Hartelijk dank voor uw feedback

Beveiligingsfuncties beschermen tegen bedreigingen, waaronder bedreigingen van de identiteit van de telefoon en gegevens. Deze functies vormen en onderhouden geverifieerde communicatiestromen tussen de telefoon en de Cisco Unified Communications Manager-server en zorgen dat de telefoon alleen digitaal ondertekende bestanden gebruikt.

Cisco Unified Communications Manager Release 8.5(1) en hoger omvat standaardbeveiliging met de volgende functies voor Cisco IP-telefoons waarop geen CTL-client wordt uitgevoerd:

• Ondertekenen van telefoonconfiguratiebestanden

• Codering telefoonconfiguratiebestand

• HTTPS met Tomcat en andere webservices

Door beveiliging te implementeren in het Cisco Unified Communications Manager-systeem voorkomt u identiteitsdiefstal van de telefoon en de Cisco Unified Communications Manager-server, en ongewenste bewerking van gegevens, gespreksignalen en mediastreams.

Als bescherming tegen deze bedreigingen brengt het Cisco IP-telefonienetwerk beveiligde (gecodeerde) communicatiestromen tot stand tussen een telefoon en de server, worden bestanden digitaal ondertekend voordat ze worden overgebracht naar een telefoon en worden mediastromen en gespreksignalen tussen Cisco IP-telefoons gecodeerd.

Er wordt een LSC-certificaat (Locally Significant Certificate) op de telefoons geïnstalleerd nadat u de vereiste taken hebt uitgevoerd die samenhangen met de Certificate Authority Proxy Function (CAPF). U kunt Cisco Unified Communications Manager Administration gebruiken om een LSC te configureren, zoals wordt beschreven in de beveiligingshandleiding vanCisco Unified Communications Manager. U kunt ook de installatie van een LSC starten vanuit het menu Beveiliging op de telefoon. Met dit menu kunt u een LSC bijwerken en verwijderen.

De telefoons gebruiken het beveiligingsprofiel van de telefoon, dat aangeeft of het apparaat niet-veilig of veilig is. Voor meer informatie over het toepassen van het beveiligingsprofiel op de telefoon, raadpleegt u de documentatie bij uw specifieke versie van Cisco Unified Communications Manager.

Als u de beveiligingsinstellingen in Cisco Unified Communications Manager Administration configureert, bevat het telefoon-configuratiebestand vertrouwelijke informatie. Om te zorgen voor de privacy van een configuratiebestand moet u dit configureren voor codering. Voor gedetailleerde informatie raadpleegt u de documentatie bij uw specifieke versie van Cisco Unified Communications Manager.

In de volgende tabel ziet u een overzicht van de beveiligingsfuncties die door de telefoons worden ondersteund. Voor meer informatie raadpleegt u de documentatie bij uw specifieke versie van Cisco Unified Communications Manager.

De volgende tabel bevat de waarschuwingsberichten voor het bijwerken van de vertrouwde lijst en de betekenis daarvan. Voor meer informatie raadpleegt u de documentatie bij Cisco Unified Communications Manager.

Wanneer beveiliging is geïmplementeerd voor een telefoon, kunt u veilige telefoongesprekken herkennen aan de pictogrammen op het telefoonscherm. U kunt ook bepalen of de verbonden telefoon veilig is en beschermd als een beveiligingstoon weerklinkt aan het begin van het gesprek.

In een beveiligd gesprek worden alle gespreksignalen en mediastreams gecodeerd. Een beveiligd gesprek biedt een hoog beveiligingsniveau, met integriteit en privacy voor het gesprek. Wanneer een actief gesprek is versleuteld, wordt het pictogram Beveiligd weergegeven Op de lijn.

In Cisco Unified Communications Manager kan aan telefoons die zijn geconfigureerd als veilig (gecodeerd en vertrouwd), een beveiligde status krijgen. Nadat deze apparaten zijn beveiligd, kunnen ze zo worden geconfigureerd dat ze bij het begin van elk gesprek een beveiligingstoon afspelen.

• Beveiligd apparaat:

  Ga als volgt te werk om de status van een beveiligde telefoon te wijzigen in beveiligd:

  1. Selecteer apparaat > telefoon in Cisco Unified Communications Manager Administration.
  2. Ga naar de telefoon die u wilt instellen.
  3. Schakel in het venster Telefoonconfiguratie het selectievakje Beveiligd apparaat in.
  4. Klik op Opslaan.

• Play Secure Indication Tone (veilige indicatie):

  Ga als volgt te werk om ervoor te zorgen dat de beveiligde telefoon een veilige of onbeveiligde indicatietoon afspeelt:

  1. Selecteer in Cisco Unified Communications Manager Administration de optie Systeem > Serviceparameters.
  2. Selecteer de server en vervolgens de Cisco CallManager-service .
  3. Stel in het gebied Parameters voor de gehele cluster (Functie - Veilige toon) de afspeeltoon voor de instelling Veilige/niet-beveiligde gespreksstatus in op Waar.
  4. Klik op Opslaan.

Omdat alle WLAN-apparaten die binnen het bereik zijn al het andere WLAN-verkeer kunnen ontvangen, is veilige gesproken communicatie van cruciaal belang in WLAN's. Om te voorkomen dat indringers het spraakverkeer niet manipuleren of onderscheppen, ondersteunt de architectuur Cisco SAFE Security de telefoon. Ziehttp://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html voor meer informatie over de beveiliging van netwerken.

De oplossing Cisco Wireless IP telefonie biedt een draadloze netwerkbeveiliging die ongeoorloofde aanmeldingen en gevaar voorkomt dat communicatie wordt verhinderd door gebruik te maken van de volgende verificatiemethoden die de telefoon ondersteunt.

• Open verificatie: een draadloos apparaat kan verificatie aanvragen in een open systeem. Het toegangspunt dat het verzoek ontvangt, verleent verificatie voor een aanvrager of alleen voor aanvragers in een lijst met gebruikers. De communicatie tussen het draadloze apparaat en het Toegangspunt (AP) kan niet zijn versleuteld.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Authentication: deze beveiligingsarchitectuur voor clientservers versleutelt EAP transacties binnen een tunnel voor Transport Level Security (TLS) tussen de AP en de RADIUS-server, zoals Ise (Identity Services Engine).

  De TLS-tunnel gebruikt PAC (Protected Access Credentials) voor de verificatie tussen de client (telefoon) en de RADIUS-server. De server verstuurt een Authority ID (AID) naar de client (telefoon), die vervolgens de juiste PAC selecteert. De client (telefoon) retourneert een PAC-Opaque naar de RADIUS-server. De server decodeert de PAC met de hoofdsleutel. Beide eindpunten bevatten nu de PAC-sleutel en een TLS-tunnel wordt gemaakt. EAP-FAST ondersteunt automatische PAC-levering, maar u moet dit inschakelen op de RADIUS-server.

  In ISE verloopt de PAC standaard binnen één week. Als de telefoon een verlopen PAC heeft, duurt verificatie met de RADIUS-server langer terwijl de telefoon een nieuwe PAC krijgt. Om vertragingen in de PAC-levering te voorkomen stelt u de PAC-vervalperiode in op 90 dagen of meer op de ISE-of RADIUS-server.

• EAP-TLS-verificatie (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vereist een clientcertificaat voor verificatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat MIC, LSC, of een door de gebruiker geïnstalleerd certificaat zijn.

• Protected Extensible Authentication Protocol (PEAP): Cisco's eigen op wachtwoorden gebaseerde wederzijdse verificatieschema tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor verificatie met het draadloze netwerk. Zowel de PEAP-MSCHAPV2 als PEAP-GTC verificatiemethoden worden ondersteund.

• Pre-Shared Key (PSK):de telefoon ondersteunt ASCII en hexadecimale (HEX) indelingen. U moet deze indelingen gebruiken bij het instellen van een PRE-shared sleutel (WPA2/SAE).

  ASCII: een ASCII-tekenreeks met 8 tot 63 tekens (0-9, kleine letters a-z, hoofdletters A-Z en speciale tekens). Bijvoorbeeld GREG123567@9ZX&W.

  HEX: een HEX-tekenreeks met een lengte van 64 hex cijfers (0-9, a-f of A-F).

De volgende verificatieschema's gebruiken de RADIUS-server om verificatiesleutels te beheren:

• WPA2/WPA3: gebruikt RADIUS-serverinformatie voor het genereren van unieke sleutels voor de verificatie. Omdat deze sleutels zijn gegenereerd op de centrale RADIUS-server, biedt WPA2/WPA3 betere beveiliging dan de vooraf gedeelde WPA-sleutels die op de telefoon en het toegangspunt zijn opgeslagen.

• Snelle beveiligde roaming: gebruikt de RADIUS-server en de gegevens van een draadloze domeinserver (WDS) voor het beheren en verifiëren van sleutels. De WDS maakt een cache met beveiligingsreferenties voor CLIENTapparaten met FT-ondersteuning voor snelle en veilige reauthenticatie.

Bij WPA2/WPA3 worden coderingssleutels niet ingevoerd op de telefoon, maar worden automatisch afgeleid tussen het AP en de telefoon. Maar de EAP-gebruikersnaam en het wachtwoord die worden gebruikt voor de verificatie, moeten worden ingevoerd op elke telefoon.

Om spraakverkeer via de draadloze koppeling te beveiligen, ondersteunt de telefoon op basis van AES-codering voor WPA2/WPA3-verificatie. AES is een door NIST standaard symmetrische blokversleuteling. AES werkt met een vaste 128-bits blokgrootte en ondersteunt sleutelgroottes van 128 bits, 192 bits en 256 bits. In Wi-Fi netwerken wordt AES gebruikt door versleutelingssuites zoals CCMP of DEZE, terwijl verificatie afzonderlijk wordt geleverd door PSK, SAE of 802.1X/EAP, afhankelijk van de geconfigureerde beveiligingsmodus van WLAN. De ondersteunde codeersuite en het sleutelformaat zijn afhankelijk van het telefoonmodel en de configuratie van WLAN.

Wanneer de telefoon gebruikmaakt van AES-codering, worden zowel de signaleringsgroep SIP- als de spraakpakketten Met het Real-Time Transport Protocol (RTP) gecodeerd tussen het AP en de telefoon.

Verificatie en coderingschema's worden ingesteld binnen het draadloze LAN-netwerk. VLAN's zijn geconfigureerd in het netwerk en op de toegangspunten en geven verschillende verificatie- en coderingscombinaties. Een SSID wordt gekoppeld aan een VLAN en het specifieke verificatie- en coderingsschema. Voor verificatie van draadloze clientapparaten moet u dezelfde SSID's configureren met hun verificatie- en coderingsprogramma's op de AP's en op de telefoon.

Sommige verificatieschema's vereisen specifieke coderingstypen.

De verificatie- en encryptieschema's in de volgende tabel tonen de netwerkconfiguratieopties voor Cisco Wireless Phone 9821 die overeenkomt met de AP-configuratie.

Cisco Wireless Phone 9821 ondersteunt 802.1X-verificatie voor bekabelde netwerken. Deze wordt gewoonlijk gebruikt tijdens automatische provisionering wanneer de telefoon via een ondersteunde USB-naar-Ethernet-adapter op het bureaulader is aangesloten.

Ondersteuning voor 802.1x-verificatie op bedrade netwerken vereist verschillende componenten:

• Cisco IP-telefoon: de telefoon initieert het verzoek voor toegang tot het netwerk. Cisco IP-telefoon bevat een 802.1X-supplicant. Met deze supplicant kunnen netwerkbeheerders de verbinding regelen van IP-telefoons met de LAN-switchpoorten. De huidige versie van de 802.1X-supplicant voor de telefoon gebruikt de opties EAP-FAST en EAP-TLS voor netwerkverificatie.

• Verificatieserver: de verificatieserver en de switch moeten beide zijn geconfigureerd met een RADIUS-gedeeld geheim.

• Switch: de switch moet 802.1X ondersteunen, zodat deze kan fungeren als verificator en de EAP-berichten kan doorsturen tussen de telefoon en de verificatieserver. Nadat de uitwisseling is afgerond, kan de switch toegang tot het netwerk toestaan of weigeren.

Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel Cisco Discovery Protocol (CDP) om elkaar te herkennen en om parameters te bepalen zoals VLAN-toewijzing en inline voedingsvereisten.

U moet de volgende acties uitvoeren om 802.1X te configureren.

• Configureer CDP/LLDP spraak VLAN bypass.

• Configureer de verificatieserver en de switch voordat u 802.1X-verificatie voor bekabelde netwerken op de telefoon inschakelt.

• Spraak-VLAN configureren: omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de switchondersteuning.

  • Ingeschakeld: als u een switch gebruikt die multidomeinverificatie ondersteunt, kunt u deze configureren voor het gebruik van spraaknummer VLAN.
  • Uitgeschakeld: als de switch geen ondersteuning biedt voor multidomeinverificatie, schakelt u het spraak-VLAN uit en probeert u de poort toe te wijzen aan het native VLAN.

• Cisco Wireless Phone 9821 heeft een ander prefix in het PID dan voor de andere telefoons Cisco. Om ervoor te zorgen dat uw telefoon 802.1X-verificatie doorgeeft, stelt u de Radius· De parameter voor de gebruikersnaam omvat uw draadloze Cisco-telefoon 9821.

  Bijvoorbeeld, de PID van Cisco Wireless Phone 9821 is WP-9821. U kunt Radius· Gebruikersnaam om te beginnen met WP of Bevat WP in de beide volgende secties:

  • Beleid > Voorwaarden > Libraire Voorwaarden

  • Beleids > Beleidssets > Authorization Policy > Authorization Rule 1