Takk for tilbakemeldingen.

Sikkerhetsfunksjonene beskytter mot alvorlige trusler, inkludert trusler mot identiteten til telefonen og dataene. Disse funksjonene etablerer og opprettholder godkjente kommunikasjonsstrømmer mellom telefonen og Cisco Unified Communications Manager-serveren, og sørger for at telefonen bruker bare digitalt signerte filer.

Cisco Unified Communications Manager Release 8.5(1) og nyere inkluderer Sikkerhet som standard, som inneholder følgende sikkerhetsfunksjoner for Cisco IP-telefon uten å kjøre CTL-klienten:

• Signering av telefonkonfigurasjonsfiler

• Kryptering av telefonkonfigurasjonsfil

• HTTPS med Tomcat og andre webtjenester

Implementering av sikkerhet i Cisco Unified Communications Manager-systemet hindrer identitetstyveri av telefonen og Cisco Unified Communications Manager-serveren, hindrer datamanipulering og hindrer manipulering av samtalesignalisering og mediestrømmer.

For unngå disse truslene etablerer og opprettholder Cisco IP-telefoninettverket sikrede (krypterte) kommunikasjonsstrømmer mellom en telefon og serveren, signerer filer digitalt før de overføres til en telefon og krypterer mediestrømmer og samtalesignalisering mellom Cisco IP-telefoner.

Et viktig lokalt sertifikat (LSC-sertifikat) installeres på telefoner etter at du utfører de nødvendige oppgavene som er forbundet med CAPF (Certificate Authority Proxy Function). Du kan bruke Cisco Unified Communications Manager Administration til å konfigurere en LSC, som beskrevet i sikkerhetsveiledningen #Cisco Unified Communications Manager. Alternativt kan du starte installasjonen av en LSC fra Sikkerhet-menyen på telefonen. På denne menyen kan du også oppdatere eller fjerne et LSC-sertifikat.

Telefonene bruker telefonens sikkerhetsprofil, som angir om enheten er usikret eller sikret. Hvis du vil ha informasjon om hvordan du bruker sikkerhetsprofilen på telefonen, kan du se dokumentasjonen for din versjon av Cisco Unified Communications Manager.

Når du konfigurerer sikkerhetsrelaterte innstillinger i Cisco Unified Communications Manager Administration, inneholder telefonkonfigurasjonsfilen sensitive opplysninger. Du kan beskytte opplysningene i en konfigurasjonsfil ved å konfigurere den for kryptering. Hvis du vil ha mer informasjon, kan du se dokumentasjonen for din versjon av Cisco Unified Communications Manager.

Tabellen nedenfor viser en oversikt over sikkerhetsfunksjoner som telefonen støtter. Hvis du vil ha mer informasjon, kan du se dokumentasjonen for din versjon av Cisco Unified Communications Manager.

Tabellen nedenfor inneholder alarmmeldinger for oppdatering av klareringslister, og hva de betyr. Hvis du vil ha mer informasjon, kan du se dokumentasjonen for Cisco Unified Communications Manager.

Når sikkerhet er implementert for en telefon, kan du identifisere sikre telefonsamtaler med ikoner på telefonskjermen. Du kan også fastslå om den tilkoblede telefonen er sikker og beskyttet dersom du hører en sikkerhetstone på begynnelsen av samtalen.

I en sikker samtale blir samtalesignalisering og mediestrømmer kryptert. En sikker samtale har et høyt nivå av sikkerhet, noe som gir samtalen både integritet og beskytter personvernet. Når en pågående samtale krypteres, kan du se sikkerhetsikonet På linjen.

I Cisco Unified Communications Manager kan telefoner som er konfigurert som sikre (krypterte og klarerte), tilordnes en beskyttet status. Når disse enhetene er beskyttet, kan de konfigureres til å spille av en sikkerhetstone i begynnelsen av hver samtale.

• Beskyttet enhet:

  Slik endrer du statusen for en sikker telefon til Beskyttet:

  1. I Cisco Unified Communications Manager Administration velger du Enhet > telefon.
  2. Finn telefonen du vil konfigurere.
  3. I vinduet Telefonkonfigurasjon merker du av for Beskyttet enhet .
  4. Klikk på Lagre.

• Spill av tone for sikker indikasjon:

  Slik aktiverer du den beskyttede telefonen til å spille av en sikker eller usikker indikasjonstone:

  1. I Cisco Unified Communications Manager Administration velger du System > Tjenesteparametere.
  2. Velg serveren og deretter Cisco CallManager tjenesten.
  3. I området Clusterwide Parameters (Feature - Secure Tone) setter du avspillingstonen for å angi innstillingen Secure/Non-Secure Call Status (Sikker/usikret samtale) til True .
  4. Klikk på Lagre.

Fordi alle WLAN-enheter som er innenfor rekkevidde, kan motta all annen WLAN-trafikk, er sikring av talekommunikasjon kritisk i WLAN-er. For å sikre at inntrengere ikke manipulerer eller fanger opp taletrafikk, støtter Cisco SAFE Security-arkitekturen telefonen. Hvis du vil ha mer informasjon om sikkerhet i nettverk, kan du se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefoniløsningen Cisco Wireless IP gir trådløs nettverkssikkerhet som forhindrer uautoriserte pålogginger og kompromittert kommunikasjon ved å bruke følgende godkjenningsmetoder som telefonen støtter.

• Åpen godkjenning: Alle trådløse enheter kan be om godkjenning i et åpent system. Tilgangspunktet som mottar forespørselen kan gi godkjenning til en hvilken som helst anmoder eller bare til anmodere som finnes på en liste over brukere. Kommunikasjon mellom den trådløse enheten og tilgangspunktet (AP) kan være ukryptert.

• Utvidbar godkjenningsprotokoll-fleksibel godkjenning via sikker tunnelering (EAP-FAST) Godkjenning: Denne klient-server-sikkerhetsarkitekturen krypterer EAP-transaksjoner i en TLS)-tunnel (Transport Level Security) mellom AP- og RADIUS-serveren, for eksempel Identity Services Engine (ISE).

  TLS-tunnelen bruker PAC-legitimasjon (Protected Access Credentials) til godkjenning mellom klienten (telefon) og RADIUS-serveren. Serveren sender en AID (Authority ID) til klienten (telefonen), som igjen velger den riktige PAC-koden. Klienten (telefonen) returnerer en PAC-Opaque til RADIUS-serveren. Serveren dekrypterer PAC-koden med hovednøkkelen. Begge endepunktene inneholder nå PAC-nøkkelen, og det opprettes en TLS-tunnel. EAP-FAST støtter automatisk klargjøring av PAC-koder, men må du aktivere det på RADIUS-serveren.

  I ISE, som standard, utløper PAC om en uke. Hvis telefonen har en utløpt PAC-kode, tar godkjenning med RADIUS-serveren lengre tid mens telefonen får en ny PAC-kode. For å unngå forsinkelser ved klargjøring av PAC-koder kan du angi utløpsperioden for PAC-koder til 90 dager eller lenger på ISE- eller RADIUS-serveren.

• EAP-TLS-godkjenning (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS krever et klientsertifikat for godkjenning og nettverkstilgang. For trådløs EAP-TLS kan klientsertifikatet være MIC, LSC, eller brukerinstallert sertifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos egenutviklede passordbaserte ordning for gjensidig godkjenning mellom klienten (telefonen) og en RADIUS-server. Telefonen kan bruke PEAP for autentisering med det trådløse nettverket. Både godkjenningsmetodene PEAP-MSCHAPV2 og PEAP-GTC støttes.

• Pre-Shared Key (PSK): Telefonen støtter ASCII og heksadesimale (HEX) formater. Du må bruke disse formatene når du konfigurerer en forhåndsdelt WPA2/SAE-nøkkel.

  ASCII: En ASCII-tegnstreng med en lengde på 8 til 63 tegn (0-9, små bokstaver a-z, store A-Z og spesialtegn). For eksempel,GREG123567@9ZX &W.

  HEX: En HEX-tegnstreng med 64 sekskantsifre i lengde (0-9, a-f eller A-F).

De følgende godkjenningsordningene bruker RADIUS-serveren til å håndtere godkjenningsnøkler:

• WPA2/WPA3: bruker RADIUS-serverinformasjon til å generere unike godkjenningsnøkler. Fordi disse nøklene genereres på den sentraliserte RADIUS-serveren, gir WPA2/WPA3 bedre sikkerhet enn forhåndsdelte WPA-nøkler som er lagret på tilgangspunktet og telefonen.

• Rask og sikker roaming: bruker RADIUS-serveren og informasjon fra en trådløst domene-server (WDS) til å håndtere og godkjenne nøkler. WDS oppretter en hurtigbuffer med sikkerhetslegitimasjon for FT-aktiverte klientenheter for rask og sikker reautentisering.

Med WPA2/WPA3 angis ikke krypteringsnøkler på telefonen, men avledes automatisk mellom tilgangspunktet og telefonen. Men EAP-brukernavnet og -passordet som brukes til godkjenning, må angis på hver telefon.

For å beskytte taletrafikk over den trådløse koblingen støtter telefonen AES-basert kryptering for WPA2/WPA3-godkjenning. AES er et symmetrisk blokkchiffer standardisert av NIST. AES bruker en fast 128-biters blokkstørrelse og støtter nøkkelstørrelser på 128 bits, 192 bits og 256 bits. I Wi-Fi-nettverk brukes AES av chiffreringssamlinger som CCMP eller GCMP, mens godkjenning leveres separat av PSK, SAE eller 802.1X/EAP, avhengig av den konfigurerte WLAN-sikkerhetsmodusen. Den støttede chiffreringspakken og nøkkelstørrelsen avhenger av telefonmodellen og WLAN konfigurasjonen.

Når telefonen bruker AES-kryptering, krypteres både SIP-pakkene og RTP-pakkene (Real-Time Transport Protocol) mellom tilgangspunktet og telefonen.

Godkjennings- og krypteringsordninger konfigureres innenfor det trådløse LAN-et. VLAN-er konfigureres i nettverket og på tilgangspunktene og angir forskjellige kombinasjoner av godkjenning og kryptering. En SSID knyttes til et VLAN og til den bestemte godkjennings og krypteringsordningen. For at trådløse klientenheter skal godkjennes, må du konfigurere de samme SSID-ene med godkjennings- og krypteringsskjemaene på tilgangspunktene og på telefonen.

Noen godkjenningsordninger krever bestemte typer kryptering.

Godkjennings- og krypteringsskjemaene i tabellen nedenfor viser nettverkskonfigurasjonsalternativene for Cisco trådløs telefon 9821 som tilsvarer tilgangspunktkonfigurasjon.

Cisco Trådløs telefon 9821 støtter 802.1X-godkjenning for kablede nettverk. Dette brukes vanligvis under automatisk klargjøring når telefonen er koblet til skrivebordsladeren via en støttet USB-til-Ethernet-adapter.

Støtte for 802.1X-godkjenning på kablede nettverk krever flere komponenter som følger:

• Cisco IP-telefon: Telefonen sender forespørselen om tilgang til nettverket. Cisco IP-telefoner inneholder en 802.1X-anmoder. Denne anmoderen tillater at nettverksadministratorer kontrollerer tilkoblingen for IP-telefoner til LAN-svitsjeportene. Den gjeldende versjonen av telefonens 802.1X-anmoder bruker alternativene EAP-FAST og EAP-TLS for nettverksgodkjenning.

• Godkjenningsserver: Både godkjenningsserveren og svitsjen må konfigureres med en delt RADIUS-hemmelighet.

• Svitsj: Svitsjen må støtte 802.1X, slik at den kan fungere som autentisator og videresende EAP-meldingene mellom telefonen og godkjenningsserveren. Etter at utvekslingen er fullført, gir eller avslår svitsjen tilgang til nettverket for telefonen.

Cisco IP-telefon og Cisco Catalyst-svitsjer bruker tradisjonelt CDP-protokollen (Cisco Discovery Protocol) til å identifisere hverandre og definere parametere, for eksempel VLAN-tildeling og innebygde strømkrav.

Du må utføre følgende handlinger for å konfigurere 802.1X.

• Konfigurer CDP/LLDP stemme VLAN bypass.

• Konfigurer godkjenningsserveren og svitsjen før du aktiverer 802.1X-godkjenning for kablede nettverk på telefonen.

• Konfigurer Tale-VLAN: 802.1X-standarden omfatter ikke VLAN-er, og derfor må du konfigurere denne innstillingen basert på svitsjstøtten.

  • Aktivert: Hvis du bruker en svitsj som støtter godkjenning på flere domener, kan du konfigurere den til å bruke stemmen VLAN.
  • Deaktivert: Hvis svitsjen ikke støtter godkjenning på flere domener, deaktiverer du Tale-VLAN og vurderer å tilordne porten til opprinnelig VLAN.

• Cisco Trådløs telefon 9821 har et annet prefiks i PID enn for de andre Cisco-telefonene. Hvis du vil at telefonen skal bestå 802.1X-godkjenning, angir du Radius· Brukernavnparameter for å inkludere din Cisco trådløse telefon 9821.

  For eksempel er PID for Cisco trådløs telefon 9821 WP-9821. Du kan angi radius · Brukernavn til å begynne med WP eller inneholder WP i begge følgende seksjoner:

  • Retningslinjer > betingelser > bibliotekbetingelser

  • Policy > policysett> autorisasjonspolicy > autorisasjonsregel 1