感謝您的意見回饋。

安全性功能可防禦不同威脅，包括對電話身分識別和資料的威脅。 這些功能可在電話與 Cisco Unified Communications Manager 伺服器之間建立和維護經過驗證的通訊串流，並確保電話僅使用數位簽署的檔案。

Cisco Unified Communications Manager 8.5(1) 版和更新版本包括預設的安全性，可在不執行 CTL 用戶端的情況下為 Cisco IP 電話提供下列安全性功能：

• 簽署電話組態檔

• 電話組態檔加密

• 具有 Tomcat 和其他 Web 服務的 HTTPS

在 Cisco Unified Communications Manager 系統執行安全性，防止電話及 Cisco Unified Communications Manager 伺服器身份被盜、資料篡改，以及通話訊號和媒體串流篡改。

為減少這些威脅，Cisco IP 電話網路在電話與伺服器之間建立並保持安全（加密）通訊，先以數位方式簽署檔案再傳送至電話，以及對 Cisco IP 電話之間的媒體串流與通話訊號進行加密。

在您執行與憑證授權單位代理功能 (Certificate Authority Proxy Function, CAPF) 關聯的所需任務之後，地區重要憑證 (Locally Significant Certificate, LSC) 會安裝在電話上。 您可以使用 Cisco Unified Communications Manager Administration 來設定 LSC，如 Cisco Unified Communications Manager 安全指南 中所述。 或者，您也可以從電話上的「 安全性 」功能表中初始化安裝 LSC。 此功能表也可讓您更新或移除 LSC。

電話使用電話安全性設定檔，此設定檔定義裝置是否安全。 如需將設定檔套用至電話的資訊，請參閱特定 Cisco Unified Communications Manager 版本的說明文件。

若您在 Cisco Unified Communications Manager 管理中進行安全性相關的設定，電話組態檔案將包含敏感資訊。 為了確保組態檔案的私密性，您需設定對其進行加密。 如需詳細資訊，請參閱特定 Cisco Unified Communications Manager 版本的說明文件。

下表概述電話支援的安全性功能。 如需更多資訊，請參閱特定 Cisco Unified Communications Manager 版本的說明文件。

下表包含信任清單更新警報訊息及含義。 如需詳細資訊，請參閱 Cisco Unified Communications Manager 文件。

電話執行安全性通話時，您可以透過電話螢幕上的圖示來識別安全通話。 您還可以透過通話開始時是否播放安全音，來確定連線電話是否安全且受到保護。

在安全通話中，所有通話訊號及媒體串聯皆經過加密。 安全通話提供較高級別的安全性，為通話提供完整性與私密性。 進行中的通話經過加密後，您會看到安全圖示 在線上。

在 Cisco Unified Communications Manager 中，可以為設定為安全 (加密與可信任) 的電話指定受保護狀態。 一旦受到保護，就可以將這些裝置設定為在每次通話開始時播放安全音。

• 受保護的裝置：

  若要將安全電話的狀態變更為受保護：

  1. 在 Cisco Unified Communications Manager Administration 中，選擇“ 設備 > 電話”。
  2. 尋找您要設定的電話。
  3. 在「電話組態」視窗中，選取 「受保護的裝置 」核取方塊。
  4. 按一下儲存。

• 播放安全指示音：

  若要讓受保護的電話播放安全或不安全的指示音：

  1. 在 Cisco Unified Communications Manager Administration 中，選擇“ 系統 > 服務參數”。
  2. 選擇伺服器，然後選擇 Cisco CallManager 服務。
  3. 在 「全叢集參數 (功能 - 安全音) 」區域中，將 「播放提示音以指示安全/不安全通話狀態 」設定設為 True。
  4. 按一下儲存。

由於範圍內的所有 WLAN 裝置都可以接收所有其他 WLAN 流量，因此在 WLAN 中安全的語音通訊很重要。 為確保入侵者不會操縱或攔截語音流量，Cisco SAFE 安全性架構支援電話。 有關網路安全性的詳細資訊，請參閱 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 無線 IP 電話解決方案通過使用電話支援的以下身份驗證方法提供無線網路安全性，防止未經授權的登錄和通信受損。

• 開放驗證：任何無線裝置都可以在開放系統中請求驗證。 接收請求的 AP 可以將驗證授予任何請求者或僅授予使用者清單上的請求者。 無線設備和接入點 (AP) 之間的通信可能是非加密的。

• 可擴展身份驗證協定 - 通過安全隧道 (EAP-FAST) 身份驗證的靈活身份驗證：此用戶端 - 伺服器安全體系結構對 AP 和 RADIUS 伺服器之間的傳輸級別安全性 (TLS) 隧道中的 EAP 事務進行加密，例如身份服務引擎 (ISE)。

  TLS 通道使用受保護存取認證 (PAC) 在用戶端（電話）與 RADIUS 伺服器之間驗證。 伺服器將授權單位 ID (AID) 傳送至用戶端（電話），進而選取適當的 PAC。 用戶端（電話）將 PAC-Opaque 返回至 RADIUS 伺服器。 伺服器使用主密鑰解密 PAC 。 這兩個端點即包含 PAC 金鑰並建立 TLS 通道。 EAP-FAST 支援自動 PAC 佈建，但您需在 RADIUS 伺服器上啟用它。

  在 ISE 中，預設情況下，PAC 將在一周後過期。 如果電話具有過期的 PAC，電話取得新的 PAC 時，向 RADIUS 伺服器驗證需要更長時間。 若要避免 PAC 佈建延遲，請在 ISE 或 RADIUS 伺服器上將 PAC 到期期間設定為 90 天或更長時間。

• 可延伸驗證通訊協定—傳輸層安全性 (EAP-TLS) 的驗證：EAP-TLS 需要用戶端憑證才能進行驗證與網路存取。 對於無線 EAP-TLS，用戶端證書可以是 MIC, LSC, 或使用者安裝證書。

• 受保護的可延伸驗證通訊協定 (PEAP)：用戶端 (電話) 與 RADIUS 伺服器之間的 Cisco 專屬密碼型相互驗證架構。 電話可以使用 PEAP 通過無線網路進行身份驗證。 同時支援 PEAP-MSCHAPV2 和 PEAP-GTC 驗證方法。

• 預共用金鑰 (PSK)：電話支援 ASCII 和十六進位 (HEX) 格式。 設定 WPA2/SAE 預共用金鑰時，您必須使用這些格式。

  ASCII：長度為 8 到 63 個字元 (0-9、小寫 a-z、大寫 A-Z 和特殊字元) 的 ASCII 字元字串。 例如， GREG123567@9ZX&W。

  十六進位：長度為 64 個十六進位數字的十六進位字元字串 (0-9、a-f 或 A-F)。

下列驗證方案使用 RADIUS 伺服器管理驗證金鑰：

• WPA2/WPA3：使用 RADIUS 伺服器資訊產生用於驗證的唯一金鑰。 由於這些金鑰是在集中式 RADIUS 伺服器上生成，因此 WPA2/WPA3 比儲存在 AP 和電話上的 WPA 預共用金鑰提供更高的安全性。

• 快速安全漫遊︰使用 RADIUS 伺服器和無線網域伺服器 (WDS) 資訊來管理和驗證金鑰。 WDS 為啟用了 FT 的用戶端設備創建安全憑據緩存，以實現快速安全的重新身份驗證。

使用 WPA2/WPA3，加密金鑰不會輸入在電話上，但會自動在 AP 與電話之間衍生。 但是，需在每部電話上輸入用於驗證的 EAP 使用者名稱和密碼。

為了幫助保護透過無線連結的語音流量，電話支援基於 AES 的加密以進行 WPA2/WPA3 驗證。 AES 是由 NIST 標準化的對稱分組密碼。 AES 使用固定的 128 位塊大小，並支援 128 位、192 位和 256 位的金鑰大小。 在 Wi-Fi 網络中，AES 由 CCMP 或 GCMP 等密碼套件使用，而身份驗證則由 PSK、SAE 或 802.1X/EAP 單獨提供，具體取決於配置的 WLAN 安全模式。 支援的密碼套件和金鑰大小視電話機型和 WLAN 組態而定。

電話使用 AES 加密時，會在 AP 與電話之間同時對訊號 SIP 封包和語音即時傳輸通訊協定 (RTP) 封包加密。

在無線 LAN 內設定驗證和加密架構。 在網路中和 AP 上設定 VLAN，並指定不同的驗證和加密的組合。 SSID 與 VLAN 和特定驗證及加密架構關聯。 要使無線用戶端設備成功進行身份驗證，您必須在 AP 和電話上使用其身份驗證和加密方案配置相同的 SSID。

部分驗證架構需要特定的加密類型。

下表中的身份驗證和加密方案顯示了與 AP 組態相對應的 Cisco Wireless Phone 9821 的網路組態選項。

Cisco 無線電話 9821 支援有線網络的 802.1X 身份驗證。 當電話透過支援的 USB 至乙太網路介面卡連接至桌上型充電器時，通常會在自動設定 期間 使用此方法。

支援有線網路上的 802.1X 身份驗證需要以下幾個元件：

• Cisco IP 電話︰電話發起存取網路的請求。 Cisco IP 電話包含 802.1X 要求。 此要求允許網路管理員控制 IP 電話與 LAN 交換器連接埠的連接。 最新版電話 802.1X 要求使用 EAP-FAST 與 EAP-TLS 選項進行網路驗證。

• 身份驗證伺服器：身份驗證伺服器和交換機都必須使用 RADIUS 共用密鑰進行配置。

• 交換器：交換器必須支援 802.1X，以便它可以充當驗證器並在電話和驗證伺服器之間中繼 EAP 訊息。 交換完成後，交換器同意或拒絕電話存取網路。

Cisco IP 電話與 Cisco Catalyst 交換器通常使用 Cisco Discovery Protocol (CDP) 來相互識別及確定各項參數，例如 VLAN 分配與線內電源要求。

您需執行下列動作來設定 802.1X。

• 配置 CDP/LLDP 語音 VLAN 旁路。

• 在為電話上的有線網路啟用 802.1X 驗證之前，請先設定驗證伺服器和交換器。

• 設定語音 VLAN：由於 802.1X 標準不考慮 VLAN，您應根據交換器支援情況來進行此設定。

  • 已啟用：如果您使用的是支援多域身份驗證的交換機，則可以將其配置為使用語音 VLAN。
  • 已停用：若交換器不支援多網域驗證，則停用語音 VLAN，並考慮將通訊埠指定到原生 VLAN。

• Cisco Wireless Phone 9821 的 PID 前綴與其他 Cisco 電話的前綴不同。 若要讓您的電話透過 802.1X 驗證，請設定 Radius· 使用者名參數以包含您的 Cisco 無線電話 9821。

  例如，Cisco Wireless Phone 9821 的 PID 為 WP-9821。 您可以設定 半徑· 在以下兩個部分中，使用者名以 WP 開頭或 包含 WP ：

  • 原則 > 條件 > 庫條件

  • 原則 > 原則集 > 授權原則 > 授權規則 1