Дякуємо за відгук.

Функції безпеки захищають від загроз, зокрема загроз для ідентифікаційних даних телефону та даних. Ці функції встановлюють і підтримують автентифіковані потоки зв'язку між телефоном і сервером Cisco Unified Communications Manager, а також гарантують, що телефон використовує лише файли з цифровим підписом.

Cisco Unified Communications Manager версії 8.5(1) та пізніших версій містить функцію «Безпека» за замовчуванням, яка забезпечує такі функції безпеки для IP-телефонів Cisco без запуску клієнта CTL:

• Підписання файлів конфігурації телефону

• Шифрування файлу конфігурації телефону

• HTTPS з Tomcat та іншими веб-сервісами

Впровадження безпеки в системі Cisco Unified Communications Manager запобігає крадіжці особистих даних телефону та сервера Cisco Unified Communications Manager, запобігає підробці даних, а також запобігає підробці сигналізації викликів та медіапотоку.

Щоб зменшити ці загрози, мережа IP-телефонії Cisco встановлює та підтримує безпечні (зашифровані) потоки зв'язку між телефоном і сервером, цифровим підписом додає файли перед їх передачею на телефон, а також шифрує потоки медіа та сигналізацію викликів між IP-телефонами Cisco.

Локально значущий сертифікат (LSC) інсталюється на телефонах після виконання необхідних завдань, пов’язаних із функцією проксі-сервера центру сертифікації (CAPF). Ви можете використовувати адміністрування Cisco Unified Communications Manager для налаштування LSC, як описано в Посібнику з безпеки Cisco Unified Communications Manager. Або ж ви можете ініціювати встановлення LSC з меню Безпека на телефоні. Це меню також дозволяє оновлювати або видаляти LSC.

Телефони використовують профіль безпеки телефону, який визначає, чи є пристрій незахищеним, чи захищеним. Щоб отримати інформацію про застосування профілю безпеки до телефону, див. документацію до вашої конкретної версії Cisco Unified Communications Manager.

Якщо ви налаштовуєте параметри, пов’язані з безпекою, в адмініструванні Cisco Unified Communications Manager, файл конфігурації телефону містить конфіденційну інформацію. Щоб забезпечити конфіденційність файлу конфігурації, необхідно налаштувати його для шифрування. Для отримання детальної інформації див. документацію до вашої конкретної версії Cisco Unified Communications Manager.

У наступній таблиці наведено огляд функцій безпеки, які підтримують телефони. Щоб отримати додаткові відомості, перегляньте документацію до конкретного випуску Уніфікованого диспетчера комунікацій Cisco.

У наступній таблиці наведено повідомлення тривоги оновлення списку довірених осіб та їх значення. Для отримання додаткової інформації див. документацію Cisco Unified Communications Manager.

Коли для телефону впроваджено захист, ви можете ідентифікувати захищені телефонні дзвінки за допомогою значків на екрані телефону. Ви також можете визначити, чи підключений телефон безпечний та захищений, якщо на початку дзвінка відтворюється сигнал безпеки.

Під час захищеного дзвінка вся сигналізація дзвінка та медіапотоки шифруються. Безпечний дзвінок пропонує високий рівень безпеки, забезпечуючи цілісність та конфіденційність розмови. Коли активний дзвінок зашифровано, на лінії відображається значок захисту .

У Cisco Unified Communications Manager телефонам, налаштованим як захищені (зашифровані та довірені), можна призначити захищений статус. Після захисту ці пристрої можна налаштувати на відтворення сигналу безпеки на початку кожного дзвінка.

• Захищений пристрій:

  Щоб змінити статус захищеного телефону на захищений:

  1. У розділі адміністрування Cisco Unified Communications Manager виберіть Пристрій > Телефон.
  2. Знайдіть телефон, який ви будете налаштовувати.
  3. У вікні конфігурації телефону встановіть прапорець Захищений пристрій.
  4. Клацніть Зберегти.

• Відтворити сигнал індикації безпеки:

  Щоб увімкнути на захищеному телефоні відтворення захищеного або незахищеного сигналу індикації:

  1. У розділі адміністрування Cisco Unified Communications Manager виберіть Система > Параметри сервісу.
  2. Виберіть сервер, а потім службу Cisco CallManager.
  3. В області Загальноклустерні параметри (Функція - Захищений тон) встановіть для параметра Тон відтворення значення Вказувати Secure/Non-Secure Встановлення статусу виклику на True.
  4. Клацніть Зберегти.

Оскільки всі пристрої WLAN, що знаходяться в межах досяжності, можуть приймати весь інший трафік WLAN, захист голосового зв'язку є критично важливим у WLAN. Щоб гарантувати, що зловмисники не зможуть маніпулювати голосовим трафіком і не перехоплювати його, архітектура Cisco SAFE Security підтримує роботу телефону. Для отримання додаткової інформації про безпеку в мережах див. http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Рішення Cisco Wireless IP-телефонії забезпечує безпеку бездротової мережі, яка запобігає несанкціонованому входу та компрометації зв'язку, використовуючи такі методи автентифікації, що підтримуються телефоном.

• Відкрита автентифікація: Будь-який бездротовий пристрій може запитувати автентифікацію у відкритій системі. Точка доступу, яка отримує запит, може надати автентифікацію будь-якому запитувачу або лише тим запитувачам, які знаходяться у списку користувачів. Зв'язок між бездротовим пристроєм і точкою доступу (AP) може бути нешифрованим.

• Розширюваний протокол автентифікації – гнучка автентифікація через безпечне тунелювання (EAP-FAST): Ця архітектура безпеки клієнт-сервер шифрує транзакції EAP у тунелі Transport Level Security (TLS) між точкою доступу та сервером RADIUS, таким як Identity Services Engine (ISE).

  Тунель TLS використовує захищені облікові дані доступу (PAC) для автентифікації між клієнтом (телефоном) та сервером RADIUS. Сервер надсилає ідентифікатор авторизації (AID) клієнту (телефону), який, у свою чергу, вибирає відповідний PAC. Клієнт (телефон) повертає PAC-Opaque на сервер RADIUS. Сервер розшифровує PAC за допомогою первинного ключа. Обидві кінцеві точки тепер містять ключ PAC, і створюється тунель TLS. EAP-FAST підтримує автоматичне налаштування PAC, але його необхідно ввімкнути на сервері RADIUS.

  В ISE за замовчуванням термін дії PAC закінчується через один тиждень. Якщо термін дії PAC у телефону минув, автентифікація на сервері RADIUS триватиме довше, поки телефон отримає новий PAC. Щоб уникнути затримок із забезпеченням PAC, встановіть період дії PAC на 90 днів або довше на сервері ISE або RADIUS.

• Автентифікація за протоколом розширюваної автентифікації – протоколом безпеки транспортного рівня (EAP-TLS): EAP-TLS вимагає сертифіката клієнта для автентифікації та доступу до мережі. Для бездротового EAP-TLS сертифікатом клієнта може бути MIC, LSC або сертифікат, встановлений користувачем.

• Протокол захищеної розширюваної автентифікації (PEAP): Власна схема взаємної автентифікації на основі пароля Cisco між клієнтом (телефоном) та сервером RADIUS. Телефон може використовувати PEAP для автентифікації в бездротовій мережі. Підтримуються методи автентифікації PEAP-MSCHAPV2 та PEAP-GTC.

• Попередньо спільний ключ (PSK): Телефон підтримує формати ASCII та шістнадцятковий (HEX). Ви повинні використовувати ці формати під час налаштування WPA2/SAE Попередньо спільний ключ.

  ASCII: Рядок символів ASCII довжиною від 8 до 63 символів (0-9, малі літери az, великі літери AZ та спеціальні символи). Наприклад, GREG123567@9ZX&W.

  ШІСТНАДЦЯТКОВИЙ: Шістнадцятковий рядок символів із 64 шістнадцяткових цифр завдовжки (0-9, af або AF).

Наступні схеми автентифікації використовують сервер RADIUS для керування ключами автентифікації:

• WPA2/WPA3: Використовує інформацію сервера RADIUS для створення унікальних ключів для автентифікації. Оскільки ці ключі генеруються на централізованому сервері RADIUS, WPA2/WPA3 забезпечує більший рівень безпеки, ніж попередньо спільні ключі WPA, що зберігаються на точці доступу та телефоні.

• Швидкий безпечний роумінг: Використовує інформацію про сервер RADIUS та сервер бездротового домену (WDS) для керування ключами та їх автентифікації. WDS створює кеш облікових даних безпеки для клієнтських пристроїв із підтримкою FT для швидкої та безпечної повторної автентифікації.

З WPA2/WPA3, Ключі шифрування не вводяться на телефоні, а автоматично передаються між точкою доступу та телефоном. Але ім’я користувача та пароль EAP, які використовуються для автентифікації, потрібно вводити на кожному телефоні.

Для захисту голосового трафіку через бездротове з'єднання телефон підтримує шифрування на основі AES для WPA2/WPA3 автентифікація. AES — це симетричний блоковий шифр, стандартизований NIST. AES використовує фіксований розмір блоку 128 біт і підтримує розміри ключів 128 біт, 192 біти та 256 біт. У мережах Wi-Fi AES використовується шифрувальними наборами, такими як CCMP або GCMP, тоді як автентифікація забезпечується окремо за допомогою PSK, SAE або 802.1X/EAP, залежно від налаштованого режиму безпеки WLAN. Підтримуваний набір шифрів та розмір ключа залежать від моделі телефону та конфігурації WLAN.

Коли телефон використовує шифрування AES, як сигнальні SIP-пакети, так і голосові RTP-пакети (Real-Time Transport Protocol) шифруються між точкою доступу та телефоном.

У бездротовій локальній мережі налаштовано схеми автентифікації та шифрування. Віртуальні локальні мережі (VLAN) налаштовуються в мережі та на точках доступу й визначають різні комбінації автентифікації та шифрування. SSID асоціюється з VLAN та певною схемою автентифікації та шифрування. Для успішної автентифікації бездротових клієнтських пристроїв необхідно налаштувати однакові SSID з їхніми схемами автентифікації та шифрування на точках доступу та на телефоні.

Деякі схеми автентифікації вимагають певних типів шифрування.

Схеми автентифікації та шифрування в наступній таблиці показують параметри конфігурації мережі для бездротового телефону Cisco 9821, що відповідають конфігурації точки доступу.

Бездротовий телефон Cisco 9821 підтримує автентифікацію 802.1X для дротових мереж. Зазвичай це використовується під час автоматичного налаштування, коли телефон підключено до настільного зарядного пристрою через підтримуваний адаптер USB-Ethernet.

Підтримка автентифікації 802.1X у дротових мережах вимагає кількох компонентів, а саме:

• IP-телефон Cisco: Телефон ініціює запит на доступ до мережі. IP-телефони Cisco містять запитувач 802.1X. Цей запитувач дозволяє мережевим адміністраторам контролювати підключення IP-телефонів до портів комутатора локальної мережі. Поточна версія телефону-заявника 802.1X використовує опції EAP-FAST та EAP-TLS для мережевої автентифікації.

• Сервер автентифікації: Сервер автентифікації та комутатор повинні бути налаштовані зі спільним секретним ключем RADIUS.

• Перемикач: Комутатор повинен підтримувати 802.1X, щоб він міг виступати в ролі автентифікатора та передавати повідомлення EAP між телефоном та сервером автентифікації. Після завершення обміну комутатор надає або відмовляє телефону в доступі до мережі.

IP-телефони Cisco та комутатори Cisco Catalyst традиційно використовують протокол Cisco Discovery Protocol (CDP) для ідентифікації один одного та визначення таких параметрів, як розподіл VLAN та вимоги до вбудованої потужності.

Щоб налаштувати 802.1X, необхідно виконати такі дії.

• Налаштувати CDP/LLDP обхід голосової VLAN.

• Налаштуйте сервер автентифікації та комутатор, перш ніж увімкнути автентифікацію 802.1X для дротових мереж на телефоні.

• Налаштування голосової VLAN: Оскільки стандарт 802.1X не враховує віртуальні локальні мережі (VLAN), вам слід налаштувати цей параметр на основі підтримки комутатора.

  • Увімкнено: Якщо ви використовуєте комутатор, який підтримує багатодоменну автентифікацію, ви можете налаштувати його для використання голосової VLAN.
  • Вимкнено: Якщо комутатор не підтримує багатодоменну автентифікацію, вимкніть голосову VLAN та розгляньте можливість призначення порту власній VLAN.

• Бездротовий телефон Cisco 9821 має інший префікс у PID, ніж інші телефони Cisco. Щоб ваш телефон міг проходити автентифікацію 802.1X, установіть параметр Radius·User-Name, щоб включити ваш бездротовий телефон Cisco 9821.

  Наприклад, PID бездротового телефону Cisco 9821 — WP-9821. Ви можете встановити для Radius·User-Name значення Start with WP або Contains WP в обох наступних розділах:

  • Політика > Умови > Умови бібліотеки

  • Політика > Набори політик > Політика авторизації > Правило авторизації 1