Hvala za povratne informacije.

Varnostne funkcije ščitijo pred grožnjami, vključno z grožnjami identi teti telefona in podatkov. Te funkcije vzpostavljajo in vzdržujejo preverjene komunikacijske tokove med telefonom in Cisco Unified Communications Manager strežnikom ter zagotavljajo, da telefon uporablja samo digitalno podpisane datoteke.

Cisco Unified Communications ManagerIzdaja 8.5 (1) in novejša vključuje privzeto varnost, ki zagotavlja naslednje varnostne funkcije za telefone Cisco IP brez zagona odjemalca CTL :

• Podpis konfiguracijskih datotek telefona

• Šifriranje konfiguracijske datoteke telefona

• HTTPS s Tomcatom in drugimi spletnimi storitvami

Uvedba varnosti v Cisco Unified Communications Manager sistem preprečuje krajo identi tete telefona in Cisco Unified Communications Manager strežnika, preprečuje poseganje podatkov ter preprečuje signalizacijo klicev in poseganje medijskih tokov.

Za lajšanje teh groženj omrežje Cisco IP telefonije vzpostavlja in vzdržuje varne (šifrirane) komunikacijske tokove med telefonom in strežnikom, digitalno podpiše datoteke, preden se prenesejo v telefon, ter šifrira medijske tokove in signalizacijo klicev med Cisco IP telefoni.

Po opravljanju potrebnih nalog, povezanih s funkcijo Certificate Authority proxy (CAPF), se v telefone namesti lokalno pomembno potrdilo (LSC). Uporabite lahko za konfigu Cisco Unified Communications Manager Administration riranje LSC, kot je opisano v varnostnem pri Cisco Unified Communications Managerročniku. Namestitev LSC lahko začnete tudi v meniju Varnost v telefonu. Ta meni omogoča tudi posodobitev ali odstranjevanje LSC.

Telefoni uporabljajo varnostni profil telefona, ki določa, ali naprava ni varna ali varna. Če želite informacije o uporabi varnostnega profila v telefonu, glejte dokumentacijo za določeno Cisco Unified Communications Manager izdajo.

Če nastavitve, povezane z varnostjo, konfigurirate v programuCisco Unified Communications Manager Administration, konfiguracijska datoteka telefona vsebuje občutljive podatke. Če želite zagotoviti zasebnost konfiguracijske datoteke, jo morate konfigurirati za šifriranje. Za podrobne informacije glejte dokumentacijo za vašo določeno Cisco Unified Communications Manager izdajo.

Naslednja tabela vsebuje pregled varnostnih funkcij, ki jih telefoni podpi rajo. Za več informacij si oglejte dokumentacijo za vašo določeno Cisco Unified Communications Manager izdajo.

Naslednja tabela vsebuje alarmna sporočila in pomen posodobitve seznama zaupanja. Za več informacij glejte Cisco Unified Communications Manager dokumentacijo.

Ko je za telefon uvedena varnost, lahko varne telefonske klice prepoznate po ikonah na zaslonu telefona. Prav tako lahko ugotovite, ali je povezani telefon varen in zaščiten, če se na začetku klica predvaja varnostni ton.

V varnem klicu so vsa signalizacija klicev in medijski tokovi šifrirani. Varni klic ponuja visoko stopnjo varnosti in zagotavlja celovitost in zasebnost klica. Ko je klic v teku šifriran, lahko na liniji vidite varno ikono.

V telefon Cisco Unified Communications Manager om, konfiguriranim kot varni (šifrirani in zaupanja vredni), je mogoče dodeliti zaščiteno stanje. Ko so te naprave zaščitene, lahko konfiguri rate tako, da predvajajo varnostni ton na začetku vsakega klica.

• Zaščitena naprava:

  Če želite spremeniti stanje varnega telefona v zaščiten:

  1. V razdel Cisco Unified Communications Manager Administration ku izberite Naprava > Telefon.
  2. Poiščite telefon, ki ga boste nastavili.
  3. V oknu Konfiguracija telefona potrdite polje Z aš čitena napra va.
  4. Kliknite Shrani.

• Predvajaj varni indikacijski ton:

  Če želite zaščitenemu telefonu omogočiti predvajanje varnega ali nezaščitenega signala:

  1. V razdel Cisco Unified Communications Manager Administration ku izberite Sistem > Parametri storitve.
  2. Izberite strežnik in nato Cisco CallManager storitev.
  3. V območju Clusterwide Parameters (Funkcija - Varni ton) nastavite Ton predvajanja, da označi stanje varnega klica, na True.
  4. Kliknite Shrani.

Ker lahko vse naprave WLAN, ki so v dosegu, sprejemajo ves drugi promet WLAN, je varovanje glasovne komunikacije ključnega pomena v omrežjih WLAN. Da bi zagotovili, da vsiljivci ne manipulirajo ali ne prestrežejo glasovnega prometa, arhitektura Cisco SAFE Security podpira telefon. Za več informacij o varnosti v omrežjih glejte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Rešitev Cisco Wireless IP telefonije zagotavlja varnost brezžičnega omrežja, ki preprečuje nepooblaščene prijave in ogrožene komunikacije z uporabo naslednjih načinov preverjanja pristnosti, ki jih telefon podpira.

• Odprto preverjanje pristnosti: Vsaka brezžična naprava lahko zahteva preverjanje pristnosti v odprtem sistemu. AP, ki prejme zahtevo, lahko podeli avtentikacijo kateremu koli prosilcu ali samo prosilcem, ki so na seznamu uporabnikov. Komunikacija med brezžično napravo in dostopno točko (AP) je lahko nešifrirana.

• Razširljiv protokol za preverjanje pristnosti — prilagodljivo preverjanje pristnosti prek varnega tuneliranja (EAP-FAST): Ta varnostna arhitektura odjemalca in strežnika šifrira transakcije EAP znotraj tunela za varnost na ravni transporta (TLS) med AP in strežnikom RADIUS, kot je Identity Services Engine (ISE).

  Predor TLS uporablja poverilnice zaščitenega dostopa (PAC) za preverjanje pristnosti med odjemalcem (telefonom) in strežnikom RADIUS. Strežnik pošlje ID organa (AID) odjemalcu (telefon), ki nato izbere ustrezen PAC. Odjemalec (telefon) vrne PAC-neprozorni strežnik RADIUS. Strežnik dešifrira PAC s primarnim ključem. Obe končni točki zdaj vsebujeta ključ PAC in ustvarjen je predor TLS. EAP-FAST podpira samodejno zagotavljanje PAC, vendar ga morate omogočiti na strežniku RADIUS.

  V ISE privzeto PAC poteče v enem tednu. Če ima telefon potekel PAC, preverjanje pristnosti s strežnikom RADIUS traja dlje, medtem ko telefon dobi nov PAC. Da bi se izognili zamudam pri zagotavljanju PAC, nastavite obdobje izteka PAC na strežniku ISE ali RADIUS na 90 dni ali dlje.

• Avtentikacija EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS zahteva potrdilo odjemalca za prever janje pristnosti in dostop do omrežja. Za brezžični EAP-TLS je lahko potrdilo odjemalca MIC, LSC ali uporabniško nameščeno potrdilo.

• Zaščiteni razširljivi avtentikacijski protokol (PEAP): Ciscova lastniška shema medsebojnega preverjanja pristnosti med odjemalcem (telefonom) in strežnikom RADIUS, ki temelji na geslu. Telefon lahko uporablja PEAP za preverjanje pristnosti z brezžičnim omrežjem. Podprti so tako načini preverjanja pristnosti PEAP-MSCHAPV2 kot PEAP-GTC.

• Predhodno skupni ključ (PSK): Telefon podpira formate ASCII in šestnajstniško (HEX). Te oblike morate uporabiti pri nastavitvi ključa WPA2/SAE v skupni rabi.

  ASCII: Niz znakov ASCII z dolžino od 8 do 63 znakov (0-9, male črke a-z, velike črke A-Z in posebni znaki). Na primer, GREG123567@9ZX&W.

  HEX: HEX-znakovni niz z dolžino 64 šesterokostnih števk (0-9, a-f ali A-F).

Naslednje sheme preverjanja pristnosti uporabljajo strežnik RADIUS za upravljanje ključev za preverjanje pristnosti:

• WPA2/WPA3: Uporablja informacije o strežniku RADIUS za ustvarjanje edinstvenih ključev za preverjanje pristnosti. Ker so ti ključi ustvarjeni na centraliziranem strežniku RADIUS, WPA2/WPA3 zagotavlja večjo varnost kot ključi WPA, ki so shranjeni v AP in telefonu.

• Hitro varno gostovanje: Uporablja podatke o strežniku RADIUS in strežniku brezžične domene (WDS) za upravljanje in preverjanje pristnosti ključev. WDS ustvari predpomnilnik varnostnih poverilnic za odjemalske naprave, ki podpirajo FT, za hitro in varno ponovno preverjanje pristnosti.

Pri WPA2/WPA3 se šifrirni ključi ne vnesejo v telefon, ampak se samodejno pridobivajo med AP in telefonom. Toda uporabniško ime in geslo EAP, ki se uporabljata za preverjanje pristnosti, je treba vnesti na vsak telefon.

Za zaščito glasovnega prometa prek brezžične povezave telefon podpira šifriranje na osnovi AES za preverjanje pristnosti WPA2/WPA3. AES je simetrična blokovna šifra, ki jo je standardiziral NIST. AES uporablja fiksno 128-bitno velikost bloka in podpira velikosti ključev 128 bitov, 192 bitov in 256 bitov. V omrežjih Wi-Fi AES uporabljajo šifrirni paketi, kot sta CCMP ali GCMP, medtem ko preverjanje prist nosti zagotavljajo ločeno s strani PSK, SAE ali 802.1X/EAP, odvisno od konfiguriranega varnostnega načina WLAN. Podprti šifrirni paket in velikost ključa sta odvisna od modela telefona in konfiguracije WLAN.

Ko telefon uporablja šifriranje AES, so tako signalni paketi SIP kot glasovni pak eti RTP (RTP) šifrirani med AP in telefonom.

Sheme preverjanja pristnosti in šifriranja so nastavljene znotraj brezžičnega omrežja LAN. VLAN-ji so konfigurirani v omrežju in na dostopnih točkah ter določajo različne kombinacije preverjanja pristnosti in šifriranja. SSID se povezuje z VLAN in določeno shemo preverjanja pristnosti in šifriranja. Za uspešno preverjanje pristnosti brezžičnih odjemalskih naprav morate konfigurirati iste SSID z njihovimi shemami preverjanja pristnosti in šifriranja na dostopnih točkah in v telefonu.

Nekatere sheme preverjanja pristnosti zahtevajo posebne vrste šifriranja.

Sheme preverjanja pristnosti in šifriranja v naslednji tabeli prikazujejo možnosti konfiguracije omrežja za Cisco Wireless Phone 9821, ki ustrezajo konfiguraciji AP.

Cisco Wireless Phone 9821 podpira 802.1X preverjanje pristnosti za žična omrežja. To se običajno uporablja med samodejnim zagotavljanjem, ko je telefon priključen na namizni polnil nik prek podprtega adapterja USB-to-Ethernet.

Podpora za preverjanje pristnosti 802.1X v žičnih omrežjih zahteva več komponent, kot sledi:

• Cisco IP Phone: Telefon sproži zahtevo za dostop do omrežja. Cisco IP telefoni vsebujejo zahtevek 802.1X. Ta prosilec omogoča skrbnikom omrežja, da nadzorujejo povezljivost telefonov IP s preklopnimi vrati LAN. Trenutna izdaja telefona 802.1X supplicant uporablja možnosti EAP-FAST in EAP-TLS za preverjanje pristnosti omrežja.

• Strežnik za preverjanje pristnosti: Strežnik za preverjanje pristnosti in stikalo morata biti konfigurirana s skrivnostjo v skupni rabi RADIUS.

• Stikalo: Stikalo mora podpirati 802.1X, tako da lahko deluje kot avtentikator in prenaša sporočila EAP med telefonom in strežnikom za preverjanje pristnosti. Ko je izmenjava končana, stikalo podeli ali zavrne dostop telefona do omrežja.

Cisco IP Phones in Cisco Catalyst stikala tradicionalno uporabljajo Cisco Discovery Protocol (CDP) za medsebojno prepoznavanje in določanje parametrov, kot so dodelitev VLAN in potrebe po napajanju v liniji.

Če želite konfigurirati 802.1X, morate iz vesti naslednja dejanja.

• Konfigurirajte CDP/LLDP glasovni obvod VLAN.

• Konfigurirajte strežnik za preverjanje pristnosti in stikalo, preden omogočite preverjanje pristnosti 802.1X za žična omrežja v telefonu.

• Konfiguriranje glasovne VLAN: Ker standard 802.1X ne upošteva VLAN, morate to nastavitev konfigurirati na podlagi podpore stikala.

  • Omogočeno: Če uporabljate stikalo, ki podpira preverjanje pristnosti z več domenami, ga lahko konfigurirate tako, da uporablja glasovno VLAN.
  • Onemogočeno: Če stikalo ne podpira preverjanja pristnosti z več domenami, onemogočite Voice VLAN in razmislite o dodelitvi vrat izvorni VLAN.

• Cisco Wireless Phone 9821 ima v PID drugačno predpono kot za druge telefone Cisco. Če želite telefonu omogočiti preverjanje pristnosti 802.1X, nastavite parameter Radius · UserName tako, da vključuje vaš Cis co Wireless Phone 9821.

  Na primer, PID brezžičnega telefona Cisco 9821 je WP-9821. Radius·Uporabniško ime lahko nastavite na Start with WPali Contains WPv obeh naslednjih razdelkih:

  • Pravilnik > Pogoji > K njižniški pogoji

  • Pravilnik > Nabori pravilnikov > Pravil nik o avtorizaciji > Pra vilo avtorizacije 1