Geri bildiriminiz için teşekkürler.

Güvenlik özellikleri, telefonun kimliğine ve verilere yönelik tehditler de dahil olmak üzere çeşitli tehditlere karşı koruma sağlar. Bu özellikler, telefon ile Cisco Unified Communications Manager sunucusu arasında kimlik doğrulamalı iletişim akışları kurar ve sürdürür ve telefonun yalnızca dijital olarak imzalanmış dosyaları kullanmasını sağlar.

Cisco Unified Communications Manager Sürüm 8.5(1) ve sonrası, CTL istemcisini çalıştırmadan Cisco IP Telefonları için aşağıdaki güvenlik özelliklerini sağlayan varsayılan olarak Güvenlik özelliğini içerir:

• Telefon yapılandırma dosyalarının imzalanması

• Telefon yapılandırma dosyasının şifrelenmesi

• Tomcat ve diğer web servisleriyle HTTPS

Cisco Unified Communications Manager sisteminde güvenlik önlemlerinin uygulanması, telefon ve Cisco Unified Communications Manager sunucusunun kimlik hırsızlığını, veri manipülasyonunu ve çağrı sinyallemesi ile medya akışı manipülasyonunu önler.

Bu tehditleri azaltmak için Cisco IP telefon ağı, telefon ile sunucu arasında güvenli (şifreli) iletişim akışları kurar ve sürdürür, dosyaları telefona aktarılmadan önce dijital olarak imzalar ve Cisco IP Telefonları arasında medya akışlarını ve çağrı sinyallerini şifreler.

Yerel Olarak Önemli Sertifika (LSC), Sertifika Yetkilisi Vekil Fonksiyonu (CAPF) ile ilgili gerekli görevleri yerine getirdikten sonra telefonlara yüklenir. Cisco Unified Communications Manager Güvenlik Kılavuzu'nda açıklandığı gibi, bir LSC'yi yapılandırmak için Cisco Unified Communications Manager Yönetimi'ni kullanabilirsiniz. Alternatif olarak, telefonunuzdaki Güvenlik menüsünden bir LSC kurulumunu başlatabilirsiniz. Bu menü ayrıca bir LSC'yi güncellemenize veya kaldırmanıza da olanak tanır.

Telefonlar, cihazın güvenli olup olmadığını belirleyen telefon güvenlik profilini kullanır. Güvenlik profilinin telefona nasıl uygulanacağına ilişkin bilgi için, kullandığınız Cisco Unified Communications Manager sürümüne ait belgelere bakın.

Cisco Unified Communications Manager Administration'da güvenlikle ilgili ayarları yapılandırırsanız, telefon yapılandırma dosyası hassas bilgiler içerir. Yapılandırma dosyasının gizliliğini sağlamak için, dosyayı şifreleme için yapılandırmanız gerekir. Ayrıntılı bilgi için, kullandığınız Cisco Unified Communications Manager sürümüne ait belgelere bakın.

Aşağıdaki tablo, telefonların desteklediği güvenlik özelliklerine genel bir bakış sunmaktadır. Daha fazla bilgi için, kullandığınız Cisco Unified Communications Manager sürümüne ait belgelere bakın.

Aşağıdaki tabloda Güven Listesi güncelleme alarm mesajları ve anlamları yer almaktadır. Daha fazla bilgi için Cisco Unified Communications Manager dokümanına bakın.

Telefon için güvenlik özelliği etkinleştirildiğinde, güvenli telefon görüşmelerini telefon ekranındaki simgelerden anlayabilirsiniz. Ayrıca, aramanın başında güvenlik sesi duyuluyorsa, bağlı telefonun güvenli ve korumalı olup olmadığını da anlayabilirsiniz.

Güvenli bir görüşmede, tüm arama sinyalleri ve medya akışları şifrelenir. Güvenli bir arama, yüksek düzeyde güvenlik sunarak aramaya bütünlük ve gizlilik sağlar. Devam eden bir görüşme şifrelendiğinde, satırda güvenli simgesini görebilirsiniz.

Cisco Unified Communications Manager'da, güvenli (şifrelenmiş ve güvenilir) olarak yapılandırılmış telefonlara korumalı durum atanabilir. Bu cihazlar koruma altına alındıktan sonra, her aramanın başında bir güvenlik sesi çalacak şekilde yapılandırılabilirler.

• Korunan Cihaz:

  Güvenli bir telefonun durumunu korumalı olarak değiştirmek için:

  1. Cisco Unified Communications Manager Yönetimi'nde Aygıt öğesini seçin. > Telefon.
  2. Kurulumunu yapacağınız telefonu bulun.
  3. Telefon Yapılandırması penceresinde, Korunan Cihaz onay kutusunu seçin.
  4. Kaydet’e tıklayın.

• Güvenlik Bildirim Sesi Çal:

  Korumalı telefonun güvenli veya güvensiz bir uyarı sesi çalmasını sağlamak için:

  1. Cisco Unified Communications Manager Yönetimi'nde Sistem öğesini seçin. > Servis Parametreleri.
  2. Sunucuyu ve ardından Cisco CallManager hizmetini seçin.
  3. Küme Geneli Parametreleri (Özellik - Güvenli Ses) alanında, Belirtmek için Ses Çal seçeneğini ayarlayın. Secure/Non-Secure Çağrı Durumu ayarı Trueolarak ayarlandı.
  4. Kaydet’e tıklayın.

WLAN ağlarında, menzil içindeki tüm WLAN cihazları diğer tüm WLAN trafiğini alabildiği için, sesli iletişimin güvenliği kritik önem taşır. Cisco SAFE Güvenlik mimarisi, davetsiz misafirlerin ses trafiğini manipüle etmesini veya ele geçirmesini önlemek için telefonu destekler. Ağlardaki güvenlik hakkında daha fazla bilgi için http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html' e bakınız.

Cisco Kablosuz IP Telefon çözümü, telefonun desteklediği aşağıdaki kimlik doğrulama yöntemlerini kullanarak yetkisiz oturum açmaları ve iletişim güvenliğinin tehlikeye atılmasını önleyen kablosuz ağ güvenliği sağlar.

• Açık Kimlik Doğrulama: Açık bir sistemde herhangi bir kablosuz cihaz kimlik doğrulama talebinde bulunabilir. İsteği alan erişim noktası, herhangi bir istekte bulunana veya yalnızca kullanıcı listesinde bulunan istekte bulunanlara kimlik doğrulama izni verebilir. Kablosuz cihaz ile Erişim Noktası (AP) arasındaki iletişim şifrelenmemiş olabilir.

• Genişletilebilir Kimlik Doğrulama Protokolü - Güvenli Tünelleme Yoluyla Esnek Kimlik Doğrulama (EAP-FAST) Kimlik Doğrulama: Bu istemci-sunucu güvenlik mimarisi, AP ile Identity Services Engine (ISE) gibi RADIUS sunucusu arasında bir Taşıma Düzeyi Güvenliği (TLS) tüneli içinde EAP işlemlerini şifreler.

  TLS tüneli, istemci (telefon) ve RADIUS sunucusu arasında kimlik doğrulama için Korumalı Erişim Kimlik Bilgilerini (PAC'ler) kullanır. Sunucu, istemciye (telefona) bir Yetki Kimliği (AID) gönderir ve istemci de buna karşılık uygun PAC kodunu seçer. İstemci (telefon), RADIUS sunucusuna bir PAC-Opaque değeri gönderir. Sunucu, PAC dosyasını birincil anahtarla şifresini çözer. Her iki uç nokta da artık PAC anahtarını içeriyor ve bir TLS tüneli oluşturuldu. EAP-FAST otomatik PAC yapılandırmasını destekler, ancak bunu RADIUS sunucusunda etkinleştirmeniz gerekir.

  ISE'de varsayılan olarak PAC bir hafta sonra sona erer. Telefonun PAC kodu süresi dolmuşsa, telefon yeni bir PAC kodu alana kadar RADIUS sunucusuyla kimlik doğrulama işlemi daha uzun sürer. PAC tahsisinde gecikmeleri önlemek için, ISE veya RADIUS sunucusunda PAC geçerlilik süresini 90 gün veya daha uzun bir süreye ayarlayın.

• Genişletilebilir Kimlik Doğrulama Protokolü-Taşıma Katmanı Güvenliği (EAP-TLS) Kimlik Doğrulaması: EAP-TLS, kimlik doğrulama ve ağ erişimi için istemci sertifikası gerektirir. Kablosuz EAP-TLS için istemci sertifikası MIC, LSC veya kullanıcı tarafından yüklenen bir sertifika olabilir.

• Korunan Genişletilebilir Kimlik Doğrulama Protokolü (PEAP): Cisco'nun, istemci (telefon) ve RADIUS sunucusu arasında kullandığı, parola tabanlı karşılıklı kimlik doğrulama şeması. Telefon, kablosuz ağ ile kimlik doğrulama için PEAP protokolünü kullanabilir. Hem PEAP-MSCHAPV2 hem de PEAP-GTC kimlik doğrulama yöntemleri desteklenmektedir.

• Önceden Paylaşılan Anahtar (PSK): Telefon ASCII ve onaltılık (HEX) formatlarını desteklemektedir. Kurulum yaparken bu formatları kullanmalısınız. WPA2/SAE Önceden paylaşılan anahtar.

  ASCII: 8 ila 63 karakter uzunluğunda (0-9, küçük harf az, büyük harf AZ ve özel karakterler) bir ASCII karakter dizisi. Örneğin, GREG123567@9ZX&W.

  HEX: 64 onaltılık basamaktan oluşan (0-9, af veya AF) bir onaltılık karakter dizisi.

Aşağıdaki kimlik doğrulama şemaları, kimlik doğrulama anahtarlarını yönetmek için RADIUS sunucusunu kullanır:

• WPA2/WPA3: Kimlik doğrulama için benzersiz anahtarlar oluşturmak amacıyla RADIUS sunucu bilgilerini kullanır. Çünkü bu anahtarlar merkezi RADIUS sunucusunda oluşturulmaktadır, WPA2/WPA3 Erişim noktası ve telefonda saklanan WPA önceden paylaşılan anahtarlarına kıyasla daha fazla güvenlik sağlar.

• Hızlı ve Güvenli Dolaşım: RADIUS sunucusu ve kablosuz etki alanı sunucusu (WDS) bilgilerini kullanarak anahtarları yönetir ve doğrular. WDS, hızlı ve güvenli yeniden kimlik doğrulama için FT özellikli istemci cihazları için bir güvenlik kimlik bilgisi önbelleği oluşturur.

İle WPA2/WPA3, Şifreleme anahtarları telefona girilmez, bunun yerine erişim noktası (AP) ve telefon arasında otomatik olarak oluşturulur. Ancak kimlik doğrulama için kullanılan EAP kullanıcı adı ve şifresinin her telefona girilmesi gerekmektedir.

Kablosuz bağlantı üzerinden ses trafiğini korumaya yardımcı olmak için telefon, AES tabanlı şifrelemeyi destekler. WPA2/WPA3 Kimlik doğrulama. AES, NIST tarafından standartlaştırılmış simetrik bir blok şifreleme algoritmasıdır. AES, sabit 128 bitlik blok boyutu kullanır ve 128 bit, 192 bit ve 256 bitlik anahtar boyutlarını destekler. Wi-Fi ağlarında AES, CCMP veya GCMP gibi şifreleme paketleri tarafından kullanılırken, kimlik doğrulama PSK, SAE veya diğer şifreleme yöntemleriyle ayrı olarak sağlanır. 802.1X/EAP, Yapılandırılan WLAN güvenlik moduna bağlı olarak. Desteklenen şifreleme paketi ve anahtar boyutu, telefon modeline ve WLAN yapılandırmasına bağlıdır.

Telefon AES şifrelemesi kullandığında, erişim noktası (AP) ile telefon arasında hem sinyal SIP paketleri hem de ses Gerçek Zamanlı İletim Protokolü (RTP) paketleri şifrelenir.

Kablosuz yerel ağ (LAN) içerisinde kimlik doğrulama ve şifreleme şemaları kurulur. VLAN'lar ağda ve erişim noktalarında yapılandırılır ve farklı kimlik doğrulama ve şifreleme kombinasyonlarını belirtir. Bir SSID, bir VLAN ve belirli bir kimlik doğrulama ve şifreleme şemasıyla ilişkilidir. Kablosuz istemci cihazlarının başarılı bir şekilde kimlik doğrulaması yapabilmesi için, erişim noktalarında ve telefonda aynı SSID'leri, kimlik doğrulama ve şifreleme şemalarıyla yapılandırmanız gerekir.

Bazı kimlik doğrulama yöntemleri belirli şifreleme türlerini gerektirir.

Aşağıdaki tabloda yer alan kimlik doğrulama ve şifreleme şemaları, AP yapılandırmasına karşılık gelen Cisco Wireless Phone 9821 için ağ yapılandırma seçeneklerini göstermektedir.

Cisco Wireless Phone 9821, kablolu ağlar için 802.1X kimlik doğrulamasını destekler. Bu genellikle , telefon desteklenen bir USB-Ethernet adaptörü aracılığıyla masaüstü şarj cihazına bağlandığında otomatik kurulum sırasında kullanılır.

Kablolu ağlarda 802.1X kimlik doğrulamasını desteklemek için aşağıdaki bileşenler gereklidir:

• Cisco IP Telefon: Telefon, ağa erişim isteğini başlatır. Cisco IP Telefonları 802.1X istemci yazılımı içerir. Bu istemci, ağ yöneticilerinin IP telefonlarının LAN anahtar portlarına olan bağlantısını kontrol etmelerini sağlar. Telefonun mevcut 802.1X istemci yazılımı, ağ kimlik doğrulaması için EAP-FAST ve EAP-TLS seçeneklerini kullanmaktadır.

• Kimlik doğrulama sunucusu: Kimlik doğrulama sunucusu ve anahtarın her ikisi de RADIUS paylaşımlı gizli anahtarıyla yapılandırılmalıdır.

• Anahtar: Anahtarın 802.1X'i desteklemesi gerekir, böylece kimlik doğrulayıcı görevi görebilir ve telefon ile kimlik doğrulama sunucusu arasında EAP mesajlarını iletebilir. Veri alışverişi tamamlandıktan sonra, anahtar telefona ağa erişim izni verir veya erişimi reddeder.

Cisco IP Telefonları ve Cisco Catalyst anahtarları, geleneksel olarak birbirlerini tanımlamak ve VLAN tahsisi ve hat içi güç gereksinimleri gibi parametreleri belirlemek için Cisco Keşif Protokolü (CDP) kullanır.

802.1X'i yapılandırmak için aşağıdaki işlemleri gerçekleştirmeniz gerekir.

• Yapılandır CDP/LLDP Ses VLAN'ını atlama.

• Telefonunuzda kablolu ağlar için 802.1X kimlik doğrulamasını etkinleştirmeden önce kimlik doğrulama sunucusunu ve anahtarı yapılandırın.

• Ses VLAN'ını yapılandırın: 802.1X standardı VLAN'ları desteklemediği için, bu ayarı anahtarın desteğine göre yapılandırmanız gerekir.

  • Etkin: Çoklu alan kimlik doğrulamasını destekleyen bir switch kullanıyorsanız, onu ses VLAN'ını kullanacak şekilde yapılandırabilirsiniz.
  • Devre dışı bırakıldı: Eğer switch çoklu etki alanı kimlik doğrulamasını desteklemiyorsa, Ses VLAN'ını devre dışı bırakın ve portu yerel VLAN'a atamayı düşünün.

• Cisco Wireless Phone 9821'in PID'sinde diğer Cisco telefonlarından farklı bir ön ek bulunur. Telefonunuzun 802.1X kimlik doğrulamasını geçmesini sağlamak için, Radius·User-Name parametresine Cisco Wireless Phone 9821'inizi ekleyin.

  Örneğin, Cisco Wireless Phone 9821'in PID'si WP-9821'dir. Aşağıdaki bölümlerin her ikisinde de Radius·User-Name değerini Start with WP veya Contains WP olarak ayarlayabilirsiniz:

  • Politika > Koşullar > Kütüphane Koşulları

  • Politika > Politika Kümeleri > Yetkilendirme Politikası > Yetkilendirme Kuralı 1