Cisco bežični telefon 9821 sigurnost (višenamjenski)

Konfigurirajte DHCP opcije

Možete postaviti redoslijed kojim vaš telefon koristi DHCP opcije. Pomoć s DHCP opcijama potražite u odjeljku Podrška za DHCP opcije.

1	Pristupite web stranici administracije telefona. `http://<ip address>/admin/advanced`
2	Odaberite G las > Provisioning.
3	U odjeljku Profil konfiguracije postavite DHCP opciju za korištenje i DHCPv6 Opciju Korištenje parametara kako je opisano u nastavku. DHCP opcija za korištenje: DHCP opcije, razgraničene zarezima, koje se koriste za preuzimanje firmvera i profila. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.xml): `<DHCP_Option_To_Use ua="na">66,160,159,150,60,43,125</DHCP_Option_To_Use>` Zadano: `66,160,159,150,60,43,125` DHCPv6 Opcija za korištenje: DHCPv6 opcije, razgraničene zarezima, koje se koriste za dohvaćanje firmvera i profila. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.xml): `<DHCPv6_Option_To_Use ua="na">17,160,159</DHCPv6_Option_To_Use>` Zadano: `17,160,159`
4	Kliknite Po šalji sve promjene.

Podrška za DHCP opciju

Sljedeća tablica navodi DHCP opcije koje su podržane na Cisco Wireless Phone 9821.

Mrežni standard	Opis
DHCP opcija 1	Maska podmreže
DHCP opcija 2	Vremenski pomak
DHCP opcija 3	usmjerivač
DHCP opcija 6	Poslužitelj imena domene
DHCP opcija 15	Naziv domene
DHCP opcija 17	Korijenski put
DHCP opcija 41	Vrijeme najma IP adrese
DHCP opcija 42	NTP poslužitelj Konfiguracija NTP poslužitelja s IPv6
DHCP opcija 43	Informacije specifične za dobavljača Može se koristiti za pružanje SCEP konfiguracije.
DHCP opcija 56	NTP poslužitelj
DHCP opcija 60	Identifikator klase dobavljača
DHCP opcija 66	Naziv TFTP poslužitelja
DHCP opcija 125	Informacije specifične za dobavljača koji identificiraju dobavljača
DHCP opcija 150	TFTP poslužitelj
DHCP opcija 159	Pružanje IP poslužitelja
DHCP opcija 160	Davanje URL-a

Bezžična LAN sigurnost

Budući da svi WLAN uređaji koji su unutar dometa mogu primati sav ostali WLAN promet, osiguranje glasovne komunikacije ključno je u WLAN-ovima. Kako bi se osiguralo da uljezi ne manipuliraju niti presreću glasovni promet, Cisco SAFE Security arhitektura podržava telefon. Za više informacija o sigurnosti u mrežama pogledajte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP telefonijsko rješenje pruža sigurnost bežične mreže koja sprječava neovlaštene prijave i kompromitiranu komunikaciju korištenjem sljedećih metoda provjere autentičnosti koje telefon podržava.

Otvorena provjera autentičnosti: Bilo koji bežični uređaj može zatražiti provjeru autentičnosti u otvorenom sustavu. AP koji primi zahtjev može odobriti provjeru autentičnosti bilo kojem podnositelju zahtjeva ili samo podnositeljima zahtjeva koji se nalaze na popisu korisnika. Komunikacija između bežičnog uređaja i pristupne točke (AP) može biti nešifrirana.
Proširi@@ vi protokol provjere autentičnosti - fleksibilna provjera autentičnosti putem sigurnog tuneliranja (EAP-FAST): Ova sigurnosna arhitektura klijent-poslužitelj šifrira EAP transakcije unutar tunela sigurnosti razine transporta (TLS) između AP-a i RADIUS poslužitelja, kao što je Identity Services Engine (ISE).

TLS tunel koristi vjerodajnice zaštićenog pristupa (PAC) za provjeru autentičnosti između klijenta (telefona) i RADIUS poslužitelja. Poslužitelj šalje ID autoriteta (AID) klijentu (telefon), koji zauzvrat odabire odgovarajući PAC. Klijent (telefon) vraća PAC-neproziran na RADIUS poslužitelj. Poslužitelj dešifrira PAC primarnim ključem. Obje krajnje točke sada sadrže PAC ključ i stvoren je TLS tunel. EAP-FAST podržava automatsko pružanje PAC-a, ali ga morate omogućiti na RADIUS poslužitelju.

U ISE-u, prema zadanim postavkama, PAC ističe za tjedan dana. Ako telefon ima istekao PAC, provjera autentičnosti s RADIUS poslužiteljem traje duže dok telefon dobije novi PAC. Da biste izbjegli kašnjenje u pružanju PAC-a, postavite razdoblje isteka PAC-a na serveru ISE ili RADIUS na 90 dana ili dulje.
Pro@@ širivi protokol provjere autentičnosti - Sigurnost transportnog sloja (EAP-TLS) Autentifikacija: EAP-TLS zahtijeva klijentski certifikat za provjeru auten tičnosti i pristup mreži. Za bežični EAP-TLS, klijentski certifikat može biti MIC ili korisnički instaliran certifikat.
Zaštićeni protokol proširene provjere autentičnosti (PEAP): Ciscova vlasnička shema međusobne provjere autentičnosti temeljena na lozinci između klijenta (telefona) i RADIUS poslužitelja. Telefon može koristiti PEAP za provjeru autentičnosti s bežičnom mrežom. Podržane su i metode provjere autentičnosti PEAP-MSCHAPV2 i PEAP-GTC.

Da biste podržali provjeru autentičnosti PEAP-GTC za Cisco Wireless Phone 9821, konfigurirajte potrebna pravila unutar Cisco ISE skupa pravila.
Prethodno dijeljeni ključ (PSK): Telefon podržava ASCII i heksadecimalni (HEX) formate. Te formate morate koristiti prilikom postavljanja WPA2/SAE unaprijed dijeljenog ključa.

ASCII: Niz znakova ASCII s duljinom od 8 do 63 znaka (0-9, mala slova a-z, velika slova A-Z i posebni znakovi). Na primjer, GREG123567@9ZX&W.

HEX: Hex znakovni niz s 64 šesterokutne znamenke duljine (0-9, a-f ili A-F).

Sljedeće sheme provjere autentičnosti koriste RADIUS poslužitelj za upravljanje ključevima za provjeru autentičnosti:

WPA2/WPA3: Koristi informacije o RADIUS poslužitelju za generiranje jedinstvenih ključeva za provjeru autentičnosti. Budući da se ti ključevi generiraju na centraliziranom RADIUS poslužitelju, WPA2/WPA3 pruža veću sigurnost od WPA unaprijed podijeljenih ključeva koji su pohranjeni na AP i telefonu.
Brzi siguran roaming: Koristi RADIUS poslužitelj i informacije o poslužitelju bežične domene (WDS) za upravljanje ključevima i provjeru autentičnosti. WDS stvara predmemoriju sigurnosnih vjerodajnica za klijentske uređaje s omogućenim FT-om za brzu i sigurnu ponovnu provjeru autentičnosti.

Kod WPA2/WPA3 ključevi za šifriranje ne unose se na telefon, već se automatski izvode između AP-a i telefona. No, EAP korisničko ime i lozinka koji se koriste za provjeru autentičnosti moraju se unijeti na svaki telefon.

Kako bi zaštitio glasovni promet putem bežične veze, telefon podržava enkripciju temeljenu na AES-u za provjeru autentičnosti WPA2/WPA3. AES je simetrična blok šifra standardizirana od strane NIST-a. AES koristi fiksnu veličinu bloka od 128 bita i podržava veličine ključeva od 128 bita, 192 bita i 256 bita. U Wi-Fi mrežama AES koriste šifrirani paketi kao što su CCMP ili GCMP, dok autentifikaciju zasebno pružaju PSK, SAE ili 802.1X/EAP, ovisno o konfiguriranom sigurnosnom načinu WLAN-a. Podržani paket šifri i veličina ključa ovise o modelu telefona i konfiguraciji WLAN-a.

Sheme provjere autentičnosti i šifriranja postavljene su unutar bežičnog LAN-a. VLAN-ovi su konfigurirani u mreži i na AP-ovima i određuju različite kombinacije provjere autentičnosti i enkripcije. SSID se povezuje s VLAN-om i određenom shemom provjere autentičnosti i šifriranja. Da bi se bežični klijentski uređaji uspješno potvrdili autentičnost, morate konfigurirati iste SSID-ove s njihovim shemama provjere autentičnosti i šifriranja na AP-ovima i na telefonu.

Neke sheme provjere autentičnosti zahtijevaju određene vrste enkripcije.

Kada koristite WPA2 unaprijed dijeljeni ključ ili SAE, prethodno dijeljeni ključ mora biti statički postavljen na telefonu. Ove tipke moraju odgovarati tipkama koje se nalaze na AP-u.

Sheme provjere autentičnosti i šifriranja u sljedećoj tablici prikazuju opcije mrežne konfiguracije za Cisco Wireless Phone 9821 koje odgovaraju konfiguraciji AP.

Tablica 1. Sheme provjere autentičnosti i šifriranja
Vrsta FSR	Autentifikacija	Upravljanje ključevima	Šifriranje	Zaštićeni okvir upravljanja (PMF)
802.11r (FT)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	Ne
802.11r (FT)	WPA3	SAE FT-SAE	AES	Da
802.11r (FT)	EAP-TLS	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
802.11r (FT)	EAP-FAST	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
802.11r (FT)	EAP-PEAP	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
Ne-FT	Suite-B	WPA-EAP-SUITE-B	GCMP	Da
Ne-FT	Suite-B-192	WPA-EAP-SUITE-B-192	GCMP	Da

Postavljanje Wi-Fi profila

Wi-Fi profile možete konfigurirati s web stranice administracije telefona ili putem ponovne sinkronizacije profila udaljenog uređaja. Nakon konfiguriranja, ove profile možete povezati s dostupnim bežičnim mrežama kako biste uspostavili povezanost. Cisco Wireless Phone 9821 podržava najviše četiri konfigurirana Wi-Fi profila.

Profil sadrži parametre potrebne za povezivanje telefona s telefonskim poslužiteljem putem Wi-Fi-ja. Kada kreirate i koristite Wi-Fi profil, vi ili vaši korisnici ne morate konfigurirati bežičnu mrežu za pojedine telefone.

Wi-Fi profil omogućuje vam da spriječite ili ograničite promjene Wi-Fi konfiguracije na telefonu od strane korisnika.

Preporučujemo da koristite siguran profil s protokolima omogućenim šifriranjem za zaštitu ključeva i lozinki kada koristite Wi-Fi profil.

Kada postavljate telefone da koriste EAP-FAST metodu provjere autentičnosti u sigurnosnom načinu rada, vašim korisnicima su potrebne pojedinačne vjerodajnice za povezivanje s pristupnom točkom.

1	Pristupite web stranici telefona.
2	Odaberite Glas > Sustav.
3	U odjeljku Wi-Fi profil (n) postavite parametre kako je opisano u sljedećoj tablici Parametri za Wi-Fi profil. Konfiguracija Wi-Fi profila dostupna je i korisničkoj prijavi.
4	Kliknite Po šalji sve promjene.

Parametri Wi-Fi profila

Sljedeća tablica definira funkciju i upotrebu svakog parametra u odjeljku Wi-Fi profil (n) ispod kartice Su stav na web stranici telefona. Također definira sintaksu niza koji se dodaje u konfiguracijsku datoteku telefona (cfg.xml) za konfiguriranje parametra.

Parametar	Opis
Naziv mreže	Omogućuje vam unos imena za SSID koji će se prikazati na telefonu. Više profila može imati isti naziv mreže s različitim sigurnosnim načinom rada. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Network_Name_1_ ua="rw">cisco</Network_Name_1_>` Na web stranici telefona unesite naziv za SSID. Zadano: Prazno
Sigurnosni način rada	Omogućuje vam odabir metode provjere autentičnosti koja se koristi za osiguranje pristupa Wi-Fi mreži. Ovisno o metodi koju odaberete, pojavljuje se polje za lozinku kako biste mogli navesti vjerodajnice koje su potrebne za pridruživanje ovoj Wi-Fi mreži. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Security_Mode_1_ ua="rw">EAP-TLS</Security_Mode_1_> <!-- available options: \|EAP-FAST\|\|\|PSK\|\|None\|EAP-PEAP\|EAP-TLS -->` Na web stranici telefona odaberite jednu od metoda: EAP-FAST PSK Ništa EAP-PEAP EAP-TLS Zadano: Ništa
Wi-Fi korisnički ID	Omogućuje vam unos korisničkog ID-a za mrežni profil. Ovo polje je dostupno kada sigurnosni način postavite na Auto, EAP-FAST ili EAP-PEAP. Ovo je obvezno polje i dopušta maksimalnu duljinu od 32 alfanumerička znaka. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Wi-Fi_User_ID_1_ua="rw"></Wi-Fi_User_ID_1_>` Na web stranici telefona unesite korisnički ID za mrežni profil. Zadano: Prazno
Wi-Fi lozinka	Omogućuje vam unos lozinke za navedeni Wi-Fi korisnički ID. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Wi-Fi_Password_1_ ua="rw"></Wi-Fi_Password_1_>` Na web stranici telefona unesite lozinku za korisnički ID koji ste dodali. Zadano: Prazno
Frekvencijski opseg	Omogućuje vam odabir frekvencijskog opsega bežičnog signala koji koristi WLAN. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Frequency_Band_1_ ua="rw">Auto</Frequency_Band_1_>` Na web stranici telefona odaberite jednu od opcija: Auto 2,4 GHz 5 GHz ili 6 GHz Zadano: Automatski
Odaberite certifikat	Omogućuje vam odabir vrste certifikata za početni upis certifikata i obnovu certifikata u bežičnoj mreži. Ovaj je postupak dostupan samo za 802.1X provjeru autentičnosti. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Certificate_Select_1_ ua="rw">Manufacturing installed</Certificate_Select_1_>` Na web stranici telefona odaberite jednu od opcija: Instalirana proizvodnja Prilagođeno instalirano Zadano: Instalirana proizvodnja
Način upravljanja	Kontrolira je li korisniku dopušteno konfiguriranje Wi-Fi profila. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Control_Mode_1_ ua="rw">Allow</Control_Mode_1_>` Na web stranici telefona odaberite jednu od opcija: Dopusti Zabranjeno Ograničeno Zadano: Dopusti
Omogući	Kontrolira je li omogućen Wi-Fi profil. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Enable_1_ ua="rw">Yes</Enable_1_>` Na web stranici telefona odaberite jednu od opcija: Da Ne Zadano: Da
Naziv profila	Omogućuje vam unos imena za profil koji će se prikazati na telefonu. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<Profile_Name_1_ ua="rw">Profile 1</Profile_Name_1_>` Na web stranici telefona unesite naziv profila. Zadano: Profil 1
PSK lozinka	Omogućuje vam unos PSK lozinke kada je sigurnosni način rada postavljen na PSK. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<PSK_Passphrase_1_ ua="rw">*************</PSK_Passphrase_1_>` Na web stranici telefona unesite PSK lozinku. Zadano: Dopusti

802.1X Autentifikacija za žičane mreže

Cisco Wireless Phone 9821 podržava 802.1X provjeru autentičnosti za žičane mreže. To se obično koristi tijekom automatskog osiguranja kada je telefon spojen na stolni punjač putem podržanog USB-to-Ethernet adaptera.

Podrška za 802.1X provjeru autentičnosti na žičanim mrežama zahtijeva nekoliko komponenti kako slijedi:

Cisco IP telefon: Telefon pokreće zahtjev za pristup mreži. Cisco IP telefoni sadrže 802.1X zahtjev. Ovaj zahtjev omogućuje mrežnim administratorima kontrolu povezivanja IP telefona s priključcima LAN prekidača. Trenutno izdanje telefona 802.1X supplicant koristi EAP-FAST i EAP-TLS opcije za provjeru autentičnosti mreže.
Poslužitelj provjere autentičnosti: poslužitelj provjere autentičnosti i prekidač moraju biti konfigurirani s RADIUS zajedničkom tajnom.
Prekidač: Prekidač mora podržavati 802.1X, tako da može djelovati kao autentifikator i prenositi EAP poruke između telefona i poslužitelja provjere autentičnosti. Nakon završetka razmjene, prekidač odobrava ili uskraćuje pristup telefonu mreži.

Cisco IP telefoni i Cisco Catalyst prekidači tradicionalno koriste Cisco Discovery Protocol (CDP) za međusobno prepoznavanje i određivanje parametara kao što su dodjela VLAN-a i potrebe za ugrađenim napajanjem.

Morate izvršiti sljedeće rad nje da biste konfigurirali 802.1X.

Konfigurirajte CDP/LLDP glasovni VLAN bypass.
Konfigurirajte poslužitelj provjere autentičnosti i prekidač prije nego što omogućite 802.1X provjeru autentičnosti za žičane mreže na telefonu.
Konfiguriranje glasovnog VLAN-a: Budući da standard 802.1X ne uzima u obzir VLAN-ove, trebali biste konfigurirati ovu postavku na temelju podrške prekidača.
- Omogućeno: Ako koristite prekidač koji podržava provjeru autentičnosti više domena, možete ga konfigurirati za korištenje glasovnog VLAN-a.
- Onemogućeno: Ako prekidač ne podržava provjeru autentičnosti s više domena, onemogućite Voice VLAN i razmislite o dodjeli porta izvornom VLAN-u.
Cisco Wireless Phone 9821 ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili da vaš telefon prođe 802.1X provjeru autentičnosti, postavite parametar Radius · Korisničko ime tako da uključuje vaš Cisco Wireless Phone 9821.

Na primjer, PID Cisco bežičnog telefona 9821 je WP-9821. Radius·Korisničko ime možete postaviti na Start with WPili Contains WPu oba sljedeća odjeljka:
- Pravila > U vjeti > Uv jeti knjižnice
- Pravila > Skupovi pravila > Pra vila autorizacije > Pra vilo autorizacije 1

Omogućite 802.1X provjeru autentičnosti za žičane mreže na telefonu

Slijedite ove korake da biste omogućili 802.1X provjeru autentičnosti za žičane mreže na telefonu. Imajte na umu da je 802.1X provjera autentičnosti za Wi-Fi omogućena prema zadanim postavkama i ne zahtijeva ručnu konfiguraciju.

1	Pristupite postavkama aplikacija.
2	Ako se od vas zatraži, unesite lozinku za pristup izborniku Postavke. Lozinku možete dobiti od administratora.
3	Odaberite Post avke administratora > Sigurnosna postav ka > 802.1X Autentifikacija.
4	Označite provjeru autentičnosti uređaja i pritisnite Uklju čeno.

Omogućite 802.1X provjeru autentičnosti za žičane mreže na web stranici telefona

Kada je omogućena 802.1X provjera autentičnosti za žičane mreže, telefon koristi 802.1X provjeru autentičnosti kako bi zatražio pristup mreži s Ethernet LAN priključka. Kada je 802.1X prov jera autentičnosti za žičane mreže onemogućena, telefon koristi Cisco Discovery Protocol (CDP) za stjecanje V LAN-a i mrežnog pristupa. Imajte na umu da je 802.1X provjera autentičnosti za Wi-Fi omogućena prema zadanim postavkama i ne zahtijeva ručnu konfiguraciju.

Možete odabrati certifikat (MIC/SUDI ili CDC) koji se koristi za 802.1X provjeru autentičnosti. Više informacija o CDC-u potražite u odjeljku Prilagođeni certifikat uređaja na Cisco bežičnom telefonu 9821.

Status transakcije i sigurnosne postavke možete pregledati na izborniku zaslona telefona. Dodatne informacije potražite u od jeljku Izbornik sigurnosnih postavki na telefonu.

1	Omogućite 802.1X provjeru autentičnosti. Odaberite Glas > Sustav. U odjeljku 802.1X Autenti fikacija postavite parametar O mogući 802.1X provjeru autentičnosti na Da. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.xml): `<Enable_802.1X_Authentication ua="rw">Yes</Enable_802.1X_Authentication>` Važeće vrijednosti: Da \| Ne Zadano: Ne
2	U odjeljku 802.1X provjera auten tičnosti odaberite jedan od sljedećih instaliranih certifikata koji se koriste za 802.1X provjeru autentičnosti s padajućeg popisa Odabir certifikata. Opcije vrijednosti: Instalirana proizvodnja: MIC/SUDI. Prilagođeno instal irano: Certifikat prilagođenog uređaja (CDC). Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.xml): `<Certificate_Select ua="rw">Custom installed</Certificate_Select>` Važeće vrijednosti: Instalirana proizvodnja \| Prilagođeno instalirano Zadano: Instalirana proizvodnja
3	Konfiguri rajte parametar User ID koji će se koristiti kao identitet za 802.1X provjeru autentičnosti u žičanoj mreži. Ova se konfiguracija primjenjuje samo ako koristite certifikat prilagođenog uređaja (CDC) za žičnu 802.1X provjeru autentičnosti, a odabir certifik ata je postavljen na Prilagođeno. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.xml): `<Wired_User_ID ua="na"></Wired_User_ID>` Važeće vrijednosti: Maksimalno 127 znakova Zadano: Prazno Ovaj parametar također podržava varijable proširenja makro, pogledajte Varijable proširenja makronared be za detalje. Ako želite dati korisnički ID koristeći kombinaciju s DHCP opcijama, pogledajte D avanje zajedničkog imena ili korisničkog ID-a putem DH CP opcije 15.
4	Kliknite Po šalji sve promjene.

Izbornik sigurnosnih postavki na telefonu

Da biste pregledali informacije o sigurnosnim postavkama iz izbornika telefona, pristupite Postavkama 9821 Settings app icon aplikaciju i odaberite Administratorske postavke > Sigur nosna postavka > 802.1X Autentifikacija. Dostupnost informacija ovisi o mrežnim postavkama u vašoj organizaciji.

Parametri	Opcije	Zadano	Opis
Autentifikacija uređaja	Uključeno Isključeno	Isključeno	Omogućuje ili onemogućuje 802.1X provjeru autentičnosti na telefonu. Postavka parametara može se zadržati nakon registracije telefona Out-Of-Of-Box (OOB).
Status transakcije		Onemogućeno	Prikazuje stanje 802.1X provjere autentičnosti. Država može biti (nije ograničena na): Autentifikacija — označava da je proces provjere autentičnosti u tijeku. Autentificirano — Označava da je telefon autentičan. Onemogućeno-označava da je 802.1x provjera autentičnosti onemogućena na telefonu. Povezivanje — Označava da telefon šalje EAP početne poruke prekidaču svakih 30 sekundi. Preuzeto - Označava da je prekidač odbio EAP zahtjev telefona i da telefon ne prima EAP-TLS ili EAP-FAST izazov od prekidača. Telefon ponovno pokuš ava poslati EAP zahtjeve. Isključeno - Označava da je Ethernet kabel isključen. Održano — Označava da je prekidač obradio EAP zahtjev telefona, ali odbio EAP-FAST ili EAP-TLS provjeru autentičnosti. Telefon ponovno pokuš ava poslati EAP zahtjeve.
Protokol		Ništa	Prikazuje EAP metodu koja se koristi za 802.1X provjeru autentičnosti. Protokol može biti EAP-FAST ili EAP-TLS.
Vrsta korisničkog certifikata	Instalirana proizvodnja Prilagođeno instalirano	Instalirana proizvodnja	Odabire certifikat za 802.1X provjeru autentičnosti tijekom početnog upisa i obnove certifikata. Instalirana proizvodnja - koristi se siguran jedinstveni identifikator uređaja (SUDI). Prilagođeno instalirano - koristi se certifikat prilagođenog uređaja (CDC). Ova vrsta certifikata može se instalirati ručnim prijenosom na web stranicu telefona ili instalacijom s poslužitelja Simple Certificate Enrollment Protocol (SCEP). Ovaj se parametar pojavljuje na telefonu samo kada je omogućena provjera autentičnosti uređaja.

Postavite korisničke i administratorske lozinke

Kada je telefon prvi put registriran u sustavu kontrole poziva ili nakon vraćanja na tvorničke postavke, morate postaviti i korisničke i administratorske lozinke kako biste poboljšali sigurnost telefona. Nakon postavljanja lozinki možete pristupiti web sučelju telefona.

Prema zadanim postavkama, obje lozinke su prazne. Dok ih ne postavite, poruka Bez zaporke pojavljuje se svaki put kada se telefon ponovno pokrene. Lozinka koja nedostaje također se prijavljuje u od jeljku Postavke > Problemi i dijagnostika > Probl emi na telefonu. Prikaz upozorenja možete onemogućiti postavkom Pri kaz upozorenja za lozinku.

1	Pristupite web stranici administracije telefona
2	Odaberite Glas > Sustav.
3	U odjeljku Konfiguracija sustava kliknite Promijeni lo zinku pored Korisničke lozinke ili Administratorske lozinke.
4	Za prvo postavljanje ostavite polje Stara lozinka prazno. Unes ite postojeću lozinku samo kada je mijenjate.
5	Unesite novu lozinku u polje Nova lozin ka. Zahtjevi za lozinku: Lozinka mora sadržavati između 8 i 127 znakova. Lozinka mora sadržavati najmanje tri od četiri kategorije: velika slova, mala slova, brojeve i posebne znakove. Prostori nisu dopušteni. Ako nova lozinka ne zadovoljava zahtjeve, ona se odbija.
6	Kliknite Po šalji. Poruka `Password has been changed successfully.`se pojavljuje na web stranici. Web stranica se osvježava za nekoliko sekundi. Nakon postavljanja obje lozinke, prikazuju se kao maskirane vrijednosti u XML datoteci konfiguracije telefona (cfg.xml), kako slijedi: `<!-- <Admin_Password ua="na">***********</Admin_Password> <User_Password ua="rw">***********</User_Password> -->`
7	Da biste omogućili ili onemogućili upozorenje o lozinci, postavite U pozorenja za prikaz lozin ke na željenu vrijednost u odjeljku Konfiguracija sustava, a zatim kliknite Pošalji sve promjene. Kada je postavljena na Da, upozorenje se pojavljuje na zaslonu telefona ako nedostaje lozinka. Kada je postavljena na Ne, upozorenje se ne prikazuje. Također možete konfigurirati parametre u konfiguracijskoj datoteci telefona (cfg.xml). `<Display_Password_Warnings ua="na">Yes</Display_Password_Warnings>` Zadano: Da Opcije: Da \| Ne

Postavite minimalnu TLS verziju za klijenta i poslužitelja

Prema zadanim postavkama, minimalna TLS verzija za klijenta i poslužitelja je 1.2. To znači da klijent i poslužitelj prihvaćaju uspostavljanje veza s TLS 1.2 ili novijim. Podržana maksimalna verzija TLS-a za klijenta i poslužitelja je 1.3. Kada se konfigurira, minimalna TLS verzija koristit će se za pregovore između TLS klijenta i TLS poslužitelja.

Možete postaviti minimalnu verziju TLS-a za klijenta i poslužitelja, kao što su 1.1, 1.2 ili 1.3.

Prije nego što počnete

Provjerite podržava li TLS poslužitelj minimalnu konfiguriranu verziju TLS-a. Možete se posavjetovati s administratorom sustava kontrole poziva.

1	Pristupite web stranici administracije telefona.
2	Odaberite Glas > Sustav.
3	U odjeljku Sigurnosne postavke konfigurirajte parametar TLS Client Min Version. TLS 1.1: TLS klijent podržava verzije TLS-a od 1.1 do 1.3. Ako je TLS verzija na poslužitelju niža od 1.1, veza se ne može uspostaviti. TLS 1.2 (zadano): TLS klijent podržava TLS 1.2 i 1.3. Ako je TLS verzija na poslužitelju niža od 1.2, na primjer 1.1, veza se ne može uspostaviti. TLS 1.3: TLS klijent podržava samo TLS 1.3. Ako je TLS verzija na poslužitelju niža od 1.3, na primjer, 1.2 ili 1.1, veza se ne može uspostaviti. Ako želite postaviti parametar "TLS Client Min Version" na "TLS 1.3", provjerite podržava li strana poslužitelja TLS 1.3. Ako poslužiteljska strana ne podržava TLS 1.3, to može uzrokovati kritične probleme. Na primjer, operacije pružanja usluga ne mogu se izvoditi na telefonima. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.xml): `<TLS_Client_Min_Version ua="na">TLS 1.2</TLS_Client_Min_Version>` Dopuštene vrijednosti: TLS 1.1, TLS1.2 i TLS 1.3. Zadano: TLS 1.2
4	U odjeljku Sigurnosne postavke konfigurirajte parametar TLS Server Min Version. Webex Callingne podržava TLS 1.1. TLS 1.1: TLS poslužitelj podržava verzije TLS-a od 1.1 do 1.3. Ako je TLS verzija u klijentu niža od 1.1, veza se ne može uspostaviti. TLS 1.2 (zadano): TLS poslužitelj podržava TLS 1.2 i 1.3. Ako je TLS verzija u klijentu niža od 1.2, na primjer 1.1, veza se ne može uspostaviti. TLS 1.3: TLS poslužitelj podržava samo TLS 1.3. Ako je TLS verzija u klijentu niža od 1.3, na primjer 1.2 ili 1.1, veza se ne može uspostaviti. Ovaj parametar možete konfigurirati i u konfiguracijskoj datoteci (cfg.xml): `<TLS_Server_Min_Version ua="na">TLS 1.2</TLS_Server_Min_Version>` Dopuštene vrijednosti: TLS 1.1, TLS1.2 i TLS 1.3. Zadano: TLS 1.2
5	Kliknite Po šalji sve promjene.

Omogućite način rada koji je pokrenuo klijent za pregovore o sigurnosti medijskih aviona

Da biste zaštitili medijske sesije, možete konfigurirati telefon za pokretanje pregovora o sigurnosti medijske ravni sa poslužiteljem. Sigurnosni mehanizam slijedi standarde navedene u RFC 3329 i njegovom proširenju Nazivi sigurnosnih mehanizama za medije (vidi https://tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2). Prijevoz pregovora između telefona i poslužitelja može koristiti SIP protokol preko UDP-a, TCP-a i TLS-a. Možete ograničiti da se pregovori o sigurnosti medijskog aviona primjenjuju samo kada je protokol za prijenos signalizacije TLS.

1	Pristupite web stranici administracije telefona.
2	Odaberite Glas > Ext (n).
3	U odjeljku SIP postavke postavite polja MediaSec Re quest i MediaSec Over TLS On ly kako je definirano u tablici parametara pregovaranja o sigurnosti medijske ravni.
4	Kliknite Po šalji sve promjene.

Parametri pregovora o sigurnosti medijskog aviona

Sljedeća tablica definira funkciju i upotrebu parametara MediaSec zaht jeva i MediaSec Over TLS On ly na web stranici telefona. Također definira sintaksu niza koji se dodaje u konfiguracijsku datoteku telefona (cfg.xml) za konfiguriranje parametra.

Tablica 2. Parametri pregovora o sigurnosti medijskog aviona
Parametar	Opis
Zahtjev za MediaSec	Određuje pokreće li telefon pregovore o sigurnosti medijske ravnine s poslužiteljem. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<MediaSec_Request_1_ ua="na">Yes</MediaSec_Request_1_>` U web sučelju telefona postavite ovo polje na Da ili Ne po potrebi. Dopuštene vrijednosti: Da \| Ne Da —Način koji je pokrenuo klijent. Telefon pokreće pregovore o sigurnosti medijskih aviona. Ne —Nač in pokretanja poslužitelja. Poslužitelj pokreće pregovore o sigurnosti medijskog aviona. Telefon ne pokreće pregovore, ali može obraditi zahtjeve za pregovaranje s poslužitelja radi uspostavljanja sigurnih poziva. Zadano: Ne
MediaSec samo preko TLS-a	Određuje protokol za prijenos signalizacije nad kojim se primjenjuju pregovori o sigurnosti medijskog aviona. Prije postavljanja ovog polja na Da, provjerite je li protokol za prijenos signalizacije TLS. Izvršite jedno od sljedećeg: U konfiguracijsku datoteku telefona s XML-om (cfg.xml) unesite niz u ovom formatu: `<MediaSec_Over_TLS_Only_1_ ua="na">No</MediaSec_Over_TLS_Only_1_>` U web sučelju telefona postavite ovo polje na Da ili Ne po potrebi. Dopuštene vrijednosti: Da \| Ne Da — Telefon pokreće ili upravlja pregovorima o sigurnosti medijskih aviona samo kada je protokol za prijenos signalizacije TLS. Ne - Telefon pokreće i vodi pregovore o sigurnosti medijskih aviona bez obzira na protokol o signalnom prijevozu. Zadano: Ne

Postavite provedbu spajanja OCSP

Online Certificate Status Protocol (OCSP) pomaže u sprječavanju veza koje koriste opozvane certifikate tijekom TLS stiskanja ruke. S omogućenom provedbom OCSP spajanja, telefon traži i potvrđuje spajani OCSP odgovor. Telefon odbija vezu ako je odgovor nevažeći ili prijavljuje da je certifikat opozvan. Odbija nedostajući odgovor ili valjani OCSP odgovor s NEPOZNATIM statusom samo kada certifikat poslužitelja zahtijeva OCSP spajanje (to jest, ima obavez no proširenje). I dalje vrijedi redovna provjera potvrde.

1	Pristupite web stranici administracije telefona.
2	Odaberite Glas > Sustav.
3	U odjeljku Sigurnosne postavke konfigurirajte postavku provedbe OCSP spajanja. Također možete omogućiti parametre u konfiguracijskoj datoteci telefona (cfg.xml). `<OCSP_Stapling_Enforcementua="na">Enabled</OCSP_Stapling_Enforcement>` Zadano: Omogućeno Opcije: Onemogućeno \| Omogućeno
4	Kliknite Po šalji sve promjene.

Cisco AI Assistant

Hvala na povratnim informacijama.