Cisco Unified Communications Manager môžete povoliť, aby fungoval v prostredí s rozšíreným zabezpečením. Vďaka týmto vylepšeniam bude vaša telefónna sieť fungovať pod prísnymi kontrolami zabezpečenia a riadenia rizík na ochranu vás a vašich používateľov.

Prostredie vylepšeného zabezpečenia obsahuje nasledujúce funkcie:

  • Overenie vyhľadávania kontaktov.

  • TCP ako predvolený protokol pre protokolovanie vzdialeného auditu.

  • režim FIPS.

  • Vylepšená politika poverení.

  • Podpora pre rodinu hashov SHA-2 pre digitálne podpisy.

  • Podpora veľkosti kľúča RSA 512 bitov a 4096 bitov.

S verziou Cisco Unified Communications Manager Release 14.0 a verziou firmvéru Cisco Video Phone 2.1 a novšie, telefóny podporujú autentifikáciu SIP OAuth.

OAuth je podporovaný pre Proxy Trivial File Transfer Protocol (TFTP) s Cisco Unified Communications Manager Release 14.0(1)SU1 alebo novším. Proxy TFTP a OAuth pre proxy TFTP nie sú podporované v mobilnom vzdialenom prístupe (MRA).

Ďalšie informácie o zabezpečení nájdete v nasledujúcej časti:

Váš telefón môže uložiť iba obmedzený počet súborov zoznamu dôveryhodných identít (ITL). Súbory ITL nemôžu v telefóne presiahnuť 64 kB, preto obmedzte počet súborov, ktoré Cisco Unified Communications Manager odosiela do telefónu.

Podporované funkcie zabezpečenia

Bezpečnostné funkcie chránia pred hrozbami vrátane ohrozenia identity telefónu a údajov. Tieto funkcie vytvárajú a udržiavajú overené komunikačné toky medzi telefónom a serverom Cisco Unified Communications Manager a zabezpečujú, že telefón používa iba digitálne podpísané súbory.

Cisco Unified Communications Manager Release 8.5(1) a novšie obsahuje štandardne zabezpečenie, ktoré poskytuje nasledujúce bezpečnostné funkcie pre Cisco IP telefóny bez spustenia klienta CTL:

  • Podpisovanie konfiguračných súborov telefónu

  • Šifrovanie konfiguračného súboru telefónu

  • HTTPS s Tomcatom a ďalšími webovými službami

Funkcie bezpečnej signalizácie a médií stále vyžadujú spustenie klienta CTL a používanie hardvérových eTokenov.

Implementácia zabezpečenia v systéme Cisco Unified Communications Manager zabraňuje krádeži identity telefónu a servera Cisco Unified Communications Manager, zabraňuje manipulácii s údajmi a zabraňuje signalizácii hovorov a manipulácii s mediálnym tokom.

Na zmiernenie týchto hrozieb Cisco IP telefónna sieť vytvára a udržiava bezpečné (šifrované) komunikačné toky medzi telefónom a serverom, digitálne podpisuje súbory pred ich prenosom do telefónu a šifruje mediálne toky a signalizáciu hovorov medzi Cisco IP telefónmi.

Lokálne významný certifikát (LSC) sa nainštaluje do telefónov po vykonaní potrebných úloh, ktoré súvisia s funkciou proxy certifikačnej autority (CAPF). Na konfiguráciu LSC môžete použiť správu Cisco Unified Communications Manager, ako je popísané v príručke zabezpečenia Cisco Unified Communications Manager. Prípadne môžete spustiť inštaláciu LSC z ponuky Nastavenia zabezpečenia v telefóne. Táto ponuka vám tiež umožňuje aktualizovať alebo odstrániť LSC.

LSC nemožno použiť ako užívateľský certifikát pre EAP-TLS s overením WLAN.

Telefóny používajú bezpečnostný profil telefónu, ktorý definuje, či je zariadenie nezabezpečené alebo zabezpečené. Informácie o použití bezpečnostného profilu v telefóne nájdete v dokumentácii k vašej konkrétnej verzii Cisco Unified Communications Manager.

Ak v správe Cisco Unified Communications Manager nakonfigurujete nastavenia súvisiace so zabezpečením, konfiguračný súbor telefónu obsahuje citlivé informácie. Ak chcete zabezpečiť súkromie konfiguračného súboru, musíte ho nakonfigurovať na šifrovanie. Podrobné informácie nájdete v dokumentácii k vašej konkrétnej verzii Cisco Unified Communications Manager.

Telefón je v súlade s Federal Information Processing Standard (FIPS). Na správne fungovanie vyžaduje režim FIPS veľkosť kľúča 2048 bitov alebo viac. Ak je certifikát menší ako 2 048 bitov, telefón sa nezaregistruje v aplikácii Cisco Unified Communications Manager a Registrácia telefónu zlyhala. Veľkosť kľúča certifikátu nie je v súlade s normou FIPS na displeji telefónu.

Ak má telefón LSC, musíte pred povolením FIPS aktualizovať veľkosť kľúča LSC na 2048 bitov alebo viac.

Nasledujúca tabuľka poskytuje prehľad funkcií zabezpečenia, ktoré telefóny podporujú. Ďalšie informácie nájdete v dokumentácii konkrétneho vydania aplikácie Cisco Unified Communications Manager.

Ak chcete zobraziť režim zabezpečenia, stlačte tlačidlo Nastavenia pevný kláves Nastavenia a prejdite na položku Sieť a služba > Nastavenia zabezpečenia.

Tabuľka č. 1 Prehľad bezpečnostných prvkov

Funkcia

Opis

Overenie obrazu

Podpísané binárne súbory zabraňujú manipulácii s obrazom firmvéru pred načítaním obrazu do telefónu.

Manipulácia s obrázkom spôsobí, že telefón zlyhá v procese overovania a odmietne nový obrázok.

Inštalácia certifikátu stránky zákazníka

Každý Cisco IP telefón vyžaduje jedinečný certifikát na autentifikáciu zariadenia. Telefóny obsahujú certifikát nainštalovaný vo výrobe (MIC), ale pre zvýšenú bezpečnosť môžete inštaláciu certifikátu špecifikovať v správe Cisco Unified Communications Manager pomocou funkcie Certificate Authority Proxy (CAPF). Prípadne si môžete nainštalovať lokálne významný certifikát (LSC) z ponuky Konfigurácia zabezpečenia v telefóne.

Autentifikácia zariadenia

Vyskytuje sa medzi serverom Cisco Unified Communications Manager a telefónom, keď každá entita prijme certifikát druhej entity. Určuje, či má dôjsť k zabezpečenému spojeniu medzi telefónom a Cisco Unified Communications Manager; a v prípade potreby vytvorí bezpečnú signalizačnú cestu medzi entitami pomocou protokolu TLS. Cisco Unified Communications Manager neregistruje telefóny, pokiaľ ich nedokáže overiť.

Overenie súboru

Overí digitálne podpísané súbory, ktoré telefón stiahne. Telefón overí podpis, aby sa uistil, že po vytvorení súboru nedošlo k manipulácii so súborom. Súbory, ktoré zlyhali pri overení, sa nezapisujú do pamäte Flash v telefóne. Telefón takéto súbory odmietne bez ďalšieho spracovania.

Šifrovanie súborov

Šifrovanie zabraňuje odhaleniu citlivých informácií počas prenosu súboru do telefónu. Okrem toho telefón overí podpis, aby sa uistil, že po vytvorení súboru nedošlo k manipulácii so súborom. Súbory, ktoré zlyhali pri overení, sa nezapisujú do pamäte Flash v telefóne. Telefón takéto súbory odmietne bez ďalšieho spracovania.

Signalizačné overenie

Používa protokol TLS na overenie, že počas prenosu nedošlo k žiadnej manipulácii so signalizačnými paketmi.

Výroba inštalovaného certifikátu

Každý IP telefón Cisco obsahuje jedinečný výrobný inštalovaný certifikát (MIC), ktorý sa používa na overenie totožnosti zariadenia. MIC poskytuje trvalý jedinečný dôkaz identity pre telefón a umožňuje aplikácii Cisco Unified Communications Manager autentifikovať telefón.

Šifrovanie médií

Používa SRTP na zaistenie toho, že mediálne toky medzi podporovanými zariadeniami sú bezpečné a že údaje prijíma a číta iba určené zariadenie. Zahŕňa vytvorenie páru primárnych kľúčov médií pre zariadenia, doručenie kľúčov do zariadení a zabezpečenie doručenia kľúčov počas prepravy kľúčov.

CAPF (funkcia proxy certifikačnej autority)

Implementuje časti procedúry generovania certifikátu, ktoré sú pre telefón príliš náročné na spracovanie, a interaguje s telefónom pri generovaní kľúča a inštalácii certifikátu. CAPF možno nakonfigurovať tak, aby v mene telefónu vyžadoval certifikáty od certifikačných autorít špecifikovaných zákazníkom, alebo ho možno nakonfigurovať na lokálne generovanie certifikátov.

Podporované sú oba typy kľúčov EC (Eliptical Curve) aj RSA. Ak chcete použiť kľúč EC, uistite sa, že je povolený parameter „Podpora pokročilých šifrovacích algoritmov koncového bodu“ (z časti Systém > Parameter podniku).

Ďalšie informácie o CAPF a súvisiacich konfiguráciách nájdete v nasledujúcich dokumentoch:

Bezpečnostný profil

Definuje, či je telefón nezabezpečený, overený, šifrovaný alebo chránený. Ďalšie položky v tejto tabuľke popisujú funkcie zabezpečenia.

Šifrované konfiguračné súbory

Umožňuje vám zabezpečiť súkromie konfiguračných súborov telefónu.

Voliteľné vypnutie webového servera pre telefón

Z bezpečnostných dôvodov môžete zabrániť prístupu na webové stránky pre telefón (ktoré zobrazujú rôzne prevádzkové štatistiky pre telefón) a samoobslužný portál.

Kalenie telefónu

Ďalšie možnosti zabezpečenia, ktoré ovládate v správe Cisco Unified Communications Manager:

  • Vypnutie PC portu
  • Zakázanie bezplatného ARP (GARP)
  • Zakázanie prístupu PC Voice VLAN
  • Zakázanie prístupu do ponuky nastavení alebo poskytnutie obmedzeného prístupu
  • Zakázanie prístupu k webovým stránkam pre telefón
  • Deaktivácia portu príslušenstva Bluetooth
  • Obmedzenie TLS šifier

Overenie 802.1X

IP telefón Cisco môže použiť autentifikáciu 802.1X na vyžiadanie a získanie prístupu k sieti. Ďalšie informácie nájdete v časti Overenie 802.1X .

Secure SIP Failover pre SRST

Po nakonfigurovaní referencie SRST (Survivable Remote Site Telephony) na zabezpečenie a potom resetovaní závislých zariadení v správe Cisco Unified Communications Manager, server TFTP pridá certifikát SRST do súboru cnf.xml telefónu a odošle súbor do telefónu. Zabezpečený telefón potom používa pripojenie TLS na interakciu so smerovačom s povoleným SRST.

Šifrovanie signalizácie

Zabezpečuje, že všetky signalizačné správy SIP odosielané medzi zariadením a serverom Cisco Unified Communications Manager sú šifrované.

Alarm aktualizácie zoznamu dôveryhodných informácií

Keď sa v telefóne aktualizuje zoznam dôveryhodných používateľov, Cisco Unified Communications Manager dostane alarm, ktorý informuje o úspechu alebo zlyhaní aktualizácie. Ďalšie informácie nájdete v nasledujúcej tabuľke.

Šifrovanie AES 256

Po pripojení k Cisco Unified Communications Manager Release 10.5(2) a novším telefóny podporujú podporu šifrovania AES 256 pre TLS a SIP pre signalizáciu a šifrovanie médií. To umožňuje telefónom iniciovať a podporovať pripojenia TLS 1.2 pomocou šifier založených na AES-256, ktoré sú v súlade so štandardmi SHA-2 (Secure Hash Algorithm) a sú v súlade s federálnymi štandardmi spracovania informácií (FIPS). Medzi šifry patria:

  • Pre pripojenia TLS:
    • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • Pre sRTP:
    • AEAD_AES_256_GCM
    • AEAD_AES_128_GCM

Ďalšie informácie nájdete v dokumentácii Cisco Unified Communications Manager.

Certifikáty ECDSA (Eliptic Curve Digital Signature Algorithm).

Ako súčasť certifikácie Common Criteria (CC), Cisco Unified Communications Manager; pridané certifikáty ECDSA vo verzii 11.0. Ovplyvní to všetky produkty operačného systému Voice (VOS) so systémom CUCM 11.5 a novšími verziami.

Certifikát Tomcat pre viacero serverov (SAN) s Cisco UCM

Telefón podporuje Cisco UCM s nakonfigurovanými certifikátmi Tomcat pre viacero serverov (SAN). Správnu adresu servera TFTP možno nájsť v súbore ITL telefónu na registráciu telefónu.

Ďalšie informácie o tejto funkcii nájdete v nasledujúcich častiach:

Nasledujúca tabuľka obsahuje alarmové hlásenia a význam aktualizácie zoznamu dôveryhodných údajov. Ďalšie informácie nájdete v dokumentácii Cisco Unified Communications Manager.

Tabuľka 2 Alarmové správy o aktualizácii zoznamu dôveryhodných informácií
Kód a správa Opis

1 – TL_ÚSPECH

Prijaté nové CTL a/alebo ITL

2 – CTL_POČIATOČNÝ_ÚSPECH

Prijaté nové CTL, žiadne existujúce TL

3 – ITL_POČIATOČNÝ_ÚSPECH

Prijaté nové ITL, žiadne existujúce TL

4 – TL_POČIATOČNÝ_ÚSPECH

Prijaté nové CTL a ITL, žiadne existujúce TL

5 – TL_ZLYHANÉ_STARÉ_CTL

Aktualizácia na nový CTL zlyhala, ale máte predchádzajúci TL

6 – TL_ZLYHALO_NIE_TL

Aktualizácia na nový TL zlyhala a nemáte žiadne staré TL

7 – TL_ZLYHALO

Všeobecné zlyhanie

8 – TL_FAILED_OLD_ITL

Aktualizácia na nový ITL zlyhala, ale máte predchádzajúci TL

9 – TL_ZLYHANÉ_STARÉ_TL

Aktualizácia na nový TL zlyhala, ale máte predchádzajúci TL

Ponuka Security Setup poskytuje informácie o rôznych nastaveniach zabezpečenia. Ponuka tiež poskytuje prístup k ponuke zoznamu dôveryhodných údajov a označuje, či je v telefóne nainštalovaný súbor CTL alebo ITL.

Nasledujúca tabuľka popisuje možnosti v ponuke Nastavenie zabezpečenia.

Tabuľka 3. Ponuka nastavenia zabezpečenia

Možnosť

Opis

Ak chcete zmeniť

Bezpečnostný režim

Zobrazuje bezpečnostný režim nastavený pre telefón.

V správe Cisco Unified Communications Manager vyberte položky Zariadenie > Telefón. Nastavenie sa zobrazí v časti Špecifické informácie protokolu v okne Konfigurácia telefónu.

LSC

Označuje, či je v telefóne nainštalovaný lokálne významný certifikát, ktorý sa používa pre bezpečnostné funkcie (nainštalovaný) alebo nie je v telefóne nainštalovaný (nenainštalovaný).

Informácie o tom, ako spravovať LSC pre váš telefón, nájdete v dokumentácii pre konkrétne vydanie Cisco Unified Communications Manager.

Nastavenie lokálne významného certifikátu (LSC)

Táto úloha sa vzťahuje na nastavenie LSC s metódou autentifikačného reťazca.

Skôr ako začnete

Uistite sa, že sú príslušné bezpečnostné konfigurácie Cisco Unified Communications Manager a CAPF (Certificate Authority Proxy Function) dokončené:

  • Súbor CTL alebo ITL má certifikát CAPF.

  • V správe operačného systému Cisco Unified Communications skontrolujte, či je nainštalovaný certifikát CAPF.

  • CAPF je spustený a nakonfigurovaný.

Ďalšie informácie o týchto nastaveniach nájdete v dokumentácii pre konkrétne vydanie aplikácie Cisco Unified Communications Manager.

1

Získajte overovací kód CAPF, ktorý bol nastavený pri konfigurácii CAPF.

2

Na telefóne stlačte tlačidlo Nastavenia pevný kláves Nastavenia.

3

Ak sa zobrazí výzva, zadajte heslo na prístup do ponuky Nastavenia . Heslo môžete získať od správcu.

4

Prejdite na položku Sieť a služba > Nastavenia zabezpečenia > LSC.

Prístup k ponuke Nastavenia môžete ovládať pomocou poľa Prístup k nastaveniam v správe Cisco Unified Communications Manager.

5

Zadajte overovací reťazec a vyberte možnosť Odoslať.

Telefón začne inštalovať, aktualizovať alebo odstraňovať LSC v závislosti od toho, ako je nakonfigurovaný CAPF. Po dokončení postupu sa na telefóne zobrazí Nainštalované alebo Nenainštalované.

Proces inštalácie, aktualizácie alebo odstránenia LSC môže trvať dlho.

Keď je postup inštalácie telefónu úspešný, zobrazí sa správa Nainštalované . Ak sa na telefóne zobrazí správa Nie je nainštalované, autorizačný reťazec môže byť nesprávny alebo inovácia telefónu nemusí byť povolená. Ak operácia CAPF odstráni LSC, telefón zobrazí správu Nenainštalované , čo znamená, že operácia bola úspešná. Server CAPF zaznamená chybové hlásenia. Pozrite si dokumentáciu servera CAPF, kde nájdete protokoly a pochopíte význam chybových správ.

Povoliť režim FIPS

1

V správe Cisco Unified Communications Manager vyberte položky Zariadenie > Telefón a nájdite telefón.

2

Prejdite do oblasti Konfigurácia špecifická pre produkt .

3

Nastavte pole Režim FIPS na hodnotu Povolené.

4

Vyberte možnosť Uložiť.

5

Vyberte možnosť Použiť konfiguráciu.

6

Reštartujte telefón.

Vypnite hlasitý odposluch, náhlavnú súpravu a slúchadlo na telefóne

Máte možnosť natrvalo vypnúť hlasitý odposluch, náhlavnú súpravu a slúchadlo na telefóne pre svojho používateľa.

1

V správe Cisco Unified Communications Manager vyberte položky Zariadenie > Telefón a nájdite telefón.

2

Prejdite do oblasti Konfigurácia špecifická pre produkt .

3

Začiarknutím jedného alebo viacerých z nasledujúcich políčok vypnete možnosti telefónu:

  • Zakázať hlasitý odposluch
  • Zakázať hlasitý odposluch a náhlavnú súpravu
  • Zakázať slúchadlo

V predvolenom nastavení sú tieto políčka nezačiarknuté.

4

Vyberte možnosť Uložiť.

5

Vyberte možnosť Použiť konfiguráciu.

Overenie 802.1X

IP telefóny Cisco podporujú autentifikáciu 802.1X.

IP telefóny Cisco a prepínače Cisco Catalyst tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určenie parametrov, ako je pridelenie VLAN a požiadavky na napájanie. CDP neidentifikuje lokálne pripojené pracovné stanice. IP telefóny Cisco poskytujú mechanizmus prechodu EAPOL. Tento mechanizmus umožňuje pracovnej stanici pripojenej k IP telefónu Cisco odovzdávať správy EAPOL autentifikátoru 802.1X na prepínači LAN. Mechanizmus prechodu zaisťuje, že IP telefón nepôsobí ako LAN prepínač na autentifikáciu dátového koncového bodu pred prístupom k sieti.

IP telefóny Cisco tiež poskytujú mechanizmus odhlásenia proxy EAPOL. Ak sa lokálne pripojený počítač odpojí od IP telefónu, prepínač LAN nevidí zlyhanie fyzického spojenia, pretože spojenie medzi prepínačom LAN a IP telefónom je zachované. Aby sa predišlo narušeniu integrity siete, IP telefón odošle do prepínača správu EAPOL-Logoff v mene nadradeného PC, ktorá spustí prepínač LAN, aby vymazal autentifikačnú položku pre nadradený PC.

Podpora autentifikácie 802.1X vyžaduje niekoľko komponentov:

  • IP telefón Cisco: Telefón spustí požiadavku na prístup k sieti. IP telefóny Cisco obsahujú žiadateľa 802.1X. Tento žiadateľ umožňuje správcom siete ovládať pripojenie IP telefónov k portom prepínača LAN. Aktuálne vydanie telefónneho žiadateľa 802.1X používa možnosti EAP-FAST a EAP-TLS na sieťovú autentifikáciu.

  • Autentifikačný server: Overovací server aj prepínač musia byť nakonfigurované so zdieľaným tajným kľúčom, ktorý overuje telefón.

  • Prepínač: Prepínač musí podporovať 802.1X, takže môže fungovať ako autentifikátor a posielať správy medzi telefónom a autentifikačným serverom. Po dokončení výmeny prepínač povolí alebo zamietne telefónu prístup do siete.

Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.

  • Pred povolením overenia 802.1X v telefóne nakonfigurujte ostatné komponenty.

  • Konfigurácia portu PC: Štandard 802.1X nezohľadňuje siete VLAN, a preto odporúča, aby sa na konkrétny port prepínača autentifikovalo iba jedno zariadenie. Niektoré prepínače však podporujú viacdoménové overenie. Konfigurácia prepínača určuje, či môžete k PC portu telefónu pripojiť počítač.

    • Povolené: Ak používate prepínač, ktorý podporuje viacdoménové overenie, môžete povoliť port počítača a pripojiť k nemu počítač. V tomto prípade Cisco IP telefóny podporujú proxy EAPOL-Logoff na monitorovanie výmeny autentifikácie medzi prepínačom a pripojeným počítačom.

      Ďalšie informácie o podpore IEEE 802.1X na prepínačoch Cisco Catalyst nájdete v sprievodcoch konfiguráciou prepínačov Cisco Catalyst na adrese:

      http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

    • Zakázané: Ak prepínač nepodporuje viacero zariadení kompatibilných s 802.1X na rovnakom porte, mali by ste zakázať port PC, keď je povolené overenie 802.1X. Ak tento port nevypnete a potom sa k nemu nepokúsite pripojiť počítač, prepínač odmietne sieťový prístup k telefónu aj k počítaču.

  • Konfigurácia Voice VLAN: Pretože štandard 802.1X nezohľadňuje siete VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínača.
    • Povolené: Ak používate prepínač, ktorý podporuje viacdoménové overenie, môžete v ňom pokračovať a používať hlasovú VLAN.
    • Zakázané: Ak prepínač nepodporuje viacdoménové overenie, deaktivujte Voice VLAN a zvážte priradenie portu k natívnej VLAN.
  • (Len pre stolný telefón Cisco radu 9800)

    Cisco Desk Phone 9800 Series má inú predponu v PID ako ostatné telefóny Cisco. Ak chcete, aby váš telefón prešiel overením 802.1X, nastavte parameter Radius·User-Name tak, aby zahŕňal váš stolný telefón Cisco série 9800.

    Napríklad PID telefónu 9841 je DP-9841; môžete nastaviť Radius·User-Name na Začať s DP alebo Obsahuje DP. Môžete ho nastaviť v oboch nasledujúcich častiach:

    • Zásady > Podmienky > Podmienky knižnice

    • Pravidlá > Súbory pravidiel > Pravidlá autorizácie > Pravidlo autorizácie 1

Povoliť overenie 802.1X

Overenie 802.1X pre svoj telefón môžete povoliť podľa týchto krokov:

1

Stlačte tlačidlo Nastavenia pevný kláves Nastavenia.

2

Ak sa zobrazí výzva, zadajte heslo na prístup do ponuky Nastavenia . Heslo môžete získať od správcu.

3

Prejdite na položku Sieť a služba > Nastavenia zabezpečenia > Overenie 802.1X.

4

Zapnite autentifikáciu IEEE 802.1X.

5

Vyberte možnosť Použiť.

Zobrazenie informácií o nastaveniach zabezpečenia v telefóne

Informácie o nastaveniach zabezpečenia si môžete pozrieť v menu telefónu. Dostupnosť informácií závisí od nastavení siete vo vašej organizácii.

1

Stlačte tlačidlo Nastavenia tlačidlo Nastavenia.

2

Prejdite na položku Sieť a služba > Nastavenia zabezpečenia.

3

V časti Nastavenia zabezpečenia zobrazte nasledujúce informácie.

Tabuľka 4. Parametre pre nastavenia zabezpečenia

Parametre

Opis

Bezpečnostný režim

Zobrazuje bezpečnostný režim nastavený pre telefón.

LSC

Označuje, či je v telefóne nainštalovaný lokálne významný certifikát, ktorý sa používa pre bezpečnostné funkcie (Áno) alebo nie je v telefóne nainštalovaný (Nie).

Zoznam dôveryhodných

Zoznam dôveryhodných poskytuje podponuky pre súbory CTL, ITL a podpísané konfiguračné súbory.

Podponuka CTL File zobrazuje obsah súboru CTL. Podponuka Súbor ITL zobrazuje obsah súboru ITL.

Ponuka Trust List zobrazuje aj nasledujúce informácie:

  • Podpis CTL: hash SHA1 súboru CTL
  • Zjednotený server CM/TFTP: názov Cisco Unified Communications Manager a TFTP Server, ktoré telefón používa. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.
  • Server CAPF: názov servera CAPF, ktorý telefón používa. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.
  • Smerovač SRST: adresu IP dôveryhodného smerovača SRST, ktorý môže telefón používať. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.

Zabezpečenie telefonických hovorov

Keď je pre telefón implementované zabezpečenie, môžete zabezpečené telefónne hovory identifikovať podľa ikon na obrazovke telefónu. Môžete tiež určiť, či je pripojený telefón zabezpečený a chránený, ak na začiatku hovoru zaznie bezpečnostný tón.

V zabezpečenom hovore sú všetky signalizácie hovorov a mediálne toky šifrované. Zabezpečený hovor ponúka vysokú úroveň bezpečnosti a poskytuje hovoru integritu a súkromie. Keď je prebiehajúci hovor šifrovaný, môžete na linke vidieť ikonu zabezpečenia ikona zámku pre bezpečný hovor . V prípade zabezpečeného telefónu si môžete tiež zobraziť ikonu overenia alebo zašifrovanú ikonu vedľa pripojeného servera v ponuke telefónu (Nastavenia > O tomto zariadení) .

Ak je hovor smerovaný cez úseky hovoru bez protokolu IP, napríklad PSTN, hovor môže byť nezabezpečený, aj keď je v rámci siete IP šifrovaný a je s ním spojená ikona zámku.

Pri zabezpečenom hovore sa na začiatku hovoru prehrá bezpečnostný tón, ktorý signalizuje, že aj druhý pripojený telefón prijíma a vysiela zabezpečený zvuk. Ak sa váš hovor spojí s nezabezpečeným telefónom, bezpečnostný tón sa neprehrá.

Zabezpečené volanie je podporované len pre spojenia medzi dvoma telefónmi. Niektoré funkcie, ako napríklad konferenčné hovory a zdieľané linky, nie sú dostupné, keď je nakonfigurované zabezpečené volanie.

Keď je telefón v aplikácii Cisco Unified Communications Manager nakonfigurovaný ako zabezpečený (šifrovaný a dôveryhodný), môže mu byť priradený stav chránený . Potom, ak je to potrebné, môže byť chránený telefón nakonfigurovaný tak, aby prehral indikačný tón na začiatku hovoru:

  • Chránené zariadenie: Ak chcete zmeniť stav zabezpečeného telefónu na chránený, začiarknite políčko Chránené zariadenie v okne Konfigurácia telefónu v správe Cisco Unified Communications Manager (Zariadenie > Telefón).

  • Prehrať bezpečný indikačný tón: Ak chcete, aby chránený telefón prehral zabezpečený alebo nezabezpečený indikačný tón, nastavte nastavenie Prehrať zabezpečený indikačný tón na hodnotu True. V predvolenom nastavení je zabezpečený indikačný tón prehrávania nastavený na hodnotu False. Túto možnosť nastavíte v správe Cisco Unified Communications Manager (Systém > Parametre služieb). Vyberte server a potom službu Unified Communications Manager. V okne Konfigurácia parametra služby vyberte možnosť v oblasti Funkcia - Bezpečný tón. Predvolená hodnota je False.

Bezpečná identifikácia konferenčného hovoru

Môžete spustiť bezpečný konferenčný hovor a monitorovať úroveň zabezpečenia účastníkov. Bezpečný konferenčný hovor sa vytvorí pomocou tohto procesu:

  1. Používateľ iniciuje konferenciu zo zabezpečeného telefónu.

  2. Cisco Unified Communications Manager priradí hovoru bezpečný konferenčný most.

  3. Keď sa pridávajú účastníci, Cisco Unified Communications Manager overuje režim zabezpečenia každého telefónu a udržiava úroveň zabezpečenia konferencie.

  4. Telefón zobrazí úroveň zabezpečenia konferenčného hovoru. Zabezpečená konferencia zobrazuje ikonu zabezpečenia ikona zámku pre bezpečný hovor.

Zabezpečené volanie je podporované medzi dvoma telefónmi. Pre chránené telefóny nie sú niektoré funkcie, ako napríklad konferenčné hovory, zdieľané linky a Extension Mobility, dostupné, keď je nakonfigurované zabezpečené volanie.

Nasledujúca tabuľka poskytuje informácie o zmenách úrovní zabezpečenia konferencie v závislosti od úrovne zabezpečenia telefónu iniciátora, úrovní zabezpečenia účastníkov a dostupnosti bezpečných konferenčných mostov.

Tabuľka 5. Bezpečnostné obmedzenia pri konferenčných hovoroch

Úroveň zabezpečenia telefónu iniciátora

Použitá funkcia

Úroveň bezpečnosti účastníkov

Výsledky akcie

Nezabezpečené

konferencia

Zabezpečte

Nezabezpečený konferenčný most

Nezabezpečená konferencia

Zabezpečte

konferencia

Aspoň jeden člen je nezabezpečený.

Bezpečný konferenčný most

Nezabezpečená konferencia

Zabezpečte

konferencia

Zabezpečte

Bezpečný konferenčný most

Bezpečná šifrovaná konferencia na úrovni

Nezabezpečené

Zoznámte sa so mnou

Minimálna úroveň zabezpečenia je šifrovaná.

Iniciátor dostane správu Nespĺňa úroveň zabezpečenia, hovor bol odmietnutý.

Zabezpečte

Zoznámte sa so mnou

Minimálna úroveň zabezpečenia je nezabezpečená.

Bezpečný konferenčný most

Konferencia prijíma všetky hovory.

Bezpečná identifikácia telefónneho hovoru

Zabezpečený hovor sa vytvorí, keď je váš telefón a telefón na druhom konci nakonfigurovaný na zabezpečené volanie. Druhý telefón môže byť v rovnakej sieti Cisco IP alebo v sieti mimo siete IP. Zabezpečené hovory je možné uskutočniť iba medzi dvoma telefónmi. Konferenčné hovory by mali podporovať zabezpečený hovor po nastavení bezpečného konferenčného mosta.

Zabezpečený hovor sa vytvorí pomocou tohto procesu:

  1. Používateľ inicializuje hovor zo zabezpečeného telefónu (zabezpečený bezpečnostný režim).

  2. Telefón zobrazí na obrazovke telefónu ikonu zabezpečenia ikona zámku pre bezpečný hovor . Táto ikona označuje, že telefón je nakonfigurovaný na zabezpečené hovory, ale to neznamená, že je zabezpečený aj druhý pripojený telefón.

  3. Používateľ počuje bezpečnostný tón, ak sa hovor spojí s iným zabezpečeným telefónom, čo znamená, že oba konce konverzácie sú šifrované a zabezpečené. Ak sa hovor spojí s nezabezpečeným telefónom, používateľ nepočuje bezpečnostný tón.

Zabezpečené volanie je podporované medzi dvoma telefónmi. Pre chránené telefóny nie sú niektoré funkcie, ako napríklad konferenčné hovory, zdieľané linky a Extension Mobility, dostupné, keď je nakonfigurované zabezpečené volanie.

Tieto bezpečné alebo nezabezpečené indikačné tóny prehrávajú iba chránené telefóny. Nechránené telefóny nikdy neprehrávajú tóny. Ak sa počas hovoru zmení celkový stav hovoru, zmení sa indikačný tón a chránený telefón prehrá príslušný tón.

Chránený telefón prehrá tón alebo nie za týchto okolností:

  • Keď je povolená možnosť Prehrať bezpečný indikačný tón:

    • Keď je vytvorené zabezpečené médium typu end-to-end a stav hovoru je zabezpečený, telefón prehrá bezpečný indikačný tón (tri dlhé pípnutia s prestávkami).

    • Keď je vytvorené nezabezpečené médium typu end-to-end a stav hovoru je nezabezpečený, telefón prehrá nezabezpečený indikačný tón (šesť krátkych pípnutí s krátkymi prestávkami).

Ak je vypnutá možnosť Prehrať bezpečný indikačný tón, neprehrá sa žiadny tón.

Poskytnite šifrovanie pre čln

Cisco Unified Communications Manager skontroluje stav zabezpečenia telefónu pri vytváraní konferencií a zmení označenie zabezpečenia pre konferenciu alebo zablokuje dokončenie hovoru, aby sa zachovala integrita a bezpečnosť v systéme.

Používateľ nemôže vstúpiť do šifrovaného hovoru, ak telefón, ktorý sa používa na pripojenie, nie je nakonfigurovaný na šifrovanie. Keď v tomto prípade čln zlyhá, na telefóne zaznie tón zmeny poradia (rýchle obsadzovanie), ktorým bol čln spustený.

Ak je telefón iniciátora nakonfigurovaný na šifrovanie, iniciátor vstupu môže vstúpiť do nezabezpečeného hovoru zo šifrovaného telefónu. Keď dôjde k pripojeniu, Cisco Unified Communications Manager klasifikuje hovor ako nezabezpečený.

Ak je telefón iniciátora nakonfigurovaný na šifrovanie, iniciátor vstupu môže vstúpiť do šifrovaného hovoru a telefón oznámi, že hovor je šifrovaný.

Zabezpečenie WLAN

Pretože všetky zariadenia WLAN, ktoré sú v dosahu, môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieťach WLAN rozhodujúce. Aby sa zaistilo, že votrelci nebudú manipulovať ani nezachytávať hlasovú prevádzku, architektúra Cisco SAFE Security podporuje telefón. Ďalšie informácie o bezpečnosti v sieťach nájdete v časti http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Bezdrôtové riešenie IP telefónie Cisco poskytuje zabezpečenie bezdrôtovej siete, ktoré zabraňuje neoprávnenému prihláseniu a narušeniu komunikácie pomocou nasledujúcich metód overovania, ktoré telefón podporuje:

  • Otvoriť overenie totožnosti: Akékoľvek bezdrôtové zariadenie môže požiadať o overenie v otvorenom systéme. AP, ktoré prijme požiadavku, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) nemusí byť šifrovaná.

  • Extensible Authentication Protocol – Flexibilná autentifikácia prostredníctvom Secure Tunneling (EAP-FAST) Authentication: Táto bezpečnostná architektúra klient-server šifruje transakcie EAP v rámci tunela TLS (Transport Level Security) medzi prístupovým bodom a serverom RADIUS, ako napríklad Identity Services Engine (ISE).

    Tunel TLS používa chránené prístupové poverenia (PAC) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle ID autority (AID) klientovi (telefónu), ktorý následne vyberie vhodný PAC. Klient (telefón) vráti PAC-Opaque serveru RADIUS. Server dešifruje PAC pomocou primárneho kľúča. Oba koncové body teraz obsahujú kľúč PAC a je vytvorený tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

    V ISE štandardne vyprší platnosť PAC do jedného týždňa. Ak má telefón vypršaný PAC, overenie pomocou servera RADIUS trvá dlhšie, kým telefón získa nový PAC. Aby ste predišli oneskoreniam poskytovania PAC, nastavte dobu platnosti PAC na 90 dní alebo dlhšie na serveri ISE alebo RADIUS.

  • Autentifikácia protokolu EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vyžaduje klientsky certifikát na autentifikáciu a sieťový prístup. V prípade bezdrôtového protokolu EAP-TLS môže byť klientskym certifikátom certifikát MIC, LSC alebo certifikát nainštalovaný používateľom.

  • Protokol PEAP (Protected Extensible Authentication Protocol): Vlastná schéma vzájomnej autentifikácie spoločnosti Cisco na základe hesla medzi klientom (telefónom) a serverom RADIUS. Telefón môže použiť protokol PEAP na overenie v bezdrôtovej sieti. Podporované sú metódy autentifikácie PEAP-MSCHAPV2 aj PEAP-GTC.

  • Prezdieľaný kľúč (PSK): Telefón podporuje formát ASCII. Tento formát musíte použiť pri nastavovaní predzdieľaného kľúča WPA/WPA2/SAE:

    ASCII: reťazec znakov ASCII s dĺžkou 8 až 63 znakov (0-9, malé a veľké písmená A-Z a špeciálne znaky)

    Príklad: GREG123567@9ZX&W

Nasledujúce schémy autentifikácie používajú server RADIUS na správu autentifikačných kľúčov:

  • WPA/WPA2/WPA3: Používa informácie servera RADIUS na generovanie jedinečných kľúčov na autentifikáciu. Pretože sa tieto kľúče generujú na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako vopred zdieľané kľúče WPA, ktoré sú uložené na prístupovom bode a telefóne.

  • Rýchly bezpečný roaming: Používa server RADIUS a informácie o serveri bezdrôtovej domény (WDS) na správu a overovanie kľúčov. WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu. Cisco Desk Phone 9861 a 9871 a Cisco Video Phone 8875 podporujú 802.11r (FT). Sú podporované vzduchom aj cez DS, aby sa umožnil rýchly bezpečný roaming. Dôrazne však odporúčame použiť vzduchovú metódu 802.11r (FT).

Pri WPA/WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale sú automaticky odvodené medzi AP a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na overenie, však musíte zadať na každom telefóne.

Aby bola zaistená bezpečnosť hlasovej prevádzky, telefón podporuje šifrovanie TKIP a AES. Keď sa na šifrovanie použijú tieto mechanizmy, medzi prístupovým bodom a telefónom sa šifrujú signalizačné pakety SIP aj hlasové pakety protokolu RTP (Real-Time Transport Protocol).

TKIP

WPA používa šifrovanie TKIP, ktoré má oproti WEP niekoľko vylepšení. TKIP poskytuje šifrovanie kľúčov po paketoch a dlhšie inicializačné vektory (IV), ktoré posilňujú šifrovanie. Okrem toho kontrola integrity správ (MIC) zaisťuje, že sa šifrované pakety nemenia. TKIP odstraňuje predvídateľnosť WEP, ktorá pomáha votrelcom dešifrovať kľúč WEP.

AES

Metóda šifrovania používaná na overenie WPA2/WPA3. Tento národný štandard pre šifrovanie používa symetrický algoritmus, ktorý má rovnaký kľúč na šifrovanie a dešifrovanie. AES používa šifrovanie Cipher Blocking Chain (CBC) s veľkosťou 128 bitov, ktoré podporuje veľkosť kľúčov minimálne 128 bitov, 192 bitov a 256 bitov. Telefón podporuje veľkosť kľúča 256 bitov.

Cisco Desk Phone 9861 a 9871 a Cisco Video Phone 8875 nepodporujú protokol Cisco Key Integrity Protocol (CKIP) s CMIC.

Schémy overovania a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. Siete VLAN sú konfigurované v sieti a na prístupových bodoch a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou schémou overovania a šifrovania. Aby sa bezdrôtové klientske zariadenia úspešne overili, musíte nakonfigurovať rovnaké SSID s ich schémami overovania a šifrovania na prístupových bodoch a v telefóne.

Niektoré autentifikačné schémy vyžadujú špecifické typy šifrovania.

  • Keď používate predzdieľaný kľúč WPA, predzdieľaný kľúč WPA2 alebo SAE, predzdieľaný kľúč musí byť v telefóne nastavený staticky. Tieto kľúče sa musia zhodovať s kľúčmi, ktoré sú na AP.

  • Telefón podporuje automatické vyjednávanie EAP pre FAST alebo PEAP, ale nie pre TLS. Pre režim EAP-TLS ho musíte zadať.

Schémy overovania a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre telefón, ktoré zodpovedajú konfigurácii prístupového bodu.

Tabuľka 6. Schémy overovania a šifrovania
Typ FSROverenieKey ManagementŠifrovanieChránený riadiaci rámec (PMF)
802.11r (FT)PSK

WPA-PSK

WPA-PSK-SHA256

FT-PSK

AESNie
802.11r (FT)WPA3

SAE

FT-SAE

AESÁno
802.11r (FT)EAP-TLS

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-TLS (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno
802.11r (FT)EAP-FAST

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-FAST (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno
802.11r (FT)EAP-PEAP

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-PEAP (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno

Konfigurácia profilu bezdrôtovej siete LAN

Svoj profil bezdrôtovej siete môžete spravovať konfiguráciou poverení, frekvenčného pásma, metódy autentifikácie atď.

Pred konfiguráciou profilu WLAN majte na pamäti nasledujúce poznámky:

  • Používateľské meno a heslo

    • Keď vaša sieť používa na overenie používateľa protokoly EAP-FAST a PEAP, musíte nakonfigurovať používateľské meno aj heslo, ak sa to vyžaduje v službe Remote Authentication Dial-In User Service (RADIUS) a v telefóne.

    • Poverenia, ktoré zadáte do profilu bezdrôtovej siete LAN, musia byť totožné s povereniami, ktoré ste nakonfigurovali na serveri RADIUS.

    • Ak používate domény vo svojej sieti, musíte zadať používateľské meno s názvom domény vo formáte: doména\používateľské meno.

  • Nasledujúce akcie môžu viesť k vymazaniu existujúceho hesla Wi-Fi:

    • Zadanie neplatného ID používateľa alebo hesla
    • Inštalácia neplatnej alebo expirovanej koreňovej CA, keď je typ EAP nastavený na PEAP-MSCHAPV2 alebo PEAP-GTC
    • Vypnutie používaného typu EAP na serveri RADIUS pred prepnutím telefónu na nový typ EAP
  • Ak chcete zmeniť typ EAP, uistite sa, že ste najskôr povolili nový typ EAP na serveri RADIUS a potom prepnite telefón na typ EAP. Po zmene všetkých telefónov na nový typ EAP môžete predchádzajúci typ EAP deaktivovať, ak chcete.
1

V správe Cisco Unified Communications Manager vyberte položky Zariadenie > Nastavenia zariadenia > Profil bezdrôtovej siete LAN.

2

Vyberte sieťový profil, ktorý chcete nakonfigurovať.

3

Nastavte parametre.

4

Kliknite na tlačidlo Uložiť.

Nakonfigurujte parametre SCEP

Simple Certificate Enrollment Protocol (SCEP) je štandard pre automatické poskytovanie a obnovu certifikátov. Server SCEP môže automaticky udržiavať vaše užívateľské a serverové certifikáty.

Na webovej stránke telefónu musíte nakonfigurovať nasledujúce parametre SCEP

  • IP adresa RA

  • Odtlačok SHA-1 alebo SHA-256 koreňového certifikátu CA pre server SCEP

Cisco IOS Registration Authority (RA) slúži ako proxy servera SCEP. Klient SCEP v telefóne používa parametre, ktoré sú stiahnuté z Cisco Unified Communication Manager. Po nakonfigurovaní parametrov telefón odošle požiadavku SCEP getcs do RA a certifikát koreňovej CA sa overí pomocou definovaného odtlačku prsta.

Skôr ako začnete

Na serveri SCEP nakonfigurujte registračného agenta SCEP (RA) na:

  • Pôsobte ako dôveryhodný bod PKI
  • Konajte ako PKI RA
  • Vykonajte overenie zariadenia pomocou servera RADIUS

Ďalšie informácie nájdete v dokumentácii k serveru SCEP.

1

V správe Cisco Unified Communications Manager vyberte položky Zariadenie > Telefón.

2

Nájdite telefón.

3

Posuňte sa do oblasti Rozloženie konfigurácie špecifické pre produkt .

4

Ak chcete aktivovať parameter SCEP, začiarknite políčko Server WLAN SCEP .

5

Začiarknutím políčka WLAN Root CA Fingerprint (SHA256 alebo SHA1) aktivujete parameter SCEP QED.

Nastavte podporované verzie TLS

Môžete nastaviť minimálnu verziu TLS vyžadovanú pre klienta a server.

V predvolenom nastavení je minimálna verzia TLS servera aj klienta 1.2. Nastavenie má vplyv na nasledujúce funkcie:

  • Pripojenie na webový prístup HTTPS
  • Registrácia pre lokálny telefón
  • Registrácia pre mobilný a vzdialený prístup (MRA)
  • HTTPS služby, ako napríklad adresárové služby
  • Datagram Transport Layer Security (DTLS)
  • Entita prístupu k portu (PAE)
  • Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)

Ďalšie informácie o kompatibilite TLS 1.3 pre IP telefóny Cisco nájdete v časti Matrika kompatibility TLS 1.3 pre produkty Cisco Collaboration Products.

1

Prihláste sa do správy Cisco Unified Communications Manager ako správca.

2

Prejdite do jedného z nasledujúcich okien:

  • Systém > Konfigurácia podnikového telefónu
  • Zariadenie > Nastavenia zariadenia > Spoločný profil telefónu
  • Zariadenie > Telefón > Konfigurácia telefónu
3

Nastavte pole Minimálna verzia klienta TLS :

Možnosť „TLS 1.3“ je k dispozícii na Cisco Unified CM 15SU2 alebo novšom.
  • TLS 1.1: Klient TLS podporuje verzie TLS od 1.1 do 1.3.

    Ak je verzia TLS na serveri nižšia ako 1.1, napríklad 1.0, spojenie sa nedá nadviazať.

  • TLS 1.2 (predvolené): Klient TLS podporuje TLS 1.2 a 1.3.

    Ak je verzia TLS na serveri nižšia ako 1.2, napríklad 1.1 alebo 1.0, spojenie sa nedá nadviazať.

  • TLS 1.3: Klient TLS podporuje iba TLS 1.3.

    Ak je verzia TLS na serveri nižšia ako 1.3, napríklad 1.2, 1.1 alebo 1.0, spojenie sa nedá nadviazať.

4

Nastavte pole Minimálna verzia servera TLS :

  • TLS 1.1: Server TLS podporuje verzie TLS od 1.1 do 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.1, napríklad 1.0, spojenie sa nedá nadviazať.

  • TLS 1.2 (predvolené): Server TLS podporuje TLS 1.2 a 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.2, napríklad 1.1 alebo 1.0, pripojenie nie je možné nadviazať.

  • TLS 1.3: Server TLS podporuje iba TLS 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.3, napríklad 1.2, 1.1 alebo 1.0, spojenie sa nedá nadviazať.

Od vydania PhoneOS 3.2 nemá nastavenie poľa „Zakázať TLS 1.0 a TLS 1.1 pre webový prístup“ vplyv na telefóny.
5

Kliknite na tlačidlo Uložiť.

6

Kliknite na položku Použiť konfiguráciu.

7

Reštartujte telefóny.

Zabezpečené služby SIP

Assured Services SIP (AS-SIP) je súbor funkcií a protokolov, ktoré ponúkajú vysoko bezpečný tok hovorov pre Cisco IP telefóny a telefóny tretích strán. Nasledujúce funkcie sú súhrnne známe ako AS-SIP:

  • Viacúrovňová priorita a preempcia (MLPP)
  • Kódový bod diferencovaných služieb (DSCP)
  • Transport Layer Security (TLS) a Secure Real-time Transport Protocol (SRTP)
  • Internetový protokol verzie 6 (IPv6)

AS-SIP sa často používa s funkciou Multilevel Precedence and Preemption (MLPP) na uprednostňovanie hovorov v prípade núdze. Pomocou MLPP priradíte úroveň priority odchádzajúcich hovorov od úrovne 1 (nízka) po úroveň 5 (vysoká). Keď prijmete hovor, na telefóne sa zobrazí ikona úrovne priority, ktorá zobrazuje prioritu hovoru.

Ak chcete nakonfigurovať AS-SIP, vykonajte nasledujúce úlohy v aplikácii Cisco Unified Communications Manager:

  • Konfigurovať používateľa prehľadu – nakonfigurujte koncového používateľa na používanie overenia súhrnu pre požiadavky SIP.
  • Konfigurácia zabezpečeného portu telefónu SIP – Cisco Unified Communications Manager používa tento port na počúvanie telefónov SIP na registráciu liniek SIP cez TLS.
  • Reštartovať služby – po nakonfigurovaní zabezpečeného portu reštartujte služby Cisco Unified Communications Manager a Cisco CTL Provider. Konfigurácia profilu SIP pre AS-SIP-Nakonfigurujte profil SIP s nastaveniami SIP pre vaše AS-SIP koncové body a pre vaše SIP trunky. Parametre špecifické pre telefón sa nesťahujú do AS-SIP telefónu tretej strany. Používa ich iba Cisco Unified Manager. Telefóny tretích strán musia lokálne nakonfigurovať rovnaké nastavenia.
  • Konfigurácia bezpečnostného profilu telefónu pre AS-SIP – bezpečnostný profil telefónu môžete použiť na priradenie bezpečnostných nastavení, ako sú TLS, SRTP a overenie súhrnu.
  • Konfigurácia koncového bodu AS-SIP – nakonfigurujte Cisco IP telefón alebo koncový bod tretej strany s podporou AS-SIP.
  • Priradiť zariadenie ku koncovému používateľovi – priraďte koncový bod používateľovi.
  • Konfigurácia bezpečnostného profilu SIP trunku pre AS-SIP – bezpečnostný profil sip trunk môžete použiť na priradenie bezpečnostných funkcií, ako je TLS alebo digestálna autentifikácia k SIP trunku.
  • Configure SIP Trunk for AS-SIP—Nakonfigurujte SIP trunk s podporou AS-SIP.
  • Konfigurácia funkcií AS-SIP – konfigurácia ďalších funkcií AS-SIP, ako sú MLPP, TLS, V.150 a IPv6.

Podrobné informácie o konfigurácii AS-SIP nájdete v kapitole „Konfigurácia koncových bodov AS-SIP“ v Feature Configuration Guide for Cisco Unified Communications Manager.

Viacúrovňová priorita a preempcia

Multilevel Precedence and Preemption (MLPP) vám umožňuje uprednostniť hovory počas núdzových situácií alebo iných krízových situácií. Odchádzajúcim hovorom priradíte prioritu v rozsahu od 1 do 5. Pri prichádzajúcom hovore sa zobrazuje ikona a priorita hovoru. Autentizovaní užívatelia môžu predísť hovorom buď na cieľové stanice, alebo cez plne predplatené kanály TDM.

Táto schopnosť zabezpečuje vysokopostaveným pracovníkom komunikáciu s kritickými organizáciami a personálom.

MLPP sa často používa s Assured Services SIP (AS-SIP). Podrobné informácie o konfigurácii MLPP nájdete v kapitole Konfigurácia viacúrovňovej priority a preempcie v Príručke konfigurácie funkcií pre Cisco Unified Communications Manager.

Nastavte FAC a CMC

Keď sú v telefóne nakonfigurované kódy nútenej autorizácie (FAC) alebo kódy klientskych záležitostí (CMC) alebo oboje, používatelia musia zadať požadované heslá, aby mohli vytočiť číslo.

Ďalšie informácie o tom, ako nastaviť FAC a CMC v aplikácii Cisco Unified Communications Manager, nájdete v kapitole „Kódy pre klienta a vynútené autorizačné kódy“ v Príručke konfigurácie funkcií pre Cisco Unified Communications Manager, vydanie 12.5 (1) alebo neskôr.