תודה על המשוב.

תכונות אבטחה מגנות מפני איומים, כולל איומים על זהות הטלפון ועל הנתונים. תכונות אלה מייצרות ושומרות על זרמי תקשורת מאומתים בין הטלפון לשרת Cisco Unified Communications Manager, ומבטיחות שהטלפון משתמש רק בקבצים חתומים דיגיטלית.

Cisco Unified Communications Manager מהדורה 8.5(1) ואילך כולל אבטחה כברירת מחדל, המספקת את תכונות האבטחה הבאות עבור טלפונים IP של Cisco מבלי להפעיל את לקוח CTL:

• חתימה על קבצי התצורה של הטלפון

• הצפנת קובץ תצורת הטלפון

• HTTPS עם Tomcat ושירותי אינטרנט אחרים

הטמעת אבטחה במערכת Cisco Unified Communications Manager מונעת גניבת זהות של הטלפון ושל שרת Cisco Unified Communications Manager, מונעת חבלה בנתונים ומונעת איתות שיחות וחבלה בזרם מדיה.

כדי להקל על איומים אלו, רשת הטלפוניה של Cisco IP מקימה ומתחזקת זרמי תקשורת מאובטחים (מוצפנים) בין טלפון לשרת, חותמת דיגיטלית על קבצים לפני שהם מועברים לטלפון, ומצפינה זרמי מדיה ואיתות שיחות בין טלפונים של Cisco IP.

אישור מקומי משמעותי (LSC) מותקן בטלפונים לאחר ביצוע המשימות הדרושות המשויכות לפונקציית Proxy Authority (CAPF). באפשרותך להשתמש ב- Cisco Unified Communications Manager Administration כדי להגדיר LSC, כמתואר במדריך האבטחה Cisco Unified Communications Manager. לחלופין, תוכל ליזום התקנה של LSC מתפריט אבטחה בטלפון. תפריט זה גם מאפשר לך לעדכן או להסיר LSC.

הטלפונים משתמשים בפרופיל האבטחה של הטלפון, המגדיר אם המכשיר אינו מאובטח או מאובטח. למידע על החלת פרופיל האבטחה על הטלפון, עיין בתיעוד עבור מהדורת Cisco Unified Communications Manager הספציפית שלך.

אם תגדיר הגדרות הקשורות לאבטחה ב-Cisco Unified Communications Manager Administration, קובץ התצורה של הטלפון מכיל מידע רגיש. כדי להבטיח את הפרטיות של קובץ תצורה, עליך להגדיר אותו להצפנה. למידע מפורט, עיין בתיעוד עבור מהדורת Cisco Unified Communications Manager הספציפית שלך.

הטבלה הבאה מספקת סקירה כללית של תכונות האבטחה שבהן הטלפונים תומכים. לפרטים נוספים, ראה תיעוד עבור גירסת Cisco Unified Communications Manager הספיציפי שלך.

הטבלה הבאה מכילה את הודעות האזעקה והמשמעות של עדכון רשימת האמון. לפרטים נוספים, ראה תיעוד Cisco Unified Communications Manager.

כאשר מיושמת אבטחה עבור טלפון, אתה יכול לזהות שיחות טלפון מאובטחות על ידי סמלים על מסך הטלפון. אתה יכול גם לקבוע אם הטלפון המחובר מאובטח ומוגן אם נשמע צליל אבטחה בתחילת השיחה.

בשיחה מאובטחת, כל איתות השיחות וזרמי המדיה מוצפנים. שיחה מאובטחת מציעה רמת אבטחה גבוהה, המעניקה שלמות ופרטיות לשיחה. כאשר שיחה מתבצעת מוצפנת, תוכל לראות את הסמל מאובטח על הקו.

ב- Cisco Unified Communications Manager, ניתן להקצות לטלפונים המוגדרים כמאובטחים (מוצפנים ומהימנים) מצב מוגן. לאחר ההגנה, ניתן להגדיר מכשירים אלה כך שישמיעו צליל אבטחה בתחילת כל שיחה.

• התקן מוגן:

  כדי לשנות את הסטטוס של טלפון מאובטח לטלפון מוגן:

  1. ב- Cisco Unified Communications Manager Administration, בחר התקן > טלפון.
  2. אתר את הטלפון שתגדיר.
  3. בחלון תצורת הטלפון, בחר בתיבת הסימון התקן מוגן.
  4. לחץ על שמור.

• הפעל צליל חיווי מאובטח:

  כדי לאפשר לטלפון המוגן להשמיע צליל חיווי מאובטח או לא מאובטח:

  1. ב- Cisco Unified Communications Manager Administration, בחר פרמטרים של מערכת >שירות.
  2. בחר את השרת ולאחר מכן את שירות Cisco CallManager .
  3. באזור Clusterwide parameters (Feature - Secure Tone), הגדר את צליל ההשמעה כך שיציין את ההגדרה מצב שיחה מאובטחת/לא מאובטחת כ - True.
  4. לחץ על שמור.

מכיוון שכל התקני ה-WLAN שנמצאים בטווח יכולים לקבל את כל תעבורת ה-WLAN האחרת, אבטחת תקשורת קולית היא קריטית ב-WLAN. כדי להבטיח שפורצים לא יבצעו מניפולציות ולא יירטו תעבורה קולית, ארכיטקטורת האבטחה Cisco SAFE תומכת בטלפון. לקבלת מידע נוסף אודות אבטחה ברשתות, ראה http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

פתרון הטלפוניה Cisco Wireless IP מספק אבטחת רשת אלחוטית המונעת כניסות לא מורשות ותקשורת בסכנה באמצעות שיטות האימות הבאות שבהן תומך הטלפון.

• פתח את האימות: כל מכשיר אלחוטי יכול לבקש אימות במערכת פתוחה. ה-AP שמקבל את הבקשה רשאי להעניק אימות לכל מבקש או רק למבקשים שנמצאים ברשימת משתמשים. ייתכן שהתקשורת בין ההתקן האלחוטי לנקודת הגישה (AP) אינה מוצפנת.

• אימות גמיש-פרוטוקול אימות מורחב באמצעות אימות מנהור מאובטח (EAP-FAST): ארכיטקטורת אבטחה זו של שרת-לקוח מצפינה טרנזקציות EAP בתוך מנהרת אבטחת רמת תעבורה (TLS) בין נקודת הגישה לשרת ה-RADIUS, כגון Identity Services Engine (ISE).

  מנהרת TLS משתמשת באישורי גישה מוגנת (PAC) לאימות בין הלקוח (טלפון) לשרת RADIUS. השרת שולח מזהה רשות (AID) ללקוח (טלפון), אשר בתורו בוחר את ה-PAC המתאים. הלקוח (טלפון) מחזיר PAC-Opaque לשרת RADIUS. השרת מפענח את ה-PAC עם המפתח הראשי. שתי נקודות הקצה מכילות כעת את מפתח PAC ונוצרת מנהרת TLS. EAP-FAST תומך בהקצאת PAC אוטומטית, אך עליך להפעיל אותה בשרת RADIUS.

  ב- ISE, כברירת מחדל, תוקפו של PAC פג בעוד שבוע. אם לטלפון יש PAC שפג תוקפו, האימות עם שרת RADIUS נמשך זמן רב יותר בזמן שהטלפון מקבל PAC חדש. כדי למנוע עיכובים בהקצאת PAC, הגדר את תקופת התפוגה של PAC ל-90 יום או יותר בשרת ISE או RADIUS.

• אימות פרוטוקול הרחבה-שכבת תחבורה (EAP-TLS) אימות: EAP-TLS דורש אישור לקוח עבור אימות וגישה לרשת. עבור EAP-TLS אלחוטי, אישור הלקוח יכול להיות MIC, LSC, או אישור המותקן על-ידי המשתמש.

• Protected Extensible Authentication Protocol (PEAP): סכימת אימות הדדי מבוססת סיסמאות קניינית של Cisco בין הלקוח (טלפון) לשרת RADIUS. הטלפון יכול להשתמש ב- PEAP לאימות עם הרשת האלחוטית. שתי שיטות אימות PEAP-MSCHAPV2 ו-PEAP-GTC נתמכות.

• מפתח משותף מראש (PSK): הטלפון תומך בתבניות ASCII והקסדצימליות (HEX). עליך להשתמש בתבניות אלה בעת הגדרת מפתח משותף מראש של WPA2/SAE.

  ASCII: מחרוזת של תווי ASCII באורך של 8 עד 63 תווים (0-9, אותיות קטנות a-z, אותיות גדולות A-Z ותווים מיוחדים). לדוגמה,GREG123567@9ZX &W.

  HEX: מחרוזת בעלת תו HEX באורך 64 ספרות הקסדצימאליות (0-9, a-f או A-F).

סכימות האימות הבאות משתמשות בשרת RADIUS לניהול מפתחות אימות:

• WPA2/WPA3: משתמש במידע שרת RADIUS כדי ליצור מפתחות ייחודיים לאימות. מכיוון שמפתחות אלה נוצרים בשרת ה-RADIUS המרכזי, WPA2/WPA3 מספק יותר אבטחה מאשר מפתחות משותפים מראש של WPA המאוחסנים ב-AP ובטלפון.

• נדידה מאובטחת מהירה: משתמש בשרת RADIUS ובמידע של שרת תחום אלחוטי (WDS) לניהול ואימות מפתחות. ה-WDS יוצר מטמון של אישורי אבטחה עבור התקני לקוח התומכים ב-FT לצורך אימות מחדש מהיר ומאובטח.

עם WPA2/WPA3, מפתחות הצפנה אינם מוזנים בטלפון, אלא נגזרים באופן אוטומטי בין נקודת הגישה לטלפון. אבל יש להזין את שם המשתמש והסיסמה של EAP המשמשים לאימות בכל טלפון.

כדי לסייע בהגנה על תעבורת הקול דרך הקישור האלחוטי, הטלפון תומך בהצפנה מבוססת AES לאימות WPA2/WPA3. AES הוא צופן בלוקים סימטרי המתוקנן על ידי NIST. AES משתמש בגודל בלוק קבוע של 128 סיביות ותומך בגדלי מפתח של 128 סיביות, 192 סיביות ו- 256 סיביות. ברשתות Wi-Fi, AES משמש חבילות הצפנה כגון CCMP או GCMP, בעוד שהאימות מסופק בנפרד על ידי PSK, SAE או 802.1X/EAP, בהתאם למצב האבטחה WLAN שהוגדר. חבילת הצופן הנתמכת וגודל המפתח תלויים בדגם הטלפון ובתצורת WLAN.

כאשר הטלפון משתמש בהצפנת AES, הן מנות האיתות SIP והן מנות פרוטוקול תעבורה בזמן אמת (RTP) הקוליות מוצפנות בין נקודת הגישה לטלפון.

סכימות אימות והצפנה מוגדרות בתוך ה-LAN האלחוטי. רשתות VLAN מוגדרות ברשת וב-APs ומציינים שילובים שונים של אימות והצפנה. SSID משויך ל-VLAN ולסכימת האימות וההצפנה המסוימת. כדי שהתקני לקוח אלחוטיים יוכלו לבצע אימות מוצלח, עליך להגדיר את אותם מזהי SSID עם סכימות האימות וההצפנה שלהם בנקודות הגישה ובטלפון.

סכימות אימות מסוימות דורשות סוגים ספציפיים של הצפנה.

ערכות האימות וההצפנה בטבלה הבאה מציגות את אפשרויות תצורת הרשת עבור Cisco Wireless Phone 9821 המתאים לתצורת נקודת גישה.

Cisco טלפון אלחוטי 9821 תומך באימות 802.1X עבור רשתות קוויות. בדרך כלל משתמשים בו במהלך הקצאה אוטומטית כאשר הטלפון מחובר למטען השולחני באמצעות מתאם USB-אל-Ethernet נתמך.

תמיכה באימות 802.1X ברשתות קוויות דורשת מספר רכיבים כדלקמן:

• טלפון Cisco IP: הטלפון יוזם את הבקשה לגישה לרשת. טלפון Cisco IP כולל מבקש 802.1X. מבקש זה מאפשר למנהל מערכת רשת לשלוט בקישוריות של טלפונים IP ליציאות מתג LAN. מהדורת הגרסה הנוכחית מבקש 802.1X של הטלפון משתמש באפשרויות EAP-FAST ו-EAP-TLS לאימות רשת.

• שרת אימות: שרת האימות והמתג חייבים להיות מוגדרים שניהם עם סוד משותף מסוג RADIUS.

• מתג: המתג חייב לתמוך ב- 802.1X, כך שהוא יכול לפעול כמאמת ולהעביר את הודעות EAP בין הטלפון לשרת האימות. לאחר השלמת ההחלפה, המתג מעניק או דוחה את גישת הטלפון לרשת.

טלפונים של Cisco IP ומתגי Cisco Catalyst משתמשים באופן מסורתי ב-Cisco Discovery Protocol (CDP) כדי לזהות זה את זה ולקבוע פרמטרים כגון הקצאת VLAN ודרישות הספק מוטבעות.

עליך לבצע את הפעולות הבאות כדי להגדיר את התצורה של 802.1X.

• הגדר CDP/LLDP מעקף קול VLAN.

• הגדר את שרת האימות ואת המתג לפני שתפעיל אימות 802.1X עבור רשתות קוויות בטלפון.

• הגדר את Voice VLAN: מכיוון שתקן 802.1X אינו מתייחס לרשתות VLAN, עליך להגדיר הגדרה זו בהתבסס על תמיכת המתגים.

  • מופעל: אם אתה משתמש במתג התומך באימות מרובה תחומים, באפשרותך להגדיר אותו לשימוש בקול VLAN.
  • נָכֶה: אם המתג אינו תומך באימות רב-דומיינים, השבת את ה-VLAN הקול ושקול להקצות את היציאה ל-VLAN המקורי.

• Cisco טלפון אלחוטי 9821 יש קידומת שונה PID מזה עבור טלפונים Cisco אחרים. כדי לאפשר לטלפון לעבור אימות 802.1X, הגדר את הרדיוס· פרמטר שם משתמש כדי לכלול את הטלפון האלחוטי Cisco שלך 9821.

  לדוגמה, ה-PID של Cisco Wireless Phone 9821 הוא WP-9821. באפשרותך להגדיר רדיוס· שם משתמש להתחיל עם WP או מכיל WP בשני הסעיפים הבאים:

  • מדיניות > תנאים > תנאי הספרייה

  • מדיניות > ערכות מדיניות> מדיניות הרשאה> כלל הרשאה 1