Danke für Ihr Feedback.

Sicherheitsfunktionen schützen vor Bedrohungen, einschließlich Bedrohungen der Identität des Telefons und der Daten. Diese Funktionen stellen authentifizierte Kommunikationsströme zwischen dem Telefon und dem Cisco Unified Communications Manager-Server her und gewährleisten, dass das Telefon ausschließlich digital signierte Dateien verwendet.

Cisco Unified Communications Manager Version 8.5(1) und höher beinhaltet standardmäßig Sicherheit, die die folgenden Sicherheitsfunktionen für Cisco IP-Telefone bereitstellt, ohne dass der CTL-Client ausgeführt werden muss:

• Signieren der Telefonkonfigurationsdateien

• Verschlüsselung der Telefonkonfigurationsdatei

• HTTPS mit Tomcat und anderen Webdiensten

Durch die Implementierung von Sicherheitsmaßnahmen im Cisco Unified Communications Manager-System wird der Identitätsdiebstahl des Telefons und des Cisco Unified Communications Manager-Servers verhindert, ebenso wie Datenmanipulationen und Manipulationen an der Anrufsignalisierung und dem Medienstrom.

Um diesen Bedrohungen entgegenzuwirken, stellt das Cisco IP-Telefonienetzwerk sichere (verschlüsselte) Kommunikationsströme zwischen einem Telefon und dem Server her und hält diese aufrecht, signiert Dateien digital, bevor sie an ein Telefon übertragen werden, und verschlüsselt Medienströme und Anrufsignalisierung zwischen Cisco IP-Telefonen.

Ein lokal signifikantes Zertifikat (LSC) wird auf Telefonen installiert, nachdem Sie die notwendigen Aufgaben im Zusammenhang mit der Zertifizierungsstellen-Proxy-Funktion (CAPF) ausgeführt haben. Sie können die Cisco Unified Communications Manager-Administration verwenden, um einen LSC zu konfigurieren, wie im Cisco Unified Communications Manager-Sicherheitshandbuch beschrieben. Alternativ können Sie die Installation eines LSC über das Menü „Sicherheitseinstellungen“ auf dem Telefon initiieren. Über dieses Menü können Sie auch einen LSC aktualisieren oder entfernen.

Die Telefone nutzen das Telefonsicherheitsprofil, das festlegt, ob das Gerät unsicher oder sicher ist. Informationen zum Anwenden des Sicherheitsprofils auf das Telefon finden Sie in der Dokumentation zu Ihrer jeweiligen Cisco Unified Communications Manager-Version.

Wenn Sie sicherheitsrelevante Einstellungen in der Cisco Unified Communications Manager-Administration konfigurieren, enthält die Telefonkonfigurationsdatei sensible Informationen. Um die Vertraulichkeit einer Konfigurationsdatei zu gewährleisten, müssen Sie diese für die Verschlüsselung konfigurieren. Detaillierte Informationen finden Sie in der Dokumentation zu Ihrer jeweiligen Cisco Unified Communications Manager-Version.

Das Telefon entspricht dem Federal Information Processing Standard (FIPS). Für eine korrekte Funktion benötigt der FIPS-Modus eine Schlüssellänge von mindestens 2048 Bit. Ist das Zertifikat kürzer als 2048 Bit, kann sich das Telefon nicht beim Cisco Unified Communications Manager registrieren und es wird Phone failed to register. Cert key size is not FIPS compliant auf dem Telefon angezeigt.

Verfügt das Telefon über einen LSC, muss die LSC-Schlüsselgröße vor der Aktivierung von FIPS auf 2048 Bit oder größer aktualisiert werden.

Die folgende Tabelle bietet einen Überblick über die Sicherheitsfunktionen, die die Telefone unterstützen. Weitere Informationen finden Sie in der Dokumentation zu Ihrer jeweiligen Cisco Unified Communications Manager-Version.

Um den Sicherheitsmodus anzuzeigen, drücken Sie Einstellungen und navigieren Sie zu Netzwerk und Dienste. > Sicherheitseinstellungen.

Die folgende Tabelle enthält die Warnmeldungen zur Aktualisierung der Vertrauensliste und deren Bedeutung. Weitere Informationen finden Sie in der Dokumentation zu Cisco Unified Communications Manager.

Das Menü „Sicherheitseinstellungen“ bietet Informationen zu verschiedenen Sicherheitseinstellungen. Das Menü bietet außerdem Zugriff auf das Menü „Vertrauensliste“ und zeigt an, ob die CTL- oder ITL-Datei auf dem Telefon installiert ist.

Die folgende Tabelle beschreibt die Optionen im Menü „Sicherheitseinstellungen“.

Die Cisco IP-Telefone unterstützen die 802.1X-Authentifizierung.

Cisco IP-Telefone und Cisco Catalyst Switches verwenden traditionell das Cisco Discovery Protocol (CDP), um sich gegenseitig zu identifizieren und Parameter wie VLAN-Zuweisung und Inline-Strombedarf zu bestimmen. CDP erkennt keine lokal angeschlossenen Workstations. Cisco IP-Telefone bieten einen EAPOL-Durchleitungsmechanismus. Dieser Mechanismus ermöglicht es einer an das Cisco IP-Telefon angeschlossenen Workstation, EAPOL-Nachrichten an den 802.1X-Authenticator am LAN-Switch weiterzuleiten. Der Durchleitungsmechanismus stellt sicher, dass das IP-Telefon nicht als LAN-Switch fungiert, um einen Datenendpunkt vor dem Zugriff auf das Netzwerk zu authentifizieren.

Cisco IP-Telefone bieten außerdem einen EAPOL-Abmeldemechanismus über einen Proxy. Wenn der lokal angeschlossene PC die Verbindung zum IP-Telefon trennt, erkennt der LAN-Switch keinen Ausfall der physischen Verbindung, da die Verbindung zwischen dem LAN-Switch und dem IP-Telefon aufrechterhalten wird. Um die Netzwerkstabilität nicht zu gefährden, sendet das IP-Telefon im Namen des nachgelagerten PCs eine EAPOL-Logoff-Nachricht an den Switch, wodurch der LAN-Switch den Authentifizierungseintrag für den nachgelagerten PC löscht.

Die Unterstützung der 802.1X-Authentifizierung erfordert mehrere Komponenten:

• Cisco IP-Telefon: Das Telefon initiiert die Anfrage zum Zugriff auf das Netzwerk. Cisco IP-Telefone enthalten einen 802.1X-Supplicant. Dieses Supplicant ermöglicht Netzwerkadministratoren die Steuerung der Verbindung von IP-Telefonen mit den LAN-Switch-Ports. Die aktuelle Version des 802.1X-Supplicants für Telefone nutzt die Optionen EAP-FAST und EAP-TLS zur Netzwerkauthentifizierung.

• Authentifizierungsserver: Sowohl der Authentifizierungsserver als auch der Switch müssen mit einem gemeinsamen Geheimnis konfiguriert werden, das das Telefon authentifiziert.

• Schalten: Der Switch muss 802.1X unterstützen, damit er als Authentifikator fungieren und die Nachrichten zwischen Telefon und Authentifizierungsserver weiterleiten kann. Nach Abschluss des Austauschs gewährt oder verweigert die Vermittlungsstelle dem Telefon den Zugriff auf das Netzwerk.

Zur Konfiguration von 802.1X müssen Sie die folgenden Aktionen durchführen.

• Konfigurieren Sie die anderen Komponenten, bevor Sie die 802.1X-Authentifizierung auf dem Telefon aktivieren.

• PC-Anschluss konfigurieren: Der 802.1X-Standard berücksichtigt keine VLANs und empfiehlt daher, dass nur ein einziges Gerät an einem bestimmten Switch-Port authentifiziert werden sollte. Allerdings unterstützen einige Switches die Multidomain-Authentifizierung. Die Switch-Konfiguration bestimmt, ob Sie einen PC an den PC-Anschluss des Telefons anschließen können.

  • Enabled (Aktiviert): Wenn Sie einen Switch verwenden, der die Multidomain-Authentifizierung unterstützt, können Sie den PC-Port aktivieren und einen PC daran anschließen. In diesem Fall unterstützen Cisco IP-Telefone den Proxy-EAPOL-Logoff, um den Authentifizierungsaustausch zwischen dem Switch und dem angeschlossenen PC zu überwachen.

    Weitere Informationen zur IEEE 802.1X-Unterstützung auf Cisco Catalyst Switches finden Sie in den Cisco Catalyst Switch-Konfigurationshandbüchern unter:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Disabled (Deaktiviert): Wenn der Switch nicht mehrere 802.1X-kompatible Geräte am selben Port unterstützt, sollten Sie den PC-Port deaktivieren, wenn die 802.1X-Authentifizierung aktiviert ist. Wenn Sie diesen Port nicht deaktivieren und dann versuchen, einen PC daran anzuschließen, verweigert der Switch sowohl dem Telefon als auch dem PC den Netzwerkzugriff.

• Sprach-VLAN konfigurieren: Da der 802.1X-Standard VLANs nicht berücksichtigt, sollten Sie diese Einstellung basierend auf der Unterstützung durch den Switch konfigurieren.
  • Enabled (Aktiviert): Wenn Sie einen Switch verwenden, der die Multidomain-Authentifizierung unterstützt, können Sie ihn weiterhin zur Nutzung des Voice-VLANs verwenden.
  • Disabled (Deaktiviert): Wenn der Switch die Multidomain-Authentifizierung nicht unterstützt, deaktivieren Sie das Voice-VLAN und erwägen Sie, den Port dem nativen VLAN zuzuweisen.
• (Nur für Cisco Tischtelefone der Serie 9800)

  Die Cisco-Tischtelefone der Serie 9800 haben eine andere Vorwahl in der PID als die anderen Cisco-Telefone. Damit Ihr Telefon die 802.1X-Authentifizierung besteht, stellen Sie den Parameter Radius·User-Name so ein, dass er Ihr Cisco Desk Phone der Serie 9800 enthält.

  Zum Beispiel ist die PID des Telefons 9841 DP-9841; Sie können Radius·User-Name auf Start with DP oder Contains DPsetzen. Sie können es in beiden der folgenden Abschnitte einstellen:

  • Politik > Bedingungen > Bibliotheksbedingungen

  • Politik > Richtliniensätze > Autorisierungsrichtlinie > Autorisierungsregel 1

Wenn Sicherheitsfunktionen für ein Telefon implementiert sind, können Sie sichere Telefonanrufe anhand von Symbolen auf dem Telefonbildschirm erkennen. Sie können auch feststellen, ob das verbundene Telefon sicher und geschützt ist, wenn zu Beginn des Anrufs ein Sicherheitston ertönt.

Bei einem sicheren Anruf werden die gesamte Anrufsignalisierung und die Medienströme verschlüsselt. Ein sicherer Anruf bietet ein hohes Maß an Sicherheit und gewährleistet Integrität und Vertraulichkeit des Gesprächs. Wenn ein laufender Anruf verschlüsselt ist, können Sie das Sicherheitssymbol in der Leitung sehen. Bei einem sicheren Telefon können Sie im Telefonmenü (Einstellungen ) neben dem verbundenen Server auch das Authentifizierungssymbol oder das Verschlüsselungssymbol anzeigen lassen. > Über dieses Gerät).

Bei einem sicheren Anruf ertönt zu Beginn des Gesprächs ein Sicherheitston, um anzuzeigen, dass das andere verbundene Telefon ebenfalls sichere Audioübertragungen empfängt und sendet. Wenn Ihr Anruf mit einem ungesicherten Telefon verbunden wird, wird der Sicherheitston nicht abgespielt.

Wenn ein Telefon im Cisco Unified Communications Manager als sicher (verschlüsselt und vertrauenswürdig) konfiguriert ist, kann ihm der Status protected zugewiesen werden. Anschließend kann das geschützte Telefon bei Bedarf so konfiguriert werden, dass es zu Beginn eines Anrufs einen Signalton abspielt:

• Geschütztes Gerät: Um den Status eines sicheren Telefons auf „geschützt“ zu ändern, aktivieren Sie das Kontrollkästchen „Geschütztes Gerät“ im Fenster „Telefonkonfiguration“ in der Cisco Unified Communications Manager-Administration (Gerät ). > Telefon).

• Sicheren Signalton abspielen: Um dem geschützten Telefon die Möglichkeit zu geben, einen Bestätigungston für sichere oder unsichere Verbindungen abzuspielen, stellen Sie die Einstellung "Besser Bestätigungston abspielen" auf "Wahr". Standardmäßig ist die Option „Sicherer Wiedergabeton“ auf „Falsch“ eingestellt. Diese Option legen Sie in der Cisco Unified Communications Manager-Administration fest (System > Dienstparameter). Wählen Sie den Server und anschließend den Unified Communications Manager-Dienst aus. Wählen Sie im Fenster „Dienstparameterkonfiguration“ die Option im Bereich „Funktion – Sicherer Ton“ aus. Der Standardwert ist „False“.

Da alle WLAN-Geräte in Reichweite den gesamten WLAN-Datenverkehr anderer Geräte empfangen können, ist die Sicherung der Sprachkommunikation in WLANs von entscheidender Bedeutung. Um zu gewährleisten, dass Eindringlinge den Sprachverkehr weder manipulieren noch abfangen, wird das Telefon von der Cisco SAFE Security-Architektur unterstützt. Weitere Informationen zur Netzwerksicherheit finden Sie unter http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Die Cisco Wireless IP-Telefonielösung bietet drahtlose Netzwerksicherheit, die unautorisierte Anmeldungen und kompromittierte Kommunikation durch die Verwendung der folgenden, vom Telefon unterstützten Authentifizierungsmethoden verhindert:

• Offene Authentifizierung: In einem offenen System kann jedes drahtlose Gerät eine Authentifizierung anfordern. Der Access Point, der die Anfrage empfängt, kann die Authentifizierung entweder jedem Anfragenden oder nur Anfragenden gewähren, die sich auf einer Liste von Benutzern befinden. Die Kommunikation zwischen dem drahtlosen Gerät und dem Zugangspunkt (AP) kann unverschlüsselt erfolgen.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Authentication: Diese Client-Server-Sicherheitsarchitektur verschlüsselt EAP-Transaktionen innerhalb eines TLS-Tunnels (Transport Level Security) zwischen dem Access Point (AP) und dem RADIUS-Server, wie z. B. Identity Services Engine (ISE).

  Der TLS-Tunnel verwendet Protected Access Credentials (PACs) zur Authentifizierung zwischen dem Client (Telefon) und dem RADIUS-Server. Der Server sendet eine Authority ID (AID) an den Client (Telefon), der daraufhin den passenden PAC auswählt. Der Client (Telefon) sendet ein PAC-Opaque an den RADIUS-Server zurück. Der Server entschlüsselt den PAC mit dem Primärschlüssel. Beide Endpunkte enthalten nun den PAC-Schlüssel und es wird ein TLS-Tunnel erstellt. EAP-FAST unterstützt die automatische PAC-Bereitstellung, diese muss jedoch auf dem RADIUS-Server aktiviert werden.

  In ISE läuft der PAC standardmäßig nach einer Woche ab. Wenn das Telefon über einen abgelaufenen PAC verfügt, dauert die Authentifizierung beim RADIUS-Server länger, da das Telefon einen neuen PAC anfordern muss. Um Verzögerungen bei der PAC-Bereitstellung zu vermeiden, stellen Sie die PAC-Ablaufperiode auf dem ISE- oder RADIUS-Server auf 90 Tage oder länger ein.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)-Authentifizierung: EAP-TLS benötigt ein Clientzertifikat zur Authentifizierung und zum Netzwerkzugriff. Bei drahtlosem EAP-TLS kann das Client-Zertifikat ein MIC-, LSC- oder ein vom Benutzer installiertes Zertifikat sein.

• Geschütztes erweiterbares Authentifizierungsprotokoll (PEAP): Cisco-eigenes passwortbasiertes gegenseitiges Authentifizierungsverfahren zwischen dem Client (Telefon) und einem RADIUS-Server. Das Telefon kann PEAP zur Authentifizierung im drahtlosen Netzwerk verwenden. Es werden sowohl die PEAP-MSCHAPV2- als auch die PEAP-GTC-Authentifizierungsmethoden unterstützt.

• Vorinstallierter Schlüssel (PSK): Das Telefon unterstützt das ASCII-Format. Dieses Format müssen Sie beim Einrichten eines/einer WPA/WPA2/SAE Vorab geteilter Schlüssel:

  ASCII: eine ASCII-Zeichenkette mit einer Länge von 8 bis 63 Zeichen (0-9, Klein- und Großbuchstaben AZ sowie Sonderzeichen)

  Beispiel: GREG123567@9ZX & W

Die folgenden Authentifizierungsschemata verwenden den RADIUS-Server zur Verwaltung der Authentifizierungsschlüssel:

• WPA/WPA2/WPA3: Nutzt RADIUS-Serverinformationen, um eindeutige Schlüssel für die Authentifizierung zu generieren. Da diese Schlüssel auf dem zentralen RADIUS-Server generiert werden, WPA2/WPA3 bietet mehr Sicherheit als WPA-Pre-Shared-Keys, die auf dem Access Point und dem Telefon gespeichert sind.

• Schnelles und sicheres Roaming: Verwendet RADIUS-Server- und WDS-Informationen (Wireless Domain Server) zur Verwaltung und Authentifizierung von Schlüsseln. Das WDS erstellt einen Cache mit Sicherheitsanmeldeinformationen für FT-fähige Clientgeräte, um eine schnelle und sichere erneute Authentifizierung zu ermöglichen. Die Cisco Tischtelefone 9861 und 9871 sowie das Cisco Videotelefon 8875 unterstützen 802.11r (FT). Sowohl drahtlose Verbindungen als auch Verbindungen über das DS werden unterstützt, um schnelles und sicheres Roaming zu ermöglichen. Wir empfehlen jedoch dringend die Verwendung der 802.11r (FT)-Methode über Funk.

Mit WPA/WPA2/WPA3, Die Verschlüsselungsschlüssel werden nicht auf dem Telefon eingegeben, sondern automatisch zwischen Access Point und Telefon abgeleitet. Der EAP-Benutzername und das Passwort, die zur Authentifizierung verwendet werden, müssen jedoch auf jedem Telefon eingegeben werden.

Um die Sicherheit des Sprachverkehrs zu gewährleisten, unterstützt das Telefon die Verschlüsselungsverfahren TKIP und AES. Wenn diese Mechanismen zur Verschlüsselung verwendet werden, werden sowohl die Signalisierungs-SIP-Pakete als auch die Sprach-RTP-Pakete (Real-Time Transport Protocol) zwischen dem Access Point und dem Telefon verschlüsselt.

TKIP

WPA verwendet die TKIP-Verschlüsselung, die gegenüber WEP mehrere Verbesserungen bietet. TKIP bietet paketweise Schlüsselverschlüsselung und längere Initialisierungsvektoren (IVs), die die Verschlüsselung verstärken. Darüber hinaus stellt eine Integritätsprüfung der Nachricht (MIC) sicher, dass verschlüsselte Pakete nicht verändert werden. TKIP beseitigt die Vorhersagbarkeit von WEP, die es Angreifern ermöglicht, den WEP-Schlüssel zu entschlüsseln.

AES

Eine Verschlüsselungsmethode, die verwendet wird für WPA2/WPA3 Authentifizierung. Dieser nationale Standard für Verschlüsselung verwendet einen symmetrischen Algorithmus, der denselben Schlüssel für Ver- und Entschlüsselung verwendet. AES verwendet eine Cipher Blocking Chain (CBC)-Verschlüsselung mit einer Schlüssellänge von 128 Bit, die mindestens Schlüssellängen von 128 Bit, 192 Bit und 256 Bit unterstützt. Das Telefon unterstützt eine Schlüssellänge von 256 Bit.

Innerhalb des drahtlosen LANs werden Authentifizierungs- und Verschlüsselungsverfahren eingerichtet. VLANs werden im Netzwerk und auf den Access Points konfiguriert und legen unterschiedliche Kombinationen von Authentifizierung und Verschlüsselung fest. Eine SSID ist einem VLAN und dem jeweiligen Authentifizierungs- und Verschlüsselungsschema zugeordnet. Damit sich drahtlose Clientgeräte erfolgreich authentifizieren können, müssen Sie auf den Access Points und auf dem Telefon dieselben SSIDs mit ihren Authentifizierungs- und Verschlüsselungsschemata konfigurieren.

Manche Authentifizierungsverfahren erfordern spezifische Verschlüsselungsarten.

Die Authentifizierungs- und Verschlüsselungsschemata in der folgenden Tabelle zeigen die Netzwerkkonfigurationsoptionen für das Telefon, die der AP-Konfiguration entsprechen.

Assured Services SIP (AS-SIP) ist eine Sammlung von Funktionen und Protokollen, die einen hochsicheren Anrufablauf für Cisco IP-Telefone und Telefone von Drittanbietern bieten. Die folgenden Merkmale werden zusammenfassend als AS-SIP bezeichnet:

• Mehrstufiger Vorrang und Vorrang (MLPP)
• Differentiated Services Code Point (DSCP)
• Transport Layer Security (TLS) und Secure Real-time Transport Protocol (SRTP)
• Internetprotokoll Version 6 (IPv6)

AS-SIP wird häufig zusammen mit Multilevel Precedence and Preemption (MLPP) verwendet, um Anrufe während eines Notfalls zu priorisieren. Mit MLPP weisen Sie Ihren ausgehenden Anrufen eine Prioritätsstufe zu, von Stufe 1 (niedrig) bis Stufe 5 (hoch). Wenn Sie einen Anruf erhalten, wird auf dem Telefon ein Symbol angezeigt, das die Priorität des Anrufs angibt.

Um AS-SIP zu konfigurieren, führen Sie die folgenden Aufgaben im Cisco Unified Communications Manager aus:

• Konfigurieren eines Digest-Benutzers – Konfigurieren Sie den Endbenutzer so, dass er die Digest-Authentifizierung für SIP-Anfragen verwendet.
• Konfigurieren des sicheren SIP-Telefonanschlusses – Cisco Unified Communications Manager verwendet diesen Anschluss, um SIP-Telefone über TLS auf SIP-Leitungsregistrierungen zu überwachen.
• Neustart der Dienste—Nach der Konfiguration des sicheren Ports müssen die Dienste Cisco Unified Communications Manager und Cisco CTL Provider neu gestartet werden. Konfigurieren Sie ein SIP-Profil für AS-SIP – Konfigurieren Sie ein SIP-Profil mit SIP-Einstellungen für Ihre AS-SIP-Endpunkte und für Ihre SIP-Trunks. Die telefonspezifischen Parameter werden nicht auf ein AS-SIP-Telefon eines Drittanbieters heruntergeladen. Sie werden ausschließlich von Cisco Unified Manager verwendet. Bei Telefonen von Drittanbietern müssen die gleichen Einstellungen lokal konfiguriert werden.
• Konfigurieren des Telefonsicherheitsprofils für AS-SIP—Mithilfe des Telefonsicherheitsprofils können Sie Sicherheitseinstellungen wie TLS, SRTP und Digest-Authentifizierung zuweisen.
• AS-SIP-Endpunkt konfigurieren – Konfigurieren Sie ein Cisco IP-Telefon oder einen Drittanbieter-Endpunkt mit AS-SIP-Unterstützung.
• Gerät mit Endbenutzer verknüpfen – Ordnen Sie den Endpunkt einem Benutzer zu.
• Konfigurieren des SIP-Trunk-Sicherheitsprofils für AS-SIP—Mit dem SIP-Trunk-Sicherheitsprofil können Sie einem SIP-Trunk Sicherheitsfunktionen wie TLS oder Digest-Authentifizierung zuweisen.
• Konfigurieren eines SIP-Trunks für AS-SIP – Konfigurieren eines SIP-Trunks mit AS-SIP-Unterstützung.
• AS-SIP-Funktionen konfigurieren – Konfigurieren Sie zusätzliche AS-SIP-Funktionen wie MLPP, TLS, V.150 und IPv6.

Ausführliche Informationen zur Konfiguration von AS-SIP finden Sie im Kapitel „Konfigurieren von AS-SIP-Endpunkten“ im Feature Configuration Guide for Cisco Unified Communications Manager.

Wenn auf dem Telefon die erzwungenen Autorisierungscodes (FAC) oder die Mandanten-Angelegenheitscodes (CMC) oder beides konfiguriert sind, müssen die Benutzer die erforderlichen Passwörter eingeben, um eine Nummer zu wählen.

Weitere Informationen zur Einrichtung von FAC und CMC in Cisco Unified Communications Manager finden Sie im Kapitel "Client Matter Codes and Forced Authorization Codesim Feature Configuration Guide for Cisco Unified Communications Manager, Release 12.5(1) or later.

Die Cisco VPN-Funktion hilft Ihnen, die Netzwerksicherheit zu wahren und bietet Benutzern gleichzeitig eine sichere und zuverlässige Methode, sich mit Ihrem Unternehmensnetzwerk zu verbinden. Nutzen Sie diese Funktion, wenn:

• Ein Telefon befindet sich außerhalb eines vertrauenswürdigen Netzwerks.
• Der Netzwerkverkehr zwischen dem Telefon und Cisco Unified Communications Manager durchläuft ein nicht vertrauenswürdiges Netzwerk.

Bei einem VPN gibt es drei gängige Ansätze zur Client-Authentifizierung:

• Digitale Zertifikate
• Passwörter
• Benutzername und Passwort

Jede Methode hat ihre Vorteile. Sofern Ihre Unternehmenssicherheitsrichtlinie dies zulässt, empfehlen wir einen zertifikatsbasierten Ansatz, da Zertifikate eine reibungslose Anmeldung ohne Benutzereingriff ermöglichen. Sowohl LSC- als auch MIC-Zertifikate werden unterstützt.

Um die VPN-Funktionen zu konfigurieren, muss das Gerät zunächst lokal bereitgestellt werden, bevor es extern eingesetzt werden kann.

Weitere Informationen zur Zertifikatsauthentifizierung und zur Arbeit mit VPN-Netzwerken finden Sie unter Konfigurieren von AnyConnect VPN Phone mit Zertifikatsauthentifizierung auf einer ASA.

Bei der Verwendung eines Passworts oder eines Benutzernamens und Passworts wird der Benutzer zur Eingabe seiner Anmeldedaten aufgefordert. Legen Sie die Anmeldeinformationen für den Benutzer gemäß den Sicherheitsrichtlinien Ihres Unternehmens fest. Sie können auch die Einstellung „Passwortspeicherung aktivieren“ so konfigurieren, dass das Benutzerpasswort auf dem Telefon gespeichert wird. Das Benutzerpasswort wird so lange gespeichert, bis ein Anmeldeversuch fehlschlägt, der Benutzer das Passwort manuell löscht oder das Telefon zurückgesetzt wird oder die Stromversorgung unterbrochen wird.

Ein weiteres nützliches Tool ist die Einstellung „Automatische Netzwerkerkennung aktivieren“. Wenn Sie dieses Kontrollkästchen aktivieren, kann der VPN-Client nur ausgeführt werden, wenn er erkennt, dass er sich außerhalb des Unternehmensnetzwerks befindet. Diese Einstellung ist standardmäßig deaktiviert.

Ihr Cisco-Telefon unterstützt Cisco SVC IPPhone Client v1.0 als Clienttyp.

Weitere Informationen zur Konfiguration von VPN auf Unified CM finden Sie im Feature Configuration Guide for Cisco Unified Communications Manager.

Die Cisco VPN-Funktion nutzt Secure Sockets Layer (SSL), um die Netzwerksicherheit zu gewährleisten.