感謝您的意見回饋。

安全功能可防止威脅，包括對手機身份 和數據的威脅。 這些功能會在手機和Cisco Unified Communications Manager伺服器之間建立 並維護已驗證的通訊串流，並確保手機僅 使用數位簽署的檔案。

Cisco Unified Communications Manager版本 8.5 (1) 及更新版本預設包含安全性， 該版本為 Cisco IP 電話提供下列安全性功能，而無需執行 CTL 用戶端的情況下：

• 簽署電話組配置檔案

• 手機配置文件加密

• 使用湯姆貓和其他網絡服務的 HTTPS

在Cisco Unified Communications Manager系統中實現安全防護可防 止手機和服務Cisco Unified Communications Manager器的身份盜用，防止數據偽造， 並防止通話信號和媒體流盜用。

為了緩解這些威脅，Cisco IP 電話網路會建立並維護手機與伺服器之間的安全 (加密) 通訊流，在檔案傳輸到手機之 前以數位方式簽署，並加密 Cisco IP 電話之間的媒體串流和 通話訊號。

當您執行與 Certificate Authority Proxy 函數 (CAPF) 相關的必要工作後，本機 重要憑證 (LSC) 會安裝在手機上。 您可以使用 Cisco Unified Communications Manager Administration來設定 LSC，如「Cisco Unified Communications Manager安全性指南」中所述。 或者，您可以從手機上的「安全性」功能表 啟動安裝 LSC。 此功能表也可讓您更新或 移除 LSC。

手機使用手機安全性設定檔，該設備定義設備是不安全還是安 全的。 如需將安全性設定檔套用至手機的相關資訊，請參閱特定Cisco Unified Communications Manager版本的 文件。

如果您在中設定安全相關設定Cisco Unified Communications Manager Administration，則手機組態檔會包含敏感資訊。 為了確保組態檔案的私密性，您需設定對其進行加密。 如需詳細資訊，請參閱 您特定版本的文Cisco Unified Communications Manager件。

下表提供手機 支援的安全性功能概述。 如需更多資訊，請參閱特定 Cisco Unified Communications Manager 版本的說明文件。

下表包含信任清單更新警示訊息和含義。 如需詳細資訊，請參閱Cisco Unified Communications Manager 文件。

為手機實現安全性時，您可以通過手機屏幕上的 圖標識別安全電話。 如果通話開始時播放安全音，您也 可以判斷連接的手機是否安全和受保護。

在安全通話中，所有通話信號和媒體流都被加密。 安全通 話提供高等級的安全性，為通話提供完整性和隱私。 當進行 中的通話被加密時，您可以在線上看到安全圖標。

在中Cisco Unified Communications Manager，可將設定為安全（加密和 信任）的手機指定受保護狀態。 保護後，這些設備可以配 置為在每次通話開始時播放安全聲音。

• 受保護的設備：

  若要將安全電話的狀態變更為受保護，請執行下列步驟：

  1. 在 Cisco Unified Communications Manager Administration 中，選擇“ 設備 > 電話”。
  2. 尋找您要設定的電話。
  3. 在「電話組態」視窗中，選取 [受保護 裝置] 核取方塊。
  4. 按一下儲存。

• 播放安全指示音：

  若要讓受保護的手機播放安全或不安全的指示音：

  1. 在中選取 Cisco Unified Communications Manager Administration [系統] > [服務參數]。
  2. 選取伺服器，然後選取Cisco CallManager 服務。
  3. 在「叢集範圍參數 (功能-安全音色)」區域中，將「播放音調」 設定為「表示安全/非安全通話狀態」 設定為 True。
  4. 按一下儲存。

由於範圍內的所有 WLAN 裝置都可以接收所有其他 WLAN 流量，因此在 WLAN 中安全的語音通訊很重要。 為確保入侵者不會操縱或攔截語音流量，Cisco SAFE 安全性架構支援電話。 有關網路安全性的詳細資訊，請參閱 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 無線 IP 電話解決方案通過使用電話支援的以下身份驗證方法提供無線網路安全性，防止未經授權的登錄和通信受損。

• 開放驗證：任何無線裝置都可以在開放系統中請求驗證。 接收請求的 AP 可以將驗證授予任何請求者或僅授予使用者清單上的請求者。 無線設備和存取點 (AP) 之間的通訊可能不會加密。

• 可擴展身份驗證協定 - 透過安全性隧道進行靈活驗證 (EAP) 身份驗證：此用戶端 - 伺服器安全架構在 AP 和 RADIUS 伺服器 (例如身分服務引擎 (ISE)) 之間的傳輸級安全性 (TLS) 隧道內加密 #dns。

  TLS 通道使用受保護存取認證 (PAC) 在用戶端（電話）與 RADIUS 伺服器之間驗證。 伺服器將授權單位 ID (AID) 傳送至用戶端（電話），進而選取適當的 PAC。 用戶端（電話）將 PAC-Opaque 返回至 RADIUS 伺服器。 伺服器使用主密鑰解密 PAC 。 這兩個端點即包含 PAC 金鑰並建立 TLS 通道。 EAP-FAST 支援自動 PAC 佈建，但您需在 RADIUS 伺服器上啟用它。

  在 ISE 中，預設情況下，PAC 將在一周後過期。 如果電話具有過期的 PAC，電話取得新的 PAC 時，向 RADIUS 伺服器驗證需要更長時間。 若要避免 PAC 佈建延遲，請在 ISE 或 RADIUS 伺服器上將 PAC 到期期間設定為 90 天或更長時間。

• 可延伸驗證通訊協定—傳輸層安全性 (EAP-TLS) 的驗證：EAP-TLS 需要用戶端憑證才能進行驗證與網路存取。 對於無線 TLS，用戶端憑證可以是 MIC, LSC, 或使用者安裝的憑證。

• 受保護的可延伸驗證通訊協定 (PEAP)：用戶端 (電話) 與 RADIUS 伺服器之間的 Cisco 專屬密碼型相互驗證架構。 手機可以使用 PEAP 與無線網路進行身份驗證。 同時支援 PEAP-MSCHAPV2 和 PEAP-GTC 驗證方法。

• 預共用金鑰 (PSK)：電話支援 ASCII 和十六進位 (HEX) 格式。 設定 WPA2/SAE 預共用金鑰時，您必須使用這些格式。

  ASCII：長度為 8 到 63 個字元 (0-9、小寫 a-z、大寫 A-Z 和特殊字元) 的 ASCII 字元字串。 例如， GREG123567@9ZX&W。

  十六進位：長度為 64 個十六進位數字的十六進位字元字串 (0-9、a-f 或 A-F)。

下列驗證方案使用 RADIUS 伺服器管理驗證金鑰：

• WPA2/WPA3：使用 RADIUS 伺服器資訊產生用於驗證的唯一金鑰。 由於這些金鑰是在集中式 RADIUS 伺服器上生成，因此 WPA2/WPA3 比儲存在 AP 和電話上的 WPA 預共用金鑰提供更高的安全性。

• 快速安全漫遊︰使用 RADIUS 伺服器和無線網域伺服器 (WDS) 資訊來管理和驗證金鑰。 WDS 為啟用了 FT 的用戶端設備創建安全憑據緩存，以實現快速安全的重新身份驗證。

使用 WPA2/WPA3，加密金鑰不會輸入在電話上，但會自動在 AP 與電話之間衍生。 但是，需在每部電話上輸入用於驗證的 EAP 使用者名稱和密碼。

為了幫助保護透過無線連結的語音流量，電話支援基於 AES 的加密以進行 WPA2/WPA3 驗證。 AES 是由 NIST 標準化的對稱分組密碼。 AES 使用固定的 128 位塊大小，並支援 128 位、192 位和 256 位的金鑰大小。 在 Wi-Fi 網络中，AES 由 CCMP 或 GCMP 等密碼套件使用，而身份驗證則由 PSK、SAE 或 802.1X/EAP 單獨提供，具體取決於配置的 WLAN 安全模式。 支援的密碼套件和金鑰大小視電話機型和 WLAN 組態而定。

當手機使用 AES 加密時，信號 SIP 封包和語音即時傳 輸通訊協定 (RTP) 封包都會在 AP 和手機之間加密。

在無線 LAN 內設定驗證和加密架構。 在網路中和 AP 上設定 VLAN，並指定不同的驗證和加密的組合。 SSID 與 VLAN 和特定驗證及加密架構關聯。 為了讓無線用戶端裝置成功進行身份驗證，您必須在 AP 和手機上設定相同的 SSID 及其身份驗證和加密方案。

部分驗證架構需要特定的加密類型。

下表中的身份驗證和加密方案顯示了對應於 AP 組態的 Cisco Wireless Phone 9821 的網路組態選項。

Cisco 無線電話 9821 支援有線網络的 802.1X 身份驗證。 當電話透過支援的 USB 至乙太網路介面卡連接至桌上型充電器時，通常會在自動設定 期間 使用此方法。

支援有線網路上的 802.1X 身份驗證需要以下幾個元件：

• Cisco IP 電話︰電話發起存取網路的請求。 Cisco IP 電話包含 802.1X 要求。 此要求允許網路管理員控制 IP 電話與 LAN 交換器連接埠的連接。 最新版電話 802.1X 要求使用 EAP-FAST 與 EAP-TLS 選項進行網路驗證。

• 身份驗證伺服器：身份驗證伺服器和交換機都必須使用 RADIUS 共用密鑰進行配置。

• 交換器：交換器必須支援 802.1X，以便它可以充當驗證器並在電話和驗證伺服器之間中繼 EAP 訊息。 交換完成後，交換器同意或拒絕電話存取網路。

Cisco IP 電話與 Cisco Catalyst 交換器通常使用 Cisco Discovery Protocol (CDP) 來相互識別及確定各項參數，例如 VLAN 分配與線內電源要求。

您需執行下列動作來設定 802.1X。

• 配置 CDP/LLDP 語音 VLAN 旁路。

• 在為電話上的有線網路啟用 802.1X 驗證之前，請先設定驗證伺服器和交換器。

• 設定語音 VLAN：由於 802.1X 標準不考慮 VLAN，您應根據交換器支援情況來進行此設定。

  • 已啟用：如果您使用的是支援多域身份驗證的交換機，則可以將其配置為使用語音 VLAN。
  • 已停用：若交換器不支援多網域驗證，則停用語音 VLAN，並考慮將通訊埠指定到原生 VLAN。

• Cisco Wireless Phone 9821 的 PID 前綴與其他 Cisco 電話的前綴不同。 若要讓您的電話透過 802.1X 驗證，請設定 Radius· 使用者名參數以包含您的 Cisco 無線電話 9821。

  例如，Cisco Wireless Phone 9821 的 PID 為 WP-9821。 您可以設定 半徑· 在以下兩個部分中，使用者名以 WP 開頭或 包含 WP ：

  • 原則 > 條件 > 庫條件

  • 原則 > 原則集 > 授權原則 > 授權規則 1