피드백을 보내 주셔서 감사합니다.

보안 기능은 전화 ID와 데이터에 대한 위협을 포함한 위협으로부터 보호해요. 이러한 기능은 전화와 Cisco Unified Communications Manager 서버 간에 인증된 통신 스트림을 설정하고 유지하며 전화기가 디지털 서명된 파일만 사용하도록 합니다.

Cisco Unified Communications Manager릴리스 8.5 (1) 이상에는 기본적으로 보안이 포함돼 있는데, CTL 클라이언트를 실행하지 않고도 Cisco IP 전화에 다음과 같은 보안 기능을 제공해요.

• 전화 구성 파일 서명해요

• 전화 구성 파일 암호화예요

• 톰캣하고 다른 웹 서비스와 HTTPS

Cisco Unified Communications Manager시스템에 보안을 구현하면 전화와 Cisco Unified Communications Manager 서버의 신원 도용을 방지하고, 데이터 변조를 방지하고, 통화 신호와 미디어 스트림 변조를 방지할 수 있어요.

이러한 위협을 완화하기 위해 Cisco IP 텔레포니 네트워크는 전화와 서버 간에 보안 (암호화된) 통신 스트림을 설정 및 유지하고, 파일이 전화로 전송되기 전에 디지털 서명하고, Cisco IP Phone 간의 미디어 스트림과 통화 신호를 암호화해요.

Certificate Authority프록시 기능 (CAPF) 과 관련된 필요한 작업을 수행한 후에 로컬 중요 인증서 (LSC) 가 전화기에 설치돼요. Cisco Unified Communications Manager보안 가이드에 설명된 대로 LSC를 구성하는 Cisco Unified Communications Manager Administration 데 사용할 수 있어요. 아니면 전화의 보안 설정 메뉴에서 LSC 설치를 시작할 수 있어요. 이 메뉴에서는 LSC를 업데이트하거나 제거할 수도 있어요.

휴대폰은 장치가 안전하지 않은지 안전한지 정의하는 전화 보안 프로필을 사용해요 . 휴대폰에 보안 프로필을 적용하는 방법에 대한 정보는 특정 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

에서 보안 관련 설정을 구성하면 전화 구성 파일에 Cisco Unified Communications Manager Administration 중요한 정보가 포함돼요. 구성 파일의 프라이버시를 보장하려면 암호화하도록 구성해야 해요. 자세한 내용은 특정 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

전화가 연방 정보 처리 표준 (FIPS) 을 준수해요. 제대로 작동하려면 FIPS 모드의 키 크기가 2048비트 이상이어야 해요. 인증서가 2048비트 미만이면 전화가 등록되지 않고 전화는 등록에 실패해요. Cisco Unified Communications Manager인증서 키 크기가 전화기의 FIPS 규격을 준수하지 않아요.

휴대폰에 LSC가 있으면 FIPS를 활성화하기 전에 LSC 키 크기를 2048비트 이상으로 업데이트해야 해요.

다음 표는 전화기가 지원하는 보안 기능을 개괄적으로 보여줘요. 자세한 내용은 특정 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

보안 모드를 보려면 설정을 누르고 네트워크 및 서비스 > 보안 설정으로 이동하세요.

다음 표에는 Trust List 업데이트 경보 메시지와 의미가 포함되어 있어요. 자세한 내용은 Cisco Unified Communications Manager 설명서를 참조하세요.

보안 설정 메뉴는 다양한 보안 설정에 대한 정보를 제공해요. 메뉴를 통해 Trust List 메뉴에 액세스할 수도 있고 전화에 CTL 파일이 설치되어 있는지 ITL 파일이 설치되어 있는지를 나타냅니다.

다음 표는 보안 설정 메뉴의 옵션을 설명해요.

시스코 IP 전화는 802.1X 인증을 지원해요.

시스코 IP 전화하고 Cisco Catalyst 스위치는 전통적으로 서로를 식별하고 VLAN 할당과 인라인 전원 요구 사항 같은 파라미터를 결정하는 데 Cisco Discovery Protocol (CDP) 를 사용해요. CDP는 로컬에 연결된 워크스테이션을 식별하지 않아요. 시스코 IP 전화는 EAPOL 패스스루 메커니즘을 제공해요. 이 메커니즘을 통해 Cisco IP Phone에 연결된 워크스테이션이 LAN 스위치의 802.1X 인증기로 EAPOL 메시지를 전달할 수 있어요. 패스스루 메커니즘은 IP 전화가 네트워크에 액세스하기 전에 데이터 엔드포인트를 인증하는 LAN 스위치 역할을 하지 않도록 해줘요.

시스코 IP 전화는 프록시 EAPOL 로그오프 메커니즘도 제공해요. 로컬로 연결된 PC와 IP 전화의 연결이 끊어지면 LAN 스위치는 물리적 연결 장애를 보지 못해요. LAN 스위치와 IP 전화 사이의 링크가 유지되기 때문이죠. 네트워크 무결성 훼손을 방지하기 위해 IP 전화가 다운스트림 PC를 대신하여 스위치에 EAPOL-Logoff 메시지를 보냅니다. 그러면 LAN 스위치가 다운스트림 PC의 인증 항목을 지우도록 트리거해요.

802.1X 인증 지원에는 몇 가지 구성 요소가 필요해요.

• 시스코 IP 전화: 전화기가 네트워크 액세스 요청을 시작해요. 시스코 IP 전화에는 802.1X 서플라이컨트가 들어있어요. 이 요청자를 사용하여 네트워크 관리자가 IP 전화와 LAN 스위치 포트 연결을 제어할 수 있어요. 전화 802.1X 신청자의 현재 릴리스는 네트워크 인증에 EAP-FAST와 EAP-TLS 옵션을 사용해요.

• 인증 서버: 인증 서버와 스위치 모두 전화를 인증하는 공유 암호로 구성해야 해요.

• 스위치: 스위치가 802.1X를 지원해야 인증자 역할을 하고 전화와 인증 서버 간에 메시지를 전달할 수 있어요. 교환 완료 후 스위치가 전화기의 네트워크 액세스를 허용하거나 거부해요.

802.1X를 구성하려면 다음 작업을 수행해야 해요.

• 전화기에서 802.1X 인증을 활성화하기 전에 다른 구성 요소를 구성하세요.

• PC 포트 구성: 802.1X 표준은 VLAN을 고려하지 않으므로 특정 스위치 포트에 대해 단일 장치만 인증하도록 권장해요. 하지만 일부 스위치는 멀티도메인 인증을 지원해요. 스위치 구성에 따라 PC를 전화기의 PC 포트에 연결할 수 있는지 여부가 결정돼요.

  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용하는 경우 PC 포트를 활성화하고 PC를 연결할 수 있어요. 이 경우 시스코 IP 폰은 스위치와 연결된 PC 간의 인증 교환을 모니터링하기 위해 프록시 EAPOL-로그오프를 지원해요.

    Cisco Catalyst 스위치의 IEEE 802.1X 지원에 대한 자세한 내용은 다음 주소의 Cisco Catalyst 스위치 구성 가이드를 참조하세요.

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 비활성화됨: 스위치가 같은 포트에서 802.1X 호환 장치 여러 개를 지원하지 않으면 802.1X 인증이 활성화될 때 PC 포트를 비활성화해야 해요. 이 포트를 비활성화하지 않고 PC를 연결하려고 하면 스위치가 전화기와 PC 모두에 대한 네트워크 액세스를 거부해요.

• 음성 VLAN 구성: 802.1X 표준은 VLAN을 고려하지 않기 때문에 스위치 지원을 기반으로 이 설정을 구성해야 해요.
  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용하는 경우 음성 VLAN을 계속 사용할 수 있어요.
  • 비활성화됨: 스위치가 멀티도메인 인증을 지원하지 않으면 음성 VLAN을 비활성화하고 네이티브 VLAN에 포트를 할당하는 것을 고려해 보세요.
• (시스코 데스크 폰 9800 시리즈에만 해당)

  시스코 데스크폰 9800 시리즈의 PID 접두사가 다른 시스코 폰의 접두사와 달라요. 휴대폰이 802.1X 인증을 통과할 수 있게 하려면 RADIUS·User-Name 파라미터에 Cisco 데스크 폰 9800 시리즈를 포함하도록 설정하세요.

  예를 들어, 전화 9841의 PID는 DP-9841 이에요. 반경·사용자 이름을 DP로 시작하거나 DP를 포함하도록 설정할 수 있어요. 다음 두 섹션에서 설정할 수 있어요.

  • 정책 > 조건 > 도서관 조건

  • 정책 > 정책 세트 > 권한 부여 정책 > 권한 부여 규칙 1

전화에 보안이 구현되면 전화 화면의 아이콘으로 보안 전화를 식별할 수 있어요. 통화 시작 시 보안음이 울리면 연결된 전화가 안전한지 보호되는지 확인할 수도 있어요.

보안 통화에서는 모든 통화 신호와 미디어 스트림이 암호화돼요. 보안 통화는 높은 수준의 보안을 제공하여 통화에 무결성과 프라이버시를 제공해요. 진행 중인 통화가 암호화되면 줄에 보안 아이콘이 보여요. 보안 전화의 경우 전화 메뉴에서 연결된 서버 옆에 있는 인증 아이콘이나 암호화된 아이콘도 볼 수 있어요 (설정 > 이 기기 정보).

보안 통화에서는 통화 시작 시 보안음이 울려 연결된 다른 전화기도 보안 오디오를 수신하고 전송하고 있다는 것을 알려줘요. 전화가 보안되지 않는 전화에 연결되면 보안음이 재생되지 않아요.

에서 Cisco Unified Communications Manager 전화가 보안 (암호화되고 신뢰할 수 있음) 으로 구성되면 보호된 상태로 지정될 수 있어요. 그 후, 필요하면 통화 시작 시 표시음이 재생되도록 보호된 전화를 구성할 수 있어요.

• 보호된 장치: 보안 전화의 상태를 보호됨으로 변경하려면 Cisco Unified Communications Manager Administration (장치 > 전화) 의 전화 구성 창에 있는 보호 장치 체크박스를 체크하세요.

• 보안 표시음 재생: 보호된 전화에서 보안 신호음 또는 비보안 표시음을 재생하려면 보안 표시음 재생 설정을 True로 설정하세요. 기본적으로 플레이 보안 표시음이 False로 설정되어 있어요. 이 옵션은 Cisco Unified Communications Manager Administration (시스템 > 서비스 매개변수) 에서 설정했어요. 서버를 선택한 다음 통합 커뮤니케이션 매니저 서비스를 선택하세요. 서비스 매개변수 구성 창에서 기능 - 보안음 영역에서 옵션을 선택하세요. 기본값은 False예요.

범위 내에 있는 모든 WLAN 장치가 다른 모든 WLAN 트래픽을 수신할 수 있기 때문에 WLAN에서는 음성 통신 보안이 중요해요. 침입자가 음성 트래픽을 조작하거나 가로채지 못하게 하기 위해 Cisco SAFE Security 아키텍처가 전화를 지원해요. 네트워크 보안에 대한 자세한 내용은 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html 참조하십시오.

Cisco 무선 IP 텔레포니 솔루션은 전화기가 지원하는 다음 인증 방법을 사용하여 무단 로그인과 통신 손상을 방지하는 무선 네트워크 보안을 제공해요.

• 공개 인증: 모든 무선 장치가 개방형 시스템에서 인증을 요청할 수 있어요. 요청을 받는 AP는 모든 요청자에게 인증을 부여하거나 사용자 목록에 있는 요청자에게만 인증을 부여할 수 있어요. 무선 장치와 액세스 포인트 (AP) 간의 통신은 암호화되지 않을 수 있어요.

• 확장 가능한 인증 프로토콜-보안 터널링 (EAP-FAST) 인증을 통한 유연한 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 RADIUS 서버 사이의 전송 수준 보안 (TLS) 터널 내에서 ID 서비스 엔진 (ISE) 같은 EAP 거래를 암호화해요.

  TLS 터널은 클라이언트 (전화) 와 RADIUS 서버 간의 인증에 보호 액세스 자격 증명 (PAC) 을 사용해요. 서버가 클라이언트 (전화) 에 기관 ID (AID) 를 보내고, 클라이언트는 적절한 PAC를 선택해요. 클라이언트 (전화) 가 PAC-불투명 신호를 RADIUS 서버에 돌려줘요. 서버가 기본 키로 PAC 암호를 해독해요. 이제 양쪽 엔드포인트에 PAC 키가 포함되고 TLS 터널이 생성됐어요. EAP-FAST는 자동 PAC 프로비저닝을 지원하지만 RADIUS 서버에서 활성화해야 해요.

  ISE에서는 기본적으로 PAC가 일주일 후에 만료돼요. 전화의 PAC가 만료된 경우, 전화가 새 PAC를 받는 동안 RADIUS 서버 인증이 더 오래 걸려요. PAC 프로비저닝 지연을 피하려면 ISE 또는 RADIUS 서버에서 PAC 만료 기간을 90일 이상으로 설정하세요.

• 확장 가능한 인증 프로토콜-전송 계층 보안 (EAP-TLS) 인증: EAP-TLS는 인증 및 네트워크 액세스를 위한 클라이언트 인증서가 필요해요. 무선 EAP-TLS의 경우 클라이언트 인증서는 MIC, LSC 또는 사용자 설치 인증서일 수 있어요.

• 보호된 확장 인증 프로토콜 (PEAP): 클라이언트 (전화) 와 RADIUS 서버 간의 시스코 독점 암호 기반 상호 인증 체계예요. 전화는 무선 네트워크 인증에 PEAP를 사용할 수 있어요. PEAP-MSCHAPV2 인증 방법과 PEAP-GTC 인증 방법 모두 지원돼요.

• 사전 공유 키 (PSK): 전화기가 ASCII 형식을 지원해요. WPA/WPA2/SAE 사전 공유 키를 설정할 때 이 형식을 사용해야 해요.

  ASCII: 8~63자 길이의 아스키 문자열 (0-9, 소문자와 대문자 A-Z, 특수 문자)

  예: GREG123567 @9ZX &W

다음 인증 체계는 RADIUS 서버를 사용하여 인증 키를 관리해요.

• WPA/WPA2/WPA3: RADIUS 서버 정보를 사용하여 인증을 위한 고유 키를 생성해요. 이러한 키가 중앙 RADIUS 서버에서 생성되기 때문에 WPA2/WPA3는 AP와 전화에 저장된 WPA 사전 공유 키보다 더 많은 보안을 제공해요.

• 빠른 보안 로밍: RADIUS 서버와 무선 도메인 서버 (WDS) 정보를 사용하여 키를 관리하고 인증해요. WDS는 빠르고 안전한 재인증을 위해 FT 지원 클라이언트 장치의 보안 자격 증명 캐시를 생성해요. 시스코 데스크 폰 9861, 9871이랑 시스코 비디오 폰 8875는 802.11r (FT) 를 지원해요. 빠른 보안 로밍이 가능하도록 무선과 DS 모두 지원돼요. 하지만 802.11r (FT) 오버에어 방식을 사용하는 것이 좋습니다.

WPA/WPA2/WPA3에서는 암호화 키가 전화에 입력되지 않지만 AP와 전화 간에 자동으로 파생돼요. 하지만 인증에 사용되는 EAP 사용자 이름과 비밀번호는 각 전화에 입력해야 해요.

음성 트래픽의 보안을 보장하기 위해 전화기는 TKIP하고 AES를 암호화하여 지원해요. 이러한 메커니즘을 암호화에 사용하면 신호 SIP 패킷과 음성 실시간 전송 프로토콜 (RTP) 패킷이 모두 AP와 전화 사이에서 암호화돼요.

TKIP

WPA는 WEP보다 몇 가지 향상된 TKIP 암호화를 사용해요. TKIP는 패킷당 키 암호화와 암호화를 강화하는 더 긴 초기화 벡터 (IV) 를 제공해요. 또한, 메시지 무결성 검사 (MIC) 는 암호화된 패킷이 변경되지 않도록 보장해요. TKIP는 침입자가 WEP 키를 해독하는 데 도움이 되는 WEP의 예측 가능성을 제거해요.

AES

WPA2/WPA3 인증에 사용되는 암호화 방법이에요. 이 국가 암호화 표준은 암호화와 암호 해독에 동일한 키를 사용하는 대칭 알고리즘을 사용해요. AES는 128비트 크기의 암호 차단체인 (CBC) 암호화를 사용하는데, 최소 128비트, 192비트, 256비트의 키 크기를 지원해요. 휴대폰은 256비트 키 크기를 지원해요.

인증 및 암호화 체계가 무선 LAN 내에서 설정돼요. VLAN은 네트워크와 AP에 구성되고 인증과 암호화의 다른 조합을 지정해요. SSID는 VLAN 및 특정 인증 및 암호화 체계와 연관돼요. 무선 클라이언트 장치가 성공적으로 인증되려면 AP와 전화의 인증 및 암호화 체계로 동일한 SSID를 구성해야 해요.

어떤 인증 체계에는 특정한 유형의 암호화가 필요해요.

다음 표의 인증 및 암호화 체계는 AP 구성에 해당하는 전화기의 네트워크 구성 옵션을 보여줘요.

보증 서비스 SIP (AS-SIP) 는 시스코 IP 전화와 타사 전화에 매우 안전한 통화 흐름을 제공하는 기능과 프로토콜의 모음이에요. 다음 기능들을 총칭하여 AS-SIP라고 해요.

• 다단계 우선 순위 및 선점 (MLP)
• 차별화된 서비스 코드 포인트 (DSCP)
• 전송 계층 보안 (TLS) 및 보안 실시간 전송 프로토콜 (SRTP)
• 인터넷 프로토콜 버전 6 (IPv6)

AS-SIP는 주로 MLPP (다단계 우선 순위 및 선점) 와 함께 긴급 상황 시 통화의 우선 순위를 정하는 데 사용돼요. MLPP를 사용하면 발신 전화에 레벨 1 (낮음) 부터 레벨 5 (높음) 까지 우선 순위를 할당해요. 전화 받으면 전화에 통화 우선순위를 보여주는 우선 순위 아이콘이 표시돼요.

AS-SIP를 구성하려면 에서 다음 작업을 완료하세요. Cisco Unified Communications Manager

• 다이제스트 사용자 구성 - SIP 요청에 다이제스트 인증을 사용하도록 최종 사용자를 구성하세요.
• SIP 전화 보안 포트 구성— 이 포트를 Cisco Unified Communications Manager 사용하여 TLS를 통한 SIP 회선 등록을 위해 SIP 전화를 수신해요.
• 서비스 재시작 - 보안 포트를 구성한 후 Cisco Unified Communications Manager 및 Cisco CTL Provider 서비스를 다시 시작하세요. AS-SIP용 SIP 프로필 구성AS-SIP 엔드포인트 및 SIP 트렁크에 대한 SIP 설정으로 SIP 프로필을 구성하세요. 전화별 매개변수는 타사 AS-SIP 전화에 다운로드되지 않아요. 시스코 통합 매니저에서만 사용해요. 타사 전화도 같은 설정을 로컬에서 구성해야 해요.
• AS-SIP용 전화 보안 프로필 구성 - 전화 보안 프로필을 사용하여 TLS, SRTP, 다이제스트 인증 같은 보안 설정을 할당할 수 있어요.
• AS-SIP 엔드포인트 구성 - AS-SIP 지원을 사용하여 Cisco IP 전화나 타사 엔드포인트를 구성하세요.
• 장치를 최종 사용자와 연결 - 엔드포인트를 사용자와 연결해요.
• AS-SIP의 SIP 트렁크 보안 프로필 구성 - SIP 트렁크 보안 프로필을 사용하여 TLS나 다이제스트 인증 같은 보안 기능을 SIP 트렁크에 할당할 수 있어요.
• AS-SIP용 SIP 트렁크 구성—AS-SIP를 지원하는 SIP 트렁크를 구성하세요.
• AS-SIP 기능 구성 - MLPP, TLS, V.150, IPv6 같은 추가 AS-SIP 기능을 구성하세요.

AS-SIP 구성에 대한 자세한 내용은 의 기능 구성 가이드의 “AS-SIP 엔드포인트 구성” 장을 참조하십시오. Cisco Unified Communications Manager

전화에 강제 인증 코드 (FAC) 나 클라이언트 매터 코드 (CMC) 또는 둘 다 구성된 경우 사용자가 번호를 발신하려면 필요한 암호를 입력해야 해요.

에서 Cisco Unified Communications Manager FAC와 CMC를 설정하는 방법에 대한 자세한 내용은 릴리스 12.5 (1) 이상의 기능 구성 가이드에서 "클라이언트 문제 코드 및 강제 인증 코드" 장을 참조하십시오. Cisco Unified Communications Manager

Cisco VPN 기능은 사용자에게 회사 네트워크에 연결할 수 있는 안전하고 믿을 수 있는 방법을 제공하면서 네트워크 보안을 유지하는 데 도움이 돼요. 다음과 같은 경우에 이 기능을 사용하세요.

• 전화가 신뢰할 수 있는 네트워크 외부에 있어요.
• 전화와 신뢰할 수 없는 네트워크를 Cisco Unified Communications Manager 오가는 네트워크 트래픽이에요.

VPN을 사용하면 클라이언트 인증에 세 가지 일반적인 접근 방식이 있어요.

• 디지털 인증서
• 비밀번호요
• 사용자 이름과 비밀번호

각 방법마다 장점이 있어요. 하지만 회사 보안 정책에서 허용하는 경우 인증서로 사용자 개입 없이 원활하게 로그인할 수 있기 때문에 인증서 기반 접근 방식을 추천해요. LSC와 MIC 인증서 모두 지원돼요.

VPN 기능을 구성하려면 먼저 장치를 온프레미스로 프로비전한 다음 장치를 오프프레미스로 배포할 수 있어요.

인증 인증 및 VPN 네트워크 작업에 대한 자세한 내용은 ASA에서 인증서 인증을 사용하여 AnyConnect VPN 전화 구성을 참조하십시오.

비밀번호, 사용자 이름, 비밀번호를 입력하면 로그인 자격 증명을 묻는 메시지가 표시돼요. 회사 보안 정책에 따라 사용자 로그인 자격 증명을 설정하세요. 사용자 암호가 전화에 저장되도록 암호 지속성 활성화 설정을 구성할 수도 있어요. 사용자 암호는 로그인 시도에 실패하거나, 사용자가 수동으로 암호를 지우거나, 전화가 재설정되거나 전원이 끊길 때까지 저장돼요.

또 다른 유용한 도구는 자동 네트워크 탐지 활성화 설정이에요. 이 확인란을 활성화하면 VPN 클라이언트가 회사 네트워크 외부에 있음을 감지한 경우에만 실행할 수 있어요. 이 설정은 기본적으로 비활성화돼있어요.

당신의 시스코 폰은 시스코 SVC 아이폰 클라이언트 v1.0을 클라이언트 유형으로 지원해요.

VPN을 구성하는 방법에 대한 자세한 내용은 의 Unified CM 기능 구성 가이드를 참조하세요Cisco Unified Communications Manager.

시스코 VPN 기능은 보안 소켓 레이어 (SSL) 를 사용하여 네트워크 보안을 유지해요.