9800/8875 上的思科網絡電話安全性 (Unified CM)

您可以啟用Cisco Unified Communications Manager在增強的安全性環境中操作。有了這些增強功能，您的電話網絡在一系列嚴格的安全性和風險管理控制下運行，以保護您和您的使用者。

增強的安全性環境包含下列功能：

聯絡人搜尋驗證（僅適用於自訂目錄）
TCP 作為遠端稽核記錄的預設通訊協定
FIPS 模式
改進的認證政策
支援 SHA-2 系列數位簽章的哈希
支援 512 位元和 4096 位元的 RSA 金鑰大小

版Cisco Unified Communications Manager本 14.0 和思科視訊電話韌體 2.1 及更新版本後，這些手機支援 SIP OAuth 驗證。

OAuth 支持具有 14.0（1）SU1 或更高版本的代理微型文件傳Cisco Unified Communications Manager輸通訊協定 (TFTP)。行動Remote Access裝置 (MRA) 不支援代理 TFTP 代理伺服器 TFTP 和 OAuth。

如需有關安全性的其他資訊，請參閱下列內容：

14.0 版 (1) 或更新版本的系統組態指南 (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-installation-and-configuration-guides-list.html)。Cisco Unified Communications Manager
安全指南 Cisco Unified Communications Manager (https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-maintenance-guides-list.html)

您的手機只能儲存有限數量的身分信任清單 (ITL) 檔案。 ITL 文件在手機上不能超過 64K，因此限制發送到手機的文件數量。Cisco Unified Communications Manager

支援的安全功能

安全功能可防止威脅，包括對手機身份和數據的威脅。這些功能會在手機和Cisco Unified Communications Manager伺服器之間建立並維護已驗證的通訊串流，並確保手機僅使用數位簽署的檔案。

Cisco Unified Communications Manager版本 8.5 (1) 及更新版本預設包含安全性，該版本為 Cisco IP 電話提供下列安全性功能，而無需執行 CTL 用戶端的情況下：

簽署電話組配置檔案
手機配置文件加密
使用湯姆貓和其他網絡服務的 HTTPS

安全的信號和媒體功能仍需要您執行 CTL 用戶端並使用硬件 eToken。

在Cisco Unified Communications Manager系統中實現安全防護可防止手機和服務Cisco Unified Communications Manager器的身份盜用，防止數據偽造，並防止通話信號和媒體流盜用。

為了緩解這些威脅，Cisco IP 電話網路會建立並維護手機與伺服器之間的安全 (加密) 通訊流，在檔案傳輸到手機之前以數位方式簽署，並加密 Cisco IP 電話之間的媒體串流和通話訊號。

當您執行與 Certificate Authority Proxy 函數 (CAPF) 相關的必要工作後，本機重要憑證 (LSC) 會安裝在手機上。您可以使用Cisco Unified Communications Manager Administration來設定 LSC，如「Cisco Unified Communications Manager安全性指南」中所述。或者，您也可以從手機上的「安全性設定」功能表啟動安裝 LSC。此功能表也可讓您更新或移除 LSC。

從 PhoneOS 3.2 版本開始，LSC 可以用作具有 WLAN 驗證的 EAP-TLS 的使用者憑證。

手機使用手機安全性設定檔，該設備定義設備是不安全還是安全的。如需將安全性設定檔套用至手機的相關資訊，請參閱特定Cisco Unified Communications Manager版本的文件。

如果您在中設定安全相關設定Cisco Unified Communications Manager Administration，則手機組態檔會包含敏感資訊。為了確保組態檔案的私密性，您需設定對其進行加密。如需詳細資訊，請參閱您特定版本的文Cisco Unified Communications Manager件。

該手機符合聯邦信息處理標準（FIPS）。若要正常運作，FIPS 模式需要 2048 位元或更大的金鑰大小。如果憑證小於 2048 位元，則手機將無法註冊，Cisco Unified Communications Manager且電話無法註冊。憑證金鑰大小不符合 FIPS 相容的手機顯示器。

如果手機具有 LSC，則在啟用 FIPS 之前，您需要將 LSC 金鑰大小更新為 2048 位元或更大。

下表提供手機支援的安全性功能概述。如需更多資訊，請參閱特定 Cisco Unified Communications Manager 版本的說明文件。

若要檢視安全模式，請按「設定」，「設定」硬鍵然後瀏覽至「網路與服務」 >「安全性設定」。

表一。安全功能概述
功能	說明
映像檔驗證	已簽署的二進位檔案可防止在將影像載入手機之前對韌體映像進行操作。破解影像會導致手機失敗驗證程序，並拒絕新影像。
客戶現場憑證安裝	每個 Cisco IP 電話都需要一個唯一的憑證來進行設備驗證。手機包含製造安裝的憑證 (MIC)，但為了提高安全性，您可以在Cisco Unified Communications Manager Administration使用 Certificate Authority Proxy 函數 (CAPF) 中指定憑證安裝。或者，您也可以從手機上的「安全性組態」功能表安裝本機重要憑證 (LSC)。
裝置驗證	當每個實體Cisco Unified Communications Manager接受另一個實體的憑證時，伺服器和電話之間發生。決定是否應該在手機與 a 之間發生Cisco Unified Communications Manager 安全連線；如有必要，使用 TLS 通訊協定在實體之間建立安全信號路徑。 Cisco Unified Communications Manager除非可以驗證手機，否則不會註冊手機。
檔案驗證	驗證手機下載的數位簽署檔案。手機會驗證簽名，以確保文件建立後沒有發生檔案偽造。驗證失敗的檔案不會寫入手機上的 Flash 記憶體。手機拒絕此類文件而無需進一步處理。
檔案加密	加密可防止在文件傳輸到手機時洩露敏感信息。此外，手機會驗證簽名，以確保文件創建後沒有發生文件偽造。驗證失敗的檔案不會寫入手機上的 Flash 記憶體。手機拒絕此類文件而無需進一步處理。
訊號驗證	使用 TLS 通訊協定驗證傳輸過程中沒有任何破壞信號封包。
製造安裝證書	每個 Cisco IP 電話都包含唯一的製造安裝憑證 (MIC )，用於裝置驗證。 MIC 為手機提供永久的唯一身份證明，並Cisco Unified Communications Manager允許驗證手機。
媒體加密	使用 SRTP 來確保支援裝置之間的媒體串流可證明安全，且只有預期的裝置會接收和讀取資料。包括為裝置建立媒體主要金鑰配對、將金鑰傳遞給裝置，以及保護金鑰在傳輸中時保護金鑰的交付。
CAPF（Certificate Authority代理功能）	執行憑證產生程序的部分，對於手機而言過於處理密集，並與手機互動進行金鑰生成和憑證安裝。 CAPF 可以設定為代表電話向客戶指定的憑證授權單位要求憑證，也可以設定為在本機產生憑證。支援 EC (橢圓曲線) 和 RSA 鍵類型。若要使用 EC 金鑰，請確定已啟用「端點進階加密演算法支援」參數 (從系統 > 企業參數)。如需 CAPF 及相關組態的詳細資訊，請參閱下列文件： Cisco Unified Communications Manager 安全性指南 CUCM 第三方 CA 簽署的 LSC 產生和匯入組態範例透過 CAPF 線上 CA 設定自動憑證註冊和續訂
安全性設定檔	定義手機是否為非安全、經驗證、加密或受保護。此表格中的其他項目描述了安全性功能。
加密的組態檔	可讓您確保手機配置文件的隱私。
可選的網頁伺服器停用手機	為了安全起見，您可以防止訪問手機（顯示手機的各種操作統計數據）和自我護理入口網站的網頁。
手機硬化	您可從以下方式控制的其他安全性選項Cisco Unified Communications Manager Administration：停用電腦連接埠停用免費 ARP (GARP) 停用電腦語音 VLAN 存取停用對設定功能表的存取或提供限制存取權限停用手機對網頁的存取停用藍牙配件連接埠限制 TLS 加密
802.1X 驗證	思科 IP 電話可以使用 802.1X 驗證來要求並取得網路的存取權。如需詳細資訊，請參閱 802.1X 驗證。
針對 SRST 的安全 SIP 容錯移轉	針對安全性設定可存存遠端網站電話 (SRST) 參照，然後重設相依裝置之後Cisco Unified Communications Manager Administration，TFTP 伺服器會將 SRST 憑證新增至 phone cnf.xml 檔案，並將檔案傳送至手機。然後，安全的電話會使用 TLS 連線與啟用 SRST 功能的路由器進行互動。
信號加密	確保裝置與 Cisco Unified Communications Manager伺服器之間傳送的所有 SIP 訊號訊息都經過加密。
信任清單更新警報	當手機上更新信任清單時，Cisco Unified Communications Manager會收到警報，指出更新成功或失敗。如需詳細資訊，請參閱下表。
AES 256 加密	當連接至 10.5 Cisco Unified Communications Manager 版本 (2) 及更新版本時，手機支援 AES 256 加密支援 TLS 和 SIP，以進行信號和媒體加密。這使手機能夠使用符合 SHA-2（安全雜湊演算法）標準並符合聯邦信息處理標準 (FIPS) 的基於 AES-256 的加密來啟動和支持 TLS 1.2 連接。密碼包括：對於 TLS 連線： TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 對於 sRTP： AEAD_AES_256_GCM AEAD_AES_128_GCM 如需詳細資訊，請參閱Cisco Unified Communications Manager 文件。
橢圓曲線數位簽名演算法 (ECDSA) 憑證	作為通用標準 (CC) 認證的一部分，Cisco Unified Communications Manager; 在版本 11.0 中添加了 ECDSA 憑證。這會影響所有執行 CUCM 11.5 及更高版本的語音作業系統 (VOS) 產品。
多伺服器 (SAN) 湯姆貓憑證，含 Cisco UCM	電話支援設定多伺服器 (SAN) Tomcat 憑證的 Cisco UCM。正確的 TFTP 伺服器位址可以在電話註冊的電話 ITL 檔中找到。如需有關該功能的詳細資訊，請參閱下列內容：如何使用 Cisco UCM 設定多伺服器 (SAN) Tomcat 憑證 Cisco Unified Communications Manager 安全性指南

下表包含信任清單更新警示訊息和含義。如需詳細資訊，請參閱Cisco Unified Communications Manager 文件。

表二。信任清單更新警報訊息
程式碼和訊息	說明
1 - TL_SUCCESS	收到新的 CTL 和/或 ITL
2 - CTL_INITIAL_SUCCESS	收到新的 CTL，沒有現有 TL
3 - ITL_INITIAL_SUCCESS	收到新的 ITL，沒有現有 TL
4 - TL_INITIAL_SUCCESS	收到新的 CTL 和 ITL，沒有現有 TL
5 - TL_FAILED_OLD_CTL	更新到新的 CTL 失敗，但是舊有 TL
6 - TL_FAILED_NO_TL	更新到新的 TL 失敗，並且沒有舊的 TL
7 - TL_FAILED	一般失敗
8 - TL_FAILED_OLD_ITL	更新到新的 ITL 失敗，但是舊有 TL
9 - TL_FAILED_OLD_TL	更新到新的 TL 失敗，但是有以前的 TL

「安全設定」功能表提供有關各種安全性設定的資訊。功能表還提供對信任清單功能表的存取權，並指出是否已安裝 CTL 檔案或 ITL 檔案在手機上。

下表說明「安全設定」功能表中的選項。

表三安全設定功能表
選項	說明	要變更
安全性模式	顯示為手機設定的安全模式。	在 Cisco Unified Communications Manager 管理中選取裝置 > 電話。此設定會顯示在「電話組態」視窗的「通訊協定特定資訊」部分中。
LSC	指出手機上是否已安裝用於安全功能的本機重要憑證 (已安裝) 上 (已安裝)，還是未安裝在手機上 (未安裝)。	如需如何管理手機 LSC 的相關資訊，請參閱您特定版本的文件Cisco Unified Communications Manager。

設定本地重要憑證 (LSC)

此工作適用於使用驗證字串方法設定 LSC。

在開始之前

確定已完成適當Cisco Unified Communications Manager的Certificate Authority代理函數 (CAPF) 安全性設定：

CTL 或 ITL 檔案具有 CAPF 憑證。
在「Cisco Unified Communications Operating System管理」中，確認已安裝 CAPF 憑證。
CAPF 正在執行並設定。

如需有關這些設定的詳細資訊，請參閱您特定版本的文Cisco Unified Communications Manager件。

1	取得設定 CAPF 時設定的 CAPF 驗證碼。
2	在電話上，按設定.
3	如果系統提示，請輸入密碼以存取設定功能表。您可以從管理員處獲取密碼。
4	瀏覽至「網路與服務」 >「安全性設定」 >「LSC」。您可以使用中的「設定存取」欄位來控制對「設定」功能表的存取權Cisco Unified Communications Manager Administration。
5	輸入驗證字串，然後選取「提交」。根據 CAPF 的設定方式，手機開始安裝、更新或移除 LSC。程序完成後，手機上會顯示「已安裝」或「未安裝」。 LSC 安裝、更新或移除程序可能需要很長時間才能完成。當手機安裝程序成功時，會顯示「已 `安裝`」訊息。如果手機顯示「 `未安裝`」，則授權字串可能不正確，或者手機升級可能無法啟用。如果 CAPF 作業刪除 LSC，則手機會顯示「`未安裝`」，以指出作業成功。 CAPF 伺服器會記錄錯誤訊息。請參閱 CAPF 伺服器文件，以尋找記錄檔並了解錯誤訊息的含義。

啟用 FIPS 模式

1	在 Cisco Unified Communications Manager 管理中，依次序選擇裝置 > 電話，然後找出相應的電話。
2	切換作業選項至「產品特定組態」區域。
3	將「FIPS 模式」欄位設定為「啟用」。
4	選取儲存。
5	選取套用組態。
6	重新啟動電話。

關閉手機上的揚聲器、耳機和手機

您可以選擇為使用者永久關閉電話上的免持通話、耳機與話筒。

1	在 Cisco Unified Communications Manager 管理中，依次序選擇裝置 > 電話，然後找出相應的電話。
2	切換作業選項至「產品特定組態」區域。
3	勾選下列一個或多個核取方塊，以關閉手機的功能：停用免持通話停用免持通話與耳機停用手機依預設，這些核取方塊不會勾選。
4	選取儲存。
5	選取套用組態。

802.1X 驗證

Cisco IP 電話支援 802.1X 驗證。

Cisco IP 電話與 Cisco Catalyst 交換器通常使用 Cisco Discovery Protocol (CDP) 來相互識別及確定各項參數，例如 VLAN 分配與線內電源要求。 CDP 不會識別本機連接的工作站。 Cisco IP 電話提供 EAPOL 傳遞機制。此機制允許工作站連接至 Cisco IP 電話，以便將 EAPOL 訊息傳遞至 LAN 交換器上的 802.1X 驗證器。傳遞機制確保 IP 電話在存取網路之前，不會作為 LAN 交換器來驗證資料端點。

Cisco IP 電話還提供代理 EAPOL 登出機制。如本機連接的 PC 與 IP 電話中斷連接，LAN 交換器不會發現實體連結失敗，因為 LAN 交換器與 IP 電話之間仍保持連結。為避免影響網路完整性，IP 電話代表下游 PC 將 EAPOL 登出訊息傳送至交換器，這會觸發 LAN 交換器清除下游 PC 的驗證項目。

支援 802.1X 驗證需要若干元件︰

Cisco IP 電話︰電話發起存取網路的請求。 Cisco IP 電話包含 802.1X 要求。此要求允許網路管理員控制 IP 電話與 LAN 交換器連接埠的連接。最新版電話 802.1X 要求使用 EAP-FAST 與 EAP-TLS 選項進行網路驗證。
驗證伺服器：必須為驗證伺服器和交換器設定一個可用於驗證電話的共用密碼。
交換器：交換器必須支援 802.1X，以便其用作驗證器並在電話與驗證伺服器之間傳遞訊息。交換完成後，交換器同意或拒絕電話存取網路。

您需執行下列動作來設定 802.1X。

設定其他元件，然後在電話上啟用 802.1X 驗證。
設定 PC 連接埠：802.1X 標準不考慮 VLAN，因此建議對特定交換器通訊埠只驗證單一裝置。不過，部份交換器支援多網域驗證。交換器組態確定是否可將 PC 連線至電話的 PC 通訊埠。
- 已啟用：如果使用支援多網域驗證的交換器，您可以啟用 PC 連接埠並將 PC 連接至該連接埠。在此情況下，Cisco IP 電話支援 proxy EAPOL 登出，以監控交換器與連接的 PC 之間的驗證交換。
  
  如需關於 Cisco Catalyst 交換器支援 IEEE 802.1X 的詳細資訊，請參閱《Cisco Catalyst 交換器組態指南》，網址︰
  
  http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html
- 已停用：若交換器不在同一連接埠上支援多部 802.1X 相容裝置，則應在啟用 802.1X 驗證時停用 PC 連接埠。若不停用此連接埠，且隨後嘗試連接 PC 與該連接埠，交換器會拒絕在電話與 PC 上進行網路存取。
設定語音 VLAN：由於 802.1X 標準不考慮 VLAN，您應根據交換器支援情況來進行此設定。
- 已啟用：如果是使用支援多網域驗證的交換器，您可以繼續使用語音 VLAN。
- 已停用：若交換器不支援多網域驗證，則停用語音 VLAN，並考慮將通訊埠指定到原生 VLAN。
（僅適用於 Cisco 桌上型電話 9800 系列）
Cisco 桌上型電話 9800 系列在 PID 中的前綴與其他 Cisco 電話的前綴不同。若要讓您的電話透過 802.1X 驗證，請設定 Radius·使用者名稱參數以包含您的 Cisco 桌上型電話 9800 系列。
例如，電話 9841 的 PID 為 DP-9841;您可以設定半徑· 使用者名以 DP 開頭或 包含 DP。 您可以在以下兩個部分中進行設定：
- 原則 > 條件 > 庫條件
- 原則 > 原則集 > 授權原則 > 授權規則 1

啟用 802.1X 驗證

您可以按照下列步驟為手機啟用 802.1X 驗證：

1	按下設定.
2	如果系統提示，請輸入密碼以存取設定功能表。您可以從管理員處獲取密碼。
3	瀏覽至「網路與服務」>「安全性設定」 >「802.1X 驗證」。
4	開啟 IEEE 802.1X 驗證。
5	選取套用。

檢視手機上安全設定的相關資訊

您可以在手機功能表中檢視安全性設定的相關資訊。資訊的可用性取決於您組織的網路設定。

表四安全性設定參數
參數	說明
安全模式	顯示為手機設定的安全模式。
LSC	指出手機上是否已安裝用於安全功能的本機重要憑證 (是) 或未安裝在手機上 (否)。
信任清單	「信任清單」提供 CTL、ITL 和已簽署的組態檔案的子功能表。「CTL 檔案」子功能表會顯示 CTL 檔案的內容。「ITL 檔案」子功能表會顯示 ITL 檔案的內容。「信任清單」功能表也會顯示下列資訊： CTL 簽名：CTL 文件的 SHA1 哈希 Unified CM/TFTP 伺服器：手機使用的Cisco Unified Communications Manager和 TFTP 伺服器的名稱。如果已安裝此伺服器的憑證，則顯示憑證圖示。 CAPF 伺服器：手機使用的 CAPF 伺服器名稱。如果已安裝此伺服器的憑證，則顯示憑證圖示。 SRST 路由器：手機可以使用的受信任 SRST 路由器的 IP 地址。如果已安裝此伺服器的憑證，則顯示憑證圖示。
802.1X 驗證	啟用或停用 IEEE 802.1X 驗證。如需詳細資訊，請參閱 802.1X 驗證。
與 WPA 的向後相容性	確定最舊版本的 Wi-Fi 受保護存取 (WPA) 是否相容於手機連接到無線網路或存取點 (AP)。如果啟用，手機可以搜尋並連接支援所有版本 WPA 的無線網絡，包括 WPA、WPA2 和 WPA3。此外，手機可以搜尋並連接僅支援最舊版本 WPA 的 AP。如果停用 (預設)，手機只能搜尋並連接支援 WPA2 和 WPA3 的無線網路和 AP。此功能僅適用於 9861/9871/8875 手機。

1	按下設定.
2	瀏覽至「網路與服務」 >「安全性設定」。
3	在「安全性」設定中，檢視安全性資訊。

電話安全

為手機實現安全性時，您可以通過手機屏幕上的圖標識別安全電話。如果通話開始時播放安全音，您也可以判斷連接的手機是否安全和受保護。

在安全通話中，所有通話信號和媒體流都被加密。安全通話提供高等級的安全性，為通話提供完整性和隱私。當進行中的通話被加密時，您可以在線 the lock icon for a secure call 上看到安全圖標。對於安全的電話，您也可以在手機功能表 (設定 > 關於此裝置) 中檢視已連線伺服器旁邊的已驗證圖示或加密圖示。

如果通過非 IP 呼叫路徑（例如 PSTN）路由呼叫，即使呼叫已在 IP 網路內加密並與其關聯的鎖定圖示，即使呼叫也可能不安全。

在安全通話中，通話開始時會播放安全聲音，表示另一個連接的電話也正在接收和傳輸安全音頻。如果您的通話連接到不安全的電話，則不會播放安全聲音。

安全通話僅支援兩部電話之間的連線。設定安全通話時，某些功能，例如會議通話和共用線路，無法使用。

當手機在中設定為安全（加密和信任）時Cisco Unified Communications Manager，可以將其賦予受保護狀態。之後，如果需要，可以將受保護的手機配置為在通話開始時播放指示音：

受保護裝置：若要將安全手機的狀態變更為受保護，請勾選 [裝置 > 電話] 中的 [手機組態] 視窗中的 [受Cisco Unified Communications Manager Administration保護裝置] 核取方塊。
播放安全指示音：若要讓受保護的手機播放安全或不安全的指示音，請將「播放安全指示音色」設定設定為 True。依預設，播放安全指示音調設定為 False。您可以在 Cisco Unified Communications Manager Administration (系統 > 服務參數) 中設定此選項。選取伺服器，然後選取整合通訊管理員服務。在「服務參數組態」視窗中，選取「特徵-安全色調」區域中的選項。預設值為 False。

安全電話會議識別

您可以啟動安全電話會議，並監視參與者的安全等級。使用以下程序建立安全電話會議：

使用者從安全的電話啟動會議。
Cisco Unified Communications Manager指定安全的會議橋接給通話。
加入參與者時，會Cisco Unified Communications Manager驗證每部電話的安全模式，並維持會議的安全等級。
電話會顯示電話會議的安全性等級。安全會議會顯示安全圖示。

支援兩部電話之間的安全通話。對於受保護的電話，設定安全通話時，某些功能 (例如會Extension Mobility議通話、共用線路和 ) 無法使用。

下表提供有關會議安全性層級變更的資訊，具體取決於啟動器電話安全等級、參與者的安全性等級，以及安全會議橋接的可用性。

表五電話會議的安全限制
啟動器手機安全等級	使用的功能	參與者的安全等級	行動結果
非安全	會議	安全	非安全會議橋接器非安全會議
安全	會議	至少有一個成員不安全。	安全的會議橋接非安全會議
安全	會議	安全	安全的會議橋接安全加密級別會議
非安全	與我開會	最低安全等級已加密。	啟動器收到訊息 `不符合安全性等級，呼叫拒絕。`
安全	與我開會	最低安全等級不安全。	安全的會議橋接會議接受所有電話。

安全的電話識別

當您的手機和另一端的手機設定為安全通話時，便會建立安全通話。另一部電話可以位於同一 Cisco IP 網路中，或 IP 網路以外的網路上。只能在兩部電話之間進行安全通話。安全會議橋接設置後，會議通話應支持安全通話。

使用以下程序建立安全呼叫：

用戶從安全的電話（安全安全模式）啟動通話。
手機在手機屏幕上顯示安全圖標。此圖示表示手機已配置為安全通話，但這並不意味著另一個連接的電話也是安全的。
如果通話連接到另一個安全的電話，用戶會聽到安全聲音，表明對話的兩端都已加密和保護。如果通話連接到不安全的電話，則使用者不會聽到安全聲音。

支援兩部電話之間的安全通話。對於受保護的電話，設定安全通話時，某些功能 (例如會Extension Mobility議通話、共用線路和 ) 無法使用。

只有受保護的手機才能播放這些安全或不安全的指示音。未受保護的手機永遠不會播放音色。如果通話期間整體通話狀態發生變化，指示音調會改變，並且受保護的手機播放適當的音調。

在以下情況下，受保護的手機是否播放聲音：

啟用「播放安全指示音色」選項時：
- 當端對端安全媒體建立並且通話狀態安全時，手機會播放安全指示音（三個長的蜂鳴聲並暫停）。
- 當端對端非安全媒體建立且通話狀態不安全時，手機會播放不安全的指示音（六個短短的蜂鳴聲，短暫停）。

如果停用「播放安全指示音色」選項，則不會播放任何音色。

為駁船提供加密

Cisco Unified Communications Manager在建立會議時檢查電話安全狀態，並變更會議的安全指示，或阻止通話完成，以維持系統的完整性和安全性。

如果用來傳送的手機未設定為加密，則使用者無法進入加密通話。在這種情況下，當駁船失敗時，拖船啟動的手機上會播放重新排序（快速忙碌）音。

如果啟動器電話設定進行加密，船舶啟動器可以從加密電話進入非安全通話。衝浪發生後，將通話Cisco Unified Communications Manager歸類為非安全。

如果啟動器電話設定進行加密，駁船啟動器可以進入加密的通話，並且手機表示通話已加密。

WLAN 安全

由於範圍內的所有 WLAN 裝置都可以接收所有其他 WLAN 流量，因此在 WLAN 中安全的語音通訊很重要。為了確保入侵者不會操縱或攔截語音通信，Cisco SAFE 安全架構支援電話。如需網路中安全性的詳細資訊，請參閱 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 無線 IP 電話解決方案提供無線網路安全，透過使用電話支援的以下身分驗證方法來防止未經授權的登入和受損的通訊：

開放驗證：任何無線裝置都可以在開放系統中請求驗證。接收請求的 AP 可以將驗證授予任何請求者或僅授予使用者清單上的請求者。無線設備和存取點 (AP) 之間的通訊可能不會加密。
可擴展身份驗證協定 - 透過安全性隧道進行靈活驗證 (EAP) 身份驗證：此用戶端 - 伺服器安全架構在 AP 和 RADIUS 伺服器 (例如身分服務引擎 (ISE)) 之間的傳輸級安全性 (TLS) 隧道內加密 #dns。

TLS 通道使用受保護存取認證 (PAC) 在用戶端（電話）與 RADIUS 伺服器之間驗證。伺服器將授權單位 ID (AID) 傳送至用戶端（電話），進而選取適當的 PAC。用戶端（電話）將 PAC-Opaque 返回至 RADIUS 伺服器。伺服器使用主密鑰解密 PAC 。這兩個端點即包含 PAC 金鑰並建立 TLS 通道。 EAP-FAST 支援自動 PAC 佈建，但您需在 RADIUS 伺服器上啟用它。

在 ISE 中，預設情況下，PAC 將在一周後過期。如果電話具有過期的 PAC，電話取得新的 PAC 時，向 RADIUS 伺服器驗證需要更長時間。若要避免 PAC 佈建延遲，請在 ISE 或 RADIUS 伺服器上將 PAC 到期期間設定為 90 天或更長時間。
可延伸驗證通訊協定—傳輸層安全性 (EAP-TLS) 的驗證：EAP-TLS 需要用戶端憑證才能進行驗證與網路存取。對於無線 TLS，用戶端憑證可以是 MIC, LSC, 或使用者安裝的憑證。
受保護的可延伸驗證通訊協定 (PEAP)：用戶端 (電話) 與 RADIUS 伺服器之間的 Cisco 專屬密碼型相互驗證架構。手機可以使用 PEAP 與無線網路進行身份驗證。同時支援 PEAP-MSCHAPV2 和 PEAP-GTC 驗證方法。
預共享金鑰 (PSK)：該電話支援 ASCII 格式。設定 WPA/WPA2/SAE 預共用金鑰時必須使用此格式：

ASCII：長度為 8 至 63 個字元的 ASCII 字元字串 (0-9、小寫和大寫 A-Z 以及特殊字元)

例子: GREG123567@9ZX&W

下列驗證方案使用 RADIUS 伺服器管理驗證金鑰：

WPA/WPA2/WPA3：使用 RADIUS 伺服器資訊產生用於驗證的唯一金鑰。由於這些金鑰是在集中式 RADIUS 伺服器上產生的，因此 WPA2/WPA3 比儲存在 AP 和手機上的 WPA 預先共用金鑰更安全。
快速安全漫遊︰使用 RADIUS 伺服器和無線網域伺服器 (WDS) 資訊來管理和驗證金鑰。 WDS 為啟用 FT 的用戶端裝置建立安全憑證緩存，以便快速且安全地重新進行身份驗證。 Cisco 桌上型電話 9861 和 9871 以及 Cisco 視訊電話 8875 支援 802.11r (FT)。支援無線和 DS 兩種方式，以實現快速安全的漫遊。但是，我們極力建議利用無線 802.11r (FT)。

使用 WPA/WPA2/WPA3，加密金鑰無需在手機上輸入，而是在 AP 和手機之間自動得出。但是，需在每部電話上輸入用於驗證的 EAP 使用者名稱和密碼。

為了確保語音通訊的安全，電話支援 TKIP 和 AES 加密。當這些機制用於加密時，AP 和電話之間的訊號 SIP 封包和語音即時傳輸協定 (RTP) 封包都會被加密。

TKIP: WPA 使用 TKIP 加密，與 WEP 相比有幾項改進。 TKIP 提供了封包性的可加強加密的金鑰加密及較長的初始向量 (IV)。此外，訊息完整性檢查 (MIC) 可確保不會變更加密的封包。 TKIP 可移除有助於入侵者破解 WEP 金鑰的 WEP 之預測性。
AES: 用於 WPA2/WPA3 驗證的加密方法。此國家加密標準使用的對稱演算法具有相同的加密和解密金鑰。 AES 使用大小為 128 位元 (作為最低要求) 的加密封鎖鏈 (CBC) 加密，此加密支援 128 位元、192 位元和 256 位元的金鑰。手機支援 256 位元密鑰大小。

Cisco 桌上型電話 9861 和 9871 以及 Cisco 視訊電話 8875 不支援帶有 CMIC 的 Cisco 金鑰完整性協定 (CKIP)。

在無線 LAN 內設定驗證和加密架構。在網路中和 AP 上設定 VLAN，並指定不同的驗證和加密的組合。 SSID 與 VLAN 和特定驗證及加密架構關聯。為了讓無線用戶端裝置成功進行身份驗證，您必須在 AP 和手機上設定相同的 SSID 及其身份驗證和加密方案。

部分驗證架構需要特定的加密類型。

當您使用 WPA 預先共用金鑰、WPA2 預共用金鑰或 SAE 時，必須在手機上靜態設定預共用金鑰。這些金鑰需與 AP 上的金鑰相符。
手機支援 FAST 或 PEAP 的自動 EAP 協商，但不支援 TLS。對於 EAP-TLS 模式，您必須指定它。

下表中的認證和加密方案顯示了與 AP 配置對應的手機網路配置選項。

表六驗證和加密方案
FSR 類型	驗證	金鑰管理	加密	受保護的管理幀 (PMF)
802.11r (光纖)	PSK	WPA-PSK WPA-PSK-SHA256 FT-PSK	AES	否
802.11r (光纖)	WPA3	SAE FT-SAE	AES	是
802.11r (光纖)	EAP-TLS	WPA-EAP FT-EAP	AES	否
802.11r (光纖)	EAP-TLS (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	是
802.11r (光纖)	EAP-FAST	WPA-EAP FT-EAP	AES	否
802.11r (光纖)	EAP-FAST (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	是
802.11r (光纖)	EAP-PEAP	WPA-EAP FT-EAP	AES	否
802.11r (光纖)	EAP-PEAP (WPA3)	WPA-EAP-SHA256 FT-EAP	AES	是

設定無線區域網路設定檔

您可以透過設定認證、頻段、驗證方法等來管理無線網路設定檔。

在設定 WLAN 設定檔之前，請緊記以下注意事項：

使用者名稱與密碼
- 網路使用 EAP-FAST 和 PEAP 進行使用者驗證時，您需在遠端驗證撥號使用者服務與電話上設定使用者名稱與密碼（如有需要）。
- 在無線 LAN 設定檔中輸入的憑證必須與在 RADIUS 伺服器上設定的憑證相同。
- 若您使用網路內的網域，需輸入帶有網域名稱的使用者名稱，格式為︰domain\username。
以下動作可能會導致現有的 Wi-Fi 密碼遭到清除︰
- 輸入無效的使用者 ID 或密碼
- 當 EAP 類型設定為 PEAP-MSCHAPV2 或 PEAP-GTC 時，安裝無效或過期的根 CA
- 在將電話切換為新的 EAP 類型之前，停用電話 RADIUS 伺服器上所用的 EAP 類型
要更改 EAP 類型，請確保首先在 RADIUS 伺服器上啟用新的 EAP 類型，然後再將電話切換到 EAP 類型。當所有電話都已變更為新的 EAP 類型之後，您可以視需要來停用之前的 EAP 類型。

1	在 Cisco Unified Communications Manager 管理中選取裝置 > 裝置設定 > 無線 LAN 設定檔。
2	選擇要設定的網路設定檔。
3	設定參數。
4	按一下儲存。

設定 SCEP 參數

簡單憑證註冊通訊協定 (SCEP) 是自動佈建和續訂憑證的標準。 SCEP 伺服器可以自動維護您的使用者和伺服器憑證。

您必須在手機網頁上設定下列 SCEP 參數

RA IP 位址
SCEP 伺服器根 CA 憑證的 SHA-1 或 SHA-256 指紋

註Cisco IOS冊授權單位 (RA) 可作為 SCEP 伺服器的代理。手機上的 SCEP 用戶端使用從思科整合通訊管理員下載的參數。設定參數後，手機會將 SCEP getcs 請求傳送給 RA，並使用定義的指紋驗證根 CA 憑證。

在開始之前

在 SCEP 伺服器上，將 SCEP 註冊代理程式 (RA) 設定為：

作為 PKI 信任點
擔任 PKI 行政長官
使用 RADIUS 伺服器執行裝置驗證

如需詳細資訊，請參閱您的 SCEP 伺服器文件。

1	從Cisco Unified Communications Manager 管理中，選取裝置 >電話。
2	找到手機。
3	捲動至「產品特定組態配置配置」區域。
4	在「WLAN SCEP 伺服器」欄位中輸入 RA IP 位址或主機名稱，然後選取核取方塊以啟用 SCEP 參數。
5	在 WLAN 根 CA 指紋 (SHA256 或 SHA1) 欄位中輸入根 CA 憑證的 SHA-1 或 SHA-256 指紋，然後選取核取方塊以啟動 SCEP QED 參數。
6	選取儲存。
7	選取套用組態。

設定支援的 TLS 版本

您可以分別設定用戶端和伺服器所需的最低 TLS 版本。

依預設，伺服器和用戶端的最低 TLS 版本都是 1.2。此設定會對下列功能產生影響：

HTTPS 網頁存取連線
內部部署電話的入門
行動裝置和 Remote Access (MRA) 的入職
HTTPS 服務，例如目錄服務
資料包傳輸層安全性 (DTLS)
連接埠存取實體 (PAE)
可擴充驗證通訊協定-傳輸層安全性 (EAP-TLS)

如需有關思科 IP 電話的 TLS 1.3 相容性的詳細資訊，請參閱思科協作產品的 TLS 1.3 相容性矩陣。

1	以管理員身份登入「 Cisco Unified Communications Manager 管理」。
2	瀏覽至下列其中一個視窗：系統 > 企業電話組態裝置 > 裝置設定 > 通用手機設定檔裝置 > 電話 > 手機配置
3	設定「TLS 用戶端最小版本」欄位：「TLS 1.3」選項可在 Cisco Unified CM 15SU2 或更新版本上使用。 TLS 1.1：TLS 用戶端支援從 1.1 到 1.3 的 TLS 版本。如果伺服器中的 TLS 版本低於 1.1，例如 1.0，則無法建立連線。 TLS 1.2 （預設）：TLS 用戶端支援 TLS 1.2 和 1.3。如果伺服器中的 TLS 版本低於 1.2，例如 1.1 或 1.0，則無法建立連線。 TLS 1.3：TLS 用戶端僅支援 TLS 1.3。如果伺服器中的 TLS 版本低於 1.3，例如 1.2、1.1 或 1.0，則無法建立連線。
4	設定「TLS 伺服器最小版本」欄位： TLS 1.1：TLS 伺服器支援從 1.1 到 1.3 的 TLS 版本。如果用戶端中的 TLS 版本低於 1.1，例如 1.0，則無法建立連線。 TLS 1.2 （預設）：TLS 伺服器支援 TLS 1.2 和 1.3。如果用戶端中的 TLS 版本低於 1.2，例如 1.1 或 1.0，則無法建立連線。 TLS 1.3：TLS 伺服器僅支援 TLS 1.3。如果用戶端中的 TLS 版本低於 1.3，例如 1.2、1.1 或 1.0，則無法建立連線。從 PhoneOS 3.2 版本開始，「停用 TLS 1.0 和 TLS 1.1 以進行網絡訪問」欄位的設置不會對手機進行影響。
5	按一下儲存。
6	按一下套用組態。
7	重新啟動電話。

保證服務 SIP

確保服務 SIP(AS-SIP) 是一系列功能和通訊協定，為 Cisco IP 電話與第三方電話提供高度安全的通話流。下列功能統稱為 AS-SIP：

多級優先與佔先 (MLPP)
差異化服務代碼點 (DSCP)
傳輸層安全性 (TLS) 和安全的即時傳輸通訊協定 (SRTP)
網際網路通訊協定第 6 版 (IPv6)

AS-SIP 通常與多層級優先與佔先 (MLPP) 一起用於在緊急時優先處理通話。使用 MLPP，您可以將優先級別分配給您的外撥通話，從級別 1（低）到等級 5（高）。接收通話時，手機上會顯示優先順序等級圖示，顯示通話優先順序。

若要設定 AS-SIP，請完成下列工作：Cisco Unified Communications Manager

設定摘要使用者-設定一般使用者為 SIP 要求使用摘要驗證。
設定 SIP 電話安全連接埠 — Cisco Unified Communications Manager 使用此連接埠聆聽 SIP 手機，以便透過 TLS 進行 SIP 線註冊。
重新啟動服務 — 設定安全連接埠後，重新啟動 Cisco CTL Cisco Unified Communications Manager 提供者服務。設定 AS-SIP 的 SIP 設定檔-為 AS-SIP 端點和 SIP 中繼設定具有 SIP 設定的 SIP 設定檔。電話特定參數不會下載到第三方 AS-SIP 手機。它們僅由思科整合管理員使用。第三方手機必須在本機設定相同的設定。
設定 AS-SIP 的電話安全設定檔 — 您可以使用手機安全性設定檔來指派安全性設定，例如 TLS、SRTP 和摘要驗證。
設定 AS-SIP 端點 — 設定 Cisco IP 電話或具有 AS-SIP 支援的協力廠商端點。
將裝置與最終使用者關聯-將端點與使用者關聯。
設定 AS-SIP 的 SIP 中繼資訊安全性設定檔 — 您可以使用 SIP 中繼資訊安全性設定檔，將安全性功能，例如 TLS 或摘要驗證指定給 SIP 中繼。
為 AS-SIP 設定 SIP 中繼 — 設定具有 AS-SIP 支援的 SIP 中繼。
設定 AS-SIP 功能-設定其他 AS-SIP 功能，例如 MLPP、TLS、V.150 和 IPv6。

如需設定 AS-SIP 的詳細資訊，請參閱功能組態指南中的「設定 AS-SIP 端點」章節。Cisco Unified Communications Manager

多級優先與佔先

多層次優先順序和預先權 (MLPP) 可讓您在緊急情況或其他危機情況下優先處理通話的優先順序。您可以為範圍從 1 到 5 的外出來電分配優先順序。來電會顯示圖示和通話優先順序。已驗證的使用者可以預先撥打目標電台或通過完全訂閱的 TDM 幹線進行呼叫。

這項功能可確保高級人員與關鍵組織和人員溝通。

如果已設定的翻譯/路由模式操控撥號碼Unified CM，MLPP 呼叫啟動器也可以在手機螢幕上看到 MLPP 特殊圖示和優先順序等級，並且可以聽到鈴聲。此行為是在發行 PhoneOS 3.4 之後實現的。

PhoneOS 手機的 MLPP 功能需要 15SU3 版或Unified CM更新版本。

MLPP 配置開啟 Unified CM

若要設定功能，請執行下列動作：

設定網域和網域清單。
1. 從Cisco Unified CM Administration，選取系統 > MLPP > 網域 > MLPP 網域，新增新的 MLPP 網域。
2. 選取系統 > MLPP > 命名空間 > 資源優先順序命名空間網路網域，新增註冊的命名空間，例如「drsn」、「dsn」、「cuc」、「uc」、「q735」。然後選擇一個網域名稱作為預設。
3. 選取系統 > MLPP > 命名空間 > 資源優先順序命名空間清單，新增命名空間清單。
設定 SIP 設定檔。
1. 選取裝置 > 裝置設定 > SIP 設定檔，新增新的 SIP 設定檔。
2. 如果您希望電話需要使用者認證來進行 MLPP 呼叫，請勾選「MLPP 使用者授權」核取方塊。
3. 從資源優先順序命名空間中選取已設定的資源優先順序命名空間。
4. 從資源優先順序命名空間清單中選取已設定的命名空間清單。
設定手機。
1. 選取 [裝置] > [電話]、更新或新增手機。
2. 從 SIP 設定檔中選取已設定的 SIP 設定檔。
3. 在「MLPP 與Confidential Access Level資訊」段落下，設定「MLPP 網域」、「MLPP 指示」和「MLPP 預測」參數。
設定目錄號碼。
1. 選取裝置 > 電話，新增或更新線路。
2. 在 MLPP 替代方和設定區段下Confidential Access Level，設定參數目標 (目的地)、 MLPP 呼叫搜尋空間和 MLPP 無回應鈴持續時間 (秒)。
3. 在「多重呼叫/呼叫等待設定」區段下，設定參數「忙碌觸發」。
設定一般使用者。
1. 選取使用者管理 > 一般使用者，新增一個新使用者。
2. 按一下裝置關聯，將使用者與已設定的手機關聯。
3. 在「多層次優先順序和預設授權」一節下，設定參數。
您可以根據實際需求設定 MLPP 的其他參數。
- 選取「系統」>「服務參數」。在叢集範圍參數 (特徵-多層次優先順序和預設值) 區段下設定參數。
- 選取「系統」>「服務參數」。在「叢集範圍參數 (系統-QOS)」一節下，設定 DSCP 以進行優先呼叫。
- 選取「系統」>「服務參數」。在「叢集範圍參數 (系統-RSVP)」一節下，將 MLPP 優先順序設定至 SRVP 優先順序對應。
- 從呼叫路由 > 路由 /搜尋 > 路由器模式設定路由器模式。
- 從呼叫路由 > 路由/狩獵 > 狩獵飛行員設定狩獵飛行員。
- 從呼叫路由 > 翻譯樣式設定翻譯樣式。
- 為 MLPP 設定閘道、幹線、預設裝置設定檔、使用者裝置設定檔以及一般裝置組態。

MLPP 通常與保證服務 SIP（AS-SIP）一起使用。如需有關設定 MLPP 的詳細資訊，請參閱〈圖徵組態指南中設定多層次優先順序與預設值〉一章。Cisco Unified Communications Manager

設置 FAC 和 CMC

在手機上設定強制授權代碼 (FAC) 或用戶端事項代碼 (CMC) 或兩者，使用者必須輸入必要的密碼來撥出號碼。

如需如何在中設定 FAC 和 CMC 的詳細資訊Cisco Unified Communications Manager，請參閱 12.5 版 (1) 或更新版本的功能組態指南中的「用戶端事項代碼Cisco Unified Communications Manager和強制授權代碼」一章。

VPN 配置

Cisco VPN 功能可協助您保持網路安全性，同時為使用者提供安全、可靠的方法來連線到您的企業網路。在以下情況下使用此功能：

手機位於受信任的網路之外
手機之間的網絡流量和跨過Cisco Unified Communications Manager不受信任的網絡

使用 VPN，用戶端身份驗證有三種常見方法：

數位證書
密碼
使用者名稱與密碼

每種方法都有其優點。但是，如果您的公司安全政策允許，我們建議採用憑證型的方法，因為憑證允許無縫登入，而無需任何使用者介入。同時支援 LSC 和 MIC 憑證。

若要設定任何 VPN 功能，請先在內部部署佈建裝置，然後您可以在外部部署裝置。

如需有關憑證驗證和使用 VPN 網路的詳細資訊，請參閱在 ASA AnyConnect VPN 上設定電話使用憑證驗證。

使用密碼或使用者名稱和密碼方法，系統會提示使用者輸入登入認證。根據公司安全政策設定使用者登入認證。您也可以設定「啟用密碼持續性」設定，以便將使用者密碼儲存在手機上。使用者密碼會儲存，直到嘗試登入失敗、使用者手動清除密碼，或手機重設或失去電力為止。

另一個有用的工具是啟用自動網絡檢測設置。啟用此核取方塊時，VPN 用戶端只能在偵測到其位於公司網路外時執行。依預設，此設定為停用。

您的思科手機支援思科 SVC IPPhone 客戶端 v1.0 作為用戶端類型。

如需如何設定 VPN 的詳細資訊，Unified CM請參閱功能組態指南Cisco Unified Communications Manager。

思科 VPN 功能使用安全通訊端層 (SSL) 來保護網路安全性。

Cisco AI Assistant

感謝您的意見回饋。