Hvala na povratnim informacijama.

Sigurnosne funkcije štite od pretnji, uključujući pretnje identitetu telefona i podacima. Ove funkcije uspostavljaju i održavaju autentifikovane komunikacione tokove između telefona i Cisco Unified Communications Manager servera i osiguravaju da telefon koristi samo digitalno potpisane datoteke.

Cisco Unified Communications ManagerIzdanje 8.5 (1) i novije verzije podrazumevano uključuje bezbednost, koja pruža sledeće bezbednosne funkcije za Cisco IP telefone bez pokretanja CTL klijenta:

• Potpisivanje konfiguracionih datoteka telefona

• Šifrovanje datoteke konfiguracije telefona

• HTTPS sa Tomcatom i drugim veb uslugama

Implementacija sigurnosti u Cisco Unified Communications Manager sistem sprečava krađu identiteta telefona i Cisco Unified Communications Manager servera, sprečava neovlašćivanje podataka i sprečava signalizaciju poziva i neovlašćivanje medijskog toka.

Da bi ublažio ove pretnje, Cisco IP telefonijska mreža uspostavlja i održava sigurne (šifrovane) komunikacijske tokove između telefona i servera, digitalno potpisuje datoteke pre nego što se prenose na telefon i šifruje medijske tokove i signalizaciju poziva između Cisco IP telefona.

Lokalno značajan sertifikat (LSC) instalira se na telefone nakon što izvršite potrebne zadatke koji su povezani sa funkcijom Certificate Authority proksi (CAPF). Možete ga koristiti za konfigu Cisco Unified Communications Manager Administration risanje LSC, kao što je opisano u Bezbed Cisco Unified Communications Manager nosnom vodiču. Alternativno, instalaciju LSC-a možete pokrenuti iz menija Bezbednosna podešavanja na telefonu. Ovaj meni vam takođe omogućava da ažurirate ili uklonite LSC.

Telefoni koriste sigurnosni profil telefona, koji definiše da li je uređaj nesiguran ili siguran. Za informacije o primeni sigurnosnog profila na telefon pogledajte dokumentaciju za vaše određeno Cisco Unified Communications Manager izdanje.

Ako konfigurišete podešavanja vezana za bezbednostCisco Unified Communications Manager Administration, datoteka konfiguracije telefona sadrži osetljive informacije. Da biste osigurali privatnost konfigur acione datoteke, morate je konfigurisati za šifrovanje. Za detaljne informacije pogledajte dokumentaciju za vaše određeno Cisco Unified Communications Manager izdanje.

Telefon je u skladu sa Federalnim standardom za obradu informacija (FIPS). Da bi pravilno funkcionisao, FIPS režim zahteva veličinu ključa od 2048 bita ili više. Ako je sertifikat manji od 2048 bita, telefon se neće registrovati Cisco Unified Communications Manager i Telefon nije uspeo da se registruje. Veličina tastera Cert nije FIPS kompatibilna sa ekranima na telefonu.

Ako telefon ima LSC, potrebno je da ažurirate veličinu LSC ključa na 2048 bita ili više pre nego što omogućite FIPS.

Sledeća tabela pruža pregled bezbednosnih funkcija koje telefoni podržavaju. Za više informacija pogledajte dokumentaciju za vaše određeno Cisco Unified Communications Manager izdanje.

Da biste videli režim bezbednosti, pritisnite Podeš avanja i idite na M reža i usluga > Podeš avanja bezbednosti.

Sledeća tabela sadrži poruke alarma i značenje ažuriranja liste poverenja. Za više informacija pogledajte Cisco Unified Communications Manager dokumentaciju.

Meni Podešavanje bezbednosti pruža informacije o različitim bezbednosnim podešavanjima. M eni takođe omogućava pristup meniju Lista poverenja i označava da li je CTL ili ITL datoteka instalirana na telefonu.

Sledeća tabela opisuje opcije u meniju Podešavanje bezbednosti.

Cisco IP telefoni podržavaju 802.1Ks autentifikaciju.

Cisco IP telefoni i Cisco Catalist prekidači tradicionalno koriste Cisco Discovery Protocol (CDP) da bi se međusobno identifikovali i odredili parametre kao što su dodeljivanje VLAN-a i zahtevi za ugrađenim napajanjem. CDP ne identifikuje lokalno povezane radne stanice. Cisco IP telefoni pružaju EAPOL prolazni mehanizam. Ovaj mehanizam omogućava radnoj stanici priključenoj na Cisco IP telefon da prosledi EAPOL poruke na 802.1Ks autentifikator na LAN prekidaču. Mehanizam prolaska osigurava da IP telefon ne deluje kao LAN prekidač za autentifikaciju krajnje tačke podataka pre pristupa mreži.

Cisco IP telefoni takođe pružaju proki EAPOL Logoff mehanizam. Ako se lokalno priključeni računar prekine sa IP telefona, LAN prekidač ne vidi da fizička veza ne uspe, jer se veza između LAN prekidača i IP telefona održava. Da bi se izbegao ugrožavanje integriteta mreže, IP telefon šalje EAPOL-Logoff poruku prekidaču u ime nizvodnog računara, što pokreće LAN prekidač za brisanje unosa za autentifikaciju za nizvodni računar.

Podr ška za 802.1Ks autentifikaciju zahteva nekoliko komponenti:

• Cisco IP telefon: Telefon pokreće zahtev za pristup mreži. Cisco IP telefoni sadrže 802.1Ks suplicant. Ovaj zahtev omogućava mrežnim administratorima da kontrolišu povezivanje IP telefona sa portovima LAN prekidača. Trenutno izdanje telefona 802.1Ks suplicant koristi EAP-FAST i EAP-TLS opcije za autentifikaciju mreže.

• Server za autentifikaciju: Server za autentifikaciju i prekidač moraju biti konfigurisani sa zajedničkom tajnom koja potvrđuje autentifikaciju telefona.

• Prekidač: Prekidač mora podržavati 802.1Ks, tako da može delovati kao autentifikator i prenositi poruke između telefona i servera za autentifikaciju. Nakon završetka razmene, prekidač odobrava ili uskraćuje pristup telefonu mreži.

Morate izvršiti sledeće rad nje da biste konfigurisali 802.1Ks.

• Konfigurišite ostale komponente pre nego što omogućite 802.1Ks autentifikaciju na telefonu.

• Konfigurišite PC port: 802.1Ks standard ne uzima u obzir VLAN-ove i stoga preporučuje da samo jedan uređaj bude autentičan na određenom prekidaču. Međutim, neki prekidači podržavaju autentifikaciju više domena. Konfiguracija prekidača određuje da li možete da povežete računar na PC port telefona.

  • Omogućeno: Ako koristite prekidač koji podržava autentifikaciju više domena, možete omogućiti PC port i povezati računar sa njim. U ovom slučaju, Cisco IP telefoni podržavaju proki EAPOL-Logoff za praćenje razmene autentifikacije između prekidača i priloženog računara.

    Za više informacija o podršci IEEE 802.1Ks na Cisco Catalist prekidačima, pogledajte vodiče za konfiguraciju prekidača Cisco Catalist na:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Onemogućeno: Ako prekidač ne podržava više uređaja usklađenih sa 802.1Ks na istom portu, trebalo bi da onemogućite PC port kada je omogućena 802.1Ks autentifikacija. Ako ne onemogućite ovaj port, a zatim pokušate da priključite računar na njega, prekidač uskraćuje pristup mreži i telefonu i računaru.

• Konfigurišite glasovni VLAN: Pošto standard 802.1Ks ne uzima u obzir VLAN-ove, trebalo bi da konfigurišete ovo podešavanje na osnovu podrške prekidača.
  • Omogućeno: Ako koristite prekidač koji podržava autentifikaciju više domena, možete ga nastaviti da koristite glasovni VLAN.
  • Onemogućeno: Ako prekidač ne podržava autentifikaciju više domena, onemogućite Voice VLAN i razmislite o dodeljivanju porta izvornom VLAN-u.
• (Samo za Cisco Desk Phone 9800 serije)

  Cisco Desk Phone 9800 serija ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili telefonu da prođe 802.1Ks autentifikaciju, podesite parametar Radius · Korisničko ime da uključuje vaš Cisco Desk Phone 9800 Series.

  Na primer, PID telefona 9841 je DP-9841; možete podesiti Radius · Korisničko ime da počne sa DP ili Sadrži D P. Možete ga podesiti u oba sledeća odeljka:

  • Politika > U slovi > Uslo vi biblioteke

  • Politika > Sku povi smernica > Politika autorizacije > Pra vilo autorizacije 1

Kada je bezbednost implementirana za telefon, možete identifikovati sigurne telefonske pozive pomoću ikona na ekranu telefona. Takođe možete da utvrdite da li je povezani telefon siguran i zaštićen ako se na početku poziva reprodukuje sigurnosni ton.

U sigurnom pozivu, sva signalizacija poziva i medijski tokovi su šifrovani. Siguran poziv nudi visok nivo sigurnosti, pružajući integritet i privatnost poziva. Kada je poziv u toku šifrovan, možete videti sigurnu ikonu na liniji. Za siguran telefon takođe možete da vidite autentifikovanu ikonu ili šifrovanu ikonu pored povezanog servera u meniju telefona (Podeš avanja > O ovom uređ aju).

U sigurnom pozivu, sigurnosni ton se reprodukuje na početku poziva koji ukazuje da drugi povezani telefon takođe prima i prenosi siguran zvuk. Ako se vaš poziv poveže sa nesigurnim telefonom, sigurnosni ton se ne reprodukuje.

Kada je telefon konfigurisan kao siguran (šifrovan i pouzdan)Cisco Unified Communications Manager, može mu se dati zaštićeni status. Nakon toga, po želji, zaštićeni telefon se može konfigurisati da reprodukuje indikacioni ton na početku poziva:

• Zaštićeni uređaj: Da biste promenili status sigurnog telefona u zaštićen, potvrdite potvrdni okvir Zaštićeni uređaj u prozoru Konfiguracija telefona u Cisco Unified Communications Manager Administration (U ređ aj > Telefon).

• Reprodukujte siguran ton indikacije: Da biste omogućili zaštićenom telefonu da reprodukuje siguran ili nesiguran ton indikacije, podesite postavku Plai Secure Indication Tone na True. Podrazumevano je Plai Secure Indication Tone postavljen na False. Ovu opciju ste postavili u Cisco Unified Communications Manager Administration (Sistem > Parametri usluge). Izaberite server, a zatim uslugu Unified Communications Manager. U prozoru Konfiguracija parametara usluge izaberite opciju u oblasti Feature - Secure Tone. Podrazumevano je False.

Budući da svi VLAN uređaji koji su u dometu mogu da primaju sav drugi VLAN saobraćaj, obezbeđivanje glasovne komunikacije je kritično u VLAN-ovima. Da bi se osiguralo da uljezi ne manipulišu niti presreću glasovni saobraćaj, Cisco SAFE Securiti arhitektura podržava telefon. Za više informacija o bezbednosti u mrežama pogledajte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Rešenje Cisco Vireless IP telefonije pruža sigurnost bežične mreže koja sprečava neovlašćene prijave i ugroženu komunikaciju korišćenjem sledećih metoda autentifikacije koje telefon podržava:

• Otvorena autentifik acija: Bilo koji bežični uređaj može zatražiti autentifikaciju u otvorenom sistemu. AP koji primi zahtev može odobriti autentifikaciju bilo kom podnosiocu zahteva ili samo podnosiocima zahteva koji se nalaze na listi korisnika. Komunikacija između bežičnog uređaja i pristupne tačke (AP) može biti nešifrovana.

• Pro@@ širivi protokol autentifikacije-fleksibilna autentifikacija putem sigurnog tuneliranja (EAP-FAST) Aut entifikacija: Ova sigurnosna arhitektura klijent-server šifruje EAP transakcije unutar tunela bezbednosti nivoa transporta (TLS) između AP-a i RADIUS servera, kao što je Identity Services Engine (ISE).

  TLS tunel koristi akreditive zaštićenog pristupa (PAC) za autentifikaciju između klijenta (telefona) i RADIUS servera. Server šalje ID autoriteta (AID) klijentu (telefon), koji zauzvrat bira odgovarajući PAC. Klijent (telefon) vraća PAC-neproziran na RADIUS server. Server dešifruje PAC primarnim ključem. Obe krajnje tačke sada sadrže PAC ključ i kreiran je TLS tunel. EAP-FAST podržava automatsko obezbeđivanje PAC-a, ali morate ga omogućiti na RADIUS serveru.

  U ISE-u, podrazumevano, PAC ističe za nedelju dana. Ako telefon ima istekao PAC, autentifikacija sa RADIUS serverom traje duže dok telefon dobija novi PAC. Da biste izbegli kašnjenja u obezbeđivanju PAC-a, podesite period isteka PAC-a na 90 dana ili duže na ISE ili RADIUS serveru.

• Pro@@ širivi protokol za autentifikaciju-bezbednost transportnog sloja (EAP-TLS) Autentifikacija: EAP-TLS zahteva klijentski sertifikat za autentifik aciju i pristup mreži. Za bežični EAP-TLS, klijentski sertifikat može biti MIC, LSC ili korisnički instaliran sertifikat.

• Zaštićeni ekstenzivni protokol za autentifikaciju (PEAP): Cisco vlasnička šema međusobne autentifikacije zasnovana na lozinci između klijenta (telefona) i RADIUS servera. Telefon može da koristi PEAP za autentifikaciju sa bežičnom mrežom. Podržane su i PEAP-MSCHAPV2 i PEAP-GTC metode autentifikacije.

• Pre-deljeni ključ (PSK): Telefon podržava ASCII format. Morate koristiti ovaj format prilikom podešavanja VPA/VPA2/SAE unapred deljenog ključa:

  ASCII: niz znakova ASCII sa dužinom od 8 do 63 znaka (0-9, mala i velika slova A-Z i specijalni znakovi)

  Primer: GREG123567 @9ZX &V

Sledeće šeme autentifikacije koriste RADIUS server za upravljanje ključevima za autentifikaciju:

• WPA/WPA2/WPA3: Koristi informacije o RADIUS serveru za generisanje jedinstvenih ključeva za autentifikaciju. Pošto se ovi ključevi generišu na centralizovanom RADIUS serveru, VPA2/VPA3 pruža veću sigurnost od VPA unapred deljenih ključeva koji se čuvaju na AP-u i telefonu.

• Brzi bezbedni roming: Koristi RADIUS server i informacije o serveru bežičnog domena (VDS) za upravljanje i autentifikaciju ključeva. VDS stvara keš sigurnosnih akreditiva za klijentske uređaje sa omogućenim FT-om za brzu i sigurnu ponovnu autentifikaciju. Cisco Desk Phone 9861 i 9871 i Cisco Video Phone 8875 podržavaju 802.11r (FT). Podržani su i preko vazduha i preko DS-a kako bi se omogućio brzi siguran roaming. Ali toplo preporučujemo upotrebu 802.11r (FT) metode preko vazduha.

Sa VPA/VPA2/VPA3, ključevi za šifrovanje se ne unose na telefon, već se automatski izvode između AP-a i telefona. Ali EAP korisničko ime i lozinka koji se koriste za autentifikaciju moraju se uneti na svaki telefon.

Da bi se osiguralo da je glasovni saobraćaj siguran, telefon podržava TKIP i AES za šifrovanje. Kada se ovi mehanizmi koriste za šifrovanje, i signalni SIP paketi i glasovni paketi transportnog protokola u realnom vremenu (RTP) su šifrovani između AP-a i telefona.

TKIP

VPA koristi TKIP enkripciju koja ima nekoliko poboljšanja u odnosu na VEP. TKIP pruža šifrovanje ključeva po paketu i duže vektore inicijalizacije (IV) koji jačaju šifrovanje. Pored toga, provera integriteta poruke (MIC) osigurava da se šifrovani paketi ne menjaju. TKIP uklanja predvidljivost VEP-a koja pomaže uljezima da dešifruju VEP ključ.

AES

Metoda šifrovanja koja se koristi za VPA2/VPA3 autentifikaciju. Ovaj nacionalni standard za šifrovanje koristi simetrični algoritam koji ima isti ključ za šifrovanje i dešifrovanje. AES koristi šifrovanje šifrnog lanca blokiranja (CBC) veličine 128 bita, što podržava veličine ključeva od 128 bita, 192 bita i 256 bita, kao minimum. Telefon podržava veličinu ključa od 256 bita.

Šeme autentifikacije i šifrovanja postavljene su unutar bežičnog LAN-a. VLAN-ovi su konfigurisani u mreži i na AP-ovima i određuju različite kombinacije autentifikacije i šifrovanja. SSID se povezuje sa VLAN-om i određenom šemom autentifikacije i šifrovanja. Da bi se bežični klijentski uređaji uspešno potvrdili autentifikaciju, morate da konfigurišete iste SSID-ove sa njihovim šemama autentifikacije i šifrovanja na AP-ovima i na telefonu.

Neke šeme autentifikacije zahtevaju određene vrste šifrovanja.

Šeme autentifikacije i šifrovanja u sledećoj tabeli prikazuju opcije mrežne konfiguracije za telefon koji odgovara AP konfiguraciji.

Usigurane usluge SIP (AS-SIP) je kolekcija funkcija i protokola koji nude visoko siguran tok poziva za Cisco IP telefone i telefone trećih strana. Sledeće karakteristike su zajednički poznate kao AS-SIP:

• Višeslojna prioritet i pretpostavka (MLPP)
• Kodna tačka diferenciranih usluga (DSCP)
• Bezbednost transportnog sloja (TLS) i siguran transportni protokol u realnom vremenu (SRTP)
• Internet Protocol verzija 6 (IPv6)

AS-SIP se često koristi sa višeslojnom prioritetom i preuzimanjem (MLPP) za određivanje prioriteta pozivima tokom hitnih slučajeva. Pomoću MLPP-a dodeljujete nivo prioriteta svojim odlaznim pozivima, od nivoa 1 (nizak) do nivoa 5 (visok). Kada primite poziv, na telefonu se prikazuje ikona nivoa prioriteta koja prikazuje prioritet poziva.

Da biste konfigurisali AS-SIP, izvršite sledeće zadatkeCisco Unified Communications Manager:

• Konfigurišite Digest korisnika — Konfigurišite krajnjeg korisnika da koristi digitalnu autentifikaciju za SIP zahteve.
• Konfigurišite siguran port SIP telefona - Cisco Unified Communications Manager koristi ovaj port za slušanje SIP telefona za registracije SIP linija preko TLS-a.
• Ponovo pokrenite usluge — Nakon konfigurisan Cisco Unified Communications Manager ja sigurnog porta, ponovo pokrenite usluge Cisco CTL provajdera. Konfigurišite SIP profil za AS-SIP-Konfigurišite SIP profil sa SIP podešavanjima za vaše AS-SIP krajnje tačke i za vaše SIP trupce. Parametri specifični za telefon se ne preuzimaju na AS-SIP telefon treće strane. Koristi ih samo Cisco Unified Manager. Telefoni trećih strana moraju lokalno konfigurirati ista podešavanja.
• Konfigurišite profil bezbednosti telefona za AS-SIP — bezbednosni profil telefona možete da koristite da dodelite bezbednosna podešavanja kao što su TLS, SRTP i probavna autentifikacija.
• Konfigurišite krajnju tačku AS-SIP — Konfigurišite Cisco IP telefon ili krajnju tačku treće strane sa podrškom za AS-SIP.
• Povezivanje uređaja sa krajnjim korisnikom — povežite krajnju tačku sa korisnikom.
• Konfigurišite sigurnosni profil SIP trupca za AS-SIP — Sigurnosni profil sip trunka možete da koristite da biste SIP prtljažniku dodelili bezbednosne funkcije kao što su TLS ili probavna autentifikacija.
• Konfigurišite SIP Trunk za AS-SIP — Konfigurišite SIP prtljažnik sa AS-SIP podrškom.
• Konfigurišite funkcije AS-SIP — Konfigurišite dodatne funkcije AS-SIP kao što su MLPP, TLS, V.150 i IPv6.

Za detaljne informacije o konfigurisanju AS-SIP, pogledajte poglavlje „Konfigurisanje AS-SIP krajnjih tačaka“ u Vodiču za konfiguraciju funkcija za. Cisco Unified Communications Manager

Kada su kodovi prinudne autorizacije (FAC) ili kodovi klijenta (CMC), ili oba konfigurisani na telefonu, korisnici moraju da unesu potrebne lozinke da bi pozvali broj.

Za više informacija o tome kako da podesite FAC i CMC uCisco Unified Communications Manager, pogledajte poglavlje „Kodovi pitanja klijenta i kodovi prinudne autoriz acije“ u V odiču za konfiguraciju funkcija za Cisco Unified Communications Manager izdanje 12.5 (1) ili novije verzije.

Cisco VPN funkcija vam pomaže da sačuvate bezbednost mreže, istovremeno pružajući korisnicima siguran i pouzdan način povezivanja sa vašom korporativnom mrežom. Koristite ovu funkciju kada:

• Telefon se nalazi izvan pouzdane mreže
• Mrežni saobraćaj između telefona i Cisco Unified Communications Manager prelazi nepouzdanu mrežu

Sa VPN-om postoje tri uobičajena pristupa autentifikaciji klijenta:

• Digitalni sertifikati
• Lozinke
• Korisničko ime i lozinka

Svaka metoda ima svoje prednosti. Ali ako vaša korporativna bezbednosna politika to dozvoljava, preporučujemo pristup zasnovan na sertifikatima jer sertifikati omogućavaju besprekornu prijavu bez ikakve intervencije korisnika. Podržani su i LSC i MIC sertifikati.

Da biste konfigurisali bilo koju VPN funkciju, prvo obezbedite uređaj lokalno, a zatim možete da ga primenite van objekta.

Više informacija o autentifikaciji sertifikata i radu sa VPN mrežom potražite u odeljku Kon figuri AnyConnect VPN sanje telefona sa autentifikacijom sertifikata na ASA.

Pomoću lozinke ili pristupa korisničkom korisniku i lozinkom od korisnika se traži akreditive za prijavu. Podesite akreditive za prijavu korisnika u skladu sa bezbednosnom politikom vaše kompanije. Takođe možete da konfigurišete postavku Omogući postojanost lozinke tako da se korisnička lozinka sačuva na telefonu. Korisnička lozinka se čuva sve dok se ne dogodi neuspešan pokušaj prijave, korisnik ručno izbriše lozinku ili telefon ne resetuje ili izgubi napajanje.

Još jedan koristan alat je postavka Omogući automatsko otkrivanje mreže. Kada omogućite ovo polje za potvrdu, VPN klijent može da se pokreće samo kada otkrije da je izvan korporativne mreže. Ovo podešavanje je podrazumevano onemogućeno.

Vaš Cisco telefon podržava Cisco SVC IPPhone Client v1.0 kao tip klijenta.

Za više informacija o tome kako da konfigurišete VPN uključenUnified CM, pogledajte V odič za konfiguraciju funkcija za Cisco Unified Communications Manager.

Cisco VPN funkcija koristi Secure Sockets Laier (SSL) za očuvanje bezbednosti mreže.