Tak for din feedback.

Sikkerhedsfunktioner beskytter mod trusler, herunder trusler mod telefonens identitet og data. Disse funktioner etablerer og vedligeholder godkendte kommunikationsstrømme mellem telefonen og Cisco Unified Communications Manager-serveren og sikrer, at telefonen kun bruger digitalt signerede filer.

Cisco Unified Communications Manager version 8.5(1) og nyere inkluderer Sikkerhed som standard, som giver følgende sikkerhedsfunktioner til Cisco IP-telefoner uden at køre CTL-klienten:

• Underskrivning af telefonkonfigurationsfilerne

• Kryptering af telefonkonfigurationsfiler

• HTTPS med Tomcat og andre webtjenester

Implementering af sikkerhed i Cisco Unified Communications Manager-systemet forhindrer identitetstyveri af telefonen og Cisco Unified Communications Manager-serveren, forhindrer datamanipulation og forhindrer manipulation af opkaldssignalering og mediestreams.

For at afbøde disse trusler etablerer og vedligeholder Cisco IP-telefoninetværket sikre (krypterede) kommunikationsstrømme mellem en telefon og serveren, signerer filer digitalt, før de overføres til en telefon, og krypterer mediestrømme og opkaldssignalering mellem Cisco IP-telefoner.

Et lokalt signifikant certifikat (LSC) installeres på telefoner, når du har udført de nødvendige opgaver, der er knyttet til certifikatmyndighedens proxyfunktion (CAPF). Du kan bruge Cisco Unified Communications Manager Administration til at konfigurere en LSC, som beskrevet i Cisco Unified Communications Manager Sikkerhedsvejledning. Alternativt kan du starte installationen af en LSC fra menuen Sikkerhed på telefonen. Denne menu giver dig også mulighed for at opdatere eller fjerne en LSC.

Telefonerne bruger telefonens sikkerhedsprofil, som definerer, om enheden er usikker eller sikker. Du kan finde oplysninger om, hvordan du anvender sikkerhedsprofilen på telefonen, i dokumentationen til din specifikke Cisco Unified Communications Manager-version.

Hvis du konfigurerer sikkerhedsrelaterede indstillinger i Cisco Unified Communications Manager Administration, indeholder telefonens konfigurationsfil følsomme oplysninger. For at sikre en konfigurationsfils fortrolighed skal du konfigurere den til kryptering. Du kan finde flere oplysninger i dokumentationen til din specifikke Cisco Unified Communications Manager-version.

Følgende tabel giver en oversigt over de sikkerhedsfunktioner, som telefonerne understøtter. Du kan finde flere oplysninger i dokumentationen til din specifikke Cisco Unified Communications Manager-version.

Følgende tabel indeholder alarmmeddelelser og betydning for opdatering af tillidslisten. Du kan finde flere oplysninger i dokumentationen til Cisco Unified Communications Manager.

Når der er implementeret sikkerhed for en telefon, kan du identificere sikre telefonopkald ved hjælp af ikoner på telefonskærmen. Du kan også afgøre, om den tilsluttede telefon er sikker og beskyttet, hvis der afspilles en sikkerhedstone i begyndelsen af opkaldet.

I et sikkert opkald krypteres al opkaldssignalering og mediestrømme. Et sikkert opkald tilbyder et højt sikkerhedsniveau og sikrer integritet og privatliv i opkaldet. Når et igangværende opkald er krypteret, kan du se sikkerhedsikonet på linjen.

I Cisco Unified Communications Manager kan telefoner, der er konfigureret som sikre (krypterede og betroede), tildeles en beskyttet status. Når disse enheder er beskyttet, kan de konfigureres til at afspille en sikkerhedstone i begyndelsen af hvert opkald.

• Beskyttet enhed:

  Sådan ændrer du status for en sikker telefon til beskyttet:

  1. I Cisco Unified Communications Manager Administration skal du vælge Enhed > Telefon.
  2. Find den telefon, du vil konfigurere.
  3. I vinduet Telefonkonfiguration skal du markere afkrydsningsfeltet Beskyttet enhed.
  4. Klik på Gem.

• Afspil sikker indikationstone:

  Sådan aktiverer du den beskyttede telefon til at afspille en sikker eller usikker indikationstone:

  1. I Cisco Unified Communications Manager Administration skal du vælge System > Serviceparametre.
  2. Vælg serveren og derefter tjenesten Cisco CallManager.
  3. I området Klyngeomfattende parametre (Funktion - Sikker tone) skal du indstille Afspil tone til at angive Secure/Non-Secure Indstilling af opkaldsstatus til Sand.
  4. Klik på Gem.

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage al anden WLAN-trafik, er sikring af talekommunikation afgørende i WLAN'er. For at sikre, at ubudne gæster ikke manipulerer eller opfanger taletrafik, understøtter Cisco SAFE Security-arkitekturen telefonen. For mere information om sikkerhed i netværk, se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscos trådløse IP-telefoniløsning leverer trådløs netværkssikkerhed, der forhindrer uautoriserede logins og kompromitteret kommunikation ved hjælp af følgende godkendelsesmetoder, som telefonen understøtter.

• Åbn godkendelse: Enhver trådløs enhed kan anmode om godkendelse i et åbent system. Den AP, der modtager anmodningen, kan tildele godkendelse til enhver anmoder eller kun til anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kan være ukrypteret.

• Extensible Authentication Protocol - Fleksibel godkendelse via sikker tunnelering (EAP-FAST) godkendelse: Denne klient-server-sikkerhedsarkitektur krypterer EAP-transaktioner i en TLS-tunnel (Transport Level Security) mellem AP'et og RADIUS-serveren, f.eks. Identity Services Engine (ISE).

  TLS-tunnelen bruger Protected Access Credentials (PAC'er) til godkendelse mellem klienten (telefonen) og RADIUS-serveren. Serveren sender et Authority ID (AID) til klienten (telefonen), som igen vælger den relevante PAC. Klienten (telefonen) returnerer en PAC-Opaque til RADIUS-serveren. Serveren dekrypterer PAC'en med den primære nøgle. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere det på RADIUS-serveren.

  I ISE udløber PAC'en som standard om en uge. Hvis telefonen har en udløbet PAC, tager godkendelse med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser i PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE- eller RADIUS-serveren.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)-godkendelse: EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. For trådløs EAP-TLS kan klientcertifikatet være MIC, LSC eller et brugerinstalleret certifikat.

• Beskyttet udvidelig godkendelsesprotokol (PEAP): Ciscos proprietære adgangskodebaserede gensidige godkendelsesordning mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP-MSCHAPV2- og PEAP-GTC-godkendelsesmetoder understøttes.

• Forhåndsdelt nøgle (PSK): Telefonen understøtter ASCII- og hexadecimale (HEX) formater. Du skal bruge disse formater, når du opretter en WPA2/SAE Foruddelt nøgle.

  ASCII: En ASCII-tegnstreng med en længde på 8 til 63 tegn (0-9, små bogstaver a-z, store bogstaver AZ og specialtegn). For eksempel, GREG123567@9ZX&W.

  HEX: En hexadecimal tegnstreng med en længde på 64 hexadecimale cifre (0-9, af eller AF).

Følgende godkendelsesordninger bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• WPA2/WPA3: Bruger RADIUS-serveroplysninger til at generere unikke nøgler til godkendelse. Fordi disse nøgler genereres på den centraliserede RADIUS-server, WPA2/WPA3 giver mere sikkerhed end foruddelte WPA-nøgler, der er gemt på adgangspunktet og telefonen.

• Hurtig sikker roaming: Bruger RADIUS-server og oplysninger fra en trådløs domæneserver (WDS) til at administrere og godkende nøgler. WDS'et opretter en cache med sikkerhedsoplysninger til FT-aktiverede klientenheder for hurtig og sikker gengodkendelse.

Med WPA2/WPA3, Krypteringsnøgler indtastes ikke på telefonen, men udledes automatisk mellem adgangspunktet og telefonen. Men EAP-brugernavnet og -adgangskoden, der bruges til godkendelse, skal indtastes på hver telefon.

For at beskytte taletrafik over det trådløse link understøtter telefonen AES-baseret kryptering. WPA2/WPA3 godkendelse. AES er en symmetrisk blokchiffer standardiseret af NIST. AES bruger en fast blokstørrelse på 128 bit og understøtter nøglestørrelser på 128 bit, 192 bit og 256 bit. I Wi-Fi-netværk bruges AES af krypteringspakker som CCMP eller GCMP, mens godkendelse leveres separat af PSK, SAE eller ... 802.1X/EAP, afhængigt af den konfigurerede WLAN-sikkerhedstilstand. Den understøttede krypteringssuite og nøglestørrelse afhænger af telefonmodellen og WLAN-konfigurationen.

Når telefonen bruger AES-kryptering, krypteres både SIP-signalpakkerne og stemme-RTP-pakkerne (Real-Time Transport Protocol) mellem adgangspunktet og telefonen.

Godkendelses- og krypteringsordninger er konfigureret i det trådløse LAN. VLAN'er konfigureres i netværket og på AP'erne og specificerer forskellige kombinationer af godkendelse og kryptering. Et SSID er tilknyttet et VLAN og den specifikke godkendelses- og krypteringsordning. For at trådløse klientenheder kan godkendes, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsskemaer på adgangspunkterne og på telefonen.

Nogle godkendelsesordninger kræver specifikke typer kryptering.

Godkendelses- og krypteringsskemaerne i følgende tabel viser netværkskonfigurationsindstillingerne for Cisco Wireless Phone 9821, der svarer til AP-konfigurationen.

Cisco trådløs telefon 9821 understøtter 802.1X-godkendelse til kabelbaserede netværk. Dette bruges typisk under automatisk klargøring, når telefonen er tilsluttet bordopladeren via en understøttet USB-til-Ethernet-adapter.

Understøttelse af 802.1X-godkendelse på kabelbaserede netværk kræver flere komponenter som følger:

• Cisco IP-telefon: Telefonen initierer anmodningen om at få adgang til netværket. Cisco IP-telefoner indeholder en 802.1X-supplikant. Denne supplikant giver netværksadministratorer mulighed for at kontrollere IP-telefoners forbindelse til LAN-switchportene. Den nuværende version af telefonens 802.1X-supplikant bruger EAP-FAST- og EAP-TLS-indstillingerne til netværksgodkendelse.

• Godkendelsesserver: Både godkendelsesserveren og switchen skal være konfigureret med en delt RADIUS-hemmelighed.

• Skifte: Switchen skal understøtte 802.1X, så den kan fungere som autentificeringsenhed og videresende EAP-meddelelserne mellem telefonen og godkendelsesserveren. Når udvekslingen er afsluttet, giver eller nægter switchen telefonen adgang til netværket.

Cisco IP-telefoner og Cisco Catalyst-switche bruger traditionelt Cisco Discovery Protocol (CDP) til at identificere hinanden og bestemme parametre som VLAN-allokering og inline-strømkrav.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurér CDP/LLDP stemme VLAN-bypass.

• Konfigurer godkendelsesserveren og switchen, før du aktiverer 802.1X-godkendelse for kabelforbundne netværk på telefonen.

• Konfigurer stemme-VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, bør du konfigurere denne indstilling baseret på switch-understøttelsen.

  • Aktiveret: Hvis du bruger en switch, der understøtter multidomæne-godkendelse, kan du konfigurere den til at bruge stemme-VLAN'et.
  • Deaktiveret: Hvis switchen ikke understøtter multidomæne-godkendelse, skal du deaktivere Voice VLAN og overveje at tildele porten til det native VLAN.

• Cisco trådløs telefon 9821 har et andet præfiks i PID'et end de andre Cisco-telefoner. For at din telefon kan overføre 802.1X-godkendelse, skal du indstille parameteren Radius·Brugernavn til at inkludere din Cisco trådløse telefon 9821.

  For eksempel er PID'et for Cisco trådløs telefon 9821 WP-9821. Du kan indstille Radius·Brugernavn til Start with WP eller Contains WP i begge de følgende afsnit:

  • Politik > Betingelser > Biblioteksbetingelser

  • Politik > Politiksæt > Autorisationspolitik > Autorisationsregel 1