9800/8875 上的 Cisco IP 电话安全 (Unified CM)

您可以启用Cisco Unified Communications Manager在增强的安全环境中运行。通过这些增强功能，您的电话网络在一系列严格的安全和风险管理控制下运行，以保护您和您的用户。

增强的安全环境包括以下功能：

联系人搜索身份验证（仅适用于自定义目录）
TCP 作为远程审计日志记录的默认协议
FIPS 模式
改进的凭证政策
支持用于数字签名的 SHA-2 哈希系列
支持大小为 512 位和 4096 位的 RSA 密钥

在 14.0 Cisco Unified Communications Manager 版和 Cisco 视频电话固件版本 2.1 及更高版本中，电话支持 SIP OAuth 身份验证。

Cisco Unified Communications Manager版本 14.0 (1) SU1 或更高版本的代理简单文件传输协议 (TFTP) 支持 OAuth。移动设备 Remote Access (MRA) 不支持代理 TFTP 和代理 TFTP 的 OAuth。

有关安全性的其他信息，请参阅以下内容：

14.0 (1) 或更高版本 (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-installation-and-configuration-guides-list.html) 的《系统配置指南》。Cisco Unified Communications Manager
Cisco Unified Communications Manager(https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-maintenance-guides-list.html) 安全指南

您的手机只能存储有限数量的身份信任列表 (ITL) 文件。手机上的 ITL 文件不能超过 64K，因此请限制Cisco Unified Communications Manager发送到手机的文件数量。

支持的安全功能

安全功能可防范威胁，包括对手机身份和数据的威胁。这些功能在电话和Cisco Unified Communications Manager服务器之间建立和维护经过身份验证的通信流，并确保电话仅使用数字签名的文件。

Cisco Unified Communications Manager版本 8.5 (1) 及更高版本默认包含安全功能，它在不运行 CTL 客户端的情况下为 Cisco IP 电话提供以下安全功能：

签署电话配置文件
电话配置文件加密
使用 Tomcat 和其他 Web 服务的 HTTPS

安全信令和媒体功能仍然需要您运行 CTL 客户端并使用硬件 eTokens。

在Cisco Unified Communications Manager系统中实现安全性可防止电话和Cisco Unified Communications Manager服务器的身份盗用，防止数据篡改，并防止呼叫信令和媒体流篡改。

为了缓解这些威胁，Cisco IP 电话网络在电话和服务器之间建立和维护安全（加密）通信流，在文件传输到电话之前对其进行数字签名，并对 Cisco IP 电话之间的媒体流和呼叫信令进行加密。

在您执行与Certificate Authority代理功能 (CAPF) 相关的必要任务后，本地有效证书 (LSC) 将安装在手机上。您可以使用Cisco Unified Communications Manager Administration来配置 LSC，如Cisco Unified Communications Manager安全指南中所述。或者，您可以从手机上的 “安全设置” 菜单启动 LSC 的安装。此菜单还允许您更新或删除 LSC。

从 PhoneOS 3.2 版本开始，LSC 可用作具有 WLAN 身份验证的 EAP-TLS 的用户证书。

电话使用电话安全配置文件，该配置文件定义设备是非安全还是不安全。有关将安全配置文件应用于电话的信息，请参阅特定Cisco Unified Communications Manager版本的文档。

如果您在中配置与安全相关的设置Cisco Unified Communications Manager Administration，则电话配置文件包含敏感信息。为确保配置文件的私密性，您必须将其配置为加密。有关详细信息，请参阅您的特定Cisco Unified Communications Manager版本的文档。

该电话符合联邦信息处理标准 (FIPS)。要正常运行，FIPS 模式要求密钥大小为 2048 位或更大。如果证书小于 2048 位，则电话将无法注册Cisco Unified Communications Manager，电话注册失败。手机上显示的证书密钥大小不符合 FIPS 标准。

如果电话有 LSC，则在启用 FIPS 之前，您需要将 LSC 密钥大小更新到 2048 位或更大。

下表概述了电话支持的安全功能。有关详细信息，请参阅特定 Cisco Unified Communications Manager 版本的文档。

要查看安全模式，请按设置设置硬键并导航到网络和服务 > 安全设置。

表 1。安全功能概述
功能	描述
图像验证	签名的二进制文件可防止在将镜像加载到手机之前篡改固件映像。篡改图像会导致手机无法通过身份验证过程并拒绝新图像。
客户现场证书安装	每部 Cisco IP 电话都需要一个唯一的证书才能进行设备身份验证。电话包含制造商安装的证书 (MIC)，但为了提高安全性，您可以使用Certificate Authority代理功能 (CAPF) 在中Cisco Unified Communications Manager Administration指定证书安装。或者，您可以从电话上的 “安全配置” 菜单安装本地有效证书 (LSC)。
设备验证	当每个实体接受另一个实体的证书时，Cisco Unified Communications Manager服务器和电话之间会发生。确定是否Cisco Unified Communications Manager 应在电话和之间建立安全连接；如有必要，使用 TLS 协议在实体之间创建安全的信令路径。 Cisco Unified Communications Manager除非可以对手机进行身份验证，否则不会注册手机。
文件身份验证	验证手机下载的数字签名文件。手机会验证签名以确保文件创建后没有发生文件篡改。身份验证失败的文件不会写入手机的闪存。手机未经进一步处理就拒绝此类文件。
文件加密	加密可防止在文件传输到手机时泄露敏感信息。此外，手机会验证签名，以确保文件创建后不会发生文件篡改。身份验证失败的文件不会写入手机的闪存。手机未经进一步处理就拒绝此类文件。
信令验证	使用 TLS 协议来验证在传输过程中没有对信令数据包进行篡改。
制造业安装证书	每部 Cisco IP 电话都包含一个唯一的制造安装证书 (MIC) ，用于设备身份验证。 MIC 为手机提供永久的唯一身份证明，并允许Cisco Unified Communications Manager对电话进行身份验证。
媒体加密	使用 SRTP 来确保所支持设备之间的媒体流是安全的，并且只有目标设备才能接收和读取数据。包括为设备创建媒体主密钥对、向设备传送密钥以及在密钥传输期间保护密钥的交付。
CAPF（Certificate Authority代理函数）	实现证书生成过程中对电话来说处理量过大的部分，并与电话交互以生成密钥和安装证书。可以将 CAPF 配置为代表电话向客户指定的证书颁发机构申请证书，也可以将其配置为在本地生成证书。支持 EC（椭圆曲线）和 RSA 密钥类型。要使用 EC 密钥，请确保启用 “端点高级加密算法支持” 参数（来自系统 > 企业参数）。有关 CAPF 和相关配置的更多信息，请参阅以下文档： Cisco Unified Communications Manager 安全指南 CUCM 第三方 CA 签名的 LSC 生成和导入配置示例通过 CAPF Online CA 配置自动证书注册和续订
安全档案	定义电话是非安全的、经过身份验证的、加密的还是受保护的。此表中的其他条目描述了安全功能。
加密配置文件	允许您确保电话配置文件的隐私。
可选 Web 服务器禁用手机	出于安全考虑，您可以阻止访问电话（显示电话的各种操作统计信息）和 Self Care Portal 的网页。
手机强化	其他安全选项，您可以通过以下方式进行控制Cisco Unified Communications Manager Administration：禁用 PC 端口禁用免费 ARP (GARP) 禁用 PC 语音 VLAN 访问禁用对 “设置” 菜单的访问权限或提供受限访问权限禁用电话访问网页禁用蓝牙配件端口限制 TLS 密码
802.1x 验证	思科 IP 电话可以使用 802.1X 身份验证来请求和访问网络。有关更多信息，请参阅 802.1X 身份验证。
SRST 的安全 SIP 故障转移	为安全配置可存活的远程站点电话 (SRST) 参考并在中重置依赖设备后Cisco Unified Communications Manager Administration，TFTP 服务器将 SRST 证书添加到电话 cnf.xml 文件并将该文件发送到电话文件并将该文件发送到电话。然后，安全电话使用 TLS 连接与支持 SRST 的路由器进行交互。
信令加密	确保在设备和 Cisco Unified Communications Manager服务器之间发送的所有 SIP 信令消息都经过加密。
信任列表更新警报	当手机上的信任列表更新时，会Cisco Unified Communications Manager收到警报，指示更新成功或失败。有关更多信息，请参阅下表。
AES 256 加密	当连接到 10.5 (2) 及更高Cisco Unified Communications Manager版本时，电话支持 AES 256 加密支持 TLS，支持 SIP 进行信令和媒体加密。这使电话能够使用基于 AES-256 的密码启动和支持 TLS 1.2 连接，这些密码符合 SHA-2（安全哈希算法）标准且符合联邦信息处理标准 (FIPS)。密码包括：对于 TLS 连接： TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 对于 sRTP： AEAD_AES_256_GCM AEAD_AES_128_GCM 有关更多信息，请参阅Cisco Unified Communications Manager 文档。
椭圆曲线数字签名算法 (ECDSA) 证书	作为通用标准 (CC) 认证的一部分，Cisco Unified Communications Manager; 在版本 11.0 中添加了 ECDSA 证书。这会影响所有运行 CUCM 11.5 及更高版本的语音操作系统 (VOS) 产品。
多服务器 (SAN) Tomcat 证书 Cisco UCM	电话支持配置了多服务器（SAN）Tomcat 证书的 Cisco UCM。正确的 TFTP 服务器地址可以在电话 ITL 文件中找到，用于电话注册。有关该功能的更多信息，请参阅以下内容：如何使用 Cisco UCM 配置多服务器（SAN）Tomcat 证书 Cisco Unified Communications Manager 安全指南

下表包含信任列表更新警报消息和含义。有关更多信息，请参阅Cisco Unified Communications Manager 文档。

表 2.信任列表更新警报消息
代码和消息	描述
1 - TL_SUCCESS	收到了新的 CTL 和/或 ITL
2 - CTL_INITIAL_SUCCESS	收到了新的 CTL，没有现有 TL
3 - ITL_INITIAL_SUCCESS	收到了新的 ITL，没有现有 TL
4 - TL_INITIAL_SUCCESS	收到了新的 CTL 和 ITL，没有现有 TL
5 - TL_FAILED_OLD_CTL	更新到新 CTL 失败，但之前有 TL
6 - TL_FAILED_NO_TL	更新到新 TL 失败，没有旧 TL
7 - TL_FAILED	一般性故障
8 - TL_FAILED_OLD_ITL	更新到新 ITL 失败，但之前有 TL
9 - TL_FAILED_OLD_TL	更新到新 TL 失败，但之前有 TL

“ 安全设置” 菜单提供有关各种安全设置的信息。该菜单还提供对 “信任列表” 菜单的访问权限，并指示 CTL 还是 ITL 文件已安装在电话上。

下表介绍了 “安全设置” 菜单中的选项。

表 3.安全设置菜单
选项	描述	要改变
安全模式	显示为电话设置的安全模式。	在 Cisco Unified Communications Manager 管理中，选择设备 > 电话。该设置显示在 “电话配置” 窗口的 “ 协议特定信息” 部分。
LSC	指明用于安全功能的本地重要证书是安装在手机上（已安装）还是未安装在手机上（未安装）。	有关如何管理手机的 LSC 的信息，请参阅您的特定Cisco Unified Communications Manager版本的文档。

设置本地有效证书 (LSC)

此任务适用于使用身份验证字符串方法设置 LSC。

准备工作

确保相应Cisco Unified Communications Manager的Certificate Authority代理功能 (CAPF) 安全配置已完成：

CTL 或 ITL 文件具有 CAPF 证书。
在 “Cisco Unified Communications Operating System管理” 中，验证 CAPF 证书是否已安装。
CAPF 正在运行并已配置。

有关这些设置的更多信息，请参阅您的特定Cisco Unified Communications Manager版本的文档。

1	获取配置 CAPF 时设置的 CAPF 身份验证码。
2	在电话上，按设置.
3	如果出现提示，请输入密码访问设置菜单。您可以从管理员获取密码。
4	导航到网络和服务 > 安全设置 > LSC。您可以使用中的 “设置访问权限” 字段来控制对 “设置” 菜单的访问权限Cisco Unified Communications Manager Administration。
5	输入身份验证字符串并选择提交。电话开始安装、更新或删除 LSC，具体取决于 CAPF 的配置方式。该过程完成后，手机上会显示 “已安装” 或 “未安装”。 LSC 的安装、更新或删除过程可能需要很长时间才能完成。电话安装过程成功后，将显示 “ `已安装`” 消息。如果电话显示 “ `未安装`”，则授权字符串可能不正确或未启用电话升级。如果 CAPF 操作删除了 LSC，则电话会显示 “`未安装`” 以表明操作成功。 CAPF 服务器记录错误消息。请参阅 CAPF 服务器文档以查找日志并了解错误消息的含义。

启用 FIPS 模式

1	在 Cisco Unified Communications Manager 管理中，依次选择设备 > 电话，然后找到相应的电话。
2	导航到 “产品特定配置” 区域。
3	将 FIPS 模式字段设置为启用。
4	选择保存。
5	选择应用配置。
6	重新启动电话。

关闭电话上的扬声器、头戴式耳机和听筒

您可以选择为用户永久关闭电话上的免提电话、头戴式耳机和听筒。

1	在 Cisco Unified Communications Manager 管理中，依次选择设备 > 电话，然后找到相应的电话。
2	导航到 “产品特定配置” 区域。
3	选中以下一个或多个复选框以关闭电话的功能：禁用免持话筒禁用免持话筒和头戴式耳机禁用手机默认情况下，这些复选框处于未选中状态。
4	选择保存。
5	选择应用配置。

802.1x 验证

Cisco IP 电话支持 802.1X 验证。

Cisco IP 电话和 Cisco Catalyst 交换机过去使用 Cisco Discovery Protocol (CDP) 来识别彼此并确定 VLAN 分配和线内电源要求等参数。 CDP 不识别本地连接的工作站。 Cisco IP 电话提供 EAPOL 传递机制。利用此机制，连接至 Cisco IP 电话的工作站会将 EAPOL 消息传递给 LAN 交换机处的 802.1X 验证器。该传递机制可确保，在访问网络前 IP 电话不会充当 LAN 交换机来验证数据终端。

Cisco IP 电话还提供代理 EAPOL 注销机制。如果本地连接的 PC 与 IP 电话断开，LAN 交换机看不到物理链路失效，因为保持了 LAN 交换机与 IP 电话之间的链路。为了避免损害网络完整性，IP 电话会代表下游 PC 向交换机发送一则 EAPOL 注销的消息，这会触发 LAN 交换机清除下游 PC 的验证条目。

对 802.1X 验证的支持需要多个组件：

Cisco IP 电话：电话会发起访问网络的请求。 Cisco IP 电话包含 802.1X 请求方。网络管理员可以通过此请求方控制 IP 电话至 LAN 交换机端口的连接。电话 802.1X 请求方的最新版本使用 EAP-FAST 和 EAP-TLS 选项进行网络验证。
身份验证服务器：身份验证服务器和交换机都必须配置用于对电话进行身份验证的共享密钥。
交换机：交换机必须支持 802.1X，这样它才能充当验证器，并在电话和验证服务器之间传递消息。在交换完成后，交换机会授予或拒绝电话访问网络的权限。

您必须执行以下操作来配置 802.1X。

在电话上启用 802.1X 验证前配置其他组件。
配置 PC 端口：802.1X 标准不会考虑 VLAN，因此建议只验证连接至特定交换机端口的单个设备。但是，某些交换机支持多域验证。交换机配置决定是否可以将 PC 连接至电话的 PC 端口。
- 启用：如果您使用的是支持多域验证的交换机，可以启用 PC 端口并将 PC 连接至该端口。在此情况下，Cisco IP 电话支持代理 EAPOL 注销，来监控交换机与所连 PC 之间的验证交换。
  
  有关 Cisco Catalyst 交换机上支持 IEEE 802.1X 的详细信息，请参阅位于以下网址的 Cisco Catalyst 交换机配置指南：
  
  http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
- 禁用：如果交换机不支持同一端口上的多个符合 802.1X 的设备，应在启用 802.1X 验证后禁用 PC 端口。如果不禁用此端口，后来又尝试将 PC 连接至该端口，交换机会拒绝对电话和 PC 的网络访问。
配置语音 VLAN：由于 802.1X 标准不考虑 VLAN，应根据交换机支持来配置此设置。
- 启用：如果您使用的是支持多域验证的交换机，则可以继续使用语音 VLAN。
- 禁用：如果交换机不支持多域验证，则禁用语音 VLAN 并考虑将此端口分配给本机 VLAN。
（仅适用于 Cisco Desk Phone 9800 系列）
Cisco Desk Phone 9800 系列在 PID 中的前缀与其他 Cisco 电话的前缀不同。要使您的电话通过 802.1X 身份验证，请设置 Radius· 用户名参数，用于包含您的 Cisco Desk Phone 9800 系列。
例如，电话 9841 的 PID 是 DP-9841;您可以设置半径·以 DP 开头或包含 DP 的用户名 。您可以在以下两个部分中设置它：
- 政策 > 条件 > 库条件
- 策略 > 策略集 > 授权策略 > 授权规则 1

启用 802.1X 身份验证

您可以按照以下步骤为您的电话启用 802.1X 身份验证：

1	按设置.
2	如果出现提示，请输入密码访问设置菜单。您可以从管理员获取密码。
3	导航到网络和服务 > 安全设置 > 802.1X 身份验证。
4	开启 IEEE 802.1X 身份验证。
5	选择应用。

查看有关手机安全设置的信息

您可以在电话菜单中查看有关安全设置的信息。信息的可用性取决于您组织中的网络设置。

表 4.安全设置的参数
参数	描述
安全模式	显示为电话设置的安全模式。
LSC	指明用于安全功能的本地有效证书是安装在电话上（是）还是未安装在电话上（否）。
信任清单	信任列表为 CTL、ITL 和签名配置文件提供子菜单。 CTL 文件子菜单显示 CTL 文件的内容。 ITL 文件子菜单显示 ITL 文件的内容。信任列表菜单还显示以下信息： CTL 签名：CTL 文件的 SHA1 哈希值 Unified CM/TFTP 服务器：电话使用的Cisco Unified Communications Manager和 TFTP 服务器的名称。如果为此服务器安装了证书，则显示证书图标。 CAPF 服务器：电话使用的 CAPF 服务器的名称。如果为此服务器安装了证书，则显示证书图标。 SRST 路由器：电话可以使用的可信 SRST 路由器的 IP 地址。如果为此服务器安装了证书，则显示证书图标。
802.1X 身份验证	启用或禁用 IEEE 802.1X 身份验证。有关详细信息，请参阅 802.1X 身份验证。
与 WPA 的向后兼容性	确定最旧版本的 Wi-Fi 保护访问（WPA）是否与电话兼容以连接到无线网络或接入点（AP）。如果启用，电话可以搜索并连接到支持所有 WPA 版本的无线网络，包括 WPA、WPA2 和 WPA3。此外，电话可以搜索并连接到仅支持最旧版本的 WPA 的 AP。如果禁用（默认），电话只能搜索并连接到支持 WPA2 和 WPA3 的无线网络和 AP。此功能仅在 9861/9871/8875 电话上有空。

1	按设置.
2	导航到网络和服务 > 安全设置。
3	在安全设置中，查看安全信息。

电话安全

为电话实施安全保护后，您可以通过电话屏幕上的图标识别安全电话。如果通话开始时播放安全提示音，您还可以确定所连接的电话是否安全和受保护。

在安全通话中，所有呼叫信令和媒体流都经过加密。安全通话可提供高度的安全性，为通话提供完整性和隐私。对正在进行的呼叫进行加密后，您可以在线路 the lock icon for a secure call 上看到安全图标。对于安全电话，您还可以在电话菜单（“设置” > “关于此设备”）中查看已连接服务器旁边的经过身份验证的图标或加密图标。

如果呼叫通过非 IP 呼叫段（例如 PSTN）进行路由，则即使该呼叫在 IP 网络中经过加密并带有与之关联的锁状图标，也可能是不安全的。

在安全呼叫中，通话开始时会播放安全提示音，表示另一部连接的电话也在接收和传输安全音频。如果您的呼叫连接到非安全电话，则不会播放安全提示音。

仅两部电话之间的连接支持安全通话。配置安全呼叫时，某些功能（例如电话会议和共享线路）不可用。

在中将电话配置为安全（加密和可信）时Cisco Unified Communications Manager，可以将其赋予保护状态。之后，如果需要，可以将受保护的电话配置为在通话开始时播放提示音：

受保护的设备：要将安全电话的状态更改为受保护，请在Cisco Unified Communications Manager Administration（设备 > 电话）的 “电话配置” 窗口中选中 “受保护的设备” 复选框。
播放安全提示音：要使受保护的电话能够播放安全或非安全提示音，请将 “播放安全提示音” 设置为 True。默认情况下，Play Secure 提示音设置为 False。您可以在Cisco Unified Communications Manager Administration（系统 > 服务参数）中设置此选项。选择服务器，然后选择统一通信管理器服务。在 “服务参数配置” 窗口中，选择 “功能-安全音调” 区域中的选项。默认为 False。

安全的电话会议识别

您可以发起安全电话会议并监控参与者的安全级别。安全电话会议是通过以下过程建立的：

用户通过安全的电话发起会议。
Cisco Unified Communications Manager为呼叫分配安全的会议桥。
添加参与者后，Cisco Unified Communications Manager将验证每部电话的安全模式并保持会议的安全级别。
电话显示电话会议的安全级别。安全会议显示安全图标。

两部电话之间支持安全通话。对于受保护的电话，某些功能（例如电话会议、共享线路和Extension Mobility）在配置安全呼叫时不可用。

下表提供了有关根据发起方电话安全级别、参与者的安全级别和安全会议桥的可用性而更改会议安全级别的信息。

表 5.电话会议的安全限制
发起人电话安全级别	使用的功能	参与者的安全级别	行动结果
不安全	会议	安全	不安全的会议桥非安全会议
安全	会议	至少有一个成员是不安全的。	安全的会议桥非安全会议
安全	会议	安全	安全的会议桥安全的加密级别会议
不安全	与我见面	最低安全级别已加密。	发起方收到消息 `不符合安全级别，呼叫被拒绝`。
安全	与我见面	最低安全级别是不安全的。	安全的会议桥会议接受所有呼叫。

安全的电话识别

当您的电话和另一端的电话配置为安全呼叫时，就会建立安全呼叫。另一部电话可以位于同一 Cisco IP 网络中，也可以位于 IP 网络之外的网络上。只能在两部电话之间拨打安全通话。设置安全会议桥后，电话会议应支持安全呼叫。

使用以下过程建立安全呼叫：

用户从安全电话（安全模式）发起呼叫。
电话在电话屏幕上显示安全图标。此图标表示电话已配置为安全呼叫，但这并不意味着另一部连接的电话也处于安全状态。
如果呼叫连接到另一部安全电话，则用户会听到安全提示音，这表明对话的两端都经过加密和安全。如果呼叫连接到非安全电话，则用户听不到安全提示音。

两部电话之间支持安全通话。对于受保护的电话，某些功能（例如电话会议、共享线路和Extension Mobility）在配置安全呼叫时不可用。

只有受保护的手机才能播放这些安全或非安全的提示音。不受保护的手机永远不会播放提示音。如果通话期间整体呼叫状态发生变化，则提示音会发生变化，受保护的电话会播放相应的音调。

在以下情况下，受保护的电话是否会播放提示音：

启用 “播放安全提示音” 选项时：
- 建立端到端安全媒体且通话状态安全后，电话会播放安全提示音（三声长蜂鸣音，但会暂停）。
- 建立端到端非安全媒体且通话状态为非安全时，电话会播放非安全提示音（六声短暂的蜂鸣音，短暂停片刻）。

如果禁用 “播放安全提示音” 选项，则不会播放任何提示音。

为驳船提供加密

Cisco Unified Communications Manager在建立会议时检查电话安全状态，更改会议的安全指示或阻止通话完成，以维护系统的完整性和安全性。

如果用于入侵的电话未配置为加密，则用户无法进入加密呼叫。在这种情况下，当强行失败时，启动强盗的电话上会播放重新排序（快速忙碌）提示音。

如果将发起方电话配置为加密，则入侵启动器可以从加密电话中闯入非安全呼叫。入侵发生后，Cisco Unified Communications Manager将呼叫归类为非安全呼叫。

如果将发起方电话配置为加密，则入侵启动器可以强行进入加密呼叫，并且电话会指示该呼叫已加密。

WLAN 安全

由于范围内的所有 WLAN 设备均可接收所有其他 WLAN 流量，因此安全语音通信在 WLAN 中至关重要。为了确保入侵者不会纵或拦截语音流量，Cisco SAFE 安全体系结构支持电话。有关网络中安全性的详细信息，请参阅 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 无线 IP 电话解决方案提供无线网络安全性，通过使用电话支持的以下身份验证方法防止未经授权的登录和通信受损：

开放式验证：任何无线设备均可在开放式系统中请求验证。收到请求的 AP 可允许任何请求方或仅允许用户列表中找到的请求方进行验证。无线设备和接入点（AP）之间的通信可能未加密。
可扩展身份验证协议 - 通过安全隧道（EAP-FAST）身份验证进行灵活身份验证：此客户端 - 服务器安全体系结构在 AP 和 RADIUS 服务器（如身份服务引擎（ISE））之间的传输级别安全性（TLS）隧道内加密 EAP 事务。

TLS 隧道使用受保护的访问凭证 (PAC) 进行客户端（电话）与 RADIUS 服务器之间的验证。服务器将授权 ID (AID) 发送给客户端（电话），后者会选择适当的 PAC。客户端（电话）将返回 PAC - 对 RADIUS 服务器不透明。服务器通过主密钥解密 PAC。现在，两个终端均包含 PAC 密钥，且 TLS 隧道已创建。 EAP-FAST 支持自动 PAC 部署，但您必须在 RADIUS 服务器上启用该功能。

在 ISE 中，默认情况下，PAC 将在一周后过期。如果电话有过期的 PAC，则电话获取新 PAC 时，与 RADIUS 服务器的验证要花较长的时间。为避免 PAC 部署延迟，在 ISE 或 RADIUS 服务器上，将 PAC 过期期限设置为 90 天或更长时间。
可扩展身份验证协议-传输层安全 (EAP-TLS) 验证：EAP-TLS 需要客户端证书用于身份验证和网络访问。对于无线 EAP-TLS，客户端证书可以是 MIC, LSC, 或用户安装的证书。
受保护的可扩展验证协议 (PEAP)：客户端（电话）与 RADIUS 服务器之间 Cisco 专有的、基于密码的相互验证方案。电话可以使用 PEAP 通过无线网络进行身份验证。支持 PEAP-MSCHAPV2 和 PEAP-GTC 验证方法。
预共享密钥（PSK）：电话支持 ASCII 格式。在设置 WPA/WPA2/SAE 预共享密钥时，必须使用此格式：

ASCII：长度为 8 至 63 个字符的 ASCII 字符字符串（0-9、小写和大写 A-Z 以及特殊字符）

示例：GREG123567@9ZX&W

以下验证方案使用 RADIUS 服务器管理验证密钥：

WPA/WPA2/WPA3：使用 RADIUS 服务器信息生成用于身份验证的唯一密钥。由于这些密钥在中央 RADIUS 服务器生成，因此 WPA2/WPA3 提供比存储在 AP 和电话上的 WPA 预共享密钥更高的安全性。
快速安全漫游：使用 RADIUS 服务器和无线域服务器 (WDS) 信息管理和验证密钥。 WDS 为启用 FT 的客户端设备创建安全凭据缓存，以便快速安全地重新进行身份验证。 Cisco 座机号码 9861 和 9871 和 Cisco 可视电话 8875 支持 802.11r（FT）。支持无线和 DS，以实现快速安全漫游。但我们强烈建议使用空中 802.11r (FT) 方法。

对于 WPA/WPA2/WPA3，加密密钥不会在电话上输入，而是在 AP 和电话之间自动派生。但必须在每部电话上输入用于验证的 EAP 用户名和密码。

为确保语音流量安全，电话支持 TKIP 和 AES 加密。当使用这些机制进行加密时，信令 SIP 数据包和语音实时传输协议（RTP）数据包在 AP 和电话之间加密。

TKIP: WPA 使用 TKIP 加密，与 WEP 相比有多项改进。 TKIP 提供每个信息包的密钥加密和更长的初始化向量 (IV) 来强化加密。此外，消息完整性检查 (MIC) 可确保加密的信息包不会被更改。 TKIP 消除了有助于入侵者解密 WEP 密钥的 WEP 可预测性。
AES: 用于 WPA2/WPA3 身份验证的加密方法。此国家加密标准使用对称算法，加密和解密具有相同的密钥。 AES 使用大小为 128 位最小值的密码阻止链 (CBC) 加密，其支持的密钥大小为 128、192 和 256 位。电话支持的密钥大小为 256 位。

Cisco 座机 9861 和 9871 以及 Cisco Video Phone 8875 不支持通过 CMIC 使用 Cisco 密钥完整性协议（CKIP）。

验证和加密方案在无线 LAN 内设置。 VLAN 在网络和 AP 中配置，指定验证和加密的不同组合。 SSID 与 VLAN 以及特定验证和加密方案关联。要使无线客户端设备成功进行身份验证，您必须在 AP 和电话上配置相同的 SSID 及其身份验证和加密方案。

某些验证方案需要特定类型的加密。

使用 WPA 预共享密钥、WPA2 预共享密钥或 SAE 时，必须在电话上静态设置预共享密钥。这些密钥必须与 AP 上的密钥匹配。
电话支持 FAST 或 PEAP 的自动 EAP 协商，但不支持 TLS。对于 EAP-TLS 模式，您必须指定它。

下表中的身份验证和加密方案显示了对应于 AP 配置的电话的网络配置选项。

表 6.身份验证和加密方案
FSR 类型	验证	密钥管理	加密	受保护的管理帧（PMF）
802.11r（英尺）	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	否
802.11r（英尺）	WPA3	SAE FT-SAE	AES	是
802.11r（英尺）	EAP-TLS	WPA-EAP FT-EAP	AES	否
802.11r（英尺）	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	是
802.11r（英尺）	EAP-FAST	WPA-EAP FT-EAP	AES	否
802.11r（英尺）	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	是
802.11r（英尺）	EAP-PEAP	WPA-EAP FT-EAP	AES	否
802.11r（英尺）	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	是

配置无线 LAN 配置文件

您可以通过配置凭据、频段、身份验证方法等来管理您的无线网络配置文件。

在配置 WLAN 配置文件之前，请牢记以下注意事项：

用户名和密码
- 当您的网络使用 EAP-FAST 和 PEAP 进行用户验证时，如果远程身份验证拨入用户服务 (RADIUS) 和电话需要，您必须配置用户名和密码。
- 在无线 LAN 配置文件中输入的凭证必须与在 RADIUS 服务器上配置的凭证相同。
- 如果在网络内使用域，则必须输入用户名及域名，格式为：domain\username。
以下操作可能会导致现有 Wi-Fi 密码被清除：
- 输入无效的用户 ID 或密码
- 当 EAP 类型设为 PEAP-MSCHAPV2 或 PEAP-GTC 时安装无效或过期的根 CA
- 在将电话切换为新的 EAP 类型之前，禁用电话 RADIUS 服务器上所用的 EAP 类型
要更改 EAP 类型，请确保首先在 RADIUS 服务器上启用新的 EAP 类型，然后再将电话切换到 EAP 类型。当所有电话都已更改为新的 EAP 类型时，您便可以根据需要禁用以前的 EAP 类型。

1	在 Cisco Unified Communications Manager 管理中，选择设备 > 设备设置 > 无线 LAN 配置文件。
2	选择要配置的网络配置文件。
3	设置参数。
4	单击保存。

配置 SCEP 参数

简单证书注册协议 (SCEP) 是自动配置和续订证书的标准。 SCEP 服务器可以自动维护您的用户和服务器证书。

您必须在电话网页上配置以下 SCEP 参数

RA IP 地址
SCEP 服务器根 CA 证书的 SHA-1 或 SHA-256 指纹

Cisco IOS注册机构 (RA) 充当 SCEP 服务器的代理。电话上的 SCEP 客户端使用从 Cisco Unified Communication Manager 下载的参数。配置参数后，电话向 RA 发送 SCEP getcs 请求，并使用定义的指纹验证根 CA 证书。

准备工作

在 SCEP 服务器上，将 SCEP 注册代理 (RA) 配置为：

充当 PKI 信任点
充当 PKI RA
使用 RADIUS 服务器执行设备身份验证

有关更多信息，请参阅 SCEP 服务器文档。

1	从Cisco Unified Communications Manager Administration中，选择设备 > 电话。
2	找到手机。
3	滚动到 “产品特定配置布局” 区域。
4	在 WLAN SCEP 服务器字段中输入 RA IP 地址或主机名，然后选中该复选框以激活 SCEP 参数。
5	在 WLAN 根 CA 指纹（SHA256 或 SHA1）字段中输入根 CA 证书的 SHA-1 或 SHA-256 指纹，然后选中复选框激活 SCEP QED 参数。
6	选择保存。
7	选择应用配置。

设置支持的 TLS 版本

您可以分别设置客户端和服务器所需的最低 TLS 版本。

默认情况下，服务器和客户端的最低 TLS 版本均为 1.2。该设置对以下功能有影响：

HTTPS 网络访问连接
本地电话入门
移动端和 Remote Access (MRA) 入门培训
HTTPS 服务，例如目录服务
数据报传输层安全 (DTLS)
端口访问实体 (PAE)
可扩展身份验证协议传输层安全 (EAP-TLS)

有关思科 IP 电话 TLS 1.3 兼容性的更多信息，请参阅思科协作产品的 TLS 1.3 兼容性表。

1	以管理员身份登录Cisco Unified Communications Manager Administration。
2	导航到以下窗口之一：系统 > 企业电话配置设备 > 设备设置 > 常用电话配置文件设备 > 电话 > 电话配置
3	设置 TLS 客户端最低版本字段： “TLS 1.3” 选项在 Cisco Unified CM 15SU2 或更高版本上可用。 TLS 1.1 ：TLS 客户端支持TLS 从 1.1 到 1.3 版本。如果服务器中的 TLS 版本低于 1.1，例如 1.0，则无法建立连接。 TLS 1.2 （默认）：TLS 客户端支持TLS 1.2 和 1.3。如果服务器中的 TLS 版本低于 1.2，例如 1.1 或 1.0，则无法建立连接。 TLS 1.3 ：TLS 客户端仅支持TLS 1.3。如果服务器中的 TLS 版本低于 1.3，例如 1.2、1.1 或 1.0，则无法建立连接。
4	设置 TLS 服务器最低版本字段： TLS 1.1 ：TLS 服务器支持TLS 从 1.1 到 1.3 版本。如果客户端中的 TLS 版本低于 1.1，例如 1.0，则无法建立连接。 TLS 1.2 （默认）：TLS 服务器支持TLS 1.2 和 1.3。如果客户端中的 TLS 版本低于 1.2，例如 1.1 或 1.0，则无法建立连接。 TLS 1.3 ：TLS 服务器仅支持TLS 1.3。如果客户端中的 TLS 版本低于 1.3，例如 1.2、1.1 或 1.0，则无法建立连接。从PhoneOS 3.2版本开始，“禁用网络访问的TLS 1.0和TLS 1.1” 字段的设置不会对手机产生影响。
5	单击保存。
6	单击应用配置。
7	重新启动电话。

有保障的服务 SIP

受保障服务 SIP (AS-SIP) 是各种功能和协议的集合，为 Cisco IP 电话和第三方电话提供高度安全的呼叫流程。以下功能统称为 AS-SIP：

多级优先与预占 (MLPP)
差异化服务代码点 (DSCP)
传输层安全 (TLS) 和安全实时传输协议 (SRTP)
互联网协议版本 6 (IPv6)

AS-SIP 通常与多级优先与预占 (MLPP) 一起用于在紧急情况下确定呼叫的优先级。使用 MLPP，您可以为拨出呼叫分配优先级，从 1 级（低）到 5 级（高）。当您接听来电时，电话上会显示一个优先级别图标，显示呼叫优先级。

要配置 AS-SIP，请在上Cisco Unified Communications Manager完成以下任务：

配置摘要用户-将最终用户配置为对 SIP 请求使用摘要式身份验证。
配置 SIP 电话安全端口 — Cisco Unified Communications Manager 使用此端口监听 SIP 电话通过 TLS 进行的 SIP 线路注册。
重启服务-配置安全端口后，重新启动Cisco Unified Communications Manager和 Cisco CTL 提供商服务。为 AS-SIP 配置 SIP 配置文件为 AS-SIP 终端和 SIP 中继使用 SIP 设置配置 SIP 配置文件。电话专用参数不会下载到第三方 AS-SIP 电话上。它们仅由 Cisco Unified Manager 使用。第三方电话必须在本地配置相同的设置。
为 AS-SIP 配置电话安全配置文件——您可以使用电话安全配置文件分配安全设置，例如 TLS、SRTP 和摘要式身份验证。
配置 AS-SIP 终端——配置 Cisco IP 电话或支持 AS-SIP 的第三方终端。
将设备与最终用户关联-将终端与用户关联。
为 AS-SIP 配置 SIP 中继安全配置文件——您可以使用 sip 中继安全配置文件为 SIP 中继分配 TLS 或摘要式身份验证等安全功能。
为 AS-SIP 配置 SIP 中继—配置支持 AS-SIP 的 SIP 中继。
配置 AS-SIP 功能-配置其他 AS-SIP 功能，例如 MLPP、TLS、V.150 和 IPv6。

有关配置 AS-SIP 的详细信息，请参阅《功能配置指南》中的 “配置 AS-SIP 端点” 一章。Cisco Unified Communications Manager

多级优先与预占

多级优先和抢占 (MLPP) 允许您在紧急情况或其他危机情况下对呼叫进行优先级排序。您可以为拨出呼叫分配优先级，范围从 1 到 5。来电显示图标和呼叫优先级。经过身份验证的用户可以抢占对目标电台的呼叫，也可以通过完全订阅的 TDM 中继进行抢占呼叫。

这种能力可确保高级人员与关键组织和人员进行沟通。

如果拨打的号码由配置为的转换/路由模式进行操作，则 MLPP 呼叫发起人还可以在电话屏幕上Unified CM看到 MLPP 特殊图标和优先级别，并能听到回铃音。这种行为是在 PhoneOS 3.4 版本发布之后实现的。

PhoneOS 手机的 MLPP 功能需要Unified CM版本 15SU3 或更高版本。

MLPP 配置已开启 Unified CM

要配置该功能，请执行以下操作：

配置域和域名列表。
1. 从中Cisco Unified CM Administration选择 “系统” > “MLPP” > “域” > “MLPP 域”，添加新的 MLPP 域。
2. 选择系统 > MLPP > 命名空间 > 资源优先级命名空间网络域，添加注册的命名空间，例如 “drsn”、“dsn”、“cuc”、“uc”、“q735”。然后选择一个域名作为默认域名。
3. 选择系统 > MLPP > 命名空间 > 资源优先级命名空间列表，添加命名空间列表。
配置 SIP 配置文件。
1. 选择设备 > 设备设置 > SIP 配置文件，添加新的 SIP 配置文件。
2. 如果您希望电话要求用户凭证才能进行 MLPP 呼叫，请选中 MLPP 用户授权复选框。
3. 从资源优先级命名空间中选择配置的资源优先级命名空间。
4. 从资源优先级命名空间列表中选择已配置的命名空间列表。
配置电话。
1. 选择设备 > 电话，更新或添加电话。
2. 从 SIP 配置文件中选择已配置的 SIP 配置文件。
3. 在 MLPP 和Confidential Access Level信息部分下，配置 MLP P 域、MLPP 指示和 MLPP 抢占等参数。
配置目录号码。
1. 选择设备 > 电话，添加或更新线路。
2. 在 MLPP 备用呼叫方和Confidential Access Level设置部分下，配置参数 “目标（目标）”、“MLPP 呼叫搜索空间” 和 “MLPP 无应答响铃持续时间（秒）”。
3. 在 “多次呼叫/呼叫等待设置” 部分下，配置繁忙触发器参数。
配置最终用户。
1. 选择用户管理 > 最终用户，添加一个新用户。
2. 单击 “设备关联” 将用户与已配置的电话关联。
3. 在 “多级优先权和抢占授权” 部分下，配置参数。
您可以根据实际要求为 MLPP 配置其他参数。
- 选择系统 > 服务参数。在 “集群范围参数（功能-多级优先级和抢占）” 部分下配置参数。
- 选择系统 > 服务参数。在 “群集范围参数（系统-QOS）” 部分下为优先呼叫配置 DSCP。
- 选择系统 > 服务参数。在 “群集范围参数（系统-RSVP）” 部分下配置 MLPP 优先级到 SRVP 优先级映射。
- 从 “呼叫路由” > “路由 /寻线” > “路由器模式” 中配置路由器模式。
- 从 “呼叫路由” > “路由 /寻线” > “寻线引导” 配置寻线引导。
- 从 “呼叫路由” > “转换模式” 配置转换模式。
- 配置网关、中继、默认设备配置文件、用户设备配置文件以及 MLPP 的常用设备配置。

MLPP 通常与保障服务 SIP (AS-SIP) 一起使用。有关配置 MLPP 的详细信息，请参阅《功能配置指南》中的 “配置多级优先级和抢占” 一章。Cisco Unified Communications Manager

设置 FAC 和 CMC

在电话上配置了强制授权码 (FAC) 或客户码 (CMC) 或两者时，用户必须输入所需的密码才能拨出号码。

有关如何在中设置 FAC 和 CMC 的更多信息Cisco Unified Communications Manager，请参阅 12.5 (1) 或更高版本功能配置指南中的 “客户机代码和强制授权码” 一章。Cisco Unified Communications Manager

VPN 配置

Cisco VPN 功能可帮助您保持网络安全，同时为用户提供安全可靠的连接公司网络的方法。在以下情况下使用此功能：

电话位于可信网络之外
电话之间和通过不可信网络Cisco Unified Communications Manager的网络流量

使用 VPN 时，有三种常见的客户端身份验证方法：

数字证书
密码
用户名和密码

每种方法都有其优点。但是，如果您的企业安全政策允许，我们建议使用基于证书的方法，因为证书允许在没有任何用户干预的情况下实现无缝登录。支持 LSC 和 MIC 证书。

要配置任何 VPN 功能，请先在本地配置设备，然后可以在外部部署设备。

有关认证身份验证和使用 VPN 网络的更多信息，请参阅在 ASA 上使用证书身份验证配置AnyConnect VPN电话。

使用密码或用户名和密码方法，系统会提示用户输入登录凭证。根据贵公司的安全政策设置用户登录凭证。您还可以配置 “启用密码持久性” 设置，以便将用户密码保存在电话上。用户密码会一直保存到登录尝试失败、用户手动清除密码或者电话重置或断电为止。

另一个有用的工具是 “启用自动网络检测” 设置。当您启用此复选框时，VPN 客户端只有在检测到它位于公司网络之外时才能运行。此设置在缺省情况下被禁用。

您的思科电话支持 Cisco SVC IPPhone Client v1.0 作为客户端类型。

有关如何在上配置 VPN 的更多信息Unified CM，请参阅的功能配置指南Cisco Unified Communications Manager。

Cisco VPN 功能使用安全套接字层 (SSL) 来保护网络安全。

Cisco AI Assistant

感谢您的反馈。

支持的安全功能

设置本地有效证书 (LSC)

启用 FIPS 模式

关闭电话上的扬声器、头戴式耳机和听筒