisco Unified Communications Manager Administration، حدد الجهاز > الهاتف وحدد موقع الهاتف.
2	انتقل إلى منطقة التكوين الخاص بالمنتج.
3	حدد واحدًا أو أكثر من خانات الاختيار التالية لإيقاف تشغيل إمكانيات الهاتف: تعطيل مكبر الصوت قم بتعطيل مكبر الصوت وسماعة الرأس تعطيل الهاتف افتراضيًا، يتم إلغاء تحديد خانات الاختيار هذه.
4	حدد حفظ.
5	حدد تطبيق التكوين.

مصادقة 802.1X

تدعم هواتف Cisco IP مصادقة 802.1X.

تستخدم هواتف Cisco IP ومحولات Cisco Catalyst تقليديًا Cisco Discovery Protocol (CDP) لتعريف بعضها البعض وتحديد المعلمات مثل تخصيص VLAN ومتطلبات الطاقة المضمنة. لا تحدد CDP محطات العمل المتصلة محليًا. توفر هواتف Cisco IP آلية تمرير EAPOL. تسمح هذه الآلية لمحطة العمل المتصلة بهاتف Cisco IP بتمرير رسائل EAPOL إلى مصادقة 802.1X في محول LAN. تضمن آلية المرور أن هاتف IP لا يعمل كمحول LAN لمصادقة نقطة نهاية البيانات قبل الوصول إلى الشبكة.

توفر هواتف Cisco IP أيضًا آلية تسجيل خروج EAPOL للوكيل. في حالة قطع اتصال الكمبيوتر المتصل محليًا بهاتف IP، لا يرى محول LAN فشل الارتباط المادي، نظرًا لأن الارتباط بين محول LAN وهاتف IP يتم الحفاظ عليه. لتجنب المساس بسلامة الشبكة، يرسل هاتف IP رسالة EAPOL-logoff إلى المحول نيابة عن الكمبيوتر الشخصي النهائي، مما يؤدي إلى تشغيل محول LAN لمسح إدخال المصادقة للكمبيوتر الشخصي النهائي.

يتطلب دعم مصادقة 802.1X عدة مكونات:

هاتف Cisco IP: يبدأ الهاتف طلب الوصول إلى الشبكة. تحتوي هواتف Cisco IP على مقدم الطلب 802.1X. يسمح هذا المتوسل لمسؤولي الشبكة بالتحكم في اتصال هواتف IP بمنافذ محول LAN. يستخدم الإصدار الحالي لموسل الهاتف 802.1X خياري EAP-FAST وEAP-TLS لمصادقة الشبكة.
خادم المصادقة: يجب تكوين كل من خادم المصادقة والمحول بسر مشترك يقوم بمصادقة الهاتف.
المحول: يجب أن يدعم المحول 802.1X، حتى يتمكن من العمل كمصدق وتمرير الرسائل بين الهاتف وخادم المصادقة. بعد اكتمال التبادل، يمنح المحول أو يرفض وصول الهاتف إلى الشبكة.

يجب تنفيذ الإجراءات التالية لتكوين 802.1X.

قم بتكوين المكونات الأخرى قبل تمكين مصادقة 802.1X على الهاتف.
تكوين منفذ الكمبيوتر الشخصي: لا يأخذ معيار 802.1X في الاعتبار شبكات VLAN وبالتالي يوصي بمصادقة جهاز واحد فقط على منفذ محول معين. ومع ذلك، تدعم بعض المحولات المصادقة متعددة المجالات. يحدد تكوين المحول ما إذا كان بإمكانك توصيل جهاز كمبيوتر بمنفذ الكمبيوتر الخاص بالهاتف.
- ممكّن: إذا كنت تستخدم محولًا يدعم المصادقة متعددة المجالات، فيمكنك تمكين منفذ الكمبيوتر وتوصيل جهاز كمبيوتر به. في هذه الحالة، تدعم هواتف Cisco IP Proxy Eapol-logoff لمراقبة عمليات تبادل المصادقة بين المحول والكمبيوتر المتصل.
  
  لمزيد من المعلومات حول دعم IEEE 802.1X على محولات Cisco Catalyst، راجع أدلة تكوين محول Cisco Catalyst على:
  
  http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
- معطل: إذا كان المحول لا يدعم العديد من الأجهزة المتوافقة مع 802.1X على نفس المنفذ، فيجب عليك تعطيل منفذ الكمبيوتر عند تمكين مصادقة 802.1X. إذا لم تقم بتعطيل هذا المنفذ ثم حاولت توصيل جهاز كمبيوتر به، فإن المحول يرفض الوصول إلى الشبكة لكل من الهاتف والكمبيوتر.
تكوين Voice VLAN: نظرًا لأن معيار 802.1X لا يأخذ في الحسبان شبكات VLAN، يجب تكوين هذا الإعداد استنادًا إلى دعم المحول.
- ممكّن: إذا كنت تستخدم محولًا يدعم المصادقة متعددة النطاقات، فيمكنك متابعته لاستخدام VLAN الصوتية.
- معطل: إذا كان المحول لا يدعم المصادقة متعددة المجالات، فقم بتعطيل Voice VLAN وفكر في تخصيص المنفذ لشبكة VLAN الأصلية.
(لسلسلة هواتف سيسكو المكتبية 9800 فقط)
تحتوي سلسلة هواتف Cisco Desk Phone 9800 على بادئة مختلفة في PID عن تلك الخاصة بهواتف Cisco الأخرى. لتمكين هاتفك من اجتياز مصادقة 802.1X، قم بتعيين المعلمة Radius·User-Name لتضمين سلسلة هاتف Cisco Desk Phone 9800.
على سبيل المثال، رقم التعريف الشخصي للهاتف 9841 هو DP-9841؛ يمكنك تعيين النطاق · اسم المستخدم ليبدأ بـ DP أو يحتوي على DP. يمكنك تعيينها في كلا القسمين التاليين:
- السياسة > الشروط > شروط المكتبة
- السياسة > مجموعات السياسات > سياسة التخويل > قاعدة التخويل 1

تمكين مصادقة 802.1X

يمكنك تمكين مصادقة 802.1X لهاتفك باتباع الخطوات التالية:

1	اضغط على الإعدادات.
2	أدخل كلمة المرور للوصول إلى قائمة الإعدادات، إذا طُلب منك ذلك. يمكنك الحصول على كلمة المرور من المسؤول.
3	انتقل إلى الشبكة والخدمة > إعدادات الأمان > مصادقة 802.1X.
4	قم بتشغيل مصادقة IEEE 802.1X.
5	حدد تطبيق.

عرض معلومات حول إعدادات الأمان على الهاتف

يمكنك عرض المعلومات حول إعدادات الأمان في قائمة الهاتف. يعتمد توفر المعلومات على إعدادات الشبكة في مؤسستك.

الجدول 4. المعلمات الخاصة بإعدادات الأمان
المعلمات	وصف
وضع الأمان	يعرض وضع الأمان الذي تم تعيينه للهاتف.
LSC	يشير إلى ما إذا كانت الشهادة ذات الأهمية المحلية المستخدمة لميزات الأمان مثبتة على الهاتف (نعم) أو غير مثبتة على الهاتف (لا).
قائمة الثقة	توفر قائمة الثقة قوائم فرعية لملفات CTL وITL والتكوين الموقّع. تعرض القائمة الفرعية لملف CTL محتويات ملف CTL. تعرض القائمة الفرعية لملف ITL محتويات ملف ITL. تعرض قائمة Trust List أيضًا المعلومات التالية: توقيع CTL: تجزئة SHA1 لملف CTL Unified CM/خادم TFTP: اسم خادم TFTP Cisco Unified Communications Manager وخادم TFTP الذي يستخدمه الهاتف. يعرض رمز الشهادة في حالة تثبيت شهادة لهذا الخادم. خادم CAPF: اسم خادم CAPF الذي يستخدمه الهاتف. يعرض رمز الشهادة في حالة تثبيت شهادة لهذا الخادم. جهاز توجيه SRST: عنوان IP لجهاز توجيه SRST الموثوق به الذي يمكن للهاتف استخدامه. يعرض رمز الشهادة في حالة تثبيت شهادة لهذا الخادم.
مصادقة 802.1X	يقوم بتمكين مصادقة IEEE 802.1X أو تعطيلها. لمزيد من التفاصيل، راجع مصادقة 802.1X.
التوافق مع الإصدارات السابقة مع WPA	يحدد ما إذا كان الإصدار الأقدم من Wi-Fi Protected Access (WPA) متوافقًا على الهاتف للاتصال بشبكة لاسلكية أو نقطة وصول (AP). في حالة التمكين، يمكن للهاتف البحث والاتصال بالشبكات اللاسلكية مع دعم جميع إصدارات WPA، بما في ذلك WPA وWPA2 وWPA3. بالإضافة إلى ذلك، يمكن للهاتف البحث والاتصال بنقاط الوصول التي تدعم فقط الإصدار الأقدم من WPA. في حالة التعطيل (الافتراضي)، يمكن للهاتف فقط البحث والاتصال بالشبكات اللاسلكية ونقاط الوصول التي تدعم WPA2 وWPA3. تتوفر هذه الميزة فقط على هواتف 9861/9871/8875.

1	اضغط على الإعدادات.
2	انتقل إلى الشبكة والخدمة > إعدادات الأمان.
3	في إعدادات الأمان، اعرض معلومات الأمان.

أمان المكالمات الهاتفية

عند تطبيق الأمان على الهاتف، يمكنك تحديد المكالمات الهاتفية الآمنة من خلال الرموز الموجودة على شاشة الهاتف. يمكنك أيضًا تحديد ما إذا كان الهاتف المتصل آمنًا ومحميًا إذا تم تشغيل نغمة الأمان في بداية المكالمة.

في مكالمة آمنة، يتم تشفير جميع إشارات المكالمات وتدفقات الوسائط. توفر المكالمة الآمنة مستوى عالٍ من الأمان، مما يوفر النزاهة والخصوصية للمكالمة. عندما يتم تشفير مكالمة قيد التقدم، يمكنك رؤية الرمز الآمن the lock icon for a secure call على الخط. للحصول على هاتف آمن، يمكنك أيضًا عرض الرمز المصادق أو الرمز المشفر بجوار الخادم المتصل في قائمة الهاتف (الإعدادات > حول هذا الجهاز).

إذا تم توجيه المكالمة من خلال أرجل مكالمات غير IP، على سبيل المثال، PSTN، فقد تكون المكالمة غير آمنة على الرغم من أنها مشفرة داخل شبكة IP ولديها رمز قفل مرتبط بها.

في المكالمة الآمنة، يتم تشغيل نغمة الأمان في بداية المكالمة للإشارة إلى أن الهاتف المتصل الآخر يتلقى أيضًا صوتًا آمنًا وينقله. إذا كانت مكالمتك تتصل بهاتف غير آمن، فلن يتم تشغيل نغمة الأمان.

يتم دعم الاتصال الآمن للاتصالات بين هاتفين فقط. لا تتوفر بعض الميزات، مثل المكالمات الجماعية والخطوط المشتركة، عند تكوين الاتصال الآمن.

عندما يتم تكوين الهاتف على أنه آمن (مشفر وموثوق به)Cisco Unified Communications Manager، يمكن منحه حالة محمية. بعد ذلك، إذا رغبت في ذلك، يمكن تكوين الهاتف المحمي لتشغيل نغمة إشارة في بداية المكالمة:

جهاز محمي: لتغيير حالة هاتف آمن إلى محمي، حدد خانة اختيار الجهاز المحمي في نافذة تكوين الهاتف في Cisco Unified Communications Manager Administration (الجهاز > الهاتف).
تشغيل نغمة الإشارة الآمنة: لتمكين الهاتف المحمي من تشغيل نغمة إشارة آمنة أو غير آمنة، اضبط إعداد تشغيل نغمة الإشارة الآمنة على True. افتراضيًا، يتم تعيين نغمة تشغيل الإشارة الآمنة إلى False. يمكنك تعيين هذا الخيار في Cisco Unified Communications Manager Administration (النظام > معلمات الخدمة). حدد الخادم ثم خدمة إدارة الاتصالات الموحدة. في نافذة تكوين معلمة الخدمة، حدد الخيار في منطقة الميزة - النغمة الآمنة. القيمة الافتراضية هي False.

تحديد آمن للمكالمات الجماعية

يمكنك بدء مكالمة جماعية آمنة ومراقبة مستوى أمان المشاركين. يتم إنشاء مكالمة جماعية آمنة باستخدام هذه العملية:

يبدأ المستخدم المؤتمر من هاتف آمن.
Cisco Unified Communications Managerيقوم بتعيين جسر مؤتمر آمن للمكالمة.
عند إضافة المشاركين، Cisco Unified Communications Manager يتحقق من وضع الأمان لكل هاتف ويحافظ على المستوى الآمن للمؤتمر.
يعرض الهاتف مستوى الأمان للمكالمة الجماعية. يعرض المؤتمر الآمن الرمز الآمن.

يتم دعم الاتصال الآمن بين هاتفين. بالنسبة للهواتف المحمية، لا تتوفر بعض الميزات، مثل المكالمات الجماعية والخطوط المشتركة وExtension Mobility، عند تكوين الاتصال الآمن.

يوفر الجدول التالي معلومات حول التغييرات في مستويات أمان المؤتمر وفقًا لمستوى أمان هاتف البادئ ومستويات أمان المشاركين وتوافر جسور المؤتمرات الآمنة.

الجدول 5. القيود الأمنية مع المكالمات الجماعية
مستوى أمان هاتف البادئ	الميزة المستخدمة	مستوى الأمان للمشاركين	نتائج العمل
غير آمن	مؤتمر	آمن	جسر مؤتمرات غير آمن مؤتمر غير آمن
آمن	مؤتمر	عضو واحد على الأقل غير آمن.	جسر مؤتمرات آمن مؤتمر غير آمن
آمن	مؤتمر	آمن	جسر مؤتمرات آمن مؤتمر آمن على مستوى مشفر
غير آمن	قابلني	يتم تشفير الحد الأدنى من مستوى الأمان.	يتلقى البادئ رسالة `لا تفي بمستوى الأمان، تم رفض المكالمة`.
آمن	قابلني	الحد الأدنى لمستوى الأمان غير آمن.	جسر مؤتمرات آمن يقبل المؤتمر جميع المكالمات.

تحديد آمن للمكالمات الهاتفية

يتم إنشاء مكالمة آمنة عندما يتم تكوين هاتفك والهاتف الموجود على الطرف الآخر لإجراء مكالمات آمنة. يمكن أن يكون الهاتف الآخر في نفس شبكة Cisco IP، أو على شبكة خارج شبكة IP. لا يمكن إجراء مكالمات آمنة إلا بين هاتفين. يجب أن تدعم المكالمات الجماعية المكالمة الآمنة بعد إعداد جسر المؤتمر الآمن.

يتم إنشاء مكالمة آمنة باستخدام هذه العملية:

يبدأ المستخدم المكالمة من هاتف آمن (وضع الأمان الآمن).
يعرض الهاتف الرمز الآمن على شاشة الهاتف. يشير هذا الرمز إلى أن الهاتف تم تكوينه لإجراء مكالمات آمنة، ولكن هذا لا يعني أن الهاتف المتصل الآخر آمن أيضًا.
يسمع المستخدم نغمة أمان في حالة اتصال المكالمة بهاتف آمن آخر، مما يشير إلى أن كلا طرفي المحادثة مشفران ومؤمنان. إذا كانت المكالمة تتصل بهاتف غير آمن، فلن يسمع المستخدم نغمة الأمان.

تقوم الهواتف المحمية فقط بتشغيل نغمات الإشارة الآمنة أو غير الآمنة هذه. لا تقوم الهواتف غير المحمية بتشغيل النغمات أبدًا. إذا تغيرت الحالة العامة للمكالمة أثناء المكالمة، تتغير نغمة الإشارة ويقوم الهاتف المحمي بتشغيل النغمة المناسبة.

يقوم الهاتف المحمي بتشغيل نغمة أو عدم تشغيله في ظل هذه الظروف:

عند تمكين خيار تشغيل نغمة الإشارة الآمنة:
- عندما يتم إنشاء وسائط آمنة من البداية إلى النهاية وتكون حالة المكالمة آمنة، يقوم الهاتف بتشغيل نغمة الإشارة الآمنة (ثلاث صفارات طويلة مع فترات توقف).
- عندما يتم إنشاء وسائط غير آمنة من البداية إلى النهاية وتكون حالة المكالمة غير آمنة، يقوم الهاتف بتشغيل نغمة الإشارة غير الآمنة (ست صفارات قصيرة مع فترات توقف قصيرة).

إذا تم تعطيل خيار تشغيل نغمة الإشارة الآمنة، فلن يتم تشغيل أي نغمة.

توفير التشفير للبارجة

Cisco Unified Communications Managerيتحقق من حالة أمان الهاتف عند إنشاء المؤتمرات ويغير مؤشر الأمان للمؤتمر أو يمنع إكمال المكالمة للحفاظ على النزاهة والأمان في النظام.

لا يمكن للمستخدم الدخول في مكالمة مشفرة إذا لم يتم تكوين الهاتف المستخدم في البارجة للتشفير. عند فشل البارجة في هذه الحالة، يتم تشغيل نغمة إعادة الترتيب (الانشغال السريع) على الهاتف الذي بدأت فيه البارجة.

إذا تم تكوين هاتف البادئ للتشفير، يمكن لبادئ البارجة الدخول في مكالمة غير آمنة من الهاتف المشفر. بعد حدوث البارجة، يتم Cisco Unified Communications Manager تصنيف المكالمة على أنها غير آمنة.

إذا تم تكوين هاتف البادئ للتشفير، يمكن لبادئ البارجة الدخول في مكالمة مشفرة، ويشير الهاتف إلى أن المكالمة مشفرة.

أمان شبكة WLAN

نظرًا لأن جميع أجهزة WLAN الموجودة ضمن النطاق يمكنها استقبال كل حركة مرور WLAN الأخرى، فإن تأمين الاتصالات الصوتية أمر بالغ الأهمية في شبكات WLAN. لضمان عدم قيام المتسللين بمعالجة حركة المرور الصوتية أو اعتراضها، تدعم بنية Cisco SAFE Security الهاتف. لمزيد من المعلومات حول الأمان في الشبكات، راجع http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

يوفر حل الاتصال الهاتفي عبر بروتوكول الإنترنت اللاسلكي من Cisco أمان الشبكة اللاسلكية الذي يمنع عمليات تسجيل الدخول غير المصرح بها والاتصالات المخترقة باستخدام أساليب المصادقة التالية التي يدعمها الهاتف:

المصادقة المفتوحة: يمكن لأي جهاز لاسلكي طلب المصادقة في نظام مفتوح. قد تمنح AP التي تتلقى الطلب المصادقة لأي طالب أو فقط لمقدمي الطلبات الموجودين في قائمة المستخدمين. قد يكون الاتصال بين الجهاز اللاسلكي ونقطة الوصول (AP) غير مشفر.
بروتوكول المصادقة القابل للتوسعة - المصادقة المرنة عبر المصادقة النفقية الآمنة (EAP-FAST): تقوم بنية أمان خادم العميل هذه بتشفير معاملات EAP داخل نفق أمان مستوى النقل (TLS) بين AP وخادم RADIUS، مثل محرك خدمات الهوية (ISE).

يستخدم نفق TLS بيانات اعتماد الوصول المحمي (PACs) للمصادقة بين العميل (الهاتف) وخادم RADIUS. يرسل الخادم معرف السلطة (AID) إلى العميل (الهاتف)، والذي بدوره يحدد PAC المناسب. يقوم العميل (الهاتف) بإرجاع PAC معتم إلى خادم RADIUS. يقوم الخادم بفك تشفير PAC باستخدام المفتاح الأساسي. تحتوي كلتا نقطتي النهاية الآن على مفتاح PAC ويتم إنشاء نفق TLS. يدعم EAP-FAST التزويد التلقائي لـ PAC، ولكن يجب تمكينه على خادم RADIUS.

في ISE، بشكل افتراضي، تنتهي صلاحية PAC في أسبوع واحد. إذا كان الهاتف يحتوي على PAC منتهي الصلاحية، فإن المصادقة مع خادم RADIUS تستغرق وقتًا أطول بينما يحصل الهاتف على PAC جديد. لتجنب التأخير في توفير PAC، قم بتعيين فترة انتهاء صلاحية PAC إلى 90 يومًا أو أكثر على خادم ISE أو RADIUS.
بروتوكول المصادقة المتوسع - مصادقة أمان طبقة النقل (EAP-TLS): تتطلب EAP-TLS شهادة عميل للمصادقة والوصول إلى الشبكة. بالنسبة للشبكة اللاسلكية EAP-TLS، يمكن أن تكون شهادة العميل هي MIC أو LSC أو الشهادة المثبتة من قبل المستخدم.
بروتوكول المصادقة المحمية القابلة للتوسعة (PEAP): نظام المصادقة المتبادلة المستند إلى كلمة المرور الخاص بشركة Cisco بين العميل (الهاتف) وخادم RADIUS. يمكن للهاتف استخدام PEAP للمصادقة مع الشبكة اللاسلكية. يتم دعم كل من أساليب المصادقة PEAP-MSCHAPV2 وPEAP-GTC.
مفتاح مشترك مسبقًا (PSK): يدعم الهاتف صيغة ASCII. يجب استخدام هذا التنسيق عند إعداد مفتاح WPA/WPA2/SAE المشترك مسبقًا:

ASCII: سلسلة أحرف ASCII من 8 إلى 63 حرفًا في الطول (0-9 والأحرف الصغيرة والكبيرة A-Z والأحرف الخاصة)

مثال: GREG123567 @9ZX &W

تستخدم أنظمة المصادقة التالية خادم RADIUS لإدارة مفاتيح المصادقة:

WPA/WPA2/WPA3: يستخدم معلومات خادم RADIUS لإنشاء مفاتيح فريدة للمصادقة. نظرًا لأن هذه المفاتيح يتم إنشاؤها في خادم RADIUS المركزي، فإن WPA2/WPA3 يوفر أمانًا أكثر من مفاتيح WPA المشتركة مسبقًا المخزنة على AP والهاتف.
التجوال الآمن السريع: يستخدم خادم RADIUS ومعلومات خادم المجال اللاسلكي (WDS) لإدارة المفاتيح والمصادقة عليها. يقوم WDS بإنشاء ذاكرة تخزين مؤقت لبيانات اعتماد الأمان لأجهزة العميل التي تدعم FT لإعادة المصادقة السريعة والآمنة. يدعم هاتف مكتب سيسكو 9861 و9871 وهاتف فيديو سيسكو 8875 معيار 802.11r (FT). يتم دعم كل من الجو وعبر DS للسماح بالتجوال الآمن السريع. لكننا نوصي بشدة باستخدام طريقة 802.11r (FT) عبر الهواء.

باستخدام WPA/WPA2/WPA3، لا يتم إدخال مفاتيح التشفير على الهاتف، ولكن يتم اشتقاقها تلقائيًا بين AP والهاتف. ولكن يجب إدخال اسم مستخدم EAP وكلمة المرور المستخدمة للمصادقة على كل هاتف.

للتأكد من أن حركة المرور الصوتية آمنة، يدعم الهاتف TKIP و AES للتشفير. عند استخدام هذه الآليات للتشفير، يتم تشفير كل من حزم SIP الخاصة بالإشارات وحزم بروتوكول النقل الصوتي في الوقت الحقيقي (RTP) بين AP والهاتف.

TKIP: يستخدم WPA تشفير TKIP الذي يحتوي على العديد من التحسينات على WEP. يوفر TKIP تشفير المفاتيح لكل حزمة ومتجهات التهيئة الأطول (IVs) التي تعزز التشفير. بالإضافة إلى ذلك، يضمن فحص تكامل الرسائل (MIC) عدم تغيير الحزم المشفرة. يزيل TKIP إمكانية التنبؤ بـ WEP التي تساعد المتسللين على فك تشفير مفتاح WEP.
AES: طريقة تشفير تستخدم لمصادقة WPA2/WPA3. تستخدم هذه المواصفة القياسية الوطنية للتشفير خوارزمية متماثلة لها نفس مفتاح التشفير وفك التشفير. تستخدم AES تشفير سلسلة حظر التشفير (CBC) بحجم 128 بت، والذي يدعم أحجام المفاتيح من 128 بت و 192 بت و 256 بت، كحد أدنى. يدعم الهاتف حجم مفتاح 256 بت.

لا يدعم هاتف مكتب Cisco 9861 و9871 وهاتف فيديو Cisco 8875 بروتوكول تكامل مفاتيح Cisco (CKIP) مع CMIC.

يتم إعداد أنظمة المصادقة والتشفير داخل شبكة LAN اللاسلكية. يتم تكوين شبكات VLAN في الشبكة وعلى نقاط الوصول وتحديد مجموعات مختلفة من المصادقة والتشفير. يرتبط SSID بشبكة VLAN ونظام المصادقة والتشفير المحدد. حتى تتمكن أجهزة العميل اللاسلكية من المصادقة بنجاح، يجب تكوين معرفات SSID نفسها مع أنظمة المصادقة والتشفير الخاصة بها على نقاط الوصول وعلى الهاتف.

تتطلب بعض أنظمة المصادقة أنواعًا محددة من التشفير.

عند استخدام مفتاح WPA المشترك مسبقًا أو مفتاح WPA2 المشترك مسبقًا أو SAE، يجب تعيين المفتاح المشترك مسبقًا بشكل ثابت على الهاتف. يجب أن تتطابق هذه المفاتيح مع المفاتيح الموجودة على AP.
يدعم الهاتف التفاوض التلقائي لـ EAP لـ FAST أو PEAP، ولكن ليس لـ TLS. بالنسبة لوضع EAP-TLS، يجب تحديده.

تعرض أنظمة المصادقة والتشفير في الجدول التالي خيارات تكوين الشبكة للهاتف الذي يتوافق مع تكوين AP.

الجدول 6. أنظمة المصادقة والتشفير
نوع FSR	المصادقة	إدارة المفاتيح	التشفير	إطار الإدارة المحمي (PMF)
802.11r (FT)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	لا
802.11r (FT)	WPA3	SAE FT-SAE	AES	نعم
802.11r (FT)	EAP-TLS	WPA-EAP FT-EAP	AES	لا
802.11r (FT)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	نعم
802.11r (FT)	EAP-FAST	WPA-EAP FT-EAP	AES	لا
802.11r (FT)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	نعم
802.11r (FT)	EAP-PEAP	WPA-EAP FT-EAP	AES	لا
802.11r (FT)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	نعم

تكوين ملف تعريف الشبكة المحلية اللاسلكية

يمكنك إدارة ملف تعريف الشبكة اللاسلكية الخاص بك عن طريق تكوين بيانات الاعتماد ونطاق التردد وطريقة المصادقة وما إلى ذلك.

ضع الملاحظات التالية في الاعتبار قبل تكوين ملف تعريف WLAN:

اسم المستخدم وكلمة المرور
- عندما تستخدم شبكتك EAP-FAST وPEAP لمصادقة المستخدم، يجب تكوين كل من اسم المستخدم وكلمة المرور إذا لزم الأمر في خدمة مستخدم طلب المصادقة عن بُعد (RADIUS) والهاتف.
- يجب أن تكون بيانات الاعتماد التي تدخلها في ملف تعريف LAN اللاسلكي متطابقة مع بيانات الاعتماد التي قمت بتكوينها على خادم RADIUS.
- إذا كنت تستخدم نطاقات داخل شبكتك، يجب إدخال اسم المستخدم مع اسم المجال، بالتنسيق: domain\ username.
قد تؤدي الإجراءات التالية إلى مسح كلمة مرور Wi-Fi الحالية:
- إدخال معرف مستخدم أو كلمة مرور غير صالحة
- تثبيت مرجع مصدق جذري غير صالح أو منتهي الصلاحية عند تعيين نوع EAP إلى PEAP-MSCHAPV2 أو PEAP-GTC
- تعطيل نوع EAP قيد الاستخدام على خادم RADIUS قبل تحويل الهاتف إلى نوع EAP الجديد
لتغيير نوع EAP، تأكد من تمكين نوع EAP الجديد على خادم RADIUS أولاً، ثم قم بتبديل الهاتف إلى نوع EAP. عندما يتم تغيير جميع الهواتف إلى نوع EAP الجديد، يمكنك تعطيل نوع EAP السابق إذا كنت تريد ذلك.

1	فيCisco Unified Communications Manager Administration، حدد الجهاز > إعدادات الجهاز > ملف تعريف الشبكة المحلية اللاسلكية.
2	اختر ملف تعريف الشبكة الذي تريد تكوينه.
3	قم بإعداد المعلمات.
4	انقر فوق حفظ.

قم بتكوين معاملات SCEP

بروتوكول تسجيل الشهادات البسيط (SCEP) هو المعيار لتوفير الشهادات وتجديدها تلقائيًا . يمكن لخادم SCEP الاحتفاظ تلقائيًا بشهادات المستخدم والخادم.

يجب تكوين معلمات SCEP التالية على صفحة الويب الخاصة بهاتفك

عنوان IP الخاص بـ RA
بصمة SHA-1 أو SHA-256 لشهادة CA الجذرية لخادم SCEP

تعمل هيئة Cisco IOS التسجيل (RA) كوكيل لخادم SCEP. يستخدم عميل SCEP على الهاتف المعلمات التي تم تنزيلها من Cisco Unified Communication Manager. بعد تكوين المعلمات، يرسل الهاتف طلب SCEP getcs إلى RA ويتم التحقق من صحة شهادة CA الجذرية باستخدام بصمة الإصبع المحددة.

قبل أن تبدأ

على خادم SCEP، قم بتكوين عامل تسجيل SCEP (RA) إلى:

العمل كنقطة ثقة لـ PKI
بمثابة جهاز PKI RA
قم بإجراء مصادقة الجهاز باستخدام خادم RADIUS

لمزيد من المعلومات، راجع وثائق خادم SCEP.

1	منCisco Unified Communications Manager Administration، حدد الجهاز > الهاتف.
2	حدد موقع الهاتف.
3	انتقل إلى منطقة تخطيط التكوين الخاص بالمنتج.
4	أدخل عنوان RA IP أو اسم المضيف في حقل WLAN SCEP Server، ثم حدد خانة الاختيار لتنشيط معلمة SCEP.
5	أدخل بصمة SHA-1 أو SHA-256 لشهادة CA الجذرية في حقل بصمة WLAN Root CA (SHA256 أو SHA1)، ثم حدد خانة الاختيار لتنشيط معلمة SCEP QED.
6	حدد حفظ.
7	حدد تطبيق التكوين.

قم بإعداد الإصدارات المدعومة من TLS

يمكنك إعداد الحد الأدنى من إصدار TLS المطلوب للعميل والخادم على التوالي.

افتراضيًا، يكون الحد الأدنى لإصدار TLS للخادم والعميل هو 1.2. يؤثر الإعداد على الوظائف التالية:

اتصال الوصول إلى الويب HTTPS
الإعداد للحصول على هاتف محلي
الإعداد للأجهزة المحمولة و Remote Access (MRA)
خدمات HTTPS، مثل خدمات الدليل
أمان طبقة نقل مخطط البيانات (DTLS)
كيان الوصول إلى المنفذ (PAE)
بروتوكول المصادقة المتوسع - أمان طبقة النقل (EAP-TLS)

لمزيد من المعلومات حول توافق TLS 1.3 لهواتف Cisco IP، راجع مصفوفة توافق TLS 1.3 لمنتجات التعاون من Cisco.

1	قم بتسجيل الدخول Cisco Unified Communications Manager Administration كمسؤول.
2	انتقل إلى إحدى النوافذ التالية: النظام > تكوين هاتف المؤسسة الجهاز > إعدادات الجهاز > ملف تعريف الهاتف العام الجهاز > الهاتف > تكوين الهاتف
3	قم بإعداد حقل الإصدار الأدنى لعميل TLS: يتوفر خيار «TLS 1.3" على Cisco Unified CM 15SU2 أو في وقت لاحق. TLS 1.1: يدعم عميل TLS إصدارات TLS من 1.1 إلى 1.3. إذا كان إصدار TLS في الخادم أقل من 1.1، على سبيل المثال، 1.0، فلا يمكن إنشاء الاتصال. TLS 1.2 (افتراضي): يدعم عميل TLS TLS 1.2 و1.3. إذا كان إصدار TLS في الخادم أقل من 1.2، على سبيل المثال، 1.1 أو 1.0، فلا يمكن إنشاء الاتصال. TLS 1.3: يدعم عميل TLS TLS 1.3 فقط. إذا كان إصدار TLS في الخادم أقل من 1.3، على سبيل المثال، 1.2 أو 1.1 أو 1.0، فلا يمكن إنشاء الاتصال.
4	قم بإعداد حقل الإصدار الأدنى لخادم TLS: TLS 1.1: يدعم خادم TLS إصدارات TLS من 1.1 إلى 1.3. إذا كان إصدار TLS في العميل أقل من 1.1، على سبيل المثال، 1.0، فلا يمكن إنشاء الاتصال. TLS 1.2 (افتراضي): يدعم خادم TLS TLS TLS 1.2 و1.3. إذا كان إصدار TLS في العميل أقل من 1.2، على سبيل المثال، 1.1 أو 1.0، فلا يمكن إنشاء الاتصال. TLS 1.3: يدعم خادم TLS TLS 1.3 فقط. إذا كان إصدار TLS في العميل أقل من 1.3، على سبيل المثال، 1.2 أو 1.1 أو 1.0، فلا يمكن إنشاء الاتصال. بدءًا من إصدار PhoneOS 3.2، لا يؤثر إعداد الحقل «تعطيل TLS 1.0 و TLS 1.1 للوصول إلى الويب» على الهواتف.
5	انقر فوق حفظ.
6	انقر فوق تطبيق التكوين.
7	أعد تشغيل الهواتف.

خدمات مضمونة SIP

الخدمات المضمونة SIP (AS-SIP) عبارة عن مجموعة من الميزات والبروتوكولات التي توفر تدفق مكالمات آمن للغاية لهواتف Cisco IP وهواتف الطرف الثالث. تُعرف الميزات التالية بشكل جماعي باسم AS-SIP:

الأسبقية والاستباق متعدد المستويات (MPPP)
نقطة رمز الخدمات المتمايزة (DSCP)
أمان طبقة النقل (TLS) وبروتوكول النقل الآمن في الوقت الفعلي (SRTP)
الإصدار 6 من بروتوكول الإنترنت (IPv6)

غالبًا ما يتم استخدام AS-SIP مع الأسبقية متعددة المستويات والاستباق (MLPP) لتحديد أولويات المكالمات أثناء الطوارئ. باستخدام MLPP، يمكنك تعيين مستوى أولوية لمكالماتك الصادرة، من المستوى 1 (منخفض) إلى المستوى 5 (مرتفع). عندما تتلقى مكالمة، يظهر رمز مستوى الأسبقية على الهاتف الذي يعرض أولوية المكالمة.

لتكوين AS-SIP، أكمل المهام التالية علىCisco Unified Communications Manager:

تكوين مستخدم Digest - قم بتكوين المستخدم النهائي لاستخدام مصادقة الملخص لطلبات SIP.
تكوين منفذ SIP Phone الآمن - Cisco Unified Communications Manager يستخدم هذا المنفذ للاستماع إلى هواتف SIP لتسجيلات خط SIP عبر TLS.
إعادة تشغيل الخدمات - بعد تكوين المنفذ الآمن، قم بإعادة تشغيل خدمات Cisco CTL Provider. Cisco Unified Communications Manager تكوين ملف تعريف SIP لـ AS-SIP - تكوين ملف تعريف SIP باستخدام إعدادات SIP لنقاط نهاية AS-SIP ولقنوات SIP الخاصة بك. لا يتم تنزيل المعلمات الخاصة بالهاتف إلى هاتف AS-SIP تابع لجهة خارجية. يتم استخدامها فقط من قبل مدير Cisco الموحد. يجب أن تقوم هواتف الجهات الخارجية بتكوين نفس الإعدادات محليًا.
تكوين ملف تعريف أمان الهاتف لـ AS-SIP - يمكنك استخدام ملف تعريف أمان الهاتف لتعيين إعدادات الأمان مثل TLS وSRTP ومصادقة الملخص.
تكوين نقطة نهاية AS-SIP - تكوين هاتف Cisco IP أو نقطة نهاية تابعة لجهة خارجية بدعم AS-SIP.
ربط الجهاز بالمستخدم النهائي—قم بربط نقطة النهاية بمستخدم.
تكوين ملف تعريف أمان SIP Trunk لـ AS-SIP - يمكنك استخدام ملف تعريف أمان قناة sip لتعيين ميزات الأمان مثل TLS أو تلخيص المصادقة إلى قناة SIP.
تكوين قناة SIP لـ AS-SIP - تكوين قناة SIP بدعم AS-SIP.
تكوين ميزات AS-SIP - تكوين ميزات AS-SIP الإضافية مثل MLPP وTLS وV.150 وIPv6.

للحصول على معلومات تفصيلية حول تكوين AS-SIP، راجع فصل «تكوين نقاط نهاية AS-SIP» في دليل تكوين الميزات لـ. Cisco Unified Communications Manager

الأسبقية متعددة المستويات والاستباق

تتيح لك الأسبقية والاستباق متعدد المستويات (MLPP) تحديد أولويات المكالمات أثناء حالات الطوارئ أو حالات الأزمات الأخرى. يمكنك تعيين أولوية للمكالمات الصادرة التي تتراوح من 1 إلى 5. تعرض المكالمات الواردة رمزًا وأولوية المكالمة. يمكن للمستخدمين المصادق عليهم استباق المكالمات إما إلى المحطات المستهدفة أو من خلال قنوات TDM المشتركة بالكامل.

تضمن هذه القدرة للموظفين رفيعي المستوى التواصل مع المنظمات والموظفين المهمين.

إذا تم التلاعب بالرقم الذي تم الاتصال به من خلال نمط الترجمة/المسار الذي تم تكوينه عليهUnified CM، يمكن لبادئ مكالمات MLPP أيضًا رؤية رمز MLPP الخاص ومستوى الأسبقية على شاشة الهاتف ويمكنه سماع نغمة الرنين. يتم تحقيق هذا السلوك بعد إصدار PhoneOS 3.4.

تتطلب ميزة MLPP لهواتف PhoneOS Unified CM الإصدار 15SU3 أو الأحدث.

تكوين MPPP قيد التشغيل Unified CM

لتكوين الميزة، قم بما يلي:

قم بتكوين المجالات وقوائم المجالات.
1. منCisco Unified CM Administration، حدد النظام > MLPP > المجال > مجال MLPP، أضف نطاقات MLPP جديدة.
2. حدد النظام > MLPP > مساحة الاسم > مجال شبكة مساحة الاسم ذات الأولوية للمورد، وأضف مساحات الأسماء المسجلة مثل «drsn» و «dsn» و «cuc» و «uc» و «q735". ثم اختر اسم نطاق واحد ليكون الاسم الافتراضي.
3. حدد النظام > MLPP > مساحة الاسم > قائمة مساحة اسم أولوية المورد، أضف قوائم مساحة الاسم.
قم بتكوين ملف تعريف SIP.
1. حدد الجهاز > إعدادات الجهاز > ملف تعريف SIP، أضف ملف تعريف SIP جديد.
2. حدد خانة اختيار ترخيص مستخدم MLPP إذا كنت تريد أن يطلب الهاتف بيانات اعتماد المستخدم لمكالمات MLPP.
3. حدد مساحة اسم أولوية المورد التي تم تكوينها من مساحة اسم أولوية المورد.
4. حدد قائمة مساحة الاسم التي تم تكوينها من قائمة مساحة أسماء أولويات الموارد.
قم بتكوين الهاتف.
1. حدد الجهاز > الهاتف، قم بتحديث الهاتف أو إضافته.
2. حدد ملف تعريف SIP الذي تم تكوينه من ملف تعريف SIP.
3. ضمن قسم MLPP Confidential Access Level والمعلومات، قم بتكوين المعلمات مجال MPPP ومؤشر MPPP واستباق MPPP.
قم بتكوين رقم دليل.
1. حدد الجهاز > الهاتف، قم بإضافة خط أو تحديثه.
2. ضمن قسم MLPP للطرف البديل Confidential Access Level والإعدادات، قم بتكوين المعلمات الهدف (الوجهة) ومساحة بحث مكالمات MLPP ومدة رنين MLPP بدون إجابة (بالثواني).
3. ضمن قسم إعدادات انتظار المكالمات/المكالمات المتعددة، قم بتكوين المعلمة Busy Trigger.
قم بتكوين مستخدم نهائي.
1. حدد إدارة المستخدم > المستخدم النهائي، أضف واحدًا جديدًا.
2. انقر فوق «اقتران الأجهزة» لربط المستخدم بالهاتف الذي تم تكوينه.
3. ضمن قسم الأسبقية متعددة المستويات والترخيص الاستباقي، قم بتكوين المعلمات.
يمكنك تكوين معلمات إضافية لـ MLPP وفقًا لمتطلباتك الفعلية.
- حدد النظام > معلمة الخدمة. قم بتكوين المعلمات ضمن قسم المعلمات على مستوى المجموعة (الميزة - الأسبقية متعددة المستويات والاستباق).
- حدد النظام > معلمة الخدمة. قم بتكوين DSCP للمكالمات ذات الأولوية ضمن قسم المعلمات على مستوى الكتلة (النظام - QOS).
- حدد النظام > معلمة الخدمة. قم بتكوين أولوية MLPP لتخطيط أولوية SRVP ضمن قسم المعلمات على مستوى الكتلة (النظام - RSVP).
- قم بتكوين أنماط جهاز التوجيه من توجيه المكالمات > المسار/البحث > نمط جهاز التوجيه.
- قم بتكوين برامج الصيد التجريبية من توجيه المكالمات > المسار/الصيد > Hunt Pilot.
- قم بتكوين أنماط الترجمة من توجيه المكالمات > نمط الترجمة.
- قم بتكوين البوابات، قنوات الاتصال، ملف تعريف الجهاز الافتراضي، ملف تعريف جهاز المستخدم، تكوين جهاز شائع لـ MLPP.

غالبًا ما يتم استخدام MLPP مع الخدمات المضمونة SIP (AS-SIP). للحصول على معلومات تفصيلية حول تكوين MLPP، راجع فصل تكوين الأسبقية متعددة المستويات والاستباق في دليل تكوين الميزات لـ. Cisco Unified Communications Manager

قم بإعداد FAC وCMC

عند تكوين رموز التفويض القسري (FAC) أو رموز العميل (CMC) أو كليهما على الهاتف، يجب على المستخدمين إدخال كلمات المرور المطلوبة لطلب رقم.

لمزيد من المعلومات حول كيفية إعداد FAC وCMCCisco Unified Communications Manager، راجع فصل "رموز مسائل العميل ورموز التخويل القسري" في دليل تكوين الميزات للإصدار 12.5 (1) أو إصدار لاحق. Cisco Unified Communications Manager

تكوين VPN

تساعدك ميزة Cisco VPN في الحفاظ على أمان الشبكة مع منح المستخدمين طريقة آمنة وموثوقة للاتصال بشبكة شركتك. استخدم هذه الميزة عندما:

يوجد هاتف خارج شبكة موثوقة
حركة مرور الشبكة بين الهاتف Cisco Unified Communications Manager وعبر شبكة غير موثوقة

باستخدام VPN، هناك ثلاث طرق شائعة لمصادقة العميل:

الشهادات الرقمية
كلمات المرور
اسم المستخدم وكلمة المرور

كل طريقة لها مزاياها. ولكن إذا كانت سياسة الأمان الخاصة بشركتك تسمح بذلك، فإننا نوصي باتباع نهج قائم على الشهادات لأن الشهادات تسمح بتسجيل الدخول بسلاسة دون أي تدخل من المستخدم. يتم دعم كل من شهادات LSC و MIC.

لتكوين أي من ميزات VPN، قم بتوفير الجهاز محليًا أولاً ثم يمكنك نشر الجهاز خارج المؤسسة.

لمزيد من المعلومات حول مصادقة الشهادات والعمل مع شبكة VPN، راجع تكوين AnyConnect VPN الهاتف بمصادقة الشهادة على ASA.

باستخدام كلمة المرور أو اسم المستخدم وكلمة المرور، تتم مطالبة المستخدم ببيانات اعتماد تسجيل الدخول. قم بتعيين بيانات اعتماد تسجيل دخول المستخدم وفقًا لسياسة أمان شركتك. يمكنك أيضًا تكوين إعداد تمكين استمرارية كلمة المرور بحيث يتم حفظ كلمة مرور المستخدم على الهاتف. يتم حفظ كلمة مرور المستخدم حتى تحدث محاولة تسجيل دخول فاشلة، أو يقوم المستخدم بمسح كلمة المرور يدويًا، أو إعادة تعيين الهاتف أو فقدان الطاقة.

أداة مفيدة أخرى هي إعداد تمكين الكشف التلقائي للشبكة. عند تمكين مربع الاختيار هذا، لا يمكن تشغيل عميل VPN إلا عندما يكتشف أنه خارج شبكة الشركة. يتم تعطيل هذا الإعداد افتراضيًا.

يدعم هاتف Cisco الخاص بك عميل Cisco SVC iPhone الإصدار 1.0 كنوع العميل.

لمزيد من المعلومات حول كيفية تكوين VPN قيد التشغيلUnified CM، راجع دليل تكوين الميزات لـ Cisco Unified Communications Manager.

تستخدم ميزة Cisco VPN طبقة المقابس الآمنة (SSL) للحفاظ على أمان الشبكة.

Cisco AI Assistant

شكرًا على ملاحظاتك.