Hvala na povratnim informacijama.

Bezbednosne funkcije štite od pretnji, uključujući pretnje identitetu telefona i podacima. Ove funkcije uspostavljaju i održavaju autentifikovane komunikacijske tokove između telefona i Cisco Unified Communications Manager servera i osiguravaju da telefon koristi samo digitalno potpisane datoteke.

Cisco Unified Communications Manager Release KSNUMKS (KSNUMKS) i kasnije podrazumeva bezbednost, koja obezbeđuje sledeće bezbednosne funkcije za Cisco IP telefone bez pokretanja CTL klijenta:

• Potpisivanje konfiguracionih fajlova telefona

• Šifrovanje datoteke za konfiguraciju telefona

• HTTPS sa Tomcat i drugim veb servisima

Implementacija sigurnosti u Cisco Unified Communications Manager sistemu sprečava krađu identiteta telefona i Cisco Unified Communications Manager servera, sprečava ometanje podataka i sprečava signalizaciju poziva i ometanje medijskog toka.

Da bi se ublažile ove pretnje, Cisco IP telefonska mreža uspostavlja i održava sigurne (šifrovane) komunikacijske tokove između telefona i servera, digitalno potpisuje datoteke pre nego što se prenesu na telefon i šifrira medijske tokove i signalizaciju poziva između Cisco IP telefona.

Lokalno značajan sertifikat (LSC) instalira se na telefone nakon što izvršite neophodne zadatke koji su povezani sa funkcijom proki autoriteta za sertifikate (CAPF). Možete koristiti Cisco Unified Communications Manager Administration da biste konfigurisali LSC, kao što je opisano u Cisco Unified Communications Manager Bezbednosnom vodiču. Alternativno, možete pokrenuti instalaciju LSC-a iz menija Bezbednost na telefonu. Ovaj meni vam takođe omogućava da ažurirate ili uklonite LSC.

Telefoni koriste bezbednosni profil telefona, koji definiše da li je uređaj nesiguran ili siguran. Za informacije o primeni sigurnosnog profila na telefon, pogledajte dokumentaciju za vaše posebno izdanje Cisco Unified Communications Manager.

Ako konfigurišete bezbednosna podešavanja u Cisco Unified Communications Manager Administration, konfiguraciona datoteka telefona sadrži osetljive informacije. Da biste osigurali privatnost konfiguracione datoteke, morate je konfigurisati za šifrovanje. Za detaljne informacije pogledajte dokumentaciju za vaše posebno izdanje Cisco Unified Communications Manager.

Sledeća tabela daje pregled bezbednosnih funkcija koje telefoni podržavaju. Za više informacija pogledajte dokumentaciju za vaše posebno izdanje Cisco Unified Communications Manager.

Sledeća tabela sadrži alarmne poruke i značenje ažuriranja liste poverenja. Za više informacija pogledajte dokumentaciju Cisco Unified Communications Manager.

Kada se bezbednost sprovodi za telefon, možete identifikovati sigurne telefonske pozive pomoću ikona na ekranu telefona. Takođe možete da utvrdite da li je povezani telefon siguran i zaštićen ako se na početku poziva čuje sigurnosni ton.

U sigurnom pozivu, sve poziv signalizacija i medijski tokovi su šifrovani. Siguran poziv nudi visok nivo sigurnosti, pružajući integritet i privatnost poziva. Kada je poziv u toku šifrovan, možete videti sigurnu ikonu na liniji.

U Cisco Unified Communications Manager-u, telefonima konfigurisanim kao sigurni (šifrovani i pouzdani) može se dodijeliti zaštićeni status. Jednom zaštićeni, ovi uređaji se mogu konfigurisati da igraju sigurnosni ton na početku svakog poziva.

• Zaštićeni uređaj:

  Da biste promenili status sigurnog telefona na zaštićen:

  1. U administraciji Cisco Unified Communications Manager izaberite Uređaj > telefon.
  2. Pronađite telefon koji ćete podestiti.
  3. U prozoru Konfiguracija telefona, izaberite polje za potvrdu Zaštićeni uređaj .
  4. Kliknite na Sačuvaj.

• Igrajte siguran indikacijski ton:

  Da biste omogućili zaštićenom telefonu da reprodukuje siguran ili nesiguran ton indikacije:

  1. U administraciji Cisco Unified Communications Manager izaberite Parametri sistema > usluge.
  2. Izaberite server, a zatim uslugu Cisco CallManager .
  3. U oblasti Clustervide Parameters (Feature - Secure Tone) podesite Ton reprodukcije da ukaže na postavku Secure / Non-Secure Call Status na True.
  4. Kliknite na Sačuvaj.

Budući da svi VLAN uređaji koji su u dometu mogu primiti sav drugi VLAN saobraćaj, obezbeđivanje glasovne komunikacije je kritično u VLAN-ovima. Da bi se osiguralo da uljezi ne manipulišu niti presreću glasovni saobraćaj, Cisco SAFE Securiti arhitektura podržava telefon. Za više informacija o bezbednosti u mrežama, pogledajte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco bežična IP telefonija rešenje obezbeđuje bezbednost bežične mreže koja sprečava neovlašćene prijave i kompromitovane komunikacije korišćenjem sledećih metoda autentifikacije koje telefon podržava.

• Otvorena autentifikacija: Svaki bežični uređaj može zatražiti autentifikaciju u otvorenom sistemu. AP koji primi zahtev može odobriti autentifikaciju bilo kom podnosiocu zahteva ili samo podnosiocima zahteva koji se nalaze na listi korisnika. Komunikacija između bežičnog uređaja i pristupne tačke (AP) može biti nešifrovana.

• Proširivi protokol za autentifikaciju - fleksibilna autentifikacija preko Secure Tunneling (EAP-FAST) Autentifikacija: Ova bezbednosna arhitektura klijent-server šifrira EAP transakcije unutar tunela Transport Level Securiti (TLS) između AP i RADIUS servera, kao što je Identiti Services Engine (ISE).

  TLS tunel koristi zaštićene pristupne akreditive (PAC) za autentifikaciju između klijenta (telefona) i RADIUS servera. Server šalje ID autoriteta (AID) klijentu (telefonu), koji zauzvrat bira odgovarajući PAC. Klijent (telefon) vraća PAC-Opakue na RADIUS server. Server dešifruje PAC sa primarnim ključem. Obe krajnje tačke sada sadrže PAC ključ i kreiran je TLS tunel. EAP-FAST podržava automatsko obezbeđivanje PAC-a, ali morate ga omogućiti na RADIUS serveru.

  U ISE, po defaultu, PAC ističe za nedelju dana. Ako telefon ima istekao PAC, autentifikacija sa RADIUS serverom traje duže dok telefon dobija novi PAC. Da biste izbegli kašnjenja u obezbeđivanju PAC-a, podesite period isteka PAC-a na KSNUMKS dana ili duže na ISE ili RADIUS serveru.

• Autentifikacija proširivog protokola za autentifikaciju - bezbednosti transportnog sloja (EAP-TLS): EAP-TLS zahteva sertifikat klijenta za autentifikaciju i pristup mreži. Za bežični EAP-TLS, sertifikat klijenta može biti MIC, LSC ili korisnički instaliran sertifikat.

• Zaštićeni proširivi protokol za autentifikaciju (PEAP): Cisco vlasnička šema uzajamne autentifikacije zasnovana na lozinki između klijenta (telefona) i RADIUS servera. Telefon može da koristi PEAP za autentifikaciju sa bežičnom mrežom. Podržane su i PEAP-MSCHAPV2 i PEAP-GTC metode autentifikacije.

• Pre-deljeni ključ (PSK): Telefon podržava ASCII i heksadecimalne (HEKS) formate. Morate koristiti ove formate kada podesite VPA2/SAE unapred deljen ključ.

  ASCII: ASCII-karakterni niz sa 8 do 63 karaktera dužine (0-9, mala slova a-z, velika slova AZ i specijalni znakovi). Na primer, GREG123567@9ZX&W.

  HEKS: HEKS-karakter string sa 64 heksadecimalnih cifara dužine (0-9, af ili AF).

Sledeće šeme autentifikacije koriste RADIUS server za upravljanje ključevima za autentifikaciju:

• VPA2 / VPA3: Koristi informacije o RADIUS serveru za generisanje jedinstvenih ključeva za autentifikaciju. Pošto su ovi ključevi generisani na centralizovanom RADIUS serveru, VPA2 / VPA3 pruža veću sigurnost od VPA unapred podeljenih ključeva koji se čuvaju na AP i telefonu.

• Brzi bezbedni roming: Koristi RADIUS server i bežični server domena (VDS) informacije za upravljanje i autentifikaciju ključeva. VDS stvara keš bezbednosnih akreditiva za klijentske uređaje sa omogućenim FT-om za brzu i sigurnu ponovnu autentifikaciju.

Sa VPA2 / VPA3, ključevi za šifrovanje se ne unose na telefonu, već se automatski izvode između AP-a i telefona. Ali EAP korisničko ime i lozinka koji se koriste za autentifikaciju moraju biti uneseni na svakom telefonu.

Da bi se zaštitio glasovni saobraćaj preko bežične veze, telefon podržava šifrovanje zasnovano na AES-u za VPA2 / VPA3 autentifikaciju. AES je simetrična blok šifra standardizovana od strane NIST-a. AES koristi fiksnu 128-bitnu veličinu bloka i podržava ključne veličine 128 bita, 192 bita i 256 bita. U Vi-Fi mrežama, AES koriste paketi za šifrovanje kao što su CCMP ili GCMP, dok je autentifikacija obezbeđena odvojeno od strane PSK, SAE ili 802.1Ks / EAP, u zavisnosti od konfigurisanog VLAN bezbednosnog režima. Podržani paket šifri i veličina ključa zavise od modela telefona i VLAN konfiguracije.

Kada telefon koristi AES enkripciju, i signalni SIP paketi i glasovni Real-Time Transport Protocol (RTP) paketi su šifrovani između AP i telefona.

Šeme za autentifikaciju i šifrovanje su postavljene u okviru bežičnog LAN-a. VLAN-ovi su konfigurisani u mreži i na AP i navode različite kombinacije autentifikacije i enkripcije. SSID se povezuje sa VLAN-om i određenom šemom autentifikacije i šifrovanja. Da bi se bežični klijentski uređaji uspešno autentifikovali, morate konfigurisati iste SSID-ove sa njihovim šemama za autentifikaciju i šifrovanje na AP-ovima i na telefonu.

Neke šeme autentifikacije zahtevaju specifične vrste enkripcije.

Šeme autentifikacije i šifrovanja u sledećoj tabeli prikazuju opcije konfiguracije mreže za Cisco bežični telefon KSNUMKS koji odgovara AP konfiguraciji.

Cisco bežični telefon 9821 podržava 802.1Ks autentifikaciju za žičane mreže. Ovo se obično koristi tokom automatskog obezbeđivanja kada je telefon povezan sa punjačem na radnoj površini preko podržanog USB-to-Ethernet adaptera.

Podrška za 802.1Ks autentifikaciju na žičanim mrežama zahteva nekoliko komponenti na sledeći način:

• Cisco IP telefon: Telefon pokreće zahtev za pristup mreži. Cisco IP telefoni sadrže 802.1Ks molitelja. Ovaj molitelj omogućava mrežnim administratorima da kontrolišu povezivanje IP telefona sa LAN prekidač portova. Trenutno izdanje telefona 802.1Ks molitelj koristi EAP-FAST i EAP-TLS opcije za autentifikaciju mreže.

• Autentifikacija servera: Server za autentifikaciju i prekidač moraju biti konfigurisani sa RADIUS zajedničkom tajnom.

• Prekidač: Prekidač mora da podržava 802.1Ks, tako da može da deluje kao autentifikator i prenosi EAP poruke između telefona i servera za autentifikaciju. Nakon završetka razmene, prekidač odobrava ili uskraćuje telefon pristup mreži.

Cisco IP telefoni i Cisco Catalist prekidači tradicionalno koriste Cisco Discoveri Protocol (CDP) da bi se međusobno identifikovali i odredili parametre kao što su raspodela VLAN-a i zahtevi za inline napajanje.

Morate izvršiti sledeće radnje da biste konfigurisali 802.1Ks.

• Konfigurišite CDP / LLDP glasovni VLAN bajpas.

• Konfigurišite server za autentifikaciju i prekidač pre nego što omogućite 802.1Ks autentifikaciju za žičane mreže na telefonu.

• Konfigurišite glasovni VLAN: Pošto 802.1Ks standard ne uzima u obzir VLAN-ove, trebalo bi da konfigurišete ovu postavku na osnovu podrške prekidača.

  • Omogućeno: Ako koristite prekidač koji podržava autentifikaciju više domena, možete ga konfigurisati da koristi glasovni VLAN.
  • Onemogućen: Ako prekidač ne podržava autentifikaciju više domena, onemogućite glasovni VLAN i razmislite o dodeljivanju porta izvornom VLAN-u.

• Cisco Vireless Phone KSNUMKS ima drugačiji prefiks u PID-u od ostalih Cisco telefona. Da biste omogućili vašem telefonu da prođe 802.1Ks autentifikaciju, podesite Radijus· Parametar korisničkog imena za uključivanje vašeg Cisco bežičnog telefona KSNUMKS.

  Na primer, PID Cisco bežičnog telefona 9821 je VP-9821. Možete podesiti Radijus · Korisničko ime za Start with WP ili Contains WP u oba sledeća odeljka:

  • Politika > uslovi > uslovi biblioteke

  • Politika > Skupovi politika > Politika ovlašćenja > Pravilo autorizacije 1