Благодарим за обратната връзка.

Функциите за защита предпазват от заплахи, включително заплахи за идентичността на телефона и за данните. Тези функции установяват и поддържат удостоверени комуникационни потоци между телефона и Cisco Unified Communications Manager server и гарантират, че телефонът използва само цифрово подписани файлове.

Cisco Unified Communications Manager версия 8.5 (1) и по-нова включва защита по подразбиране, която предоставя следните функции за защита за Cisco IP телефоните без изпълнение на CTL клиент:

• Подписване на конфигурационните файлове на телефона

• Шифроване на конфигурационните файлове на телефона

• HTTPS с Tomcat и други уеб услуги

Внедряването на защита в системата на Cisco Unified Communications Manager предотвратява кражбата на идентичност на телефона и на Cisco Unified Communications Manager server, предотвратява подправянето на данни и предотвратява сигнализирането на повиквания и подправянето на медийния поток.

За да облекчи тези заплахи, мрежата за Cisco IP телефония установява и поддържа сигурни (шифровани) комуникационни потоци между телефона и сървъра, цифрово подписва файлове, преди да бъдат прехвърлени на даден телефон, и шифрова медийните потоци и сигнализацията на повиквания между Cisco IP телефоните.

На телефоните се инсталира местно приложим сертификат (LSC), след като изпълните необходимите задачи, свързани с прокси функцията на органа за сертификати (CAPF). Можете да използвате Cisco Unified Communications Manager Administration, за да конфигурирате LSC, както е описано в ръководството за сигурността Cisco Unified Communications Manager. Алтернативно, можете да започнете инсталирането на LSC от менюто Security на телефона. Това меню също ви позволява да актуализирате или премахвате LSC.

Телефоните използват профила за защита на телефона, който определя дали устройството е незащитено, или защитено. За информация относно прилагането на профила на защитата към телефона вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

Ако конфигурирате настройки, свързани със защитата, в Cisco Unified Communications Manager Administration, конфигурационният файл на телефона съдържа поверителна информация. За да гарантирате поверителността на даден конфигурационен файл, трябва да го конфигурирате за шифроване. За подробна информация вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

Следващата таблица предоставя общ преглед на функциите за защита, които телефоните поддържат. За повече информация вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

Следващата таблица съдържа алармените съобщения и значението на актуализирането на надеждния списък. За повече информация вижте документацията на Cisco Unified Communications Manager.

Когато се прилага защита за телефон, можете да идентифицирате защитени телефонни повиквания с помощта на икони на екрана на телефона. Можете също да определите дали свързаният телефон е защитен и предпазен, ако в началото на повикването се възпроизведе тон за защита.

При защитено повикване всички сигнални и медийни потоци са шифровани. Защитеното повикване предлага високо ниво на защита, осигурявайки цялост и поверителност на повикването. Когато обаждането е криптирано, можете да видите иконата за сигурност На линия.

В Cisco Unified Communications Manager телефоните, конфигурирани като защитени (криптирани и доверени), могат да получат защитен статус. След като бъдат защитени, тези устройства могат да бъдат конфигурирани да пускат сигнал за сигурност в началото на всяко обаждане.

• Защитено устройство:

  За да промените статуса на защитен телефон на защитен:

  1. В Cisco Unified Communications Manager Administration изберете Device > Phone.
  2. Намерете телефона, който ще настроите.
  3. В прозореца за конфигурация на телефона изберете отметката за Защитено устройство .
  4. Щракнете върху Запиши.

• Възпроизвеждане на сигнал за сигурна сигнализация:

  За да се позволи защитеният телефон да възпроизвежда сигурен или несигурен сигнален сигнал:

  1. В Cisco Unified Communications Manager Administration изберете System > Service Parameters.
  2. Изберете сървъра и след това услугата Cisco CallManager .
  3. В областта на параметрите на клъстера (Feature - Secure Tone ) настройте тона за възпроизвеждане да показва статус на сигурен/незащитен разговор на true.
  4. Щракнете върху Запиши.

Тъй като всички WLAN устройства, които са в обхват, могат да получават всякакъв друг WLAN трафик, защитата на гласови комуникации е от решаващо значение в WLAN. За да се гарантира, че нарушителите не манипулират или прихващат гласов трафик, архитектурата Cisco SAFE Security поддържа телефона. За повече информация относно сигурността в мрежите вижте http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Телефонното решение Cisco Wireless IP осигурява безжична мрежова сигурност, която предотвратява неоторизирани влизания и компрометирани комуникации чрез следните методи за удостоверяване, които телефонът поддържа.

• Отворено удостоверяване: всяко безжично устройство може да поиска удостоверяване в отворена система. Точката за достъп, който получи искането, може да предостави удостоверяване на всеки заявител или само на заявители, които се намират в списък с потребители. Комуникацията между безжичното устройство и точката за достъп (AP) може да бъде некриптирана.

• Разширен протокол за автентикация – гъвкава автентикация чрез сигурно тунелиране (EAP-FAST): Тази клиент-сървър архитектура за сигурност криптира EAP транзакции в тунел за сигурност на транспортно ниво (TLS) между AP и RADIUS сървъра, като например Identity Services Engine (ISE).

  Тунелът TLS използва идентификационни данни за защитен достъп (PAC) за удостоверяване между клиента (телефона) и сървъра RADIUS. Сървърът изпраща ИД на органа (AID) на клиента (телефон), който от своя страна избира подходящия PAC. Клиентът (телефонът) връща PAC-Opaque на сървъра RADIUS. Сървърът декриптира PAC с основния ключ. И двете крайни устройства сега съдържат ключа PAC и се създава тунел TLS. EAP-FAST поддържа автоматично осигуряване на PAC, но трябва да го активирате на сървъра RADIUS.

  В ISE по подразбиране PAC изтича след една седмица. Ако телефонът има изтекъл PAC, удостоверяването със сървъра RADIUS отнема повече време, докато телефонът получава нов PAC. За да избегнете закъснения при осигуряването на PAC, задайте периода на изтичане на PAC на 90 дни или повече на сървъра ISE или RADIUS.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Authentication: EAP-TLS изисква клиентски сертификат за удостоверяване и достъп до мрежата. За безжична EAP-TLS клиентският сертификат може да бъде MIC, LSC, или потребителски инсталиран сертификат.

• Protected Extensible Authentication Protocol (PEAP): собствена схема на Cisco за взаимно удостоверяване, базирано на парола, между клиента (телефон) и RADIUS сървър. Телефонът може да използва PEAP за удостоверяване с безжичната мрежа. Поддържат се както методите за удостоверяване PEAP-MSCHAPV2, така и PEAP-GTC.

• Предварително споделен ключ (PSK): Телефонът поддържа формати ASCII и шестнадесетичен (HEX). Трябва да използвате тези формати при настройване на WPA2/SAE предварително споделен ключ.

  ASCII: ASCII-символен низ с дължина от 8 до 63 знака (0-9, малки a-z, главни A-Z и специални знаци). Например, GREG123567@9ZX&W.

  HEX: Низ от шестнадесетни знаци с дължина 64 шестнадесетни цифри (0-9, a-f или A-F).

Следните схеми за удостоверяване използват сървъра RADIUS за управление на ключовете за удостоверяване:

• WPA2/WPA3: използва информация за сървъра RADIUS, за да генерира уникални ключове за удостоверяване. Тъй като тези ключове се генерират на централизирания RADIUS сървър, WPA2/WPA3 осигурява по-голяма сигурност от предварително споделените ключове на WPA, които се съхраняват на AP и телефона.

• Бърз защитен роуминг: използва RADIUS сървър и информация за безжичен домейн сървър (WDS) за управление и удостоверяване на ключове. WDS създава кеш с идентификационни данни за сигурност за клиентски устройства с FT за бърза и сигурна повторна автентикация.

При WPA2/WPA3 ключовете за криптиране не се въвеждат на телефона, а автоматично се извеждат между точката за достъп и телефона. Но потребителското име и паролата на EAP, които се използват за удостоверяване, трябва да бъдат въведени на всеки телефон.

За да се защити гласовият трафик през безжичната връзка, телефонът поддържа криптиране на база AES за удостоверяване с WPA2/WPA3. AES е симетричен блоков шифр, стандартизиран от NIST. AES използва фиксиран размер на блока от 128 бита и поддържа размери на ключове от 128 бита, 192 бита и 256 бита. В Wi-Fi мрежи AES се използва от шифровъчни пакети като CCMP или GCMP, докато автентикацията се предоставя отделно от PSK, SAE или 802.1X/EAP, в зависимост от конфигурирания режим на сигурност WLAN. Поддържаният набор от шифри и размерът на ключа зависят от модела на телефона и конфигурацията WLAN.

Когато телефонът използва криптиране AES, както пакетите за сигнализация SIP, така и гласовите пакети от Real-Time Transport Protocol (RTP) се криптират между AP и телефона.

Схеми за удостоверяване и шифроване са настроени в безжичния LAN. VLAN мрежите се конфигурират в мрежата и на AP и определят различни комбинации от удостоверяване и шифроване. SSID се свързва с VLAN и конкретната схема за удостоверяване и шифроване. За да могат безжичните клиентски устройства да се удостоверят успешно, трябва да конфигурирате същите SSID-та с техните схеми за удостоверяване и криптиране на AP-тата и на телефона.

Някои схеми за удостоверяване изискват специфични типове шифроване.

Схемите за удостоверяване и криптиране в следващата таблица показват опциите за конфигурация на мрежата за Cisco Wireless Phone 9821, който съответства на конфигурацията на AP.

Cisco Безжичен телефон 9821 поддържа 802.1X автентикация за жични мрежи. Това обикновено се използва при автоматично зареждане , когато телефонът е свързан към настолното зарядно чрез поддържан USB-to-Ethernet адаптер.

Поддръжката на 802.1X автентикация в жични мрежи изисква няколко компонента, както следва:

• Cisco IP телефон: телефонът инициира искането за достъп до мрежата. Cisco IP телефоните съдържат 802.1X заявител. Този заявител позволява на мрежовите администратори да контролират свързаността на IP телефоните към портовете за превключватели на LAN. Текущата версия на 802.1X заявителя на телефона използва опциите за EAP-FAST и EAP-TLS за удостоверяване на мрежата.

• Сървър за автентикация: Сървърът за автентикация и суичът трябва да бъдат конфигурирани с RADIUS споделена тайна.

• Суич: Суичът трябва да поддържа 802.1X, за да може да действа като автентикатор и да предава EAP съобщенията между телефона и сървъра за автентикация. След като обменът приключи, превключвателят предоставя или отказва достъп на телефона до мрежата.

Cisco IP телефоните и превключвателите на Cisco Catalyst традиционно използват Cisco Discovery Protocol (CDP), за да се идентифицират взаимно и да определят параметри като разпределение на VLAN и изисквания за вградена мощност.

Трябва да изпълните следните действия, за да конфигурирате 802.1X.

• Конфигурирайте CDP/LLDP глас VLAN заобикаляне.

• Конфигурирайте сървъра за автентикация и суича преди да активирате 802.1X автентикация за жични мрежи на телефона.

• Конфигуриране на гласов VLAN: тъй като стандартът 802.1X не отчита VLAN, трябва да конфигурирате тази настройка въз основа на поддръжката на превключвателя.

  • Активирано: Ако използвате суич, който поддържа мултидомейн автентикация, можете да го конфигурирате да използва глас VLAN.
  • Деактивирано: ако превключвателят не поддържа удостоверяване на множество домейни, деактивирайте гласовия VLAN и помислете за задаване на порта към присъщия VLAN.

• Cisco Безжичният телефон 9821 има различен префикс в PID от този за другите Cisco телефони. За да позволите на телефона си да премине 802.1X автентикация, задайте Radius· Параметър за потребителско име, който включва вашия Cisco безжичен телефон 9821.

  Например, PID на Cisco Wireless Phone 9821 е WP-9821. Можеш да зададеш Radius· Потребителско име да започне с WP или съдържа WP в двете от следните секции:

  • Политика > Условия > Библиотечни условия

  • Политики>Набори от политики> Политика за упълномощаване> Правило 1 за упълномощаване