Certifikát vlastného zariadenia (CDC) na 802.1X

Manuálna inštalácia certifikátu vlastného zariadenia

Certifikát vlastného zariadenia (CDC) môžete do telefónu nainštalovať manuálne nahraním certifikátu z webovej stránky správy telefónu.

Skôr než začnete

Pred inštaláciou certifikátu vlastného zariadenia do telefónu musíte mať:

  • Súbor certifikátu (.p12 alebo .pfx) uložený v počítači. Súbor obsahuje certifikát a súkromný kľúč.
  • Výpis hesla certifikátu. Heslo sa používa na dešifrovanie súboru certifikátu.
1

Prejdite na webovú stránku správy telefónu.

2

Vyberte položku Certifikát.

3

V časti Pridať certifikát kliknite na tlačidlo Prehľadávať....

4

V počítači vyhľadajte certifikát.

5

Do poľa Extrahovať heslo zadajte heslo pre výpis certifikátu.

6

Kliknite na položku Nahrať.

Ak je súbor certifikátu a heslo správne, zobrazí sa správa "Certifikát bol pridaný.". V opačnom prípade nahrávanie zlyhá s chybovým hlásením oznamujúcim, že certifikát nie je možné nahrať.
7

Ak chcete skontrolovať podrobnosti o nainštalovanom certifikáte, kliknite na tlačidlo Zobraziť v časti Existujúce certifikáty .

8

Ak chcete odstrániť nainštalovaný certifikát z telefónu, kliknite na položku Odstrániť v časti Existujúce certifikáty .

Po kliknutí na tlačidlo sa operácia odstránenia spustí okamžite bez potvrdenia.

Ak bude certifikát úspešne odstránený, zobrazí sa správa "Certifikát bol odstránený.".

Automatická inštalácia certifikátu vlastného zariadenia pomocou SCEP

Parametre protokolu SCEP (Simple Certificate Enrollment Protocol) môžete nastaviť na automatickú inštaláciu certifikátu vlastného zariadenia (CDC), ak nechcete manuálne nahrávať súbor certifikátu alebo nemáte súbor certifikátu.

Keď sú parametre SCEP správne nakonfigurované, telefón odosiela požiadavky na server SCEP a certifikát CA je overený zariadením pomocou definovaného odtlačku prsta.

Skôr než začnete

Pred vykonaním automatickej inštalácie certifikátu vlastného zariadenia pre telefón musíte mať:

  • Adresa servera SCEP
  • SHA-1 alebo SHA-256 odtlačok koreňového certifikátu CA pre server SCEP
1

Prejdite na webovú stránku správy telefónu.

2

Vyberte položku Certifikát.

3

V časti Konfigurácia SCEP 1 nastavte parametre podľa popisu v nasledujúcej tabuľke Parametre pre konfiguráciu SCEP.

4

Kliknite na možnosť Odoslať všetky zmeny.

Parametre pre konfiguráciu SCEP

Nasledujúca tabuľka definuje funkciu a použitie parametrov konfigurácie SCEP v časti Konfigurácia SCEP 1 pod záložkou Certifikát vo webovom rozhraní telefónu. Definuje tiež syntax reťazca, ktorý sa pridá do konfiguračného súboru telefónu (cfg.xml) na konfiguráciu parametra.

Tabuľka 1. Parametre pre konfiguráciu SCEP
ParameterPopis
Server

Adresa servera SCEP. Tento parameter je povinný.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <CDC_Server_1_ ua="na">http://10.79.57.91</CDC_Server_1_>

  • Na webovej stránke telefónu zadajte adresu servera SCEP.

Platné hodnoty: URL alebo IP adresa. Schéma HTTPS nie je podporovaná.

Predvolené: prázdne

Koreňový odtlačok CA

SHA256 alebo SHA1 odtlačok koreňovej CA na overenie počas procesu SCEP. Tento parameter je povinný.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>

  • Na webovej stránke telefónu zadajte platný odtlačok prsta.

Predvolené: prázdne

Heslo výzvy

Heslo výzvy na autorizáciu Certificate Authority (CA) voči telefónu počas registrácie certifikátu cez SCEP. Tento parameter je voliteľný.

Podľa aktuálneho prostredia SCEP sa správanie hesla výzvy líši.

  • Ak telefón dostane certifikát od Cisco RA, ktorý komunikuje s certifikačnou autoritou, heslo výzvy nie je v certifikačnej autorite podporované. V tomto prípade používa Cisco RA MIC/SUDI telefónu na autentifikáciu s cieľom získať prístup do certifikačnej autority. Telefón používa MIC / SUDI na počiatočnú registráciu aj obnovenie certifikátu.
  • Ak telefón získa certifikát priamou komunikáciou s certifikačnou autoritou, heslo výzvy je podporované v certifikačnej autorite. Ak je nakonfigurovaný, použije sa iba na počiatočnú registráciu. Na obnovenie certifikátu sa namiesto neho použije nainštalovaný certifikát.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <CDC_Challenge_Password_1_ ua="na"></CDC_Challenge_Password_1_>

    Heslo je v konfiguračnom súbore maskované.

  • Na webovej stránke telefónu zadajte heslo výzvy.

Predvolené: prázdne

Konfigurácia parametrov SCEP prostredníctvom možnosti DHCP 43

Okrem registrácie certifikátu SCEP pomocou manuálnych konfigurácií na webovej stránke telefónu môžete použiť aj možnosť DHCP 43 na vyplnenie parametrov z DHCP servera. Možnosť DHCP 43 je vopred nakonfigurovaná s parametrami SCEP, neskôr môže telefón načítať parametre zo servera DHCP na vykonanie registrácie certifikátu SCEP.

  • Konfigurácia parametrov SCEP pomocou možnosti 43 DHCP je k dispozícii len pre telefón, v ktorom sa vykonáva obnovenie továrenských nastavení.
  • Telefóny nesmú byť umiestnené v sieti, ktorá podporuje možnosť 43 aj vzdialené zriaďovanie (napríklad možnosti 66,160,159,150 alebo cloudové poskytovanie). V opačnom prípade sa môže stať, že telefóny nebudú mať konfigurácie možnosti 43.

Ak chcete zaregistrovať certifikát SCEP konfiguráciou parametrov SCEP v DHCP možnosť 43, postupujte nasledovne:

  1. Pripravte prostredie SCEP.

    Informácie o nastavení prostredia SCEP nájdete v dokumentácii k serveru SCEP.

  2. Nastavte DHCP možnosť 43 (definovanú v 8.4 Informácie špecifické pre dodávateľa, RFC 2132).

    Čiastkové možnosti (10–15) sú vyhradené pre metódu:

    Parameter na webovej stránke telefónuČiastková možnosťTypDĺžka (bajt)Povinný
    Režim FIPS10Boolean1Nie*
    Server11Reťazec208 - dĺžka (heslo výzvy)Áno
    Koreňový odtlačok CA12binárny20 alebo 32Áno
    Heslo výzvy13Reťazec208 - dĺžka (server)Nie*
    Povoliť overenie 802.1X14Boolean1Nie
    Vybrať certifikát15Nepodpísaná 8-bitová verzia1Nie

    Keď použijete možnosť DHCP 43, všimnite si nasledujúce charakteristiky metódy:

    • Čiastkové možnosti (10 – 15) sú vyhradené pre certifikát vlastného zariadenia (CDC).
    • Maximálna dĺžka možnosti DHCP 43 je 255 bajtov.
    • Maximálna dĺžka hesla Server + výzva musí byť menšia ako 208 bajtov.
    • Hodnota režimu FIPS musí byť konzistentná s konfiguráciou poskytovania pri zaradení. V opačnom prípade telefón nedokáže po zaradení načítať predtým nainštalovaný certifikát. Špeciálne
      • Ak bude telefón zaregistrovaný v prostredí, v ktorom je vypnutý režim FIPS, nie je potrebné konfigurovať parameter Režim FIPS v možnosti DHCP 43. Režim FIPS je predvolene vypnutý.
      • Ak bude telefón zaregistrovaný v prostredí, v ktorom je povolený režim FIPS, musíte režim FIPS povoliť v DHCP, možnosť 43. Podrobnosti nájdete v časti Zapnutie režimu FIPS.
    • Heslo v možnosti 43 je v nešifrovanom texte.

      Ak je heslo výzvy prázdne, telefón použije MIC/SUDI na počiatočnú registráciu a obnovenie certifikátu. Ak je nakonfigurované heslo výzvy, použije sa iba pre počiatočnú registráciu a nainštalovaný certifikát sa použije na obnovenie certifikátu.

    • Povoliť overenie 802.1X a výber certifikátu sa používajú len pre telefóny v káblovej sieti.
    • Na identifikáciu modelu zariadenia sa používa možnosť 60 protokolu DHCP (Vendor Class Identifier).

    V nasledujúcej tabuľke je uvedený príklad možnosti DHCP 43 (čiastkové možnosti 10 – 15):

    Čiastková možnosť desatinné/hexadecimálneDĺžka hodnoty (bajt) desatinné/hexadecimálneHodnotaHexadecimálna hodnota
    10/0a1/011 (0: Vypnuté; 1: Povolené)01
    11/0b18/12http://10.79.57.91687474703a2f2f31302e37392e35372e3931
    12/0c20/1412040870625C5B755D73F5925285F8F5FF5D55AF12040870625C5B755D73F5925285F8F5FF5D55AF
    13/0d16/10D233CCF9B9952A1544323333434346394239393532413135
    14/0e1/011 (0: Nie; 1: Áno)01
    15/0f1/011 (0: Nainštalovaná výroba; 1: Nainštalovaná na mieru) 01

    Súhrn hodnôt parametrov:

    • Režim FIPS = povolený

    • Server = http://10.79.57.91

    • Odtlačok koreňovej CA = 12040870625C5B755D73F5925285F8F5FF5D55AF

    • Heslo výzvy = D233CCF9B9952A15

    • Povoliť overenie 802.1X = Áno

    • Výber certifikátu = Vlastné nainštalované

    Syntax konečnej hexadecimálnej hodnoty je: {<suboption><length><value>}...

    Podľa vyššie uvedených hodnôt parametrov je konečná hexadecimálna hodnota nasledovná:

    0A01010B12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

  3. Nakonfigurujte možnosť DHCP 43 na serveri DHCP.

    Tento krok poskytuje príklad konfigurácie možnosti 43 protokolu DHCP v registri siete Cisco.

    1. Pridať množinu definícií možností DHCP.

      Reťazec možností dodávateľa je názov modelu telefónov IP. Platná hodnota je: DP-9841, DP-9851, DP-9861, DP-9871 alebo CP-8875.

    2. Pridajte možnosť DHCP 43 a vedľajšie možnosti do množiny definícií možností DHCP.

      Príklad:

      Snímka obrazovky s definíciami možnosti 43 DHCP v registri siete Cisco

    3. Pridajte možnosti 43 do politiky DHCP a nastavte hodnotu nasledovne:

      Príklad:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

    4. Overte nastavenia. Wireshark môžete použiť na zachytenie stopy sieťovej prevádzky medzi telefónom a službou.
  4. Vykonajte obnovenie výrobných nastavení telefónu.

    Po resetovaní telefónu sa automaticky vyplnia parametre Server, Root CA Fingerprint a Challenge Password . Tieto parametre sa nachádzajú v časti SCEP Konfigurácia 1 z Certificate > Custom na webovej stránke správy telefónu.

    Ak chcete skontrolovať podrobnosti o nainštalovanom certifikáte, kliknite na tlačidlo Zobraziť v časti Existujúce certifikáty .

    Ak chcete skontrolovať stav inštalácie certifikátu, vyberte Certificate > Custom Cert Status. Stav preberania 1 zobrazuje najnovší výsledok. Ak sa počas registrácie certifikátu vyskytne nejaký problém, stav sťahovania môže ukázať dôvod problému na účely riešenia problémov.

    Ak overenie heslom výzvy zlyhá, používatelia budú vyzvaní na zadanie hesla na obrazovke telefónu.
  5. (Voliteľné): Ak chcete odstrániť nainštalovaný certifikát z telefónu, kliknite na Odstrániť v časti Existujúce certifikáty .
    Po kliknutí na tlačidlo sa operácia odstránenia spustí okamžite bez potvrdenia.

Obnovenie certifikátu SCEP

Certifikát zariadenia je možné automaticky obnoviť procesom SCEP.

  • Telefón každé 4 hodiny kontroluje, či platnosť certifikátu vyprší o 15 dní. Ak áno, telefón automaticky spustí proces obnovenia certifikátu.
  • Ak je heslo výzvy prázdne, telefón použije MIC/SUDI na počiatočnú registráciu aj obnovenie certifikátu. Ak je heslo výzvy nakonfigurované, používa sa iba na počiatočnú registráciu, existujúci/nainštalovaný certifikát sa použije na obnovenie certifikátu.
  • Telefón neodstráni starý certifikát zariadenia, kým nenačíta nový.
  • Ak obnovenie certifikátu zlyhá, pretože vyprší platnosť certifikátu zariadenia alebo certifikačnej autority, telefón automaticky spustí počiatočnú registráciu. Medzitým, ak overenie hesla výzvy zlyhá, na obrazovke telefónu sa zobrazí obrazovka na zadanie hesla a používatelia sú vyzvaní, aby na telefóne zadali heslo výzvy.

Nastavenie minimálnej verzie TLS pre klienta a server

V predvolenom nastavení je minimálna verzia TLS pre klienta a server 1.2. Znamená to, že klient a server súhlasia s vytvorením spojení s protokolom TLS 1.2 alebo novším. Podporovaná maximálna verzia TLS pre klienta a server je 1.3. Po nakonfigurovaní sa na vyjednávanie medzi klientom TLS a serverom TLS použije minimálna verzia protokolu TLS.

Môžete nastaviť minimálnu verziu protokolu TLS pre klienta a server, napríklad 1.1, 1.2 alebo 1.3.

Skôr než začnete

Uistite sa, že server TLS podporuje nakonfigurovanú minimálnu verziu protokolu TLS. Môžete sa poradiť so správcom systému riadenia hovorov.
1

Prejdite na webovú stránku správy telefónu.

2

Vyberte položku Voice > System.

3

V časti Nastavenie zabezpečenia nakonfigurujte parameter TLS Client Min Version.

  • TLS 1.1: Klient TLS podporuje verzie protokolu TLS od verzie 1.1 do 1.3.

    Ak je verzia protokolu TLS na serveri nižšia ako 1.1, pripojenie sa nedá nadviazať.

  • TLS 1.2 (predvolené nastavenie): Klient TLS podporuje protokoly TLS 1.2 a 1.3.

    Ak je verzia protokolu TLS na serveri nižšia ako 1.2, napríklad 1.1, pripojenie sa nedá nadviazať.

  • TLS 1.3: Klient TLS podporuje iba protokol TLS 1.3.

    Ak je verzia protokolu TLS na serveri nižšia ako 1.3, napríklad 1.2 alebo 1.1, pripojenie sa nedá nadviazať.

    Ak chcete nastaviť parameter "TLS Client Min Version" na "TLS 1.3", uistite sa, že strana servera podporuje TLS 1.3. Ak strana servera nepodporuje protokol TLS 1.3, môže to spôsobiť kritické problémy. Na telefónoch napríklad nie je možné vykonať operácie poskytovania.

Tento parameter môžete nakonfigurovať aj v konfiguračnom súbore (cfg.xml):

<TLS_Client_Min_Version ua="na">TLS 1,2</TLS_Client_Min_Version>

Povolené hodnoty: TLS 1,1, TLS1,2 a TLS 1,3.

Predvolené nastavenie: TLS 1.2

4

V časti Nastavenie zabezpečenia nakonfigurujte parameter TLS Server Min Version.

Webex Calling nepodporuje TLS 1.1.
  • TLS 1.1: Server TLS podporuje verzie TLS od 1.1 do 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.1, pripojenie nie je možné nadviazať.

  • TLS 1.2 (predvolené nastavenie): Server TLS podporuje TLS 1.2 a 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.2, napríklad 1.1, pripojenie nie je možné nadviazať.

  • TLS 1.3: Server TLS podporuje iba TLS 1.3.

    Ak je verzia TLS v klientovi nižšia ako 1.3, napríklad 1.2 alebo 1.1, pripojenie nie je možné nadviazať.

Tento parameter môžete nakonfigurovať aj v konfiguračnom súbore (cfg.xml):

<TLS_Server_Min_Version ua="na">TLS 1,2</TLS_Server_Min_Version>

Povolené hodnoty: TLS 1,1, TLS1,2 a TLS 1,3.

Predvolené nastavenie: TLS 1.2

5

Kliknite na možnosť Odoslať všetky zmeny.

Zapnutie režimu FIPS

Telefón môžete nastaviť tak, aby bol v súlade s federálnymi normami na spracovanie informácií (FIPS).

FIPS je súbor štandardov, ktoré popisujú spracovanie dokumentov, šifrovacie algoritmy a ďalšie štandardy informačných technológií pre použitie v rámci nevojenskej vlády a vládnymi dodávateľmi a dodávateľmi, ktorí spolupracujú s agentúrami. CiscoSSL FOM (FIPS Object Module) je starostlivo definovaný softvérový komponent navrhnutý na kompatibilitu s knižnicou CiscoSSL, takže produkty využívajúce knižnicu CiscoSSL a API je možné konvertovať na používanie kryptografie overenej podľa normy FIPS 140-2 s minimálnym úsilím.

1

Prejdite na webovú stránku správy telefónu.

2

Vyberte položku Voice > System.

3

V časti Nastavenie zabezpečenia vyberte z parametra režimu FIPS možnosť Áno alebo Nie .

4

Kliknite na možnosť Odoslať všetky zmeny.

Po zapnutí FIPS budú v telefóne bez problémov fungovať nasledujúce funkcie:
  • Autentifikácia obrazu
  • Zabezpečené úložisko
  • Šifrovanie konfiguračného súboru
  • TLS:
    • HTTP
    • Nahrať PRT
    • Inovácia firmvéru
    • Resynchronizácia profilu
    • Palubný servis
    • Webex onboarding
    • SIP cez TLS
    • 802.1x (káblové)
  • Súhrn SIP (RFC 8760)
  • SRTP
  • Webex protokoly hovorov a adresár Webex
  • Jedno tlačidlo na stlačenie (OBTP)

Manuálne odstránenie certifikátu zabezpečenia

Certifikát zabezpečenia môžete z telefónu odstrániť manuálne, ak nie je k dispozícii protokol SCEP (Simple Certificate Enrollment Protocol).

1

Na webovej stránke správy telefónu vyberte položku Certifikáty.

2

Vyhľadajte certifikát na stránke Certifikáty .

3

Kliknite na položku Odstrániť.

4

Po dokončení procesu odstránenia reštartujte telefón.

Nastavenie hesla používateľa a správcu

Po prvej registrácii telefónu v systéme riadenia hovorov alebo po obnovení výrobných nastavení telefónu musíte nastaviť používateľské heslo a heslo správcu, aby ste zvýšili zabezpečenie telefónu. Po nastavení hesiel máte prístup k webovému rozhraniu telefónu.

V predvolenom nastavení sú heslá používateľa a správcu prázdne. Preto problém "Neposkytnite žiadne heslo" nájdete na obrazovke telefónu Nastavenia > Problémy a diagnostika > Problémy .

1

Prístup na webovú stránku správy telefónu

2

Vyberte položku Voice > System.

3

(Voliteľné) V časti Konfigurácia systému nastavte parameter Upozornenia na heslo zobrazenia na hodnotu Áno a potom kliknite na tlačidlo Odoslať všetky zmeny.

Môžete tiež povoliť parametre v konfiguračnom súbore telefónu (cfg.xml).

<Display_Password_Warnings ua="na">Áno</Display_Password_Warnings>

Predvolená hodnota: Áno

Možnosti: Áno|Nie

Ak je parameter nastavený na hodnotu Nie, upozornenie na heslo sa na obrazovke telefónu nezobrazí.

4

Vyhľadajte parameter Používateľské heslo alebo Heslo správcu a kliknite na položku Zmeniť heslo vedľa parametra.

5

Zadajte aktuálne používateľské heslo do poľa Staré heslo .

Ak heslo nemáte, nechajte pole prázdne. Predvolená hodnota je prázdna.
6

Zadajte nové heslo do poľa Nové heslo .

Platné pravidlá pre heslá:

  • Heslo musí obsahovať najmenej 8 až 127 znakov.
  • Kombinácia (3/4) veľkého písmena, malého dolného písmena, čísla a špeciálneho znaku.
  • Priestor nie je povolený.
Ak nové heslo nespĺňa požiadavky, nastavenie bude zamietnuté.
7

Kliknite na tlačidlo Odoslať.

Na webovej stránke sa zobrazí správa Heslo bolo úspešne zmenené. Webová stránka sa obnoví o niekoľko sekúnd.

Po nastavení hesla používateľa zobrazí tento parameter v súbore konfigurácie telefónu XML (cfg.xml) nasledovné:

<!-- <Admin_Password ua="na">*************</Admin_Password> <User_Password ua="rw">*************</User_Password> -->

Overenie 802.1X

Cisco IP Phones podporuje autentifikáciu 802.1X.

Prepínače Cisco IP Phones a Cisco Catalyst tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určenie parametrov, ako je alokácia VLAN a požiadavky na inline napájanie. CDP neidentifikuje lokálne pripojené pracovné stanice. Cisco IP Phones poskytnúť mechanizmus prechodu EAPOL-om. Tento mechanizmus umožňuje pracovnej stanici pripojenej k Cisco IP Phone odovzdávať správy EAPOL do autentifikátora 802.1X na prepínači LAN. Mechanizmus priechodu zabezpečuje, že telefón IP nefunguje ako prepínač LAN na autentifikáciu koncového bodu údajov pred prístupom do siete.

Cisco IP Phones tiež poskytnúť proxy mechanizmus odhlásenia EAPOL. Ak sa lokálne pripojený počítač odpojí od telefónu IP, prepínač siete LAN nevidí fyzické prepojenie zlyhané, pretože spojenie medzi prepínačom LAN a telefónom IP je zachované. Aby sa nenarušila integrita siete, telefón IP odošle prepínaču v mene nadväzujúceho počítača správu EAPOL-Odhlásenie, ktorá spustí prepínač siete LAN na vymazanie položky overenia pre nadväzujúci počítač.

Podpora overovania 802.1X vyžaduje niekoľko komponentov:

  • Cisco IP Phone: Telefón iniciuje požiadavku na prístup k sieti. Cisco IP Phones obsahovať prosebníka 802.1X. Tento prosebník umožňuje správcom siete kontrolovať pripojenie IP telefónov k portom prepínača LAN. Aktuálne vydanie prosepplikanta telefónu 802.1X využíva možnosti EAP-FAST a EAP-TLS na overovanie siete.

  • Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným kľúčom, ktorý autentifikuje telefón.

  • Prepínač: Prepínač musí podporovať štandard 802.1X, aby mohol fungovať ako autentifikátor a prenášať správy medzi telefónom a overovacím serverom. Po dokončení výmeny prepínač udelí alebo zakáže telefónu prístup k sieti.

Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.

  • Pred zapnutím overovania 802.1X v telefóne nakonfigurujte ostatné súčasti.

  • Konfigurácia portu PC: Štandard 802.1X neberie do úvahy VLAN, a preto odporúča, aby bolo na konkrétnom porte prepínača autentifikované iba jedno zariadenie. Niektoré prepínače však podporujú viacdoménové overovanie. Konfigurácia prepínača určuje, či je možné pripojiť počítač k portu PC telefónu.

    • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete zapnúť port počítača a pripojiť k nemu počítač. V tomto prípade Cisco IP Phones podporovať proxy EAPOL-Logoff na monitorovanie autentifikačných výmen medzi prepínačom a pripojeným počítačom.

      Ďalšie informácie o podpore štandardu IEEE 802.1X na prepínačoch Cisco Catalyst nájdete v príručkách konfigurácie prepínačov Cisco Catalyst na adrese:

      http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

    • Vypnuté: Ak prepínač nepodporuje viacero zariadení kompatibilných so štandardom 802.1X na rovnakom porte, mali by ste vypnúť port PC, keď je povolené overovanie 802.1X. Ak tento port nevypnete a potom sa k nemu pokúsite pripojiť počítač, prepínač zakáže sieťový prístup k telefónu aj počítaču.

  • Konfigurovať hlasovú sieť VLAN: Keďže štandard 802.1X nezohľadňuje siete VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínačov.
    • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete pokračovať v používaní hlasovej siete VLAN.
    • Vypnuté: Ak prepínač nepodporuje overovanie viacerých domén, zakážte hlasovú sieť VLAN a zvážte priradenie portu k natívnej sieti VLAN.
  • (Len pre stolový telefón Cisco Phone 9800 Series)

    Telefón Cisco Desk Phone 9800 Series má v PID inú predvoľbu ako pre ostatné telefóny Cisco. Ak chcete, aby váš telefón prešiel overením 802.1X, nastavte okruh· Parameter Meno používateľa na zahrnutie vášho telefónu Cisco Desk Phone 9800 Series.

    Napríklad PID telefónu 9841 je DP-9841; môžete nastaviť polomer· Meno používateľa na začiatok na DP alebo obsahuje DP. Môžete ho nastaviť v oboch nasledujúcich častiach:

    • Zásada > Podmienky > Podmienky knižnice

    • Politika > Množiny politík> Autorizačná politika > Autorizačné pravidlo 1

Zapnutie overovania 802.1X

Keď je povolené overovanie 802.1X, telefón používa overenie 802.1X na vyžiadanie prístupu k sieti. Keď je autentifikácia 802.1X vypnutá, telefón používa Cisco Discovery Protocol (CDP) na získanie prístupu VLAN a k sieti. Stav a zmenu transakcie si môžete pozrieť aj v ponuke na obrazovke telefónu.

Keď je povolené overovanie 802.1X, môžete tiež vybrať certifikát zariadenia (MIC/SUDI alebo vlastný) pre počiatočnú registráciu a obnovenie certifikátu. Zvyčajne MIC pre Cisco Video Phone 8875, SUDI pre Cisco Desk Phone 9800 Series. CDC je možné použiť na overenie iba v štandarde 802.1x.

1

Ak chcete povoliť overenie 802.1X, vykonajte jednu z nasledujúcich akcií:

  • Vo webovom rozhraní telefónu vyberte položku Voice>System (Hlasový systém) a nastavte parameter Enable 802.1X Authentication (Povoliť overenie 802.1X) na hodnotu Áno. Potom kliknite na položku Odoslať všetky zmeny.
  • Do konfiguračného súboru (cfg.xml) zadajte reťazec v tomto formáte:

    <Enable_802.1X_Authentication ua="rw">Yes</Enable_802.1X_Authentication>

    Platné hodnoty: Áno|Nie

    Predvolené: Nie

  • V telefóne stlačte Nastavenia the Settings hard keya prejdite na položku Nastavenia siete a služby > Nastavenia zabezpečenia> overenie 802.1X. Prepnite pole Overenie zariadenia do polohy Zapnuté a potom vyberte položku Použiť.

    Ďalšie informácie o parametroch nájdete v téme Parametre pre nastavenie HTTP proxy.

2

Vyberte certifikát (MIC alebo vlastný) pre overenie 802.1X na webovej stránke telefónu.

  • V prípade káblovej siete vyberte možnosť Hlas > systém a z rozbaľovacieho zoznamu vyberte typ certifikátu Výber certifikátu v časti Autentifikácia 802.1X.

    Tento parameter môžete nakonfigurovať aj v konfiguračnom súbore (cfg.xml):

    <Certificate_Select ua="rw">Vlastná inštalácia</Certificate_Select>

    Platné hodnoty: Inštalovaná výroba|Vlastné nainštalované

    Predvolené nastavenie: Výroba je nainštalovaná

  • V prípade bezdrôtovej siete vyberte možnosť Hlas>Systém, z rozbaľovacieho zoznamu vyberte typ certifikátu Výber certifikátu v časti Wi-Fi Profil 1.

    Tento parameter môžete nakonfigurovať aj v konfiguračnom súbore (cfg.xml):

    <Wi-Fi_Certificate_Select_1_ ua="rw">Vlastné nainštalované</Wi-Fi_Certificate_Select_1_>

    Platné hodnoty: Inštalovaná výroba|Vlastné nainštalované

    Predvolené nastavenie: Výroba je nainštalovaná

Informácie o výbere typu certifikátu na obrazovke telefónu sa nachádzajú v téme Pripojenie telefónu k sieti Wi-Fi.

Parametre overovania 802.1X

Parametre

Možnosti

Predvolené

Popis

Overenie zariadenia

Zapnuté

Off

Off

Povoľte alebo zakážte overovanie 802.1X v telefóne.

Nastavenie parametrov je možné zachovať po prvej registrácii telefónu (OOB).

Stav transakcie

Vypnuté

Zobrazuje stav overenia 802.1X. Štát môže byť (nie výlučne):

  • Overovanie: Označuje, že prebieha proces autentifikácie.
  • Overené: Označuje, že telefón je overený.
  • Vypnuté: Označuje, že v telefóne je zakázané overovanie pomocou protokolu 802.1x.

Protokol

Žiadne

Zobrazuje EAP metódu, ktorá sa používa na overenie 802.1X. Protokol môže byť EAP-FAST alebo EAP-TLS.

Typ certifikátu používateľa

Inštalovaná výroba

Vlastné nainštalované

Inštalovaná výroba

Vyberte certifikát pre overenie 802.1X počas počiatočnej registrácie a obnovenia certifikátu.

  • Inštalácia výroby – používa sa certifikát MIC (Manufacturing Installed Certificate) a identifikátor SUDI (Secure Unique Device Identifier).
  • Vlastná inštalácia – používa sa certifikát vlastného zariadenia (CDC). Tento typ certifikátu je možné nainštalovať buď manuálnym odovzdaním na webovú stránku telefónu, alebo inštaláciou zo servera SCEP (Simple Certificate Enrollment Protocol).

Tento parameter sa v telefóne zobrazuje iba vtedy, keď je povolené overovanie zariadenia.

Zobrazenie informácií o nastaveniach zabezpečenia v telefóne

Tabuľka 2. Parametre pre nastavenie zabezpečenia

Parametre

Popis

Overenie 802.1XZapína alebo vypína overovanie IEEE 802.1X.

Podrobnosti nájdete v časti Povolenie overovania 802.1X.

Spätná kompatibilita s WPA

Určuje, či je najstaršia verzia chráneného prístupu (Wi-Fi Protected Access (WPA) kompatibilná s telefónom na pripojenie k bezdrôtovej sieti alebo prístupovému bodu (AP).

  • Ak je táto možnosť povolená, telefón môže vyhľadávať a pripájať sa k bezdrôtovým sieťam so všetkými podporovanými verziami WPA vrátane WPA, WPA2 a WPA3. Okrem toho môže telefón vyhľadávať prístupové body a pripájať sa k nim, ktoré podporujú iba najstaršiu verziu WPA.
  • Ak je táto možnosť zakázaná (predvolené nastavenie), telefón môže vyhľadávať a pripájať sa iba k bezdrôtovým sieťam a prístupovým bodom, ktoré podporujú protokoly WPA2 a WPA3.

Táto funkcia je k dispozícii len na telefónoch 9861/9871/8875.

Skôr než začnete

Informácie o nastaveniach zabezpečenia si môžete pozrieť v ponuke telefónu. Dostupnosť informácií závisí od nastavení siete vo vašej organizácii.

1

Stlačte tlačidlo Nastaveniathe Settings key.

2

Prejdite do časti Nastavenia siete a služby > Zabezpečenie.

3

V nastaveniach zabezpečenia si pozrite informácie o zabezpečení.

Nastavenie servera proxy

Telefón môžete nakonfigurovať tak, aby používal server proxy na zvýšenie zabezpečenia. Server HTTP proxy môže zvyčajne poskytovať nasledujúce služby:

  • Smerovanie prevádzky medzi internými a externými sieťami
  • Filtrovanie, monitorovanie alebo zaznamenávanie návštevnosti
  • Odpovede ukladania do vyrovnávacej pamäte na zlepšenie výkonu

Server HTTP proxy môže tiež fungovať ako brána firewall medzi telefónom a internetom. Po úspešnej konfigurácii sa telefón pripojí k internetu prostredníctvom proxy servera, ktorý chráni telefón pred kybernetickým útokom.

Po nakonfigurovaní sa funkcia HTTP proxy vzťahuje na všetky aplikácie, ktoré používajú protokol HTTP. Príklad:

  • GDS (Activation Code Onboarding)
  • Aktivácia zariadenia EDOS
  • Onboarding do Webex Cloudu (cez EDOS alebo GDS)
  • Vlastná certifikačná autorita
  • Poskytovanie
  • Zvýšenie verzie firmvéru
  • Správa o stave telefónu
  • Nahrať PRT
  • Služby XSI
  • Služby Webex

  • V súčasnosti táto funkcia podporuje iba protokol IPv4.
  • Nastavenia HTTP proxy je možné uchovať po prvej registrácii telefónu (OOB).

1

Prejdite na webovú stránku správy telefónu.

2

Vyberte položku Voice > System.

3

V časti Nastavenie HTTP Proxy vyberte z roletového zoznamu Režim proxy režim a nakonfigurujte súvisiace parametre.

Ďalšie informácie o parametroch a požadovaných parametroch pre jednotlivé režimy proxy nájdete v téme Parametre pre nastavenie HTTP proxy.

4

Kliknite na možnosť Odoslať všetky zmeny.

Parametre pre nastavenia HTTP proxy

Nasledujúca tabuľka definuje funkciu a použitie parametrov HTTP proxy v časti Nastavenia HTTP Proxy na karte Hlas > systém vo webovom rozhraní telefónu. Definuje tiež syntax reťazca, ktorý sa pridá do konfiguračného súboru telefónu (cfg.xml) s kódom XML na konfiguráciu parametra.

ParameterPopis
Režim servera proxyUrčuje režim HTTP proxy, ktorý telefón používa, alebo zakáže funkciu HTTP proxy.
  • Automaticky

    Telefón automaticky načíta súbor automatickej konfigurácie servera proxy (PAC) na výber servera proxy. V tomto režime môžete určiť, či sa na načítanie súboru PAC použije protokol WPAD (Web Proxy Auto Discovery) alebo manuálne zadáte platnú adresu URL súboru PAC.

    Podrobnosti o parametroch nájdete v parametroch "Web Proxy Auto Discovery" a "PAC URL" v tejto tabuľke.

  • Manuálne

    Musíte manuálne zadať server (názov hostiteľa alebo adresu IP) a port servera proxy.

    Podrobné informácie o parametroch nájdete v téme Hostiteľ servera proxy a port servera proxy.

  • Off

    V telefóne vypnete funkciu HTTP proxy.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Proxy_Mode ua="rw">Vypnuté</Proxy_Mode>

  • Vo webovom rozhraní telefónu vyberte režim proxy alebo funkciu vypnite.

Povolené hodnoty: Automaticky, Manuálne a Vypnuté

Predvolené nastavenie: vypnuté

Automatické zisťovanie webového servera proxyUrčuje, či telefón používa na načítanie súboru PAC protokol WPAD (Web Proxy Auto Discovery).

Protokol WPAD používa na automatické vyhľadanie súboru automatickej konfigurácie servera proxy (PAC) protokol DHCP alebo DNS alebo oba sieťové protokoly. Súbor PAC sa používa na výber proxy servera pre danú adresu URL. Tento súbor môže byť hosťovaný lokálne alebo v sieti.

  • Konfigurácia parametrov sa prejaví, keď je režim servera proxy nastavený na možnosť Automaticky.
  • Ak parameter nastavíte na hodnotu Nie, musíte zadať adresu URL protokolu PAC.

    Podrobnosti o parametri nájdete v parametri "PAC URL" v tejto tabuľke.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Web_Proxy_Auto_Discovery ua="rw">Áno</Web_Proxy_Auto_Discovery>

  • Vo webovom rozhraní telefónu vyberte podľa potreby možnosť Áno alebo Nie .

Povolené hodnoty: Áno a Nie

Predvolená hodnota: Áno

ADRESA PACURL súboru PAC.

Príklad: http://proxy.department.branch.example.com

Podporované sú protokoly TFTP, HTTP a HTTPS.

Ak nastavíte režim servera proxy na možnosť Automatické zisťovanie a automatické zisťovanie webového servera proxy na hodnotu Nie , musíte tento parameter nakonfigurovať.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <PAC_URL ua="rw">http://proxy.department.branch.example.com/pac</PAC_URL>

  • Vo webovom rozhraní telefónu zadajte platnú adresu URL, ktorá vyhľadá súbor PAC.

Predvolené: prázdne

Hostiteľ servera proxyIP adresa alebo názov hostiteľa proxy hostiteľského servera, ku ktorému má telefón získať prístup. Príklad:

proxy.example.com

Schéma (http:// alebo https://) sa nevyžaduje.

Ak nastavíte režim servera proxy na možnosť Manuálne , musíte tento parameter nakonfigurovať.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Proxy_Host ua="rw">proxy.example.com</Proxy_Host>

  • Vo webovom rozhraní telefónu zadajte IP adresu alebo názov hostiteľa proxy servera.

Predvolené: prázdne

Port servera proxyČíslo portu hostiteľského servera proxy.

Ak nastavíte režim servera proxy na možnosť Manuálne , musíte tento parameter nakonfigurovať.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Proxy_Port ua="rw">3128</Proxy_Port>

  • Vo webovom rozhraní telefónu zadajte port servera.

Predvolené: 3128

Overenie serverom proxyUrčuje, či používateľ musí poskytnúť autentifikačné poverenia (meno používateľa a heslo), ktoré vyžaduje server proxy. Tento parameter sa konfiguruje podľa aktuálneho správania proxy servera.

Ak nastavíte parameter na hodnotu Áno, musíte nakonfigurovať meno používateľa a heslo.

Podrobnosti o parametroch nájdete v parametri "Používateľské meno" a "Heslo" v tejto tabuľke.

Konfigurácia parametrov sa prejaví, keď je režim proxy nastavený na možnosť Manuálne .

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Proxy_Authentication ua="rw">Nie</Proxy_Authentication>

  • Vo webovom rozhraní telefónu nastavte toto pole podľa potreby Áno alebo Nie .

Povolené hodnoty: Áno a Nie

Predvolené: Nie

Meno používateľaMeno používateľa poverenia na serveri proxy.

Ak je režim servera proxy nastavený na možnosť Manuálne a overenie servera proxy je nastavené na hodnotu Áno, musíte nakonfigurovať parameter.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Proxy_Username ua="rw">Príklad</Proxy_Username>

  • Vo webovom rozhraní telefónu zadajte meno používateľa.

Predvolené: prázdne

HesloHeslo zadaného používateľského mena na účely autentifikácie servera proxy.

Ak je režim servera proxy nastavený na možnosť Manuálne a overenie servera proxy je nastavené na hodnotu Áno, musíte nakonfigurovať parameter.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Proxy_Password ua="rw">Príklad</Proxy_Password>

  • Vo webovom rozhraní telefónu zadajte platné heslo na overenie používateľa pomocou servera proxy.

Predvolené: prázdne

Tabuľka 3. Požadované parametre pre každý režim servera proxy
Režim servera proxyPožadované parametrePopis
OffNepoužitéV telefóne je zakázané HTTP proxy.
ManuálneHostiteľ servera proxy

Port servera proxy

Overenie serverom proxy: Áno

Meno používateľa

Heslo

Manuálne zadajte server proxy (názov hostiteľa alebo IP adresu) a port servera proxy. Ak proxy server vyžaduje autentifikáciu, musíte ďalej zadať užívateľské meno a heslo.
Hostiteľ servera proxy

Port servera proxy

Overenie serverom proxy: Nie

Manuálne zadajte server proxy. Server proxy nevyžaduje overovacie poverenia.
AutomatickyAutomatické zisťovanie webového servera proxy: Nie

ADRESA PAC

Zadajte platnú adresu URL PAC na načítanie súboru PAC.
Automatické zisťovanie webového servera proxy: Áno

Používa protokol WPAD na automatické načítanie súboru PAC.

Povoliť režim iniciovaný klientom pre rokovania o bezpečnosti mediálnej roviny

Ak chcete chrániť relácie médií, môžete telefón nakonfigurovať tak, aby inicioval rokovania o zabezpečení mediálneho lietadla so serverom. Bezpečnostný mechanizmus sa riadi normami uvedenými v RFC 3329 a jeho rozšírenom návrhu názvov bezpečnostných mechanizmov pre médiá (pozri https://tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2). Na prepravu rokovaní medzi telefónom a serverom je možné použiť protokol SIP cez UDP, TCP a TLS. Môžete obmedziť, že vyjednávanie o bezpečnosti mediálnej roviny sa použije len vtedy, keď je TLS signalizačný prenosový protokol.

Tabuľka 4. Parametre pre rokovania o bezpečnosti mediálneho lietadla
ParameterPopis

Požiadavka MediaSec

Určuje, či telefón iniciuje rokovania o zabezpečení média so serverom.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <MediaSec_Request_1_ ua="na">Áno</MediaSec_Request_1_>
  • Vo webovom rozhraní telefónu nastavte toto pole podľa potreby na hodnotu Áno alebo Nie .

Povolené hodnoty: Áno | nie

  • Áno – klientom iniciovaný režim. Telefón iniciuje rokovania o bezpečnosti mediálneho lietadla.
  • Nie, serverom iniciovaný režim. Server iniciuje rokovania o bezpečnosti v mediálnej rovine. Telefón neiniciuje vyjednávanie, ale môže spracovávať žiadosti o vyjednávanie zo servera s cieľom vytvorenia e zabezpečených hovorov.

Predvolené: Nie

MediaSec iba cez TLS

Určuje signalizačný prenosový protokol, na ktorý sa vzťahuje vyjednávanie o bezpečnosti lietadla média.

Pred nastavením tohto poľa na hodnotu Áno sa uistite, že je TLS signalizačný prenosový protokol.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <MediaSec_Over_TLS_Only_1_ ua="na">Nie</MediaSec_Over_TLS_Only_1_>

  • Vo webovom rozhraní telefónu nastavte toto pole podľa potreby na hodnotu Áno alebo Nie .

Povolené hodnoty: Áno | nie

  • Áno – telefón iniciuje alebo vedie rokovania o bezpečnosti mediálneho lietadla iba vtedy, keď je TLS signalizačný prenosový protokol.
  • Nie—Telefón iniciuje a vedie rokovania o bezpečnosti mediálneho lietadla bez ohľadu na signalizačný prenosový protokol.

Predvolené: Nie

1

Prejdite na webovú stránku správy telefónu.

2

Vyberte položku Voice > Ext (n).

3

V časti Nastavenia SIP nastavte polia MediaSec Request a MediaSec Over TLS Only , ako je definované vo vyššie uvedenej tabuľke.

4

Kliknite na možnosť Odoslať všetky zmeny.

Zabezpečenie WLAN

Keďže všetky WLAN zariadenia, ktoré sú v dosahu, môžu prijímať všetky ostatné WLAN prevádzky, zabezpečenie hlasovej komunikácie je v sieti WLAN rozhodujúce. Aby sa zabezpečilo, že votrelci nebudú manipulovať ani nezachytiť hlasovú prevádzku, architektúra Cisco SAFE Security podporuje telefón. Ďalšie informácie o zabezpečení sietí nájdete v téme http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Riešenie bezdrôtovej IP telefónie Cisco poskytuje zabezpečenie bezdrôtovej siete, ktoré zabraňuje neoprávnenému prihláseniu a narušeniu komunikácie pomocou nasledujúcich metód overovania, ktoré telefón podporuje:

  • Otvorené overenie: Každé bezdrôtové zariadenie môže požiadať o overenie v otvorenom systéme. Prístupový bod, ktorý prijme žiadosť, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) mohla byť nešifrovaná.

  • Rozšíriteľný autentifikačný protokol – flexibilné overovanie prostredníctvom zabezpečeného tunelovania (EAP-FAST) Autentifikácia: Táto architektúra zabezpečenia klient-server šifruje EAP transakcie v rámci tunela Transport Level Security (TLS) medzi prístupovým bodom a serverom RADIUS, ako je napríklad Identity Services Engine (ISE).

    Tunel TLS používa poverenia chráneného prístupu (PAC) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle ID autority (AID) klientovi (telefónu), ktorý následne vyberie príslušné PAC. Klient (telefón) vráti PAC-Opaque na server RADIUS. Server dešifruje PAC primárnym kľúčom. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa TLS tunel. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

    V systéme ISE predvolene platnosť PAC vyprší o týždeň. Ak má telefón PAC s vypršanou platnosťou, overenie pomocou servera RADIUS trvá dlhšie, kým telefón dostane nový PAC. Aby ste sa vyhli oneskoreniam pri poskytovaní PAC, nastavte dobu vypršania platnosti PAC na 90 dní alebo dlhšie na serveri ISE alebo RADIUS.

  • Autentifikácia Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) (Extensible Authentication Protocol-): EAP-TLS vyžaduje certifikát klienta na autentifikáciu a prístup do siete. V prípade bezdrôtových EAP-TLS môže byť klientskym certifikátom certifikát MIC, LSC alebo certifikát nainštalovaný používateľom.

  • Protected Extensible Authentication Protocol (PEAP): proprietárna schéma vzájomnej autentifikácie založená na hesle spoločnosti Cisco medzi klientom (telefónom) a serverom RADIUS. Telefón môže používať PEAP na overenie v bezdrôtovej sieti. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.

  • Predzdieľaný kľúč (PSK): Telefón podporuje ASCII formát. Tento formát musíte použiť pri nastavovaní vopred zdieľaného kľúča WPA/WPA2/SAE:

    ASCII: reťazec znakov ASCII s dĺžkou 8 až 63 znakov (0-9, malé a veľké písmená A-Z a špeciálne znaky)

    Príklad: GREG123567@9ZX&W

Nasledujúce schémy overovania používajú server RADIUS na správu autentifikačných kľúčov:

  • WPA/WPA2/WPA3: Používa informácie zo servera RADIUS na generovanie jedinečných kľúčov na overenie. Keďže tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako WPA predzdieľané kľúče, ktoré sú uložené v prístupovom bode a telefóne.

  • Rýchly zabezpečený roaming: Používa informácie zo servera RADIUS a bezdrôtového doménového servera (WDS) na správu a overovanie kľúčov. WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu. Telefóny Cisco Desk Phone 9861 a 9871 a Cisco Video Phone 8875 podporujú štandard 802.11r (FT). Podporované sú vzduchom aj DS, ktoré umožňujú rýchly a bezpečný roaming. Dôrazne však odporúčame použiť metódu 802.11r (FT) nad vzduchom.

Pri použití WPA/WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale automaticky sa odvodzujú medzi prístupovým bodom a telefónom. Na každom telefóne však musí byť zadané EAP používateľské meno a heslo, ktoré sa používajú na overenie.

Aby bola hlasová prevádzka bezpečná, telefón podporuje šifrovanie TKIP a AES. Keď sa na šifrovanie používajú tieto mechanizmy, medzi prístupovým bodom a telefónom sa šifrujú signalizačné pakety SIP aj hlasové pakety protokolu prenosu v reálnom čase (RTP).

TKIP

WPA používa šifrovanie TKIP, ktoré má oproti WEP niekoľko vylepšení. TKIP poskytuje šifrovanie kľúčom pre každý paket a dlhšie inicializačné vektory (IV), ktoré posilňujú šifrovanie. Okrem toho kontrola integrity správ (MIC) zabezpečuje, že šifrované pakety sa nemenia. TKIP odstraňuje predvídateľnosť WEP, ktorá pomáha votrelcom dešifrovať kľúč WEP.

AES

Metóda šifrovania používaná na overovanie WPA2/WPA3. Tento národný štandard pre šifrovanie používa symetrický algoritmus, ktorý má rovnaký kľúč na šifrovanie a dešifrovanie. AES používa šifrovanie Cipher Blocking Chain (CBC) s veľkosťou 128 bitov, ktoré podporuje minimálne veľkosti kľúčov 128 bitov, 192 bitov a 256 bitov. Telefón podporuje veľkosť kľúča 256 bitov.

Telefóny Cisco Desk Phone 9861 a 9871 a Cisco Video Phone 8875 nepodporujú protokol Cisco Key Integrity Protocol (CKIP) s protokolom CMIC.

Schémy overovania a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. VLAN sú konfigurované v sieti a na prístupových bodoch a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou autentifikačnou a šifrovacou schémou. Ak chcete, aby sa bezdrôtové klientske zariadenia úspešne overili, musíte na prístupových bodoch a v telefóne nakonfigurovať rovnaké identifikátory SSID s ich schémami overovania a šifrovania.

Niektoré schémy overovania vyžadujú špecifické typy šifrovania.

  • Ak používate predzdieľaný kľúč WPA, kľúč WPA2 predzdieľaný alebo SAE, predzdieľaný kľúč musí byť staticky nastavený v telefóne. Tieto klávesy sa musia zhodovať s klávesmi, ktoré sú na prístupovom bode.

  • Telefón podporuje automatické vyjednávanie EAP pre FAST alebo PEAP, ale nie pre TLS. V prípade režimu EAP-TLS ho musíte zadať.

Schémy overovania a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre telefón, ktorá zodpovedá konfigurácii prístupového bodu.

Tabuľka 5. Schémy autentifikácie a šifrovania
Typ FSROverovanieSpráva kľúčovŠifrovanieChránený rámec správy (PMF)
802.11r (FT)PSK

WPA-PSK

WPA-PSK-SHA256

FT-PSK

AESNie
802.11r (FT)WPA3

SAE

FT-SAE

AESÁno
802.11r (FT)EAP-TLS

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-TLS (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno
802.11r (FT)EAP-FAST

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-FAST (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno
802.11r (FT)EAP-PEAP

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-PEAP (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno

Nastavenie Wi-Fi profilu

Profil Wi-Fi môžete nakonfigurovať z webovej stránky telefónu alebo zo stránky opätovnej synchronizácie profilu vzdialeného zariadenia a potom priradiť profil k dostupným sieťam Wi-Fi. Tento profil Wi-Fi môžete použiť na pripojenie k sieti Wi-Fi. V súčasnosti je možné nakonfigurovať iba jeden profil Wi-Fi.

Profil obsahuje parametre potrebné na to, aby sa telefóny mohli pripojiť k serveru telefónu cez pripojenie Wi-Fi. Keď si vytvoríte a používate Wi-Fi profil, vy ani vaši používatelia nemusíte konfigurovať bezdrôtovú sieť pre jednotlivé telefóny.

Profil Wi-Fi umožňuje zakázať alebo obmedziť zmeny v konfigurácii Wi-Fi na telefóne zo strany používateľov.

Odporúčame, aby ste pri používaní Wi-Fi profilu používali zabezpečený profil s protokolmi s povoleným šifrovaním na ochranu kľúčov a hesiel.

Keď nastavíte telefóny na používanie metódy overovania EAP-FAST v režime zabezpečenia, vaši používatelia potrebujú na pripojenie k prístupovému bodu individuálne poverenia.

1

Prejdite na webovú stránku telefónu.

2

Vyberte položku Voice> System (Hlassystém ).

3

V časti Profil Wi-Fi (n) nastavte parametre podľa popisu v nasledujúcej tabuľke Parametre pre Wi-Fi profil.

Konfigurácia profilu Wi-Fi je k dispozícii aj na prihlásenie používateľa.
4

Kliknite na možnosť Odoslať všetky zmeny.

Parametre Wi-Fi profilu

Nasledovná tabuľka definuje funkcie a použitie každého parametra v sekcii Wi-Fi profil(n) na karte Systém na webovej stránke telefónu. Definuje tiež syntax reťazca, ktorý sa pridá do konfiguračného súboru telefónu (cfg.xml) na konfiguráciu parametra.

ParameterPopis
Názov sieteUmožňuje zadať názov SSID, ktorý sa bude zobrazovať v telefóne. Viaceré profily môžu mať rovnaký názov siete s rôznymi režimami zabezpečenia.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Network_Name_1_ua="rw">cisco</Network_Name_1_>

  • Na webovej stránke telefónu zadajte názov identifikátora SSID.

Predvolené: prázdne

Režim zabezpeč.Umožňuje vybrať režim overenia používaný na zabezpečenie prístupu k sieti Wi-Fi. V závislosti od vybratého spôsobu sa zobrazí pole hesla, aby ste mohli zadať poverenia potrebné na pripojenie k tejto Wi-Fi sieti.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Security_Mode_1_ ua="rw">EAP-TLS</Security_Mode_1_> <!-- Dostupné možnosti: Auto|EAP-FAST|||PSK||Žiadne|EAP-PEAP|EAP-TLS -->

  • Na webovej stránke telefónu vyberte jednu z metód:
    • Automaticky
    • EAP-FAST
    • PSK
    • Žiadne
    • EAP-PEAP
    • EAP-TLS

Predvolená hodnota: Automaticky

ID používateľa siete Wi-FiUmožňuje zadať ID užívateľa pre profil siete.

Toto pole je k dispozícii, keď nastavíte režim zabezpečenia na možnosť Auto, EAP-FAST alebo EAP-PEAP. Toto je povinné pole s maximálnou dĺžkou 32 alfanumerických znakov.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Wi-Fi_User_ID_1_ua="rw"></Wi-Fi_User_ID_1_>

  • Na webovej stránke telefónu zadajte ID používateľa sieťového profilu.

Predvolené: prázdne

Heslo pre sieť Wi-FiUmožňuje zadať heslo pre zadané ID používateľa Wi-Fi.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Wi-Fi_Password_1_ ua="rw"></Wi-Fi_Password_1_>

  • Na webovej stránke telefónu zadajte heslo pre ID používateľa, ktoré ste pridali.

Predvolené: prázdne

Frekvenčné pásmoUmožňuje vybrať frekvenčné pásmo signálu bezdrôtového prenosu v sieti WLAN.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Frequency_Band_1_ ua="rw">Auto</Frequency_Band_1_>

  • Na webovej stránke telefónu vyberte jednu z možností:
    • Automaticky
    • 2,4 GHz
    • 5 GHz

Predvolená hodnota: Automaticky

Vybrať certifikátUmožňuje vybrať typ certifikátu pre počiatočnú registráciu certifikátu a obnovenie certifikátu v bezdrôtovej sieti. Tento proces je k dispozícii len pre overenie 802.1X.

Vykonajte jeden z nasledovných krokov:

  • V konfiguračnom súbore telefónu s formátom XML (cfg.xml) zadajte reťazec v tomto formáte:

    <Certificate_Select_1_ ua="rw">Inštalovaná výroba</Certificate_Select_1_>

  • Na webovej stránke telefónu vyberte jednu z možností:
    • Inštalovaná výroba
    • Vlastné nainštalované

Predvolené nastavenie: Výroba je nainštalovaná

Kontrola stavu zabezpečenia zariadenia v telefóne

Telefón automaticky kontroluje stav zabezpečenia zariadenia. Ak sa v telefóne zistia potenciálne bezpečnostné hrozby, v ponuke Problémy a diagnostika sa môžu zobraziť podrobnosti o problémoch. Na základe nahlásených problémov môže správca vykonať operácie na zabezpečenie a upevnenie telefónu.

Stav zabezpečenia zariadenia je dostupný pred registráciou telefónu do systému riadenia hovorov (Webex Calling alebo BroadWorks).

Ak chcete zobraziť podrobnosti o problémoch so zabezpečením telefónu, postupujte takto:

1

Stlačte tlačidlo NastaveniaSettings button

2

Vyberte položku Problémy a diagnostika > problémy.

Správa o zabezpečení zariadenia v súčasnosti obsahuje nasledujúce problémy:

  • Dôvera zariadenia
    • Overenie zariadenia zlyhalo
    • Manipulovaná manipulácia s hardvérom
  • Zraniteľná konfigurácia
    • Heslo nie je poskytnuté
    • Protokol SSH povolený
    • Služba Telnet je povolená
  • Zistená udalosť anomálie siete
    • Nadmerné pokusy o prihlásenie
  • Vydanie certifikátu
    • Platnosť certifikátu CDC čoskoro vyprší

3

Požiadajte správcu o podporu pri riešení problémov so zabezpečením.