Благодарим вас за обратную связь.

Функции безопасности защищают от угроз, в том числе от угроз идентификации телефона и данным. Эти функции устанавливают и поддерживают аутентифицированные потоки связи между телефоном и сервером Cisco Unified Communications Manager, а также гарантируют, что телефон использует только файлы с цифровой подписью.

Cisco Unified Communications Manager версии 8.5(1) и более поздних версий включает в себя функцию безопасности по умолчанию, которая предоставляет следующие функции безопасности для IP-телефонов Cisco без запуска клиента CTL:

• Подписание файлов конфигурации телефона

• Шифрование файла конфигурации телефона

• HTTPS с Tomcat и другими веб-сервисами

Внедрение мер безопасности в систему Cisco Unified Communications Manager предотвращает кражу личных данных с телефона и сервера Cisco Unified Communications Manager, предотвращает несанкционированное изменение данных, а также предотвращает искажение сигналов вызовов и медиапотоков.

Для смягчения этих угроз сеть IP-телефонии Cisco устанавливает и поддерживает защищенные (зашифрованные) потоки связи между телефоном и сервером, подписывает файлы цифровой подписью перед их передачей на телефон, а также шифрует потоки мультимедиа и сигналы вызовов между IP-телефонами Cisco.

Локально значимый сертификат (LSC) устанавливается на телефоны после выполнения необходимых задач, связанных с функцией прокси-сервера центра сертификации (CAPF). Для настройки LSC можно использовать Cisco Unified Communications Manager Administration, как описано в Руководстве по безопасности Cisco Unified Communications Manager. В качестве альтернативы, вы можете инициировать установку LSC из меню Безопасность на телефоне. В этом меню также можно обновить или удалить LSC.

В телефонах используется профиль безопасности, который определяет, является ли устройство незащищенным или защищенным. Для получения информации о применении профиля безопасности к телефону см. документацию для вашей конкретной версии Cisco Unified Communications Manager.

Если вы настраиваете параметры безопасности в разделе администрирования Cisco Unified Communications Manager, файл конфигурации телефона содержит конфиденциальную информацию. Для обеспечения конфиденциальности конфигурационного файла необходимо настроить его на шифрование. Для получения подробной информации см. документацию к конкретной версии Cisco Unified Communications Manager.

В таблице ниже представлен обзор функций безопасности, поддерживаемых этими телефонами. Для получения более подробной информации см. документацию по вашей конкретной версии Cisco Unified Communications Manager.

В таблице ниже приведены сообщения об ошибках, связанных с обновлением списка доверенных лиц, и их значения. Для получения более подробной информации см. документацию Cisco Unified Communications Manager.

При наличии встроенной системы безопасности телефона, вы можете идентифицировать защищенные телефонные звонки по значкам на экране телефона. Также можно определить, является ли подключенный телефон защищенным, если в начале разговора воспроизводится сигнал безопасности.

При защищенном вызове все сигналы вызова и потоки мультимедиа шифруются. Защищенный звонок обеспечивает высокий уровень безопасности, гарантируя целостность и конфиденциальность разговора. Когда текущий вызов зашифрован, на линии отображается значок безопасности .

В Cisco Unified Communications Manager телефонам, настроенным как защищенные (зашифрованные и доверенные), можно присвоить защищенный статус. После установки защиты эти устройства можно настроить таким образом, чтобы они воспроизводили сигнал безопасности в начале каждого звонка.

• Защищаемое устройство:

  Чтобы изменить статус защищенного телефона на защищенный:

  1. В разделе «Администрирование Cisco Unified Communications Manager» выберите Устройство > Телефон.
  2. Найдите телефон, который вы будете настраивать.
  3. В окне «Настройка телефона» установите флажок Защищенное устройство.
  4. Щелкните Сохранить.

• Звуковой сигнал подтверждения безопасного воспроизведения:

  Чтобы защищенный телефон мог воспроизводить сигнал подтверждения безопасности или небезопасности:

  1. В разделе «Администрирование Cisco Unified Communications Manager» выберите Система > Параметры сервиса.
  2. Выберите сервер, а затем службу Cisco CallManager .
  3. В области Параметры кластера (Функция - Безопасный тон) установите Воспроизвести тон в значение «Указывать» Secure/Non-Secure Статус вызова устанавливается в значение True.
  4. Щелкните Сохранить.

Поскольку все устройства беспроводной сети, находящиеся в зоне действия, могут принимать весь остальной трафик беспроводной сети, обеспечение безопасности голосовой связи имеет решающее значение в беспроводных сетях. Для обеспечения защиты от манипулирования или перехвата голосового трафика злоумышленниками, архитектура безопасности Cisco SAFE поддерживает работу телефона. Для получения дополнительной информации о безопасности в сетях см. http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Решение Cisco для беспроводной IP-телефонии обеспечивает безопасность беспроводной сети, предотвращая несанкционированный вход в систему и компрометацию связи за счет использования следующих методов аутентификации, поддерживаемых телефоном.

• Открытая аутентификация: В открытой системе любое беспроводное устройство может запросить аутентификацию. Точка доступа, получившая запрос, может предоставить аутентификацию любому запрашивающему лицу или только тем запрашивающим лицам, которые указаны в списке пользователей. Обмен данными между беспроводным устройством и точкой доступа (AP) может осуществляться без шифрования.

• Расширяемый протокол аутентификации — гибкая аутентификация через защищенное туннелирование (EAP-FAST): Эта архитектура безопасности «клиент-сервер» шифрует транзакции EAP в туннеле с уровнем безопасности транспортного уровня (TLS) между точкой доступа и сервером RADIUS, например, Identity Services Engine (ISE).

  В туннеле TLS для аутентификации между клиентом (телефоном) и сервером RADIUS используются защищенные учетные данные доступа (PAC). Сервер отправляет клиенту (телефону) идентификатор авторизации (AID), который, в свою очередь, выбирает соответствующий PAC-код. Клиент (телефон) отправляет PAC-Opaque на RADIUS-сервер. Сервер расшифровывает PAC-код с помощью первичного ключа. Теперь обе конечные точки содержат ключ PAC, и создан TLS-туннель. EAP-FAST поддерживает автоматическую настройку PAC-кодов, но эту функцию необходимо включить на RADIUS-сервере.

  В ISE по умолчанию срок действия PAC-кода истекает через неделю. Если срок действия PAC-кода телефона истек, аутентификация с RADIUS-сервером занимает больше времени, пока телефон не получит новый PAC-код. Во избежание задержек при предоставлении PAC-кодов установите срок действия PAC-кодов на сервере ISE или RADIUS равным 90 дням или более.

• Расширяемый протокол аутентификации — безопасность транспортного уровня (EAP-TLS) Аутентификация: Для аутентификации и доступа к сети EAP-TLS требует наличия клиентского сертификата. Для беспроводного протокола EAP-TLS клиентский сертификат может быть MIC, LSC или установленным пользователем сертификатом.

• Защищенный расширяемый протокол аутентификации (PEAP): Собственная схема взаимной аутентификации Cisco на основе паролей между клиентом (телефоном) и RADIUS-сервером. Телефон может использовать PEAP для аутентификации в беспроводной сети. Поддерживаются оба метода аутентификации: PEAP-MSCHAPV2 и PEAP-GTC.

• Предварительно согласованный ключ (PSK): Телефон поддерживает форматы ASCII и шестнадцатеричный (HEX). При настройке необходимо использовать следующие форматы. WPA2/SAE Предварительно согласованный ключ.

  ASCII: Строка символов ASCII длиной от 8 до 63 символов (0-9, строчные буквы az, заглавные буквы AZ и специальные символы). Например, GREG123567@9ZX&W.

  HEX: Шестнадцатеричная строка из 64 шестнадцатеричных цифр (0-9, af или AF).

Следующие схемы аутентификации используют RADIUS-сервер для управления ключами аутентификации:

• WPA2/WPA3: Использует информацию с RADIUS-сервера для генерации уникальных ключей аутентификации. Поскольку эти ключи генерируются на централизованном RADIUS-сервере, WPA2/WPA3 обеспечивает более высокий уровень безопасности, чем предварительно согласованные ключи WPA, хранящиеся на точке доступа и телефоне.

• Быстрый и безопасный роуминг: Использует информацию RADIUS-сервера и сервера беспроводного домена (WDS) для управления и аутентификации ключей. WDS создает кэш учетных данных безопасности для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации.

С WPA2/WPA3, Ключи шифрования не вводятся в телефон, а автоматически генерируются между точкой доступа и телефоном. Однако имя пользователя и пароль EAP, используемые для аутентификации, необходимо ввести на каждом телефоне.

Для защиты голосового трафика, передаваемого по беспроводной связи, телефон поддерживает шифрование на основе AES. WPA2/WPA3 аутентификация. AES — это симметричный блочный шифр, стандартизированный NIST. AES использует фиксированный размер блока в 128 бит и поддерживает размеры ключей в 128, 192 и 256 бит. В сетях Wi-Fi алгоритм AES используется в таких наборах шифров, как CCMP или GCMP, а аутентификация обеспечивается отдельно с помощью PSK, SAE или 802.1X/EAP, в зависимости от настроенного режима безопасности беспроводной сети. Поддерживаемый набор шифров и размер ключа зависят от модели телефона и конфигурации беспроводной сети.

При использовании телефона шифрования AES, как сигнальные пакеты SIP, так и голосовые пакеты протокола RTP (Real-Time Transport Protocol) шифруются между точкой доступа и телефоном.

В беспроводной локальной сети настроены схемы аутентификации и шифрования. Виртуальные локальные сети (VLAN) настраиваются в сети и на точках доступа и определяют различные комбинации аутентификации и шифрования. SSID связан с VLAN и конкретной схемой аутентификации и шифрования. Для успешной аутентификации беспроводных клиентских устройств необходимо настроить одинаковые SSID с соответствующими схемами аутентификации и шифрования как на точках доступа, так и на телефоне.

Некоторые схемы аутентификации требуют использования определенных типов шифрования.

В таблице ниже представлены схемы аутентификации и шифрования, соответствующие параметрам конфигурации сети для беспроводного телефона Cisco 9821, которые соответствуют конфигурации точки доступа.

Беспроводной телефон Cisco 9821 поддерживает аутентификацию 802.1X для проводных сетей. Обычно это используется во время автоматической настройки когда телефон подключен к настольному зарядному устройству через поддерживаемый USB-адаптер Ethernet.

Для поддержки аутентификации 802.1X в проводных сетях требуется несколько компонентов, перечисленных ниже:

• IP-телефон Cisco: Телефон инициирует запрос на доступ к сети. IP-телефоны Cisco содержат модуль 802.1X для обработки запросов. Этот клиент позволяет сетевым администраторам контролировать подключение IP-телефонов к портам коммутатора локальной сети. В текущей версии приложения для подключения телефона по протоколу 802.1X используются опции EAP-FAST и EAP-TLS для сетевой аутентификации.

• Сервер аутентификации: И сервер аутентификации, и коммутатор должны быть настроены с использованием общего секретного ключа RADIUS.

• Выключатель: Коммутатор должен поддерживать стандарт 802.1X, чтобы он мог выступать в качестве аутентификатора и передавать сообщения EAP между телефоном и сервером аутентификации. После завершения обмена данными коммутатор предоставляет или запрещает телефону доступ к сети.

Традиционно IP-телефоны Cisco и коммутаторы Cisco Catalyst используют протокол Cisco Discovery Protocol (CDP) для идентификации друг друга и определения таких параметров, как распределение VLAN и требования к питанию по линии.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройка CDP/LLDP Обход голосовой VLAN.

• Перед включением аутентификации 802.1X для проводных сетей на телефоне необходимо настроить сервер аутентификации и коммутатор.

• Настройка голосовой VLAN: Поскольку стандарт 802.1X не учитывает VLAN, этот параметр следует настраивать в соответствии с поддержкой коммутатора.

  • Включено: Если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете настроить его для использования голосовой VLAN.
  • Выключено: Если коммутатор не поддерживает многодоменную аутентификацию, отключите Voice VLAN и рассмотрите возможность назначения порта собственному VLAN.

• У беспроводного телефона Cisco 9821 префикс в идентификаторе пользователя (PID) отличается от префикса у других телефонов Cisco. Чтобы ваш телефон проходил аутентификацию 802.1X, установите параметр Radius·User-Name так, чтобы он включал ваш беспроводной телефон Cisco 9821.

  Например, идентификатор PID беспроводного телефона Cisco 9821 — WP-9821. В следующих разделах вы можете установить значение Radius·User-Name равным Start with WP или Contains WP :

  • Политика > Условия > Условия пользования библиотекой

  • Политика > Наборы политик > Политика авторизации > Правило авторизации 1