Voit ottaa Cisco Unified Communications Managerin käyttöön tehostetussa tietoturvaympäristössä. Näiden parannusten ansiosta puhelinverkkosi toimii tiukkojen turvallisuus- ja riskinhallintakontrollien alaisuudessa, jotka suojaavat sinua ja käyttäjiäsi.

Parannettuun turvallisuusympäristöön kuuluvat seuraavat ominaisuudet:

  • Yhteyshaku todennus.

  • TCP oletusprotokollaksi etävalvontalokitusta varten.

  • FIPS-tila.

  • Parannettu valtakirjapolitiikka.

  • Tuki SHA-2-tuoteperheen hasheille digitaalisia allekirjoituksia varten.

  • Tuki 512 bitin ja 4096 bitin RSA-avaimille.

Cisco Unified Communications Managerin Release 14.0:n ja Cisco Video Phone Firmware -ohjelmiston Release 2.1 ja uudemmissa versioissa puhelimet tukevat SIP OAuth -todennusta.

OAuthia tuetaan TFTP-protokollan (Proxy Trivial File Transfer Protocol) osalta Cisco Unified Communications Managerin versiossa 14.0(1)SU1 tai uudemmissa versioissa. Proxy TFTP:tä ja OAuth for Proxy TFTP:tä ei tueta MRA:ssa (Mobile Remote Access).

Lisätietoja tietoturvasta on seuraavassa:

Puhelin voi tallentaa vain rajoitetun määrän ITL-tiedostoja (Identity Trust List). ITL-tiedostot eivät saa ylittää 64 kilotavua puhelimessa, joten Cisco Unified Communications Managerin puhelimeen lähettämien tiedostojen määrää on rajoitettava.

Tuetut turvaominaisuudet

Suojausominaisuudet suojaavat uhkia vastaan, mukaan lukien puhelimen identiteettiin ja tietoihin kohdistuvat uhat. Nämä ominaisuudet luovat ja ylläpitävät todennettuja tietovirtoja puhelimen ja Cisco Unified Communications Manager -palvelimen välille ja varmistavat, että puhelin käyttää vain digitaalisesti allekirjoitettuja tiedostoja.

Cisco Unified Communications Manager Release 8.5(1) ja uudemmat versiot sisältävät oletusarvoisesti Security-toiminnon, joka tarjoaa seuraavat suojausominaisuudet Cisco IP -puhelimille ilman CTL-asiakasohjelman suorittamista:

  • Puhelimen asetustiedostojen allekirjoittaminen

  • Puhelimen asetustiedoston salaus

  • HTTPS Tomcatin ja muiden verkkopalvelujen kanssa

Turvallinen signalointi ja mediaominaisuudet edellyttävät edelleen CTL-asiakasohjelman suorittamista ja laitteiston eTokenien käyttöä.

Suojauksen toteuttaminen Cisco Unified Communications Manager -järjestelmässä estää puhelimen ja Cisco Unified Communications Manager -palvelimen henkilöllisyyden varastamisen, estää tietojen peukaloinnin ja estää puhelun signaloinnin ja mediavirran peukaloinnin.

Näiden uhkien lieventämiseksi Cisco IP-puhelinverkko luo ja ylläpitää turvallisia (salattuja) tietoliikennevirtoja puhelimen ja palvelimen välillä, allekirjoittaa tiedostot digitaalisesti ennen niiden siirtämistä puhelimeen ja salaa mediavirrat ja puheluiden signaloinnin Cisco IP -puhelimien välillä.

Paikallisesti merkittävä varmenne (Locally Significant Certificate, LSC) asennetaan puhelimiin sen jälkeen, kun olet suorittanut CAPF-toimintoon (Certificate Authority Proxy Function) liittyvät tarvittavat tehtävät. Voit määrittää LSC:n Cisco Unified Communications Manager Administration -ohjelman avulla, kuten Cisco Unified Communications Manager Security Guide -oppaassa on kuvattu. Vaihtoehtoisesti voit käynnistää LSC:n asennuksen puhelimen Suojausasetukset-valikosta. Tässä valikossa voit myös päivittää tai poistaa LSC:n.

LSC:tä ei voi käyttää käyttäjän varmenteena EAP-TLS:ssä WLAN-todennuksen kanssa.

Puhelimissa käytetään puhelimen suojausprofiilia, jossa määritellään, onko laite suojaamaton vai suojattu. Tietoja suojausprofiilin soveltamisesta puhelimeen on Cisco Unified Communications Managerin julkaisun dokumentaatiossa.

Jos määrität tietoturvaan liittyviä asetuksia Cisco Unified Communications Managerin hallinnassa, puhelimen määritystiedosto sisältää arkaluonteisia tietoja. Jos haluat varmistaa asetustiedoston yksityisyyden, sinun on määritettävä sen salaus. Yksityiskohtaisia tietoja on Cisco Unified Communications Managerin julkaisun dokumentaatiossa.

Puhelin on FIPS-standardin (Federal Information Processing Standard) mukainen. Jotta FIPS-tila toimisi oikein, sen avainkoko on vähintään 2048 bittiä. Jos varmenne on alle 2048 bittiä, puhelin ei rekisteröidy Cisco Unified Communications Manageriin ja Phone failed to register. Cert-avaimen koko ei ole FIPS-yhteensopiva näkyy puhelimessa.

Jos puhelimessa on LSC, sinun on päivitettävä LSC-avaimen koko vähintään 2048 bittiin ennen FIPS:n käyttöönottoa.

Seuraavassa taulukossa on yleiskatsaus puhelimien tukemiin suojausominaisuuksiin. Lisätietoja on Cisco Unified Communications Managerin julkaisun dokumentaatiossa.

Jos haluat tarkastella suojaustilaa, paina Asetukset Asetusten kova näppäin ja siirry kohtaan Verkko ja palvelu > Suojausasetukset.

Taulukko 1. Yleiskatsaus turvaominaisuuksiin

Ominaisuus

Kuvaus

Kuvan todennus

Allekirjoitetut binääritiedostot estävät laiteohjelmakuvan peukaloinnin ennen kuin kuva ladataan puhelimeen.

Kuvan väärentäminen aiheuttaa sen, että puhelin hylkää todentamisprosessin ja hylkää uuden kuvan.

Asiakkaan sivuston varmenteen asennus

Jokainen Cisco IP Phone -puhelin vaatii yksilöllisen varmenteen laitteen todennusta varten. Puhelimet sisältävät valmistajan asentaman varmenteen (MIC), mutta lisäturvallisuuden vuoksi voit määrittää varmenteen asennuksen Cisco Unified Communications Managerin hallinnassa CAPF-toiminnon (Certificate Authority Proxy Function) avulla. Vaihtoehtoisesti voit asentaa paikallisesti merkittävän varmenteen (Locally Significant Certificate, LSC) puhelimen Security Configuration -valikosta.

Laitteen todennus

Tapahtuu Cisco Unified Communications Manager -palvelimen ja puhelimen välillä, kun kumpikin yksikkö hyväksyy toisen yksikön varmenteen. Määrittää, pitäisikö puhelimen ja Cisco Unified Communications Managerin välillä olla suojattu yhteys, ja luo tarvittaessa suojatun signalointipolun yksiköiden välille TLS-protokollan avulla. Cisco Unified Communications Manager ei rekisteröi puhelimia, ellei se voi todentaa niitä.

Tiedoston todennus

Validoi puhelimen lataamat digitaalisesti allekirjoitetut tiedostot. Puhelin tarkistaa allekirjoituksen varmistaakseen, että tiedostoa ei ole peukaloitu tiedoston luomisen jälkeen. Tiedostoja, joiden todennus ei onnistu, ei kirjoiteta puhelimen Flash-muistiin. Puhelin hylkää tällaiset tiedostot ilman jatkokäsittelyä.

Tiedoston salaus

Salaus estää arkaluonteisten tietojen paljastumisen, kun tiedosto on matkalla puhelimeen. Lisäksi puhelin tarkistaa allekirjoituksen varmistaakseen, että tiedostoa ei ole peukaloitu tiedoston luomisen jälkeen. Tiedostoja, joiden todennus ei onnistu, ei kirjoiteta puhelimen Flash-muistiin. Puhelin hylkää tällaiset tiedostot ilman jatkokäsittelyä.

Signaalin todennus

Käyttää TLS-protokollaa varmistaakseen, että signaalipaketteja ei ole peukaloitu lähetyksen aikana.

Valmistuksen asennettu todistus

Jokaisessa Cisco IP Phone -puhelimessa on yksilöllinen valmistajan asentama varmenne (MIC), jota käytetään laitteen todennukseen. MIC tarjoaa puhelimelle pysyvän yksilöllisen identiteettitodistuksen, jonka avulla Cisco Unified Communications Manager voi todentaa puhelimen.

Median salaus

Käyttää SRTP:tä varmistaakseen, että tuettujen laitteiden väliset mediavirrat ovat turvallisia ja että vain tarkoitettu laite vastaanottaa ja lukee tiedot. Sisältää median ensisijaisen avainparin luomisen laitteille, avainten toimittamisen laitteille ja avainten toimituksen turvaamisen avainten kuljetuksen aikana.

CAPF (Varmenteen välitystoiminto)

Toteuttaa varmenteen luontimenettelyn osat, jotka ovat liian prosessointi-intensiivisiä puhelimelle, ja toimii vuorovaikutuksessa puhelimen kanssa avaimen luomiseksi ja varmenteen asentamiseksi. CAPF voidaan määrittää pyytämään varmenteita asiakkaan määrittelemiltä varmenneviranomaisilta puhelimen puolesta, tai se voidaan määrittää luomaan varmenteet paikallisesti.

Sekä EC- (Elliptical Curve) että RSA-avaintyyppejä tuetaan. Jos haluat käyttää EC-avainta, varmista, että parametri "Endpoint Advanced Encryption Algorithms Support" (osoitteessa System > Enterprise parameter) on käytössä.

Lisätietoja CAPF:stä ja siihen liittyvistä määrityksistä on seuraavissa asiakirjoissa:

Turvallisuusprofiili

Määrittää, onko puhelin suojaamaton, todennettu, salattu vai suojattu. Muut taulukon merkinnät kuvaavat tietoturvaominaisuuksia.

Salatut konfiguraatiotiedostot

Voit varmistaa puhelimen asetustiedostojen yksityisyyden.

Valinnainen verkkopalvelimen poistaminen käytöstä puhelimesta

Turvallisuussyistä voit estää pääsyn puhelimen verkkosivuille (joilla näytetään puhelimen erilaisia toimintatilastoja) ja Self Care Portal -portaaliin.

Puhelimen kovettuminen

Lisäsuojausasetukset, joita voit hallita Cisco Unified Communications Managerin hallinnasta:

  • PC-portin poistaminen käytöstä
  • Gratuitous ARP (GARP) -toiminnon poistaminen käytöstä
  • PC Voice VLAN -yhteyden poistaminen käytöstä
  • Asetukset-valikon käytön estäminen tai rajoitetun käytön tarjoaminen.
  • Puhelimen verkkosivujen käytön poistaminen käytöstä
  • Bluetooth-lisälaiteportin poistaminen käytöstä
  • TLS-salausten rajoittaminen

802.1X-todennus

Cisco IP Phone voi käyttää 802.1X-todennusta verkon käyttöoikeuden pyytämiseen ja saamiseen. Lisätietoja on osoitteessa 802.1X-todennus .

SRST:n turvallinen SIP-viansiirto

Kun olet määrittänyt Survivable Remote Site Telephony (SRST) -viitteen suojausta varten ja nollannut riippuvaiset laitteet Cisco Unified Communications Managerin hallinnassa, TFTP-palvelin lisää SRST-varmenteen puhelimen cnf.xml-tiedostoon ja lähettää tiedoston puhelimeen. Tämän jälkeen suojattu puhelin käyttää TLS-yhteyttä vuorovaikutukseen SRST-yhteensopivan reitittimen kanssa.

Signaalin salaus

Varmistaa, että kaikki laitteen ja Cisco Unified Communications Manager -palvelimen välillä lähetettävät SIP-signalointiviestit salataan.

Luottoluettelon päivityshälytys

Kun luottamusluettelo päivittyy puhelimessa, Cisco Unified Communications Manager saa hälytyksen, joka ilmoittaa päivityksen onnistumisesta tai epäonnistumisesta. Katso lisätietoja seuraavasta taulukosta.

AES 256 -salaus

Kun puhelimet on liitetty Cisco Unified Communications Manager Release 10.5(2):een tai uudempaan versioon, puhelimet tukevat AES 256 -salaustukea TLS:lle ja SIP:lle signalointia ja mediasalausta varten. Näin puhelimet voivat aloittaa ja tukea TLS 1.2 -yhteyksiä käyttämällä AES-256-pohjaisia salakirjoituksia, jotka ovat SHA-2 (Secure Hash Algorithm) -standardien mukaisia ja FIPS (Federal Information Processing Standards) -standardien mukaisia. Salakirjoitukset ovat seuraavat:

  • TLS-yhteyksiä varten:
    • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • sRTP:n osalta:
    • AEAD_AES_256_GCM
    • AEAD_AES_128_GCM

Lisätietoja on Cisco Unified Communications Managerin dokumentaatiossa.

ECDSA-varmenteet (Elliptic Curve Digital Signature Algorithm - ECDSA-varmenteet)

Osana Common Criteria (CC) -sertifiointia Cisco Unified Communications Manager on lisännyt ECDSA-varmenteet versioon 11.0. Tämä koskee kaikkia Voice Operating System (VOS) -tuotteita, joissa käytetään CUCM 11.5:tä ja uudempia versioita.

Monipalvelin (SAN) Tomcat-sertifikaatti Cisco UCM:n kanssa

Puhelin tukee Cisco UCM:ää, kun siihen on määritetty monipalvelin (SAN) Tomcat-varmenteet. Oikea TFTP-palvelimen osoite löytyy puhelimen ITL-tiedostosta puhelimen rekisteröintiä varten.

Lisätietoja ominaisuudesta on seuraavassa:

Seuraavassa taulukossa on luottamusluettelon päivityshälytysviestit ja niiden merkitys. Lisätietoja on Cisco Unified Communications Managerin dokumentaatiossa.

Taulukko 2. Luottoluettelon päivityksen hälytysviestit
Koodi ja viesti Kuvaus

1 - TL_MENESTYS

Saatu uusi CTL ja/tai ITL

2 - CTL_INITIAL_SUCCESS

Vastaanotettu uusi CTL, ei olemassa olevaa TL:ää

3 - ITL_ALUSTAVA_ONNISTUMINEN

Saatu uusi ITL, ei olemassa olevaa TL:ää

4 - TL_ALUSTAVA_ONNISTUMINEN

Vastaanotettu uusi CTL ja ITL, ei olemassa olevaa TL:ää.

5 - TL_EPÄONNISTUNUT_VANHA_CTL

Päivitys uuteen CTL:ään epäonnistui, mutta minulla on edellinen TL:n versio

6 - TL_EPÄONNISTUI_EI_TL TL

Päivitys uuteen TL:ään epäonnistui, eikä minulla ole vanhaa TL:ää.

7 - TL_VIKAANTUNUT

Yleinen epäonnistuminen

8 - TL_EPÄONNISTUNUT_VANHA_ITL

Päivitys uuteen ITL:ään epäonnistui, mutta aiempi TL on tallella.

9 - TL_EPÄONNISTUNUT_VANHA_TL

Päivitys uuteen TL:ään epäonnistui, mutta minulla on edellinen TL.

Security Setup (Suojausasetukset) -valikossa on tietoja erilaisista suojausasetuksista. Valikosta pääsee myös Luottoluettelo-valikkoon, ja se ilmoittaa, onko puhelimeen asennettu CTL- vai ITL-tiedosto.

Seuraavassa taulukossa kuvataan Security Setup -valikon vaihtoehdot.

Taulukko 3. Turva-asetusvalikko

Vaihtoehto

Kuvaus

Muuta

Turvatila

Näyttää puhelimelle asetetun suojaustilan.

Valitse Cisco Unified Communications Managerin hallinnasta Laite > Puhelin. Asetus näkyy Puhelimen kokoonpano -ikkunan protokollakohtaiset tiedot -osiossa.

LSC

Ilmaisee, onko puhelimeen asennettu paikallisesti merkittävä varmenne, jota käytetään suojausominaisuuksissa (Asennettu) vai ei ole asennettu puhelimeen (Ei asennettu).

Tietoja puhelimen LSC:n hallinnasta on Cisco Unified Communications Manager -version dokumentaatiossa.

Paikallisesti merkittävän sertifikaatin (LSC) perustaminen

Tämä tehtävä koskee LSC:n määrittämistä todennusmerkkijonomenetelmällä.

Ennen kuin aloitat

Varmista, että asianmukaiset Cisco Unified Communications Managerin ja CAPF (Certificate Authority Proxy Function) -suojausmääritykset on tehty:

  • CTL- tai ITL-tiedostossa on CAPF-varmenne.

  • Tarkista Cisco Unified Communications -käyttöjärjestelmän hallinnassa, että CAPF-varmenne on asennettu.

  • CAPF on käynnissä ja konfiguroitu.

Lisätietoja näistä asetuksista on Cisco Unified Communications Managerin julkaisun dokumentaatiossa.

1

Hanki CAPF-todennuskoodi, joka asetettiin, kun CAPF määritettiin.

2

Paina puhelimessa Asetukset Asetusten kova näppäin.

3

Anna pyydettäessä salasana, jotta pääset Asetukset -valikkoon. Saat salasanan järjestelmänvalvojalta.

4

Siirry osoitteeseen Verkko ja palvelu > Suojausasetukset > LSC.

Voit hallita Asetukset-valikon käyttöoikeuksia käyttämällä Cisco Unified Communications Manager Administration -ohjelman Settings Access -kenttää.

5

Kirjoita todennusmerkkijono ja valitse Lähetä.

Puhelin aloittaa LSC:n asentamisen, päivittämisen tai poistamisen sen mukaan, miten CAPF on määritetty. Kun toimenpide on valmis, puhelimessa näkyy Asennettu tai Ei asennettu.

LSC:n asennus-, päivitys- tai poistoprosessi voi kestää kauan.

Kun puhelimen asennus on onnistunut, näyttöön tulee viesti Installed . Jos puhelimen näyttöön tulee Not Installed, valtuutusmerkkijono voi olla virheellinen tai puhelimen päivitys ei ole käytössä. Jos CAPF-toiminto poistaa LSC:n, puhelimessa näkyy Not Installed osoituksena siitä, että toiminto onnistui. CAPF-palvelin kirjaa virheilmoitukset. Katso CAPF-palvelimen dokumentaatio lokien löytämiseksi ja virheilmoitusten merkityksen ymmärtämiseksi.

Ota FIPS-tila käyttöön

1

Valitse Cisco Unified Communications Manager Administration -ohjelmassa Device > Phone ja etsi puhelin.

2

Siirry osoitteeseen Product Specific Configuration .

3

Aseta FIPS Mode -kentän arvoksi Enabled.

4

Valitse Tallenna.

5

Valitse Apply Config.

6

Käynnistä puhelin uudelleen.

Sammuta puhelimen kaiutin, kuuloke ja luuri.

Voit kytkeä puhelimen kaiutinpuhelimen, kuulokkeen ja luurin pysyvästi pois päältä käyttäjän osalta.

1

Valitse Cisco Unified Communications Manager Administration -ohjelmassa Device > Phone ja etsi puhelin.

2

Siirry osoitteeseen Product Specific Configuration .

3

Merkitse yksi tai useampi seuraavista valintaruuduista, jos haluat poistaa puhelimen ominaisuudet käytöstä:

  • Kaiutinpuhelimen poistaminen käytöstä
  • Kaiutinpuhelimen ja kuulokkeiden poistaminen käytöstä
  • Poista luuri käytöstä

Oletusarvoisesti nämä valintaruudut eivät ole valittuna.

4

Valitse Tallenna.

5

Valitse Apply Config.

802.1X-todennus

Ciscon IP-puhelimet tukevat 802.1X-todennusta.

Ciscon IP-puhelimet ja Ciscon Catalyst-kytkimet käyttävät perinteisesti Cisco Discovery Protocol (CDP) -protokollaa toistensa tunnistamiseen ja parametrien, kuten VLAN-jakamisen ja verkkovirtavaatimusten, määrittämiseen. CDP ei tunnista paikallisesti liitettyjä työasemia. Ciscon IP-puhelimet tarjoavat EAPOL pass-through -mekanismin. Tämän mekanismin avulla Cisco IP Phone -puhelimeen liitetty työasema voi välittää EAPOL-viestejä LAN-kytkimen 802.1X-todentajalle. Pass-through-mekanismi varmistaa, että IP-puhelin ei toimi LAN-kytkimenä, joka todentaa datapäätteen ennen verkkoon pääsyä.

Ciscon IP-puhelimet tarjoavat myös EAPOL-kirjautumisen välitysmekanismin. Jos paikallisesti liitetty tietokone katkaisee yhteyden IP-puhelimeen, LAN-kytkin ei näe fyysisen linkin katkeavan, koska LAN-kytkimen ja IP-puhelimen välinen yhteys säilyy. Jotta verkon eheys ei vaarantuisi, IP-puhelin lähettää EAPOL-Logoff-viestin kytkimelle jatkokäytössä olevan PC:n puolesta, mikä käynnistää LAN-kytkimen tyhjentämään jatkokäytössä olevan PC:n todennustietueen.

802.1X-todennuksen tukeminen edellyttää useita komponentteja:

  • Cisco IP-puhelin: Puhelin käynnistää pyynnön päästä verkkoon. Ciscon IP-puhelimet sisältävät 802.1X-suplikantin. Tämän supplicantin avulla verkonvalvojat voivat valvoa IP-puhelinten liitettävyyttä LAN-kytkinportteihin. Puhelimen 802.1X-suplikantin nykyinen versio käyttää verkkotodennukseen EAP-FAST- ja EAP-TLS-vaihtoehtoja.

  • Tunnistuspalvelin: Sekä todennuspalvelimelle että kytkimelle on määritettävä jaettu salaisuus, jolla puhelin todennetaan.

  • Vaihda: Kytkimen on tuettava 802.1X:ää, jotta se voi toimia todentajana ja välittää viestejä puhelimen ja todennuspalvelimen välillä. Kun vaihto on päättynyt, kytkin joko myöntää tai estää puhelimen pääsyn verkkoon.

802.1X:n määrittäminen edellyttää seuraavia toimenpiteitä.

  • Määritä muut komponentit ennen kuin otat 802.1X-todennuksen käyttöön puhelimessa.

  • Määritä PC-portti: 802.1X-standardissa ei oteta huomioon VLANeja, joten siinä suositellaan, että vain yksi laite todennetaan tiettyyn kytkinporttiin. Jotkin kytkimet tukevat kuitenkin monialuetunnistusta. Kytkinmääritys määrittää, voitko liittää tietokoneen puhelimen PC-porttiin.

    • Käytössä: Jos käytät kytkintä, joka tukee monialuetunnistusta, voit ottaa PC-portin käyttöön ja liittää siihen tietokoneen. Tässä tapauksessa Ciscon IP-puhelimet tukevat välityspalvelinta EAPOL-Logoff, jolla valvotaan kytkimen ja liitetyn tietokoneen välistä todennusvaihtoa.

      Lisätietoja IEEE 802.1X -tuesta Cisco Catalyst -kytkimissä on Cisco Catalyst -kytkinten konfigurointioppaissa osoitteessa:

      http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

    • Vammainen: Jos kytkin ei tue useita 802.1X-yhteensopivia laitteita samassa portissa, PC-portti on poistettava käytöstä, kun 802.1X-todennus on käytössä. Jos et poista tätä porttia käytöstä ja yrität sitten liittää siihen tietokoneen, kytkin estää sekä puhelimen että tietokoneen pääsyn verkkoon.

  • Määritä Voice VLAN: Koska 802.1X-standardi ei ota huomioon VLANeja, tämä asetus on määritettävä kytkimen tuen perusteella.
    • Käytössä: Jos käytät kytkintä, joka tukee monialueista todennusta, voit jatkaa sen käyttöä ääni-VLAN:n avulla.
    • Vammainen: Jos kytkin ei tue monialueista todennusta, poista Voice VLAN käytöstä ja harkitse portin määrittämistä alkuperäiseen VLANiin.
  • (Vain Cisco Desk Phone 9800 Series -puhelimissa)

    Cisco Desk Phone 9800 Series -puhelimen PID-tunnisteessa on eri etuliite kuin muissa Ciscon puhelimissa. Jos haluat, että puhelimesi läpäisee 802.1X-todennuksen, aseta Radius-User-Name -parametrin arvoksi Cisco Desk Phone 9800 Series.

    Esimerkiksi puhelimen 9841 PID on DP-9841; voit asettaa Radius-User-Name Aloita DP tai Sisältää DP. Voit asettaa sen molemmissa seuraavissa kohdissa:

    • Politiikka > Ehdot > Kirjastoehdot

    • Policy > Policy Sets > Authorization Policy > Authorization Rule 1 (Valtuutussääntö 1)

Ota 802.1X-todennus käyttöön

Voit ottaa 802.1X-todennuksen käyttöön puhelimessa seuraavien ohjeiden mukaisesti:

1

Paina Asetukset Asetusten kova näppäin.

2

Anna pyydettäessä salasana, jotta pääset Asetukset -valikkoon. Saat salasanan järjestelmänvalvojalta.

3

Siirry osoitteeseen Verkko ja palvelu > Suojausasetukset > 802.1X-todennus.

4

Ota IEEE 802.1X -todennus käyttöön.

5

Valitse Apply.

Näytä tietoja puhelimen suojausasetuksista

Voit tarkastella tietoja suojausasetuksista puhelimen valikossa. Tietojen saatavuus riippuu organisaatiosi verkkoasetuksista.

1

Paina Asetukset Asetukset-näppäin.

2

Siirry osoitteeseen Verkko ja palvelu > Suojausasetukset.

3

Näytä seuraavat tiedot osoitteessa Suojausasetukset.

Taulukko 4. Turvallisuusasetusten parametrit

Parametrit

Kuvaus

Turvatila

Näyttää puhelimelle asetetun suojaustilan.

LSC

Ilmaisee, onko puhelimeen asennettu paikallisesti merkittävä varmenne, jota käytetään suojausominaisuuksissa (Kyllä) vai ei (Ei).

Luottoluettelo

Luottoluettelossa on CTL-, ITL- ja Signed Configuration -tiedostojen alavalikot.

CTL-tiedoston alivalikko näyttää CTL-tiedoston sisällön. ITL-tiedoston alivalikko näyttää ITL-tiedoston sisällön.

Luottoluettelo-valikossa näkyvät myös seuraavat tiedot:

  • CTL Allekirjoitus: CTL-tiedoston SHA1-hash-arvo
  • Unified CM/TFTP-palvelin: puhelimen käyttämän Cisco Unified Communications Managerin ja TFTP-palvelimen nimi. Näyttää varmenteen kuvakkeen, jos tälle palvelimelle on asennettu varmenne.
  • CAPF-palvelin: puhelimen käyttämän CAPF-palvelimen nimi. Näyttää varmenteen kuvakkeen, jos tälle palvelimelle on asennettu varmenne.
  • SRST-reititin: luotetun SRST-reitittimen IP-osoite, jota puhelin voi käyttää. Näyttää varmenteen kuvakkeen, jos tälle palvelimelle on asennettu varmenne.

Puhelinsoiton turvallisuus

Kun puhelimen suojaus on otettu käyttöön, voit tunnistaa suojatut puhelut puhelimen näytön kuvakkeista. Voit myös määrittää, onko yhdistetty puhelin suojattu ja suojattu, jos puhelun alussa kuuluu turvaääni.

Suojatussa puhelussa kaikki puhelun signalointi ja mediavirrat salataan. Suojattu puhelu tarjoaa korkean turvallisuustason, joka takaa puhelun eheyden ja yksityisyyden. Kun käynnissä oleva puhelu on salattu, näet linjalla suojatun kuvakkeen lukituskuvake suojattua puhelua varten . Jos puhelin on suojattu, voit myös tarkastella todennettu-kuvaketta tai salattu-kuvaketta yhdistetyn palvelimen vieressä puhelimen valikossa (Asetukset > Tietoja tästä laitteesta).

Jos puhelu ohjataan muiden kuin IP-puheluosuuksien, esimerkiksi PSTN:n, kautta, puhelu voi olla turvaton, vaikka se on salattu IP-verkossa ja siihen on liitetty lukituskuvake.

Suojatussa puhelussa puhelun alussa kuuluu suojaääni, joka osoittaa, että myös toinen yhdistetty puhelin vastaanottaa ja lähettää suojattua ääntä. Jos puhelu yhdistyy puhelimeen, joka ei ole suojattu, turvaääni ei soi.

Suojattuja puheluita tuetaan vain kahden puhelimen välisissä yhteyksissä. Jotkin ominaisuudet, kuten neuvottelupuhelut ja jaetut linjat, eivät ole käytettävissä, kun turvapuhelut on määritetty.

Kun puhelin on määritetty suojatuksi (salatuksi ja luotetuksi) Cisco Unified Communications Managerissa, sille voidaan antaa suojattu -tila. Tämän jälkeen suojattu puhelin voidaan haluttaessa määrittää soittamaan merkkiääni puhelun alussa:

  • Suojattu laite: Jos haluat muuttaa suojatun puhelimen tilan suojatuksi, merkitse Suojattu laite -valintaruutu Cisco Unified Communications Manager Administration -ohjelman Puhelimen määritys -ikkunassa (Device > Phone).

  • Toista turvallisen ilmoituksen ääni: Jos haluat antaa suojatun puhelimen soittaa suojatun tai ei-turvallisen merkkiäänen, aseta Toista suojattu merkkiääni -asetuksen arvoksi True. Oletusarvoisesti Play Secure Indication Tone (Toista suojattu merkkiääni) -asetukseksi on asetettu False (Väärä). Asetat tämän vaihtoehdon Cisco Unified Communications Managerin hallinnassa (Järjestelmä > Palveluparametrit). Valitse palvelin ja sitten Unified Communications Manager -palvelu. Valitse Service Parameter Configuration (Palveluparametrien määritys) -ikkunassa Feature - Secure Tone (Ominaisuus - Suojattu ääni) -alueen vaihtoehto. Oletusarvo on False.

Turvallinen konferenssipuhelun tunnistus

Voit aloittaa suojatun neuvottelupuhelun ja valvoa osallistujien suojaustasoa. Suojattu neuvottelupuhelu muodostetaan tätä prosessia käyttämällä:

  1. Käyttäjä aloittaa konferenssin suojatusta puhelimesta.

  2. Cisco Unified Communications Manager määrittää puheluun suojatun konferenssisillan.

  3. Kun osallistujia lisätään, Cisco Unified Communications Manager tarkistaa kunkin puhelimen suojaustilan ja ylläpitää konferenssin suojaustasoa.

  4. Puhelin näyttää neuvottelupuhelun suojaustason. Suojatussa konferenssissa näkyy suojattu kuvake lukituskuvake suojattua puhelua varten.

Kahden puhelimen välillä tuetaan suojattuja puheluita. Suojatuissa puhelimissa jotkin toiminnot, kuten neuvottelupuhelut, jaetut linjat ja Laajennusliikkuvuus, eivät ole käytettävissä, kun suojattu soittaminen on määritetty.

Seuraavassa taulukossa on tietoja konferenssin suojaustasojen muutoksista riippuen aloituspuhelimen suojaustasosta, osallistujien suojaustasoista ja turvallisten konferenssisiltojen saatavuudesta.

Taulukko 5. Turvallisuusrajoitukset konferenssipuheluissa

Aloittajan puhelimen suojaustaso

Käytetty ominaisuus

Osallistujien turvallisuustaso

Toiminnan tulokset

Ei-turvallinen

Konferenssi

Turvallinen

Ei-turvallinen konferenssisilta

Ei-turvallinen konferenssi

Turvallinen

Konferenssi

Ainakin yksi jäsen on turvaton.

Turvallinen konferenssisilta

Ei-turvallinen konferenssi

Turvallinen

Konferenssi

Turvallinen

Turvallinen konferenssisilta

Turvallinen salattu tasokonferenssi

Ei-turvallinen

Tapaa minut

Vähimmäisturvataso on salattu.

Aloittaja vastaanottaa viestin Ei täytä suojaustasoa, puhelu hylätty.

Turvallinen

Tapaa minut

Vähimmäisturvataso on ei-turvallinen.

Turvallinen konferenssisilta

Konferenssi hyväksyy kaikki puhelut.

Turvallinen puhelinsoiton tunnistus

Suojattu puhelu muodostuu, kun puhelimesi ja toisessa päässä oleva puhelin on määritetty suojattua puhelua varten. Toinen puhelin voi olla samassa Ciscon IP-verkossa tai IP-verkon ulkopuolisessa verkossa. Suojatut puhelut voidaan soittaa vain kahden puhelimen välillä. Neuvottelupuhelujen pitäisi tukea suojattua puhelua suojatun konferenssisillan perustamisen jälkeen.

Suojattu puhelu muodostetaan tätä prosessia käyttäen:

  1. Käyttäjä aloittaa puhelun suojatusta puhelimesta (suojattu suojaustila).

  2. Puhelin näyttää puhelimen näytössä turvakuvakkeen lukituskuvake suojattua puhelua varten . Tämä kuvake osoittaa, että puhelin on määritetty suojattuja puheluita varten, mutta se ei tarkoita, että myös toinen yhdistetty puhelin on suojattu.

  3. Käyttäjä kuulee suojausäänen, jos puhelu yhdistyy toiseen suojattuun puhelimeen, mikä osoittaa, että keskustelun molemmat päät on salattu ja suojattu. Jos puhelu yhdistyy suojaamattomaan puhelimeen, käyttäjä ei kuule suojausääntä.

Kahden puhelimen välillä tuetaan suojattuja puheluita. Suojatuissa puhelimissa jotkin toiminnot, kuten neuvottelupuhelut, jaetut linjat ja Laajennusliikkuvuus, eivät ole käytettävissä, kun suojattu soittaminen on määritetty.

Vain suojatut puhelimet toistavat näitä suojattuja tai suojaamattomia merkkiääniä. Suojaamattomat puhelimet eivät koskaan soita ääniä. Jos puhelun kokonaistilanne muuttuu puhelun aikana, merkkiääni muuttuu ja suojattu puhelin antaa asianmukaisen äänimerkin.

Suojattu puhelin soittaa äänimerkin tai ei näissä olosuhteissa:

  • Kun Toista suojattu merkkiääni -vaihtoehto on käytössä:

    • Kun päästä päähän -suojattu media on muodostettu ja puhelun tila on suojattu, puhelin antaa suojatun merkkiäänen (kolme pitkää äänimerkkiä, joissa on tauko).

    • Kun päästä päähän ulottuva ei-suojattu media on muodostettu ja puhelun tila on ei-suojattu, puhelin antaa ei-suojattua merkkiääntä (kuusi lyhyttä äänimerkkiä, joissa on lyhyt tauko).

Jos Toista turvallisen ilmoituksen äänimerkki -vaihtoehto on poistettu käytöstä, äänimerkkiä ei toisteta.

Salauksen tarjoaminen proomulle

Cisco Unified Communications Manager tarkistaa puhelimen suojaustilan, kun konferensseja muodostetaan, ja muuttaa konferenssin suojausmerkintää tai estää puhelun loppuunsaattamisen järjestelmän eheyden ja turvallisuuden ylläpitämiseksi.

Käyttäjä ei voi tunkeutua salattuun puheluun, jos tunkeutumiseen käytettävää puhelinta ei ole määritetty salausta varten. Kun välitys epäonnistuu tässä tapauksessa, uudelleenjärjestysääni (nopea varattu) kuuluu siinä puhelimessa, josta välitys aloitettiin.

Jos aloittajan puhelin on määritetty salattavaksi, barge-käyttäjä voi käyttää salattua puhelinta salatun puhelimen ei-suojattuun puheluun. Kun esto tapahtuu, Cisco Unified Communications Manager luokittelee puhelun ei-suojatuksi.

Jos aloittajan puhelin on määritetty salausta varten, barge-aloittaja voi bargea salattuun puheluun, ja puhelin ilmoittaa, että puhelu on salattu.

WLAN-tietoturva

Koska kaikki kantaman sisällä olevat WLAN-laitteet voivat vastaanottaa kaiken muun WLAN-liikenteen, puheviestinnän turvaaminen on WLAN-verkoissa kriittisen tärkeää. Cisco SAFE Security -arkkitehtuuri tukee puhelinta sen varmistamiseksi, etteivät tunkeutujat voi manipuloida tai siepata puheliikennettä. Lisätietoja verkkojen tietoturvasta on osoitteessa http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscon langaton IP-puhelinratkaisu tarjoaa langattoman verkon suojauksen, joka estää luvattomat kirjautumiset ja vaarantuneen viestinnän käyttämällä seuraavia puhelimen tukemia todennusmenetelmiä:

  • Avoin tunnistus: Avoimessa järjestelmässä mikä tahansa langaton laite voi pyytää todennusta. Pyynnön vastaanottava AP voi myöntää todennuksen kenelle tahansa pyynnön esittäjälle tai vain käyttäjäluettelosta löytyville pyynnön esittäjille. Langattoman laitteen ja tukiaseman välinen viestintä voi olla salaamatonta.

  • Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Authentication: Tämä asiakas-palvelin-turva-arkkitehtuuri salaa EAP-transaktiot TLS-tunnelissa (Transport Level Security) AP:n ja RADIUS-palvelimen, kuten Identity Services Engine (ISE), välillä.

    TLS-tunnelissa käytetään suojattuja käyttöoikeustunnuksia (Protected Access Credentials, PAC) asiakkaan (puhelimen) ja RADIUS-palvelimen väliseen todennukseen. Palvelin lähettää AID-tunnuksen (Authority ID) asiakkaalle (puhelimelle), joka puolestaan valitsee sopivan PAC-tunnuksen. Asiakas (puhelin) palauttaa RADIUS-palvelimelle PAC-Opaque-viestin. Palvelin purkaa PAC-koodin ensisijaisella avaimella. Molemmissa päätepisteissä on nyt PAC-avain, ja TLS-tunneli on luotu. EAP-FAST tukee automaattista PAC-varmistusta, mutta se on otettava käyttöön RADIUS-palvelimessa.

    ISE:ssä PAC päättyy oletusarvoisesti viikon kuluttua. Jos puhelimella on vanhentunut PAC, todennus RADIUS-palvelimella kestää kauemmin, kun puhelin saa uuden PAC:n. Jos haluat välttää PAC-toiminnon käyttöönoton viivästymisen, aseta ISE- tai RADIUS-palvelimessa PAC-toiminnon vanhentumisajaksi 90 päivää tai enemmän.

  • EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) -todennus: EAP-TLS vaatii asiakkaan varmenteen todennusta ja verkkoon pääsyä varten. Langattomassa EAP-TLS:ssä asiakasvarmenne voi olla MIC-, LSC- tai käyttäjän asentama varmenne.

  • PEAP (Protected Extensible Authentication Protocol): Ciscon oma salasanaan perustuva keskinäinen todennusjärjestelmä asiakkaan (puhelimen) ja RADIUS-palvelimen välillä. Puhelin voi käyttää PEAP-todennusta langattoman verkon kanssa. Sekä PEAP-MSCHAPV2- että PEAP-GTC-todennusmenetelmiä tuetaan.

  • Pre-Shared Key (PSK): Puhelin tukee ASCII-muotoa. Tätä muotoa on käytettävä, kun määrität WPA/WPA2/SAE:n esijaetun avaimen:

    ASCII: ASCII-merkkijono, jonka pituus on 8-63 merkkiä (0-9, pienet ja isot kirjaimet A-Z sekä erikoismerkit).

    Esimerkki: GREG123567@9ZX&W

Seuraavat todennusjärjestelmät käyttävät RADIUS-palvelinta todennusavainten hallintaan:

  • WPA/WPA2/WPA3: Käyttää RADIUS-palvelimen tietoja luodakseen yksilöllisiä avaimia todennusta varten. Koska nämä avaimet luodaan keskitetyssä RADIUS-palvelimessa, WPA2/WPA3 tarjoaa paremman suojauksen kuin AP:hen ja puhelimeen tallennetut WPA:n ennalta jaetut avaimet.

  • Nopea turvallinen verkkovierailu: Käyttää RADIUS-palvelimen ja langattoman verkkotunnuspalvelimen (WDS) tietoja avainten hallintaan ja todennukseen. WDS luo välimuistiin FT-toiminnolla varustettujen asiakaslaitteiden suojaustiedot nopeaa ja turvallista uudelleentunnistautumista varten. Cisco Desk Phone 9861 ja 9871 sekä Cisco Video Phone 8875 tukevat 802.11r (FT) -standardia. Nopean ja turvallisen verkkovierailun mahdollistamiseksi tuetaan sekä ilmateitse että DS:n kautta tapahtuvaa verkkovierailua. Suosittelemme kuitenkin vahvasti 802.11r (FT) over air -menetelmän käyttämistä.

WPA/WPA2/WPA3:ssa salausavaimia ei syötetä puhelimeen, vaan ne johdetaan automaattisesti AP:n ja puhelimen välillä. Todentamiseen käytettävä EAP-käyttäjänimi ja salasana on kuitenkin syötettävä jokaiseen puhelimeen.

Puhelin tukee TKIP- ja AES-salausta ääniliikenteen turvallisuuden varmistamiseksi. Kun näitä mekanismeja käytetään salaukseen, sekä SIP-signaalipaketit että RTP-paketit (Real-Time Transport Protocol) salataan AP:n ja puhelimen välillä.

TKIP

WPA käyttää TKIP-salausta, jossa on useita parannuksia WEP:hen verrattuna. TKIP tarjoaa pakettikohtaisen avainsalausmenetelmän ja pidemmät alustusvektorit (IV), jotka vahvistavat salausta. Lisäksi viestin eheyden tarkistus (MIC) varmistaa, että salattuja paketteja ei muuteta. TKIP poistaa WEP:n ennustettavuuden, joka auttaa tunkeutujia tulkitsemaan WEP-avaimen.

AES

WPA2/WPA3-todennuksessa käytettävä salausmenetelmä. Tässä kansallisessa salausstandardissa käytetään symmetristä algoritmia, jossa on sama avain salaukseen ja salauksen purkamiseen. AES käyttää 128 bitin kokoista CBC-salausta (Cipher Blocking Chain), joka tukee vähintään 128, 192 ja 256 bitin avainkokoja. Puhelin tukee 256 bitin avainkokoa.

Cisco Desk Phone 9861 ja 9871 sekä Cisco Video Phone 8875 eivät tue CKIP-protokollaa (Cisco Key Integrity Protocol) CMIC:n kanssa.

Langattomaan lähiverkkoon otetaan käyttöön tunnistus- ja salausjärjestelmät. VLANit määritetään verkossa ja AP-laitteissa, ja niissä määritetään erilaisia todennus- ja salausyhdistelmiä. SSID liittyy VLANiin ja tiettyyn todennus- ja salausjärjestelmään. Jotta langattomien asiakaslaitteiden todennus onnistuisi, sinun on määritettävä samat SSID-tunnukset ja niiden todennus- ja salausjärjestelyt AP-laitteisiin ja puhelimeen.

Jotkin todennusjärjestelmät edellyttävät erityyppistä salausta.

  • Kun käytät WPA:n ennalta jaettua avainta, WPA2:n ennalta jaettua avainta tai SAE:tä, ennalta jaettu avain on asetettava puhelimeen staattisesti. Näiden avainten on vastattava AP:ssä olevia avaimia.

  • Puhelin tukee automaattista EAP-neuvottelua FAST- tai PEAP-yhteydelle, mutta ei TLS:lle. EAP-TLS-tilassa se on määritettävä.

Seuraavassa taulukossa esitetyt todennus- ja salausjärjestelyt osoittavat puhelimen verkkokokoonpanovaihtoehdot, jotka vastaavat AP-kokoonpanoa.

Taulukko 6. Tunnistus- ja salausjärjestelmät
FSR-tyyppiTodennusAvainten hallintaSalausSuojattu hallintakehys (PMF)
802.11r (FT)PSK

WPA-PSK

WPA-PSK-SHA256

FT-PSK

AESEi
802.11r (FT)WPA3

SAE

FT-SAE

AESKyllä
802.11r (FT)EAP-TLS

WPA-EAP

FT-EAP

AESEi
802.11r (FT)EAP-TLS (WPA3)

WPA-EAP-SHA256

FT-EAP

AESKyllä
802.11r (FT)EAP-FAST

WPA-EAP

FT-EAP

AESEi
802.11r (FT)EAP-FAST (WPA3)

WPA-EAP-SHA256

FT-EAP

AESKyllä
802.11r (FT)EAP-PEAP

WPA-EAP

FT-EAP

AESEi
802.11r (FT)EAP-PEAP (WPA3)

WPA-EAP-SHA256

FT-EAP

AESKyllä

Langattoman lähiverkon profiilin määrittäminen

Voit hallita langattoman verkon profiilia määrittämällä tunnistetiedot, taajuusalueen, todennusmenetelmän ja niin edelleen.

Pidä seuraavat huomautukset mielessä ennen WLAN-profiilin määrittämistä:

  • Käyttäjätunnus ja salasana

    • Kun verkko käyttää EAP-FASTia ja PEAPia käyttäjän todennukseen, sinun on määritettävä sekä käyttäjänimi että salasana tarvittaessa RADIUS-käyttäjän etätunnistuspalveluun (Remote Authentication Dial-In User Service) ja puhelimeen.

    • Langattoman lähiverkon profiiliin syötettävien tunnistetietojen on oltava samat kuin RADIUS-palvelimeen määritetyt tunnistetiedot.

    • Jos käytät verkkotunnuksia verkossasi, sinun on annettava käyttäjätunnus verkkotunnuksen nimen kanssa muodossa: verkkotunnus\käyttäjätunnus.

  • Seuraavat toimet voivat johtaa nykyisen Wi-Fi-salasanan poistamiseen:

    • Virheellisen käyttäjätunnuksen tai salasanan syöttäminen
    • Pätemättömän tai vanhentuneen Root CA:n asentaminen, kun EAP-tyypiksi on asetettu PEAP-MSCHAPV2 tai PEAP-GTC.
    • Käytössä olevan EAP-tyypin poistaminen käytöstä RADIUS-palvelimessa ennen puhelimen vaihtamista uuteen EAP-tyyppiin.
  • Jos haluat vaihtaa EAP-tyyppiä, varmista, että otat uuden EAP-tyypin käyttöön RADIUS-palvelimessa ensin ja vaihdat sitten puhelimen EAP-tyyppiin. Kun kaikki puhelimet on vaihdettu uuteen EAP-tyyppiin, voit halutessasi poistaa edellisen EAP-tyypin käytöstä.
1

Valitse Cisco Unified Communications Managerin hallinnassa Laite > Laiteasetukset > Langattoman lähiverkon profiili.

2

Valitse verkkoprofiili, jonka haluat määrittää.

3

Määritä parametrit.

4

Napsauta Tallenna.

SCEP-parametrien määrittäminen

SCEP (Simple Certificate Enrollment Protocol) on standardi varmenteiden automaattista käyttöönottoa ja uusimista varten. SCEP-palvelin voi ylläpitää käyttäjä- ja palvelinvarmenteita automaattisesti.

Seuraavat SCEP-parametrit on määritettävä puhelimen verkkosivulla.

  • RA IP-osoite

  • SCEP-palvelimen päävarmentajan varmenteen SHA-1- tai SHA-256-sormenjälki.

Cisco IOS:n rekisteröintiviranomainen (RA) toimii SCEP-palvelimen välittäjänä. Puhelimen SCEP-asiakas käyttää Cisco Unified Communication Managerista ladattuja parametreja. Kun olet määrittänyt parametrit, puhelin lähettää SCEP getcs -pyynnön RA:lle, ja CA:n juurivarmenne validoidaan määritetyn sormenjäljen avulla.

Ennen kuin aloitat

Määritä SCEP-rekisteröintiagentti (RA) SCEP-palvelimella seuraavasti:

  • Toimii PKI:n luottamuspisteenä
  • Toimii PKI RA:na
  • Laitteen todennus RADIUS-palvelimen avulla

Lisätietoja on SCEP-palvelimen dokumentaatiossa.

1

Valitse Cisco Unified Communications Managerin hallinnasta Laite > Puhelin.

2

Etsi puhelin.

3

Siirry kohtaan Product Specific Configuration Layout .

4

Aktivoi SCEP-parametri valitsemalla WLAN SCEP Server -valintaruutu.

5

Aktivoi SCEP QED -parametri valitsemalla WLAN Root CA Fingerprint (SHA256 tai SHA1) -valintaruutu.

Määritä tuetut TLS-versiot

Voit määrittää TLS:n vähimmäisversion, joka vaaditaan asiakkaalta ja palvelimelta.

Oletusarvoisesti sekä palvelimen että asiakkaan TLS-versio on vähintään 1.2. Asetuksella on vaikutuksia seuraaviin toimintoihin:

  • HTTPS-verkkoliitäntä
  • Tiloissa olevan puhelimen käyttöönotto
  • Mobiili- ja etäyhteyksien käyttöönotto (MRA)
  • HTTPS-palvelut, kuten hakemistopalvelut.
  • Datagram Transport Layer Security (DTLS)
  • Port Access Entity (PAE)
  • Laajennettava todennusprotokolla - kuljetuskerroksen tietoturva (EAP-TLS)

Lisätietoja Ciscon IP-puhelinten TLS 1.3 -yhteensopivuudesta on osoitteessa TLS 1.3 Compatibility Matrix for Cisco Collaboration Products.

1

Kirjaudu Cisco Unified Communications Manager Administration -palveluun järjestelmänvalvojana.

2

Siirry johonkin seuraavista ikkunoista:

  • Järjestelmä > Enterprise Phone Configuration (Yrityspuhelimen määritys)
  • Laite > Laiteasetukset > Yhteinen puhelinprofiili.
  • Laite > Puhelin > Puhelimen konfigurointi
3

Määritä TLS Client Min Version -kenttä:

TLS 1.3 -vaihtoehto on käytettävissä Cisco Unified CM 15SU2:ssa tai uudemmissa versioissa.
  • TLS 1.1: TLS-asiakasohjelma tukee TLS-versioita 1.1-1.3.

    Jos palvelimen TLS-versio on pienempi kuin 1.1, esimerkiksi 1.0, yhteyttä ei voida muodostaa.

  • TLS 1.2 (oletus): TLS-asiakasohjelma tukee TLS 1.2 ja 1.3 -standardeja.

    Jos palvelimen TLS-versio on pienempi kuin 1.2, esimerkiksi 1.1 tai 1.0, yhteyttä ei voida muodostaa.

  • TLS 1.3: TLS-asiakasohjelma tukee vain TLS 1.3:aa.

    Jos palvelimen TLS-versio on pienempi kuin 1.3, esimerkiksi 1.2, 1.1 tai 1.0, yhteyttä ei voida muodostaa.

4

Määritä TLS Server Min Version -kenttä:

  • TLS 1.1: TLS-palvelin tukee TLS-versioita 1.1-1.3.

    Jos asiakkaan TLS-versio on pienempi kuin 1.1, esimerkiksi 1.0, yhteyttä ei voida muodostaa.

  • TLS 1.2 (oletus): TLS-palvelin tukee TLS 1.2 ja 1.3 -standardeja.

    Jos asiakkaan TLS-versio on pienempi kuin 1.2, esimerkiksi 1.1 tai 1.0, yhteyttä ei voida muodostaa.

  • TLS 1.3: TLS-palvelin tukee vain TLS 1.3:aa.

    Jos asiakkaan TLS-versio on pienempi kuin 1.3, esimerkiksi 1.2, 1.1 tai 1.0, yhteyttä ei voida muodostaa.

PhoneOS 3.2 -julkaisusta alkaen kentän "Disable TLS 1.0 and TLS 1.1 for Web Access" (TLS 1.0 ja TLS 1.1 pois käytöstä verkkokäyttöä varten) asetus ei vaikuta puhelimissa.
5

Napsauta Tallenna.

6

Napsauta Apply Config.

7

Käynnistä puhelimet uudelleen.

Vakuutetut palvelut SIP

Assured Services SIP (AS-SIP) on kokoelma ominaisuuksia ja protokollia, jotka tarjoavat erittäin turvallisen puheluvirran Ciscon IP-puhelimille ja kolmannen osapuolen puhelimille. Seuraavat ominaisuudet tunnetaan yhteisnimellä AS-SIP:

  • Monitasoinen etusija ja etuoikeus (MLPP)
  • Eriytettyjen palvelujen koodipiste (DSCP)
  • TLS (Transport Layer Security) ja SRTP (Secure Real-time Transport Protocol).
  • Internet-protokollan versio 6 (IPv6)

AS-SIP:tä käytetään usein monitasoisen etusijajärjestyksen ja etuoikeuden (MLPP) kanssa puhelujen priorisoimiseksi hätätilanteessa. MLPP:n avulla voit määrittää lähteville puheluille prioriteettitason tasosta 1 (matala) tasoon 5 (korkea). Kun vastaanotat puhelun, puhelimessa näkyy etuoikeustason kuvake, joka osoittaa puhelun prioriteetin.

Suorita seuraavat tehtävät Cisco Unified Communications Managerissa AS-SIP:n määrittämiseksi:

  • Digest-käyttäjän määrittäminen - Määritä loppukäyttäjä käyttämään digest-todennusta SIP-pyyntöihin.
  • Määritä SIP-puhelimen suojattu portti - Cisco Unified Communications Manager käyttää tätä porttia kuunnellakseen SIP-puhelimia SIP-linjojen rekisteröintiä varten TLS:n kautta.
  • Käynnistä palvelut uudelleen - Kun olet määrittänyt suojatun portin, käynnistä Cisco Unified Communications Manager ja Cisco CTL Provider -palvelut uudelleen. Määritä SIP-profiili AS-SIP:lle - Määritä SIP-profiili, jossa on SIP-asetukset AS-SIP-päätelaitteille ja SIP-punkeille. Puhelinkohtaisia parametreja ei ladata kolmannen osapuolen AS-SIP-puhelimeen. Niitä käyttää vain Cisco Unified Manager. Kolmannen osapuolen puhelimien on määritettävä samat asetukset paikallisesti.
  • Puhelimen suojausprofiilin määrittäminen AS-SIP:lle - Voit määrittää puhelimen suojausprofiilin avulla suojausasetuksia, kuten TLS, SRTP ja digest-todennus.
  • AS-SIP-päätepisteen määrittäminen - Määritä Cisco IP Phone -puhelin tai kolmannen osapuolen päätepiste, jossa on AS-SIP-tuki.
  • Liitä laite loppukäyttäjään - Liitä päätelaite käyttäjään.
  • SIP-trunkkisuojaprofiilin määrittäminen AS-SIP:lle - Voit käyttää sip-trunkkisuojaprofiilia määrittääksesi SIP-trunkkisuojausominaisuuksia, kuten TLS- tai digest-todennuksen, SIP-trunkkisuojaukseen.
  • Määritä SIP-trunkki AS-SIP:lle - Määritä SIP-trunkki AS-SIP-tuella.
  • AS-SIP-ominaisuuksien määrittäminen - Määritä AS-SIP:n lisäominaisuuksia, kuten MLPP, TLS, V.150 ja IPv6.

Yksityiskohtaisia tietoja AS-SIP:n määrittämisestä on luvussa "Configure AS-SIP Endpoints" (AS-SIP-päätepisteiden määrittäminen) osoitteessa Feature Configuration Guide for Cisco Unified Communications Manager.

Monitasoinen etusija ja etuoikeus

MLPP (Multilevel Precedence and Preemption) mahdollistaa puheluiden priorisoinnin hätätilanteissa tai muissa kriisitilanteissa. Voit määrittää lähteville puheluille prioriteetin, joka vaihtelee välillä 1-5. Saapuvissa puheluissa näkyy kuvake ja puhelun prioriteetti. Tunnistetut käyttäjät voivat estää puhelut joko kohdeasemille tai täysin tilattujen TDM-puhelinliittymien kautta.

Tämä kyky takaa korkea-arvoisen henkilöstön yhteydenpidon kriittisiin organisaatioihin ja henkilöstöön.

MLPP:tä käytetään usein yhdessä Assured Services SIP (AS-SIP) -palvelun kanssa. Yksityiskohtaisia tietoja MLPP:n määrittämisestä on luvussa Configure Multilevel Precedence and Preemption osoitteessa Feature Configuration Guide for Cisco Unified Communications Manager.