Благодарим за обратната връзка.

Функциите за сигурност предпазват от заплахи, включително заплахи за самоличността на телефона и за данните. Тези функции установяват и поддържат удостоверени комуникационни потоци между телефона и Cisco Unified Communications Manager сървъра и гарантират, че телефонът използва само цифрово подписани файлове.

Cisco Unified Communications ManagerВерсия 8.5 (1) и по-нова версия включва защита по подразбиране, която предоставя следните функции за сигурност за IP телефони на Cisco, без да стартира CTL клиента:

• Подписване на конфигурационните файлове на телефона

• Криптиране на конфигурационен файл на телефона

• HTTPS с Tomcat и други уеб услуги

Внедряването на сигурност в Cisco Unified Communications Manager системата предотвратява кражбата на самоличност на телефона и Cisco Unified Communications Manager сървъра, предотвратява подправянето на данни и предотвратява сигнализирането на повиквания и подправяне на медийния поток.

За да облекчи тези заплахи, мрежата за IP телефония на Cisco установява и поддържа защитени (криптирани) комуникационни потоци между телефона и сървъра, цифрово подписва файлове преди да бъдат прехвърлени на телефон и криптира медийни потоци и сигнализация на повиквания между IP телефоните на Cisco.

Локално значим сертификат (LSC) се инсталира на телефоните, след като изпълните необходимите задачи, свързани с Certificate Authority прокси функцията (CAPF). Можете да използвате, Cisco Unified Communications Manager Administration за да конфигурирате LSC, както е описано в Ръководството за Cisco Unified Communications Manager сигурност. Като алтернатива можете да инициирате инсталирането на LSC от менюто Настройки за защита на телефона. Това меню също ви позволява да актуализирате или премахнете LSC.

Телефоните използват профила за сигурност на телефона, който определя дали устройството е несигурно или защитено. За информация относно прилагането на профила за сигурност към телефона вижте документацията за конкретното ви Cisco Unified Communications Manager издание.

Ако конфигурирате настройките, свързани със сигурносттаCisco Unified Communications Manager Administration, конфигурационният файл на телефона съдържа чувствителна информация. За да осигурите поверителността на конфигура ционен файл, трябва да го конфигурирате за криптиране. За подробна информация вижте документацията за конкретното ви Cisco Unified Communications Manager издание.

Телефонът отговаря на Федералния стандарт за обработка на информация (FIPS). За да функционира правилно, режимът FIPS изисква размер на ключа от 2048 бита или по-голям. Ако сертификатът е по-малък от 2048 бита, телефонът няма да се регистрира Cisco Unified Communications Manager и Телефонът не успя да се регистрира. Размерът на клавиша Cert не е съвместим с FIPS дисплеи на телефона.

Ако телефонът има LSC, трябва да актуализирате размера на клавиша LSC до 2048 бита или повече, преди да активирате FIPS.

Следващата таблица предоставя преглед на функциите за сигурност, които телефоните поддържат. За повече информация вижте документацията за конкретното ви Cisco Unified Communications Manager издание.

За да видите режима на защита, натиснете На стройки и отидете на М режа и услуга > На стройки за защита.

Следващата таблица съдържа алармените съобщения и значение за актуализиране на списъка с доверие. За повече информация вижте Cisco Unified Communications Manager документацията.

Менюто Настройка на защитата предоставя информация за различни настройки за защита. Меню то също така осигурява достъп до менюто Списък на доверието и показва дали CTL или ITL файлът е инсталиран на телефона.

Следващата таблица описва опциите в менюто Настройка на защитата.

IP телефоните на Cisco поддържат 802.1X удостоверяване.

Cisco IP телефоните и превключвателите Cisco Catalyst традиционно използват Cisco Discovery Protocol (CDP), за да се идентифицират взаимно и да определят параметри като разпределение на VLAN и вградените изисквания за захранване. CDP не идентифицира локално прикачени работни станции. IP телефоните на Cisco осигуряват механизъм за преминаване на EAPOL. Този механизъм позволява на работна станция, прикрепена към IP телефона на Cisco, да предава EAPOL съобщения на 802.1X удостоверителя на превключвателя за LAN. Механизмът за преминаване гарантира, че IP телефонът не действа като LAN превключвател за удостоверяване на крайна точка за данни преди достъп до мрежата.

IP телефоните на Cisco също предоставят прокси механизъм EAPOL Logoff. Ако локално прикаченият компютър се прекъсне от IP телефона, превключвателят за LAN не вижда, че физическата връзка се провали, тъй като връзката между LAN превключвателя и IP телефона се поддържа. За да се избегне компрометирането на целостта на мрежата, IP телефонът изпраща съобщение EAPOL-Logoff до превключвателя от името на компютъра надолу по веригата, което задейства превключвателя за LAN, за да изчисти записа за удостоверяване на компютъра надолу по веригата.

Поддръжката за 802.1X удостоверяване изисква няколко компонента:

• Cisco IP телефон: Телефонът инициира заявката за достъп до мрежата. IP телефоните на Cisco съдържат 802.1X молба. Тази молба позволява на мрежовите администратори да контролират свързаността на IP телефони към портовете за превключване на LAN. Текущото издание на телефона 802.1X supplicant използва опциите EAP-FAST и EAP-TLS за мрежово удостоверяване.

• Сървър за удостоверяване: Сървърът за удостоверяване и превключвателят трябва да бъдат конфигурирани със споделена тайна, която удостоверява телефона.

• Превключвател: Превключвателят трябва да поддържа 802.1X, така че да може да действа като удостоверител и да предава съобщенията между телефона и сървъра за удостоверяване. След като обменът приключи, превключвателят предоставя или отказва достъп на телефона до мрежата.

Трябва да изпъл ните следните действия, за да конфигурирате 802.1X.

• Конфигурирайте останалите компоненти, преди да активирате 802.1X удостоверяване на телефона.

• Конфигуриране на PC порт: Стандартът 802.1X не взема предвид VLAN и по този начин препоръчва само едно устройство да бъде удостоверено на конкретен порт за превключване. Някои превключватели обаче поддържат удостоверяване на много домейни. Конфигурацията на превключвателя определя дали можете да свържете компютър към компютърния порт на телефона.

  • Активирано: Ако използвате превключвател, който поддържа удостоверяване с много домейни, можете да активирате порта на компютъра и да свържете компютър към него. В този случай IP телефоните на Cisco поддържат прокси EAPOL-Logoff за наблюдение на обмена на удостоверяване между превключвателя и прикачения компютър.

    За повече информация относно поддръжката на IEEE 802.1X на превключвателите Cisco Catalyst вижте ръководствата за конфигуриране на превключвателя Cisco Catalyst на адрес:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Деактивирано: Ако превключвателят не поддържа няколко 802.1X съвместими устройства на един и същ порт, трябва да деактивирате порта на компютъра, когато е активирано удостоверяването 802.1X. Ако не деактивирате този порт и след това се опитате да прикачите компютър към него, превключвателят отказва мрежовия достъп както до телефона, така и до компютъра.

• Конфигуриране на гласовата VLAN: Тъй като стандартът 802.1X не отчита VLAN, трябва да конфигурирате тази настройка въз основа на поддръжката на превключвателя.
  • Активирано: Ако използвате превключвател, който поддържа удостоверяване на много домейни, можете да го продължите, за да използвате гласовата VLAN.
  • Деактивирано: Ако превключвателят не поддържа удостоверяване на много домейни, деактивирайте Voice VLAN и помислете за присвояване на порта към родната VLAN.
• (Само за настолен телефон Cisco серия 9800)

  Cisco Desk Phone 9800 Series има различен префикс в PID от този за другите телефони на Cisco. За да активирате телефона ви да премине 802.1X удостоверяване, задайте параметъра Radius · UserName да включва вашия Cisco Desk Phone 9800 Series.

  Например, PID на телефон 9841 е DP-9841; можете да настроите Radius·User Name да започне с DP или Съдържа DP. Можете да го зададете и в двата от следните раздели:

  • Политика > Усл овия > Условия на библиотеката

  • Правила > На бори от правила > Пол итика за оторизация > Правило за оторизация 1

Когато защитата е внедрена за телефон, можете да идентифицирате защитените телефонни обаждания чрез икони на екрана на телефона. Можете също да определите дали свързаният телефон е защитен и защитен, ако в началото на разговора се възпроизвежда тон за сигурност.

При сигурно повикване всички сигнали за повиквания и медийни потоци са криптирани. Сигурното обаждане предлага високо ниво на сигурност, осигурявайки цялост и поверителност на разговора. Когато теку щото повикване е криптирано, можете да видите защитената ико на на линията. За защитен телефон можете също да видите удостоверената икона или криптираната икона до свързания сървър в менюто на телефона (На стройки > За това устройство).

При сигурно повикване в началото на обаждането се възпроизвежда защитен тон, който показва, че другият свързан телефон също получава и предава защитен звук. Ако обаждането ви се свързва с незащитен телефон, тонът за сигурност не се възпроизвежда.

Когато телефонът е конфигуриран като защитен (криптиран и надежден)Cisco Unified Communications Manager, той може да получи защит ен статус. След това, ако желаете, защитеният телефон може да бъде конфигуриран да възпроизвежда индикационен тон в началото на повикване:

• Защитено устройство: За да промените състоянието на защитен телефон на защитен, поставете отметка в квадратчето Защитено устройство в прозореца Конфигурация на телефона в Cisco Unified Communications Manager Administration (Устрой ство > Теле фон).

• Възпроизвеждане на защитен тон на индикация: За да активирате защитения телефон да възпроизвежда защитен или незащитен тон на индикация, задайте настройката Play Secure Indication Tone на True. По подразбиране тонът на защитената индикация за възпроизвеждане е зададен на False. Задайте тази опция в Cisco Unified Communications Manager Administration (Сист ема > Пара метри на услу гата). Изберете сървъра и след това услугата Unified Communications Manager. В прозореца Конфигурация на параметрите на услугата изберете опцията в областта Функция - защитен тон. По подразбиране е False.

Тъй като всички WLAN устройства, които са в обхвата, могат да получават целия друг WLAN трафик, осигуряването на гласови комуникации е от решаващо значение в WLAN мрежи. За да се гарантира, че натрапниците не манипулират или прихващат гласовия трафик, архитектурата на Cisco SAFE Security поддържа телефона. За повече информация относно сигурността в мрежите вижте http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Решението Cisco Wireless IP телефония осигурява сигурност на безжичната мрежа, която предотвратява неоторизирани влизания и компрометирани комуникации, като използва следните методи за удостоверяване, които телефонът поддържа:

• Отворено удостоверяване: Всяко безжично устройство може да поиска удостоверяване в отворена система. АП, който получава искането, може да предостави удостоверяване на всеки заявител или само на заявители, които се намират в списък с потребители. Комуникацията между безжичното устройство и точката за достъп (AP) може да бъде некриптирана.

• Разшири@@ м протокол за удостоверяване - гъвкаво удостоверяване чрез защитено тунелиране (EAP-FAST): Тази архитектура за сигурност клиент-сървър криптира EAP транзакциите в тунел за сигурност на ниво транспорт (TLS) между AP и сървъра RADIUS, като например Identity Services Engine (ISE).

  Тунелът TLS използва идентификационни данни за защитен достъп (PAC) за удостоверяване между клиента (телефона) и RADIUS сървъра. Сървърът изпраща идентификатор на авторитета (AID) на клиента (телефон), който от своя страна избира подходящия PAC. Клиентът (телефонът) връща PAC-непрозрачен към сървъра RADIUS. Сървърът дешифрира PAC с основния ключ. И двете крайни точки вече съдържат ключа PAC и е създаден TLS тунел. EAP-FAST поддържа автоматично предоставяне на PAC, но трябва да го активирате на сървъра RADIUS.

  В ISE по подразбиране PAC изтича след една седмица. Ако телефонът има PAC с изтекъл срок на годност, удостоверяването със сървъра RADIUS отнема повече време, докато телефонът получава нов PAC. За да избегнете забавяне на предоставянето на PAC, задайте периода на изтичане на PAC на 90 дни или повече на сървъра ISE или RADIUS.

• Разширим протокол за удостоверяване - Удостоверяване на сигурността на транспортния слой (EAP-TLS): EAP-TLS изисква клиентски сертификат за удостоверяване и достъп до мрежата. За безжичен EAP-TLS клиентският сертификат може да бъде MIC, LSC или инсталиран от потребителя сертификат.

• Защитен разширим протокол за удостоверяване (PEAP): патентована схема на Cisco за взаимно удостоверяване, базирана на парола, между клиента (телефона) и RADIUS сървъра. Телефонът може да използва PEAP за удостоверяване с безжичната мрежа. Поддържат се както PEAP-MSCHAPV2, така и PEAP-GTC методи за удостоверяване.

• Предварително споделен ключ (PSK): Теле фонът поддържа формат ASCII. Трябва да използвате този формат, когато настройвате предварително споделен ключ WPA/WPA2/SAE:

  ASCII: ASCII символен низ с дължина от 8 до 63 знака (0-9, малки и главни букви A-Z и специални символи)

  Пример: GREG123567 @9ZX &W

Следните схеми за удостоверяване използват сървъра RADIUS за управление на ключовете за удостоверяване:

• WPA/WPA2/WPA3: Използва RADIUS сървърна информация за генериране на уникални ключове за удостоверяване. Тъй като тези ключове се генерират на централизирания RADIUS сървър, WPA2/WPA3 осигурява по-голяма сигурност от WPA предварително споделените ключове, които се съхраняват на AP и телефона.

• Бърз защитен роуминг: Използва RADIUS сървър и информация за сървър за безжичен домейн (WDS) за управление и удостоверяване на ключове. WDS създава кеш от идентификационни данни за защита за клиентски устройства с възможност за FT за бързо и сигурно повторно удостоверяване. Настолен телефон на Cisco 9861 и 9871 и Cisco видео телефон 8875 поддържат 802.11r (FT). Поддържат се както по въздух, така и над DS, за да се осигури бърз сигурен роуминг. Но ние силно препоръчваме използването на метода 802.11r (FT) през въздуха.

С WPA/WPA2/WPA3 ключовете за криптиране не се въвеждат в телефона, а автоматично се извличат между AP и телефона. Но потребителското име и паролата на EAP, които се използват за удостоверяване, трябва да бъдат въведени на всеки телефон.

За да се гарантира, че гласовият трафик е сигурен, телефонът поддържа TKIP и AES за криптиране. Когато тези механизми се използват за криптиране, както сигналните SIP пакети, така и пакетите за гласови транспортни протоколи в реално време (RTP) се криптират между AP и телефона.

TKIP

WPA използва TKIP криптиране, което има няколко подобрения спрямо WEP. TKIP осигурява шифриране на ключове за пакет и по-дълги вектори за инициализация (IV), които засилват криптирането. Освен това проверката на целостта на съобщенията (MIC) гарантира, че криптираните пакети не се променят. TKIP премахва предсказуемостта на WEP, която помага на натрапниците да дешифрират WEP ключа.

AES

Метод за криптиране, използван за удостоверяване на WPA2/WPA3. Този национален стандарт за криптиране използва симетричен алгоритъм, който има същия ключ за криптиране и декриптиране. AES използва шифроване на шифровъчната верига (CBC) с размер 128 бита, което поддържа ключови размери от 128 бита, 192 бита и 256 бита, като минимум. Телефонът поддържа размер на ключа от 256 бита.

Схемите за удостоверяване и криптиране са настроени в безжичната LAN мрежа. VLAN са конфигурирани в мрежата и на AP и определят различни комбинации от удостоверяване и криптиране. SSID се свързва с VLAN и конкретната схема за удостоверяване и криптиране. За да могат безжичните клиентски устройства да се удостоверяват успешно, трябва да конфигурирате същите SSID с техните схеми за удостоверяване и криптиране на AP и по телефона.

Някои схеми за удостоверяване изискват специфични видове криптиране.

Схемите за удостоверяване и криптиране в следващата таблица показват опциите за мрежова конфигурация за телефона, който съответства на конфигурацията на AP.

Assured Services SIP (AS-SIP) е колекция от функции и протоколи, които предлагат изключително сигурен поток от обаждания за IP телефони на Cisco и телефони на трети страни. Следните характеристики са общо известни като AS-SIP:

• Многостепенно предимство и преимпция (MLPP)
• Кодова точка за диференцирани услуги (DSCP)
• Сигурност на транспортния слой (TLS) и защитен транспортен протокол в реално време (SRTP)
• Интернет протокол версия 6 (IPv6)

AS-SIP често се използва с многостепенно предимство и преимпция (MLPP) за приоритизиране на повикванията по време на спешни случаи. С MLPP присвоявате ниво на приоритет на изходящите си повиквания, от ниво 1 (ниско) до ниво 5 (високо). Когато получите обаждане, на телефона се показва икона за ниво приоритет, която показва приоритета на повикването.

За да конфигурирате AS-SIP, изпълнете следните задачи наCisco Unified Communications Manager:

• Конфигуриране на потребител на Digest — Конфигурирайте крайния потребител да използва удостоверяване на сборник за SIP заявки.
• Конфигуриране на SIP Phone Secure Port— Cisco Unified Communications Manager използва този порт, за да слуша SIP телефони за регистрации на SIP линии през TLS.
• Рестартирайте услугите — След като конфигурирате защитения порт, рестартирайте услугите Cisco Unified Communications Manager и Cisco CTL Provider. Конфигурирайте SIP профил за AS-SIP-Конфигурирайте SIP профил с SIP настройки за вашите AS-SIP крайни точки и за вашите SIP стволове. Специфичните за телефона параметри не се изтеглят на AS-SIP телефон на трета страна. Те се използват само от Cisco Unified Manager. Телефоните на трети страни трябва локално да конфигурират същите настройки.
• Конфигуриране на профила за защита на телефона за AS-SIP — Можете да използвате профила за защита на телефона, за да зададете настройки за защита като TLS, SRTP и удостоверяване на уточняване на информацията.
• Конфигуриране на AS-SIP крайна точка — Конфигурирайте IP телефон на Cisco или крайна точка на трета страна с поддръжка на AS-SIP.
• Свързване на устройството с крайния потребител — Свържете крайната точка с потребител.
• Конфигуриране на профила за сигурност на SIP Trunk за AS-SIP — Можете да използвате профила за защита на SIP багажника, за да зададете функции за защита, като например TLS или удостоверяване на сборника на SIP.
• Конфигуриране на SIP Trunk за AS-SIP — Конфигурирайте SIP багажник с поддръжка на AS-SIP.
• Конфигуриране на функциите AS-SIP — Конфигурирайте допълнителни функции на AS-SIP като MLPP, TLS, V.150 и IPv6.

За подробна информация относно конфигурирането на AS-SIP вижте главата „Конфигуриране на крайни точки на AS-SIP“ в Ръководство за конфигуриране на функции за . Cisco Unified Communications Manager

Когато кодовете за принудително оторизация (FAC) или кодовете за клиентско значение (CMC) или и двете са конфигурирани по телефона, потребителите трябва да въведат необходимите пароли, за да наберат номер.

За повече информация относно това как да настроите FAC и CMC вCisco Unified Communications Manager, вижте главата „Кодове за значение на клиента и кодове за принудително оторизация“ в Ръковод ство за конфигуриране на функции за Cisco Unified Communications Manager версия 12.5 (1) или по-нова версия.

Функцията Cisco VPN ви помага да запазите сигурността на мрежата, като същевременно предоставя на потребителите безопасен и надежден метод за свързване към вашата корпоративна мрежа. Използвайте тази функция, когато:

• Телефонът се намира извън надеждна мрежа
• Мрежов трафик между телефона и пре Cisco Unified Communications Manager сича ненадеждна мрежа

С VPN има три общи подхода за удостоверяване на клиента:

• Цифрови сертификати
• Пароли
• Потребителско име и парола

Всеки метод има своите предимства. Но ако вашата корпоративна политика за сигурност го позволява, препоръчваме подход, базиран на сертификати, тъй като сертификатите позволяват безпроблемно влизане без намеса на потребителя. Поддържат се както LSC, така и MIC сертификати.

За да конфигурирате някоя от VPN функциите, първо осигурете устройството локално и след това можете да го разгърнете извън помещението.

За повече информация относно удостоверяването на сертифицирането и работата с VPN мрежа вижте Конфигу риране на AnyConnect VPN телефон с удостоверяване на сертификат на ASA.

С парола или подход с потребителско име и парола потребителят ще бъде подканен за идентификационни данни за влизане. Задайте идентификационните данни за влизане на потребителя в съответствие с политиката за сигурност на вашата компания. Можете също така да конфигурирате настройката Активиране на постоянството на паролата, така че потребителската парола да бъде запазена в телефона. Потребителската парола се запазва, докато не се случи неуспешен опит за влизане, потребителят ръчно изчисти паролата или телефонът нулира или загуби захранване.

Друг полезен инструмент е настройката Активиране на автоматично откриване на мрежата. Когато активирате това квадратче за отметка, VPN клиентът може да работи само когато открие, че е извън корпоративната мрежа. Тази настройка е деактивирана по подразбиране.

Вашият телефон Cisco поддържа Cisco SVC IPPhone Client v1.0 като тип клиент.

За повече информация относно това как да конфигурирате VPN включенаUnified CM, вижте Ръковод ство за конфигуриране на функции за Cisco Unified Communications Manager.

Функцията Cisco VPN използва Secure Sockets Layer (SSL) за запазване на мрежовата сигурност.