피드백을 보내 주셔서 감사합니다.

보안 기능은 전화 ID와 데이터에 대한 위협을 포함한 위협으로부터 보호해요. 이러한 기능은 전화와 Cisco Unified Communications Manager 서버 간에 인증된 통신 스트림을 설정하고 유지하며 전화기가 디지털 서명된 파일만 사용하도록 합니다.

Cisco Unified Communications Manager릴리스 8.5 (1) 이상에는 기본적으로 보안이 포함돼 있는데, CTL 클라이언트를 실행하지 않고도 Cisco IP 전화에 다음과 같은 보안 기능을 제공해요.

• 전화 구성 파일 서명해요

• 전화 구성 파일 암호화예요

• 톰캣하고 다른 웹 서비스와 HTTPS

Cisco Unified Communications Manager시스템에 보안을 구현하면 전화와 Cisco Unified Communications Manager 서버의 신원 도용을 방지하고, 데이터 변조를 방지하고, 통화 신호와 미디어 스트림 변조를 방지할 수 있어요.

이러한 위협을 완화하기 위해 Cisco IP 텔레포니 네트워크는 전화와 서버 간에 보안 (암호화된) 통신 스트림을 설정 및 유지하고, 파일이 전화로 전송되기 전에 디지털 서명하고, Cisco IP Phone 간의 미디어 스트림과 통화 신호를 암호화해요.

Certificate Authority프록시 기능 (CAPF) 과 관련된 필요한 작업을 수행한 후에 로컬 중요 인증서 (LSC) 가 전화기에 설치돼요. Cisco Unified Communications Manager보안 가이드에 설명된 대로 LSC를 구성하는 Cisco Unified Communications Manager Administration 데 사용할 수 있어요. 아니면 전화의 보안 메뉴에서 LSC 설치를 시작할 수 있어요. 이 메뉴에서는 LSC를 업데이트하거나 제거할 수도 있어요.

휴대폰은 장치가 안전하지 않은지 안전한지 정의하는 전화 보안 프로필을 사용해요 . 휴대폰에 보안 프로필을 적용하는 방법에 대한 정보는 특정 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

에서 보안 관련 설정을 구성하면 전화 구성 파일에 Cisco Unified Communications Manager Administration 중요한 정보가 포함돼요. 구성 파일의 프라이버시를 보장하려면 암호화하도록 구성해야 해요. 자세한 내용은 특정 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

다음 표는 전화기가 지원하는 보안 기능을 개괄적으로 보여줘요. 자세한 내용은 특정 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

다음 표에는 Trust List 업데이트 경보 메시지와 의미가 포함되어 있어요. 자세한 내용은 Cisco Unified Communications Manager 설명서를 참조하세요.

전화에 보안이 구현되면 전화 화면의 아이콘으로 보안 전화를 식별할 수 있어요. 통화 시작 시 보안음이 울리면 연결된 전화가 안전한지 보호되는지 확인할 수도 있어요.

보안 통화에서는 모든 통화 신호와 미디어 스트림이 암호화돼요. 보안 통화는 높은 수준의 보안을 제공하여 통화에 무결성과 프라이버시를 제공해요. 진행 중인 통화가 암호화되면 줄에 보안 아이콘이 보여요.

Cisco Unified Communications Manager에서는 보안 (암호화되고 신뢰할 수 있음) 으로 구성된 전화기에 보호 상태를 할당할 수 있어요. 보호가 완료되면 각 통화 시작 시 보안음이 재생되도록 이들 장치를 구성할 수 있어요.

• 보호 장치:

  보안 전화 상태를 보호됨으로 변경하려면:

  1. 에서 Cisco Unified Communications Manager Administration 장치 > 전화를 선택해요.
  2. 설정할 핸드폰을 찾으세요.
  3. 전화 구성 창에서 보호 장치 확인란을 선택했어요.
  4. 저장 클릭해요.

• 시큐어 인디케이션 톤 플레이:

  보호된 휴대폰에서 보안 또는 비보안 표시음이 재생되도록 하려면:

  1. 에서 Cisco Unified Communications Manager Administration 시스템 > 서비스 매개변수를 선택해요.
  2. 서버를 선택한 다음 Cisco CallManager 서비스를 선택하세요.
  3. 클러스터 전체 매개변수 (기능 - 보안음) 영역에서 재생음을 보안/비보안 통화 상태 표시로 설정하세요. True로 설정하세요.
  4. 저장 클릭해요.

범위 내에 있는 모든 WLAN 장치가 다른 모든 WLAN 트래픽을 수신할 수 있기 때문에 WLAN에서는 음성 통신 보안이 중요해요. 침입자가 음성 트래픽을 조작하거나 가로채지 못하게 하기 위해 Cisco SAFE Security 아키텍처가 전화를 지원해요. 네트워크 보안에 대한 자세한 내용은 http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html을 참조하세요.

Cisco 무선 IP 텔레포니 솔루션은 전화기가 지원하는 다음 인증 방법을 사용하여 무단 로그인과 통신 손상을 방지하는 무선 네트워크 보안을 제공해요.

• 공개 인증: 모든 무선 장치가 개방형 시스템에서 인증을 요청할 수 있어요. 요청을 받는 AP는 모든 요청자에게 인증을 부여하거나 사용자 목록에 있는 요청자에게만 인증을 부여할 수 있어요. 무선 장치와 액세스 포인트 (AP) 간의 통신은 암호화되지 않을 수 있어요.

• 확장 가능한 인증 프로토콜-보안 터널링 (EAP-FAST) 인증을 통한 유연한 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 RADIUS 서버 사이의 전송 수준 보안 (TLS) 터널 내에서 ID 서비스 엔진 (ISE) 같은 EAP 거래를 암호화해요.

  TLS 터널은 클라이언트 (전화) 와 RADIUS 서버 간의 인증에 보호 액세스 자격 증명 (PAC) 을 사용해요. 서버가 클라이언트 (전화) 에 기관 ID (AID) 를 보내고, 클라이언트는 적절한 PAC를 선택해요. 클라이언트 (전화) 가 PAC-불투명 신호를 RADIUS 서버에 돌려줘요. 서버가 기본 키로 PAC 암호를 해독해요. 이제 양쪽 엔드포인트에 PAC 키가 포함되고 TLS 터널이 생성됐어요. EAP-FAST는 자동 PAC 프로비저닝을 지원하지만 RADIUS 서버에서 활성화해야 해요.

  ISE에서는 기본적으로 PAC가 일주일 후에 만료돼요. 전화의 PAC가 만료된 경우, 전화가 새 PAC를 받는 동안 RADIUS 서버 인증이 더 오래 걸려요. PAC 프로비저닝 지연을 피하려면 ISE 또는 RADIUS 서버에서 PAC 만료 기간을 90일 이상으로 설정하세요.

• 확장 가능한 인증 프로토콜-전송 계층 보안 (EAP-TLS) 인증: EAP-TLS는 인증 및 네트워크 액세스를 위한 클라이언트 인증서가 필요해요. 무선 EAP-TLS의 경우 클라이언트 인증서는 MIC, LSC 또는 사용자 설치 인증서일 수 있어요.

• 보호된 확장 인증 프로토콜 (PEAP): 클라이언트 (전화) 와 RADIUS 서버 간의 시스코 독점 암호 기반 상호 인증 체계예요. 전화는 무선 네트워크 인증에 PEAP를 사용할 수 있어요. PEAP-MSCHAPV2 인증 방법과 PEAP-GTC 인증 방법 모두 지원돼요.

• 사전 공유 키 (PSK): 전화기가 ASCII 및 16진수 (HEX) 형식을 지원해요. WPA2/SAE 사전 공유 키를 설정할 때 이 형식을 사용해야 해요.

  ASCII: 8~63자 길이의 아스키 문자열 (0-9, 소문자 a-z, 대문자 A-Z, 특수 문자). 예를 들자면, GREG123567@9ZX&W.

  HEX: 64자리 16진수 길이 (0-9, a-f 또는 A-F) 의 16진수 문자열이에요.

다음 인증 체계는 RADIUS 서버를 사용하여 인증 키를 관리해요.

• WPA2/WPA3: RADIUS 서버 정보를 사용하여 인증을 위한 고유 키를 생성해요. 이러한 키가 중앙 RADIUS 서버에서 생성되기 때문에 WPA2/WPA3는 AP와 전화에 저장된 WPA 사전 공유 키보다 더 많은 보안을 제공해요.

• 빠른 보안 로밍: RADIUS 서버와 무선 도메인 서버 (WDS) 정보를 사용하여 키를 관리하고 인증해요. WDS는 빠르고 안전한 재인증을 위해 FT 지원 클라이언트 장치의 보안 자격 증명 캐시를 생성해요.

WPA2/WPA3에서는 암호화 키가 전화에 입력되지 않고 AP와 전화 간에 자동으로 파생돼요. 하지만 인증에 사용되는 EAP 사용자 이름과 비밀번호는 각 전화에 입력해야 해요.

무선 링크를 통한 음성 트래픽을 보호하기 위해 전화기는 WPA2/WPA3 인증을 위한 AES 기반 암호화를 지원해요. AES는 NIST에서 표준화한 대칭 블록 암호예요. AES는 고정된 128비트 블록 크기를 사용하고 128비트, 192비트, 256비트의 키 크기를 지원해요. 와이파이 네트워크에서 AES는 CCMP나 GCMP 같은 암호 제품군에서 사용되는 반면 인증은 구성된 WLAN 보안 모드에 따라 PSK, SAE 또는 802.1X/EAP에서 별도로 제공해요. 지원되는 암호 모음과 키 크기는 전화 모델과 WLAN 구성에 따라 달라요.

전화가 AES 암호화를 사용하면 신호 SIP 패킷과 음성 실시간 전송 프로토콜 (RTP) 패킷이 모두 AP와 전화 사이에서 암호화돼요.

인증 및 암호화 체계가 무선 LAN 내에서 설정돼요. VLAN은 네트워크와 AP에 구성되고 인증과 암호화의 다른 조합을 지정해요. SSID는 VLAN 및 특정 인증 및 암호화 체계와 연관돼요. 무선 클라이언트 장치가 성공적으로 인증되려면 AP와 전화의 인증 및 암호화 체계로 동일한 SSID를 구성해야 해요.

어떤 인증 체계에는 특정한 유형의 암호화가 필요해요.

다음 표의 인증 및 암호화 체계는 AP 구성에 해당하는 Cisco 무선 전화 9821의 네트워크 구성 옵션을 보여줘요.

시스코 무선 전화 9821은 유선 네트워크에 802.1X 인증을 지원해요. 보통 지원되는 USB-이더넷 어댑터를 통해 휴대폰이 데스크탑 충전기에 연결될 때 자동 프로비저닝 중에 사용돼요.

유선 네트워크에서 802.1X 인증을 지원하려면 다음과 같은 여러 구성요소가 필요해요.

• 시스코 IP 전화: 전화기가 네트워크 액세스 요청을 시작해요. 시스코 IP 전화에는 802.1X 서플라이컨트가 들어있어요. 이 요청자를 사용하여 네트워크 관리자가 IP 전화와 LAN 스위치 포트 연결을 제어할 수 있어요. 전화 802.1X 신청자의 현재 릴리스는 네트워크 인증에 EAP-FAST와 EAP-TLS 옵션을 사용해요.

• 인증 서버: 인증 서버와 스위치 모두 RADIUS 공유 암호로 구성해야 해요.

• 스위치: 스위치가 802.1X를 지원해야 인증자 역할을 하고 전화와 인증 서버 간에 EAP 메시지를 중계할 수 있어요. 교환 완료 후 스위치가 전화기의 네트워크 액세스를 허용하거나 거부해요.

시스코 IP 전화하고 Cisco Catalyst 스위치는 전통적으로 서로를 식별하고 VLAN 할당과 인라인 전원 요구 사항 같은 파라미터를 결정하는 데 Cisco Discovery Protocol (CDP) 를 사용해요.

802.1X를 구성하려면 다음 작업을 수행해야 해요.

• CDP/LLDP 음성 VLAN 바이패스를 구성하세요.

• 전화기에서 유선 네트워크에 802.1X 인증을 활성화하기 전에 인증 서버와 스위치를 구성하세요.

• 음성 VLAN 구성: 802.1X 표준은 VLAN을 고려하지 않기 때문에 스위치 지원을 기반으로 이 설정을 구성해야 해요.

  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용하는 경우 음성 VLAN을 사용하도록 구성할 수 있어요.
  • 비활성화됨: 스위치가 멀티도메인 인증을 지원하지 않으면 음성 VLAN을 비활성화하고 네이티브 VLAN에 포트를 할당하는 것을 고려해 보세요.

• 시스코 무선 전화 9821의 PID 접두사가 다른 시스코 전화의 접두사와 달라요. 휴대폰이 802.1X 인증을 통과할 수 있게 하려면 RADIUS·User-Name 파라미터에 Cisco 무선 전화 9821을 포함하도록 설정하세요.

  예를 들자면, 시스코 무선 전화 9821의 PID는 WP-9821 이에요. 다음 섹션 중 반경·사용자 이름을 Start with WP설정하거나 둘 Contains WP다에서 설정할 수 있어요.

  • 정책 > 조건 > 도서관 조건

  • 정책 > 정책 세트 > 권한 부여 정책 > 권한 부여 규칙 1