Môžete povoliť Cisco Unified Communications Manager pracovať v prostredí zvýšeného zabezpečenia. Vďaka týmto vylepšeniam funguje vaša telefónna sieť pod súborom prísnych kontrolných mechanizmov zabezpečenia a riadenia rizík, ktoré chránia vás a vašich používateľov.

Prostredie zvýšeného zabezpečenia zahŕňa nasledujúce funkcie:

  • Overenie vyhľadávania kontaktov.

  • TCP ako predvolený protokol pre vzdialené protokolovanie auditu.

  • Režim FIPS.

  • Vylepšená politika poverení.

  • Podpora rodiny hashov SHA-2 pre digitálne podpisy.

  • Podpora veľkosti kľúča RSA 512 bitov a 4096 bitov.

S Cisco Unified Communications Manager Release 14.0 a Cisco Video Phone Firmware Release 2.1 a novším telefóny telefóny podporujú autentifikáciu SIP OAuth.

OAuth je podporovaný pre Proxy Trivial File Transfer Protocol (TFTP) s Cisco Unified Communications Manager Release 14.0(1)SU1 alebo novším. Server proxy TFTP a OAuth pre server proxy TFTP nie je podporovaný v mobilných zariadeniach Remote Access (MRA).

Ďalšie informácie o zabezpečení nájdete v nasledovných témach:

Do telefónu je možné uložiť len obmedzený počet súborov zoznamu dôveryhodných identít (ITL). Súbory ITL nemôžu v telefóne prekročiť 64K, takže obmedzte počet súborov, ktoré Cisco Unified Communications Manager odosiela do telefónu.

Podporované funkcie zabezpečenia

Bezpečnostné funkcie chránia pred hrozbami vrátane ohrozenia identity telefónu a údajov. Tieto funkcie vytvárajú a udržiavajú overené komunikačné toky medzi telefónom a Cisco Unified Communications Manager server a zabezpečujú, že telefón používa iba digitálne podpísané súbory.

Cisco Unified Communications Manager Release 8.5 (1) a novšie verzie obsahujú predvolené zabezpečenie, ktoré poskytuje nasledujúce funkcie zabezpečenia pre Cisco IP Phones bez spustenia klienta CTL:

  • Podpisovanie konfiguračných súborov telefónu

  • Šifrovanie konfiguračného súboru telefónu

  • HTTPS so službou Tomcat a ďalšími webovými službami

Funkcie zabezpečenej signalizácie a médií stále vyžadujú, aby ste spustili klienta CTL a používali hardvérové eTokeny.

Implementácia zabezpečenia v Cisco Unified Communications Manager system zabraňuje krádeži identity telefónu a Cisco Unified Communications Manager server, zabraňuje manipulácii s údajmi a zabraňuje signalizácii hovoru a manipulácii s mediálnym tokom.

Na zmiernenie týchto hrozieb telefónna sieť Cisco IP vytvára a udržiava bezpečné (šifrované) komunikačné toky medzi telefónom a serverom, digitálne podpisuje súbory pred ich prenosom do telefónu a šifruje prúdy médií a signalizáciu hovorov medzi Cisco IP Phones.

Locally Significant Certificate (LSC) sa nainštaluje do telefónov po vykonaní potrebných úloh, ktoré súvisia s funkciou Certificate Authority Proxy (CAPF). Pomocou Cisco Unified Communications Manager Administration môžete nakonfigurovať LSC, ako je popísané v príručke Cisco Unified Communications Manager Security. Prípadne môžete spustiť inštaláciu LSC z ponuky Nastavenia zabezpečenia v telefóne. Táto ponuka vám tiež umožňuje aktualizovať alebo odstrániť LSC.

Od vydania PhoneOS 3.2 môže byť LSC použitý ako používateľský certifikát pre EAP-TLS s autentifikáciou WLAN.

Telefóny používajú profil zabezpečenia telefónu, ktorý definuje, či je zariadenie nezabezpečené alebo zabezpečené. Informácie o použití profilu zabezpečenia v telefóne nájdete v dokumentácii k konkrétnemu vydaniu Cisco Unified Communications Manager.

Ak v Cisco Unified Communications Manager Administration nakonfigurujete nastavenia týkajúce sa zabezpečenia, konfiguračný súbor telefónu bude obsahovať citlivé informácie. Ak chcete zabezpečiť súkromie konfiguračného súboru, musíte ho nakonfigurovať na šifrovanie. Podrobné informácie nájdete v dokumentácii k vášmu konkrétnemu vydaniu Cisco Unified Communications Manager.

Telefón vyhovuje federálnemu štandardu FIPS (Information Processing Standard). Na správne fungovanie vyžaduje režim FIPS veľkosť kľúča najmenej 2048 bitov. Ak má certifikát menej ako 2048 bitov, telefón sa nezaregistruje pomocou Cisco Unified Communications Manager a telefónu sa nepodarilo zaregistrovať. Veľkosť kľúča certifikátu nie je na displejoch telefónu kompatibilných s FIPS.

Ak má telefón LSC, pred povolením FIPS musíte aktualizovať veľkosť kľúča LSC na 2048 bitov alebo viac.

Nasledujúca tabuľka poskytuje prehľad funkcií zabezpečenia, ktoré telefóny podporujú. Ďalšie informácie nájdete v dokumentácii k vášmu konkrétnemu vydaniu Cisco Unified Communications Manager.

Ak chcete zobraziť režim zabezpečenia, stlačte tlačidlo Nastavenia Tvrdé tlačidlo Nastavenia A prejdite do časti Nastavenia siete a služby > Zabezpečenie.

Tabuľka 1. Prehľad ochranných prvkov

Funkcia

Popis

Autentifikácia obrazu

Podpísané binárne súbory zabraňujú manipulácii s obrazom firmvéru pred načítaním obrázka do telefónu.

Manipulácia s obrázkom spôsobí, že telefón zlyhá v procese overenia a odmietne nový obrázok.

Inštalácia certifikátu zákazníckeho pracoviska

Každý Cisco IP Phone vyžaduje jedinečný certifikát na overenie zariadenia. Telefóny obsahujú certifikát nainštalovaný výrobcom (MIC), ale pre zvýšenie zabezpečenia môžete inštaláciu certifikátu zadať v Cisco Unified Communications Manager Administration pomocou funkcie Certificate Authority Proxy (CAPF). Prípadne môžete nainštalovať Locally Significant Certificate (LSC) z ponuky Konfigurácia zabezpečenia v telefóne.

Overenie zariadenia

Vyskytuje sa medzi Cisco Unified Communications Manager server a telefónom, keď každá entita prijme certifikát druhej entity. Určuje, či by malo dôjsť k zabezpečenému pripojeniu medzi telefónom a Cisco Unified Communications Manager; a v prípade potreby vytvorí bezpečnú signalizačnú cestu medzi entitami pomocou protokolu TLS. Cisco Unified Communications Manager neregistruje telefóny, pokiaľ ich nedokáže overiť.

Overenie súboru

Overuje digitálne podpísané súbory, ktoré telefón stiahne. Telefón overí podpis, aby sa ubezpečil, že po vytvorení súboru nedošlo k manipulácii so súbormi. Súbory, ktoré zlyhajú pri overení, sa nezapíšu do pamäte flash v telefóne. Telefón takéto súbory odmietne bez ďalšieho spracovania.

Šifrovanie súborov

Šifrovanie zabraňuje odhaleniu citlivých informácií počas prenosu súboru do telefónu. Okrem toho telefón overí podpis, aby sa ubezpečil, že po vytvorení súboru nedošlo k manipulácii so súbormi. Súbory, ktoré zlyhajú pri overení, sa nezapíšu do pamäte flash v telefóne. Telefón takéto súbory odmietne bez ďalšieho spracovania.

Autentifikácia signalizácie

Používa protokol TLS na overenie, či počas prenosu nedošlo k žiadnej manipulácii so signalizačnými paketmi.

Certifikát nainštalovanej výroby

Každý Cisco IP Phone obsahuje jedinečný výrobný nainštalovaný certifikát (MIC), ktorý sa používa na overenie zariadenia. MIC poskytuje trvalý jedinečný dôkaz totožnosti telefónu a umožňuje Cisco Unified Communications Manager overiť telefón.

Šifrovanie médií

Používa SRTP na zabezpečenie toho, aby sa streamy médií medzi podporovanými zariadeniami ukázali ako bezpečné a aby údaje prijímalo a čítalo iba určené zariadenie. Zahŕňa vytvorenie páru primárnych kľúčov médií pre zariadenia, doručenie kľúčov zariadeniam a zabezpečenie doručenia kľúčov počas prenosu kľúčov.

CAPF (Certificate Authority Proxy Function)

Implementuje časti postupu generovania certifikátov, ktoré sú pre telefón príliš náročné na spracovanie, a komunikuje s telefónom pri generovaní kľúčov a inštalácii certifikátov. CAPF je možné nakonfigurovať tak, aby v mene telefónu požadoval certifikáty od certifikačných autorít zadaných zákazníkom, alebo ho možno nakonfigurovať na lokálne generovanie certifikátov.

Podporované sú oba typy klávesov EC (eliptická krivka) a RSA. Ak chcete použiť kľúč EC, uistite sa, že je povolený parameter "Endpoint Advanced Encryption Algorithms Support" (z parametra System >Enterprise).

Ďalšie informácie o CAPF a súvisiacich konfiguráciách nájdete v nasledujúcich dokumentoch:

Profil zabezpečenia

Definuje, či je telefón nezabezpečený, overený, šifrovaný alebo chránený. Ďalšie položky v tejto tabuľke popisujú funkcie zabezpečenia.

Šifrované konfiguračné súbory

Umožňuje zabezpečiť súkromie konfiguračných súborov telefónu.

Voliteľné vypnutie webového servera pre telefón

Z bezpečnostných dôvodov môžete zabrániť prístupu na webové stránky telefónu (ktoré zobrazujú rôzne prevádzkové štatistiky telefónu) a portálu samoobsluhy.

Kalenie telefónu

Ďalšie možnosti zabezpečenia, ktoré môžete ovládať z Cisco Unified Communications Manager Administration:

  • Vypnutie portu PC
  • Vypnutie bezdôvodného protokolu ARP (GARP)
  • Zakázanie prístupu PC Voice VLAN
  • Zakázanie prístupu k ponuke nastavení alebo poskytnutie obmedzeného prístupu
  • Zakázanie prístupu k webovým stránkam v telefóne
  • Zakázanie portu príslušenstva Bluetooth
  • Obmedzenie šifier TLS

Overenie 802.1X

Cisco IP Phone môže použiť autentifikáciu 802.1X na vyžiadanie a získanie prístupu k sieti. Ďalšie informácie nájdete v časti Overenie 802.1X.

Secure SIP Failover pre SRST

Po nakonfigurovaní referencie Survivable Remote Site Telephony (SRST) na zabezpečenie a následnom resetovaní závislých zariadení v Cisco Unified Communications Manager Administration server TFTP pridá certifikát SRST do súboru CNF.XML telefónu a odošle súbor do telefónu. Zabezpečený telefón potom používa pripojenie TLS na interakciu so smerovačom s podporou SRST.

Signalizačné šifrovanie

Zaisťuje, že všetky SIP signalizačné správy, ktoré sa odosielajú medzi zariadením a Cisco Unified Communications Manager server, sú šifrované.

Alarm aktualizácie zoznamu certifikátov

Keď sa zoznam certifikátov aktualizuje v telefóne, Cisco Unified Communications Manager dostane alarm, ktorý indikuje úspech alebo neúspech aktualizácie. Ďalšie informácie nájdete v nasledujúcej tabuľke.

AES 256 Šifrovanie

Pri pripojení k Cisco Unified Communications Manager Release 10.5 (2) a novším telefóny podporujú podporu šifrovania AES 256 pre TLS a SIP pre signalizáciu a šifrovanie médií. To umožňuje telefónom iniciovať a podporovať pripojenia TLS 1.2 pomocou šifier založených na AES-256, ktoré vyhovujú štandardom SHA-2 (Secure Hash Algorithm) a sú kompatibilné s federálnymi štandardmi spracovania informácií (FIPS). Šifry zahŕňajú:

  • Pre pripojenia TLS:
    • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • Pre SRTP:
    • AEAD_AES_256_GCM
    • AEAD_AES_128_GCM

Ďalšie informácie nájdete v dokumentácii pre softvér Cisco Unified Communications Manager.

Certifikáty algoritmu digitálneho podpisu eliptickej krivky (ECDSA)

Ako súčasť certifikácie Common Criteria (CC), Cisco Unified Communications Manager; pridané certifikáty ECDSA vo verzii 11.0. Týka sa to všetkých produktov hlasového operačného systému (VOS) so systémom CUCM 11.5 a novšími verziami.

Certifikát Tomcat s viacerými servermi (SAN) s Cisco UCM

Telefón podporuje Cisco UCM s nakonfigurovanými certifikátmi Tomcat (Multi-server (SAN). Správnu adresu servera TFTP nájdete v súbore ITL telefónu na registráciu telefónu.

Ďalšie informácie o tejto funkcii nájdete v týchto témach:

Nasledujúca tabuľka obsahuje informácie o aktualizácii zoznamu dôveryhodných, výstražných hláseniach a význame. Ďalšie informácie nájdete v dokumentácii pre softvér Cisco Unified Communications Manager.

Tabuľka 2. Aktualizácia zoznamu certifikátov výstražné hlásenia
Kód a správa Popis

1 - TL_SUCCESS

Prijaté nové CTL a / alebo ITL

2 - CTL_INITIAL_SUCCESS

Prijaté nové CTL, žiadna existujúca TL

3 - ITL_INITIAL_SUCCESS

Prijaté nové ITL, žiadna existujúca TL

4 - TL_INITIAL_SUCCESS

Prijaté nové CTL a ITL, žiadna existujúca TL

5 - TL_FAILED_OLD_CTL

Aktualizácia na novú CTL zlyhala, ale má predchádzajúcu TL

6 - TL_FAILED_NO_TL

Aktualizácia na novú TL zlyhala a nemáte žiadnu starú TL

7 - TL_FAILED

Všeobecné zlyhanie

8 - TL_FAILED_OLD_ITL

Aktualizácia na nový ITL zlyhal, ale má predchádzajúcu TL

9 - TL_FAILED_OLD_TL

Aktualizácia na novú TL zlyhala, ale mala predchádzajúcu TL

Ponuka Nastavenie zabezpečenia poskytuje informácie o rôznych nastaveniach zabezpečenia. Ponuka tiež poskytuje prístup k ponuke Zoznam dôveryhodných certifikátov a označuje, či je v telefóne nainštalovaný súbor CTL alebo ITL.

Nasledujúca tabuľka popisuje možnosti v ponuke Nastavenie zabezpečenia.

Tabuľka 3. Ponuka nastavenia zabezpečenia

Možnosť

Popis

Zmena

Režim zabezpeč.

Zobrazuje režim zabezpečenia, ktorý je nastavený pre telefón.

V Cisco Unified Communications Manager Administration vyberte položku Zariadenie > telefón. Nastavenie sa zobrazí v časti Informácie špecifické pre protokol v okne Konfigurácia telefónu.

LSC

Označuje, či je v telefóne nainštalovaný certifikát lokálne významný pre funkcie zabezpečenia (nainštalovaný) alebo nie je nainštalovaný v telefóne (nie je nainštalovaný).

Informácie o tom, ako spravovať LSC pre váš telefón, nájdete v dokumentácii k vášmu konkrétnemu vydaniu Cisco Unified Communications Manager.

Nastavenie Locally Significant Certificate (LSC)

Táto úloha sa vzťahuje na nastavenie LSC pomocou metódy overovacieho reťazca.

Skôr než začnete

Uistite sa, že sú dokončené príslušné konfigurácie zabezpečenia Cisco Unified Communications Manager a Certificate Authority Proxy (CAPF):

  • Súbor CTL alebo ITL obsahuje certifikát CAPF.

  • V administrácii Cisco Unified Communications Operating System skontrolujte, či je nainštalovaný certifikát CAPF.

  • CAPF je spustený a nakonfigurovaný.

Ďalšie informácie o týchto nastaveniach nájdete v dokumentácii k vášmu konkrétnemu vydaniu Cisco Unified Communications Manager.

1

Získajte overovací kód CAPF, ktorý bol nastavený pri konfigurácii CAPF.

2

V telefóne stlačte Nastavenia the Settings hard key.

3

Ak sa zobrazí výzva, zadajte heslo pre prístup do ponuky Nastavenia . Heslo môžete získať od správcu.

4

Prejdite na položku Nastavenia siete a služieb > Zabezpečenie > LSC.

Prístup k ponuke Nastavenia môžete ovládať pomocou poľa Prístup k nastaveniam v Cisco Unified Communications Manager Administration.

5

Zadajte overovací reťazec a vyberte položku Odoslať.

Telefón začne inštalovať, aktualizovať alebo odstraňovať LSC v závislosti od konfigurácie CAPF. Po dokončení procedúry sa v telefóne zobrazí hlásenie Nainštalované alebo Nenainštalované.

Proces inštalácie, aktualizácie alebo odstránenia LSC môže trvať dlho.

Po úspešnej inštalácii telefónu sa zobrazí hlásenie Nainštalované . Ak sa v telefóne zobrazuje hlásenie Nenainštalované, autorizačný reťazec môže byť nesprávny alebo inovácia telefónu nemusí byť povolená. Ak operácia CAPF odstráni LSC, telefón zobrazí hlásenie Nenainštalované , čo znamená, že operácia bola úspešná. Server CAPF zaznamenáva chybové hlásenia. Pozrite si dokumentáciu k serveru CAPF, aby ste našli denníky a pochopili význam chybových hlásení.

Zapnutie režimu FIPS

1

V Cisco Unified Communications Manager Administration vyberte položku Zariadenie > Telefón a vyhľadajte telefón.

2

Prejdite do oblasti Konfigurácia špecifická pre daný produkt.

3

Pole Režim FIPS nastavte na hodnotu Povolené .

4

Kliknite na položku Uložiť.

5

Vyberte možnosť Použiť konfiguráciu.

6

Reštartujte telefón.

TURN vypnutie reproduktora, náhlavnej súpravy a slúchadla v telefóne

Máte možnosť natrvalo TURN vypnúť reproduktor, náhlavnú súpravu a slúchadlo v telefóne pre svojho používateľa.

1

V Cisco Unified Communications Manager Administration vyberte položku Zariadenie > Telefón a vyhľadajte telefón.

2

Prejdite do oblasti Konfigurácia špecifická pre daný produkt.

3

Začiarknite niektoré z nasledujúcich políčok, aby ste TURN vypli možnosti telefónu:

  • Vypnutie hlasného telefónu
  • Vypnúť reproduktor a náhlavnú súpravu
  • Vypnúť sluchátka

V predvolenom nastavení tieto začiarkavacie políčka nie sú začiarknuté.

4

Kliknite na položku Uložiť.

5

Vyberte možnosť Použiť konfiguráciu.

Overenie 802.1X

Cisco IP Phones podporuje autentifikáciu 802.1X.

Spínače Cisco IP Phones a Cisco Catalyst tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určenie parametrov, ako je alokácia VLAN a požiadavky na inline napájanie. CDP neidentifikuje lokálne pripojené pracovné stanice. Cisco IP Phones poskytnúť mechanizmus prechodu EAPOL-om. Tento mechanizmus umožňuje pracovnej stanici pripojenej k Cisco IP Phone odovzdávať správy EAPOL do autentifikátora 802.1X na prepínači LAN. Mechanizmus priechodu zabezpečuje, že telefón IP nefunguje ako prepínač LAN na autentifikáciu koncového bodu údajov pred prístupom do siete.

Cisco IP Phones tiež poskytnúť proxy mechanizmus odhlásenia EAPOL. Ak sa lokálne pripojený počítač odpojí od telefónu IP, prepínač siete LAN nevidí fyzické prepojenie zlyhané, pretože spojenie medzi prepínačom LAN a telefónom IP je zachované. Aby sa nenarušila integrita siete, telefón IP odošle prepínaču v mene nadväzujúceho počítača správu EAPOL-Odhlásenie, ktorá spustí prepínač siete LAN na vymazanie položky overenia pre nadväzujúci počítač.

Podpora overovania 802.1X vyžaduje niekoľko komponentov:

  • Cisco IP Phone: Telefón iniciuje žiadosť o prístup k sieti. Cisco IP Phones obsahovať prosebníka 802.1X. Tento prosebník umožňuje správcom siete kontrolovať pripojenie IP telefónov k portom prepínača LAN. Aktuálne vydanie prosebníka telefónu 802.1X využíva možnosti EAP-FAST a EAP-TLS na overovanie siete.

  • Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným kľúčom, ktorý autentifikuje telefón.

  • Prepínač: Prepínač musí podporovať štandard 802.1X, aby mohol fungovať ako autentifikátor a prenášať správy medzi telefónom a overovacím serverom. Po dokončení výmeny prepínač udelí alebo zakáže telefónu prístup k sieti.

Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.

  • Pred zapnutím overovania 802.1X v telefóne nakonfigurujte ostatné súčasti.

  • Konfigurácia portu PC: Štandard 802.1X neberie do úvahy VLAN, a preto odporúča, aby bolo na konkrétnom porte prepínača autentifikované iba jedno zariadenie. Niektoré prepínače však podporujú viacdoménové overovanie. Konfigurácia prepínača určuje, či je možné pripojiť počítač k portu PC telefónu.

    • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete zapnúť port počítača a pripojiť k nemu počítač. V tomto prípade Cisco IP Phones podporovať proxy EAPOL-Logoff na monitorovanie autentifikačných výmen medzi prepínačom a pripojeným počítačom.

      Ďalšie informácie o podpore štandardu IEEE 802.1X na spínačoch Cisco Catalyst nájdete v príručkách konfigurácie prepínača Cisco Catalyst na adrese:

      http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

    • Vypnuté: Ak prepínač nepodporuje viacero zariadení kompatibilných so štandardom 802.1X na rovnakom porte, mali by ste vypnúť port PC, keď je povolené overovanie 802.1X. Ak tento port nevypnete a potom sa k nemu pokúsite pripojiť počítač, prepínač zakáže sieťový prístup k telefónu aj počítaču.

  • Konfigurácia hlasu VLAN: Pretože štandard 802.1X nezohľadňuje siete VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínača.
    • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete v ňom pokračovať a používať hlas VLAN.
    • Vypnuté: Ak prepínač nepodporuje overovanie viacerých domén, vypnite hlas VLAN a zvážte priradenie portu k natívnemu VLAN.
  • (Iba pre Cisco stolový telefón série 9800)

    Cisco Stolový telefón série 9800 má inú predvoľbu v PID ako pre ostatné telefóny Cisco. Ak chcete, aby váš telefón prešiel overením 802.1X, nastavte okruh· Parameter používateľského mena na zahrnutie radu Cisco stolového telefónu 9800.

    Napríklad PID telefónu 9841 je DP-9841; môžete nastaviť polomer· Meno používateľa na začiatok na DP alebo obsahuje DP. Môžete ho nastaviť v oboch nasledujúcich častiach:

    • Zásada > Podmienky > Podmienky knižnice

    • Politika > Množiny politík> Autorizačná politika > Autorizačné pravidlo 1

Zapnutie overovania 802.1X

Overenie 802.1X môžete pre svoj telefón povoliť vykonaním týchto krokov:

1

Stlačte tlačidlo Nastaveniathe Settings hard key.

2

Ak sa zobrazí výzva, zadajte heslo pre prístup do ponuky Nastavenia . Heslo môžete získať od správcu.

3

Prejdite do časti Sieť a služby > Nastavenia zabezpečenia> Overenie 802.1X.

4

TURN o overení IEEE 802.1X.

5

Vyberte položku Použiť.

Zobrazenie informácií o nastaveniach zabezpečenia v telefóne

Informácie o nastaveniach zabezpečenia si môžete pozrieť v ponuke telefónu. Dostupnosť informácií závisí od nastavení siete vo vašej organizácii.

Tabuľka 4. Parametre pre nastavenie zabezpečenia

Parametre

Popis

Režim zabezpeč.

Zobrazuje režim zabezpečenia, ktorý je nastavený pre telefón.

LSC

Označuje, či je v telefóne nainštalovaný certifikát lokálne významný pre funkcie zabezpečenia (Áno) alebo nie je nainštalovaný v telefóne (Nie).

Zoznam dôveryhodných

Zoznam dôveryhodných obsahuje podponuky pre konfiguračné súbory CTL, ITL a Sign.

Vo vedľajšej ponuke CTL Súbor sa zobrazuje obsah súboru CTL. Podponuka Súbor ITL zobrazuje obsah súboru ITL.

V ponuke Zoznam dôveryhodných certifikátov sa zobrazujú aj nasledujúce informácie:

  • CTL Podpis: hash SHA1 súboru CTL
  • Unified CM/TFTP Server: názov servera Cisco Unified Communications Manager a TFTP, ktorý telefón používa. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.
  • CAPF Server: názov servera CAPF, ktorý telefón používa. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.
  • SRST Router: IP adresa dôveryhodného smerovača SRST, ktorý môže telefón používať. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.
Overenie 802.1XZapína alebo vypína overovanie IEEE 802.1X.

Podrobnosti nájdete v časti Overenie 802.1X.

Spätná kompatibilita s WPA

Určuje, či je najstaršia verzia chráneného prístupu Wi-Fi (WPA) kompatibilná s telefónom na pripojenie k bezdrôtovej sieti alebo prístupovému bodu (AP).

  • Ak je táto možnosť povolená, telefón môže vyhľadávať a pripájať sa k bezdrôtovým sieťam so všetkými podporovanými verziami WPA vrátane WPA, WPA2 a WPA3. Okrem toho môže telefón vyhľadávať a pripájať sa k prístupovým bodom, ktoré podporujú iba najstaršiu verziu WPA.
  • Ak je táto možnosť zakázaná (predvolené nastavenie), telefón môže vyhľadávať a pripájať sa iba k bezdrôtovým sieťam a prístupovým bodom, ktoré podporujú protokoly WPA2 a WPA3.

Táto funkcia je k dispozícii len na telefónoch 9861/9871/8875.

1

Stlačte tlačidlo Nastaveniathe Settings key.

2

Prejdite do časti Nastavenia siete a služby > Zabezpečenie.

3

V nastaveniach zabezpečenia si pozrite informácie o zabezpečení.

Zabezpečenie telefonických hovorov

Keď je implementované zabezpečenie telefónu, môžete identifikovať zabezpečené telefónne hovory podľa ikon na obrazovke telefónu. Zabezpečenie a ochranu pripojeného telefónu môžete určiť aj vtedy, ak sa na začiatku hovoru ozve tón zabezpečenia.

Pri zabezpečenom hovore sú všetky signalizácie hovorov a prúdy mediálnych údajov šifrované. Zabezpečený hovor ponúka vysokú úroveň zabezpečenia a poskytuje integritu a súkromie hovoru. Keď je prebiehajúci hovor šifrovaný, zobrazí sa ikona zabezpečeného hovoru Ikona zámku pre zabezpečený hovor Na linke. V prípade zabezpečeného telefónu môžete tiež zobraziť overenú ikonu Alebo na ikonu šifrovania Vedľa pripojeného servera v ponuke telefón (Nastavenia > Informácie o tomto zariadení).

Ak je hovor smerovaný cez spoje bez použitia protokolu IP, napríklad prostredníctvom verejnej telefónnej siete (PSTN), hovor môže byť nezabezpečený, aj keď je v rámci siete IP šifrovaný a je k nemu priradená ikona zámku.

Pri zabezpečenom hovore sa na začiatku hovoru prehrá bezpečnostný tón, ktorý oznamuje, že aj druhý pripojený telefón prijíma a vysiela zabezpečený zvuk. Ak sa hovor pripojí k nezabezpečenému telefónu, tón zabezpečenia sa neprehrá.

Zabezpečené volanie je podporované iba pre pripojenia medzi dvoma telefónmi. Niektoré funkcie, napríklad konferenčné hovory a zdieľané linky, nie sú pri nakonfigurovaní zabezpečeného hovoru dostupné.

Keď je telefón nakonfigurovaný ako bezpečný (šifrovaný a dôveryhodný) v Cisco Unified Communications Manager, môže dostať chránený stav. Potom, ak je to potrebné, môže byť chránený telefón nakonfigurovaný tak, aby na začiatku hovoru prehral indikačný tón:

  • Chránené zariadenie: Ak chcete zmeniť stav zabezpečeného telefónu na chránený, začiarknite políčko Chránené zariadenie v okne Konfigurácia telefónu v Cisco Unified Communications Manager Administration (Zariadenie > telefón).

  • Prehrať bezpečný indikačný tón: Ak chcete chránenému telefónu povoliť prehrávanie zabezpečeného alebo nezabezpečeného indikačného tónu, nastavte nastavenie Prehrať tón indikácie zabezpečené na hodnotu Pravda. Prehrať tón indikácie zabezpečeného prenosu je predvolene nastavený na hodnotu Nepravda. Túto možnosť nastavíte v Cisco Unified Communications Manager Administration (System> Service Parameters (Parametre systémuslužby). Vyberte server a potom službu Unified Communications Manager. V Service Parameter Configuration window vyberte možnosť v oblasti Funkcia - Tón zabezpečenia. Predvolená hodnota je False.

Bezpečná identifikácia konferenčného hovoru

Môžete iniciovať bezpečný konferenčný hovor a monitorovať úroveň zabezpečenia účastníkov. Zabezpečený konferenčný hovor sa vytvorí pomocou tohto postupu:

  1. Používateľ iniciuje konferenciu zo zabezpečeného telefónu.

  2. Cisco Unified Communications Manager priradí hovoru zabezpečený konferenčný most.

  3. Po pridaní účastníkov Cisco Unified Communications Manager overuje režim zabezpečenia každého telefónu a udržiava úroveň zabezpečenia konferencie.

  4. Telefón zobrazuje úroveň zabezpečenia konferenčného hovoru. Na zabezpečenej konferencii sa zobrazí ikona zabezpečeného Ikona zámku pre zabezpečený hovor.

Zabezpečené volanie je podporované medzi dvoma telefónmi. V chránených telefónoch nie sú pri nakonfigurovaní zabezpečeného hovoru dostupné niektoré funkcie, napríklad konferenčné hovory, zdieľané linky a Extension Mobility.

Nasledujúca tabuľka obsahuje informácie o zmenách úrovní zabezpečenia konferencie v závislosti od úrovne zabezpečenia telefónu iniciátora, úrovní zabezpečenia účastníkov a dostupnosti zabezpečených konferenčných mostov.

Tabuľka 5. Bezpečnostné obmedzenia pri konferenčných hovoroch

Úroveň zabezpečenia telefónu iniciátora

Použitá funkcia

Úroveň zabezpečenia účastníkov

Výsledky akcie

Nezabezpečené

Konferenčný hovor

Zabezpečený

Nezabezpečený konferenčný most

Nezabezpečená konferencia

Zabezpečený

Konferenčný hovor

Najmenej jeden člen nie je zabezpečený.

Zabezpečený konferenčný most

Nezabezpečená konferencia

Zabezpečený

Konferenčný hovor

Zabezpečený

Zabezpečený konferenčný most

Bezpečná konferencia na šifrovanej úrovni

Nezabezpečené

Zoznámte sa so mnou

Minimálna úroveň zabezpečenia je šifrovaná.

Iniciátor dostane správu Nespĺňa úroveň zabezpečenia, hovor bol odmietnutý.

Zabezpečený

Zoznámte sa so mnou

Minimálna úroveň zabezpečenia nie je zabezpečená.

Zabezpečený konferenčný most

Konferencia prijíma všetky hovory.

Bezpečná identifikácia telefonického hovoru

Zabezpečený hovor sa vytvorí, keď je váš telefón a telefón na druhom konci nakonfigurovaný na zabezpečené volanie. Druhý telefón môže byť v rovnakej sieti Cisco IP alebo v sieti mimo siete IP. Zabezpečené hovory je možné uskutočňovať iba medzi dvoma telefónmi. Konferenčné hovory by mali podporovať zabezpečený hovor po nastavení zabezpečeného konferenčného mosta.

Zabezpečený hovor sa vytvorí pomocou tohto procesu:

  1. Používateľ iniciuje hovor zo zabezpečeného telefónu (zabezpečený režim zabezpečenia).

  2. Telefón zobrazí ikonu zabezpečenia Ikona zámku pre zabezpečený hovor Na obrazovke telefónu. Táto ikona označuje, že telefón je nakonfigurovaný na zabezpečené hovory, ale to neznamená, že je zabezpečený aj druhý pripojený telefón.

  3. Ak sa hovor pripája k inému zabezpečenému telefónu, používateľ počuje bezpečnostný tón, ktorý naznačuje, že oba konce konverzácie sú šifrované a zabezpečené. Ak sa hovor pripojí k nezabezpečenému telefónu, používateľ nepočuje tón zabezpečenia.

Zabezpečené volanie je podporované medzi dvoma telefónmi. V chránených telefónoch nie sú pri nakonfigurovaní zabezpečeného hovoru dostupné niektoré funkcie, napríklad konferenčné hovory, zdieľané linky a Extension Mobility.

Tieto zabezpečené alebo nezabezpečené indikačné tóny prehrávajú iba chránené telefóny. Nechránené telefóny nikdy neprehrávajú zvuky. Ak sa počas hovoru zmení celkový stav hovoru, zmení sa tón signalizácie a chránený telefón prehrá príslušný tón.

Chránený telefón prehrá tón alebo nie za týchto okolností:

  • Keď je zapnutá možnosť Prehrať bezpečný indikačný tón:

    • Keď je vytvorené zabezpečené médium počas celého spojenia a stav hovoru je zabezpečený, telefón prehrá tón signalizácie zabezpečeného spojenia (tri dlhé pípnutia s prestávkami).

    • Keď je vytvorené nezabezpečené médium typu end-to-end a stav hovoru je nezabezpečený, telefón prehrá nezabezpečený indikačný tón (šesť krátkych pípnutí s krátkymi prestávkami).

Ak je vypnutá možnosť Prehrať tón zabezpečenej indikácie, neprehrá sa žiadny tón.

Poskytnutie šifrovania pre nákladný čln

Cisco Unified Communications Manager kontroluje stav zabezpečenia telefónu pri vytváraní konferencií a mení indikáciu zabezpečenia konferencie alebo blokuje dokončenie hovoru, aby sa zachovala integrita a bezpečnosť v systéme.

Používateľ nemôže vstúpiť do šifrovaného hovoru, ak telefón, ktorý sa používa na pristúpenie, nie je nakonfigurovaný na šifrovanie. Ak čln v tomto prípade zlyhá, zaznie v telefóne, v ktorom bol čln iniciovaný, tón zmeny poradia (rýchlo obsadený).

Ak je telefón iniciátora nakonfigurovaný na šifrovanie, iniciátor člna môže vstúpiť do nezabezpečeného hovoru zo šifrovaného telefónu. Po uskutočnení člna Cisco Unified Communications Manager klasifikuje hovor ako nezabezpečený.

Ak je telefón iniciátora nakonfigurovaný na šifrovanie, iniciátor člna môže vstúpiť do šifrovaného hovoru a telefón označí, že hovor je šifrovaný.

Zabezpečenie WLAN

Pretože všetky zariadenia WLAN, ktoré sú v dosahu, môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieťach WLAN rozhodujúce. Aby sa zabezpečilo, že votrelci nebudú manipulovať ani nezachytiť hlasovú prevádzku, architektúra Cisco SAFE Security podporuje telefón. Ďalšie informácie o zabezpečení sietí nájdete v téme http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Riešenie bezdrôtovej IP telefónie Cisco poskytuje zabezpečenie bezdrôtovej siete, ktoré zabraňuje neoprávneným prihláseniam a narušeniu komunikácie pomocou nasledujúcich metód overovania, ktoré telefón podporuje:

  • Otvorené overenie: Každé bezdrôtové zariadenie môže požiadať o overenie v otvorenom systéme. Prístupový bod, ktorý prijme žiadosť, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) mohla byť nešifrovaná.

  • Extensible Authentication Protocol-Flexibilné overovanie prostredníctvom zabezpečeného tunelovania (EAP-FAST) Autentifikácia: Táto architektúra zabezpečenia klient-server šifruje EAP transakcie v rámci tunela Transport Level Security (TLS) medzi prístupovým bodom a serverom RADIUS, ako je napríklad Identity Services Engine (ISE).

    Tunel TLS používa poverenia chráneného prístupu (PAC) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle klientovi (telefónu) ID autority (AID), ktoré v TURN vyberie príslušné PAC. Klient (telefón) vráti PAC-Opaque na server RADIUS. Server dešifruje PAC primárnym kľúčom. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

    V systéme ISE predvolene platnosť PAC vyprší o týždeň. Ak má telefón PAC s vypršanou platnosťou, overenie pomocou servera RADIUS trvá dlhšie, kým telefón dostane nový PAC. Aby ste sa vyhli oneskoreniam pri poskytovaní PAC, nastavte dobu vypršania platnosti PAC na 90 dní alebo dlhšie na serveri ISE alebo RADIUS.

  • Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Autentifikácia: EAP-TLS vyžaduje certifikát klienta na autentifikáciu a prístup do siete. V prípade bezdrôtového pripojenia EAP-TLS môže byť certifikátom klienta certifikát MIC, LSC, alebo certifikát nainštalovaný používateľom.

  • Protected Extensible Authentication Protocol (PEAP): Cisco proprietárna vzájomná autentifikačná schéma založená na hesle medzi klientom (telefónom) a serverom RADIUS. Telefón môže používať PEAP na autentifikáciu v bezdrôtovej sieti. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.

  • Predzdieľaný kľúč (PSK): Telefón podporuje formát ASCII. Tento formát musíte použiť pri nastavovaní predzdieľaného kľúča WPA/WPA2/SAE:

    ASCII: reťazec znakov ASCII s dĺžkou 8 až 63 znakov (0-9, malé a veľké písmená A-Z a špeciálne znaky)

    Príklad: GREG123567@9ZX&W

Nasledujúce schémy overovania používajú server RADIUS na správu autentifikačných kľúčov:

  • WPA/WPA2/WPA3: Používa informácie o serveri RADIUS na generovanie jedinečných kľúčov na overenie. Keďže tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako WPA predzdieľané kľúče, ktoré sú uložené v prístupovom bode a telefóne.

  • Rýchly zabezpečený roaming: Používa informácie zo servera RADIUS a bezdrôtového doménového servera (WDS) na správu a overovanie kľúčov. WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu. Cisco Stolový telefón 9861 a 9871 a Cisco Video Phone 8875 podporujú 802.11r (FT). Podporované sú vzduchom aj DS, ktoré umožňujú rýchly a bezpečný roaming. Dôrazne však odporúčame použiť metódu 802.11r (FT) nad vzduchom.

Pri WPA/WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale automaticky sa odvodzujú medzi prístupovým bodom a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na overenie, však musia byť zadané na každom telefóne.

Aby bola hlasová prevádzka bezpečná, telefón podporuje šifrovanie TKIP a AES. Keď sa tieto mechanizmy používajú na šifrovanie, medzi prístupovým bodom a telefónom sú šifrované pakety signalizujúce SIP aj hlasové pakety protokolu prenosu v reálnom čase (RTP).

TKIP

WPA používa šifrovanie TKIP, ktoré má oproti WEP niekoľko vylepšení. TKIP poskytuje šifrovanie kľúčom pre každý paket a dlhšie inicializačné vektory (IV), ktoré posilňujú šifrovanie. Okrem toho kontrola integrity správ (MIC) zabezpečuje, že šifrované pakety sa nemenia. TKIP odstraňuje predvídateľnosť WEP, ktorá pomáha votrelcom dešifrovať kľúč WEP.

AES

Metóda šifrovania používaná na overovanie WPA2/WPA3. Tento národný štandard pre šifrovanie používa symetrický algoritmus, ktorý má rovnaký kľúč na šifrovanie a dešifrovanie. AES používa šifrovanie Cipher Blocking Chain (CBC) s veľkosťou 128 bitov, ktoré podporuje minimálne veľkosti kľúčov 128 bitov, 192 bitov a 256 bitov. Telefón podporuje veľkosť kľúča 256 bitov.

Cisco Stolový telefón 9861 a 9871 a Cisco Video Phone 8875 nepodporujú Cisco Key Integrity Protocol (CKIP) s CMIC.

Schémy overovania a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. VLAN sú konfigurované v sieti a na prístupových bodoch a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou autentifikačnou a šifrovacou schémou. Ak chcete, aby sa bezdrôtové klientske zariadenia úspešne overili, musíte na prístupových bodoch a v telefóne nakonfigurovať rovnaké identifikátory SSID s ich schémami overovania a šifrovania.

Niektoré schémy overovania vyžadujú špecifické typy šifrovania.

  • Ak použijete WPA predzdieľaný kľúč, WPA2 predzdieľaný kľúč alebo SAE, predzdieľaný kľúč musí byť staticky nastavený v telefóne. Tieto klávesy sa musia zhodovať s klávesmi, ktoré sú na prístupovom bode.

  • Telefón podporuje automatické vyjednávanie EAP pre FAST alebo PEAP, ale nie pre TLS. Pre režim EAP-TLS ho musíte zadať.

Schémy overovania a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre telefón, ktorá zodpovedá konfigurácii prístupového bodu.

Tabuľka 6. Schémy autentifikácie a šifrovania
Typ FSROverovanieSpráva kľúčovŠifrovanieChránený rámec správy (PMF)
802.11r (FT)PSK

WPA-PSK

WPA-PSK-SHA256

FT-PSK

AESNie
802.11r (FT)WPA3

SAE

FT-SAE

AESÁno
802.11r (FT)EAP-TLS

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-TLS (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno
802.11r (FT)EAP-FAST

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-FAST (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno
802.11r (FT)EAP-PEAP

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-PEAP (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno

Konfigurácia profilu bezdrôtovej siete LAN

Profil bezdrôtovej siete môžete spravovať konfiguráciou poverení, frekvenčného pásma, metódy overovania atď.

Pred konfiguráciou profilu WLAN nezabudnite na nasledujúce poznámky:

  • Meno používateľa a heslo

    • Ak vaša sieť používa na overenie používateľa EAP-FAST a PEAP, musíte v službe RADIUS (Remote Authentication Dial-In User Service) a telefóne nakonfigurovať meno používateľa aj heslo, ak sa to vyžaduje.

    • Poverenia, ktoré zadáte do profilu bezdrôtovej siete LAN, musia byť totožné s povereniami, ktoré ste nakonfigurovali na serveri RADIUS.

    • Ak používate domény v rámci svojej siete, musíte zadať meno používateľa s názvom domény vo formáte: doména\menopoužívateľa.

  • Nasledujúce akcie môžu viesť k vymazaniu existujúceho hesla Wi-Fi:

    • Zadanie neplatného ID používateľa alebo hesla
    • Inštalácia neplatnej alebo expirovanej koreňovej certifikačnej autority, keď je typ EAP nastavený na PEAP-MSCHAPV2 alebo PEAP-GTC
    • Vypnutie používaného typu EAP na serveri RADIUS pred prepnutím telefónu na nový typ EAP
  • Ak chcete zmeniť typ EAP, uistite sa, že ste najskôr povolili nový typ EAP na serveri RADIUS a potom prepnite telefón na typ EAP. Po zmene všetkých telefónov na nový typ EAP môžete predchádzajúci typ EAP zakázať, ak chcete.
1

V Cisco Unified Communications Manager Administration vyberte položku Device > Device Settings > Wireless LAN Profile.

2

Vyberte sieťový profil, ktorý chcete nakonfigurovať.

3

Nastavte parametre.

4

Kliknite na položku Uložiť.

Konfigurácia parametrov SCEP

Protokol jednoduchého zápisu certifikátu (SCEP) je štandard pre automatické zaisťovanie a obnovovanie certifikátov. Server SCEP môže automaticky uchovávať vaše užívateľské a serverové certifikáty.

Na webovej stránke telefónu musíte nakonfigurovať nasledujúce parametre SCEP

  • Adresa IP RA

  • SHA-1 alebo SHA-256 odtlačok koreňového certifikátu CA pre server SCEP

Cisco IOS Registration Authority (RA) slúži ako proxy server SCEP. Klient SCEP v telefóne používa parametre, ktoré sú prevzaté z aplikácie Cisco Unified Communication Manager. Po nakonfigurovaní parametrov telefón odošle požiadavku SCEP getcs do RA a koreňový certifikát CA sa overí pomocou definovaného odtlačku prsta.

Skôr než začnete

Na serveri SCEP nakonfigurujte registračného agenta SCEP (RA) na:

  • Pôsobiť ako bod dôvery PKI
  • Pôsobiť ako PKI RA
  • Vykonanie overenia zariadenia pomocou servera RADIUS

Ďalšie informácie nájdete v dokumentácii k serveru SCEP.

1

Na Cisco Unified Communications Manager Administration vyberte položku Zariadenie > telefón.

2

Vyhľadajte telefón.

3

Prejdite do oblasti Rozloženie konfigurácie špecifickej pre daný produkt.

4

Začiarknite políčko WLAN SCEP Server pre aktiváciu parametra SCEP.

5

Začiarknite políčko WLAN Root CA Fingerprint (SHA256 or SHA1) , aby ste aktivovali parameter SCEP QED.

Nastavenie podporovaných verzií TLS

Môžete nastaviť minimálnu verziu TLS požadovanú pre klienta resp. server.

V predvolenom nastavení je minimálna TLS verzia servera aj klienta 1.2. Toto nastavenie má vplyv na nasledujúce funkcie:

  • Pripojenie webového prístupu HTTPS
  • Adaptácia lokálneho telefónu
  • Onboarding pre mobilné zariadenia a Remote Access (MRA)
  • Služby HTTPS, ako sú adresárové služby
  • Zabezpečenie transportnej vrstvy datagramu (DTLS)
  • Entita prístupu k portom (PAE)
  • Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)

Ďalšie informácie o kompatibilite TLS 1.3 pre Cisco IP Phones nájdete v téme TLS 1.3 matice kompatibility pre Cisco produkty spolupráce.

1

Prihláste sa do rozhrania správy systému Cisco Unified Communications Manager ako správca.

2

Prejdite do jedného z nasledujúcich okien:

  • Konfigurácia systému > podnikového telefónu
  • Zariadenie > Nastavenia zariadenia> Spoločný profil telefónu
  • Konfigurácia zariadenia > telefónu > telefónu
3

Nastavte pole TLS Minimálna verzia klienta :

Možnosť "TLS 1.3" je k dispozícii na Cisco Unified CM 15SU2 alebo novšej.

  • TLS 1.1: Klient TLS podporuje verzie TLS od 1.1 do 1.3.

    Ak je verzia TLS na serveri nižšia ako 1.1, napríklad 1.0, pripojenie sa nedá nadviazať.

  • TLS 1.2 (predvolené): Klient TLS podporuje TLS 1.2 a 1.3.

    Ak je verzia TLS na serveri nižšia ako 1.2, napríklad 1.1 alebo 1.0, pripojenie nie je možné nadviazať.

  • TLS 1.3: Klient TLS podporuje iba TLS 1.3.

    Ak je verzia TLS na serveri nižšia ako 1.3, napríklad 1.2, 1.1 alebo 1.0, pripojenie nie je možné nadviazať.

4

Nastavte pole TLS Server Min Version :

  • TLS 1.1: Server TLS podporuje verzie TLS od 1.1 do 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.1, napríklad 1.0, pripojenie nie je možné nadviazať.

  • TLS 1.2 (predvolené): Server TLS podporuje TLS 1.2 a 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.2, napríklad 1.1 alebo 1.0, pripojenie nie je možné nadviazať.

  • TLS 1.3: Server TLS podporuje iba TLS 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.3, napríklad 1.2, 1.1 alebo 1.0, pripojenie nie je možné nadviazať.

Od vydania PhoneOS 3.2 nastavenie poľa "Zakázať TLS 1.0 a TLS 1.1 pre webový prístup" nemá vplyv na telefóny.

5

Kliknite na položku Uložiť.

6

Kliknite na možnosť Použiť konfiguráciu.

7

Reštartujte telefóny.

Assured Services SIP

Assured Services SIP(AS-SIP) je kolekcia funkcií a protokolov, ktoré ponúkajú vysoko bezpečný tok hovorov pre telefóny Cisco IP Phones a tretích strán. Nasledujúce funkcie sú spoločne známe ako AS-SIP:

  • Viacúrovňová priorita a predkupné právo (MLPP)
  • Bod kódu diferencovaných služieb (DSCP)
  • Transport Layer Security (TLS) a Secure Real-time Transport Protocol (SRTP)
  • Internetový protokol verzie 6 (IPv6)

AS-SIP sa často používa s viacúrovňovou prioritou a preempciou (MLPP) na uprednostnenie hovorov počas núdzovej situácie. Pomocou funkcie MLPP priraďujete odchádzajúcim hovorom úroveň priority, a to od úrovne 1 (nízka) po úroveň 5 (vysoká). Po prijatí hovoru sa na telefóne zobrazí ikona úrovne priority hovoru.

Ak chcete nakonfigurovať AS-SIP, vykonajte nasledujúce úlohy na Cisco Unified Communications Manager:

  • Konfigurácia používateľa Digest—Nakonfigurujte koncového používateľa tak, aby používal overenie Digest pre SIP požiadavky.
  • Konfigurácia SIP Phone Secure Port—Cisco Unified Communications Manager používa tento port na počúvanie telefónov SIP pre registrácie liniek SIP cez TLS.
  • Reštartovať služby – po nakonfigurovaní zabezpečeného portu reštartujte služby poskytovateľa Cisco Unified Communications Manager a Cisco CTL. Konfigurácia profilu SIP pre AS-SIP-Nakonfigurujte profil SIP s nastaveniami SIP pre koncové body AS-SIP a pre prenosové spoje SIP. Parametre špecifické pre telefón sa nesťahujú do telefónu AS-SIP tretej strany. Používa ich iba Cisco Unified Manager. Telefóny tretích strán musia lokálne nakonfigurovať rovnaké nastavenia.
  • Konfigurácia profilu zabezpečenia telefónu pre AS-SIP—Profil zabezpečenia telefónu môžete použiť na priradenie nastavení zabezpečenia, ako napríklad TLS, SRTP, a overenie Digest.
  • Konfigurácia AS-SIP koncového bodu - Nakonfigurujte Cisco IP Phone alebo koncový bod tretej strany s podporou AS-SIP.
  • Priradiť zariadenie ku koncovému používateľovi – priraďte koncový bod k používateľovi.
  • Konfigurácia profilu zabezpečenia prenosového spoja SIP pre AS-SIP—Profil zabezpečenia prenosového spoja SIP môžete použiť na priradenie funkcií zabezpečenia, ako napríklad TLS alebo overenie Digest, do prenosového spoja SIP.
  • Nakonfigurujte prenosový spoj SIP pre AS-SIP—Nakonfigurujte prenosový spoj SIP s podporou AS-SIP.
  • Konfigurácia funkcií AS-SIP—Nakonfigurujte ďalšie funkcie AS-SIP, ako napríklad MLPP, TLS, V.150 a IPv6.

Podrobné informácie o konfigurácii AS-SIP nájdete v kapitole "Konfigurácia koncových bodov AS-SIP" v Príručke konfigurácie funkcií pre Cisco Unified Communications Manager.

Viacúrovňová priorita a predkupné právo

Funkcia Multilevel Precedence and Preemption (MLPP) vám umožňuje uprednostniť hovory počas núdzových alebo iných krízových situácií. Odchádzajúcim hovorom v rozsahu od 1 do 5 priradíte prioritu. Pri prichádzajúcich hovoroch sa zobrazuje ikona a priorita hovoru. Overení užívatelia môžu predbiehať hovory na cieľové stanice alebo prostredníctvom plne predplatených prenosových spojov TDM.

Táto schopnosť zabezpečuje vysoko postavený personál komunikácie s kritickými organizáciami a personálom.

Ak je vytočené číslo manipulované vzorom prekladu alebo smerovania, ktorý je nakonfigurovaný na Unified CM, iniciátor hovoru MLPP môže tiež vidieť špeciálnu ikonu MLPP a úroveň priority na obrazovke telefónu a počuť tón zvonenia. Toto správanie sa dosiahne po vydaní PhoneOS 3.4.

Funkcia MLPP pre telefóny so systémom PhoneOS vyžaduje vydanie Unified CM 15SU3 alebo novšie.

Konfigurácia MLPP na Unified CM

Ak chcete túto funkciu nakonfigurovať, postupujte takto:

  1. Nakonfigurujte domény a zoznamy domén.
    1. V Cisco Unified CM Administration vyberte položku System>MLPP > Domain > MLPP Domain (Doména# a pridajte nové domény MLPP.
    2. Vyberte položku System > MLPP > Namespace > Resource Priority Namespace Network Domain, pridajte registrované priestory názvov, napríklad "drsn", "dsn", "cuc", "uc", "q735". Potom vyberte jeden názov domény, ktorý sa má nastaviť ako predvolený.
    3. Vyberte položku System > MLPP > Namespace > Resource Priority Namespace List (Zoznam priestoru názvov priorít zdrojov) a pridajte zoznamy priestoru názvov.
  2. Nakonfigurujte profil SIP.
    1. Vyberte položku Device > Device Settings (Nastavenia zariadenia > SIP Profile a pridajte nový profil SIP.
    2. Začiarknite políčko MLPP Autorizácia používateľa , ak chcete, aby telefón vyžadoval poverenia používateľa pre hovory MLPP.
    3. Vyberte nakonfigurovaný priestor názvov priority prostriedkov v časti Priestor názvov priority prostriedkov.
    4. Vyberte nakonfigurovaný zoznam priestoru názvov zo zoznamu priestoru názvov priority prostriedkov.
  3. Nakonfigurujte telefón.
    1. Vyberte položku Zariadenie > Telefón, aktualizujte alebo pridajte telefón.
    2. Vyberte nakonfigurovaný profil SIP z profiluSIP.
    3. V častiach MLPP a Confidential Access Level Informácie nakonfigurujte parametre MLPP Doména, MLPP Indikácia a MLPP Predkupné právo.
  4. Nakonfigurujte číslo adresára.
    1. Vyberte položku Zariadenie > Telefón a pridajte alebo aktualizujte linku.
    2. V časti MLPP Nastavenia alternatívnej strany a Confidential Access Level nakonfigurujte parametre Cieľ (cieľ), MLPP Calling Search Space a MLPP Trvanie zvonenia bez odpovede (sekundy).
    3. V časti Nastavenia čakajúceho hovoru alebo hovoru nakonfigurujte parameter Limity obsadenia.
  5. Nakonfigurujte koncového používateľa.
    1. Vyberte položku Správa používateľov > Koncový používateľ, pridajte novú.
    2. Kliknutím na položku Priradenie zariadenia priraďte používateľa k nakonfigurovanému telefónu.
    3. V časti Mutilevel Precedence and Preemption Authorization nakonfigurujte parametre.
  6. Ďalšie parametre pre MLPP môžete nakonfigurovať podľa svojich aktuálnych požiadaviek.
    • Vyberte položku Parameter systému >služby. Nakonfigurujte parametre v časti Parametre celého klastra (Funkcia - Viacúrovňová priorita a predkupné právo).
    • Vyberte položku Parameter systému >služby. Nakonfigurujte DSCP pre prioritné hovory v časti Parametre celého klastra (Systém - QOS).
    • Vyberte položku Parameter systému >služby. Nakonfigurujte MLPP prioritu pre mapovanie priorít SRVP v časti Parametre celého klastra (Systém - RSVP).
    • Nakonfigurujte vzory smerovača podľa vzoru smerovania hovorov > smerovania alebo pátrania > smerovača.
    • Nakonfigurujte pilotov pátrania pomocou funkcie Call Routing > Route/Hunt > Hunt Pilot.
    • Nakonfigurujte vzory prekladu pomocou vzoru smerovania hovoru > prekladu.
    • Nakonfigurujte brány, prenosové spoje, predvolený profil zariadenia, profil používateľského zariadenia, bežnú konfiguráciu zariadenia pre MLPP.

MLPP sa často používa s Assured Services SIP(AS-SIP). Podrobné informácie o konfigurácii MLPP nájdete v kapitole Konfigurácia viacúrovňovej priority a zabránenia v Príručke konfigurácie funkcií pre Cisco Unified Communications Manager.

Konfigurácia VPN

Funkcia Cisco VPN pomáha zachovať bezpečnosť siete a zároveň poskytuje používateľom bezpečný a spoľahlivý spôsob pripojenia k podnikovej sieti. Túto funkciu použite, keď:

  • Telefón sa nachádza mimo dôveryhodnej siete
  • Sieťová prevádzka medzi telefónom a Cisco Unified Communications Manager prechádza nedôveryhodnou sieťou

S VPN existujú tri bežné prístupy k autentifikácii klienta:

  • Digitálne certifikáty
  • Heslá
  • Meno používateľa a heslo

Každá metóda má svoje výhody. Ak to však vaša firemná bezpečnostná politika povoľuje, odporúčame prístup založený na certifikátoch, pretože certifikáty umožňujú bezproblémové prihlásenie bez zásahu používateľa. Podporované sú certifikáty LSC aj MIC.

Ak chcete nakonfigurovať niektorú z funkcií VPN, najprv zriaďte zariadenie lokálne a potom môžete zariadenie nasadiť mimo priestorov.

Ďalšie informácie o overovaní certifikácie a práci so sieťou VPN nájdete v časti Konfigurácia telefónu AnyConnect VPN pomocou overenia certifikátom na ASA.

Pri prístupe založenom na hesle alebo mene používateľa a hesle sa používateľovi zobrazí výzva na zadanie prihlasovacích poverení. Nastavte prihlasovacie poverenia používateľa v súlade so zásadami zabezpečenia vašej spoločnosti. Môžete tiež nakonfigurovať nastavenie Povoliť pretrvávanie hesla tak, aby sa používateľské heslo uložilo do telefónu. Heslo používateľa sa uchováva, kým nedôjde k neúspešnému pokusu o prihlásenie, kým používateľ manuálne nevymaže heslo, alebo kým sa telefón neresetuje alebo nestratí napájanie.

Ďalším užitočným nástrojom je nastavenie Povoliť automatickú detekciu siete. Keď povolíte toto políčko, VPN klient sa môže spustiť len vtedy, keď zistí, že sa nachádza mimo podnikovej siete. Toto nastavenie je predvolene zakázané.

Váš telefón Cisco podporuje Cisco SVC IPPhone Client v1.0 ako typ klienta.

Ďalšie informácie o konfigurácii VPN na Unified CM nájdete v téme Sprievodca konfiguráciou funkcií pre Cisco Unified Communications Manager.

Funkcia Cisco VPN používa Secure Sockets Layer (SSL) na zachovanie bezpečnosti siete.