手动安装自定义设备证书

您可以通过从电话管理网页上上传证书，在电话上手动安装自定义设备证书(CDC)。

准备工作

在您可以为电话安装自定义设备证书之前，您必须：

  • 您的PC上保存的证书文件（。p12或。pfx）。 文件包含证书和私钥。
  • 证书的提取密码。 密码用于解密证书文件。
1

访问电话管理网页。

2

选择证书

3

在添加证书部分中，单击浏览…。

4

浏览到PC上的证书。

5

在提取密码字段中，输入证书提取密码。

6

单击上传。

如果证书文件和密码正确，您将收到消息“已添加证书。”。 否则，上传失败，错误消息表示无法上传。
7

要查看已安装证书的详细信息，请单击现有证书部分中的查看。

8

要从电话中删除已安装的证书，请单击现有证书部分中的删除。

单击此按钮后，删除操作立即开始，无需确认。

如果成功删除证书，您将收到消息“证书已删除。”。

通过SCEP自动安装自定义设备证书

如果您不想手动上传证书文件或未设置证书文件，您可以设置简单证书注册协议(SCEP)参数以自动安装自定义设备证书(CDC)。

当SCEP参数配置正确时，电话会向SCEP服务器发送请求，并且CA证书由设备使用已定义的指纹验证。

准备工作

在自动安装电话的自定义设备证书之前，您必须：

  • TFTP 服务器地址
  • SCEP服务器的SHA-1或SHA-256根指纹
1

访问电话管理网页。

2

选择证书

3

在 SCEP配置1部分中，按照下表SCEP配置参数中的描述设置参数。

4

单击 Submit Changes（提交更改）。

SCEP配置参数

下表定义了电话网络接口中的证书标签页下的SCEP配置1部分SCEP配置参数的功能和使用。 它还定义了在电话配置文件(cfg.xml)中添加的字符串的语法，以配置参数。

表 1. SCEP配置参数
参数描述
服务器

TFTP 服务器地址 此参数是强制性的。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <CDC_Server_1_ ua="na">http：//10.79.57.91</CDC_Server_1_>

  • 在电话网页中，输入SCEP服务器地址。

有效值： URL或IP地址。 不支持HTTPS方案。

缺省 空

根CA指纹

根号CA的SHA <UNK>或SHA1指纹，在SCEP过程中进行验证。 此参数是强制性的。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>

  • 在电话网页中，输入有效的指纹。

缺省 空

更改密码

通过SCEP注册证书期间，针对电话的证书颁发机构(CA)授权的挑战密码。 此参数为可选。

根据实际的SCEP环境，挑战密码的行为有所不同。

  • 如果电话从Cisco RA获得与CA通信的证书，CA不支持挑战密码。 在这种情况下，Cisco RA使用电话的MIC/SUDI进行身份验证以访问CA。 电话使用MIC/SUDI进行初始注册和证书续订。
  • 如果电话通过直接与CA通信获得证书，CA支持挑战密码。 如果已配置，将仅用于初始注册。 对于证书续订，将改用已安装的证书。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <CDC_Challenge_Password_1_ ua="na"></CDC_Challenge_Password_1_>

    配置文件中已屏蔽密码。

  • 在电话网页中，输入挑战密码。

缺省 空

通过DHCP选项43配置SCEP参数

除了通过电话网页上的手动配置进行SCEP证书注册外，您还可以使用DHCP选项43从DHCP服务器填充参数。 DHCP选项43预配置为SCEP参数，之后电话可以从DHCP服务器获取参数，以执行SCEP证书注册。

  • 通过DHCP选项43的SCEP参数配置仅适用于执行出厂重置的电话。
  • 电话不应放在同时支持选项43和远程配置（例如，选项66,160,159,150或云配置）的网络中。 否则，电话可能无法获得Option 43配置。

要通过DHCP选项43中配置SCEP参数来注册SCEP证书，请执行以下操作：

  1. 准备SCEP环境。

    有关SCEP环境设置的信息，请参阅SCEP服务器文档。

  2. 设置DHCP选项43（定义在 8.4“供应商特定信息”，RFC 2132 中）。

    为方法保留子选项(10–15)：

    电话网页上的参数子选项类型长度（字节）强制
    FIPS 模式10布尔型1否*
    服务器11字符串208 -长度（挑战密码）有
    根CA指纹12二进制20或32有
    更改密码13字符串208 -长度（服务器）否*
    启用 LDAP 身份验证14布尔型1不支持
    所选的证书：15无符号8位1不支持

    当您使用DHCP选项43时，请注意该方法的以下特性：

    • 子选项(10–15)保留用于自定义设备证书(CDC)。
    • DHCP选项43的最大长度为255字节。
    • 服务器 + 挑战密码的最大长度应小于208字节。
    • FIPS模式的值应与入职配置配置保持一致。 否则，电话在入职后无法检索之前安装的证书。 具体如下：
      • 如果电话将注册到禁用FIPS模式的环境，则无需在DHCP选项43中配置 FIPS模式参数。 默认情况下，FIPS模式已禁用。
      • 如果电话将注册到启用FIPS模式的环境，您必须在DHCP选项43中启用FIPS模式。 有关详细信息，请参阅启用FIPS模式。
    • 选项43中的密码为全文。

      如果挑战密码为空，电话将使用MIC/SUDI进行初始注册和证书续订。 如果配置了挑战密码，则仅用于初始注册，并且已安装的证书将用于证书续订。

    • 启用802.1X身份验证和证书选择仅用于有线网络中的电话。
    • DHCP选项60（供应商类标识符）用于识别设备型号。

    下表提供了DHCP选项43（子选项10–15）的示例：

    十进制/十六进制子选项值长度（字节）小数/十六进制值新值
    10/0a11011 (0： 已禁用；1： 启用01
    11/0b12月18日http：//10.79.57.91687474703a2f2f31302e37392e35372e3931
    12/0c20/14年12040870625c5b755d73f5925285f8f5ff5d55af12040870625c5b755d73f5925285f8f5ff5d55af
    13/0d16/10年d233ccf9b9952a15443233334346394239393532413135
    14/0年11011 (0： 编号：1： 是的：01
    15/0f11011 (0： 已安装制造设备；1： 自定义已安装) 01

    参数值摘要：

    • FIPS模式= 已启用

    • 服务器= http：//10.79.57.91

    • 根号CA指纹= 12040870625C5B755D73F5925285F8F5FF5D55AF

    • 挑战密码= D233CCF9B9952A15

    • 启用802.1X身份验证= 是

    • 证书选择= 自定义安装

    最终六角值的语法为： {<suboption><length><value>}…

    根据上面的参数值，最终六角值如下：

    0A01010B126874703A2F2F31302E37392E35372E39310C1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334346394239353241350e01010f0101

  3. 在DHCP服务器上配置DHCP选项43。

    此步骤提供了Cisco网络注册表上的DHCP选项43配置示例。

    1. 添加DHCP选项定义集。

      供应商选项字符串是IP电话的模型名称。 有效值为： DP-9841、DP-9851、DP-9861、DP-9871或CP-8875。

    2. 将DHCP选项43和子选项添加到DHCP选项定义集中。

      例如：

      Cisco网络注册表上的DHCP选项43定义的截图

    3. 在DHCP政策中添加选项43，并设置如下值：

      例如：

      (10 1)(11 http：//10.79.57.91)(12,12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

    4. 验证设置。 您可以使用Wireshark捕获电话和服务之间的网络流量的痕迹。
  4. 为电话执行出厂重置。

    电话重置后，服务器、根号CA指纹和挑战密码将自动填充。 这些参数位于电话管理网页上的证书 > 自定义中的SCEP配置1部分。

    要查看已安装证书的详细信息，请单击现有证书部分中的查看。

    要检查证书安装状态，请选择证书 > 自定义证书状态。 下载状态1显示最新结果。 如果在证书注册期间出现任何问题，下载状态可以显示用于故障排除的问题原因。

    如果挑战密码身份验证失败，系统将提示用户在电话屏幕上输入密码。
  5. （可选） 要从电话中删除已安装的证书，请单击现有证书部分中的删除。
    单击此按钮后，删除操作立即开始，无需确认。

由SCEP续订证书

设备证书可通过SCEP流程自动刷新。

  • 电话会检查证书是否每4小时15天后过期。 如果是，电话会自动启动证书续订过程。
  • 如果挑战密码为空，电话将同时使用MIC/SUDI进行初始注册和证书续订。 如果配置了挑战密码，则仅用于初始注册，现有/已安装的证书将用于证书续订。
  • 电话在检索新设备证书之前不会删除旧设备证书。
  • 如果由于设备证书或CA过期而证书续订失败，电话会自动触发初始注册。 同时，如果挑战密码验证失败，电话屏幕上会弹出密码输入屏幕，提示用户在电话上输入挑战密码。

启用FIPS模式

您可以使电话符合联邦信息处理标准(FIPS)。

FIPS是一套标准，用于描述文件处理、加密算法和其他信息技术标准，供非军事政府内部以及与机构合作的政府承包商和供应商使用。 CiscoSSL FOM(FIPS Object Module)是一个经过精心定义的软件组件，旨在与CiscoSSL库兼容，因此使用CiscoSSL库和API的产品可以转换成使用FIPS 140-2验证的加密技术，只需最少努力。

1

访问电话管理网页。

2

选择语音 > 系统。

3

在安全设置部分中，从FIPS模式参数选择是或否。

4

单击 Submit Changes（提交更改）。

启用FIPS时，以下功能可在电话上无缝工作：
  • 无验证
  • 安全存储
  • 配置文件加密
  • tls：
    • HTTPS
    • PRT上传
    • 固件升级
    • 配置文件重新同步
    • 板载服务
    • Webex入职
    • 通过 TLS 的 SIP
    • 802.1x（有线）
  • SIP文摘(RFC 8760)
  • sRTP
  • Webex呼叫日志和Webex目录
  • 一键通 (OBTP)

手动删除安全证书

如果简单证书注册协议(SCEP)不可用，您可以从电话中手动删除安全证书。

1

从电话管理网页选择证书。

2

在证书页面上找到证书。

3

单击删除。

4

删除过程完成后重新启动电话。

设置用户和管理员密码

在电话首次注册到呼叫控制系统或对电话执行出厂重置后，您必须设置用户名和管理员密码以增强电话的安全性。 只有设置了密码，您才能从电话网页提交更改。

默认情况下，电话上未启用密码警告。 当电话没有用户或管理员密码时，会显示以下警告：

  • 电话网页显示“没有提供管理员密码”。 网络处于只读模式，您无法提交更改。 请更改密码。”位于左上角。

    用户密码和管理员密码字段如果为空，将分别显示“未提供密码”警告。

  • 电话屏幕问题和诊断显示“未提供密码”问题。
1

访问电话管理网页

2

选择语音 > 系统。

3

（可选）在系统配置部分中，将显示密码警告参数设置为是，然后单击提交所有更改。

您还可以启用电话配置文件(cfg.xml)中的参数。

<Display_Password_Warnings ua="na">是</Display_Password_Warnings>

缺省 有

选项： 可／不可

设置为否时，密码警告不会出现在网页或电话屏幕上。 此外，即使密码为空，网页的仅就绪模式也不会激活。

4

找到参数用户密码或管理员密码，然后单击参数旁边的更改密码。

5

在旧密码字段中输入当前用户密码。

如果您没有密码，请将该字段留空。 缺省值为 3。
6

在密码字段中输入新密码。

7

单击提交。

消息密码已成功更改。将在网页中显示。 网页将在几秒钟后刷新。 参数旁边的警告将消失。

设置用户密码后，此参数在电话配置XML文件(cfg.xml)中显示以下内容：

<！-- <Admin_Password ua="na">;*************&lt；/Admin_Password> <User_Password ua="rw">;*************&lt；/User_Password> -->

如果您在尝试访问电话网页时收到403错误代码，则必须在电话配置文件(cfg.xml)中配置用户或管理员密码。 例如，在此格式中输入字符串：

<Admin_Password ua="na">P0ssw0rd_tes89</Admin_Password>

<User_Password ua="rw">Abc123</User_Password>

802.1X身份验证

Cisco IP电话支持802.1X身份验证。

Cisco IP电话和Cisco Catalyst交换机传统上使用Cisco Discovery协议(CDP)来互相识别，并确定诸如VLAN分配和内联电源要求等参数。 CDP不会识别本地连接的工作站。 Cisco IP电话提供EAPOL传递机制。 此机制允许连接到Cisco IP电话的工作站将EAPOL消息传递到LAN交换机上的802.1X验证器。 传递机制确保IP电话不作为LAN交换机在访问网络之前验证数据端点。

Cisco IP电话还提供代理EAPOL Logoff机制。 如果本地连接的PC从IP电话断开连接，LAN交换机不会看到物理链接失败，因为LAN交换机与IP电话之间的链接保持不变。 为了避免危及网络完整性，IP电话代表下游PC向交换机发送EAPOL-Logoff消息，这触发LAN交换机以清除下游PC的身份验证条目。

支持802.1X身份验证需要多个组件：

  • Cisco IP 电话 电话启动访问网络的请求。 Cisco IP电话包含一个802.1X求助器。 此请求允许网络管理员控制IP电话与LAN交换机的连接。 当前版本的802.1X电话请求者使用EAP-FAST和EAP-TLS选项进行网络验证。

  • 身份验证级别 身份验证服务器和交换机必须均使用可验证电话的共享秘密进行配置。

  • 切换。 交换机必须支持802.1X，因此可以充当身份验证器，并在电话和身份验证服务器之间传递消息。 交换完成后，交换机授予或拒绝电话访问网络。

必须执行以下操作才能配置802.1X。

  • 在电话上启用802.1X身份验证之前配置其他组件。

  • 配置PC端口： 802.1X标准不考虑VLAN，因此建议仅对特定交换机端口进行身份验证。 但是，一些交换机支持多域验证。 交换机配置决定您是否可以将PC连接到电话的PC端口。

    • 启用： 如果您使用支持多域身份验证的交换机，则可以启用PC端口并将PC连接到它。 在这种情况下，Cisco IP电话支持代理EAPOL-Logoff以监控交换机与所连接的PC之间的身份验证交换。

      有关Cisco Catalyst交换机上的IEEE 802.1X支持的更多信息，请参阅Cisco Catalyst交换机配置指南：

      http://www.cisco.com/en/US/products/ps10627/tsd_products_support_series_home.html

    • 禁用： 如果交换机不支持同一端口上的多个802.1X兼容的设备，则应在启用802.1X身份验证时禁用PC端口。 如果您未禁用此端口并尝试将其连接PC，交换机将拒绝对电话和PC的网络访问。

  • 配置语音VLAN： 由于802.1X标准不包含VLAN，您应根据交换机支持配置此设置。
    • 启用： 如果您使用支持多域身份验证的交换机，则可以继续使用语音VLAN。
    • 禁用： 如果交换机不支持多域验证，请禁用语音VLAN，并考虑将端口分配给本机VLAN。
  • （仅适用于Cisco Desk Phone 9800系列）

    Cisco Desk Phone 9800系列在PID中具有与其他Cisco电话不同的前缀。 要使您的电话通过802.1X身份验证，请将 Radius·用户名参数设置为包括Cisco Desk Phone 9800系列。

    例如，电话9841的PID为DP-9841；您可以将 Radius·用户名设为开始使用DP或包含DP。 您可以选择以下选项之一：

    • 政策 > 条件 > 库条件

    • 政策 > 政策集 > 授权政策 > 授权规则1

启用 LDAP 身份验证

启用802.1X身份验证时，电话使用802.1X身份验证请求网络访问。 当禁用了802.1X身份验证时，电话将使用Cisco Discovery协议(CDP)来获取VLAN和网络访问权限。 您还可以查看电话屏幕菜单上的事务状态和更改。

启用了802.1X身份验证时，您还可以选择设备证书（MIC/SUDI或自定义）进行初始注册和证书续订。 通常，MIC适用于Cisco Video Phone 8875，SUDI适用于Cisco Desk Phone 9800系列。 CDC只能在802.1x中用于身份验证。

1

执行以下操作之一以启用802.1X身份验证：

  • 在电话网络界面中，选择语音 > 系统并将启用802.1X验证参数设置为是。 然后单击提交所有更改。
  • 在配置文件(cfg.xml)中，以以下格式输入字符串：

    <Enable_802.1X_Authentication ua="rw">是</Enable_802.1X_Authentication>

    有效值： 可／不可

    缺省 不支持

  • 在电话上，按设置the Settings hard key，然后导航至网络和服务 > 安全设置 > 802.1X身份验证。 将设备验证字段切换到打开，然后选择应用。
表 2. 电话屏幕上的802.1X身份验证参数

参数

选项

缺省

描述

基本验证

开启

关闭

关闭

在电话上启用或禁用802.1X身份验证。

交易状态

已禁用

显示802.1X身份验证状态。 该州可以（不限于）：

  • 正在进行身份验证ߪ 表示身份验证流程正在进行。
  • 已验证 表示电话已验证。
  • 已禁用： 表示电话上已禁用802.1x身份验证。

协议

无

显示用于802.1X验证的EAP方法。 协议可以是EAP-FAST或EAP-TLS。

用户证书类型

已安装制造业

自定义已安装

已安装制造业

在初始注册和证书续订期间选择802.1X验证证书。

  • 已安装制造—使用已安装制造证书(MIC)和安全唯一设备标识符(SUDI)。
  • 自定义安装-使用自定义设备证书(CDC)。 这种类型的证书可以通过在电话网页上手动上传，也可以通过简单的证书注册协议(SCEP)服务器进行安装。

此参数仅在启用设备身份验证时出现在电话上。

2

在电话网页上为802.1X验证选择证书（MIC或自定义）。

  • 对于有线网络，选择语音 > 系统，从802.1X身份验证部分中的证书选择下拉列表中选择证书类型。

    您还可以在配置文件(cfg.xml)中配置此参数：

    <Certificate_Select ua="rw">自定义安装</Certificate_Select>

    有效值： 已安装制造业|自定义安装

    缺省 已安装制造业

  • 对于无线网络，选择语音 > 系统，从Wi-Fi配置文件1部分中的证书选择下拉列表中选择证书类型。

    您还可以在配置文件(cfg.xml)中配置此参数：

    <Wi-Fi_Certificate_Select_1_ ua="rw">自定义安装</Wi-Fi_Certificate_Select_1_>

    有效值： 已安装制造业|自定义安装

    缺省 已安装制造业

有关如何在电话屏幕上选择证书类型的详细信息，请参阅将电话连接到Wi-Fi网络。

为媒体平面安全谈判启用客户端发起模式

要保护媒体会话，您可以配置电话以启动与服务器的媒体平面安全谈判。 安全机制遵循RFC 3329及其扩展草案“媒体安全机制名称”（请参阅https：//tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2）中规定的标准。 电话和服务器之间的谈判传输可以通过UDP、TCP和TLS使用SIP协议。 您可以限制仅在信号传输协议为TLS时应用媒体平面安全协商。

1

访问电话管理网页。

2

选择语音 > 分机(n)。

3

在 SIP设置部分中，设置下表中定义的MediaSec Request和MediaSec Over TLS字段：

表 93. 媒体平面安全谈判参数
参数描述

MediaSec请求

指定电话是否与服务器启动媒体平面安全谈判。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <MediaSec_Request_1_ ua="na">是</MediaSec_Request_1_>
  • 在电话网络界面中，根据需要将此字段设置为是或否。

可使用的值 可／不可

  • 是—客户发起模式。 电话启动媒体飞机安全谈判。
  • 否—服务器启动模式。 服务器启动媒体平面安全谈判。 电话不会启动谈判，但可以处理来自服务器的谈判请求以建立安全的呼叫。

缺省 不支持

仅通过TLS的MediaSec

指定应用媒体平面安全谈判的信号传输协议。

将此字段设置为是之前，请确保信号传输协议为TLS。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <MediaSec_Over_TLS_Only_1_ ua="na">无</MediaSec_Over_TLS_Only_1_>

  • 在电话网络界面中，根据需要将此字段设置为是或否。

可使用的值 可／不可

  • 是—只有当信号传输协议为TLS时，电话才会启动或处理媒体平面安全谈判。
  • 否—无论信号传输协议如何，电话都会启动并处理媒体平面安全谈判。

缺省 不支持

4

单击 Submit Changes（提交更改）。

WLAN安全

由于位于范围内的所有WLAN设备都可以接收所有其他的WLAN流量，因此在WLAN中保护语音通信至关重要。 为了确保入侵者不会操纵或拦截语音流量，Cisco SAFE安全架构支持电话。 有关网络安全的更多信息，请参阅http：//www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco Wireless IP电话解决方案提供无线网络安全，通过使用电话支持的以下身份验证方法，防止未经授权的登录和受损通信：

  • 无验证 任何无线设备都可以在打开的系统中请求身份验证。 接收请求的AP可授予任何请求者身份验证，或仅授予用户列表中的请求者。 无线设备和接入点(AP)之间的通信可能是非加密的。

  • 可扩展验证协议-通过安全隧道(EAP-FAST)验证灵活验证： 此客户端-服务器安全架构对AP和RADIUS服务器之间的传输级安全(TLS)隧道中的EAP事务加密，例如身份服务引擎(ISE)。

    TLS隧道使用受保护访问凭证(PAC)在客户端（电话）和RADIUS服务器之间进行身份验证。 服务器向客户端（电话）发送授权ID（援助），客户端（电话）然后选择适当的PAC。 客户端（电话）向RADIUS服务器返回不透明的PAC。 服务器使用主密钥解密PAC。 两个端点现在都包含PAC密钥，并创建TLS隧道。 EAP-FAST支持自动PAC配置，但您必须在RADIUS服务器上启用它。

    在ISE中，默认情况下，PAC将在一周内到期。 如果电话的PAC已过期，当电话获得新的PAC时，使用RADIUS服务器进行身份验证需要更长时间。 为了避免PAC配置延迟，在ISE或RADIUS服务器上将PAC到期时间设置为90天或以上。

  • 可扩展验证协议-传输层安全(EAP-TLS)验证： EAP-TLS需要客户端证书进行身份验证和网络访问。 对于无线EAP-TLS，客户端证书可以是MIC、LSC或用户安装的证书。

  • 受保护的可扩展身份验证协议(PEAP)： 客户端（电话）和RADIUS服务器之间基于思科专有密码的相互验证方案。 电话可以使用PEAP与无线网络进行身份验证。 支持PEAP-MSCHAPV2和PEAP-GTC验证方法。

  • 预共享密钥(PSK)： 电话支持ASCII格式。 在设置WPA/WPA2/SAE预共享密钥时必须使用此格式：

    ASCII： 长度为8至63个字符的ASCII字符串（0-9、小写和大写字母A-Z以及特殊字符）

    例如： GREG123567@9ZX&W

以下身份验证方案使用RADIUS服务器管理身份验证密钥：

  • wpa/wpa2/wpa3： 使用RADIUS服务器信息生成用于身份验证的独特密钥。 由于这些密钥是在集中式RADIUS服务器上生成，WPA2/WPA3比存储在AP和电话上的WPA预共享密钥提供更多的安全性。

  • 快速安全漫游： 使用RADIUS服务器和无线域服务器(WDS)信息来管理和验证密钥。 WDS为启用FT的客户端设备创建安全凭证缓存，以便快速安全地重新验证。 Cisco Desk Phone 9861和9871以及Cisco Video Phone 8875支持802.11r (FT)。 空中和DS上都支持快速安全的漫游。 但我们强烈建议使用802.11r (FT)而不是空气方法。

使用WPA/WPA2/WPA3，加密密钥不会在电话上输入，而是在AP和电话之间自动导出。 但是，必须在每个电话上输入用于身份验证的EAP用户名和密码。

为确保语音流安全，电话支持TKIP和AES进行加密。 当使用这些机制进行加密时，信号SIP数据包和语音实时传输协议(RTP)数据包都在AP和电话之间进行加密。

特基普

WPA使用TKIP加密，比WEP有几个改进。 TKIP提供每包密钥密码和更长的初始化向量(IV)，以加强加密。 此外，消息完整性检查(MIC)可确保加密数据包不被更改。 TKIP消除了帮助入侵者破解WEP密钥的WEP可预测性。

AES

用于WPA2/WPA3验证的加密方法。 此国家加密标准使用一种对称算法，该算法具有相同的加密和解密密钥。 AES使用128位大小的CBC加密功能，支持至少128位、192位和256位密钥大小。 电话支持256位键大小。

Cisco Desk Phone 9861和9871以及Cisco Video Phone 8875不支持带有CMIC的CISCO密钥完整性协议(CKIP)。

在无线LAN中设置了身份验证和加密方案。 VLAN在网络和AP上配置，并指定不同身份验证和加密组合。 具有VLAN和特定身份验证和加密方案的SSID员工。 要成功验证无线客户端设备，您必须在AP和电话上使用其身份验证和加密方案配置相同的SSID。

某些身份验证方案需要特定类型的加密。

  • 当您使用WPA预共享密钥、WPA2预共享密钥或SAE时，必须在电话上静态设置预共享密钥。 这些密钥必须与AP上的密钥匹配。

  • 电话支持FAST或PEAP的自动EAP协商，但不支持TLS。 对于EAP-TLS模式，您必须指定它。

下表中的身份验证和加密方案显示了与AP配置对应的电话的网络配置选项。

表 94. 身份验证和加密方案
FSR类型身份验证用户管理加密受保护管理框架(PMF)
802.11r (FT)PSK

WPA-PSK

wpa-psk-sha

普斯克

AES不支持
802.11r (FT)WPAD

萨伊

富士多德

AES有
802.11r (FT)EAP-TLS

wpa-eap

ft-eap

AES不支持
802.11r (FT)eap-tls (wpa3)

wpa-eap-sha

ft-eap

AES有
802.11r (FT)EAP-FAST

wpa-eap

ft-eap

AES不支持
802.11r (FT)eap-fast (wpa3)

wpa-eap-sha

ft-eap

AES有
802.11r (FT)Eap-peap

wpa-eap

ft-eap

AES不支持
802.11r (FT)eap-peap (wpa3)

wpa-eap-sha

ft-eap

AES有

设置Wi-Fi配置文件

您可以从电话网页或远程设备配置文件重新同步配置Wi-Fi配置文件，然后将该配置文件关联到可用的Wi-Fi网络。 您可以使用此Wi-Fi配置文件连接到Wi-Fi。 目前，只能配置一个Wi-Fi配置文件。

配置文件包含电话连接到Wi-Fi电话服务器所需的参数。 当您创建和使用Wi-Fi配置文件时，您或您的用户不需要为单个电话配置无线网络。

Wi-Fi配置文件使您能够防止或限制用户对电话上的Wi-Fi配置所做的更改。

我们建议您在使用Wi-Fi配置文件时使用带有启用加密协议的安全配置文件，以保护密钥和密码。

当您设置电话以在安全模式中使用EAP-FAST验证方法时，您的用户需要单独的凭据才能连接到接入点。

1

访问电话网页。

2

选择语音 > 系统。

3

在 Wi-Fi配置文件(n) 部分中，按照下表 Wi-Fi配置文件参数中的描述设置参数。

Wi-Fi配置文件配置也可用于用户登录。
4

单击 Submit Changes（提交更改）。

Wi-Fi配置文件的参数

下表定义了电话网页的系统标签页下的Wi-Fi配置文件(n)部分中每个参数的功能和使用情况。 它还定义了在电话配置文件(cfg.xml)中添加的字符串的语法，以配置参数。

参数描述
网络名称允许您输入将显示在电话上的SSID的名称。 多个配置文件可以使用不同的安全模式具有相同的网络名称。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <Network_Name_1_ ua="rw">cisco</Network_Name_1_>

  • 在电话网页中，输入SSID的名称。

缺省 空

安全模式允许您选择用于安全访问Wi-Fi网络的身份验证方法。 根据您所选择的方法，会显示一个密码字段，以便您提供加入此Wi-Fi网络所需的凭据。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <Security_Mode_1_ ua="rw">EAP-TLS</Security_Mode_1_> <！--可用的选项： 自动|EAP-FAST|||PSK||无|EAP-PEAP|EAP-TLS -->

  • 在电话网页中，选择一种方法：
    • 自动
    • EAP-FAST
    • PSK
    • 无
    • Eap-peap
    • EAP-TLS

缺省 自动

Wi-Fi用户ID支持您输入网络配置文件的用户 ID。

将安全模式设置为Auto、EAP-FAST或EAP-PEAP时，此字段可用。 此字段为必填字段，最大长度为32个字母数字字符。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <Wi-Fi_User_ID_1_ua="rw"></Wi-Fi_User_ID_1_>

  • 在电话网页中，输入网络配置文件的用户ID。

缺省 空

Wi-Fi密码允许您输入指定的Wi-Fi用户ID的密码。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <Wi-Fi_Password_1_ ua="rw"></Wi-Fi_Password_1_>

  • 在电话网页中，输入您添加的用户ID的密码。

缺省 空

频段允许您选择WLAN使用的无线信号频段。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <Frequency_Band_1_ ua="rw">自动</Frequency_Band_1_>

  • 在电话网页中，选择其中一个选项：
    • 自动
    • 2.4 GHz
    • 5 GHz

缺省 自动

所选的证书：允许您在无线网络中选择证书初始注册和证书续订的证书类型。 此过程仅适用于802.1X身份验证。

执行以下任务之一：

  • 在XML(cfg.xml)的电话配置文件中，在此格式中输入字符串：

    <Certificate_Select_1_ ua="rw">已安装制造</Certificate_Select_1_>

  • 在电话网页中，选择其中一个选项：
    • 已安装制造业
    • 自定义已安装

缺省 已安装制造业