Благодарим вас за обратную связь.

Функции безопасности защищают от угроз, в том числе в отношении идентификации телефона и данных. Эти функции формируют и поддерживают аутентифицированные потоки связи между телефоном и сервером Cisco Unified Communications Manager, а также гарантируют использование на телефонах только файлов, подписанных цифровой подписью.

ПО Cisco Unified Communications Manager выпуска 8.5(1) и выше предоставляет защиту по умолчанию, что позволяет использовать на телефонах Cisco IP следующие функции безопасности без запуска клиента CTL:

• подпись файлов конфигурации телефона;

• шифрование файлов конфигурации телефона;

• HTTPS с Tomcat и другими веб-службами.

Функции безопасности в системе Cisco Unified Communications Manager предотвращают кражу удостоверений телефона и сервера Cisco Unified Communications Manager, умышленное искажение данных и сигналов вызова, а также взлом медиапотока.

Для устранения этих угроз сеть IP-телефонии Cisco устанавливает и поддерживает потоки защищенной (зашифрованной) связи между телефоном и сервером, добавляет к файлам цифровую подпись, прежде чем они передаются на телефон, и шифрует медиапотоки и сигналы вызовов между телефонами Cisco IP.

Локально значимый сертификат (LSC) устанавливается на телефонах после выполнения необходимых задач, связанных с функцией прокси-сервера сертификационного центра (CAPF). Для настройки телефона LSC можно использовать команду Cisco Unified Communications Manager Administration, как описано в руководстве по безопасности Cisco Unified Communications Manager. Кроме того, можно инициировать установку LSC из меню «Безопасность » на телефоне. Это меню также позволяет обновлять или удалять локально значимый сертификат.

Телефоны используют профиль защиты телефона, который определяет, является ли устройство защищенным или незащищенным. Сведения о применении профиля безопасности к телефону см. в документации по конкретной версии Cisco Unified Communications Manager.

Если вы настроили параметры, связанные с безопасностью в Cisco Unified Communications Manager Administration, файл конфигурации телефона может содержать конфиденциальную информацию. В целях обеспечения конфиденциальности файла конфигурации необходимо настроить для него шифрование. Подробные сведения см. в документации по конкретной версии Cisco Unified Communications Manager.

В следующей таблице приведен обзор функций безопасности, поддерживаемых телефонами. Дополнительные сведения см. в документации по конкретной версии Cisco Unified Communications Manager.

В следующей таблице приведены оповещения об обновлении списка доверия и их значение. Дополнительные сведения см. в документации по Cisco Unified Communications Manager.

Если телефон защищен, можно определить защищенные телефонные вызовы по значкам на экране телефона. Также можно определить, является ли подключенный телефон защищенным и безопасным, если в начале вызова выдается тональный сигнал безопасности.

При защищенном вызове все сигналы вызова и медиапотоки шифруются. Защищенный вызов обеспечивает более высокий уровень безопасности, обеспечивая целостность вызова и его конфиденциальность. Если выполняющийся вызов зашифрован, вы видите значок защиты на линии.

В Cisco Unified Communications Manager телефонам, настроенным как защищенные (доверенные и зашифрованные), могут назначить защищенный статус. После защиты эти устройства могут быть настроены для воспроизведения тонального сигнала безопасности в начале каждого вызова.

• Защищенное устройство:

  Чтобы изменить статус защищенного телефона на защищенный, выполните следующие действия

  1. В Cisco Unified Communications Manager Administration выберите Устройство > Phone.
  2. Найдите телефон, который вы будете настроить.
  3. В окне «Конфигурация телефона» установите флажок « Защищенное устройство ».
  4. Нажмите Сохранить.

• Воспроизведение тонального сигнала индикации защищенности:

  Чтобы защищенный телефон воспроизводил тональный сигнал индикации защищенности или незащищенности:

  1. В Cisco Unified Communications Manager Administration выберите "Параметры системы > услуги".
  2. Выберите сервер, а затем службу Cisco CallManager .
  3. В области «Параметры для всего кластера» (Функция — тональный сигнал защищенности) задайте для параметра «Воспроизведение тонального сигнала» для указания статуса защищенного/незащищенного вызова значение True.
  4. Нажмите Сохранить.

Так как все устройства беспроводной сети, расположенные в пределах радиуса действия, могут получать весь остальной трафик беспроводной сети, обеспечение безопасности голосовой связи является критически важной задачей в беспроводных локальных сетях. Чтобы злоумышленники не могли манипулировать и не перехватывать голосовой трафик, телефон поддерживает архитектура Cisco SAFE Security. Дополнительные сведения о безопасности в сетях см. в разделе http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html

Решение телефонии для беспроводной сети Cisco IP обеспечивает защиту беспроводной сети и предотвращает несанкционированный вход и скомпрометируемые сообщения с помощью следующих методов аутентификации, поддерживаемых телефоном:

• Открытая аутентификация: в открытой системе любое беспроводное устройство может запросить аутентификацию. Точка доступа, которая получает запрос, может аутентифицировать любое запрашивающее лицо или только тех запрашивающих лиц, которые включены в список пользователей. Связь между беспроводным устройством и точкой доступа (точка доступа) может быть нешифровой.

• Аутентификация с помощью защищенного туннелирования (EAP-FAST) Аутентификация: эта архитектура безопасности клиент-сервер обеспечивает шифрование транзакций EAP в туннеле уровня безопасности на транспорте (TLS) между точкой доступа и сервером АУТЕНТИФИКАЦИИ,например Identity Services Engine (ISE).

  TLS-туннель использует учетные данные для защищенного доступа (PAC) для выполнения аутентификации между клиентом (телефоном) и сервером RADIUS. Сервер отправляет идентификатор AID клиенту (телефону), который в свою очередь выбирает подходящий PAC. Клиент (телефон) возвращает PAC-Opaque на сервер RADIUS. Сервер расшифровывает PAC с помощью первичного ключа. Обе конечные точки теперь имеют ключ PAC, и создается TLS-туннель. EAP-FAST поддерживает автоматическую подготовку PAC, однако вам необходимо включить ее на сервере RADIUS.

  В ISE по умолчанию PAC истекает в течение одной недели. Если в телефоне есть PAC с истекшим сроком действия, аутентификация на сервере RADIUS занимает дольше времени, пока телефон получает новый PAC. Чтобы избежать задержек с подготовкой PAC, задайте на сервере ISE или RADIUS срок действия PAC не менее 90 дней.

• Аутентификация по протоколу EAP-TLS: для аутентификации и предоставления доступа к сети протоколу EAP-TLS требуется сертификат клиента. Для беспроводной сети EAP-TLS сертификатом клиента может быть сертификат MIC, LSC, или установленный пользователем сертификат.

• Протокол PEAP: запатентованная Cisco схема взаимной аутентификации на основе пароля между клиентом (телефоном) и сервером RADIUS. Телефон может использовать PEAP для аутентификации с беспроводной сетью. Поддерживаются методы аутентификации PEAP-MSCHAPV2 и PEAP-GTC.

• Ключ до общего доступа (PSK): телефон поддерживает форматы ASCII и шестнадцатеричный (HEX). Эти форматы необходимо использовать при настройке предварительно общего доступа ключа WPA2/SAE.

  ASCII: строка ASCII-символов длиной от 8 до 63 символов (от 0 до 9, строчные буквы a-z, заглавные буквы A–Z и специальные символы). Например, GREG123567@9ZX&W.

  HEX: строка с hex-символами длиной 64 гессерич-цифры (0–9, a-f или A–F).

Следующие схемы аутентификации задействуют сервер RADIUS для управления ключами аутентификации:

• WPA2/WPA3: используются сведения с сервера RADIUS для создания уникальных ключей аутентификации. Поскольку эти ключи генерируются на централизованном сервере RADIUS, WPA2/WPA3 обеспечивает безопасность более высокого уровня, чем предварительные ключи WPA, которые хранятся в точке доступа и на телефоне.

• Быстрый безопасный роуминг: для управления ключами и их аутентификации используются сведения с сервера RADIUS и сервера домена беспроводной сети (WDS). WDS создает кэш учетных данных для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации.

При использовании WPA2/WPA3 ключи шифрования не вводятся на телефоне, а автоматически извлекаются между точкой доступа и телефоном. Однако имя пользователя и пароль EAP, которые используются для аутентификации, должны быть введены на каждом телефоне.

В целях защиты голосового трафика по беспроводному каналу телефон поддерживает шифрование на основе AES для аутентификации WPA2/WPA3. AES — симметричный шифр блока, стандартизированный NIST. AES использует фиксированный размер 128-битный блок и поддерживает ключи размеров 128 бит, 192 бит и 256 бит. В сетях Wi-Fi AES используется пакетами шифров, такими как CCMP или ГЦМП, а аутентификация предоставляется отдельно PSK, SAE или 802.1X/EAP в зависимости от настроенного режима безопасности WLAN. Поддерживаемый пакет шифров и размер ключа зависит от модели телефона и конфигурации WLAN.

Когда телефон использует шифрование AES, между точкой доступа и телефоном шифруются как сигнальные пакеты SIP, так и пакеты голосовой передачи в реальном времени (RTP).

Схемы аутентификации и шифрования настраиваются в беспроводной локальной сети. VLAN настраиваются в сети и в точках доступа и могут использовать разные комбинации аутентификации и шифрования. SSID связывается с VLAN и определенной схемой аутентификации и шифрования. Чтобы беспроводные клиентские устройства прошли успешную аутентификацию, необходимо настроить те же SSID со схемами аутентификации и шифрования на интернет-серверах и на телефоне.

Некоторые схемы аутентификации нуждаются в определенных типах шифрования.

Схемы аутентификации и шифрования, приведенные в следующей таблице, приведены параметры конфигурации сети для беспроводного телефона Cisco 9821, который соответствует конфигурации точки доступа.

Беспроводной телефон Cisco 9821 поддерживает аутентификацию 802.1X для проводных сетей. Обычно это используется при автоматической подготовке , когда телефон подключается к настольному зарядному устройству через поддерживаемый адаптер USB-to-Ethernet.

Для поддержки аутентификации 802.1X в проводных сетях требуются несколько компонентов, приведенных ниже

• Телефон Cisco IP: телефон инициирует запрос на доступ к сети. Телефоны Cisco IP содержат запрашивающее устройство 802.1X. Это запрашивающее устройство позволяет администраторам сети управлять подключением IP-телефонов к портам коммутатора локальной сети. Текущая версия запрашивающего устройства 802.1X на телефоне использует параметры EAP-FAST и EAP-TLS для аутентификации в сети.

• Сервер аутентификации: и сервер аутентификации, и коммутатор должны быть настроены с использованием общего секрета РАДИУС ДЕЙСТВИЯ(144).

• Коммутатор: коммутатор должен поддерживать 802.1X, чтобы он мог выполнять функции аутентификатора и ретранслировать сообщения EAP между телефоном и сервером аутентификации. По завершении обмена коммутатор предоставляет телефону доступ к сети или отказывает в доступе.

Телефоны Cisco IP и коммутаторы Cisco Catalyst традиционно используют протокол CDP для определения друг друга, а также таких параметров, как выделение VLAN и требования к питанию на линии.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройте CDP/LLDP обход голосового VLAN.

• Настройте сервер аутентификации и коммутатор, прежде чем включить аутентификацию 802.1X для проводных сетей на телефоне.

• Настройка голосовой VLAN: так как в стандарте 802.1X не учтены виртуальные локальные сети (VLAN), необходимо настроить этот параметр в зависимости от характеристик коммутатора.

  • Включено: если вы используете коммутатор, который поддерживает аутентификацию в нескольких доменах, можно настроить его на использование голосовой VLAN.
  • Отключено: если коммутатор не поддерживает аутентификацию в нескольких доменах, отключите голосовую VLAN и рассмотрите возможность назначения этого порта обычной VLAN.

• Cisco беспроводной телефон 9821 имеет в PID другой префикс, чем для других телефонов Cisco. Чтобы телефон мог проходить аутентификацию 802.1X, задайте «Радиус» Параметр «Имя пользователя» для добавления параметра Cisco беспроводного телефона 9821.

  Например, PID для Cisco беспроводного телефона 9821 имеет значение WP-9821. Можно настроить Радиус. Имя пользователя для начала с WP или содержит WP в обоих следующих разделах:

  • Политика > Кондиции > Обусловы по лизме

  • Политика > Наборы политики> Политика аутентификации> Правило 1