Tak for din feedback.

Sikkerhedsfunktioner beskytter mod trusler, herunder trusler mod telefonens identitet og data. Disse funktioner etablerer og vedligeholder godkendte kommunikationsstrømme mellem telefonen og Cisco Unified Communications Manager serveren og sikrer, at telefonen kun bruger digitalt signerede filer.

Cisco Unified Communications ManagerVersion 8.5 (1) og nyere indeholder som standard Sikkerhed, som indeholder følgende sikkerhedsfunktioner til Cisco IP-telefoner uden at køre CTL- klienten:

• Underskrift af telefonens konfigurationsfiler

• Telefonkonfigurationsfilkryptering

• HTTPS med Tomcat og andre webtjenester

Implementering af sikkerhed i Cisco Unified Communications Manager systemet forhindrer identitet styveri af telefonen og Cisco Unified Communications Manager serveren, forhindrer manipulation af data og forhindrer opkaldssignalering og manipulation af mediestrøm.

For at afhjælpe disse trusler etablerer og vedligeholder Cisco IP-telefoni-netværket sikre (krypterede) kommunikationsstrømme mellem en telefon og serveren, signerer filer digitalt, før de overføres til en telefon, og krypterer mediestrømme og opkaldssignalering mellem Cisco IP-telefoner.

Et lokalt signifikant certifikat (LSC) installeres på telefoner, når du har udført de nødvendige opgaver, der er knyttet til Certificate Authority proxyfunktionen (CAPF). Du kan bruge Cisco Unified Communications Manager Administration til at konfigurere en LSC, som beskrevet i Cisco Unified Communications Manager sikkerhedsvejledningen. Alternativt kan du starte installationen af en LSC fra menuen Sikkerhedsindstillinger på telefonen. Denne menu giver dig også mulighed for at opdatere eller fjerne en LSC.

Telefonerne bruger telefonens sikkerhedsprofil, som definerer, om enheden er usikker eller sikker. Du kan finde oplysninger om, hvordan du anvender sikkerhedsprofilen på telefonen, i dokumentationen til den pågældende Cisco Unified Communications Manager version.

Hvis du konfigurerer sikkerhedsrelaterede indstillinger iCisco Unified Communications Manager Administration, indeholder telefonens konfigurationsfil følsomme oplysninger. For at sikre privatlivets fred for en konfigurationsfil skal du konfigurere den til kryptering. Du kan finde detaljerede oplysninger i dokumentationen til den pågældende Cisco Unified Communications Manager udgivelse.

Telefonen overholder Federal Information Processing Standard (FIPS). For at fungere korrekt kræver FIPS-tilstand en nøglestørrelse på 2048 bit eller derover. Hvis certifikatet er mindre end 2048 bit, registreres telefonen ikke med, Cisco Unified Communications Manager og telefonen kunne ikke registreres. Cert-nøglestørrelsen er ikke FIPS-kompatible skærme på telefonen.

Hvis telefonen har en LSC, skal du opdatere LSC-nøglestørrelsen til 2048 bit eller større, før du aktiverer FIPS.

Følgende tabel giver et overblik over de sikkerhedsfunktioner, som telefonerne understøtter. Du kan finde flere oplysninger i dokumentationen til den pågældende Cisco Unified Communications Manager udgave.

Hvis du vil se sikkerhedstilstanden, skal du trykke på Indstillinger og navigere til Netværk og service > Sikkerhedsindstillinger.

Følgende tabel indeholder alarmmeddelelser og betydning for opdateringsalarm til listen over tillidslister. Du kan finde flere oplysninger i Cisco Unified Communications Manager dokumentationen.

Menu en Sikkerhedsopsætning indeholder oplysninger om forskellige sikkerhedsindstillinger. Men uen giver også adgang til menuen Trust List og angiver, om CTL- eller ITL-filen er installeret på telefonen.

Følgende tabel beskriver indstillingerne i menuen Sikkerhedsopsætning.

Cisco IP- telefonerne understøtter 802.1X-godkendelse.

Cisco IP-telefoner og Cisco Catalyst-switche bruger traditionelt Cisco Discovery Protocol (CDP) til at identificere hinanden og bestemme parametre som VLAN-allokering og inline strømkrav. CDP identificerer ikke lokalt tilknyttede arbejdsstationer. Cisco IP-telefoner leverer en EAPOL-gennemgangsmekanisme. Denne mekanisme gør det muligt for en arbejdsstation, der er knyttet til Cisco IP-telefonen, at videregive EAPOL-meddelelser til 802.1X-godkenderen ved LAN-kontakten. Gennemgangsmekanismen sikrer, at IP-telefonen ikke fungerer som LAN-switch til at godkende et datakontendepunkt, før du får adgang til netværket.

Cisco IP-telefoner leverer også en proxy EAPOL Logoff-mekanisme. Hvis den lokalt tilsluttede pc afbryder forbindelsen til IP-telefonen, kan LAN-kontakten ikke se, at det fysiske link mislykkes, fordi forbindelsen mellem LAN-kontakten og IP-telefonen opretholdes. For at undgå at kompromittere netværksintegriteten sender IP-telefonen en EAPOL-logoff-meddelelse til switchen på vegne af downstream-pc'en, som udløser LAN-kontakten til at rydde godkendelsesposten for downstream-pc'en.

Understøt telse af 802.1X-godkendelse kræver flere komponenter:

• Cisco IP-telefon: Telefonen initierer anmodningen om at få adgang til netværket. Cisco IP-telefoner indeholder en 802.1X-supplicant. Denne supplicant giver netværksadministratorer mulighed for at kontrollere IP-telefonernes forbindelse til LAN-switch-porte. Den aktuelle version af telefonens 802.1X-supplicant bruger indstillingerne EAP-FAST og EAP-TLS til netværksgodkendelse.

• Godkendelsesserver: Godkendelsesserveren og switchen skal begge konfigureres med en delt hemmelighed, der godkender telefonen.

• Switch: Skiften skal understøtte 802.1X, så den kan fungere som godkenderen og videregive meddelelserne mellem telefonen og godkendelsesserveren. Når udvekslingen er afsluttet, giver eller nægter kontakten telefonens adgang til netværket.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurer de andre komponenter, før du aktiverer 802.1X-godkendelse på telefonen.

• Konfigurer pc-port: 802.1X-standarden tager ikke hensyn til VLAN'er og anbefaler derfor, at kun en enkelt enhed skal godkendes til en bestemt switchport. Nogle switche understøtter dog multidomæne-godkendelse. Switch-konfigurationen bestemmer, om du kan tilslutte en pc til telefonens pc-port.

  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse af flere domæner, kan du aktivere pc-porten og tilslutte en pc til den. I dette tilfælde understøtter Cisco IP-telefoner proxy EAPOL-logoff for at overvåge godkendelsesudvekslingen mellem switchen og den tilsluttede pc.

    Du kan finde flere oplysninger om IEEE 802.1X-understøttelse af Cisco Catalyst-switche i konfigurationsvejledningerne til Cisco Catalyst-switch på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deaktiveret: Hvis switchen ikke understøtter flere 802.1X-kompatible enheder på den samme port, skal du deaktivere PC-porten, når 802.1X-godkendelse er aktiveret. Hvis du ikke deaktiverer denne port og derefter forsøger at tilslutte en pc til den, nægter kontakten netværksadgang til både telefonen og pc'en.

• Konfigurer Voice VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, skal du konfigurere denne indstilling baseret på understøttelsen af switchen.
  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse af flere domæner, kan du fortsætte med at bruge stemme-VLAN.
  • Deaktiveret: Hvis switchen ikke understøtter godkendelse af flere domæner, skal du deaktivere Voice VLAN og overveje at tildele porten til det oprindelige VLAN.
• (Kun til Cisco Desk Phone 9800-serien)

  Cisco Desk Phone 9800-serien har et andet præfiks i PID end for de andre Cisco-telefoner. Hvis du vil aktivere din telefon til at bestå 802.1X-godkendelse, skal du indstille parameteren Radius·UserName til at omfatte din Cisco Desk Phone 9800-serien.

  For eksempel er PID på telefon 9841 DP-9841; du kan indstille Radius·Brugernavn til Start med DP eller Indeholder DP. Du kan indstille det i begge følgende afsnit:

  • Politik > Bet ingelser > Biblioteksbetingelser

  • Politik > Politiksæt > Autoriseringspolitik > God kendelsesregel 1

Når sikkerhed er implementeret for en telefon, kan du identificere sikre telefonopkald ved hjælp af ikoner på telefonskærmen. Du kan også bestemme, om den tilsluttede telefon er sikker og beskyttet, hvis der afspilles en sikkerhedstone i begyndelsen af opkaldet.

I et sikkert opkald krypteres al opkaldssignalering og mediestrømme. Et sikkert opkald giver et højt sikkerhedsniveau, der giver integritet og privatliv til opkaldet. Når et igangværende opkald er krypteret, kan du se det sikre ikon på linjen. For en sikker telefon kan du også få vist det godkendte ikon eller det krypterede ikon ud for den tilsluttede server i telefonmenuen (Inds tillinger > Om denne enhed).

I et sikkert opkald afspilles en sikkerhedstone i begyndelsen af et opkald for at indikere, at den anden tilsluttede telefon også modtager og sender sikker lyd. Hvis dit opkald opretter forbindelse til en usikker telefon, afspilles sikkerhedstonen ikke.

Når en telefon er konfigureret som sikker (krypteret og betroet) iCisco Unified Communications Manager, kan den få en beskyttet status. Derefter kan den beskyttede telefon, hvis det ønskes, konfigureres til at afspille en indikationstone i begyndelsen af et opkald:

• Beskyttet enhed: Hvis du vil ændre status for en sikker telefon til beskyttet, skal du markere afkrydsningsfeltet Beskyttet enhed i vinduet Telefonkonfiguration i Cisco Unified Communications Manager Administration (Enh ed > Telefon).

• Afspil sikker indikationstone: Hvis du vil aktivere den beskyttede telefon til at afspille en sikker eller usikker indikationstone, skal du indstille indstillingen Afspil sikker indikationstone til True. Som standard er Play Secure Indication Tone indstillet til False. Du indstiller denne indstilling i Cisco Unified Communications Manager Administration (System > Serviceparametre). Vælg serveren og derefter Unified Communications Manager-tjenesten. I vinduet Service Parameter Configuration skal du vælge indstillingen i området Feature - Secure Tone. Standardværdien er False.

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage al anden WLAN-trafik, er sikring af talekommunikation afgørende i WLAN'er. For at sikre, at ubudne gæster ikke manipulerer eller opfanger stemmetrafik, understøtter Cisco SAFE Security-arkitekturen telefonen. Du kan finde flere oplysninger om sikkerhed i netværk på http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco Wireless IP-telefoni-løsningen giver trådløs netværkssikkerhed, der forhindrer uautoriserede log-in og kompromitteret kommunikation ved hjælp af følgende godkendelsesmetoder, som telefonen understøtter:

• Åben godkendelse: Enhver trådløs enhed kan anmode om godkendelse i et åbent system. Den AP, der modtager anmodningen, kan give godkendelse til enhver anmoder eller kun til anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kan ikke være krypteret.

• Extensible Authentication Protocol-Fleksibel godkendelse via EAP-FAST-godkendelse (Secure Tunneling): Denne klient-server-sikkerhedsarkitektur krypterer EAP-transaktioner i en TLS-tunnel (Transport Level Security) mellem AP og RADIUS-serveren, f.eks. Identity Services Engine (ISE).

  TLS-tunnelen bruger PAC'er (Protected Access Credentials) til godkendelse mellem klienten (telefonen) og RADIUS-serveren. Serveren sender et Authority ID (AID) til klienten (telefon), som igen vælger den relevante PAC. Klienten (telefonen) returnerer en PAC-uigennemsigtig til RADIUS-serveren. Serveren dekrypterer PAC med den primære nøgle. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere den på RADIUS-serveren.

  I ISE udløber PAC som standard om en uge. Hvis telefonen har en udløbet PAC, tager godkendelsen med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser i PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE- eller RADIUS-serveren.

• EAP@@ -TLS-godkendelse (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. For trådløs EAP-TLS kan klientcertifikatet være MIC, LSC eller brugerinstalleret certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos proprietære adgangskodebaseret gensidig godkendelsesordning mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP-MSCHAPV2- og PEAP-GTC-godkendelsesmetoder understøttes.

• Pre-Shared Key (PSK): Telef onen understøtter ASCII-format. Du skal bruge dette format, når du konfigurerer en WPA/WPA2/SAE foruddelt nøgle:

  ASCII: en ASCII-tegnstreng med 8 til 63 tegn i længden (0-9, små og store bogstaver A-Z og specialtegn)

  Eksempel: GREG123567 @9ZX &W

Følgende godkendelsesskemaer bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• WPA/WPA2/WPA3: Bruger RADIUS-serveroplysninger til at generere unikke nøgler til godkendelse. Da disse nøgler genereres på den centraliserede RADIUS-server, giver WPA2/WPA3 større sikkerhed end WPA-foruddelte nøgler, der er gemt på AP og telefon.

• Hurtig sikker roaming: Bruger RADIUS-server og en WDS (trådløs domæneserver) oplysninger til at administrere og godkende nøgler. WDS opretter en cache med sikkerhedsoplysninger til FT-aktiverede klientenheder til hurtig og sikker gengodkendelse. Cisco Desk Phone 9861 og 9871 og Cisco Video Phone 8875 understøtter 802.11r (FT). Både over luften og over DS understøttes for at muliggøre hurtig sikker roaming. Men vi anbefaler kraftigt at bruge 802.11r (FT) over air-metoden.

Med WPA/WPA2/WPA3 indtastes krypteringsnøgler ikke på telefonen, men afledes automatisk mellem AP og telefon. Men EAP-brugernavnet og adgangskoden, der bruges til godkendelse, skal indtastes på hver telefon.

For at sikre, at stemmetrafik er sikker, understøtter telefonen TKIP og AES til kryptering. Når disse mekanismer bruges til kryptering, krypteres både signalerende SIP-pakker og RTP-pakker (Voice Real-Time Transport Protocol) mellem AP og telefonen.

TKIP

WPA bruger TKIP-kryptering, der har flere forbedringer i forhold til WEP. TKIP leverer kryptering af nøgler pr. pakke og længere initialiseringsvektorer (IV'er), der styrker krypteringen. Derudover sikrer en meddelelsesintegritetskontrol (MIC), at krypterede pakker ikke ændres. TKIP fjerner forudsigeligheden af WEP, der hjælper ubudne gæster med at dechiffrere WEP-nøglen.

AES

En krypteringsmetode, der bruges til WPA2/WPA3-godkendelse. Denne nationale standard for kryptering bruger en symmetrisk algoritme, der har den samme nøgle til kryptering og dekryptering. AES bruger Cipher Blocking Chain (CBC) kryptering på 128 bit i størrelse, som understøtter nøglestørrelser på 128 bit, 192 bit og 256 bit, som et minimum. Telefonen understøtter en nøglestørrelse på 256 bit.

Godkendelses- og krypteringsordninger er konfigureret i det trådløse LAN. VLAN'er er konfigureret i netværket og på AP'erne og angiver forskellige kombinationer af godkendelse og kryptering. Et SSID associeres med et VLAN og det særlige godkendelses- og krypteringsskema. For at trådløse klientenheder kan godkendes korrekt, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsskemaer på AP'erne og på telefonen.

Nogle godkendelsesordninger kræver specifikke typer kryptering.

Godkendelses- og krypteringsskemaerne i nedenstående tabel viser netværkskonfigurationsindstillingerne for den telefon, der svarer til AP-konfiguration.

Assured Services SIP (AS-SIP) er en samling af funktioner og protokoller, der tilbyder et meget sikkert opkaldsflow til Cisco IP-telefoner og tredjepartstelefoner. Følgende funktioner er samlet kendt som AS-SIP:

• Forrang og præemption på flere niveauer (MLPP)
• Kodepunkt for differentierede tjenester (DSCP)
• Transport Layer Security (TLS) og Secure Real-Time Transport Protocol (SRTP)
• Internetprotokol version 6 (IPv6)

AS-SIP bruges ofte med Multilevel Precedence and Preemption (MLPP) til at prioritere opkald i en nødsituation. Med MLPP tildeler du et prioritetsniveau til dine udgående opkald, fra niveau 1 (lav) til niveau 5 (høj). Når du modtager et opkald, vises et ikon for prioritetsniveau på telefonen, der viser opkaldsprioriteten.

Hvis du vil konfigurere AS-SIP, skal du udføre følgende opgaver på: Cisco Unified Communications Manager

• Konfigurer en oversigtsbruger — Konfigurer slutbrugeren til at bruge sammenfatningsgodkendelse til SIP-anmodninger.
• Konfigurer SIP Phone Secure Port— Cisco Unified Communications Manager bruger denne port til at lytte til SIP-telefoner til SIP-linjeregistreringer via TLS.
• Genstart tjenester — Når du har konfigureret den sikre port, skal du genstarte Cisco Unified Communications Manager og Cisco CTL Provider-tjenesterne. Konfigurer SIP-profil til AS-SIP-Konfigurer en SIP-profil med SIP-indstillinger for dine AS-SIP-slutpunkter og til dine SIP-trunker. De telefonspecifikke parametre downloades ikke til en tredjeparts AS-SIP-telefon. De bruges kun af Cisco Unified Manager. Tredjepartstelefoner skal lokalt konfigurere de samme indstillinger.
• Konfigurer telefonsikkerhedsprofil til AS-SIP — Du kan bruge telefonens sikkerhedsprofil til at tildele sikkerhedsindstillinger som TLS-, SRTP- og sammensætningsgodkendelse.
• Konfigurer AS-SIP-slutpunkt — Konfigurer en Cisco IP-telefon eller et tredjeparts slutpunkt med AS-SIP-understøttelse.
• Tilknyt enhed til slutbruger — Tilknyt slutpunktet til en bruger.
• Konfigurer SIP-trunk-sikkerhedsprofil til AS-SIP — Du kan bruge sip-trunk-sikkerhedsprofilen til at tildele sikkerhedsfunktioner såsom TLS eller sammenfatningsgodkendelse til en SIP-trunk.
• Konfigurer SIP Trunk til AS-SIP — Konfigurer en SIP-trunk med AS-SIP-understøttelse.
• Konfigurer AS-SIP-funktioner — Konfigurer yderligere AS-SIP-funktioner som MLPP, TLS, V.150 og IPv6.

Du kan finde detaljerede oplysninger om konfiguration af AS-SIP i kapitlet „Konfigurer AS-SIP-slutpunkter“ i Funktionskonfigurations vejledning for. Cisco Unified Communications Manager

Når forcerede autorisationskoder (FAC) eller Client Matter CMC (Client Matter Codes) eller begge er konfigureret på telefonen, skal brugerne indtaste de nødvendige adgangskoder for at ringe et nummer ud.

Du kan finde flere oplysninger omCisco Unified Communications Manager, hvordan du konfigurerer FAC og CMC i kapitlet "Klientmateriekoder og tvungne godkendelseskoder „i Fe ature Configuration Guide forCisco Unified Communications Manager, version 12.5 (1) eller nyere.

Cisco VPN-funktionen hjælper dig med at bevare netværkssikkerheden, samtidig med at brugerne får en sikker og pålidelig metode til at oprette forbindelse til dit virksomhedsnetværk. Brug denne funktion, når:

• En telefon er placeret uden for et betroet netværk
• Netværkstrafik mellem telefonen og Cisco Unified Communications Manager krydser et ikke-betroet netværk

Med en VPN er der tre almindelige tilgange til klientgodkendelse:

• Digitale certifikater
• Adgangskoder
• Brugernavn og adgangskode

Hver metode har sine fordele. Men hvis din virksomheds sikkerhedspolitik tillader det, anbefaler vi en certifikatbaseret tilgang, fordi certifikater giver mulighed for problemfrit login uden brugerindgriben. Både LSC- og MIC-certifikater understøttes.

Hvis du vil konfigurere en af VPN-funktionerne, skal du først klargøre enheden i det lokale miljø, og derefter kan du installere enheden off-premise.

Du kan finde flere oplysninger om certificeringsgodkendelse og arbejde med VPN-netværk under Konfigurere AnyConnect VPN telefon med certifikatgodkendelse på en ASA.

Med en adgangskode, eller brugernavn og adgangskode, bliver en bruger bedt om loginoplysninger. Angiv brugerloginoplysningerne i overensstemmelse med virksomhedens sikkerhedspolitik. Du kan også konfigurere indstillingen Aktiver adgangskodepersistens, så brugeradgangskoden gemmes på telefonen. Brugeradgangskoden gemmes, indtil der enten opstår et mislykket logonforsøg, en bruger rydder adgangskoden manuelt, eller telefonen nulstiller eller mister strømmen.

Et andet nyttigt værktøj er indstillingen Aktiver automatisk netværksdetektering. Når du aktiverer dette afkrydsningsfelt, kan VPN-klienten kun køre, når den registrerer, at den er uden for virksomhedens netværk. Denne indstilling er som standard deaktiveret.

Din Cisco-telefon understøtter Cisco SVC IPPhone Client v1.0 som klienttype.

Du kan finde flere oplysninger om, hvordan du konfigurerer VPN tilUnified CM, under Funktionskonfigurationsvejledning for Cisco Unified Communications Manager.

Cisco VPN-funktionen bruger Secure Sockets Layer (SSL) til at bevare netværkssikkerheden.