Voit ottaa Cisco Unified Communications Manager käyttöön laajennetussa suojausympäristössä. Näiden parannusten avulla puhelinverkkosi toimii tiukoin suojaus- ja riskinhallintavalvontatoimin, jotka suojaavat sinua ja käyttäjiäsi.

Laajennettu suojausympäristö sisältää seuraavat ominaisuudet:

  • Yhteyshenkilön haun todennus.

  • TCP etätarkastuksen kirjaamisen oletusprotokollana.

  • FIPS-tila.

  • Parannettu tunnistetietokäytäntö.

  • Digitaalisten allekirjoitusten SHA-2-perheen tuki.

  • Tuki RSA-avaimen koolle, joka on 512 bittiä ja 4 096 bittiä.

Cisco Unified Communications Manager Release 14.0 ja Cisco Video phone Firmware Release 2.1 ja sitä uudempien versiot tukevat SIP OAuth -todennusta.

OAuth on tuettu välityspalvelimen Trivial-tiedostonsiirtoprotokollalle (TFTP) Cisco Unified Communications Manager Release 14.0(1)SU1 tai uudempi. Välityspalvelin TFTP ja OAuth for Proxy TFTP eivät ole tuettuja mobiilikäytössä Remote Access (MRA).

Lisätietoja suojauksen toiminnoista on seuraavissa tiedoissa:

Puhelin voi tallentaa vain rajoitetun määrän ITL (Identity Trust List) -tiedostoja. ITL-tiedostot eivät voi ylittää 64 Kt puhelimessa, joten rajoita Cisco Unified Communications Manager puhelimeen lähettämien tiedostojen määrää.

Tuetut suojausominaisuudet

Suojausominaisuudet suojaavat uhilta, kuten puhelimen identiteettiin ja tietoihin kohdistuvilta uhilta. Nämä toiminnot luovat ja ylläpitävät todennettuja viestintävirtoja puhelimen ja Cisco Unified Communications Manager server välillä ja varmistavat, että puhelin käyttää vain digitaalisesti allekirjoitettuja tiedostoja.

Cisco Unified Communications Manager -versio 8.5 (1) ja uudempi sisältää oletusarvoisesti Security-version, joka sisältää seuraavat suojausominaisuudet Cisco IP Phones suorittamatta CTL -asiakasta:

  • Puhelimen määritystiedostojen allekirjoitus

  • Puhelimen määritystiedoston salaus

  • HTTPS Ja Tomcat ja muut Web-palvelut

Turvallinen signalointi ja mediaominaisuudet edellyttävät edelleen CTL -asiakkaan käyttämistä ja laitteisto-eTokens-toimintojen käyttämistä.

Suojauksen käyttöönotto Cisco Unified Communications Manager system estää puhelimen identiteettivarkauden ja Cisco Unified Communications Manager server, estää tietojen kajoamisen ja estää puheluiden signaloinnin sekä mediavirran väärentämisen.

Näiden uhkien torjumiseksi Cisco IP-puhelinverkko luo ja ylläpitää turvallisia (salattuja) viestintävirtoja puhelimen ja palvelimen välillä, allekirjoita tiedostoja digitaalisesti ennen niiden siirtoa puhelimeen ja salata mediavirtoja ja puheluita Cisco IP Phones välillä.

Locally Significant Certificate (LSC) asennetaan puhelimiin, kun olet suorittanut Certificate Authority-välityspalvelintoimintoon (CAPF) liittyvät tarvittavat tehtävät. Voit määrittää LSC Cisco Unified Communications Manager Administration suojausoppaan Cisco Unified Communications Manager kuvatulla tavalla. Voit myös aloittaa LSC-asennuksen puhelimen Suojausasetukset-valikosta. Valikon avulla voit myös päivittää tai poistaa LSC.

PhoneOS 3.2 -versiossa LSC voidaan käyttää EAP-TLS -todennuksen käyttäjävarmenteena WLAN-todennuksella.

Puhelimet käyttävät puhelimen suojausprofiilia, joka määrittää, onko laite suojaamaton vai turvallinen. Lisätietoja suojausprofiilin käyttämisestä puhelimessa on kyseisen Cisco Unified Communications Manager -version käyttöoppaissa.

Jos määrität suojausasetukset Cisco Unified Communications Manager Administration, puhelimen määritystiedosto sisältää arkaluonteisia tietoja. Määritystiedoston tietosuojan varmistamiseksi sinun on määritettävä se salausta varten. Lisätietoja on kyseisen Cisco Unified Communications Manager -version käyttöoppaissa.

Puhelin on Liittovaltion tietojen käsittelynormin (FIPS) mukainen. Jotta FIPS-tila toimisi oikein, avaimen koko on vähintään 2 048 bittiä. Jos varmenne on alle 2048 bittiä, puhelin ei rekisteröi numeroa Cisco Unified Communications Manager ja puhelimen rekisteröinti epäonnistui. Varmenteavaimen koko ei ole PUHELIMEN FIPS-yhteensopivat näytöt.

Jos puhelimessa on LSC, sinun on päivitettävä LSC-avaimen koko vähintään 2048 bittiin, ennen kuin otat FIPS:n käyttöön.

Seuraavassa taulukossa on yleiskatsaus puhelimien tukemista suojaustoiminnoista. Lisätietoja on kyseisen Cisco Unified Communications Manager -version käyttöoppaissa.

Näytä suojaustila painamalla Asetukset Asetukset-näppäintä Ja siirry Verkko- ja palvelu -> Turvallisuus-asetuksiin.

Taulukko 1. Suojaustoimintojen yleiskatsaus

Ominaisuus

Kuvaus

Kuvan todennus

Allekirjoitetut binääritiedostot estävät laitteisto-ohjelmistokuvan kanssa kajoamisen, ennen kuin kuva ladataan puhelimeen.

Kuvan käsitteleminen aiheuttaa sen, että puhelin epäonnistuu todennusprosessissa ja hylkää uuden kuvan.

Asiakassivuston varmenteen asentaminen

Jokainen Cisco IP Phone edellyttää yksilöivän varmenteen laitteen todennusta varten. Puhelimissa on valmistajan asentama varmenne (MIC), mutta lisäsuojauksen vuoksi voit määrittää varmenteen asennuksen Cisco Unified Communications Manager Administration Certificate Authority-välityspalvelintoiminnolla (CAPF). Voit myös asentaa Locally Significant Certificate (LSC) puhelimen Suojausmääritykset-valikosta.

Laitteen todennus

Tapahtuu Cisco Unified Communications Manager server ja puhelimen välillä, kun kukin yhteisö hyväksyy toisen yhteisön varmenteen. Määrittää, onko puhelimen ja Cisco Unified Communications Manager välinen suojattu yhteys; ja luo tarvittaessa turvallisen signalointipolun kohteiden välille käyttämällä TLS-protokollaa. Cisco Unified Communications Manager ei rekisteröi puhelimia, ellei se voi todentaa niitä.

Tiedoston todennus

Vahvistaa puhelimen lataamia digitaalisesti allekirjoitettuja tiedostoja. Puhelin vahvistaa allekirjoituksen ja varmistaa, ettei tiedoston väärentämistä tapahdu tiedoston luomisen jälkeen. Todennusta epäonnistuvia tiedostoja ei ole kirjoitettu puhelimen Flash-muistiin. Puhelin hylkää tällaiset tiedostot käsittelemättä niitä enempää.

Tiedostojen salaus

Salaus estää arkaluonteisten tietojen paljastamisen tiedoston ollessa puhelimen käytössä. Lisäksi puhelin vahvistaa allekirjoituksen varmistaakseen, että tiedoston väärentäminen ei tapahtunut tiedoston luomisen jälkeen. Todennusta epäonnistuvia tiedostoja ei ole kirjoitettu puhelimen Flash-muistiin. Puhelin hylkää tällaiset tiedostot käsittelemättä niitä enempää.

Viestittävä todennus

Käyttää TLS-protokollaa vahvistaakseen, ettei viestityspakkauksiin ole tapahtunut kajoamista lähetyksen aikana.

Valmistajan asentama varmenne

Jokainen Cisco IP Phone sisältää yksilöivän valmistajan asentaman varmenteen (MIC), jota käytetään laitteen todennukseen. MIC tarjoaa puhelimelle pysyvän ainutlaatuisen todisteen identiteetistä ja sallii Cisco Unified Communications Manager puhelimen todennuksen.

Median salaus

Käyttää SRTP-painikkeilla sen varmistamiseksi, että tuettujen laitteiden väliset mediavirrat osoittautuvat turvallisiksi ja että vain suunniteltu laite vastaanottaa ja lukee tiedot. Sisältää median ensisijaisen avainparin luomisen laitteille, avainten toimittamisen laitteisiin ja avainten toimittamisen kuljetuksen aikana.

CAPF (Certificate Authority Proxy Function)

Toteuttaa varmenteen luomismenettelyn osia, jotka ovat liian käsittelyvaltaisia puhelimelle ja ovat vuorovaikutuksessa puhelimen kanssa avaimen luomisen ja varmenteen asennuksen osalta. CAPF voidaan määrittää pyytämään varmenteita asiakkaan määrittämisvarmenteilta puhelimen puolesta, tai se voidaan määrittää luomaan varmenteita paikallisesti.

Sekä EC (Elliptinen käyrä) että RSA-avaintyyppejä tuetaan. Käytä EC-näppäintä varmista, että parametri "Endpoint Advanced Encryption Algorithms Support" ( järjestelmästä > Enterprise-parametri) on käytössä.

Lisätietoja CAPF- ja niihin liittyvistä kokoonpanoista on seuraavissa dokumenteissa:

Suojausprofiili

Määrittää, onko puhelin suojaamaton, todennettu, salattu vai suojattu. Muut tämän taulukon merkinnät kuvailevat suojausominaisuudet.

Salatut määritystiedostot

Varmistaa puhelimen määritystiedostojen tietosuojan.

Valinnainen Web-palvelin poistettu käytöstä puhelimessa

Suojaussyistä voit estää puhelimen (jotka näyttävät puhelimen eri toimintatilastoja) ja itsepalveluportaalin Web-sivujen käytön.

Puhelimen kovetutuminen

Muita suojausasetuksia, joita hallitaan Cisco Unified Communications Manager Administration:

  • Pc-portin poistaminen käytöstä
  • Garp (Gratuitous ARP) poistetaan käytöstä
  • Poista PC-ääniVLAN -käyttö käytöstä
  • Asetusvalikon käytön poistaminen käytöstä tai rajoitettu käyttö
  • Puhelimen Web-sivujen käytön poistaminen käytöstä
  • Bluetooth-lisälaitteen portin poistaminen käytöstä
  • Salakirjoitusten TLS rajoittaminen

802.1X Todennus

Cisco IP Phone voi käyttää 802.1X-todennusta verkkoyhteyden pyytämiseen ja käyttämiseen. Lisätietoja on kohdassa 802.1X Todennus .

Suojaa SIP-vikasieto SRST

Kun olet määrittänyt Survivable Remote Site Telephony (SRST) -viittauksen tietoturvaan ja palauttanut riippuvaiset laitteet Cisco Unified Communications Manager Administration, TFTP-palvelin lisää SRST-varmenteen puhelimen palvelimeen.XML -tiedoston ja lähettää tiedoston puhelimeen. Suojattu puhelin käyttää TLS-yhteyttä vuorovaikutuksessa SRST-yhteensopivan reitittimen kanssa.

Viestitys salauksesta

Varmistaa, että kaikki SIP laitteen ja Cisco Unified Communications Manager server välillä lähetetyt viestiviestit on salattu.

Luottosuhdeluettelon päivityshälytys

Kun luottosuhdeluettelo päivittyy puhelimessa, Cisco Unified Communications Manager vastaanottaa hälytyksen päivityksen onnistumisesta tai kaatumisesta. Lisätietoja on seuraavassa taulukossa.

AES 256 -salaus

Kun puhelimet on yhdistetty Cisco Unified Communications Manager-versioon 10.5 (2) ja uudempiin, ne tukevat AES 256 -salaustukea TLS- ja SIP -salaukselle signalointia ja median salausta varten. Näin puhelimet voivat aloittaa ja tukea TLS 1.2 -yhteyttä AES-256-pohjaisten salakirjoitusten avulla, jotka ovat SHA-2 (Secure Hash Algorithm) -normien mukaisia ja FIPS -yhteensopivia. Salakirjoitusta ovat:

  • TLS-yhteyksille:
    • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • Kohteelle SRTP:
    • AEAD_AES_256_GCM
    • AEAD_AES_128_GCM

Lisätietoja on Cisco Unified Communications Managerin ohjeissa.

Ecdsa(Elliptic Curve Digital Signature Algorithm) -varmenteet

Osana CC-sertifiointia Cisco Unified Communications Manager; lisätty ECDSA-varmenteet versiossa 11.0. Tämä koskee kaikkia LDASIn (Voice Operating System) tuotteita, joiden versiot ovat CUCM 11.5 ja uudempia.

Usean palvelimen (SAN) Tomcat-varmenne, Cisco UCM

Puhelin tukee Cisco UCM, kun SAN-Tomcat-varmenteet on määritetty. Oikea TFTP-palvelimen osoite löytyy puhelimen ITL-tiedostosta puhelimen rekisteröintiä varten.

Lisätietoja ominaisuudesta on seuraavissa tiedoissa:

Seuraavassa taulukossa on luottosuhdeluettelon päivityshälytysviestit ja -merkitys. Lisätietoja on Cisco Unified Communications Managerin ohjeissa.

Taulukko 2. Luottosuhdeluettelon päivityshälytysviestit
Koodi ja viesti Kuvaus

1 - TL_SUCCESS

Vastaanotettu uusi CTL ja/tai ITL

2 - CTL_INITIAL_SUCCESS

Vastaanotettu uusi CTL, ei olemassa olevaa TL-numeroa

3 - ITL_INITIAL_SUCCESS

Vastaanotettu uusi ITL, ei olemassa olevaa TL-numeroa

4 - TL_INITIAL_SUCCESS

Vastaanotettu uusi CTL ja ITL, ei olemassa olevaa TL-numeroa

5 - TL_FAILED_OLD_CTL

Päivitys uuteen CTL epäonnistui, mutta aiempi TL

6 - TL_FAILED_NO_TL

Päivitys uuteen TL:hen epäonnistui, eikä vanhaa TL-numeroa ole

7 - TL_FAILED

Yleinen virhe

8 - TL_FAILED_OLD_ITL

Päivitys uuteen ITL:hen epäonnistui, mutta aiempi TL

9 - TL_FAILED_OLD_TL

Päivitys uuteen TL:hen epäonnistui, mutta aiempi TL

Suojausmääritykset-valikossa on tietoja eri suojausasetuksista. Valikossa voit myös käyttää luottosuhdeluettelo-valikkoa ja määrittää, onko CTL- tai ITL-tiedosto asennettu puhelimeen.

Seuraavassa taulukossa kuvataan Suojausmääritykset-valikon asetukset.

Taulukko 3. Suojausmääritykset-valikko

Asetus

Kuvaus

Muuttaminen

Suojaustila

Näyttää puhelimelle asetetun suojaustilan.

Valitse Cisco Unified Communications Manager Administration Laite > Puhelin. Asetus näkyy Puhelinmääritykset-ikkunan Protokollan erityistiedot -osassa.

LSC

Osoittaa, onko puhelimeen asennettu paikallinen suojausominaisuuksissa käytettävä varmenne (Asennettu) vai eikö sitä ole asennettu puhelimeen (Ei asennettu).

Lisätietoja puhelimen LSC-järjestelmän hallinnasta on kyseisen Cisco Unified Communications Manager -version käyttöoppaissa.

Locally Significant Certificate (LSC) määrittäminen

Tämä tehtävä koskee LSC-asetuksen määrittämista todennusmerkkijonomenetelmällä.

Ennen aloittamista

Varmista, että asianmukaiset Cisco Unified Communications Manager- ja Certificate Authority Proxy Function (CAPF) -suojausmääritykset ovat täydelliset:

  • CTL- tai ITL-tiedostolla on CAPF-varmenne.

  • Varmista Cisco Unified Communications Operating System Hallinnassa, että CAPF-varmenne on asennettu.

  • CAPF on käynnissä ja määritetty.

Lisätietoja näistä asetuksista on kyseisen Cisco Unified Communications Manager -version käyttöoppaassa.

1

Hae CAPF-todennuskoodi, joka oli asetettu, kun CAPF määritettiin.

2

Paina puhelimessa Asetukset the Settings hard key.

3

Avaa Asetukset-valikko antamalla salasana , jos sitä pyydetään. Saat salasanan järjestelmänvalvojalta.

4

Siirry Verkon ja palvelun > Suojauksen asetuksiin > LSC.

Voit hallita Asetukset-valikon käyttöä Cisco Unified Communications Manager Administration Asetusten käyttö -kentässä.

5

Anna todennusmerkkijono ja valitse Lähetä.

Puhelin alkaa asentaa, päivittää tai poistaa LSC sen mukaan, miten CAPF on määritetty. Kun toimintosarja on valmis, puhelimen näytöt ovat Asennettu tai Ei asennettu.

LSC-ohjelman asentaminen, päivittäminen tai poistaminen voi kestää kauan.

Kun puhelimen asennus onnistui, Näyttöön tulee Asennettu-sanoma . Jos puhelimessa näkyy Ei asennettuna, tarkistusmerkkijono voi olla virheellinen tai puhelimen päivitys ei ehkä ole käytössä. Jos CAPF-toiminto poistaa LSC, puhelimessa näkyy Ei asennettuna sen merkiksi, että toiminto onnistui. CAPF-palvelin kirjaa virhesanomat. Lokit etsitään ja ymmärretään virhesanomien merkitys katsomalla CAPF-palvelimen käyttöoppaasta.

Ota FIPS-tila käyttöön

1

Valitse Cisco Unified Communications Manager Administration Laite > Puhelin ja etsi puhelin.

2

Siirry tuotekohtaisten määritysten alueeseen.

3

Määritä FIPS-tila-kentän arvoksi Käytössä.

4

Valitse Tallenna.

5

Valitse vaihtoehto Apply Config (Ota määritykset käyttöön).

6

Käynnistä puhelin uudelleen.

TURN pois kaiutinpuhelimesta, korvakuulokkeista ja kuulokkeesta puhelimessa

Voit poistaa käyttäjän puhelimen kaiutinpuhelimesta, korvakuulokkeista ja kuulokkeesta pysyvästi TURN.

1

Valitse Cisco Unified Communications Manager Administration Laite > Puhelin ja etsi puhelin.

2

Siirry tuotekohtaisten määritysten alueeseen.

3

Voit TURN pois puhelimen ominaisuuksista valitsemalla yhden tai usean seuraavista valintaruuduista:

  • Kaiutinpuhelimen poistaminen
  • Kaiutinpuhelimen ja kuulokkeen poisto käytöstä
  • Poista kuuloke käytöstä

Oletusarvoisesti näitä valintaruutuja ei ole valittuna.

4

Valitse Tallenna.

5

Valitse vaihtoehto Apply Config (Ota määritykset käyttöön).

802.1X Todennus

Cisco IP Phones tukee 802.1X-todennusta.

Cisco IP Phones- ja Cisco Catalyst -kytkimet käyttävät yleensä Cisco Discovery Protocol (CDP) -painikkeita tunnistaakseen toisensa ja määrittääkseen parametreja, kuten VLAN -varaus- ja linjavirtavaatimukset. CDP ei tunnista paikallisesti liitettyjä työasemia. Cisco IP Phones tarjota EAPOL-läpikulkumekanismin. Tämän mekanismin avulla Cisco IP Phone liitetty työasema voi välittää EAPOL-viestejä LAN-kytkimen 802.1X-todentimelle. Läpivientimekanismi varmistaa sen, että IP-puhelin ei toimi LÄHI-kytkimenä todentaakseen datapäätepisteen ennen verkkoon siirtymistä.

Cisco IP Phones myös välityspalvelimen EAPOL-uloskirjautumismekanismin. Jos paikallisesti liitetty tietokone katkeaa IP puhelimesta, LAN-kytkin ei näe fyysistä yhteyttä virheellisen, koska LAN-kytkimen ja IP-puhelimen välinen yhteys säilyy. Verkon eheyden välttämiseksi IP-puhelin lähettää EAPOL-Logoff-viestin kytkimelle vikasietoisen tietokoneen puolesta, mikä käynnistää LAN-kytkimen tyhjentämään vikasietoisen tietokoneen todennustietueen.

802.1X-todennuksen tuki edellyttää useita osia:

  • Cisco IP Phone: Puhelin aloittaa verkkoyhteyspyynnön. Cisco IP Phones sisältää 802.1X-ant. Tämän anomuksen avulla verkonvalvojat voivat hallita IP puhelimien yhteyttä LÄHI-verkon kytkinportteihin. Puhelimen 802.1X-supplicant-versio käyttää verkon todennusasetuksia EAP-FAST ja EAP-TLS.

  • Todennuspalvelin: Todennuspalvelin ja kytkin on määritettävä jaetulle salaisuudelta, joka todentaa puhelimen.

  • Kytkin: Kytkimen on tuettava 802.1X-protokollaa, jotta se voi toimia todentajana ja välittää viestejä puhelimen ja todennuspalvelimen välillä. Kun vaihto on valmis, kytkin myöntää tai hylkää puhelinyhteyden verkkoon.

Sinun on määritettävä 802.1X seuraavilla toiminnoilla.

  • Määritä muut osat, ennen kuin otat 802.1X-todennuksen käyttöön puhelimessa.

  • Määritä PC-portti: 802.1X-standardi ei ota huomioon VLAN-laitteita, ja suosittelee siksi, että vain yksi laite todennetaan tiettyyn kytkinporttiin. Jotkin kytkimet tukevat kuitenkin monitoimitodennusta. Kytkinmääritykset määräävät, voiko tietokoneen liittää puhelimen PC-porttiin.

    • Käytössä: Jos käytät monitoimista todennusta tukevaa kytkintä, voit ottaa PC-portin käyttöön ja liittää siihen tietokoneen. Tässä tapauksessa Cisco IP Phones tukemaan välityspalvelinta EAPOL-Logoffia, jotta voit seurata kytkimen ja siihen liitetyn tietokoneen välistä todennus vaihtamista.

      Lisätietoja Cisco Catalyst -kytkimien IEEE 802.1X -tuesta on Cisco Catalyst -kytkinmäärityksissä seuraavassa osoitteessa:

      http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

    • Poissa käytöstä: Jos kytkin ei tue useita 802.1X-yhteensopivia laitteita samassa portissa, sinun tulee poistaa PC-portti käytöstä, kun 802.1X-todennus on käytössä. Jos et poista tätä porttia käytöstä ja yrität liittää siihen tietokoneen, kytkin estää verkkoyhteyden sekä puhelimeen että tietokoneeseen.

  • Määritä puheposti VLAN: Koska 802.1X-standardi ei vastaa VLAN-standardista, määritä asetus kytkintuen perusteella.
    • Käytössä: Jos käytät monitoimista todennusta tukevaa kytkintä, voit jatkaa sitä käyttämällä ääntä VLAN.
    • Poissa käytöstä: Jos kytkin ei tue monitoimitodennusta, poista puheposti VLAN käytöstä ja harkitse portin määrittämistä natiiville VLAN.
  • (Vain Cisco Desk Phone 9800 -sarjalle)

    Cisco Desk Phone 9800 -sarjassa on eri etuliite kuin muissa Cisco-puhelimissa. Määritä säde, jotta puhelin läpäisee 802.1X-todennuksen . Käyttäjänimiparametri , joka sisältää Cisco Desk Phone 9800 -sarjan.

    Esimerkiksi puhelimen 9841 PID on DP-9841; voit asettaa säteellä olevan aset. Käyttäjänimi , joka aloitetaan DP: stä tai sisältää DP:n. Voit määrittää sen molempiin seuraaviin kohtiin:

    • Käytäntö > Ehdot > Eibrary-ehdot

    • Käytäntö > Politiikkasarjat > Valtuutuskäytäntö > Valtuutussääntö 1

Ota 802.1X-todennus käyttöön

Voit ottaa 802.1X-todennuksen käyttöön puhelimessasi seuraavasti:

1

Valitse Asetukset.the Settings hard key.

2

Avaa Asetukset-valikko antamalla salasana , jos sitä pyydetään. Saat salasanan järjestelmänvalvojalta.

3

Siirry Verkko- ja palvelu > Suojaus-asetuksiin > 802.1X-todennus.

4

TURN IEEE 802.1X -todennuksessa.

5

Valitse Käytä.

Näytä puhelimen suojausasetusten tiedot

Voit tarkastella suojausasetusten tietoja puhelinvalikossa. Tietojen saatavuus määräytyy organisaation verkkoasetusten mukaan.

Taulukko 4. Suojausasetusten parametrit

Parametrit

Kuvaus

Suojaustila

Näyttää puhelimelle asetetun suojaustilan.

LSC

Osoittaa, onko puhelimeen asennettu suojaustoiminnoissa käytettävä paikallisesti merkittävä varmenne (Kyllä) vai eikö sitä ole asennettu puhelimeen (Ei).

Luottosuhdeluettelo

Luottosuhdeluettelossa on alivalikko CTL-, ITL- ja Allekirjoitettu-määritystiedostoille.

CTL-tiedoston alivalikko näyttää CTL-tiedoston sisällön. ITL-tiedoston alivalikko näyttää ITL-tiedoston sisällön.

Luottosuhdeluettelo-valikossa on myös seuraavat tiedot:

  • CTL-allekirjoitus: CTL-tiedoston SHA1-hash
  • Unified CM/TFTP-palvelin: puhelimen käyttämän Cisco Unified Communications Manager- ja TFTP-palvelimen nimi. Näyttää varmennekuvakkeen, jos tälle palvelimelle on asennettu varmenne.
  • CAPF-palvelin: sen CAPF -palvelimen nimi, jota puhelin käyttää. Näyttää varmennekuvakkeen, jos tälle palvelimelle on asennettu varmenne.
  • SRST-reititin: sen luotetun SRST-reitittimen IP osoite, jota puhelin voi käyttää. Näyttää varmennekuvakkeen, jos tälle palvelimelle on asennettu varmenne.
802.1X-todennusOttaa IEEE 802.1X -todennuksen käyttöön tai poistaa sen käytöstä.

Lisätietoja on kohdassa 802.1X-todennus.

Taaksepäin yhteensopiva WPA

Määrittää, onko Wi-Fi Protected Accessin (WPA) vanhin versio yhteensopiva puhelimen langattomaan verkkoon tai tukiasemaan yhteyden muodostamiseksi.

  • Jos puhelin on otettu käyttöön, se voi etsiä langattomia verkkoja ja muodostaa yhteyden kaikkiin tuettuihin WPA -versioihin, kuten WPA, WPA2 ja WPA3. Lisäksi puhelin voi etsiä ja muodostaa yhteyden AP-protokollaan, joka tukee vain WPA vanhinta versiota.
  • Jos puhelin ei ole käytössä (oletusarvo), se voi etsiä ja muodostaa yhteyden vain WPA2- ja WPA3-tukiin osallistuviin langattomiin verkkoihin ja APS-verkoihin.

Tämä toiminto on käytettävissä vain 9861/9871/8875-puhelimissa.

1

Valitse Asetukset.the Settings key.

2

Siirry verkko- ja palveluasetuksiin > Suojauksen asetuksiin.

3

Näytä suojausasetukset.

Puhelusuojaus

Kun puhelimen suojaus on otettu käyttöön, voit tunnistaa suojatut puhelut puhelimen näytön kuvakkeilla. Voit myös määrittää, onko yhdistetty puhelin turvallinen ja suojattu, jos puhelun alussa kuuluu suojausääni.

Suojatussa puhelussa kaikki puheluiden signalointi ja mediavirrat salataan. Suojattu puhelu tarjoaa korkean suojaustason, joka tarjoaa puhelun eheyden ja yksityisyyden. Kun meneillään oleva puhelu on salattu, näet suojatun kuvakkeen Suojatun puhelun lukituskuvake linjalla. Suojatun puhelimen todennettu kuvake on myös saatavilla. Tai salattu kuvake Puhelinvalikossa olevan yhdistetyn palvelimen vieressä (Asetukset > Tietoja tästä laitteesta).

Jos puhelu reititetään ei-IP-puheluetappien, kuten PSTN:n, kautta, puhelu voi olla suojaamaton, vaikka se olisi salattu IP verkossa ja siihen on liitetty lukituskuvake.

Suojatussa puhelussa puhelun alussa toistetaan suojausääni, joka osoittaa, että toinen yhdistetty puhelin vastaanottaa ja lähettää turvallista ääntä. Jos puhelu yhdistetään suojaamattomaan puhelimeen, suojausääni ei toista.

Suojattua puhelua tuetaan vain kahden puhelimen välisille yhteyksille. Jotkin toiminnot, kuten neuvottelupuhelut ja jaetut linjat, eivät ole käytettävissä, kun turvallinen puhelu on määritetty.

Kun puhelin on määritetty turvalliseksi (salatuksi ja luotetuksi) kohteessa Cisco Unified Communications Manager, sille voi antaa suojeltu tila. Tämän jälkeen suojattu puhelin voidaan tarvittaessa määrittää toistamaan merkkiääni puhelun alussa:

  • Suojattu laite: Jos haluat muuttaa suojatun puhelimen tilan suojatuksi, valitse Cisco Unified Communications Manager Administration (Laite > Puhelin) Puhelinmääritykset -ikkunan Suojattu laite -valintaruutu.

  • Toista turvallinen merkkiääni: Jos haluat suojatun puhelimen toistavan turvallisen tai suojaamattoman merkkiäänen, aseta Suojattu merkkiääni -asetuksen arvoksi Tosi. Palauta suojattu merkkiääni oletusarvoisesti arvoon Epätosi. Määrität tämän asetuksen Cisco Unified Communications Manager Administration (Järjestelmä > Service-parametrit). Valitse palvelin ja sitten Unified Communications Manager-palvelu. Valitse Service Parameter Configuration window asetus Ominaisuus – Suojattu ääni -alueelta. Oletusarvo on Epätosi.

Suojaa neuvottelupuhelun tunniste

Voit aloittaa suojatun neuvottelupuhelun ja seurata osallistujien suojaustasoa. Suojattu neuvottelupuhelu muodostetaan seuraavalla prosessilla:

  1. Käyttäjä aloittaa neuvottelun suojatulla puhelimella.

  2. Cisco Unified Communications Manager määrittää puhelulle suojatun puhelinneuvottelusillan.

  3. Kun osallistujia lisätään, Cisco Unified Communications Manager tarkistaa kunkin puhelimen suojaustilan ja ylläpitää puhelinneuvottelun turvallista tasoa.

  4. Puhelin näyttää puhelinneuvottelun suojaustason. Turvallinen neuvottelu näyttää suojatun kuvakkeen Suojatun puhelun lukituskuvake.

Suojattua puhelua tuetaan kahden puhelimen välillä. Jotkin toiminnot, kuten neuvottelupuhelu, jaetut linjat ja Extension Mobility, eivät ole käytettävissä suojatuissa puhelimissa, kun turvallinen puhelu on määritetty.

Seuraavassa taulukossa on tietoja neuvottelusuojauksen tasoihin muutoksista puhelimen suojaustason, osallistujien suojaustason ja suojattujen neuvottelusiltojen saatavuuden mukaan.

Taulukko 5. Suojausrajoitukset ja neuvottelupuhelut

Käynnistäjän puhelimen suojaustaso

Käyt. toiminto

Osallistujien suojaustaso

Toiminnon tulokset

Suojaamaton

Neuvottelu

Turvata

Suojaamaton neuvottelusilta

Suojaamaton neuvottelu

Turvata

Neuvottelu

Vähintään yksi jäsen on suojaamaton.

Turvallinen neuvottelusilta

Suojaamaton neuvottelu

Turvata

Neuvottelu

Turvata

Turvallinen neuvottelusilta

Suojattu salatun tason neuvottelu

Suojaamaton

Meet Me

Vähimmäissuojaustaso salataan.

Vastaanottaja vastaanottaa viestin Ei vastaa suojaustasoa, puhelu hylätty.

Turvata

Meet Me

Vähimmäissuojaustaso ei ole suojaamaton.

Turvallinen neuvottelusilta

Neuvottelu hyväksyy kaikki puhelut.

Suojattu puhelutunnus

Suojattu puhelu on luotu, kun puhelimesi ja sitä vastapuolinen puhelin on määritetty suojaamaan puheluja. Toinen puhelin voi olla samassa Cisco IP-verkossa tai verkossa IP verkon ulkopuolella. Suojattuja puheluita voi soittaa vain kahden puhelimen välillä. Neuvottelupuhelujen tulee tukea suojattua puhelua, kun suojattu Conference Bridge on määritetty.

Suojattu puhelu muodostetaan käyttäen tätä prosessia:

  1. Käyttäjä aloittaa puhelun suojatusta puhelimesta (suojattu suojaustila).

  2. Puhelin näyttää suojatun kuvakkeen Suojatun puhelun lukituskuvake Puhelimen näytössä. Tämä kuvake ilmaisee, että puhelin on määritetty suojattuihin puheluihin, mutta tämä ei tarkoita, että toinen yhdistetty puhelin olisi myös suojattu.

  3. Käyttäjä kuulee suojausäänen, jos puhelu yhdistetään toiseen suojattuun puhelimeen, mikä osoittaa, että keskustelun molemmat päät on salattu ja suojattu. Jos puhelu yhdistetään suojaamattomaan puhelimeen, käyttäjä ei kuule suojausääntä.

Suojattua puhelua tuetaan kahden puhelimen välillä. Jotkin toiminnot, kuten neuvottelupuhelut, jaetut linjat ja Extension Mobility, eivät ole käytettävissä suojatuissa puhelimissa, kun turvallinen puhelu on määritetty.

Vain suojatut puhelimet toistavat nämä turvalliset tai suojaamattomat merkkiäänet. Suojaamattomat puhelimet eivät koskaan toista ääniääniä. Jos puhelun kokonaistila muuttuu puhelun aikana, merkkiääni muuttuu ja suojattu puhelin toistaa haluamasi äänen.

Suojattu puhelin toistaa äänen tai ei näissä tilanteissa:

  • Kun Suojattu merkkiäänen toisto -asetus on käytössä:

    • Kun päästä päähän -suojattu media on luotu ja puhelun tila on turvallinen, puhelin toistaa turvallisen merkkiäänen (kolme pitkää merkkiääntä ja keskeytykset).

    • Kun päästä päähän -suojaamaton media on luotu ja puhelun tila on suojaamaton, puhelin toistaa suojaamattoman merkkiäänen (kuusi lyhyttä merkkiääntä, joissa on lyhyet tauot).

Jos Suojattu merkkiääni -asetus on poistettu käytöstä, merkkiääntä ei toteta.

Tarjoa salaus väliintuloa varten

Cisco Unified Communications Manager tarkistaa puhelimen suojaustilan, kun neuvotteluja muodostetaan, ja muuttaa neuvottelun suojausilmausmerkintää tai estää puhelun päättämisen järjestelmän eheyden ja suojauksen ylläpitämiseksi.

Käyttäjä ei voi liittyä salattuun puheluun, jos väliintuloun käytettävää puhelinta ei ole määritetty salaukseen. Kun väliintulo tässä tapauksessa epäonnistuu, puhelimessa soi uudelleenjärjestäminen (nopea varattu).

Jos aloittajapuhelin on määritetty salausta varten, väliintulon käynnistäjä voi liittyä suojaamattomaan puheluun salatusta puhelimesta. Kun väliintulo tapahtuu, Cisco Unified Communications Manager luokittelee puhelun suojaamattomaksi.

Jos aloittajapuhelin on määritetty salaukseen, väliintulon käynnistäjä voi liittyä salattuun puheluun ja puhelin ilmaisee, että puhelu on salattu.

WLAN-suojaus

Koska kaikki WLAN -laitteet voivat vastaanottaa kaiken muun WLAN -liikennettä, puheviestinnän ottaminen käyttöön on WLAN-laitteissa erittäin tärkeää. Varmista, etteivät tunkeilijat manipuloi ääniliikennettä eivätkä kaappaa sitä, Cisco SAFE Security -arkkitehtuuri tukee puhelinta. Lisätietoja verkkojen suojauksen toiminnoista on kohdassa http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco Langaton IP -puhelinratkaisu tarjoaa langattoman verkon suojauksen, joka estää luvattomia sisään- ja vaaranna viestintää käyttämällä seuraavia puhelimen tukemia todennusmenetelmiä:

  • Avaa todennus: Kaikki langattomat laitteet voivat pyytää todennusta avoimessa järjestelmässä. Pyynnön vastaanottava käyttöasema voi myöntää todennuksen kenelle tahansa pyynnön esittäjälle tai vain pyynnön esittäjille, jotka ovat käyttäjäluettelossa. Langattoman laitteen ja TUKIASEMAn välistä viestintää ei ehkä salata.

  • Laaja todennusprotokollan joustava todennus suojatun tunnelointitoiminnon (EAP-FAST) avulla -todennus: Tämä asiakas-palvelinsuojausarkkitehtuuli salata EAP-tapahtumat AP:n ja RADIUS-palvelimen välisessä siirtotason suojaustunnelissa (TLS), kuten Ise-palvelimen identiteetin ja palvelujen moduulin.

    TLS-tunneli käyttää suojatun käytön tunnistetietoja (PAC) todennukseen asiakkaan (puhelimen) ja RADIUS-palvelimen välillä. Palvelin lähettää asiakkaalle (puhelimella) viranomaisen tunnuksen (AID), joka TURN valitsee asianmukaisen PAC-yhteyden. Asiakas (puhelin) palauttaa PAC-kvaque-palvelimen RADIUS-palvelimeen. Palvelin poistaa PAC:n salauksen ensisijaisella näppäimellä. Molemmissa päätepisteissä on nyt PAC-avain ja TLS-tunneli luodaan. EAP-FAST tukee automaattista PAC-valmistelua, mutta sinun on otettava se käyttöön RADIUS-palvelimessa.

    ISE:ssa PAC vanhenee oletusarvoisesti viikon kuluttua. Jos puhelimen pac on vanhentunut, todennus RADIUS-palvelimella kestää kauemmin, kun puhelin saa uuden PAC:n. Voit välttää PAC-valmistelun viiveet asettamalla PAC-vanhenemisajaksi 90 päivää tai pidempään ISE- tai RADIUS-palvelimessa.

  • Laaja todennusprotokollan ja siirtokerrossuojauksen (EAP-TLS) todennus: EAP-TLS edellyttää asiakasvarmennetta todennusta ja verkkoyhteyttä varten. Langattomassa EAP-TLS asiakasvarmenne voi olla MIC, LSC, tai käyttäjän asentama varmenne.

  • Suojattu laajennustodennusprotokolla (PEAP): Cisco asiakkaan (puhelimen) ja RADIUS-palvelimen välinen oma salasanapohjainen todennusmalli. Puhelin voi käyttää PEAP langattoman verkon todennukseen. Sekä PEAP-MSCHAPV2- että PEAP-GTC-todennusmenetelmiä tuetaan.

  • Esijaettu avain (PSK): Puhelin tukee ASCII -muotoa. Tätä muotoa on käytettävä määritettäessä WPA/WPA2/SAE Esijaettua avainta:

    ASCII: ASCII-merkkinen merkkijono, jonka pituus on 8 - 63 merkkiä (0-9, pieni ja iso kirjaiminen A-Z sekä erikoismerkit)

    Esimerkki: GREG123567@9ZX&W

Seuraavat todennusmallit käyttävät RADIUS-palvelinta todennusavainten hallintaan:

  • WPA/WPA2/WPA3: Käyttää RADIUS-palvelimen tietoja yksilöllisiä avaimia todennusta varten. Koska nämä avaimet luodaan keskitetylle RADIUS-palvelimelle, WPA2/WPA3 tarjoaa enemmän suojausta kuin WPA esivalmistetut avaimet, jotka on tallennettu käyttöp. ja puhelimeen.

  • Fast Secure Roaming: Käyttää RADIUS-palvelinta ja WDS -tietoja avainten hallintaan ja todennukseen. WDS luo suojaustunnisteiden välimuistin FT-yhteensopiville asiakaslaitteille, jotta ne voidaan toistaa nopeasti ja turvallisesti. Cisco Desk -puhelin 9861 ja 9871 ja Cisco VideoPuhelin 8875 tukevat 802.11r (FT). Sekä ilmassa että DS:n yllä tuetaan, jotta verkkovierailu on nopea suojattu. Suosittelemme kuitenkin vahvasti, että käytät 802.11r (FT) ilmamenetelmää.

WPA/WPA2/WPA3 -näppäimellä salausavaimia ei syötetä puhelimeen, vaan ne johdetaan automaattisesti apin ja puhelimen välillä. Todennukseen käytettävä EAP-käyttäjänimi ja salasana on kuitenkin annettava kullekin puhelimelle.

Jotta ääniliikenne on turvallista, puhelin tukee TKIP-koodausta ja AES salausta varten. Kun näitä määritystä käytetään salaukseen, sekä viestittävät SIP -paketit että reaaliaikainen siirtoprotokolla (RTP) -paketit salataan apin ja puhelimen välillä.

TKIP

WPA käyttää TKIP-salausta, jossa on useita parannusta WEP-salaukseen. TKIP tarjoaa per-paketti-avainsalakirjoitusta ja pidempiä alustusvektoreita (IVs), jotka vahvistavat salausta. Lisäksi viestin eheystarkistus (MIC) varmistaa, ettei salattuja pakkauksia muuteta. TKIP poistaa WEP -näppäimen ennustettavuuden, joka auttaa tunkeilijoille WEP-avaimen tulkitsemisen.

AES

WPA2/WPA3-todennuksessa käytettävä salausmenetelmä. Tämä kansallinen salausnormi käyttää symmetristä algoritmia, jolla on sama avain salaukseen ja salauksen purkamiseen. AES käyttää kooltaan 128 bitin salausta ( Cipher Blocking Chain, CBC), joka tukee vähintään 128 bitin, 192 bitin ja 256 bitin avainkokoja. Puhelin tukee 256 bitin näppäinkokoa.

Cisco Desk -puhelin 9861 ja 9871 ja Cisco Videopuhelin 8875 eivät tue CMIC:n kanssa Cisco Key Integrity Protocolia (CKIP).

Todennus- ja salausjärjestelmät on määritetty langattomaan lähiverkkoon. VLAN-numerot on määritetty verkossa ja APS:ssä, ja ne määrittävät eri todennus- ja salausyhdistelmiä. SSID yhdistää ohjelman VLAN ja tietyn todennus- ja salausmallin. Jotta langattomat asiakaslaitteet todennetaan oikein, samat SSID-protokollat on määritettävä todennus- ja salausmalleille APS-laitteissa ja puhelimessa.

Jotkin todennusjärjestelmät edellyttävät tietyntyyppistä salausta.

  • Kun käytät WPA esijaettua avainta, WPA2-esijaettua avainta tai SAE-näppäintä, esijaetun avaimen on oltava staattisesti määritetty puhelimessa. Näiden avainten on vastattava apissa olevia avaimia.

  • Puhelin tukee automaattista EAP-neuvottelua FAST- tai PEAP-kohteelle, mutta ei TLS. Määritä EAP-TLS -tilassa.

Seuraavassa taulukossa on lueteltu tukiasemamäärityksiä vastaavat puhelimen verkkomääritykset.

Taulukko 6. Todennus- ja salausjärjestelmät
FSR-tyyppiTodennusAvaintenhallintaSalausSuojattu hallintakehys (PMF)
802.11r (FT)PSK

WPA-PSK

WPA-PSK-SHA256

FT-PSK

AESEi
802.11r (FT)WPA3

SAE

FT-SAE

AESKyllä
802.11r (FT)EAP-TLS

WPA-EAP

FT-EAP

AESEi
802.11r (FT)EAP-TLS (WPA3)

WPA-EAP-SHA256

FT-EAP

AESKyllä
802.11r (FT)EAP-FAST

WPA-EAP

FT-EAP

AESEi
802.11r (FT)EAP-FAST (WPA3)

WPA-EAP-SHA256

FT-EAP

AESKyllä
802.11r (FT)EAP-PEAP

WPA-EAP

FT-EAP

AESEi
802.11r (FT)EAP-PEAP (WPA3)

WPA-EAP-SHA256

FT-EAP

AESKyllä

Määritä WLAN-profiili

Voit hallita langatonta verkkoprofiilia määrittämällä tunnistetietoja, taajuusaluetta, todennusmenetelmää ja niin edelleen.

Pidä seuraavat huomautukset mielessä, ennen kuin määrität WLAN-profiilin:

  • Käyttäjänimi ja salasana

    • Kun verkkosi käyttää käyttäjän todennukseen EAP-FAST ja PEAP, sinun on määritettävä sekä käyttäjänimi että salasana, jos tarpeen etätodennuksen soittopalvelussa (RADIUS) ja puhelimessa.

    • Langattomaan LAN-profiiliin annettujen tunnistetietojen on oltava samat kuin RADIUS-palvelimella määritetyt tunnistetiedot.

    • Jos käytät verkon toimialueita, sinun on annettava käyttäjänimi toimialueen nimellä muodossa: toimialue\käyttäjänimi.

  • Seuraavien toimintojen seurauksena nykyinen Wi-Fi-salasana voidaan tyhjentää:

    • Virheellisen käyttäjätunnuksen tai salasanan kirjoittaminen
    • Virheellisen tai vanhentuneen varmenteiden päämyöntäjän asennus, kun EAP-tyypiksi on määritetty PEAP-MSCHAPV2 tai PEAP-GTC
    • Poista käytöstä käytössä oleva EAP -tyyppi RADIUS-palvelimesta ennen puhelimen vaihtamista uuteen EAP -tyyppiin
  • Jos haluat muuttaa EAP-tyyppiä, varmista, että otat uuden EAP-tyypin ensin RADIUS-palvelimeen ja vaihdat sitten puhelimen EAP -tyyppiin. Kun kaikki puhelimet on muutettu uudeksi EAP-tyypiksi, voit halutessasi poistaa edellisen EAP -tyypin käytöstä.
1

Valitse Cisco Unified Communications Manager Administration Laite > Device-asetukset > Wireless LAN -profiili.

2

Valitse määritettävä verkkoprofiili.

3

Määritä parametrit.

4

Valitse Tallenna.

SCEP-parametrien määrittäminen

SCEP-protokolla on varmenteiden rekisteröimisen ja automaattisen uusimisen standardi. SCEP-palvelin voi automaattisesti ylläpitää käyttäjä- ja palvelinvarmenteita.

Sinun on määritettävä seuraavat SCEP-parametrit puhelimen Web-sivulla.

  • RA IP -osoite

  • SCEP-palvelimen varmenteen päävarmenteen SHA-1 tai SHA-256-tunniste

Cisco IOS Registration Authority (RA) toimii SCEP-palvelimen välityspalvelimena. Puhelimen SCEP-asiakas käyttää parametreja, jotka on ladattu Cisco Unified Communication Managerista. Kun parametrit on määritetty, puhelin lähettää SCEP getcs -pyynnön RA:lle ja varmenteen päävarmenne tarkistetaan määritetyllä sormenjäljellä.

Ennen aloittamista

Määritä SCEP-rekisteröintiedustajalle SCEP-rekisteröintiedustajaksi seuraavat:

  • Toimi PKI-luottamuspisteenä
  • Toimi PKI RA:na
  • Suorita laitteen todennus RADIUS-palvelimella

Lisätietoja on SCEP-palvelimen käyttöoppaissa.

1

Valitse Cisco Unified Communications Manager Administration Laite > Puhelin.

2

Etsi puhelin.

3

Siirry tuotekohtaisten määritysten asettelualueeseen .

4

Aktivoi SCEP-parametri valitsemalla WLAN SCEP-palvelin -valintaruutu.

5

Aktivoi SCEP QED -parametri valitsemalla WLAN Varmenteiden päämyöntäjän tunnisteen (SHA256 tai SHA1) -valintaruutu.

TLS tuettujen versioiden määrittäminen

Voit määrittää asiakkaalle ja palvelimelle tarvittavan TLS -vähimmäisversion.

Palvelimen ja asiakkaan oletusarvoinen TLS-versio on molemmat 1,2. Asetus vaikuttaa seuraaviin toimintoihin:

  • HTTPS-verkkoyhteys
  • On-Premise-puhelimen kyydissäolo
  • Matkapuhelimen ja Remote Access:n (MRA) kyydissäolo
  • HTTPS-palvelut, kuten luettelopalvelut
  • Datagrammin siirtokerrossuojaus (DTLS)
  • Portin käyttöyksikkö (PAE)
  • Laaja todennusprotokollan ja siirtokerrossuojauksen (EAP-TLS)

Lisätietoja Cisco IP Phones-yhteensopivuudesta TLS 1.3 on kohdassa TLS 1.3 Yhteensopivuusmatriisi Cisco Yhteistyötuotteissa.

1

Kirjaudu Cisco Unified Communications Manager Administration -järjestelmänhallintaan järjestelmänvalvojana.

2

Siirtyminen toiseen seuraavista ikkunoista:

  • Järjestelmä > Puhelinmääritykset
  • Laite > Device-asetukset > Puhelinprofiili
  • Laite >Puhelin >Puhelimen määritys
3

MääritäTLS Client Min Version -kenttä:

TLS 1.3 -vaihtoehto on saatavilla numerossa Cisco Unified CM 15SU2 tai uudempi.

  • TLS 1.1: TLS -asiakas tukee TLS versioita 1.1–1.3.

    Jos palvelimen TLS -versio on pienempi kuin 1.1, esimerkiksi 1.0, yhteyttä ei voi muodostaa.

  • TLS 1.2 (oletusarvo): TLS -asiakas tukee TLS 1.2 ja 1.3.

    Jos palvelimen TLS -versio on pienempi kuin 1.2, esimerkiksi 1.1 tai 1.0, yhteyttä ei voi muodostaa.

  • TLS 1.3: TLS-asiakas tukee vain TLS 1.3.

    Jos palvelimen TLS -versio on pienempi kuin 1.3, esimerkiksi 1.2, 1.1 tai 1.0, yhteyttä ei voida muodostaa.

4

TLS Server Min Version -kentän määrittäminen :

  • TLS 1.1: TLS-palvelin tukee TLS versioita 1.1–1.3.

    Jos asiakkaan TLS -versio on pienempi kuin 1.1, esimerkiksi 1.0, yhteyttä ei voi muodostaa.

  • TLS 1.2 (oletusarvo): TLS-palvelin tukee TLS 1.2 ja 1.3.

    Jos asiakkaan TLS -versio on pienempi kuin 1,2, esimerkiksi 1.1 tai 1.0, yhteyttä ei voi muodostaa.

  • TLS 1.3: TLS-palvelin tukee vain TLS 1.3.

    Jos asiakkaan TLS -versio on pienempi kuin 1.3, esimerkiksi 1.2, 1.1 tai 1.0, yhteyttä ei voida muodostaa.

PhoneOS 3.2 -versiosta kentän "Poista TLS 1.0 ja TLS 1.1 Web Accessista" asetus ei vaikuta puhelimiin.

5

Valitse Tallenna.

6

Valitse Apply Config (Ota määritykset käyttöön).

7

Käynnistä puhelimet uudelleen.

Assured Services SIP

Assured Services SIP(AS-SIP) on kokoelma ominaisuuksia ja protokollia, jotka tarjoavat erittäin turvallisen puhelunkulun Cisco IP Phones- ja kolmannen osapuolen puhelimille. Seuraavat ominaisuudet tunnetaan yleisesti nimellä AS-SIP:

  • Monitasoinen etusija ja korvaus (MLPP)
  • Eriytettyjen palvelujen koodipiste (DSCP)
  • Siirtokerrossuojaus (TLS) ja turvallinen reaaliaikainen siirtoprotokolla (SRTP)
  • Internet-protokollan versio 6 (IPv6)

AS-SIP käytetään usein monitasoisen etusijan ja korvaustilan (MLPP) kanssa priorisoidakseen puheluita hätätilan aikana. MLPP -määrityksellä määrität lähteville puheluille prioriteettitason tasolta 1 (matala) tasolle 5 (korkea). Kun vastaanotat puhelun, puhelimessa näkyy etusijatason kuvake, jossa näkyy puhelun tärkeys.

Määritä AS-SIP seuraavasti: Cisco Unified Communications Manager:

  • Koontikäyttäjän määrittäminen siten, että loppukäyttäjä käyttää koontitodennusta SIP -pyynnöissä.
  • Määritä SIP Phone Secure Port –Cisco Unified Communications Manager käyttää tätä porttia SIP-puhelimien SIP-linjarekisteröintiin TLS-kohdassa.
  • Käynnistä palvelut uudelleen – Kun olet määrittänut suojatun portin, käynnistä uudelleen Cisco Unified Communications Manager- ja Cisco CTL Provider -palvelut. Määritä SIP-profiili AS-SIP-konfiguroi SIP-profiili SIP-asetuksissa AS-SIP-päätepisteille ja SIP -ulkolinjoille. Puhelinkohtaisia parametreja ei ladata kolmannen osapuolen AS-SIP-puhelimelle. Niitä käyttää vain Cisco Unified Manager. Kolmansien osapuolten puhelinten on määritettävä samat asetukset paikallisesti.
  • Määritä puhelimen suojausprofiili asetukseksi AS-SIP – Voit määrittää suojausasetuksia, kuten TLS, SRTP,, käyttämällä puhelimen suojausprofiilia ja koontitodennusta.
  • Määritä AS-SIP-päätepiste – Määritä Cisco IP Phone- tai kolmannen osapuolen päätepiste AS-SIP-tuella.
  • Liitä laite loppukäyttäjään – liitä päätepiste käyttäjään.
  • Määritä SIP Rungon suojausprofiili kohteelle AS-SIP – Voit määrittää SIP-ulkolinjan suojausprofiililla TLS tai koontitodennuksen SIP-ulkolinjalle.
  • Määritä SIP-ulkolinja kohteelle AS-SIP – Määritä SIP-ulkolinjalle AS-SIP-tuki.
  • Määritä AS-SIP-toiminnot – määritä lisää AS-SIP-toimintoja, kuten MLPP, TLS, V.150 ja IPv6.

Lisätietoja AS-SIP-määrittämisestä on Cisco Unified Communications Manager -oppaan AS-SIP päätepisteiden määrittäminen -kohdassa.

Monitasoinen etusija ja korvaus

Monitasoisen etusijan ja korvausten (MLPP) avulla voit asettaa puhelut etusijalle kriisitilanteissa tai muissa kriisitilanteissa. Määrität lähteville puheluille prioriteetin, joka on 1–5. Saapuvissa puheluissa näkyy kuvake ja puhelun prioriteetti. Todennetut käyttäjät voivat vastata puheluihin joko kohdennetuille asemille tai täysin tilattujen TDM-ulkolinjaiden kautta.

Tämä ominaisuus määrittää korkea-arvoisen henkilöstön, joka käyttää viestintää kriittisen organisaation ja henkilöstön kanssa.

Jos valittua numeroa muokkaa Unified CM määritetty muunnos-/reittimalli, MLPP-puhelun käynnistäjä näkee puhelimen näytössä myös MLPP -erikoiskuvakkeen ja etusijatason ja kuulee soittoäänen. Tämä toiminta saavutetaan PhoneOS 3.4 -version jälkeen.

PhoneOS-puhelimien MLPP-toiminto edellyttää Unified CM Release 15SU3 tai uudempi.

MLPP-määritys: Unified CM

Määritä toiminto seuraavasti:

  1. Määritä toimialueet ja toimialueluettelot.
    1. Valitse Cisco Unified CM Administration Järjestelmä>MLPP > Domain > MLPP-toimialue, lisää uusia MLPP-toimialueita .
    2. Valitse Järjestelmä > MLPP > Namespace > Resource Priority Namespace Network Domain, lisää rekisteröityjä namespaceja, kuten "drsn", "dsn", "cuc", "uc", "q735". Valitse sitten oletustoimialuenimi.
    3. Valitse Järjestelmä > MLPP > Namespace > Resource Priority Namespace List, lisää namespace-luettelot.
  2. SIP-profiilin määrittäminen.
    1. Valitse Laite > Device-asetukset > SIP-profiili, lisää uusi SIP-profiili.
    2. Valitse MLPP Käyttäjän tarkistus -valintaruutu, jos haluat puhelimen edellyttävän käyttäjän tunnistetietoja MLPP-puheluissa.
    3. Valitse määritetty resurssiprioriteetin namespace resurssiprioriteetin Namespacesta .
    4. Valitse määritetty namespace-luettelo resurssiprioriteetin Namespace-luettelosta.
  3. Määritä puhelin.
    1. Valitse laite > Puhelin, päivitä tai lisää puhelin.
    2. Valitse määritetty SIP-profiili SIP-profiilista .
    3. Määritä parametrit MLPP Domain , MLPP Indication jaMLPP Preemption kohdassa MLPP ja Confidential Access Level Information.
  4. Määritä luettelonumero.
    1. Valitse laite > Puhelin, lisää tai päivitä linja.
    2. Määritä MLPP Vaihtoehtoinen osapuoli- ja Confidential Access Level -asetukset -kohdassa parametrit Kohde (Kohde), MLPP Calling Search Space ja MLPP Ei vastausta -soittoäänen kesto (sekunnit). .
    3. Määritä Varattu-käynnistin parametrikohdassa Moni puhelut/puhelut odottamassa -asetukset.
  5. Määrittää loppukäyttäjän.
    1. Valitse käyttäjähallinta > Lisää käyttäjä, lisää uusi.
    2. Liitä käyttäjä määritettyun puhelimeen valitsemalla Laitekytkentä .
    3. Määritä parametrit Mutilevel Precedence and Preemption Authorization -kohdassa.
  6. Voit määrittää MLPP -parametrit todellisten tarpeidesi mukaan.
    • Valitse Järjestelmä > Service-parametri. Määritä parametrit klusterinlaajuisten parametrien osan (Ominaisuus - Monitasoinen etusija ja korvaus) alle.
    • Valitse Järjestelmä > Service-parametri. Määritä DSCP tärkeyspuheluille klusterinlaajuiset parametrit -kohdassa (Järjestelmä - QOS).
    • Valitse Järjestelmä > Service-parametri. Määritä MLPP prioriteetti SRVP-prioriteettimäärityksille klusterinlaajuiset parametrit -kohdassa (Järjestelmä - RSVP).
    • Määritä reititinmallit puhelureititys> Reititys /etsintä > Reititysmallista.
    • Määritä etsintänumerot puhelureitityksestä> Reititys /etsintä > Etsintänumerosta.
    • Määritä muunnosmalleja puhelureititys >Translation-mallista .
    • Määritä yhdyskäytävät, ulkolinjat, oletuslaiteprofiili, käyttäjän laiteprofiili, yleinen laitemääritys kohteelle MLPP.

MLPP on usein käytössä Assured Services SIP(AS-SIP). Lisätietoja MLPP määrittämisestä on Cisco Unified Communications Manager -oppaan monitasoisen etusijan ja korvaustilan määrittämisessä.

Määritä FAC ja CMC

Kun pakolliset tarkistuskoodit (FAC) tai asiakasasiakoodit (CMC) tai molemmat on määritetty puhelimeen, käyttäjien on annettava tarvittavat salasanat, jotta he voivat valita numeron.

Lisätietoja FAC- ja CMC-asetusten määrittämisestä Cisco Unified Communications Manager on ominaisuusmääritysoppaanCisco Unified Communications Manager, Versio 12.5 (1) tai uudempien asiakasasiakoodien ja pakotettujen tarkistuskoodien kohdassa.

VPN-määritykset

Cisco VPN -toiminnon avulla voit säilyttää verkon turvallisuuden ja antaa käyttäjille turvallisen ja luotettavan menetelmän, jolla he voivat muodostaa yhteyden yritysverkkoon. Käytä tätä toimintoa, kun

  • Puhelin sijaitsee luotetun verkon ulkopuolella
  • Puhelimen ja Cisco Unified Communications Manager välinen verkkoliikenne ylittää ei-luotetun verkon

VPN -protokollalla on kolme yleistä lähestymistapaa asiakkaan todennukseen:

  • Digitaaliset varmenteet
  • Salasanat
  • Käyttäjänimi ja salasana

Kullakin menetelmällä on etunsa. Mutta jos yrityksen suojauskäytäntö sallii sen, suosittelemme varmennepohjaista lähestymistapaa, koska varmenteet mahdollistavat saumattoman sisäänkirjauksen ilman käyttäjän väliintuloa. Sekä LSC- että MIC -varmenteita tuetaan.

Jos haluat määrittää jonkin VPN-toiminnoista, varaa laite ensin tiloissa ja voit sitten ottaa laitteen käyttöön off-premise-tilassa.

Lisätietoja varmenteen todennuksesta ja VPN-verkon kanssa työskentelystä on kohdassa AnyConnect VPN-puhelimen asa-varmenteen todennuksen määrittäminen.

Salasanan tai käyttäjänimen ja salasanan avulla käyttäjää pyydetään kirjautumaan tunnistetietoihin. Määritä käyttäjän kirjautumisen tunnistetiedot yrityksen suojauskäytännön mukaisesti. Voit myös määrittää Salasanan sinnikkyys -asetuksen siten, että käyttäjän salasana tallennetaan puhelimeen. Käyttäjän salasana tallennetaan, kunnes kirjautumisyritys epäonnistuu, käyttäjä tyhjentää salasanan manuaalisesti tai puhelin palauttaa virran tai menettää tehonsa.

Toinen hyödyllinen työkalu on Ota autom. verkon tunnistus käyttöön -asetus. Kun tämä valintaruutu on käytössä, VPN-asiakas voidaan suorittaa vain, kun se havaitsee sen olevan yrityksen verkon ulkopuolella. Tämä asetus on oletusarvoisesti poistettu käytöstä.

Cisco-puhelin tukee asiakastyyppinä Cisco SVC IPPhone Client v1.0 -sovellusta.

Lisätietoja VPN määrittämisestä Unified CM -ohjelmassa on kohdassa Cisco Unified Communications Manager-ominaisuusmääritysopas.

Cisco VPN-toiminto käyttää Secure Sockets Layer (SSL) -toimintoa verkon turvallisuuden suojelemiseksi.