Дякуємо за відгук.

Функції безпеки захищають від загроз, включаючи загрози особистості телефону та даних. Ці функції встановлюють та підтримують автентифіковані потоки зв'язку між телефоном та Cisco Unified Communications Manager сервером, а також гарантують, що телефон використовує лише файли з цифровим підписом.

Cisco Unified Communications ManagerВипуск 8.5 (1) і новіших версій включає безпеку за замовчуванням, яка забезпечує такі функції безпеки для IP-телефонів Cisco без запуску клієнта CTL:

• Підписування файлів конфігурації телефону

• Шифрування файлів конфігурації телефону

• HTTPS з Tomcat та іншими веб-сервісами

Впровадження безпеки в Cisco Unified Communications Manager системі запобігає крадіжці ідентифікаційних даних телефону та Cisco Unified Communications Manager сервера, запобігає підробленню даних та запобігає сигналізації дзві нків та підробленню медіапотоку.

Щоб полегшити ці загрози, мережа IP-телефонії Cisco встановлює та підтримує безпечні (зашифровані) потоки зв'язку між телефоном та сервером, підписує файли цифровим способом перед їх перенесенням на телефон, а також шифрує медіапотоки та сигналізацію дзвінків між IP-телефонами Cisco.

Сертифікат локально значущого значення (LSC) встановлюється на телефони після виконання необхід них завдань, пов'язаних з функцією про Certificate Authority ксі (CAPF). Ви можете використовувати Cisco Unified Communications Manager Administration для налаштування LSC, як описано в Посібнику з Cisco Unified Communications Managerбезпеки. Крім того, ви можете ініціювати установку LSC з меню Безпека на телефоні. Це меню також дозволяє оновити або видалити LSC.

Телефони використовують профіль безпеки телефону, який визначає, чи є пристрій незахищеним чи захи щеним. Для отримання інформації про застосування профілю безпеки до телефону див. документацію до конкретного Cisco Unified Communications Manager випуску.

Якщо ви налаштовуєте параметри, пов'язані з безпекоюCisco Unified Communications Manager Administration, файл конфігурації телефону містить конфіденційну інформацію. Щоб забезпечити конфіденційність файлу конфігу рації, необхідно налаштувати його на шифрування. Для отримання детальної інформації див. Доку ментацію до вашого конкретного Cisco Unified Communications Manager випуску.

У наведеній нижче таблиці наведено огляд функцій безпеки, які підтримують телефони . Для отримання додаткової інформації див. Документацію до конкретного Cisco Unified Communications Manager випуску.

Наступна таблиця містить повідомлення про оновлення списку довіри та значення нагадувань. Для отримання додаткової інформації див. Доку Cisco Unified Communications Manager ментацію.

Коли безпека реалізована для телефону, ви можете ідентифікувати захищені телефонні дзвінки за пі ктограмами на екрані телефону. Ви також можете визначити, чи захищений підключений телефон, якщо на початку дзвінка відтворюється сигнал безпеки.

У захищеному дзвінку вся сигналізація викликів і медіапотоки шифруються. Безпечний дзвінок забезпечує високий рівень безпеки, забезпечуючи цілісність та конфіденційність дзвінка. Коли пото чний дзвінок зашифрований, на лінії можна побачити захищений значок.

У телефо Cisco Unified Communications Manager нам, налаштованим як безпечні (зашифро вані та надійні), можна призначити статус захищеного. Після захисту ці пристрої можна налаш тувати на відтворення тону безпеки на початку кожного дзвінка.

• Захищений пристрій:

  Щоб змінити статус захищеного телефону на захищений:

  1. У розділі Cisco Unified Communications Manager Administration виберіть Прист рій > Телефон.
  2. Знайдіть телефон, який ви налаштуватимете.
  3. У вікні «Конфігурація телефону» встановіть прапоре ць « Захищений пристрій».
  4. Натисніть Збере гти.

• Відтворити сигнал безпечної індикації:

  Щоб увімкнути захищений телефон відтворювати захищений або незахищений сигнал індикації:

  1. У розділі Cisco Unified Communications Manager Administration виберіть «Система» > «Параметри служби».
  2. Виберіть сервер, а потім Cisco CallManager службу.
  3. У полі Параме три кластера (функція - захищений тон) встановіть параметр «Тон відтворення» на значення « Вказуйте стан безпечних/незахищених дзвінків» на значення True.
  4. Натисніть Збере гти.

Оскільки всі пристрої WLAN, які знаходяться в межах діапазону, можуть отримувати весь інший трафік WLAN, захист голосового зв'язку є критичним у мережах WLAN. Щоб гарантувати, що зловмисники не маніпулюють і не перехоплюють голосовий трафік, архітектура Cisco SAFE Security підтримує телефон. Для отримання додат кової інформації про безпеку в мережах див. http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Рішення Cisco Wireless IP телефонії забезпечує безпеку бездротової мережі, що запобігає несанкціонованим входам та компрометованим комунікаціям за допомогою наступних методів аутентифікації, які підтримує телефон.

• Відкрита аутенти фікація: Будь-який бездротовий пристрій може запитувати аутентифікацію у відкритій системі. Точка доступу, яка отримує запит, може надавати автентифікацію будь-якому запитувачу або лише запитувачам, які знаходяться у списку користувачів. Зв'язок між бездротовим пристроєм і точкою доступу (AP) може бути нешифрованим.

• Розширюваний протокол автентифікації - гнучка автентифікація за допомогою аутентифікації безпечного тунелювання (EAP-FAST): ця архітектура безпеки клієнт-сервер шифрує транзакції EAP в тунелі безпеки транспортного рівня (TLS) між точкою доступу та сервером RADIUS, наприклад, Identity Services Engine (ISE).

  Тунель TLS використовує захищені облікові дані доступу (PAC) для автентифікації між клієнтом (телефоном) та сервером RADIUS. Сервер надсилає клієнту (телефону) Authority ID (AID), який у свою чергу вибирає відповідний PAC. Клієнт (телефон) повертає PAC-непрозорість сервера RADIUS. Сервер розшифровує PAC первинним ключем. Обидві кінцеві точки тепер містять ключ PAC і створюється тунель TLS. EAP-FAST підтримує автоматичне забезпечення PAC, але його потрібно ввімкнути на сервері RADIUS.

  У ISE за замовчуванням PAC закінчується через один тиждень. Якщо телефон має термін дії PAC, аутентифікація за допомогою сервера RADIUS займає більше часу, поки телефон отримує новий PAC. Щоб уникнути затримок забезпечення PAC, встановіть термін дії PAC на 90 днів або довше на сервері ISE або RADIUS.

• Аутентифікація протоколу розширеної автентифікації та захисту транспортного рівня (EAP-TLS): для аутентифікації та доступу до мережі EAP-TLS потрібен клієнтський сертифікат. Для бездротового EAP-TLS клієнтським сертифікатом може бути MIC, LSC або встановлений користувачем сертифікат.

• Протокол захищеної розширюваної аутентифікації (PEAP): власна схема взаємної аутентифікації на основі пароля Cisco між клієнтом (телефоном) та сервером RADIUS. Телефон може використовувати PEAP для аутентифікації з бездротовою мережею. Підтримуються як методи аутентифікації PEAP-MSCHAPV2, так і PEAP-GTC.

• Попередньо спільний ключ (PSK): телефон підтримує формати ASCII та шістнадцятковий (HEX). Ви повинні використовувати ці формати при налаштуванні попередньо спільного ключа WPA2/SAE.

  ASCII: Рядок ASCII-символів довжиною від 8 до 63 символів (0-9, малі літери a-z, великі літер и A-Z та спеціальні символи). Наприклад, GREG123567@9ZX&W.

  HEX: Рядок шестигранного символу з 64 шестигранними цифрами довжиною (0-9, a-f або A-F).

Наступні схеми автентифікації використовують сервер RADIUS для керування ключами автентифікації:

• WPA2/WPA3: використовує інформацію сервера RADIUS для створення унікальних ключів для автентифікації. Оскільки ці ключі генеруються на централізованому сервері RADIUS, WPA2/WPA3 забезпечує більшу безпеку, ніж попередньо спільні ключі WPA, які зберігаються на точці доступу та телефоні.

• Швидкий безпечний роумінг: використовує інформацію сервера RADIUS та сервера бездротового домену (WDS) для керування та автентифікації ключів. WDS створює кеш облікових даних безпеки для клієнтських пристроїв з підтримкою FT для швидкої та безпечної повторної аутентифікації.

За допомогою WPA2/WPA3 ключі шифрування не вводяться на телефон, а автоматично виводяться між точкою доступу та телефоном. Але ім'я користувача та пароль EAP, які використовуються для аутентифікації, повинні бути введені на кожному телефоні.

Щоб захистити голосовий трафік по бездротовому зв'язку, телефон підтримує шифрування на основі AES для аутентифікації WPA2/WPA3. AES - це симетричний блоковий шифр, стандартизований NIST. AES використовує фіксований 128-бітний розмір блоку і підтримує розміри ключів 128 біт, 192 біт і 256 біт. У мережах Wi-Fi AES використовується шифрними пакетами, такими як CCMP або GCMP, тоді як ау тентифікація надається окремо за допомогою PSK, SAE або 802.1X/EAP, залежно від налаштованого режиму безпеки WLAN. Підтримуваний набір шифрів та розмір ключа залежать від моделі телефону та конфігурації WLAN.

Коли телефон використовує шифрування AES, як сигнальні SIP-пакети, так і пакети голосового транспортного протоколу реального часу (RTP) шифруються між AP та телефоном.

Схеми аутентифікації та шифрування налаштовуються в бездротовій локальній мережі. VLAN налаштовуються в мережі і на точок доступу і вказують різні комбінації аутентифікації і шифрування. SSID асоціюється з VLAN та певною схемою аутентифікації та шифрування. Щоб бездротові клієнтські пристрої успішно пройшли аутентифікацію, необхідно налаштувати однакові SSID з їх схемами аутентифікації та шифрування на точок доступу та на телефоні.

Деякі схеми аутентифікації вимагають певних типів шифрування.

Схеми автентифікації та шифрування в наступній таблиці показують параметри конфігурації мережі для Cisco Wireless Phone 9821, які відповідають конфігурації точки доступу.

Бездротовий телефон Cisco 9821 підтримує аутентифікацію 802.1X для дротових мереж. Зазвичай це використовується під час автоматичного забезпечення, коли телефон підключений до настільного зарядного пристрою через підтримуваний адаптер USB-Ethernet.

Підтримка аутентифікації 802.1X в дротових мережах вимагає декількох компонентів, таких як :

• IP-телефон Cisco: телефон ініціює запит на доступ до мережі. IP-телефони Cisco містять заявник 802.1X. Цей додаток дозволяє мережевим адміністраторам контролювати підключення IP-телефонів до портів комутатора LAN. Поточний випуск додатка телефону 802.1X використовує параметри EAP-FAST та EAP-TLS для автентифікації мережі.

• Сервер аутентифікації: Сервер аутентифікації та комутатор повинні бути налаш товані спільним секретом RADIUS.

• Перемикач: комутатор повинен підтримувати 802.1X, щоб він міг виконувати функцію автентифікатора та передавати повідомлення EAP між телефоном та сервером аутентифікації. Після завершення обміну комутатор надає або забороняє телефону доступ до мережі.

IP-телефони Cisco та комутатори Cisco Catalyst традиційно використовують Cisco Discovery Protocol (CDP) для ідентифікації один одного та визначення таких параметрів, як розподіл VLAN та вбудовані вимоги до живлення.

Для налаштування 802.1X необхідно виконати наступні дії.

• Налаштуйте обхід голосового VLAN CDP/LLDP.

• Налаштуйте сервер автентифікації та комутатор, перш ніж увімкнути ав тентифікацію 802.1X для дротових мереж на телефоні.

• Налаштування голосової локальної мережі: оскільки стандарт 802.1X не враховує VLAN, вам слід налаштувати цей параметр на основі підтримки комутатора.

  • Увімкнено: якщо ви використовуєте комутатор, який підтримує багатодоменну автентифікацію, ви можете налаштувати його на використання голосової VLAN.
  • Вимкнено: якщо комутатор не підтримує багатодоменну аутентифікацію, вимкніть голосову VLAN та розгляньте можливість присвоєння порту рідній VLAN.

• Бездротовий телефон Cisco 9821 має інший префікс у PID, ніж для інших телефонів Cisco. Щоб дозволити телефону пройти автентифікацію 802.1X, встановіть параметр Радіус · Ім'я користувача, щоб включати ваш без дротовий телефон Cisco 9821.

  Наприклад, PID бездротового телефону Cisco 9821 - WP-9821. Ви можете встановити Радіус·Ім'я користувача Start with WPабо Contains WPв обох наступних розділах:

  • Політика > У мови > У мови бібліотеки

  • Політика > Н абори політик > Полі тика авторизації > Правило авторизації 1