感谢您的反馈。

安全功能可防范威胁，包括对手机身份 和数据的威胁。 这些功能在电话和Cisco Unified Communications Manager服务器 之间建立和维护经过身份验证的通信流，并确保 电话仅使用数字签名的文件。

Cisco Unified Communications Manager版本 8.5 (1) 及更高版本默认包含安全功能， 它在不运行 CTL 客户端的情况下为 Cisco IP 电话提供以下安全功能：

• 签署电话配置文件

• 电话配置文件加密

• 使用 Tomcat 和其他 Web 服务的 HTTPS

在Cisco Unified Communications Manager系统中实现安全性可防止电话和Cisco Unified Communications Manager服务器的身份 盗用，防止数据篡改， 并防止呼叫信令和媒体流篡改。

为了缓解这些威胁，Cisco IP 电话网络在电话和服务器之间建立和维护安全 （加密）通信流， 在文件传输到电话之前对其进行数字签名，并对 Cisco IP 电话 之间的媒体流和呼叫信令进行加密。

在您执行与Certificate Authority代理功能 (CAPF) 相关的必要 任务后，本地有效证书 (LSC) 将安装在手机上。 您可以使用 Cisco Unified Communications Manager Administration来配置 LSC，如Cisco Unified Communications Manager安全指南中所述。 或者，您可以从电话上的 “ 安全” 菜单启动 LSC 的安装。 此菜单还允许您更新或 删除 LSC。

电话使用电话安全配置文件，该配置文件定义设备是非安全还是不 安全。 有关将安全配置文件应用于电话的信息，请参阅特定Cisco Unified Communications Manager版本的 文档。

如果您在中配置与安全相关的设置Cisco Unified Communications Manager Administration，则电话配置文件包含敏感信息。 为确保配置文件的私密性，您必须将其配置为加密。 有关详细信息，请参阅您的特定Cisco Unified Communications Manager版本的 文档。

下表概述了电话 支持的安全功能。 有关详细信息，请参阅特定 Cisco Unified Communications Manager 版本的文档。

下表包含信任列表更新警报消息和含义。 有关更多信息，请参阅Cisco Unified Communications Manager 文档。

为电话实施安全保护后，您可以通过电话屏幕上的 图标识别安全电话。 如果通话开始时播放安全提示音，您还可以确定所连接的电话是否安全和 受保护。

在安全通话中，所有呼叫信令和媒体流都经过加密。 安全 通话可提供高度的安全性，为通话提供完整性和隐私。 对正在进行的 呼叫进行加密后，您可以在线路上看到安全图标。

在中Cisco Unified Communications Manager，可以为配置为安全（加密和可 信）的电话分配保护状态。 保护后，可以将这些设备配置 为在每次通话开始时播放安全提示音。

• 受保护的设备：

  要将安全电话的状态更改为受保护，请执行以下操作：

  1. 在 Cisco Unified Communications Manager Administration 中，选择 设备 > 电话。
  2. 找到您要设置的电话。
  3. 在 “电话配置” 窗口中，选中 “受保护的 设备” 复选框。
  4. 单击保存。

• 播放安全提示音：

  要使受保护的电话能够播放安全或非安全提示音，请执行以下操作：

  1. 在中Cisco Unified Communications Manager Administration，选择系统 > 服务参数。
  2. 选择服务器，然后选择Cisco CallManager 服务。
  3. 在 “群集范围参数（功能-安全音调）” 区域中， 将 “显示安全 /非安全呼叫状态的播放音调” 设置设置为 Tr ue。
  4. 单击保存。

由于范围内的所有 WLAN 设备均可接收所有其他 WLAN 流量，因此安全语音通信在 WLAN 中至关重要。 为了确保入侵者不会操纵或拦截语音流量，Cisco SAFE 安全体系结构支持电话。 有关网络安全性的更多信息，请参阅 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 无线 IP 电话解决方案提供无线网络安全性，通过使用电话支持的以下身份验证方法防止未经授权的登录和通信受损。

• 开放式验证：任何无线设备均可在开放式系统中请求验证。 收到请求的 AP 可允许任何请求方或仅允许用户列表中找到的请求方进行验证。 无线设备和接入点（AP）之间的通信可能未加密。

• 可扩展身份验证协议 - 通过安全隧道（EAP-FAST）身份验证进行灵活身份验证：此客户端 - 服务器安全体系结构在 AP 和 RADIUS 服务器（如身份服务引擎（ISE））之间的传输级别安全性（TLS）隧道内加密 EAP 事务。

  TLS 隧道使用受保护的访问凭证 (PAC) 进行客户端（电话）与 RADIUS 服务器之间的验证。 服务器将授权 ID (AID) 发送给客户端（电话），后者会选择适当的 PAC。 客户端（电话）将返回 PAC - 对 RADIUS 服务器不透明。 服务器通过主密钥解密 PAC。 现在，两个终端均包含 PAC 密钥，且 TLS 隧道已创建。 EAP-FAST 支持自动 PAC 部署，但您必须在 RADIUS 服务器上启用该功能。

  在 ISE 中，默认情况下，PAC 将在一周后过期。 如果电话有过期的 PAC，则电话获取新 PAC 时，与 RADIUS 服务器的验证要花较长的时间。 为避免 PAC 部署延迟，在 ISE 或 RADIUS 服务器上，将 PAC 过期期限设置为 90 天或更长时间。

• 可扩展身份验证协议-传输层安全 (EAP-TLS) 验证：EAP-TLS 需要客户端证书用于身份验证和网络访问。 对于无线 EAP-TLS，客户端证书可以是 MIC, LSC, 或用户安装的证书。

• 受保护的可扩展验证协议 (PEAP)：客户端（电话）与 RADIUS 服务器之间 Cisco 专有的、基于密码的相互验证方案。 电话可以使用 PEAP 通过无线网络进行身份验证。 支持 PEAP-MSCHAPV2 和 PEAP-GTC 验证方法。

• 预共享密钥（PSK）：电话支持 ASCII 和十六进制（HEX）格式。 设置 WPA2/SAE 预共享密钥时，必须使用这些格式。

  ASCII：长度为 8 到 63 个字符（0-9、小写 a-z、大写 A-Z 和特殊字符）的 ASCII 字符串。 例如， GREG123567@9ZX&W。

  HEX：长度为 64 个十六进制数字（0-9、a-f 或 A-F）的十六进制字符串。

以下验证方案使用 RADIUS 服务器管理验证密钥：

• WPA2/WPA3：使用 RADIUS 服务器信息生成唯一的密钥进行验证。 由于这些密钥在中央 RADIUS 服务器生成，因此 WPA2/WPA3 提供比存储在 AP 和电话上的 WPA 预共享密钥更高的安全性。

• 快速安全漫游：使用 RADIUS 服务器和无线域服务器 (WDS) 信息管理和验证密钥。 WDS 为启用 FT 的客户端设备创建安全凭据缓存，以便快速安全地重新进行身份验证。

使用 WPA2/WPA3，加密密钥不会在电话上输入，而是在 AP 和电话之间自动派生。 但必须在每部电话上输入用于验证的 EAP 用户名和密码。

为了帮助保护无线链路上的语音流量，电话支持基于 AES 的加密进行 WPA2/WPA3 身份验证。 AES 是由 NIST 标准化的对称分组密码。 AES 使用固定的 128 位块大小，并支持 128 位、192 位和 256 位的密钥大小。 在 Wi-Fi 网络中，AES 由 CCMP 或 GCMP 等密码套件使用，而身份验证由 PSK、SAE 或 802.1X/EAP 单独提供，具体取决于配置的 WLAN 安全模式。 支持的密码套件和密钥大小取决于电话型号和 WLAN 配置。

当电话使用 AES 加密时，信令 SIP 数据包和语音实时 传输协议 (RTP) 数据包都会在 AP 和电话之间加密。

验证和加密方案在无线 LAN 内设置。 VLAN 在网络和 AP 中配置，指定验证和加密的不同组合。 SSID 与 VLAN 以及特定验证和加密方案关联。 要使无线客户端设备成功进行身份验证，您必须在 AP 和电话上配置相同的 SSID 及其身份验证和加密方案。

某些验证方案需要特定类型的加密。

下表中的身份验证和加密方案显示了对应于 AP 配置的 Cisco 无线电话 9821 的网络配置选项。

Cisco 无线电话 9821 支持有线网络的 802.1X 身份验证。 这通常在自动配置 期间 使用，当电话通过支持的 USB 转以太网适配器连接到桌面充电器时。

在有线网络上支持 802.1X 身份验证需要以下几个组件：

• Cisco IP 电话：电话会发起访问网络的请求。 Cisco IP 电话包含 802.1X 请求方。 网络管理员可以通过此请求方控制 IP 电话至 LAN 交换机端口的连接。 电话 802.1X 请求方的最新版本使用 EAP-FAST 和 EAP-TLS 选项进行网络验证。

• 身份验证服务器：身份验证服务器和交换机都必须配置 RADIUS 共享密钥。

• 交换机：交换机必须支持 802.1X，因此它可以充当身份验证器并在电话和身份验证服务器之间中继 EAP 消息。 在交换完成后，交换机会授予或拒绝电话访问网络的权限。

Cisco IP 电话和 Cisco Catalyst 交换机过去使用 Cisco Discovery Protocol (CDP) 来识别彼此并确定 VLAN 分配和线内电源要求等参数。

您必须执行以下操作来配置 802.1X。

• 配置 CDP/LLDP 语音 VLAN 绕过。

• 在为电话上的有线网络启用 802.1X 身份验证之前，请先配置身份验证服务器和交换机。

• 配置语音 VLAN：由于 802.1X 标准不考虑 VLAN，应根据交换机支持来配置此设置。

  • 已启用：如果您使用的是支持多域身份验证的交换机，则可以将其配置为使用语音 VLAN。
  • 禁用：如果交换机不支持多域验证，则禁用语音 VLAN 并考虑将此端口分配给本机 VLAN。

• Cisco 无线电话 9821 在 PID 中的前缀与其他 Cisco 电话的前缀不同。 要使您的电话通过 802.1X 身份验证，请设置 Radius·用户名 参数，用于包含您的 Cisco 无线电话 9821。

  例如，Cisco 无线电话 9821 的 PID 是 WP-9821。 您可以设置 半径·用户名以 WP 开头 或 包含 WP 在以下两个 部分中：

  • 政策 > 条件 > 库条件

  • 策略 > 策略集 > 授权策略 > 授权规则 1