Dziękujemy za opinię.

Funkcje bezpieczeństwa chronią przed zagrożeniami, w tym przed zagrożeniami dotyczącymi tożsamości użytkownika telefonu i danych. Funkcje te umożliwiają nawiązywanie i utrzymywanie uwierzytelnionych strumieni komunikacji między telefonem a serwerem Cisco Unified Communications Manager oraz gwarantują, że telefon korzysta wyłącznie z plików podpisanych cyfrowo.

W programie Cisco Unified Communications Manager w wersji 8.5(1) i nowszych domyślnie znajduje się funkcja zabezpieczeń, która zapewnia następujące funkcje zabezpieczeń dla telefonów IP Cisco bez konieczności uruchamiania klienta CTL:

• Podpisywanie plików konfiguracyjnych telefonu

• Szyfrowanie pliku konfiguracyjnego telefonu

• HTTPS z Tomcat i innymi usługami sieciowymi

Wdrożenie zabezpieczeń w systemie Cisco Unified Communications Manager zapobiega kradzieży tożsamości telefonu i serwera Cisco Unified Communications Manager, zapobiega manipulacjom danymi oraz zapobiega sygnalizacji połączeń i manipulacjom strumieni multimedialnych.

Aby złagodzić te zagrożenia, sieć telefonii IP Cisco ustanawia i utrzymuje bezpieczne (szyfrowane) strumienie komunikacyjne pomiędzy telefonem i serwerem, podpisuje cyfrowo pliki przed ich przesłaniem do telefonu oraz szyfruje strumienie multimedialne i sygnalizację połączeń pomiędzy telefonami IP Cisco.

Certyfikat lokalnie ważny (LSC) instaluje się na telefonach po wykonaniu niezbędnych zadań związanych z funkcją proxy urzędu certyfikacji (CAPF). Za pomocą narzędzia Cisco Unified Communications Manager Administration można skonfigurować LSC, zgodnie z opisem w Cisco Unified Communications Manager Security Guide. Alternatywnie możesz rozpocząć instalację LSC z menu Bezpieczeństwo w telefonie. To menu umożliwia również aktualizację lub usunięcie LSC.

Telefony korzystają z profilu bezpieczeństwa telefonu, który określa, czy urządzenie jest bezpieczne, czy niezabezpieczone. Aby uzyskać informacje na temat stosowania profilu zabezpieczeń w telefonie, zapoznaj się z dokumentacją konkretnej wersji oprogramowania Cisco Unified Communications Manager.

Jeśli skonfigurujesz ustawienia związane z zabezpieczeniami w aplikacji Cisco Unified Communications Manager Administration, plik konfiguracyjny telefonu będzie zawierał poufne informacje. Aby zagwarantować prywatność pliku konfiguracyjnego, należy skonfigurować w nim szyfrowanie. Aby uzyskać szczegółowe informacje, zapoznaj się z dokumentacją konkretnej wersji oprogramowania Cisco Unified Communications Manager.

Poniższa tabela zawiera przegląd funkcji bezpieczeństwa obsługiwanych przez telefony. Więcej informacji znajdziesz w dokumentacji konkretnej wersji oprogramowania Cisco Unified Communications Manager.

W poniższej tabeli znajdują się komunikaty alarmowe dotyczące aktualizacji listy zaufanych i ich znaczenie. Więcej informacji można znaleźć w dokumentacji programu Cisco Unified Communications Manager.

Po wprowadzeniu zabezpieczeń telefonu można rozpoznać bezpieczne połączenia telefoniczne po ikonach na ekranie telefonu. Można również sprawdzić, czy podłączony telefon jest bezpieczny i chroniony, jeśli na początku połączenia zostanie odtworzony sygnał dźwiękowy.

W przypadku połączenia zabezpieczonego cała sygnalizacja połączenia i strumienie multimedialne są szyfrowane. Bezpieczne połączenie zapewnia wysoki poziom bezpieczeństwa, gwarantując integralność i prywatność połączenia. Gdy trwająca rozmowa jest szyfrowana, na linii wyświetlana jest ikona bezpieczeństwa .

W programie Cisco Unified Communications Manager telefonom skonfigurowanym jako bezpieczne (szyfrowane i zaufane) można przypisać status chroniony. Po ustawieniu zabezpieczeń urządzenia można skonfigurować tak, aby na początku każdej rozmowy odtwarzał dźwięk bezpieczeństwa.

• Chronione urządzenie:

  Aby zmienić status zabezpieczonego telefonu na chroniony:

  1. W administracji Cisco Unified Communications Manager wybierz Urządzenie > Telefon.
  2. Znajdź telefon, który chcesz skonfigurować.
  3. W oknie Konfiguracja telefonu zaznacz pole wyboru Urządzenie chronione.
  4. Kliknij opcję Zapisz.

• Odtwórz dźwięk sygnalizacji bezpieczeństwa:

  Aby włączyć w zabezpieczonym telefonie odtwarzanie sygnału dźwiękowego informującego o zabezpieczeniu lub niezabezpieczeniu:

  1. W aplikacji Cisco Unified Communications Manager Administration wybierz opcję System > Parametry usługi.
  2. Wybierz serwer, a następnie usługę Cisco CallManager.
  3. W obszarze Parametry klastra (funkcja - bezpieczny dźwięk) ustaw Dźwięk odtwarzania na Wskazuje Secure/Non-Secure Ustawienie statusu połączenia na Prawda.
  4. Kliknij opcję Zapisz.

Ponieważ wszystkie urządzenia WLAN znajdujące się w zasięgu mogą odbierać cały pozostały ruch WLAN, zabezpieczenie komunikacji głosowej ma kluczowe znaczenie w przypadku sieci WLAN. Aby mieć pewność, że intruzi nie będą mogli manipulować ani przechwytywać transmisji głosowej, telefon jest obsługiwany przez architekturę zabezpieczeń Cisco SAFE. Więcej informacji o bezpieczeństwie w sieciach znajdziesz w http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Rozwiązanie telefonii IP Cisco Wireless zapewnia bezpieczeństwo sieci bezprzewodowej, zapobiegając nieautoryzowanym logowaniom i zagrożeniom komunikacji, korzystając z następujących metod uwierzytelniania obsługiwanych przez telefon.

• Otwarte uwierzytelnianie: Każde urządzenie bezprzewodowe może żądać uwierzytelnienia w otwartym systemie. Punkt dostępowy odbierający żądanie może przyznać uwierzytelnienie dowolnemu wnioskodawcy lub tylko wnioskodawcom znajdującym się na liście użytkowników. Komunikacja między urządzeniem bezprzewodowym a punktem dostępowym (AP) może być niezaszyfrowana.

• Protokół uwierzytelniania rozszerzonego – uwierzytelnianie elastyczne za pomocą bezpiecznego tunelowania (EAP-FAST): Ta architektura zabezpieczeń typu klient-serwer szyfruje transakcje EAP w tunelu Transport Level Security (TLS) pomiędzy punktem dostępu a serwerem RADIUS, takim jak Identity Services Engine (ISE).

  Tunel TLS wykorzystuje chronione poświadczenia dostępu (PAC) do uwierzytelniania pomiędzy klientem (telefonem) a serwerem RADIUS. Serwer wysyła identyfikator urzędu (AID) do klienta (telefonu), który następnie wybiera odpowiedni klucz PAC. Klient (telefon) zwraca PAC-Opaque do serwera RADIUS. Serwer odszyfrowuje PAC przy użyciu klucza podstawowego. Oba punkty końcowe zawierają teraz klucz PAC i utworzony został tunel TLS. EAP-FAST obsługuje automatyczne dostarczanie certyfikatów PAC, ale trzeba je włączyć na serwerze RADIUS.

  W ISE domyślnie PAC wygasa po tygodniu. Jeśli w telefonie wygasł klucz PAC, uwierzytelnianie na serwerze RADIUS trwa dłużej, dopóki telefon nie otrzyma nowego klucza PAC. Aby uniknąć opóźnień w dostarczaniu PAC, należy ustawić okres wygaśnięcia PAC na 90 dni lub dłużej na serwerze ISE lub RADIUS.

• Uwierzytelnianie za pomocą protokołu EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS wymaga certyfikatu klienta do uwierzytelniania i dostępu do sieci. W przypadku bezprzewodowego protokołu EAP-TLS certyfikatem klienta może być MIC, LSC lub certyfikat zainstalowany przez użytkownika.

• Protokół uwierzytelniania rozszerzonego chronionego (PEAP): Opracowany przez Cisco schemat wzajemnego uwierzytelniania oparty na haśle pomiędzy klientem (telefonem) i serwerem RADIUS. Telefon może używać protokołu PEAP do uwierzytelniania w sieci bezprzewodowej. Obsługiwane są metody uwierzytelniania PEAP-MSCHAPV2 i PEAP-GTC.

• Klucz współdzielony (PSK): Telefon obsługuje formaty ASCII i szesnastkowy (HEX). Podczas konfigurowania należy używać tych formatów WPA2/SAE Klucz współdzielony.

  ASCII: Ciąg znaków ASCII o długości od 8 do 63 znaków (0-9, małe litery od a do z, wielkie litery od A do Z oraz znaki specjalne). Na przykład, GREG123567@9ZX&W.

  HEX: Ciąg znaków szesnastkowych składający się z 64 cyfr szesnastkowych (0-9, af lub AF).

Poniższe schematy uwierzytelniania wykorzystują serwer RADIUS do zarządzania kluczami uwierzytelniania:

• WPA2/WPA3: Wykorzystuje informacje z serwera RADIUS do generowania unikalnych kluczy uwierzytelniania. Ponieważ te klucze są generowane na scentralizowanym serwerze RADIUS, WPA2/WPA3 zapewnia większe bezpieczeństwo niż współdzielone klucze WPA przechowywane w punkcie dostępu i telefonie.

• Szybki i bezpieczny roaming: Wykorzystuje informacje z serwera RADIUS i serwera domeny bezprzewodowej (WDS) do zarządzania kluczami i uwierzytelniania ich. WDS tworzy pamięć podręczną danych uwierzytelniających dla urządzeń klienckich obsługujących FT, umożliwiając szybką i bezpieczną ponowną autoryzację.

Z WPA2/WPA3, klucze szyfrujące nie są wprowadzane w telefonie, ale są automatycznie generowane pomiędzy punktem dostępowym a telefonem. Natomiast nazwę użytkownika i hasło EAP, służące do uwierzytelniania, należy wprowadzić na każdym telefonie.

Aby pomóc chronić ruch głosowy w łączu bezprzewodowym, telefon obsługuje szyfrowanie oparte na standardzie AES. WPA2/WPA3 uwierzytelnianie. AES to symetryczny szyfr blokowy standaryzowany przez NIST. AES wykorzystuje stały rozmiar bloku wynoszący 128 bitów i obsługuje klucze o rozmiarze 128 bitów, 192 bitów i 256 bitów. W sieciach Wi-Fi AES jest używany przez szyfry takie jak CCMP lub GCMP, podczas gdy uwierzytelnianie jest zapewniane oddzielnie przez PSK, SAE lub 802.1X/EAP, w zależności od skonfigurowanego trybu zabezpieczeń sieci WLAN. Obsługiwany zestaw szyfrów i rozmiar klucza zależą od modelu telefonu i konfiguracji sieci WLAN.

Gdy telefon korzysta z szyfrowania AES, zarówno pakiety sygnalizacyjne SIP, jak i pakiety głosowe protokołu RTP (Real-Time Transport Protocol) są szyfrowane między punktem dostępu i telefonem.

W bezprzewodowej sieci LAN skonfigurowane są schematy uwierzytelniania i szyfrowania. Sieci VLAN są konfigurowane w sieci i na punktach dostępowych oraz określają różne kombinacje uwierzytelniania i szyfrowania. Identyfikator SSID jest powiązany z siecią VLAN oraz określonym schematem uwierzytelniania i szyfrowania. Aby uwierzytelnianie urządzeń klienckich sieci bezprzewodowej przebiegło pomyślnie, należy skonfigurować te same identyfikatory SSID oraz schematy uwierzytelniania i szyfrowania w punktach dostępowych i w telefonie.

Niektóre schematy uwierzytelniania wymagają określonych typów szyfrowania.

Schematy uwierzytelniania i szyfrowania w poniższej tabeli przedstawiają opcje konfiguracji sieci dla telefonu Cisco Wireless Phone 9821 odpowiadające konfiguracji punktu dostępowego.

Telefon bezprzewodowy Cisco 9821 obsługuje uwierzytelnianie 802.1X w sieciach przewodowych. Opcja ta jest zwykle używana podczas automatycznego provisionowania, gdy telefon jest podłączony do ładowarki stacjonarnej za pomocą obsługiwanego adaptera USB-Ethernet.

Do obsługi uwierzytelniania 802.1X w sieciach przewodowych wymagane są następujące elementy:

• Telefon IP Cisco: Telefon inicjuje żądanie dostępu do sieci. Telefony IP Cisco zawierają suplikanta 802.1X. Dzięki temu modułowi administratorzy sieci mogą kontrolować łączność telefonów IP z portami przełącznika LAN. W obecnej wersji sterownika telefonicznego 802.1X do uwierzytelniania sieciowego używane są opcje EAP-FAST i EAP-TLS.

• Serwer uwierzytelniania: Zarówno serwer uwierzytelniania, jak i przełącznik muszą zostać skonfigurowane przy użyciu współdzielonego tajnego klucza RADIUS.

• Przełącznik: Przełącznik musi obsługiwać standard 802.1X, aby mógł pełnić funkcję uwierzytelniacza i przekazywać wiadomości EAP między telefonem a serwerem uwierzytelniającym. Po zakończeniu wymiany przełącznik przyznaje lub odmawia telefonowi dostępu do sieci.

Telefony IP Cisco i przełączniki Cisco Catalyst tradycyjnie korzystają z protokołu Cisco Discovery Protocol (CDP) w celu wzajemnej identyfikacji i określania parametrów, takich jak przydział sieci VLAN i wymagania dotyczące zasilania.

Aby skonfigurować standard 802.1X, należy wykonać następujące czynności.

• Konfiguruj CDP/LLDP ominięcie sieci VLAN głosowej.

• Przed włączeniem uwierzytelniania 802.1X dla sieci przewodowych w telefonie należy skonfigurować serwer uwierzytelniania i przełącznik.

• Konfigurowanie sieci VLAN głosowej: Ponieważ standard 802.1X nie uwzględnia sieci VLAN, to ustawienie należy skonfigurować na podstawie obsługi przełącznika.

  • Włączone: Jeśli używasz przełącznika obsługującego uwierzytelnianie wielodomenowe, możesz go skonfigurować do korzystania z sieci VLAN obsługującej połączenia głosowe.
  • Wyłączone: Jeśli przełącznik nie obsługuje uwierzytelniania wielodomenowego, wyłącz sieć VLAN głosową i rozważ przypisanie portu do natywnej sieci VLAN.

• W telefonie Cisco Wireless Phone 9821 prefiks w PID różni się od prefiksu w pozostałych telefonach Cisco. Aby umożliwić telefonowi przechodzenie uwierzytelniania 802.1X, ustaw parametr Radius·User-Name tak, aby uwzględniał telefon bezprzewodowy Cisco 9821.

  Na przykład PID telefonu Cisco Wireless Phone 9821 to WP-9821. Możesz ustawić Radius·Nazwa użytkownika na Start with WP lub Contains WP w obu następujących sekcjach:

  • Polityka > Warunki > Warunki biblioteki

  • Polityka > Zestawy zasad > Polityka autoryzacji > Reguła autoryzacji 1