Cisco bežični telefon 9821 bezbednost (Multiplatform)

Konfigurišite DHCP opcije

Možete da podesite redosled kojim vaš telefon koristi DHCP opcije. Pomoć u vezi sa DHCP opcijama potražite u odeljku Podr ška za DHCP opcije.

1	Pristupite veb stranici administracije telefona. `http://<ip address>/admin/advanced`
2	Izaberite Glas > O bezbeđivanje.
3	U odeljku Profil konfiguracije podesite DHCP opciju za upotrebu i DHCPv6 Opciju za korišćenje parametara kako je opisano u nastavku. DHCP opcija za upotrebu: DHCP opcije, razgraničene zarezima, koje se koriste za preuzimanje firmvera i profila. Takođe možete da konfigurišete ovaj parametar u konfiguracionoj datoteci (cfg.xml): `<DHCP_Option_To_Use ua="na">66,160,159,150,60,43,125</DHCP_Option_To_Use>` Podrazumevano: `66,160,159,150,60,43,125` DHCPv6 Opcija za upotrebu: DHCPv6 opcije, razgraničene zarezima, koje se koriste za preuzimanje firmvera i profila. Takođe možete da konfigurišete ovaj parametar u konfiguracionoj datoteci (cfg.xml): `<DHCPv6_Option_To_Use ua="na">17,160,159</DHCPv6_Option_To_Use>` Podrazumevano: `17,160,159`
4	Kliknite na dug me Pošalji sve promene.

Podrška za DHCP opciju

Sledeća tabela navodi DHCP opcije koje su podržane na Cisco Vireless Phone 9821.

Mrežni standard	Opis
DHCP opcija 1	Maska podmreže
DHCP opcija 2	Vremenski pomak
DHCP opcija 3	Ruter
DHCP opcija 6	Server imena domena
DHCP opcija 15	Ime domena
DHCP opcija 17	Korijenska putanja
DHCP opcija 41	Vreme zakupa IP adrese
DHCP opcija 42	NTP server Konfiguracija NTP servera sa IPv6
DHCP opcija 43	Informacije specifične za dobavljača Može se koristiti za obezbeđivanje SCEP konfiguracije.
DHCP opcija 56	NTP server
DHCP opcija 60	Identifikator klase dobavljača
DHCP opcija 66	Ime TFTP servera
DHCP opcija 125	Informacije specifične za dobavljača koji identifikuju dobavljača
DHCP opcija 150	TFTP server
DHCP opcija 159	Obezbeđivanje IP servera
DHCP opcija 160	Obezbeđivanje URL-a

Bezžična LAN bezbednost

Budući da svi VLAN uređaji koji su u dometu mogu da primaju sav drugi VLAN saobraćaj, obezbeđivanje glasovne komunikacije je kritično u VLAN-ovima. Da bi se osiguralo da uljezi ne manipulišu niti presreću glasovni saobraćaj, Cisco SAFE Securiti arhitektura podržava telefon. Za više informacija o bezbednosti u mrežama pogledajte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Rešenje Cisco Vireless IP telefonije pruža sigurnost bežične mreže koja sprečava neovlašćene prijave i ugroženu komunikaciju korišćenjem sledećih metoda autentifikacije koje telefon podržava.

Otvorena autentifik acija: Bilo koji bežični uređaj može zatražiti autentifikaciju u otvorenom sistemu. AP koji primi zahtev može odobriti autentifikaciju bilo kom podnosiocu zahteva ili samo podnosiocima zahteva koji se nalaze na listi korisnika. Komunikacija između bežičnog uređaja i pristupne tačke (AP) može biti nešifrovana.
Pro@@ širivi protokol autentifikacije-fleksibilna autentifikacija putem sigurnog tuneliranja (EAP-FAST) Aut entifikacija: Ova sigurnosna arhitektura klijent-server šifruje EAP transakcije unutar tunela bezbednosti nivoa transporta (TLS) između AP-a i RADIUS servera, kao što je Identity Services Engine (ISE).

TLS tunel koristi akreditive zaštićenog pristupa (PAC) za autentifikaciju između klijenta (telefona) i RADIUS servera. Server šalje ID autoriteta (AID) klijentu (telefon), koji zauzvrat bira odgovarajući PAC. Klijent (telefon) vraća PAC-neproziran na RADIUS server. Server dešifruje PAC primarnim ključem. Obe krajnje tačke sada sadrže PAC ključ i kreiran je TLS tunel. EAP-FAST podržava automatsko obezbeđivanje PAC-a, ali morate ga omogućiti na RADIUS serveru.

U ISE-u, podrazumevano, PAC ističe za nedelju dana. Ako telefon ima istekao PAC, autentifikacija sa RADIUS serverom traje duže dok telefon dobija novi PAC. Da biste izbegli kašnjenja u obezbeđivanju PAC-a, podesite period isteka PAC-a na 90 dana ili duže na ISE ili RADIUS serveru.
Pro@@ širivi protokol za autentifikaciju-bezbednost transportnog sloja (EAP-TLS) Autentifikacija: EAP-TLS zahteva klijentski sertifikat za autentifik aciju i pristup mreži. Za bežični EAP-TLS, klijentski sertifikat može biti MIC ili korisnički instaliran sertifikat.
Zaštićeni ekstenzivni protokol za autentifikaciju (PEAP): Cisco vlasnička šema međusobne autentifikacije zasnovana na lozinci između klijenta (telefona) i RADIUS servera. Telefon može da koristi PEAP za autentifikaciju sa bežičnom mrežom. Podržane su i PEAP-MSCHAPV2 i PEAP-GTC metode autentifikacije.

Da biste podržali PEAP-GTC autentifikaciju za Cisco bežični telefon 9821, konfigurišite neophodnu politiku u okviru Cisco ISE skupa smernica.
Pre-deljeni ključ (PSK): Telefon podržava ASCII i heksadecimalni (HEKS) formate. Ove formate morate koristiti prilikom podešavanja VPA2/SAE unapred deljenog ključa.

ASCII: Niz znakova ASCII sa du žinom od 8 do 63 znaka (0-9, mala slova a-z, velika slova A-Z i specijalni znakovi). Na primer, GREG123567@9ZX&W.

H@@ EKS: HEKS znakovni niz sa 64 šesterokutne cifre dužine (0-9, a-f ili A-F).

Sledeće šeme autentifikacije koriste RADIUS server za upravljanje ključevima za autentifikaciju:

WPA2/WPA3: Koristi informacije o RADIUS serveru za generisanje jedinstvenih ključeva za autentifikaciju. Pošto se ovi ključevi generišu na centralizovanom RADIUS serveru, VPA2/VPA3 pruža veću sigurnost od VPA unapred deljenih ključeva koji se čuvaju na AP-u i telefonu.
Brzi bezbedni roming: Koristi RADIUS server i informacije o serveru bežičnog domena (VDS) za upravljanje i autentifikaciju ključeva. VDS stvara keš sigurnosnih akreditiva za klijentske uređaje sa omogućenim FT-om za brzu i sigurnu ponovnu autentifikaciju.

Sa VPA2/VPA3, ključevi za šifrovanje se ne unose na telefon, već se automatski izvode između AP-a i telefona. Ali EAP korisničko ime i lozinka koji se koriste za autentifikaciju moraju se uneti na svaki telefon.

Da bi zaštitio glasovni saobraćaj preko bežične veze, telefon podržava šifrovanje zasnovano na AES-u za VPA2/VPA3 autentifikaciju. AES je simetrična blok šifra koju je standardizovao NIST. AES koristi fiksnu veličinu bloka od 128 bita i podržava veličine ključeva od 128 bita, 192 bita i 256 bita. U Vi-Fi mrežama, AES koriste šifrirani paketi kao što su CCMP ili GCMP, dok autentifikaciju obezbeđuju odvojeno PSK, SAE ili 802.1KS/EAP, u zavisnosti od konfigurisanog VLAN sigurnosnog režima. Podržani paket šifri i veličina ključa zavise od modela telefona i konfiguracije VLAN-a.

Šeme autentifikacije i šifrovanja postavljene su unutar bežičnog LAN-a. VLAN-ovi su konfigurisani u mreži i na AP-ovima i određuju različite kombinacije autentifikacije i šifrovanja. SSID se povezuje sa VLAN-om i određenom šemom autentifikacije i šifrovanja. Da bi se bežični klijentski uređaji uspešno potvrdili autentifikaciju, morate da konfigurišete iste SSID-ove sa njihovim šemama autentifikacije i šifrovanja na AP-ovima i na telefonu.

Neke šeme autentifikacije zahtevaju određene vrste šifrovanja.

Kada koristite unapred deljeni ključ VPA2 ili SAE, unapred deljeni ključ mora biti statički podešen na telefonu. Ovi tasteri moraju odgovarati ključevima koji se nalaze na AP-u.

Šeme autentifikacije i šifrovanja u sledećoj tabeli prikazuju opcije mrežne konfiguracije za Cisco Vireless Phone 9821 koje odgovaraju AP konfiguraciji.

Tabela 1. Šeme autentifikacije i šifrovanja
Tip FSR	Autentifikacija	Upravljanje ključevima	Šifrovanje	Zaštićeni okvir upravljanja (PMF)
802.11r (FT)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	Ne
802.11r (FT)	WPA3	SAE FT-SAE	AES	da
802.11r (FT)	EAP-TLS	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	da
802.11r (FT)	EAP-FAST	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	da
802.11r (FT)	EAP-PEAP	WPA-EAP FT-EAP	AES	Ne
802.11r (FT)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	da
Non-FT	Suite-B	WPA-EAP-SUITE-B	GCMP	da
Non-FT	Suite-B-192	WPA-EAP-SUITE-B-192	GCMP	da

Podesite Vi-Fi profil

Možete da konfigurišete Vi-Fi profile sa veb stranice administracije telefona ili putem ponovne sinhronizacije profila udaljenog uređaja. Nakon konfigurisanja, ove profile možete povezati sa dostupnim bežičnim mrežama da biste uspostavili povezivanje. Cisco bežični telefon 9821 podržava najviše četiri konfigurisana Vi-Fi profila.

Profil sadrži parametre potrebne za povezivanje telefona sa telefonskim serverom pomoću Vi-Fi-ja. Kada kreirate i koristite Vi-Fi profil, vi ili vaši korisnici ne morate da konfigurišete bežičnu mrežu za pojedinačne telefone.

Vi-Fi profil vam omogućava da sprečite ili ograničite promene u Vi-Fi konfiguraciji na telefonu od strane korisnika.

Preporučujemo da koristite siguran profil sa protokolima omogućenim šifrovanjem da biste zaštitili ključeve i lozinke kada koristite Vi-Fi profil.

Kada podesite telefone da koriste EAP-FAST metodu autentifikacije u bezbednosnom režimu, vašim korisnicima su potrebni pojedinačni akreditivi da bi se povezali sa pristupnom tačkom.

1	Pristupite veb stranici telefona.
2	Izaberite Glas > Sistem.
3	U odeljku Vi-Fi profil (n) podesite parametre kako je opisano u sledećoj tabeli Parametri za Vi-Fi profil. Konfiguracija Vi-Fi profila dostupna je i korisničkoj prijavi.
4	Kliknite na dug me Pošalji sve promene.

Parametri Vi-Fi profila

Sledeća tabela definiše funkciju i upotrebu svakog parametra u odeljku Vi-Fi profil (n) ispod kartice Sistem na veb stranici telefona. Takođe definiše sintaksu niza koji se dodaje u konfiguracionu datoteku telefona (cfg.xml) za konfigurisanje parametra.

Parametar	Opis
Ime mreže	Omogućava vam da unesete ime za SSID koji će se prikazati na telefonu. Više profila može imati isto ime mreže sa različitim bezbednosnim režimom. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Network_Name_1_ ua="rw">cisco</Network_Name_1_>` Na veb stranici telefona unesite ime za SSID. Podrazumevano: Prazno
Bezbednosni režim	Omogućava vam da izaberete metod autentifikacije koji se koristi za obezbeđivanje pristupa Vi-Fi mreži. U zavisnosti od metode koju odaberete, pojavljuje se polje za lozinku tako da možete da navedete akreditive koje su potrebne za pridruživanje ovoj Vi-Fi mreži. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Security_Mode_1_ ua="rw">EAP-TLS</Security_Mode_1_> <!-- available options: \|EAP-FAST\|\|\|PSK\|\|None\|EAP-PEAP\|EAP-TLS -->` Na veb stranici telefona izaberite jednu od metoda: EAP-FAST PSK Nijedan EAP-PEAP EAP-TLS Podrazumevano: Nema
Vi-Fi korisnički ID	Omogućava vam da unesete korisnički ID za mrežni profil. Ovo polje je dostupno kada podesite bezbednosni režim na Auto, EAP-FAST ili EAP-PEAP. Ovo je obavezno polje i omogućava maksimalnu dužinu od 32 alfanumerička znaka. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Wi-Fi_User_ID_1_ua="rw"></Wi-Fi_User_ID_1_>` Na veb stranici telefona unesite korisnički ID za mrežni profil. Podrazumevano: Prazno
Vi-Fi lozinka	Omogućava vam da unesete lozinku za navedeni Vi-Fi korisnički ID. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Wi-Fi_Password_1_ ua="rw"></Wi-Fi_Password_1_>` Na veb stranici telefona unesite lozinku za korisnički ID koji ste dodali. Podrazumevano: Prazno
Frekvencijski opseg	Omogućava vam da odaberete frekvencijski opseg bežičnog signala koji koristi VLAN. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Frequency_Band_1_ ua="rw">Auto</Frequency_Band_1_>` Na veb stranici telefona izaberite jednu od opcija: Auto 2.4 GHz 5 GHz ili 6 GHz Podrazumevano: Auto
Izaberite sertifikat	Omogućava vam da izaberete tip sertifikata za početni upis sertifikata i obnovu sertifikata u bežičnoj mreži. Ovaj proces je dostupan samo za 802.1Ks autentifikaciju. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Certificate_Select_1_ ua="rw">Manufacturing installed</Certificate_Select_1_>` Na veb stranici telefona izaberite jednu od opcija: Instalirana proizvodnja Prilagođeno instalirano Podrazumevano: Proizvodnja je instalirana
Kontrolni režim	Kontroliše da li je korisniku dozvoljeno da konfiguriše Vi-Fi profile. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Control_Mode_1_ ua="rw">Allow</Control_Mode_1_>` Na veb stranici telefona izaberite jednu od opcija: Dozvoli Nedozvoljeno Ograničeno Podrazumevano: Dozvoli
Omogući	Kontroliše da li je Vi-Fi profil omogućen. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Enable_1_ ua="rw">Yes</Enable_1_>` Na veb stranici telefona izaberite jednu od opcija: da Ne Podrazumevano: Da
Ime profila	Omogućava vam da unesete ime za profil koji će se prikazati na telefonu. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<Profile_Name_1_ ua="rw">Profile 1</Profile_Name_1_>` Na veb stranici telefona unesite ime za profil. Podrazumevano: Profil 1
PSK lozinka	Omogućava vam da unesete PSK lozinku kada je bezbednosni režim podešen na PSK. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<PSK_Passphrase_1_ ua="rw">*************</PSK_Passphrase_1_>` Na veb stranici telefona unesite PSK lozinku. Podrazumevano: Dozvoli

802.1Ks Autentifikacija za žične mreže

Cisco bežični telefon 9821 podržava 802.1Ks autentifikaciju za žičane mreže. Ovo se obično koristi tokom automatskog obezbeđivanja kada je telefon povezan sa stolnim punjač em preko podržanog USB-to-Ethernet adaptera.

Podrška za 802.1Ks autentifikaciju na žičanim mrežama zahteva nekoliko komponenti na sledeći način:

Cisco IP telefon: Telefon pokreće zahtev za pristup mreži. Cisco IP telefoni sadrže 802.1Ks suplicant. Ovaj zahtev omogućava mrežnim administratorima da kontrolišu povezivanje IP telefona sa portovima LAN prekidača. Trenutno izdanje telefona 802.1Ks suplicant koristi EAP-FAST i EAP-TLS opcije za autentifikaciju mreže.
Server za autentifikaciju: Server za autentifikaciju i prekidač moraju biti konfiguris ani sa RADIUS deljenom tajnom.
Prekidač: Prekidač mora podržavati 802.1Ks, tako da može da deluje kao autentifikator i prenosi EAP poruke između telefona i servera za autentifikaciju. Nakon završetka razmene, prekidač odobrava ili uskraćuje pristup telefonu mreži.

Cisco IP telefoni i Cisco Catalist prekidači tradicionalno koriste Cisco Discovery Protocol (CDP) da bi se međusobno identifikovali i odredili parametre kao što su dodeljivanje VLAN-a i zahtevi za ugrađenim napajanjem.

Morate izvršiti sledeće rad nje da biste konfigurisali 802.1Ks.

Konfigurišite CDP/LLDP glasovni VLAN obilaznicu.
Konfigurišite server za autentifikaciju i prekidač pre nego što omogućite 802.1K s autentifikaciju za žičane mreže na telefonu.
Konfigurišite glasovni VLAN: Pošto standard 802.1Ks ne uzima u obzir VLAN-ove, trebalo bi da konfigurišete ovo podešavanje na osnovu podrške prekidača.
- Omogućeno: Ako koristite prekidač koji podržava autentifikaciju više domena, možete ga konfigurisati da koristi glasovni VLAN.
- Onemogućeno: Ako prekidač ne podržava autentifikaciju više domena, onemogućite Voice VLAN i razmislite o dodeljivanju porta izvornom VLAN-u.
Cisco bežični telefon 9821 ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili telefonu da prođe 802.1Ks autentifikaciju, podesite parametar Radius · Korisničko ime da uključuje vaš Cisco bežični telefon 9821.

Na primer, PID Cisco bežičnog telefona 9821 je VP-9821. Radius · Korisničko ime možete da podesite na Start with WPili Contains WPu oba sledeća odeljka:
- Politika > U slovi > Uslo vi biblioteke
- Politika > Sku povi smernica > Politika autorizacije > Pra vilo autorizacije 1

Omogućite 802.1Ks autentifikaciju za žičane mreže na telefonu

Sledite ove korake da biste omogućili 802.1Ks autentifikaciju za žičane mreže na telefonu. Imajte na umu da je 802.1Ks autentifikacija za Vi-Fi podrazumevano omogućena i ne zahteva ručnu konfiguraciju.

1	Pristupite podeš avanjima aplikacija.
2	Ako se od vas zatraži, unesite lozinku da biste pristupili meniju Podešavanja. Lozinku možete dobiti od administratora.
3	Izaberite Administratorska podešavanja > Po dešavanje bezbednosti > 802.1KS Aut entifikacija.
4	Označite autentifikaciju uređaja i pritisnite U klju čeno.

Omogućite 802.1Ks autentifikaciju za žičane mreže na veb stranici telefona

Kada je omogućena 802.1Ks autentifikacija za žičane mreže, telefon koristi 802.1KS autentifikaciju da zatraži pristup mreži sa Ethernet LAN porta. Kada je 802.1K s autentifikacija za žičane mreže onemogućena, telefon koristi Cisco Discovery Protocol (CDP) za sticanje V LAN-a i pristupa mreži. Imajte na umu da je 802.1Ks autentifikacija za Vi-Fi podrazumevano omogućena i ne zahteva ručnu konfiguraciju.

Možete odabrati sertifikat (MIC/SUDI ili CDC) koji se koristi za 802.1Ks autentifikaciju. Za više informacija o CDC-u pogledajte Prilagođeni sertifikat uređaja na Cisco bežičnom telefonu 9821.

Status transakcije i bezbednosne postavke možete pogledati u meniju ekrana telefona. Više informacija potražite u odeljku Meni bezbednosnih podešavanja na telefonu.

1	Omogućite 802.1Ks autentifikaciju. Izaberite Glas > Sistem. U odeljku 802.1Ks autentifik acija podesite parametar O mogući 802.1Ks autentifikaciju na Da. Takođe možete da konfigurišete ovaj parametar u konfiguracionoj datoteci (cfg.xml): `<Enable_802.1X_Authentication ua="rw">Yes</Enable_802.1X_Authentication>` Važeće vrednosti: Da \| Ne Podrazumevano: Ne
2	U odeljku 802.1KS Autenti fikacija izaberite jedan od sledećih instaliranih sertifikata koji se koriste za 802.1Ks autentifikaciju sa padajuće liste Odabir sertifikata. Opcije vrednosti: Instalirana proizvodnja: MIC/SUDI. Prilagođeno instal irano: Prilagođeni sertifikat uređaja (CDC). Takođe možete da konfigurišete ovaj parametar u konfiguracionoj datoteci (cfg.xml): `<Certificate_Select ua="rw">Custom installed</Certificate_Select>` Važeće vrednosti: Instalirana proizvodnja \| Prilagođeno instalirano Podrazumevano: Proizvodnja je instalirana
3	Konfiguri šite parametar User ID koji će se koristiti kao identitet za 802.1Ks autentifikaciju u žičanoj mreži. Ova konfiguracija se primenjuje samo kada koristite prilagođeni sertifikat uređaja (CDC) za žičnu 802.1Ks autentifikaciju, pri čemu je odabir sertifik ata postavljen na Prilagođeno. Takođe možete da konfigurišete ovaj parametar u konfiguracionoj datoteci (cfg.xml): `<Wired_User_ID ua="na"></Wired_User_ID>` Važeće vrednosti: Maksimalno 127 znakova Podrazumevano: Prazno Ovaj parametar takođe podržava promenljive proširenja makro, pogledajte Pro menljive proširenja makro za detalje. Ako želite da obezbedite korisnički ID koristeći kombinaciju sa DHCP opcijama, pogledajte Obezbeđivanje zajedničkog imena ili korisničkog ID-a putem DH CP opcije 15.
4	Kliknite na dug me Pošalji sve promene.

Meni bezbednosnih podešavanja na telefonu

Da biste videli informacije o bezbednosnim podešavanjima iz menija telefona, pristupite Podešavan jima 9821 Settings app icon aplikaciju i izaberite Administratorska podešavanja > Podeš avanje bezbednosti > 802.1KS Aut entifikacija. Dostupnost informacija zavisi od mrežnih postavki u vašoj organizaciji.

Parametri	Opcije	Podrazumevano	Opis
Autentifikacija uređaja	On Isključeno	Isključeno	Omogućava ili onemogućava 802.1Ks autentifikaciju na telefonu. Podešavanje parametara može se zadržati nakon registracije telefona Out-Of-Of-Bok (OOB).
Status transakcije		Onemogućeno	Prikazuje stanje 802.1Ks autentifikacije. Država može biti (nije ograničena na): Autentifikacija—Označava da je proces autentifikacije u toku. Potvrđeno — Označava da je telefon autentičan. Onemogućeno-Označava da je 802.1k autentifikacija onemogućena na telefonu. Povezivanje — Označava da telefon šalje EAP početne poruke prekidaču svakih 30 sekundi. Prikupljeno - Označava da je prekidač odbio EAP zahtev telefona i da telefon ne prima EAP-TLS ili EAP-FAST izazov od prekidača. Telefon ponovo pokuš ava da pošalje EAP zahteve. Isključeno - Označava da je Ethernet kabl isključen. Held - Označava da je prekidač obradio EAP zahtev telefona, ali je odbio EAP-FAST ili EAP-T LS autentifikaciju. Telefon ponovo pokuš ava da pošalje EAP zahteve.
Protokol		Nijedan	Prikazuje EAP metodu koja se koristi za 802.1Ks autentifikaciju. Protokol može biti EAP-FAST ili EAP-TLS.
Tip korisničkog sertifikata	Instalirana proizvodnja Prilagođeno instalirano	Instalirana proizvodnja	Odabire sertifikat za 802.1Ks autentifikaciju tokom početnog upisa i obnavljanja sertifikata. Instalirana proizvodnja - Koristi se siguran jedinstveni identifikator uređaja (SUDI). Prilagođeno instalirano - Koristi se sertifikat prilagođenog uređaja (CDC). Ova vrsta sertifikata može se instalirati ili ručnim učitavanjem na veb stranicu telefona ili instalacijom sa servera Simple Certificate Enrollment Protocol (SCEP). Ovaj parametar se pojavljuje na telefonu samo kada je omoguć ena autentifikacija uređaja.

Podesite korisničke i administratorske lozinke

Kada je telefon prvi put registrovan u sistemu za kontrolu poziva ili nakon resetovanja na fabrička podešavanja, morate podesiti i korisničke i administratorske lozinke da biste poboljšali sigurnost telefona. Nakon postavljanja lozinki, možete pristupiti veb interfejsu telefona.

Podrazumevano, obe lozinke su prazne. Dok ih ne podesite, poruka Nema lozin ke pojavljuje se svaki put kada se telefon ponovo pokrene. Lozinka koja nedostaje takođe se prijavljuje u odeljku Podeš avanja > Problemi i dijagnostika > Probl emi na telefonu. Prikaz upozorenja možete onemogućiti pomoću postavke Pri kaz upozorenja za lozinku.

1	Pristupite veb stranici administracije telefona
2	Izaberite Glas > Sistem.
3	U odeljku Konfiguracija sistema kliknite na dugme Pro meni lozinku pored Korisničke lozinke ili Administratorske lozinke.
4	Za prvo podešavanje ostavite polje Stara lozinka prazno. Unes ite postojeću lozinku samo kada je menjate.
5	Unesite novu lozinku u polje Nova lozin ka. Zahtevi za lozinku: Lozinka mora da sadrži između 8 i 127 znakova. Lozinka mora da sadrži najmanje tri od četiri kategorije: velika slova, mala slova, brojeve i posebne znakove. Prostori nisu dozvoljeni. Ako nova lozinka ne ispunjava uslove, ona se odbija.
6	Kliknite na Pošal ji. Poruka `Password has been changed successfully.`se pojavljuje na veb stranici. Veb stranica se osvežava za nekoliko sekundi. Nakon postavljanja obe lozinke, one se prikazuju kao maskirane vrednosti u KSML datoteci konfiguracije telefona (cfg.xml), na sledeći način: `<!-- <Admin_Password ua="na">***********</Admin_Password> <User_Password ua="rw">***********</User_Password> -->`
7	Da biste omogućili ili onemogućili upozorenje o lozinci, podesite U pozorenja za prikaz lozin ke na željenu vrednost u odeljku Konfiguracija sistema, a zatim kliknite na dug me Pošalji sve promene. Kada je podešeno na Da, upozorenje se pojavljuje na ekranu telefona ako nedostaje lozinka. Kada je podešeno na Ne, upozorenje se ne prikazuje. Takođe možete da konfigurišete parametre u konfiguracionoj datoteci telefona (cfg.xml). `<Display_Password_Warnings ua="na">Yes</Display_Password_Warnings>` Podrazumevano: Da Opcije: Da \| Ne

Podesite minimalnu TLS verziju za klijenta i server

Podrazumevano, minimalna TLS verzija za klijenta i server je 1.2. To znači da klijent i server prihvataju uspostavljanje veza sa TLS 1.2 ili novijim. Podržana maksimalna verzija TLS-a za klijenta i server je 1.3. Kada se konfiguriše, minimalna TLS verzija će se koristiti za pregovore između TLS klijenta i TLS servera.

Možete podesiti minimalnu verziju TLS-a za klijenta i server, kao što su 1.1, 1.2 ili 1.3.

Pre nego što počnete

Uverite se da TLS server podržava minimalnu konfigurovanu TLS verziju. Možete se konsultovati sa administratorom sistema za kontrolu poziva.

1	Pristupite veb stranici administracije telefona.
2	Izaberite Glas > Sistem.
3	U odeljku Bez bednosne postavke konfigurišite parametar TLS Client Min Version. TLS 1.1: TLS klijent podržava verzije TLS-a od 1.1 do 1.3. Ako je TLS verzija na serveru niža od 1.1, veza se ne može uspostaviti. TLS 1.2 (podrazumevano): TLS klijent podržava TLS 1.2 i 1.3. Ako je TLS verzija na serveru niža od 1.2, na primer, 1.1, veza se ne može uspostaviti. TLS 1.3: TLS klijent podržava samo TLS 1.3. Ako je TLS verzija na serveru niža od 1.3, na primer, 1.2 ili 1.1, veza se ne može uspostaviti. Ako želite da postavite parametar „TLS Client Min Version“ na „TLS 1.3“, proverite da li strana servera podržava TLS 1.3. Ako strana servera ne podržava TLS 1.3, to može izazvati kritične probleme. Na primer, operacije obezbeđenja ne mogu se izvršiti na telefonima. Takođe možete da konfigurišete ovaj parametar u konfiguracionoj datoteci (cfg.xml): `<TLS_Client_Min_Version ua="na">TLS 1.2</TLS_Client_Min_Version>` Dozvoljene vrednosti: TLS 1.1, TLS1.2 i TLS 1.3. Podrazumevano: TLS 1.2
4	U odeljku Bez bednosne postavke konfigurišite parametar TLS Server Min Version. Webex Callingne podržava TLS 1.1. TLS 1.1: TLS server podržava verzije TLS-a od 1.1 do 1.3. Ako je TLS verzija u klijentu niža od 1.1, veza se ne može uspostaviti. TLS 1.2 (podrazumevano): TLS server podržava TLS 1.2 i 1.3. Ako je TLS verzija u klijentu niža od 1.2, na primer, 1.1, veza se ne može uspostaviti. TLS 1.3: TLS server podržava samo TLS 1.3. Ako je TLS verzija u klijentu niža od 1.3, na primer, 1.2 ili 1.1, veza se ne može uspostaviti. Takođe možete da konfigurišete ovaj parametar u konfiguracionoj datoteci (cfg.xml): `<TLS_Server_Min_Version ua="na">TLS 1.2</TLS_Server_Min_Version>` Dozvoljene vrednosti: TLS 1.1, TLS1.2 i TLS 1.3. Podrazumevano: TLS 1.2
5	Kliknite na dug me Pošalji sve promene.

Omogućite režim koji je pokrenuo klijent za pregovore o bezbednosti medijskog aviona

Da biste zaštitili medijske sesije, možete da konfigurišete telefon da pokrene pregovore o bezbednosti medijskog aviona sa serverom. Bezbednosni mehanizam prati standarde navedene u RFC 3329 i njegovom proširenju Nazivi bezbednosnih mehanizama za medije (vidi https://tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2). Prevoz pregovora između telefona i servera može koristiti SIP protokol preko UDP, TCP i TLS. Možete ograničiti da se pregovori o bezbednosti medijskog aviona primenjuju samo kada je signalni transportni protokol TLS.

1	Pristupite veb stranici administracije telefona.
2	Izaberite G las > Ekt (n).
3	U odeljku SIP podešavanja podesite polja Mediasec zahtev i MediaSec preko TLS On ly kako je definisano u tabeli parametara pregovaranja o bezbednosti medijske ravni.
4	Kliknite na dug me Pošalji sve promene.

Parametri pregovora o bezbednosti medijskog aviona

Sledeća tabela definiše funkciju i upotrebu parametara MediaSec zahteva i MediaSec preko TLS On ly na veb stranici telefona. Takođe definiše sintaksu niza koji se dodaje u konfiguracionu datoteku telefona (cfg.xml) za konfigurisanje parametra.

Tabela 2. Parametri pregovora o bezbednosti medijskog aviona
Parametar	Opis
Zahtev za MediaSec	Određuje da li telefon pokreće pregovore o bezbednosti medijske ravni sa serverom. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<MediaSec_Request_1_ ua="na">Yes</MediaSec_Request_1_>` U veb interfejsu telefona podesite ovo polje na Da ili Ne po potrebi. Dozvoljene vrednosti: Da \| Ne Da —Režim koji je pokrenuo klijent. Telefon pokreće pregovore o bezbednosti medijskog aviona. Ne —Re žim pokrenut serverom. Server pokreće pregovore o bezbednosti medijskog aviona. Telefon ne pokreće pregovore, ali može da obrađuje zahteve za pregovaranje sa servera radi uspostavljanja sigurnih poziva. Podrazumevano: Ne
MediaSec samo preko TLS-a	Određuje signalni transportni protokol nad kojim se primenjuje pregovaranje o bezbednosti medijskog aviona. Pre nego što postavite ovo polje na Da, uverite se da je protokol za prenos signalizacije TLS. Izvršite jedno od sledećeg: U konfiguracionoj datoteci telefona sa KSML (cfg.xml) unesite niz u ovom formatu: `<MediaSec_Over_TLS_Only_1_ ua="na">No</MediaSec_Over_TLS_Only_1_>` U veb interfejsu telefona podesite ovo polje na Da ili Ne po potrebi. Dozvoljene vrednosti: Da \| Ne Da — Telefon pokreće ili vodi pregovore o bezbednosti medijskog aviona samo kada je protokol za signalizaciju transporta TLS. Ne - Telefon pokreće i vodi pregovore o bezbednosti medijskih aviona bez obzira na protokol signalizacije transporta. Podrazumevano: Ne

Podesite sprovođenje OCSP spajanja

Protokol statusa sertifikata na mreži (OCSP) pomaže u sprečavanju veza koje koriste opozvane sertifikate tokom TLS stiskanja ruke. Sa omogućenom sprovođenjem OCSP spajanja, telefon zahteva i potvrđuje spajani OCSP odgovor. Telefon odbija vezu ako je odgovor nevažeći ili prijavi da je sertifikat opozvan. Odbija nedostajući odgovor ili važeći OCSP odgovor sa NEPOZNATIM statusom samo kada sertifikat servera zahteva OCSP spajanje (to jest, ima obavez no osnovno proširenje). Redovna validacija sertifikata i dalje važi.

1	Pristupite veb stranici administracije telefona.
2	Izaberite Glas > Sistem.
3	U odeljku Podešavanja bezbednosti konfigurišite postavku spro vođenja OCSP spajanja. Takođe možete omogućiti parametre u konfiguracionoj datoteci telefona (cfg.xml). `<OCSP_Stapling_Enforcementua="na">Enabled</OCSP_Stapling_Enforcement>` Podrazumevano: Omogućeno Opcije: Onemogućeno \| Omogućeno
4	Kliknite na dug me Pošalji sve promene.

Cisco AI Assistant

Hvala na povratnim informacijama.