Cisco telefon güvenliği IP

Telefonun web sayfasındaki manuel yapılandırmalarla SCEP sertifika kaydına ek olarak, DHCP seçeneği 43'i kullanarak da bir DHCP sunucusundan parametreleri doldurabilirsiniz. DHCP seçenek 43, SCEP parametreleriyle önceden yapılandırılır, daha sonra telefon SCEP sertifika kaydını gerçekleştirmek için parametreleri DHCP sunucusundan alabilir.

DHCP seçenek 43'te SCEP parametrelerini yapılandırarak bir SCEP sertifikasını kaydetmek için aşağıdakileri yapın:

1. SCEP ortamı hazırlayın.

   SCEP ortam kurulumu hakkında daha fazla bilgi için SCEP sunucu belgelerinize bakın.

2. DHCP seçenek 43'i ayarlayın (8.4 Satıcıya Özel Bilgiler, RFC 2132'de tanımlanmıştır).

   Alt öğeler (10–15) yöntem için ayrılmıştır:

   Telefon web sayfasındaki parametre	Çıkarma	Tür	Uzunluk (bayt)	Zorunlu
   FIPS Modu	10	Boolean	1	Hayır*
   Sunucu	11	dize	208 - uzunluk (Meydan Okuma Parolası)	Evet
   Kök CA Parmak İzi	12	ikili	20 veya 32	Evet
   Meydan Okuma Parolası	13	dize	208 - uzunluk (Sunucu)	Hayır*
   802.1X Kimlik Doğrulamasını Etkinleştirme	14	Boolean	1	Hayır
   Sertifika Seçimi	15	Imzalanmamış 8-bit	1	Hayır

   DHCP seçenek 43'i kullanırken, yöntemin aşağıdaki özelliklerine dikkat edin:

   • Alt öğeler (10–15) Özel Cihaz Sertifikası (CDC) için ayrılmıştır.
   • Seçenek 43'DHCP maksimum uzunluğu 255 bayttır.
   • Maksimum Server + Challenge Parolası uzunluğu 208 bitten azdır.
   • FIPS Modunun değeri, sağlama yapılandırması için kullanılabilir. Aksi takdirde, telefon, yüklendikten sonra daha önce yüklü olan sertifikayı geri alamaz. Özellikle
     • Telefon FIPS modunun devre dışı olduğu bir ortamda kaydedilecekse, DHCP seçenek 43'te FIPS Modunu yapılandırmanız gerekmez. FiPS modu, varsayılan olarak devre dışıdır.
     • Telefon FIPS modunun etkin olduğu bir ortamda kaydedilecekse, 43 seçeneğine DHCP FIPS modunu etkinleştirmeniz gerekir. Ayrıntılar için bkz . FIPS modunu etkinleştirme.
   • Seçenek 43'teki parola metin biçimindedir.

     Meydan okuma parolası boşsa, telefon ilk kayıt ve sertifika yenileme için MIC/SUDI kullanır. Meydan okuma parolası yapılandırılmışsa, yalnızca ilk kayıt için kullanılır ve sertifikanın yenilenmesi için yüklü sertifika kullanılır.

   • 802.1X Kimlik Doğrulamasını Etkinleştir ve Sertifika Seçimi yalnızca kablolu ağdaki telefonlar için kullanılır.
   • Aygıt modelini tanımlamak için DHCP seçenek 60 (Satıcı Sınıf Tanımlayıcı) kullanılır.

   Aşağıdaki tabloda, DHCP seçenek 43'e (10-15 arası alt alanlar) bir örnek sunulmaktadır:

   Alttan çıkarma ondalık/onaltılık	Değer uzunluğu (bayt) ondalık/onaltılık	Değer	Onaltılık değer
   10/0a	1/01	1 (0: Devre Dışı; 1: Etkin)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1 (0: Hayır; 1: Evet)	01
   15/0f	1/01	1 (0: Fabrikada montaj; 1: Özel yüklü)	01

   Parametre değerlerinin özeti:

   • FIPS Modu = Etkin

   • Sunucu = http://10.79.57.91

   • Kök CA Parmak İzi = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • Meydan Okuma Parolası = D233CCF9B9952A15

   • 802.1X Kimlik Doğrulamasını Etkinleştir = Evet

   • Sertifika Seç = Özel yüklenmiş

   Son onaltılık değerin sözdizimi şöyledir: {<suboption><length><uygulama>}...

   Yukarıdaki parametre değerlerine göre son onaltılık değeri aşağıdaki gibidir:

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. DHCP sunucuda DHCP seçenek 43'i yapılandırın.
   Bu adım, Cisco Ağ Kaydı'ndaki DHCP seçenek 43 yapılandırmalarına bir örnek sağlar.
   1. DHCP seçenek tanım kümesini ekleyin.

      Satıcı Seçenek Dizesi IP telefonların model adıdır. Geçerli değer: CP-9841, CP-9851, CP-9861, CP-9871 veya CP-8875.

   2. DHCP seçenek 43 ve alt özellikleri DHCP seçenek tanımı kümesine ekleyin.

      Örnek:

      

   3. 43. seçenekleri DHCP ilkesine ekleyin ve değeri aşağıdaki şekilde ayarlayın:

      Örnek:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. Ayarları doğrulayın. Telefon ve hizmet arasındaki ağ trafiğinin bir izini yakalamak için Wireshark'i kullanabilirsiniz.
4. Telefon için fabrika ayarlarına sıfırlama yapın.

   Telefon sıfırlandıktan sonra Sunucu, Kök CA Parmak İzi veMeydan Okuma Parolası parametreleri otomatik olarak doldurulur. Bu parametreler, telefon yönetimi web sayfasındaki Sertifikadan SCEP Yapılandırma 1 > Custom bölümünde bulunur.

   Yüklü sertifikanın ayrıntılarını kontrol etmek için, Mevcut Sertifikalar bölümünde Görüntüle'yi tıklatın .

   Sertifika yükleme durumunu kontrol etmek için Sertifika > Custom Sertifika Durumu öğesini seçin. İndirme Durumu 1 en son sonucu gösterir. Sertifika kaydı sırasında sorun oluşursa, indirme durumu sorun giderme amacıyla sorun nedenini gösterebilir.

   Meydan okuma parolası kimlik doğrulaması başarısız olursa, kullanıcılardan telefon ekranında parolayı girmeleri istenir.
5. (İsteğe bağlı): Yüklü sertifikayı telefondan kaldırmak için, Mevcut Sertifikalar bölümünde Sil'i tıklatın .
   Düğmeyi tıklattıktan sonra, kaldırma işlemi onay verilmeden hemen başlar.

Aygıt sertifikası SCEP işlemiyle otomatik olarak yenilenebilir.

• Telefon, sertifikanın 4 saatte bir 15 gün içinde geçerli olup olmadığını kontrol eder. Bu durumda, telefon sertifika yenileme işlemini otomatik olarak başlatır.
• Meydan okuma parolası boşsa, telefon ilk kayıt ve sertifika yenileme için MIC/SUDI kullanır. Meydan okuma parolası yapılandırılmışsa, yalnızca ilk kayıt için kullanılır, sertifikanın yenilenmesi için mevcut/yüklü sertifika kullanılır.
• Telefon, yenisini alana kadar eski cihaz sertifikasını kaldırmaz.
• Cihaz sertifikası veya CA süresi dolduğundan sertifika yenileme işlemi başarısız olursa, telefon otomatik olarak ilk kaydı tetikler. Bu arada, meydan okuma parolası kimlik doğrulaması başarısız olursa, telefon ekranında bir parola giriş ekranı açılır ve kullanıcılardan meydan okuma parolasını telefona girmeleri istenir.

Cisco IP Telefonları, 802.1X Kimlik Doğrulamasını destekler.

Cisco IP Telefonları ve Cisco Catalyst anahtarları, birbirlerini tanımlamak ve VLAN tahsisi ve hat içi güç gereksinimleri gibi parametreleri belirlemek için geleneksel olarak Cisco Keşif Protokolü'nü (CDP) kullanır. CDP, yerel olarak bağlanan iş istasyonları tanımlamaz. Cisco IP Telefonları, bir EAPOL düz geçiş mekanizması sağlar. Bu mekanizma, Cisco IP Telefonuna bağlanmış bir iş istasyonunun EAPOL mesajlarını, LAN anahtarındaki 802.1X kimlik doğrulayıcısına geçirmesine olanak verir. Düz geçiş mekanizması, IP Telefonunun ağa erişmeden önce bir veri uç noktasının kimliğini doğrulamak için LAN anahtarı işlevini görmediğini garantiye alır.

Cisco IP Telefonları, ayrıca bir proxy EAPOL Oturum Kapatma mekanizması sağlar. Yerel olarak bağlı bilgisayarın IP Telefonu ile bağlantısının kesilmesi durumunda, LAN anahtarı, kendisi ile IP Telefonu arasındaki bağlantı sürdürüldüğü için fiziksel bağlantının başarısız olduğunu görmez. Ağ bütünlüğünün tehlikeye atılmasını önlemek için IP Telefonu aşağı akış bilgisayarı adına anahtara bir EAPOL-Oturum Kapatma mesajı göndererek LAN anahtarının aşağı akış bilgisayarına ilişkin kimlik doğrulama girişini temizlemesini tetikler.

802.1X kimlik doğrulaması desteği, çeşitli bileşenler gerektirir:

• Cisco IP Telefonu: Telefon, ağa erişme talebini başlatır. Cisco IP Telefonları, bir 802.1 talepçisi içerir. Bu talepçi, ağ yöneticilerinin IP Telefonların LAN anahtar bağlantı noktaları ile arasındaki bağlantıyı kontrol etmelerine olanak verir. Telefon 802.1X talepçisinin geçerli sürümü, ağ kimlik doğrulaması için EAP-FAST ve EAP-TLS seçeneklerini kullanır.

• Kimlik doğrulama sunucusu: Kimlik doğrulama sunucusu ve anahtarın her ikisi de telefonun kimliğini doğrulayan paylaşılan bir sırla yapılandırılmalıdır.

• Anahtar: 802.1X'i desteklemesi gereken bir LAN anahtarı, kimlik doğrulayıcı görevi görür ve telefon ile kimlik doğrulama sunucusu arasında mesaj iletimi yapar. Alışveriş tamamlandıktan sonra, anahtar telefonun ağa erişimini sağlar veya reddeder.

802.1X'i yapılandırmak için aşağıdaki eylemleri gerçekleştirmeniz gerekir.

• Telefonda 802.1X Kimlik Doğrulamasını etkinleştirmeden önce diğer bileşenleri yapılandırın.

• Bilgisayar Bağlantı Noktasını Yapılandırın: 802.1X standardı, VLAN'ları hesaba katmaz ve bu nedenle yalnızca tek bir cihazın belirli bir anahtar bağlantı noktasında kimliğinin doğrulanmasını önerir. Fakat, bazı anahtarlar çok etki alanlı kimlik doğrulamasını destekler. Anahtar yapılandırması, bir bilgisayarı telefonun bilgisayar bağlantı noktasına bağlayıp bağlayamayacağınızı belirler.

  • Etkin: Çok etki alanlı kimlik doğrulamasını destekleyen bir anahtar kullanıyorsanız, bilgisayar bağlantı noktasını etkinleştirebilir ve buraya bir bilgisayar bağlayabilirsiniz. Bu durumda, Cisco IP Telefonları anahtar ve bağlı bilgisayar arasındaki kimlik doğrulama alışverişlerini izlemek için proxy EAPOL- Oturum Kapatma özelliğini destekler.

    Cisco Catalyst anahtarlarda IEEE 802.1X desteği ile ilgili daha fazla bilgi için, aşağıdaki adresten Cisco Catalyst anahtar yapılandırmasına bakın:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Devre Dışı: Anahtar aynı bağlantı noktasında birden çok 802.1X uyumlu cihazı desteklemiyorsa, 802.1X kimlik doğrulaması etkinleştirildiğinde Bilgisayar Bağlantı Noktasını devre dışı bırakmanız gerekir. Bu bağlantı noktasını devre dışı bırakmaz ve ardından buraya bir bilgisayar bağlamaya çalışırsanız, anahtar hem telefonun hem de bilgisayarın ağa erişimini reddeder.

• Ses VLAN'ını yapılandırın: 802.1X standardı VLAN'ları hesaba katmadığı için bu ayarı anahtar desteğini temel alarak yapılandırmanız gerekir.
  • Etkin: Çok etki alanlı kimlik doğrulamasını destekleyen bir anahtar kullanıyorsanız ses VLAN'ını kullanmaya devam edebilirsiniz.
  • Devre Dışı: Anahtar çok etki alanlı kimlik doğrulamasını desteklemiyorsa Ses VLAN'ını devre dışı bırakın ve bağlantı noktasını yerel VLAN'a atayın.
• (Yalnızca Cisco Masa Telefonu 9800 Serisi için)

  Cisco Masa Telefonu 9800 Serisi, PID'de diğer Cisco telefonları için olandan farklı bir önek içerir. Telefonunuzun 802.1X kimlik doğrulamasını geçirmesini sağlamak için, Radius· Cisco Masa Telefonu 9800 Serisini eklemek için Kullanıcı Adı parametresi.

  Örneğin, 9841 telefonunun PID'i, YAPıMıNDA YANIT-9841'dir; Radius· ayarlayabilirsiniz ISTE ile Başlanması gereken Kullanıcı Adı veya YANIT içerir. Aşağıdaki bölümlerin her ikisinde de ayarlayabilirsiniz:

  • İlke >Uyuşturmalar >Kimliği Koşulları

  • İlke >Policy Setleri > Authorization Policy > Authorization Rule 1