Varnost telefona Cisco IP

Ročna namestitev potrdila naprave po meri

Potrdilo naprave po meri (CDC) lahko ročno namestite v telefon, tako da ga naložite s spletne strani za skrbništvo telefona.

Preden začnete

Preden lahko namestite potrdilo naprave po meri za telefon, morate imeti:

Datoteka s potrdilom (.p12 ali .pfx), shranjena v računalniku. Datoteka vsebuje potrdilo in zasebni ključ.
Izvleček gesla potrdila. Geslo se uporablja za dešifriranje datoteke potrdila.

1	Odprite spletno stran za upravljanje telefona.
2	Izberite Potrdilo.
3	V razdelku Dodaj potrdilo kliknite Prebrskaj ....
4	Poiščite potrdilo v računalniku.
5	V polje Izvleček gesla vnesite geslo za izvleček potrdila.
6	Kliknite Naloži . Če sta datoteka s potrdilom in geslo pravilna, boste prejeli sporočilo »`Potrdilo dodano.`«. V nasprotnem primeru nalaganje ne uspe in prikaže se sporočilo o napaki, da potrdila ni mogoče naložiti.
7	Če želite preveriti podrobnosti o nameščenem potrdilu, kliknite Ogled v razdelku Obstoječa potrdila .
8	Če želite odstraniti nameščeno potrdilo iz telefona, kliknite Izbriši v razdelku Obstoječa potrdila . Ko kliknete gumb, se postopek odstranitve začne takoj brez potrditve. Če je potrdilo uspešno odstranjeno, boste prejeli sporočilo »`Potrdilo izbrisano.`«.

Samodejno namestite potrdilo naprave po meri s SCEP

Parametre protokola SCEP (Simple Certificate Enrollment Protocol) lahko nastavite za samodejno namestitev potrdila CDC (Custom Device Certificate), če datoteke potrdila ne želite ročno prenesti ali če datoteke potrdila nimate.

Ko so parametri SCEP pravilno konfigurirani, telefon pošlje zahteve strežniku SCEP, potrdilo CA pa naprava preveri z določenim prstnim odtisom.

Preden začnete

Preden lahko izvedete samodejno namestitev potrdila naprave po meri za telefon, morate imeti:

Naslov strežnika SCEP
Prstni odtis SHA-1 ali SHA-256 potrdila korenskega CA za strežnik SCEP

1	Odprite spletno stran za upravljanje telefona.
2	Izberite Potrdilo.
3	V razdelku Konfiguracija SCEP 1 nastavite parametre, kot je opisano v spodnji tabeli Parametri za konfiguracijoSCEP.
4	Kliknite Pošlji vse spremembe.

Parametri za konfiguracijo SCEP

V spodnji tabeli je opisana funkcija in uporaba konfiguracijskih parametrov SCEP v razdelku Konfiguracija SCEP 1 na zavihku Potrdilo v spletnem vmesniku telefona. Določa tudi sintakso niza, ki je dodan v konfiguracijsko datoteko telefona (cfg.xml) za konfiguracijo parametra.

Tabela 1. Parametri za konfiguracijo SCEP
Parameter	Opis
Strežnik	Naslov strežnika SCEP. Ta parameter je obvezen. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<CDC_Server_1_ ua="na">http://10.79.57.91</CDC_Server_1_>` Na spletni strani telefona vnesite naslov strežnika SCEP. Veljavne vrednosti: URL ali naslov IP. Shema HTTPS ni podprta. Privzeto: Izprazniti
Prstni odtis korenskega CA	Prstni odtis SHA256 ali SHA1 korenskega CA za preverjanje veljavnosti med postopkom SCEP. Ta parameter je obvezen. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>` Na spletni strani telefona vnesite veljaven prstni odtis. Privzeto: Izprazniti
Geslo za izziv	Geslo za izziv za avtorizacijo overitelja potrdil (CA) za telefon med vpisom v potrdilo prek SCEP. Ta parameter ni obvezen. Glede na dejansko okolje SCEP se obnašanje gesla za izziv razlikuje. Če telefon prejme potrdilo Cisco RA, ki komunicira s CA, geslo za izziv ni podprto v CA. V tem primeru Cisco RA uporablja mikrofon / SUDI telefona za preverjanje pristnosti za dostop do CA. Telefon uporablja MIC/SUDI za začetni vpis in podaljšanje potrdila. Če telefon pridobi potrdilo tako, da neposredno komunicira s CA, je geslo za izziv podprto v CA. Če je konfiguriran, bo uporabljen samo za začetno včlanitev. Za podaljšanje potrdila bo namesto tega uporabljeno nameščeno potrdilo. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<CDC_Challenge_Password_1_ ua="na"></CDC_Challenge_Password_1_>` Geslo je prikrito v konfiguracijski datoteki. Na spletni strani telefona vnesite geslo za izziv. Privzeto: Izprazniti

Konfiguracija parametrov SCEP prek možnosti DHCP 43

Poleg vpisa potrdila SCEP z ročnimi konfiguracijami na spletni strani telefona lahko uporabite tudi možnost DHCP 43 za izpolnitev parametrov iz strežnika DHCP. Možnost DHCP 43 je vnaprej konfigurirana s parametri SCEP, kasneje pa lahko telefon pridobi parametre iz strežnika DHCP za izvedbo vpisa v potrdilo SCEP.

Konfiguracija parametrov SCEP prek možnosti DHCP 43 je na voljo samo za telefon, kjer se izvede ponastavitev na tovarniške nastavitve.
Telefoni ne smejo biti nameščeni v omrežju, ki podpira možnost 43 in oddaljeno omogočanje (na primer možnosti 66,160,159,150 ali omogočanje v oblaku). V nasprotnem primeru telefoni morda ne bodo dobili konfiguracij možnosti 43.

Če želite včlaniti potrdilo SCEP tako, da konfigurirate parametre SCEP v možnosti DHCP 43, naredite to:

Pripravite okolje SCEP.
Če želite več informacij o namestitvi okolja SCEP, glejte dokumentacijo strežnika SCEP.

Nastavite možnost DHCP 43 (opredeljeno v 8.4 Informacije o prodajalcu, RFC 2132).

Podmožnosti (10–15) so rezervirane za metodo:

Parameter na spletni strani telefona	Podmožnost	Vrsta	Dolžina (bajt)	Obvezno
Način FIPS	10	Logična vrednost	1	Ne*
Strežnik	11	niz	208 - dolžina (geslo za izziv)	Da
Prstni odtis korenskega CA	12	Binary	20 ali 32	Da
Geslo za izziv	13	niz	208 - dolžina (strežnik)	Ne*
Omogočanje preverjanja pristnosti 802.1X	14	Logična vrednost	1	Ne
Izberite potrdilo	15	nepodpisan 8-bitni	1	Ne

Ko uporabljate možnost DHCP 43, upoštevajte naslednje značilnosti metode:

Podmožnosti (10–15) so rezervirane za potrdilo naprave po meri (CDC).
Največja dolžina možnosti DHCP 43 je 255 bajtov.
Največja dolžina strežnika + gesla za izzivanje mora biti manjša od 208 bajtov.
Vrednost načina FIPS je skladna s konfiguracijo vkrcanja. V nasprotnem primeru telefon po vkrcanju ne pridobi predhodno nameščenega potrdila. Posebej
- Če bo telefon registriran v okolju, kjer je način FIPS onemogočen, vam ni treba konfigurirati parametra Način FIPS v možnosti DHCP 43. Način FIPS je privzeto onemogočen.
- Če bo telefon registriran v okolju, v katerem je omogočen način FIPS, morate omogočiti način FIPS v možnosti DHCP 43. Za podrobnosti glejte Omogočanje načina FIPS.
Geslo v možnosti 43 je v čistem besedilu.
Če je geslo za izziv prazno, telefon za začetno registracijo in podaljšanje potrdila uporabi MIC/SUDI. Če je geslo za izziv konfigurirano, se uporablja le za začetno registracijo, nameščeno potrdilo pa bo uporabljeno za obnovo potrdila.
Omogoči preverjanje pristnosti 802.1X in Izbira potrdila se uporabljata samo za telefone v žično omrežje.
Možnost DHCP 60 (identifikator razreda dobavitelja) se uporablja za identifikacijo modela naprave.

V spodnji tabeli je primer možnosti DHCP 43 (podmožnosti 10–15):

Podmožnost decimalno/šestnajstično	Dolžina vrednosti (bajt) decimalno/šestnajstično	Vrednost	Šestnajstna vrednost
10/0a	1/01	1 (0: Onemogočen; 1: Omogočeno)	01
11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
14/0e	1/01	1 (0: Št.: 1: Seveda)	01
15/0f	1/01	1 (0: Nameščena proizvodnja; 1: Nameščeno po meri)	01

Povzetek vrednosti parametrov:

Način FIPS = Omogočeno
Strežnik = http://10.79.57.91
Prstni odtis korenskega CA = 12040870625C5B755D73F5925285F8F5FF5D55AF
Geslo za izziv = D233CCF9B9952A15
Omogoči preverjanje pristnosti 802.1X = Da
Izbira potrdila = Nameščeno po meri

Sintaksa končne šestnajstične vrednosti je: {<suboption><length><value>}...</value></length></suboption>

Glede na zgornje vrednosti parametrov je končna šestnajstična vrednost naslednja:

0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

Konfigurirajte možnost DHCP 43 v strežniku DHCP.

Ta korak vsebuje primer konfiguracij možnosti DHCP 43 v omrežnem registru Cisco.
1. Dodajte nabor definicij možnosti DHCP.
  Dobaviteljev izbirni niz je ime modela IP telefonov. Veljavna vrednost je: DP-9841, DP-9851, DP-9861, DP-9871 ali CP-8875.
2. Dodajte možnost DHCP 43 in podmožnosti v nabor definicij možnosti DHCP.
  Primer:
3. Pravilniku DHCP dodajte možnosti 43 in nastavite vrednost, kot sledi:
  Primer:
  (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)
4. Preverite nastavitve. Wireshark lahko uporabite za zajemanje sledi omrežnega prometa med telefonom in storitvijo.
Izvedite ponastavitev na tovarniške nastavitve telefona.
Ko je telefon ponastavljen, bodo samodejno izpolnjeni parametri Strežnik, Prstni odtiskorenskega CA in Geslo za izziv. Ti parametri se nahajajo v razdelku Konfiguracija SCEP 1 iz Potrdilo > po meri na spletni strani za skrbništvo telefona.
Če želite preveriti podrobnosti o nameščenem potrdilu, kliknite Ogled v razdelku Obstoječa potrdila .
Če želite preveriti stanje namestitve potrdila, izberite Stanjepotrdila > potrdila po meri. Stanje prenosa 1 prikazuje najnovejši rezultat. Če med vpisom v potrdilo pride do težave, lahko stanje prenosa prikaže razlog za odpravljanje težav.
Če preverjanje pristnosti gesla za izziv ne uspe, bodo uporabniki pozvani, da vnesejo geslo na zaslonu telefona.
(Neobvezno): Če želite odstraniti nameščeno potrdilo iz telefona, kliknite Izbriši v razdelku Obstoječa potrdila .
Ko kliknete gumb, se postopek odstranitve začne takoj brez potrditve.

Podaljšanje certifikata s SCEP

Potrdilo naprave se lahko samodejno osveži s postopkom SCEP.

Telefon vsake 4 ure preveri, ali bo potrdilo poteklo v 15 dneh. Če je tako, telefon samodejno zažene postopek podaljšanja potrdila.
Če je geslo za izziv prazno, telefon uporablja MIC/SUDI za začetno registracijo in podaljšanje potrdila. Če je geslo za izziv konfigurirano, se uporablja samo za začetni vpis, obstoječe/nameščeno potrdilo pa se uporablja za podaljšanje potrdila.
Telefon ne odstrani starega potrdila naprave, dokler ne pridobi novega.
Če podaljšanje potrdila ne uspe, ker poteče potrdilo naprave ali potrdilo CA, telefon samodejno sproži začetno registracijo. Če preverjanje pristnosti gesla za izziv ne uspe, se na zaslonu telefona prikaže zaslon za vnos gesla in uporabniki so pozvani, da v telefon vnesejo geslo za izziv.

Omogočanje načina FIPS

Telefon lahko nastavite v skladu z zveznimi standardi za obdelavo informacij (FIPS).

FIPS je niz standardov, ki opisujejo obdelavo dokumentov, algoritme šifriranja in druge standarde informacijske tehnologije za uporabo v nevojaški vladi ter s strani vladnih izvajalcev in prodajalcev, ki sodelujejo z agencijami. CiscoSSL FOM (FIPS Object Module) je skrbno opredeljena programska komponenta in zasnovana za združljivost s knjižnico CiscoSSL, tako da je izdelke, ki uporabljajo knjižnico in API CiscoSSL, mogoče pretvoriti v uporabo kriptografije s potrjeno FIPS 140-2 z minimalnim naporom.

1	Odprite spletno stran za upravljanje telefona.
2	Izberite Glasovni > sistem.
3	V razdelku Varnostne nastavitve izberite Da ali Ne v parametru Način FIPS.
4	Kliknite Pošlji vse spremembe. Ko omogočite FIPS, v telefonu brezhibno delujejo te funkcije: Preverjanje pristnosti slike Varna shramba Šifriranje konfiguracijske datoteke TLS: Protokoli HTTP Nalaganje PRT Nadgradnja vdelane programske opreme Vnovična sinhronizacija profila Storitev na krovu Uvajanje v Webex SIP prek TLS 802.1x (ožičeno) Izvleček SIP (RFC 8760) SRTP Dnevniki klicev Webex in imenik Webex En gumb za pritisk (OBTP)

Ročno odstranjevanje varnostnega potrdila

Varnostno potrdilo lahko ročno odstranite iz telefona, če protokol SCEP (Simple Certificate Enrollment Protocol) ni na voljo.

1	Na spletni strani za skrbništvo telefona izberite Potrdila.
2	Poiščite potrdilo na strani Potrdila .
3	Kliknite Izbriši.
4	Po končanem postopku brisanja znova zaženite telefon.

Nastavitev uporabniškega in skrbniškega gesla

Ko je telefon prvič registriran v sistemu za nadzor klicev ali ko v telefonu ponastavite tovarniške nastavitve, morate nastaviti uporabniško in skrbniško geslo, da izboljšate varnost telefona. Šele ko je geslo nastavljeno, lahko spremembe pošljete s spletne strani telefona.

Privzeto je v telefonu omogočeno opozorilo brez gesla. Če telefon nima uporabniškega ali skrbniškega gesla, se prikažejo ta opozorila:

Na spletni strani telefona se prikaže »Skrbniško geslo ni zagotovljeno. Splet je v načinu samo za branje in sprememb ne morete pošiljati. Prosimo, spremenite geslo." v zgornjem levem kotu.
V poljih »Uporabniško geslo « in »Skrbniško geslo « se prikaže opozorilo »Geslo ni bilo zagotovljeno«, če je prazno.
Na zaslonu telefona Težave in diagnostika se prikaže težava »Geslo ni bilo zagotovljeno«.

1	Dostop do spletne strani za skrbništvo telefona
2	Izberite Glasovni > sistem.
3	(Neobvezno) V razdelku Konfiguracija sistema nastavite parameter Prikaži opozorila gesla na Dain kliknite Pošlji vse spremembe. Parametre lahko omogočite tudi v konfiguracijski datoteki telefona (cfg.xml). `<Display_Password_Warnings ua="na">Da</Display_Password_Warnings>` Privzeto: Da Možnosti: Da\|Ne Ko je parameter nastavljen na Ne, se opozorilo o geslu ne prikaže niti na spletni strani niti na zaslonu telefona. Prav tako način pripravljenosti za spletno stran ne bo aktiviran, čeprav je geslo prazno.
4	Poiščite parameter Uporabniško geslo ali Skrbniško gesloin kliknite Spremeni geslo poleg parametra.
5	V polje Staro geslo vnesite trenutno uporabniško geslo . Če nimate gesla, naj bo polje prazno. Privzeta vrednost je prazna.
6	V polje Novo geslo vnesite novo geslo .
7	Kliknite Pošlji . Sporočilo `Geslo je bilo uspešno spremenjeno.` se prikaže na spletni strani. Spletna stran se bo osvežila v nekaj sekundah. Opozorilo poleg parametra bo izginilo. Ko nastavite uporabniško geslo, ta parameter v konfiguracijski datoteki telefona XML (cfg.xml) prikaže naslednje: `<!-- <Admin_Password ua="na">***********</Admin_Password> <User_Password ua="rw">***********</User_Password> -->` Če se pri poskusu dostopa do spletne strani telefona prikaže koda napake 403, morate geslo za uporabnika ali skrbnika nastaviti tako, da omogočite uporabo v konfiguracijski datoteki telefona (cfg.xml). Vnesite na primer niz v tej obliki: `<Admin_Password ua="na">P0ssw0rd_tes89</Admin_Password>` `<User_Password ua="rw">Abc123</User_Password>`

Preverjanje pristnosti 802.1X

Telefoni Cisco IP podpirajo preverjanje pristnosti 802.1X.

Telefoni Cisco IP in stikala Cisco Catalyst tradicionalno uporabljajo protokol Cisco Discovery Protocol (CDP) za medsebojno identifikacijo in določanje parametrov, kot so dodeljevanje VLAN in zahteve za napajanje. CDP ne prepozna lokalno priključenih delovnih postaj. Telefoni Cisco IP zagotavljajo prehodni mehanizem EAPOL. Ta mehanizem omogoča delovni postaji, ki je priključena na Cisco IP telefon, da posreduje sporočila EAPOL v avtentifikator 802.1X na stikalu LAN. Prehodni mehanizem zagotavlja, da telefon IP ne deluje kot stikalo LAN za preverjanje pristnosti končne točke podatkov pred dostopom do omrežja.

Telefoni Cisco IP ponujajo tudi mehanizem za odjavo proxyja EAPOL. Če se lokalno priključen računalnik prekine povezavo s telefonom IP, stikalo LAN ne opazi, da fizična povezava ne uspe, ker se povezava med stikalom LAN in telefonom IP ohrani. Da bi se izognili ogrožanju celovitosti omrežja, telefon IP pošlje stikalo EAPOL-Logoff v imenu nadaljnjega računalnika, ki sproži stikalo LAN, da počisti vnos za preverjanje pristnosti za nadaljnji računalnik.

Podpora za preverjanje pristnosti 802.1X zahteva več komponent:

Telefoni Cisco IP Telefon sproži zahtevo za dostop do omrežja. Telefoni Cisco IP vsebujejo prosilca 802.1X. Ta prosilec omogoča skrbnikom omrežja, da nadzorujejo povezljivost telefonov IP z vrati stikala LAN. Trenutna izdaja telefona 802.1X prosilec uporablja možnosti EAP-FAST in EAP-TLS za preverjanje pristnosti omrežja.
Strežnik za preverjanje pristnosti: Strežnik za preverjanje pristnosti in stikalo morata biti konfigurirana s skupno skrivnostjo, ki potrjuje preverjanje pristnosti telefona.
Stikalo: Stikalo mora podpirati 802.1X, tako da lahko deluje kot avtentikator in prenaša sporočila med telefonom in strežnikom za preverjanje pristnosti. Ko je izmenjava končana, stikalo telefonu odobri ali zavrne dostop do omrežja.

Če želite konfigurirati 802.1X, morate izvesti ta dejanja.

Konfigurirajte druge komponente, preden omogočite preverjanje pristnosti 802.1X v telefonu.
Konfigurirajte vrata za računalnik: Standard 802.1X ne upošteva VLAN-ov in zato priporoča, da je treba na določena stikalna vrata preveriti samo eno napravo. Vendar pa nekatera stikala podpirajo preverjanje pristnosti z več domenami. Konfiguracija stikala določa, ali lahko računalnik priključite na vrata računalnika v telefonu.
- Omogočeno: Če uporabljate stikalo, ki podpira preverjanje pristnosti z več domenami, lahko omogočite vrata računalnika in z njim priključite računalnik. V tem primeru Cisco IP telefoni podpirajo proxy EAPOL-Logoff za spremljanje izmenjav preverjanja pristnosti med stikalom in priključenim računalnikom.
  
  Če želite več informacij o podpori za IEEE 802.1X za stikala Cisco Catalyst, glejte navodila za konfiguracijo stikala Cisco Catalyst na naslovu:
  
  http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
- Onemogočen: Če stikalo ne podpira več naprav, združljivih s standardom 802.1X, na istih vratih, onemogočite vrata za računalnik, ko je omogočeno preverjanje pristnosti 802.1X. Če teh vrat ne onemogočite in nato poskusite nanj priključiti računalnika, stikalo zavrne dostop do omrežja telefonu in računalniku.
Konfigurirajte glasovno omrežje VLAN: Ker standard 802.1X ne upošteva omrežja VLAN, morate to nastavitev konfigurirati glede na podporo stikala.
- Omogočeno: Če uporabljate stikalo, ki podpira preverjanje pristnosti z več domenami, lahko še naprej uporabljate glasovno omrežje VLAN.
- Onemogočen: Če stikalo ne podpira preverjanja pristnosti z več domenami, onemogočite glasovno omrežje VLAN in razmislite o dodelitvi vrat izvornemu omrežju VLAN.
(Samo za namizni telefon Cisco 9800 Series)
Cisco Namizni telefon serije 9800 ima drugačno predpono v PID kot pri drugih telefonih Cisco. Če želite telefonu omogočiti preverjanje pristnosti 802.1X, nastavite Radius· Parameter uporabniškega imena , ki vključuje namizni telefon Cisco serije 9800.
Na primer, PID telefona 9841 je DP-9841; lahko nastavite Radius· Uporabniško ime, ki se začne z DP ali vsebuje DP. Nastavite ga lahko v obeh naslednjih razdelkih:
- Pravilnik > pogoji > pogoji knjižnice
- Pravilnik > nabori pravilnikov > pravilnik o avtorizaciji > pravilo o avtorizaciji 1

Omogočanje preverjanja pristnosti 802.1X

Ko je omogočeno preverjanje pristnosti 802.1X, telefon zahteva dostop do omrežja s preverjanjem pristnosti 802.1X. Ko je preverjanje pristnosti 802.1X onemogočeno, telefon uporablja protokol Cisco Discovery Protocol (CDP) za pridobitev omrežja VLAN in dostopa do omrežja. Stanje transakcije in spremembe si lahko ogledate tudi v meniju na zaslonu telefona.

Ko je omogočeno preverjanje pristnosti 802.1X, lahko izberete tudi potrdilo naprave (MIC/SUDI ali po meri) za začetno registracijo in podaljšanje potrdila. Običajno je MIC za video telefon Cisco 8875, SUDI pa za namizni telefon Cisco serije 9800. CDC lahko uporabite za preverjanje pristnosti samo v 802.1x.

Če želite omogočiti preverjanje pristnosti 802.1X, izvedite eno od teh dejanj:

V spletnem vmesniku telefona izberite Voice > System in nastavite parameter Enable 802.1X Authentication (Omogoči preverjanje pristnosti 802.1X) na Da. Nato kliknite Pošlji vse spremembe.
V konfiguracijsko datoteko (cfg.xml) vnesite niz v tej obliki:
<Enable_802.1X_Authentication ua="rw">Da</Enable_802.1X_Authentication>
Veljavne vrednosti: Da|Ne
Privzeto: Ne
V telefonu pritisnite Nastavitve in se pomaknite do Nastavitve omrežja in storitve > Varnostne nastavitve > preverjanje pristnosti802.1X. Preklopite polje za preverjanje pristnosti naprave na Vklopljenoin nato izberite Uporabi.

Tabela 1. Parametri za preverjanje pristnosti 802.1X na zaslonu telefona
Parametrov	Možnosti	Privzeto	Opis
Preverjanje pristnosti naprave	Na Off	Off	Omogočite ali onemogočite preverjanje pristnosti 802.1X v telefonu.
Stanje transakcije		Onemogočen	Prikaže stanje preverjanja pristnosti 802.1X. Država je lahko (ne omejeno na): Preverjanje pristnosti Označuje, da postopek preverjanja pristnosti poteka. Preverjanje pristnosti Označuje, da je telefon preverjen. Onemogočeno: Označuje, da je preverjanje pristnosti 802.1x v telefonu onemogočeno.
Protokol		Brez	Prikaže metodo EAP, ki se uporablja za preverjanje pristnosti 802.1X. Protokol je lahko EAP-FAST ali EAP-TLS.
Vrsta uporabniškega potrdila	Nameščena proizvodnja Nameščeno po meri	Nameščena proizvodnja	Izberite potrdilo za preverjanje pristnosti 802.1X med začetnim vpisom in podaljšanjem potrdila. Nameščeno v proizvodnji – uporabljeno je potrdilo MIC (Manufacturing Installed Certificate) in Secure Unique Device Identifier (SUDI). Nameščeno po meri – uporabljeno je potrdilo naprave po meri (CDC). To vrsto potrdila lahko namestite z ročnim nalaganjem na spletno stran telefona ali z namestitvijo iz strežnika SCEP (Simple Certificate Enrollment Protocol). Ta parameter se prikaže v telefonu samo, če je omogočeno preverjanje pristnosti naprave.

Izberite potrdilo (MIC ali po meri) za preverjanje pristnosti 802.1X na spletni strani telefona.

Za žično omrežje izberite Voice > System, izberite vrsto potrdila s spustnega seznama Certificate Select v razdelku 802.1X Authentication.
Ta parameter lahko konfigurirate tudi v konfiguracijski datoteki (cfg.xml):
<Certificate_Select ua="rw">Nameščeno po meri</Certificate_Select>
Veljavne vrednosti: Nameščena proizvodnja|Nameščeno po meri
Privzeto: Nameščena proizvodnja
Za brezžično omrežje izberite Voice > System, izberite vrsto potrdila s spustnega seznama Certificate Select v razdelku Wi-Fi Profile 1.
Ta parameter lahko konfigurirate tudi v konfiguracijski datoteki (cfg.xml):
<Wi-Fi_Certificate_Select_1_ ua="rw">Nameščeno po meri</Wi-Fi_Certificate_Select_1_>
Veljavne vrednosti: Nameščena proizvodnja|Nameščeno po meri
Privzeto: Nameščena proizvodnja

Če želite več informacij o izbiri vrste potrdila na zaslonu telefona, glejte Povezovanje telefona z omrežjemWi-Fi.

Omogočanje načina, ki ga sproži odjemalec, za pogajanja o varnosti predstavnostne ravnine

Če želite zaščititi predstavnostne seje, lahko telefon konfigurirate tako, da začne pogajanja o varnosti predstavnostne ravnine s strežnikom. Varnostni mehanizem sledi standardom, navedenim v RFC 3329 in njegovem osnutku Imena varnostnih mehanizmov za medije (glej https://tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2). Prenos pogajanj med telefonom in strežnikom lahko uporablja protokol SIP prek UDP, TCP in TLS. Omejite lahko, da se pogajanja o varnosti predstavnostne ravnine uporabijo le, če je protokol za prenos signalizacije TLS.

Odprite spletno stran za upravljanje telefona.

Izberite Voice > Ext (n).

V razdelku Nastavitve SIP nastavite polji MediaSec Request in MediaSec Over TLS Only , kot je določeno v tej tabeli:

Tabela 1. Parametri za pogajanja o varnosti medijske ravnine
Parameter	Opis
Zahteva MediaSec	Določa, ali telefon sproži pogajanja o varnosti predstavnostne ravnine s strežnikom. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<MediaSec_Request_1_ ua="na">Da</MediaSec_Request_1_>` V spletnem vmesniku telefona nastavite to polje na Da ali Ne , kot je potrebno. Dovoljene vrednosti: Da\|Ne Da– način, ki ga sproži odjemalec. Telefon sproži pogajanja o varnosti medijskega letala. Ne– način, ki ga sproži strežnik. Strežnik sproži pogajanja o varnosti medijske ravnine. Telefon ne sproži pogajanj, lahko pa obravnava pogajalske zahteve strežnika za vzpostavitev varnih klicev. Privzeto: Ne
MediaSec samo prek TLS	Določa protokol prenosa signalizacije, prek katerega se uporablja pogajanje o varnosti predstavnostne ravnine. Preden to polje nastavite na Da, se prepričajte, da je protokol prenosa signalizacije TLS. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<MediaSec_Over_TLS_Only_1_ ua="na">Ne</MediaSec_Over_TLS_Only_1_>` V spletnem vmesniku telefona nastavite to polje na Da ali Ne , kot je potrebno. Dovoljene vrednosti: Da\|Ne Da– telefon sproži ali obravnava pogajanja o varnosti predstavnostne ravnine le, če je protokol za prenos signalizacije TLS. Ne– telefon sproži in obravnava pogajanja o varnosti medijske ravnine, ne glede na protokol prenosa signalizacije. Privzeto: Ne

Kliknite Pošlji vse spremembe.

Varnost WLAN

Ker lahko vse naprave WLAN, ki so v dosegu, sprejemajo ves drug promet WLAN, je zaščita glasovne komunikacije ključnega pomena pri WLAN-ih. Da bi zagotovili, da vsiljivci ne manipulirajo ali prestrežejo glasovnega prometa, arhitektura Cisco SAFE Security podpira telefon. Če želite več informacij o varnosti v omrežjih, glejte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html .

Rešitev Ciscove brezžične IP telefonije zagotavlja varnost brezžičnega omrežja, ki preprečuje nepooblaščene prijave in ogrožene komunikacije z uporabo teh načinov preverjanja pristnosti, ki jih podpira telefon:

Odpiranje preverjanja pristnosti: Vsaka brezžična naprava lahko zahteva preverjanje pristnosti v odprtem sistemu. AP, ki prejme zahtevo, lahko odobri preverjanje pristnosti kateremu koli prosilcu ali samo prosilcem, ki so na seznamu uporabnikov. Komunikacija med brezžično napravo in dostopno točko (AP) je lahko nešifrirana.
Razširljiv protokol za preverjanje pristnosti – prilagodljivo preverjanje pristnosti prek varnega tuneliranja (EAP-FAST) Preverjanje pristnosti: Ta varnostna arhitektura odjemalec-strežnik šifrira transakcije EAP v tunelu TLS (Transport Level Security) med AP in strežnikom RADIUS, kot je mehanizem za storitve identitete (ISE).

Tunel TLS uporablja poverilnice za zaščiteni dostop (PAC) za preverjanje pristnosti med odjemalcem (telefonom) in strežnikom RADIUS. Strežnik pošlje ID organa (AID) odjemalcu (telefonu), ki nato izbere ustrezen PAC. Odjemalec (telefon) vrne PAC-Opaque strežniku RADIUS. Strežnik dešifrira PAC s primarnim ključem. Obe končni točki zdaj vsebujeta ključ PAC in ustvarjen je tunel TLS. EAP-FAST podpira samodejno omogočanje uporabe PAC, vendar ga morate omogočiti v strežniku RADIUS.

V ISE PAC privzeto poteče v enem tednu. Če ima telefon potekel PAC, preverjanje pristnosti s strežnikom RADIUS traja dlje, medtem ko telefon dobi nov PAC. Če se želite izogniti zamudam pri omogočanju uporabe PAC, nastavite obdobje poteka PAC na 90 dni ali več v strežniku ISE ali RADIUS.
Preverjanje pristnostiprotokola EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS zahteva odjemalsko potrdilo za preverjanje pristnosti in dostop do omrežja. Za brezžični EAP-TLS je lahko odjemalsko potrdilo MIC, LSC ali uporabniško nameščeno potrdilo.
Zaščiteni razširljivi protokol za preverjanje pristnosti (PEAP): Ciscova lastniška shema medsebojnega preverjanja pristnosti na podlagi gesla med odjemalcem (telefonom) in strežnikom RADIUS. Telefon lahko uporablja PEAP za preverjanje pristnosti z brezžičnim omrežjem. Podprta sta načina preverjanja pristnosti PEAP-MSCHAPV2 in PEAP-GTC.
Ključ v predhodni skupni rabi (PSK): Telefon podpira format ASCII. To obliko zapisa morate uporabiti pri nastavljanju ključa za vnaprejšnjo skupno rabo WPA/WPA2/SAE:

ASCII: niz znakov ASCII z dolžino od 8 do 63 znakov (0–9, male in velike črke od A do Z ter posebni znaki)

Primer: GREG123567@9ZX&W

Te sheme preverjanja pristnosti uporabljajo strežnik RADIUS za upravljanje ključev za preverjanje pristnosti:

WPA/WPA2/WPA3: Uporablja podatke strežnika RADIUS za ustvarjanje enoličnih ključev za preverjanje pristnosti. Ker so ti ključi ustvarjeni v centraliziranem strežniku RADIUS, WPA2/WPA3 zagotavlja večjo varnost kot ključi WPA v vnaprejšnji skupni rabi, ki so shranjeni v dostopni točki in telefonu.
Hitro varno gostovanje: Uporablja podatke o strežniku RADIUS in brezžičnem domenskem strežniku (WDS) za upravljanje in preverjanje pristnosti ključev. WDS ustvari predpomnilnik varnostnih poverilnic za odjemalske naprave, ki podpirajo FT, za hitro in varno ponovno preverjanje pristnosti. Cisco Namizni telefon 9861 in 9871 ter Cisco Video Phone 8875 podpirata 802.11r (FT). Podprta sta tako brezžična kot prek DS, kar omogoča hitro in varno gostovanje. Vendar pa toplo priporočamo uporabo metode 802.11r (FT) po zraku.

Z WPA / WPA2 / WPA3 šifrirni ključi niso vneseni v telefon, ampak se samodejno izpeljejo med AP in telefonom. Toda uporabniško ime in geslo EAP, ki se uporabljata za preverjanje pristnosti, je treba vnesti v vsak telefon.

Da bi zagotovili varnost glasovnega prometa, telefon podpira šifriranje TKIP in AES. Ko se ti mehanizmi uporabljajo za šifriranje, so tako signalni paketi SIP kot glasovni paketi RTP (Real-Time Transport Protocol) šifrirani med AP in telefonom.

TKIP: WPA uporablja šifriranje TKIP, ki ima več izboljšav v primerjavi z WEP. TKIP zagotavlja šifriranje ključa na paket in daljše inicializacijske vektorje (IV), ki krepijo šifriranje. Poleg tega preverjanje celovitosti sporočil (MIC) zagotavlja, da se šifrirani paketi ne spreminjajo. TKIP odstrani predvidljivost WEP, ki vsiljivcem pomaga dešifrirati ključ WEP.
AES: Metoda šifriranja, ki se uporablja za preverjanje pristnosti WPA2/WPA3. Ta nacionalni standard za šifriranje uporablja simetrični algoritem, ki ima enak ključ za šifriranje in dešifriranje. AES uporablja šifriranje CBC (Cipher Blocking Chain) velikosti 128 bitov, ki podpira velikosti ključev najmanj 128 bitov, 192 bitov in 256 bitov. Telefon podpira velikost ključa 256 bitov.

Cisco Namizni telefon 9861 in 9871 ter Cisco Video Phone 8875 ne podpirata protokola Cisco Key Integrity Protocol (CKIP) s CMIC.

Sheme preverjanja pristnosti in šifriranja so nastavljene v brezžičnem omrežju LAN. Omrežja VLAN so konfigurirana v omrežju in na dostopnih točkah ter določajo različne kombinacije preverjanja pristnosti in šifriranja. SSID je povezan z omrežjem VLAN in določeno shemo preverjanja pristnosti in šifriranja. Za uspešno preverjanje pristnosti brezžičnih odjemalskih naprav morate konfigurirati iste SSID-je s shemami preverjanja pristnosti in šifriranja na dostopnih točkah in telefonu.

Nekatere sheme preverjanja pristnosti zahtevajo posebne vrste šifriranja.

Če uporabljate ključ za vnaprejšnjo skupno rabo WPA, ključ za vnaprejšnjo skupno rabo WPA2 ali SAE, mora biti ključ v vnaprejšnji skupni rabi statično nastavljen v telefonu. Te tipke se morajo ujemati s tipkami na AP.
Telefon podpira samodejno pogajanje EAP za FAST ali PEAP, ne pa tudi za TLS. Za način EAP-TLS ga morate določiti.

Sheme preverjanja pristnosti in šifriranja v spodnji tabeli prikazujejo možnosti konfiguracije omrežja za telefon, ki ustreza konfiguraciji AP.

Tabela 1. Sheme preverjanja pristnosti in šifriranja
Vrsta FSR	Preverjanje pristnosti	Upravljanje ključev	Šifriranje	Zaščiteni okvir upravljanja (PMF)
802.11r (FT)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	Ne
802.11r (FT)	WPA3	SAE FT-SAE	AES	Da
802.11r (FT)	EAP-TLS	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
802.11r (FT)	EAP-HITRO	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
802.11r (FT)	EAP-PEAP	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da

Nastavitev profila Wi-Fi

Profil Wi-Fi lahko konfigurirate na spletni strani telefona ali pri ponovni sinhronizaciji profila oddaljene naprave in nato povežete profil z razpoložljivimi omrežji Wi-Fi. S tem profilom Wi-Fi lahko vzpostavite povezavo z omrežjem Wi-Fi. Trenutno je mogoče konfigurirati samo en profil Wi-Fi.

Profil vsebuje parametre, ki jih potrebujejo telefoni za povezavo s telefonskim strežnikom z Wi-Fi. Ko ustvarite in uporabljate profil Wi-Fi, vam ali vašim uporabnikom ni treba konfigurirati brezžičnega omrežja za posamezne telefone.

Profil Wi-Fi vam omogoča, da uporabniku preprečite ali omejite spremembe konfiguracije Wi-Fi v telefonu.

Priporočamo, da uporabite varen profil s protokoli z omogočenim šifriranjem za zaščito ključev in gesel, ko uporabljate profil Wi-Fi.

Ko nastavite telefone za uporabo metode preverjanja pristnosti EAP-FAST v varnostnem načinu, uporabniki potrebujejo posamezne poverilnice za povezavo z dostopno točko.

1	Odprite spletno stran telefona.
2	Izberite Glasovni > sistem.
3	V razdelku Profil Wi-Fi (n)nastavite parametre, kot je opisano v spodnji tabeli Parametri za profilWi-Fi. Konfiguracija profila Wi-Fi je na voljo tudi za prijavo uporabnika.
4	Kliknite Pošlji vse spremembe.

Parametri za profil Wi-Fi

V spodnji tabeli je opisana funkcija in uporaba posameznega parametra v razdelku Wi-Fi Profile(n) na zavihku Sistem na spletni strani telefona. Določa tudi sintakso niza, ki je dodan v konfiguracijsko datoteko telefona (cfg.xml) za konfiguracijo parametra.

Parameter	Opis
Ime omrežja	Omogoča vnos imena SSID-ja, ki se bo prikazal v telefonu. Več profilov ima lahko isto omrežno ime z različnim varnostnim načinom. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<Network_Name_1_ ua="rw">Cisco</Network_Name_1_>` Na spletni strani telefona vnesite ime SSID-ja. Privzeto: Izprazniti
Varnostni način	Omogoča izbiro načina preverjanja pristnosti, ki se uporablja za zaščito dostopa do omrežja Wi-Fi. Odvisno od izbranega načina se prikaže polje z geslom, v katerem lahko vnesete poverilnice, ki so potrebne za pridružitev temu omrežju Wi-Fi. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<Security_Mode_1_ ua="rw">EAP-TLS</Security_Mode_1_> <!-- available options: Avto\|HITRO EAP\|\|\|PSK\|\|Brez\|EAP-PEAP\|EAP-TLS -->` Na spletni strani telefona izberite enega od načinov: Auto EAP-HITRO PSK Brez EAP-PEAP EAP-TLS Privzeto: Auto
ID uporabnika za Wi-Fi	Omogoča vnos ID-ja uporabnika za omrežni profil. To polje je na voljo, če nastavite varnostni način na Samodejno, EAP-FAST ali EAP-PEAP. To je obvezno polje in omogoča največ 32 alfanumeričnih znakov. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<Wi-Fi_User_ID_1_ua="rw">` Na spletni strani telefona vnesite ID uporabnika za omrežni profil. Privzeto: Izprazniti
Geslo za Wi-Fi	Omogoča vnos gesla za določeno uporabniško ime Wi-Fi. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<Wi-Fi_Password_1_ ua="rw"></Wi-Fi_Password_1_>` Na spletni strani telefona vnesite geslo za ID uporabnika, ki ste ga dodali. Privzeto: Izprazniti
Frekvenčni pas	Omogoča izbiro frekvenčnega pasu brezžičnega signala, ki ga uporablja WLAN. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<Frequency_Band_1_ ua="rw">Auto</Frequency_Band_1_>` Na spletni strani telefona izberite eno od možnosti: Auto 2,4 GHz 5 GHz Privzeto: Auto
Izberite potrdilo	Omogoča izbiro vrste potrdila za začetni vpis potrdila in podaljšanje potrdila v brezžičnem omrežju. Ta postopek je na voljo le za preverjanje pristnosti 802.1X. Izvedite nekaj od tega: V konfiguracijsko datoteko telefona z XML(cfg.xml) vnesite niz v tej obliki: `<Certificate_Select_1_ ua="rw">Nameščena proizvodnja</Certificate_Select_1_>` Na spletni strani telefona izberite eno od možnosti: Nameščena proizvodnja Nameščeno po meri Privzeto: Nameščena proizvodnja

Hvala za povratne informacije.