感谢您的反馈。

安全功能可抵御各种威胁，包括针对手机身份和数据的威胁。这些功能可在电话和 Cisco Unified Communications Manager 服务器之间建立和维护经过身份验证的通信流，并确保电话仅使用经过数字签名的文件。

Cisco Unified Communications Manager 版本 8.5(1) 及更高版本默认包含安全功能，无需运行 CTL 客户端即可为 Cisco IP 电话提供以下安全功能：

• 签署电话配置文件

• 电话配置文件加密

• 使用 Tomcat 和其他 Web 服务的 HTTPS

在 Cisco Unified Communications Manager 系统中实施安全措施，可以防止电话和 Cisco Unified Communications Manager 服务器的身份被盗用，防止数据被篡改，以及防止呼叫信令和媒体流被篡改。

为了缓解这些威胁，思科 IP 电话网络在电话和服务器之间建立并维护安全（加密）的通信流，在文件传输到电话之前对其进行数字签名，并对思科 IP 电话之间的媒体流和呼叫信令进行加密。

执行与证书颁发机构代理功能 (CAPF) 相关的必要任务后，本地重要证书 (LSC) 将安装到手机上。您可以使用 Cisco Unified Communications Manager 管理来配置 LSC，如 Cisco Unified Communications Manager 安全指南中所述。或者，您可以从手机上的 安全 菜单启动 LSC 的安装。此菜单还允许您更新或删除 LSC。

这些手机使用手机安全配置文件，该配置文件定义了设备是安全的还是不安全的。有关将安全配置文件应用到电话的信息，请参阅您所用 Cisco Unified Communications Manager 版本的文档。

如果在 Cisco Unified Communications Manager 管理中配置安全相关设置，则电话配置文件包含敏感信息。为确保配置文件的隐私性，必须对其进行加密配置。有关详细信息，请参阅您所用 Cisco Unified Communications Manager 版本的文档。

下表概述了手机支持的安全功能。更多信息请参阅您所用 Cisco Unified Communications Manager 版本的文档。

下表包含信任列表更新告警消息及其含义。更多信息，请参阅 Cisco Unified Communications Manager 文档。

当手机启用安全功能后，您可以通过手机屏幕上的图标识别安全通话。如果在通话开始时播放安全提示音，您也可以判断连接的手机是否安全可靠。

在安全通话中，所有通话信令和媒体流均经过加密。安全通话提供高度安全性，保障通话的完整性和隐私性。当通话进行中加密时，您可以在线路上看到安全图标 。

在 Cisco Unified Communications Manager 中，配置为安全（加密且受信任）的电话可以被赋予受保护状态。保护措施到位后，这些设备可以配置为在每次通话开始时播放安全提示音。

• 受保护设备：

  要将安全手机的状态更改为受保护状态：

  1. 在 Cisco Unified Communications Manager 管理中，选择 设备 > 电话。
  2. 找到你要设置的手机。
  3. 在“手机配置”窗口中，选中 “受保护设备 ”复选框。
  4. 单击保存。

• 播放安全指示音：

  要使受保护的手机能够播放安全或非安全指示音：

  1. 在 Cisco Unified Communications Manager 管理中，选择 系统 > 服务参数。
  2. 选择服务器，然后选择 Cisco CallManager 服务。
  3. 在 集群范围参数（功能 - 安全音） 区域中，将 播放音设置为指示 Secure/Non-Secure 呼叫状态 设置为 True。
  4. 单击保存。

由于所有在有效范围内的 WLAN 设备都可以接收所有其他 WLAN 流量，因此在 WLAN 中保护语音通信至关重要。为确保入侵者不会篡改或拦截语音流量，思科 SAFE 安全架构为电话提供支持。有关网络安全的更多信息，请参阅 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 无线 IP 电话解决方案提供无线网络安全，通过使用电话支持的以下身份验证方法，防止未经授权的登录和受损的通信。

• 开放式身份验证: 在开放系统中，任何无线设备都可以请求身份验证。收到请求的 AP 可以向任何请求者授予身份验证，也可以只向用户列表中的请求者授予身份验证。无线设备与接入点 (AP) 之间的通信可能未加密。

• 可扩展身份验证协议-通过安全隧道实现灵活身份验证 (EAP-FAST) 身份验证: 这种客户端-服务器安全架构在 AP 和 RADIUS 服务器（例如身份服务引擎 (ISE)）之间的传输层安全 (TLS) 隧道内对 EAP 事务进行加密。

  TLS 隧道使用受保护的访问凭证 (PAC) 在客户端（手机）和 RADIUS 服务器之间进行身份验证。服务器向客户端（手机）发送授权 ID (AID)，客户端（手机）进而选择相应的 PAC。客户端（手机）向 RADIUS 服务器返回 PAC-Opaque。服务器使用主密钥解密 PAC 文件。现在两个端点都包含 PAC 密钥，并创建了 TLS 隧道。EAP-FAST 支持自动 PAC 配置，但必须在 RADIUS 服务器上启用它。

  在 ISE 中，PAC 默认在一周后过期。如果手机的 PAC 已过期，则在手机获取新的 PAC 之前，与 RADIUS 服务器进行身份验证需要更长时间。为避免 PAC 配置延迟，请在 ISE 或 RADIUS 服务器上将 PAC 过期时间设置为 90 天或更长。

• 可扩展身份验证协议-传输层安全 (EAP-TLS) 身份验证: EAP-TLS 需要客户端证书进行身份验证和网络访问。对于无线 EAP-TLS，客户端证书可以是 MIC、LSC 或用户安装的证书。

• 受保护的可扩展身份验证协议 (PEAP): Cisco 专有的基于密码的客户端（电话）与 RADIUS 服务器之间的相互认证方案。该手机可以使用 PEAP 协议与无线网络进行身份验证。同时支持 PEAP-MSCHAPV2 和 PEAP-GTC 认证方式。

• 预共享密钥 (PSK): 该手机支持 ASCII 和十六进制 (HEX) 格式。设置时必须使用这些格式 WPA2/SAE 预共享密钥。

  ASCII: 长度为 8 到 63 个字符的 ASCII 字符串（0-9、小写字母 az、大写字母 AZ 和特殊字符）。例如， GREG123567@9ZX&W。

  十六进制: 长度为 64 个十六进制数字的十六进制字符字符串（0-9、af 或 AF）。

以下认证方案使用 RADIUS 服务器来管理认证密钥：

• WPA2/WPA3: 使用 RADIUS 服务器信息生成用于身份验证的唯一密钥。因为这些密钥是在集中式 RADIUS 服务器上生成的， WPA2/WPA3 与存储在 AP 和手机上的 WPA 预共享密钥相比，它提供了更高的安全性。

• 快速安全漫游：使用 RADIUS 服务器和无线域服务器 (WDS) 信息来管理和验证密钥。WDS 为支持 FT 的客户端设备创建安全凭证缓存，以便快速安全地重新认证。

和 WPA2/WPA3, 加密密钥无需在手机上输入，而是由接入点和手机之间自动生成。但是，用于身份验证的 EAP 用户名和密码必须在每部手机上输入。

为了帮助保护无线链路上的语音流量，该手机支持基于 AES 的加密。 WPA2/WPA3 验证。AES 是由 NIST 标准化的对称分组密码。AES 使用固定的 128 位块大小，支持 128 位、192 位和 256 位密钥大小。在 Wi-Fi 网络中，AES 被 CCMP 或 GCMP 等密码套件使用，而身份验证则由 PSK、SAE 或其他方式单独提供。 802.1X/EAP, 取决于配置的 WLAN 安全模式。支持的密码套件和密钥长度取决于手机型号和 WLAN 配置。

当电话使用 AES 加密时，AP 和电话之间的信令 SIP 数据包和语音实时传输协议 (RTP) 数据包都会被加密。

无线局域网内设置了身份验证和加密方案。VLAN 在网络和 AP 上进行配置，并指定不同的身份验证和加密组合。SSID 与 VLAN 以及特定的身份验证和加密方案相关联。要使无线客户端设备成功进行身份验证，必须在 AP 和手机上配置相同的 SSID 及其身份验证和加密方案。

某些身份验证方案需要特定类型的加密。

下表中的身份验证和加密方案显示了 Cisco 无线电话 9821 与 AP 配置对应的网络配置选项。

Cisco 无线电话 9821 支持有线网络的 802.1X 认证。这通常在 自动配置期间使用 ，此时手机通过支持的 USB 转以太网适配器连接到桌面充电器。

在有线网络上支持 802.1X 身份验证需要以下几个组件：

• 思科IP电话：手机发起接入网络的请求。Cisco IP 电话包含 802.1X 请求程序。该请求程序允许网络管理员控制 IP 电话与 LAN 交换机端口的连接。当前版本的手机 802.1X 请求程序使用 EAP-FAST 和 EAP-TLS 选项进行网络认证。

• 身份验证服务器：认证服务器和交换机都必须配置 RADIUS 共享密钥。

• 转变：交换机必须支持 802.1X，以便它可以充当身份验证器并在电话和身份验证服务器之间转发 EAP 消息。交换完成后，交换机会授予或拒绝手机对网络的访问权限。

Cisco IP 电话和 Cisco Catalyst 交换机传统上使用 Cisco 发现协议 (CDP) 来相互识别，并确定 VLAN 分配和在线电源要求等参数。

要配置 802.1X，必须执行以下操作。

• 配置 CDP/LLDP 语音VLAN旁路。

• 在电话上为有线网络启用 802.1X 身份验证之前，请先配置身份验证服务器和交换机。

• 配置语音VLAN：由于 802.1X 标准没有考虑 VLAN，因此您应该根据交换机的支持情况来配置此设置。

  • Enabled（启用）：如果您使用的是支持多域认证的交换机，您可以将其配置为使用语音 VLAN。
  • Disabled（禁用）：如果交换机不支持多域认证，请禁用语音 VLAN，并考虑将端口分配给本机 VLAN。

• Cisco 无线电话 9821 的 PID 前缀与其他 Cisco 电话不同。要使您的电话能够通过 802.1X 身份验证，请将 Radius·User-Name 参数设置为包含您的 Cisco 无线电话 9821。

  例如，思科无线电话 9821 的 PID 为 WP-9821。您可以在以下两个部分中将 Radius·User-Name 设置为 Start with WP 或 Contains WP ：

  • 政策 > 状况 > 图书馆条件

  • 政策 > 策略集 > 授权策略 > 授权规则 1