Благодарим вас за обратную связь.

Функции безопасности защищают от угроз, включая угрозы идентификации телефона и данных. Эти функции обеспечивают и поддерживают аутентифицированные каналы связи между телефоном и Cisco Unified Communications Manager сервером и обеспечивают использование в телефоне только файлов с цифровой подписью.

Cisco Unified Communications ManagerВерсия 8.5 (1) и более поздние версии по умолчанию включают функцию безопасности, которая предоставляет следующие функции безопасности для телефонов Cisco IP без запуска клиента CTL:

• Подписание файлов конфигурации телефона

• Шифрование файлов конфигурации телефона

• HTTPS с помощью Tomcat и других веб-сервисов

Внедрение мер безопасности в Cisco Unified Communications Manager систему предотвращает кражу личных данных телефона и Cisco Unified Communications Manager сервера, предотвращает фальсификацию данных, сигнализацию вызовов и подделку медиапотоков.

Для устранения этих угроз сеть IP-телефонии Cisco создает и поддерживает безопасные (зашифрованные) потоки связи между телефоном и сервером, подписывает файлы цифровой подписью перед их передачей на телефон и шифрует медиапотоки и сигналы вызовов между телефонами Cisco IP Phone.

Сертификат локального значения (LSC) устанавливается на телефоны после выполнения необходимых задач, связанных с функцией Certificate Authority прокси-сервера (CAPF). Можно использовать Cisco Unified Communications Manager Administration для настройки LSC, как описано в руководстве по Cisco Unified Communications Manager безопасности. Кроме того, вы можете начать установку LSC из меню « Безопасность» на телефоне. В этом меню также можно обновить или удалить LSC.

В телефонах используется профиль безопасности телефона, который определяет, является ли устройство небезопасным или защищенным. Сведения о применении профиля безопасности к телефону см. в документации к конкретной Cisco Unified Communications Manager версии.

Если вы настроите параметры, связанные с безопасностьюCisco Unified Communications Manager Administration, в файле конфигурации телефона содержится конфиденциальная информация. Чтобы обеспечить конфиденциальность файла конфигурации , необходимо настроить его на шифрование. Подробные сведения см. в документации к конкретной Cisco Unified Communications Manager версии.

В следующей таблице представлен обзор функций безопасности, поддерживаемых телефонами. Дополнительные сведения см. в документации к конкретной версии. Cisco Unified Communications Manager

В следующей таблице приведены аварийные сообщения об обновлении списка доверия и их значение. Дополнительные сведения см. в Cisco Unified Communications Manager документации.

Когда на телефоне реализована защита, вы можете идентифицировать защищенные телефонные звонки с помощью значков на экране телефона. Вы также можете определить, защищен ли подключенный телефон, если в начале вызова звучит звуковой сигнал безопасности.

При защищенном вызове все сигналы вызова и медиапотоки зашифрованы. Защищенный вызов обеспечивает высокий уровень безопасности, обеспечивая целостность и конфиденциальность вызова. Если входящий звонок зашифрован, на линии отображается значок безопасности.

В частностиCisco Unified Communications Manager, телефонам, настроенным как безопасные (зашифрованные и надежные), можно присвоить статус защищенных. После защиты эти устройства можно настроить на воспроизведение звукового сигнала безопасности в начале каждого вызова.

• Защищенное устройство:

  Чтобы изменить статус защищенного телефона на защищенный, выполните следующие действия:

  1. В Cisco Unified Communications Manager Administration появившемся окне выберите «Устройство» > «Телефон».
  2. Найдите телефон, который вы хотите настроить.
  3. В окне «Конфигурация телефона» установите флажок «Защищенное устройство».
  4. Нажмите кнопку «Сохранить».

• Воспроизведите безопасный звуковой сигнал индикации:

  Чтобы на защищенном телефоне можно было воспроизводить безопасный или небезопасный сигнал индикации, выполните следующие действия:

  1. В Cisco Unified Communications Manager Administration окне выберите Система > Параметры обслуживания.
  2. Выберите сервер, а затем Cisco CallManager сервис.
  3. В области «Общекластерные параметры» (функция — звуковой сигнал безопасности) задайте для параметра «Звуковой сигнал воспроизведения» значение True, указывающее на состояние защищенного/незащищенного вызова.
  4. Нажмите кнопку «Сохранить».

Поскольку все устройства WLAN, находящиеся в пределах досягаемости, могут принимать весь другой трафик WLAN, обеспечение голосовой связи крайне важно в беспроводных локальных сетях. Чтобы злоумышленники не могли манипулировать голосовым трафиком и не перехватывать его, архитектура Cisco SAFE Security поддерживает телефон. Дополнительные сведения о безопасности в сетях см. на сайте http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Решение Cisco Wireless IP Telephony обеспечивает безопасность беспроводной сети, предотвращающую несанкционированный вход и скомпрометированную связь с помощью следующих методов аутентификации, поддерживаемых телефоном.

• Открытая аутентификация. Любое беспроводное устройство может запросить аутентификацию в открытой системе. Точка доступа, получившая запрос, может предоставить аутентификацию любому отправителю запроса или только тем, кто указан в списке пользователей. Связь между беспроводным устройством и точкой доступа (AP) может быть незашифрованной.

• Расширяемый протокол аутентификации. Гибкая аутентификация с помощью аутентификации с помощью безопасного туннелирования (EAP-FAST): эта архитектура безопасности клиент-сервер шифрует транзакции EAP в туннеле TLS между точкой доступа и сервером RADIUS, например Identity Services Engine (ISE).

  Туннель TLS использует учетные данные защищенного доступа (PACs) для аутентификации между клиентом (телефоном) и сервером RADIUS. Сервер отправляет клиенту (телефону) идентификатор авторитета (AID), который, в свою очередь, выбирает подходящий PAC. Клиент (телефон) возвращает серверу RADIUS непрозрачный PAC-файл. Сервер расшифровывает PAC с помощью первичного ключа. Обе конечные точки теперь содержат ключ PAC, и создается туннель TLS. EAP-FAST поддерживает автоматическую инициализацию PAC, но ее необходимо включить на сервере RADIUS.

  В ISE срок действия PAC по умолчанию истекает через неделю. Если у телефона истек срок действия PAC, аутентификация на сервере RADIUS займет больше времени, пока телефон получит новый PAC. Чтобы избежать задержек с выделением PAC, установите срок действия PAC на сервере ISE или RADIUS на 90 дней или более.

• Аутентификация по протоколу расширяемой аутентификации и безопасности транспортного уровня (EAP-TLS). Для аутентификации и доступа к сети EAP-TLS требуется сертификат клиента. Для беспроводного протокола EAP-TLS клиентским сертификатом может быть MIC, LSC или сертификат, установленный пользователем.

• Защищенный расширяемый протокол аутентификации (PEAP): запатентованная Cisco схема взаимной аутентификации на основе паролей между клиентом (телефоном) и сервером RADIUS. Телефон может использовать PEAP для аутентификации в беспроводной сети. Поддерживаются методы аутентификации PEAP-MSCHAPV2 и PEAP-GTC.

• Предварительный общий ключ (PSK): телефон поддерживает форматы ASCII и шестнадцатеричный (HEX). Эти форматы необходимо использовать при настройке предварительно используемого ключа WPA2/SAE.

  ASCII: строка символов ASCII длиной от 8 до 63 символов (0-9, строчные буквы a-z, прописные A-Z и специальные символы). Например, GREG123567@9ZX&W.

  HEX: строка из шестнадцатеричных символов длиной 64 шестнадцатеричных цифры (0-9, a-f или A-F).

В следующих схемах аутентификации сервер RADIUS используется для управления ключами аутентификации:

• WPA2/WPA3: использует информацию о сервере RADIUS для создания уникальных ключей для аутентификации. Поскольку эти ключи генерируются на централизованном сервере RADIUS, WPA2/WPA3 обеспечивает большую безопасность, чем предварительные общие ключи WPA, хранящиеся на точке доступа и телефоне.

• Быстрый безопасный роуминг: использует данные сервера RADIUS и беспроводного доменного сервера (WDS) для управления ключами и их аутентификации. WDS создает кэш учетных данных безопасности для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации.

При использовании WPA2/WPA3 ключи шифрования не вводятся на телефоне, а автоматически передаются между точкой доступа и телефоном. Но имя пользователя и пароль EAP, используемые для аутентификации, должны быть введены на каждом телефоне.

Чтобы защитить голосовой трафик по беспроводной сети, телефон поддерживает шифрование на основе AES для аутентификации WPA2/WPA3. AES — это симметричный блочный шифр, стандартизированный NIST. AES использует фиксированный 128-битный размер блока и поддерживает ключи размером 128, 192 и 256 бит. В сетях Wi-Fi AES используется наборами шифров, такими как CCMP или GCMP, а аутентификация осуществляется отдельно с помощью PSK, SAE или 802.1X/EAP в зависимости от настроенного режима безопасности WLAN. Поддерживаемый набор шифров и размер ключа зависят от модели телефона и конфигурации WLAN.

Когда в телефоне используется шифрование AES, между точкой доступа и телефоном шифруются как сигнальные пакеты SIP, так и пакеты голосового транспортного протокола реального времени (RTP).

Схемы аутентификации и шифрования настроены в беспроводной локальной сети. VLAN настраиваются в сети и на точках доступа и предусматривают различные комбинации аутентификации и шифрования. SSID связан с VLAN и конкретной схемой аутентификации и шифрования. Для успешной аутентификации беспроводных клиентских устройств необходимо настроить одинаковые идентификаторы SSID со схемами аутентификации и шифрования на точках доступа и на телефоне.

Некоторые схемы аутентификации требуют определенных типов шифрования.

Схемы аутентификации и шифрования, приведенные в следующей таблице, показывают параметры конфигурации сети для беспроводного телефона Cisco Wireless Phone 9821, соответствующие конфигурации точки доступа.

Беспроводной телефон Cisco 9821 поддерживает аутентификацию 802.1X для проводных сетей. Обычно это используется при автоматическом выделении ресурсов, когда телефон подключается к настольному зарядному устройству через поддерживаемый адаптер USB-Ethernet.

Для поддержки аутентификации 802.1X в проводных сетях требуется несколько следующих компонентов:

• Телефон Cisco IP: телефон инициирует запрос на доступ к сети. Телефоны Cisco IP содержат запрашивающий сигнал 802.1X. Этот заявитель позволяет сетевым администраторам управлять подключением IP-телефонов к портам коммутатора локальной сети. В текущей версии телефона, запрашивающей стандарт 802.1X, для сетевой аутентификации используются опции EAP-FAST и EAP-TLS.

• Сервер аутентификации: как сервер аутентификации, так и коммутатор должны быть настроены с использованием общего секрета RADIUS.

• Коммутатор: коммутатор должен поддерживать стандарт 802.1X, чтобы он мог выполнять роль аутентификатора и передавать сообщения EAP между телефоном и сервером аутентификации. После завершения обмена коммутатор предоставляет или отказывает телефону в доступе к сети.

Телефоны Cisco IP и коммутаторы Cisco Catalyst традиционно используют Cisco Discovery Protocol технологию CDP для идентификации друг друга и определения таких параметров, как распределение VLAN и требования к встроенному питанию.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройте обход голосовой сети VLAN CDP/LLDP.

• Настройте сервер аутентификации и коммутатор, прежде чем включить аутентификацию 802.1X для проводных сетей на телефоне.

• Настройте голосовую сеть VLAN: поскольку стандарт 802.1X не учитывает VLAN, вам следует настроить этот параметр в зависимости от поддержки коммутатора.

  • Включено: если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете настроить его на использование голосовой сети VLAN.
  • Отключено: если коммутатор не поддерживает многодоменную аутентификацию, отключите голосовую сеть VLAN и попробуйте назначить порт собственной сети VLAN.

• Префикс PID беспроводного телефона Cisco 9821 отличается от префикса других телефонов Cisco. Чтобы телефон прошел аутентификацию 802.1X, задайте параметр Radius·User-Name так, чтобы он включал беспроводной телефон Cisco 9821.

  Например, PID беспроводного телефона Cisco 9821 равен WP-9821. Для Start with WPпараметра Radius·User-Name можно задать значение или оба следующих раздела: Contains WP

  • Политика > Условия > Условия использования библиотеки

  • Политика > Наборы политик > Политика авторизации > Правило авторизации 1