Dziękujemy za opinię.

Funkcje zabezpieczeń chronią przed zagrożeniami, w tym zagrożeniami dotyczącymi tożsamości telefonu i danych. Te funkcje zakładają i utrzymują uwierzytelnione strumienie komunikacyjne pomiędzy telefonem a serwerem Cisco Unified Communications Manager oraz gwarantują, że telefon korzysta tylko z cyfrowo podpisanych plików.

Program Cisco Unified Communications Manager w wersji 8.5(1) lub nowszej ma domyślnie włączone wszystkie ustawienia zabezpieczeń, co zapewnia działanie następujących funkcji zabezpieczeń telefonów IP Cisco bez konieczności uruchamiania klienta CTL:

• Podpisywanie plików konfiguracyjnych telefonu

• Szyfrowanie pliku konfiguracyjnego telefonu

• HTTPS z Tomcat i inne usługi sieci Web

Zaimplementowanie zabezpieczeń w systemie Cisco Unified Communications Manager uniemożliwi wykradanie tożsamości z telefonu i serwera Cisco Unified Communications Manager, zapobiegnie manipulowaniu danymi oraz uniemożliwi manipulowanie sygnałami połączeń i strumieniami mediów.

Aby zredukować te zagrożenia, w sieci telefonii IP firmy Cisco są ustanawiane i utrzymywane bezpieczne (szyfrowane) strumienie komunikacyjne między telefonem a serwerem, pliki są cyfrowo podpisywane przed wysłaniem do telefonu a strumienie mediów i sygnały połączeń między telefonami IP Cisco są szyfrowane.

Po wykonaniu wymaganych zadań związanych z Funkcją pełnomocnictw certyfikatu na telefonach zostanie zainstalowany Certyfikat znaczenia lokalnego (LSC, Locally Significant Certificate). Za pomocą Cisco Unified Communications Manager Administration można skonfigurować LSC zgodnie z opisem w Przewodniku po zabezpieczeniachCisco Unified Communications Manager. Alternatywnie możesz zainicjować instalację LSC z menu Zabezpieczenia w telefonie. Za pośrednictwem tego menu można również zaktualizować lub usunąć certyfikat LSC.

Telefony wykorzystują profil bezpieczeństwa telefonu, który określa, czy urządzenie jest niezabezpieczone, czy zabezpieczone. Więcej informacji na temat stosowania profilu zabezpieczenia w telefonie można znaleźć w dokumentacji używanej wersji programu Cisco Unified Communications Manager.

Jeśli w aplikacji Cisco Unified Communications Manager — administracja zostaną skonfigurowane ustawienia związane z bezpieczeństwem, plik konfiguracyjny telefonu będzie zawierać poufne informacje. W celu zapewnienia prywatności pliku konfiguracyjnego należy włączyć dla niego opcję szyfrowania danych. Szczegółowe informacje na ten temat można znaleźć w dokumentacji używanej wersji programu Cisco Unified Communications Manager.

Poniższa tabela zawiera przegląd funkcji zabezpieczeń obsługiwanych przez te telefony. Więcej informacji na ten temat można znaleźć w dokumentacji używanej wersji programu Cisco Unified Communications Manager.

Poniższa tabela zawiera komunikaty alarmowe o aktualizacji listy zaufanych i wyjaśnienie ich znaczenia. Więcej wiadomości na ten temat można znaleźć w dokumentacji programu Cisco Unified Communications Manager.

Gdy w telefonie zastosowane są zabezpieczenia, zabezpieczone połączenia telefoniczne można rozpoznać po ikonach na jego ekranie. Jeśli ponadto na początku połączenia odtwarzany jest sygnał dźwiękowy zabezpieczeń, wskazuje to, że połączony telefon jest zabezpieczony i chroniony.

W ramach połączenia zabezpieczonego wszystkie sygnały połączenia i strumienie mediów są szyfrowane. Połączenie zabezpieczone zapewnia wysoki poziom bezpieczeństwa, gwarantując brak zafałszowań i poufność rozmowy. Gdy trwające połączenie jest szyfrowane, widoczna jest ikona zabezpieczenia Na linii.

W Cisco Unified Communications Manager telefonom skonfigurowanym jako bezpieczne (zaszyfrowane i zaufane) można przypisać status chroniony. Po zabezpieczeniu urządzenia te można skonfigurować tak, aby odtwarzały sygnał dźwiękowy zabezpieczeń na początku każdego połączenia.

• Chronione urządzenie:

  Aby zmienić stan zabezpieczonego telefonu na chroniony:

  1. W Cisco Unified Communications Manager Administration wybierz Device > Phone.
  2. Znajdź telefon, który chcesz skonfigurować.
  3. W oknie Konfiguracja telefonu zaznacz pole wyboru Protected Device (Chronione urządzenie ).
  4. Kliknij przycisk Zapisz.

• Play Secure Indication Tone:

  Aby włączyć w chronionym telefonie odtwarzanie dźwięku wskazania zabezpieczonego lub niezabezpieczonego:

  1. W Cisco Unified Communications Manager Administration wybierz System > Service Parameters.
  2. Wybierz serwer, a następnie usługę Cisco CallManager .
  3. W obszarze Parametry całego klastra (funkcja — Sygnał dźwiękowy zabezpieczeń) ustaw dla opcji Sygnał odtwarzania wskazujący stan połączenia zabezpieczonego/niezabezpieczonego na wartość Prawda.
  4. Kliknij przycisk Zapisz.

Wszystkie urządzenia sieci WLAN znajdujące się w zasięgu mogą odbierać wszystkie dane przesyłane w sieci, dlatego zapewnienie bezpieczeństwa komunikacji głosowej ma krytyczne znaczenie dla sieci WLAN. Aby zapewnić, że intruzi nie manipulują ani nie przechwytują ruchu głosowego, architektura Cisco SAFE Security obsługuje telefon. Aby uzyskać więcej informacji o zabezpieczeniach sieci, zobacz http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Rozwiązanie telefoniczne Cisco Wireless IP zapewnia bezpieczeństwo sieci bezprzewodowej, które zapobiega nieautoryzowanym logowaniom i zakłóceniom komunikacji przy użyciu następujących metod uwierzytelniania obsługiwanych przez telefon.

• Otwarte uwierzytelnianie: dowolne urządzenie może zażądać uwierzytelnienia w systemie otwartym. Punkt dostępu, który odbiera żądanie, może udzielić uwierzytelniania dowolnemu żądającemu lub tylko tym żądającym, którzy znajdują się na liście użytkowników. Komunikacja między urządzeniem bezprzewodowym a punktem dostępowym (AP) może być nieszyfrowana.

• Uwierzytelnianie elastyczne w protokole uwierzytelniania rozszerzonego za pomocą bezpiecznego tunelowania (EAP-FAST): Ta architektura zabezpieczeń klient-serwer szyfruje transakcje EAP w tunelu Transport Level Security (TLS) między punktem dostępu a serwerem RADIUS, takim jak aparat usług tożsamości (ISE).

  Tunel TLS do uwierzytelniania między klientem (telefonem) a serwerem RADIUS używa protokołu PACs (Protected Access Credentials). Serwer wysyła do klienta (telefonu) identyfikator uwierzytelnienia (AID), który z kolei wybiera odpowiedni klucz PAC. Klient (telefon) zwraca wiadomość PAC-Opaque do serwera RADIUS. Serwer odszyfrowuje klucz PAC za pomocą klucza głównego. Oba punkty końcowe mają teraz klucz PAC, co umożliwia utworzenie tunelu TLS. Protokół EAP-FAST obsługuje automatyczne dostarczanie kluczy PAC, ale tę funkcję należy włączyć na serwerze RADIUS.

  W ISE domyślnie PAC wygasa za tydzień. Jeśli klucz PAC w telefonie jest nieważny, uwierzytelnianie z serwerem RADIUS trwa dłużej, gdy telefon pobiera nowy klucz PAC. Aby uniknąć opóźnień związanych z dostarczaniem klucza PAC, na serwerze ISE lub RADIUS ustaw okres ważności klucza PAC na 90 dni lub dłużej.

• Uwierzytelnianie przy użyciu protokołu EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): protokół EAP-TLS wymaga certyfikatu klienta do uwierzytelniania i dostępu do sieci. W przypadku sieci bezprzewodowej EAP-TLS certyfikat klienta może być certyfikatem MIC, LSC, lub certyfikatem zainstalowanym przez użytkownika.

• Protokół PEAP (Protected Extensible Authentication Protocol): opracowany przez firmę Cisco protokół uwierzytelniania wzajemnego w oparciu o hasło między klientem (telefonem) a serwerem RADIUS. Telefon może używać PEAP do uwierzytelniania w sieci bezprzewodowej. Obsługiwane są metody uwierzytelniania PEAP-MSCHAPV2 i PEAP-GTC.

• Klucz wstępny (PSK): telefon obsługuje formaty ASCII i szesnastkowe (HEX). Tych formatów należy użyć podczas konfigurowania klucza wstępnego WPA2/SAE.

  ASCII: Ciąg znaków ASCII o długości od 8 do 63 znaków (0-9, małe litery a-z, wielkie litery A-Z i znaki specjalne). Na przykład GREG123567@9ZX&W.

  HEX: Ciąg znaków HEX z 64 cyframi szesnastkowymi (0-9, a-f lub A-F).

Następujące systemy uwierzytelnianie korzystają z serwera RADIUS do zarządzania kluczami uwierzytelniania:

• WPA2/WPA3: używa informacji serwera RADIUS do generowania unikatowych kluczy uwierzytelniania. Ponieważ klucze te są generowane na centralnym serwerze RADIUS, protokół WPA2/WPA3 zapewnia większe bezpieczeństwo w porównaniu z metodą WPA używającą wstępnych kluczy przechowywanych w punkcie dostępu w telefonie.

• Szybki i bezpieczny roaming: używa informacji serwera RADIUS i serwera domeny bezprzewodowej do zarządzania kluczami i ich uwierzytelniania. Usługi wdrażania systemu Windows tworzą pamięć podręczną poświadczeń zabezpieczeń dla urządzeń klienckich z obsługą FT w celu szybkiego i bezpiecznego ponownego uwierzytelnienia.

W przypadku WPA2/WPA3 klucze szyfrowania nie są wprowadzane w telefonie, ale są automatycznie pobierane między punktem dostępu a telefonem. Jednak nazwę użytkownika i hasło EAP, które są używane do uwierzytelniania, należy wprowadzić w każdym telefonie.

Aby chronić ruch głosowy za pośrednictwem łącza bezprzewodowego, telefon obsługuje szyfrowanie oparte na AES dla uwierzytelniania WPA2/WPA3. AES jest symetrycznym szyfrem blokowym standaryzowanym przez NIST. AES używa stałego 128-bitowego rozmiaru bloku i obsługuje klucze o rozmiarach 128 bitów, 192 bitów i 256 bitów. W sieciach Wi-Fi AES jest używany przez zestawy szyfrów, takie jak CCMP lub GCMP, podczas gdy uwierzytelnianie jest dostarczane oddzielnie przez PSK, SAE lub 802.1X/EAP, w zależności od skonfigurowanego trybu zabezpieczeń WLAN. Obsługiwany zestaw szyfrów i rozmiar klucza zależą od modelu telefonu i konfiguracji WLAN.

Gdy telefon używa szyfrowania AES, zarówno pakiety sygnalizacyjne SIP, jak i pakiety głosowe protokołu transportu w czasie rzeczywistym (RTP) są szyfrowane między punktem dostępu a telefonem.

Systemy uwierzytelniania i szyfrowania są konfigurowane w bezprzewodowej sieci LAN. W sieci bezprzewodowej i w punktach dostępu są konfigurowane sieci VLAN, dla których są wybierane różne kombinacje metod uwierzytelniania i szyfrowania. Identyfikator SSID skojarzony z siecią VLAN i określonym schematem uwierzytelniania i szyfrowania. Aby bezprzewodowe urządzenia klienckie mogły się pomyślnie uwierzytelnić, należy skonfigurować te same identyfikatory SSID wraz z ich schematami uwierzytelniania i szyfrowania w punktach dostępu i w telefonie.

Niektóre systemy uwierzytelniania wymagają określonych typów szyfrowania.

Schematy uwierzytelniania i szyfrowania w poniższej tabeli przedstawiają opcje konfiguracji sieci dla telefonu bezprzewodowego Cisco 9821 odpowiadającego konfiguracji punktu dostępu.

Cisco Telefon bezprzewodowy 9821 obsługuje uwierzytelnianie 802.1X dla sieci przewodowych. Jest to zwykle używane podczas automatycznego inicjowania obsługi, gdy telefon jest podłączony do ładowarki biurkowej za pośrednictwem obsługiwanego adaptera USB-to-Ethernet.

Obsługa uwierzytelniania 802.1X w sieciach przewodowych wymaga kilku następujących składników:

• Telefon IP Cisco: telefon inicjuje żądanie dostępu do sieci. Telefony IP Cisco zawierają stronę uwierzytelnianą 802.1X. Dzięki niej administratorzy sieci mogą kontrolować łączność telefonów IP z portami przełącznika sieci LAN. Bieżąca wersja strony uwierzytelnianej 802.1X w telefonach korzysta z opcji EAP-FAST i EAP-TLS do uwierzytelniania sieci.

• Serwer uwierzytelniania: Serwer uwierzytelniania i przełącznik muszą być skonfigurowane przy użyciu wspólnego hasła usługi RADIUS.

• Przełącznik: przełącznik musi obsługiwać standard 802.1X, aby mógł działać jako wystawca uwierzytelnienia i przekazywać komunikaty EAP między telefonem a serwerem uwierzytelniania. Po zakończeniu wymiany komunikatów przełącznik przyznaje telefonowi dostęp do sieci lub odrzuca jego żądanie.

Telefony IP Cisco i przełączniki Cisco Catalyst używają tradycyjnie protokołu CDP (Cisco Discovery Protocol) do identyfikowania siebie nawzajem i ustalania parametrów, np. przydziału sieci VLAN i wymagań dotyczących zasilania poprzez kabel sieciowy.

Aby skonfigurować uwierzytelnianie 802.1X:

• Skonfiguruj obejście głosu CDP/LLDP VLAN.

• Przed włączeniem uwierzytelniania 802.1X dla sieci przewodowych w telefonie skonfiguruj serwer uwierzytelniania i przełącznik.

• Skonfiguruj opcję VLAN głosowy: w standardzie 802.1X nie uwzględniono sieci VLAN, więc skonfiguruj tę opcję zgodnie z zakresem obsługi uwierzytelniania przez przełącznik.

  • Włączone: jeśli używasz przełącznika obsługującego uwierzytelnianie wielodomenowe, możesz skonfigurować go do korzystania z głosu VLAN.
  • Wyłączone: jeśli przełącznik nie obsługuje uwierzytelniania w wielu domenach, wyłącz opcję VLAN głosowy i rozważ przypisanie portu macierzystej sieci VLAN.

• Cisco Telefon bezprzewodowy 9821 ma inny prefiks w identyfikatorze PID niż w przypadku innych telefonów Cisco. Aby umożliwić telefonowi przekazywanie uwierzytelniania 802.1X, ustaw opcję Promień· Parametr Nazwa użytkownika, aby dołączyć telefon bezprzewodowy Cisco 9821.

  Na przykład identyfikator PID Cisco telefonu bezprzewodowego 9821 to WP-9821. Możesz ustawić promień· Nazwa użytkownika, aby rozpocząć od WP lub Zawiera WP w obu następujących sekcjach:

  • Zasady > Warunki > Warunki biblioteczne

  • Zasady > Zestawy zasad> Zasady autoryzacji > Reguła autoryzacji 1