Благодарим за обратната връзка.

Функциите за сигурност предпазват от заплахи, включително заплахи за самоличността на телефона и за данните. Тези функции установяват и поддържат удостоверени комуникационни потоци между телефона и сървъра на Cisco Unified Communications Manager и гарантират, че телефонът използва само цифрово подписани файлове.

Cisco Unified Communications Manager версия 8.5(1) и по-нови версии включват „Защита“ по подразбиране, която предоставя следните функции за сигурност за Cisco IP телефони, без да е необходимо да се изпълнява CTL клиентът:

• Подписване на конфигурационните файлове на телефона

• Шифроване на конфигурационния файл на телефона

• HTTPS с Tomcat и други уеб услуги

Внедряването на сигурност в системата Cisco Unified Communications Manager предотвратява кражбата на самоличност на телефона и сървъра на Cisco Unified Communications Manager, предотвратява подправянето на данни и предотвратява подправянето на сигнализацията на повикванията и медийния поток.

За да се облекчат тези заплахи, мрежата на Cisco IP телефония установява и поддържа защитени (криптирани) комуникационни потоци между телефона и сървъра, подписва цифрово файловете, преди да бъдат прехвърлени към телефона, и криптира медийни потоци и сигнализацията на повикванията между Cisco IP телефоните.

Локално значим сертификат (LSC) се инсталира на телефоните, след като изпълните необходимите задачи, свързани с функцията за прокси на сертифициращ орган (CAPF). Можете да използвате Cisco Unified Communications Manager Administration, за да конфигурирате LSC, както е описано в Ръководството за сигурност на Cisco Unified Communications Manager. Като алтернатива, можете да започнете инсталирането на LSC от менюто Сигурност на телефона. Това меню ви позволява също да актуализирате или премахвате LSC.

Телефоните използват профила за сигурност на телефона, който определя дали устройството е защитено или не. За информация относно прилагането на профила за сигурност към телефона вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

Ако конфигурирате настройки, свързани със сигурността, в Cisco Unified Communications Manager Administration, конфигурационният файл на телефона съдържа чувствителна информация. За да осигурите поверителността на конфигурационен файл, трябва да го конфигурирате за криптиране. За подробна информация вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

Следната таблица предоставя общ преглед на функциите за сигурност, които телефоните поддържат. За повече информация вижте документацията за вашата конкретна версия на Cisco Unified Communications Manager.

Следната таблица съдържа съобщенията за аларма за актуализиране на списъка с доверени данни и тяхното значение. За повече информация вижте документацията на Cisco Unified Communications Manager.

Когато за телефон е внедрена защита, можете да разпознавате защитените телефонни разговори по икони на екрана на телефона. Можете също така да определите дали свързаният телефон е защитен, ако в началото на разговора се чуе сигнал за сигурност.

При защитено повикване цялата сигнализация на повикванията и медийните потоци са криптирани. Защитеното повикване предлага високо ниво на сигурност, осигурявайки цялостност и поверителност на разговора. Когато текущото повикване е криптирано, можете да видите иконата за сигурност на линията.

В Cisco Unified Communications Manager, телефоните, конфигурирани като защитени (криптирани и надеждни), могат да получат защитен статус. След като бъдат защитени, тези устройства могат да бъдат конфигурирани да възпроизвеждат защитен тон в началото на всяко повикване.

• Защитено устройство:

  За да промените състоянието на защитен телефон на защитен:

  1. В администрирането на Cisco Unified Communications Manager изберете Устройство > Телефон.
  2. Намерете телефона, който ще настроите.
  3. В прозореца за конфигурация на телефона поставете отметка в квадратчето Защитено устройство.
  4. Щракнете върху Запиши.

• Възпроизвеждане на защитен индикаторен тон:

  За да активирате защитения телефон да възпроизвежда защитен или незащитен индикационен тон:

  1. В администрирането на Cisco Unified Communications Manager изберете Система > Параметри на услугата.
  2. Изберете сървъра и след това услугата Cisco CallManager.
  3. В областта Параметри за целия клъстер (Функция - Защитен тон) задайте Тон за възпроизвеждане на Показва Secure/Non-Secure Задаване на състоянието на повикване на True.
  4. Щракнете върху Запиши.

Тъй като всички WLAN устройства, които са в обхвата, могат да приемат целия друг WLAN трафик, осигуряването на гласови комуникации е от решаващо значение в WLAN мрежите. За да се гарантира, че нарушителите няма да манипулират или прехващат гласовия трафик, архитектурата Cisco SAFE Security поддържа телефона. За повече информация относно сигурността в мрежите вижте http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Решението за безжична IP телефония на Cisco осигурява сигурност на безжичната мрежа, която предотвратява неоторизирани влизания и компрометирани комуникации, като използва следните методи за удостоверяване, поддържани от телефона.

• Отворено удостоверяване: Всяко безжично устройство може да поиска удостоверяване в отворена система. Точката за достъп, която получава заявката, може да предостави удостоверяване на всеки заявител или само на заявители, които са намерени в списък с потребители. Комуникацията между безжичното устройство и точката за достъп (AP) може да не е криптирана.

• Протокол за разширяемо удостоверяване - Гъвкаво удостоверяване чрез удостоверяване чрез защитено тунелиране (EAP-FAST): Тази архитектура за сигурност клиент-сървър криптира EAP транзакциите в тунел на ниво на защита на транспорта (TLS) между точката за достъп и RADIUS сървъра, като например Identity Services Engine (ISE).

  TLS тунелът използва защитени идентификационни данни за достъп (PAC) за удостоверяване между клиента (телефона) и RADIUS сървъра. Сървърът изпраща Authority ID (AID) на клиента (телефона), който от своя страна избира подходящия PAC. Клиентът (телефонът) връща PAC-Opaque на RADIUS сървъра. Сървърът дешифрира PAC с първичния ключ. И двете крайни точки вече съдържат PAC ключа и се създава TLS тунел. EAP-FAST поддържа автоматично предоставяне на PAC, но трябва да го активирате на RADIUS сървъра.

  В ISE, по подразбиране, PAC изтича след една седмица. Ако телефонът има изтекъл PAC код, удостоверяването с RADIUS сървъра отнема повече време, докато телефонът получи нов PAC код. За да избегнете забавяния при осигуряването на PAC, задайте периода на изтичане на PAC на 90 дни или повече на ISE или RADIUS сървъра.

• Удостоверяване чрез протокол за разширяемо удостоверяване - защита на транспортния слой (EAP-TLS): EAP-TLS изисква клиентски сертификат за удостоверяване и достъп до мрежата. За безжичен EAP-TLS, клиентският сертификат може да бъде MIC, LSC или инсталиран от потребителя сертификат.

• Протокол за защитено разширяемо удостоверяване (PEAP): Патентована схема за взаимно удостоверяване, базирана на парола, на Cisco между клиента (телефона) и RADIUS сървъра. Телефонът може да използва PEAP за удостоверяване с безжичната мрежа. Поддържат се както методи за удостоверяване PEAP-MSCHAPV2, така и PEAP-GTC.

• Предварително споделен ключ (PSK): Телефонът поддържа ASCII и шестнадесетичен (HEX) формат. Трябва да използвате тези формати, когато настройвате WPA2/SAE Предварително споделен ключ.

  ASCII: ASCII низ от символи с дължина от 8 до 63 символа (0-9, малки букви от az, главни букви от AZ и специални символи). Например, GREG123567@9ZX&W.

  HEX: Шестнадесетичен низ от символи с дължина 64 шестнадесетични цифри (0-9, af или AF).

Следните схеми за удостоверяване използват RADIUS сървъра за управление на ключове за удостоверяване:

• WPA2/WPA3: Използва информация от RADIUS сървъра, за да генерира уникални ключове за удостоверяване. Тъй като тези ключове се генерират на централизирания RADIUS сървър, WPA2/WPA3 осигурява по-голяма сигурност от предварително споделените WPA ключове, които се съхраняват на точката за достъп и телефона.

• Бърз и сигурен роуминг: Използва информация от RADIUS сървър и безжичен домейн сървър (WDS) за управление и удостоверяване на ключове. WDS създава кеш с идентификационни данни за сигурност за клиентски устройства с активиран FT за бързо и сигурно повторно удостоверяване.

С WPA2/WPA3, Ключовете за криптиране не се въвеждат в телефона, а се извличат автоматично между точката за достъп и телефона. Но потребителското име и паролата за EAP, които се използват за удостоверяване, трябва да бъдат въведени на всеки телефон.

За да защити гласовия трафик по безжичната връзка, телефонът поддържа AES-базирано криптиране за WPA2/WPA3 удостоверяване. AES е симетричен блоков шифър, стандартизиран от NIST. AES използва фиксиран 128-битов размер на блока и поддържа ключове с размери от 128, 192 и 256 бита. В Wi-Fi мрежите AES се използва от шифрови пакети като CCMP или GCMP, докато удостоверяването се осигурява отделно от PSK, SAE или... 802.1X/EAP, в зависимост от конфигурирания режим на WLAN защита. Поддържаният шифров пакет и размерът на ключа зависят от модела на телефона и WLAN конфигурацията.

Когато телефонът използва AES криптиране, както сигналните SIP пакети, така и гласовите пакети Real-Time Transport Protocol (RTP) се криптират между точката за достъп и телефона.

В безжичната локална мрежа са настроени схеми за удостоверяване и криптиране. VLAN мрежите са конфигурирани в мрежата и на точките за достъп и определят различни комбинации от удостоверяване и криптиране. SSID се асоциира с VLAN и конкретна схема за удостоверяване и криптиране. За да се удостоверят успешно безжичните клиентски устройства, трябва да конфигурирате едни и същи SSID с техните схеми за удостоверяване и криптиране на точките за достъп и на телефона.

Някои схеми за удостоверяване изискват специфични видове криптиране.

Схемите за удостоверяване и криптиране в следващата таблица показват опциите за мрежова конфигурация за безжичен телефон Cisco 9821, които съответстват на конфигурацията на точката за достъп.

Безжичният телефон Cisco 9821 поддържа 802.1X удостоверяване за кабелни мрежи. Това обикновено се използва по време на автоматично осигуряване, когато телефонът е свързан към настолното зарядно устройство чрез поддържан USB-към-Ethernet адаптер.

Поддръжката за 802.1X удостоверяване в кабелни мрежи изисква няколко компонента, както следва:

• IP телефон на Cisco: Телефонът инициира заявката за достъп до мрежата. IP телефоните на Cisco съдържат 802.1X заявител. Този заявител позволява на мрежовите администратори да контролират свързаността на IP телефоните към портовете на LAN комутатора. Текущата версия на телефона, който кандидатства за 802.1X, използва опциите EAP-FAST и EAP-TLS за мрежово удостоверяване.

• Сървър за удостоверяване: Сървърът за удостоверяване и комутаторът трябва да бъдат конфигурирани със споделена RADIUS тайна.

• Превключвател: Комутаторът трябва да поддържа 802.1X, за да може да действа като удостоверител и да препредава EAP съобщенията между телефона и сървъра за удостоверяване. След като обменът приключи, комутаторът предоставя или отказва на телефона достъп до мрежата.

IP телефоните на Cisco и комутаторите Cisco Catalyst традиционно използват Cisco Discovery Protocol (CDP), за да се идентифицират взаимно и да определят параметри като разпределение на VLAN и изисквания за захранване.

Трябва да извършите следните действия, за да конфигурирате 802.1X.

• Конфигуриране CDP/LLDP байпас на гласова VLAN.

• Конфигурирайте сървъра за удостоверяване и комутатора, преди да активирате 802.1X удостоверяване за кабелни мрежи на телефона.

• Конфигуриране на гласова VLAN: Тъй като стандартът 802.1X не отчита VLAN, трябва да конфигурирате тази настройка въз основа на поддръжката на комутатора.

  • Активирано: Ако използвате комутатор, който поддържа многодомейново удостоверяване, можете да го конфигурирате да използва гласова VLAN мрежа.
  • Деактивирано: Ако комутаторът не поддържа многодомейно удостоверяване, деактивирайте Voice VLAN и помислете за присвояване на порта към собствената VLAN.

• Безжичният телефон Cisco 9821 има различен префикс в PID от този за другите телефони Cisco. За да разрешите на телефона си да преминава 802.1X удостоверяване, задайте параметъра Radius·User-Name, за да включите вашия безжичен телефон Cisco 9821.

  Например, PID на безжичния телефон Cisco 9821 е WP-9821. Можете да зададете Radius·User-Name на Start with WP или Contains WP и в двата от следните раздели:

  • Политика > Условия > Условия на библиотеката

  • Политика > Набори от правила > Политика за оторизация > Правило за оторизация 1