- בית
- /
- מאמר
תודה על המשוב.
במאמר זה
משוב?מאמר עזרה זה מיועד לסדרת הטלפון השולחני של סיסקו 9800 ולטלפון וידאו 8875 של סיסקו הרשומים ב- Cisco Unified Communications Manager.
באפשרותך לאפשר Cisco Unified Communications Manager לפעול בסביבת אבטחה משופרת. עם שיפורים אלה, רשת הטלפון שלך פועלת תחת קבוצה של בקרות אבטחה וניהול סיכונים קפדניות כדי להגן עליך ועל המשתמשים שלך.
סביבת האבטחה המשופרת כוללת את התכונות הבאות:
-
אימות חיפוש אנשי קשר (ל ספריות מותאמות אישית בלבד)
-
TCP כפרוטוקול ברירת המחדל לרישום ביקורת מרחוק
-
מצב FIPS
-
מדיניות אישורים משופרת
-
תמיכה במשפחת ה-hash SHA-2 לחתימות דיגיטליות
-
תמיכה בגודל מפתח RSA של 512 סיביות ו- 4096 סיביות
עם Cisco Unified Communications Manager מהדורה 14.0 וגרסת קושחת טלפון וידאו של סיסקו 2.1 ואילך, הטלפונים תומכים באימות SIP OAuth.
OAuth נתמך עבור פרוטוקול העברת קבצים טריוויאלי של פרוקסי (TFTP) עם Cisco Unified Communications Manager מהדורה 14.0 (1) SU1 ואילך. פרוקסי TFTP ו- OAuth עבור פרוקסי TFTP אינם נתמכים בנייד Remote Access (MRA).
לקבלת מידע נוסף אודות אבטחה, עיין בפרטים הבאים:
-
מדריך תצורת מערכת עבור Cisco Unified Communications Manager, מהדורה 14.0 (1) ואילך (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-installation-and-configuration-guides-list.html).
-
מדריך אבטחה עבור Cisco Unified Communications Manager (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-maintenance-guides-list.html)
תכונות אבטחה נתמכות
תכונות אבטחה מגנות מפני איומים, כולל איומים על זהות הטלפון ועל הנתונים. תכונות אלה מקימות ומקיימות זרמי תקשורת מאומתים בין הטלפון לש Cisco Unified Communications Manager רת ומבטיחות ש הטלפון משתמש רק בקבצים חתומים דיגיטלית.
Cisco Unified Communications Managerגרסה 8.5 (1) ואילך כוללת אבטחה כברירת מחדל, המספקת את תכונות האבטחה הבאות עבור טלפונים IP של Cisco מבלי להפעיל את לקוח CTL:
-
חתימה על קבצי תצורת הטלפון
-
הצפנת קובץ תצורת טלפון
-
HTTPS עם Tomcat ושירותי אינטרנט אחרים
תכונות איתות ומדיה מאובטחות עדיין דורשות ממך להפעיל את לקוח CTL ולהשתמש בחומ רה eTokens.
הטמעת אבטחה Cisco Unified Communications Manager במערכת מונעת גניבת זהות של הטלפון והש Cisco Unified Communications Manager רת, מונעת חבלה בנתונים ומונעת איתות שיחות והתעללות בזרם מדיה.
כדי להקל על איומים אלה, רשת הטלפוניה IP של סיסקו מקימה ושומרת על זרמי תקשורת מאובטחים (מוצפנים) בין טלפון לשרת, חותמת דיגיטלית על קבצים לפני שהם מועברים לטלפון ומצפינה זרמי מדיה ואיתות שיחות בין טלפונים IP של סיסקו.
אישור משמעותי מקומי (LSC) מותקן בטלפונים לאחר ביצוע המשימות הדרושות המשויכות לפונקציית ה- Certificate Authority Proxy (CAPF). באפשרותך להשתמש Cisco Unified Communications Manager Administration כדי להגדיר LSC, כמתואר במדריך הא Cisco Unified Communications Manager בטחה. לחלופין, באפשרותך ליזום התקנה של LSC מתפריט הגדרות האבטחה בטלפון. תפריט זה מאפשר לך גם לעדכן או להסיר LSC.
ממהדורת PhoneOS 3.2, ניתן להשתמש ב- LSC כאישור המשתמש עבור EAP-TLS עם אימות WLAN.
הטלפונים משתמשים בפרופיל האבטחה של הטלפון, המגדיר אם המכשיר אינו מאובטח או מאו בטח. לקבלת מידע אודות החלת פרופיל האבטחה בטלפון, עיין בתי עוד של המהדורה הספציפית Cisco Unified Communications Manager שלך.
אם תגדיר הגדרות הקשורות לאבטחה ב-Cisco Unified Communications Manager Administration, קובץ תצורת הטלפון מכיל מידע רגיש. כדי להבטיח את הפרטיות של קובץ תצורה, עליך להגדיר אותו להצפנה. לקבלת מידע מפורט, עיין בתי עוד של המהדורה הספצי Cisco Unified Communications Manager פית שלך.
הטלפון תואם לתקן עיבוד מידע פדרלי (FIPS). כדי לתפקד כראוי, מצב FIPS דורש גודל מפתח של 2048 סיביות ומעלה. אם האישור נמוך מ- 2048 סיביות, הטלפון לא יירשם Cisco Unified Communications Manager ו הטלפון נכשל ברישום. גודל מפתח אישור אינו תצוגות תואמות FIPS בטלפון.
אם לטלפון יש LSC, עליך לעדכן את גודל מפתח ה- LSC ל- 2048 סיביות ומעלה לפני הפעלת FIPS.
הטבלה הבאה מספקת סקירה כללית של תכונות האבטחה בהן תומכים הטלפונים . לקבלת מידע נוסף, עיין בתיעוד של המהדורה הספצי Cisco Unified Communications Manager פית שלך.
כדי להציג את מצב האבטחה, לחץ על הגדרות 
ונווט אל .
|
תכונה |
תיאור |
|---|---|
|
אימות תמונה |
קבצים בינאריים חתומים מונעים התערבות בתמונת הקושחה לפני טעינת התמונה בטלפון. התעסקות בתמונה גורמת לטלפון להיכשל בתהליך האימות ולד חות את התמונה החדשה. |
|
התקנת תעודת אתר לקוח |
כל טלפון IP של Cisco דורש אישור ייחודי לאימות המכשיר. הטלפונים כוללים אישור מותקן בייצור (MIC), אך לצורך אבטחה נוספת, באפשרותך לציין התקנת אישור Cisco Unified Communications Manager Administration באמצעות פונקציית ה- Certificate Authority Proxy (CAPF). לחלופין, באפשרותך להתקין אישור משמעותי מקומי (LSC) מתפריט תצורת האבטחה בטלפון. |
|
אימות התקנים |
מתרחש בין הש Cisco Unified Communications Manager רת לטלפון כאשר כל ישות מקבלת את האישור של הישות האחרת. קובע אם Cisco Unified Communications Manager צריך להתקיים חיבור מאובטח בין הטלפון לבין a; ובמידת הצורך, יוצר נתיב איתות מאובטח בין הי שויות באמצעות פרוטוקול TLS. Cisco Unified Communications Managerלא רו שם טלפונים אלא אם כן הוא יכול לאמת אותם. |
|
אימות קבצים |
מאמת קבצים חתומים דיגיטלית שהטלפון מוריד. הטלפון מאמת את החתימה כדי לוודא שלא התרחשה חבלה בקובץ לאחר יצירת הקובץ. קבצים שנכשלים באימות אינם נכתבים לזיכרון Flash בטלפון. הטלפון דוחה קבצים כאלה ללא עיבוד נוסף. |
|
הצפנת קבצים |
הצפנה מונעת חשיפת מידע רגיש בזמן שהקובץ עובר לטלפון. בנוסף, הטלפון מאמת את החתימה כדי לוודא שלא התרחשה חבלה בקובץ לאחר יצירת הקובץ. קבצים שנכשלים באימות אינם נכתבים לזיכרון Flash בטלפון. הטלפון דוחה קבצים כאלה ללא עיבוד נוסף. |
|
אימות איתות |
משתמש בפרוטוקול TLS כדי לאמת שלא התרחשה שום חבלה בחבילות איתות במהלך השידור. |
|
תעודת ייצור מותקנת |
כל טלפון IP של סיסקו מכיל תעודת ייצור ייחודית מותקנת (MIC), המשמש לאימות מכשירים. ה- MIC מספק הוכ חת זהות ייחודית קבועה לטלפון ומאפשר Cisco Unified Communications Manager לא מת את הטלפון. |
|
הצפנת מדיה |
משתמש ב- SRTP כדי להבטיח שזרמי מדיה בין התקנים נתמכים יתבררו מאובט חים ושרק ההתקן המיועד יקבל וקורא את הנתונים. כולל יצירת זוג מפתחות ראשי מדיה עבור המכשירים, מסירת המפתחות למכשירים וא בטחת מסירת המפתחות בזמן שהמפתחות נמצאים בתחבורה. |
|
CAPF (פונקציית פרוק Certificate Authority סי) |
מיישם חלקים מהליך יצירת האישורים שהם עתירי עיבוד מדי עבור הטלפון, ומקיים אינטראקציה עם הטלפון ליצירת מפתחות והתקנת תעודות. ניתן להגדיר את ה- CAPF כך שיבקש אישורים מרשויות אישורים שצוינו על ידי הלקוח מטעם הטלפון, או להגדיר אותו ליצירת אישורים באופן מקומי. שני סוגי המפתח EC (עקומת אליפטית) ו- RSA נתמכים. לקבלת מידע נוסף אודות CAPF ותצורות קשורות, עיין במס מכים הבאים: |
|
פרופיל אבטחה |
מגדיר אם הטלפון אינו מאובטח, מאומת, מוצפן או מוגן. ערכים אחרים בטבלה זו מתארים תכונות אבטחה. |
|
קבצי תצורה מוצפנים |
מאפשר לך להבטיח את הפרטיות של קבצי תצורת הטלפון. |
|
השבתת שרת אינטרנט אופציונלי לטלפון |
למטרות אבטחה, באפשרותך למנוע גישה לדפי האינטרנט עבור טלפון (המציג נתונים סטטיסטיים תפעוליים שונים עבור הטלפון) ופורטל טיפול עצמי. |
|
התקשות הטלפון |
אפשרויות אבטחה נוספות, שבהן אתה שולט מתוךCisco Unified Communications Manager Administration:
|
|
אימות 802.1X |
טלפון ה- IP של סיסקו יכול להשתמש באימות 802.1X כדי לבקש ולקבל גישה לרשת. לקבלת מידע נוסף, ראה אימות 802.1X. |
|
מעבר לכישלון SIP מאובטח עבור SRST |
לאחר שתקבע תצורה של הפניה לטלפוניה מרחוק של Survidable Remote Site Telephony (SRST) לא בטחה ולאחר מכן לאפס את ההתקנים התלויים ב-Cisco Unified Communications Manager Administration, שרת TFTP מוסיף את אישור ה- SRST לקובץ cnf.xml של הטלפון ושולח את הקובץ לטלפון. לאחר מכן טלפון מאובטח משתמש בחיבור TLS כדי ליצור אינטראקציה עם הנתב התומך ב- SRST. |
|
הצפנת איתות |
מבטיח שכל הודעות איתות SIP שנשלחות בין ההתקן לש Cisco Unified Communications Manager רת מוצפנות. |
|
אזעקת עדכון רשימת אמון |
כאשר רשימת האמון מתעדכנת בטלפון, היא מק Cisco Unified Communications Manager בלת אזעקה המציינת את ההצלחה או הכישלון של העדכון. עי ין בטבלה הבאה למידע נוסף. |
|
הצפנת AES 256 |
כאשר הם מחוברים ל Cisco Unified Communications Manager - Release 10.5 (2) ואילך, הטלפונים תומכים בתמיכה בהצפנת AES 256 עבור TLS ו- SIP לאיתות והצפנת מדיה. זה מאפשר לטלפונים ליזום ולתמוך בחיבורי TLS 1.2 באמצעות צופנים מבוססי AES-256 התואמים לתקני SHA-2 (Secure Hash Algorithm) ותואמים לתק ני עיבוד מידע פדרליים (FIPS). ה צופנים כוללים:
לקבלת מידע נוסף, עיין בתי Cisco Unified Communications Manager עוד. |
|
אישורי אלגוריתם חתימה דיגיטלית של עקומה אליפטית (ECDSA) |
כחלק מהסמכת קריטריונים משותפים (CC),Cisco Unified Communications Manager; נוספו אישורי ECDSA בגירסה 11.0. זה משפיע על כל מוצרי מערכת ההפעלה הקולית (VOS) שמריצים CUCM 11.5 וגרסאות מאוחרות יותר. |
|
תעודת טומקט מרובת שרתים (SAN) עם Cisco UCM | הטלפון תומך Cisco UCM בתעודות Tomcat מרובות שרתים (SAN) שהוגדרו. ניתן למצוא את כתובת שרת ה- TFTP הנכונה בקובץ ITL בטלפון לרישום הטלפון. לקבלת מידע נוסף אודות התכונה, עיין בפרטים הבאים: |
הטבלה הבאה מכילה את הודעות האזעקה והמשמעות של עדכון רשימת האמון. לקבלת מידע נוסף, עיין בתי Cisco Unified Communications Manager עוד.
| קוד והודעה | תיאור |
|---|---|
|
1 - TL_SUCCESS |
קיבלו CTL ו/או ITL חדשים |
|
2 - CTL_INITIAL_SUCCESS |
קיבל CTL חדש, ללא TL קיים |
|
3 - ITL_INITIAL_SUCCESS |
קיבל ITL חדש, ללא TL קיים |
|
4 - TL_INITIAL_SUCCESS |
קיבל CTL ו- ITL חדשים, ללא TL קיים |
|
5 - TL_FAILED_OLD_CTL |
עדכון ל- CTL חדש נכשל, אך יש לו TL קודם |
|
6 - TL_FAILED_NO_TL |
עדכון ל- TL חדש נכשל ואין לך TL ישן |
|
7 - TL_FAILED |
כישלון כללי |
|
8 - TL_FAILED_OLD_ITL |
עדכון ל- ITL חדש נכשל, אך יש לו TL קודם |
|
9 - TL_FAILED_OLD_TL |
עדכון ל- TL חדש נכשל, אך יש לו TL קודם |
התפריט 'הגדרת האבטחה 'מספק מידע על הגדרות אבטחה שונות. הת פריט מספק גם גישה לתפריט רשימת האמון ומציין אם קובץ CTL או ITL מותקן בטלפון.
הטבלה הבאה מתארת את האפשרויות בתפריט 'הגדרת האבטחה.
|
אופציה |
תיאור |
לשנות |
|---|---|---|
|
מצב אבטחה |
מציג את מצב האבטחה שהוגדר עבור הטלפון. |
מתוך, בחר התקן > טלפון. ההגדרה מופיעה בחלק מידע ספציפי לפרו טוקול בחלון תצורת הטלפון. |
|
LSC |
מציין אם אישור בעל משמעות מקומית המשמש לתכונות אבטחה מותקן בטלפון (מותקן) או אינו מותקן בטלפון (לא מותקן). |
לקבלת מידע אודות אופן ניהול ה- LSC עבור הטלפון שלך, עיין בתי עוד עבור המהדורה הספציפית שלךCisco Unified Communications Manager. |
הגדרת תעודה משמעותית מקומית (LSC)
משימה זו חלה על הגדרת LSC בשיטת מחרוזת האימות.
לפני שתתחיל
ודא שת צורות האבטחה המתאימות Cisco Unified Communications Manager ותצורת ה Certificate Authority - Proxy Function (CAPF) הושלמו:
-
לקובץ CTL או ITL יש אישור CAPF.
-
במ Cisco Unified Communications Operating System נהל, ודא כי אישור ה- CAPF מותקן.
-
ה- CAPF פועל ומוגדר.
לקבלת מידע נוסף אודות הגדרות אלה, עיין בתי עוד של המהדורה הספציפית Cisco Unified Communications Manager שלך.
| 1 |
השג את קוד אימות ה- CAPF שהוגדר בעת הגדרת ה- CAPF. |
| 2 |
בטלפון, לחץ על הגדרות |
| 3 |
אם תתבקש, הזן את הסיסמה כדי לגשת לתפריט ה הגדרות. אתה יכול לקבל את הסיסמה ממנהל המערכת שלך. |
| 4 |
נווט אל . באפשרותך לשלוט בגישה לתפריט הגדרות באמצעות השדה גישה להגדרות ב-Cisco Unified Communications Manager Administration. |
| 5 |
הזן את מחרוזת האימות ובחר שלח. הטלפון מתחיל להתקין, לעדכן או להסיר את ה- LSC, תלוי באופן הגדרת ה- CAPF. לאחר השלמת ההליך, מוצגים בטלפון מותקנים או לא מותק נים. תהליך ההתקנה, העדכון או ההסרה של LSC עשוי להימשך זמן רב. כאשר הליך התקנת הטלפון מוצלח, תוצג ההודעה המו
|
הפעל מצב FIPS
| 1 |
בתוךCisco Unified Communications Manager Administration, בחר ואתר את הטלפון. |
| 2 |
נווט לאזור תצורה ספציפית למוצר. |
| 3 |
הגדר את שדה מצב FIPS למצב מופ על. |
| 4 |
בחר שמור. |
| 5 |
בחר החל תצורה. |
| 6 |
הפעל מחדש את הטלפון. |
כבה את הרמקול, האוזניות והמכשיר בטלפון
יש לך אפשרויות לכבות לצמיתות את הרמקול, האוזניות והמכשיר בטלפון עבור המשתמש שלך.
| 1 |
בתוךCisco Unified Communications Manager Administration, בחר ואתר את הטלפון. |
| 2 |
נווט לאזור תצורה ספציפית למוצר. |
| 3 |
סמן אחת או יותר מתיבות הסימון הבאות כדי לכבות את יכולות הטלפון:
כברירת מחדל, תיבות סימון אלה אינן מסומנות. |
| 4 |
בחר שמור. |
| 5 |
בחר החל תצורה. |
אימות 802.1X
טלפוני ה- IP של סיסקו תומכים באימות 802.1X.
טלפונים IP של סיסקו ומתגי Cisco Catalyst משתמשים באופן מסורתי Cisco Discovery Protocol (CDP) כדי לזהות זה את זה ולקבוע פרמטרים כגון הקצאת VLAN ודרישות הספק מוטבע. CDP אינו מזהה תחנות עבודה מחוברות מקומיות. טלפונים IP של סיסקו מספקים מנגנון מעבר EAPOL. מנגנון זה מאפשר לתחנת עבודה המחוברת לטלפון ה- IP של סיסקו להעביר הודעות EAPOL למאמת 802.1X במתג ה- LAN. מנגנון המעבר מבטיח כי טלפון ה- IP אינו פועל כמתג ה- LAN לאימות נקודת קצה של נתונים לפני הגישה לרשת.
טלפוני IP של סיסקו מספקים גם מנגנון פרוקסי EAPOL Logoff. אם המחשב המחובר באופן מקומי מתנתק מטלפון ה- IP, מתג ה- LAN אינו רואה את הקישור הפיזי נכשל, מכיוון שהקישור בין מתג ה- LAN לטלפון ה- IP נשמר. כדי למנוע פגיעה בשלמות הרשת, טלפון ה- IP שולח הודעת EAPOL-Logoff למתג בשם המחשב במורד הזרם, מה שמפעיל את מתג ה- LAN כדי לנקות את ערך האימות עבור המחשב במורד הזרם.
תמיכה ב אימות 802.1X דורשת מספר רכיבים:
-
טלפון IP של סיסקו: הטלפון יוזם את הבקשה לגישה לרשת. טלפונים IP של סיסקו מכילים מתבקש 802.1X. מתחנן זה מאפשר למנהלי רשת לשלוט בקישוריות של טלפונים IP ליציאות מתג LAN. המהדורה הנוכחית של המבקש 802.1X של הטלפון משתמשת באפשרויות EAP-FAST ו- EAP-TLS לאימות רשת.
-
שרת אימות: יש להגדיר את שרת האימות ואת המתג עם סוד משותף המאמת את הטלפון.
-
מתג: המתג חייב לתמוך ב- 802.1X, כך שהוא יכול לשמש כמאמת ולהעביר את ההודעות בין הטלפון לשרת האימות. לאחר השלמת ההחלפה, המתג מעניק או שולל את הגישה לטלפון לרשת.
עליך לבצע את הפעולות הבאות כדי להגדיר את תצורת 802.1X.
-
הגדר את הרכיבים האחרים לפני שתפעיל אימות 802.1X בטלפון.
-
קביעת תצורה של יציאת מחשב: תקן 802.1X אינו מתייחס לרשתות VLAN ולכן ממליץ לאמת רק התקן בודד ליציאת מתג ספציפית. עם זאת, מתגים מסוימים תומכים באימות רב-דומיין. תצורת המתג קובעת אם ניתן לחבר מחשב ליציאת המחשב של הטלפון.
-
מופעל: אם אתה משתמש במתג התומך באימות רב-דומיין, באפשרותך להפעיל את יציאת המחשב ולחבר אליה מחשב. במקרה זה, טלפוני IP של סיסקו תומכים בפרוקסי EAPOL-Logoff כדי לפקח על חילופי האימות בין המתג למחשב המצורף.
לקבלת מידע נוסף אודות תמיכה ב- IEEE 802.1X במתגי Cisco Catalyst, עיין במדריכי התצורה של מתג Cisco Catalyst בכתובת:
http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
-
מושבת: אם המתג אינו תומך במספר התקנים תואמי 802.1X באותה יציאה, עליך להשבית את יציאת המחשב כאשר אימות 802.1X מופעל. אם לא תשבית יציאה זו ולאחר מכן תנסה לחבר אליה מחשב, המתג מונע גישה לרשת הן לטלפון והן למחשב האישי.
-
- קביעת תצורה של VLAN קולי: מכיוון שתקן 802.1X אינו מתייחס לרשתות VLAN, עליך להגדיר הגדרה זו בהתבסס על התמיכה במתג.
- מופעל: אם אתה משתמש במתג התומך באימות רב-דומיין, תוכל להמשיך להשתמש בו כדי להשתמש ב- VLAN הקולי.
- מושבת: אם המתג אינו תומך באימות רב-דומיין, השבת את ה- Voice VLAN ושקול להקצות את היציאה ל- VLAN המקורי.
- (עבור טלפון שולחני של סיסקו סדרת 9800 בלבד)
לסדרת Cisco Desk Phone 9800 יש קידומת שונה ב- PID מזו של הטלפונים האחרים של סיסקו. כדי לאפשר לטלפון שלך לעבור אימות 802.1X, הגדר את הפרמטר רדיוס·שם משתמש כך שיכלול את הטלפון השולחני של Cisco Series 9800 שלך.
לדוגמה, ה- PID של הטלפון 9841 הוא DP-9841; באפשרותך להגדיר רדיוס·שם משתמש כדי להתחיל עם DP או מכיל DP. -
הפעל אימות 802.1X
באפשרותך להפעיל אימות 802.1X עבור הטלפון שלך על-ידי ביצוע השלבים הבאים:
| 1 |
לחץ על הגדרות |
| 2 |
אם תתבקש, הזן את הסיסמה כדי לגשת לתפריט ה הגדרות. אתה יכול לקבל את הסיסמה ממנהל המערכת שלך. |
| 3 |
נווט אל . |
| 4 |
הפעל אימות IEEE 802.1X. |
| 5 |
בחר החל. |
הצגת מידע על הגדרות אבטחה בטלפון
באפשרותך להציג את המידע אודות הגדרות האבטחה בתפריט הטלפון. זמינות המידע תלויה בהגדרות הרשת בארגון שלך.
|
פרמטרים |
תיאור |
|---|---|
|
מצב אבטחה |
מציג את מצב האבטחה שהוגדר עבור הטלפון. |
|
LSC |
מציין אם אישור משמעותי מקומי המשמש לתכונות אבטחה מותקן בטלפון (כן) או שאינו מותקן בטלפון (לא). |
|
רשימת אמון |
רשימת האמון מספקת תפריטי משנה עבור קבצי התצורה CTL, ITL וחתומים. תפריט המשנה קובץ CTL מציג את התוכן של קובץ CTL. תפריט המשנה קובץ ITL מציג את התוכן של קובץ ITL. תפריט רשימת אמון מציג גם את המידע הבא:
|
| אימות 802.1X | הפעלת או השבתת אימות IEEE 802.1X. לקבלת פרטים, ראה אימות 802.1X. |
| תאימות לאחור עם WPA |
קובע אם הגרסה הוותיקה ביותר של גישה מוגנת Wi-Fi (WPA) תואמת בטלפון לחיבור לרשת אלחוטית או לנקודת גישה (AP).
תכונה זו זמינה רק בטלפונים 9861/9871/8875. |
| 1 |
לחץ על הגדרות |
| 2 |
נווט אל . |
| 3 |
ב הגדרות האבטחה, הצג את פרטי האבטחה. |
.אבטחת שיחות טלפון
כאשר מיושמת אבטחה עבור טלפון, באפשרותך לזהות שיחות טלפון מאובטחות לפי סמלים במסך הטלפון. באפשרותך גם לקבוע אם הטלפון המחובר מאובטח ומו גן אם צליל אבטחה מתנגן בתחילת השיחה.
בשיחה מאובטחת, כל איתות השיחות וזרמי המדיה מוצפנים. שי
חה מאובטחת מציעה רמה גבוהה של אבטחה, ומספקת שלמות ופרטיות לשיחה. כאשר שי
חה מתנהלת מוצפנת, תוכל לראות את הסמל המאובטח 
בקו. עבור טלפון מאובטח, באפשרותך גם להציג את הסמל המאומת 
או את הסמל המוצ 
פן לצד השרת המחובר בתפריט הטלפון ().
אם השיחה מנותבת דרך רגלי שיחות שאינן IP, לדוגמה, PSTN, השיחה עשויה להיות לא מאובטחת למרות שהיא מוצפנת בתוך רשת ה- IP ויש לה סמל נעילה המשויך אליה.
בשיחה מאובטחת, צליל אבטחה מתנגן בתחילת השיחה כדי לציין שהטלפון המחובר השני גם מקבל ומשדר שמע מאובטח. אם השיחה שלך מתחברת לטלפון לא מאובטח, צליל האבטחה אינו מופעל.
שיחות מאובטחות נתמכות לחיבורים בין שני טלפונים בלבד. תכונות מסוימות, כגון שיחות ועידה וקווים משותפים, אינן זמינות כאשר מוגדרת שיחה מאו בטחת.
כאשר טלפון מוגדר כמאובטח (מוצפן ואמין)Cisco Unified Communications Manager, ניתן לתת לו מצב מו גן
. לאחר מכן, אם תרצה, ניתן להגדיר את הטלפון המוגן להשמיע צליל אינדיקציה בתחילת שיחה:
-
התקן מוגן: כדי לשנות את המצב של טלפון מאובטח למוגן, סמן את תיבת הסימון התקן מוגן בחלון תצורת טלפון ב Cisco Unified Communications Manager Administration - ().
-
הפעל צליל אינדיקציה מאובטחת: כדי לאפשר לטלפון המוגן להשמיע צליל אינדיקציה מאובטח או לא מאובטח, הגדר את ההגדרה של צליל אינדיקציה מאובטחת ל- True. כברירת מחדל, הפעלת צליל אינדיקציה מאובטחת מוגדרת ל- False. אתה מגדיר אפשרות זו ב Cisco Unified Communications Manager Administration (). בחר את השרת ולאחר מכן את שירות מנהל התקשורת המאוחד. בחלון תצורת פרמטר שירות, בחר באפשרות באזור תכונה - טון מאובטח. ברירת המחדל היא False.
זיהוי שיחת ועידה מאובטחת
ניתן ליזום שיחת ועידה מאובטחת ולפקח על רמת האבטחה של המשתתפים. שיחת ועידה מאובטחת נוצרת באמצעות תהליך זה:
-
משתמש יוזם את הוועידה מטלפון מאובטח.
-
Cisco Unified Communications Managerמקצה גשר ועידה מאובטח לשיחה.
-
עם הוספת המשתתפים, Cisco Unified Communications Manager מאמת את מצב האבטחה של כל טלפון ושומר על הרמה המאובטחת של הכנס.
-
הטלפון מציג את רמת האבטחה של שיחת הוועידה. ועידה מאובטחת מציגה את הסמל המאובטח
.
שיחות מאובטחות נתמכות בין שני טלפונים. עבור טלפונים מוגנים, תכונות מסוימות, כגון שיחות ועידה, קווים משותפים וExtension Mobility, אינן זמינות כאשר מוגדרת שיחה מאובטחת.
הטבלה הבאה מספקת מידע על שינויים ברמות האבטחה של הוועי דה בהתאם לרמת האבטחה של הטלפון היוזם, רמות האבטחה של המשתתפים והזמינות של ג שרי ועידה מאובטחים.
|
רמת האבטחה של הטלפון היוזם |
תכונה משומשת |
רמת האבטחה של המשתתפים |
תוצאות פעולה |
|---|---|---|---|
|
לא מאובטח |
כנס |
מאובטח |
גשר ועידה לא מאובטח ועידה לא מאובטחת |
|
מאובטח |
כנס |
לפחות חבר אחד אינו מאובטח. |
גשר ועידה מאובטח ועידה לא מאובטחת |
|
מאובטח |
כנס |
מאובטח |
גשר ועידה מאובטח ועידה מאובטחת ברמה מוצפנת |
|
לא מאובטח |
פגוש אותי |
רמת האבטחה המינימלית מוצפנת. |
היוזם
מקבל הודעה
|
|
מאובטח |
פגוש אותי |
רמת האבטחה המינימלית אינה מאובטחת. |
גשר ועידה מאובטח ועידה מקבלת את כל השיחות. |
זיהוי שיחות טלפון מאובטח
שיחה מאובטחת נוצרת כאשר הטלפון שלך, והטלפון בקצה השני, מוגדרים לשיחות מאובטחות. הטלפון השני יכול להיות באותה רשת IP של סיסקו, או ברשת מחוץ לרשת ה- IP. ניתן לבצע שיחות מאובטחות רק בין שני טלפונים. שיחות ועידה צריכות לתמוך בשיחה מאובטחת לאחר הגדרת גשר ועידה מאובטח.
שיחה מאובטחת נקבעת באמצעות תהליך זה:
-
משתמש יוזם את השיחה מטלפון מאובטח (מצב אבטחה מאובטח).
-
הטלפון מציג את הסמל המאובטח
במסך הטלפון. סמל זה מציין שהטלפון
מוגדר לשיחות מאובטחות, אך אין זה אומר שהטלפון המחובר האחר מאובטח
גם הוא. -
המשתמש שומע צליל אבטחה אם השיחה מתחברת לטלפון מאובטח אחר, המציין כי שני קצוות השיחה מוצפנים ומאובטחים. אם השיחה מת חברת לטלפון לא מאובטח, המשתמש אינו שומע את צליל האבטחה.
שיחות מאובטחות נתמכות בין שני טלפונים. עבור טלפונים מוגנים, תכונות מסוימות, כגון שיחות ועידה, קווים משותפים וExtension Mobility, אינן זמינות כאשר מוגדרת שיחה מאובטחת.
רק טלפונים מוגנים מנגנים צלילי אינדיקציה מאובטחים או לא מאובטחים אלה. טלפונים לא מוגנים לעולם לא מנגנים צלילים. אם מצב השיחה הכולל משתנה במהלך השיחה, צליל האינדיקציה משתנה והטלפון המוגן מנגן את הטון המתאים.
טלפון מוגן מנגן צליל או לא בנסיבות אלה:
-
כאשר האפשרות הפעל צליל אינדיקציה מאובטחת מופעלת:
-
כאשר הוקמה מדיה מאובטחת מקצה לקצה ומצב השיחה מאובטח, הטלפון מנגן את צליל האינדיקציה המאובטח (שלושה צפצופים ארוכים עם הפסקות).
-
כאשר נקבעת מדיה לא מאובטחת מקצה לקצה ומצב השיחה אינו מאובטח, הטלפון מנגן את צליל האינדיקציה הלא מאובטח (שישה צפצופים קצרים עם הפסקות קצרות).
-
אם האפשרות Play Secure Indication Tone מושבתת, לא יושמע צליל.
לספק הצפנה לדוברה
Cisco Unified Communications Managerבודק את מצב האבטחה של הטלפון בעת קביעת ועידות ומשנה את אינדיקציה האבטחה של הוועידה או חוסם את השלמת השיחה כדי לשמור על שלמות ואבטחה במערכת.
משתמש אינו יכול להתפרץ לשיחה מוצפנת אם הטלפון המשמש לדברה אינו מוגדר להצפנה. כאשר הדוברה נכשלת במקרה זה, צליל סדר מחדש (תפוס מהיר) מתנ גן בטלפון בו החלה הדוברה.
אם הטלפון היוזם מוגדר להצפנה, יוזם הדוברה יכול להתפרץ לשיחה לא מאובטחת מהטלפון המוצפן. לאחר שהדוברה מתרחשת, מסוו Cisco Unified Communications Manager ג את השיחה כלא מאובטחת.
אם הטלפון היוזם מוגדר להצפנה, יוזם הדוברה יכול להתפרץ לשיחה מוצפנת , והטלפון מציין שהשיחה מוצפנת.
אבטחת WLAN
מכיוון שכל התקני WLAN הנמצאים בטווח יכולים לקבל את כל תעבורת ה- WLAN האחרת, אבטחת תקשורת קולית היא קריטית ברשתות WLAN. כדי להבטיח שהפולשים לא יעשו מניפולציות או יירטו תנועה קולית, ארכיטקטורת ה- SAFE Security של Cisco תומכת בטלפון. לקבלת מידע נוסף אודות אבטחה ברשתות, ראה http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.
פתרון טלפוניה IP אלחוטית של Cisco מספק אבטחת רשת אלחוטית המונעת כניסות לא מורשות ותקשורת שנפגעה באמצעות שיטות האימות הבאות בהן הטלפון תומך:
-
אימות פתוח: כל התקן אלחוטי יכול לבקש אימות במערכת פתוחה. ה- AP שמקבל את הבקשה רשאי להעניק אימות לכל מבקש או רק למבקשים שנמצאים ברשימת משתמשים. התקשורת בין ההתקן האלחוטי לנקודת הגישה (AP) עשויה להיות לא מוצפנת.
-
פרו@@ טוקול אימות הניתן להרחבה-אימות גמיש באמצעות אימות מנהור מאובטח (EAP-FAST): ארכיטקטורת אבטחה זו של לקוח-שרת מצפינה עסקאות EAP בתוך מנהרת אבטחה ברמת תחבורה (TLS) בין נקודת הגישה לשרת RADIUS, כגון מנוע שירותי זהות (ISE).
מנהרת ה- TLS משתמשת באישורי גישה מוגנים (PAC) לאימות בין הלקוח (טלפון) לשרת RADIUS. השרת שולח מזהה רשות (AID) ללקוח (טלפון), אשר בתורו בוחר את ה- PAC המתאים. הלקוח (הטלפון) מחזיר פאק-אטום לשרת RADIUS. השרת מפענח את ה- PAC עם המפתח הראשי. שתי נקודות הקצה מכילות כעת את מפתח PAC ונוצרת מנהרת TLS. EAP-FAST תומך בהקצאת PAC אוטומטית, אך עליך להפעיל אותה בשרת RADIUS.
ב- ISE, כברירת מחדל, תוקף ה- PAC יפוג בעוד שבוע. אם לטלפון יש PAC שפג תוקפו, האימות עם שרת RADIUS לוקח זמן רב יותר בזמן שהטלפון מקבל PAC חדש. כדי למנוע עיכובים בהקצאת PAC, הגדר את תקופת התפוגה של PAC ל-90 יום או יותר בשרת ISE או RADIUS.
-
אימות הניתן להרחבת-אימות פרוטוקול אבטחת שכבת הובלה (EAP-TLS): EAP-TLS דורש אישור לקוח לצורך אימות וגישה לרשת. עבור EAP-TLS אלחוטי, אישור הלקוח יכול להיות MIC, LSC או אישור המותקן על ידי המשתמש.
-
פרוטוקול אימות מוגן להרחבה (PEAP): ע רכת אימות הדדית מבוססת סיסמה קניינית של סיסקו בין הלקוח (הטלפון) לשרת RADIUS. הטלפון יכול להשתמש ב- PEAP לאימות עם הרשת האלחוטית. הן שיטות האימות PEAP-MSCHAPV2 והן PEAP-GTC נתמכות.
-
מפתח משותף מראש (PSK): הטלפון תומך בפורמט ASCII. עליך להשתמש בתבנית זו בעת הגדרת מפתח משותף מראש של WPA/WPA2/SAE:
ASCII: מחרוזת תווים ASCII באורך של 8 עד 63 תווים (0-9, אותיות קטנות וגדולות A-Z ותווים מיוחדים)
דוגמה: גר ג123567 @9ZX &W
ערכות האימות הבאות משתמשות בשרת RADIUS לניהול מפתחות אימות:
-
WPA/WPA2/WPA3: משתמש במידע שרת RADIUS כדי ליצור מפתחות ייחודיים לאימות. מכיוון שמפתחות אלה נוצרים בשרת RADIUS המרכזי, WPA2/WPA3 מספק אבטחה רבה יותר מאשר מפתחות WPA המשותפים מראש המאוחסנים ב- AP ובטלפון.
-
נדידה מאובטחת מהירה: משתמש בשרת RADIUS ובמידע על שרת תחום אלחוטי (WDS) לניהול ואימות מפתחות. ה- WDS יוצר מטמון של אישורי אבטחה עבור התקני לקוח התומכים ב- FT לצורך אימות חוזר מהיר ומאובטח. טלפון שולחן העבודה של סיסקו 9861 ו- 9871 וטלפון וידאו של סיסקו 8875 תומכים ב- 802.11r (FT). הן באוויר והן דרך ה- DS נתמכים כדי לאפשר נדידה מאובטחת מהירה. אך אנו ממליצים בחום להשתמש בשיטת 802.11r (FT) באוויר.
עם WPA/WPA2/WPA3, מפתחות הצפנה אינם מוזנים בטלפון, אלא נגזרים אוטומטית בין AP לטלפון. אך יש להכניס את שם המשתמש והסיסמה של EAP המשמשים לאימות בכל טלפון.
כדי להבטיח שתעבורת הקול מאובטחת, הטלפון תומך ב- TKIP ו- AES להצפנה. כאשר מנגנונים אלה משמשים להצפנה, הן מנות ה- SIP האיתות והן מנות פרוטוקול הובלה בזמן אמת (RTP) מוצפנות בין ה- AP לטלפון.
- TKIP
-
WPA משתמש בהצפנת TKIP שיש לה מספר שיפורים לעומת WEP. TKIP מספק הצפנת מפתח לכל מנה וקטורי אתחול ארוכים יותר (IV) המחזקים את ההצפנה. בנוסף, בדיקת תקינות ההודעה (MIC) מבטיחה שלא ישתנו חבילות מוצפנות. TKIP מסיר את יכולת החיזוי של WEP המסייעת לפולשים לפענח את מפתח ה- WEP.
- AES
-
שיטת הצפנה המשמשת לאימות WPA2/WPA3. תקן לאומי זה להצפנה משתמש באלגוריתם סימטרי בעל אותו מפתח להצפנה ופענוח. AES משתמשת בהצפנת שרשרת חסימת צופן (CBC) בגודל 128 סיביות, התומכת בגדלי מפתח של 128 סיביות, 192 סיביות ו -256 סיביות, לכל הפחות. הטלפון תומך בגודל מפתח של 256 סיביות.
טלפון שולחן העבודה של סיסקו 9861 ו- 9871 וטלפון הווידיאו של סיסקו 8875 אינם תומכים בפרוטוקול תקינות המפתח של סיסקו (CKIP) עם CMIC.
תוכניות אימות והצפנה מוגדרות בתוך ה- LAN האלחוטי. VLAN מוגדרים ברשת וב- AP ומציינים שילובים שונים של אימות והצפנה. SSID משויך ל- VLAN ולתוכנית האימות וההצפנה המסוימת. כדי שהתקני לקוח אלחוטיים יאותרו בהצלחה, עליך להגדיר את אותם SSIDs עם תוכניות האימות וההצפנה שלהם ב- AP ובטלפון.
תוכניות אימות מסוימות דורשות סוגים ספציפיים של הצפנה.
- כאשר אתה משתמש במפתח משותף מראש של WPA, מפתח משותף מראש של WPA2 או SAE, המפתח המשותף מראש חייב להיות מוגדר באופן סטטי בטלפון. מקשים אלה חייבים להתאים למפתחות הנמצאים ב- AP.
-
הטלפון תומך במשא ומתן אוטומטי של EAP עבור FAST או PEAP, אך לא עבור TLS. עבור מצב EAP-TLS, עליך לציין אותו.
ערכות האימות וההצפנה בטבלה הבאה מציגות את אפשרויות תצורת הרשת עבור הטלפון התואמות לתצורת AP.
| סוג FSR | אימות | ניהול מפתח | הצפנה | מסגרת ניהול מוגנת (PMF) |
|---|---|---|---|---|
| 802.11r (רגל) | PSK |
WPA-PSK WPA-PSK-SHA256 FT-PSK | AES | לא |
| 802.11r (רגל) | WPA3 |
SAE FT-SAE | AES | הן |
| 802.11r (רגל) | EAP-TLS |
WPA-EAP FT-EAP | AES | לא |
| 802.11r (רגל) | EAP-TLS (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | הן |
| 802.11r (רגל) | EAP-FAST |
WPA-EAP FT-EAP | AES | לא |
| 802.11r (רגל) | EAP-FAST (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | הן |
| 802.11r (רגל) | EAP-PEAP |
WPA-EAP FT-EAP | AES | לא |
| 802.11r (רגל) | EAP-PEAP (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | הן |
קביעת תצורה של פרופיל LAN אלחוטי
באפשרותך לנהל את פרופיל הרשת האלחוטית שלך על-ידי קביעת תצורה של אישורים, פס תדרים, שיטת אימות וכן הלאה.
זכור את ההערות הבאות לפני שתקבע את התצורה של פרופיל WLAN:
- שם משתמש וסיסמה
כאשר הרשת משתמשת ב- EAP-FAST וב- PEAP לאימות משתמש, עליך להגדיר את שם המשתמש והסיסמה במידת הצורך בשירות משתמש חיוג לאימות מרחוק (RADIUS) ובטלפון.
- האישורים שתזינו בפרופיל LAN אלחוטי חייבים להיות זהים לאישורים שהגדרת בשרת RADIUS.
אם אתה משתמש בדומיינים ברשת שלך, עליך להזן את שם המשתמש עם שם התחום, בתבנית:
domain\ username.
-
הפעולות הבאות עלולות לגרום לניקוי סיסמת ה- Wi-Fi הקיימת:
- הזנת מזהה משתמש או סיסמה לא חוקיים
- התקנת CA שורש לא חוקי או שפג תוקפו כאשר סוג EAP מוגדר ל- PEAP-MSCHAPV2 או PEAP-GTC
- השבתת סוג EAP בשימוש בשרת RADIUS לפני העברת הטלפון לסוג EAP החדש
- כדי לשנות את סוג ה- EAP, ודא שהפעלת תחילה את סוג ה- EAP החדש בשרת RADIUS ולאחר מכן העבר את הטלפון לסוג EAP. כאשר כל הטלפונים שונו לסוג EAP החדש, תוכל להשבית את סוג ה- EAP הקודם אם תרצה.
| 1 |
בתוך, בחר התקן > הגדרות התקן > פרופיל LAN אלחוטי. |
| 2 |
בחר את פרופיל הרשת שברצונך להגדיר. |
| 3 |
הגדר את הפרמטרים. |
| 4 |
לחץ על שמור. |
הגדר את הפרמטרים של SCEP
פרוטוקול רישום אישורים פשוט (SCEP) הוא התקן להקצאה אוטומטית ו חידוש אישורים. שרת SCEP יכול לשמור באופן אוטומטי על אישורי המשתמש והשרת שלך.
עליך להגדיר את הפרמטרים הבאים של SCEP בדף האינטרנט של הטלפון שלך
-
כתובת ה- IP RA
-
טביעת אצבע SHA-1 או SHA-256 של אישור CA השורש עבור שרת SCEP
רשות Cisco IOS הרישום (RA) משמשת כפרוקסי לשרת SCEP. לקוח SCEP בטלפון משתמש בפרמטרים שהורדו ממנהל התקשורת המאוחד של סיסקו. לאחר הגדרת הפרמטרים, הטלפון שולח בקשת SCEP
getcs ל- RA ואישור CA השורש מאומת באמצעות טביעת האצבע המו
גדרת.
לפני שתתחיל
בשרת SCEP, הגדר את סוכן הרישום של SCEP (RA) כך:
- לפעול כנקודת אמון של PKI
- לפעול כ- PKI RA
- ביצוע אימות התקנים באמצעות שרת RADIUS
לקבלת מידע נוסף, עיין בתיעוד שרת SCEP שלך.
| 1 |
מתוךCisco Unified Communications Manager Administration, בחר . |
| 2 |
אתר את הטלפון. |
| 3 |
גלול לאזור פריסת תצורה ספציפית למוצר. |
| 4 |
הזן את כתובת ה- IP או את שם המארח של RA בש דה שרת WLAN SCEP ולאחר מכן בחר בתיבת הסימון להפעלת הפרמטר SCEP. |
| 5 |
הזן את טביעת האצבע SHA-1 או SHA-256 של אישור ה- CA השורש בשדה טביעת אצבע של WLAN Root CA (SHA256 או SHA1) ולאחר מכן בחר בתיבת הסימון כדי להפעיל את הפר מטר SCEP QED. |
| 6 |
בחר שמור. |
| 7 |
בחר החל תצורה. |
הגדר את הגרסאות הנתמכות של TLS
באפשרותך להגדיר את הגרסה המינימלית של TLS הנדרשת עבור הלקוח והשרת בהתאמה.
כברירת מחדל, גרסת ה- TLS המינימלית של השרת והלקוח היא 1.2. ההגדרה מש פיעה על הפונקציות הבאות:
- חיבור גישה לאינטרנט HTTPS
- התחברות לטלפון מקומי
- הצטרפות לנייד ו- Remote Access (MRA)
- שירותי HTTPS, כגון שירותי המדריך
- אבטחת שכבת תחבורה של דאטגרם (DTLS)
- ישות גישה ליציאה (PAE)
- פרוטוקול אימות הניתן להרחבה-אבטחת שכבת הובלה (EAP-TLS)
לקבלת מידע נוסף אודות תאימות TLS 1.3 לטלפוני IP של סיסקו, ראה מטריצת תאימות TLS 1.3 עבור מוצרי שיתוף פעולה של סיסקו.
| 1 |
היכנס Cisco Unified Communications Manager Administration כמנהל מערכת. |
| 2 |
נווט לאחד מהחלונות הבאים: |
| 3 |
הגדר את השדה הגרסה המינימלית של לקוח TLS: האפשרות "TLS 1.3" זמינה ב- Cisco Unified CM 15SU2 ואילך.
|
| 4 |
הגדר את השדה הגרסה המינימלית של שרת TLS:
מהדורת PhoneOS 3.2, ההגדרה של השדה "השבת TLS 1.0 ו- TLS 1.1 עבור גישה לאינטרנט" אינה משפיעה על הטלפונים. |
| 5 |
לחץ על שמור. |
| 6 |
לחץ על החל תצורה. |
| 7 |
הפעל מחדש את הטלפונים. |
שירותים מובטחים SIP
שירותי אבטחה SIP (AS-SIP) הוא אוסף של תכונות ופרוטוקולים המציעים זרימת שיחות מאובטחת ביותר עבור טלפונים IP של סיסקו וטלפונים של צד שלישי. התכונות הבאות ידועות ביחד בשם AS-SIP:
- עדיפות רב-שכבתית וקדמה (MLPP)
- נקודת קוד שירותים מובחנים (DSCP)
- אבטחת שכבת תחבורה (TLS) ופרוטוקול הובלה מאובטח בזמן אמת (SRTP)
- פרוטוקול אינטרנט גרסה 6 (IPv6)
AS-SIP משמש לעתים קרובות עם עדיפות ורב-שכבתית (MLPP) כדי לתעדף שיחות בשעת חירום. עם MLPP, אתה מקצה רמת עדיפות לשיחות היוצאות שלך, מרמה 1 (נמוכה) לרמה 5 (גבוהה). כאשר אתה מקבל שיחה, סמל רמת עדיפות מוצג בטלפון המציג את עדיפות השיחה.
כדי להגדיר את AS-SIP, השלם את המשימות הבאות ב: Cisco Unified Communications Manager
- קביעת תצורה של משתמש תקציר — הגדר את משתמש הקצה לשימוש באימות עיכול לבקשות SIP.
- הגדר יציאה מאובטחת של טלפון SIP- Cisco Unified Communications Manager משתמש ביציאה זו להאזנה לטלפונים SIP לרישומי קו SIP באמצעות TLS.
- הפעל מחדש שירותים - לאחר קביעת התצורה של היציאה המאובטחת, הפעל מחדש את Cisco Unified Communications Manager שירותי ספק CTL של Cisco. קביעת תצורה של פרופיל SIP עבור AS-SIP - הגדר פרופיל SIP עם הגדרות SIP עבור נקודות הקצה של AS-SIP שלך ועבור גזעי SIP שלך. הפרמטרים הספציפיים לטלפון אינם מורידים לטלפון AS-SIP של צד שלישי. הם משמשים רק על ידי מנהל מאוחד של סיסקו. טלפונים של צד שלישי חייבים להגדיר באופן מקומי את אותן הגדרות.
- קביעת תצורה של פרופיל אבטחת טלפון עבור AS-SIP — באפשרותך להשתמש בפרופיל האבטחה של הטלפון כדי להקצות הגדרות אבטחה כגון TLS, SRTP ואימות עיכול.
- קביעת תצורה של נקודת קצה AS-SIP—קביעת תצורה של טלפון IP של Cisco או נקודת קצה של צד שלישי עם תמיכה ב-AS-SIP.
- שיוך התקן למשתמש קצה — שייך את נקודת הקצה למשתמש.
- קביעת תצורה של פרופיל אבטחת תא מטען SIP עבור AS-SIP — ניתן להשתמש בפרופיל האבטחה של תא המטען SIP כדי להקצות תכונות אבטחה כגון TLS או אימות עיכול לתא מטען SIP.
- קביעת תצורה של תא מטען SIP עבור AS-SIP - הגדר תא מטען SIP עם תמיכה ב-AS-SIP.
- קביעת תצורה של תכונות AS-SIP — קביעת תצורה של תכונות AS-SIP נוספות כגון MLPP, TLS, V.150 ו- IPv6.
לקבלת מידע מפורט אודות קביעת תצורה של AS-SIP, עיין בפרק "קביעת תצורה של נקודות קצה AS-SIP" במדריך תצורת תכונות עבור. Cisco Unified Communications Manager
עדיפות רב-שכבתית וקדמה
עדיפות ורב-שכבתית (MLPP) מאפשרת לך לתעדף שיחות במקרי חירום או מצבי משבר אחרים. אתה מקצה עדיפות לשיחות היוצאות שלך שנעות בין 1 ל -5. שיחות נכנסות מציגות סמל ואת עדיפות השיחה. משתמשים מאומתים יכולים להקדים שיחות לתחנות ממוקדות או באמצעות גזעי TDM מנויים במלואם.
יכולת זו מבטיחה לאנשי צוות בכירים תקשורת לארגונים ואנשי צוות קריטיים.
אם המספר שחויג מנוהל על ידי תבנית תרגום/מסלול המוגדרת עלUnified CM, יוזם השיחות של MLPP יכול לראות גם את הסמל המיוחד של MLPP ואת רמת העדיפות על מסך הטלפון ויכול לשמוע את צליל הצלצול. התנהגות זו מושגת לאחר שחרור PhoneOS 3.4.
תכונת MLPP לטלפונים PhoneOS דורשת Unified CM מהדורה 15SU3 ואילך.
תצורת MLPP מופעלת Unified CM
כדי להגדיר את התכונה, בצע את הפעולות הבאות:
- הגדר דומיינים ורשימות תחומים.
- מתוךCisco Unified CM Administration, בחר חומי MLPP חדשים.
- בחר אבים, הוסף מרחבי שמות רשומים כגון "drsn", "dsn", "cuc", "uc", "q735". לאחר מכן בחר שם תחום אחד להיות ברירת המחדל.
- בחר רחבי שמות.
- הגדר פרופיל SIP.
- בחר , הוסף פרופיל SIP חדש.
- סמן את תיבת הסימון הרשאת משתמש MLPP אם ברצונך שהטלפון ידרוש אישורי משתמש עבור שיחות MLPP.
- בחר את מרחב השמות של עדיפות המשאבים שהוגדר מתוך מרחב שמות עדיפות משאבים.
- בחר את רשימת מרחב השמות שהוגדר מתוך רשימת מ רחבי שמות עדיפות משאבים.
- הגדר את הטלפון.
- בחר , עדכן או הוסף טלפון.
- בחר את פרופיל ה- SIP שהוגדר מתוך פרופיל SIP.
- תחת הקטע MLPP Confidential Access Level ומידע, הגדר את הפרמטרים ת חום MLPP, אינדיקציה MLPP ו- MLPP Pre emption.
- הגדר מספר ספרייה.
- בחר , הוסף או עדכן קו.
- תחת הקטע צד חלופי ו Confidential Access Level הגדרות MLPP, הגדר את הפרמטרים י עד (יעד), מ רחב חיפוש שיחות MLPP ו- MLPP משך צלצול ללא תשובה (שניות).
- תחת הקטע הגדרות המתנה לשיחה/שיחה מרובות, הגדר את הפרמטר טריגר תפוס.
- הגדר משתמש קצה.
- בחר , הוסף משתמש חדש.
- לחץ על שיוך התקנים כדי לשייך את המשתמש לטלפון שהוגדר.
- תחת הקטע עדיפות ר ב-שכבתית ואישור קדמה, קבע את התצורה של הפרמטרים.
- אתה יכול להגדיר פרמטרים נוספים עבור MLPP בהתאם לדרישות שלך בפועל.
- בחר . הגדר את הפרמטרים תחת הקטע פר מטרים רחבי אשכול (תכונה - עדיפות רב-שכבתית וקדמה).
- בחר . הגדר את DSCP לשיחות עדיפות תחת הקטע פרמטרים ברחבי אשכול (מערכת - QOS).
- בחר . הגדר עדיפות MLPP למיפוי עדיפות SRVP תחת הקטע פרמטרים רחבי אשכול (מערכת - RSV P).
- הגדר דפוסי נתב מ- .
- קביעת תצורה של טייסי ציד מ .
- קביעת תצורה של דפוסי תרגום .
- קביעת תצורה של שערים, גזעים, פרופיל התקן ברירת מחדל, פרופיל התקן משתמש, תצורת התקן משותפת עבור MLPP.
MLPP משמש לעתים קרובות עם שירותים מובטחים SIP (AS-SIP). לקבלת מידע מפורט אודות קביעת תצורה של MLPP, עיין בפרק קביעת תצורה של עדיפות ורב-רמות מראש במדריך תצורת תכונות עבור. Cisco Unified Communications Manager
הגדר FAC ו- CMC
כאשר קודי ההרשאה הכפויה (FAC) או קודי עניין לקוח (CMC), או שניהם מוגדרים בטלפון, על המשתמשים להכניס את הסיסמאות הנדרשות כדי לחייג מספר.
לקבלת מידע נוסף אודות הגדרת FAC ו- CMC ב-Cisco Unified Communications Manager, עי ין בפרק "קודי עניין לקוח וקודי הרשאה כפויים" במדריך תצורת תכונות עבורCisco Unified Communications Manager, מהדורה 12.5 (1) ואילך.
תצורת VPN
תכונת ה- VPN של Cisco עוזרת לך לשמור על אבטחת הרשת תוך מתן למשתמשים שיטה בטוחה ואמינה להתחבר לרשת הארגונית שלך. השתמש בתכונה זו כאשר:
- טלפון ממוקם מחוץ לרשת מהימנה
- תעבורת רשת בין הטלפון וחו Cisco Unified Communications Manager צה רשת לא מהימנה
עם VPN, ישנן שלוש גישות נפוצות לאימות לקוח:
- תעודות דיגיטליות
- סיסמאות
- שם משתמש וסיסמה
לכל שיטה יש יתרונות. אבל אם מדיניות האבטחה הארגונית שלך מאפשרת זאת, אנו ממליצים על גישה מבוססת אישורים מכיוון שהאישורים מאפשרים כניסה חלקה ללא כל התערבות של המשתמש. הן תעודות LSC והן תעודות MIC נתמכות.
כדי להגדיר כל אחת מתכונות ה- VPN, ספק תחילה את ההתקן באופן מקומי ולאחר מכן תוכל לפרוס את ההתקן מחוץ למתחם.
לקבלת מידע נוסף אודות אימות הסמכה ועבודה עם רשת VPN, ראה קביעת תצורה AnyConnect VPN של טלפון עם אימות אישורים ב- ASA.
עם גישה של סיסמה, או שם משתמש וסיסמה, המשתמש מתבקש להגיש אישורי כניסה. הגדר את אישורי הכניסה למשתמש בהתאם למדיניות האבטחה של החברה שלך. באפשרותך גם לקבוע את התצורה של הגדרת הפעל סיסמה כך שסיסמת המשתמש תישמר בטלפון. סיסמת המשתמש נשמרת עד שמתרחש ניסיון כניסה כושל, משתמש מנקה את הסיסמה באופן ידני או שהטלפון יאפס או יאבד חשמל.
כלי שימושי נוסף הוא ההגדרה הפעל זיהוי רשת אוטומטי. כאשר אתה מפעיל תיבת סימון זו, לקוח ה- VPN יכול לפעול רק כאשר הוא מזהה שהוא נמצא מחוץ לרשת הארגונית. הגדרה זו מושבתת כברירת מחדל.
הטלפון של סיסקו שלך תומך בלקוח IPPhone של Cisco SVC v1.0 כסוג הלקוח.
לקבלת מידע נוסף אודות אופן הגדרת התצורה של VPNUnified CM, ראה מדריך תצורת תכונות עבור Cisco Unified Communications Manager.
תכונת ה- VPN של סיסקו משתמשת בשכבת שקעים מאובטחים (SSL) לשמירה על אבטחת הרשת.
