Takk for tilbakemeldingen.

Sikkerhetsfunksjoner beskytter mot trusler, inkludert trusler mot telefonens identitet og data. Disse funksjonene etablerer og vedlikeholder godkjente kommunik asjonsstrømmer mellom telefonen og Cisco Unified Communications Manager serveren, og sikrer at telefonen bare bruker digitalt signerte filer.

Cisco Unified Communications ManagerVersjon 8.5 (1) og nyere inkluderer Sikkerhet som standard, som gir følgende sikkerhetsfunksjoner for Cisco IP-telefoner uten å kjøre CTL- klienten:

• Signering av telefonkonfigurasjonsfilene

• Telefonkonfigurasjonsfilkryptering

• HTTPS med Tomcat og andre webtjenester

Implementering av sikkerhet i Cisco Unified Communications Manager systemet forhindrer identitetsty veri av telefonen og Cisco Unified Communications Manager serveren, forhindrer manipulering av data, og forhindrer anro pssignalering og manipulering av mediestrøm.

For å lindre disse truslene etablerer og vedlikeholder Cisco IP-telefoninettverket sikre (krypterte) kommunikasjonsstrømmer mellom en telefon og serveren, signerer filer digitalt før de overføres til en telefon, og krypterer mediestrømmer og samtalesignalering mellom Cisco IP-telefoner.

Et lokalt signifikant sertifikat (LSC) installeres på telefoner etter at du har utført de nødvendige oppgavene som er knyttet til Certificate Authority proxy-funksjonen (CAPF). Du kan bruke Cisco Unified Communications Manager Administration til å konfigurere en LSC, som beskrevet i Sikkerhets veiled Cisco Unified Communications Manager ningen. Alternativt kan du starte installasjonen av en LSC fra Sikkerhets menyen på telefonen. Denne menyen lar deg også oppdatere eller fjerne en LSC.

Telefonene bruker telefonens sikkerhetsprofil, som definerer om enheten er usikker eller sikker. Hvis du vil ha informasjon om hvordan du bruker sikkerhetsprofilen på telefonen, kan du se dokumentasjonen for den aktuelle Cisco Unified Communications Manager versjonen.

Hvis du konfigurerer sikkerhetsrelaterte innstillinger iCisco Unified Communications Manager Administration, inneholder telefonkonfigurasjonsfilen sensitiv informasjon. For å sikre personvernet til en konfigurasjonsfil, må du konfigurere den for kryptering. Hvis du vil ha detaljert informasjon, kan du se dokumentasjonen for den aktuelle Cisco Unified Communications Manager versjonen.

Tabellen nedenfor gir en oversikt over sikkerhetsfunksjonene som telefonene støtter. Hvis du vil ha mer informasjon, kan du se dokumentasjonen for den aktuelle Cisco Unified Communications Manager versjonen.

Tabellen nedenfor inneholder alarmmeldinger og betydning for oppdateringen av klareringslisten. Hvis du vil ha mer informasjon, kan du se Cisco Unified Communications Manager dokumentasjonen.

Når sikkerhet er implementert for en telefon, kan du identifisere sikre telefonsamtaler ved hjelp av ikoner på telefonskjermen. Du kan også avgjøre om den tilkoblede telefonen er sikker og beskyttet hvis en sikkerhetstone spilles i begynnelsen av samtalen.

I en sikker samtale krypteres all anropssignalering og mediestrømmer. En sikker samtale gir et høyt sikkerhetsnivå, og gir integritet og personvern til samtalen. Når en pågående samtale er kryptert, kan du se det sikre ikonet på linjen.

I Cisco Unified Communications Manager kan telefoner som er konfigurert som sikre (kryp terte og klarerte) tildeles en beskyttet status. Når de er beskyttet, kan disse enhetene konfigureres til å spille av en sikkerhetstone i begynnelsen av hver samtale.

• Beskyttet enhet:

  Slik endrer du statusen til en sikker telefon til beskyttet:

  1. I Cisco Unified Communications Manager Administration velger du Enhet > Telefon.
  2. Finn telefonen du vil sette opp.
  3. I vinduet Telefonkonfigurasjon merker du av for Bes kyttet enhet.
  4. Klikk på Lagre.

• Spill av sikker indikasjonstone:

  Slik aktiverer du den beskyttede telefonen til å spille av en sikker eller usikker indikasjonstone:

  1. I Cisco Unified Communications Manager Administration velger du System > Tjenesteparametere.
  2. Velg serveren og deretter Cisco CallManager tjenesten.
  3. I området Clusterwide Parameters (Feature — Secure Tone) angir du inn stillingen Avspill ingst one til Indikere sikre/ikke-sikker samtalestatus til True.
  4. Klikk på Lagre.

Fordi alle WLAN-enheter som er innenfor rekkevidde, kan motta all annen WLAN-trafikk, er sikring av talekommunikasjon avgjørende i WLAN-er. For å sikre at inntrengere ikke manipulerer eller fanger opp taletrafikk, støtter Cisco SAFE Security-arkitekturen telefonen. Hvis du vil ha mer informasjon om sikkerhet i nettverk, kan du se http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefoni-løsningen gir trådløs nettverkssikkerhet som forhindrer uautoriserte pålogginger og kompromittert kommunikasjon ved å bruke følgende autentiseringsm etoder som telefonen støtter.

• Åpen autentisering: Enhver trådløs enhet kan be om godkjenning i et åpent system. Tilgangspunktet som mottar forespørselen, kan gi godkjenning til enhver anmoder eller bare til forespørsler som finnes på en liste over brukere. Kommunikasjon mellom den trådløse enheten og tilgangspunktet (AP) kan ikke være kryptert.

• Utvidbar autentiseringsprotokoll - Fleksibel autentisering via EAP-FAST-godkjenning (Secure Tunneling): Denne sikkerhetsarkitekturen mellom klient og server krypterer EAP-transaksjoner i en TLS-tunnel (Transport Level Security) mellom AP og RADIUS-serveren, for eksempel Identity Services Engine (ISE).

  TLS-tunnelen bruker PAC (Protected Access Credentials) for godkjenning mellom klienten (telefonen) og RADIUS-serveren. Serveren sender en Authority ID (AID) til klienten (telefon), som igjen velger riktig PAC. Klienten (telefonen) returnerer en PAC-opak til RADIUS-tjeneren. Serveren dekrypterer PAC med primærnøkkelen. Begge endepunktene inneholder nå PAC-nøkkelen, og det opprettes en TLS-tunnel. EAP-FAST støtter automatisk PAC-klargjøring, men du må aktivere den på RADIUS-tjeneren.

  I ISE utløper PAC som standard om en uke. Hvis telefonen har en utløpt PAC, tar autentisering med RADIUS-serveren lengre tid mens telefonen får en ny PAC. Hvis du vil unngå forsinkelser i PAC-klargjøring, angir du PAC-utløpsperioden til 90 dager eller lenger på ISE- eller RADIUS-tjeneren.

• EAP@@ -TLS-godkjenning (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS krever et klientsertifikat for godkjenning og nettverkstilgang. For trådløs EAP-TLS kan klientsertifikatet være MIC, LSC eller brukerinstallert sertifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos proprietære passordbasert gjensidig autentiseringsskjema mellom klienten (telefonen) og en RADIUS-server. Telefonen kan bruke PEAP for autentisering med det trådløse nettverket. Både PEAP-MSCHAPV2- og PEAP-GTC-godkjenningsmetoder støttes.

• Pre-Shared Key (PSK): Telef onen støtter ASCII- og heksadesimale (HEX) formater. Du må bruke disse formatene når du konfigurerer en WPA2/SAE forhåndsdelt nøkkel.

  ASCII: En ASCII-tegnstreng med 8 til 63 tegn i lengde (0-9, små bokstaver a-z, store bokstav er A-Z og spesialtegn). For eksempel, GREG123567@9ZX&W.

  HEX: En seks-tegnstreng med 64 sekskantsifre i lengde (0-9, a-f eller A-F).

Følgende godkjenningsskjemaer bruker RADIUS-tjeneren til å administrere godkjenningsnøkler:

• WPA2/WPA3: Bruker RADIUS-serverinformasjon til å generere unike nøkler for autentisering. Fordi disse nøklene genereres på den sentraliserte RADIUS-serveren, gir WPA2/WPA3 mer sikkerhet enn WPA-forhåndsdelte nøkler som er lagret på AP og telefon.

• Rask sikker roaming: Bruker RADIUS-server og WDS-informasjon (Wireless Domain Server) til å administrere og autentisere nøkler. WDS oppretter en hurtigbuffer med sikkerhetsinformasjon for FT-aktiverte klientenheter for rask og sikker reautentisering.

Med WPA2/WPA3 legges ikke krypteringsnøkler inn på telefonen, men blir automatisk avledet mellom AP og telefon. Men EAP-brukernavnet og passordet som brukes til autentisering må oppgis på hver telefon.

For å beskytte taletrafikken over den trådløse koblingen støtter telefonen AES-basert kryptering for WPA2/WPA3-godkjenning. AES er en symmetrisk blokkchiffer standardisert av NIST. AES bruker en fast 128-bit blokkstørrelse og støtter nøkkelstørrelser på 128 bits, 192 bits og 256 bits. I Wi-Fi-nettverk brukes AES av chifferpakker som CCMP eller GCMP, mens autentisering leveres separat av PSK, SAE eller 802.1X/EAP, avhengig av konfigurert WLAN-sikkerhetsmodus. Den støttede chifferpakken og nøkkelstørrelsen avhenger av telefon modellen og WLAN-konfigurasjonen.

Når telefonen bruker AES-kryptering, krypteres både signalerende SIP-pakker og RTP-pakker (Real-Time Transport Protocol) mellom AP og telefonen.

Autentiserings- og krypteringsordninger er satt opp i det trådløse LAN. VLAN-er er konfigurert i nettverket og på AP-ene og spesifiserer forskjellige kombinasjoner av autentisering og kryptering. En SSID assosieres med et VLAN og det bestemte autentiserings- og krypteringsskjemaet. For at trådløse klientenheter skal kunne godkjennes, må du konfigurere de samme SSID-ene med deres autentiserings- og krypteringsordninger på AP-ene og på telefonen.

Noen autentiseringsordninger krever spesifikke typer kryptering.

Autentiserings- og krypteringsskjemaene i tabellen nedenfor viser nettverkskon figurasjonsalternativene for Cisco Wireless Phone 9821 som tilsvarer AP-konfigurasjonen.

Cisco Wireless Phone 9821 støtter 802.1X-godkjenning for kablede nettverk. Dette brukes vanligvis under automatisk klargjøring når telefonen er koblet til stasjonær lader via en støttet USB-til-Ethernet-adapter.

Støtte for 802.1X-godkjenning på kablede nettverk krever flere komponenter som følger:

• Cisco IP-telefon: Telefonen starter forespørselen om tilgang til nettverket. Cisco IP-telefoner inneholder en 802.1X supplicant. Denne supplicanten lar nettverksadministratorer kontrollere tilkoblingen til IP-telefoner til LAN-bryterportene. Den nåværende versjonen av telefon 802.1X-supplicant bruker alternativene EAP-FAST og EAP-TLS for nettverksgodkjenning.

• Autentiseringsserver: Autentiseringsserveren og bryteren må begge konfigureres med en RADIUS-delt hemmelighet.

• Bryter: Bryteren må støtte 802.1X, slik at den kan fungere som autentisereren og vider esende EAP-meldingene mellom telefonen og godkjenningsserveren. Etter at utvekslingen er fullført, gir eller nekter bryteren telefonens tilgang til nettverket.

Cisco IP-telefoner og Cisco Catalyst-svitsjer bruker tradisjonelt Cisco Discovery Protocol (CDP) til å identifisere hverandre og bestemme parametere som VLAN-tildeling og innebygde strømkrav.

Du må utføre følgende handlinger for å konfigurere 802.1X.

• Konfigurer CDP/LLDP-stemme-VLAN-bypass.

• Konfigurer godkjenningsserveren og bryteren før du aktiverer 802.1X-god kjenning for kablede nettverk på telefonen.

• Konfigurer Voice VLAN: Fordi 802.1X-standarden ikke tar hensyn til VLAN-er, bør du konfigurere denne innstillingen basert på svitsjstøtten.

  • Aktivert: Hvis du bruker en bryter som støtter godkjenning med flere domener, kan du konfigurere den til å bruke tale-VLAN.
  • Deaktivert: Hvis bryteren ikke støtter godkjenning med flere domener, deaktiverer du Voice VLAN og vurderer å tilordne porten til det opprinnelige VLAN-et.

• Cisco Wireless Phone 9821 har et annet prefiks i PID enn for de andre Cisco-telefonene. Hvis du vil aktivere telefonen til å passere 802.1X-godkjenning, angir du Radius·User-Nam e-parameteren til å inkludere Cisco Wireless Phone 9821.

  For eksempel er PID for Cisco Wireless Phone 9821 WP-9821. Du kan angi Radius·Brukernavn til Start with WPeller Contains WPi begge følgende seksjoner:

  • Retnings linjer > Beting elser > Bibliotekbetingelser

  • Policy > Retningslinjes ett > Autorisasjonspolicy > Autorisasjonsregel 1