感谢您的反馈。

安全功能可防范威胁，包括对电话身份或数据造成的威胁。 这些功能会建立和维持电话与 Cisco Unified Communications Manager 服务器之间经验证的通讯流，并确保电话只使用数字签名的文件。

默认情况下，Cisco Unified Communications Manager 8.5(1) 版及更高版本包括安全性，这可为 Cisco IP 电话提供以下安全功能（无需运行 CTL 客户端）：

• 电话配置文件签名

• 电话配置文件加密

• Tomcat 和其他 Web 服务的 HTTPS

在 Cisco Unified Communications Manager 系统中实施安全性，防止电话和 Cisco Unified Communications Manager 服务器的身份被窃、防止数据被篡改以及防止呼叫信令和媒体流被篡改。

要减轻这些威胁，Cisco IP 电话网络在电话与服务器之间建立和维护安全（加密的）通信流，以数字方式签名这些文件，然后将其传输到电话，并加密 Cisco IP 电话媒体流和呼叫信令。

本地有效证书 (LSC) 会在您执行与证书权限代理功能 (CAPF) 关联的必要任务后安装在电话上。 您可以使用 Cisco Unified Communications Manager Administration 配置 LSC，如 Cisco Unified Communications Manager 安全指南 中所述。 或者，您可以从电话的“安全 ” 菜单中启动 LSC 的安装。 此菜单还可用于更新或移除 LSC。

电话使用电话安全性配置文件，该文件定义设备为不安全还是安全。 有关将安全性配置文件应用到电话的信息，请参阅特定 Cisco Unified Communications Manager 版本的文档。

如果您在 Cisco Unified Communications Manager Administration 中配置了安全相关的设置，电话配置文件将包含敏感信息。 为确保配置文件的私密性，您必须将其配置为加密。 有关详细信息，请参阅特定 Cisco Unified Communications Manager 版本的文档。

下表列出了电话支持的安全功能。 有关详细信息，请参阅特定 Cisco Unified Communications Manager 版本的文档。

下表包含信任列表更新警报消息和含义。 有关详细信息，请参阅 Cisco Unified Communications Manager 文档。

当为电话实施安全性时，可通过电话屏幕上的图标来识别安全电话呼叫。 如果在呼叫开始时播放安全音，则也可确定连接的电话是否安全并获得保护。

在安全呼叫中，所有呼叫信令和媒体流都会加密。 安全呼叫提供高级安全性，确保呼叫的完整性和私密性。 当呼叫进行中被加密时，您可以看到安全图标 在线上。

在 Cisco Unified Communications Manager 中，可以为配置为安全（加密和受信任）的电话分配受保护状态。 一旦受到保护，这些设备就可以配置为在每次呼叫开始时播放安全提示音。

• 受保护的设备：

  要将安全电话的状态更改为受保护：

  1. 在 Cisco Unified Communications Manager Administration 中，选择 设备 > 电话。
  2. 找到您要设置的电话。
  3. 在电话配置窗口中，选中 受保护的设备 复选框。
  4. 单击保存。

• 播放安全指示音：

  要使受保护电话能够播放安全或不安全的指示音：

  1. 在 Cisco Unified Communications Manager Administration 中，选择 系统 > 服务参数。
  2. 选择服务器，然后选择 Cisco CallManager 服务。
  3. 在 群集范围参数（功能 - 安全声音） 区域中，将“用于指示安全/不安全呼叫状态 的播放声音” 设置为 True。
  4. 单击保存。

由于范围内的所有 WLAN 设备均可接收所有其他 WLAN 流量，因此安全语音通信在 WLAN 中至关重要。 为了确保入侵者不会操纵或拦截语音流量，Cisco SAFE 安全体系结构支持电话。 有关网络安全性的更多信息，请参阅 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 无线 IP 电话解决方案提供无线网络安全性，通过使用电话支持的以下身份验证方法防止未经授权的登录和通信受损。

• 开放式验证：任何无线设备均可在开放式系统中请求验证。 收到请求的 AP 可允许任何请求方或仅允许用户列表中找到的请求方进行验证。 无线设备和接入点（AP）之间的通信可能未加密。

• 可扩展身份验证协议 - 通过安全隧道（EAP-FAST）身份验证进行灵活身份验证：此客户端 - 服务器安全体系结构加密 AP 和 RADIUS 服务器（如身份服务引擎（ISE））之间的传输级别安全性（TLS）隧道内的 EAP 事务。

  TLS 隧道使用受保护的访问凭证 (PAC) 进行客户端（电话）与 RADIUS 服务器之间的验证。 服务器将授权 ID (AID) 发送给客户端（电话），后者会选择适当的 PAC。 客户端（电话）将返回 PAC - 对 RADIUS 服务器不透明。 服务器通过主密钥解密 PAC。 现在，两个终端均包含 PAC 密钥，且 TLS 隧道已创建。 EAP-FAST 支持自动 PAC 部署，但您必须在 RADIUS 服务器上启用该功能。

  在 ISE 中，默认情况下，PAC 将在一周后过期。 如果电话有过期的 PAC，则电话获取新 PAC 时，与 RADIUS 服务器的验证要花较长的时间。 为避免 PAC 部署延迟，在 ISE 或 RADIUS 服务器上，将 PAC 过期期限设置为 90 天或更长时间。

• 可扩展身份验证协议-传输层安全 (EAP-TLS) 验证：EAP-TLS 需要客户端证书用于身份验证和网络访问。 对于无线 EAP-TLS，客户端证书可以是 MIC, LSC, 或用户安装的证书。

• 受保护的可扩展验证协议 (PEAP)：客户端（电话）与 RADIUS 服务器之间 Cisco 专有的、基于密码的相互验证方案。 电话可以使用 PEAP 进行无线网络身份验证。 支持 PEAP-MSCHAPV2 和 PEAP-GTC 验证方法。

• 预共享密钥（PSK）：电话支持 ASCII 和十六进制（HEX）格式。 设置 WPA2/SAE 预共享密钥时，必须使用这些格式。

  ASCII：长度为 8 到 63 个字符（0-9、小写 a-z、大写 A-Z 和特殊字符）的 ASCII 字符串。 例如， GREG123567@9ZX&W。

  HEX：长度为 64 个十六进制数字（0-9、a-f 或 A-F）的十六进制字符串。

以下验证方案使用 RADIUS 服务器管理验证密钥：

• WPA2/WPA3：使用 RADIUS 服务器信息生成唯一的密钥进行验证。 由于这些密钥在中央 RADIUS 服务器生成，因此 WPA2/WPA3 提供比存储在 AP 和电话上的 WPA 预共享密钥更高的安全性。

• 快速安全漫游：使用 RADIUS 服务器和无线域服务器 (WDS) 信息管理和验证密钥。 WDS 为启用 FT 的客户端设备创建安全凭据缓存，以便快速安全地重新进行身份验证。

使用 WPA2/WPA3，加密密钥不会在电话上输入，而是在 AP 和电话之间自动派生。 但必须在每部电话上输入用于验证的 EAP 用户名和密码。

为了帮助保护无线链路上的语音流量，电话支持基于 AES 的加密进行 WPA2/WPA3 身份验证。 AES 是由 NIST 标准化的对称分组密码。 AES 使用固定的 128 位块大小，并支持 128 位、192 位和 256 位的密钥大小。 在 Wi-Fi 网络中，AES 由 CCMP 或 GCMP 等密码套件使用，而身份验证由 PSK、SAE 或 802.1X/EAP 单独提供，具体取决于配置的 WLAN 安全模式。 支持的密码套件和密钥大小取决于电话型号和 WLAN 配置。

当电话使用 AES 加密时，信令 SIP 数据包和语音实时传输协议（RTP）数据包在 AP 和电话之间加密。

验证和加密方案在无线 LAN 内设置。 VLAN 在网络和 AP 中配置，指定验证和加密的不同组合。 SSID 与 VLAN 以及特定验证和加密方案关联。 要使无线客户端设备成功进行身份验证，您必须在 AP 和电话上配置相同的 SSID 及其身份验证和加密方案。

某些验证方案需要特定类型的加密。

下表中的身份验证和加密方案显示了对应于 AP 配置的 Cisco 无线电话 9821 的网络配置选项。

Cisco 无线电话 9821 支持有线网络的 802.1X 身份验证。 这通常在自动配置 期间 使用，当电话通过支持的 USB 转以太网适配器连接到桌面充电器时。

在有线网络上支持 802.1X 身份验证需要以下几个组件：

• Cisco IP 电话：电话会发起访问网络的请求。 Cisco IP 电话包含 802.1X 请求方。 网络管理员可以通过此请求方控制 IP 电话至 LAN 交换机端口的连接。 电话 802.1X 请求方的最新版本使用 EAP-FAST 和 EAP-TLS 选项进行网络验证。

• 身份验证服务器：身份验证服务器和交换机都必须配置 RADIUS 共享密钥。

• 交换机：交换机必须支持 802.1X，因此它可以充当身份验证器并在电话和身份验证服务器之间中继 EAP 消息。 在交换完成后，交换机会授予或拒绝电话访问网络的权限。

Cisco IP 电话和 Cisco Catalyst 交换机过去使用 Cisco Discovery Protocol (CDP) 来识别彼此并确定 VLAN 分配和线内电源要求等参数。

您必须执行以下操作来配置 802.1X。

• 配置 CDP/LLDP 语音 VLAN 绕过。

• 在为电话上的有线网络启用 802.1X 身份验证之前，请先配置身份验证服务器和交换机。

• 配置语音 VLAN：由于 802.1X 标准不考虑 VLAN，应根据交换机支持来配置此设置。

  • 已启用：如果您使用的是支持多域身份验证的交换机，则可以将其配置为使用语音 VLAN。
  • 禁用：如果交换机不支持多域验证，则禁用语音 VLAN 并考虑将此端口分配给本机 VLAN。

• Cisco 无线电话 9821 在 PID 中的前缀与其他 Cisco 电话的前缀不同。 要使您的电话通过 802.1X 身份验证，请设置 Radius· 用户名参数，用于包含您的 Cisco 无线电话 9821。

  例如，Cisco 无线电话 9821 的 PID 是 WP-9821。 您可以设置 半径·用户名以 WP 开头 或 包含 WP 在以下两个 部分中：

  • 政策 > 条件 > 库条件

  • 策略 > 策略集 > 授权策略 > 授权规则 1