- Domov
- /
- Článok
Ďakujeme za vašu spätnú väzbu.
V tomto článku
Spätná väzba?Tento článok pomocníka je určený pre Cisco Desk Phone 9800 Series a Cisco Video Phone 8875, ktoré sú zaregistrované na Cisco Unified Communications Manager.
Môžete povoliť fungo Cisco Unified Communications Manager vanie vo vylepšenom bezpečnostnom prostredí. Vďaka týmto vylepšeni am funguje vaša telefónna sieť pod súborom prísnych kontrol zabezpečenia a riadenia rizík, ktoré chránia vás a vašich používateľov.
Vylepšené bezpečnostné prostredie obsahuje nasledujúce funkcie:
-
Autentifikácia vyhľadávania kontaktov (iba pre vlastné adres áre)
-
TCP ako predvolený protokol pre zaznamenávanie vzdialeného auditu
-
Režim FIPS
-
Vylepšená politika prihlasovacích údajov
-
Podpora rodiny hashov SHA-2 pre digitálne podpisy
-
Podpora pre veľkosť kľúča RSA 512 bitov a 4096 bitov
S verzi Cisco Unified Communications Manager ou 14.0 a verziou firmvéru Cisco Video Phone Release 2.1 a novším telefóny podporujú autentifikáciu SIP OAuth.
OAuth je podporovaný pre protokol Proxy Trivial File Transfer Protocol (TFTP) s Cisco Unified Communications Manager vydaním 14.0 (1) SU1 alebo novším. Proxy TFTP a OAuth pre Proxy TFTP nie sú podporované v mobile Remote Access (MRA).
Ďalšie informácie o bezpečnosti nájdete v nasledujúcom texte:
-
S@@ prievodca konfiguráciou systému pre Cisco Unified Communications Manager verziu 14.0 (1) alebo novšiu verziu (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-installation-and-configuration-guides-list.html).
-
Bezpečnostná príruč Cisco Unified Communications Manager ka pre (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-maintenance-guides-list.html)
Podporované bezpečnostné funkcie
Zabezpečovacie prvky chránia pred hrozbami vrátane hrozieb pre identitu telef ónu a dáta. Tieto funkcie vytvárajú a udržiavajú overené komunikačné toky medzi telefónom a Cisco Unified Communications Manager serverom a zabezpečujú, že telefón používa iba digitálne podpísané súbory.
Cisco Unified Communications ManagerVydanie 8.5 (1) a novšie obsahuje predvolene zabezpečenie, ktoré poskytuje nasledujúce bezpečnostné funkcie pre telefóny Cisco IP bez spustenia klienta CTL:
-
Podpisovanie konfiguračných súborov telefónu
-
Šifrovanie konfiguračného súboru telefónu
-
HTTPS s Tomcat a inými webovými službami
Funkcie bezpečnej signalizácie a médií stále vyžadujú spustenie klienta CTL a používanie hardvérových eToken.
Implementácia zabezpečenia v Cisco Unified Communications Manager systéme zabraňuje krádeži identity telefónu a Cisco Unified Communications Manager servera, zabraňuje manipulácii s údajmi a zabraňuje signalizácii hovorov a manipulácii s mediálnym prúdom.
Na zmiernenie týchto hrozieb IP telefónna sieť Cisco vytvára a udržiava bezpečné (šifrované) komunikačné toky medzi telefónom a serverom, digitálne podpisuje súbory pred ich prenosom do telefónu a šifruje mediálne toky a signalizáciu hovorov medzi telefónmi Cisco IP.
Lokálne významný certifikát (LSC) sa nainštaluje do telefónov po vykonaní potrebných úloh spojených s funkciou Certificate Authority proxy (CAPF). Môžete použiť Cisco Unified Communications Manager Administration na konfiguráciu LSC, ako je opísané v príručke Cisco Unified Communications Manager zabezpečenia. Prípadne môžete začať inštaláciu LSC z ponuky Nastavenia zabezpečenia v telefóne. Táto ponuka vám tiež umožňuje aktualizovať alebo odstrániť LSC.
Od vydania PhoneOS 3.2 môže byť LSC použitý ako používateľský certifikát pre EAP-TLS s autentifikáciou WLAN.
Telefóny používajú bezpečnostný profil telefónu, ktorý určuje, či zariadenie nie je zabezpečené alebo bezpečné. Informácie o použití bezpečnostného profilu v telefóne nájdete v dokumentácii pre konkrétne vy Cisco Unified Communications Manager danie.
Ak nastavíte nastavenia súvisiace s bezpečnosťou v nastaveníCisco Unified Communications Manager Administration, konfiguračný súbor telefónu obsahuje citlivé informácie. Ak chcete zabezpečiť súkromie konfigur ačného súboru, musíte ho nakonfigurovať na šifrovanie. Podrobné informácie nájdete v dokumentácii pre konkrétne vy Cisco Unified Communications Manager danie.
Telefón je v súlade s federálnym štandardom spracovania informácií (FIPS). Na správne fungovanie režimu FIPS vyžaduje veľkosť kľúča 2048 bitov alebo viac. Ak je certifikát menší ako 2048 bitov, telefón sa nezaregistruje Cisco Unified Communications Manager a telefón sa nezaregistroval. Veľkosť kľúča Cert nie je displejom v telefóne kompatibilným s FIPS.
Ak má telefón LSC, musíte pred povolením FIPS aktualizovať veľkosť kľúča LSC na 2048 bitov alebo viac.
Nasledujúca tabuľka poskytuje prehľad bezpečnostných funkcií, ktoré telefóny podporujú. Ďalšie informácie nájdete v dokumentácii pre konkrétne vy Cisco Unified Communications Manager danie.
Ak chcete zobraziť režim zabezpečenia, stlačte tlači dlo Nastavenia 
a prejdite na .
|
Funkcia |
Popis |
|---|---|
|
Autentifikácia obrázkov |
Podpísané binárne súbory zabraňujú manipulácii s obrázkom firmvéru pred načítaním obrázka do telefónu. Manipulácia s obrázkom spôsobí, že telefón zlyhá proces autentifikácie a odmietne nový obrázok. |
|
Inštalácia certifikátu zákazníckeho miesta |
Každý telefón Cisco IP vyžaduje jedinečný certifikát na autentifikáciu zariadenia. Telefóny obsahujú certifikát nainštalovaný vo výrobe (MIC), ale pre dodatočnú bezpečnosť môžete zadať inštaláciu certifikátu Cisco Unified Communications Manager Administration pomocou funkcie Certificate Authority Proxy (CAPF). Prípadne môžete nainštalovať Locally Significant Certificate (LSC) z ponuky Konfigurácia zabezpečenia v telefóne. |
|
Autentifikácia zariadenia |
Vyskytuje sa medzi Cisco Unified Communications Manager serverom a telefónom, keď každá entita akceptuje certifikát druhej entity. Určuje, či Cisco Unified Communications Manager by malo dôjsť k bezpečnému spojeniu medzi telefónom a a; a ak je to potrebné, vytvorí bezpečnú signalizačnú cestu medzi entitami pomocou protokolu TLS. Cisco Unified Communications Managerne zaregistruje telefóny, pokiaľ ich nedokáže overiť. |
|
Autentifikácia súborov |
Overuje digitálne podpísané súbory, ktoré telefón stiahne. Telefón overí podpis, aby sa ubezpečil, že po vytvorení súboru nedošlo k manipulácii so súbormi. Súbory, ktoré zlyhajú pri autentifikácii, sa nezapíšu do pamäte Flash v telefóne. Telefón takéto súbory odmieta bez ďalšieho spracovania. |
|
Šifrovanie súborov |
Šifrovanie zabraňuje odhaleniu citlivých informácií počas prenosu súboru do telefónu. Telefón okrem toho overuje podpis, aby sa ubezpe čil, že po vytvorení súboru nedošlo k manipulácii so súbormi. Súbory, ktoré zlyhajú pri autentifikácii, sa nezapíšu do pamäte Flash v telefóne. Telefón takéto súbory odmieta bez ďalšieho spracovania. |
|
Autentifikácia signalizácie |
Používa protokol TLS na overenie, že počas prenosu nedošlo k manipulácii so signalizačnými paketmi. |
|
Výrobné inštalované certifikáty |
Každý IP telefón Cisco obsahuje jedinečný výrobný nainštalovaný certifikát (MIC), ktorý sa používa na autentifikáciu zariadenia. MIC poskytuje trvalý jedinečný dô kaz totožnosti telefónu a Cisco Unified Communications Manager umožňuje autentifikáciu telefónu. |
|
Šifrovanie médií |
Používa SRTP na zabezpečenie toho, aby mediálne toky medzi podporovanými zariadeniami boli bezpečné a že iba zamýšľané zariadenie prijíma a číta údaje. Zahŕňa vytvorenie dvojice primárnych kľúčov médií pre zariadenia, doručenie kľúčov do zariadení a zabezpečenie doručenia kľúčov počas prepravy kľúčov. |
|
CAPF (funkcia Certificate Authority proxy) |
Implementuje časti postupu generovania certifikátov, ktoré sú pre telefón príliš náročné na spracovanie, a komunikuje s telefónom na generovanie kľúčov a inštaláciu certifikátov. CAPF je možné nakonfigurovať tak, aby požadoval certifikáty od certifikačných orgánov určených zákazníkom v mene telefónu, alebo môže byť nakonfigurovaný tak, aby generoval certifikáty lokálne. Podporované sú typy kľúčov EC (eliptická krivka) aj RSA. Ďalšie informácie o CAPF a súvisiacich konfiguráciách nájdete v nasledujúcich dokumentoch: |
|
Bezpečnostný profil |
Určuje, či je telefón nezabezpečený, overený, šifrovaný alebo chránený. Ďalšie položky v tejto tabuľke opisujú bezpečnostné prvky. |
|
Šifrované konfiguračné súbory |
Umožňuje zabezpečiť súkromie konfiguračných súborov telefónu. |
|
Voliteľné vypnutie webového servera pre telefón |
Z bezpečnostných dôvodov môžete zabrániť prístupu na webové stránky telefónu (ktoré zobrazujú rôzne prevádzkové štatistiky pre telefón) a Portál samostarostlivosti. |
|
Kalenie telefónu |
Ďalšie možnosti zabezpečenia, ktoré ovládate zCisco Unified Communications Manager Administration:
|
|
802.1X autentifikácia |
Telefón Cisco IP môže používať autentifikáciu 802.1X na požiadanie a získanie prístupu k sieti. Ďalšie informácie nájdete v časti 802.1X Aut entifikácia. |
|
Bezpečné SIP Failover pre SRST |
Po nakonfigurovaní referencie SRST (Survisible Remote Site Telephony) pre zabezpečenie a následnom obnovení Cisco Unified Communications Manager Administration závislých zariadení server TFTP pridá certifikát SRST do súboru cnf.xml telefónu a odošle súbor do telef ónu. Bezpečný telefón potom používa pripojenie TLS na interakciu so smerovačom s podpor ou SRST. |
|
Šifrovanie signalizácie |
Zabezpečuje, že všetky signálne správy SIP, ktoré sa odosielajú medzi zariadením a Cisco Unified Communications Manager serverom, sú šifrované. |
|
Alarm aktualizácie zoznamu dôvery |
Keď sa zoznam dôveryhodnosti aktualizuje v telefóne, Cisco Unified Communications Manager dostane alarm, ktorý označuje úspech alebo zlyhanie aktualizácie. Ďalšie informácie nájdete v nasledujúcej tabuľke. |
|
Šifrovanie AES 256 |
Keď sú telefóny pripojen Cisco Unified Communications Manager é k vydaniu 10.5 (2) a nov ším, podporujú podporu šifrovania AES 256 pre TLS a SIP pre signalizáciu a šifrovanie médií. To umožňuje telefónom iniciovať a podporovať pripojenia TLS 1.2 pomocou šifier založených na AES-256, ktoré zodpovedajú štandardom SHA-2 (Secure Hash Algorithm) a sú v súlade s federálnymi štandardmi spracovania informácií (FIPS). Ši fry zahŕňajú:
Ďalšie informácie nájdete v Cisco Unified Communications Manager dokumentácii. |
|
Certifikáty algoritmu digitálneho podpisu eliptickej krivky (ECDSA) |
V rámci certifikácie Common Criteria (CC),Cisco Unified Communications Manager; pridané certifikáty ECDSA vo verzii 11.0. Toto sa týka všetkých produktov Voice Operating System (VOS) so systémom CUCM 11.5 a novšími verziami. |
|
Multiserverový (SAN) Tomcat certifikát s Cisco UCM | Telefón podporuje nakonfigu Cisco UCM rované certifikáty Tomcat s viacerými servermi (SAN). Správnu adresu servera TFTP nájdete v súbore ITL telefónu pre registráciu telefónu. Ďalšie informácie o tejto funkcii nájdete v nasledujúcom texte: |
Nasledujúca tabuľka obsahuje upozornenia a význam aktualizácie zoznamu dôveryhodných údajov. Ďalšie informácie nájdete v Cisco Unified Communications Manager dokumentácii.
| Kód a správa | Popis |
|---|---|
|
1 - TL_SUCCESS |
Prijaté nové CTL a/alebo ITL |
|
2 - CTL_INITIAL_SUCCESS |
Prijaté nové CTL, žiadne existujúce TL |
|
3 - ITL_INITIAL_SUCCESS |
Prijaté nové ITL, žiadne existujúce TL |
|
4 - TL_INITIAL_SUCCESS |
Prijaté nové CTL a ITL, žiadne existujúce TL |
|
5 - TL_FAILED_OLD_CTL |
Aktualizácia na nový CTL zlyhala, ale mala predchádzajúce TL |
|
6 - TL_FAILED_NO_TL |
Aktualizácia na nový TL zlyhala a nemáme staré TL |
|
7 - TL_FAILED |
Generické zlyhanie |
|
8 - TL_FAILED_OLD_ITL |
Aktualizácia na nový ITL zlyhala, ale mala predchádzajúce TL |
|
9 - TL_FAILED_OLD_TL |
Aktualizácia na nový TL zlyhala, ale mala predchádzajúce TL |
Ponuka Nastavenia zabezpečenia poskytuje informácie o rôznych nastaveniach zabezpečenia. Pon uka tiež poskytuje prístup do ponuky Zoznam dôveryhodnosti a označuje, či je v telefóne nainštalovaný súbor CTL alebo ITL.
V nasledujúcej tabuľke sú uvedené možnosti v ponuke Nastavenia zabezpečenia.
|
Možnosť |
Popis |
Zmen iť |
|---|---|---|
|
Bezpečnostný režim |
Zobraz í bezpečnostný režim, ktorý je nastavený pre telefón. |
Vyberte položky Z ariadenie > Telefón. Toto nastavenie sa zobrazí v časti Inform ácie špecifické pre protokol v okne Konfigurácia telefónu. |
|
LSC |
Označuje, či je v telefóne nainštalovaný lokálne významný certifikát používaný pre bezpečnostné funkcie (nainštalovaný) alebo nie je nainštalovaný v telefóne (Nie je nainštalovaný). |
Informácie o tom, ako spravovať LSC pre váš telefón, nájdete v dokumentácii pre konkrétne vy Cisco Unified Communications Manager danie. |
Nastavenie lokálne významného certifikátu (LSC)
Táto úloha sa vzťahuje na nastavenie LSC pomocou metódy autentifikačného reťazca.
Skôr ako začnete
Uistite sa, že prísluš Cisco Unified Communications Manager né konfigurácie zabezpečenia a konfigurácie funkcie Certificate Authority proxy (CAPF) sú dokončené:
-
Súbor CTL alebo ITL má certifikát CAPF.
-
V časti Cisco Unified Communications Operating System Správa skontrolujte, či je nainštalovaný certifikát CAPF.
-
CAPF je spustený a nakonfigurovaný.
Ďalšie informácie o týchto nastaveniach nájdete v dokumentácii pre konkrétne vy Cisco Unified Communications Manager danie.
| 1 |
Získajte autentifikačný kód CAPF, ktorý bol nastavený pri konfigurácii CAPF. |
| 2 |
V telefóne stlačte tlačidlo Nastavenia |
| 3 |
Ak sa zobrazí výzva, zadajte heslo pre prístup do ponuky Nastavenia. Heslo môžete získať od správcu. |
| 4 |
Prejdite na . Prístup do ponuky Nastavenia môžete ovládať pomocou poľa Prístup k nastaveni am v častiCisco Unified Communications Manager Administration. |
| 5 |
Zadajte autentifikačný reťazec a vyberte položku O dosla ť. Telefón začne inštalovať, aktualizovať alebo odstraňovať LSC v závislosti od toho, ako je CAPF nakonfigurovaný. Po dokončení postupu sa v telefóne zobrazí nainštalované alebo nenainštalované. Dokončenie procesu inštalácie, aktualizácie alebo odstránenia LSC môže trvať dlho. Keď je postup inštalácie telefónu úspešný, zobrazí sa sprá
|
Povoliť režim FIPS
| 1 |
V časti Cisco Unified Communications Manager Administration vyberte položky ón a vyhľadajte telefón. |
| 2 |
Prejdite do oblasti Konfigurácia špecifická pre produkt. |
| 3 |
Nastavte pole FIPS Mo de na možnosť Povolené. |
| 4 |
Vyberte polož ku Uložiť. |
| 5 |
Vyberte polož ku Použiť konfiguráciu. |
| 6 |
Reštartujte telefón. |
Vypnutie reproduktora, náhlavnej súpravy a slúchadla v telefóne
Máte možnosť natrvalo vypnúť reproduktor, náhlavnú súpravu a slúchadlo v telefóne pre svojho používateľa.
| 1 |
V časti Cisco Unified Communications Manager Administration vyberte položky ón a vyhľadajte telefón. |
| 2 |
Prejdite do oblasti Konfigurácia špecifická pre produkt. |
| 3 |
Začiarknutím jedného alebo viacerých z nasledujúcich políčok vypnete možnosti telefónu:
Tieto začiarkavacie políčka v predvolenom nastavení nie sú začiarknuté. |
| 4 |
Vyberte polož ku Uložiť. |
| 5 |
Vyberte polož ku Použiť konfiguráciu. |
802.1X autentifikácia
Telefóny Cisco IP podporujú 802.1X autentifikáciu.
Cisco IP Phones a Cisco Catalyst prepínače tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určovanie parametrov, ako je alokácia VLAN a požiadavky na napájanie v linke. CDP neidentifikuje lokálne pripojené pracovné stanice. Telefóny Cisco IP poskytujú priechodový mechanizmus EAPOL. Tento mechanizmus umožňuje pracovnej stanici pripojenej k telefónu Cisco IP odosielať správy EAPOL autentifikátoru 802.1X na prepínači LAN. Mechanizmus priechodu zaisťuje, že telefón IP nefunguje ako prepínač LAN na overenie koncového bodu údajov pred prístupom do siete.
Telefóny Cisco IP poskytujú aj proxy EAPOL Logoff mechanizmus. Ak sa lokálne pripojený počítač odpojí od telefónu IP, prepínač LAN nezobrazí zlyhanie fyzického prepojenia, pretože prepojenie medzi prepínačom LAN a telefónom IP je zachované. Aby sa zabránilo ohrozeniu integrity siete, telefón IP odošle prepínaču správu EAPOL-Logoff v mene nadväzujúceho počítača, ktorá spustí prepínač LAN na vymazanie položky autentifikácie pre nadväzujúci počítač.
Podpora autentifik ácie 802.1X vyžaduje niekoľko komponentov:
-
Cisco IP Phone: Telefón iniciuje žiadosť o prístup do siete. Telefóny Cisco IP obsahujú 802.1X aplikáciu. Táto prosba umožňuje správcom siete ovládať pripojenie telefónov IP k portom prepínača LAN. Aktuálne vydanie telefónu 802.1X supplicant využíva možnosti EAP-FAST a EAP-TLS pre autentifikáciu siete.
-
Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným tajomstvom, ktoré autentifikuje telefón.
-
Prepínač: Prepínač musí podporovať 802.1X, aby mohol pôsobiť ako autentifikátor a odosielať správy medzi telefónom a autentifikačným serverom. Po dokončení výmeny prepínač udelí alebo odmietne prístup telefónu do siete.
Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.
-
Nakonfigurujte ostatné komponenty skôr, ako v telefóne povolíte autentifikáciu 802.1X.
-
Konfigurácia portu PC: Štandard 802.1X neberie do úvahy VLAN, a preto odporúča, aby sa autentifikovalo iba jedno zariadenie na konkrétny port prepínača. Niektoré prepínače však podporujú autentifikáciu viacerých domén. Konfigurácia prepínača určuje, či môžete počítač pripojiť k portu PC telefónu.
-
Povolené: Ak používate prepínač, ktorý podporuje autentifikáciu viacerých domén, môžete povoliť port počítača a pripojiť k nemu počítač. V tomto prípade Cisco IP Phones podporujú proxy EAPOL-Logoff na monitorovanie výmen autentifikácie medzi prepínačom a pripojeným počítačom.
Ďalšie informácie o podpore IEEE 802.1X na prepínačoch Cisco Catalyst nájdete v príručkách konfigurácie prepínačov Cisco Catalyst na adrese:
http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
-
Zakázané: Ak prepínač nepodporuje viac zariadení kompatibilných s 802.1X na rovnakom porte, mali by ste zakázať port PC, keď je povolená autentifikácia 802.1X. Ak tento port nezakážete a potom sa k nemu pokúsite pripojiť počítač, prepínač odmietne prístup k sieti k telefónu aj počítaču.
-
- Konfigurácia hlasovej siete VLAN: Pretože štandard 802.1X nezohľadňuje VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínača.
- Povolené: Ak používate prepínač, ktorý podporuje autentifikáciu viacerých domén, môžete pokračovať v používaní hlasovej siete VLAN.
- Zakázané: Ak prepínač nepodporuje autentifikáciu viacerých domén, vypnite hlasovú VLAN a zvážte priradenie portu natívnej VLAN.
- (Iba pre stolný telefón Cisco série 9800)
Cisco Desk Phone 9800 Series má v PID inú predponu ako pre ostatné telefóny Cisco. Ak chcete, aby váš telefón mohol prejsť autentifikáciou 802.1X, nastavte parameter Radius · UserName tak, aby zahŕňal váš Cisco Desk Phone 9800 Series.
Napríklad PID telefónu 9841 je DP-9841; môžete nastaviť Radius·UserName na položku Start with DP alebo Obsahuje DP. -
Povoliť autentifikáciu 802.1X
V telefóne môžete povoliť autentifikáciu 802.1X podľa týchto krokov:
| 1 |
Stlačte Nastavenia |
| 2 |
Ak sa zobrazí výzva, zadajte heslo pre prístup do ponuky Nastavenia. Heslo môžete získať od správcu. |
| 3 |
Prejdite na entifikácia. |
| 4 |
Zapnite autentifikáciu IEEE 802.1X. |
| 5 |
Vyberte polož ku Pou žiť. |
Zobrazenie informácií o nastaveniach zabezpečenia v telefóne
Informácie o nastaveniach zabezpečenia si môžete zobraziť v ponuke telefónu. Dostupnosť informácií závisí od nastavení siete vo vašej organizácii.
|
Parametre |
Popis |
|---|---|
|
Bezpečnostný režim |
Zobraz í bezpečnostný režim, ktorý je nastavený pre telefón. |
|
LSC |
Označuje, či je v telefóne nainštalovaný lokálne významný certifikát používaný pre bezpečnostné funkcie (Áno) alebo nie je nainštalovaný v telefóne (Nie). |
|
Zoznam dôveryhodnosti |
Zoznam dôveryhodnosti poskytuje podponuky pre súbory CTL, ITL a Signed Configuration. V podponuke Súbor CTL sa zobrazí obsah súboru CTL. Podponuka Súbor ITL zobrazuje obsah súboru ITL. V ponuke Zoznam dôveryhodnosti sa zobrazujú aj nasledujúce informácie:
|
| 802.1X autentifikácia | Povolí alebo zakáže autentifikáciu IEEE 802.1X. Podrobnosti nájdete v časti 802.1X autentifikácia. |
| Spätná kompatibilita s WPA |
Určuje, či je najstaršia verzia Wi-Fi Protected Access (WPA) kompatibilná v telefóne na pripojenie k bezdrôtovej sieti alebo prístupovému bodu (AP).
Táto funkcia je k dispozícii iba na telefónoch 9861/9871/8875. |
| 1 |
Stlačte Nastavenia |
| 2 |
Prejdite na . |
| 3 |
V nastaveniach zabezpečenia si pozrite bezpečnostné informácie. |
.Zabezpečenie telefónnych hovorov
Keď je pre telefón implementované zabezpečenie, môžete identifikovať zabezpečené telefónne hovory pomocou ikon na obrazovke telefónu. Môžete tiež určiť, či je pripojený telefón bezpečný a chránený, ak sa na začiatku hovoru prehrá bezpečnostný tón.
V zabezpečenom hovore sú všetky signalizácie hovorov a mediálne toky šifrované. Bezpečný
hovor ponúka vysokú úroveň bezpečnosti a poskytuje celistvosť a súkromie hovoru. Keď je prebi
ehajúci hovor šifrovaný, môžete vidieť bezpečnostnú ikonu 
na linke. Pre zabezpečený telefón môžete tiež zobraziť autentifikovanú ikonu 
alebo šifrovanú ikonu ved 
ľa pripojeného servera v ponuke telefónu ().
Ak je hovor smerovaný cez nohy hovoru mimo IP, napríklad PSTN, hovor môže byť ne zabezpečený, aj keď je šifrovaný v rámci siete IP a má k nemu priradenú ikonu zámku.
Pri zabezpečenom hovore sa na začiatku hovoru prehráva bezpečnostný tón, ktorý naznačuje, že druhý pripojený telefón tiež prijíma a vysiela zabezpečený zvuk. Ak sa váš hovor pripája k nezabezpečenému telefónu, bezpečnostný tón sa neprehráva.
Bezpečné volanie je podporované iba pre pripojenie medzi dvoma telefónmi. Niektoré funkcie, ako napríklad konferenčné hovory a zdieľané linky, nie sú k dispozícii, keď je nakon figurované zabezpečené volanie.
Keď je telefón nakonfigurovaný ako zabezpečený (šifrovaný a dôveryhodný)Cisco Unified Communications Manager, môže mu byť udelený stav chrán
ený. Potom môže byť chránený telefón v prípade potreby nakonfigurovaný tak, aby prehrával indikačný tón na začiatku hovoru:
-
Chránené zariadenie: Ak chcete zmeniť stav zabezpečeného telefónu na chránený, začiarknite políčko Chránené zariadenie v okne Konfigurácia telefónu v časti Cisco Unified Communications Manager Administration (Z ón).
-
Prehrať Secure Indication Tone: Ak chcete, aby chránený telefón mohol prehrávať zabezpečený alebo nezabezpečený indikačný tón, nastavte nastavenie Prehrať Secure Indication Tone na hodnotu True. V predvolenom nastavení je funkcia Play Secure Indication Tone nastavená na položku False. Túto možnosť nastavíte v časti Cisco Unified Communications Manager Administration (). Vyberte server a potom službu Unified Communications Manager. V okne Konfigurácia parametrov služby vyberte možnosť v oblasti Funkcia - Zabezpečený tón. Predvolená hodnota je False.
Bezpečná identifikácia konferenčného hovoru
Môžete iniciovať bezpečný konferenčný hovor a sledovať úroveň bezpečnosti účastníkov. Zabezpečený konferenčný hovor sa vytvorí pomocou tohto procesu:
-
Používateľ iniciuje konferenciu zo zabezpečeného telefónu.
-
Cisco Unified Communications Managerpriraďuje k hovoru bezpečný konferenčný most.
-
Keď sú účastníci pridan Cisco Unified Communications Manager í, overuje bezpečnost ný režim každého telefónu a udržuje bezpečnú úroveň pre konferenciu.
-
Telefón zobrazuje úroveň zabezpečenia konferenčného hovoru. Na zabezpečenej konferencii sa zobrazí ikona zabezpečenia
.
Bezpečné volanie je podporované medzi dvoma telefónmi. V prípade chránených telefónov niektoré funkcie, ako napríklad konferenčné hovory, zdieľané linky a, nie sú k dispozíciiExtension Mobility, keď je nakonfiguro vané zabezpečené volanie.
Nasledujúca tabuľka obsahuje informácie o zmenách úrovní zabezpečenia konferencie v závislosti od úrovne zabezpečenia telefónu iniciátora, úrovní zabezpečenia účastníkov a dostupnosti zabezpečených konferenčných mostov.
|
Úroveň zabezpečenia telefónu iniciátor |
Použitá funkcia |
Úroveň bezpečnosti účastníkov |
Výsledky akcie |
|---|---|---|---|
|
Nebezpečné |
konferencie |
Bezpečné |
Nebezpečný konferenčný most Nebezpečná konferencia |
|
Bezpečné |
konferencie |
Aspoň jeden člen nie je zabezpečený. |
Bezpečný konferenčný most Nebezpečná konferencia |
|
Bezpečné |
konferencie |
Bezpečné |
Bezpečný konferenčný most Bezpečná konferencia na šifrovanej úrovni |
|
Nebezpečné |
Zoznámte sa so mnou |
Minimálna úroveň zabezpečenia je šifrovaná. |
Iniciátor
dostane správu
|
|
Bezpečné |
Zoznámte sa so mnou |
Minimálna úroveň zabezpečenia nie je bezpečná. |
Bezpečný konferenčný most Konferencia prijíma všetky hovory. |
Bezpečná identifikácia telefónneho hovoru
Bezpečný hovor sa vytvorí, keď je váš telefón a telefón na druhom konci nakon figurovaný na bezpečné volanie. Druhý telefón môže byť v rovnakej sieti Cisco IP alebo v sieti mimo siete IP. Zabezpečené hovory je možné uskutočňovať iba medzi dvoma telefónmi. Konferenčné hovory by mali podporovať bezpečný hovor po nastavení bezpečného konferenčného mosta.
Zabezpečený hovor sa vytvorí pomocou tohto procesu:
-
Používateľ iniciuje hovor zo zabezpečeného telefónu (zabezpečený bezpečnostný režim).
-
Telefón zobrazí bezpečnostnú ikonu
na obrazovke telefónu. Táto ikona označuje, že telefón je nakon
figurovaný pre bezpečné hovory, ale to neznamená, že druhý pripojený telefón je
tiež zabezpečený. -
Používateľ počuje bezpečnostný tón, ak sa hovor pripojí k inému zabezpečenému telefónu, čo naznačuje, že oba konce konverzácie sú zašifrované a zabezpečené. Ak sa hovor pripojí k nezabezpečenému telefónu, používateľ nepočuje bezpečnostný tón.
Bezpečné volanie je podporované medzi dvoma telefónmi. V prípade chránených telefónov niektoré funkcie, ako napríklad konferenčné hovory, zdieľané linky a, nie sú k dispozíciiExtension Mobility, keď je nakonfiguro vané zabezpečené volanie.
Tieto bezpečné alebo nezabezpečené indikačné tóny prehrávajú iba chránené telefóny. Nechránené telefóny nikdy neprehrávajú tóny. Ak sa počas hovoru zmení celkový stav hovoru, zmení sa indikačný tón a chránený telefón prehrá príslušný tón.
Chránený telefón prehráva tón alebo nie za týchto okolností:
-
Ak je povolená možnosť Prehrať bezpečný indikačný tón:
-
Keď je nastavené zabezpečené médiá typu end-to-end a stav hovoru je zabezpečený, telefón pre hráva bezpečný indikačný tón (tri dlhé pípnutia s prestávkami).
-
Keď sa vytvorí nezabezpečené médiá typu end-to-end a stav hovoru nie je zabezpečený, telefón prehráva nezabezpečený indikačný tón (šesť krátkych pípnutí s krátkymi prestávkami).
-
Ak je možnosť Prehrať bezpečný indikačný tón vypnutá, neprehráva sa žiadny tón.
Poskytnite šifrovanie pre čln
Cisco Unified Communications Managerkontroluje stav zabezpečenia telefónu pri z riadení konferencií a mení bezpečnostnú indikáciu pre konferenciu alebo blokuje dokon čenie hovoru, aby sa zachovala integrita a bezpečnosť v systéme.
Používateľ sa nemôže zapojiť do šifrovaného hovoru, ak telefón, ktorý sa používa na šifrovanie, nie je nakon figurovaný na šifrovanie. Keď čln v tomto prípade zlyhá, na telefóne sa prehr á tón zmeny usporiadania (rýchlo zaneprázdnený), v ktorom bol čln spustený.
Ak je iniciátorový telefón nak onfigurovaný na šifrovanie, iniciátor člnu sa môže zapojiť do nezabezpečeného hovoru zo šifrovaného telefónu. Po výskyte člna Cisco Unified Communications Manager klasifikuje hovor ako nezabezpečený.
Ak je iniciátorový telefón nakonfigurovaný na šifrovanie, iniciátor člnu sa môže zapojiť do šifrovaného hovoru a telefón označuje, že hovor je šifrovaný.
Bezpečnosť WLAN
Pretože všetky zariadenia WLAN, ktoré sú v dosahu, môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieťach WLAN rozhodujúce. Aby sa zabezpečilo, že votrelci nemanipulujú ani nezachytávajú hlasovú prevádzku, podporuje telefón architektúra Cisco SAFE Security. Ďalšie informácie o zabezpečení v sieťach nájdete na stránke http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.
Riešenie bezdrôtovej IP telefónie Cisco poskytuje zabezpečenie bezdrôtovej siete, ktoré zabraňuje neoprávnenému prihlasovaniu a ohrozenej komunikácii pomocou nasledujúcich metód autentifikácie, ktoré telefón podporuje:
-
Otvorená autentifik ácia: Akékoľvek bezdrôtové zariadenie môže požadovať autentifikáciu v otvorenom systéme. AP, ktorý žiadosť dostane, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) môže byť nešifrovaná.
-
Extensible Authentication Protocol — Flexibilná autentifikácia prostredníctvom bezpečného tunelovania (EAP-FAST): Táto bezpečnostná architektúra klient-server šifruje transakcie EAP v rámci tunela zabezpečenia úrovne transportu (TLS) medzi AP a serverom RADIUS, ako je napríklad Identity Services Engine (ISE).
Tunel TLS používa chránené prístupové poverenia (PAC) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle klientovi (telefón) ID autority (AID), ktorý zase vyberie príslušný PAC. Klient (telefón) vráti PAC-nepriehľadný na server RADIUS. Server dešifruje PAC pomocou primárneho kľúča. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.
V ISE štandardne platnosť PAC vyprší o jeden týždeň. Ak má telefón vypršaný PAC, autentifikácia na serveri RADIUS trvá dlhšie, kým telefón dostane nový PAC. Aby ste predišli oneskoreniu poskytovania PAC, nastavte dobu vypršania platnosti PAC na serveri ISE alebo RADIUS na 90 dní alebo dlhšie.
-
Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Autentifikácia: EAP-TLS vyžaduje certifikát klienta na autentifik áciu a prístup k sieti. Pre bezdrôtové EAP-TLS môže byť klientskym certifikátom MIC, LSC alebo certifikát nainštalovaný používateľom.
-
Protected Extensible Authentication Protocol (PEAP): Proprietárna schéma vzájomnej autentifikácie založená na hesle spoločnosti Cisco medzi klientom (telefónom) a serverom RADIUS. Telefón môže používať PEAP na autentifikáciu v bezdrôtovej sieti. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.
-
Predzdieľaný kľúč (PSK): Telefón podporuje formát ASCII. Tento formát musíte použiť pri nastavovaní predzdieľaného kľúča WPA/WPA2/SAE:
ASCII: znakový reťazec ASCII s dĺžkou 8 až 63 znakov (0-9, malé a veľké písmená A-Z a špeciálne znaky)
Príklad: GREG123567 @9ZX &W
Nasledujúce schémy overovania používajú server RADIUS na správu autentifikačných kľúčov:
-
WPA/WPA2/WPA3: Používa informácie o serveri RADIUS na generovanie jedinečných kľúčov na autentifikáciu. Keďže tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako predzdieľané kľúče WPA, ktoré sú uložené v AP a telefóne.
-
Rýchly bezpečný roaming: Na správu a autentifikáciu kľúčov používa server RADIUS a informácie o bezdrôtovom doménovom serveri (WDS). WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu. Cisco Desk Phone 9861 a 9871 a Cisco Video Phone 8875 podporujú 802.11r (FT). Podporované sú tak vo vzduchu, ako aj cez DS, aby sa umožnil rýchly bezpečný roaming. Dôrazne však odporúčame použiť metódu 802.11r (FT) over air.
Pri WPA/WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale sú automaticky odvodené medzi AP a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na autentifikáciu, sa však musia zadať do každého telefónu.
Aby sa zabezpečila bezpečnosť hlasového prenosu, telefón podporuje šifrovanie TKIP a AES. Keď sa tieto mechanizmy používajú na šifrovanie, medzi AP a telefónom sú šifrované signálne pakety SIP aj pakety hlasového protokolu v reálnom čase transportného protokolu (RTP).
- TKIP
-
WPA používa šifrovanie TKIP, ktoré má niekoľko vylepšení oproti WEP. TKIP poskytuje šifrovanie kľúčov na paket a dlhšie inicializačné vektory (IV), ktoré posilňujú šifrovanie. Kontrola integrity správ (MIC) navyše zaisťuje, že sa šifrované pakety nezmenia. TKIP odstraňuje predvídateľnosť WEP, ktorá pomáha votrelcom rozlúštiť kľúč WEP.
- AES
-
Metóda šifrovania používaná na autentifikáciu WPA2/WPA3. Tento národný štandard pre šifrovanie používa symetrický algoritmus, ktorý má rovnaký kľúč na šifrovanie a dešifrovanie. AES používa šifrovanie Cipher Blocking Chain (CBC) s veľkosťou 128 bitov, ktoré podporuje veľkosti kľúčov minimálne 128 bitov, 192 bitov a 256 bitov. Telefón podporuje veľkosť kľúča 256 bitov.
Cisco Desk Phone 9861 a 9871 a Cisco Video Phone 8875 nepodporujú Cisco Key Integrity Protocol (CKIP) s CMIC.
Schémy autentifikácie a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. VLAN sú nakonfigurované v sieti a na AP a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou schémou autentifikácie a šifrovania. Aby sa bezdrôtové klientske zariadenia mohli úspešne overovať, musíte nakonfigurovať rovnaké SSID s ich schémami autentifikácie a šifrovania na prístupoch a v telefóne.
Niektoré schémy autentifikácie vyžadujú špecifické typy šifrovania.
- Ak používate predzdieľaný kľúč WPA, predzdieľaný kľúč WPA2 alebo SAE, predzdieľaný kľúč musí byť v telefóne nastavený staticky. Tieto kľúče sa musia zhodovať s kľúčmi, ktoré sú na AP.
-
Telefón podporuje automatické vyjednávanie EAP pre FAST alebo PEAP, ale nie pre TLS. Pre režim EAP-TLS ho musíte zadať.
Schémy autentifikácie a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre telefón, ktorý zodpovedá konfigurácii AP.
| Typ FSR | Autentifikácia | Riadenie kľúčov | Šifrovanie | Chránený manažérsky rámec (PMF) |
|---|---|---|---|---|
| 802.11r (FT) | PSK |
WPA-PSK WPA-PSK-SHA256 FT-PSK | AES | Nie |
| 802.11r (FT) | WPA3 |
SAE FT-SAE | AES | Áno |
| 802.11r (FT) | EAP-TLS |
WPA-EAP FT-EAP | AES | Nie |
| 802.11r (FT) | EAP-TLS (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | Áno |
| 802.11r (FT) | EAP-FAST |
WPA-EAP FT-EAP | AES | Nie |
| 802.11r (FT) | EAP-FAST (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | Áno |
| 802.11r (FT) | EAP-PEAP |
WPA-EAP FT-EAP | AES | Nie |
| 802.11r (FT) | EAP-PEAP (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | Áno |
Konfigurácia profilu bezdrôtovej siete LAN
Profil bezdrôtovej siete môžete spravovať konfiguráciou poverení, frekvenčného pásma, metódy autentifikácie atď.
Pred konfiguráciou profilu WLAN majte na pamäti nasledujúce poznámky:
- Používateľské meno a heslo
Ak vaša sieť používa EAP-FAST a PEAP na autentifikáciu používateľa, musíte nakonfigurovať používateľské meno a heslo, ak je to potrebné, v službe Dial-In User Service (RADIUS) a telefóne.
- Prihlasovacie údaje zadané do profilu bezdrôtovej siete LAN musia byť totožné s prihlasovacími údajmi, ktoré ste nakonfigurovali na serveri RADIUS.
Ak používate domény vo svojej sieti, musíte zadať používateľské meno s názvom domény vo formáte:
doména\ username.
-
Nasledujúce akcie môžu mať za následok vymazanie existujúceho hesla Wi-Fi:
- Zadanie neplatného používateľského identifikátora alebo hesla
- Inštalácia neplatného alebo vypršaného koreňového certifikátu, keď je typ EAP nastavený na PEAP-MSCHAPV2 alebo PEAP-GTC
- Zakázanie používaného typu EAP na serveri RADIUS pred prepnutím telefónu na nový typ EAP
- Ak chcete zmeniť typ EAP, uistite sa, že ste najskôr povolili nový typ EAP na server i RADIUS a potom prepnite telefón na typ EAP. Keď boli všetky telefóny zmenené na nový typ EAP, môžete vypnúť predchádzajúci typ EAP, ak chcete.
| 1 |
V časti vyberte položky Z ariad enie > Nastavenia zariadenia > Profil bezdrôtovej siete LAN. |
| 2 |
Vyberte sieťový profil, ktorý chcete nakonfigurovať. |
| 3 |
Nastavte parametre. |
| 4 |
Kliknite na polož ku Uložiť. |
Nakonfigurujte parametre SCEP
Simple Certificate Enrollment Protocol (SCEP) je štandardom pre automatické poskytovanie a obnovovanie certifikátov. Server SCEP môže automaticky udržiavať vaše používateľské a serverové certifikáty.
Na webovej stránke telefónu musíte nakonfigurovať nasledujúce parametre SCEP
-
RA IP adresa
-
SHA-1 alebo SHA-256 odtlačok prsta koreňového certifikátu CA pre server SCEP
Regi Cisco IOS stračný úrad (RA) slúži ako proxy pre server SCEP. Klient SCEP v telefóne používa parametre stiahnuté z aplikácie Cisco Unified Communication Manager. Po nakonfigurovaní parametrov telefón odošle požiadavku SCEP
getcs na RA a koreňový certifikát CA sa overí pomocou
definovaného odtlačku prsta.
Skôr ako začnete
Na serveri SCEP nakonfigurujte Registračného agenta SCEP (RA) tak, aby:
- Pôsobí ako dôveryhodný bod PKI
- Pôsobí ako PKI RA
- Vykonávanie autentifikácie zariadenia pomocou servera RADIUS
Ďalšie informácie nájdete v dokumentácii servera SCEP.
| 1 |
V časti vyberte Cisco Unified Communications Manager Administration položky Z . |
| 2 |
Nájdite telefón. |
| 3 |
Prejdite do oblasti Roz loženie konfigurácie špecifickej pre produkt. |
| 4 |
Zadajte IP adresu RA alebo názov hostiteľa do po ľa WLAN SCEP Server a potom začiarknite políčko na aktiváciu parametra SCEP. |
| 5 |
Zadajte odtlačok SHA-1 alebo SHA-256 koreňového certifikátu CA do poľa WLAN Root CA Fingerprint (SHA256 alebo SHA1) a potom začiarknutím políčka aktivujte parameter SCEP QED. |
| 6 |
Vyberte polož ku Uložiť. |
| 7 |
Vyberte polož ku Použiť konfiguráciu. |
Nastavenie podporovaných verzií TLS
Môžete nastaviť minimálnu verziu TLS potrebnú pre klienta a server.
V predvolenom nastavení je minimálna verzia TLS servera a klienta 1.2. Nastavenie má vplyv na nasledujúce funkcie:
- HTTPS pripojenie k webovému prístupu
- Zavádzanie do lokálneho telefónu
- Onboarding pre mobilné zariadenia a Remote Access (MRA)
- Služby HTTPS, ako sú adresárové služby
- Zabezpečenie prepravnej vrstvy datagramu (DTLS)
- Entita prístupu k portu (PAE)
- Rozšíriteľný autentifikačný protokol a zabezpečenie transportnej vrstvy (EAP-TLS)
Ďalšie informácie o kompatibilite s technológiou TLS 1.3 pre telefóny Cisco IP nájdete v téme M atica kompatibility TLS 1.3 pre produkty Cisco Collabor ation Products.
| 1 |
Prihláste Cisco Unified Communications Manager Administration sa ako správca. |
| 2 |
Prejdite do jedného z nasledujúcich okien: |
| 3 |
Nastavenie poľa Minimálna verzia klienta TLS: Možnosť „TLS 1.3“ je k dispozícii na Cisco Unified CM 15SU2 alebo novšom.
|
| 4 |
Nastavenie poľa Minimálna verzia servera TLS:
Vo vydaní PhoneOS 3.2 nastavenie poľa „Zakázať TLS 1.0 a TLS 1.1 pre prístup k webovému“ nemá na telefóny vplyv. |
| 5 |
Kliknite na polož ku Uložiť. |
| 6 |
Kliknite na polož ku Použiť konfiguráciu. |
| 7 |
Reštartujte telefóny. |
Zabezpečené služby SIP
Assured Services SIP (AS-SIP) je súbor funkcií a protokolov, ktoré ponúkajú vysoko bezpečný tok hovorov pre telefóny Cisco IP a telefóny tretích strán. Nasledujúce funkcie sú súhrnne známe ako AS-SIP:
- Viacúrovňová priorita a preempcia (MLPP)
- Kódový bod diferencovaných služieb (DSCP)
- Zabezpečenie dopravnej vrstvy (TLS) a bezpečný dopravný protokol v reálnom čase (SRTP)
- Internet Protocol verzia 6 (IPv6)
AS-SIP sa často používa s Multilevel Priority and Preemption (MLPP) na uprednostňovanie hovorov počas núdze. Pomocou MLPP priraďujete svojim odchádzajúcim hovorom úroveň priority, od úrovne 1 (nízka) až po úroveň 5 (vysoká). Keď prijmete hovor, v telefóne sa zobrazí ikona úrovne priority, ktorá zobrazuje prioritu hovoru.
Ak chcete nakonfigurovať AS-SIP, vykonajte nasledujúce úlohy: Cisco Unified Communications Manager
- Konfigurácia súhrnného používateľa — nakonfigurujte koncového používateľa tak, aby používal súhrnnú autentifikáciu pre požiadavky SIP.
- Konfigurácia bezpečného portu telefónu SIP— Cisco Unified Communications Manager používa tento port na počúvanie telefónov SIP pre registráciu SIP linky cez TLS.
- Reštartovanie služieb — Po nakonfigurovaní zabezpečeného portu reštartujte služby Cisco CT Cisco Unified Communications Manager L Provider. Nakonfigurujte profil SIP pre AS-SIP-Nakonfigurujte profil SIP pomocou nastavení SIP pre vaše koncové body AS-SIP a pre vaše kmene SIP. Parametre špecifické pre telefón sa nesťahujú do telefónu AS-SIP tretej strany. Používa ich iba Cisco Unified Manager. Telefóny tretích strán musia lokálne nakonfigurovať rovnaké nastavenia.
- Konfigurácia profilu zabezpečenia telefónu pre systém AS-SIP — Bezpečnostný profil telefónu môžete použiť na priradenie nastavení zabezpečenia, ako je napríklad TLS, SRTP a súhrnná autentifikácia.
- Konfigurácia koncového bodu AS-SIP — nakonfigurujte telefón Cisco IP alebo koncový bod tretej strany s podporou AS-SIP.
- Priradenie zariadenia k koncovému používateľovi — priradenie koncového bodu k používateľovi.
- Konfigurácia profilu zabezpečenia SIP Trunk pre systém AS-SIP — Bezpečnostný profil SIP kmeňa môžete použiť na priradenie bezpečnostných funkcií, ako je napríklad TLS alebo súhrnná autentifikácia, ku kmeňu SIP.
- Konfigurácia SIP Trunk pre AS-SIP — nakonfigurujte SIP kmeň s podporou AS-SIP.
- Konfigurácia funkcií AS-SIP — nakonfigurujte ďalšie funkcie AS-SIP, ako sú MLPP, TLS, V.150 a IPv6.
Podrobné informácie o konfigurácii AS-SIP nájdete v kapitole „Konfigurácia koncových bodov AS-SIP“ v Príručke konfigurácie funkci í. Cisco Unified Communications Manager
Viacúrovňová priorita a preempcia
Multilevel Priority and Preemption (MLPP) vám umožňuje uprednostniť hovory v núdzových situáciách alebo iných krízových situáciách. Priradíte prioritu odchádzajúcim hovorom v rozmedzí od 1 do 5. Prichádzajúce hovory zobrazujú ikonu a prioritu hovoru. Autentifikovaní používatelia môžu predbežne presmerovať hovory buď na cielené stanice alebo prostredníctvom plne predplatených TDM kmeňov.
Táto schopnosť zabezpečuje vysokopostavený personál komunikáciu s kritickými organizáciami a personálom.
Ak je s vytočeným číslom manipulované vzorom prekladu/trasy, ktorý je nakonfigurovanýUnified CM, iniciátor hovoru MLPP môže tiež vidieť špeciálnu ikonu MLPP a úroveň priority na obrazovke telefónu a môže počuť spätný tón zvonenia. Toto správanie sa dosiahne po vydaní systému PhoneOS 3.4.
Funkcia MLPP pre telefóny PhoneOS vyžaduje vy Unified CM danie 15SU3 alebo novšie.
Konfigurácia MLPP zapnutá Unified CM
Ak chcete túto funkciu nakonfigurovať, postupujte takto:
- Konfigurácia domén a zoznamov domén.
- V časti Cisco Unified CM Administration vyberte položky ény MLPP.
- Vyberte položky , pridajte registrované menné priestory ako „drsn“, „dsn“, „cuc“, „uc“, „q735“. Potom vyberte jeden názov domény, ktorý bude predvolený.
- Vyberte polož .
- Nakonfigurujte profil SIP.
- Vyberte P a pridajte nový profil SIP.
- Začiarknite políčko Autorizácia používateľa MLPP, ak chcete, aby telefón vyžadoval používateľské poverenia pre hovory MLPP.
- Vyberte nakonfigurovaný menný priestor priority zdroja z Pri ority Namespace.
- Vyberte nakonfigurovaný zoznam menných priestorov zo zoznamu menných priest orov s prioritou zdrojov.
- Nakonfigurujte telefón.
- Vyberte ón, aktualizujte alebo pridajte telefón.
- Vyberte nakonfigurovaný profil SI P z profilu SIP.
- V časti MLPP a Confidential Access Level informácie nakonfigurujte parametre MLPP Doména, MLPP Indikácia a MLPP Pre emption.
- Nakonfigurujte číslo adresára.
- Vyberte ón, pridajte alebo aktualizujte riadok.
- V sekcii MLPP Alternate Party And Confidential Access Level Settings nakonfigurujte parametre Cieľ (cieľ), MLPP Calling Search Space a MLPP No Answer Ring (sekundy).
- V časti Nastavenia viacerých hovorov/čakania na hovory nakonfigur ujte parameter Bus y Trigger.
- Nakonfigurujte koncového používateľa.
- Vyberte cový používateľ a pridajte nový.
- Kliknutím na položku Priradenie zariadenia priradíte používateľa k nakonfigurovanému telefónu.
- V časti Prednosť Mutilevel a Preemption Authorization nakonfigurujte parametre.
- Ďalšie parametre pre MLPP môžete nakonfigurovať podľa vašich skutočných požiadaviek.
- Vyberte . Nakonfigurujte parametre v sekcii Clusterwide Parameters (Funkcia - viacúrovňová priorita a preemption).
- Vyberte . Nakonfigurujte DSCP pre prioritné hovory v sekcii Clusterwide Parameters (System - QOS).
- Vyberte . Nakonfigurujte prioritu MLPP na mapovanie priorít SRVP v sekcii Clusterwide Parameters (Syst ém - RSVP).
- Nakonfigurujte vzory smerovača v > Vzor smerovača.
- Nakonfigurujte pilotov lovu Pilot.
- Nakonfigurujte vzory prekladu v u.
- Nakonfigurujte brány, kmene, predvolený profil zariadenia, profil používateľského zariadenia, bežnú konfiguráciu zariadenia pre MLPP.
MLPP sa často používa s ASSURED SERVICES SIP (AS-SIP). Podrobné informácie o konfigurácii MLPP nájdete v kapitole Konfigurácia viacúrovňovej priority a preempcie v príručke konfigurácie funkcií. Cisco Unified Communications Manager
Nastavenie FAC a CMC
Keď sú v telefóne nakonfigurované kódy nútenej autorizácie (FAC) alebo kódy Client Matter CMC, alebo oba, používatelia musia zadať požadované heslá na vytočenie čísla.
Ďalšie informácie o tom, ako nastaviť FAC a CMC vo verziiCisco Unified Communications Manager, nájdete v kapitole „Kódy zá ležitostí klienta a kódy nútenej autoriz ácie“ v Prí ručke konfigurácie funkcií pre Cisco Unified Communications Manager verziu 12.5 (1) alebo novšiu verziu.
Konfigurácia VPN
Funkcia Cisco VPN vám pomôže zachovať bezpečnosť siete a zároveň poskytuje používateľom bezpečný a spoľahlivý spôsob pripojenia k vašej firemnej sieti. Túto funkciu použite, keď:
- Telefón sa nachádza mimo dôveryhodnej siete
- Sieťový prenos medzi telefónom a Cisco Unified Communications Manager prechádza nedôveryhodnou sieťou
S VPN existujú tri bežné prístupy k autentifikácii klienta:
- Digitálne certifikáty
- Heslá
- Používateľské meno a heslo
Každá metóda má svoje výhody. Ak to však vaša firemná bezpečnostná politika umožňuje, odporúčame prístup založený na certifikátoch, pretože certifikáty umožňujú bezproblémové prihlásenie bez akéhokoľvek zásahu používateľa. Podporované sú certifikáty LSC aj MIC.
Ak chcete nakonfigurovať ktorúkoľvek z funkcií VPN, najskôr zabezpečte zariadenie lokálne a potom môžete zariadenie nasadiť mimo prevádzky.
Ďalšie informácie o autentifikácii certifikácie a práci so sieťou VPN nájdete v téme Konfigurácia AnyConnect VPN telefónu s autentifikáciou certifikátu na ASA.
Pri použití hesla alebo používateľského mena a hesla sa používateľ zobrazí výzva na prihlasovacie prihlasovacie údaje. Nastavte prihlasovacie údaje používateľa v súlade s bezpečnostnými pravidlami vašej spoločnosti. Môžete tiež nakonfigurovať nastavenie Povoliť perzistenciu hesla tak, aby bolo heslo používateľa uložené v telefóne. Používateľské heslo sa ukladá, kým nedôjde k neúspešnému pokusu o prihlásenie, používateľ manuálne nevymaže heslo alebo telefón resetuje alebo nestratí energiu.
Ďalším užitočným nástrojom je nastavenie Povoliť automatickú detekciu siete. Keď zapnete toto políčko, klient VPN sa môže spustiť iba vtedy, keď zistí, že je mimo firemnej siete. Toto nastavenie je predvolene zakázané.
Váš telefón Cisco podporuje Cisco SVC IPPhone Client v1.0 ako typ klienta.
Ďalšie informácie o tom, ako nakonfigurovať VPNUnified CM, nájdete v časti S prievodca konfiguráciou funkcií Cisco Unified Communications Manager.
Funkcia Cisco VPN používa Secure Sockets Layer (SSL) na zachovanie bezpečnosti siete.
