- Start
- /
- Artikel
Hartelijk dank voor uw feedback
In dit artikel
Feedback?Dit helpartikel is bedoeld voor Cisco Wireless Phone 9821 die is geregistreerd bij Cisco Unified Communications Manager (Unified CM).
U kunt Cisco Unified Communications Manager (Unified CM) inschakelen voor gebruik in een omgeving met verbeterde beveiliging. Met deze verbeteringen werkt uw telefoonnetwerk volgens een reeks strenge beveiligings- en risicobeheersmaatregelen om u en uw gebruikers te beschermen.
De verbeterde beveiligingsomgeving omvat de volgende functies:
-
Contact zoeken authenticatie
-
TCP als standaardprotocol voor externe auditregistratie.
-
Een verbeterd legitimatiebeleid
-
Ondersteuning voor de SHA-2-familie van hashfuncties voor digitale handtekeningen.
-
Ondersteuning voor RSA-sleutels met een grootte tot 4096 bits.
Met Cisco Unified CM Release 14.0 of later ondersteunen de telefoons SIP OAuth-authenticatie.
OAuth wordt ondersteund voor Proxy Trivial File Transfer Protocol (TFTP) met Cisco Unified CM Release 14.0(1) SU1 of later.
Raadpleeg de volgende handleidingen voor meer informatie over beveiliging:
Je telefoon kan slechts een beperkt aantal Identity Trust List (ITL)-bestanden opslaan. ITL-bestanden mogen niet groter zijn dan 64 KB op de telefoon, dus beperk het aantal bestanden dat Cisco Unified CM naar de telefoon verzendt.
Ondersteunde beveiligingsfuncties
Beveiligingsfuncties beschermen tegen bedreigingen, waaronder bedreigingen voor de identiteit van de telefoon en voor de gegevens. Deze functies leggen geauthenticeerde communicatiestromen tot stand tussen de telefoon en de Cisco Unified Communications Manager-server en zorgen ervoor dat de telefoon alleen digitaal ondertekende bestanden gebruikt.
Cisco Unified Communications Manager Release 8.5(1) en later bevat standaard beveiliging, die de volgende beveiligingsfuncties biedt voor Cisco IP-telefoons zonder dat de CTL-client hoeft te worden uitgevoerd:
-
Ondertekening van de telefoonconfiguratiebestanden
-
Versleuteling van het configuratiebestand van de telefoon
-
HTTPS met Tomcat en andere webservices
Voor beveiligde signalerings- en mediafuncties is het nog steeds nodig dat u de CTL-client uitvoert en hardware-eTokens gebruikt.
Beveiliging in het Cisco Unified Communications Manager-systeem voorkomt identiteitsdiefstal van de telefoon en de Cisco Unified Communications Manager-server, voorkomt manipulatie van gegevens en voorkomt manipulatie van gesprekssignalering en mediastromen.
Om deze bedreigingen te beperken, legt het Cisco IP-telefonienetwerk beveiligde (versleutelde) communicatiestromen tot stand tussen een telefoon en de server, ondertekent het bestanden digitaal voordat ze naar een telefoon worden overgebracht en versleutelt het mediastromen en gesprekssignalering tussen Cisco IP-telefoons.
Een lokaal relevant certificaat (LSC) wordt op telefoons geïnstalleerd nadat u de noodzakelijke taken hebt uitgevoerd die verband houden met de Certificate Authority Proxy Function (CAPF). U kunt Cisco Unified Communications Manager Administration gebruiken om een LSC te configureren, zoals beschreven in de Cisco Unified Communications Manager Security Guide. Als alternatief kunt u de installatie van een LSC starten via het menu Beveiliging op de telefoon. Via dit menu kunt u ook een LSC bijwerken of verwijderen.
De telefoons gebruiken het telefoonbeveiligingsprofiel, dat bepaalt of het apparaat beveiligd of onbeveiligd is. Voor informatie over het toepassen van het beveiligingsprofiel op de telefoon, raadpleegt u de documentatie voor uw specifieke Cisco Unified Communications Manager-versie.
Als u beveiligingsgerelateerde instellingen configureert in Cisco Unified Communications Manager Administration, kan het telefoonconfiguratiebestand gevoelige informatie bevatten. Om de privacy van een configuratiebestand te waarborgen, moet u het configureren voor versleuteling. Raadpleeg voor gedetailleerde informatie de documentatie voor uw specifieke Cisco Unified Communications Manager-versie.
De volgende tabel geeft een overzicht van de beveiligingsfuncties die de telefoons ondersteunen. Raadpleeg voor meer informatie de documentatie voor uw specifieke Cisco Unified Communications Manager-versie.
|
Functie |
Beschrijving |
|---|---|
|
Beeldauthenticatie |
Ondertekende binaire bestanden voorkomen dat de firmware-image wordt gemanipuleerd voordat deze op een telefoon wordt geladen. Door de afbeelding te manipuleren, mislukt het authenticatieproces en wordt de nieuwe afbeelding door de telefoon geweigerd. |
|
Installatie van het certificaat op locatie bij de klant |
Elke Cisco IP-telefoon vereist een uniek certificaat voor apparaatauthenticatie. Telefoons worden geleverd met een door de fabrikant geïnstalleerd certificaat (MIC), maar voor extra beveiliging kunt u de installatie van het certificaat specificeren in Cisco Unified Communications Manager Administration met behulp van de Certificate Authority Proxy Function (CAPF). Als alternatief kunt u een lokaal significant certificaat (LSC) installeren via het menu Beveiliging op de telefoon. |
|
Apparaatauthenticatie |
Dit gebeurt tussen de Cisco Unified Communications Manager-server en de telefoon wanneer elke entiteit het certificaat van de andere entiteit accepteert. Bepaalt of er een beveiligde verbinding tot stand moet komen tussen de telefoon en een Cisco Unified Communications Manager; en creëert, indien nodig, een beveiligd signaalpad tussen de entiteiten met behulp van het TLS-protocol. Cisco Unified Communications Manager registreert telefoons pas als ze geverifieerd kunnen worden. |
|
Bestandsauthenticatie |
Valideert digitaal ondertekende bestanden die de telefoon downloadt. De telefoon valideert de handtekening om er zeker van te zijn dat er na het aanmaken van het bestand geen sprake is geweest van manipulatie. Bestanden die niet door de authenticatie komen, worden niet naar het flashgeheugen van de telefoon geschreven. De telefoon weigert dergelijke bestanden zonder verdere verwerking. |
|
Bestandsversleuteling |
Versleuteling voorkomt dat gevoelige informatie openbaar wordt gemaakt terwijl het bestand naar de telefoon wordt verzonden. Bovendien valideert de telefoon de handtekening om er zeker van te zijn dat er na het aanmaken van het bestand geen sprake is geweest van manipulatie. Bestanden die niet door de authenticatie komen, worden niet naar het flashgeheugen van de telefoon geschreven. De telefoon weigert dergelijke bestanden zonder verdere verwerking. |
|
Signaalauthenticatie |
Maakt gebruik van het TLS-protocol om te controleren of er tijdens de verzending geen manipulatie van de signaalpakketten heeft plaatsgevonden. |
|
Certificaat van installatie door de fabrikant |
Elke Cisco IP-telefoon bevat een uniek, door de fabrikant geïnstalleerd certificaat (MIC), dat wordt gebruikt voor apparaatauthenticatie. De MIC biedt een permanent, uniek identiteitsbewijs voor de telefoon en stelt Cisco Unified Communications Manager in staat de telefoon te authenticeren. |
|
Media-codering |
Maakt gebruik van SRTP om te garanderen dat mediastromen tussen ondersteunde apparaten veilig zijn en dat alleen het beoogde apparaat de gegevens ontvangt en leest. Dit omvat het aanmaken van een primair sleutelpaar voor de apparaten, het leveren van de sleutels aan de apparaten en het beveiligen van de levering van de sleutels tijdens het transport. |
|
CAPF (Certificate Authority Proxy Function) |
Het implementeert onderdelen van de certificaatgeneratieprocedure die te veel rekenkracht van de telefoon vergen, en communiceert met de telefoon voor het genereren van sleutels en het installeren van certificaten. De CAPF kan worden geconfigureerd om namens de telefoon certificaten aan te vragen bij door de klant opgegeven certificeringsinstanties, of om lokaal certificaten te genereren. Zowel EC- (Elliptical Curve) als RSA-sleuteltypen worden ondersteund. Om de EC-sleutel te gebruiken, moet u ervoor zorgen dat de parameter "Endpoint Advanced Encryption Algorithms Support" (van ) is ingeschakeld. Voor meer informatie over CAPF en de bijbehorende configuraties kunt u de volgende documenten raadplegen: |
|
Beveiligingsprofiel |
Geeft aan of de telefoon niet beveiligd, geauthenticeerd, versleuteld of beschermd is. Andere items in deze tabel beschrijven beveiligingsfuncties. |
|
Versleutelde configuratiebestanden |
Hiermee kunt u de privacy van telefoonconfiguratiebestanden waarborgen. |
|
Optionele uitschakeling van de webserver voor een telefoon |
Om veiligheidsredenen kunt u de toegang tot de webpagina's voor een telefoon (die diverse operationele statistieken van de telefoon weergeven) en het Self Care Portal blokkeren. |
|
Telefoonbeveiliging |
Extra beveiligingsopties die u kunt beheren via Cisco Unified Communications Manager Administration:
|
|
Beveiligde SIP-failover voor SRST |
Nadat u een Survivable Remote Site Telephony (SRST)-referentie voor beveiliging hebt geconfigureerd en vervolgens de afhankelijke apparaten opnieuw hebt ingesteld in Cisco Unified Communications Manager Administration, voegt de TFTP-server het SRST-certificaat toe aan het cnf.xml-bestand van de telefoon en verzendt dit bestand naar de telefoon. Een beveiligde telefoon maakt vervolgens gebruik van een TLS-verbinding om te communiceren met de SRST-compatibele router. |
|
Signaalversleuteling |
Zorgt ervoor dat alle SIP-signaleringsberichten die tussen het apparaat en de Cisco Unified Communications Manager-server worden verzonden, versleuteld zijn. |
|
Alarm voor het bijwerken van de vertrouwenslijst |
Wanneer de vertrouwenslijst op de telefoon wordt bijgewerkt, ontvangt Cisco Unified Communications Manager een alarm om aan te geven of de update is geslaagd of mislukt. Zie de volgende tabel voor meer informatie. |
|
AES 256-versleuteling |
Wanneer de telefoons zijn verbonden met Cisco Unified Communications Manager Release 10.5(2) en later, ondersteunen ze AES 256-encryptie voor TLS en SIP voor signalering en media-encryptie. Dit maakt het voor telefoons mogelijk om TLS 1.2-verbindingen tot stand te brengen en te ondersteunen met behulp van op AES-256 gebaseerde versleutelingen die voldoen aan de SHA-2-standaard (Secure Hash Algorithm) en de Federal Information Processing Standards (FIPS). De codes omvatten:
Raadpleeg de Cisco Unified Communications Manager-documentatie voor meer informatie. |
|
ECDSA-certificaten (Elliptic Curve Digital Signature Algorithm) |
Als onderdeel van de Common Criteria (CC)-certificering heeft Cisco Unified Communications Manager in versie 11.0 ECDSA-certificaten toegevoegd. Dit heeft gevolgen voor alle Voice Operating System (VOS)-producten die draaien op CUCM 11.5 en latere versies. |
|
Multi-server (SAN) Tomcat-certificaat met Cisco UCM | De telefoon ondersteunt Cisco UCM met geconfigureerde Multi-server (SAN) Tomcat-certificaten. Het juiste TFTP-serveradres is te vinden in het ITL-bestand van de telefoonregistratie. Voor meer informatie over deze functie kunt u het volgende raadplegen: |
De volgende tabel bevat de alarmmeldingen en hun betekenis voor de update van de vertrouwenslijst. Raadpleeg de Cisco Unified Communications Manager-documentatie voor meer informatie.
| Code en bericht | Beschrijving |
|---|---|
|
1 - TL_SUCCES |
Nieuwe CTL ontvangen. and/or ITL |
|
2 - CTL_INITIAL_SUCCESS |
Nieuwe CTL ontvangen, geen bestaande TL |
|
3 - ITL_INITIËLE_SUCCES |
Nieuwe ITL ontvangen, geen bestaande TL |
|
4 - TL_INITIËLE_SUCCES |
Nieuwe CTL en ITL ontvangen, geen bestaande TL. |
|
5 - TL_MISLUKT_OUD_CTL |
Update naar nieuwe CTL mislukt, maar de vorige TL is nog beschikbaar. |
|
6 - TL_MISLUKT_GEEN_TL |
De update naar de nieuwe tijdlijn is mislukt en de oude tijdlijn is niet beschikbaar. |
|
7 - TL_MISLUKT |
Algemene mislukking |
|
8 - TL_MISLUKT_OUD_ITL |
Update naar nieuwe ITL mislukt, maar de vorige TL is nog beschikbaar. |
|
9 - TL_MISLUKT_OUD_TL |
Update naar nieuwe TL mislukt, maar de vorige TL is nog beschikbaar. |
Beveiliging van telefoongesprekken
Wanneer er beveiliging is geïmplementeerd voor een telefoon, kunt u beveiligde telefoongesprekken herkennen aan pictogrammen op het telefoonscherm. Je kunt ook vaststellen of de verbonden telefoon veilig en beschermd is als er aan het begin van het gesprek een beveiligingstoon klinkt.
Bij een beveiligd gesprek zijn alle gesprekssignalen en mediastromen versleuteld. Een beveiligd gesprek biedt een hoog beveiligingsniveau en waarborgt de integriteit en privacy van het gesprek. Wanneer een lopend gesprek versleuteld is, ziet u het beveiligingspictogram 
op de lijn.
-
Als het gesprek via niet-IP-verbindingen verloopt, bijvoorbeeld via het openbare telefoonnetwerk (PSTN), kan het gesprek onbeveiligd zijn, ook al is het binnen het IP-netwerk versleuteld en wordt er een slotpictogram aan gekoppeld.
-
Beveiligd bellen wordt alleen ondersteund voor verbindingen tussen twee telefoons. Sommige functies, zoals conference calls en gedeelde lijnen, zijn niet beschikbaar wanneer beveiligd bellen is geconfigureerd.
In Cisco Unified Communications Manager kunnen telefoons die geconfigureerd zijn als beveiligd (versleuteld en vertrouwd) een beveiligde status krijgen. Eenmaal beveiligd, kunnen deze apparaten zo worden geconfigureerd dat ze aan het begin van elk gesprek een beveiligingstoon afspelen.
-
Beveiligd apparaat:
Om de status van een beveiligde telefoon te wijzigen naar 'beveiligd':
- Selecteer in Cisco Unified Communications Manager Administration .
- Zoek de telefoon die u wilt instellen.
- In het venster Telefoonconfiguratie selecteert u het selectievakje Beveiligd apparaat.
- Klik op Opslaan.
-
Indicatietoon voor veilig afspelen:
Om de beveiligde telefoon een beveiligings- of onbeveiligingsindicatietoon te laten afspelen:
- Selecteer in Cisco Unified Communications Manager Administration .
- Selecteer de server en vervolgens de Cisco CallManager service.
- In het gedeelte Clusterbrede parameters (functie - beveiligde toon) stelt u de Toon afspelen in op Aangeven Secure/Non-Secure De status van de oproep instellen opTrue.
- Klik op Opslaan.
Beveiligde identificatie voor telefonische vergaderingen
U kunt een beveiligde conference call starten en het beveiligingsniveau van de deelnemers bewaken. Een beveiligde conference call wordt tot stand gebracht door middel van de volgende procedure:
-
Een gebruiker start de conferentie vanaf een beveiligde telefoon.
-
Cisco Unified Communications Manager wijst een beveiligde conferentiebridge toe aan het gesprek.
-
Naarmate er deelnemers worden toegevoegd, controleert Cisco Unified Communications Manager de beveiligingsmodus van elke telefoon en handhaaft het beveiligingsniveau voor de conferentie.
-
De telefoon geeft het beveiligingsniveau van het conferencegesprek weer. Een beveiligde conferentie wordt weergegeven met het beveiligingspictogram
.
Beveiligd bellen tussen twee telefoons wordt ondersteund. Bij beveiligde telefoons zijn sommige functies, zoals conferentiegesprekken, gedeelde lijnen en extensiemobiliteit, niet beschikbaar wanneer beveiligd bellen is geconfigureerd.
De volgende tabel geeft informatie over wijzigingen in de beveiligingsniveaus van conferenties, afhankelijk van het beveiligingsniveau van de telefoon van de initiator, de beveiligingsniveaus van de deelnemers en de beschikbaarheid van beveiligde conferentiebridges.
|
Beveiligingsniveau van de telefoon van de initiatiefnemer |
Gebruikte functie |
Beveiligingsniveau van deelnemers |
Resultaten van de actie |
|---|---|---|---|
|
Niet beveiligd |
Conferentie |
Beveiligd |
Niet-beveiligde conferentiebrug Niet-beveiligde conferentie |
|
Beveiligd |
Conferentie |
Ten minste één lid heeft geen beveiligde toegang. |
Beveiligde conferentiebrug Niet-beveiligde conferentie |
|
Beveiligd |
Conferentie |
Beveiligd |
Beveiligde conferentiebrug Beveiligde, versleutelde niveauconferentie |
|
Niet beveiligd |
Ontmoet mij |
Het minimale beveiligingsniveau is versleuteld. |
De initiatiefnemer ontvangt een herbestellingstoon. |
|
Beveiligd |
Ontmoet mij |
Het minimale beveiligingsniveau is niet beveiligd. |
Beveiligde conferentiebrug De conferentie neemt alle oproepen aan. |
Beveiligde telefoongespreksidentificatie
Een beveiligd gesprek wordt tot stand gebracht wanneer zowel uw telefoon als de telefoon van de andere partij is geconfigureerd voor beveiligd bellen. De andere telefoon kan zich in hetzelfde Cisco IP-netwerk bevinden, of in een netwerk buiten dat IP-netwerk. Beveiligde gesprekken kunnen alleen tussen twee telefoons worden gevoerd. Conferentiegesprekken moeten beveiligde gesprekken ondersteunen nadat een beveiligde conferentiebridge is opgezet.
Een beveiligd gesprek wordt tot stand gebracht via dit proces:
-
Een gebruiker start het gesprek vanaf een beveiligde telefoon (beveiligde beveiligingsmodus).
-
De telefoon toont het beveiligingspictogram
op het scherm. Dit pictogram geeft aan dat de telefoon is geconfigureerd voor beveiligde gesprekken, maar dit betekent niet dat de andere verbonden telefoon ook beveiligd is. -
De gebruiker hoort een beveiligingstoon als het gesprek verbinding maakt met een andere beveiligde telefoon. Dit geeft aan dat beide kanten van het gesprek versleuteld en beveiligd zijn. Als de verbinding tot stand komt met een onbeveiligde telefoon, hoort de gebruiker de beveiligingstoon niet.
Beveiligd bellen tussen twee telefoons wordt ondersteund. Bij beveiligde telefoons zijn sommige functies, zoals conferentiegesprekken, gedeelde lijnen en extensiemobiliteit, niet beschikbaar wanneer beveiligd bellen is geconfigureerd.
Alleen beveiligde telefoons spelen deze beveiligings- of niet-beveiligingsindicatietonen af. Telefoons zonder beveiliging geven nooit een toon weer. Als de algehele gespreksstatus tijdens het gesprek verandert, verandert de indicatietoon en speelt de beveiligde telefoon de bijbehorende toon af.
Wanneer de toon wordt afgespeeld om aan te geven Secure/Non-Secure De optie 'Oproepstatus ' is ingesteld op True:
-
Wanneer een volledig beveiligde verbinding tot stand is gebracht en de gespreksstatus beveiligd is, geeft de telefoon een beveiligingsindicatietoon (drie lange pieptonen met pauzes).
-
Wanneer een onbeveiligde verbinding tot stand is gebracht en de gespreksstatus onbeveiligd is, geeft de telefoon een indicatietoon voor een onbeveiligde verbinding (zes korte pieptonen met korte pauzes).
Als de Toon afspelen om aan te geven Secure/Non-Secure De optie 'Oproepstatus ' is ingesteld op ' False' , er wordt geen toon afgespeeld.
Zorg voor encryptie voor de binnenvaartschip.
Cisco Unified Communications Manager controleert de beveiligingsstatus van de telefoon wanneer conferenties worden opgezet en wijzigt de beveiligingsindicatie voor de conferentie of blokkeert de voltooiing van het gesprek om de integriteit en veiligheid in het systeem te waarborgen.
Een gebruiker kan niet zomaar in een versleuteld gesprek inbreken als de telefoon waarmee dat gebeurt niet is geconfigureerd voor versleuteling. Als de oproep tot het verzenden van de goederen in dit geval mislukt, klinkt er een herbestellingstoon (snel bezet) op de telefoon die aangeeft dat de oproep tot het verzenden van de goederen is gestart.
Als de telefoon van de initiator is geconfigureerd voor encryptie, kan de initiator van de barge-aanval deelnemen aan een onbeveiligd gesprek vanaf de versleutelde telefoon. Nadat de inbraak heeft plaatsgevonden, classificeert Cisco Unified Communications Manager het gesprek als niet-beveiligd.
Als de telefoon van de initiator is geconfigureerd voor encryptie, kan de initiator van de barge-oproep deelnemen aan een versleuteld gesprek, en de telefoon geeft aan dat het gesprek versleuteld is.
Draadloze LAN-beveiliging
Omdat alle WLAN-apparaten binnen bereik al het andere WLAN-verkeer kunnen ontvangen, is het beveiligen van spraakcommunicatie cruciaal in WLAN's. Om te voorkomen dat indringers spraakverkeer manipuleren of onderscheppen, biedt de Cisco SAFE Security-architectuur ondersteuning voor de telefoon. Voor meer informatie over beveiliging in netwerken, zie http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.
De Cisco Wireless IP-telefonieoplossing biedt draadloze netwerkbeveiliging die ongeautoriseerde aanmeldingen en gecompromitteerde communicatie voorkomt door gebruik te maken van de volgende authenticatiemethoden die de telefoon ondersteunt.
-
Open authenticatie: Elk draadloos apparaat kan authenticatie aanvragen in een open systeem. Het toegangspunt dat het verzoek ontvangt, kan authenticatie verlenen aan elke aanvrager of alleen aan aanvragers die voorkomen op een lijst met gebruikers. De communicatie tussen het draadloze apparaat en het toegangspunt (AP) kan onversleuteld zijn.
-
Uitbreidbaar authenticatieprotocol - Flexibele authenticatie via beveiligde tunneling (EAP-FAST) authenticatie: Deze client-serverbeveiligingsarchitectuur versleutelt EAP-transacties binnen een Transport Level Security (TLS)-tunnel tussen het toegangspunt (AP) en de RADIUS-server, zoals Identity Services Engine (ISE).
De TLS-tunnel maakt gebruik van Protected Access Credentials (PAC's) voor authenticatie tussen de client (telefoon) en de RADIUS-server. De server stuurt een autorisatie-ID (AID) naar de client (telefoon), die vervolgens de juiste PAC selecteert. De client (telefoon) stuurt een PAC-Opaque terug naar de RADIUS-server. De server decodeert de PAC met de primaire sleutel. Beide eindpunten bevatten nu de PAC-sleutel en er is een TLS-tunnel tot stand gebracht. EAP-FAST ondersteunt automatische PAC-provisioning, maar u moet dit inschakelen op de RADIUS-server.
In ISE verloopt de PAC standaard na een week. Als de telefoon een verlopen PAC-code heeft, duurt de authenticatie met de RADIUS-server langer, omdat de telefoon eerst een nieuwe PAC-code moet aanvragen. Om vertragingen bij het aanmaken van PAC's te voorkomen, stelt u de vervaldatum van de PAC in op 90 dagen of langer op de ISE- of RADIUS-server.
-
Uitbreidbaar authenticatieprotocol - Transportlaagbeveiliging (EAP-TLS) authenticatie: EAP-TLS vereist een clientcertificaat voor authenticatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat een MIC-, LSC- of een door de gebruiker geïnstalleerd certificaat zijn.
-
Beschermd uitbreidbaar authenticatieprotocol (PEAP): Cisco's eigen wachtwoordgebaseerde wederzijdse authenticatiemethode tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor authenticatie met het draadloze netwerk. Zowel de PEAP-MSCHAPV2- als de PEAP-GTC-authenticatiemethode worden ondersteund.
-
Vooraf gedeelde sleutel (PSK): De telefoon ondersteunt ASCII- en hexadecimale (HEX)-formaten. U moet deze formaten gebruiken bij het instellen van een WPA2/SAE Vooraf gedeelde sleutel.
ASCII: Een ASCII-tekenreeks met een lengte van 8 tot 63 tekens (0-9, kleine letter az, hoofdletter AZ en speciale tekens). Bijvoorbeeld,
GREG123567@9ZX&W.HEX: Een hexadecimale tekenreeks met 64 hexadecimale cijfers (0-9, af of AF).
De volgende authenticatieschema's gebruiken de RADIUS-server om authenticatiesleutels te beheren:
-
WPA2/WPA3: Gebruikt RADIUS-serverinformatie om unieke sleutels voor authenticatie te genereren. Omdat deze sleutels worden gegenereerd op de gecentraliseerde RADIUS-server, WPA2/WPA3 Biedt meer beveiliging dan WPA-sleutels die vooraf worden gedeeld en die op het toegangspunt en de telefoon worden opgeslagen.
-
Snel en veilig roaming: Maakt gebruik van RADIUS-server- en WDS-informatie (Wireless Domain Server) om sleutels te beheren en te authenticeren. De WDS creëert een cache met beveiligingsgegevens voor FT-compatibele clientapparaten voor snelle en veilige herauthenticatie.
Met WPA2/WPA3, De encryptiesleutels worden niet op de telefoon ingevoerd, maar worden automatisch gegenereerd tussen het toegangspunt en de telefoon. Maar de EAP-gebruikersnaam en het wachtwoord die voor authenticatie worden gebruikt, moeten op elke telefoon worden ingevoerd.
Om spraakverkeer via de draadloze verbinding te beschermen, ondersteunt de telefoon AES-gebaseerde encryptie. WPA2/WPA3 authenticatie. AES is een symmetrische blokversleuteling die is gestandaardiseerd door NIST. AES gebruikt een vaste blokgrootte van 128 bits en ondersteunt sleutelgroottes van 128 bits, 192 bits en 256 bits. In Wi-Fi-netwerken wordt AES gebruikt door cipher suites zoals CCMP of GCMP, terwijl authenticatie afzonderlijk wordt verzorgd door PSK, SAE of 802.1X/EAP, afhankelijk van de geconfigureerde WLAN-beveiligingsmodus. De ondersteunde cipher suites en sleutelgrootte zijn afhankelijk van het telefoonmodel en de WLAN-configuratie.
Wanneer de telefoon AES-encryptie gebruikt, worden zowel de SIP-signaleringspakketten als de RTP-pakketten (Real-Time Transport Protocol) voor spraak tussen het toegangspunt en de telefoon versleuteld.
Authenticatie- en versleutelingsschema's worden binnen het draadloze LAN ingesteld. VLAN's worden geconfigureerd in het netwerk en op de access points en specificeren verschillende combinaties van authenticatie en encryptie. Een SSID is gekoppeld aan een VLAN en het specifieke authenticatie- en versleutelingsschema. Om draadloze clientapparaten succesvol te laten authenticeren, moet u dezelfde SSID's met hun authenticatie- en versleutelingsschema's configureren op de access points en op de telefoon.
Sommige authenticatiesystemen vereisen specifieke vormen van versleuteling.
Bij gebruik van WPA2 pre-shared key of SAE moet de pre-shared key statisch op de telefoon worden ingesteld. Deze sleutels moeten overeenkomen met de sleutels die op het toegangspunt (AP) aanwezig zijn.
De authenticatie- en versleutelingsschema's in de volgende tabel tonen de netwerkconfiguratieopties voor de Cisco Wireless Phone 9821 die overeenkomen met de AP-configuratie.
| FSR-type | Verificatie | Sleutelbeheer | Codering | Beschermd beheerkader (PMF) |
|---|---|---|---|---|
| 802.11r (FT) | PSK |
WPA-PSK WPA-PSK-SHA256 FT-PSK | AES | Nee |
| 802.11r (FT) | WPA3 |
SAE FT-SAE | AES | Ja |
| 802.11r (FT) | EAP-TLS |
WPA-EAP FT-EAP | AES | Nee |
| 802.11r (FT) | EAP-TLS (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | Ja |
| 802.11r (FT) | EAP-FAST |
WPA-EAP FT-EAP | AES | Nee |
| 802.11r (FT) | EAP-FAST (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | Ja |
| 802.11r (FT) | EAP-PEAP |
WPA-EAP FT-EAP | AES | Nee |
| 802.11r (FT) | EAP-PEAP (WPA3) |
WPA-EAP-SHA256 FT-EAP | AES | Ja |
| niet-FT | Suite B | WPA-EAP-SUITE-B | GCMP | Ja |
| niet-FT | Suite-B-192 | WPA-EAP-SUITE-B-192 | GCMP | Ja |
Stel een wifi-profiel in.
U kunt een Wi-Fi-profiel configureren en dit toewijzen aan de Cisco Wireless Phone 9821. Dit profiel bevat de noodzakelijke parameters waarmee de telefoon een Wi-Fi-verbinding tot stand kan brengen en zich vervolgens kan registreren bij Cisco Unified CM. Wanneer u een Wi-Fi-profiel aanmaakt en gebruikt, hoeft u of uw gebruikers het draadloze netwerk niet voor individuele telefoons te configureren.
Wij raden u aan een beveiligd profiel met ingeschakelde TFTP-versleuteling te gebruiken om sleutels en wachtwoorden te beschermen wanneer u een Wi-Fi-profiel gebruikt.
De telefoons ondersteunen één servercertificaat per installatiemethode (handmatig, SCEP of TFTP).
Houd rekening met de volgende punten voordat u het WLAN-profiel configureert:
-
Gebruikersnaam en wachtwoord
-
Als uw netwerk EAP-FAST en PEAP gebruikt voor gebruikersauthenticatie, moet u zowel de gebruikersnaam als het wachtwoord (indien vereist) configureren op de Remote Authentication Dial-In User Service (RADIUS) en op de telefoon.
- De inloggegevens die u invoert in het draadloze LAN-profiel moeten identiek zijn aan de inloggegevens die u op de RADIUS-server hebt geconfigureerd.
-
Als u domeinen binnen uw netwerk gebruikt, moet u de gebruikersnaam samen met de domeinnaam invoeren, in het volgende formaat:
domain\username.
-
-
De volgende acties kunnen ertoe leiden dat het bestaande wifi-wachtwoord wordt gewist:
- Het invoeren van een ongeldige gebruikersnaam of wachtwoord.
- Het installeren van een ongeldige of verlopen root-CA wanneer het EAP-type is ingesteld op PEAP-MSCHAPV2 of PEAP-GTC.
- Het uitschakelen van het in gebruik zijnde EAP-type op de RADIUS-server voordat de telefoon overschakelt naar het nieuwe EAP-type.
- Om het EAP-type te wijzigen, moet u eerst het nieuwe EAP-type inschakelen op de RADIUS-server en vervolgens de telefoon overschakelen naar het nieuwe EAP-type. Als alle telefoons zijn overgezet naar het nieuwe EAP-type, kunt u het vorige EAP-type desgewenst uitschakelen.
| 1 |
Selecteer in Cisco Unified Communications Manager Administration . |
| 2 |
Klik op Nieuwe toevoegen. |
| 3 |
Stel in het gedeelte Draadloze LAN-profielinformatie de volgende parameters in:
|
| 4 |
Stel in het gedeelte Draadloze instellingen de volgende parameters in:
|
| 5 |
In het gedeelte Authenticatie-instellingen stelt u de Authenticatiemethode in op een van de volgende authenticatiemethoden: EAP-FAST, EAP-TLS, PEAP-MSCHAPv2, PEAP-GTC, PSK en Geen. De Cisco Wireless Phone 9821 ondersteunt geen WEP. Nadat u dit veld hebt ingesteld, ziet u mogelijk extra velden die u ook moet instellen.
De Cisco Wireless Phone 9821 ondersteunt het veld Network Access Profile niet. |
| 6 |
Klik op Opslaan. |
De volgende stappen
Koppel het draadloze LAN-profiel aan een WLAN-profielgroep en pas vervolgens de WLAN-profielgroep toe op een apparaatpool () of rechtstreeks naar de telefoon ().
Installeer een gebruikerscertificaat via de webpagina voor telefoonbeheer.
Als Simple Certificate Enrollment Protocol (SCEP) niet beschikbaar is, kunt u handmatig een gebruikerscertificaat op de telefoon installeren.
Het vooraf geïnstalleerde Manufacturing Installed Certificate (MIC) kan worden gebruikt als gebruikerscertificaat voor EAP-TLS.
Nadat het gebruikerscertificaat is geïnstalleerd, moet u de CA-keten die het gebruikerscertificaat heeft uitgegeven, toevoegen aan de vertrouwenslijst van de RADIUS-server.
Voordat u begint
Voordat u een gebruikerscertificaat voor een telefoon kunt installeren, moet u het volgende hebben:
-
Een gebruikerscertificaat dat op uw pc is opgeslagen. Het certificaat moet in PKCS-formaat zijn. #12 formaat.
-
Het wachtwoord voor het uitpakken van het certificaat. Het wachtwoord mag niet langer zijn dan 32 tekens.
| 1 |
Selecteer op de webpagina voor telefoonbeheer Certificaten. |
| 2 |
Zoek het veld Gebruiker geïnstalleerd en klik op Installeren. |
| 3 |
Blader naar het certificaat op uw pc. |
| 4 |
Voer in het veld Extract password het wachtwoord voor het uitpakken van het certificaat in. |
| 5 |
Klik op Uploaden. |
| 6 |
Start de telefoon opnieuw op nadat de upload is voltooid. |
Installeer een authenticatieserver (CA) via de webpagina voor telefoonbeheer.
Als Simple Certificate Enrollment Protocol (SCEP) niet beschikbaar is, kunt u handmatig een authenticatieserver-CA op de telefoon installeren.
Het root-CA-certificaat dat het RADIUS-servercertificaat heeft uitgegeven, moet geïnstalleerd zijn.
Voordat u begint
Voordat je een certificaat op een telefoon kunt installeren, moet je een authenticatieserver-CA op je pc hebben opgeslagen. Het certificaat moet gecodeerd zijn in PEM (Base-64) of DER.
| 1 |
Selecteer op de webpagina voor telefoonbeheer Certificaten. |
| 2 |
Zoek het veld Authenticatieserver CA en klik op Installeren. |
| 3 |
Blader naar het certificaat op uw pc. |
| 4 |
Klik op Uploaden. |
| 5 |
Start de telefoon opnieuw op nadat de upload is voltooid. |
Een beveiligingscertificaat handmatig verwijderen via de webpagina voor telefoonbeheer.
U kunt een beveiligingscertificaat handmatig van een telefoon verwijderen als Simple Certificate Enrollment Protocol (SCEP) niet beschikbaar is.
| 1 |
Selecteer op de webpagina voor telefoonbeheer Certificaten. |
| 2 |
Zoek het certificaat op de pagina Certificaten. |
| 3 |
Klik op Verwijderen. |
| 4 |
Start de telefoon opnieuw op nadat het verwijderingsproces is voltooid. |
SCEP instellen
Simple Certificate Enrollment Protocol (SCEP) is de standaard voor het automatisch aanmaken en vernieuwen van certificaten. Het voorkomt dat u handmatig certificaten op uw telefoons hoeft te installeren.
Activeer de productspecifieke configuratieparameters van SCEP.
U moet de volgende SCEP-parameters configureren in Cisco Unified Communications Manager (Unified CM).
-
RA IP-adres of hostnaam
-
SHA-1- of SHA-256-vingerafdruk van het root-CA-certificaat voor de SCEP-server
De Cisco IOS Registration Authority (RA) fungeert als proxy voor de SCEP-server. De SCEP-client op de telefoon gebruikt de parameters die worden gedownload van Cisco Unified CM. Nadat je de parameters hebt geconfigureerd, stuurt de telefoon een SCEP
getcs verzoek naar de RA en wordt het root CA-certificaat gevalideerd met behulp van de gedefinieerde vingerafdruk.
| 1 |
Selecteer in Cisco Unified Communications Manager Administration . |
| 2 |
Zoek de telefoon. |
| 3 |
Scrol naar het Productspecifieke configuratie-indeling gebied. |
| 4 |
Voer het RA IP-adres of de hostnaam in het veld WLAN SCEP Server in en vink vervolgens het selectievakje aan om de SCEP-parameter te activeren. |
| 5 |
Voer de SHA-1- of SHA-256-vingerafdruk van het root-CA-certificaat in het veld WLAN Root CA Fingerprint (SHA256 of SHA1) in en vink vervolgens het selectievakje aan om de SCEP QED-parameter te activeren. |
| 6 |
Selecteer Opslaan. |
| 7 |
Selecteer Pas configuratie toe. |
SCEP-serverondersteuning
Als u een Simple Certificate Enrollment Protocol (SCEP)-server gebruikt, kan de server uw gebruikers- en servercertificaten automatisch beheren. Configureer op de SCEP-server de SCEP Registration Agent (RA) als volgt:
-
Fungeren als PKI-vertrouwenspunt
-
Optreden als PKI RA
-
Voer apparaatverificatie uit met behulp van een RADIUS-server.
Raadpleeg de documentatie van uw SCEP-server voor meer informatie.
Stel een lokaal relevant certificaat (LSC) in.
Er zijn verschillende manieren om een LSC te installeren. Deze voorbeeldtaak beschrijft hoe u een LSC configureert met de authenticatiemethode via een tekenreeks op een Cisco Wireless Phone 9821.
Voordat u begint
Zorg ervoor dat de juiste Cisco Unified CM- en Certificate Authority Proxy Function (CAPF)-beveiligingsconfiguraties zijn voltooid.
-
Het CTL- of ITL-bestand bevat een CAPF-certificaat.
-
Controleer in Cisco Unified Communications Operating System Administration of het CAPF-certificaat is geïnstalleerd.
-
De CAPF is actief en geconfigureerd.
Raadpleeg de documentatie voor uw specifieke Cisco Unified CM-release voor meer informatie over deze instellingen.
| 1 |
Verkrijg de CAPF-authenticatiereeks die is ingesteld tijdens de configuratie van de CAPF. |
| 2 |
Open de app Instellingen |
| 3 |
Selecteer . |
| 4 |
Voer de authenticatiecode in. |
| 5 |
Druk op Meer De telefoon begint met het installeren, bijwerken of verwijderen van de LSC, afhankelijk van hoe de CAPF is geconfigureerd. Als de procedure is voltooid, verschijnt 'Geïnstalleerd' of 'Niet geïnstalleerd' op de telefoon. Het installeren, bijwerken of verwijderen van LSC kan lang duren. Als de telefooninstallatieprocedure succesvol is, wordt het bericht |
802.1X-authenticatie voor bekabelde netwerken
De Cisco Wireless Phone 9821 ondersteunt 802.1X-authenticatie voor bekabelde netwerken. Dit wordt doorgaans gebruikt tijdens automatische configuratie wanneer de telefoon via een ondersteunde USB-naar-Ethernet-adapter op de bureaulader is aangesloten.
Ondersteuning voor 802.1X-authenticatie op bekabelde netwerken vereist de volgende componenten:
-
Cisco IP-telefoon: De telefoon initieert het verzoek om toegang tot het netwerk te krijgen. Cisco IP-telefoons bevatten een 802.1X-supplicant. Deze applicatie stelt netwerkbeheerders in staat om de verbinding van IP-telefoons met de LAN-switchpoorten te beheren. De huidige versie van de 802.1X-supplicant voor telefoons maakt gebruik van de EAP-FAST- en EAP-TLS-opties voor netwerkauthenticatie.
-
Authenticatieserver: Zowel de authenticatieserver als de switch moeten geconfigureerd zijn met een gedeeld RADIUS-geheim.
-
Schakelaar: De switch moet 802.1X ondersteunen, zodat deze als authenticatieserver kan fungeren en de EAP-berichten tussen de telefoon en de authenticatieserver kan doorgeven. Nadat de uitwisseling is voltooid, verleent of weigert de switch de telefoon toegang tot het netwerk.
Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel het Cisco Discovery Protocol (CDP) om elkaar te identificeren en parameters zoals VLAN-toewijzing en stroomvereisten te bepalen.
U moet de volgende acties uitvoeren om 802.1X te configureren.
-
Configure CDP/LLDP Omzeiling van het spraak-VLAN.
-
Configureer de authenticatieserver en de switch voordat u 802.1X-authenticatie voor bekabelde netwerken op de telefoon inschakelt.
-
Configureer spraak-VLAN: Omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de ondersteuning door de switch.
- Ingeschakeld: Als u een switch gebruikt die authenticatie voor meerdere domeinen ondersteunt, kunt u deze configureren om het spraak-VLAN te gebruiken.
- Uitgeschakeld: Als de switch geen ondersteuning biedt voor authenticatie met meerdere domeinen, schakel dan het Voice VLAN uit en overweeg de poort toe te wijzen aan het native VLAN.
-
De Cisco Wireless Phone 9821 heeft een ander voorvoegsel in de PID dan de andere Cisco-telefoons. Om uw telefoon in staat te stellen 802.1X-authenticatie te doorstaan, stelt u de parameter Radius·User-Name in op uw Cisco Wireless Phone 9821.
Het PID van Cisco Wireless Phone 9821 is bijvoorbeeld WP-9821. U kunt Radius·User-Name instellen op
Start with WPofContains WPin beide van de volgende secties: -
Schakel 802.1X-authenticatie voor bekabelde netwerken in op je telefoon.
Volg deze stappen om 802.1X-authenticatie voor bekabelde netwerken op uw telefoon in te schakelen. Houd er rekening mee dat 802.1X-authenticatie voor Wi-Fi standaard is ingeschakeld en geen handmatige configuratie vereist.
| 1 |
Open de app Instellingen |
| 2 |
Voer, indien gevraagd, het wachtwoord in om toegang te krijgen tot het menu Instellingen. Je kunt het wachtwoord opvragen bij je beheerder. |
| 3 |
Selecteer . |
| 4 |
Markeer Apparaatverificatie en druk op Aan. |
Schakel 802.1X-authenticatie in voor bekabelde netwerken in Cisco Unified Communications Manager Administration.
Volg deze stappen om 802.1X-authenticatie voor bekabelde netwerken in te schakelen op Cisco Unified CM. Houd er rekening mee dat 802.1X-authenticatie voor Wi-Fi standaard is ingeschakeld en geen handmatige configuratie vereist.
Je kunt de transactiestatus en beveiligingsinstellingen bekijken in het menu op het telefoonscherm. Voor meer informatie, zie Beveiligingsinstellingenmenu op de telefoon.
| 1 |
Selecteer in Cisco Unified Communications Manager Administration Apparaat > Telefoon. |
| 2 |
Zoek de telefoon die u wilt instellen. |
| 3 |
Navigeer naar het Productspecifieke configuratie-indeling gebied. |
| 4 |
Selecteer Ingeschakeld uit de 802.1x Authenticatie vervolgkeuzemenu. Wanneer geconfigureerd op Ingeschakeld of Uitgeschakeld, wordt de optie voor apparaatverificatie op de Cisco Wireless Phone 9821 alleen-lezen, waardoor gebruikers de 802.1X-verificatie-instellingen niet kunnen wijzigen. |
| 5 |
Selecteer Opslaan. |
| 6 |
Selecteer Pas configuratie toe. |
Beveiligingsinstellingenmenu op de telefoon
Om de informatie over de beveiligingsinstellingen in het telefoonmenu te bekijken, ga je naar de app Instellingen 
en selecteer je . De beschikbaarheid van de informatie is afhankelijk van de netwerkinstellingen binnen uw organisatie.
|
Parameters |
Opties |
Standaard |
Beschrijving |
|---|---|---|---|
|
Apparaatauthenticatie |
Aan Uit |
Uit |
Hiermee kunt u 802.1X-authenticatie op de telefoon in- of uitschakelen. De parameterinstellingen kunnen na de Out-Of-Box (OOB) registratie van de telefoon behouden blijven. |
|
Transactiestatus | Uitgeschakeld |
Geeft de status van de 802.1X-authenticatie weer. De toestand kan zijn (maar is niet beperkt tot):
| |
|
Protocol | Geen |
Geeft de EAP-methode weer die wordt gebruikt voor 802.1X-authenticatie. Het protocol kan EAP-FAST of EAP-TLS zijn. |
Stel de ondersteunde TLS-versies in.
Je kunt de minimaal vereiste TLS-versie voor respectievelijk de client en de server instellen.
Standaard is de minimale TLS-versie voor zowel de server als de client 1.2. De instelling heeft invloed op de volgende functies:
- HTTPS-webtoegangsverbinding
- Onboarding voor on-premises telefoons
- HTTPS-services, zoals bijvoorbeeld directoryservices.
- Datagram Transport Layer Security (DTLS)
- Port Access Entity (PAE)
- Uitbreidbaar authenticatieprotocol - Transportlaagbeveiliging (EAP-TLS)
Voor meer informatie over de TLS 1.3-compatibiliteit voor Cisco IP-telefoons, zie TLS 1.3-compatibiliteitsmatrix voor Cisco Collaboration-producten.
| 1 |
Voer in Cisco Unified Communications Manager Administration een van de volgende acties uit, indien nodig:
De configuratie volgt een hiërarchische structuur:
|
| 2 |
Stel het veld TLS Client Min Version in: De TLS 1.3 optie is beschikbaar op Cisco Unified CM 15SU2 of later.
|
| 3 |
Stel het veld TLS Server Min Version in:
|
| 4 |
Klik op Opslaan. |
| 5 |
Klik op Configuratie toepassen. |
| 6 |
Start de telefoons opnieuw op. |
Schakel de luidspreker en headset uit op de Cisco Wireless Phone 9821.
Op een Cisco Wireless Phone 9821 kunt u de speakerphone en headset permanent uitschakelen voor uw gebruiker. Door deze audio-uitgangen uit te schakelen, wordt ervoor gezorgd dat gesprekken niet hoorbaar zijn voor anderen in de buurt, wat belangrijk is in gedeelde of open kantooromgevingen.
| 1 |
Selecteer in Cisco Unified Communications Manager Administration . |
| 2 |
Zoek de telefoon die u wilt instellen. |
| 3 |
Navigeer naar het Productspecifieke configuratie-indeling gebied. |
| 4 |
Vink een of meer van de volgende selectievakjes aan om de functies van de telefoon uit te schakelen:
Deze selectievakjes zijn standaard niet aangevinkt. |
| 5 |
Selecteer Opslaan. |
| 6 |
Selecteer Pas configuratie toe. |
