Tack för din feedback.

Säkerhetsfunktioner skyddar mot hot, inklusive hot mot telefonens identitet och mot data. Dessa funktioner skapar och underhåller autentiserade kommunikationsströmmar mellan telefonen och Cisco Unified Communications Manager servern och säkerställer att telefonen endast använder digitalt signerade filer.

Cisco Unified Communications ManagerVersion 8.5 (1) och senare innehåller säkerhet som standard, vilket ger följande säkerhetsfunktioner för Cisco IP-telefoner utan att köra CTL- klienten:

• Signering av telefonens konfigurationsfiler

• Telefonkonfigurationsfilkryptering

• HTTPS med Tomcat och andra webbtjänster

Genom att implementera säkerhet i Cisco Unified Communications Manager systemet förhindrar identitet sstöld av telefonen och Cisco Unified Communications Manager servern, förhindrar manipulering av data och förhindrar samtalssignalering och manipulering av mediaströmmar.

För att lindra dessa hot upprättar och underhåller Ciscos IP-telefoninätverk säkra (krypterade) kommunikationsströmmar mellan en telefon och servern, signerar filer digitalt innan de överförs till en telefon och krypterar mediaströmmar och samtalssignalering mellan Cisco IP-telefoner.

Ett lokalt betydande certifikat (LSC) installeras på telefoner när du har utfört nödvändiga uppgifter som är associerade med Certificate Authority proxyfunktionen (CAPF). Du kan använda Cisco Unified Communications Manager Administration för att konfigurera en LSC, enligt beskrivningen i Cisco Unified Communications Managersäkerhetsguiden. Alternativt kan du initiera installationen av en LSC från säkerhets menyn på telefonen. Med den här menyn kan du också uppdatera eller ta bort en LSC.

Telefonerna använder telefonens säkerhetsprofil, som definierar om enheten är osäker eller säker. Information om hur du använder säkerhetsprofilen på telefonen finns i dokumentationen för just din Cisco Unified Communications Manager version.

Om du konfigurerar säkerhetsrelaterade inställningar i Cisco Unified Communications Manager Administration innehåller telefonens konfigurationsfil känslig information. För att säkerställa sekretessen för en konfigurationsfil måste du konfigurera den för kryptering. För detaljerad information, se dokumentationen för just din Cisco Unified Communications Manager version.

Följande tabell ger en översikt över de säkerhetsfunktioner som telefonerna stöder. Mer information finns i dokumentationen för just din Cisco Unified Communications Manager version.

Följande tabell innehåller larmmeddelanden och betydelse för uppdateringen av förtroendelistan. Mer information finns i Cisco Unified Communications Manager dokumentationen.

När säkerhet implementeras för en telefon kan du identifiera säkra telefonsamtal med ikoner på telefonskärmen. Du kan också avgöra om den anslutna telefonen är säker och skyddad om en säkerhetston spelas upp i början av samtalet.

I ett säkert samtal krypteras all samtalssignalering och mediaströmmar. Ett säkert samtal erbjuder en hög säkerhetsnivå, vilket ger integritet och integritet till samtalet. När ett pågående samtal är krypterat kan du se den säkra ikonen på linjen.

I Cisco Unified Communications Manager kan telefoner som är konfigurerade som säkra (krypterade och betrodda) tilldelas en skyddad status. När de är skyddade kan dessa enheter konfigureras för att spela en säkerhetston i början av varje samtal.

• Skyddad enhet:

  Så här ändrar du statusen för en säker telefon till skyddad:

  1. I Cisco Unified Communications Manager Administration väljer du Enhet > Telefon.
  2. Leta reda på telefonen som du ska ställa in.
  3. Markera kryssrutan Skyd dad enhet i fönstret Telefonkonfiguration.
  4. Klicka på Spara.

• Spela säker indikationston:

  Så här aktiverar du den skyddade telefonen att spela upp en säker eller osäker indikeringston:

  1. I Cisco Unified Communications Manager Administration väljer du System > Serviceparametrar.
  2. Välj servern och sedan Cisco CallManager tjänsten.
  3. I området Clusterwide Parameters (Feature - Secure Tone) ställer du in inställningen Spelton till Indikera säkerhet/icke-säker samtalsstatus till Sant.
  4. Klicka på Spara.

Eftersom alla WLAN-enheter som är inom räckhåll kan ta emot all annan WLAN-trafik är det viktigt att säkra röstkommunikation i WLAN. För att säkerställa att inkräktare inte manipulerar eller avlyssnar rösttrafik stöder Cisco SAFE Security-arkitekturen telefonen. Mer information om säkerhet i nätverk finns på http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefonilösning ger trådlös nätverkssäkerhet som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsm etoder som telefonen stöder.

• Öppen autentisering: Alla trådlösa enheter kan begära autentisering i ett öppet system. Den åtkomstpunkt som tar emot begäran kan bevilja autentisering till alla begärare eller endast till begärare som finns i en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (AP) kan vara icke-krypterad.

• Extensible Authentication Protocol-Flexibel autentisering via EAP-FAST-autentisering (Secure Tunneling): Denna klient-server säkerhetsarkitektur krypterar EAP-transaktioner inom en TLS-tunnel (Transport Level Security) mellan åtkomstpunkten och RADIUS-servern, till exempel Identity Services Engine (ISE).

  TLS-tunneln använder PAC (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett Authority ID (AID) till klienten (telefon), som i sin tur väljer lämplig PAC. Klienten (telefonen) returnerar en PAC-opak till RADIUS-servern. Servern dekrypterar PAC med primärnyckeln. Båda slutpunkterna innehåller nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST stöder automatisk PAC-etablering, men du måste aktivera den på RADIUS-servern.

  I ISE, som standard, löper PAC ut om en vecka. Om telefonen har en utgått PAC tar autentiseringen med RADIUS-servern längre tid medan telefonen får en ny PAC. För att undvika förseningar i PAC-provisionering ställer du in PAC-förfalloperioden till 90 dagar eller längre på ISE- eller RADIUS-servern.

• EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) Authentication: EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlös EAP-TLS kan klientcertifikatet vara MIC, LSC eller användarinstallerat certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos egenutvecklade lösenordsbaserade system för ömsesidig autentisering mellan klienten (telefonen) och en RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2- och PEAP-GTC-autentiseringsmetoderna stöds.

• Fördelad nyckel (PSK): Telefonen stöder ASCII- och hexadecimala (HEX) format. Du måste använda dessa format när du ställer in en fördelad WPA2/SAE-nyckel.

  ASCII: En ASCII-teckensträng med 8 till 63 tecken i längd (0-9, gemener a-z, versaler A-Z och specialtecken). Till exempel, GREG123567@9ZX&W.

  HEX: En hex-teckensträng med 64 hexsiffror i längd (0-9, a-f eller A-F).

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

• WPA2/WPA3: Använder RADIUS-serverinformation för att generera unika nycklar för autentisering. Eftersom dessa nycklar genereras på den centraliserade RADIUS-servern ger WPA2/WPA3 större säkerhet än WPA-fördelade nycklar som lagras på åtkomstpunkten och telefonen.

• Snabb säker roaming: Använder RADIUS-server och en WDS-information (Wireless Domain Server) för att hantera och autentisera nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker återautentisering.

Med WPA2/WPA3 matas inte krypteringsnycklar in på telefonen utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamnet och lösenordet som används för autentisering måste anges på varje telefon.

För att skydda rösttrafik över den trådlösa länken stöder telefonen AES-baserad kryptering för WPA2/WPA3-autentisering. AES är en symmetrisk blockchiffer standardiserad av NIST. AES använder en fast 128-bitars blockstorlek och stöder nyckelstorlekar på 128 bitar, 192 bitar och 256 bitar. I Wi-Fi-nätverk används AES av krypteringssviter som CCMP eller GCMP, medan autentisering tillhandahålls separat av PSK, SAE eller 802.1X/EAP, beroende på det konfigurerade WLAN-säkerhetsläget. Den krypteringssvit som stöds och nyckelstorleken beror på telefon modellen och WLAN-konfigurationen.

När telefonen använder AES-kryptering krypteras både signalerande SIP-paket och RTP-paket (Real-Time Transport Protocol) mellan AP och telefonen.

Autentiserings- och krypteringsscheman ställs in i det trådlösa nätverket. VLAN är konfigurerade i nätverket och på AP: erna och anger olika kombinationer av autentisering och kryptering. En SSID associeras med ett VLAN och det specifika autentiserings- och krypteringsschemat. För att trådlösa klientenheter ska autentisera framgångsrikt måste du konfigurera samma SSID: er med deras autentiserings- och krypteringsscheman på åt:erna och på telefonen.

Vissa autentiseringsscheman kräver specifika typer av kryptering.

Autentiserings- och krypteringsscheman i följande tabell visar nätverkskon figurationsalternativen för Cisco Wireless Phone 9821 som motsvarar AP-konfiguration.

Cisco Wireless Phone 9821 stöder 802.1X-autentisering för trådbundna nätverk. Detta används vanligtvis under automatisk provision ering när telefonen är ansluten till skrivbordsladdaren via en USB-till-Ethernet-adapter som stöds.

Stöd för 802.1X-autentisering i trådbundna nätverk kräver flera komponenter enligt följande:

• Cisco IP-telefon: Telefonen initierar begäran om åtkomst till nätverket. Cisco IP-telefoner innehåller en 802.1X-supplicant. Denna supplicant tillåter nätverksadministratörer att styra anslutningen av IP-telefoner till LAN-switchportarna. Den aktuella versionen av telefonens 802.1X-supplicant använder alternativen EAP-FAST och EAP-TLS för nätverksautentisering.

• Autentiseringsserver: Både autentiseringsservern och växeln måste konfigureras med en delad RADIUS-hemlighet.

• Switch: Omkopplaren måste stödja 802.1X, så att den kan fungera som autentiserare och vidarebefordra EAP-meddelanden mellan telefonen och autentiseringsservern. När utbytet är klart beviljar eller nekar omkopplaren telefonens åtkomst till nätverket.

Ciscos IP-telefoner och Cisco Catalyst-switchar använder traditionellt Cisco Discovery Protocol (CDP) för att identifiera varandra och bestämma parametrar som VLAN-allokering och inbyggda strömkrav.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

• Konfigurera CDP/LLDP röst VLAN-förbikoppling.

• Konfigurera autentiseringsservern och växeln innan du aktiverar 802.1X- autentisering för trådbundna nätverk på telefonen.

• Konfigurera Voice VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN bör du konfigurera den här inställningen baserat på switchstödet.

  • Aktiverad: Om du använder en switch som stöder autentisering med flera domäner kan du konfigurera den så att den använder röstVLAN.
  • Inaktiverad: Om växeln inte stöder autentisering med flera domäner inaktiverar du Voice VLAN och överväg att tilldela porten till det ursprungliga VLAN-nätverket.

• Cisco Wireless Phone 9821 har ett annat prefix i PID än för de andra Cisco-telefonerna. Om du vill att telefonen ska klara 802.1X-autentisering ställer du in parametern Radius·User-Nam n så att den inkluderar din Cisco Wireless Phone 9821.

  Till exempel är PID för Cisco Wireless Phone 9821 WP-9821. Du kan ställa in Radius·Användarnamn till Start with WPeller Contains WPi båda följande avsnitt:

  • Policy > Villkor > Biblioteksvillkor

  • Princip > Princip uppsättningar > Auktor iseringsprinci p > Auktoriseringsregel 1