Благодарим за обратната връзка.

Функциите за сигурност предпазват от заплахи, включително заплахи за самоличността на телефона и за данните. Тези функции установяват и поддържат удостоверени комуникационни потоци между телефона и сървъра на Cisco Unified Communications Manager и гарантират, че телефонът използва само цифрово подписани файлове.

Cisco Unified Communications Manager версия 8.5(1) и по-нови версии включват „Защита“ по подразбиране, която предоставя следните функции за сигурност за Cisco IP телефони, без да е необходимо да се изпълнява CTL клиентът:

• Подписване на конфигурационните файлове на телефона

• Шифроване на конфигурационния файл на телефона

• HTTPS с Tomcat и други уеб услуги

Внедряването на сигурност в системата Cisco Unified Communications Manager предотвратява кражбата на самоличност на телефона и сървъра на Cisco Unified Communications Manager, предотвратява подправянето на данни и предотвратява подправянето на сигнализацията на повикванията и медийния поток.

За да се облекчат тези заплахи, мрежата на Cisco IP телефония установява и поддържа защитени (криптирани) комуникационни потоци между телефона и сървъра, подписва цифрово файловете, преди да бъдат прехвърлени към телефона, и криптира медийни потоци и сигнализацията на повикванията между Cisco IP телефоните.

Локално значим сертификат (LSC) се инсталира на телефоните, след като изпълните необходимите задачи, свързани с функцията за прокси на сертифициращ орган (CAPF). Можете да използвате Cisco Unified Communications Manager Administration, за да конфигурирате LSC, както е описано в Ръководството за сигурност на Cisco Unified Communications Manager. Като алтернатива, можете да започнете инсталирането на LSC от менюто с настройки за сигурност на телефона. Това меню ви позволява също да актуализирате или премахвате LSC.

Телефоните използват профила за сигурност на телефона, който определя дали устройството е защитено или не. За информация относно прилагането на профила за сигурност към телефона вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

Ако конфигурирате настройки, свързани със сигурността, в Cisco Unified Communications Manager Administration, конфигурационният файл на телефона съдържа чувствителна информация. За да осигурите поверителността на конфигурационен файл, трябва да го конфигурирате за криптиране. За подробна информация вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

Телефонът отговаря на Федералния стандарт за обработка на информация (FIPS). За да функционира правилно, режимът FIPS изисква размер на ключа от 2048 бита или по-голям. Ако сертификатът е по-малък от 2048 бита, телефонът няма да се регистрира в Cisco Unified Communications Manager и на телефона се показва Phone failed to register. Cert key size is not FIPS compliant.

Ако телефонът има LSC, трябва да актуализирате размера на LSC ключа до 2048 бита или по-голям, преди да активирате FIPS.

Следната таблица предоставя общ преглед на функциите за сигурност, които телефоните поддържат. За повече информация вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

За да видите режима на сигурност, натиснете Настройки и отидете до Мрежа и услуги > Настройки за сигурност.

Следната таблица съдържа съобщенията за аларма за актуализиране на списъка с доверени данни и тяхното значение. За повече информация вижте документацията на Cisco Unified Communications Manager.

Менюто „Настройка на защитата“ предоставя информация за различни настройки за защита. Менюто също така предоставя достъп до менюто „Списък с доверени“ и показва дали на телефона е инсталиран CTL или ITL файл.

Следната таблица описва опциите в менюто „Настройка на защитата“.

IP телефоните на Cisco поддържат 802.1X удостоверяване.

IP телефоните на Cisco и комутаторите Cisco Catalyst традиционно използват Cisco Discovery Protocol (CDP), за да се идентифицират взаимно и да определят параметри като разпределение на VLAN и изисквания за захранване. CDP не идентифицира локално свързани работни станции. IP телефоните на Cisco предоставят механизъм за преминаване на EAPOL. Този механизъм позволява на работна станция, свързана към Cisco IP Phone, да предава EAPOL съобщения към 802.1X удостоверителя на LAN комутатора. Механизмът за преминаване гарантира, че IP телефонът не действа като LAN комутатор за удостоверяване на крайна точка за данни преди достъп до мрежата.

IP телефоните на Cisco също така предоставят механизъм за излизане от системата чрез прокси EAPOL. Ако локално свързаният компютър се изключи от IP телефона, LAN комутаторът не вижда прекъсване на физическата връзка, защото връзката между LAN комутатора и IP телефона се поддържа. За да се избегне компрометиране на целостта на мрежата, IP телефонът изпраща EAPOL-Logoff съобщение до комутатора от името на низходящия компютър, което задейства LAN комутатора да изчисти записа за удостоверяване за низходящия компютър.

Поддръжката за 802.1X удостоверяване изисква няколко компонента:

• IP телефон на Cisco: Телефонът инициира заявката за достъп до мрежата. IP телефоните на Cisco съдържат 802.1X заявител. Този заявител позволява на мрежовите администратори да контролират свързаността на IP телефоните към портовете на LAN комутатора. Текущата версия на телефона, който кандидатства за 802.1X, използва опциите EAP-FAST и EAP-TLS за мрежово удостоверяване.

• Сървър за удостоверяване: Сървърът за удостоверяване и комутаторът трябва да бъдат конфигурирани със споделена тайна, която удостоверява телефона.

• Превключвател: Комутаторът трябва да поддържа 802.1X, за да може да действа като удостоверител и да предава съобщенията между телефона и сървъра за удостоверяване. След като обменът приключи, комутаторът предоставя или отказва на телефона достъп до мрежата.

Трябва да извършите следните действия, за да конфигурирате 802.1X.

• Конфигурирайте другите компоненти, преди да активирате 802.1X удостоверяване на телефона.

• Конфигуриране на компютърен порт: Стандартът 802.1X не взема предвид VLAN и затова препоръчва само едно устройство да бъде удостоверявано към конкретен порт на комутатора. Някои комутатори обаче поддържат многодомейно удостоверяване. Конфигурацията на превключвателя определя дали можете да свържете компютър към PC порта на телефона.

  • Активирано: Ако използвате комутатор, който поддържа многодомейново удостоверяване, можете да активирате PC порта и да свържете компютър към него. В този случай, Cisco IP телефоните поддържат прокси EAPOL-Logoff, за да наблюдават обмена на удостоверяване между комутатора и свързания компютър.

    За повече информация относно поддръжката на IEEE 802.1X на комутаторите Cisco Catalyst вижте ръководствата за конфигуриране на комутатора Cisco Catalyst на адрес:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Деактивирано: Ако комутаторът не поддържа множество 802.1X-съвместими устройства на един и същ порт, трябва да деактивирате PC Port, когато е активирано 802.1X удостоверяване. Ако не деактивирате този порт и след това се опитате да свържете компютър към него, комутаторът ще откаже мрежов достъп както на телефона, така и на компютъра.

• Конфигуриране на гласова VLAN: Тъй като стандартът 802.1X не отчита VLAN, трябва да конфигурирате тази настройка въз основа на поддръжката на комутатора.
  • Активирано: Ако използвате комутатор, който поддържа многодомейново удостоверяване, можете да продължите да го използвате, за да използвате гласовата VLAN мрежа.
  • Деактивирано: Ако комутаторът не поддържа многодомейно удостоверяване, деактивирайте Voice VLAN и помислете за присвояване на порта към собствената VLAN.
• (Само за настолни телефони Cisco от серията 9800)

  Настолните телефони Cisco от серия 9800 имат различен префикс в PID от този на другите телефони Cisco. За да разрешите на телефона си да преминава 802.1X удостоверяване, задайте параметъра Radius·User-Name, за да включите вашия Cisco Desk Phone от серията 9800.

  Например, PID номерът на телефон 9841 е DP-9841; можете да зададете Radius·User-Name на Start with DP или Contains DP. Можете да го зададете и в двата от следните раздела:

  • Политика > Условия > Условия на библиотеката

  • Политика > Набори от правила > Политика за оторизация > Правило за оторизация 1

Когато за телефон е внедрена защита, можете да разпознавате защитените телефонни разговори по икони на екрана на телефона. Можете също така да определите дали свързаният телефон е защитен, ако в началото на разговора се чуе сигнал за сигурност.

При защитено повикване цялата сигнализация на повикванията и медийните потоци са криптирани. Защитеното повикване предлага високо ниво на сигурност, осигурявайки цялостност и поверителност на разговора. Когато текущото повикване е криптирано, можете да видите иконата за сигурност на линията. За защитен телефон можете също да видите иконата за удостоверяване или иконата за криптиране до свързания сървър в менюто на телефона (Настройки > Относно това устройство).

При защитено повикване, в началото му се възпроизвежда защитен сигнал, който показва, че другият свързан телефон също приема и предава защитено аудио. Ако обаждането ви се свърже с незащитен телефон, защитният тон няма да се възпроизведе.

Когато телефонът е конфигуриран като защитен (криптиран и надежден) в Cisco Unified Communications Manager, може да му бъде даден статус защитен. След това, ако е необходимо, защитеният телефон може да бъде конфигуриран да възпроизвежда сигнал за сигнализация в началото на разговор:

• Защитено устройство: За да промените състоянието на защитен телефон на защитен, отметнете квадратчето „Защитено устройство“ в прозореца „Конфигурация на телефона“ в Cisco Unified Communications Manager Administration (Устройство > Телефон).

• Възпроизвеждане на защитен индикаторен тон: За да разрешите на защитения телефон да възпроизвежда защитен или незащитен сигнал за индикация, задайте настройката „Възпроизвеждане на защитен сигнал за индикация“ на „Вярно“. По подразбиране, „Възпроизвеждане на сигнал за защитена индикация“ е зададено на „Невярно“. Можете да зададете тази опция в Cisco Unified Communications Manager Administration (System > Параметри на услугата). Изберете сървъра и след това услугата Unified Communications Manager. В прозореца „Конфигурация на параметри на услугата“ изберете опцията в областта „Функция - Защитен тон“. Стойността по подразбиране е False.

Тъй като всички WLAN устройства, които са в обхвата, могат да приемат целия друг WLAN трафик, осигуряването на гласови комуникации е от решаващо значение в WLAN мрежите. За да се гарантира, че нарушителите няма да манипулират или прехващат гласовия трафик, архитектурата Cisco SAFE Security поддържа телефона. За повече информация относно сигурността в мрежите вижте http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Решението за безжична IP телефония на Cisco осигурява сигурност на безжичната мрежа, която предотвратява неоторизирани влизания и компрометирани комуникации, като използва следните методи за удостоверяване, поддържани от телефона:

• Отворено удостоверяване: Всяко безжично устройство може да поиска удостоверяване в отворена система. Точката за достъп, която получава заявката, може да предостави удостоверяване на всеки заявител или само на заявители, които са намерени в списък с потребители. Комуникацията между безжичното устройство и точката за достъп (AP) може да не е криптирана.

• Протокол за разширяемо удостоверяване - Гъвкаво удостоверяване чрез удостоверяване чрез защитено тунелиране (EAP-FAST): Тази архитектура за сигурност клиент-сървър криптира EAP транзакциите в тунел на ниво на защита на транспорта (TLS) между точката за достъп и RADIUS сървъра, като например Identity Services Engine (ISE).

  TLS тунелът използва защитени идентификационни данни за достъп (PAC) за удостоверяване между клиента (телефона) и RADIUS сървъра. Сървърът изпраща Authority ID (AID) на клиента (телефона), който от своя страна избира подходящия PAC. Клиентът (телефонът) връща PAC-Opaque на RADIUS сървъра. Сървърът дешифрира PAC с първичния ключ. И двете крайни точки вече съдържат PAC ключа и се създава TLS тунел. EAP-FAST поддържа автоматично предоставяне на PAC, но трябва да го активирате на RADIUS сървъра.

  В ISE, по подразбиране, PAC изтича след една седмица. Ако телефонът има изтекъл PAC код, удостоверяването с RADIUS сървъра отнема повече време, докато телефонът получи нов PAC код. За да избегнете забавяния при осигуряването на PAC, задайте периода на изтичане на PAC на 90 дни или повече на ISE или RADIUS сървъра.

• Удостоверяване чрез протокол за разширяемо удостоверяване - защита на транспортния слой (EAP-TLS): EAP-TLS изисква клиентски сертификат за удостоверяване и достъп до мрежата. За безжичен EAP-TLS, клиентският сертификат може да бъде MIC, LSC или инсталиран от потребителя сертификат.

• Протокол за защитено разширяемо удостоверяване (PEAP): Патентована схема за взаимно удостоверяване, базирана на парола, на Cisco между клиента (телефона) и RADIUS сървъра. Телефонът може да използва PEAP за удостоверяване с безжичната мрежа. Поддържат се както методи за удостоверяване PEAP-MSCHAPV2, така и PEAP-GTC.

• Предварително споделен ключ (PSK): Телефонът поддържа ASCII формат. Трябва да използвате този формат, когато настройвате WPA/WPA2/SAE Предварително споделен ключ:

  ASCII: ASCII низ от символи с дължина от 8 до 63 символа (0-9, малки и главни букви от А до Я и специални символи)

  Пример: GREG123567@9ZX & З

Следните схеми за удостоверяване използват RADIUS сървъра за управление на ключове за удостоверяване:

• WPA/WPA2/WPA3: Използва информация от RADIUS сървъра, за да генерира уникални ключове за удостоверяване. Тъй като тези ключове се генерират на централизирания RADIUS сървър, WPA2/WPA3 осигурява по-голяма сигурност от предварително споделените WPA ключове, които се съхраняват на точката за достъп и телефона.

• Бърз и сигурен роуминг: Използва информация от RADIUS сървър и безжичен домейн сървър (WDS) за управление и удостоверяване на ключове. WDS създава кеш с идентификационни данни за сигурност за клиентски устройства с активиран FT за бързо и сигурно повторно удостоверяване. Настолните телефони Cisco 9861 и 9871, както и видеотелефоните Cisco 8875 поддържат 802.11r (FT). Поддържат се както ефирни, така и DS връзки, за да се осигури бърз и сигурен роуминг. Но силно препоръчваме използването на метода 802.11r (FT) по въздух.

С WPA/WPA2/WPA3, Ключовете за криптиране не се въвеждат в телефона, а се извличат автоматично между точката за достъп и телефона. Но потребителското име и паролата за EAP, които се използват за удостоверяване, трябва да бъдат въведени на всеки телефон.

За да се гарантира сигурността на гласовия трафик, телефонът поддържа TKIP и AES за криптиране. Когато тези механизми се използват за криптиране, както сигналните SIP пакети, така и гласовите пакети Real-Time Transport Protocol (RTP) се криптират между точката за достъп и телефона.

TKIP

WPA използва TKIP криптиране, което има няколко подобрения спрямо WEP. TKIP осигурява шифроване с ключ за всеки пакет и по-дълги инициализационни вектори (IV), които засилват криптирането. Освен това, проверката за целостта на съобщението (MIC) гарантира, че криптираните пакети не се променят. TKIP премахва предвидимостта на WEP, която помага на нарушителите да дешифрират WEP ключа.

AES

Метод за криптиране, използван за WPA2/WPA3 удостоверяване. Този национален стандарт за криптиране използва симетричен алгоритъм, който има един и същ ключ за криптиране и декриптиране. AES използва криптиране Cipher Blocking Chain (CBC) с размер 128 бита, което поддържа размери на ключовете от минимум 128 бита, 192 бита и 256 бита. Телефонът поддържа ключ с размер 256 бита.

В безжичната локална мрежа са настроени схеми за удостоверяване и криптиране. VLAN мрежите са конфигурирани в мрежата и на точките за достъп и определят различни комбинации от удостоверяване и криптиране. SSID се асоциира с VLAN и конкретна схема за удостоверяване и криптиране. За да се удостоверят успешно безжичните клиентски устройства, трябва да конфигурирате едни и същи SSID с техните схеми за удостоверяване и криптиране на точките за достъп и на телефона.

Някои схеми за удостоверяване изискват специфични видове криптиране.

Схемите за удостоверяване и криптиране в следващата таблица показват опциите за мрежова конфигурация за телефона, която съответства на конфигурацията на точката за достъп.

Assured Services SIP (AS-SIP) е съвкупност от функции и протоколи, които предлагат високо сигурен поток на разговори за IP телефони на Cisco и телефони на трети страни. Следните функции са общо известни като AS-SIP:

• Многостепенно предимство и превантивност (MLPP)
• Кодова точка за диференцирани услуги (DSCP)
• Защита на транспортния слой (TLS) и протокол за сигурен транспорт в реално време (SRTP)
• Интернет протокол версия 6 (IPv6)

AS-SIP често се използва с Multilevel Precedence and Preemption (MLPP) за приоритизиране на повикванията по време на спешност. С MLPP вие задавате ниво на приоритет на изходящите си повиквания, от ниво 1 (ниско) до ниво 5 (високо). Когато получите повикване, на телефона се показва икона за ниво на приоритет, която показва приоритета на повикването.

За да конфигурирате AS-SIP, изпълнете следните задачи в Cisco Unified Communications Manager:

• Конфигуриране на потребител с дайджест – Конфигурирайте крайния потребител да използва дайджест удостоверяване за SIP заявки.
• Конфигуриране на защитен порт за SIP телефон – Cisco Unified Communications Manager използва този порт, за да слуша SIP телефони за регистрации на SIP линии през TLS.
• Рестартиране на услугите – След конфигуриране на защитения порт, рестартирайте услугите Cisco Unified Communications Manager и Cisco CTL Provider. Конфигуриране на SIP профил за AS-SIP - Конфигурирайте SIP профил с SIP настройки за вашите AS-SIP крайни точки и за вашите SIP канали. Специфичните за телефона параметри не се изтеглят на AS-SIP телефон на трета страна. Те се използват само от Cisco Unified Manager. Телефоните на трети страни трябва локално да конфигурират същите настройки.
• Конфигуриране на профил за защита на телефона за AS-SIP – Можете да използвате профила за защита на телефона, за да зададете настройки за защита, като например TLS, SRTP и дайджест удостоверяване.
• Конфигуриране на AS-SIP крайна точка – Конфигурирайте Cisco IP телефон или крайна точка на трета страна с поддръжка на AS-SIP.
• Свързване на устройство с краен потребител – Свързване на крайната точка с потребител.
• Конфигуриране на профил за сигурност на SIP trunk за AS-SIP – Можете да използвате профила за сигурност на sip trunk, за да присвоите функции за сигурност, като например TLS или дайджест удостоверяване, към SIP trunk.
• Конфигуриране на SIP Trunk за AS-SIP – Конфигурирайте SIP Trunk с поддръжка на AS-SIP.
• Конфигуриране на AS-SIP функции – Конфигурирайте допълнителни AS-SIP функции, като например MLPP, TLS, V.150 и IPv6.

За подробна информация относно конфигурирането на AS-SIP вижте главата „Конфигуриране на крайни точки на AS-SIP“ в Ръководство за конфигуриране на функции за Cisco Unified Communications Manager.

Когато на телефона са конфигурирани кодове за принудително оторизиране (FAC) или кодове за клиентски въпроси (CMC), или и двете, потребителите трябва да въведат необходимите пароли, за да набират номер.

За повече информация относно настройването на FAC и CMC в Cisco Unified Communications Manager вижте главата „Кодове за клиентски въпроси и кодове за принудително оторизиране“ в Ръководство за конфигуриране на функции за Cisco Unified Communications Manager, версия 12.5(1) или по-нова версия.

Функцията Cisco VPN ви помага да запазите мрежовата сигурност, като същевременно предоставя на потребителите безопасен и надежден метод за свързване към вашата корпоративна мрежа. Използвайте тази функция, когато:

• Телефонът се намира извън надеждна мрежа
• Мрежовият трафик между телефона и Cisco Unified Communications Manager преминава през ненадеждна мрежа

При VPN има три често срещани подхода за удостоверяване на клиенти:

• Цифрови сертификати
• Пароли:
• Потребителско име и парола

Всеки метод има своите предимства. Но ако вашата корпоративна политика за сигурност го позволява, препоръчваме подход, базиран на сертификати, защото сертификатите позволяват безпроблемно влизане без намеса на потребителя. Поддържат се както LSC, така и MIC сертификати.

За да конфигурирате някоя от VPN функциите, първо осигурете устройството локално и след това можете да го разположите извън мрежата.

За повече информация относно удостоверяването със сертификат и работата с VPN мрежа вижте Конфигуриране на AnyConnect VPN телефон с удостоверяване със сертификат на ASA.

При подход с парола или потребителско име и парола, потребителят бива подканен да въведе идентификационни данни за вход. Задайте идентификационните данни за вход на потребителя в съответствие с политиката за сигурност на вашата компания. Можете също да конфигурирате настройката „Активиране на запазване на паролата“, така че потребителската парола да се запазва на телефона. Потребителската парола се запазва, докато не се осъществи неуспешен опит за влизане, потребителят не изчисти паролата ръчно или телефонът не се рестартира или не се изключи.

Друг полезен инструмент е настройката „Активиране на автоматично откриване на мрежа“. Когато активирате това квадратче за отметка, VPN клиентът може да работи само когато открие, че е извън корпоративната мрежа. Тази настройка е за деактивирана по подразбиране.

Вашият телефон Cisco поддържа Cisco SVC IPPhone Client v1.0 като тип клиент.

За повече информация относно конфигурирането на VPN на Unified CM вижте Ръководство за конфигуриране на функции за Cisco Unified Communications Manager.

Функцията Cisco VPN използва Secure Sockets Layer (SSL) за запазване на мрежовата сигурност.