Tak for din feedback.

Sikkerhedsfunktioner beskytter mod trusler, herunder trusler mod telefonens identitet og data. Disse funktioner etablerer og vedligeholder godkendte kommunikationsstrømme mellem telefonen og Cisco Unified Communications Manager-serveren og sikrer, at telefonen kun bruger digitalt signerede filer.

Cisco Unified Communications Manager version 8.5(1) og nyere inkluderer Sikkerhed som standard, som giver følgende sikkerhedsfunktioner til Cisco IP-telefoner uden at køre CTL-klienten:

• Underskrivning af telefonkonfigurationsfilerne

• Kryptering af telefonkonfigurationsfiler

• HTTPS med Tomcat og andre webtjenester

Implementering af sikkerhed i Cisco Unified Communications Manager-systemet forhindrer identitetstyveri af telefonen og Cisco Unified Communications Manager-serveren, forhindrer datamanipulation og forhindrer manipulation af opkaldssignalering og mediestreams.

For at afbøde disse trusler etablerer og vedligeholder Cisco IP-telefoninetværket sikre (krypterede) kommunikationsstrømme mellem en telefon og serveren, signerer filer digitalt, før de overføres til en telefon, og krypterer mediestrømme og opkaldssignalering mellem Cisco IP-telefoner.

Et lokalt signifikant certifikat (LSC) installeres på telefoner, når du har udført de nødvendige opgaver, der er knyttet til certifikatmyndighedens proxyfunktion (CAPF). Du kan bruge Cisco Unified Communications Manager Administration til at konfigurere en LSC, som beskrevet i sikkerhedsvejledningen til Cisco Unified Communications Manager. Alternativt kan du starte installationen af en LSC fra menuen Sikkerhedsindstillinger på telefonen. Denne menu giver dig også mulighed for at opdatere eller fjerne en LSC.

Telefonerne bruger telefonens sikkerhedsprofil, som definerer, om enheden er usikker eller sikker. Du kan finde oplysninger om, hvordan du anvender sikkerhedsprofilen på telefonen, i dokumentationen til din specifikke Cisco Unified Communications Manager-version.

Hvis du konfigurerer sikkerhedsrelaterede indstillinger i Cisco Unified Communications Manager Administration, indeholder telefonens konfigurationsfil følsomme oplysninger. For at sikre en konfigurationsfils fortrolighed skal du konfigurere den til kryptering. Du kan finde flere oplysninger i dokumentationen til din specifikke Cisco Unified Communications Manager-version.

Telefonen overholder Federal Information Processing Standard (FIPS). For at FIPS-tilstanden fungerer korrekt, kræver den en nøglestørrelse på 2048 bit eller mere. Hvis certifikatet er mindre end 2048 bit, registreres telefonen ikke hos Cisco Unified Communications Manager, og Phone failed to register. Cert key size is not FIPS compliant vises på telefonen.

Hvis telefonen har en LSC, skal du opdatere LSC-nøglestørrelsen til 2048 bit eller mere, før du aktiverer FIPS.

Følgende tabel giver en oversigt over de sikkerhedsfunktioner, som telefonerne understøtter. Du kan finde flere oplysninger i dokumentationen til din specifikke Cisco Unified Communications Manager-version.

For at se sikkerhedstilstanden skal du trykke på Indstillinger og navigere til Netværk og tjenester > Sikkerhedsindstillinger.

Følgende tabel indeholder alarmmeddelelser og betydning for opdatering af tillidslisten. Du kan finde flere oplysninger i dokumentationen til Cisco Unified Communications Manager.

Menuen Sikkerhedsopsætning indeholder oplysninger om forskellige sikkerhedsindstillinger. Menuen giver også adgang til menuen Tillidsliste og angiver, om CTL- eller ITL-filen er installeret på telefonen.

Følgende tabel beskriver mulighederne i menuen Sikkerhedsopsætning.

Cisco IP-telefoner understøtter 802.1X-godkendelse.

Cisco IP-telefoner og Cisco Catalyst-switche bruger traditionelt Cisco Discovery Protocol (CDP) til at identificere hinanden og bestemme parametre som VLAN-allokering og inline-strømkrav. CDP identificerer ikke lokalt tilsluttede arbejdsstationer. Cisco IP-telefoner har en EAPOL-passthrough-mekanisme. Denne mekanisme gør det muligt for en arbejdsstation, der er tilsluttet Cisco IP-telefonen, at sende EAPOL-meddelelser til 802.1X-godkendelsen på LAN-switchen. Pass-through-mekanismen sikrer, at IP-telefonen ikke fungerer som LAN-switch til at godkende et dataslutpunkt, før den får adgang til netværket.

Cisco IP-telefoner tilbyder også en proxy EAPOL-logoff-mekanisme. Hvis den lokalt tilsluttede pc afbryder forbindelsen til IP-telefonen, registrerer LAN-switchen ikke, at den fysiske forbindelse fejler, fordi forbindelsen mellem LAN-switchen og IP-telefonen opretholdes. For at undgå at kompromittere netværkets integritet sender IP-telefonen en EAPOL-Logoff-meddelelse til switchen på vegne af downstream-pc'en, hvilket udløser, at LAN-switchen rydder godkendelsesposten for downstream-pc'en.

Understøttelse af 802.1X-godkendelse kræver flere komponenter:

• Cisco IP-telefon: Telefonen initierer anmodningen om at få adgang til netværket. Cisco IP-telefoner indeholder en 802.1X-supplikant. Denne supplikant giver netværksadministratorer mulighed for at kontrollere IP-telefoners forbindelse til LAN-switchportene. Den nuværende version af telefonens 802.1X-supplikant bruger EAP-FAST- og EAP-TLS-indstillingerne til netværksgodkendelse.

• Godkendelsesserver: Både godkendelsesserveren og switchen skal konfigureres med en delt hemmelighed, der godkender telefonen.

• Skifte: Switchen skal understøtte 802.1X, så den kan fungere som autentificeringsenhed og sende beskeder mellem telefonen og godkendelsesserveren. Når udvekslingen er afsluttet, giver eller nægter switchen telefonen adgang til netværket.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurer de andre komponenter, før du aktiverer 802.1X-godkendelse på telefonen.

• Konfigurer pc-port: 802.1X-standarden tager ikke højde for VLAN'er og anbefaler derfor, at kun én enhed skal godkendes til en bestemt switchport. Nogle switche understøtter dog multidomæne-godkendelse. Switchkonfigurationen bestemmer, om du kan tilslutte en pc til telefonens pc-port.

  • Aktiveret: Hvis du bruger en switch, der understøtter multidomænegodkendelse, kan du aktivere pc-porten og tilslutte en pc til den. I dette tilfælde understøtter Cisco IP-telefoner proxy EAPOL-Logoff til at overvåge godkendelsesudvekslingerne mellem switchen og den tilsluttede pc.

    Du kan finde flere oplysninger om IEEE 802.1X-understøttelse på Cisco Catalyst-switche i konfigurationsvejledningerne til Cisco Catalyst-switche på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deaktiveret: Hvis switchen ikke understøtter flere 802.1X-kompatible enheder på den samme port, skal du deaktivere pc-porten, når 802.1X-godkendelse er aktiveret. Hvis du ikke deaktiverer denne port og derefter forsøger at tilslutte en pc til den, nægter switchen netværksadgang til både telefonen og pc'en.

• Konfigurer stemme-VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, bør du konfigurere denne indstilling baseret på switch-understøttelsen.
  • Aktiveret: Hvis du bruger en switch, der understøtter multidomæne-godkendelse, kan du fortsætte med at bruge stemme-VLAN'et.
  • Deaktiveret: Hvis switchen ikke understøtter multidomæne-godkendelse, skal du deaktivere Voice VLAN og overveje at tildele porten til det native VLAN.
• (Kun for Cisco bordtelefon 9800-serien)

  Cisco-bordtelefonen i 9800-serien har et andet præfiks i PID'et end de andre Cisco-telefoner. For at din telefon kan overføre 802.1X-godkendelse, skal du indstille parameteren Radius·Brugernavn til at inkludere din Cisco-bordtelefon 9800-serie.

  For eksempel er PID'et for telefon 9841 DP-9841; du kan indstille Radius·Brugernavn til Start with DP eller Contains DP. Du kan indstille det i begge de følgende sektioner:

  • Politik > Betingelser > Biblioteksbetingelser

  • Politik > Politiksæt > Autorisationspolitik > Autorisationsregel 1

Når der er implementeret sikkerhed for en telefon, kan du identificere sikre telefonopkald ved hjælp af ikoner på telefonskærmen. Du kan også afgøre, om den tilsluttede telefon er sikker og beskyttet, hvis der afspilles en sikkerhedstone i begyndelsen af opkaldet.

I et sikkert opkald krypteres al opkaldssignalering og mediestrømme. Et sikkert opkald tilbyder et højt sikkerhedsniveau og sikrer integritet og privatliv i opkaldet. Når et igangværende opkald er krypteret, kan du se sikkerhedsikonet på linjen. For en sikker telefon kan du også se ikonet for godkendelse eller ikonet for kryptering ud for den tilsluttede server i telefonmenuen (Indstillinger > Om denne enhed).

I et sikkert opkald afspilles en sikkerhedstone i begyndelsen af opkaldet for at indikere, at den anden tilsluttede telefon også modtager og sender sikker lyd. Hvis dit opkald forbinder til en usikker telefon, afspilles sikkerhedstonen ikke.

Når en telefon er konfigureret som sikker (krypteret og betroet) i Cisco Unified Communications Manager, kan den få statusen beskyttet. Derefter kan den beskyttede telefon, hvis det ønskes, konfigureres til at afspille en indikationstone i begyndelsen af et opkald:

• Beskyttet enhed: Hvis du vil ændre status for en sikker telefon til beskyttet, skal du markere afkrydsningsfeltet Beskyttet enhed i vinduet Telefonkonfiguration i Cisco Unified Communications Manager Administration (Enhed > Telefon).

• Afspil sikker indikationstone: For at aktivere den beskyttede telefon til at afspille en sikker eller usikker indikationstone, skal du indstille indstillingen Afspil sikker indikationstone til Sand. Som standard er Afspil sikker indikationstone indstillet til Falsk. Du angiver denne indstilling i Cisco Unified Communications Manager Administration (System > Serviceparametre). Vælg serveren og derefter Unified Communications Manager-tjenesten. I vinduet Serviceparameterkonfiguration skal du vælge indstillingen i området Funktion - Sikker tone. Standardværdien er Falsk.

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage al anden WLAN-trafik, er sikring af talekommunikation afgørende i WLAN'er. For at sikre, at ubudne gæster ikke manipulerer eller opfanger taletrafik, understøtter Cisco SAFE Security-arkitekturen telefonen. For mere information om sikkerhed i netværk, se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscos trådløse IP-telefoniløsning leverer trådløs netværkssikkerhed, der forhindrer uautoriserede logins og kompromitteret kommunikation ved hjælp af følgende godkendelsesmetoder, som telefonen understøtter:

• Åbn godkendelse: Enhver trådløs enhed kan anmode om godkendelse i et åbent system. Den AP, der modtager anmodningen, kan tildele godkendelse til enhver anmoder eller kun til anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kan være ukrypteret.

• Extensible Authentication Protocol - Fleksibel godkendelse via sikker tunnelering (EAP-FAST) godkendelse: Denne klient-server-sikkerhedsarkitektur krypterer EAP-transaktioner i en TLS-tunnel (Transport Level Security) mellem AP'et og RADIUS-serveren, f.eks. Identity Services Engine (ISE).

  TLS-tunnelen bruger Protected Access Credentials (PAC'er) til godkendelse mellem klienten (telefonen) og RADIUS-serveren. Serveren sender et Authority ID (AID) til klienten (telefonen), som igen vælger den relevante PAC. Klienten (telefonen) returnerer en PAC-Opaque til RADIUS-serveren. Serveren dekrypterer PAC'en med den primære nøgle. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere det på RADIUS-serveren.

  I ISE udløber PAC'en som standard om en uge. Hvis telefonen har en udløbet PAC, tager godkendelse med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser i PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE- eller RADIUS-serveren.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)-godkendelse: EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. For trådløs EAP-TLS kan klientcertifikatet være MIC, LSC eller et brugerinstalleret certifikat.

• Beskyttet udvidelig godkendelsesprotokol (PEAP): Ciscos proprietære adgangskodebaserede gensidige godkendelsesordning mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP-MSCHAPV2- og PEAP-GTC-godkendelsesmetoder understøttes.

• Forhåndsdelt nøgle (PSK): Telefonen understøtter ASCII-format. Du skal bruge dette format, når du opretter en WPA/WPA2/SAE Foruddelt nøgle:

  ASCII: en ASCII-tegnstreng med en længde på 8 til 63 tegn (0-9, små og store bogstaver (AZ) samt specialtegn)

  Eksempel: GREG123567@9ZX & V

Følgende godkendelsesordninger bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• WPA/WPA2/WPA3: Bruger RADIUS-serveroplysninger til at generere unikke nøgler til godkendelse. Fordi disse nøgler genereres på den centraliserede RADIUS-server, WPA2/WPA3 giver mere sikkerhed end foruddelte WPA-nøgler, der er gemt på adgangspunktet og telefonen.

• Hurtig sikker roaming: Bruger RADIUS-server og oplysninger fra en trådløs domæneserver (WDS) til at administrere og godkende nøgler. WDS'et opretter en cache med sikkerhedsoplysninger til FT-aktiverede klientenheder for hurtig og sikker gengodkendelse. Cisco bordtelefon 9861 og 9871 og Cisco videotelefon 8875 understøtter 802.11r (FT). Både trådløst og over DS understøttes for at muliggøre hurtig og sikker roaming. Men vi anbefaler kraftigt at bruge 802.11r (FT) Over Air-metoden.

Med WPA/WPA2/WPA3, Krypteringsnøgler indtastes ikke på telefonen, men udledes automatisk mellem adgangspunktet og telefonen. Men EAP-brugernavnet og -adgangskoden, der bruges til godkendelse, skal indtastes på hver telefon.

For at sikre sikker taletrafik understøtter telefonen TKIP og AES til kryptering. Når disse mekanismer bruges til kryptering, krypteres både SIP-signalpakkerne og RTP-pakkerne (Real-Time Transport Protocol) til stemmen mellem adgangspunktet og telefonen.

TKIP

WPA bruger TKIP-kryptering, der har flere forbedringer i forhold til WEP. TKIP leverer nøglekryptering pr. pakke og længere initialiseringsvektorer (IV'er), der styrker krypteringen. Derudover sikrer en meddelelsesintegritetskontrol (MIC), at krypterede pakker ikke ændres. TKIP fjerner forudsigeligheden ved WEP, der hjælper ubudne gæster med at dechifrere WEP-nøglen.

AES

En krypteringsmetode, der bruges til WPA2/WPA3 godkendelse. Denne nationale standard for kryptering bruger en symmetrisk algoritme, der har den samme nøgle til kryptering og dekryptering. AES bruger Cipher Blocking Chain (CBC)-kryptering på 128 bit, som understøtter nøglestørrelser på mindst 128 bit, 192 bit og 256 bit. Telefonen understøtter en nøglestørrelse på 256 bit.

Godkendelses- og krypteringsordninger er konfigureret i det trådløse LAN. VLAN'er konfigureres i netværket og på AP'erne og specificerer forskellige kombinationer af godkendelse og kryptering. Et SSID er tilknyttet et VLAN og den specifikke godkendelses- og krypteringsordning. For at trådløse klientenheder kan godkendes, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsskemaer på adgangspunkterne og på telefonen.

Nogle godkendelsesordninger kræver specifikke typer kryptering.

Godkendelses- og krypteringsskemaerne i følgende tabel viser netværkskonfigurationsmulighederne for den telefon, der svarer til AP-konfigurationen.

Assured Services SIP (AS-SIP) er en samling af funktioner og protokoller, der tilbyder en yderst sikker opkaldsstrøm til Cisco IP-telefoner og tredjepartstelefoner. Følgende funktioner er samlet kendt som AS-SIP:

• Multilevel Precedence and Preemption (MLPP)
• Differentierede tjenesters kodepunkt (DSCP)
• Transport Layer Security (TLS) og Secure Real-time Transport Protocol (SRTP)
• Internetprotokol version 6 (IPv6)

AS-SIP bruges ofte sammen med Multilevel Precedence and Preemption (MLPP) til at prioritere opkald i en nødsituation. Med MLPP tildeler du et prioritetsniveau til dine udgående opkald, fra niveau 1 (lav) til niveau 5 (høj). Når du modtager et opkald, vises et ikon for prioritetsniveau på telefonen, der viser opkaldets prioritet.

For at konfigurere AS-SIP skal du udføre følgende opgaver på Cisco Unified Communications Manager:

• Konfigurer en Digest-bruger – Konfigurer slutbrugeren til at bruge digest-godkendelse til SIP-anmodninger.
• Konfigurer sikker SIP-telefonport – Cisco Unified Communications Manager bruger denne port til at lytte til SIP-telefoner for SIP-linjeregistreringer via TLS.
• Genstart tjenester – Genstart Cisco Unified Communications Manager og Cisco CTL Provider-tjenesterne efter konfiguration af den sikre port. Konfigurer SIP-profil til AS-SIP – Konfigurer en SIP-profil med SIP-indstillinger for dine AS-SIP-slutpunkter og for dine SIP-trunks. De telefonspecifikke parametre downloades ikke til en tredjeparts AS-SIP-telefon. De bruges kun af Cisco Unified Manager. Tredjepartstelefoner skal konfigurere de samme indstillinger lokalt.
• Konfigurer telefonsikkerhedsprofil til AS-SIP – Du kan bruge telefonsikkerhedsprofilen til at tildele sikkerhedsindstillinger såsom TLS, SRTP og digest-godkendelse.
• Konfigurer AS-SIP-slutpunkt – Konfigurer en Cisco IP-telefon eller et tredjepartsslutpunkt med AS-SIP-understøttelse.
• Tilknyt enhed til slutbruger – Tilknyt slutpunktet til en bruger.
• Konfigurer SIP Trunk-sikkerhedsprofil til AS-SIP – Du kan bruge SIP Trunk-sikkerhedsprofilen til at tildele sikkerhedsfunktioner som TLS eller digest-godkendelse til en SIP Trunk.
• Konfigurer SIP-trunk til AS-SIP – Konfigurer en SIP-trunk med AS-SIP-understøttelse.
• Konfigurer AS-SIP-funktioner – Konfigurer yderligere AS-SIP-funktioner såsom MLPP, TLS, V.150 og IPv6.

Du kan finde detaljerede oplysninger om konfiguration af AS-SIP i kapitlet "Konfigurer AS-SIP-slutpunkter" i Funktionskonfigurationsvejledning til Cisco Unified Communications Manager.

Når tvungne autorisationskoder (FAC) eller klientanliggendekoder (CMC) eller begge er konfigureret på telefonen, skal brugerne indtaste de nødvendige adgangskoder for at ringe op til et nummer.

Du kan finde flere oplysninger om, hvordan du konfigurerer FAC og CMC i Cisco Unified Communications Manager, i kapitlet "Klientanliggendekoder og tvungne godkendelseskoder" i Funktionskonfigurationsvejledning til Cisco Unified Communications Manager, version 12.5(1) eller nyere.

Cisco VPN-funktionen hjælper dig med at bevare netværkssikkerheden, samtidig med at den giver brugerne en sikker og pålidelig metode til at oprette forbindelse til dit firmanetværk. Brug denne funktion når:

• En telefon er placeret uden for et betroet netværk
• Netværkstrafik mellem telefonen og Cisco Unified Communications Manager krydser et netværk, der ikke er tillid til.

Med en VPN er der tre almindelige tilgange til klientgodkendelse:

• Digitale certifikater
• Adgangskoder
• Brugernavn og adgangskode

Hver metode har sine fordele. Men hvis din virksomheds sikkerhedspolitik tillader det, anbefaler vi en certifikatbaseret tilgang, fordi certifikater muliggør problemfri login uden brugerindgriben. Både LSC- og MIC-certifikater understøttes.

For at konfigurere VPN-funktionerne skal du først klargøre enheden lokalt, og derefter kan du implementere enheden eksternt.

For mere information om certificeringsgodkendelse og arbejde med VPN-netværk, se Konfigurer AnyConnect VPN-telefon med certifikatgodkendelse på en ASA.

Med en adgangskode eller et brugernavn og en adgangskode-tilgang bliver en bruger bedt om loginoplysninger. Angiv brugerens loginoplysninger i overensstemmelse med din virksomheds sikkerhedspolitik. Du kan også konfigurere indstillingen Aktiver adgangskodebevarelse, så brugeradgangskoden gemmes på telefonen. Brugeradgangskoden gemmes, indtil enten et mislykket loginforsøg finder sted, en bruger manuelt sletter adgangskoden, eller telefonen nulstilles eller mister strømmen.

Et andet nyttigt værktøj er indstillingen Aktiver automatisk netværksdetektering. Når du markerer dette afkrydsningsfelt, kan VPN-klienten kun køre, når den registrerer, at den er uden for virksomhedens netværk. Denne indstilling er deaktiveret som standard.

Din Cisco-telefon understøtter Cisco SVC IPPhone Client v1.0 som klienttype.

Du kan finde flere oplysninger om, hvordan du konfigurerer VPN på Unified CM, i Funktionskonfigurationsvejledning til Cisco Unified Communications Manager.

Cisco VPN-funktionen bruger Secure Sockets Layer (SSL) til at bevare netværkssikkerheden.