Takk for tilbakemeldingen.

Sikkerhetsfunksjoner beskytter mot trusler, inkludert trusler mot telefonens identitet og data. Disse funksjonene etablerer og vedlikeholder godkjente kommunik asjonsstrømmer mellom telefonen og Cisco Unified Communications Manager serveren, og sikrer at telefonen bare bruker digitalt signerte filer.

Cisco Unified Communications ManagerVersjon 8.5 (1) og nyere inkluderer Sikkerhet som standard, som gir følgende sikkerhetsfunksjoner for Cisco IP-telefoner uten å kjøre CTL- klienten:

• Signering av telefonkonfigurasjonsfilene

• Telefonkonfigurasjonsfilkryptering

• HTTPS med Tomcat og andre webtjenester

Implementering av sikkerhet i Cisco Unified Communications Manager systemet forhindrer identitetsty veri av telefonen og Cisco Unified Communications Manager serveren, forhindrer manipulering av data, og forhindrer anro pssignalering og manipulering av mediestrøm.

For å lindre disse truslene etablerer og vedlikeholder Cisco IP-telefoninettverket sikre (krypterte) kommunikasjonsstrømmer mellom en telefon og serveren, signerer filer digitalt før de overføres til en telefon, og krypterer mediestrømmer og samtalesignalering mellom Cisco IP-telefoner.

Et lokalt signifikant sertifikat (LSC) installeres på telefoner etter at du har utført de nødvendige oppgavene som er knyttet til Certificate Authority proxy-funksjonen (CAPF). Du kan bruke Cisco Unified Communications Manager Administration til å konfigurere en LSC, som beskrevet i Sikkerhetsveiled Cisco Unified Communications Manager ningen. Alternativt kan du starte installasjonen av en LSC fra menyen Sikkerhetsinnstillinger på telefonen. Denne menyen lar deg også oppdatere eller fjerne en LSC.

Telefonene bruker telefonens sikkerhetsprofil, som definerer om enheten er usikker eller sikker. Hvis du vil ha informasjon om hvordan du bruker sikkerhetsprofilen på telefonen, kan du se dokumentasjonen for den aktuelle Cisco Unified Communications Manager versjonen.

Hvis du konfigurerer sikkerhetsrelaterte innstillinger iCisco Unified Communications Manager Administration, inneholder telefonkonfigurasjonsfilen sensitiv informasjon. For å sikre personvernet til en konfigurasjonsfil, må du konfigurere den for kryptering. Hvis du vil ha detaljert informasjon, kan du se dokumentasjonen for den aktuelle Cisco Unified Communications Manager versjonen.

Telefonen er i samsvar med Federal Information Processing Standard (FIPS). For å fungere riktig krever FIPS-modus en nøkkelstørrelse på 2048 biter eller større. Hvis sertifikatet er mindre enn 2048 biter, registreres ikke telefonen med, Cisco Unified Communications Manager og telefonen klarte ikke å registrere seg. Cert-nøkkelstørrelsen er ikke FIPS-kompatible skjermer på telefonen.

Hvis telefonen har en LSC, må du oppdatere LSC-nøkkelstørrelsen til 2048 biter eller større før du aktiverer FIPS.

Tabellen nedenfor gir en oversikt over sikkerhetsfunksjonene som telefonene støtter. Hvis du vil ha mer informasjon, kan du se dokumentasjonen for den aktuelle Cisco Unified Communications Manager versjonen.

Hvis du vil vise sikkerhetsmodus, trykker du på Innstillinger og navigerer til Nettverk og tjeneste > Sikkerhetsinnstillinger.

Tabellen nedenfor inneholder alarmmeldinger og betydning for oppdateringen av klareringslisten. Hvis du vil ha mer informasjon, kan du se Cisco Unified Communications Manager dokumentasjonen.

Sikkerhetsoppsett-menyen inneholder informasjon om ulike sikkerhetsinnstillinger. Menyen gir også tilgang til Trust List-menyen og angir om CTL- eller ITL-filen er installert på telefonen.

Tabellen nedenfor beskriver alternativene i Sikkerhetsoppsett-menyen.

Cisco IP- telefoner støtter 802.1X-godkjenning.

Cisco IP-telefoner og Cisco Catalyst-svitsjer bruker tradisjonelt Cisco Discovery Protocol (CDP) til å identifisere hverandre og bestemme parametere som VLAN-tildeling og innebygde strømkrav. CDP identifiserer ikke lokalt tilknyttede arbeidsstasjoner. Cisco IP-telefoner gir en EAPOL-gjennomgangsmekanisme. Denne mekanismen gjør det mulig for en arbeidsstasjon som er koblet til Cisco IP-telefonen, å sende EAPOL-meldinger til 802.1X-autentisereren ved LAN-bryteren. Gjennomgangsmekanismen sikrer at IP-telefonen ikke fungerer som LAN-bryteren for å autentisere et dataendepunkt før du får tilgang til nettverket.

Cisco IP-telefoner gir også en proxy EAPOL Logoff-mekanisme. Hvis den lokalt tilkoblede PC-en kobler fra IP-telefonen, ser ikke LAN-bryteren at den fysiske koblingen mislykkes, fordi koblingen mellom LAN-bryteren og IP-telefonen opprettholdes. For å unngå å kompromittere nettverksintegriteten sender IP-telefonen en EAPOL-logoff-melding til bryteren på vegne av nedstrøms PC, som utløser LAN-bryteren for å fjerne autentiseringsoppføringen for nedstrøms PC.

Støtte for 802.1X-godkjenning krever flere komponenter:

• Cisco IP-telefon: Telefonen starter forespørselen om tilgang til nettverket. Cisco IP-telefoner inneholder en 802.1X supplicant. Denne supplicanten lar nettverksadministratorer kontrollere tilkoblingen til IP-telefoner til LAN-bryterportene. Den nåværende versjonen av telefon 802.1X-supplicant bruker alternativene EAP-FAST og EAP-TLS for nettverksgodkjenning.

• Autentiseringsserver: Godkjenningsserveren og bryteren må begge konfigureres med en delt hemmelighet som autentiserer telefonen.

• Bryter: Bryteren må støtte 802.1X, slik at den kan fungere som autentisereren og sende meldingene mellom telefonen og godkjenningsserveren. Etter at utvekslingen er fullført, gir eller nekter bryteren telefonens tilgang til nettverket.

Du må utføre følgende handlinger for å konfigurere 802.1X.

• Konfigurer de andre komponentene før du aktiverer 802.1X-godkjenning på telefonen.

• Konfigurer PC-port: 802.1X-standarden tar ikke hensyn til VLAN-er og anbefaler derfor at bare en enkelt enhet skal autentiseres til en bestemt svitsjport. Noen brytere støtter imidlertid multidomene-autentisering. Bryterkonfigurasjonen avgjør om du kan koble en PC til PC-porten på telefonen.

  • Aktivert: Hvis du bruker en bryter som støtter godkjenning med flere domener, kan du aktivere PC-porten og koble en PC til den. I dette tilfellet støtter Cisco IP-telefoner proxy EAPOL-Logoff for å overvåke autentiseringsutvekslingene mellom bryteren og den tilkoblede PC-en.

    Hvis du vil ha mer informasjon om IEEE 802.1X-støtte for Cisco Catalyst-svitsjene, kan du se konfigurasjonsveiledningene for Cisco Catalyst-svitsjer på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deaktivert: Hvis bryteren ikke støtter flere 802.1X-kompatible enheter på samme port, bør du deaktivere PC-porten når 802.1X-godkjenning er aktivert. Hvis du ikke deaktiverer denne porten og deretter prøver å koble en PC til den, nekter bryteren nettverkstilgang til både telefonen og PC-en.

• Konfigurer Voice VLAN: Fordi 802.1X-standarden ikke tar hensyn til VLAN-er, bør du konfigurere denne innstillingen basert på svitsjstøtten.
  • Aktivert: Hvis du bruker en bryter som støtter godkjenning med flere domener, kan du fortsette med å bruke tale-VLAN.
  • Deaktivert: Hvis bryteren ikke støtter godkjenning med flere domener, deaktiverer du Voice VLAN og vurderer å tilordne porten til det opprinnelige VLAN-et.
• (Kun for Cisco Desk Phone 9800-serien)

  Cisco Desk Phone 9800-serien har et annet prefiks i PID enn for de andre Cisco-telefonene. Hvis du vil aktivere telefonen til å passere 802.1X-godkjenning, angir du Radius·User-Nam e-parameteren til å inkludere Cisco Desk Phone 9800-serien.

  For eksempel er PID for telefon 9841 DP-9841; du kan angi Radius·Brukernavn til Start med DP eller Inneholder DP. Du kan angi det i begge følgende seksjoner:

  • Retnings linjer > Beting elser > Bibliotekbetingelser

  • Policy > Retningslinjes ett > Autorisasjonspolicy > Autorisasjonsregel 1

Når sikkerhet er implementert for en telefon, kan du identifisere sikre telefonsamtaler ved hjelp av ikoner på telefonskjermen. Du kan også avgjøre om den tilkoblede telefonen er sikker og beskyttet hvis en sikkerhetstone spilles i begynnelsen av samtalen.

I en sikker samtale krypteres all anropssignalering og mediestrømmer. En sikker samtale gir et høyt sikkerhetsnivå, og gir integritet og personvern til samtalen. Når en pågående samtale er kryptert, kan du se det sikre ikonet på linjen. For en sikker telefon kan du også vise det godkjente ikonet eller det krypterte ikonet ved siden av den tilkoblede serveren i telefonmenyen (Inn stillinger > Om denne enheten).

I en sikker samtale spilles en sikkerhetstone i begynnelsen av et anrop for å indikere at den andre tilkoblede telefonen også mottar og overfører sikker lyd. Hvis samtalen kobles til en usikker telefon, spilles ikke sikkerhetstonen av.

Når en telefon er konfigurert som sikker (kryptert og klarert) iCisco Unified Communications Manager, kan den gis en beskyttet status. Etter det, hvis ønskelig, kan den beskyttede telefonen konfigureres til å spille en indikasjonstone i begynnelsen av en samtale:

• Beskyttet enhet: Hvis du vil endre statusen til en sikker telefon til beskyttet, merker du av for Beskyttet enhet i vinduet Telefonkonfigurasjon i Cisco Unified Communications Manager Administration (Enh et > Telefon).

• Spill av sikker indikasjonstone: Hvis du vil aktivere den beskyttede telefonen til å spille av en sikker eller usikker indikasjonstone, setter du innstillingen Spill av sikker indikasjonstone til True. Som standard er Play Secure Indication Tone satt til False. Du angir dette alternativet i Cisco Unified Communications Manager Administration (System > Tjenesteparametere). Velg tjeneren og deretter Unified Communications Manager-tjenesten. I vinduet Service Parameter Configuration velger du alternativet i Feature - Secure Tone-området. Standard er False.

Fordi alle WLAN-enheter som er innenfor rekkevidde, kan motta all annen WLAN-trafikk, er sikring av talekommunikasjon avgjørende i WLAN-er. For å sikre at inntrengere ikke manipulerer eller fanger opp taletrafikk, støtter Cisco SAFE Security-arkitekturen telefonen. Hvis du vil ha mer informasjon om sikkerhet i nettverk, kan du se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco Wireless IP-telefoni-løsningen gir trådløs nettverkssikkerhet som forhindrer uautoriserte pålogginger og kompromittert kommunikasjon ved å bruke følgende autentiseringsmetoder som telefonen støtter:

• Åpen autentisering: Enhver trådløs enhet kan be om godkjenning i et åpent system. Tilgangspunktet som mottar forespørselen, kan gi godkjenning til enhver anmoder eller bare til forespørsler som finnes på en liste over brukere. Kommunikasjon mellom den trådløse enheten og tilgangspunktet (AP) kan ikke være kryptert.

• Utvidbar autentiseringsprotokoll - Fleksibel autentisering via EAP-FAST-godkjenning (Secure Tunneling): Denne sikkerhetsarkitekturen mellom klient og server krypterer EAP-transaksjoner i en TLS-tunnel (Transport Level Security) mellom AP og RADIUS-serveren, for eksempel Identity Services Engine (ISE).

  TLS-tunnelen bruker PAC (Protected Access Credentials) for godkjenning mellom klienten (telefonen) og RADIUS-serveren. Serveren sender en Authority ID (AID) til klienten (telefon), som igjen velger riktig PAC. Klienten (telefonen) returnerer en PAC-opak til RADIUS-tjeneren. Serveren dekrypterer PAC med primærnøkkelen. Begge endepunktene inneholder nå PAC-nøkkelen, og det opprettes en TLS-tunnel. EAP-FAST støtter automatisk PAC-klargjøring, men du må aktivere den på RADIUS-tjeneren.

  I ISE utløper PAC som standard om en uke. Hvis telefonen har en utløpt PAC, tar autentisering med RADIUS-serveren lengre tid mens telefonen får en ny PAC. Hvis du vil unngå forsinkelser i PAC-klargjøring, angir du PAC-utløpsperioden til 90 dager eller lenger på ISE- eller RADIUS-tjeneren.

• EAP@@ -TLS-godkjenning (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS krever et klientsertifikat for godkjenning og nettverkstilgang. For trådløs EAP-TLS kan klientsertifikatet være MIC, LSC eller brukerinstallert sertifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos proprietære passordbasert gjensidig autentiseringsskjema mellom klienten (telefonen) og en RADIUS-server. Telefonen kan bruke PEAP for autentisering med det trådløse nettverket. Både PEAP-MSCHAPV2- og PEAP-GTC-godkjenningsmetoder støttes.

• Pre-Shared Key (PSK): Telef onen støtter ASCII-format. Du må bruke dette formatet når du konfigurerer en WPA/WPA2/SAE forhåndsdelt nøkkel:

  ASCII: en ASCII-tegnstreng med 8 til 63 tegn i lengde (0-9, små og store bokstaver A-Z og spesialtegn)

  Eksempel: GREG123567 @9ZX &W

Følgende godkjenningsskjemaer bruker RADIUS-tjeneren til å administrere godkjenningsnøkler:

• WPA/WPA2/WPA3: Bruker RADIUS-serverinformasjon til å generere unike nøkler for godkjenning. Fordi disse nøklene genereres på den sentraliserte RADIUS-serveren, gir WPA2/WPA3 mer sikkerhet enn WPA-forhåndsdelte nøkler som er lagret på AP og telefon.

• Rask sikker roaming: Bruker RADIUS-server og WDS-informasjon (Wireless Domain Server) til å administrere og autentisere nøkler. WDS oppretter en hurtigbuffer med sikkerhetsinformasjon for FT-aktiverte klientenheter for rask og sikker reautentisering. Cisco Desk Phone 9861 og 9871 og Cisco Video Phone 8875 støtter 802.11r (FT). Både over luften og over DS støttes for å muliggjøre rask sikker roaming. Men vi anbefaler på det sterkeste å bruke 802.11r (FT) over air-metoden.

Med WPA/WPA2/WPA3 legges ikke krypteringsnøkler inn på telefonen, men blir automatisk avledet mellom AP og telefon. Men EAP-brukernavnet og passordet som brukes til autentisering må oppgis på hver telefon.

For å sikre at taletrafikken er sikker, støtter telefonen TKIP og AES for kryptering. Når disse mekanismene brukes til kryptering, krypteres både signalerende SIP-pakker og RTP-pakker (Voice Real-Time Transport Protocol) mellom AP og telefonen.

TKIP

WPA bruker TKIP-kryptering som har flere forbedringer i forhold til WEP. TKIP gir nøkkelkryptering per pakke og lengre initialiseringsvektorer (IV) som styrker krypteringen. I tillegg sikrer en meldingsintegritetskontroll (MIC) at krypterte pakker ikke endres. TKIP fjerner forutsigbarheten til WEP som hjelper inntrengere med å tyde WEP-nøkkelen.

AES

En krypteringsmetode som brukes til WPA2/WPA3-godkjenning. Denne nasjonale standarden for kryptering bruker en symmetrisk algoritme som har samme nøkkel for kryptering og dekryptering. AES bruker Cipher Blocking Chain (CBC) kryptering på 128 bits i størrelse, som støtter nøkkelstørrelser på 128 biter, 192 biter og 256 biter, som et minimum. Telefonen støtter en nøkkelstørrelse på 256 biter.

Autentiserings- og krypteringsordninger er satt opp i det trådløse LAN. VLAN-er er konfigurert i nettverket og på AP-ene og spesifiserer forskjellige kombinasjoner av autentisering og kryptering. En SSID assosieres med et VLAN og det bestemte autentiserings- og krypteringsskjemaet. For at trådløse klientenheter skal kunne godkjennes, må du konfigurere de samme SSID-ene med deres autentiserings- og krypteringsordninger på AP-ene og på telefonen.

Noen autentiseringsordninger krever spesifikke typer kryptering.

Autentiserings- og krypteringsskjemaene i tabellen nedenfor viser nettverkskonfigurasjonsalternativene for telefonen som tilsvarer AP-konfigurasjonen.

Assured Services SIP (AS-SIP) er en samling funksjoner og protokoller som tilbyr en svært sikker anropsflyt for Cisco IP-telefoner og tredjepartstelefoner. Følgende funksjoner er samlet kjent som AS-SIP:

• Prioritet og preempsjon på flere nivåer (MLPP)
• Kodepunkt for differensierte tjenester (DSCP)
• Transportlagssikkerhet (TLS) og sikker sanntidstransportprotokoll (SRTP)
• Internett-protokoll versjon 6 (IPv6)

AS-SIP brukes ofte med Multilevel Precedence and Preemption (MLPP) for å prioritere samtaler i en nødsituasjon. Med MLPP tilordner du et prioritetsnivå til utgående samtaler, fra nivå 1 (lav) til nivå 5 (høy). Når du mottar et anrop, vises et prioritetsnivåikon på telefonen som viser anropsprioriteten.

For å konfigurere AS-SIP, fullfør følgende oppgaver på: Cisco Unified Communications Manager

• Konfigurer en sammendragsbruker — Konfigurer sluttbrukeren til å bruke sammendragsgodkjenning for SIP-forespørsler.
• Konfigurer SIP Phone Secure Port— Cisco Unified Communications Manager bruker denne porten til å lytte til SIP-telefoner for SIP-linjeregistreringer over TLS.
• Start tjenester på nytt — Etter å ha konfigurert den sikre porten, start Cisco CTL Pro Cisco Unified Communications Manager vider-tjenestene på nytt. Konfigurer SIP-profil for AS-SIP-Konfigurer en SIP-profil med SIP-innstillinger for AS-SIP-endepunktene og for SIP-trunkene dine. De telefonspesifikke parametrene lastes ikke ned til en tredjeparts AS-SIP-telefon. De brukes bare av Cisco Unified Manager. Tredjepartstelefoner må konfigurere de samme innstillingene lokalt.
• Konfigurer telefonsikkerhetsprofil for AS-SIP — Du kan bruke telefonens sikkerhetsprofil til å tilordne sikkerhetsinnstillinger som TLS, SRTP og sammendragsgodkjenning.
• Konfigurer AS-SIP-sluttpunkt — Konfigurer en Cisco IP-telefon eller et tredjeparts endepunkt med AS-SIP-støtte.
• Tilknytt enhet til sluttbruker — Knytt endepunktet til en bruker.
• Konfigurer SIP-trunk-sikkerhetsprofil for AS-SIP — Du kan bruke sip-trunk-sikkerhetsprofilen til å tilordne sikkerhetsfunksjoner som TLS eller sammendragsgodkjenning til en SIP-trunk.
• Konfigurer SIP Trunk for AS-SIP — Konfigurer en SIP-trunk med AS-SIP-støtte.
• Konfigurer AS-SIP-funksjoner — Konfigurer flere AS-SIP-funksjoner som MLPP, TLS, V.150 og IPv6.

Hvis du vil ha detaljert informasjon om konfigurering av AS-SIP, kan du se kapitlet «Konfigurer AS-SIP-endepunkter» i Fe ature Configuration Guide for. Cisco Unified Communications Manager

Når forceret autorisasjonskoder (FAC) eller Client Matter CMC (Client Matter Codes), eller begge er konfigurert på telefonen, må brukerne oppgi de nødvendige passordene for å ringe ut et nummer.

Hvis du vil ha mer informasjon om hvordan du konfigurerer FAC og CMC iCisco Unified Communications Manager, kan du se kapitlet "Client Matter Codes and Forced Authorization Codes" i Fe ature Configuration Guide forCisco Unified Communications Manager, Release 12.5 (1) eller nyere.

Cisco VPN-funksjonen hjelper deg med å bevare nettverkssikkerheten samtidig som du gir brukerne en trygg og pålitelig metode for å koble til bedriftens nettverk. Bruk denne funksjonen når:

• En telefon er plassert utenfor et pålitelig nettverk
• Nettverkstrafikk mellom telefonen og Cisco Unified Communications Manager krysser et ukjent nettverk

Med en VPN er det tre vanlige tilnærminger til klientautentisering:

• Digitale sertifikater
• Passord
• Brukernavn og passord

Hver metode har sine fordeler. Men hvis bedriftens sikkerhetspolicy tillater det, anbefaler vi en sertifikatbasert tilnærming fordi sertifikater tillater sømløs pålogging uten brukerinngrep. Både LSC- og MIC-sertifikater støttes.

Hvis du vil konfigurere noen av VPN-funksjonene, klargjør du enheten lokalt først, og deretter kan du distribuere enheten utenfor stedet.

Hvis du vil ha mer informasjon om sertifiseringsgodkjenning og arbeid med VPN-nettverk, kan du se Konfigur AnyConnect VPN ere telefon med sertifikatgodkjenning på en ASA.

Med et passord, eller brukernavn og passord, blir en bruker bedt om påloggingsinformasjon. Angi brukerpåloggingsinformasjonen i samsvar med bedriftens sikkerhetspolicy. Du kan også konfigurere innstillingen Aktiver passordpersistens slik at brukerpassordet lagres på telefonen. Brukerpassordet lagres til enten et mislykket påloggingsforsøk oppstår, en bruker tømmer passordet manuelt, eller telefonen tilbakestiller eller mister strømmen.

Et annet nyttig verktøy er innstillingen Aktiver automatisk nettverksdeteksjon. Når du aktiverer denne avmerkingsboksen, kan VPN-klienten bare kjøre når den oppdager at den er utenfor bedriftsnettverket. Denne innstillingen er deaktivert som standard.

Cisco-telefonen din støtter Cisco SVC IPPhone Client v1.0 som klienttype.

Hvis du vil ha mer informasjon om hvordan du konfigurerer VPN påUnified CM, kan du se Funksjonskonfigurasjonsveiledning for Cisco Unified Communications Manager.

Cisco VPN-funksjonen bruker Secure Sockets Layer (SSL) for å bevare nettverkssikkerheten.