Varnost telefona Cisco IP na 9800/8875 (Unified CM)

Omogočite lahko Cisco Unified Communications Manager delovanje v izboljšanem varnostnem okolju. S temi izboljšavami vaše telefonsko omrežje deluje pod nizom strogih nadzorov varnosti in obvladovanja tveganj za zaščito vas in vaših uporabnikov.

Izboljšano varnostno okolje vključuje naslednje funkcije:

Preverjanje pristnosti iskanja stikov (samo za imenike po meri)
TCP kot privzeti protokol za beleženje revizije na daljavo
Način FIPS
Izboljšana politika poverilnic
Podpora za družino hash-ov SHA-2 za digitalne podpise
Podpora za velikost ključa RSA 512 bitov in 4096 bitov

Z različ Cisco Unified Communications Manager ico 14.0 in Cisco Video Phone Firmware Release 2.1 in novejšimi različicami telefoni podpirajo preverjanje pristnosti SIP OAuth.

OAuth je podprt za Proxy Trivial File Transfer Protocol (TFTP) z Cisco Unified Communications Manager izdajo 14.0 (1) SU1 ali novejšo različico. Proxy TFTP in OAuth za proxy TFTP nista podprta v mobil Remote Access nih napravah (MRA).

Za dodatne informacije o varnosti glejte naslednje:

Vod@@ nik za konfiguracijo sistema za Cisco Unified Communications Manager izdajo 14.0 (1) ali novejše (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-installation-and-configuration-guides-list.html).
Varnostni priročnik za Cisco Unified Communications Manager (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-maintenance-guides-list.html)

Vaš telefon lahko shrani le omejeno število datotek Identity Trust List (ITL). Datoteke ITL ne smejo presegati 64K v telefonu, zato omejite število datotek, ki jih Cisco Unified Communications Manager pošlje v telefon.

Podprte varnostne funkcije

Varnostne funkcije ščitijo pred grožnjami, vključno z grožnjami identi teti telefona in podatkov. Te funkcije vzpostavljajo in vzdržujejo preverjene komunikacijske tokove med telefonom in Cisco Unified Communications Manager strežnikom ter zagotavljajo, da telefon uporablja samo digitalno podpisane datoteke.

Cisco Unified Communications ManagerIzdaja 8.5 (1) in novejša vključuje privzeto varnost, ki zagotavlja naslednje varnostne funkcije za telefone Cisco IP brez zagona odjemalca CTL :

Podpis konfiguracijskih datotek telefona
Šifriranje konfiguracijske datoteke telefona
HTTPS s Tomcatom in drugimi spletnimi storitvami

Funkcije varne signalizacije in medijev še vedno zahtevajo, da zaženete odjemalca CTL in uporabite strojne eToken.

Uvedba varnosti v Cisco Unified Communications Manager sistem preprečuje krajo identi tete telefona in Cisco Unified Communications Manager strežnika, preprečuje poseganje podatkov ter preprečuje signalizacijo klicev in poseganje medijskih tokov.

Za lajšanje teh groženj omrežje Cisco IP telefonije vzpostavlja in vzdržuje varne (šifrirane) komunikacijske tokove med telefonom in strežnikom, digitalno podpiše datoteke, preden se prenesejo v telefon, ter šifrira medijske tokove in signalizacijo klicev med Cisco IP telefoni.

Po opravljanju potrebnih nalog, povezanih s funkcijo Certificate Authority proxy (CAPF), se v telefone namesti lokalno pomembno potrdilo (LSC). Uporabite lahko za konfigu Cisco Unified Communications Manager Administration riranje LSC, kot je opisano v varnostnem pri Cisco Unified Communications Manager ročniku. Namestitev LSC lahko začnete tudi v meniju Varnostne nastavitve v telefonu. Ta meni omogoča tudi posodobitev ali odstranjevanje LSC.

V izdaji PhoneOS 3.2 se lahko LSC uporablja kot uporabniško potrdilo za EAP-TLS s preverjanjem pristnosti WLAN.

Telefoni uporabljajo varnostni profil telefona, ki določa, ali naprava ni varna ali varna. Če želite informacije o uporabi varnostnega profila v telefonu, glejte dokumentacijo za določeno Cisco Unified Communications Manager izdajo.

Če nastavitve, povezane z varnostjo, konfigurirate v programuCisco Unified Communications Manager Administration, konfiguracijska datoteka telefona vsebuje občutljive podatke. Če želite zagotoviti zasebnost konfiguracijske datoteke, jo morate konfigurirati za šifriranje. Za podrobne informacije glejte dokumentacijo za vašo določeno Cisco Unified Communications Manager izdajo.

Telefon je skladen z zveznim standardom za obdelavo informacij (FIPS). Za pravilno delovanje način FIPS zahteva velikost ključa 2048 bitov ali več. Če je certifikat manjši od 2048 bitov, se telefon ne bo registriral, telefon Cisco Unified Communications Manager pa se ni uspel registrirati. Velikost tipke Cert ni skladna s FIPS zasloni na telefonu.

Če ima telefon LSC, morate posodobiti velikost ključa LSC na 2048 bitov ali več, preden omogočite FIPS.

Naslednja tabela vsebuje pregled varnostnih funkcij, ki jih telefoni podpi rajo. Za več informacij si oglejte dokumentacijo za vašo določeno Cisco Unified Communications Manager izdajo.

Če si želite ogledati varnostni način, pritisnite Nastavitve Trda tipka Nastavitve in se pomaknite na Omrežje in storitev > Var nostne nastavitve.

Tabela 1. Pregled varnostnih funkcij
Funkcija	Opis
Preverjanje pristnosti slike	Podpisane binarne datoteke preprečujejo poseganje v sliko vdelane programske opreme, preden se slika nal oži v telefon. Zaradi poseganja v sliko telefon ne uspe postopek preverjanja pristnosti in zavrne novo sliko.
Namestitev certifikata na spletnem mestu stranke	Vsak Cisco IP telefon zahteva edinstveno potrdilo za preverjanje pristnosti naprave. Telefoni vključujejo proizvodno nameščeno potrdilo (MIC), vendar za dodatno varnost lahko določite namestitev certifikata Cisco Unified Communications Manager Administration z uporabo funkcije Certificate Authority proxy (CAPF). Lahko pa namestite lokalno pomembno potrdilo (LSC) iz menija Varnostna konfiguracija v telefonu.
Preverjanje pristnosti naprave	Pojavi se med Cisco Unified Communications Manager strežnikom in telefonom, ko vsaka entiteta sprejme potrdilo druge entitete. Določi, ali Cisco Unified Communications Manager naj pride do varne povezave med telefonom in telefonom; in po potrebi ustvari varno signalno pot med entitetami z uporabo protokola TLS. Cisco Unified Communications Managerne registrira telefonov, razen če jih ne more preveriti.
Preverjanje pristnosti datoteke	Preveri digitalno podpisane datoteke, ki jih telefon prenese. Telefon potrdi podpis, da se prepričate, da po ustvarjanju datoteke ni prišlo do poseganja v datoteko. Datoteke, pri katerih preverjanje pristnosti ni uspelo, niso zapisane v pomnilnik Flash v telefonu. Telefon zavrača takšne datoteke brez nadaljnje obdelave.
Šifriranje datotek	Šifriranje preprečuje razkrivanje občutljivih informacij med prenosom datoteke v telefon. Poleg tega telefon potrdi podpis, da se prepričate, da po ustvarjanju datoteke ni prišlo do poseganja v datoteko. Datoteke, pri katerih preverjanje pristnosti ni uspelo, niso zapisane v pomnilnik Flash v telefonu. Telefon zavrača takšne datoteke brez nadaljnje obdelave.
Signalizacijska preverjanje	Uporablja protokol TLS za potrditev, da med prenosom ni prišlo do poseganja v signalne pakete.
Proizvodno nameščen certifikat	Vsak Cisco IP telefon vsebuje edinstveno proizvodno nameščeno potrdilo (MIC), ki se uporablja za preverjanje pristnosti naprave. MIC zagotavlja trajno edinstveno dokaz ilo o identiteti telefona in omogoča prever Cisco Unified Communications Manager janje pristnosti telefona.
Šifriranje medijev	Uporablja SRTP za zagotovitev, da se medijski tokovi med podprtimi napravami izkažejo za varne in da podatke sprejema in bere samo predvideno napravo. Vključuje ustvarjanje medijskega primarnega para ključev za naprave, dostavo ključev do napra v in zagotavljanje dostave ključev med prevozom ključev.
CAPF (funkcija Certificate Authority proxy)	Izvaja dele postopka ustvarjanja certifikatov, ki so preveč intenzivni za obdelavo za telefon, in sodeluje s telefonom za ustvarjanje ključev in namestitev certifik atov. CAPF je mogoče konfigurirati tako, da zahteva potrdila od organov za potrdila, ki jih določi stranka, v imenu telefona, ali pa ga lahko konfigurirate tako, da ustvarja potrdila lokalno. Podprti so tipi ključev EC (eliptična krivulja) in RSA. Če želite uporabiti ključ EC, se prepričajte, da je omogočen parameter »Endpoint Advanced Encryption Algorithms Support« (iz parametra Sistem > Enterprise). Za več informacij o CAPF in sorodnih konfiguracijah glejte naslednje dokumente: Varnostni vodnik za Cisco Unified Communications Manager Primer konfiguracije generiranja in uvoza LSC s podpisom CA tretjih oseb CUCM Konfigurirajte samodejni vpis in podaljšanje certifikata prek CAPF Online CA
Varnostni profil	Določa, ali telefon ni varen, overjen, šifriran ali zaščiten. Drugi vnosi v tej tabeli opisujejo varnostne funkcije.
Šifrirane konfiguracijske datoteke	Omogoča vam zagotovitev zasebnosti konfiguracijskih datotek telefona.
Izbirno onemogočanje spletnega strežnika za telefon	Zaradi varnostnih razlogov lahko preprečite dostop do spletnih strani za telefon (ki prikazujejo različne operativne statistike za telefon) in portala za samooskrbo.
Utrjevanje telefona	Dodatne varnostne možnosti, ki jih nadzorujeteCisco Unified Communications Manager Administration: Onemogočanje vrat računalnika Onemogočanje brezplačnega ARP (GARP) Onemogočanje dostopa do PC Voice VLAN Onemogočanje dostopa do menija Nastavitve ali omogočanje omejenega dostopa Onemogočanje dostopa do spletnih strani za telefon Onemogočanje priključkov za dodatno opremo Bluetooth Omejevanje šifer TLS
802.1X preverjanje pristnosti	Cisco IP Phone lahko uporablja 802.1X preverjanje pristnosti za zahtevo in dostop do omrežja. Za več informacij glejte 802.1X prever janje pristnosti.
Varno preklop SIP za SRST	Ko za varnost konfigurirate referenco za telefonijo na oddaljenem mestu (SRST) in nato ponastavite odvisne napraveCisco Unified Communications Manager Administration, strežnik TFTP doda potrdilo SRST v datoteko cnf.xml telefona in jo pošlje v telefon. Varni telefon nato uporabi povezavo TLS za interakcijo z usmerjevalnikom, ki pod pira SRST.
Šifriranje signalizacije	Zagotavlja, da so vsa signalna sporočila SIP, ki se pošljejo med napravo in Cisco Unified Communications Manager strežnikom, šifrirana.
Alarm posodobitve seznama zaupanja	Ko se seznam zaupanja posodobi v telefonu, Cisco Unified Communications Manager prejme alarm, ki označuje uspeh ali neuspeh posodobitve. Za več informacij glejte naslednjo tabelo.
Šifriranje AES 256	Ko so povezani z iz Cisco Unified Communications Manager dajo 10.5 (2) in novejšimi, telefoni podpirajo šifriranje AES 256 za TLS in SIP za signalizacijo in šifriranje medijev. To telefonom omogoča, da sprožijo in podpirajo povezave TLS 1.2 z uporabo šifer, ki temeljijo na AES-256, ki ustrezajo standardom SHA-2 (Secure Hash Algorithm) in so skladne z zveznimi standardi za obdelavo informacij (FIPS). Ši fre vključujejo: Za povezave TLS: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 Za SrtP: AEAD_AES_256_GCM AEAD_AES_128_GCM Za več informacij glejte Cisco Unified Communications Manager dokumentacijo.
Certifikati algoritma digitalnega podpisa eliptične krivulje (ECDSA)	V okviru certifikata Common Criteria (CC)Cisco Unified Communications Manager; dodani certifikati ECDSA v različici 11.0. To vpliva na vse izdelke glasov nega operacijskega sistema (VOS), ki uporabljajo CUCM 11.5 in novejše različice.
Certifikat Tomcat za več strežnikov (SAN) z Cisco UCM	Telefon podpira konfiguri Cisco UCM rane certifikate Tomcat z več strežniki (SAN). Pravilen naslov strežnika TFTP najdete v datoteki ITL telefona za registracijo telefona. Če želite več informacij o tej funkciji, glejte naslednje: Kako konfigurirati potrdilo Tomcat za več strežnikov (SAN) Cisco UCM Varnostni vodnik za Cisco Unified Communications Manager

Naslednja tabela vsebuje alarmna sporočila in pomen posodobitve seznama zaupanja. Za več informacij glejte Cisco Unified Communications Manager dokumentacijo.

Tabela 2. Sporočila o posodobitvi seznama zaupanja
Koda in sporočilo	Opis
1 - TL_SUCCESS	Prejeli novi CTL in/ali ITL
2 - CTL_INITIAL_SUCCESS	Prejel nov CTL, ni obstoječega TL
3 - ITL_INITIAL_SUCCESS	Prejel nov ITL, ni obstoječega TL
4 - TL_INITIAL_SUCCESS	Prejeli novi CTL in ITL, ni obstoječega TL
5 - TL_FAILED_OLD_CTL	Posodobitev na nov CTL ni uspela, vendar je imel prejšnji TL
6 - TL_FAILED_NO_TL	Posodobitev na nov TL ni uspela in nimate starega TL
7 - TL_FAILED	Splošna napaka
8 - TL_FAILED_OLD_ITL	Posodobitev na nov ITL ni uspela, vendar imajo prejšnji TL
9 - TL_FAILED_OLD_TL	Posodobitev na nov TL ni uspela, vendar je imel prejšnji TL

V meniju Security Setup so na voljo informacije o različnih varnostnih nastavitvah. M eni omogoča tudi dostop do menija Zaupanja in označuje, ali je datoteka CTL ali ITL nameščena v telefonu.

V spod nji tabeli so opisane možnosti v meniju Varnostne nastavitve.

Tabela 3. Varnostni nastavitveni meni
Možnost	Opis	Spre meniti
Varnostni način	Prikaže varnostni način, ki je nastavljen za telefon.	Iz Cisco Unified Communications Manager Administration berite Nap rava > Telefon. Nastavitev se prikaže v delu Informacije, specifične za protokol, v oknu Konfiguracija telefona.
LSC	Označuje, ali je lokalno pomembno potrdilo, ki se uporablja za varnostne funkcije, nameščeno v telefonu (nameščeno) ali ni nameščeno v telefonu (Ni nameščeno).	Če želite informacije o upravljanju LSC za telefon, glejte dokumentacijo za določeno Cisco Unified Communications Manager izdajo.

Nastavitev lokalno pomembnega certifikata (LSC)

To nalogo velja za nastavitev LSC z metodo avtentikacijskega niza.

Preden začnete

Prepričajte se, da so ustre Cisco Unified Communications Manager zne konfiguracije in varnostne konfiguracije funkcije Certificate Authority proxy (CAPF) dokončane:

Datoteka CTL ali ITL ima certifikat CAPF.
V razdel Cisco Unified Communications Operating System ku Administracija preverite, ali je nameščeno potrdilo CAPF.
CAPF deluje in konfigurira.

Če želite več informacij o teh nastavitvah, glejte dokumentacijo za določeno Cisco Unified Communications Manager izdajo.

1	Pridobite kodo za preverjanje pristnosti CAPF, ki je bila nastavljena, ko je bil CAPF konfiguriran.
2	V telefonu pritisnite Nastavitve.
3	Če ste pozvani, vnesite geslo za dostop do menija Nastavitve. Geslo lahko dobite od skrbnika.
4	Pomaknite se na Omrežje in storitev > Varnostne nastavitve > LSC. Dostop do menija Nastavitve lahko nadzorujete tako, da uporabite polje Dostop do nastav itev vCisco Unified Communications Manager Administration.
5	Vnesite niz preverjanja pristnosti in izberite Pošlji. Telefon začne nameščati, posodabljati ali odstranjevati LSC, odvisno od tega, kako je konfiguriran CAPF. Ko je postopek končan, se v telefonu prikaže Nameščeno ali ni nameščeno. Postopek namestitve, posodobitve ali odstranitve LSC lahko traja dolgo časa. `Ko je postopek namestitve telefona uspešen, se prikaže sporočilo Nameščeno.` Če se na telefonu pri `kaže Ni nameš` čeno, je avtorizacijski niz morda nap ačen ali nadgradnja telefona morda ni omogočena. Če operacija CAPF izbriše LSC, se na telefonu prikaže Not Inst `alled, kar pomeni`, da je operacija uspela. Strežnik CAPF beleži sporočila o napakah. Oglejte si dokumentacijo strežnika CAPF, da poiščete dnevnike in razumete pomen sporočil o napakah.

Omogoči način FIPS

1	V razdel Cisco Unified Communications Manager Administration ku izberite Naprava > Telefon in poiščite telefon.
2	Pomaknite se do območja Konfiguracija, specifična za izdelek.
3	Polje FIPS Mo de nastavite na Omogočeno.
4	Izberite Shrani.
5	Izberite Uporabi konfiguracijo.
6	Znova zaženite telefon.

Izklopite zvočnik, slušalke in slušalke v telefonu

Na voljo imate možnost trajno izklopiti zvočnik, slušalke in slušalke v telefonu za svojega uporabnika.

1	V razdel Cisco Unified Communications Manager Administration ku izberite Naprava > Telefon in poiščite telefon.
2	Pomaknite se do območja Konfiguracija, specifična za izdelek.
3	Potrdite eno ali več naslednjih potrditvenih polj, da izklopite zmogljivosti telefona: Onemogoči zvočnik Onemogoči zvočnik in slušalke Onemogoči slušalko Ta potrditvena polja privzeto niso označena.
4	Izberite Shrani.
5	Izberite Uporabi konfiguracijo.

802.1X preverjanje pristnosti

Cisco IP telefoni podpirajo 802.1X preverjanje pristnosti.

Cisco IP Phones in Cisco Catalyst stikala tradicionalno uporabljajo Cisco Discovery Protocol (CDP) za medsebojno prepoznavanje in določanje parametrov, kot so dodelitev VLAN in potrebe po napajanju v liniji. CDP ne identificira lokalno priključenih delovnih postaj. Cisco IP telefoni zagotavljajo prehodni mehanizem EAPOL. Ta mehanizem omogoča delovni postaji, priključeni na Cisco IP Phone, posredovanje sporočil EAPOL na preverjanje pristnosti 802.1X na stikalu LAN. Prehodni mehanizem zagotavlja, da telefon IP ne deluje kot stikalo LAN za preverjanje pristnosti končne točke podatkov pred dostopom do omrežja.

Cisco IP telefoni zagotavljajo tudi proxy EAPOL Logoff mehanizem. Če se lokalno priključen računalnik odklopi od telefona IP, stikalo LAN ne prikaže, da fizična povezava ne uspe, ker je povezava med stikalom LAN in telefonom IP ohranjena. Da bi se izognili ogrožanju celovitosti omrežja, telefon IP pošlje stikalu sporočilo EAPOL-Logoff v imenu nižjega računalnika, ki sproži stikalo LAN za brisanje vnosa za preverjanje pristnosti računalnika na nižji verigi.

Podpora za preverjanje pristnosti 802.1X zahteva več komponent:

Cisco IP Phone: Telefon sproži zahtevo za dostop do omrežja. Cisco IP telefoni vsebujejo zahtevek 802.1X. Ta prosilec omogoča skrbnikom omrežja, da nadzorujejo povezljivost telefonov IP s preklopnimi vrati LAN. Trenutna izdaja telefona 802.1X supplicant uporablja možnosti EAP-FAST in EAP-TLS za preverjanje pristnosti omrežja.
Strežnik za preverjanje pristnosti: Strežnik za preverjanje pristnosti in stikalo morata biti konfigurirana s skrivnostjo v skupni rabi, ki preverja pristnost telefona.
Stikalo: Stikalo mora podpirati 802.1X, tako da lahko deluje kot avtentikator in posreduje sporočila med telefonom in strežnikom za preverjanje pristnosti. Ko je izmenjava končana, stikalo podeli ali zavrne dostop telefona do omrežja.

Če želite konfigurirati 802.1X, morate iz vesti naslednja dejanja.

Konfigurirajte druge komponente, preden omogočite preverjanje pristnosti 802.1X v telefonu.
Konfigurirajte vrata računalnika: Standard 802.1X ne upošteva VLAN-ov in zato priporoča, da je treba samo ena naprava overiti na določena stikalna vrata. Vendar nekatera stikala podpirajo preverjanje pristnosti več domen. Konfiguracija stikala določa, ali lahko računalnik priključite na vrata računalnika telefona.
- Omogočeno: Če uporabljate stikalo, ki podpira preverjanje pristnosti z več domenami, lahko omogočite vrata računalnika in z njim povežete računalnik. V tem primeru Cisco IP Phones podpirajo proxy EAPOL-Logoff za spremljanje izmenjave preverjanja pristnosti med stikalom in priloženim računalnikom.
  
  Za več informacij o podpori IEEE 802.1X za stikala Cisco Catalyst glejte navodila za konfiguracijo stikala Cisco Catalyst na naslovu:
  
  http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
- Onemogočeno: Če stikalo ne podpira več naprav, skladnih s 802.1X, na istih vratih, onemogočite vrata računalnika, ko je omogočena preverjanje pristnosti 802.1X. Če teh vrat ne onemogočite in nato nanj poskusite priključiti računalnik, stikalo zavrne dostop do omrežja tako do telefona kot do računalnika.
Konfiguriranje glasovne VLAN: Ker standard 802.1X ne upošteva VLAN, morate to nastavitev konfigurirati na podlagi podpore stikala.
- Omogočeno: Če uporabljate stikalo, ki podpira preverjanje pristnosti z več domenami, ga lahko nadaljujete z uporabo glasovne VLAN-a.
- Onemogočeno: Če stikalo ne podpira preverjanja pristnosti z več domenami, onemogočite Voice VLAN in razmislite o dodelitvi vrat izvorni VLAN.
(Samo za Cisco Desk Phone serije 9800)
Cisco Desk Phone 9800 Series ima v PID drugačno predpono kot za druge telefone Cisco. Če želite telefonu omogočiti preverjanje pristnosti 802.1X, nastavite parameter Radius · UserName tako, da vključuje vaš Cisco Desk Phone 9800 Series.
PID telefona 9841 je na primer DP-9841; Radius·UserName lahko nastavite na Začetek z DP ali Vsebuje DP. Nastavite ga lahko v obeh naslednjih razdelkih:
- Pravilnik > Pogoji > K njižniški pogoji
- Pravilnik > Nabori pravilnikov > Pravil nik o avtorizaciji > Pra vilo avtorizacije 1

Omogoči preverjanje pristnosti 802.1X

Preverjanje pristnosti 802.1X za telefon lahko omogočite tako, da sledite tem korakom:

1	Pritisnite Nastavitve.
2	Če ste pozvani, vnesite geslo za dostop do menija Nastavitve. Geslo lahko dobite od skrbnika.
3	Pomaknite se na Omrežje in storitev > Var nostne nastavitve > 802.1X prever janje pristnosti.
4	Vklopite preverjanje pristnosti IEEE 802.1X.
5	Izberite Uporab i.

Oglejte si informacije o varnostnih nastavitvah v telefonu

Informacije o varnostnih nastavitvah si lahko ogledate v meniju telefona. Razpoložljivost informacij je odvisna od omrežnih nastavitev v vaši organizaciji.

Tabela 4. Parametri za varnostne nastavitve
Parametri	Opis
Varnostni način	Prikaže varnostni način, ki je nastavljen za telefon.
LSC	Označuje, ali je lokalno pomembno potrdilo, ki se uporablja za varnostne funkcije, nameščeno v telefonu (Da) ali ni nameščeno v telefonu (Ne).
Seznam zaupanja	Seznam zaupanja vsebuje podmenije za datoteke CTL, ITL in podpisane konfiguracijske datoteke. Podmeni Datoteka CTL prikazuje vsebino datoteke CTL. Podmeni Datoteka ITL prikazuje vsebino datoteke ITL. V meniju Seznam zaupanja so prikazane tudi naslednje informacije: CTL Signature: hash SHA1 datoteke CTL Unified CM/TFTP strežnik: ime strežnika Cisco Unified Communications Manager in TFTP strežnika, ki ga telefon uporablja. Prikaže ikono potrdila, če je potrdilo nameščeno za ta strežnik. Strežnik CAPF: ime strežnika CAPF, ki ga telefon uporablja. Prikaže ikono potrdila, če je potrdilo nameščeno za ta strežnik. SRST Router: naslov IP zaupanja vrednega usmerjevalnika SRST, ki ga telefon lahko uporablja. Prikaže ikono potrdila, če je potrdilo nameščeno za ta strežnik.
802.1X preverjanje pristnosti	Omogoči ali onemogoči preverjanje pristnosti IEEE 802.1X. Za podrobnosti glejte 802.1X preverjanje pristnosti.
Vzvratna združljivost z WPA	Določi, ali je najstarejša različica zaščitenega dostopa Wi-Fi (WPA) združljiva v telefonu za povezavo z brezžičnim omrežjem ali dostopno točko (AP). Če je omogočeno, lahko telefon išče in se poveže z brezžičnimi omrežji z vsemi različicami WPA, vključno z WPA, WPA2 in WPA3. Poleg tega lahko telefon išče in se poveže z AP-ji, ki podpirajo samo najstarejšo različico WPA. Če je onemogočeno (privzeto), lahko telefon išče in se poveže samo z brezžičnimi omrežji in dostopnimi točkami, ki podpirajo WPA2 in WPA3. Ta funkcija je na voljo samo na telefonih 9861/9871/8875.

1	Pritisnite Nastavitve.
2	Pomaknite se na Omrežje in storitev > Var nostne nastavitve.
3	V varnostnih nastavit vah si oglejte varnostne podatke.

Varnost telefonskih klicev

Ko je za telefon uvedena varnost, lahko varne telefonske klice prepoznate po ikonah na zaslonu telefona. Prav tako lahko ugotovite, ali je povezani telefon varen in zaščiten, če se na začetku klica predvaja varnostni ton.

V varnem klicu so vsa signalizacija klicev in medijski tokovi šifrirani. Varni klic ponuja visoko stopnjo varnosti in zagotavlja celovitost in zasebnost klica. Ko je klic v teku šifriran, lahko the lock icon for a secure call na liniji vidite varno ikono. Za varen telefon si lahko ogledate tudi ikono za preverjanje pristnosti ali šifrirano ikono poleg povezanega strežnika v meniju telefona (Nastavitve > O tej napra vi).

Če je klic usmerjen prek klicnih krajev, ki niso IP, na primer PSTN, klic morda ni varen, čeprav je šifriran znotraj omrežja IP in ima z njim povezano ikono zaklepanja.

V varnem klicu se na začetku klica predvaja varnostni ton, ki označuje, da tudi drugi povezani telefon sprejema in oddaja varen zvok. Če se vaš klic poveže z nevarnim telefonom, se varnostni ton ne predvaja.

Varno klicanje je podprto samo za povezave med dvema telefonoma. Nekatere funkcije, kot so konferenčni klici in linije v skupni rabi, niso na voljo, ko je konfigurirano varno klicanje.

Ko je telefon konfiguriran kot varen (šifriran in zaupanja vreden)Cisco Unified Communications Manager, mu lahko dodeli status zaščit enega. Po tem lahko zaščiteni telefon po želji konfigurirate tako, da predvaja indikacijski ton na začetku klica:

Zaščitena naprava: Če želite spremeniti stanje varnega telefona v zaščiteno, potrdite potrditveno polje Zaščitena naprava v oknu Konfiguracija telefona v razdelku Cisco Unified Communications Manager Administration (Nap rava > Telefon).
Predvajanje varnega signala: Če želite zaščitenemu telefonu omogočiti predvajanje varnega ali nezaščitenega signala, nastavite nastavitev Play Secure Indication Tone na True. Privzeto je funkcija Play Secure Indication Tone nastavljena na False. To možnost nastavite v Cisco Unified Communications Manager Administration (Sistem > Parametri storitve). Izberite strežnik in nato storitev Unified Communications Manager. V oknu Konfiguracija parametrov storitve izberite možnost v območju Funkcija - Varni ton. Privzeta vrednost je False.

Varna identifikacija konferenčnega klica

Lahko sprožite varen konferenčni klic in spremljate raven varnosti udeležencev. Varni konferenčni klic se vzpostavi s tem postopkom:

Uporabnik začne konferenco iz varnega telefona.
Cisco Unified Communications Managerklicu dodeli varen konferenčni most.
Ko so udeleženci do Cisco Unified Communications Manager dani, preverja varnost ni način vsakega telefona in ohranja varno raven za konferenco.
Telefon prikaže raven varnosti konferenčnega klica. Varna konferenca prikaže varno ikono.

Varno klicanje je podprto med dvema telefonoma. Za zaščitene telefone nekatere funkcije, kot so konferenčni klici, linije v skupni rabi inExtension Mobility, niso na voljo, ko je konfigurirano varno klicanje.

Naslednja tabela vsebuje informacije o spremembah ravni varnosti konference, odvisno od stopnje varnosti telefona pobudnika, stopnje varnosti udeležencev in razpoložljivosti varnih konferenčnih mostov.

Tabela 5. Varnostne omejitve s konferenčnimi klici
Stopnja varnosti telefona iniciator	Uporabljena funkcija	Stopnja varnosti udeležencev	Rezultati ukrepanja
Nezavarno	Konferenca	Varno	Nezavaren konferenčni most Nezavarna konferenca
Varno	Konferenca	Vsaj en član ni varen.	Varni konferenčni most Nezavarna konferenca
Varno	Konferenca	Varno	Varni konferenčni most Varna konferenca na šifrirani ravni
Nezavarno	Spoznajte me	Minimalna raven varnosti je šifrirana.	Pobudnik prejme sporočilo `Ne ustreza stopnji varnosti, klic zavrnjen`.
Varno	Spoznajte me	Minimalna raven varnosti ni varna.	Varni konferenčni most Konferenca sprejema vse klice.

Varna identifikacija telefonskega klica

Varni klic se vzpostavi, ko sta telefon in telefon na drugem koncu konfigurirana za varno klicanje. Drugi telefon je lahko v istem omrežju Cisco IP ali v omrežju zunaj omrežja IP. Varovane klice lahko izvajate samo med dvema telefonoma. Konferenčni klici bi morali podpirati varen klic po nastavitvi varnega konferenčnega mosta.

Varni klic se vzpostavi s tem postopkom:

Uporabnik sproži klic iz varovanega telefona (zaščiten varnostni način).
Telefon prikaže varno ikono na zaslonu telefona. Ta ikona označuje, da je telefon konfiguriran za varne klice, vendar to ne pomeni, da je tudi drugi povezani telefon zavarovan.
Uporabnik sliši varnostni ton, če se klic poveže z drugim zaščitenim telefonom, kar pomeni, da sta oba konca pogovora šifrirana in zaščitena. Če se klic poveže z nevarnim telefonom, uporabnik ne sliši varnostnega tona.

Te varne ali nevarne indikacijske tone predvajajo samo zaščiteni telefoni. Nezaščiteni telefoni nikoli ne predvajajo tonov. Če se celotno stanje klica med klicem spremeni, se signal signala spre meni in zaščiteni telefon predvaja ustrezen ton.

Zaščiten telefon predvaja ton ali ne v teh okoliščinah:

Ko je omogočena možnost Play Secure Indication Tone:
- Ko je vzpostavljen varen medij od konca do konca in je stanje klica varno, telefon predvaja varni indikacijski ton (trije dolgi piski z premori).
- Ko je vzpostavljen nevaren medij od konca do konca in stanje klica ni varno, telefon predvaja nevaren indikacijski ton (šest kratkih piskov s kratkimi premori).

Če je možnost Play Secure Indication Tone onemogočena, se ne predvaja noben ton.

Zagotovite šifriranje barže

Cisco Unified Communications Managerpreveri stanje varnosti telefona ob vz postavitvi konferenc in spremeni varnostno oznako za konferenco ali blokira zaključek klica, da ohrani celovitost in varnost v sistemu.

Uporabnik ne more vključiti šifriranega klica, če telefon, ki se uporablja za prevoz, ni konfiguriran za šifriranje. Ko barža v tem primeru odpove, se na telefonu predvaja ton preurejanja (hitro zaseden), po katerem je bila barža sprožena.

Če je pobudniški telefon konfiguriran za šifriranje, lahko pobudnik barže vstopi v nevaren klic iz šifri ranega telefona. Ko pride do barže, klic Cisco Unified Communications Manager razvrsti kot nevaren.

Če je pobudniški telefon konfiguriran za šifriranje, lahko pobudnik barže vstopi v šifriran klic, telefon pa označi, da je klic šifriran.

Varnost WLAN

Ker lahko vse naprave WLAN, ki so v dosegu, sprejemajo ves drugi promet WLAN, je varovanje glasovne komunikacije ključnega pomena v omrežjih WLAN. Da bi zagotovili, da vsiljivci ne manipulirajo ali ne prestrežejo glasovnega prometa, arhitektura Cisco SAFE Security podpira telefon. Za več informacij o varnosti v omrežjih glejte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Rešitev Cisco Wireless IP telefonije zagotavlja varnost brezžičnega omrežja, ki preprečuje nepooblaščene prijave in ogrožene komunikacije z uporabo naslednjih načinov preverjanja pristnosti, ki jih telefon podpira:

Odprto preverjanje pristnosti: Vsaka brezžična naprava lahko zahteva preverjanje pristnosti v odprtem sistemu. AP, ki prejme zahtevo, lahko podeli avtentikacijo kateremu koli prosilcu ali samo prosilcem, ki so na seznamu uporabnikov. Komunikacija med brezžično napravo in dostopno točko (AP) je lahko nešifrirana.
Razširljiv protokol za preverjanje pristnosti — prilagodljivo preverjanje pristnosti prek varnega tuneliranja (EAP-FAST): Ta varnostna arhitektura odjemalca in strežnika šifrira transakcije EAP znotraj tunela za varnost na ravni transporta (TLS) med AP in strežnikom RADIUS, kot je Identity Services Engine (ISE).

Predor TLS uporablja poverilnice zaščitenega dostopa (PAC) za preverjanje pristnosti med odjemalcem (telefonom) in strežnikom RADIUS. Strežnik pošlje ID organa (AID) odjemalcu (telefon), ki nato izbere ustrezen PAC. Odjemalec (telefon) vrne PAC-neprozorni strežnik RADIUS. Strežnik dešifrira PAC s primarnim ključem. Obe končni točki zdaj vsebujeta ključ PAC in ustvarjen je predor TLS. EAP-FAST podpira samodejno zagotavljanje PAC, vendar ga morate omogočiti na strežniku RADIUS.

V ISE privzeto PAC poteče v enem tednu. Če ima telefon potekel PAC, preverjanje pristnosti s strežnikom RADIUS traja dlje, medtem ko telefon dobi nov PAC. Da bi se izognili zamudam pri zagotavljanju PAC, nastavite obdobje izteka PAC na strežniku ISE ali RADIUS na 90 dni ali dlje.
Avtentikacija EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS zahteva potrdilo odjemalca za prever janje pristnosti in dostop do omrežja. Za brezžični EAP-TLS je lahko potrdilo odjemalca MIC, LSC ali uporabniško nameščeno potrdilo.
Zaščiteni razširljivi avtentikacijski protokol (PEAP): Ciscova lastniška shema medsebojnega preverjanja pristnosti med odjemalcem (telefonom) in strežnikom RADIUS, ki temelji na geslu. Telefon lahko uporablja PEAP za preverjanje pristnosti z brezžičnim omrežjem. Podprti so tako načini preverjanja pristnosti PEAP-MSCHAPV2 kot PEAP-GTC.
Pred-skupni ključ (PSK): Telefon podpira format ASCII. To obliko morate uporabiti pri nastavitvi ključa WPA/WPA2/SAE v skupni rabi:

ASCII: niz znakov ASCII z dolžino od 8 do 63 znakov (0-9, male in velike črke A-Z ter posebni znaki)

Primer: GREG123567 @9ZX &W

Naslednje sheme preverjanja pristnosti uporabljajo strežnik RADIUS za upravljanje ključev za preverjanje pristnosti:

WPA/WPA2/WPA3: Uporablja informacije o strežniku RADIUS za ustvarjanje edinstvenih ključev za preverjanje pristnosti. Ker so ti ključi ustvarjeni na centraliziranem strežniku RADIUS, WPA2/WPA3 zagotavlja večjo varnost kot ključi WPA, ki so shranjeni v AP in telefonu.
Hitro varno gostovanje: Uporablja podatke o strežniku RADIUS in strežniku brezžične domene (WDS) za upravljanje in preverjanje pristnosti ključev. WDS ustvari predpomnilnik varnostnih poverilnic za odjemalske naprave, ki podpirajo FT, za hitro in varno ponovno preverjanje pristnosti. Cisco Desk Phone 9861 in 9871 ter Cisco Video Phone 8875 podpirajo 802.11r (FT). Podprti so tako v zraku kot tudi prek DS, kar omogoča hitro varno gostovanje. Vendar toplo priporočamo uporabo metode 802.11r (FT) over air.

Pri WPA/WPA2/WPA3 šifrirni ključi niso vneseni v telefon, ampak se samodejno pridobivajo med AP in telefonom. Toda uporabniško ime in geslo EAP, ki se uporabljata za preverjanje pristnosti, je treba vnesti na vsak telefon.

Da bi zagotovili varnost glasovnega prometa, telefon podpira TKIP in AES za šifriranje. Ko se ti mehanizmi uporabljajo za šifriranje, so tako signalni SIP paketi kot glasovni paketi Real-Time Transport Protocol (RTP) šifrirani med AP in telefonom.

TKIP: WPA uporablja šifriranje TKIP, ki ima več izboljšav v primerjavi z WEP. TKIP omogoča šifriranje ključev na paket in daljše inicializacijske vektorje (IV), ki krepijo šifriranje. Poleg tega preverjanje celovitosti sporočil (MIC) zagotavlja, da se šifrirani paketi ne spreminjajo. TKIP odstrani predvidljivost WEP, ki vsiljivcem pomaga razvozlati ključ WEP.
AES: Metoda šifriranja, ki se uporablja za preverjanje pristnosti WPA2/WPA3. Ta nacionalni standard za šifriranje uporablja simetrični algoritem, ki ima isti ključ za šifriranje in dešifriranje. AES uporablja šifriranje šifriranja blokirne verige (CBC) velikosti 128 bitov, ki podpira ključne velikosti najmanj 128 bitov, 192 bitov in 256 bitov. Telefon podpira velikost ključa 256 bitov.

Cisco Desk Phone 9861 in 9871 ter Cisco Video Phone 8875 ne podpirata Cisco Key Integrity Protocol (CKIP) s CMIC.

Sheme preverjanja pristnosti in šifriranja so nastavljene znotraj brezžičnega omrežja LAN. VLAN-ji so konfigurirani v omrežju in na dostopnih točkah ter določajo različne kombinacije preverjanja pristnosti in šifriranja. SSID se povezuje z VLAN in določeno shemo preverjanja pristnosti in šifriranja. Za uspešno preverjanje pristnosti brezžičnih odjemalskih naprav morate konfigurirati iste SSID z njihovimi shemami preverjanja pristnosti in šifriranja na dostopnih točkah in v telefonu.

Nekatere sheme preverjanja pristnosti zahtevajo posebne vrste šifriranja.

Ko uporabljate ključ v skupni rabi WPA, ključ WPA2 v predhodno skupni rabi ali SAE, mora biti ključ vnaprej v skupni rabi statično nastavljen v telefonu. Ti ključi se morajo ujemati s tipkami, ki so na AP.
Telefon podpira samodejno pogajanje o EAP za FAST ali PEAP, ne pa tudi za TLS. Za način EAP-TLS ga morate določiti.

Sheme preverjanja pristnosti in šifriranja v naslednji tabeli prikazujejo možnosti konfiguracije omrežja za telefon, ki ustreza konfiguraciji AP.

Tabela 6. Sheme preverjanja pristnosti in šifriranja
Vrsta FSR	Avtentikacija	Upravljanje ključev	Šifriranje	Zaščiteni okvir upravljanja (PMF)
802.11r (FT)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	Ne
802.11r (FT)	WPA3	SAE FT-SAE	AES	Da
802.11r (FT)	EAP-TLS	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
802.11r (FT)	EAP-FAST	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da
802.11r (FT)	EAP-PEAP	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	Da

Konfigurirajte profil brezžičnega LAN

Profil brezžičnega omrežja lahko upravljate tako, da konfigurirate poverilnice, frekvenčni pas, način preverjanja pristnosti itd.

Preden konfigurirate profil WLAN, upoštevajte naslednje opombe:

Uporabniško ime in geslo
- Če vaše omrežje uporablja EAP-FAST in PEAP za preverjanje pristnosti uporabnikov, morate konfigurirati uporabniško ime in geslo, če je to potrebno v storitvi Remote Authentication Dial-In User Service (RADIUS) in telefonu.
- Poverilnice, ki jih vnesete v profil brezžičnega omrežja LAN, morajo biti enake poverilnic am, ki ste jih konfigurirali na strežniku RADIUS.
- Če uporabljate domene v svojem omrežju, morate vnesti uporabniško ime z imenom domene v obliki: domena\ uporabniško ime.
Naslednja dejanja lahko povzročijo brisanje obstoječega gesla za Wi-Fi:
- Vnos neveljavnega uporabniškega ID-ja ali gesla
- Namestitev neveljavnega ali poteklega korenskega certifikata, ko je vrsta EAP nastavljena na PEAP-MSCHAPV2 ali PEAP-GTC
- Onemogočanje vrste EAP v uporabi na strežniku RADIUS, preden telefon preklopite na novo vrsto EAP
Če želite spremeniti vrsto EAP, se prepričajte, da ste naj prej omogočili novo vrsto EAP na strežniku RADIUS, nato pa telefon preklopite na vrsto EAP. Ko so vsi telefoni spremenjeni v novo vrsto EAP, lahko onemogočite prejšnjo vrsto EAP, če želite.

1	V razdel Cisco Unified Communications Manager Administration ku izberite Naprava > Nastavitve naprave > Profil brezžičnega omrežja LAN.
2	Izberite omrežni profil, ki ga želite konfigurirati.
3	Nastavite parametre.
4	Kliknite Shrani.

Konfigurirajte parametre SCEP

Simple Certificate Enrollment Protocol (SCEP) je standard za samodejno zagotavljanje in obnavljanje potrdil. Strežnik SCEP lahko samodejno vzdržuje vaša uporabniška in strežniška potrdila.

Na spletni strani telefona morate konfigurirati naslednje parametre SCEP

RA IP naslov
SHA-1 ali SHA-256 prstni odtis korenskega potrdila CA za strežnik SCEP

Cisco IOSRegistracijski organ (RA) služi kot posrednik strežnika SCEP. Odjemalec SCEP v telefonu uporablja parametre, ki so preneseni iz Cisco Unified Communication Manager. Ko konfigurirate parametre, telefon pošlje zahtevo SCEP getcs na RA, korensko potrdilo CA pa se potrdi z določenim prstnim odtisom.

Preden začnete

Na strežniku SCEP konfigurirajte agenta za registracijo SCEP (RA) tako, da:

Delujte kot zaupna točka PKI
Delujte kot PKI RA
Izvedite preverjanje pristnosti naprave s strežnikom RADIUS

Za več informacij si oglejte dokumentacijo strežnika SCEP.

1	V meniju Cisco Unified Communications Manager Administration izberite Naprava > Telefon.
2	Poiščite telefon.
3	Pomaknite se do območja Postav itev konfiguracije, specifične za izdelek.
4	V polje strežnik WLAN SCEP vnesite IP naslov RA ali ime gostitelja in potrdite polje, da aktivirate parameter SCEP.
5	V polje WLAN Root CA Fingerprint (SHA256 ali SHA1) vnesite prstni odtis SHA-1 ali SHA-256 korenskega potrdila CA in nato potrdite polje, da aktivirate parameter SCEP QED.
6	Izberite Shrani.
7	Izberite Uporabi konfiguracijo.

Nastavite podprte različice TLS

Nastavite lahko minimalno različico TLS, ki je potrebna za odjemalca oziroma strežnik.

Privzeto je minimalna različica TLS strežnika in odjemalca 1.2. Nastavitev vpliva na naslednje funkcije:

HTTPS povezava s spletnim dostopom
Vključitev za krajevni telefon
Vključitev za mobilne naprave in Remote Access (MRA)
Storitve HTTPS, kot so storitve imenika
Varnost transportnega sloja datagramov (DTLS)
Entitet za dostop do vrat (PAE)
Razširljivi protokol za preverjanje pristnosti in varnost transportnega sloja (EAP-TLS)

Če želite več informacij o združljivosti s sistemom TLS 1.3 za telefone Cisco IP, glejte Matrica združljivosti TLS 1.3 za izdelke Cisco za sodelovanje.

1	Prijavite se Cisco Unified Communications Manager Administration kot skrbnik.
2	Pomaknite se do enega od naslednjih oken: Sistem > Konfiguracija poslovnega telefona Naprava > Nastavitve naprave > Skupni telefonski profil Naprava > Telefon > Konfiguracija telefona
3	Nastavite polje TLS Client Min Version: Možnost »TLS 1.3« je na voljo na Cisco Unified CM 15SU2 ali novejši. TLS 1.1: Odjemalec TLS podpira različice TLS od 1.1 do 1.3. Če je različica TLS v strežniku nižja od 1.1, na primer 1.0, povezave ni mogoče vzpostaviti. TLS 1.2 (privzeto): Odjemalec TLS podpira TLS 1.2 in 1.3. Če je različica TLS v strežniku nižja od 1.2, na primer 1.1 ali 1.0, povez ave ni mogoče vzpostaviti. TLS 1.3: Od jemalec TLS podpira samo TLS 1.3. Če je različica TLS v strežniku nižja od 1.3, na primer 1.2, 1.1 ali 1.0, potem povezave ni mogoče vzpostaviti.
4	Nastavite polje Minimalna različica strežnika TLS: TLS 1.1: Strežnik TLS podpira različice TLS od 1.1 do 1.3. Če je različica TLS v odjemalcu nižja od 1.1, na primer 1.0, povezave ni mogoče vzpostaviti. TLS 1.2 (privzeto): strežnik TLS podpira TLS 1.2 in 1.3. Če je različica TLS v odjemalcu nižja od 1.2, na primer 1.1 ali 1.0, povezave ni mogoče vzpostaviti. TLS 1.3: strežnik TLS podpira samo TLS 1.3. Če je različica TLS v odjemalcu nižja od 1.3, na primer 1.2, 1.1 ali 1.0, povezave ni mogoče vzpostaviti. V izdaji PhoneOS 3.2 nastavitev polja« Onemogoči TLS 1.0 in TLS 1.1 za spletni dostop »ne vpliva na telefone.
5	Kliknite Shrani.
6	Kliknite Uporabi konfiguracijo.
7	Znova zaženite telefone.

Zagotovljene storitve SIP

Assured Services SIP (AS-SIP) je zbirka funkcij in protokolov, ki ponujajo zelo varen tok klicev za telefone IP Cisco in telefone drugih proizvajalcev. Naslednje funkcije so skupaj znane kot AS-SIP:

Večstopenjska prednost in predpostavka (MLPP)
Kodna točka diferenciranih storitev (DSCP)
Varnost transportnega sloja (TLS) in varen transportni protokol v realnem času (SRTP)
Internet Protocol različica 6 (IPv6)

AS-SIP se pogosto uporablja z večstopenjsko prednostnostjo in prejemanjem (MLPP) za določanje prednostnih nalog klicev v sili. Z MLPP svojim odhodnim klicem dodelite prednostno raven, od stopnje 1 (nizka) do stopnje 5 (visoka). Ko prejmete klic, se v telefonu prikaže ikona stopnje prednosti, ki prikazuje prednost klica.

Če želite konfigurirati AS-SIP, izvedite naslednja opravila: Cisco Unified Communications Manager

Konfiguriranje uporabnika Digest — Konfigurirajte končnega uporabnika, da uporablja preverjanje pristnosti za zahteve SIP.
Konfigurirajte varno vrata telefona SIP— ta vrata Cisco Unified Communications Manager uporablja za poslušanje telefonov SIP za registracije linij SIP prek TLS.
Ponovni zagon storitev — Po nastavitvi varnih vrat znova zaženite storitve Cisco CT Cisco Unified Communications Manager L Provider. Konfigurirajte profil SIP za AS-SIP-Konfigurirajte profil SIP z nastavitvami SIP za končne točke AS-SIP in za vaše sisteme SIP. Parametri, specifični za telefon, se ne prenesejo v telefon AS-SIP tretje osebe. Uporablja jih samo Cisco Unified Manager. Telefoni tretjih oseb morajo lokalno konfigurirati enake nastavitve.
Konfigurirajte varnostni profil telefona za sistem AS-SIP — Varnostni profil telefona lahko uporabite za dodelitev varnostnih nastavitev, kot so TLS, SRTP in preverjanje pristnosti.
Konfiguriranje končne točke AS-SIP — konfigurirajte Cisco IP telefon ali končno točko drugih proizvajalcev s podporo AS-SIP.
Povezovanje naprave s končnim uporabnikom — končno točko povežite z uporabnikom.
Konfigurirajte varnostni profil SIP Trunk za sistem AS-SIP — Varnostni profil SIP trunka lahko uporabite za dodelitev varnostnih funkcij, kot sta TLS ali preverjanje pristnosti s sistemom SIP.
Konfigurirajte SIP Trunk za AS-SIP — Konfigurirajte protokol SIP s podporo AS-SIP.
Konfiguriranje funkcij AS-SIP — konfigurirajte dodatne funkcije AS-SIP, kot so MLPP, TLS, V.150 in IPv6.

Za podrobne informacije o konfiguraciji AS-SIP glejte poglavje« Konfiguriranje končnih točk AS-SIP »v Vodniku za konfiguracijo funkci j. Cisco Unified Communications Manager

Večstopenjska prednost in predpostavka

Multilevel Priority and Preemption (MLPP) vam omogoča, da določite prednost klicem v nujnih primerih ali drugih kriznih razmerah. Prednost dodelite svojim odhodnim klicem, ki se gibljejo od 1 do 5. Dohodni klici prikazujejo ikono in prednostno nalogo klica. Pristni uporabniki lahko predhodno kličejo bodisi na ciljne postaje bodisi prek popolnoma naročenih TDM sklopov.

Ta sposobnost zagotavlja visoko kakovostno osebje komunikacijo s kritičnimi organizacijami in osebjem.

Če klicano številko upravlja vzorec prevaja/poti, ki je konfiguriranUnified CM, lahko pobudnik klica MLPP vidi tudi posebno ikono MLPP in raven prednosti na zaslonu telefona ter sliši ton povratnega zvonjenja. To vedenje dosežemo po izdaji PhoneOS 3.4.

Funkcija MLPP za telefone PhoneOS zahteva Unified CM izdajo 15SU3 ali novejšo različico.

Konfiguracija MLPP je vklopljena Unified CM

Če želite konfigurirati funkcijo, naredite naslednje:

Konfigurirajte domene in sezname domen.
1. Izberite Sistem > MLPP > Domena > Domena MLPP, dodajte nove domene MLPP. Cisco Unified CM Administration
2. Izberite Sistem > MLPP > Imenski prostor > Priority Resource Namespace Omrežna domena, dodajte registrirane imenske prostore, kot so »drsn«, »dsn«, »cuc«, »uc«, »q735". Nato izberite eno ime domene, ki bo privzeto.
3. Izberite Sistem > MLPP > Imenski prostor > Seznam imenskega prostora prednostnih virov, dodajte sezname imenskih prostorov.
Konfigurirajte profil SIP.
1. Izberite Naprava > Nastavitve naprave > Profil SIP, dodajte nov profil SIP.
2. Če želite, da telefon zahteva uporabniške poverilnice za klice MLPP, potrdite potrditveno polje Pooblastilo uporabnika MLPP.
3. Izberite konfiguriran imenski prostor prednostnih vi rov iz Imenskega prostora za prednostne vire.
4. Izberite konfigurirani seznam imenskih prostorov s seznama imenskih prostor ov prednostnih virov.
Konfigurirajte telefon.
1. Izberite Naprava > Telefon, posodobite ali dodajte telefon.
2. Izberite konfiguriran profil SIP iz SIP profil a.
3. V razdelku MLPP in Confidential Access Level informacije konfigurirajte parametre Domena MLPP, indikacija MLPP in MLPP Pre emption.
Konfigurirajte številko imenika.
1. Izberite Naprava > Telefon, dodajte ali posodobite vrstico.
2. V razdelku Nadom estna stranka in Confidential Access Level nastavitve MLPP konfigurirajte parametre Target (Destination), MLPP Calling Search Space in MLPP Trajanje obroča brez odgovora (sekunde).
3. V razdelku Nastavitve čakanja na več klicev/klic konfigurirajte parameter Sprožilec zasedbe.
Konfigurirajte končnega uporabnika.
1. Izberite Upravl janje uporabnikov > Končni uporabnik, dodajte novega.
2. Kliknite Pri družitev napra v, da povežete uporabnika s konfiguriranim telefonom.
3. V razdelku Mutilevel Priority in Preemption Authorization konfigurirajte parametre.
Dodatne parametre za MLPP lahko konfigurirate glede na vaše dejanske zahteve.
- Izberite Sistem > Parameter storitve. Konfigurirajte parametre v razdelku Clusterwide Parameters (Funkcija - Večstopenjska prednost in predpostav ka).
- Izberite Sistem > Parameter storitve. Konfigurirajte DSCP za prednostne klice v razdelku Clusterwide Parameters (sistem - QOS).
- Izberite Sistem > Parameter storitve. Konfigurirajte prioriteto MLPP na kartiranje prioritet SRVP v razdelku Parametri za celotno skupino (sistem - RSVP).
- Konfigurirajte vzorce usmerjevalnika iz usmer janja klic ev > Usmerjev anje/lov > Vzorec usmerjevalnika.
- Konfigurirajte pilote lova iz usmerjanja klicev > Route/lov > Hunt Pilot.
- Konfigurirajte vzorce prevajanja v razdel ku Usmerjanje klicev > Vz orec prevajanja.
- Konfigurirajte prehode, debla, privzeti profil naprave, profil uporabniške naprave, skupno konfiguracijo naprave za MLPP.

MLPP se pogosto uporablja s SIP za zagotovljene storitve (AS-SIP). Za podrobne informacije o konfiguriranju MLPP glejte poglavje Kon figuriranje večstopenjske prednostnosti in predhodnosti v Vodniku za konfiguracijo funkcij za. Cisco Unified Communications Manager

Nastavite FAC in CMC

Ko so v telefonu konfigurirane kode za prisilno avtorizacijo (FAC) ali kode odjemalca (CMC) ali obe, morajo uporabniki vnesti zahtevana gesla, da pokličejo številko.

Če želite več informacij o nastavitvi FAC in CMC v programuCisco Unified Communications Manager, glejte poglavje« Kode zadeve odjemalca in kode za prisilno avtor izacijo »v Vodniku za konfiguracijo funkcij za Cisco Unified Communications Manager izdajo 12.5 (1) ali novejšo različico.

Konfiguracija VPN

Funkcija Cisco VPN vam pomaga ohraniti varnost omrežja, hkrati pa uporabnikom omogoča varen in zanesljiv način povezave z vašim poslovnim omrežjem. Uporabite to funkcijo, kadar:

Telefon se nahaja zunaj zaupanja vrednega omrežja
Omrežni promet med telefonom in Cisco Unified Communications Manager prečka nezaupanja vredno omrežje

Z VPN obstajajo trije pogosti pristopi k preverjanju pristnosti odjemalca:

Digitalna potrdila
Gesla
Uporabniško ime in geslo

Vsaka metoda ima svoje prednosti. Če pa vaša varnostna politika podjetja to dovoljuje, priporočamo pristop, ki temelji na certifikatih, saj potrdila omogočajo nemoteno prijavo brez kakršnega koli posredovanja uporabnika. Podprta sta tako LSC kot MIC certifikata.

Če želite konfigurirati katero koli funkcijo VPN, napravo najprej zagotovite na kraju, nato pa jo lahko namestite zunaj prostora.

Če želite več informacij o preverjanju pristnosti potrdil in delu z omrežjem VPN, glejte Konfiguri AnyConnect VPN ranje telefona s preverjanjem pristnosti potrdil v ASA.

Z geslom ali uporabniškim imenom in geslom je uporabnik pozvan k poverilnicam za prijavo. Nastavite poverilnice za prijavo uporabnika v skladu z varnostno politiko vašega podjetja. Nastavitev Omogoči obstojnost gesla lahko konfigurirate tudi tako, da se uporabniško geslo shrani v telefon. Uporabniško geslo se shrani, dokler ne pride do neuspešnega poskusa prijave, uporabnik ročno izbriše gesla ali telefon ponastavi ali izgubi napajanje.

Drugo uporabno orodje je nastavitev Omogoči samodejno zaznavanje omrežja. Ko omogočite to potrditveno polje, se odjemalec VPN lahko zažene le, ko zazna, da je zunaj korporativnega omrežja. Ta nastavitev je privzeto onemogočena.

Vaš telefon Cisco kot vrsto odjemalca podpira Cisco SVC IPPhone Client v1.0.

Če želite več informacij o tem, kako konfigurirati VPN vklopljenoUnified CM, glejte Vodnik za konfiguracijo funkcij Cisco Unified Communications Manager.

Funkcija Cisco VPN uporablja Secure Sockets Layer (SSL) za ohranjanje varnosti omrežja.

Cisco AI Assistant

Hvala za povratne informacije.