Köszönjük visszajelzését.

A biztonsági funkciók védelmet biztosítanak a fenyegetések ellen, ideértve a telefonazonosítással és az adatokkal kapcsolatos veszélyeket is. Ezek a funkciók hitelesített kommunikációs folyamokat hoznak létre és tartanak fenn a telefon és a Cisco Unified Communications Manager server között, és biztosítják, hogy a telefon csak digitálisan aláírt fájlokat használjon.

A Cisco Unified Communications Manager 8.5(1) és későbbi kiadásai már alapértelmezés szerint tartalmazzák a Biztonság szolgáltatást, amely a következő biztonsági funkciókat nyújtja a CTL-ügyfél nélküli Cisco IP Phone készülékek számára:

• A telefon konfigurációs fájljainak aláírása

• A telefon konfigurációs fájljának titkosítása

• HTTPS és Tomcat, valamint egyéb webes szolgáltatások

A Cisco Unified Communications Manager biztonsági szolgáltatásainak implementálása megakadályozza a telefon és a Cisco Unified Communications Manager-kiszolgáló személyazonosságának ellopását, megakadályozza az adatok, illetve a hívásjelzések és médiafolyamok meghamisítását.

Az ilyen fenyegetések enyhítése érdekében a Cisco IP telefonos hálózat biztonságos (titkosított) kommunikációs folyamokat hoz létre és tart fenn a telefonok és a kiszolgáló között, digitálisan aláírja a fájlokat, mielőtt azokat a rendszer átirányítja a telefonra, és titkosítja a Cisco IP Phone telefonok közötti hívásjelzéseket és médiafolyamokat.

A Certificate Authority Proxy (CAPF) funkcióhoz tartozó szükséges feladatok elvégzése után a rendszer egy Locally Significant Certificate (LSC) tanúsítványt telepít a telefonokra. A Cisco Unified Communications Manager Administration hashtaggel LSC konfigurálhat a Cisco Unified Communications Manager biztonsági útmutatóban leírtak szerint. A LSC telepítését a telefon Biztonság menüjéből is kezdeményezheti. Ez a menü az LSC-k frissítését vagy eltávolítását is lehetővé teszi.

A telefonok a telefonos biztonsági profilt használják, amely meghatározza, hogy az eszköz biztonságos vagy nem. A biztonsági profil telefonra való alkalmazásával kapcsolatban további információt az adott Cisco Unified Communications Manager kiadás dokumentációjában talál.

Ha a Cisco Unified Communications Manager Administration rendszerben a biztonsággal kapcsolatos beállításokat állít be, akkor a telefon konfigurációs fájlja bizalmas információkat tartalmaz. Ha meg szeretne győződni a konfigurációs fájl titkosságáról, akkor ahhoz titkosítást kell beállítania. Részletes információk az adott Cisco Unified Communications Manager-verzió dokumentációjában találhatók.

A következő táblázat áttekintést ad a telefon által támogatott biztonsági funkciókról. További információk az adott Cisco Unified Communications Manager-verzió dokumentációjában találhatók.

A következő táblázat tartalmazza a megbízhatósági lista frissítésriasztási üzeneteit és azok jelentését. További információért lásd a Cisco Unified Communications Manager dokumentációját.

Amikor a telefonon biztonsági szolgáltatás van implementálva, a telefon kijelzőjén látható ikonok segítségével azonosíthatók a biztonságos hívások. Az alapján is meghatározhatja, hogy a csatlakoztatott telefon biztonságos és védett-e, ha a hívás elején a telefon biztonsági hangjelzést ad.

Biztonságos hívás esetén az összes hívásjelzés és médiafolyam titkosítva van. A biztonságos hívás magas szintű biztonságot nyújt, garantálva a hívás integritását és titkosítását. Ha egy folyamatban lévő hívás titkosítva van, a biztonságos ikon látható A vonalon.

A Cisco Unified Communications Manager-ben a biztonságosként (titkosítottként és megbízhatóként) konfigurált telefonokhoz védett státusz rendelhető. A védelem után ezek az eszközök beállíthatók úgy, hogy minden hívás elején biztonsági hangjelzést adjanak le.

• Védett eszköz:

  Biztonságos telefon védettre állapotának módosítása:

  1. A Cisco Unified Communications Manager Administration helyen válassza a Device > Phone lehetőséget.
  2. Keresse meg a beállítani kívánt telefont.
  3. A Telefon konfigurációja ablakban jelölje be a Védett eszköz jelölőnégyzetet.
  4. Kattintson a Mentés gombra.

• Biztonságos jelzés lejátszása:

  A védett telefon biztonságos vagy nem biztonságos jelzőhangjelzésének engedélyezése:

  1. A Cisco Unified Communications Manager Administration területen válassza a Rendszer > szolgáltatás paraméterei lehetőséget.
  2. Válassza ki a kiszolgálót, majd a Cisco CallManager szolgáltatást.
  3. A Fürtszintű paraméterek (funkció - Biztonságos hang) területen állítsa a Biztonságos/nem biztonságos hívásállapotot jelző lejátszási hang beállítást Igaz értékre.
  4. Kattintson a Mentés gombra.

Mivel az összes hatókörön belüli WLAN-eszköz képes fogadni minden egyéb WLAN-forgalmat, a hangkommunikáció biztonságossá tétele alapvető fontosságú a WLAN-hálózatok esetén. Annak érdekében, hogy a behatolók ne manipulálják és ne fogják el a hangforgalmat, a Cisco SAFE Security architektúra támogatja a telefont. A hálózatok biztonságáról további információt a http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html című témakörben talál.

A Cisco vezeték nélküli IP telefonos megoldás vezeték nélküli hálózati biztonságot nyújt, amely megakadályozza a jogosulatlan bejelentkezéseket és a kommunikáció feltörését a telefon által támogatott alábbi hitelesítési módszerek használatával.

• Nyílt hitelesítés: egy nyitott rendszerben bármely vezeték nélküli eszköz kérhet hitelesítést. A kérést fogadó hozzáférési pont jóváhagyhatja a hitelesítést bármely kérelmező számára, vagy csak a felhasználók listáján található kérelmezőknek. Előfordulhat, hogy a vezeték nélküli eszköz és az Access Point (AP) közötti kommunikáció titkosítatlan.

• Bővíthető hitelesítési protokoll – Rugalmas hitelesítés biztonságos bújtatási (EAP-FAST) hitelesítéssel: Ez az ügyfél-kiszolgáló biztonsági architektúra EAP tranzakciókat titkosít az AP és a RADIUS-kiszolgáló közötti Transport Level Security (TLS) alagúton belül, például az Identity Services Engine (ISE) esetében.

  A TLS-alagút védett hozzáférési hitelesítő adatokat (PAC) használ az ügyfél (telefon) és a RADIUS-kiszolgáló közötti hitelesítéshez. A kiszolgáló egy Authority ID (AID) azonosítót küld az ügyfélnek (telefon), amely kiválasztja a megfelelő PAC-ot. Az ügyfél (telefon) egy PAC-Opaque választ ad vissza a RADIUS-kiszolgálónak. A kiszolgáló az elsődleges kulccsal visszafejti a PAC-ot. Ekkor már mindkét végpont tartalmazza a PAC-kulcsot, és létrejön egy TLS-alagút. Az EAP-FAST támogatja az automatikus PAC-létesítést, de Önnek engedélyeznie kell azt a RADIUS-kiszolgálón.

  Az ISE-ben alapértelmezés szerint a PAC egy hét múlva lejár. Ha a telefon lejárt PAC-kal rendelkezik, akkor a RADIUS-kiszolgálóval való hitelesítés hosszabb időt vesz igénybe, mert a telefon új PAC-ot kap. A PAC-létesítési késleltetések elkerülése érdekében a PAC lejárati időszakát 90 napra vagy hosszabb időszakra kell beállítani az ISE- vagy RADIUS-kiszolgálón.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Authentication: az EAP-TLS esetén egy ügyféltanúsítvány szükséges a hitelesítéshez és a hálózati eléréshez. Vezeték nélküli EAP-TLS esetén az ügyféltanúsítvány lehet MIC, LSC, vagy felhasználó által telepített tanúsítvány.

• Protected Extensible Authentication Protocol (PEAP): a Cisco saját jelszóalapú kölcsönös hitelesítési sémája az ügyfél (telefon) és egy RADIUS-kiszolgáló között. A telefon a PEAP hashtaggel hitelesítheti magát a vezeték nélküli hálózaton. A PEAP-MSCHAPV2 és a PEAP-GTC hitelesítési módszerek is támogatottak.

• Előmegosztott kulcs (PSK): A telefon támogatja a ASCII és a hexadecimális (HEX) formátumokat. Ezeket a formátumokat kell használnia WPA2/SAE előmegosztott kulcs beállításakor.

  ASCII: ASCII-karakterlánc 8–63 karakter hosszúsággal (0-9, kisbetűs a-z, nagybetűs A-Z és speciális karakterek). Például,GREG123567@9ZX &W.

  HEX: 64 hexadecimális számjegyből álló hexadecimális karakterlánc (0-9, a-f vagy A-F).

A következő hitelesítési sémák a RADIUS-kiszolgáló használatával kezelik a hitelesítési kulcsokat:

• WPA2/WPA3: a RADIUS-kiszolgáló adatait használja egyedi kulcsok előállításához a hitelesítéskor. Mivel ezek a kulcsok a központosított RADIUS-kiszolgálón jönnek létre, a WPA2/WPA3 nagyobb biztonságot nyújt, mint a hozzáférési ponton és a telefonon tárolt előmegosztott WPA-kulcsok.

• Gyors biztonságos barangolás: a RADIUS-kiszolgáló és egy vezeték nélküli tartományi kiszolgáló (WDS) adatait használja a kulcsok kezeléséhez és hitelesítéséhez. A WDS létrehozza az FT-kompatibilis ügyféleszközök biztonsági hitelesítő adatainak gyorsítótárát a gyors és biztonságos újrahitelesítés érdekében.

A WPA2/WPA3 titkosítás esetén a titkosítási kulcsok nem kerülnek be a telefonra, hanem automatikusan származnak a hozzáférési pont és a telefon között. A hitelesítéshez használt EAP-felhasználónevet és -jelszót azonban minden telefonon meg kell adni.

A vezeték nélküli kapcsolaton keresztüli hangforgalom védelme érdekében a telefon támogatja az AES-alapú titkosítást a WPA2/WPA3 hitelesítéshez. A AES a NIST által szabványosított szimmetrikus blokkrejtjel. A AES rögzített 128 bites blokkméretet használ, és támogatja a 128 bites, 192 bites és 256 bites kulcsméreteket. A Wi-Fi hálózatokban a AES értéket olyan titkosítási csomagok használják, mint a CCMP vagy a GCMP, míg a hitelesítést külön biztosítja a PSK, SAE vagy 802.1X/EAP, a beállított WLAN biztonsági módtól függően. A támogatott titkosítási csomag és kulcsméret a telefon típusától és a WLAN konfigurációtól függ.

Ha a telefon AES titkosítást használ, mind a SIP jelátviteli csomagok, mind a hangalapú Real-Time Transport Protocol (RTP) csomagok titkosítva vannak a hozzáférési pont és a telefon között.

A hitelesítési és titkosítási sémák a vezeték nélküli LAN-on belül vannak beállítva. A VLAN-beállítások a hálózaton és a hozzáférési ponton vannak konfigurálva, és a hitelesítés és titkosítás különböző kombinációit határozzák meg. A rendszer egy SSID-t társít egy VLAN-hoz és az adott hitelesítési és titkosítási rendszerhez. A vezeték nélküli ügyféleszközök sikeres hitelesítéséhez ugyanazokat az SSID-ket kell konfigurálnia hitelesítési és titkosítási sémáikkal a hozzáférési pontokon és a telefonon.

Egyes hitelesítési sémák adott típusú titkosítást igényelnek.

A következő táblázatban látható hitelesítési és titkosítási sémák az AP konfigurációnak megfelelő Cisco vezeték nélküli telefon 9821-es hálózati konfigurációs beállításait mutatják be.

Cisco A 9821-es vezeték nélküli telefon támogatja a vezetékes hálózatok 802.1X hitelesítését. Ez általában az automatikus létesítés során használatos, amikor a telefon támogatott USB–Ethernet adapteren keresztül csatlakozik az asztali töltőhöz.

A vezetékes hálózatokon a 802.1X hitelesítés támogatásához több összetevőre van szükség, az alábbiak szerint:

• Cisco IP Phone: a telefon kezdeményezi a hálózatelérési kérést. A Cisco IP Phone telefonok 802.1X kérelmezőt tartalmaznak. Ez a kérelmező lehetővé teszi a hálózati rendszergazdák számára az IP telefonok és a LAN-kapcsolóportok közötti kapcsolat vezérlését. A telefon 802.1X kérelmezőjének aktuális kiadása EAP-FAST és EAP-TLS lehetőségeket kínál a hálózati hitelesítéshez.

• Hitelesítési kiszolgáló: A hitelesítési kiszolgálót és a kapcsolót egyaránt RADIUS közös titokkal kell konfigurálni.

• Kapcsoló: A kapcsolónak támogatnia kell a 802.1X szabványt, hogy hitelesítőként működhessen, és továbbíthassa a EAP üzeneteket a telefon és a hitelesítési kiszolgáló között. Miután az adatcsere befejeződött, a kapcsoló engedélyezi vagy megtagadja a telefon számára a hálózat elérését.

A Cisco IP Phone telefonok és a Cisco Catalyst kapcsolók hagyományosan Cisco Discovery Protocol (CDP) segítségével azonosítják egymást és határozzák meg a paramétereket (például a VLAN-kiosztást és a vonali tápellátási követelményeket).

A 802.1X konfigurálásához a következő műveleteket kell végrehajtania.

• Konfigurálja a CDP/LLDP hang VLAN megkerülését.

• Konfigurálja a hitelesítési kiszolgálót és a kapcsolót, mielőtt engedélyezné a 802.1X hitelesítést a telefon vezetékes hálózatain.

• Hang VLAN konfigurálása: mivel a 802.1X szabvány nem veszi figyelembe a VLAN-okat, ezt a beállítást a kapcsolótámogatás alapján kell beállítania.

  • Engedélyezve: Ha olyan kapcsolót használ, amely támogatja a többtartományos hitelesítést, konfigurálhatja úgy, hogy a VLAN hangot használja.
  • Letiltva: ha a kapcsoló nem támogatja a többtartományos hitelesítést, tiltsa le a hang VLAN-t, és fontolja meg a port natív VLAN-hoz való hozzárendelését.

• Cisco A 9821-es vezeték nélküli telefon PID előtagja eltér a többi Cisco telefon előtagjától. Ha engedélyezni szeretné, hogy telefonja átmenjen a 802.1X hitelesítésen, állítsa be a Sugár· User-Name paraméter a Cisco 9821-es vezeték nélküli telefon felvételéhez.

  Például a Cisco 9821 vezeték nélküli telefon PID-je WP-9821. Beállíthatja a sugarat· A felhasználónév WP-vel kezdődik, vagy WP-t tartalmaz mindkét alábbi szakaszban:

  • Házirend > Feltételek > Könyvtári feltételek

  • Házirend > Házirendkészletek > Engedélyezési házirend > Engedélyezési szabály 1