Дякуємо за відгук.

Функції безпеки захищають від загроз, включаючи загрози особистості телефону та даних. Ці функції встановлюють та підтримують автентифіковані потоки зв'язку між телефоном та Cisco Unified Communications Manager сервером, а також гарантують, що телефон використовує лише файли з цифровим підписом.

Cisco Unified Communications ManagerВипуск 8.5 (1) і новіших версій включає безпеку за замовчуванням, яка забезпечує такі функції безпеки для IP-телефонів Cisco без запуску клієнта CTL:

• Підписування файлів конфігурації телефону

• Шифрування файлів конфігурації телефону

• HTTPS з Tomcat та іншими веб-сервісами

Впровадження безпеки в Cisco Unified Communications Manager системі запобігає крадіжці ідентифікаційних даних телефону та Cisco Unified Communications Manager сервера, запобігає підробленню даних та запобігає сигналізації дзві нків та підробленню медіапотоку.

Щоб полегшити ці загрози, мережа IP-телефонії Cisco встановлює та підтримує безпечні (зашифровані) потоки зв'язку між телефоном та сервером, підписує файли цифровим способом перед їх перенесенням на телефон, а також шифрує медіапотоки та сигналізацію дзвінків між IP-телефонами Cisco.

Сертифікат локально значущого значення (LSC) встановлюється на телефони після виконання необхід них завдань, пов'язаних з функцією про Certificate Authority ксі (CAPF). Ви можете використовувати Cisco Unified Communications Manager Administration для налаштування LSC, як описано в Посібнику з Cisco Unified Communications Manager безпеки. Крім того, ви можете ініціювати установку LSC з меню налаштувань безпеки на телефоні. Це меню також дозволяє оновити або видалити LSC.

Телефони використовують профіль безпеки телефону, який визначає, чи є пристрій незахищеним чи захи щеним. Для отримання інформації про застосування профілю безпеки до телефону див. документацію до конкретного Cisco Unified Communications Manager випуску.

Якщо ви налаштовуєте параметри, пов'язані з безпекоюCisco Unified Communications Manager Administration, файл конфігурації телефону містить конфіденційну інформацію. Щоб забезпечити конфіденційність файлу конфігу рації, необхідно налаштувати його на шифрування. Для отримання детальної інформації див. Доку ментацію до вашого конкретного Cisco Unified Communications Manager випуску.

Телефон відповідає Федеральному стандарту обробки інформації (FIPS). Для коректної роботи режим FIPS вимагає розміру ключа 2048 біт або більше. Якщо сертифікат менше 2048 біт, телефон не зареєструється, Cisco Unified Communications Manager а телефон не зареєструється. Розмір ключа сертифікації не відповідає FIPS дисплеям на телефоні.

Якщо телефон має LSC, вам потрібно оновити розмір ключа LSC до 2048 біт або більше, перш ніж включити FIPS.

У наведеній нижче таблиці наведено огляд функцій безпеки, які підтримують телефони . Для отримання додаткової інформації див. Документацію до конкретного Cisco Unified Communications Manager випуску.

Щоб переглянути режим безпеки, натисніть Налаштування та перей діть до Мере жа та служба > Н алаштування безпеки.

Наступна таблиця містить повідомлення про оновлення списку довіри та значення нагадувань. Для отримання додаткової інформації див. Доку Cisco Unified Communications Manager ментацію.

Мен ю Налаштування безпеки містить інформацію про різні параметри безпеки. Мен ю також надає доступ до меню «Список довіри» і вказує, чи встановлений на телефоні файл CTL або ITL.

У наведеній нижче таблиці описані параметри в меню «Налаштування безпеки».

IP- телефони Cisco підтримують аутентифікацію 802.1X.

IP-телефони Cisco та комутатори Cisco Catalyst традиційно використовують Cisco Discovery Protocol (CDP) для ідентифікації один одного та визначення таких параметрів, як розподіл VLAN та вбудовані вимоги до живлення. CDP не ідентифікує локально приєднані робочі станції. IP-телефони Cisco забезпечують механізм пропускання EAPOL. Цей механізм дозволяє робочій станції, приєднаній до IP-телефону Cisco, передавати повідомлення EAPOL до автентифікатора 802.1X на комутаторі локальної мережі. Механізм пропускання гарантує, що IP-телефон не виконує функції перемикача локальної мережі для автентифікації кінцевої точки даних перед тим, як отримати доступ до мережі.

IP-телефони Cisco також надають механізм вилучення проксі-сервера EAPOL. Якщо локально підключений ПК відключається від IP-телефону, комутатор локальної мережі не бачить фізичного зв'язку, оскільки зв'язок між комутатором локальної мережі та телефоном IP підтримується. Щоб уникнути порушення цілісності мережі, IP-телефон надсилає повідомлення про вихід EAPOL на комутатор від імені ПК, що знаходиться нижче за течією, яке запускає перемикач локальної мережі, щоб очистити запис автентифікації для нижнього ПК.

Підтрим ка аутентифікації 802.1X вимагає декількох компонентів:

• IP-телефон Cisco: телефон ініціює запит на доступ до мережі. IP-телефони Cisco містять заявник 802.1X. Цей додаток дозволяє мережевим адміністраторам контролювати підключення IP-телефонів до портів комутатора LAN. Поточний випуск додатка телефону 802.1X використовує параметри EAP-FAST та EAP-TLS для автентифікації мережі.

• Сервер аутентифікації: Сервер аутентифікації та комутатор повинні бути налаштовані спільним секретом, який автентифікує телефон.

• Перемикач: комутатор повинен підтримувати 802.1X, тому він може виконувати функцію автентифікатора та передавати повідомлення між телефоном та сервером аутентифікації. Після завершення обміну комутатор надає або забороняє телефону доступ до мережі.

Для налаштування 802.1X необхідно виконати наступні дії.

• Налаштуйте інші компоненти, перш ніж увімкнути автентифікацію 802.1X на телефоні.

• Налаштування порту ПК: Стандарт 802.1X не враховує VLAN і тому рекомендує аутентифікацію лише одного пристрою до певного порту комутатора. Однак деякі комутатори підтримують багатодоменну аутентифікацію. Конфігурація комутатора визначає, чи можна підключити ПК до порту ПК телефону.

  • Увімкнено: якщо ви використовуєте комутатор, який підтримує багатодоменну аутентифікацію, ви можете увімкнути порт ПК та підключити до нього ПК. У цьому випадку IP-телефони Cisco підтримують проксі EAPOL-Logoff для моніторингу обміну аутентифікацією між комутатором і прикріпленим ПК.

    Для отримання додаткової інформації про підтримку IEEE 802.1X на комутаторах Cisco Catalyst див. посібники з конфігурації комутатора Cisco Catalyst за адресою:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Вимкнено: якщо комутатор не підтримує декілька пристроїв, сумісних з 802.1X, на одному порті, слід вимкнути порт ПК, коли увімкнено автентифікацію 802.1X. Якщо ви не вимкнете цей порт, а потім спробуєте підключити до нього ПК, комутатор забороняє доступ до мережі як до телефону, так і до ПК.

• Налаштування голосової локальної мережі: оскільки стандарт 802.1X не враховує VLAN, вам слід налаштувати цей параметр на основі підтримки комутатора.
  • Увімкнено. Якщо ви використовуєте перемикач, який підтримує багатодоменну аутентифікацію, ви можете продовжити його, щоб використовувати голосову VLAN.
  • Вимкнено: якщо комутатор не підтримує багатодоменну аутентифікацію, вимкніть голосову VLAN та розгляньте можливість присвоєння порту рідній VLAN.
• (Тільки для настільних телефонів Cisco серії 9800)

  Настільний телефон Cisco серії 9800 має інший префікс у PID, ніж для інших телефонів Cisco. Щоб дозволити телефону пройти автентифікацію 802.1X, встановіть параметр Радіус · Ім'я користувача, щоб включати ваш Cisco Desk Phone 9800 Series.

  Наприклад, PID телефону 9841 - DP-9841; ви можете встановити Радіус·Ім'я користувача на Початок з DP або Містить DP. Ви можете встановити його в обох наступних розділах:

  • Політика > У мови > У мови бібліотеки

  • Політика > Н абори політик > Полі тика авторизації > Правило авторизації 1

Коли безпека реалізована для телефону, ви можете ідентифікувати захищені телефонні дзвінки за пі ктограмами на екрані телефону. Ви також можете визначити, чи захищений підключений телефон, якщо на початку дзвінка відтворюється сигнал безпеки.

У захищеному дзвінку вся сигналізація викликів і медіапотоки шифруються. Безпечний дзвінок забезпечує високий рівень безпеки, забезпечуючи цілісність та конфіденційність дзвінка. Коли пото чний дзвінок зашифрований, на лінії можна побачити захищений значок. Для захищеного телефону ви також можете переглянути піктограму автентифікації або зашифровану піктограму біля підключеного сервера в меню телефону (Н алаш тування > Про цей пристрій).

Під час захищеного дзвінка на початку дзвінка відтворюється сигнал безпеки, який вказує на те, що інший підключений телефон також приймає та передає захищений аудіо. Якщо ваш дзвінок підключається до незахищеного телефону, сигнал безпеки не відтворюється.

Коли телефон налаштовано як захищений (зашифрований та надійний)Cisco Unified Communications Manager, йому можна надати статус захищен ого. Після цього при бажанні захищений телефон можна налаштувати на відтворення сигналу індикації на початку дзвінка:

• Захищений пристрій: Щоб змінити статус захищеного телефону на захищений, встановіть прапорець Захищений пристрій у вікні «Конфігурація телефону» у вікні «Cisco Unified Communications Manager AdministrationП ристрій > Теле фон».

• Відтворення захищеного сигналу індикації: Щоб дозволити захищеному телефону відтворювати захищений або незахищений сигнал індикації, встановіть для параметра «Відтворити безпечний сигнал індикації» значення True. За замовчуванням параметр «Відтворити безпечний сигнал індикації» встановлено значення False. Ви встановлюєте цей параметр у Cisco Unified Communications Manager Administration (Система > Параметри служби). Виберіть сервер, а потім службу Unified Communications Manager. У вікні Конфігурація параметрів служби виберіть опцію в області Функція - Захищений тон. Типовим значенням є False.

Оскільки всі пристрої WLAN, які знаходяться в межах діапазону, можуть отримувати весь інший трафік WLAN, захист голосового зв'язку є критичним у мережах WLAN. Щоб гарантувати, що зловмисники не маніпулюють і не перехоплюють голосовий трафік, архітектура Cisco SAFE Security підтримує телефон. Для отримання додаткової інформації про безпеку в мережах див. http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Рішення Cisco Wireless IP телефонії забезпечує безпеку бездротової мережі, що запобігає несанкціонованим входам та компрометованим комунікаціям, використовуючи такі методи аутентифікації, які підтримує телефон:

• Відкрита аутенти фікація: Будь-який бездротовий пристрій може запитувати аутентифікацію у відкритій системі. Точка доступу, яка отримує запит, може надавати автентифікацію будь-якому запитувачу або лише запитувачам, які знаходяться у списку користувачів. Зв'язок між бездротовим пристроєм і точкою доступу (AP) може бути нешифрованим.

• Розширюваний протокол автентифікації - гнучка автентифікація за допомогою аутентифікації безпечного тунелювання (EAP-FAST): ця архітектура безпеки клієнт-сервер шифрує транзакції EAP в тунелі безпеки транспортного рівня (TLS) між точкою доступу та сервером RADIUS, наприклад, Identity Services Engine (ISE).

  Тунель TLS використовує захищені облікові дані доступу (PAC) для автентифікації між клієнтом (телефоном) та сервером RADIUS. Сервер надсилає клієнту (телефону) Authority ID (AID), який у свою чергу вибирає відповідний PAC. Клієнт (телефон) повертає PAC-непрозорість сервера RADIUS. Сервер розшифровує PAC первинним ключем. Обидві кінцеві точки тепер містять ключ PAC і створюється тунель TLS. EAP-FAST підтримує автоматичне забезпечення PAC, але його потрібно ввімкнути на сервері RADIUS.

  У ISE за замовчуванням PAC закінчується через один тиждень. Якщо телефон має термін дії PAC, аутентифікація за допомогою сервера RADIUS займає більше часу, поки телефон отримує новий PAC. Щоб уникнути затримок забезпечення PAC, встановіть термін дії PAC на 90 днів або довше на сервері ISE або RADIUS.

• Аутентифікація протоколу розширеної автентифікації та захисту транспортного рівня (EAP-TLS): для аутентифікації та доступу до мережі EAP-TLS потрібен клієнтський сертифікат. Для бездротового EAP-TLS клієнтським сертифікатом може бути MIC, LSC або встановлений користувачем сертифікат.

• Протокол захищеної розширюваної аутентифікації (PEAP): власна схема взаємної аутентифікації на основі пароля Cisco між клієнтом (телефоном) та сервером RADIUS. Телефон може використовувати PEAP для аутентифікації з бездротовою мережею. Підтримуються як методи аутентифікації PEAP-MSCHAPV2, так і PEAP-GTC.

• Попередньо спільний ключ (PSK): телефон підтримує формат ASCII. Ви повинні використовувати цей формат при налаштуванні попередньо спільного ключа WPA/WPA2/SAE:

  ASCII: рядок ASCII-символів довжиною від 8 до 63 символів (0-9, малі та великі літери A-Z та спеціальні символи)

  Приклад: GREG123567 @9ZX &W

Наступні схеми автентифікації використовують сервер RADIUS для керування ключами автентифікації:

• WPA/WPA2/WPA3: використовує інформацію сервера RADIUS для створення унікальних ключів для автентифікації. Оскільки ці ключі генеруються на централізованому сервері RADIUS, WPA2/WPA3 забезпечує більшу безпеку, ніж попередньо спільні ключі WPA, які зберігаються на точці доступу та телефоні.

• Швидкий безпечний роумінг: використовує інформацію сервера RADIUS та сервера бездротового домену (WDS) для керування та автентифікації ключів. WDS створює кеш облікових даних безпеки для клієнтських пристроїв з підтримкою FT для швидкої та безпечної повторної аутентифікації. Настільний телефон Cisco 9861 і 9871 і відеотелефон Cisco 8875 підтримують 802.11r (FT). Підтримуються як в ефірі, так і через DS, щоб забезпечити швидкий безпечний роумінг. Але ми настійно рекомендуємо використовувати метод 802.11r (FT) по повітрю.

За допомогою WPA/WPA2/WPA3 ключі шифрування не вводяться на телефон, а автоматично виводяться між точкою доступу та телефоном. Але ім'я користувача та пароль EAP, які використовуються для аутентифікації, повинні бути введені на кожному телефоні.

Щоб забезпечити безпеку голосового трафіку, телефон підтримує TKIP і AES для шифрування. Коли ці механізми використовуються для шифрування, як сигнальні SIP-пакети, так і пакети голосових транспортних протоколів реального часу (RTP) шифруються між AP та телефоном.

TKIP

WPA використовує шифрування TKIP, яке має кілька поліпшень порівняно з WEP. TKIP забезпечує шифрування ключів для кожного пакета та довші вектори ініціалізації (IV), які посилюють шифрування. Крім того, перевірка цілісності повідомлень (MIC) гарантує, що зашифровані пакети не змінюються. TKIP усуває передбачуваність WEP, що допомагає зловмисникам розшифрувати ключ WEP.

AES

Метод шифрування, що використовується для аутентифікації WPA2/WPA3. Цей національний стандарт шифрування використовує симетричний алгоритм, який має однаковий ключ для шифрування та розшифровки. AES використовує шифрування ланцюга блокування шифрів (CBC) розміром 128 біт, яке підтримує розміри ключів 128 біт, 192 біт і 256 біт, як мінімум. Телефон підтримує розмір ключа 256 біт.

Схеми аутентифікації та шифрування налаштовуються в бездротовій локальній мережі. VLAN налаштовуються в мережі і на точок доступу і вказують різні комбінації аутентифікації і шифрування. SSID асоціюється з VLAN та певною схемою аутентифікації та шифрування. Щоб бездротові клієнтські пристрої успішно пройшли аутентифікацію, необхідно налаштувати однакові SSID з їх схемами аутентифікації та шифрування на точок доступу та на телефоні.

Деякі схеми аутентифікації вимагають певних типів шифрування.

Схеми автентифікації та шифрування в наведеній нижче таблиці показують параметри конфігурації мережі телефону, що відповідає конфігурації точки доступу.

Assured Services SIP (AS-SIP) - це сукупність функцій і протоколів, які забезпечують високобезпечний потік дзвінків для IP-телефонів Cisco та сторонніх телефонів. Наступні функції спільно відомі як AS-SIP:

• Багаторівневий пріоритет та преемпція (MLPP)
• Кодова точка диференційованих послуг (DSCP)
• Безпека транспортного рівня (TLS) та безпечний транспортний протокол реального часу (SRTP)
• Інтернет-протокол версії 6 (IPv6)

AS-SIP часто використовується з багаторівневим пріоритетом та преемпцією (MLPP) для пріоритетності викликів під час надзвичайної ситуації. За допомогою MLPP ви призначаєте рівень пріоритету своїм вихідним дзвінкам, від рівня 1 (низький) до рівня 5 (високий). Коли ви отримуєте дзвінок, на телефоні відображається значок рівня пріоритету, який показує пріоритет виклику.

Щоб налаштувати AS-SIP, виконайте наступні завдання: Cisco Unified Communications Manager

• Налаштувати користувача дайджесту — Налаштувати кінцевого користувача для використання автентифікації дайджесту для SIP-запитів.
• Налаштування захищеного порту SIP Phone— Cisco Unified Communications Manager використовує цей порт для прослуховування SIP-телефонів для реєстрації SIP-лінії через TLS.
• Перезапустіть служби. Після налаштування захищеного порту перезапустіть служби Cisco CTL Provider. Cisco Unified Communications Manager Налаштуйте SIP-профіль для AS-SIP- Налаштуйте SIP-профіль із налаштуваннями SIP для кінцевих точок AS-SIP та для ваших SIP-магістралей. Специфічні для телефону параметри не завантажуються на сторонній телефон AS-SIP. Їх використовує тільки уніфікований менеджер Cisco. Сторонні телефони повинні локально налаштовувати ті ж настройки.
• Налаштування профілю безпеки телефону для AS-SIP. За допомогою профілю безпеки телефону можна призначити параметри безпеки, такі як TLS, SRTP та аутентифікація дайджесту.
• Налаштування кінцевої точки AS-SIP — Налаштуйте IP-телефон Cisco або кінцеву точку третьої сторони з підтримкою AS-SIP.
• Асоційувати пристрій з кінцевим користувачем. Пов'яжіть кінцеву точку з користувачем.
• Налаштування профілю безпеки магістралі SIP для AS-SIP — профіль безпеки магістралі SIP можна використовувати для призначення функцій безпеки, таких як TLS або аутентифікація дайджесту, до магістралі SIP.
• Налаштування магістралі SIP для AS-SIP — Налаштуйте магістраль SIP з підтримкою AS-SIP.
• Налаштування функцій AS-SIP — Налаштуйте додаткові функції AS-SIP, такі як MLPP, TLS, V.150 та IPv6.

Для отримання детальної інформації про налаштування AS-SIP див. розділ «Налаштування кінцевих точок AS-SIP» у Посібнику з конфігурації функцій для. Cisco Unified Communications Manager

Коли коди примусової авторизації (FAC) або коди питань клієнта (CMC) або обидва налаштовані на телефоні, користувачі повинні ввести необхідні паролі для набору номера.

Для отримання додаткової інформації про налаштування FAC та CMC у Cisco Unified Communications Manager розділі «Коди питань клієнта та коди примусової авто ризації» у П осібнику з конфігурації функцій для випу Cisco Unified Communications Manager ску 12.5 (1) або піз нішої версії.

Функція Cisco VPN допомагає вам зберегти мережеву безпеку, надаючи користувачам безпечний, надійний спосіб підключення до вашої корпоративної мережі. Використовуйте цю функцію, коли:

• Телефон знаходиться поза надійною мережею
• Мережевий трафік між телефоном і Cisco Unified Communications Manager перетинає ненадійну мережу

З VPN існує три загальних підходи до аутентифікації клієнта:

• Цифрові сертифікати
• паролі
• Ім'я користувача та пароль

Кожен метод має свої переваги. Але якщо ваша корпоративна політика безпеки дозволяє це, ми рекомендуємо підхід на основі сертифікатів, оскільки сертифікати дозволяють безперебійно входити без втручання користувача. Підтримуються як сертифікати LSC, так і MIC.

Щоб налаштувати будь-яку з функцій VPN, спочатку надайте пристрій локально, а потім розгорніть пристрій поза приміщенням.

Докладніші відомості про аутентифікацію сертифікації та роботу з мережею VPN див. у розділі Н алаштування AnyConnect VPN телефону з автентифікацією сертифікатів на АСА.

За допомогою пароля або імені користувача та пароля користувачеві буде запропоновано ввести облікові дані для входу. Встановіть облікові дані користувача відповідно до політики безпеки вашої компанії. Ви також можете налаштувати параметр Увімкнути збереження пароля так, щоб пароль користувача зберігався на телефоні. Пароль користувача зберігається до тих пір, поки не відбудеться невдала спроба входу, користувач вручну не очистить пароль, або телефон не скине живлення або не втратить живлення.

Ще одним корисним інструментом є настройка Увімкнути автоматичне виявлення мережі. Якщо ви ввімкнете цей прапорець, клієнт VPN може запускатися лише тоді, коли він виявить, що він знаходиться поза корпоративною мережею. За замовчуванням цей параметр вимкнено.

Ваш телефон Cisco підтримує Cisco SVC IPPhone Client v1.0 як тип клієнта.

Для отримання додаткової інформації про те, як налаштувати VPNUnified CM, див. Посіб ник з конфігурації функцій для Cisco Unified Communications Manager.

Функція Cisco VPN використовує рівень захищених сокетів (SSL) для збереження безпеки мережі.