תודה על המשוב.

תכונות אבטחה מגנות מפני איומים, כולל איומים על זהות הטלפון ועל נתונים. תכונות אלה יוצרות ומתחזקות זרמי תקשורת מאומתים בין הטלפון לשרת Cisco Unified Communications Manager, ומבטיחות שהטלפון ישתמש רק בקבצים חתומים דיגיטלית.

Cisco Unified Communications Manager גרסה 8.5(1) ואילך כולל אבטחה כברירת מחדל, המספקת את תכונות האבטחה הבאות עבור טלפוני Cisco IP מבלי להפעיל את לקוח CTL:

• חתימה על קבצי תצורת הטלפון

• הצפנת קובץ תצורת הטלפון

• HTTPS עם Tomcat ושירותי אינטרנט אחרים

יישום אבטחה במערכת Cisco Unified Communications Manager מונע גניבת זהות של הטלפון ושרת Cisco Unified Communications Manager, מונע שיבוש נתונים ומונע שיבוש איתות שיחות וזרימת מדיה.

כדי להקל על איומים אלה, רשת הטלפוניה IP של Cisco יוצרת ומתחזקת זרמי תקשורת מאובטחים (מוצפנים) בין טלפון לשרת, חותמת דיגיטלית על קבצים לפני שהם מועברים לטלפון, ומצפינה זרמי מדיה ואיתות שיחות בין טלפוני IP של Cisco.

תעודה בעלת משמעות מקומית (LSC) מותקנת בטלפונים לאחר ביצוע המשימות הנדרשות המשויכות לפונקציית ה-Proxy של רשות האישורים (CAPF). ניתן להשתמש ב-Cisco Unified Communications Manager Administration כדי להגדיר LSC, כמתואר ב מדריך האבטחה של Cisco Unified Communications Manager. לחלופין, ניתן ליזום את התקנת LSC מתפריט אבטחה בטלפון. תפריט זה מאפשר לך גם לעדכן או להסיר LSC.

הטלפונים משתמשים בפרופיל אבטחת הטלפון, המגדיר אם המכשיר אינו מאובטח או מאובטח. למידע על החלת פרופיל האבטחה על הטלפון, עיין בתיעוד עבור גרסת Cisco Unified Communications Manager הספציפית שלך.

אם תגדיר הגדרות הקשורות לאבטחה ב-Cisco Unified Communications Manager Administration, קובץ תצורת הטלפון מכיל מידע רגיש. כדי להבטיח את פרטיות קובץ התצורה, עליך להגדיר אותו להצפנה. למידע מפורט, עיין בתיעוד עבור גרסת Cisco Unified Communications Manager הספציפית שלך.

הטבלה הבאה מספקת סקירה כללית של תכונות האבטחה שהטלפונים תומכים בהן. לקבלת מידע נוסף, עיין בתיעוד של המהדורה הספציפית של מנהל התקשורת המאוחדת של Cisco.

הטבלה הבאה מכילה את הודעות האזעקה של עדכון רשימת האמינות ואת משמעותן. למידע נוסף, עיין בתיעוד של Cisco Unified Communications Manager.

כאשר מיושמת אבטחה עבור טלפון, ניתן לזהות שיחות טלפון מאובטחות באמצעות סמלים על מסך הטלפון. באפשרותך גם לקבוע אם הטלפון המחובר מאובטח ומוגן אם יישמע צליל אבטחה בתחילת השיחה.

בשיחה מאובטחת, כל איתות השיחות וזרמי המדיה מוצפנים. שיחה מאובטחת מציעה רמת אבטחה גבוהה, ומספקת שלמות ופרטיות לשיחה. כאשר שיחה פעילה מוצפנת, ניתן לראות את סמל המאובטח על הקו.

ב-Cisco Unified Communications Manager, ניתן להקצות סטטוס מוגן לטלפונים שתצורתם נקבעה כמאובטחים (מוצפנים ומהימנים). לאחר ההגנה, ניתן להגדיר את המכשירים הללו להשמיע צליל אבטחה בתחילת כל שיחה.

• מכשיר מוגן:

  כדי לשנות את הסטטוס של טלפון מאובטח ל"מוגן":

  1. ב-Cisco Unified Communications Manager Administration, בחר התקן > טלפון .
  2. אתר את הטלפון שתגדיר.
  3. בחלון תצורת הטלפון, בחר בתיבת הסימון התקן מוגן.
  4. לחץ על שמור.

• צליל חיווי מאובטח:

  כדי לאפשר לטלפון המוגן להשמיע צליל חיווי מאובטח או לא מאובטח:

  1. ב-Cisco Unified Communications Manager Administration, בחר מערכת > פרמטרים של שירות .
  2. בחר את השרת ולאחר מכן את השירות Cisco CallManager.
  3. באזור פרמטרים כלליים של אשכול (תכונה - צליל מאובטח), הגדר את צליל השמעה כדי לציין Secure/Non-Secure הגדרת סטטוס שיחה ל- אמת.
  4. לחץ על שמור.

מכיוון שכל התקני ה-WLAN הנמצאים בטווח קליטה יכולים לקבל את כל תעבורת ה-WLAN האחרת, אבטחת תקשורת קולית היא קריטית ברשתות WLAN. כדי להבטיח שפורצים לא יפעלו ולא יירטו תעבורת קול, ארכיטקטורת האבטחה של Cisco SAFE תומכת בטלפון. למידע נוסף על אבטחה ברשתות, ראו http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

פתרון הטלפוניה האלחוטית של Cisco IP מספק אבטחת רשת אלחוטית המונעת כניסות לא מורשות ותקשורת פגומה, באמצעות שיטות האימות הבאות שהטלפון תומך בהן.

• אימות פתוח: כל מכשיר אלחוטי יכול לבקש אימות במערכת פתוחה. נקודת הגישה שמקבלת את הבקשה יכולה להעניק אימות לכל מבקש או רק למבקשים שנמצאים ברשימת משתמשים. ייתכן שהתקשורת בין המכשיר האלחוטי לנקודת הגישה (AP) אינה מוצפנת.

• אימות פרוטוקול אימות מורחב - אימות גמיש באמצעות מנהור מאובטח (EAP-FAST): ארכיטקטורת אבטחה זו של לקוח-שרת מצפינה עסקאות EAP בתוך מנהרת אבטחה ברמת תעבורה (TLS) בין נקודת הגישה לשרת RADIUS, כגון מנוע שירותי זהות (ISE).

  מנהרת TLS משתמשת באישורי גישה מוגנים (PACs) לאימות בין הלקוח (טלפון) לשרת RADIUS. השרת שולח מזהה רשות (AID) ללקוח (טלפון), אשר בתורו בוחר את ה-PAC המתאים. הלקוח (טלפון) מחזיר PAC-Opaque לשרת RADIUS. השרת מפענח את ה-PAC באמצעות המפתח הראשי. שתי נקודות הקצה מכילות כעת את מפתח ה-PAC ונוצרת מנהרת TLS. EAP-FAST תומך בהקצאת PAC אוטומטית, אך עליך להפעיל אותה בשרת RADIUS.

  ב-ISE, כברירת מחדל, תוקף ה-PAC פג תוך שבוע. אם לטלפון יש PAC שפג תוקפו, האימות עם שרת RADIUS אורך זמן רב יותר בזמן שהטלפון מקבל PAC חדש. כדי למנוע עיכובים בהקצאת PAC, הגדר את תקופת התפוגה של PAC ל-90 יום או יותר בשרת ISE או RADIUS.

• אימות פרוטוקול אימות מורחב - אבטחת שכבת תעבורה (EAP-TLS): EAP-TLS דורש אישור לקוח לצורך אימות וגישה לרשת. עבור EAP-TLS אלחוטי, תעודת הלקוח יכולה להיות MIC, LSC או תעודה המותקנת על ידי המשתמש.

• פרוטוקול אימות מורחב מוגן (PEAP): תוכנית אימות הדדית קניינית מבוססת סיסמה של סיסקו בין הלקוח (טלפון) לשרת RADIUS. הטלפון יכול להשתמש ב-PEAP לאימות עם הרשת האלחוטית. נתמכות הן שיטות האימות PEAP-MSCHAPV2 והן PEAP-GTC.

• מפתח משותף מראש (PSK): הטלפון תומך בפורמטים ASCII ובפורמטים הקסדצימליים (HEX). עליך להשתמש בפורמטים אלה בעת הגדרת WPA2/SAE מפתח משותף מראש.

  ASCII: מחרוזת תווים ASCII באורך של 8 עד 63 תווים (0-9, אותיות קטנות az, אותיות גדולות AZ ותווים מיוחדים). לדוגמה, GREG123567@9ZX&W.

  הקסדצימלי: מחרוזת תווים הקסדצימלית באורך 64 ספרות הקסדצימליות (0-9, af או AF).

סכמות האימות הבאות משתמשות בשרת RADIUS כדי לנהל מפתחות אימות:

• WPA2/WPA3: משתמש במידע משרת RADIUS כדי ליצור מפתחות ייחודיים לאימות. מכיוון שמפתחות אלה נוצרים בשרת RADIUS המרכזי, WPA2/WPA3 מספק אבטחה רבה יותר ממפתחות WPA משותפים מראש המאוחסנים בנקודת הגישה ובטלפון.

• נדידה מהירה ומאובטחת: משתמש בשרת RADIUS ובמידע של שרת תחום אלחוטי (WDS) כדי לנהל ולאמת מפתחות. ה-WDS יוצר מטמון של אישורי אבטחה עבור התקני לקוח התומכים ב-FT לאימות מחדש מהיר ומאובטח.

עִם WPA2/WPA3, מפתחות הצפנה אינם מוזנים בטלפון, אלא נגזרים אוטומטית בין נקודת הגישה לטלפון. אבל יש להזין בכל טלפון את שם המשתמש והסיסמה של EAP המשמשים לאימות.

כדי לסייע בהגנה על תעבורת קול דרך הקישור האלחוטי, הטלפון תומך בהצפנה מבוססת AES עבור WPA2/WPA3 אימות. AES הוא צופן בלוקים סימטרי שתוקן על ידי NIST. AES משתמש בגודל בלוק קבוע של 128 סיביות ותומך בגדלי מפתח של 128 סיביות, 192 סיביות ו-256 סיביות. ברשתות Wi-Fi, AES משמש חבילות הצפנה כגון CCMP או GCMP, בעוד שאימות מסופק בנפרד על ידי PSK, SAE או 802.1X/EAP, בהתאם למצב אבטחת ה-WLAN שהוגדר. חבילת ההצפנה וגודל המפתח הנתמכים תלויים בדגם הטלפון ובתצורת ה-WLAN.

כאשר הטלפון משתמש בהצפנת AES, גם חבילות SIP של איתות וגם חבילות RTP (Real-Time Transport Protocol) של קול מוצפנות בין נקודת הגישה לטלפון.

סכמות אימות והצפנה מוגדרות בתוך רשת ה-LAN האלחוטית. רשתות VLAN מוגדרות ברשת ובנקודות הגישה (AP) ומציינות שילובים שונים של אימות והצפנה. SSID משויך ל-VLAN ולתכנית האימות וההצפנה הספציפית. כדי שהתקני לקוח אלחוטיים יאומתו בהצלחה, עליך להגדיר את אותם מזהי SSID עם סכמות האימות וההצפנה שלהם בנקודות הגישה ובטלפון.

חלק מתוכניות האימות דורשות סוגים ספציפיים של הצפנה.

סכמות האימות וההצפנה בטבלה הבאה מציגות את אפשרויות תצורת הרשת עבור טלפון אלחוטי של Cisco 9821 התואמות לתצורת נקודת הגישה.

טלפון אלחוטי סיסקו 9821 תומך באימות 802.1X עבור רשתות קוויות. זה משמש בדרך כלל במהלך הקצאה אוטומטית כאשר הטלפון מחובר למטען השולחני באמצעות מתאם USB-ל-Ethernet נתמך.

תמיכה באימות 802.1X ברשתות קוויות דורשת מספר רכיבים כדלקמן:

• טלפון IP של סרגל סטנסילים Stencils הטלפון יוזם את הבקשה לגישה לרשת. טלפוני IP של סיסקו מכילים מגיש בקשה 802.1X. מגיש הבקשה הזה מאפשר למנהלי רשת לשלוט בקישוריות של טלפוני IP לפורטים של מתג LAN. הגרסה הנוכחית של מגיש הבקשה 802.1X לטלפון משתמשת באפשרויות EAP-FAST ו-EAP-TLS לאימות רשת.

• שרת אימות: שרת האימות וגם המתג חייבים להיות מוגדרים עם סוד משותף של RADIUS.

• מֶתֶג: על המתג לתמוך ב-802.1X, כך שיוכל לשמש כמאמת ולהעביר את הודעות ה-EAP בין הטלפון לשרת האימות. לאחר השלמת ההחלפה, המתג מעניק או מונע את הגישה הטלפונית לרשת.

Cisco IP Phones ו - Cisco Catalyst switchs משתמשים באופן מסורתי ב - Cisco Discovery Protocol (CDP) כדי לזהות אחד את השני ולקבוע פרמטרים כגון הקצאת VLAN ודרישות כוח בתוך השורה.

עליך לבצע את הפעולות הבאות כדי להגדיר את 802.1X.

• הגדרות CDP/LLDP עקיפת VLAN קולית.

• הגדר את שרת האימות ואת המתג לפני שתפעיל אימות 802.1X עבור רשתות קוויות בטלפון.

• הגדר VLAN קולי: מכיוון שתקן 802.1X אינו מתחשב ברשתות VLAN, עליך להגדיר הגדרה זו בהתבסס על תמיכת המתג.

  • מופעל: אם אתה משתמש במתג התומך באימות רב-דומיינים, תוכל להגדיר אותו לשימוש ב-VLAN קולי.
  • מושבת: אם המתג אינו תומך באימות רב-דומיינים, השבת את ה-VLAN של הקול ושקול להקצות את הפורט ל-VLAN המקורי.

• לטלפון האלחוטי של סיסקו 9821 יש קידומת שונה ב-PID מזו של טלפוני סיסקו אחרים. כדי לאפשר לטלפון שלך לעבור אימות 802.1X, הגדר את הפרמטר Radius·User-Name כך שיכלול את טלפון Cisco Wireless 9821 שלך.

  לדוגמה, ה-PID של טלפון אלחוטי של סיסקו 9821 הוא WP-9821. ניתן להגדיר את Radius·User-Name ל- Start with WP או Contains WP בשני הסעיפים הבאים:

  • מדיניות > תנאים > תנאי הספרייה

  • מדיניות > ערכות מדיניות > מדיניות הרשאות > כלל הרשאה 1