Tak for din feedback.

Sikkerhedsfunktionerne beskytter mod trusler, herunder trusler i forhold til identiteten af telefonen og dataene. Disse funktioner etablerer og opretholder godkendte kommunikationsstrømme mellem telefonen og Cisco Unified Communications Manager-servere og sikrer, at telefonen kun bruger filer, der er signeret digitalt.

Cisco Unified Communications Manager Release 8.5(1) og senere omfatter Security by Default, der giver følgende sikkerhedsfunktioner for Cisco IP-telefon, uden at køre CTL-klienten:

• Signering af telefonkonfigurationsfilerne

• Kryptering af telefonkonfigurationsfiler

• HTTPS med Tomcat og andre webservices

Implementering af sikkerheden i Cisco Unified Communications Manager-systemet forhindrer identitetstyveri på telefonen, og Cisco Unified Communications Manager-serveren forhindrer datamanipulation og forhindrer manipulation af opkaldssignaler og mediestreams.

For at afhjælpe disse trusler etablerer og opretholder Cisco IP-telefon-netværket sikre (krypterede) kommunikationsstrømme mellem en telefon og serveren, signerer filer digitalt, før de overføres til en telefon, og krypterer mediestreams og opkaldssignaler mellem Cisco IP-telefon.

Et lokalt LSC (Locally Significant Certificate) installeres på telefoner, når du har udført de nødvendige opgaver, der er knyttet til CAPF (Certificate Authority Proxy Function). Du kan bruge Cisco Unified Communications Manager Administration til at konfigurere et LSC, som beskrevet i sikkerhedsvejledningen #Cisco Unified Communications Manager. Du kan også starte installationen af LSC i menuen Sikkerhed på telefonen. I denne menu kan du også opdatere eller fjerne en LSC.

Telefonerne bruger telefonsikkerhedsprofilen, der definerer, om enheden er sikker eller sikker. Få oplysninger om anvendelse af sikkerhedsprofilen på telefonen i dokumentationen til din specifikke version af Cisco Unified Communications Manager

Hvis du konfigurerer sikkerhedsmæssige indstillinger i Cisco Unified Communications Manager Administration, indeholder telefonkonfigurationsfilen følsomme oplysninger. For at sikre fortroligheden af en konfigurationsfil skal du konfigurere den til kryptering. Få mere detaljerede oplysninger i dokumentationen til din specifikke version af Cisco Unified Communications Manager.

Følgende tabel indeholder en oversigt over sikkerhedsfunktioner, som telefonerne understøtter. Få flere oplysninger i dokumentationen til din specifikke version af Cisco Unified Communications Manager.

Følgende tabel indeholder alarmmeddelelser om opdatering af tillidsliste og deres betydning Få flere oplysninger i dokumentationen til Cisco Unified Communications Manager.

Når der implementeres sikkerhed for en telefon, kan du identificere sikre telefonopkald på ikoner på telefonskærmen. Du kan også bestemme, om den tilsluttede telefon er sikker og beskyttet, hvis der afspilles en sikkerhedstone i begyndelsen af opkaldet.

I et sikkert opkald krypteres alle signal- og mediestreams. Et sikkert opkald tilbyder et højt niveau af sikkerhed med integritet og beskyttelse af personlige oplysninger ved opkaldet. Når et igangværende opkald er krypteret, kan du se ikonet sikkert På linjen.

I Cisco Unified Communications Manager kan telefoner, der er konfigureret som sikre (krypterede og pålidelige), tildeles en beskyttet status. Når de er beskyttet, kan disse enheder konfigureres til at afspille en sikkerhedstone i begyndelsen af hvert opkald.

• Beskyttet enhed:

  Sådan ændrer du en sikker telefons status til beskyttet:

  1. I Cisco Unified Communications Manager Administration skal du vælge Enhed > telefon.
  2. Find den telefon, du vil konfigurere.
  3. I vinduet Telefonkonfiguration skal du markere afkrydsningsfeltet Beskyttet enhed .
  4. Klik på Gem.

• Afspil sikker indikationstone:

  Sådan aktiverer du den beskyttede telefon til at afspille en sikker eller ikke-sikker indikationstone:

  1. I Cisco Unified Communications Manager Administration skal du vælge System > serviceparametre.
  2. Vælg serveren og derefter tjenesten # Cisco CallManager .
  3. I området Parametre for hele klyngen (Funktion - Sikker tone) skal du indstille afspilningstonen til at angive indstillingen Sikker/ikke-sikker opkaldsstatus til Sand.
  4. Klik på Gem.

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage alle andres WLAN-trafik, er beskyttelse af talekommunikation vigtigt i WLAN. For at sikre, at ubudne gæster ikke manipulerer eller opfanger taletrafik, understøtter Cisco SAFE Security-arkitekturen telefonen. Du kan finde flere oplysninger om sikkerhed i netværk i http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefoniløsningen Cisco Wireless IP leverer trådløs netværkssikkerhed, der forhindrer uautoriseret logon og kompromitteret kommunikation ved hjælp af følgende godkendelsesmetoder, som telefonen understøtter.

• Åben godkendelse: Trådløse enheder kan anmode om godkendelse i et åbent system. Det AP, der modtager anmodningen, kan give godkendelse til en person eller kun de anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kan være ikke-krypteret.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Authentication: Denne klient-server sikkerhedsarkitektur krypterer EAP transaktioner inden for en Transport Level Security (TLS) tunnel mellem AP og RADIUS-serveren, såsom Identity Services Engine (ISE).

  TLS-tunnelen bruger PAC'er (Protected Access Credentials) til godkendelse mellem klienten (telefon) og RADIUS-serveren. Serveren sender et AID (Authority ID) til klienten (telefonen), som gengæld vælger det relevante PAC. Klienten (telefonen) returnerer en PAC-Opaque til RADIUS-serveren. Serveren dekrypterer PAC med masternøglen. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere det på RADIUS-serveren.

  I ISE udløber PAC som standard om en uge. Hvis telefonen har en udløbet PAC, tager en godkendelse med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser pga. PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE'en eller RADIUS-serveren.

• EAP-TLS-godkendelse (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. For trådløse EAP-TLS kan klientcertifikatet være MIC, LSC, eller brugerinstalleret certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos beskyttede adgangskodebaserede gensidige godkendelsesmetode mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP MSCHAPV2- og PEAP GTC-godkendelsesmetoden understøttes.

• Pre-Shared Key (PSK): Telefonen understøtter formaterne ASCII og hexadecimal (HEX). Du skal bruge disse formater, når du konfigurerer en forhåndsdelt WPA2/SAE-nøgle.

  ASCII: En ASCII-tegnstreng med 8 til 63 tegn i længden (0-9, små bogstaver a-z, store bogstaver A-Z og specialtegn). f.eks. . GREG123567@9ZX&W.

  HEX: En HEX-tegnstreng med 64 hex-cifre i længden (0-9, a-f eller A-F).

Følgende godkendelsesmetode bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• WPA2/WPA3: Bruger RADIUS-serveroplysninger til at generere entydige nøgler til godkendelse. Da disse nøgler genereres på den centrale RADIUS-server, giver WPA2/WPA3 mere sikkerhed end forhåndsdelte WPA-nøgler, der er gemt på AP'en og telefonen.

• Hurtig sikker roaming: Bruger oplysninger om RADIUS-server og en trådløs domæneserver (WDS) for at administrere og godkende nøgler. WDS opretter en cache med sikkerhedslegitimationsoplysninger for FT-aktiverede klientenheder til hurtig og sikker gengodkendelse.

Med WPA2/WPA3 angives krypteringsnøgler ikke på telefonen, men hentes automatisk mellem adgangspunktet og telefonen. Men det EAP-brugernavn og den adgangskode, der bruges til godkendelse, skal angives på hver enkelt telefon.

For at hjælpe med at beskytte taletrafik via det trådløse link understøtter telefonen AES-baseret kryptering til WPA2/WPA3-godkendelse. AES er en symmetrisk blokchiffer standardiseret af NIST. AES bruger en fast 128-bit blokstørrelse og understøtter nøglestørrelser på 128 bit, 192 bit og 256 bit. I Wi-Fi-netværk bruges AES af krypteringspakker som CCMP eller GCMP, mens godkendelse leveres separat af PSK, SAE eller 802.1X/EAP, afhængigt af den konfigurerede WLAN-sikkerhedstilstand. Den understøttede krypteringspakke og nøglestørrelse afhænger af telefonmodellen og WLAN-konfigurationen.

Når telefonen bruger AES-kryptering, krypteres både signalpakkerne SIP og RTP-pakkerne (voice Real-Time Transport Protocol) mellem adgangspunktet og telefonen.

Godkendelses- og krypteringsmetoder konfigureres inden for det trådløse LAN. VLAN'er konfigureres i netværket og på AP'er og angiver forskellige kombinationer af godkendelse og kryptering. Et SSID er knyttet til et VLAN og det specifikke godkendelses- og krypteringsmetode. Hvis trådløse klientenheder skal kunne godkendes, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsskemaer på AP'erne og på telefonen.

Visse godkendelsesmetoder kræver bestemte typer kryptering.

Godkendelses- og krypteringsskemaerne i følgende tabel viser netværkskonfigurationsindstillingerne for Cisco trådløs telefon 9821, der svarer til AP-konfigurationen.

Cisco Wireless Phone 9821 understøtter 802.1X-godkendelse for kablede netværk. Dette bruges typisk under automatisk klargøring , når telefonen er sluttet til bordopladeren via en understøttet USB-til-Ethernet-adapter.

Understøttelse af 802.1X-godkendelse på kablede netværk kræver følgende flere komponenter:

• Cisco IP-telefon: Telefonen starter anmodningen for at få adgang til netværket. Cisco IP-telefon indeholder en 802.1X-supplikant. Denne supplikant giver netværksadministratorer kontrol over forbindelsen mellem IP-telefoner og porte på LAN-switch. Den aktuelle version af telefonens 802.1X-supplikant bruger EAP-FAST- og EAP-TLS-indstillingerne til netværksgodkendelse.

• Autentificeringsserver: Godkendelsesserveren og switchen skal begge konfigureres med en delt RADIUS-hemmelighed.

• Switch: Switchen skal understøtte 802.1X, så den kan fungere som godkender og videresende EAP-meddelelser mellem telefonen og godkendelsesserveren. Når udvekslingen er fuldført, giver eller afviser switchen at give telefonen adgang til netværket.

Cisco IP-telefon og Cisco Catalyst-switches bruger traditionelt set Cisco Discovery Protocol (CDP) til at identificere hinanden og bestemme parametre som f.eks. VLAN-tildeling og integreret strømkrav.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurer CDP/LLDP stemme VLAN bypass.

• Konfigurer godkendelsesserveren og switchen, før du aktiverer 802.1X-godkendelse for kabelbaserede netværk på telefonen.

• Konfigurer tale-VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, skal du konfigurere denne indstilling ud fra switchunderstøttelsen.

  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse på flere domæner, kan du konfigurere den til at bruge stemmen VLAN.
  • Deaktiveret: Hvis switchen ikke understøtter godkendelse på flere domæner, skal du deaktivere tale-VLAN'et og overveje at tildele porten til det indbyggede VLAN.

• Cisco Trådløs telefon 9821 har et andet præfiks i PID end for de andre Cisco telefoner. Indstil Radius· for at aktivere din telefon til at passere 802.1X-godkendelse Parameteren Brugernavn for at inkludere din Cisco trådløse telefon 9821.

  PID for Cisco trådløs telefon 9821 er f.eks. WP-9821. Du kan indstille Radius· Brugernavn til at starte med WP eller Indeholder WP i begge følgende afsnit:

  • Politik > Betingelser > Biblioteksbetingelser

  • Politik > Politiksæt> Autorisationspolitik > Autorisationsregel 1