Cisco IP telefonsikkerhet

I tillegg til SCEP-sertifikatregistreringen ved hjelp av de manuelle konfigurasjonene på telefonens nettside, kan du også bruke alternativet DHCP 43 til å fylle ut parametrene fra en DHCP-server. Det DHCP alternativ 43 er forhåndskonfigurert med SCEP-parametrene, senere kan telefonen hente parametrene fra DHCP-serveren for å utføre SCEP-sertifikatregistreringen.

Gjør følgende for å registrere et SCEP-sertifikat ved å konfigurere SCEP-parametrene i alternativet DHCP 43:

1. Forbered et SCEP-miljø.

   Hvis du vil ha informasjon om oppsett av SCEP-miljøet, kan du se dokumentasjonen for SCEP-serveren.

2. Konfigurer DHCP alternativ 43 (definert i 8.4 Leverandørspesifikk informasjon, RFC 2132).

   Undervalg (10–15) er reservert for metoden:

   Parameter på telefonens nettside	Alternativ	Type	Lengde (byte)	Obligatorisk
   FIPS-modus	10	Boolsk	1	Nei*
   Server	11	streng	208 - lengde (Challenge passord)	Ja
   Rot CA fingeravtrykk	12	binær	20 eller 32	Ja
   Utfordre passord	13	streng	208 - lengde (Server)	Nei*
   Aktivere 802.1X-godkjenning	14	Boolsk	1	Nei
   Velg sertifikat	15	Usignert 8-biters	1	Nei

   Når du bruker alternativet DHCP 43, må du legge merke til følgende egenskaper ved metoden:

   • Underalternativer (10–15) er reservert for CDC (Custom Device Certificate).
   • Maksimumslengden på DHCP alternativ 43 er 255 byte.
   • Den maksimale lengden på Server + Challenge Password skal være mindre enn 208 byte.
   • Verdien for FIPS-modus skal være i samsvar med konfigurasjonen for klargjøring av pålasting. Ellers kan ikke telefonen hente det tidligere installerte sertifikatet etter innføring. Spesifikt
     • Hvis telefonen skal registreres i et miljø der FIPS-modus er deaktivert, trenger du ikke å konfigurere parameteren FIPS-modus i DHCP alternativ 43. FIPS-modus er deaktivert som standard.
     • Hvis telefonen skal registreres i et miljø der FIPS-modus er aktivert, må du aktivere FIPS-modus i DHCP alternativ 43. Se Aktivere FIPS-modus hvis du vil ha mer informasjon.
   • Passordet i alternativ 43 er i klartekst.

     Hvis passordet for utfordringen er tomt, bruker telefonen MIC/SUDI for den første registreringen og sertifikatfornyelsen. Hvis passordet for utfordringen er konfigurert, brukes det bare til den første registreringen, og det installerte sertifikatet vil bli brukt til sertifikatfornyelsen.

   • Aktiver 802.1X-godkjenning og sertifikatvalg brukes bare for telefoner i kablet nettverk.
   • DHCP alternativ 60 (Vendor Class Identifier) brukes til å identifisere enhetsmodellen.

   Tabellen nedenfor gir et eksempel på DHCP alternativ 43 (underalternativene 10–15):

   Suboption desimal/hex	Verdilengde (byte) desimal/hex	Verdi	Hex-verdi
   10/0a	1/01	1 (0: Deaktivert; 1: Aktivert)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0D	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1 (0: Nei; 1: Ja)	01
   15/0F	1/01	1 (0: Produksjon installert; 1: Tilpasset installert)	01

   Sammendrag av parameterverdiene:

   • FIPS-modus = aktivert

   • Server = http://10.79.57.91

   • Root CA fingeravtrykk = 12040870625C5B755D73F 5925285F8F5FF5D55AF

   • Utfordringspassord = D233CCF9B9952A15

   • Aktiver 802.1X-godkjenning = Ja

   • Sertifikatvalg = Tilpasset installert

   Syntaksen til den endelige hex-verdien er: {<suboption><length><value>}...

   I henhold til parameterverdiene ovenfor er den endelige hex-verdien som følger:

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. Konfigurer DHCP alternativ 43 på en DHCP-server.
   Dette trinnet gir et eksempel på konfigurasjonene for DHCP alternativ 43 i Ciscos nettverksregister.
   1. Legg til DHCP alternativdefinisjonssett.

      Alternativstrengen for leverandører er modellnavnet på de IP telefonene. Den gyldige verdien er: DP-9841, DP-9851, DP-9861, DP-9871 eller CP-8875.

   2. Legg til DHCP alternativ 43 og underalternativer i definisjonssettet for DHCP alternativer.

      Eksempel:

      

   3. Legg til alternativer 43 i DHCP policyen, og definer verdien på følgende måte:

      Eksempel:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. Kontroller innstillingene. Du kan bruke Wireshark til å fange opp et spor av nettverkstrafikken mellom telefonen og tjenesten.
4. Utfør en tilbakestilling til fabrikkinnstillingene for telefonen.

   Etter at telefonen er tilbakestilt, blir parametrene Server, Root CA Fingerprint og Challenge Password fylt ut automatisk. Disse parameterne finner du i delen SCEP-konfigurasjon 1 fra Sertifikat > Tilpasset på websiden for telefonadministrasjon.

   Hvis du vil kontrollere detaljene for det installerte sertifikatet, klikker du Vis under Eksisterende sertifikater .

   Hvis du vil kontrollere installasjonsstatusen for sertifikatet, velger du Certificate > Custom Cert Status. Nedlastingsstatus 1 viser det siste resultatet. Hvis det oppstår et problem under sertifikatregistreringen, kan nedlastingsstatusen vise årsaken til problemet i forbindelse med feilsøking.

   Hvis godkjenning av passord mislykkes, blir brukerne bedt om å angi passordet på telefonskjermen.
5. (Valgfritt): Hvis du vil fjerne det installerte sertifikatet fra telefonen, klikker du Slett under Eksisterende sertifikater .
   Når du klikker på knappen, starter fjerningen umiddelbart uten bekreftelse.

Enhetssertifikatet kan oppdateres automatisk av SCEP-prosessen.

• Telefonen sjekker om sertifikatet utløper om 15 dager hver 4. time. I så fall starter telefonen sertifikatfornyelsesprosessen automatisk.
• Hvis passordet for utfordringen er tomt, bruker telefonen MIC/SUDI både for første registrering og sertifikatfornyelse. Hvis passordet for utfordringen er konfigurert, brukes det bare til første registrering, det eksisterende/installerte sertifikatet brukes til sertifikatfornyelse.
• Telefonen fjerner ikke det gamle enhetssertifikatet før den henter det nye.
• Hvis sertifikatfornyelse mislykkes fordi enhetssertifikatet eller CA utløper, utløser telefonen den første registreringen automatisk. I mellomtiden, hvis godkjenning av utfordringspassord mislykkes, dukker det opp en passordinntastingsskjerm på telefonskjermen, og brukerne blir bedt om å angi utfordringspassordet på telefonen.

Cisco IP-telefon støtter 802.1X-godkjenning.

Cisco IP-telefon og Cisco Catalyst-svitsjer bruker tradisjonelt CDP-protokollen (Cisco Discovery Protocol) til å identifisere hverandre og definere parametere, for eksempel VLAN-tildeling og innebygde strømkrav. CDP identifiserer ikke lokalt tilknyttede arbeidsstasjoner. Cisco IP-telefon formidler en EAPOL-sendemekanisme. Denne mekanismen tillater at en arbeidsstasjon som er knyttet til Cisco IP-telefon, kan sende EAPOL-meldinger til 802.1X-godkjenneren ved LAN-svitsjen. Sendemekanismen sørger for at IP-telefonen ikke fungerer som LAN-svitsjen for å godkjenne et dataendepunkt før det gis tilgang til nettverket.

Cisco IP-telefoner formidler også en EAPOL-avloggingsmekanisme for proxy. Hvis den lokalt tilknyttede PC-en kobles fra IP-telefonen, vil ikke LAN-svitsjen registrere at den fysiske koblingen ikke lenger fungerer, fordi koblingen mellom LAN-svitsjen og IP-telefonen opprettholdes. For å unngå at nettverksintegriteten svekkes, sender IP-telefonen en EAPOL-avloggingsmelding til svitsjen på vegne av nedstrøms-PC-en, som fører til at LAN-svitsjen fjerner godkjenningsoppføringen for nedstrøms-PC-en.

Støtte for 802.1X-godkjenning krever flere komponenter:

• Cisco IP-telefon: Telefonen sender forespørselen om tilgang til nettverket. Cisco IP-telefoner inneholder en 802.1X-anmoder. Denne anmoderen tillater at nettverksadministratorer kontrollerer tilkoblingen for IP-telefoner til LAN-svitsjeportene. Den gjeldende versjonen av telefonens 802.1X-anmoder bruker alternativene EAP-FAST og EAP-TLS for nettverksgodkjenning.

• Godkjenningsserver: Både godkjenningsserveren og svitsjen må konfigureres med en delt hemmelighet som godkjenner telefonen.

• svitsj: svitsjen må støtte 802.1X, slik at den kan fungere som godkjenner og sende meldingene mellom telefonen og godkjenningsserveren. Etter at utvekslingen er fullført, gir eller avslår svitsjen tilgang til nettverket for telefonen.

Du må utføre følgende handlinger for å konfigurere 802.1X.

• Konfigurer de andre komponentene før du aktiverer 802.1X-godkjenning på telefonen.

• Konfigurer PC-port: 802.1X-standarden vurderer ikke VLAN-er. Derfor anbefales det at bare én enhet bør godkjennes for en bestemt svitsjport. Noen svitsjer støtter imidlertid godkjenning av flere domener. Svitsjkonfigurasjonen fastslår om du kan koble en PC til PC-porten på telefonen.

  • Aktivert: Hvis du bruker en svitsj som støtter godkjenning på flere domener, kan du aktivere PC-porten og koble en PC til den. I dette tilfellet støtter Cisco IP-telefoner EAPOL-avlogging for proxy for å overvåke godkjenningsutvekslingene mellom svitsjen og den tilknyttede PC-en.

    Hvis du vil ha mer informasjon om IEEE 802.1X-støtte på Cisco Catalyst-svitsjene, kan du se retningslinjene for konfigurasjon av Cisco Catalyst-svitsjer på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deaktivert: Hvis svitsjen ikke støtter flere 802.1X-kompatible enheter på samme port, må du deaktivere PC-porten når 802.1X-godkjenning er aktivert. Hvis du ikke deaktiverer denne porten og forsøker å koble en PC til den, avslår svitsjen nettverkstilgang til både telefonen og PC-en.

• Konfigurer Tale-VLAN: 802.1X-standarden omfatter ikke VLAN-er, og derfor må du konfigurere denne innstillingen basert på svitsjstøtten.
  • Aktivert: Hvis du bruker en svitsj som støtter godkjenning på flere domener, kan du fortsette å bruke tale-VLAN.
  • Deaktivert: Hvis svitsjen ikke støtter godkjenning på flere domener, deaktiverer du Tale-VLAN og vurderer å tilordne porten til opprinnelig VLAN.
• (Bare for Cisco bordtelefon 9800-serien)

  Cisco bordtelefon 9800-serien har et annet prefiks i PID enn for de andre Cisco-telefonene. Hvis du vil at telefonen skal bestå 802.1X-godkjenning, angir du Radius· Brukernavnparameter for å inkludere din Cisco bordtelefon 9800-serien.

  For eksempel er PID for telefon 9841 DP-9841; kan du angi Radius · Brukernavn til å begynne med DP eller inneholder DP. Du kan angi det i begge følgende deler:

  • Retningslinjer > betingelser > bibliotekbetingelser

  • Policy > policysett> autorisasjonspolicy > autorisasjonsregel 1