Cisco IP-puhelimen suojaus 9800/8875 (Unified CM)

Voit ottaa käyttöön toiminn Cisco Unified Communications Manager on parannetussa tietoturvaympäristössä. Näiden parannusten ansiosta puhelinverkkosi toimii tiukkojen turvallisuus- ja riskienhallinnan valvontatoimenpiteiden alaisena suojaamaan sinua ja käyttäjiäsi.

Parannettu tietoturvaympäristö sisältää seuraavat ominaisuudet:

Yhteystietojen haun todennus (vain mukautetuille hakemist oille)
TCP oletusprotokollana etävalvonnan kirjaamiseen
FIPS-tila
Parannettu valtakirjapolitiikka
Tuki SHA-2-hajautusperheelle digitaalisille allekirjoituksille
Tuki RSA-avaimen kokolle 512 bittiä ja 4096 bittiä

Ver Cisco Unified Communications Manager sio 14.0 ja Cisco Video Phone Firmware Release 2.1 ja uudemmat puhelimet tukevat SIP OAuth -todennusta.

OAuthia tuetaan Proxy Trivial File Transfer Protocol (TFTP) -versiossa, jossa Cisco Unified Communications Manager on versio 14.0 (1) SU1 tai uudempi. Välityspalvelimen TFTP ja OAuth välityspalvelimen TFTP: lle ei tueta mobiil Remote Access ilaitteissa (MRA).

Lisätietoja turvallisuudesta on seuraavassa kohdassa:

Järjestelmän kokoonpano-opas Cisco Unified Communications Manager, versio 14.0 (1) tai uudempi (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-installation-and-configuration-guides-list.html).
Tietoturvaopas Cisco Unified Communications Manager (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-maintenance-guides-list.html)

Puhelimesi voi tallentaa vain rajoitetun määrän ITL-tiedostoja (Identity Trust List). ITL-tiedostot eivät voi ylittää 64K puhelimessa, joten rajoita puhelimeen lähetettävien Cisco Unified Communications Manager tiedostojen määrää.

Tuetut suojausominaisuudet

Suojausominaisuudet suojaavat uhilta, mukaan lukien puhelimen identiteettiin ja tietoihin kohdistuvia uhkia. Nämä ominaisuudet luovat ja ylläpitävät todennettuja viestintävirtoja puhelimen ja Cisco Unified Communications Manager palvelimen välillä ja varmistavat, että puhelin käyttää vain digitaalisesti allekirjoitettuja tiedostoja.

Cisco Unified Communications ManagerVersio 8.5 (1) ja uudempi sisältää oletusarvoisesti tietotur van, joka sisältää seuraavat suojausominaisuudet Ciscon IP-puhelimille ilman CTL- asiakasohjelmaa:

Puhelimen määritystiedostojen allekirjoittaminen
Puhelimen määritystiedoston salaus
HTTPS Tomcatin ja muiden verkkopalvelujen kanssa

Suojatut signalointi- ja mediaominaisuudet edellyttävät silti CTL-asiakasohjelman suorittamista ja laitteiston eTokenien käyttöä.

Tietoturvan käyttöönotto Cisco Unified Communications Manager järjestelmään estää puhelimen ja Cisco Unified Communications Manager palvel imen identiteettivarkaudet, estää tietojen peukaloinnin ja estää puhelun signaloinnin ja mediavirran peukaloinnin.

Näiden uhkien lievittämiseksi Ciscon IP-puhelinverkko luo ja ylläpitää suojattuja (salattuja) viestintävirtoja puhelimen ja palvelimen välillä, allekirjoittaa tiedostot digitaalisesti ennen niiden siirtämistä puhelimeen ja salaa mediavirrat ja puhelun signaloinnin Ciscon IP-puhelimien välillä.

Paikallisesti merkittävä varmenne (LSC) asennetaan puhelimiin sen jälkeen, kun olet suorittanut Certificate Authority välityspalvelintoimintoon (CAPF) liittyvät tehtävät. Voit Cisco Unified Communications Manager Administration määrittää LSC:n suojausoppaassa kuvatulla Cisco Unified Communications Manager tavalla. Vaihtoehtoisesti voit aloittaa LSC: n asennuksen puhelimen Suojausasetukset-valikosta. Tämän valikon avulla voit myös päivittää tai poistaa LSC: n.

PhoneOS 3.2 -julkaisusta lähtien LSC: tä voidaan käyttää EAP-TLS: n käyttäjävarmenteena WLAN-todennuksella.

Puhelimet käyttävät puhelimen suojausprofiilia, joka määrittää, onko laite turvaton vai suojattu . Lisätietoja suojausprofiilin käyttämisestä puhelimeen on kyseisen Cisco Unified Communications Manager julkaisun ohjeissa.

Jos määrität tietoturvaan liittyvät asetuksetCisco Unified Communications Manager Administration, puhelimen määritystiedosto sisältää arkaluonteisia tietoja. Määritystiedoston yksityisyyden varmistamiseksi sinun on määritettävä se salausta varten. Yksityiskohtaisia tietoja on kyseisen Cisco Unified Communications Manager julkaisun dokumentaatiossa.

Puhelin on liittovaltion tietojenkäsittelystandardin (FIPS) mukainen. Jotta FIPS-tila toimii oikein, näppäimen koon on oltava vähintään 2048 bittiä. Jos varmenne on pienempi kuin 2048 bittiä, puhelin ei rekisterö Cisco Unified Communications Manager idy eikä puhelin rekisteröitynyt. Cert-näppäimen koko ei ole FIPS-yhteen sopiva puhelimen näyttö.

Jos puhelimessa on LSC, sinun on päivitettävä LSC-näppäimen koko 2048 bittiin tai suuremmaksi ennen FIPS:n käyttöönottoa.

Seuraavassa taulukossa on yleiskatsaus puhelimien tukemista suojausominaisu uksista. Lisätietoja on kyseisen Cisco Unified Communications Manager julkaisun dokumentaatiossa.

Voit tarkastella suojaustilaa painamalla Aset ukset Asetukset-kovanäppäin ja siirtymällä kohtaan Verkko ja palvelu > Suojausasetukset.

Taulukko 1. Yleiskatsaus suojausominaisuuksiin
Ominaisuus	Kuvaus
Kuvan todennus	Allekirjoitetut binääritiedostot estävät laiteohjelmistokuvan peukaloinnin ennen kuvan lataamista puhelimeen. Kuvan peukalointi aiheuttaa puhelimen epäonnistumisen todennusprosessissa ja hylkäämään uuden kuvan.
Asiakaspaikan varmenteen asennus	Jokainen Ciscon IP-puhelin vaatii yksilöllisen varmenteen laitteen todennusta varten. Puhelimissa on valmistukseen asennettu varmenne (MIC), mutta turvallisuuden lisäämiseksi voit määrittää varmenteen asennuksen käyttämällä Certificate Authority välityspalvelintoimintoa (CAPF). Cisco Unified Communications Manager Administration Vaihtoehtoisesti voit asentaa paikallisesti merkittävän varmenteen (LSC) puhelimen Suojausmääritykset -valikosta.
Laitteen todennus	Tapahtuu Cisco Unified Communications Manager palvelimen ja puhelimen välillä, kun kukin entiteetti hyväksyy toisen entiteetin varmenteen. Määrittää, pitä isikö puhelimen ja a: n välillä olla Cisco Unified Communications Manager suojattu yhteys; ja luo tarvittaessa suojatun signalointipolun entiteettien välille TLS-protokollan avulla. Cisco Unified Communications Managerei rekisteröi puhelimia, ellei se voi todentaa niitä.
Tiedoston todennus	Vahvistaa digitaalisesti allekirjoitetut tiedostot, jotka puhelin lataa. Puhelin vahvistaa allekirjoit uksen varmistaakseen, että tiedoston peukalointia ei tapahtunut tiedoston luomisen jälkeen. Tiedostoja, jotka eivät toimi todennuksessa, ei kirjoiteta puhelimen Flash-muistiin. Puhelin hylkää tällaiset tiedostot ilman jatkokäsittelyä.
Tiedoston salaus	Salaus estää arkaluontoisten tietojen paljastumisen, kun tiedosto siirre tään puhelimeen. Lisäksi puhelin vahvistaa allekirjoituksen varmistaakseen, että tiedoston pe ukalointia ei tapahtunut tiedoston luomisen jälkeen. Tiedostoja, jotka eivät toimi todennuksessa, ei kirjoiteta puhelimen Flash-muistiin. Puhelin hylkää tällaiset tiedostot ilman jatkokäsittelyä.
Signaalin todennus	Käyttää TLS-protokollaa varmistaakseen, että signalointipaketteihin ei ole tehty peukalointia lähet yksen aikana.
Asennettu valmistustodistus	Jokainen Ciscon IP-puhelin sisältää yksilöllisen valmistukseen asennetun varmenteen (MIC), jota käytetään laitteen todennukseen. MIC tarjoaa pysyvän yksilöllisen todist uksen puhelimelle henkilöllisyydestä ja Cisco Unified Communications Manager mahdollistaa puhelimen todentamisen.
Median salaus	Käyttää SRTP:tä varmistaakseen, että tuettujen laitteiden väliset mediavirrat osoittautuvat turvall isiksi ja että vain aiottu laite vastaanottaa ja lukee tiedot. Sisältää media-ensisijaisen avainparin luomisen laitteille, avainten toimittamisen laitteille ja avainten toimittamisen varmistamisen avainten kuljetuksen aikana.
CAPF (Certificate Authorityvälityspalvelintoiminto)	Toteuttaa varmenteiden luontimenettelyn osia, jotka ovat liian prosessoivia puhelimelle, ja toimii puhelimen kanssa avainten luomisessa ja varment eiden asennuksessa. CAPF voidaan määrittää pyytämään varmenteita asiakkaan määrittämiltä varmenneviranomaisilta puhelimen puolesta, tai se voidaan määrittää luomaan varmenteita paikallisesti. Sekä EC (elliptinen käyrä) että RSA-avaintyyppejä tuetaan. Jos haluat käyttää EC-avainta, varmista, että parametri ”Endpoint Advanced Encryption Algorithms Support” (Järjestelmä > Yritysparametri) on käytössä. Lisätietoja CAPF:stä ja siihen liittyvistä kokoonpanoista on seuraavissa asiakirjoissa: Turvallisuusopas Cisco Unified Communications Manager CUCM: n kolmannen osapuolen CA-allekirjoittamien LSC:iden luomisen ja tuonnin määritysesimerkki Määritä automaattinen varmenteiden rekisteröinti ja uusiminen CAPF Online CA: n kautta
Suojausprofiili	Määrittää, onko puhelin suojaamaton, todennettu, salattu vai suojattu. Muut tämän taulukon merkinnät kuvaavat suojausominaisuuksia.
Salatut määritystiedostot	Voit varmistaa puhelimen määritystiedostojen yksityisyyden.
Valinnainen verkkopalvelin poistaminen käytöstä puhelimessa	Turvallisuussyistä voit estää puhelimen (joka näyttää puhelimen erilaisia toimintatilastoja) ja itsehoitoportaalin verkkosivuille pääsyn.
Puhelimen kovettuminen	Muita suojausasetuksia, joita voit hallita seuraavilla tavoillaCisco Unified Communications Manager Administration: PC-portin poistaminen käytöstä Maksuttoman ARP: n (GARP) poistaminen käytöstä PC Voice VLAN - käytön poistaminen käytöstä Asetukset-valikon käytön poistaminen käytöstä tai rajoitetun pääsyn tarjoaminen Puhelimen verkkosivujen käytön poistaminen käytöstä Bluetooth-lisävarusteportin poistaminen käytöstä TLS-salausten rajoittaminen
802.1X-todennus	Cisco IP Phone voi käyttää 802.1X-todennusta verkkoon pyytääkseen ja pääsemään verkkoon. Lisätietoja on ohjeaiheessa 802.1X-toden nus.
Suojattu SIP Failover SRST: lle	Kun olet määrittänyt Survisible Remote Site Telephony (SRST) -viitteen tieto turvaa varten ja nollasi sitten riippuvaiset laitteet sisäänCisco Unified Communications Manager Administration, TFTP-palvelin lisää SRST-varmenteen puhelimen cnf.xml -tiedostoon ja lähettää tiedoston puhelim een. Suojattu puhelin käyttää sitten TLS-yhteyttä vuorovaikutukseen SRST-yhteensopivan reiti ttimen kanssa.
Signaalin salaus	Varmistaa, että kaikki laitteen ja Cisco Unified Communications Manager palvelimen välillä lähetetyt SIP-signalointiviestit ovat salattuja.
Luottamuslistan päivityshälytys	Kun luottamusluettelo päivittyy puhelimessa, se vastaan Cisco Unified Communications Manager ottaa hälytyksen, joka ilmoittaa päivityksen onnistumisesta tai epäonnistumisesta. Katso lisätietoja seuraavasta taulukosta.
AES 256 -salaus	Kun puhelimet on kytket Cisco Unified Communications Manager ty versioon 10.5 (2) tai uudempaan versioon, ne tukevat AES 256 -salaustukea TLS: lle ja SIP: lle signalointia ja median salausta varten. Tämän ansiosta puhelimet voivat käynnistää ja tukea TLS 1.2 -yhteyksiä käyttämällä AES-256-pohjaisia salauksia, jotka ovat SHA-2 (Secure Hash Algorithm) -standardien mukaisia ja ovat FIPS (Federal Information Processing Standards) -yhteensopivia. Salakir joituksia ovat: TLS-yhteyksille: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 SRTP: lle: AEAD_AES_256_GCM AEAD_AES_128_GCM Lisätietoja on Cisco Unified Communications Manager dokumentaatiossa.
Elliptic Curve Digital Signature Algorithm (ECDSA) -sertifikaatit	Osana Common Criteria (CC) -sertifiointia,Cisco Unified Communications Manager; lisätty ECDSA-sertifikaatit versioon 11.0. Tämä koskee kaikkia Voice Operating System (VOS) -tuotteita, joissa on CUCM 11.5 ja uudemmat versiot.
Usean palvelimen (SAN) Tomcat-sertifikaatti Cisco UCM	Puhelin tukee Cisco UCM useita palvelimia (SAN) Tomcat-varmenteita, jotka on määritetty. Oikea TFTP-palvelimen osoite löytyy puhelimen ITL-tiedostosta puhelimen rekisteröintiä varten. Lisätietoja ominaisuudesta on seuraavassa kohdassa: Kuinka määrittää usean palvelimen (SAN) Tomcat-varmenne Cisco UCM Turvallisuusopas Cisco Unified Communications Manager

Seuraavassa taulukossa on Luottamusluettelon päivityshälytysviestit ja merkitys. Lisätietoja on Cisco Unified Communications Manager dokumentaatiossa.

Taulukko 2. Luottamuslistan päivityshälytysviestit
Koodi ja viesti	Kuvaus
1 - TL_SUCCESS	Vastaanotettu uusi CTL ja/tai ITL
2 - CTL_INITIAL_SUCCESS	Sai uuden CTL: n, ei olemassa olevaa TL: tä
3 - ITL_INITIAL_SUCCESS	Sai uuden ITL: n, ei olemassa olevaa TL
4 - TL_INITIAL_SUCCESS	Vastaanotettu uusi CTL ja ITL, ei olemassa olevaa TL
5 - TL_FAILED_OLD_CTL	Päivitys uuteen CTL: ään epäonnistui, mutta sinulla on aiempi TL
6 - TL_FAILED_NO_TL	Päivitys uuteen TL: ään epäonnistui, eikä sinulla ole vanhaa TL: tä
7 - TL_FAILED	Yleinen vika
8 - TL_FAILED_OLD_ITL	Päivitys uuteen ITL: ään epäonnistui, mutta sinulla on aiempi TL
9 - TL_FAILED_OLD_TL	Päivitys uuteen TL epäonnistui, mutta sinulla on aiempi TL

Suojausasetukset -valikossa on tietoja eri suojausasetuksista. Val ikko tarjoaa myös pääsyn Trust List -valikkoon ja ilmoittaa, onko CTL - tai ITL-tiedosto asennettu puhelimeen.

Seuraavassa taulukossa kuvataan Suojausasetukset -valikon asetukset.

Taulukko 3. Suojausasetusvalikko
Vaihtoehto	Kuvaus	Mu uttaa
Suojaustila	Nä yttää puhelimelle asetetun suojaustilan.	Valitse Cisco Unified Communications Manager Administration kohdasta Laite > Puhelin. Asetus näkyy Puhelimen määrit ykset -ikkunan Protokollakohtaiset tiedot -osassa.
LSC	Ilmaisee, onko puhelimeen asennettu paikallisesti merkittävä varmenne, jota käytetään suojausominaisuuksiin (Asennettu) vai ei ole asennettu puhelimeen (Ei asennettu).	Lisätietoja puhelimen LSC:n hallinnasta on kyseisen Cisco Unified Communications Manager julkais un ohjeissa.

Paikallisesti merkittävän sertifikaatin (LSC) määrittäminen

Tämä tehtävä koskee LSC:n määrittämistä todennusmerkkijonomenetelmällä.

Ennen kuin aloitat

Varmista, että asianmukaiset Cisco Unified Communications Manager ja Certificate Authority välityspalvelintoiminnon (CAPF) suojausmääritykset ovat valmiit:

CTL- tai ITL-tiedostossa on CAPF-sertifikaatti.
Varmista Cisco Unified Communications Operating System Hallinta-kohdassa, että CAPF-varmen ne on asennettu.
CAPF on käynnissä ja määritetty.

Lisätietoja näistä asetuksista on kyseisen version ohje Cisco Unified Communications Manager issa.

1	Hanki CAPF-todennuskoodi, joka määritettiin, kun CAPF määritettiin .
2	Paina puhelimessa Asetukset.
3	Anna pyydettäessä salasana päästäksesi Asetuk set- valikkoon. Voit saada salasanan järjestelmänvalvojaltasi.
4	Siirry kohtaan Verkko ja palvelu > Suojausasetukset > LSC. Voit hallita Asetukset-valikon käyttöä käyttämällä Asetusten käyttö- kenttääCisco Unified Communications Manager Administration.
5	Kirjoita todennusmerkkijono ja valitse Lähetä. Puhelin alkaa asentaa, päivittää tai poistaa LSC: tä riippuen siitä, miten CAPF on määritetty. Kun toimenpide on valmis, puhelimessa näkyy Asennettu tai Ei asennettu. LSC:n asennus-, päivitys- tai poistoprosessi voi kestää kauan. Kun puhelimen asennus onnistuu, näyttöön tulee Asen `nettu` -viesti. Jos puhelimessa näkyy `Ei asennettu`, valtuutusmerkkijono voi olla virheellinen tai puhelimen päivitys ei ehkä ole käytössä. Jos CAPF-toiminto poistaa LSC :n, puhelimessa näkyy Not Installed (`Ei asennettu`) osoittaen, että toiminto onnistui. CAPF-palvelin kirjaa virheilmoitukset. Löydät lokit ja ymmär rät virheilmoitusten merkityksen CAPF-palvelimen ohjeista.

Ota FIPS-tila käyttöön

1	Valitse Cisco Unified Communications Manager Administration Laite > Puhelin ja etsi puhelin.
2	Siirry Tu otekohtaiset määritykset -alueelle.
3	Aseta FIPS-tila - kenttään Käytössä.
4	Valitse Tallenna.
5	Valitse Käytä konfigurointia.
6	Käynnistä puhelin uudelleen.

Kaiutinpuhelimen, kuulokemikrofonin ja luurin sammuttaminen puhelimesta

Voit sammuttaa puhelimen kaiutinpuhelimen, kuulokemikrofonin ja luurin pysyvästi käyttäjälle.

1	Valitse Cisco Unified Communications Manager Administration Laite > Puhelin ja etsi puhelin.
2	Siirry Tu otekohtaiset määritykset -alueelle.
3	Poista puhelimen ominaisuudet käytöstä valitsemalla yksi tai useampi seuraavista valintaruudu ista: Poista kaiutinpuhelin käytöstä Poista kaiutinpuhelin ja kuulokkeet käytöstä Poista luuri käytöstä Oletusarvoisesti nämä valintaruudut eivät ole valittuja.
4	Valitse Tallenna.
5	Valitse Käytä konfigurointia.

802.1X-todennus

Ciscon IP-puhel imet tukevat 802.1X-todennusta.

Ciscon IP-puhelimet ja Cisco Catalyst -kytkimet käyttävät perinteisesti Cisco Discovery Protocol (CDP) toistensa tunnistamiseen ja parametrien, kuten VLAN-allokoinnin ja sisäisten virrankulutusten määrittämiseen. CDP ei tunnista paikallisesti liitettyjä työasemia. Ciscon IP-puhelimet tarjoavat EAPOL-läpivientimekanismin. Tämän mekanismin avulla Cisco IP -puhelimeen liitetty työasema voi välittää EAPOL-viestejä 802.1X-todennuslaitteelle LAN-kytkimessä. Läpivientimekanismi varmistaa, että IP-puhelin ei toimi LAN-kytkimenä datapäätepisteen todentamiseksi ennen verkkoon pääsyä.

Ciscon IP-puhelimet tarjoavat myös välityspalvelimen EAPOL Logoff -mekanismin. Jos paikallisesti liitetty tietokone katkaisee yhteyden IP-puhelimeen, LAN-kytkin ei näe fyysistä linkkiä epäonnistuvan, koska LAN-kytkimen ja IP-puhelimen välinen yhteys säilyy. Verkon eheyden vaarantumisen välttämiseksi IP-puhelin lähettää kytkimelle loppupään tietokoneen puolesta EAPOL-logoff-viestin, joka laukaisee LAN-kytkimen tyhjentämään loppupään tietokoneen todennusmerkinnän.

802.1 X-todennuksen tuki vaatii useita komponentteja:

Cisco IP-puhelin: Puhelin käynnistää pyynnön käyttää verkkoa. Ciscon IP-puhelimet sisältävät 802.1X-pyytäjän. Tämän pyynnön avulla verkonvalvojat voivat hallita IP-puhelimien yhteyttä LAN-kytkinportteihin. Puhelimen 802.1X-tukiohjelman nykyinen versio käyttää verkon todennusta varten EAP-FAST- ja EAP-TLS -vaihtoehtoja.
Todennuspalvelin: Todennuspalvelin ja kytkin on määritettävä jaetulla salaisuudella, joka todentaa puhelimen.
Kytkin: Kytkimen on tuettava 802.1X-asetusta, jotta se voi toimia todentajana ja välittää viestejä puhelimen ja todennuspalvelimen välillä. Kun vaihto on valmis, kytkin myöntää tai estää puhelimen pääsyn verkkoon.

Määritä 802.1X : n määrittäminen edellyttää seuraavien toimien suorittamista.

Määritä muut komponentit ennen 802.1X-todennuksen ottamista käyttöön puhelimessa.
Määritä PC-portti: 802.1X-standardi ei ota huomioon VLAN-verkkoja, joten suosittelemme, että vain yksi laite todennetaan tiettyyn kytkinporttiin. Jotkin kytkimet tukevat kuitenkin moniverkkotunnuksen todennusta. Kytkimen kokoonpano määrittää, voitko kytkeä tietokoneen puhelimen PC-porttiin.
- Käytössä: Jos käytät usean toimialueen todennusta tukevaa kytkintä, voit ottaa PC-portin käyttöön ja liittää siihen tietokoneen. Tässä tapauksessa Ciscon IP-puhelimet tukevat välityspalvelinta EAPOL-Logoff valvoakseen kytkimen ja liitetyn tietokoneen välistä todennusvaihtoa.
  
  Lisätietoja Cisco Catalyst -kytkimien IEEE 802.1X -tuesta on Cisco Catalyst -kytkimen määritysoppaissa osoitteessa:
  
  http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
- Pois käytöstä: Jos kytkin ei tue useita 802.1X-yhteensopivia laitteita samassa portissa, sinun on poistettava PC-portti käytöstä, kun 802.1X-todennus on käytössä. Jos et poista tätä porttia käytöstä ja yrität sitten liittää siihen tietokoneen, kytkin estää verkon käytön sekä puhelimesta että tietokoneesta.
Määritä Voice VLAN: Koska 802.1X-standardi ei ota huomioon VLAN-verkkoja, sinun on määritettävä tämä asetus kytkimen tuen perusteella.
- Käytössä: Jos käytät usean toimialueen todennusta tukevaa kytkintä, voit jatkaa sitä ääni-VLAN-verkon käyttämiseksi.
- Pois käytöstä: Jos kytkin ei tue usean toimialueen todennusta, poista Voice VLAN käytöstä ja harkitse portin määrittämistä alkuperäiseen VLAN-verkkoon.
(Vain Cisco 9800 -sarjan pöytäpuhelimille)
Cisco Desk Phone 9800 -sarjan PID: ssä on erilainen etuliite kuin muilla Cisco-puhelimilla. Jos haluat, että puhelimesi voi läpäistä 802.1X-todennuksen, aseta Radius·UserName -parametri sisällyttämään Cisco Des k Phone 9800 Series -puhelimesi.
Esimerkiksi puhelimen 9841 PID on DP-9841. Voit asettaa Radius·User-nimeksi Aloita DP:llä tai Sisältää DP. Voit asettaa sen molemmissa seuraavista osioista:
- Käytäntö > Ehdot > Kirjaston ehdot
- Käytäntö > Käyt äntöjoukot > Val tuutuskäytäntö > Val tuutussääntö 1

Ota 802.1X-todennus käyttöön

Voit ottaa 802.1X-todennuksen käyttöön puhelimessa seuraavasti:

1	Paina Asetukset.
2	Anna pyydettäessä salasana päästäksesi Asetuk set- valikkoon. Voit saada salasanan järjestelmänvalvojaltasi.
3	Siirry kohtaan Verkko ja palvelu > Suojausasetukset > 802.1X-todennus.
4	Ota IEEE 802.1X -todennus käyttöön.
5	Valitse Käytä.

Tarkastele puhelimen suojausasetuksia koskevia tietoja

Voit tarkastella suojausasetuksia koskevia tietoja puhelimen valikossa. Tietojen saatavuus riippuu organisaatiosi verkkoasetuksista.

Taulukko 4. Suojausasetusten parametrit
Parametrit	Kuvaus
Suojaustila	Nä yttää puhelimelle asetetun suojaustilan.
LSC	Ilmaisee, onko puhelimeen asennettu paikallisesti merkittävä varmenne, jota käytetään suojausominaisuuksiin (Kyllä) vai sitä ei ole asennettu puhelimeen (Ei).
Luottamuslista	Luottamusluettelo sisältää alivalikot CTL-, ITL- ja Allekirjoitetuille määritystiedostoille. CTL File -alivalikko näyttää CTL-tiedoston sisällön. ITL File -alivalikko näyttää ITL-tiedoston sisällön. Luottamusluettelo -valikossa on myös seuraavat tiedot: CTL-allekirjoitus: CTL-tiedoston SHA1-hash Unified CM/TFTP-palvelin: puhelimen käyttämän Cisco Unified Communications Manager TFTP-palvelimen nimi. Näyttää varmenteen kuvakkeen, jos varmenne on asennettu tälle palvelimelle. CAPF-palvelin: puhelimen käyttämän CAPF-palvelimen nimi. Näyttää varmenteen kuvakkeen, jos varmenne on asennettu tälle palvelimelle. SRST-reititin: luotettavan SRST-reitittimen IP-osoite, jota puhelin voi käyttää. Näyttää varmenteen kuvakkeen, jos varmenne on asennettu tälle palvelimelle.
802.1X-todennus	Ottaa käyttöön tai poistaa käytöstä IEEE 802.1X -todennuksen. Lisätietoja on ohjeaiheessa 802.1X-todennus.
Taaksepäin yhteensopivuus WPA: n kanssa	Määrittää, onko vanhin Wi-Fi Protected Access (WPA) -versio yhteensopiva puhelimessa langattomaan verkkoon tai tukiasemaan (AP) yhteyden muodostamiseksi. Jos se on käytössä, puhelin voi etsiä ja muodostaa yhteyden langattomiin verkkoihin, joissa on kaikki tuetut WPA-versiot, mukaan lukien WPA, WPA2 ja WPA3. Lisäksi puhelin voi etsiä ja muodostaa yhteyden tukiasemiin, jotka tukevat vain vanhinta WPA-versiota. Jos se ei ole käytössä (oletus), puhelin voi etsiä ja muodostaa yhteyden vain langattomiin verkkoihin ja tukiasemiin, jotka tukevat WPA2: ta ja WPA3: ta. Tämä ominaisuus on käytettävissä vain puhelimissa 9861/9871/8875.

1	Paina Asetukset.
2	Siirry kohtaan Verkko ja palvelu > Suojausasetukset.
3	Tarkastele suojaustietoja Suojausaset uksissa.

Puheluiden turvallisuus

Kun puhelimeen on otettu tietoturva käyttöön, voit tunnistaa suojatut puhelut puhelimen näytön kuvakkeilla. Voit myös määrittää, onko liitetty puhelin suojattu ja suojattu, jos puhelun alussa soi suojausääni.

Suojatussa puhelussa kaikki puhelun signalointi- ja mediavirrat salataan. Suojattu puhelu tarjoaa korkean turvallisuustason ja tarjoaa puhelulle eheyden ja yksityisyyden. Kun käynnissä oleva puhelu on salattu, näet suojatun the lock icon for a secure call kuvakkeen linjalla. Suojatussa puhelimessa voit myös tarkastella puhelinvalikossa yhdistetyn palvelimen vieressä olevaa todennet tua kuvaketta tai salattua kuvaketta (Aset ukset > Tietoja tästä laitteesta).

Jos puhelu reititetään muiden kuin IP-puhelualueiden kautta, esimerkiksi PSTN, puhelu voi olla turvaton, vaikka se on salattu IP-verkossa ja siihen liittyy lukituskuvake.

Suojatussa puhelussa puhelun alussa soitetaan suojausääni, joka osoittaa, että myös toinen kytketty puhelin vastaanottaa ja lähettää suojattua ääntä. Jos puhelu muodostaa yhteyden suojaamattomaan puhelimeen, suojausääni ei toistu.

Suojattua puhelua tuetaan vain kahden puhelimen välisissä yhteyksissä. Jotkin ominaisuudet, kuten neuvottelupuhelut ja jaetut linjat, eivät ole käytettävissä, kun suojatut puhelut on määritetty.

Kun puhelin on määritetty turvalliseksi (salatuksi ja luotetuksi)Cisco Unified Communications Manager, sille voidaan antaa suojattu tila. Tämän jälkeen haluttaessa suojattu puhelin voidaan määrittää toistamaan osoitusääntä puhelun alussa:

Suojattu laite: Jos haluat muuttaa suojatun puhelimen tilan suojatuksi, valitse Suojattu laite -valintaruutu Puhelimen määritykset -ikkunassa Cisco Unified Communications Manager Administration kohdassa (La ite > Puhelin).
Toista suojattua ilmaisuääntä: Jos haluat suojatun puhelimen toistaa suojattua tai turvatonta merkkiääntä, aseta Play Secure Indication Tone -asetukseksi True. Oletusarvoisesti Toista suojatun ilmaisuäänen arvoksi on asetettu Väärä. Asetat tämän vaihtoehdon kohdassa Cisco Unified Communications Manager Administration (Järjestelmä > Palvelun parametrit). Valitse palvelin ja sitten Unified Communications Manager -palvelu. Valitse Service Parameter Configuration -ikkunassa vaihtoehto Ominaisuus - Secure Tone -alueella. Oletusarvo on Väärä.

Suojattu neuvottelu puhelun tunnistaminen

Voit aloittaa suojatun neuvottelupuhelun ja seurata osallistujien suojaustasoa. Suojattu neuvottelupuhelu muodostetaan käyttämällä tätä prosessia:

Käyttäjä aloittaa konferenssin suojatulla puhelimella.
Cisco Unified Communications Managermäärittää puhelulle suojatun konferenssisillan.
Kun osallistujia lisätään, Cisco Unified Communications Manager tarkistaa kunkin puhelimen suoja ustilan ja ylläpitää konferenssin suojattua tasoa.
Puhelin näyttää neuvottelupuhelun suojaustason. Suojattu konferenssi näyttää suojatun kuvakkeen.

Suojattua puhelua tuetaan kahden puhelimen välillä. Suojatuissa puhelimissa jotkin ominaisuudet, kuten neuvottelupuhelut, jaetut linjat jaExtension Mobility, eivät ole käytettävissä, kun suojatut puhelut on määritetty.

Seuraavassa taulukossa on tietoja konferenssin suojaust asojen muutoksista riippuen käynnistäjän puhelimen suojaustasosta, osallistujien suojaustasoista ja suojattujen konferenssisiltojen saatavuudesta.

Taulukko 5. Konferenssipuheluiden turvallisuusrajoitukset
Aloittajan puhelimen suojaustaso	Käytetty ominaisuus	Osallistujien turvallisuustaso	Toiminnan tulokset
Turvaton	Konferenssi	Turvallinen	Ei-turvallinen konferenssisilta Ei-turvallinen konferenssi
Turvallinen	Konferenssi	Ainakin yksi jäsen on turvaton.	Turvallinen konferenssisilta Ei-turvallinen konferenssi
Turvallinen	Konferenssi	Turvallinen	Turvallinen konferenssisilta Turvallinen salatun tason konferenssi
Turvaton	Tapaa minut	Minimi suojaustaso on salattu.	Aloittaja vastaanottaa viestin `Ei täytä suojaustasoa, puhelu hy` lätty.
Turvallinen	Tapaa minut	Turvallisuuden vähimmäistaso ei ole turvallinen.	Turvallinen konferenssisilta Konferenssi hyväksyy kaikki puhelut.

Suojattu puhelun tunnistus

Suojattu puhelu muodostetaan, kun puhelimesi ja toisessa päässä oleva puhelin on määritetty suojattua puhelua varten. Toinen puhelin voi olla samassa Ciscon IP-verkossa tai IP- verkon ulkopuolella olevassa verkossa. Suojattuja puheluita voi soittaa vain kahden puhelimen välillä. Neuvottelupuhelujen tulisi tukea suojattua puhelua suojatun konferenssisillan perustamisen jälkeen.

Suojattu puhelu muodostetaan käyttämällä tätä prosessia:

Käyttäjä aloittaa puhelun suojatusta puhelimesta (suojattu suojaustila).
Puhelin näyttää suojatun kuvakkeen puhelimen näytöllä. Tämä kuvake osoittaa, että puhelin on määritetty suojatuille puheluille, mutta tämä ei tarkoita, että myös toinen kytketty puhelin on suojattu.
Käyttäjä kuulee suojausäänen, jos puhelu muodostaa yhteyden toiseen suojattuun puhelimeen, mikä osoittaa, että keskustelun molemmat päät ovat salattuja ja suojattuja. Jos puhelu muodostaa yhteyden suojaamattomaan puhelimeen, käyttäjä ei kuule suojausääntä.

Vain suojatut puhelimet toistavat näitä suojattuja tai suojaamattomia merkkiääniä. Suojaamattomat puhelimet eivät koskaan toista ääniä. Jos puhelun yleinen tila muuttuu puhelun aikana, merkkiääni muuttuu ja suojattu puhelin toistaa sopivan äänen.

Suojattu puhelin toistaa ääntä tai ei näissä olosuhteissa:

Kun Play Secure Indication Tone -asetus on käytössä:
- Kun alusta loppuun suojattu tietoväline on muodostettu ja puhelun tila on suojattu, puhelin toist aa suojatun merkkiäänen (kolme pitkää piippausta taukoilla).
- Kun päähän ei ole suojattu tietoväline ja puhelun tila ei ole suojattu, puhelin toistaa suojaamattoman merkkiäänen (kuusi lyhyttä piippausta lyhyillä taukoilla).

Jos Play Secure Indication Tone -asetus on poistettu käytöstä, ääntä ei toisteta.

Tarjoa proomun salaus

Cisco Unified Communications Managertarkistaa puhelimen suojaustilan konferenssien perustamisen yhteydessä ja muuttaa konferenssin suojausmerkkiä tai estää puhel un päättymisen järjestelmän eheyden ja turvallisuuden ylläpitämiseksi.

Käyttäjä ei voi hypätä salattuun puheluun, jos proomuun käytettyä puhelinta ei ole määritetty salausta varten. Kun proomu epäonnistuu tässä tapauksessa, puhelimessa soi uudelleenjärjestys (nopea kiireinen) ääni, jonka proomu käynnistettiin.

Jos käynnistyspuhelin on määritetty salaukseen, proomun käynnistäjä voi hypätä suojaamattomaan puheluun salat usta puhelimesta. Kun proomu tapahtuu, Cisco Unified Communications Manager luokittelee puhelun turvattomaksi.

Jos aloituspuhelin on määritetty salaukseen, proomun aloittaja voi ryntää salattuun puheluun, ja puhelin ilmoittaa, että puhelu on salattu.

WLAN-suojaus

Koska kaikki kantaman sisällä olevat WLAN-laitteet voivat vastaanottaa kaiken muun WLAN-liikenteen, puheviestinnän turvaaminen on kriittistä WLAN-verkkoissa. Cisco SAFE Security -arkkitehtuuri tukee puhelinta sen varmistamiseksi, että tunkeilijat eivät manipuloi tai sieppaa ääniliikennettä. Lisätietoja verkkojen suojauksesta on osoitteessa http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscon langaton IP-puhelinratkaisu tarjoaa langattoman verkon suojauksen, joka estää luvattomat sisäänkirjautumisen ja vaarantuneen viestinnän käyttämällä seuraavia puhelimen tukemia todennusmenetelmiä:

Avoin toden nus: Mikä tahansa langaton laite voi pyytää todennusta avoimessa järjestelmässä. Pyynnön vastaanottava tukiasema voi myöntää todennuksen kenelle tahansa pyynnön esittäjälle tai vain pyynnön esittäjille, jotka löytyvät käyttäjäluettelosta. Langattoman laitteen ja tukiaseman (AP) välinen tiedonsiirto voi olla salaamatonta.
Laajennettava todennusprotokolla-joustava todennus suojatun tunneloinnin (EAP-FAST) -toden nuksen avulla: Tämä asiakas-palvelin-tietoturva-arkkitehtuuri salaa EAP-tapahtumat tukiaseman ja RADIUS-palvelimen välisessä Transport Level Security (TLS-tunneli) sisällä, kuten Identity Services Engine (ISE).

TLS-tunneli käyttää suojattuja käyttöoikeustietoja (PAC) asiakkaan (puhelimen) ja RADIUS-palvelimen väliseen todennukseen. Palvelin lähettää Authority ID (AID) asiakkaalle (puhelimelle), joka puolestaan valitsee sopivan PAC: n. Asiakas (puhelin) palauttaa PAC-läpinäkyvyyden RADIUS-palvelimelle. Palvelin purkaa PAC: n ensisijaisella avaimella. Molemmat päätepisteet sisältävät nyt PAC-avaimen, ja TLS-tunneli luodaan. EAP-FAST tukee automaattista PAC-valmistelua, mutta se on otettava käyttöön RADIUS-palvelimessa.

ISE: ssä oletusarvoisesti PAC vanhenee viikossa. Jos puhelimessa on vanhentunut PAC, todennus RADIUS-palvelimella kestää kauemmin, kun puhelin saa uuden PAC: n. Jos haluat välttää PAC-valmistelun viiveet, aseta PAC-ohjelman vanhenemisajaksi vähintään 90 päivää ISE- tai RADIUS-palvelimessa.
EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) -todennus: EAP-TLS vaatii asiakasvarmenteen toden nusta ja verkkoyhteyttä varten. Langattoman EAP-TLS: n asiakasvarmenteena voi olla MIC, LSC tai käyttäjän asentama varmenne.
PEAP (Protected Extensible Authentication Protocol): Ciscon oma salasanapohjainen keskinäinen todennusjärjestelmä asiakkaan (puhelimen) ja RADIUS-palvelimen välillä. Puhelin voi käyttää PEAP: tä todennukseen langattoman verkon kanssa. Sekä PEAP-MSCHAPV2- että PEAP-GTC-todennusmenetelmiä tuetaan.
Esijaettu avain (PSK): Puhelin tukee ASCII-muotoa. Tätä muotoa on käytettävä määritettäessä valmiiksi jaettua WPA/WPA2/SAE-avainta:

ASCII: AS CII-merkkijono, jonka pituus on 8—63 merkkiä (0-9, pienet ja isot kirjaimet A-Z sekä erikoismerkit)

Esimerkki: GREG123567 @9ZX &W

Seuraavat todennusjärjestelmät käyttävät RADIUS-palvelinta todennusavainten hallintaan:

WPA/WPA2/WPA3: Käyttää RADIUS-palvelintietoja ainutlaatuisten avainten luomiseen todennusta varten. Koska nämä avaimet luodaan keskitetyllä RADIUS-palvelimella, WPA2/WPA3 tarjoaa paremman suojan kuin tukiasemaan ja puhelimeen tallennetut WPA-valmiiksi jaetut avaimet.
Nopea suojattu verkkovierailu: Käyttää RADIUS-palvelimen ja WDS-palvelimen (WDS) tietoja avainten hallintaan ja todentamiseen. WDS luo tietoturvatunnisteiden välimuistin FT-yhteensopiville asiakaslaitteille nopeaa ja turvallista uudelleentodennusta varten. Cisco Desk Phone 9861 ja 9871 sekä Cisco Video Phone 8875 tukevat 802.11r (FT). Sekä langattomasti että DS: n kautta tuetaan nopean suojatun verkkovierailun mahdollistamiseksi. Suosittelemme kuitenkin käyttämään 802.11r (FT) over air -menetelmää.

WPA/WPA2/WPA3-salausavaimia ei syötetä puhelimeen, vaan ne johdetaan automaattisesti tukiaseman ja puhelimen välillä. Mutta EAP-käyttäjänimi ja salasana, joita käytetään todennukseen, on syötettävä jokaiseen puhelimeen.

Ääniliikenteen turvallisuuden varmistamiseksi puhelin tukee TKIP- ja AES-salausta varten. Kun näitä mekanismeja käytetään salaukseen, sekä signaloivat SIP-paketit että äänen Real-Time Transport Protocol (RTP) -paketit salataan AP: n ja puhelimen välillä.

TKIP: WPA käyttää TKIP-salausta, jolla on useita parannuksia WEP:hen verrattuna. TKIP tarjoaa pakettikohtaisen avaimen salauksen ja pidemmät alustusvektorit (IV), jotka vahvistavat salausta. Lisäksi viestin eheyden tarkistus (MIC) varmistaa, että salattuja paketteja ei muuteta. TKIP poistaa WEP:n ennustettavuuden, joka auttaa tunkeilijoita tulkitsemaan WEP-avaimen.
AES: Salausmenetelmä, jota käytetään WPA2/WPA3-todennuksessa. Tämä kansallinen salausstandardi käyttää symmetristä algoritmia, jolla on sama avain salaukseen ja salauksen purkamiseen. AES käyttää 128 bittiä koosta Cipher Blocking Chain (CBC) -salausta, joka tukee vähintään 128 bittiä, 192 bittiä ja 256 bittiä avainkokoja. Puhelin tukee avaimen kokoa 256 bittiä.

Cisco Desk Phone 9861 ja 9871 ja Cisco Video Phone 8875 eivät tue CMIC: n kanssa varustettua Cisco Key Integrity Protocol (CKIP) -protokollaa.

Todennus- ja salausjärjestelmät määritetään langattomassa lähiverkossa. VLAN-yhteydet on määritetty verkossa ja tukiasemissa, ja ne määrittävät erilaisia todennuksen ja salauksen yhdistelmiä. SSID liittyy VLAN-verkkoon ja tiettyyn todennus- ja salausjärjestelmään. Jotta langattomat asiakaslaitteet voivat todentua onnistuneesti, sinun on määritettävä samat SSID-tunnukset niiden todennus- ja salausjärjestelmillä tukiasemissa ja puhelimessa.

Jotkin todennusjärjestelmät vaativat tietyntyyppisiä salauksia.

Kun käytät ennalta jaettua WPA-avainta, WPA2-esijaettua avainta tai SAE: tä, valmiiksi jaettu avain on asetettava staattisesti puhelimessa. Näiden näppäinten on vastattava tukiasemassa olevia näppäimiä.
Puhelin tukee automaattista EAP-neuvottelua FAST: lle tai PEAP: lle, mutta ei TLS: lle. EAP-TLS -tilassa sinun on määritettävä se.

Seuraavan taulukon todennus- ja salausjärjestelmät näyttävät puhelimen verkon määritysasetukset, jotka vastaavat tukiasemien määritystä.

Taulukko 6. Todennus- ja salausjärjestelmät
FSR-tyyppi	Todennus	Avainhallinta	Salaus	Suojattu hallintakehys (PMF)
802.11r (FT)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	Ei
802.11r (FT)	WPA3	SAE FT-SAE	AES	Joo
802.11r (FT)	EAP-TLS	WPA-EAP FT-EAP	AES	Ei
802.11r (FT)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Joo
802.11r (FT)	EAP-FAST	WPA-EAP FT-EAP	AES	Ei
802.11r (FT)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Joo
802.11r (FT)	EAP-PEAP	WPA-EAP FT-EAP	AES	Ei
802.11r (FT)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Joo

Langattoman lähiverkon profiilin määrittäminen

Voit hallita langattoman verkon profiilia määrittämällä tunnistetiedot, taajuuskaistan, todennusmenetelmän ja niin edelleen.

Muista seuraavat huomautukset ennen WLAN-profiilin määrittämistä:

Käyttäjätunnus ja salasana
- Kun verkko käyttää käyttäjän todentamiseen EAP-FASTia ja PEAP-yhteyttä, sinun on määritettävä sekä käyttäjänimi että salasana tarvittaessa etätodennuksen puhelinpalvel ussa (RADIUS) ja puhelimessa.
- Langattoman lähiverkon profiiliin antamiesi tunnistetietojen on oltava samat kuin RADIUS-palvelimessa määritetyt tunnistetiedot.
- Jos käytät verkkotunnuksia verkossa, sinun on annettava käyttäjän imi verkkotunnuksen kanssa muodossa: toimialue\ käyttäjänimi.
Seuraavat toimet voivat johtaa olemassa olevan Wi-Fi-salasanan tyhjentämiseen:
- Virheellisen käyttäjätunnuksen tai salasanan syöttäminen
- Virheellisen tai vanhentuneen päävarmentajan asentaminen, kun EAP-tyyppiksi on määritetty PEAP-MSCHAPV2 tai PEAP-GTC
- Käytössä olevan EAP-tyypin poistaminen käytöstä RADIUS-palvelimessa ennen puhelimen vaihtamista uuteen EAP-tyypp iin
Jos haluat muuttaa EAP-tyyppiä, varmista, että otat uuden EAP-tyypin käyttöön ensin RADIUS-palvelimessa ja vaihtamalla sitten puhelimen EAP-tyyppiin. Kun kaikki puhelimet on vaihdettu uuteen EAP-tyyppiin, voit halutessasi poistaa edellisen EAP-tyypin käytöstä.

1	Valitse Cisco Unified Communications Manager Administration Laite > Laitteen asetukset > Lang attoman lähiverkon profiili.
2	Valitse verkkoprofiili, jonka haluat määrittää.
3	Määritä parametrit.
4	Valitse Tallenna.

Määritä SCEP-parametrit

SCEP (Simple Certificate Enrollment Protocol) on standardi varmenteiden automaattiseen käyttöö nottoon ja uusimiseen. SCEP-palvelin voi ylläpitää käyttäjä- ja palvelinvarmenteita automaattisesti.

Sinun on määritettävä seuraavat SCEP-parametrit puhelimen verkkosivulla

RA IP- osoite
SCEP-palvelimen päävarmenteen SHA-1- tai SHA-256-sormenjälki

Rekisterö Cisco IOS intiviranomainen (RA) toimii SCEP-palvelimen välityspalvelimena. Puhelimen SCEP-asiakas käyttää parametreja, jotka ladataan Cisco Unified Communication Manager -ohjelmasta. Kun olet määrittänyt parametrit, puhelin lähettää SCEP- getcs-pyynnön RA: lle ja päävarmenne vahvistetaan määritetyn sormenjäljen avulla.

Ennen kuin aloitat

Määritä SCEP-palvelimessa SCEP-rekisteröintiagentti (RA) seuraavasti:

Toimi PKI-luottamuspisteenä
Toimi PKI RA: na
Laitteen todennuksen suorittaminen RADIUS-palvelimen avulla

Lisätietoja on SCEP-palvelimen ohjeissa.

1	Valitse Cisco Unified Communications Manager Administration La ite > Puhelin.
2	Etsi puhelin.
3	Vieritä tuotekohtaisen kokoonpanon asettel u-alueelle.
4	Kirjoita RA-IP-osoite tai isäntänimi WLAN SCEP Server - kenttään ja valitse sitten valintaruutu SCEP-parametrin aktivoimiseksi.
5	Kirjoita päävarmenteen SHA-1- tai SHA-256-sormenjälki WLAN Root CA Fingerprint (SHA256 tai SHA1) -kenttään ja valitse sitten valintaruutu aktivoidaksesi SCEP QED -parametrin.
6	Valitse Tallenna.
7	Valitse Käytä konfigurointia.

TLS:n tuettujen versioiden määrittäminen

Voit määrittää asiakkaalle ja palvelimelle vaaditun TLS-vähimmäisversion.

Oletusarvoisesti palvelimen ja asiakkaan TLS-vähimmäisversio on 1.2. Asetuksella on vaikutuksia seuraaviin toimintoihin:

HTTPS-verkkoyhteys
Perehdytys paikalliseen puhelimeen
Perehdytys mobiililaitteille ja Remote Access (MRA)
HTTPS-palvelut, kuten hakemistopalvelut
Datagrammin siirtokerroksen suojaus (DTLS)
Portin käyttöyksikkö (PAE)
Laajennettava todennusprotokolla-siirtokerroksen suojaus (EAP-TLS)

Lisätietoja TLS 1.3 -yhteensopivuudesta Ciscon IP-puhelimille on ohjeaiheessa TLS 1.3 - yhteensopivuusmatriisi Ciscon yhteistyötuotteille.

1	Kirjaudu sisään Cisco Unified Communications Manager Administration järjestelmänvalvojana.
2	Siirry johonkin seuraavista ikkunoista: Järjestelmä > Yrityspuhelimen määritykset Laite > Laitteen asetukset > Yhteinen puhelinprofiili Laite > Puhelin > Puhelimen määritykset
3	Määritä TLS-asiakkaan vähimmäisversio -kenttä: ”TLS 1.3" -vaihtoehto on käytettävissä Cisco Unified CM 15SU2:ssa tai uudemmassa. TLS 1.1: TLS-asiakas tukee TLS-versioita 1.1 - 1.3. Jos palvelimen TLS-versio on pienempi kuin 1.1, esimerkiksi 1.0, yhteyttä ei voida muodostaa. TLS 1.2 (oletus): TLS-asiakas tukee TLS 1.2 ja 1.3. Jos palvelimen TLS-versio on pienempi kuin 1.2, esimerkiksi 1.1 tai 1.0, yhteyttä ei voida muodostaa. TLS 1.3: TLS-asiakas tukee vain TLS 1.3. Jos palvelimen TLS-versio on pienempi kuin 1.3, esimerkiksi 1.2, 1.1 tai 1.0, yhteyttä ei voida muodostaa.
4	Määritä TLS-palvelimen vähimmäisversio -kenttä: TLS 1.1: TLS-palvelin tukee TLS-versioita 1.1 - 1.3. Jos asiakkaan TLS-versio on pienempi kuin 1.1, esimerkiksi 1.0, yhteyttä ei voida muodostaa. TLS 1.2 (oletus): TLS-palvelin tukee TLS 1.2 ja 1.3. Jos asiakkaan TLS-versio on pienempi kuin 1.2, esimerkiksi 1.1 tai 1.0, yhteyttä ei voida muodostaa. TLS 1.3: TLS-palvelin tukee vain TLS 1.3. Jos asiakkaan TLS- versio on pienempi kuin 1.3, esimerkiksi 1.2, 1.1 tai 1.0, yhteyttä ei voida muodostaa. PhoneOS 3.2 -julkaisusta lähtien kentän ”Poista TLS 1.0 ja TLS 1.1 käytöstä Web Access” -kentän asetus ei vaikuta puhelimiin.
5	Valitse Tallenna.
6	Valitse Käytä konfigurointia.
7	Käynnistä puhelimet uudelleen.

Vakuutetut palvelut SIP

Assured Services SIP (AS-SIP) on kokoelma ominaisuuksia ja protokollia, jotka tarjoavat erittäin turvallisen puheluvirran Ciscon IP-puhelimille ja kolmansien osapuolten puhelimille. Seuraavat ominaisuudet tunnetaan yhdessä nimellä AS-SIP:

Monitasoinen etusija ja ennakointi (MLPP)
Eriytettyjen palvelujen koodipiste (DSCP)
Transport Layer Security (TLS) ja turvallinen reaaliaikainen siirtoprotokolla (SRTP)
Internet-protokollan versio 6 (IPv6)

AS-SIP: tä käytetään usein Multilevel Priority and Preemption (MLPP) kanssa puhelujen priorisoimiseksi hätätilanteessa. MLPP:llä määrität lähteville puheluillesi prioriteettitason tasosta 1 (matala) tasolle 5 (korkea). Kun vastaanotat puhelun, puhelimessa näkyy etujärjestystason kuvake, joka näyttää puhelun prioriteetin.

Määritä AS-SIP suorittamalla seuraavat tehtävät: Cisco Unified Communications Manager

Määritä yhteenvetokäyttäjä — Määritä loppukäyttäjä käyttämään tiivistelmätodennusta SIP-pyyntöihin.
Määritä SIP Phone Secure Port - Cisco Unified Communications Manager käyttää tätä porttia SIP-puhelimien kuunteluun SIP-linjan rekisteröintejä varten TLS: n kautta.
Käynnistä palvelut uudelleen — Kun olet määrittänyt suojatun portin, käynnistä Cisco CTL Cisco Unified Communications Manager Provider -palvelut uudelleen. Määritä SIP-profiili AS-SIP-Määritä SIP-profiili SIP-asetuksilla AS-SIP-päätepisteillesi ja SIP-rungoillesi. Puhelinkohtaisia parametreja ei ladata kolmannen osapuolen AS-SIP-puhelimeen. Niitä käyttää vain Cisco Unified Manager. Kolmannen osapuolen puhelimien on määritettävä paikallisesti samat asetukset.
Määritä puhelimen suojausprofiili AS-SIP: lle — Voit määrittää puhelimen suojausprofiilin avulla suojausasetuksia, kuten TLS-, SRTP- ja yhteenvetotodennusta.
AS-SIP-päätepisteen määrittäminen — Määritä Ciscon IP-puhelin tai kolmannen osapuolen päätepiste AS-SIP-tuella.
Yhdistä laite loppukäyttäjään — Liitä päätepiste käyttäjään.
Määritä SIP-runko-suojausprofiili AS-SIP: lle — voit määrittää sip-runko-suojausprofiilin avulla suojausominaisuuksia, kuten TLS- tai digestotodennuksen, SIP-runkoon.
Määritä SIP-runko AS-SIP: lle — Määritä SIP-runko AS-SIP-tuella.
AS-SIP-ominaisuuksien määrittäminen — Määritä AS-SIP-lisäominaisuudet, kuten MLPP, TLS, V.150 ja IPv6.

Lisätietoja AS-SIP-konfiguroinnista on kohdassa ”AS-SIP-päätepisteiden määrittäminen” -luvussa Ominaisuuksien määr itysoppaan. Cisco Unified Communications Manager

Monitasoinen etusija ja ennakointi

Multilevel Priority and Preemption (MLPP) avulla voit priorisoida puhelut hätätilanteissa tai muissa kriisitilanteissa. Määrität prioriteetin lähteville puheluille, jotka vaihtelevat välillä 1—5. Saapuvat puhelut näyttävät kuvakkeen ja puhelun prioriteetin. Todennetut käyttäjät voivat estää puhelut joko kohdeasemille tai täysin tilattujen TDM-runkojen kautta.

Tämä kyky varmistaa korkea-arvoisen henkilöstön viestinnän kriittisiin organisaatioihin ja henkilöstöön.

Jos valittua numeroa manipuloi käännös-/reittikuvio, joka on määritetty päälleUnified CM, MLPP-puhelun aloittaja näkee myös MLPP-erikoiskuvakkeen ja prioriteettitason puhelimen näytöllä ja kuulee soittoäänen. Tämä toiminta saavutetaan PhoneOS 3.4 -julkaisun jälkeen.

PhoneOS-puhelimien MLPP-ominaisuus vaatii Rel Unified CM ease 15SU3 tai uudemman.

MLPP-kokoonpano päällä Unified CM

Voit määrittää ominaisuuden seuraavasti:

Määritä verkkotunnukset ja toimialuettelot.
1. Valitse Järjestel Cisco Unified CM Administration mä > MLPP > Toimialue > MLPP -toimialue, lisää uusia MLPP-toimi alueita.
2. Valitse Järjestelmä > MLPP > Nimiavaruus > Res urssiprioriteetti nimiavaruuden verkko toimialue, lisää rekisteröidyt nimiavaruudet, kuten ”drsn”, ”dsn”, ”cuc”, ”uc”, ”q735". Valitse sitten yksi verkkotunnus oletusarvoiseksi.
3. Valitse Järjestelmä > MLPP > Nimi tila > Res urssi prioriteettinimiavaraluettelo, lisää nimiavaruusluettel ot.
Määritä SIP-profiili.
1. Valitse Laite > Laitteen asetukset > SIP-profiili ja lisää uusi SIP-profiili.
2. Valitse MLPP-käyttäjän valtuutus -valintaruutu, jos haluat puhelimen vaativan käyttäjätunnuksia MLPP-puheluihin.
3. Valitse määritetty resurssiprioriteettinimitila Resource Priority Namespace -kohd asta.
4. Valitse määritetty nimiavaruusluettelo Resource Priority Namespace List -luettelosta.
Määritä puhelin.
1. Valitse La ite > Puhelin, päivitä tai lisää puhelin.
2. Valitse määritetty SIP-profiili SI P-profiilista.
3. Määritä MLPP ja Confidential Access Level tiedot -osiossa parametrit MLPP -verkkotunnus, MLPP- indikaatio ja MLPP Pre emption.
Määritä hakemistonumero.
1. Valitse La ite > Puhelin, lisää tai päivitä linja.
2. Määritä kohdassa MLPP:n vaihtoehtoinen osapuoli ja Confidential Access Level asetukset parametrit Kohde (Kohde), MLPP-puhelun hakutila ja MLPP-vastaussoiton kesto (sekunteja).
3. Määritä parametri Bus y Trigger -osiossa Useiden puhelun/puhelun odotusasetukset.
Määritä loppukäyttäjä.
1. Valitse Käyttäjähallinta > Loppukäyttäjä ja lisää uusi.
2. Valitse Laiteyhteys liittääksesi käyttäjän määritettyyn puhelimeen.
3. Määritä parametrit osi ossa Mutilevel Priority and Preemption Authorization.
Voit määrittää MLPP: lle lisäparametrit todellisten tarpeidesi mukaan.
- Valitse Järjestelmä > Palveluparametri. Määritä parametrit kohdassa Klusterinlaajuiset parametrit (ominaisuus - monitasoinen etusija ja ennakointi).
- Valitse Järjestelmä > Palveluparametri. Määritä DSCP ensisijaisille puheluille kohdassa Clusterwide Parameters (System - QOS).
- Valitse Järjestelmä > Palveluparametri. Määritä MLPP-prioriteetti SRVP-prioriteettikartoitukseen kohdassa Klusterinlaajuiset parametrit (järjestelmä - RSVP).
- Määritä reitittimen mallit kohdasta Puhelun reititys > Reiti t/metsästys > Re itittimen kuvio.
- Määritä metsästyslentäjät kohdasta Puhelun reititys > Reiti t/metsästys > Hunt Pil ot.
- Määritä käännösmallit kohdasta Puhelun reititys > Käännöskuvio.
- Määritä yhdyskäytävät, rungot, oletuslaiteprofiili, käyttäjän laiteprofiili, yleinen laitekokoonpano MLPP:lle.

MLPP:tä käytetään usein ASSIP:n (Assured Services SIP) kanssa. Lisätietoja MLPP:n määrittämisestä on luvussa Määritä monitasoinen etusija ja ennakointi ominaisuuden määritysoppaassa. Cisco Unified Communications Manager

Määritä FAC ja CMC

Kun pakotetut valtuutuskoodit (FAC) tai Client Matter CMC (CMC) tai molemmat on määritetty puhelimessa, käyttäjien on annettava tarvittavat salasanat numeron soittamiseksi.

Lisätietoja FAC- ja CMC:n määrittämisestä on kohdassa Cisco Unified Communications Manager ”Asiakasasiain koodit ja pakotetut valtuutuskoodit” kohdasta Fe ature Configuration Guide for Cisco Unified Communications Manager Release 12.5 (1) tai uud emmassa.

VPN-määritykset

Cisco VPN -ominaisuus auttaa sinua säilyttämään verkon turvallisuuden ja antaa käyttäjille turvallisen ja luotettavan tavan muodostaa yhteys yritysverkkoon. Käytä tätä ominaisuutta, kun:

Puhelin sijaitsee luotettavan verkon ulkopuolella
Puhelimen välinen verkkoliikenne ja Cisco Unified Communications Manager epäluotettavan verkon yli

VPN:llä on kolme yleistä lähestymistapaa asiakkaan todentamiseen:

Digitaaliset sertifikaatit
Salasanat
Käyttäjätunnus ja salasana

Jokaisella menetelmällä on etunsa. Jos yrityksesi tietoturvakäytäntö sallii sen, suosittelemme varmenteisiin perustuvaa lähestymistapaa, koska varmenteet mahdollistavat saumattoman sisäänkirjautumisen ilman käyttäjän toimia. Sekä LSC- että MIC-varmenteita tuetaan.

Jos haluat määrittää minkä tahansa VPN-ominaisuuden, ota laite käyttöön ensin paikallisesti ja sitten voit ottaa laitteen käyttöön muualla kuin toimipaikassa.

Lisätietoja sertifioinnin todennuksesta ja VPN-verkon käyttämisestä on ohjeaiheessa Puhelimen määrittä minen AnyConnect VPN varmenteen todennuksella ASA:ssa.

Salasanan tai käyttäjänimen ja salasanan lähestyessä käyttäjää pyydetään antamaan kirjautumistietoja. Määritä käyttäjän kirjautumistiedot yrityksesi tietoturvakäytännön mukaisesti. Voit myös määrittää Ota salasanan pysyvyys käyttöön -asetuksen niin, että käyttäjän salasana tallennetaan puhelimeen. Käyttäjän salasana tallennetaan, kunnes joko epäonnistunut kirjautumisyritys tapahtuu, käyttäjä tyhjentää salasanan manuaalisesti tai puhelin nollaa tai menettää virran.

Toinen hyödyllinen työkalu on Ota automaattinen verkon tunnistus käyttöön -asetus. Kun otat tämän valintaruudun käyttöön, VPN-asiakas voi toimia vain, kun se havaitsee, että se on yritysverkon ulkopuolella. Tämä asetus on oletusarvoisesti poistettu käytöstä.

Cisco-puhelimesi tukee asiakastyyppinä Cisco SVC IPPhone Client v1.0.

Lisätietoja VPN:n määrittämisestä on kohdassa Omin Unified CM aisu uksien määritysopas Cisco Unified Communications Manager.

Cisco VPN -ominaisuus käyttää SSL (Secure Sockets Layer) verkon turvallisuuden säilyttämiseksi.

Cisco AI Assistant

Kiitos palautteestasi.