Hvala za povratne informacije.

Varnostne funkcije ščitijo pred grožnjami, vključno z grožnjami identiteti telefona in podatkom. Te funkcije vzpostavijo in vzdržujejo overjene komunikacijske tokove med telefonom in Cisco Unified Communications Manager server ter zagotavljajo, da telefon uporablja samo digitalno podpisane datoteke.

Cisco Unified Communications Manager Release 8.5 (1) in novejše vključujejo privzeto varnost, ki zagotavlja naslednje varnostne funkcije za Cisco IP Phones brez zagona odjemalca CTL:

• Podpisovanje konfiguracijskih datotek telefona

• Šifriranje datotek konfiguracije telefona

• HTTPS s storitvijo Tomcat in drugimi spletnimi storitvami

Implementacija varnosti v Cisco Unified Communications Manager system preprečuje krajo identitete telefona in Cisco Unified Communications Manager server, preprečuje nedovoljeno spreminjanje podatkov ter preprečuje klicno signalizacijo in nedovoljeno spreminjanje medijskega toka.

Za ublažitev teh groženj telefonsko omrežje Cisco IP vzpostavi in vzdržuje varne (šifrirane) komunikacijske tokove med telefonom in strežnikom, digitalno podpiše datoteke, preden se prenesejo v telefon, ter šifrira medijske tokove in signalizacijo klicev med Cisco IP Phones.

Locally Significant Certificate (LSC) se namesti v telefone, ko opravite potrebna opravila, povezana z certificate authority proxy function (CAPF). Cisco Unified Communications Manager Administration lahko uporabite za konfiguriranje LSC, kot je opisano v varnostnem priročniku Cisco Unified Communications Manager. Druga možnost je, da začnete namestitev LSC iz menija Varnost v telefonu . V tem meniju lahko tudi posodobite ali odstranite LSC.

Telefoni uporabljajo varnostni profil telefona, ki določa, ali je naprava nevarna ali varna. Za informacije o uporabi varnostnega profila v telefonu si oglejte dokumentacijo za izdajo Cisco Unified Communications Manager.

Če konfigurirate varnostne nastavitve v Cisco Unified Communications Manager Administration, konfiguracijska datoteka telefona vsebuje občutljive podatke. Če želite zagotoviti zasebnost konfiguracijske datoteke, jo morate konfigurirati za šifriranje. Za podrobnejše informacije si oglejte dokumentacijo za izdajo Cisco Unified Communications Manager.

V spodnji tabeli je pregled varnostnih funkcij, ki jih podpirajo telefoni. Za več informacij si oglejte dokumentacijo za izdajo Cisco Unified Communications Manager.

Spodnja tabela vsebuje seznam zaupnikov, posodobitev, opozorilna sporočila in pomen. Za več informacij si oglejte dokumentacijo Cisco Unified Communications Manager.

Ko je za telefon uvedena varnost, lahko varne telefonske klice prepoznate po ikonah na zaslonu telefona. Ugotovite lahko tudi, ali je povezani telefon varen in zaščiten, če se na začetku klica predvaja varnostni ton.

Pri varnem klicu so vsi klicni signali in predstavnostni tokovi šifrirani. Varen klic zagotavlja visoko raven varnosti ter integriteto in zasebnost klica. Ko je opravljeni klic šifriran, lahko vidite ikono varnosti Na liniji.

V Cisco Unified Communications Manager lahko telefonom, ki so konfigurirani kot varni (šifrirani in zaupanja vredni), dodeli zaščiten status. Ko so te naprave zaščitene, jih lahko konfigurirate tako, da predvajajo varnostni ton na začetku vsakega klica.

• Zaščitena naprava:

  Če želite spremeniti stanje varnega telefona v zaščitenega:

  1. V oznaki Cisco Unified Communications Manager Administration izberite Naprava > Telefon.
  2. Poiščite telefon, ki ga boste nastavili.
  3. V oknu Konfiguracija telefona potrdite polje Zaščitena naprava .
  4. Kliknite Shrani.

• Predvajaj varen indikacijski ton:

  Če želite zaščitenemu telefonu omogočiti predvajanje varnega ali nezaščitenega signalnega tona:

  1. V razdelku Cisco Unified Communications Manager Administration izberite Parametri sistema >storitve.
  2. Izberite strežnik in nato storitev Cisco CallManager .
  3. V območju Parametri celotne gruče (funkcija – varen ton) nastavite nastavitev Ton predvajanja na Stanje varnega/nezaščitenega klica na True.
  4. Kliknite Shrani.

Ker lahko vse naprave WLAN, ki so v dosegu, prejmejo ves preostali promet WLAN, je zaščita glasovne komunikacije ključnega pomena v omrežjih WLAN. Da vsiljivci ne manipulirajo ali prestrezajo glasovnega prometa, arhitektura Cisco SAFE Security podpira telefon. Če želite več informacij o varnosti v omrežjih, glejte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefonska rešitev Cisco Wireless IP zagotavlja varnost brezžičnega omrežja, ki preprečuje nepooblaščene prijave in ogroženo komunikacijo z naslednjimi načini preverjanja pristnosti, ki jih telefon podpira.

• Odpri preverjanje pristnosti: Vsaka brezžična naprava lahko zahteva preverjanje pristnosti v odprtem sistemu. AP, ki prejme zahtevo, lahko odobri avtentikacijo kateremu koli vlagatelju zahteve ali samo vlagateljem, ki so na seznamu uporabnikov. Komunikacija med brezžično napravo in dostopno točko (AP) morda ni šifrirana.

• Prilagodljivo preverjanje pristnosti razširljivega protokola preverjanja pristnosti prek varnega tuneliranja (EAP-FAST) Preverjanje pristnosti: Ta varnostna arhitektura odjemalec-strežnik šifrira EAP transakcije v tunelu Transport Level Security (TLS) med AP in strežnikom RADIUS, kot je Identity Services Engine (ISE).

  Tunel TLS uporablja poverilnice za zaščiteni dostop (PAC) za preverjanje pristnosti med odjemalcem (telefonom) in strežnikom RADIUS. Strežnik pošlje naročniku ID (AID) odjemalcu (telefonu), ki v TURN izbere ustrezen PAC. Odjemalec (telefon) vrne PAC-Opaque strežniku RADIUS. Strežnik dešifrira PAC s primarnim ključem. Obe končni točki zdaj vsebujeta ključ PAC in ustvarjen je tunel TLS. EAP-FAST podpira samodejno omogočanje PAC, vendar ga morate omogočiti na strežniku RADIUS.

  V ISE PAC privzeto poteče v enem tednu. Če ima telefon potekel PAC, preverjanje pristnosti s strežnikom RADIUS traja dlje, medtem ko telefon dobi nov PAC. Če se želite izogniti zamudam pri zagotavljanju PAC, nastavite obdobje poteka PAC na 90 dni ali več v strežniku ISE ali RADIUS.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Preverjanje pristnosti: EAP-TLS zahteva potrdilo odjemalca za preverjanje pristnosti in dostop do omrežja. Za brezžično EAP-TLS je potrdilo odjemalca lahko MIC, LSC, ali uporabniško nameščeno potrdilo.

• Protected Extensible Authentication Protocol (PEAP): Cisco lastniška shema vzajemnega preverjanja pristnosti na podlagi gesla med odjemalcem (telefonom) in strežnikom RADIUS. Telefon lahko uporablja PEAP za preverjanje pristnosti z brezžičnim omrežjem. Podprta sta načina preverjanja pristnosti PEAP-MSCHAPV2 in PEAP-GTC.

• Ključ v vnaprejšnji skupni rabi (PSK): telefon podpira formata ASCII in šestnajstiške oblike zapisa (HEX). Te oblike zapisa morate uporabiti, ko nastavljate ključ v vnaprejšnji skupni rabi WPA2/SAE.

  ASCII: Niz znakov ASCII z dolžino od 8 do 63 znakov (0–9, male črke a–z, velike črke A–Z in posebni znaki). Na primer,GREG123567@9ZX &W.

  HEX: šestnajstiški niz s 64 šestnajstiškimi števkami (0–9, a–f ali A–F).

Naslednje sheme preverjanja pristnosti uporabljajo strežnik RADIUS za upravljanje ključev za preverjanje pristnosti:

• WPA2/WPA3: uporablja informacije o strežniku RADIUS za ustvarjanje enoličnih ključev za preverjanje pristnosti. Ker so ti ključi ustvarjeni na centraliziranem strežniku RADIUS, WPA2/WPA3 zagotavlja večjo varnost kot ključi v vnaprejšnji skupni rabi WPA, ki so shranjeni v AP in telefonu.

• Hitro varno gostovanje: uporablja informacije strežnika RADIUS in strežnika brezžične domene (WDS) za upravljanje in preverjanje pristnosti ključev. WDS ustvari predpomnilnik varnostnih poverilnic za odjemalske naprave, ki podpirajo FT, za hitro in varno ponovno preverjanje pristnosti.

Z WPA2/WPA3 šifrirni ključi niso vneseni v telefon, temveč se samodejno izpeljejo med AP in telefonom. Toda uporabniško ime in geslo EAP, ki se uporabljata za preverjanje pristnosti, je treba vnesti na vsakem telefonu.

Telefon za zaščito glasovnega prometa prek brezžične povezave podpira šifriranje na podlagi AES za preverjanje pristnosti WPA2/WPA3. AES je simetrična šifra blokov, ki jo standardizira NIST. AES uporablja fiksno 128-bitno velikost bloka in podpira velikosti ključev 128 bitov, 192 bitov in 256 bitov. V omrežjih Wi-Fi AES uporabljajo zbirke šifer, kot sta CCMP ali GCMP, preverjanje pristnosti pa ločeno zagotavljajo PSK, SAE ali 802.1X/EAP, odvisno od konfiguriranega varnostnega načina WLAN. Podprta zbirka šifer in velikost ključa sta odvisni od modela telefona in konfiguracije WLAN.

Ko telefon uporablja šifriranje AES, so med AP in telefonom šifrirani signalni paketi SIP in glasovni paketi Real-Time Transport Protocol (RTP).

Sheme za preverjanje pristnosti in šifriranje so vzpostavljene znotraj brezžičnega omrežja LAN. VLAN-i so konfigurirani v omrežju in na AP-jih ter določajo različne kombinacije preverjanja pristnosti in šifriranja. SSID se poveže z VLAN in posebno shemo preverjanja pristnosti in šifriranja. Če želite, da brezžične odjemalske naprave uspešno preverijo pristnost, morate konfigurirati iste SSID-je z njihovimi shemami preverjanja pristnosti in šifriranja v AP-jih in telefonu.

Nekatere sheme preverjanja pristnosti zahtevajo posebne vrste šifriranja.

Sheme preverjanja pristnosti in šifriranja v spodnji tabeli prikazujejo možnosti konfiguracije omrežja za Cisco brezžični telefon 9821, ki ustrezajo konfiguraciji AP.

Cisco Wireless Phone 9821 podpira preverjanje pristnosti 802.1X za žična omrežja. To se običajno uporablja med samodejnim omogočanjem uporabe, ko je telefon povezan z namiznim polnilnikom prek podprtega vmesnika USB-to-Ethernet.

Podpora za preverjanje pristnosti 802.1X v žičnih omrežjih zahteva več komponent:

• Cisco IP Phone: Telefon sproži zahtevo za dostop do omrežja. Cisco IP Phones vsebujejo prosilno sredstvo 802.1X. Ta pripomoček omogoča skrbnikom omrežja, da nadzorujejo povezljivost telefonov IP s stikalnimi vrati LAN. Trenutna izdaja telefona 802.1X supplicant uporablja možnosti EAP-FAST in EAP-TLS za preverjanje pristnosti omrežja.

• Strežnik za preverjanje pristnosti: strežnik za preverjanje pristnosti in stikalo morata biti konfigurirana s skupno skrivnostjo RADIUS.

• Stikalo: Stikalo mora podpirati 802.1X, tako da lahko deluje kot avtentikator in prenaša sporočila EAP med telefonom in strežnikom za preverjanje pristnosti. Ko je izmenjava končana, stikalo dodeli ali zavrne telefonski dostop do omrežja.

Stikala Cisco IP Phones in Cisco Catalyst tradicionalno uporabljajo Cisco Discovery Protocol (CDP) za medsebojno identifikacijo in določanje parametrov, kot so razporeditev VLAN in zahteve glede moči v vrsti.

Če želite konfigurirati standard 802.1X, morate izvesti naslednja dejanja.

• Konfigurirajte obhod CDP/LLDP glas VLAN.

• Konfigurirajte strežnik za preverjanje pristnosti in stikalo, preden omogočite preverjanje pristnosti 802.1X za žična omrežja v telefonu.

• Konfiguriraj glas VLAN: Ker standard 802.1X ne upošteva VLAN-ov, morate to nastavitev konfigurirati glede na podporo stikala.

  • Omogočeno: če uporabljate stikalo, ki podpira večdomensko preverjanje pristnosti, ga lahko konfigurirate tako, da uporablja glas VLAN.
  • Onemogočeno: Če stikalo ne podpira preverjanja pristnosti z več domenami, onemogočite Voice VLAN in razmislite o dodelitvi vrat izvornemu VLAN.

• Cisco Wireless Phone 9821 ima v PID drugačno predpono kot za druge telefone Cisco. Če želite telefonu omogočiti preverjanje pristnosti 802.1X, nastavite Radij· Parameter uporabniškega imena , ki vključuje vaš brezžični telefon Cisco 9821.

  Na primer, PID brezžičnega telefona Cisco 9821 je WP-9821. Nastavite lahko Radius· Uporabniško ime za začetek z WP ali Vsebuje WP v obeh naslednjih razdelkih:

  • Pravilnik > Pogoji > knjižnični pogoji

  • Nabori pravilnikov > pravilnikov > Pravilnik o avtorizaciji> Pravilo 1