Благодарим за обратната връзка.

Функциите за сигурност предпазват от заплахи, включително заплахи за самоличността на телефона и за данните. Тези функции установяват и поддържат удостоверени комуникационни потоци между телефона и Cisco Unified Communications Manager сървъра и гарантират, че телефонът използва само цифрово подписани файлове.

Cisco Unified Communications ManagerВерсия 8.5 (1) и по-нова версия включва защита по подразбиране, която предоставя следните функции за сигурност за IP телефони на Cisco, без да стартира CTL клиента:

• Подписване на конфигурационните файлове на телефона

• Криптиране на конфигурационен файл на телефона

• HTTPS с Tomcat и други уеб услуги

Внедряването на сигурност в Cisco Unified Communications Manager системата предотвратява кражбата на самоличност на телефона и Cisco Unified Communications Manager сървъра, предотвратява подправянето на данни и предотвратява сигнализирането на повиквания и подправяне на медийния поток.

За да облекчи тези заплахи, мрежата за IP телефония на Cisco установява и поддържа защитени (криптирани) комуникационни потоци между телефона и сървъра, цифрово подписва файлове преди да бъдат прехвърлени на телефон и криптира медийни потоци и сигнализация на повиквания между IP телефоните на Cisco.

Локално значим сертификат (LSC) се инсталира на телефоните, след като изпълните необходимите задачи, свързани с Certificate Authority прокси функцията (CAPF). Можете да използвате, Cisco Unified Communications Manager Administration за да конфигурирате LSC, както е описано в Ръководството за Cisco Unified Communications Managerсигурност. Като алтернатива можете да инициирате инсталирането на LSC от менюто С игур ност на телефона. Това меню също ви позволява да актуализирате или премахнете LSC.

Телефоните използват профила за сигурност на телефона, който определя дали устройството е несигурно или защитено. За информация относно прилагането на профила за сигурност към телефона вижте документацията за конкретното ви Cisco Unified Communications Manager издание.

Ако конфигурирате настройките, свързани със сигурносттаCisco Unified Communications Manager Administration, конфигурационният файл на телефона съдържа чувствителна информация. За да осигурите поверителността на конфигура ционен файл, трябва да го конфигурирате за криптиране. За подробна информация вижте документацията за конкретното ви Cisco Unified Communications Manager издание.

Следващата таблица предоставя преглед на функциите за сигурност, които телефоните поддържат. За повече информация вижте документацията за конкретното ви Cisco Unified Communications Manager издание.

Следващата таблица съдържа алармените съобщения и значение за актуализиране на списъка с доверие. За повече информация вижте Cisco Unified Communications Manager документацията.

Когато защитата е внедрена за телефон, можете да идентифицирате защитените телефонни обаждания чрез икони на екрана на телефона. Можете също да определите дали свързаният телефон е защитен и защитен, ако в началото на разговора се възпроизвежда тон за сигурност.

При сигурно повикване всички сигнали за повиквания и медийни потоци са криптирани. Сигурното обаждане предлага високо ниво на сигурност, осигурявайки цялост и поверителност на разговора. Когато теку щото повикване е криптирано, можете да видите защитената ико на на линията.

В телефон Cisco Unified Communications Manager ите, конфигурирани като защитени (криптирани и надеждни), могат да получат защитен статус. След като бъдат защитени, тези устройства могат да бъдат конфигурирани да възпроизвеждат тон за сигурност в началото на всяко обаждане.

• Защитено устройство:

  За да промените състоянието на защитен телефон на защитен:

  1. ВCisco Unified Communications Manager Administration, изберете Устройство > Телефон.
  2. Намерете телефона, който ще настроите.
  3. В прозореца Конфигурация на телефона поставете отметка в квадрат чето Защитено устройство.
  4. Щракнете върху Запаз ване.

• Възпроизвеждане на защитен тон на индикация:

  За да активирате защитения телефон да възпроизвежда защитен или незащитен тон на индикация:

  1. ВCisco Unified Communications Manager Administration, изберете Сист ема > Пара метри на услугата.
  2. Изберете сървъра и след това Cisco CallManager услугата.
  3. В областта Пара метри на клъстера (функция - защитен тон) задайте настройката Тон на въз произвеждане да показва настройката за състоянието на защитено/незащитено повикване на True.
  4. Щракнете върху Запаз ване.

Тъй като всички WLAN устройства, които са в обхвата, могат да получават целия друг WLAN трафик, осигуряването на гласови комуникации е от решаващо значение в WLAN мрежи. За да се гарантира, че натрапниците не манипулират или прихващат гласовия трафик, архитектурата на Cisco SAFE Security поддържа телефона. За повече информация относно сигурността в мрежите вижте http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Решението Cisco Wireless IP телефония осигурява сигурност на безжичната мрежа, която предотвратява неоторизирани влизания и компрометирани комуникации, като използва следните методи за удостоверяване, които телефонът поддържа.

• Отворено удостоверяване: Всяко безжично устройство може да поиска удостоверяване в отворена система. АП, който получава искането, може да предостави удостоверяване на всеки заявител или само на заявители, които се намират в списък с потребители. Комуникацията между безжичното устройство и точката за достъп (AP) може да бъде некриптирана.

• Разшири@@ м протокол за удостоверяване - гъвкаво удостоверяване чрез защитено тунелиране (EAP-FAST): Тази архитектура за сигурност клиент-сървър криптира EAP транзакциите в тунел за сигурност на ниво транспорт (TLS) между AP и сървъра RADIUS, като например Identity Services Engine (ISE).

  Тунелът TLS използва идентификационни данни за защитен достъп (PAC) за удостоверяване между клиента (телефона) и RADIUS сървъра. Сървърът изпраща идентификатор на авторитета (AID) на клиента (телефон), който от своя страна избира подходящия PAC. Клиентът (телефонът) връща PAC-непрозрачен към сървъра RADIUS. Сървърът дешифрира PAC с основния ключ. И двете крайни точки вече съдържат ключа PAC и е създаден TLS тунел. EAP-FAST поддържа автоматично предоставяне на PAC, но трябва да го активирате на сървъра RADIUS.

  В ISE по подразбиране PAC изтича след една седмица. Ако телефонът има PAC с изтекъл срок на годност, удостоверяването със сървъра RADIUS отнема повече време, докато телефонът получава нов PAC. За да избегнете забавяне на предоставянето на PAC, задайте периода на изтичане на PAC на 90 дни или повече на сървъра ISE или RADIUS.

• Разширим протокол за удостоверяване - Удостоверяване на сигурността на транспортния слой (EAP-TLS): EAP-TLS изисква клиентски сертификат за удостоверяване и достъп до мрежата. За безжичен EAP-TLS клиентският сертификат може да бъде MIC, LSC или инсталиран от потребителя сертификат.

• Защитен разширим протокол за удостоверяване (PEAP): патентована схема на Cisco за взаимно удостоверяване, базирана на парола, между клиента (телефона) и RADIUS сървъра. Телефонът може да използва PEAP за удостоверяване с безжичната мрежа. Поддържат се както PEAP-MSCHAPV2, така и PEAP-GTC методи за удостоверяване.

• Предварително споделен ключ (PSK): Теле фонът поддържа ASCII и шестнадесетичен (HEX) формати. Трябва да използвате тези формати, когато настройвате предварително споделен ключ WPA2/SAE.

  ASCII: ASCII символен низ с дължина от 8 до 63 знака (0-9, малки букви a-z, главни бу кви A-Z и специални символи). Например, GREG123567@9ZX&W.

  HEX: HEX-символен низ с дължина 64 шестостенни цифри (0-9, a-f или A-F).

Следните схеми за удостоверяване използват сървъра RADIUS за управление на ключовете за удостоверяване:

• WPA2/WPA3: Използва информация за сървъра на RADIUS за генериране на уникални ключове за удостоверяване. Тъй като тези ключове се генерират на централизирания RADIUS сървър, WPA2/WPA3 осигурява по-голяма сигурност от WPA предварително споделените ключове, които се съхраняват на AP и телефона.

• Бърз защитен роуминг: Използва RADIUS сървър и информация за сървър за безжичен домейн (WDS) за управление и удостоверяване на ключове. WDS създава кеш от идентификационни данни за защита за клиентски устройства с възможност за FT за бързо и сигурно повторно удостоверяване.

С WPA2/WPA3 ключовете за криптиране не се въвеждат в телефона, а автоматично се извличат между AP и телефона. Но потребителското име и паролата на EAP, които се използват за удостоверяване, трябва да бъдат въведени на всеки телефон.

За да помогне за защитата на гласовия трафик през безжичната връзка, телефонът поддържа AES-базирано криптиране за WPA2/WPA3 удостоверяване. AES е симетричен блоков шифър, стандартизиран от NIST. AES използва фиксиран 128-битов размер на блока и поддържа ключови размери от 128 бита, 192 бита и 256 бита. В Wi-Fi мрежите AES се използва от пакети за шифри като CCMP или GCMP, докато удостоверяването се предоставя отделно от PSK, SAE или 802.1X/EAP, в зависимост от конфигурирания режим на сигурност на WLAN. Поддържаният пакет за шифри и размерът на ключа зависят от модела на телефона и конфигурацията на WLAN.

Когато телефонът използва AES криптиране, както сигналните SIP пакети, така и гласовите пакети за транспортиране в реално време (RTP) се криптират между AP и телефона.

Схемите за удостоверяване и криптиране са настроени в безжичната LAN мрежа. VLAN са конфигурирани в мрежата и на AP и определят различни комбинации от удостоверяване и криптиране. SSID се свързва с VLAN и конкретната схема за удостоверяване и криптиране. За да могат безжичните клиентски устройства да се удостоверяват успешно, трябва да конфигурирате същите SSID с техните схеми за удостоверяване и криптиране на AP и по телефона.

Някои схеми за удостоверяване изискват специфични видове криптиране.

Схемите за удостоверяване и криптиране в следващата таблица показват опциите за мрежова конфигурация за Cisco Wireless Phone 9821, които съответстват на конфигурацията на AP.

Cisco Wireless Phone 9821 поддържа 802.1X удостоверяване за кабелни мрежи. Това обикновено се използва по време на автоматично осигуряване, когато телефонът е свързан към зарядното устройство за настолни компютри чрез поддържан USB-to-Ethernet адаптер.

Поддръжката за 802.1X удостоверяване на кабелни мрежи изисква няколко компонента, както следва:

• Cisco IP телефон: Телефонът инициира заявката за достъп до мрежата. IP телефоните на Cisco съдържат 802.1X молба. Тази молба позволява на мрежовите администратори да контролират свързаността на IP телефони към портовете за превключване на LAN. Текущото издание на телефона 802.1X supplicant използва опциите EAP-FAST и EAP-TLS за мрежово удостоверяване.

• Сървър за удостоверяване: Сървърът за удостоверяване и превключвателят трябва да бъдат конфигурирани със споделена тайна RADIUS.

• Превключвател: Превключвателят трябва да поддържа 802.1X, така че да може да действа като удостоверител и да предава EAP съобщ енията между телефона и сървъра за удостоверяване. След като обменът приключи, превключвателят предоставя или отказва достъп на телефона до мрежата.

Cisco IP телефоните и превключвателите Cisco Catalyst традиционно използват Cisco Discovery Protocol (CDP), за да се идентифицират взаимно и да определят параметри като разпределение на VLAN и вградените изисквания за захранване.

Трябва да изпъл ните следните действия, за да конфигурирате 802.1X.

• Конфигурирайте CDP/LLDP гласов VLAN байпас.

• Конфигурирайте сървъра за удостоверяване и превключвателя, преди да активирате 802.1X удостоверяване за кабелни мрежи на телефона.

• Конфигуриране на гласовата VLAN: Тъй като стандартът 802.1X не отчита VLAN, трябва да конфигурирате тази настройка въз основа на поддръжката на превключвателя.

  • Активирано: Ако използвате превключвател, който поддържа удостоверяване на много домейни, можете да го конфигурирате да използва гласовата VLAN.
  • Деактивирано: Ако превключвателят не поддържа удостоверяване на много домейни, деактивирайте Voice VLAN и помислете за присвояване на порта към родната VLAN.

• Безжичният телефон Cisco 9821 има различен префикс в PID от този за другите телефони на Cisco. За да активирате телефона ви да премине 802.1X удостоверяване, задайте параметъра Radius · UserName да включва вашия Cis co Wireless Phone 9821.

  Например, PID на безжичния телефон 9821 на Cisco е WP-9821. Можете да зададете Radius·Потребителско име на Start with WPили Contains WPв двата от следните раздела:

  • Политика > Усл овия > Условия на библиотеката

  • Правила > На бори от правила > Пол итика за оторизация > Правило за оторизация 1