Dziękujemy za opinię.

Funkcje zabezpieczeń chronią przed zagrożeniami, w tym zagrożeniami dla tożsamości telefonu i danych. Funkcje te ustanawiają i utrzymują uwierzytelnione strumienie komunikacji między telefonem a Cisco Unified Communications Manager serwerem oraz zapewniają, że telefon używa tylko plików podpisanych cyfrowo.

Cisco Unified Communications ManagerWersja 8.5 (1) i nowsza zawiera domyślnie Security, która zapewnia następujące funkcje bezpieczeństwa dla telefonów IP Cisco bez uruchamiania klienta CTL:

• Podpisywanie plików konfiguracyjnych telefonu

• Szyfrowanie pliku konfiguracyjnego telefonu

• HTTPS z Tomcat i innymi usługami internetowymi

Wdrożenie zabezpieczeń w Cisco Unified Communications Manager systemie zapobiega kradzieży tożsamości telefonu i Cisco Unified Communications Manager serwera, zapobiega manipulowaniu danymi, zapobiega sygnalizacji połączeń i manipulowaniu strumieniem mediów.

Aby złagodzić te zagrożenia, sieć telefonii IP Cisco ustanawia i utrzymuje bezpieczne (zaszyfrowane) strumienie komunikacyjne między telefonem a serwerem, cyfrowo podpisuje pliki przed ich przesłaniem do telefonu oraz szyfruje strumienie mediów i sygnalizację połączeń między telefonami IP Cisco.

Certyfikat lokalnie znaczący (LSC) jest instalowany na telefonach po wykonaniu niezbędnych zadań związanych z funkcją Certificate Authority proxy (CAPF). Można użyć Cisco Unified Communications Manager Administration do skonfigurowania LSC, zgodnie z opisem w Przewodniku Cisco Unified Communications Manager zabezpieczeń. Alternatywnie możesz zainicjować instalację LSC z menu Zabezpiec zenia w telefonie. To menu umożliwia również aktualizację lub usunięcie LSC.

Telefony używają profilu bezpieczeństwa telefonu, który określa, czy urządzenie jest niezabezpieczone, czy bezpieczne. Aby uzyskać informacje na temat stosowania profilu zabezpieczeń w telefonie, zobacz dokumentację konkretnego Cisco Unified Communications Manager wydania.

Jeśli skonfigurujesz ustawienia związane z zabezpieczeniami wCisco Unified Communications Manager Administration, plik konfiguracyjny telefonu zawiera poufne informacje. Aby zapewnić prywatność pliku konfigur acyjnego, należy go skonfigurować do szyfrowania. Aby uzyskać szczegółowe informacje, zobacz dokumentację konkretnego Cisco Unified Communications Manager wydania.

Poniższa tabela zawiera przegląd funkcji zabezpieczeń obsługiwanych przez telefony . Aby uzyskać więcej informacji, zobacz dokumentację konkretnego Cisco Unified Communications Manager wydania.

Poniższa tabela zawiera komunikaty alarmowe i znaczenie aktualizacji listy zaufania. Aby uzyskać więcej informacji, zobacz Cisco Unified Communications Manager dokumentację.

Gdy zabezpieczenia są zaimplementowane dla telefonu, możesz zidentyfikować bezpieczne połączenia telefoniczne za pomocą ikon na ekranie telefonu. Możesz również określić, czy podłączony telefon jest bezpieczny i chroniony, jeśli dźwięk bezpieczeństwa jest odtwarzany na początku połączenia.

W bezpiecznym połączeniu wszystkie sygnały połączeń i strumienie mediów są szyfrowane. Bezpieczne połączenie zapewnia wysoki poziom bezpieczeństwa, zapewniając integralność i prywatność połączenia. Gdy tr wające połączenie jest szyfrowane, możesz zobaczyć bezpieczną ikonę na linii.

W telefon Cisco Unified Communications Manager om skonfigurowanym jako bezpieczne (zaszyfrowane i zaufane) można przypisać status chroniony. Po zabezpieczeniu urządzenia te można skonfigurować tak, aby odtwarzały dźwięk bezpieczeństwa na początku każdego połączenia.

• Chronione urządzenie:

  Aby zmienić status bezpiecznego telefonu na chroniony:

  1. W Cisco Unified Communications Manager Administration oknie wybierz Urządzenie > Telefon.
  2. Znajdź telefon, który skonfigurujesz.
  3. W oknie Konfiguracja telefonu zaznacz pole wyboru Urządzenie chronione.
  4. Kliknij przycisk Zapisz.

• Odtwórz Secure Indication Tone:

  Aby włączyć chroniony telefon odtwarzanie bezpiecznego lub niezabezpieczonego dźwięku wskazania:

  1. Wybierz Cisco Unified Communications Manager Administration pozycję System > Parametry usługi.
  2. Wybierz serwer, a następnie Cisco CallManager usługę.
  3. W obszarze Parametry ogólnoklastrowe (Funkcja — Bezpieczny dźwięk) u staw Ton odtwarzania jako Wskazywanie stanu bezpiecznego/niezabezpieczonego połączenia na wartość True.
  4. Kliknij przycisk Zapisz.

Ponieważ wszystkie urządzenia WLAN znajdujące się w zasięgu mogą odbierać cały inny ruch WLAN, zabezpieczenie komunikacji głosowej ma kluczowe znaczenie w sieciach sieci WLAN. Aby zapewnić, że intruzi nie manipulują ani nie przechwytują ruchu głosowego, architektura Cisco SAFE Security obsługuje telefon. Aby uzyskać więcej informacji na temat bezpieczeństwa w sieciach, zobacz http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Rozwiązanie Cisco Wireless IP zapewnia bezpieczeństwo sieci bezprzewodowej, które zapobiega nieautoryzowanemu logowaniu i naruszeniu komunikacji przy użyciu następujących metod uwierzytelniania obsługiwanych przez telefon.

• Otwarte uwierzytelnianie: Każde urządzenie bezprzewodowe może zażądać uwierzytelniania w otwartym systemie. AP, który otrzyma żądanie, może przyznać uwierzytelnienie dowolnemu wnioskodawcy lub tylko wnioskodawcom znajdującym się na liście użytkowników. Komunikacja między urządzeniem bezprzewodowym a punktem dostępowym (AP) może być niezaszyfrowana.

• Rozszerzalny protokół uwierzytelniania — elastyczne uwierzytelnianie za pomocą bezpiecznego tunelowania (EAP-FAST): Ta architektura zabezpieczeń klient-serwer szyfruje transakcje EAP w tunelu zabezpieczeń poziomu transportu (TLS) między punktem AP a serwerem RADIUS, takim jak Identity Services Engine (ISE).

  Tunel TLS używa poświadczeń dostępu chronionego (PAC) do uwierzytelniania między klientem (telefonem) a serwerem RADIUS. Serwer wysyła identyfikator Authority ID (AID) do klienta (telefon), który z kolei wybiera odpowiedni PAC. Klient (telefon) zwraca nieprzezroczysty PAC na serwer RADIUS. Serwer odszyfruje PAC za pomocą klucza podstawowego. Oba punkty końcowe zawierają teraz klucz PAC i tworzony jest tunel TLS. EAP-FAST obsługuje automatyczne udostępnianie PAC, ale należy je włączyć na serwerze RADIUS.

  W ISE domyślnie PAC wygasa w ciągu tygodnia. Jeśli telefon ma wygasły PAC, uwierzytelnianie za pomocą serwera RADIUS trwa dłużej, podczas gdy telefon otrzyma nowy PAC. Aby uniknąć opóźnień w udostępnianiu PAC, ustaw okres wygaśnięcia PAC na 90 dni lub dłużej na serwerze ISE lub RADIUS.

• U@@ wierzytelnianie EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS wymaga certyfikatu klienta do uwierzytelniania i dostępu do sieci. W przypadku bezprzewodowego EAP-TLS certyfikatem klienta może być certyfikat MIC, LSC lub certyfikat zainstalowany przez użytkownika.

• Protected Extensible Authentication Protocol (PEAP): autorski system wzajemnego uwierzytelniania oparty na hasłach firmy Cisco między klientem (telefonem) a serwerem RADIUS. Telefon może używać PEAP do uwierzytelniania w sieci bezprzewodowej. Obsługiwane są zarówno metody uwierzytelniania PEAP-MSCHAPV2, jak i PEAP-GTC.

• Pre-Shared Key (PSK): Telefon obsługuje formaty ASCII i szesnastkowe (HEX). Należy używać tych formatów podczas konfigurowania klucza wstępnie udostępnionego WPA2/SAE.

  ASCII: Ciąg znaków ASCII o długości od 8 do 63 znaków (0-9, małe litery a-z, wielkie litery A-Z i znaki specjalne). Na przykład, GREG123567@9ZX&W.

  HEX: Cią g znakowy Hex o długości 64 cyfr sześciokątnych (0-9, a-f lub A-F).

Następujące schematy uwierzytelniania wykorzystują serwer RADIUS do zarządzania kluczami uwierzytelniania:

• WPA2/WPA3: Wykorzystuje informacje serwera RADIUS do generowania unikalnych kluczy do uwierzytelniania. Ponieważ klucze te są generowane na scentralizowanym serwerze RADIUS, WPA2/WPA3 zapewnia większe bezpieczeństwo niż klucze wstępnie udostępnione WPA, które są przechowywane w punkcie AP i telefonie.

• Szybki bezpieczny roaming: wykorzystuje serwer RADIUS i informacje o serwerze domeny bezprzewodowej (WDS) do zarządzania kluczami i ich uwierzytelniania. WDS tworzy pamięć podręczną danych uwierzytelniających zabezpieczeń dla urządzeń klienckich z obsługą FT w celu szybkiego i bezpiecznego ponownego uwierzytelniania.

W przypadku WPA2/WPA3 klucze szyfrowania nie są wprowadzane w telefonie, ale są automatycznie pobierane między punktem AP a telefonem. Ale nazwa użytkownika i hasło EAP, które są używane do uwierzytelniania, muszą być wprowadzone na każdym telefonie.

Aby chronić ruch głosowy przez łącze bezprzewodowe, telefon obsługuje szyfrowanie oparte na AES w celu uwierzytelniania WPA2/WPA3. AES to symetryczny szyfr blokowy standaryzowany przez NIST. AES wykorzystuje stały rozmiar bloku 128-bitowego i obsługuje rozmiary kluczy 128 bitów, 192 bitów i 256 bitów. W sieciach Wi-Fi AES jest używany przez pakiety szyfrowania, takie jak CCMP lub GCMP, podczas gdy uwierzytelnianie jest zapewniane oddzielnie przez PSK, SAE lub 802.1X/EAP, w zależności od skonfigurowanego trybu bezpieczeństwa WLAN. Obsługiwany pakiet szyfrów i rozmiar klucza zależą od modelu telefonu i konfiguracji sieci WLAN.

Gdy telefon korzysta z szyfrowania AES, zarówno pakiety sygnalizacyjne SIP, jak i pakiety głosowego protokołu transportu w czasie rzeczywistym (RTP) są szyfrowane między punktem dostępowym a telefonem.

Schematy uwierzytelniania i szyfrowania są konfigurowane w bezprzewodowej sieci LAN. VLAN są konfigurowane w sieci i na punktach dostępowych i określają różne kombinacje uwierzytelniania i szyfrowania. SSID kojarzy się z siecią VLAN i konkretnym schematem uwierzytelniania i szyfrowania. Aby urządzenia klienckie bezprzewodowe mogły się uwierzytelnić pomyślnie, należy skonfigurować te same identyfikatory SSID z ich schematami uwierzytelniania i szyfrowania na punktach dostępowych i telefonie.

Niektóre schematy uwierzytelniania wymagają określonych rodzajów szyfrowania.

Schematy uwierzytelniania i szyfrowania w poniższej tabeli przedstawiono opcje konfiguracji sieci dla Cisco Wireless Phone 9821 odpowiadające konfiguracji punktu dostępowego.

Cisco Wireless Phone 9821 obsługuje uwierzytelnianie 802.1X dla sieci przewodowych. Jest to zwykle używane podczas automatycznego udostępniania, gdy telefon jest podłączony do ładowarki stacjonar nej za pomocą obsługiwanego adaptera USB-to-Ethernet.

Obsługa uwierzytelniania 802.1X w sieciach przewodowych wymaga kilku następujących komponentów :

• Telefon IP Cisco: Telefon inicjuje żądanie dostępu do sieci. Telefony IP Cisco zawierają prośbę 802.1X. Ta prośba pozwala administratorom sieci kontrolować łączność telefonów IP z portami przełączników LAN. Obecna wersja telefonu 802.1X supplicant wykorzystuje opcje EAP-FAST i EAP-TLS do uwierzytelniania sieciowego.

• Serwer uwierzytelniania: Serwer uwierzytelniania i przełącznik muszą być skonfigurowane z użyciem wspólnej tajemnicy RADIUS.

• Przełącznik: Przełącznik musi obsługiwać 802.1X, aby mógł działać jako uwierzytelniacz i przekazywać wiadomości EAP między telefonem a serwerem uwierzytelniania. Po zakończeniu wymiany przełącznik przyznaje lub odmawia telefonowi dostępu do sieci.

Telefony IP Cisco i przełączniki Cisco Catalyst tradycyjnie używają Cisco Discovery Protocol (CDP) do wzajemnej identyfikacji i określania parametrów, takich jak alokacja sieci VLAN i wymagania dotyczące zasilania w sieci.

Aby skonfigurować 802.1X, należy wykonać następujące czynności.

• Skonfiguruj obejście głosowej sieci VLAN CDP/LLDP.

• Skonfiguruj serwer uwierzytelniania i przełącznik przed włączeniem uwierzytelniania 802.1X dla sieci przewodowych w telefonie.

• Konfigurowanie sieci VLAN głosowej: Ponieważ standard 802.1X nie uwzględnia sieci VLAN, należy skonfigurować to ustawienie w oparciu o obsługę przełączników.

  • Włączone: Jeśli używasz przełącznika obsługującego uwierzytelnianie wielodomenowe, możesz skonfigurować go tak, aby używał głosowej sieci VLAN.
  • Wyłączone: Jeśli przełącznik nie obsługuje uwierzytelniania wielodomenowego, wyłącz Voice VLAN i rozważ przypisanie portu do natywnej sieci VLAN.

• Cisco Wireless Phone 9821 ma inny prefiks w PID niż dla innych telefonów Cisco. Aby umożliwić telefonowi uwierzytelnianie 802.1X, ustaw parametr Radius · Nazwa użytkownika tak, aby zawierał telefon bezprzewodowy Cisco 9821.

  Na przykład identyfikator PID telefonu bezprzewodowego Cisco 9821 to WP-9821. Radius·Nazwa użytkownika można ustawić na Start with WPlub Contains WPw obu poniższych sekcjach:

  • Zasady > War unki > War unki biblioteki

  • Zasady > Zest awy zasad > Zasady autoryzacji > Reguła autoryzacji 1