Köszönjük visszajelzését.

A biztonsági funkciók védelmet nyújtanak a fenyegetések ellen, beleértve a telefon identitását és az adatokat fenyegető veszélyeket is. Ezek a funkciók hitelesített kommunikációs folyamokat hoznak létre és tartanak fenn a telefon és a Cisco Unified Communications Manager szerver között, és biztosítják, hogy a telefon csak digitálisan aláírt fájlokat használjon.

A Cisco Unified Communications Manager 8.5(1)-es és újabb verziói alapértelmezés szerint tartalmazzák a Biztonság funkciót, amely a következő biztonsági funkciókat biztosítja a Cisco IP-telefonokhoz a CTL kliens futtatása nélkül:

• A telefon konfigurációs fájljainak aláírása

• Telefonkonfigurációs fájl titkosítása

• HTTPS Tomcattel és más webszolgáltatásokkal

A Cisco Unified Communications Manager rendszer biztonságának megvalósítása megakadályozza a telefon és a Cisco Unified Communications Manager szerver személyazonosságának ellopását, az adatok manipulálását, valamint a hívásjelzések és a médiafolyamok manipulálását.

Ezen fenyegetések enyhítése érdekében a Cisco IP-telefonhálózat biztonságos (titkosított) kommunikációs folyamokat hoz létre és tart fenn a telefon és a szerver között, digitálisan aláírja a fájlokat, mielőtt azok a telefonra átvitelre kerülnének, és titkosítja a médiafolyamokat és a hívásjelzéseket a Cisco IP-telefonok között.

A helyileg jelentős tanúsítvány (LSC) telepítése a telefonokra a tanúsítványkibocsátó proxy funkcióhoz (CAPF) társított szükséges feladatok elvégzése után történik. A Cisco Unified Communications Manager Administration segítségével konfigurálhat egy LSC-t a Cisco Unified Communications Manager biztonsági útmutatójábanleírtak szerint. Alternatív megoldásként az LSC telepítését a telefon Biztonság menüjéből is kezdeményezheti. Ez a menü lehetővé teszi egy LSC frissítését vagy eltávolítását is.

A telefonok a telefon biztonsági profilját használják, amely meghatározza, hogy az eszköz nem biztonságos vagy biztonságos. A biztonsági profil telefonra való alkalmazásával kapcsolatos információkért lásd az adott Cisco Unified Communications Manager kiadás dokumentációját.

Ha biztonsággal kapcsolatos beállításokat konfigurál a Cisco Unified Communications Manager Administration alkalmazásban, a telefonkonfigurációs fájl bizalmas információkat tartalmaz. A konfigurációs fájl adatvédelmének biztosítása érdekében titkosításra kell konfigurálni. Részletes információkért lásd a Cisco Unified Communications Manager adott kiadásának dokumentációját.

Az alábbi táblázat áttekintést nyújt a telefonok által támogatott biztonsági funkciókról. További információkért lásd a Cisco Unified Communications Manager adott kiadásának dokumentációját.

A következő táblázat a megbízhatósági lista frissítésével kapcsolatos riasztási üzeneteket és azok jelentését tartalmazza. További információkért lásd a Cisco Unified Communications Manager dokumentációját.

Amikor a telefon biztonsági funkciói működnek, a biztonságos telefonhívásokat a telefon képernyőjén található ikonok alapján azonosíthatja. A csatlakoztatott telefon biztonságosságát és védettségét a hívás elején megszólaló biztonsági hangjelzés is jelzi.

Biztonságos hívás esetén minden hívásjelzés és médiafolyam titkosítva van. A biztonságos hívás magas szintű biztonságot nyújt, biztosítva a hívás integritását és adatvédelmét. Ha egy folyamatban lévő hívás titkosított, a vonalon látható a biztonságos ikon .

A Cisco Unified Communications Managerben a biztonságosként (titkosított és megbízható) konfigurált telefonokhoz védett állapot rendelhető. A védelemmel ellátott eszközök konfigurálhatók úgy, hogy minden hívás elején biztonsági hangot játsszanak le.

• Védett eszköz:

  Biztonságos telefon állapotának védettre módosítása:

  1. A Cisco Unified Communications Manager adminisztrációjában válassza a Eszköz lehetőséget. > Telefon.
  2. Keresd meg a telefont, amelyet be fogsz állítani.
  3. A Telefonkonfiguráció ablakban jelölje be a Védett eszköz jelölőnégyzetet.
  4. Kattintson a Mentés lehetőségre.

• Biztonságos jelzőhang lejátszása:

  A védett telefon biztonságos vagy nem biztonságos jelzőhang lejátszásának engedélyezéséhez:

  1. A Cisco Unified Communications Manager adminisztrációjában válassza a Rendszer lehetőséget. > Szolgáltatásparaméterek.
  2. Válassza ki a szervert, majd a Cisco CallManager szolgáltatást.
  3. A Fürtszintű paraméterek (Funkció - Biztonságos hang) területen állítsa a Lejátszási hangot Jelzés értékre Secure/Non-Secure A Hívás állapota beállítás Igazértékre van állítva.
  4. Kattintson a Mentés lehetőségre.

Mivel a hatótávolságon belüli összes WLAN-eszköz képes fogadni az összes többi WLAN-forgalmat, a hangkommunikáció védelme kritikus fontosságú a WLAN-okban. Annak érdekében, hogy a behatolók ne manipulálhassák vagy foghassák el a hangforgalmat, a Cisco SAFE Security architektúra támogatja a telefont. A hálózatok biztonságával kapcsolatos további információkért lásd: http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A Cisco vezeték nélküli IP-telefon megoldása vezeték nélküli hálózati biztonságot nyújt, amely megakadályozza a jogosulatlan bejelentkezéseket és a veszélyeztetett kommunikációt a telefon által támogatott alábbi hitelesítési módszerek használatával.

• Nyílt hitelesítés: Bármely vezeték nélküli eszköz kérhet hitelesítést nyílt rendszerben. A kérést fogadó hozzáférési pont hitelesítést adhat bármely kérőnek, vagy csak a felhasználói listán szereplő kérőknek. A vezeték nélküli eszköz és a hozzáférési pont (AP) közötti kommunikáció titkosítatlan lehet.

• Bővíthető hitelesítési protokoll – Rugalmas hitelesítés biztonságos alagútkezelésen (EAP-FAST) keresztül: Ez a kliens-szerver biztonsági architektúra az EAP tranzakciókat egy Transport Level Security (TLS) alagúton belül titkosítja a hozzáférési pont és a RADIUS-kiszolgáló, például az Identity Services Engine (ISE) között.

  A TLS-alagút védett hozzáférési hitelesítő adatokat (PAC) használ a kliens (telefon) és a RADIUS-kiszolgáló közötti hitelesítéshez. A szerver egy Authority ID-t (AID) küld a kliensnek (telefonnak), amely ezután kiválasztja a megfelelő PAC-ot. A kliens (telefon) egy PAC-Opaque-ot küld vissza a RADIUS szervernek. A szerver a PAC kódot az elsődleges kulccsal dekódolja. Mindkét végpont tartalmazza a PAC-kulcsot, és létrejön egy TLS-alagút. Az EAP-FAST támogatja az automatikus PAC-kiépítést, de ezt engedélyezni kell a RADIUS-kiszolgálón.

  Az ISE-ben alapértelmezés szerint a PAC egy hét múlva lejár. Ha a telefon PAC-kódja lejárt, a RADIUS-kiszolgálóval történő hitelesítés hosszabb időt vesz igénybe, amíg a telefon új PAC-kódot kap. A PAC-kiépítési késedelmek elkerülése érdekében állítsa a PAC lejárati időszakát 90 napra vagy hosszabbra az ISE vagy RADIUS szerveren.

• Bővíthető hitelesítési protokoll – Transport Layer Security (EAP-TLS) hitelesítés: Az EAP-TLS hitelesítéshez és hálózati hozzáféréshez klienstanúsítványt igényel. Vezeték nélküli EAP-TLS esetén a klienstanúsítvány lehet MIC, LSC vagy felhasználó által telepített tanúsítvány.

• Védett bővíthető hitelesítési protokoll (PEAP): A Cisco saját, jelszóalapú kölcsönös hitelesítési sémája a kliens (telefon) és egy RADIUS szerver között. A telefon PEAP protokollt használhat a vezeték nélküli hálózaton történő hitelesítéshez. Mind a PEAP-MSCHAPV2, mind a PEAP-GTC hitelesítési módszerek támogatottak.

• Előre megosztott kulcs (PSK): A telefon támogatja az ASCII és a hexadecimális (HEX) formátumokat. Ezeket a formátumokat kell használnia a beállításakor WPA2/SAE Előre megosztott kulcs.

  ASCII: Egy 8–63 karakter hosszú ASCII karakterlánc (0–9, kisbetűk az és az, nagybetűk az és speciális karakterek). Például, GREG123567@9ZX&W.

  HEX: Egy 64 hexadecimális számjegyből álló HEX karakterlánc (0-9, af vagy AF).

A következő hitelesítési sémák a RADIUS szervert használják a hitelesítési kulcsok kezelésére:

• WPA2/WPA3: RADIUS szerverinformációkat használ egyedi kulcsok generálásához a hitelesítéshez. Mivel ezeket a kulcsokat a központosított RADIUS-kiszolgáló generálja, WPA2/WPA3 nagyobb biztonságot nyújt, mint a hozzáférési ponton és a telefonon tárolt előre megosztott WPA kulcsok.

• Gyors, biztonságos roaming: RADIUS szerver és egy vezeték nélküli tartományszerver (WDS) információit használja a kulcsok kezeléséhez és hitelesítéséhez. A WDS gyorsítótárat hoz létre az FT-képes klienseszközök biztonsági hitelesítő adataiból a gyors és biztonságos újrahitelesítés érdekében.

Vel WPA2/WPA3, A titkosítási kulcsokat nem a telefonba kell beírni, hanem automatikusan származtatják azokat a hozzáférési pont és a telefon között. De a hitelesítéshez használt EAP felhasználónevet és jelszót minden telefonon meg kell adni.

A vezeték nélküli kapcsolaton keresztüli hangforgalom védelme érdekében a telefon támogatja az AES-alapú titkosítást WPA2/WPA3 hitelesítés. Az AES egy szimmetrikus blokkrejtjel, amelyet a NIST szabványosított. Az AES fix 128 bites blokkméretet használ, és 128 bites, 192 bites és 256 bites kulcsméreteket támogat. Wi-Fi hálózatokban az AES-t olyan titkosítócsomagok használják, mint a CCMP vagy a GCMP, míg a hitelesítést külön biztosítja a PSK, a SAE vagy a ... 802.1X/EAP, a konfigurált WLAN biztonsági módtól függően. A támogatott titkosítási csomag és kulcsméret a telefon modelljétől és a WLAN-konfigurációtól függ.

Amikor a telefon AES titkosítást használ, mind a jelző SIP csomagok, mind a hangalapú valós idejű átviteli protokoll (RTP) csomagok titkosítva vannak a hozzáférési pont és a telefon között.

A hitelesítési és titkosítási sémák a vezeték nélküli helyi hálózaton belül vannak beállítva. A VLAN-ok a hálózatban és a hozzáférési pontokon vannak konfigurálva, és a hitelesítés és a titkosítás különböző kombinációit határozzák meg. Az SSID egy VLAN-hoz és az adott hitelesítési és titkosítási sémához kapcsolódik. Ahhoz, hogy a vezeték nélküli klienseszközök sikeresen hitelesítsék magukat, ugyanazokat az SSID-ket kell konfigurálni a hitelesítési és titkosítási sémákkal együtt az AP-ken és a telefonon.

Egyes hitelesítési sémák bizonyos típusú titkosítást igényelnek.

A következő táblázatban található hitelesítési és titkosítási sémák a Cisco 9821-es vezeték nélküli telefon hálózati konfigurációs beállításait mutatják, amelyek megfelelnek az AP konfigurációnak.

A Cisco 9821-es vezeték nélküli telefon támogatja a 802.1X hitelesítést vezetékes hálózatokon. Ezt jellemzően az automatikus kiépítés során használják, amikor a telefon egy támogatott USB-Ethernet adapteren keresztül csatlakozik az asztali töltőhöz.

A vezetékes hálózatokon a 802.1X hitelesítés támogatásához számos összetevőre van szükség, az alábbiak szerint:

• Cisco IP-telefon: A telefon kezdeményezi a hálózat elérésére irányuló kérést. A Cisco IP-telefonok 802.1X kérelmezőt tartalmaznak. Ez a kérelmező lehetővé teszi a hálózati rendszergazdák számára, hogy szabályozzák az IP-telefonok LAN-kapcsoló portokhoz való csatlakoztathatóságát. A telefon 802.1X szabványú hitelesítőjének jelenlegi kiadása az EAP-FAST és az EAP-TLS beállításokat használja a hálózati hitelesítéshez.

• Hitelesítési szerver: A hitelesítési szervernek és a switchnek is RADIUS megosztott titkos kóddal kell rendelkeznie.

• Kapcsoló: A kapcsolónak támogatnia kell a 802.1X szabványt, hogy hitelesítőként működhessen, és továbbíthassa az EAP üzeneteket a telefon és a hitelesítési szerver között. A csere befejezése után a központ engedélyezi vagy megtagadja a telefon hozzáférését a hálózathoz.

A Cisco IP-telefonok és a Cisco Catalyst kapcsolók hagyományosan a Cisco Discovery Protocol (CDP) protokollt használják egymás azonosítására és olyan paraméterek meghatározására, mint a VLAN-kiosztás és a beépített tápellátási követelmények.

A 802.1X konfigurálásához a következő műveleteket kell végrehajtania.

• Konfigurálás CDP/LLDP hang VLAN megkerülése.

• Konfigurálja a hitelesítési szervert és a switchet, mielőtt engedélyezi a 802.1X hitelesítést vezetékes hálózatokhoz a telefonon.

• Hang VLAN konfigurálása: Mivel a 802.1X szabvány nem veszi figyelembe a VLAN-okat, ezt a beállítást a switch támogatása alapján kell konfigurálni.

  • Engedélyezve: Ha olyan kapcsolót használ, amely támogatja a többtartományos hitelesítést, beállíthatja úgy, hogy a hangalapú VLAN-t használja.
  • Letiltva: Ha a switch nem támogatja a többtartományos hitelesítést, tiltsa le a Voice VLAN-t, és fontolja meg a port natív VLAN-hoz való hozzárendelését.

• A Cisco 9821-es vezeték nélküli telefon PID-je eltérő előtaggal rendelkezik, mint a többi Cisco telefoné. Ahhoz, hogy a telefon átmenjen a 802.1X hitelesítésen, állítsa be a Radius·User-Name paramétert úgy, hogy tartalmazza a Cisco 9821-es vezeték nélküli telefonját.

  Például a Cisco 9821-es vezeték nélküli telefon PID-je WP-9821. A Radius·User-Name értékét a következő két szakaszban Start with WP vagy Contains WP értékre állíthatja:

  • Szabályzat > Feltételek > Könyvtári feltételek

  • Szabályzat > Szabályzatkészletek > Engedélyezési szabályzat > 1. engedélyezési szabály