피드백을 보내 주셔서 감사합니다.

보안 기능은 전화기의 ID나 데이터에 대한 위협을 비롯한 위협으로부터 전화기를 보호합니다. 이 기능은 전화기와 Cisco Unified Communications Manager 서버 사이에서 인증된 통신 스트림을 설정하고 유지하여, 전화기가 디지털 서명된 파일만 사용하게 합니다.

Cisco Unified Communications Manager 릴리스 8.5(1) 이상에는 기본값 보안이 포함되는데, 이는 CTL 클라이언트를 실행하지 않고도 Cisco IP 전화기에 다음과 같은 보안 기능을 제공합니다.

• 전화기 구성 파일 서명

• 전화기 구성 파일 암호화

• Tomcat 및 기타 웹 서비스를 사용하는 HTTPS

Cisco Unified Communications Manager 시스템에 보안을 구현하면 전화기 및 Cisco Unified Communications Manager 서버의 ID 도난을 방지하고, 데이터 변조를 방지하고, 통화 시그널링 및 미디어 스트림 변조를 방지합니다.

이러한 위협을 완화하기 위해 Cisco IP 텔레포니 네트워크는 전화기와 서버 간에 보안(암호화된) 통신 스트림을 설정하고 유지 보수하고, 파일이 전화기로 전송되기 전에 파일에 디지털로 서명하고, Cisco IP 전화기 간에 미디어 스트림 및 통화 시그널링을 암호화합니다.

LSC(Locally Significant Certificate)는 CAPF(Certificate Authority Proxy Function)와 관련된 필수 작업을 수행한 후 전화기에 설치됩니다. Cisco Unified Communications Manager 보안 가이드에 설명된 대로 Cisco Unified Communications Manager Administration를 사용하여 LSC를 구성할 수 있습니다. 또는 전화기의 보안 메뉴에서 LSC 설치를 시작할 수도 있습니다. 이 메뉴에서는 LSC를 업데이트하거나 삭제할 수도 있습니다.

전화기는 장치가 비보안인지 보안인지를 정의하는 전화기 보안 프로파일을 사용합니다. 전화기에 보안 프로파일을 적용하는 작업에 관한 자세한 내용은 특정 Cisco Unified Communications Manager 릴리스용 문서를 참조하십시오.

Cisco Unified Communications Manager Administration에서 보안 관련 설정을 구성할 경우 전화기 구성 파일은 중요한 정보를 포함합니다. 구성 파일의 프라이버시를 보장하려면 암호화에 대한 설정을 구성해야 합니다. 자세한 내용은 해당 Cisco Unified Communications Manager 릴리스용 문서를 참조하십시오.

다음 표에는 전화기에서 지원하는 보안 기능에 대한 개요가 나와 있습니다. 자세한 내용은 해당 Cisco Unified Communications Manager 릴리스용 문서를 참조하십시오.

다음 표는 신뢰 목록 업데이트 알람 메시지와 의미를 포함합니다. 자세한 내용은 Cisco Unified Communications Manager 문서를 참조하십시오.

전화기에 보안이 실행되면, 전화기 화면의 아이콘을 통해 보안 전화를 식별할 수 있습니다. 통화를 시작할 때 보안 신호음이 재생되면 연결된 전화기가 안전하고 보호되고 있는지 여부를 판단할 수 있습니다.

보안 통화에서는 모든 통화 신호 처리와 미디어 스트림이 암호화됩니다. 보안 통화는 높은 수준의 보안을 제공하여, 통화에 무결성과 프라이버시를 제공합니다. 진행 중인 통화가 암호화되어 있는 경우 보안 아이콘 줄에.

Cisco Unified Communications Manager에서는 보안(암호화되고 신뢰할 수 있음)으로 구성된 전화기에 보호 상태를 할당할 수 있습니다. 보호되고 나면 이러한 장치는 각 통화를 시작할 때 보안 신호음을 재생하도록 구성할 수 있습니다.

• 보호된 장치:

  보안 전화기의 상태를 보호됨으로 변경하려면:

  1. Cisco Unified Communications Manager Administration에서 Device > Phone 을 선택합니다.
  2. 설정할 전화기를 검색합니다.
  3. [전화기 구성] 창에서 [보호된 장치 ] 확인란을 선택합니다 .
  4. 저장을 클릭합니다.

• 보안 표시음 재생:

  보호된 전화기에서 보안 또는 비보안 표시음을 재생하도록 하려면:

  1. Cisco Unified Communications Manager Administration에서 시스템 > 서비스 매개 변수를 선택합니다.
  2. 서버를 선택한 다음 Cisco CallManager 서비스를 선택합니다.
  3. [클러스터 수준 매개 변수(기능 - 보안 신호음) ] 영역에서 [보안/비보안 통화 상태를 나타내도록 신호음 재생] 설정을 [참 ]으로 설정합니다.
  4. 저장을 클릭합니다.

범위 내에 있는 모든 WLAN 장치는 기타 모든 WLAN 트래픽을 수신할 수 있으므로, 음성 통신 보안이 WLAN에서 중요합니다. 침입자가 음성 트래픽을 조작하거나 가로채지 않도록 Cisco SAFE 보안 아키텍처가 전화기를 지원합니다. 네트워크 보안에 대한 자세한 내용은 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html 을 참조하십시오.

Cisco Wireless IP 텔레포니 솔루션은 전화기가 지원하는 다음 인증 방법을 사용하여 인증되지 않은 로그인 및 통신 저하를 방지하는 무선 네트워크 보안을 제공합니다.

• 개방형 인증: 무선 장치가 개방형 시스템에서 인증을 요청할 수 있습니다. 요청을 수신하는 AP는 요청자에게 또는 사용자 목록에 있는 요청자에게만 인증을 허가할 수 있습니다. 무선 장치와 액세스 포인트(AP) 간의 통신이 암호화되지 않을 수 있습니다.

• EAP-FAST(Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling) 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 ISE(Identity Services Engine)와 같은 RADIUS 서버 간의 TLS(Transport Level Security) 터널 내에서 EAP 트랜잭션을 암호화합니다.

  TLS 터널은 클라이언트(전화기)와 RADIUS 서버 간 인증을 위해 PAC(Protected Access Credential)를 사용합니다. 서버가 AID(Authority ID)를 클라이언트(전화기)로 보내면, 거기서 해당 PAC를 선택합니다. 클라이언트(전화기)는 PAC-Opaque를 RADIUS 서버로 반환합니다. 서버는 기본 키로 PAC를 해독합니다. 이제 두 엔드포인트에는 PAC 키가 있고 TLS 터널이 생성됩니다. EAP-FAST는 자동 PAC 구축을 지원하지만, RADIUS 서버에서 이것을 활성화해야 합니다.

  ISE에서는 기본적으로 PAC가 1주일 후에 만료됩니다. 전화기에 만료된 PAC가 있는 경우, 전화기가 새 PAC를 가져오는 동안 RADIUS 서버에서 인증 시간이 더 오래 걸립니다. PAC 구축 지연을 피하기 위해 PAC 만료 기간을 ISE 또는 RADIUS 서버에서 90일 이상으로 설정하십시오.

• 확장 가능 인증 프로토콜 - 전송 계층 보안 EAP-TLS) 인증: EAP-TLS에는 인증 및 네트워크 액세스를 위한 클라이언트 인증서가 필요합니다. 무선 EAP-TLS의 경우 클라이언트 인증서는 MIC, LSC, 또는 사용자 설치 인증서일 수 있습니다.

• PEAP(Protected Extensible Authentication Protocol): 클라이언트(전화기)와 RADIUS 간 Cisco의 독점적 암호 기반 상호 인증 체계입니다. 전화기는 무선 네트워크에서 인증을 위해 PEAP를 사용할 수 있습니다. PEAP-MSCHAPV2 및 PEAP-GTC 인증 방법이 모두 지원됩니다.

• PSK(사전 공유 키): 전화기는 ASCII 및 16진수(HEX) 형식을 지원합니다. WPA2/SAE 사전 공유 키를 설정할 때 이러한 형식을 사용해야 합니다.

  ASCII: 길이가 8-63자인 ASCII 문자열입니다(0-9, 소문자 a-z, 대문자 A-Z 및 특수 문자). 예: GREG123567@9ZX&W.

  HEX: 길이가 64자리인 16진수 문자열(0-9, a-f 또는 A-F)입니다.

다음 인증 체계는 RADIUS 서버를 사용하여 인증 키를 관리합니다.

• WPA2/WPA3: RADIUS 서버 정보를 사용하여 인증을 위한 고유 키를 생성합니다. 이러한 키는 중앙 집중식 RADIUS 서버에서 생성되므로, WPA2/WPA3는 AP 및 전화기에 저장된 WPA 사전 공유 키보다 더 강화된 보안을 제공합니다.

• 고속 보안 로밍: RADIUS 서버와 무선 도메인 서버(WDS) 정보를 사용하여 키를 관리하고 인증합니다. WDS는 빠르고 안전한 재인증을 위해 FT 지원 클라이언트 디바이스에 대한 보안 자격 증명 캐시를 만듭니다.

WPA2/WPA3를 사용하면 암호화 키가 전화기에 입력되지 않지만 AP와 전화기 간에 자동으로 파생됩니다. 그러나 인증을 위해 사용되는 EAP 사용자 이름과 암호는 각 전화기에 입력해야 합니다.

무선 링크를 통한 음성 트래픽을 보호하기 위해 전화기는 WPA2/WPA3 인증에 AES 기반 암호화를 지원합니다. AES는 NIST에서 표준화한 대칭 블록 암호입니다. AES 고정 128비트 블록 크기를 사용하고 128비트, 192비트 및 256비트의 키 크기를 지원합니다. Wi-Fi 네트워크에서는 CCMP 또는 GCMP와 같은 암호 그룹에서 AES를 사용하는 반면, 인증은 구성된 WLAN 보안 모드에 따라 PSK, SAE 또는 802.1X/EAP에서 별도로 제공됩니다. 지원되는 암호 그룹 및 키 크기는 전화기 모델 및 WLAN 구성에 따라 다릅니다.

전화기가 AES 암호화를 사용하는 경우 신호 처리 SIP 패킷과 RTP(Voice Real-Time Transport Protocol) 패킷은 모두 AP와 전화기 사이에서 암호화됩니다.

인증 및 암호화 체계는 무선 LAN 내에서 설정됩니다. VLAN은 네트워크 및 AP에서 구성되고 다른 인증과 암호화의 조합을 지정합니다. SSID는 VLAN과 특정 인증 및 암호화 체계와 연결됩니다. 무선 클라이언트 장치를 성공적으로 인증하려면 AP 및 전화기의 인증 및 암호화 체계와 동일한 SSID를 구성해야 합니다.

일부 인증 체계에서는 특정 유형의 암호화가 필요합니다.

다음 표의 인증 및 암호화 체계는 AP 구성에 해당하는 Cisco Wireless Phone 9821에 대한 네트워크 구성 옵션을 보여줍니다.

Cisco Wireless Phone 9821은 유선 네트워크에 대해 802.1X 인증을 지원합니다. 일반적으로 전화기가 지원되는 USB-이더넷 어댑터를 통해 데스크톱 충전기에 연결되었을 때 자동 프로비저닝 중에 사용됩니다.

유선 네트워크에서 802.1X 인증을 지원하려면 다음과 같은 몇 가지 구성 요소가 필요합니다.

• Cisco IP 전화기: 전화기에서 네트워크 액세스 요청을 시작합니다. Cisco IP 전화기에는 802.1X 인증 요청자가 있습니다. 이 인증 요청자를 통해 네트워크 관리자는 IP 전화기의 LAN 스위치 포트 연결을 제어합니다. 현재 전화기 802.1X 인증 요청자 릴리스는 네트워크 인증에 EAP-FAST 및 EAP-TLS 옵션을 사용합니다.

• 인증 서버: 인증 서버와 스위치 모두 RADIUS 공유 비밀로 구성해야 합니다.

• 스위치: 스위치는 802.1X를 지원해야 인증자 역할을 하고 전화기와 인증 서버 간에 EAP 메시지를 릴레이할 수 있습니다. 교환이 끝나면 스위치는 네트워크에 대한 전화기 액세스를 허용 또는 거부합니다.

Cisco IP 전화기와 Cisco Catalyst 스위치는 일반적으로 CDP(Cisco Discovery Protocol)를 사용해 서로를 식별하고 VLAN 할당 및 인라인 전력 요구 사항 같은 매개변수를 결정합니다.

802.1X를 구성하려면 다음과 같은 작업을 수행해야 합니다.

• CDP/LLDP 음성 VLAN 바이패스를 구성합니다.

• 전화기에서 유선 네트워크에 대한 802.1X 인증을 활성화하기 전에 먼저 인증 서버 및 스위치를 구성합니다.

• 음성 VLAN 구성: 802.1X 표준으로 VLAN이 설명되지 않으므로 스위치 지원을 기준으로 이 설정을 구성해야 합니다.

  • 사용: 다중 도메인 인증을 지원하는 스위치를 사용하는 경우 음성 VLAN를 사용하도록 구성할 수 있습니다.
  • 비활성화됨: 스위치에서 멀티도메인 인증을 지원하지 않으면, 음성 VLAN을 비활성화하고 기본 VLAN에 대한 포트 할당을 고려하십시오.

• Cisco Wireless Phone 9821의 PID에는 다른 Cisco 전화기의 접두사와 다른 접두사가 있습니다. 전화기가 802.1X 인증을 통과할 수 있도록 하려면 Radius· 사용자 이름 매개 변수에 Cisco Wireless Phone 9821을 포함합니다.

  예를 들어, Cisco Wireless Phone 9821의 PID는 WP-9821입니다. 당신은 설정할 수 있습니다 반경· User-Name : WP 로 시작하거나 다음 두 섹션 모두에서 WP 를 포함합니다.

  • 정책 >조건 > 라이브러리 조건

  • 정책 > 정책 집합 > 권한 부여 정책 > 권한 부여 규칙 1