Cisco IP Phone sigurnost na 9800/8875 (višeplatformski)

Konfiguriraj opcije DHCP

Možete postaviti redoslijed kojim vaš telefon koristi opcije DHCP. Za pomoć s opcijama DHCP pogledajte DHCP podrška za opciju.

1	Pristupite web stranici administracije telefona.
2	Odaberite Glas > Dodjeljivanje resursa.
3	U Profil konfiguracije odjeljak, postavite DHCP Mogućnost korištenja i DHCPv6 opcija za korištenje parametri kako je opisano u nastavku: DHCP Mogućnost korištenja : DHCP opcije, odvojene zarezima, koriste se za dohvaćanje firmvera i profila. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.XML): `<DHCP_Option_To_Use ua="na">66,160,159,150</DHCP_Option_To_Use>` Zadano: `66,160,159,150` ili `66,160,159,150,60,43,125`, ovisno o modelu telefona DHCPv6 opcija za korištenje DHCPv6 opcije, odvojene zarezima, koriste se za dohvaćanje firmvera i profila. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.XML): `<DHCPv6_Option_To_Use ua="na">17,160,159</DHCPv6_Option_To_Use>` Zadano: `17,160,159`
4	Kliknite Pošalji sve promjene.

Podrška za opciju DHCP

Sljedeća tablica navodi opcije DHCP koje su podržane na telefonima sa sustavom PhoneOS.

Mrežni standard	Opis
DHCP opcija 1	Maska podmreže
DHCP opcija 2	Vremenski pomak
DHCP opcija 3	Usmjernik
DHCP opcija 6	Poslužitelj domenskih imena
DHCP opcija 15	Naziv domene
DHCP opcija 17	Podaci specifični za dobavljača koji identificiraju dobavljača
DHCP opcija 41	IP vrijeme zakupa adrese
DHCP opcija 42	NTP poslužitelj
DHCP opcija 43	Informacije specifične za dobavljača Može se koristiti za pružanje SCEP konfiguracije.
DHCP opcija 56	NTP poslužitelj NTP konfiguracija poslužitelja s IPv6
DHCP opcija 60	Identifikator klase dobavljača
DHCP opcija 66	TFTP naziv poslužitelja
DHCP opcija 125	Podaci specifični za dobavljača koji identificiraju dobavljača
DHCP opcija 150	TFTP poslužitelj
DHCP opcija 159	Poslužitelj za opskrbu IP
DHCP opcija 160	URL za pružanje usluga

Postavite minimalnu verziju TLS za klijenta i poslužitelja

Prema zadanim postavkama, minimalna verzija TLS za klijenta i poslužitelja je 1.2. To znači da klijent i poslužitelj prihvaćaju uspostavljanje veza s TLS 1.2 ili novijim. Podržana maksimalna verzija TLS za klijenta i poslužitelja je 1.3. Kada je konfigurirano, minimalna verzija TLS koristit će se za pregovore između klijenta TLS i poslužitelja TLS.

Možete postaviti minimalnu verziju TLS za klijenta i poslužitelja, kao što su 1.1, 1.2 ili 1.3.

Prije nego što počnete

Provjerite podržava li poslužitelj TLS konfiguriranu minimalnu verziju TLS. Možete se konzultirati s administratorom sustava za kontrolu poziva.

1	Pristupite web stranici administracije telefona.
2	Odaberite Glas > Sustav.
3	U odjeljku Sigurnosne postavke, konfigurirajte parametar TLS Minimalna verzija klijenta. TLS 1.1 Klijent TLS podržava verzije TLS od 1.1 do 1.3. Ako je verzija TLS na poslužitelju starija od 1.1, tada se veza ne može uspostaviti. TLS 1.2 (zadano): Klijent TLS podržava TLS 1.2 i 1.3. Ako je verzija TLS na poslužitelju starija od 1.2, na primjer 1.1, tada se veza ne može uspostaviti. TLS 1.3 Klijent TLS podržava samo TLS 1.3. Ako je verzija TLS na poslužitelju starija od 1.3, na primjer 1.2 ili 1.1, tada se veza ne može uspostaviti. Ako želite postaviti parametar "TLS Client Min Version" na "TLS 1.3", provjerite podržava li poslužiteljska strana TLS 1.3. Ako poslužiteljska strana ne podržava TLS 1.3, to bi moglo uzrokovati kritične probleme. Na primjer, operacije pružanja usluga ne mogu se izvoditi na telefonima. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.XML): `<TLS_Client_Min_Version ua="na">TLS 1.2</TLS_Client_Min_Version>` Dopuštene vrijednosti: TLS 1.1, TLS1.2 i TLS 1.3. Zadana vrijednost: TLS 1.2
4	U odjeljku Sigurnosne postavke, konfigurirajte parametar TLS Minimalna verzija poslužitelja. Webex Calling ne podržava TLS 1.1. TLS 1.1 Poslužitelj TLS podržava verzije TLS od 1.1 do 1.3. Ako je verzija TLS u klijentu starija od 1.1, tada se veza ne može uspostaviti. TLS 1.2 (zadano): Poslužitelj TLS podržava TLS 1.2 i 1.3. Ako je verzija TLS u klijentu starija od 1.2, na primjer 1.1, tada se veza ne može uspostaviti. TLS 1.3 Poslužitelj TLS podržava samo TLS 1.3. Ako je verzija TLS u klijentu starija od 1.3, na primjer 1.2 ili 1.1, tada se veza ne može uspostaviti. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.XML): `<TLS_Server_Min_Version ua="na">TLS 1.2</TLS_Server_Min_Version>` Dopuštene vrijednosti: TLS 1.1, TLS1.2 i TLS 1.3. Zadana vrijednost: TLS 1.2
5	Kliknite Pošalji sve promjene.

Omogućivanje načina FIPS

Telefon možete uskladiti s Federalnim standardima obrade informacija (FIPS).

FIPS je skup standarda koji opisuju obradu dokumenata, algoritme za šifriranje i druge standarde informacijske tehnologije za upotrebu unutar nevojne vlade te od strane vladinih izvođača i dobavljača koji rade s agencijama. CiscoSSL FOM (FIPS Object Module) je pažljivo definirana softverska komponenta dizajnirana za kompatibilnost s CiscoSSL bibliotekom, tako da se proizvodi koji koriste CiscoSSL biblioteku i API mogu pretvoriti u korištenje FIPS 140-2 validirane kriptografije uz minimalan napor.

1	Pristupite web stranici administracije telefona.
2	Odaberite Glas > Sustav.
3	U Sigurnosne postavke odjeljak, odaberite Da ili Ne od FIPS način rada parametar.
4	Kliknite Pošalji sve promjene. Kada omogućite FIPS, sljedeće značajke besprijekorno rade na telefonu: Provjera autentičnosti slike Sigurna pohrana Šifriranje konfiguracijske datoteke TLS: HTTP-ovi Prijenos PRT-a Nadogradnja firmvera Ponovna sinkronizacija profila Usluga na brodu Webex uvođenje u službu SIP over TLS 802.1x (žično) SIP sažetak (RFC 8760) SRTP Webex zapisnici poziva i Webex direktorij Jedan gumb za pritisak (OBTP)

Postavite korisničku i administratorsku lozinku

Nakon što se telefon prvi put registrira u sustavu za upravljanje pozivima ili nakon što izvršite tvorničko vraćanje telefona, morate postaviti korisničku i administratorsku lozinku kako biste poboljšali sigurnost telefona. Nakon što postavite lozinke, možete pristupiti web sučelju telefona.

Prema zadanim postavkama, korisnička i administratorska lozinka su prazne. Stoga možete pronaći problem "Nije navedena lozinka" na Postavke > Problemi i dijagnostika > Problemi ekran telefona.

1	Pristup web-stranici za administraciju telefona
2	Odaberite Glas > Sustav.
3	(Neobavezno) U odjeljku Konfiguracija sustava postavite parametar Prikaži upozorenja o lozinkama na Da, a zatim kliknite Pošalji sve promjene. Parametre možete omogućiti i u konfiguracijskoj datoteci telefona (cfg.XML). `<Display_Password_Warnings ua="na">Da</Display_Password_Warnings>` Zadana: da Mogućnosti: Da\|Ne Ako je parametar postavljen na Ne, upozorenje o lozinki se ne prikazuje na zaslonu telefona.
4	Pronađite parametar Korisnička lozinka ili Administratorska lozinka i kliknite Promijeni lozinku pored parametra.
5	Unesite trenutnu korisničku lozinku u polje Stara lozinka . Ako nemate lozinku, polje ostavite prazno. Zadana vrijednost je prazna.
6	Unesite novu lozinku u polje Nova lozinka . Važeća pravila za lozinke: Lozinka mora sadržavati najmanje 8 do 127 znakova. Kombinacija (3/4) velikog slova, malog slova, broja i posebnog znaka. Prostor nije dopušten. Ako nova lozinka ne ispunjava uvjete, postavka će biti odbijena.
7	Kliknite Pošalji. Na web-stranici prikazat će se poruka `Lozinka je uspješno promijenjena.` Web stranica će se osvježiti za nekoliko sekundi. Nakon što postavite korisničku lozinku, ovaj parametar prikazuje sljedeće u datoteci za konfiguraciju telefona XML (cfg.XML): `<!-- <Admin_Password ua="na">**********</Admin_Password><Korisnička_lozinka ua="rw">**************</Korisnička_lozinka> -->`

802.1X autentifikacija

Cisco IP telefoni podržavaju protokol 802.1X za provjeru autentičnosti.

Cisco IP telefoni i prespojnici Cisco Catalyst uobičajeno upotrebljavaju Cisco protokol za otkrivanje (engl. Cisco Discovery Protocol, CDP) kako bi identificirali jedni druge i utvrditi parametre kao što su alokacija VLAN-a i zahtjevi za linijsko napajanje. CDP ne prepoznaje lokalno priložene radne stanice. Cisco IP telefoni osiguravaju prolaz EAPOL kroz mehanizam. Ovaj mehanizam omogućuje radnoj stanici priloženoj Cisco IP telefonu da propusti poruke EAPOL-a protokolu 802.1X za provjeru autentičnosti na prespojniku LAN-a. Mehanizam prolaza osigurava da IP telefon ne djeluje kao prespojnik LAN-a za provjeru autentičnosti krajnje točke podataka prije pristupanja mreži.

Cisco IP telefoni također pružaju proxy mehanizam za odjavu s EAPOL-a. Ako lokalno priključeno računalo prekine vezu s IP telefona, prespojnik LAN-a ne vidi da fizički link ne uspijeva, jer se održava veza između prespojnika LAN-a i IP telefona. Kako biste izbjegli ugrožavanje integriteta mreže, IP telefon šalje poruku EAPOL odjave prespojniku u ime računala koje prima podatke, što aktivira prespojnik LAN-a kako bi se očistio unos za provjeru autentičnosti za računalo koje prima podatke.

Podrška protokola 802.1X za provjeru autentičnosti zahtijeva nekoliko komponenti:

Cisco IP telefoni: telefon inicira zahtjev za pristup mreži. Cisco IP telefoni sadrže alt za slanje zamolbe u protokolu 802.1X Ovaj alat za slanje zamolbe omogućuje administratorima mreže kontrolu povezanosti IP telefona s LAN ulazima za prespajanje. Trenutačno izdanje alata za slanje zamolbe u protokolu 802.1X telefona upotrebljava mogućnosti EAP-FAST i EAP-TLS za provjeru autentičnosti mreže.
Autentifikacijski poslužitelj: Autentifikacijski poslužitelj i sklopka moraju biti konfigurirani s dijeljenim tajnim kodom koji autentificira telefon.
Prespojnik: prespojnik mora podržavati protokol 802.1X, tako da može djelovati kao alat za provjeru autentičnosti i propuštati poruke između telefona i poslužitelja za provjeru autentičnosti. Nakon dovršetka razmjene, prespojnik odobrava ili odbija odobriti pristup telefona mreži.

Kako biste konfigurirali protokol 802.1X, morate izvršiti radnje navedene u nastavku.

Konfigurirajte ostale komponente prije nego što omogućite protokol 802.1X za provjeru autentičnosti na telefonu.
Konfiguracija PC ulaza: standard 802.1X ne uzima u obzir VLANs i stoga preporučuje provjeru autentičnosti za samo jedan uređaj za određeni ulaz za prespajanje. Međutim, neki prespojnici podržavaju provjeru autentičnosti višestrukih domena. Konfiguracija prespojnika određuje možete li računalo povezati na PC ulaz na telefonu.
- Omogućeno: ako upotrebljavate prespojnik koji podržava provjeru autentičnosti višestrukih domena, možete omogućiti PC ulaz i na njega povezati računalo. U ovom slučaju, Cisco IP telefoni podržavaju proxy EAPOL-odjavu za nadzor provjere autentičnosti razmjena između prespojnika i priključenog računala.
  
  Za više informacija o podršci protokola IEEE 802.1X na prespojnicima Cisco Catalyst, pogledajte upute za konfiguriranje prespojnika Cisco Catalyst na web-mjestu:
  
  http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
- Onemogućeno: ako prespojnik ne podržava više uređaja kompatibilnih s protokolom 802.1X na istom priključku, trebali biste onemogućiti PC ulaz kada se omogući protokol 802.1X za provjeru autentičnosti. Ako ne onemogućite ovaj ulaz, a zatim pokušate priključiti računalo na njega, prespojnik odbija pristup mreži i telefonu i računalu.
Konfiguriranje Glasovnog VLAN-a: Budući da standard 802.1X ne računa na VLAN-ove, trebali biste konfigurirati ovu postavku na temelju podrške prespojnika.
- Omogućeno: ako upotrebljavate prespojnik koji podržava provjeru autentičnosti višestrukih domena, možete ga nastaviti upotrebljavati za glasovni VLAN.
- Onemogućeno: ako prespojnik ne podržava provjeru autentičnosti višestukih domena, onemogućite glasovni VLAN i razmislite o dodjeljivanju ulaza izvornom VLAN-u.
(Samo za Cisco stolni telefon serije 9800)
Cisco Stolni telefon serije 9800 ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili telefonu 802.1X autentifikaciju, postavite parametar Radius·User-Name tako da uključuje vaš Cisco stolni telefon serije 9800.
Na primjer, PID telefona 9841 je DP-9841; možete postaviti Radius·User-Name na Počinje s DP ili Sadrži DP. Možete ga postaviti u oba sljedeća odjeljka:
- Pravila > Uvjeti > Uvjeti knjižnice
- Pravila > Skupovi pravila > Pravila autorizacije > Pravilo autorizacije 1

Omogući 802.1X autentifikaciju na web stranici telefona

Kada je omogućena 802.1X autentifikacija, telefon koristi 802.1X autentifikaciju za zahtjev za pristup mreži. Kada je 802.1X autentifikacija onemogućena, telefon koristi Cisco Discovery Protocol (CDP) za dobivanje VLAN i pristupa mreži.

Možete odabrati certifikat (MIC/SUDI ili CDC) koji se koristi za 802.1X autentifikaciju. Za više informacija o CDC-u pogledajte Certifikat prilagođenog uređaja na 9800/8875.

Status transakcije i sigurnosne postavke možete vidjeti na izborniku zaslona telefona. Za više informacija pogledajte izbornik sigurnosnih postavki na telefonu.

1	Omogući 802.1X autentifikaciju. Odaberite Glasovni Sustav i postavite parametar Omogući 802.1X provjeru autentičnosti na Da . Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.XML): `<Enable_802.1X_Authentication ua="rw">Da<//Enable_802.1X_Authentication>` Dopuštene vrijednosti: Da\|Ne Zadano: Ne
2	Odaberite jedan od sljedećih instaliranih certifikata koji se koriste za 802.1X autentifikaciju. Opcije vrijednosti: Instalirana proizvodnja: MIC/SUDI. Prilagođena instalacija: Prilagođeni certifikat uređaja (CDC). Konfiguracija se razlikuje ovisno o mreži: Za žičanu mrežu odaberite Glas > Sustav, odaberite vrstu certifikata s padajućeg popisa Odabir certifikata u odjeljku 802.1X autentifikacija. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.XML): `<Certificate_Select ua="rw">Prilagođena instalacija</Certificate_Select>` Važeće vrijednosti: Ugrađeno u proizvodnji\|Ugrađeno po narudžbi Zadano: Instalirana proizvodnja Za bežičnu mrežu odaberite Glas > Sustav, odaberite vrstu certifikata s padajućeg popisa Odaberite certifikat u odjeljku Wi-Fi Profil 1. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.XML): `<Wi-Fi_Certificate_Select_1_ ua="rw">Prilagođena instalacija<//Wi-Fi_Certificate_Select_1_>` Važeće vrijednosti: Ugrađeno u proizvodnji\|Ugrađeno po narudžbi Zadano: Instalirana proizvodnja
3	Konfigurirajte parametar ID korisnika koji će se koristiti kao identitet za 802.1X autentifikaciju u žičanoj mreži. Konfiguracija parametra stupa na snagu samo kada se CDC koristi za žičanu 802.1X autentifikaciju (Odabir certifikata postavljen je na Prilagođeno instalirano). Prema zadanim postavkama, ovaj parametar je prazan. Identitet za žičanu 802.1X mrežu varira ovisno o odabranom certifikatu: Ako je odabrano MIC/SUDI, identitet žičane 802.1X mreže predstavljen je na sljedeći način: <Naziv proizvoda> + RUJAN<MAC adresa>. Primjeri: DP-98xx-SEP<MAC adresa>, CP-8875-SEP<MAC adresa>. Ako je odabran CDC, Uobičajeni naziv u CDC-u koristi se kao identitet za žični 802.1X. Ako ID korisnika prazan i Zajednički naziv u CDC-u je konfiguriran, tada će žičani 802.1X koristiti Zajednički naziv CDC-a kao identitet. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.XML): `<Wired_User_ID ua="na"></Wired_User_ID>` Važeće vrijednosti: Maksimalno 127 znakova Zadano: prazno Ovaj parametar također podržava makro varijable za proširenje, vidi Varijable za proširenje makroa za detalje. Ako želite koristiti opcije DHCP za dodjelu korisničkog ID-a, pogledajte Dodjelu zajedničkih imena ili korisničkog ID-a putem opcije DHCP 15.
4	Kliknite Pošalji sve promjene.

Izbornik sigurnosnih postavki na telefonu

Informacije o sigurnosnim postavkama možete pregledati na izborniku telefona. Navigacijski put je:Postavke > Mrežne i servisne > Sigurnosne postavke. Dostupnost informacija ovisi o mrežnim postavkama u vašoj tvrtki ili ustanovi.

Parametri	Mogućnosti	Zadano	Opis
Autentifikacija uređaja	Uključi Off	Off	Omogućuje ili onemogućuje provjeru autentičnosti 802.1X na telefonu. Postavka parametra može se zadržati nakon registracije telefona Out-Of-Box (OOB).
Status transakcije		Onemogućeni	Prikazuje stanje provjere autentičnosti 802.1X. Država može biti (ne ograničavajući se na): Provjera autentičnosti: Označava da je postupak provjere autentičnosti u tijeku. Provjera autentičnosti: označava da je telefon autentificiran. Onemogućeno: označava da je na telefonu onemogućena provjera autentičnosti 802.1x.
Protokol		Ništa	Prikazuje metodu EAP koja se koristi za provjeru autentičnosti 802.1X. Protokol može biti EAP-FAST ili EAP-TLS.
Vrsta korisničkog certifikata	Instalirana proizvodnja Prilagođeno instalirano	Instalirana proizvodnja	Odabire certifikat za provjeru autentičnosti 802.1X tijekom početnog upisa i obnovu certifikata. Instalirana proizvodnja – koristi se certifikat instalirane proizvodnje (MIC) i sigurni jedinstveni identifikator uređaja (SUDI). Prilagođeno instalirano – koristi se certifikat prilagođenog uređaja (CDC). Ova vrsta certifikata može se instalirati bilo ručnim prijenosom na web-stranicu telefona ili instalacijom s poslužitelja protokola Simple Certificate Enrollment Protocol (SCEP). Ovaj parametar pojavljuje se na telefonu samo kada je omogućena provjera autentičnosti uređaja.
Kompatibilnost sa starijim verzijama s WPA	Uključi Off	Off	Određuje je li najstarija verzija zaštićenog pristupa Wi-Fi (WPA) kompatibilna na telefonu za povezivanje s bežičnom mrežom ili pristupnom točkom (AP). Ako je omogućeno, telefon može pretraživati bežične mreže i povezivati se s njima uz podržane sve verzije WPA, uključujući WPA, WPA2 i WPA3. Osim toga, telefon može pretraživati i povezivati se s AP-ovima koji podržavaju samo najstariju verziju WPA. Ako je onemogućeno (zadano), telefon može pretraživati i povezivati se samo s bežičnim mrežama i AP-ovima koji podržavaju WPA2 i WPA3. Ova je značajka dostupna samo na telefonima 9861/9871/8875.

Postavljanje proxy poslužitelja

Telefon možete konfigurirati tako da koristi proxy poslužitelj kako bi poboljšao sigurnost. Obično HTTP proxy poslužitelj može pružiti sljedeće usluge:

Usmjeravanje prometa između unutarnjih i vanjskih mreža
Filtriranje, nadzor ili bilježenje prometa
Predmemoriranje odgovora radi poboljšanja performansi

Također, HTTP proxy poslužitelj može djelovati kao vatrozid između telefona i Interneta. Nakon uspješne konfiguracije, telefon se povezuje s internetom putem proxy poslužitelja koji štiti telefon od cyber napada.

Kada je konfigurirana, značajka HTTP proxyja primjenjuje se na sve aplikacije koje koriste HTTP protokol. Na primjer:

GDS (uvođenje aktivacijskog koda)
Aktivacija EDOS uređaja
Uključivanje u Webex Cloud (putem EDOS-a ili GDS-a)
Prilagođeni CA
Dobavljanje
Nadogradnja firmvera
Izvješće o stanju telefona
PRT prijenos
XSI usluge
Webex usluge

Trenutno značajka podržava samo IPv4.
Postavke HTTP proxyja mogu se zadržati nakon registracije telefona kao gotovog uređaja (OOB).

1	Pristupite web stranici administracije telefona.
2	Odaberite Glas > Sustav.
3	U odjeljku HTTP Postavke proxy poslužitelja odaberite proxy način rada s padajućeg popisa Način proxy poslužitelja i konfigurirajte povezane parametre. Dodatne informacije o parametrima i potrebnim parametrima za svaki proxy način rada potražite u odjeljku Parametri za postavke HTTP proxy poslužitelja .
4	Kliknite Pošalji sve promjene.

Parametri za postavke HTTP proxy poslužitelja

Sljedeća tablica definira funkciju i korištenje parametara HTTP proxy poslužitelja u odjeljku Postavke HTTP proxyja u odjeljku Voice > System Tab u web-sučelju telefona. Također definira sintaksu niza koji se dodaje u konfiguracijsku datoteku telefona (cfg. xml) s XML kodom za konfiguriranje parametra.

Parametar	Opis
Proxy način rada	Određuje HTTP proxy način koji telefon koristi ili onemogućuje značajku HTTP proxyja. Auto Telefon automatski dohvaća Proxy Auto-Configuration (PAC) datoteku za odabir proxy poslužitelja. U ovom načinu možete odrediti želite li koristiti protokol Web Proxy Auto Discovery (WPAD) za dohvaćanje PAC datoteke ili ručno unijeti valjani URL PAC datoteke. Detalje o parametrima potražite u parametrima "Web Proxy Auto Discovery" i "PAC URL" u ovoj tablici. Ručne Morate ručno navesti poslužitelj (naziv glavnog računala ili IP adresu) i priključak proxy poslužitelja. Detalje o parametrima potražite u člancima Glavno računalo proxy poslužitelja i Proxy priključak. Off Onemogućite značajku HTTP proxy na telefonu. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Proxy_Mode ua="rw">Isključeno</Proxy_Mode>` Na web-sučelju telefona odaberite proxy način rada ili onemogućite značajku. Dopuštene vrijednosti: Automatsko, Ručno i Isključeno Zadano: isključeno
Automatsko otkrivanje web-proxy poslužitelja	Određuje koristi li telefon protokol za automatsko otkrivanje web-proxy poslužitelja (WPAD) za dohvaćanje PAC datoteke. WPAD protokol koristi DHCP ili DNS ili oba mrežna protokola za automatsko pronalaženje Proxy Auto Configuration (PAC) datoteke. PAC datoteka se koristi za odabir proxy poslužitelja za zadani URL. Ova se datoteka može hostirati lokalno ili na mreži. Konfiguracija parametra stupa na snagu kada je način proxy postavljen na Automatski. Ako ste parametar postavili na Ne, morate navesti PAC URL. Pojedinosti o parametru potražite u parametru "PAC URL" u ovoj tablici. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Web_Proxy_Auto_Discovery ua="rw">Da</Web_Proxy_Auto_Discovery>` Na web-sučelju telefona po potrebi odaberite Da ili Ne . Dopuštene vrijednosti: Da i Ne Zadana: da
PAC URL	URL PAC datoteke. Na primjer, `http://proxy.department.branch.example.com` Podržani su TFTP, HTTP i HTTPS. Ako način proxy poslužitelja postavite na automatsko i automatsko otkrivanje web-proxy poslužitelja na Ne, morate konfigurirati ovaj parametar. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<PAC_URL ua="rw">http://proxy.department.branch.example.com/pac</PAC_URL>` Na web-sučelju telefona unesite valjani URL koji pronalazi PAC datoteku. Zadano: prazno
Glavno računalo za proxy	IP adresu ili naziv glavnog računala poslužitelja proxy poslužitelja kojem telefon može pristupiti. Na primjer: `proxy.example.com` Shema (`http://` ili `https://`) nije potrebna. Ako ste način proxy poslužitelja postavili na Ručno, morate konfigurirati ovaj parametar. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Proxy_Host ua="rw">proxy.example.com</Proxy_Host>` Na web-sučelju telefona unesite IP adresu ili naziv glavnog računala proxy poslužitelja. Zadano: prazno
Proxy Port	Broj priključka poslužitelja glavnog računala proxy poslužitelja. Ako ste način proxy poslužitelja postavili na Ručno, morate konfigurirati ovaj parametar. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Proxy_Port ua="rw">3128</Proxy_Port>` Na web-sučelju telefona unesite priključak poslužitelja. Zadana: 3128
Provjera autentičnosti proxy poslužitelja	Određuje treba li korisnik unijeti vjerodajnice za provjeru autentičnosti (korisničko ime i lozinku) koje proxy poslužitelj zahtijeva. Ovaj parametar konfiguriran je prema stvarnom ponašanju proxy poslužitelja. Ako postavite parametar na Da, morate konfigurirati korisničko ime i lozinku. Pojedinosti o parametrima potražite u parametrima "Korisničko ime" i "Lozinka" u ovoj tablici. Konfiguracija parametra stupa na snagu kada je Proxy način rada postavljen na Ručno . Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Proxy_Authentication ua="rw">Ne</Proxy_Authentication>` Na web sučelju telefona postavite ovo polje na Da ili Ne prema potrebi. Dopuštene vrijednosti: Da i Ne Zadano: Ne
Korisničko ime	Korisničko ime za korisnika s vjerodajnicama na proxy poslužitelju. Ako je Proxy način rada postavljen na Ručno i Proxy autentifikacija postavljena na Da, morate konfigurirati parametar. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Proxy_Korisničko_ime ua="rw">Primjer</Proxy_Korisničko_ime>` Na web sučelju telefona unesite korisničko ime. Zadano: prazno
Lozinka	Lozinka navedenog korisničkog imena u svrhu proxy autentifikacije. Ako je Proxy način rada postavljen na Ručno i Proxy autentifikacija postavljena na Da, morate konfigurirati parametar. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Proxy_Password ua="rw">Primjer</proxy_Password>` Na web sučelju telefona unesite važeću lozinku za proxy autentifikaciju korisnika. Zadano: prazno

Tablica 1. Potrebni parametri za svaki proxy način rada
Proxy način rada	Obavezni parametri	Opis
Off	NA	HTTP proxy je onemogućen na telefonu.
Ručne	Glavno računalo za proxy Proxy Port Autentifikacija proxyja: Da Korisničko ime Lozinka	Ručno navedite proxy poslužitelj (naziv hosta ili IP adresu) i proxy port. Ako proxy poslužitelj zahtijeva autentifikaciju, morate dodatno unijeti korisničko ime i lozinku.
Ručne	Glavno računalo za proxy Proxy Port Autentifikacija proxyja: Ne	Ručno odredite proxy poslužitelj. Proxy poslužitelj ne zahtijeva autentifikacijske vjerodajnice.
Auto	Automatsko otkrivanje web proxyja: Ne PAC URL	Unesite valjani PAC URL za dohvaćanje PAC datoteke.
Auto	Automatsko otkrivanje web proxyja: Da	Koristi WPAD protokol za automatsko dohvaćanje PAC datoteke.

Omogući način rada koji pokreće klijent za pregovore o sigurnosti medijske ravnine

Za zaštitu medijskih sesija možete konfigurirati telefon da pokrene sigurnosne pregovore medijske ravnine s poslužiteljem. Sigurnosni mehanizam slijedi standarde navedene u RFC 3329 i njegovom proširenom nacrtu Nazivi sigurnosnih mehanizama za medije (vidi https://tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2). Prijenos pregovora između telefona i poslužitelja može koristiti protokol SIP preko UDP, TCP, i TLS. Možete ograničiti da se pregovori o sigurnosti medijske ravnine primjenjuju samo kada je protokol za prijenos signalizacije TLS.

Tablica 2. Parametri za pregovore o sigurnosti medijske ravnine
Parametar	Opis
Zahtjev za MediaSec	Određuje hoće li telefon pokrenuti sigurnosne pregovore medijske ravnine s poslužiteljem. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<MediaSec_Request_1_ ua="na">Da</MediaSec_Request_1_>` U web sučelju telefona postavite ovo polje na Da ili Ne prema potrebi. Dopuštene vrijednosti: da \| ne Da—Način pokrenut od strane klijenta. Telefon pokreće sigurnosne pregovore na medijskoj ravnini. Ne—Način pokrenut od strane poslužitelja. Poslužitelj pokreće sigurnosne pregovore medijske ravnine. Telefon ne pokreće pregovore, ali može obraditi zahtjeve za pregovaranje s poslužitelja kako bi uspostavio sigurne pozive. Zadano: Ne
MediaSec samo preko TLS	Određuje protokol za prijenos signalizacije preko kojeg se primjenjuje pregovaranje o sigurnosti medijske ravnine. Prije postavljanja ovog polja na Da, provjerite je li protokol za prijenos signalizacije TLS. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<MediaSec_Over_TLS_Only_1_ ua="na">Ne</MediaSec_Over_TLS_Only_1_>` U web sučelju telefona postavite ovo polje na Da ili Ne prema potrebi. Dopuštene vrijednosti: da \| ne Da—Telefon pokreće ili obrađuje sigurnosne pregovore medijske ravnine samo kada je protokol za prijenos signalizacije TLS. Ne—Telefon pokreće i obrađuje sigurnosne pregovore medijske ravnine bez obzira na protokol prijenosa signalizacije. Zadano: Ne

1	Pristupite web stranici administracije telefona.
2	Odaberite Glas > Kućni(n).
3	U odjeljku Postavke SIP postavite polja MediaSec Request i MediaSec Over TLS Only kako je definirano u gornjoj tablici.
4	Kliknite Pošalji sve promjene.

WLAN sigurnost

Budući da svi uređaji WLAN-a koji su u dometu mogu primati sav drugi WLAN promet, osiguravanje glasovne komunikacije je nužno u WLAN-ovima. Kako bi se osiguralo da uljezi ne manipuliraju niti presreću glasovni promet, Cisco SAFE sigurnosna arhitektura podržava telefon. Dodatne informacije o sigurnosti u mrežama potražite na web-mjestu http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco Bežično telefonsko rješenje IP pruža sigurnost bežične mreže koja sprječava neovlaštene prijave i kompromitiranu komunikaciju korištenjem sljedećih metoda autentifikacije koje telefon podržava:

Otvori provjeru autentičnosti: svaki bežični uređaj može zatražiti provjeru autentičnosti u otvorenom sustavu. AP koji prima zahtjev može odobriti provjeru autentičnosti svakom tražitelju ili samo tražiteljima koji se nalaze na popisu korisnika. Komunikacija između bežičnog uređaja i pristupne točke (AP) može biti nešifrirana.
Protokol proširive autentifikacije - fleksibilna autentifikacija putem sigurnog tuneliranja (EAP-FAST): Ova sigurnosna arhitektura klijent-poslužitelj šifrira transakcije EAP unutar tunela sigurnosti na razini transporta (TLS) između pristupne točke i RADIUS poslužitelja, kao što je Identity Services Engine (ISE).

Tunel TLS upotrebljava Vjerodajnice za zaštićeni pristup (engl. Protected Access Credential, PAC) za provjeru autentičnosti između klijenta (telefona) i poslužitelja RADIUS. Poslužitelj šalje ID ovlaštenja (engl. Authority ID, AID) klijentu (telefon), što zauzvrat odabire odgovarajući PAC. Klijent (telefon) vraća neproziran PAC poslužitelju RADIUS-u. Poslužitelj primarnim ključem dešifrira PAC. Obje krajnje točke sada sadrže ključ PAC i stvara se TLS tunel. EAP-FAST podržava automatsku dodjelu PAC-a, ali ga morate omogućiti na poslužitelju RADIUS-u.

U ISE-u, PAC prema zadanim postavkama istječe za tjedan dana. Ako telefon ima istekli PAC, provjera autentičnosti na poslužitelju RADIUS traje dulje dok telefon dobije novi PAC. Kako biste izbjegli kašnjenja pri dodjeli PAC-ova, postavite razdoblje trajanja PAC-a na 90 dana ili dulje na ISE-u ili poslužitelju RADIUS.
Protokol proširene provjere autentičnosti – Sigurnost na razini prijenosa (engl. Extensible Authentication Protocol-Transport Layer Security, EAP-TLS) za provjeru autentičnosti: EAP-TLS zahtijeva certifikat klijenta za provjeru autentičnosti i pristup mreži. Za bežičnu mrežu EAP-TLS, klijentski certifikat može biti MIC, LSC, ili certifikat koji je instalirao korisnik.
Protokol za zaštićenu proširenu provjeru autentičnosti (engl. Protected Extensible Authentication Protocol, PEAP): Vlasnička shema tvrtke Cisco uzajamne provjere autentičnosti temeljena na lozinci između klijenta (telefona) i poslužitelja RADIUS. Telefon može koristiti PEAP za autentifikaciju s bežičnom mrežom. Podržani su i PEAP-MSCHAPV2 i PEAP-GTC načini provjere autentičnosti.
Unaprijed dijeljeni ključ (PSK): Telefon podržava format ASCII. Prilikom postavljanja unaprijed dijeljenog ključa WPA/WPA2/SAE morate koristiti ovaj format:

ASCII: niz ASCII znakova duljine 8 do 63 znakova (0 – 9, malo i veliko slovo A – Z i posebni znakovi)

Primjer: GREG123567@9ZX&W

Sheme provjere autentičnosti u nastavku upotrebljavaju poslužitelj RADIUS za upravljanje ključevima za provjeru autentičnosti:

WPA/WPA2/WPA3: Koristi podatke RADIUS poslužitelja za generiranje jedinstvenih ključeva za autentifikaciju. Budući da se ovi ključevi stvaraju na središnjem poslužitelju RADIUS, WPA2/WPA3 pruža više sigurnosti nego unaprijed dijeljeni ključevi WPA pohranjeni na AP-u i telefonu.
Brz i siguran roaming: upotrebljava poslužitelj RADIUS i podatke o poslužitelju bežične domene (engl. wireless domain server, WDS) za upravljanje i provjeru autentičnosti ključeva. WDS stvara predmemoriju sigurnosnih vjerodajnica za klijentske uređaje s omogućenim FT-om za brzu i sigurnu ponovnu autentifikaciju. Cisco Stolni telefoni 9861 i 9871 te Cisco Video telefon 8875 podržavaju 802.11r (FT). Podržani su i bežični prijenos i prijenos putem DS-a kako bi se omogućio brz i siguran roaming. Ali mi snažno preporučujemo uporabu protokola 802.11r (FT) zračnim putem.

S WPA/WPA2/WPA3, ključevi za šifriranje se ne unose na telefonu, već se automatski izvode između pristupne točke i telefona. No, EAP korisničko ime i lozinka koji se upotrebljavaju za provjeru autentičnosti moraju biti unesene u svaki telefon.

Kako bi se osigurala sigurnost glasovnog prometa, telefon podržava TKIP i AES za enkripciju. Kada se ovi mehanizmi koriste za šifriranje, i signalni SIP paketi i glasovni Real-Time Transport Protocol (RTP) paketi šifriraju se između pristupne točke i telefona.

TKIP: WPA koristi TKIP enkripciju koja ima nekoliko poboljšanja u odnosu na WEP. TKIP pruža ključ za šifriranje po paketu i dulje vektore inicijalizacije (engl. initialization vector, IV) što ojačava šifriranje. Osim toga, provjera integriteta poruke (engl. message integrity check, MIC) osigurava da se šifrirani paketi ne mijenjaju. TKIP uklanja predvidljivost WEP-a koja pomaže uljezima dešifrirati WEP ključ.
AES: Metoda šifriranja koja se koristi za WPA2/WPA3 autentifikaciju. Ovaj nacionalni standard za šifriranje upotrebljava simetrični algoritam koji ima isti ključ za šifriranje i dešifriranje. AES upotrebljava Lanac za blokiranje šifre (engl. Cipher Blocking Chain, CBC) za šifriranje u veličini od 128 bita, što podržava veličine ključeva od 128 bita, 192 bita i 256 bita, kao minimum. Telefon podržava veličinu ključa od 256 bita.

Cisco Stolni telefoni 9861 i 9871 te Cisco Video telefon 8875 ne podržavaju Cisco Protokol integriteta ključa (CKIP) s CMIC-om.

Provjera autentičnosti i sheme šifriranja postavljeni su unutar bežičnog LAN-a. VLAN-ovi su konfigurirani u mreži i na AP-ovima i određuju različite kombinacije provjere autentičnosti i šifriranja. SSID se povezuje s VLAN-om i određenom shemom za provjeru autentičnosti i šifriranje. Da bi se bežični klijentski uređaji uspješno autentificirali, morate konfigurirati iste SSID-ove s njihovim shemama autentifikacije i šifriranja na pristupnim točkama i na telefonu.

Neke sheme za provjeru autentičnosti zahtijevaju određene vrste šifriranja.

Kada koristite WPA unaprijed dijeljeni ključ, WPA2 unaprijed dijeljeni ključ ili SAE, unaprijed dijeljeni ključ mora biti statički postavljen na telefonu. Ovi ključevi moraju se poklapati s ključevima koji se nalaze na AP-u.
Telefon podržava automatsko pregovaranje EAP za FAST ili PEAP, ali ne za TLS. Za način rada EAP-TLS morate ga navesti.

Sheme autentifikacije i šifriranja u sljedećoj tablici prikazuju opcije konfiguracije mreže za telefon koje odgovaraju konfiguraciji pristupne točke.

Tablica 3. Sheme za provjeru autentičnosti i šifriranje
Vrsta FSR-a	Autentifikacija	Upravljanje ključevima	Šifriranje	Zaštićeni upravljački okvir (PMF)
802.11r (FT)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	Ne
802.11r (FT)	WPA3	SAE FT-SAE	AES	Da
802.11r (FT)	EAP-TLS	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
802.11r (FT)	EAP-FAST	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
802.11r (FT)	EAP-PEAP	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da

Postavi profil Wi-Fi

Možete konfigurirati Wi-Fi profil s Phone Web Page ili profila udaljenog uređaja, dinkronizirati i pridružiti profil već dostupnim Wi-Fi mrežama. Ovaj Wi-Fi profil možete koristiti za povezivanje na Wi-Fi. Trenutno se može konfigurirati samo jedan Wi-Fi profil.

Profil sadrži parametre potrebne telefonima za povezivanje s poslužiteljem telefona s Wi-Fi-jem. Kada stvorite i koristite Wi-Fi profil, vi ili vaši korisnici ne morate konfigurirati bežičnu mrežu za pojedinačne telefone.

Wi-Fi profil omogućuje vam da sprječavanje ili ograničavanje promjena u Wi-Fi konfiguraciji na telefonu od strane korisnika.

Preporučujemo da koristite siguran profil s omogućenim protokolima za šifriranje kako biste zaštitili ključeve i lozinke kada koristite Wi-Fi profil.

Kada postavite telefone za korištenje metode provjere autentičnosti EAP-FAST u sigurnosnom načinu rada, vašim korisnicima su potrebni pojedinačni podaci za povezivanje s pristupnom točkom.

1	Pristupite web stranici telefona.
2	Odaberite Glas > Sustav.
3	U odjeljku Wi-Fi Profil (n) postavite parametre kako je opisano u sljedećoj tablici Parametri za profil Wi-Fi. Konfiguracija profila Wi-Fi također je dostupna korisničkoj prijavi.
4	Kliknite Pošalji sve promjene.

Parametri za profil Wi-Fi

Sljedeća tablica definira funkciju i upotrebu svakog parametra u odjeljku Wi-Fi Profile(n) pod karticom System u Phone Web Page. Također definira sintaksu niza koji se dodaje u konfiguracijsku datoteku telefona (cfg.XML) za konfiguriranje parametra.

Parametar	Opis
Naziv mreže	Omogućuje vam da unesete naziv za SSID koji će se prikazati na telefonu. Više profila može imati isti naziv mrežne s različitim načinom sigurnosti. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Network_Name_1_ua="rw">cisco</Network_Name_1_>` Na web stranici telefona unesite naziv za SSID. Zadano: prazno
Sigurnosni način rada	Omogućuje vam da odaberite metodu ovjere koja se koristi za siguran pristup Wi-Fi mreži. Ovisno o odabranoj metodi, pojavit će se polje za lozinku kako biste mogli unijeti vjerodajnice potrebne za pridruživanje ovoj Wi-Fi mreži. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Security_Mode_1_ ua="rw">EAP-TLS</Security_Mode_1_><!-- dostupne opcije: Automatski\|EAP-FAST\|\|\|PSK\|\|Ništa\|EAP-PEAP\|EAP-TLS -->` Na web stranici telefona odaberite jednu od metoda: Auto EAP-FAST PSK Ništa EAP-PEAP EAP-TLS Zadano: automatski
Wi-Fi Korisnički ID	Omogućuje vam da upišete ID korisnika za mrežni profil. Ovo polje je dostupno kada postavite sigurnosni način na Automatski, EAP-FAST ili EAP-PEAP. To je obavezno polje i omogućuje maksimalnu duljinu od 32 alfanumerička znaka. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Wi-Fi_User_ID_1_ua="rw"></Wi-Fi_User_ID_1_>` Na web stranici telefona unesite korisnički ID za mrežni profil. Zadano: prazno
Wi-Fi lozinka	Omogućuje vam unos lozinke za navedeni korisnički ID za Wi-Fi. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `< Wi-Fi_Password_1_ ua = "RW" > </Wi-Fi_Password_1_ >` Na web stranici telefona unesite lozinku za korisnički ID koji ste dodali. Zadano: prazno
Frekvencijski opseg	Omogućuje vam da odaberete frekvenciju bežičnog signala kojom se koristi WLAN. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Frekvencijski_pojas_1_ ua="rw">Automatski</Frekvencijski_pojas_1_>` Na web stranici telefona odaberite jednu od opcija: Auto 2,4 GHz 5 GHz Zadano: automatski
Odabir certifikata	Omogućuje vam odabir vrste certifikata za početni upis certifikata i obnovu certifikata u bežičnoj mreži. Ovaj postupak je dostupan samo za 802.1X autentifikaciju. Učinite jedno od sljedećega: U konfiguracijskoj datoteci telefona s XML-om (cfg.XML) unesite niz u ovom formatu: `<Certificate_Select_1_ ua="rw">Instalirana proizvodnja</Certificate_Select_1_>` Na web stranici telefona odaberite jednu od opcija: Instalirana proizvodnja Prilagođena instalacija Zadano: Instalirana proizvodnja

Provjerite sigurnosni status uređaja na telefonu

Vaš telefon automatski provjerava sigurnosni status uređaja. Ako otkrije potencijalne sigurnosne prijetnje na telefonu, izbornik Problemi i dijagnostika može prikazati detalje problema. Na temelju prijavljenih problema, vaš administrator može poduzeti mjere za zaštitu i jačanje vašeg telefona.

Sigurnosni status uređaja dostupan je prije nego što se telefon registrira u sustavu za kontrolu poziva (Webex Calling ili BroadWorks).

Za prikaz detalja o sigurnosnim problemima na zaslonu telefona učinite sljedeće:

1	Pritisnite Postavke
2	Odaberite Problemi i dijagnostika > Problemi. Trenutačno izvješće o sigurnosti uređaja sadrži sljedeće probleme: Pouzdanost uređaja Autentifikacija uređaja nije uspjela Otkriveno je mijenjanje SoC-a Ranjiva konfiguracija SSH omogućen Telnet omogućen Otkrivena mrežna anomalija Prekomjerni pokušaji prijave na web Otkriven visok promet UDP Sumnjivi ICMP zahtjevi za vremenskim žigom Problem s certifikatom Istek prilagođenog certifikata uređaja
3	Za podršku u rješavanju sigurnosnih problema obratite se administratoru.

Hvala na povratnim informacijama.