Aplikáciu Cisco Unified Communications Manager môžete povoliť v prostredí s rozšíreným zabezpečením. Vďaka týmto vylepšeniam funguje vaša telefónna sieť pod súborom prísnych kontrolných mechanizmov zabezpečenia a riadenia rizík, ktoré chránia vás a vašich používateľov.

Prostredie zvýšeného zabezpečenia zahŕňa nasledujúce funkcie:

  • Overenie vyhľadávania kontaktov.

  • TCP ako predvolený protokol pre vzdialené zapisovanie do denníka auditu.

  • Režim FIPS.

  • Vylepšená politika poverení.

  • Podpora rodiny hash SHA-2 pre digitálne podpisy.

  • Podpora veľkosti kľúča RSA 512 bitov a 4096 bitov.

S programami Cisco Unified Communications Manager Release 14.0 a Cisco Video Phone Firmware Release 2.1 a novšími telefóny telefóny podporujú overovanie SIP OAuth.

OAuth je podporovaný pre protokol TFTP (Proxy Trivial File Transfer Protocol) s aplikáciou Cisco Unified Communications Manager verzie 14.0(1)SU1 alebo novšej. Proxy TFTP a OAuth pre proxy TFTP nie sú podporované v mobilnom vzdialenom prístupe (MRA).

Ďalšie informácie o zabezpečení nájdete v nasledovných témach:

Do telefónu je možné uložiť len obmedzený počet súborov zoznamu dôveryhodných identít (ITL). Súbory ITL v telefóne nemôžu prekročiť 64 K, preto obmedzte počet súborov, ktoré aplikácia Cisco Unified Communications Manager odosiela do telefónu.

Podporované funkcie zabezpečenia

Bezpečnostné funkcie chránia pred hrozbami vrátane ohrozenia identity telefónu a údajov. Tieto funkcie vytvárajú a udržiavajú overené komunikačné toky medzi telefónom a serverom Cisco Unified Communications Manager a zabezpečujú, že telefón používa iba digitálne podpísané súbory.

Cisco Unified Communications Manager verzie 8.5(1) a novšej obsahuje štandardne zabezpečenie, ktoré poskytuje nasledujúce funkcie zabezpečenia pre telefóny Cisco IP Phone bez spustenia klienta CTL:

  • Podpisovanie konfiguračných súborov telefónu

  • Šifrovanie konfiguračného súboru telefónu

  • HTTPS so službou Tomcat a ďalšími webovými službami

Funkcie zabezpečenej signalizácie a médií stále vyžadujú, aby ste spustili klienta CTL a používali hardvérové eTokeny.

Implementáciou zabezpečenia v systéme Cisco Unified Communications Manager zabránite krádeži identity telefónu a servera Cisco Unified Communications Manager, zabránite neoprávnenej manipulácii s údajmi a zabránite neoprávnenej manipulácii hovorov a toku médií.

Na zmiernenie týchto hrozieb telefónna sieť Cisco IP vytvára a udržiava zabezpečené (šifrované) komunikačné toky medzi telefónom a serverom, digitálne podpisuje súbory pred ich prenosom do telefónu a šifruje prúdy mediálnych tokov a signalizáciu hovorov medzi telefónmi Cisco IP Phone.

Certifikát LSC (Locally Significant Certificate) sa nainštaluje do telefónov po vykonaní potrebných úloh, ktoré sú priradené k funkcii CAPF (Certificate Authority Proxy Function). Na konfiguráciu LSC môžete použiť aplikáciu Cisco Unified Communications Manager Administration, ako je popísané v príručke zabezpečenia aplikácie Cisco Unified Communications Manager. Inštaláciu LSC môžete prípadne spustiť z ponuky Nastavenia zabezpečenia v telefóne. Táto ponuka vám tiež umožňuje aktualizovať alebo odstrániť LSC.

Od vydania PhoneOS 3.2 môže byť LSC použitý ako používateľský certifikát pre EAP-TLS s autentifikáciou WLAN.

Telefóny používajú profil zabezpečenia telefónu, ktorý definuje, či je zariadenie nezabezpečené alebo zabezpečené. Informácie o použití profilu zabezpečenia v telefóne nájdete v dokumentácii k vydaniu konkrétnej aplikácie Cisco Unified Communications Manager.

Ak nakonfigurujete nastavenia týkajúce sa zabezpečenia v aplikácii Cisco Unified Communications Manager Administration, konfiguračný súbor telefónu bude obsahovať citlivé informácie. Ak chcete zabezpečiť súkromie konfiguračného súboru, musíte ho nakonfigurovať na šifrovanie. Podrobné informácie nájdete v dokumentácii ku konkrétnemu vydaniu aplikácie Cisco Unified Communications Manager.

Telefón vyhovuje federálnemu štandardu FIPS (Information Processing Standard). Na správne fungovanie vyžaduje režim FIPS veľkosť kľúča najmenej 2048 bitov. Ak je certifikát menší ako 2048 bitov, telefón sa nezaregistruje v aplikácii Cisco Unified Communications Manager a registrácia telefónu zlyhala. Veľkosť kľúča certifikátu nie je na displejoch telefónu kompatibilných s FIPS.

Ak má telefón LSC, pred zapnutím FIPS musíte aktualizovať veľkosť kľúča LSC na 2048 bitov alebo viac.

Nasledujúca tabuľka poskytuje prehľad funkcií zabezpečenia, ktoré telefóny podporujú. Ďalšie informácie nájdete v dokumentácii k vydaniu konkrétnej aplikácie Cisco Unified Communications Manager.

Ak chcete zobraziť režim zabezpečenia, stlačte tlačidlo Nastavenia tvrdé tlačidlo Nastavenia a prejdite do časti Nastavenia siete a služby > Zabezpečenie.

Tabuľka 1. Prehľad ochranných prvkov

Funkcia

Popis

Autentifikácia obrazu

Podpísané binárne súbory zabraňujú manipulácii s obrazom firmvéru pred načítaním obrázka do telefónu.

Manipulácia s obrázkom spôsobí, že telefón zlyhá v procese overenia a odmietne nový obrázok.

Inštalácia certifikátu zákazníckeho pracoviska

Každý Cisco IP Phone vyžaduje jedinečný certifikát na overenie zariadenia. Telefóny obsahujú certifikát MIC (Manufacturing Installed Certificate), ale pre zvýšenie bezpečnosti môžete inštaláciu certifikátu špecifikovať v aplikácii Cisco Unified Communications Manager Administration pomocou funkcie CAPF (Certificate Authority Proxy Function). Prípadne môžete nainštalovať certifikát LSC (Locally Significant Certificate) z ponuky Konfigurácia zabezpečenia v telefóne.

Overenie zariadenia

Vyskytuje sa medzi serverom Cisco Unified Communications Manager a telefónom, keď každá entita akceptuje certifikát druhej entity. Určuje, či sa má uskutočniť zabezpečené pripojenie medzi telefónom a aplikáciou Cisco Unified Communications Manager. a v prípade potreby vytvorí bezpečnú signalizačnú cestu medzi entitami pomocou protokolu TLS. Aplikácia Cisco Unified Communications Manager neregistruje telefóny, pokiaľ ich nedokáže overiť.

Overenie súboru

Overuje digitálne podpísané súbory, ktoré telefón stiahne. Telefón overí podpis, aby sa ubezpečil, že po vytvorení súboru nedošlo k manipulácii so súbormi. Súbory, ktoré zlyhajú pri overení, sa nezapíšu do pamäte flash v telefóne. Telefón takéto súbory odmietne bez ďalšieho spracovania.

Šifrovanie súborov

Šifrovanie zabraňuje odhaleniu citlivých informácií počas prenosu súboru do telefónu. Okrem toho telefón overí podpis, aby sa ubezpečil, že po vytvorení súboru nedošlo k manipulácii so súbormi. Súbory, ktoré zlyhajú pri overení, sa nezapíšu do pamäte flash v telefóne. Telefón takéto súbory odmietne bez ďalšieho spracovania.

Autentifikácia signalizácie

Používa protokol TLS na overenie, či počas prenosu nedošlo k žiadnej manipulácii so signalizačnými paketmi.

Certifikát nainštalovanej výroby

Každý telefón Cisco IP Phone obsahuje jedinečný certifikát MIC (Manufacturing Installed Certificate), ktorý sa používa na overenie zariadenia. Mikrofón poskytuje trvalý jedinečný doklad totožnosti telefónu a umožňuje aplikácii Cisco Unified Communications Manager overiť telefón.

Šifrovanie médií

Používa protokol SRTP na zabezpečenie toho, aby sa streamy médií medzi podporovanými zariadeniami ukázali ako bezpečné a aby údaje prijímalo a čítalo iba určené zariadenie. Zahŕňa vytvorenie páru primárnych kľúčov médií pre zariadenia, doručenie kľúčov zariadeniam a zabezpečenie doručenia kľúčov počas prenosu kľúčov.

CAPF (funkcia proxy certifikačnej autority)

Implementuje časti postupu generovania certifikátov, ktoré sú pre telefón príliš náročné na spracovanie, a komunikuje s telefónom pri generovaní kľúčov a inštalácii certifikátov. Certifikát CAPF je možné nakonfigurovať tak, aby v mene telefónu požadoval certifikáty od certifikačných autorít určených zákazníkom, alebo ho možno nakonfigurovať na lokálne generovanie certifikátov.

Podporované sú oba typy klávesov EC (eliptická krivka) a RSA. Ak chcete použiť kľúč EC, uistite sa, že parameter "Endpoint Advanced Encryption Algorithms Support" (z parametra System >Enterprise) je povolený.

Ďalšie informácie o protokole CAPF a súvisiacich konfiguráciách nájdete v nasledujúcich dokumentoch:

Profil zabezpečenia

Definuje, či je telefón nezabezpečený, overený, šifrovaný alebo chránený. Ďalšie položky v tejto tabuľke popisujú funkcie zabezpečenia.

Šifrované konfiguračné súbory

Umožňuje zabezpečiť súkromie konfiguračných súborov telefónu.

Voliteľné vypnutie webového servera pre telefón

Z bezpečnostných dôvodov môžete zabrániť prístupu na webové stránky telefónu (ktoré zobrazujú rôzne prevádzkové štatistiky telefónu) a portálu samoobsluhy.

Kalenie telefónu

Ďalšie možnosti zabezpečenia, ktoré ovládate pomocou aplikácie Cisco Unified Communications Manager Administration:

  • Vypnutie portu PC
  • Vypnutie bezdôvodného protokolu ARP (GARP)
  • Zakázanie prístupu k hlasovej sieti VLAN počítača
  • Zakázanie prístupu k ponuke nastavení alebo poskytnutie obmedzeného prístupu
  • Zakázanie prístupu k webovým stránkam v telefóne
  • Zakázanie portu príslušenstva Bluetooth
  • Obmedzenie šifier TLS

Overenie 802.1X

Zariadenie Cisco IP Phone môže používať autentifikáciu 802.1X na vyžiadanie a získanie prístupu do siete. Ďalšie informácie nájdete v časti Overenie 802.1X.

Zabezpečené SIP Failover pre SRST

Po nakonfigurovaní referenčného čísla SRST (Survivable Remote Site Telephony) a následnom resetovaní závislých zariadení v správe aplikácie Cisco Unified Communications Manager server TFTP pridá certifikát SRST do súboru cnf.xml telefónu a odošle súbor do telefónu. Zabezpečený telefón potom používa pripojenie TLS na interakciu so smerovačom podporujúcim SRST.

Signalizačné šifrovanie

Zabezpečuje šifrovanie všetkých signalizačných správ SIP odosielaných medzi zariadením a serverom Cisco Unified Communications Manager.

Alarm aktualizácie zoznamu certifikátov

Keď sa v telefóne aktualizuje zoznam certifikátov, aplikácia Cisco Unified Communications Manager dostane výstrahu oznamujúcu úspech alebo neúspech aktualizácie. Ďalšie informácie nájdete v nasledujúcej tabuľke.

Šifrovanie AES 256

Po pripojení k aplikácii Cisco Unified Communications Manager verzie 10.5(2) alebo novšej podporujú telefóny podporu šifrovania AES 256 pre protokoly TLS a SIP pre signalizáciu a šifrovanie médií. To umožňuje telefónom iniciovať a podporovať pripojenia TLS 1.2 pomocou šifier založených na AES-256, ktoré vyhovujú štandardom SHA-2 (Secure Hash Algorithm) a sú kompatibilné s federálnymi štandardmi spracovania informácií (FIPS). Šifry zahŕňajú:

  • Pre pripojenia TLS:
    • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • Pre sRTP:
    • AEAD_AES_256_GCM
    • AEAD_AES_128_GCM

Ďalšie informácie nájdete v dokumentácii pre softvér Cisco Unified Communications Manager.

Certifikáty algoritmu digitálneho podpisu eliptickej krivky (ECDSA)

V rámci certifikácie Common Criteria (CC) aplikácia Cisco Unified Communications Manager; pridané certifikáty ECDSA vo verzii 11.0. Týka sa to všetkých produktov hlasového operačného systému (VOS) so systémom CUCM 11.5 a novšími verziami.

Certifikát Tomcat pre viaceré servery (SAN) od spoločnosti Cisco UCM

Telefón podporuje aplikáciu Cisco UCM s nakonfigurovanými certifikátmi Tomcat (Multi-server (SAN). Správnu adresu servera TFTP nájdete v súbore ITL telefónu na registráciu telefónu.

Ďalšie informácie o tejto funkcii nájdete v týchto témach:

Nasledujúca tabuľka obsahuje informácie o aktualizácii zoznamu dôveryhodných, výstražných hláseniach a význame. Ďalšie informácie nájdete v dokumentácii pre softvér Cisco Unified Communications Manager.

Tabuľka 2. Aktualizácia zoznamu certifikátov výstražné hlásenia
Kód a správa Popis

1 - TL_SUCCESS

Dostal nové CTL a/alebo ITL

2 - CTL_INITIAL_SUCCESS

Prijaté nové CTL, žiadne existujúce TL

3 - ITL_INITIAL_SUCCESS

Prijaté nové ITL, žiadna existujúca TL

4 - TL_INITIAL_SUCCESS

Prijaté nové CTL a ITL, žiadne existujúce TL

5 - TL_FAILED_OLD_CTL

Aktualizácia na nové CTL zlyhala, ale má predchádzajúcu TL

6 - TL_FAILED_NO_TL

Aktualizácia na novú TL zlyhala a nemáte žiadnu starú TL

7 - TL_FAILED

Všeobecné zlyhanie

8 - TL_FAILED_OLD_ITL

Aktualizácia na nový ITL zlyhal, ale má predchádzajúcu TL

9 - TL_FAILED_OLD_TL

Aktualizácia na novú TL zlyhala, ale mala predchádzajúcu TL

Ponuka Nastavenie zabezpečenia poskytuje informácie o rôznych nastaveniach zabezpečenia. Ponuka tiež poskytuje prístup k ponuke Zoznam dôveryhodných certifikátov a označuje, či je v telefóne nainštalovaný súbor CTL alebo ITL.

Nasledujúca tabuľka popisuje možnosti v ponuke Nastavenie zabezpečenia.

Tabuľka 3. Ponuka nastavenia zabezpečenia

Možnosť

Popis

Zmena

Režim zabezpeč.

Zobrazuje režim zabezpečenia, ktorý je nastavený pre telefón.

V administrácii aplikácie Cisco Unified Communications Manager vyberte položku Zariadenie > telefón. Nastavenie sa zobrazí v časti Informácie špecifické pre protokol v okne Konfigurácia telefónu.

LSC

Označuje, či je v telefóne nainštalovaný certifikát lokálne významný pre funkcie zabezpečenia (nainštalovaný) alebo nie je nainštalovaný v telefóne (nie je nainštalovaný).

Informácie o spravovaní LSC pre váš telefón nájdete v dokumentácii pre vaše konkrétne vydanie Cisco Unified Communications Manager.

Nastavenie certifikátu LSC (Locally Significant Certificate)

Táto úloha sa vzťahuje na nastavenie LSC pomocou metódy overovacieho reťazca.

Skôr než začnete

Uistite sa, že sú dokončené príslušné konfigurácie zabezpečenia aplikácie Cisco Unified Communications Manager a funkcie CAPF (Certificate Authority Proxy Function):

  • Súbor CTL alebo ITL obsahuje certifikát CAPF.

  • V správe operačného systému Cisco Unified Communications skontrolujte, či je nainštalovaný certifikát CAPF.

  • Funkcia CAPF je spustená a nakonfigurovaná.

Ďalšie informácie o týchto nastaveniach nájdete v dokumentácii k vydaniu konkrétnej aplikácie Cisco Unified Communications Manager.

1

Získajte overovací kód CAPF, ktorý bol nastavený pri konfigurácii funkcie CAPF.

2

V telefóne stlačte Nastavenia the Settings hard key.

3

Ak sa zobrazí výzva, zadajte heslo pre prístup do ponuky Nastavenia . Heslo môžete získať od správcu.

4

Prejdite do časti Sieť a služby > Nastavenia zabezpečenia> LSC.

Prístup k ponuke Nastavenia môžete ovládať pomocou poľa Prístup k nastaveniam v Cisco Unified Communications Manager Administration.

5

Zadajte overovací reťazec a vyberte položku Odoslať.

Telefón začne inštalovať, aktualizovať alebo odstraňovať LSC v závislosti od konfigurácie CAPF. Po dokončení procedúry sa v telefóne zobrazí hlásenie Nainštalované alebo Nenainštalované.

Proces inštalácie, aktualizácie alebo odstránenia LSC môže trvať dlho.

Po úspešnej inštalácii telefónu sa zobrazí hlásenie Nainštalované . Ak sa v telefóne zobrazuje hlásenie Nenainštalované, autorizačný reťazec môže byť nesprávny alebo inovácia telefónu nemusí byť povolená. Ak operácia CAPF odstráni LSC, telefón zobrazí stav Nenainštalované , čo znamená, že operácia bola úspešná. Server CAPF zaznamená chybové hlásenia. Pozrite si dokumentáciu k serveru CAPF, aby ste našli denníky a pochopili význam chybových hlásení.

Zapnutie režimu FIPS

1

V Cisco Unified Communications Manager Administration vyberte položku Zariadenie > Telefón a vyhľadajte telefón.

2

Prejdite do oblasti Konfigurácia špecifická pre daný produkt.

3

Pole Režim FIPS nastavte na hodnotu Povolené .

4

Kliknite na položku Uložiť.

5

Vyberte možnosť Použiť konfiguráciu.

6

Reštartujte telefón.

Vypnutie reproduktora, náhlavnej súpravy a slúchadla na telefóne

Máte možnosť natrvalo vypnúť reproduktor, náhlavnú súpravu a slúchadlo na telefóne pre používateľa.

1

V Cisco Unified Communications Manager Administration vyberte položku Zariadenie > Telefón a vyhľadajte telefón.

2

Prejdite do oblasti Konfigurácia špecifická pre daný produkt.

3

Začiarknutím jedného alebo viacerých z nasledujúcich políčok vypnete možnosti telefónu:

  • Vypnutie hlasného telefónu
  • Vypnúť reproduktor a náhlavnú súpravu
  • Vypnúť sluchátka

V predvolenom nastavení tieto začiarkavacie políčka nie sú začiarknuté.

4

Kliknite na položku Uložiť.

5

Vyberte možnosť Použiť konfiguráciu.

Overenie 802.1X

Cisco IP Phones podporuje autentifikáciu 802.1X.

Prepínače Cisco IP Phones a Cisco Catalyst tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určenie parametrov, ako je alokácia VLAN a požiadavky na inline napájanie. CDP neidentifikuje lokálne pripojené pracovné stanice. Cisco IP Phones poskytnúť mechanizmus prechodu EAPOL-om. Tento mechanizmus umožňuje pracovnej stanici pripojenej k Cisco IP Phone odovzdávať správy EAPOL do autentifikátora 802.1X na prepínači LAN. Mechanizmus priechodu zabezpečuje, že telefón IP nefunguje ako prepínač LAN na autentifikáciu koncového bodu údajov pred prístupom do siete.

Cisco IP Phones tiež poskytnúť proxy mechanizmus odhlásenia EAPOL. Ak sa lokálne pripojený počítač odpojí od telefónu IP, prepínač siete LAN nevidí fyzické prepojenie zlyhané, pretože spojenie medzi prepínačom LAN a telefónom IP je zachované. Aby sa nenarušila integrita siete, telefón IP odošle prepínaču v mene nadväzujúceho počítača správu EAPOL-Odhlásenie, ktorá spustí prepínač siete LAN na vymazanie položky overenia pre nadväzujúci počítač.

Podpora overovania 802.1X vyžaduje niekoľko komponentov:

  • Cisco IP Phone: Telefón iniciuje požiadavku na prístup k sieti. Cisco IP Phones obsahovať prosebníka 802.1X. Tento prosebník umožňuje správcom siete kontrolovať pripojenie IP telefónov k portom prepínača LAN. Aktuálne vydanie prosepplikanta telefónu 802.1X využíva možnosti EAP-FAST a EAP-TLS na overovanie siete.

  • Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným kľúčom, ktorý autentifikuje telefón.

  • Prepínač: Prepínač musí podporovať štandard 802.1X, aby mohol fungovať ako autentifikátor a prenášať správy medzi telefónom a overovacím serverom. Po dokončení výmeny prepínač udelí alebo zakáže telefónu prístup k sieti.

Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.

  • Pred zapnutím overovania 802.1X v telefóne nakonfigurujte ostatné súčasti.

  • Konfigurácia portu PC: Štandard 802.1X neberie do úvahy VLAN, a preto odporúča, aby bolo na konkrétnom porte prepínača autentifikované iba jedno zariadenie. Niektoré prepínače však podporujú viacdoménové overovanie. Konfigurácia prepínača určuje, či je možné pripojiť počítač k portu PC telefónu.

    • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete zapnúť port počítača a pripojiť k nemu počítač. V tomto prípade Cisco IP Phones podporovať proxy EAPOL-Logoff na monitorovanie autentifikačných výmen medzi prepínačom a pripojeným počítačom.

      Ďalšie informácie o podpore štandardu IEEE 802.1X na prepínačoch Cisco Catalyst nájdete v príručkách konfigurácie prepínačov Cisco Catalyst na adrese:

      http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

    • Vypnuté: Ak prepínač nepodporuje viacero zariadení kompatibilných so štandardom 802.1X na rovnakom porte, mali by ste vypnúť port PC, keď je povolené overovanie 802.1X. Ak tento port nevypnete a potom sa k nemu pokúsite pripojiť počítač, prepínač zakáže sieťový prístup k telefónu aj počítaču.

  • Konfigurovať hlasovú sieť VLAN: Keďže štandard 802.1X nezohľadňuje siete VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínačov.
    • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete pokračovať v používaní hlasovej siete VLAN.
    • Vypnuté: Ak prepínač nepodporuje overovanie viacerých domén, zakážte hlasovú sieť VLAN a zvážte priradenie portu k natívnej sieti VLAN.
  • (Len pre stolový telefón Cisco Phone 9800 Series)

    Telefón Cisco Desk Phone 9800 Series má v PID inú predvoľbu ako pre ostatné telefóny Cisco. Ak chcete, aby váš telefón prešiel overením 802.1X, nastavte okruh· Parameter Meno používateľa na zahrnutie vášho telefónu Cisco Desk Phone 9800 Series.

    Napríklad PID telefónu 9841 je DP-9841; môžete nastaviť polomer· Meno používateľa na začiatok na DP alebo obsahuje DP. Môžete ho nastaviť v oboch nasledujúcich častiach:

    • Zásada > Podmienky > Podmienky knižnice

    • Politika > Množiny politík> Autorizačná politika > Autorizačné pravidlo 1

Zapnutie overovania 802.1X

Overenie 802.1X môžete pre svoj telefón povoliť vykonaním týchto krokov:

1

Stlačte tlačidlo Nastaveniathe Settings hard key.

2

Ak sa zobrazí výzva, zadajte heslo pre prístup do ponuky Nastavenia . Heslo môžete získať od správcu.

3

Prejdite do časti Sieť a služby > Nastavenia zabezpečenia> Overenie 802.1X.

4

Zapnite overovanie IEEE 802.1X.

5

Vyberte položku Použiť.

Zobrazenie informácií o nastaveniach zabezpečenia v telefóne

Informácie o nastaveniach zabezpečenia si môžete pozrieť v ponuke telefónu. Dostupnosť informácií závisí od nastavení siete vo vašej organizácii.

Tabuľka 4. Parametre pre nastavenie zabezpečenia

Parametre

Popis

Režim zabezpeč.

Zobrazuje režim zabezpečenia, ktorý je nastavený pre telefón.

LSC

Označuje, či je v telefóne nainštalovaný certifikát lokálne významný pre funkcie zabezpečenia (Áno) alebo nie je nainštalovaný v telefóne (Nie).

Zoznam dôveryhodných

Zoznam dôveryhodných obsahuje podponuky pre konfiguračné súbory CTL, ITL a Signed.

Podponuka Súbor CTL zobrazuje obsah súboru CTL. Podponuka Súbor ITL zobrazuje obsah súboru ITL.

V ponuke Zoznam dôveryhodných certifikátov sa zobrazujú aj nasledujúce informácie:

  • Podpis CTL: hash SHA1 súboru CTL
  • Unified CM/TFTP Server: názov Cisco Unified Communications Manager a servera TFTP, ktoré telefón používa. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.
  • Server CAPF: názov servera CAPF, ktorý telefón používa. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.
  • SRST Router: IP adresa dôveryhodného smerovača SRST, ktorý môže telefón používať. Zobrazí ikonu certifikátu, ak je pre tento server nainštalovaný certifikát.
Overenie 802.1XZapína alebo vypína overovanie IEEE 802.1X.

Podrobnosti nájdete v časti Overenie 802.1X.

Spätná kompatibilita s WPA

Určuje, či je najstaršia verzia WPA (Wi-Fi Protected Access) kompatibilná s telefónom na pripojenie k bezdrôtovej sieti alebo prístupovému bodu (AP).

  • Ak je táto možnosť povolená, telefón môže vyhľadávať a pripájať sa k bezdrôtovým sieťam s podporovanými všetkými verziami protokolu WPA vrátane WPA, WPA2 a WPA3. Okrem toho môže telefón vyhľadávať prístupové body a pripájať sa k nim, ktoré podporujú iba najstaršiu verziu WPA.
  • Ak je táto možnosť zakázaná (predvolené nastavenie), telefón môže vyhľadávať a pripájať sa iba k bezdrôtovým sieťam a prístupovým bodom, ktoré podporujú protokoly WPA2 a WPA3.

Táto funkcia je k dispozícii len na telefónoch 9861/9871/8875.
1

Stlačte tlačidlo Nastaveniathe Settings key.

2

Prejdite do časti Nastavenia siete a služby > Zabezpečenie.

3

V nastaveniach zabezpečenia si pozrite informácie o zabezpečení.

Zabezpečenie telefonických hovorov

Keď je implementované zabezpečenie telefónu, môžete identifikovať zabezpečené telefónne hovory podľa ikon na obrazovke telefónu. Zabezpečenie a ochranu pripojeného telefónu môžete určiť aj vtedy, ak sa na začiatku hovoru ozve tón zabezpečenia.

Pri zabezpečenom hovore sú všetky signalizácie hovorov a prúdy mediálnych údajov šifrované. Zabezpečený hovor ponúka vysokú úroveň zabezpečenia a poskytuje integritu a súkromie hovoru. Keď je prebiehajúci hovor šifrovaný, zobrazí sa ikona zabezpečeného hovoru ikona zámku pre zabezpečený hovor na linke. V prípade zabezpečeného telefónu môžete tiež zobraziť overenú ikonu alebo na ikonu šifrovania vedľa pripojeného servera v ponuke telefón (Nastavenia > Informácie o tomto zariadení).

Ak je hovor smerovaný cez spoje bez použitia protokolu IP, napríklad prostredníctvom verejnej telefónnej siete (PSTN), hovor môže byť nezabezpečený, aj keď je šifrovaný v rámci siete IP a je k nemu priradená ikona zámku.

Pri zabezpečenom hovore sa na začiatku hovoru prehrá bezpečnostný tón, ktorý oznamuje, že aj druhý pripojený telefón prijíma a vysiela zabezpečený zvuk. Ak sa hovor pripojí k nezabezpečenému telefónu, tón zabezpečenia sa neprehrá.

Zabezpečené volanie je podporované iba pre pripojenia medzi dvoma telefónmi. Niektoré funkcie, napríklad konferenčné hovory a zdieľané linky, nie sú pri nakonfigurovaní zabezpečeného hovoru dostupné.

Keď je telefón v aplikácii Cisco Unified Communications Manager nakonfigurovaný ako bezpečný (šifrovaný a dôveryhodný), môže dostať chránený stav. Potom, ak je to potrebné, môže byť chránený telefón nakonfigurovaný tak, aby na začiatku hovoru prehral indikačný tón:

  • Chránené zariadenie: Ak chcete zmeniť stav zabezpečeného telefónu na chránený, označte políčko Chránené zariadenie v okne Konfigurácia telefónu v aplikácii Cisco Unified Communications Manager Administration (zariadenie > telefón).

  • Prehrať bezpečný indikačný tón: Ak chcete chránenému telefónu povoliť prehrávanie zabezpečeného alebo nezabezpečeného indikačného tónu, nastavte nastavenie Prehrať tón indikácie zabezpečené na hodnotu Pravda. Prehrať tón indikácie zabezpečeného prenosu je predvolene nastavený na hodnotu Nepravda. Túto možnosť nastavíte v aplikácii Cisco Unified Communications Manager Administration (System > Service Parameters). Vyberte server a potom službu Unified Communications Manager. V okne Konfigurácia parametrov služby vyberte možnosť v oblasti Funkcia - Tón zabezpečeného prenosu. Predvolená hodnota je False.

Bezpečná identifikácia konferenčného hovoru

Môžete iniciovať bezpečný konferenčný hovor a monitorovať úroveň zabezpečenia účastníkov. Zabezpečený konferenčný hovor sa vytvorí pomocou tohto postupu:

  1. Používateľ iniciuje konferenciu zo zabezpečeného telefónu.

  2. Aplikácia Cisco Unified Communications Manager priradí hovoru zabezpečený konferenčný most.

  3. Po pridaní účastníkov aplikácia Cisco Unified Communications Manager overí režim zabezpečenia každého telefónu a zachová úroveň zabezpečenia konferencie.

  4. Telefón zobrazuje úroveň zabezpečenia konferenčného hovoru. Na zabezpečenej konferencii sa zobrazí ikona zabezpečeného ikona zámku pre zabezpečený hovor.

Zabezpečené volanie je podporované medzi dvoma telefónmi. V chránených telefónoch nie sú pri nakonfigurovanom zabezpečenom hovore dostupné niektoré funkcie, napríklad konferenčné hovory, zdieľané linky a rozšírená mobilita.

Nasledujúca tabuľka obsahuje informácie o zmenách úrovní zabezpečenia konferencie v závislosti od úrovne zabezpečenia telefónu iniciátora, úrovní zabezpečenia účastníkov a dostupnosti zabezpečených konferenčných mostov.

Tabuľka 5. Bezpečnostné obmedzenia pri konferenčných hovoroch

Úroveň zabezpečenia telefónu iniciátora

Použitá funkcia

Úroveň zabezpečenia účastníkov

Výsledky akcie

Nezabezpečené

Konferenčný hovor

Zabezpečený

Nezabezpečený konferenčný most

Nezabezpečená konferencia

Zabezpečený

Konferenčný hovor

Najmenej jeden člen nie je zabezpečený.

Zabezpečený konferenčný most

Nezabezpečená konferencia

Zabezpečený

Konferenčný hovor

Zabezpečený

Zabezpečený konferenčný most

Bezpečná konferencia na šifrovanej úrovni

Nezabezpečené

Zoznámte sa so mnou

Minimálna úroveň zabezpečenia je šifrovaná.

Iniciátor dostane správu Nespĺňa úroveň zabezpečenia, hovor bol odmietnutý.

Zabezpečený

Zoznámte sa so mnou

Minimálna úroveň zabezpečenia nie je zabezpečená.

Zabezpečený konferenčný most

Konferencia prijíma všetky hovory.

Bezpečná identifikácia telefonického hovoru

Zabezpečený hovor sa vytvorí, keď je váš telefón a telefón na druhom konci nakonfigurovaný na zabezpečené volanie. Druhý telefón sa môže nachádzať v rovnakej IP sieti Cisco alebo v sieti mimo tejto siete. Zabezpečené hovory je možné uskutočňovať iba medzi dvoma telefónmi. Konferenčné hovory by mali podporovať zabezpečený hovor po nastavení zabezpečeného konferenčného mosta.

Zabezpečený hovor sa vytvorí pomocou tohto procesu:

  1. Používateľ iniciuje hovor zo zabezpečeného telefónu (zabezpečený režim zabezpečenia).

  2. Telefón zobrazí ikonu zabezpečenia ikona zámku pre zabezpečený hovor na obrazovke telefónu. Táto ikona označuje, že telefón je nakonfigurovaný na zabezpečené hovory, ale to neznamená, že je zabezpečený aj druhý pripojený telefón.

  3. Ak sa hovor pripája k inému zabezpečenému telefónu, používateľ počuje bezpečnostný tón, ktorý naznačuje, že oba konce konverzácie sú šifrované a zabezpečené. Ak sa hovor pripojí k nezabezpečenému telefónu, používateľ nepočuje tón zabezpečenia.

Zabezpečené volanie je podporované medzi dvoma telefónmi. V chránených telefónoch nie sú pri nakonfigurovanom zabezpečenom hovore dostupné niektoré funkcie, napríklad konferenčné hovory, zdieľané linky a rozšírená mobilita.

Tieto zabezpečené alebo nezabezpečené indikačné tóny prehrávajú iba chránené telefóny. Nechránené telefóny nikdy neprehrávajú zvuky. Ak sa počas hovoru zmení celkový stav hovoru, zmení sa tón signalizácie a chránený telefón prehrá príslušný tón.

Chránený telefón prehrá tón alebo nie za týchto okolností:

  • Keď je zapnutá možnosť Prehrať bezpečný indikačný tón:

    • Keď je vytvorené zabezpečené médium počas celého spojenia a stav hovoru je zabezpečený, telefón prehrá tón signalizácie zabezpečeného spojenia (tri dlhé pípnutia s prestávkami).

    • Keď je vytvorené nezabezpečené médium typu end-to-end a stav hovoru je nezabezpečený, telefón prehrá nezabezpečený indikačný tón (šesť krátkych pípnutí s krátkymi prestávkami).

Ak je vypnutá možnosť Prehrať tón zabezpečenej indikácie, neprehrá sa žiadny tón.

Poskytnutie šifrovania pre nákladný čln

Aplikácia Cisco Unified Communications Manager kontroluje stav zabezpečenia telefónu pri vytváraní konferencií a mení indikáciu zabezpečenia konferencie alebo blokuje dokončenie hovoru, aby sa zachovala integrita a bezpečnosť v systéme.

Používateľ nemôže vstúpiť do šifrovaného hovoru, ak telefón, ktorý sa používa na pristúpenie, nie je nakonfigurovaný na šifrovanie. Ak čln v tomto prípade zlyhá, zaznie v telefóne, v ktorom bol čln iniciovaný, tón zmeny poradia (rýchlo obsadený).

Ak je telefón iniciátora nakonfigurovaný na šifrovanie, iniciátor člna môže vstúpiť do nezabezpečeného hovoru zo šifrovaného telefónu. Po uskutočnení pristúpenia klasifikuje aplikácia Cisco Unified Communications Manager hovor ako nezabezpečený.

Ak je telefón iniciátora nakonfigurovaný na šifrovanie, iniciátor člna môže vstúpiť do šifrovaného hovoru a telefón označí, že hovor je šifrovaný.

Zabezpečenie WLAN

Keďže všetky zariadenia WLAN, ktoré sú v dosahu, môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieťach WLAN rozhodujúce. Aby sa zabezpečilo, že votrelci nebudú manipulovať ani nezachytiť hlasovú prevádzku, architektúra Cisco SAFE Security podporuje telefón. Ďalšie informácie o zabezpečení sietí nájdete v téme http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Riešenie Cisco Wireless IP telefónie poskytuje zabezpečenie bezdrôtovej siete, ktoré zabraňuje neoprávnenému prihláseniu a narušeniu komunikácie pomocou nasledujúcich metód overovania, ktoré telefón podporuje:

  • Otvorené overenie: Každé bezdrôtové zariadenie môže požiadať o overenie v otvorenom systéme. Prístupový bod, ktorý prijme žiadosť, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) mohla byť nešifrovaná.

  • Rozšíriteľný autentifikačný protokol – flexibilné overovanie prostredníctvom zabezpečeného tunelovania (EAP-FAST) Autentifikácia: Táto architektúra zabezpečenia klient-server šifruje transakcie EAP v rámci tunela TLS (Transport Level Security) medzi prístupovým bodom a serverom RADIUS, ako je napríklad Identity Services Engine (ISE).

    Tunel TLS používa poverenia PAC (Protected Access Credentials) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle ID autority (AID) klientovi (telefónu), ktorý následne vyberie príslušné PAC. Klient (telefón) vráti PAC-Opaque na server RADIUS. Server dešifruje PAC primárnym kľúčom. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

    V systéme ISE predvolene platnosť PAC vyprší o týždeň. Ak má telefón PAC s vypršanou platnosťou, overenie pomocou servera RADIUS trvá dlhšie, kým telefón dostane nový PAC. Aby ste sa vyhli oneskoreniam pri poskytovaní PAC, nastavte dobu vypršania platnosti PAC na 90 dní alebo dlhšie na serveri ISE alebo RADIUS.

  • Autentifikácia Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS vyžaduje certifikát klienta na autentifikáciu a prístup do siete. V prípade bezdrôtového protokolu EAP-TLS môže byť certifikátom klienta certifikát MIC, LSC alebo certifikát nainštalovaný používateľom.

  • Protected Extensible Authentication Protocol (PEAP): proprietárna schéma vzájomnej autentifikácie založená na hesle spoločnosti Cisco medzi klientom (telefónom) a serverom RADIUS. Telefón môže používať protokol PEAP na overenie v bezdrôtovej sieti. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.

  • Predzdieľaný kľúč (PSK): Telefón podporuje formát ASCII. Tento formát musíte použiť pri nastavovaní predzdieľaného kľúča WPA/WPA2/SAE:

    ASCII: reťazec znakov ASCII s dĺžkou 8 až 63 znakov (0-9, malé a veľké písmená A-Z a špeciálne znaky)

    Príklad: GREG123567@9ZX&W

Nasledujúce schémy overovania používajú server RADIUS na správu autentifikačných kľúčov:

  • WPA/WPA2/WPA3: Používa informácie zo servera RADIUS na generovanie jedinečných kľúčov na overenie. Keďže tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako predzdieľané kľúče WPA, ktoré sú uložené v prístupovom bode a telefóne.

  • Rýchly zabezpečený roaming: Používa informácie zo servera RADIUS a bezdrôtového doménového servera (WDS) na správu a overovanie kľúčov. WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu. Telefóny Cisco Desk Phone 9861 a 9871 a Cisco Video Phone 8875 podporujú štandard 802.11r (FT). Podporované sú vzduchom aj DS, ktoré umožňujú rýchly a bezpečný roaming. Dôrazne však odporúčame použiť metódu 802.11r (FT) nad vzduchom.

Pri zabezpečení WPA/WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale automaticky sa odvodzujú medzi prístupovým bodom a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na overenie, však musia byť zadané na každom telefóne.

Aby bola hlasová prevádzka bezpečná, telefón podporuje šifrovanie TKIP a AES. Keď sa tieto mechanizmy používajú na šifrovanie, medzi prístupovým bodom a telefónom sa šifrujú signalizačné pakety SIP aj hlasové pakety protokolu RTP (Real-Time Transport Protocol).

TKIP

WPA používa šifrovanie TKIP, ktoré má oproti WEP niekoľko vylepšení. TKIP poskytuje šifrovanie kľúčom pre každý paket a dlhšie inicializačné vektory (IV), ktoré posilňujú šifrovanie. Okrem toho kontrola integrity správ (MIC) zabezpečuje, že šifrované pakety sa nemenia. Protokol TKIP odstraňuje predvídateľnosť kľúča WEP, ktorá pomáha narušiteľom dešifrovať kľúč WEP.

AES

Metóda šifrovania používaná na overovanie WPA2/WPA3. Tento národný štandard pre šifrovanie používa symetrický algoritmus, ktorý má rovnaký kľúč na šifrovanie a dešifrovanie. AES používa šifrovanie Cipher Blocking Chain (CBC) s veľkosťou 128 bitov, ktoré podporuje minimálne veľkosti kľúčov 128 bitov, 192 bitov a 256 bitov. Telefón podporuje veľkosť kľúča 256 bitov.

Telefóny Cisco Desk Phone 9861 a 9871 a Cisco Video Phone 8875 nepodporujú protokol Cisco Key Integrity Protocol (CKIP) s protokolom CMIC.

Schémy overovania a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. VLAN sú konfigurované v sieti a na prístupových bodoch a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou autentifikačnou a šifrovacou schémou. Ak chcete, aby sa bezdrôtové klientske zariadenia úspešne overili, musíte na prístupových bodoch a v telefóne nakonfigurovať rovnaké identifikátory SSID s ich schémami overovania a šifrovania.

Niektoré schémy overovania vyžadujú špecifické typy šifrovania.

  • Ak používate predzdieľaný kľúč WPA, kľúč WPA2 predzdieľaný alebo SAE, predzdieľaný kľúč musí byť staticky nastavený v telefóne. Tieto klávesy sa musia zhodovať s klávesmi, ktoré sú na prístupovom bode.

  • Telefón podporuje automatické vyjednávanie EAP pre FAST alebo PEAP, ale nie pre TLS. V prípade režimu EAP-TLS ho musíte zadať.

Schémy overovania a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre telefón, ktorá zodpovedá konfigurácii prístupového bodu.

Tabuľka 6. Schémy autentifikácie a šifrovania
Typ FSROverovanieSpráva kľúčovŠifrovanieChránený rámec správy (PMF)
802.11r (FT)PSK

WPA-PSK

WPA-PSK-SHA256

FT-PSK

AESNie
802.11r (FT)WPA3

SAE

FT-SAE

AESÁno
802.11r (FT)EAP-TLS

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-TLS (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno
802.11r (FT)EAP-FAST

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-FAST (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno
802.11r (FT)EAP-PEAP

WPA-EAP

FT-EAP

AESNie
802.11r (FT)EAP-PEAP (WPA3)

WPA-EAP-SHA256

FT-EAP

AESÁno

Konfigurácia profilu bezdrôtovej siete LAN

Profil bezdrôtovej siete môžete spravovať konfiguráciou poverení, frekvenčného pásma, metódy overovania atď.

Pred konfiguráciou profilu WLAN majte na pamäti nasledujúce poznámky:

  • Meno používateľa a heslo

    • Ak vaša sieť používa EAP-FAST a PEAP na overenie používateľa, musíte nakonfigurovať meno používateľa aj heslo, ak sa to vyžaduje v službe RADIUS (Remote Authentication Dial-In User Service) a telefóne.

    • Poverenia, ktoré zadáte do profilu bezdrôtovej siete LAN, musia byť totožné s povereniami, ktoré ste nakonfigurovali na serveri RADIUS.

    • Ak používate domény v rámci svojej siete, musíte zadať meno používateľa s názvom domény vo formáte: doména\menopoužívateľa.

  • Nasledujúce akcie môžu viesť k vymazaniu existujúceho hesla Wi-Fi:

    • Zadanie neplatného ID používateľa alebo hesla
    • Inštalácia neplatnej koreňovej certifikačnej autority alebo s uplynutou platnosťou, keď je typ EAP nastavený na PEAP-MSCHAPV2 alebo PEAP-GTC
    • Vypnutie používaného typu EAP na serveri RADIUS pred prepnutím telefónu na nový typ EAP
  • Ak chcete zmeniť typ EAP, uistite sa, že ste najprv povolili nový typ EAP na serveri RADIUS a potom prepnite telefón na typ EAP. Po zmene všetkých telefónov na nový typ EAP môžete predchádzajúci typ EAP zakázať, ak chcete.
1

V administrácii aplikácie Cisco Unified Communications Manager vyberte položku Device>Device Settings > Wireless LAN Profile .

2

Vyberte sieťový profil, ktorý chcete nakonfigurovať.

3

Nastavte parametre.

4

Kliknite na položku Uložiť.

Konfigurácia parametrov SCEP

Protokol jednoduchého zápisu certifikátu (SCEP) je štandard pre automatické zaisťovanie a obnovovanie certifikátov. Server SCEP môže automaticky uchovávať vaše užívateľské a serverové certifikáty.

Na webovej stránke telefónu musíte nakonfigurovať nasledujúce parametre SCEP

  • IP adresa RA

  • SHA-1 alebo SHA-256 odtlačok koreňového certifikátu CA pre server SCEP

Registračná autorita Cisco IOS (RA) slúži ako proxy server SCEP. Klient SCEP v telefóne používa parametre prevzaté z aplikácie Cisco Unified Communication Manager. Po nakonfigurovaní parametrov telefón odošle požiadavku SCEP getcs do RA a koreňový certifikát CA sa overí pomocou definovaného odtlačku prsta.

Skôr než začnete

Na serveri SCEP nakonfigurujte registračného agenta SCEP (RA) na:

  • Pôsobiť ako bod dôvery PKI
  • Pôsobiť ako PKI RA
  • Vykonanie overenia zariadenia pomocou servera RADIUS

Ďalšie informácie nájdete v dokumentácii k serveru SCEP.

1

V administrácii aplikácie Cisco Unified Communications Manager vyberte položku Device > Phone.

2

Vyhľadajte telefón.

3

Prejdite do oblasti Rozloženie konfigurácie špecifickej pre daný produkt.

4

Začiarknite políčko Server WLAN SCEP na aktiváciu parametra SCEP.

5

Začiarknite políčko WLAN Root CA Fingerprint (SHA256 alebo SHA1) , aby ste aktivovali parameter SCEP QED.

Nastavenie podporovaných verzií protokolu TLS

Môžete nastaviť minimálnu verziu protokolu TLS požadovanú pre klienta a server.

V predvolenom nastavení je minimálna verzia servera aj klienta TLS 1.2. Toto nastavenie má vplyv na nasledujúce funkcie:

  • Pripojenie webového prístupu HTTPS
  • Adaptácia lokálneho telefónu
  • Onboarding pre mobilný a vzdialený prístup (MRA)
  • služby HTTPS, ako sú adresárové služby
  • Zabezpečenie transportnej vrstvy datagramu (DTLS)
  • Entita prístupu k portom (PAE)
  • Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)

Ďalšie informácie o kompatibilite protokolu TLS 1.3 pre telefóny Cisco IP Phone nájdete v téme Matica kompatibility protokolu TLS 1.3 pre produkty spolupráce spoločnosti Cisco.

1

Prihláste sa do rozhrania správy systému Cisco Unified Communications Manager ako správca.

2

Prejdite do jedného z nasledujúcich okien:

  • Konfigurácia systému > podnikového telefónu
  • Zariadenie > Nastavenia zariadenia> Spoločný profil telefónu
  • Konfigurácia zariadenia > telefónu > telefónu
3

Nastavte pole minimálnej verzie klienta TLS:

Možnosť "TLS 1.3" je k dispozícii v aplikácii Cisco Unified CM 15SU2 alebo novšej.
  • TLS 1.1: Klient TLS podporuje verzie protokolu TLS od verzie 1.1 do 1.3.

    Ak je verzia protokolu TLS na serveri nižšia ako 1.1, napríklad 1.0, pripojenie sa nedá nadviazať.

  • TLS 1.2 (predvolené nastavenie): Klient TLS podporuje protokoly TLS 1.2 a 1.3.

    Ak je verzia protokolu TLS na serveri nižšia ako 1.2, napríklad 1.1 alebo 1.0, pripojenie nie je možné nadviazať.

  • TLS 1.3: Klient TLS podporuje iba protokol TLS 1.3.

    Ak je verzia protokolu TLS na serveri nižšia ako 1.3, napríklad 1.2, 1.1 alebo 1.0, pripojenie sa nedá nadviazať.

4

Nastavte pole Minimálna verzia servera TLS:

  • TLS 1.1: Server TLS podporuje verzie protokolu TLS od verzie 1.1 do 1.3.

    Ak je verzia protokolu TLS v klientovi nižšia ako 1.1, napríklad 1.0, pripojenie sa nedá nadviazať.

  • TLS 1.2 (predvolené): Server TLS podporuje protokoly TLS 1.2 a 1.3.

    Ak je verzia protokolu TLS v klientovi nižšia ako 1.2, napríklad 1.1 alebo 1.0, pripojenie sa nedá nadviazať.

  • TLS 1.3: Server TLS podporuje iba protokol TLS 1.3.

    Ak je verzia protokolu TLS v klientovi nižšia ako 1.3, napríklad 1.2, 1.1 alebo 1.0, pripojenie sa nedá nadviazať.

Od vydania PhoneOS 3.2 nastavenie poľa "Zakázať TLS 1.0 a TLS 1.1 pre webový prístup" nemá vplyv na telefóny.
5

Kliknite na položku Uložiť.

6

Kliknite na možnosť Použiť konfiguráciu.

7

Reštartujte telefóny.

Zaručené služby SIP

Assured Services SIP (AS-SIP) je kolekcia funkcií a protokolov, ktoré ponúkajú vysoko bezpečný tok hovorov pre telefóny Cisco IP a telefóny tretích strán. Nasledujúce funkcie sú spoločne známe ako AS-SIP:

  • Viacúrovňová priorita a predkupné právo (MLPP)
  • Bod kódu diferencovaných služieb (DSCP)
  • Transport Layer Security (TLS) a Secure Real-time Transport Protocol (SRTP)
  • Internet Protocol version 6 (IPv6)

AS-SIP sa často používa s viacúrovňovou precedenciou a preempciou (MLPP) na uprednostnenie hovorov počas núdzovej situácie. Pomocou funkcie MLPP priraďujete odchádzajúcim hovorom úroveň priority, od úrovne 1 (nízka) po úroveň 5 (vysoká). Po prijatí hovoru sa na telefóne zobrazí ikona úrovne priority hovoru.

Ak chcete nakonfigurovať AS-SIP, vykonajte v aplikácii Cisco Unified Communications Manager nasledujúce úlohy:

  • Konfigurácia používateľa súhrnu – nakonfigurujte koncového používateľa tak, aby používal overenie súhrnu pre požiadavky SIP.
  • Konfigurovať zabezpečený port telefónu SIP – aplikácia Cisco Unified Communications Manager používa tento port na počúvanie telefónov SIP pri registrácii liniek SIP prostredníctvom protokolu TLS.
  • Reštartovanie služieb – po nakonfigurovaní zabezpečeného portu reštartujte služby Cisco Unified Communications Manager a poskytovateľa Cisco CTL. Konfigurácia profilu SIP pre AS-SIP-Nakonfigurujte profil SIP s nastaveniami SIP pre koncové body AS-SIP a prenosové spoje SIP. Parametre špecifické pre telefón sa nesťahujú do telefónu AS-SIP tretej strany. Používa ich iba aplikácia Cisco Unified Manager. Telefóny tretích strán musia lokálne nakonfigurovať rovnaké nastavenia.
  • Konfigurácia profilu zabezpečenia telefónu pre AS-SIP – Profil zabezpečenia telefónu môžete použiť na priradenie nastavení zabezpečenia, ako sú napríklad TLS, SRTP a overenie súhrnu.
  • Konfigurácia koncového bodu AS-SIP – konfigurácia zariadenia Cisco IP Phone alebo koncového bodu tretej strany s podporou AS-SIP.
  • Priradiť zariadenie ku koncovému používateľovi – priraďte koncový bod k používateľovi.
  • Konfigurácia profilu zabezpečenia prenosového spoja SIP pre AS-SIP – profil zabezpečenia prenosového spoja SIP môžete použiť na priradenie funkcií zabezpečenia, ako je napríklad protokol TLS alebo overenie súhrnu, do prenosového spoja SIP.
  • Konfigurovať prenosový spoj SIP pre AS-SIP – nakonfigurujte prenosový spoj SIP s podporou AS-SIP.
  • Konfigurácia funkcií AS-SIP – konfigurácia ďalších funkcií AS-SIP, napríklad MLPP, TLS, V.150 a IPv6.

Podrobné informácie o konfigurácii AS-SIP nájdete v kapitole "Konfigurácia koncových bodov AS-SIP" v Príručke konfigurácie funkcií pre Cisco Unified Communications Manager.

Viacúrovňová priorita a predkupné právo

Funkcia Multilevel Precedence and Preemption (MLPP) vám umožňuje uprednostniť hovory počas núdzových alebo iných krízových situácií. Odchádzajúcim hovorom v rozsahu od 1 do 5 priradíte prioritu. Pri prichádzajúcich hovoroch sa zobrazuje ikona a priorita hovoru. Overení užívatelia môžu predbiehať hovory na cieľové stanice alebo prostredníctvom plne predplatených prenosových spojov TDM.

Táto schopnosť zabezpečuje vysoko postavený personál komunikácie s kritickými organizáciami a personálom.

Ak je vytočené číslo manipulované vzorom prekladu/smerovania, ktorý je nakonfigurovaný na Unified CM, iniciátor hovoru MLPP môže tiež vidieť špeciálnu ikonu MLPP a úroveň priority na obrazovke telefónu a počuť tón zvonenia. Toto správanie sa dosiahne po vydaní PhoneOS 3.4.

Konfigurácia MLPP na Unified CM

Ak chcete túto funkciu nakonfigurovať, postupujte takto:

  1. Nakonfigurujte domény a zoznamy domén.
    1. V administrácii Cisco Unified CM vyberte položku System > MLPP >Domain > MLPP Domain a pridajte nové domény MLPP.
    2. Vyberte sieťovú doménu System > MLPP >Namespace > Resource Priority Namespace Network Network a pridajte registrované priestory názvov, napríklad "drsn", "dsn", "cuc", "uc", "q735". Potom vyberte jeden názov domény, ktorý sa má nastaviť ako predvolený.
    3. Vyberte položku System > MLPP > Namespace > Resource Priority Namespace List (Zoznam priestoru názvov priorít zdrojov) a pridajte zoznamy priestoru názvov.
  2. Nakonfigurujte profil SIP.
    1. Vyberte položku Device> Device Settings> SIP Profile (ZariadenieNastavenia zariadeniaProfil SIP a pridajte nový profil SIP.
    2. Začiarknite políčko MLPP Autorizácia používateľa, ak chcete, aby telefón pri MLPP hovoroch vyžadoval poverenia používateľa.
    3. Vyberte nakonfigurovaný priestor názvov priority prostriedkov v časti Priestor názvov priority prostriedkov.
    4. Vyberte nakonfigurovaný zoznam priestoru názvov zo zoznamu priestoru názvov priority prostriedkov.
  3. Nakonfigurujte telefón.
    1. Vyberte položku Zariadenie > Telefón, aktualizujte alebo pridajte telefón.
    2. Vyberte nakonfigurovaný profil SIP v časti Profil SIP.
    3. V časti MLPP a Confidential Access Level Informácie nakonfigurujte parametre MLPP Doména MLPP Indikácia a MLPP Preemption.
  4. Nakonfigurujte číslo adresára.
    1. Vyberte položku Zariadenie > Telefón a pridajte alebo aktualizujte linku.
    2. V časti Nastavenia alternatívnej strany a Confidential Access Level v časti MLPP nakonfigurujte parametre Cieľ (cieľ), MLPP Calling Search Space a MLPP Trvanie zvonenia bez odpovede (sekundy).
    3. V časti Nastavenia čakajúceho hovoru alebo hovoru nakonfigurujte parameter Limity obsadenia.
  5. Nakonfigurujte koncového používateľa.
    1. Vyberte položku Správa používateľov > Koncový používateľ, pridajte novú.
    2. Kliknutím na položku Priradenie zariadenia priraďte používateľa k nakonfigurovanému telefónu.
    3. V časti Mutilevel Precedence and Preemption Authorization nakonfigurujte parametre.
  6. Ďalšie parametre pre MLPP môžete nakonfigurovať podľa svojich aktuálnych požiadaviek.
    • Vyberte položku Parameter systému >služby. Nakonfigurujte parametre v časti Parametre celého klastra (Funkcia - Viacúrovňová priorita a predkupné právo).
    • Vyberte položku Parameter systému >služby. Nakonfigurujte DSCP pre prioritné hovory v časti Parametre celého klastra (Systém - QOS).
    • Vyberte položku Parameter systému >služby. Nakonfigurujte MLPP prioritu na mapovanie priorít SRVP v časti Parametre celého klastra (Systém - RSVP)).
    • Nakonfigurujte vzory smerovača podľa vzoru smerovania hovorov > smerovania alebo pátrania > smerovača.
    • Nakonfigurujte pilotov pátrania pomocou funkcie Call Routing > Route/Hunt > Hunt Pilot.
    • Nakonfigurujte vzory prekladu pomocou vzoru smerovania hovoru > prekladu.
    • Nakonfigurujte brány, prenosové spoje, predvolený profil zariadenia, profil používateľského zariadenia, bežnú konfiguráciu zariadenia pre MLPP.

MLPP sa často používa so zaručenými službami SIP (AS-SIP). Podrobné informácie o konfigurácii MLPP nájdete v kapitole Konfigurácia viacúrovňovej priority a zabránenia v príručke konfigurácie funkcií pre Cisco Unified Communications Manager.

Konfigurácia VPN

Funkcia Cisco VPN pomáha zachovať zabezpečenie siete a zároveň poskytuje používateľom bezpečný a spoľahlivý spôsob pripojenia k podnikovej sieti. Túto funkciu použite, keď:

  • Telefón sa nachádza mimo dôveryhodnej siete
  • Sieťová prevádzka medzi telefónom a Cisco Unified Communications Manager prechádza nedôveryhodnou sieťou

V VPN existujú tri bežné prístupy k autentifikácii klienta:

  • Digitálne certifikáty
  • Heslá
  • Meno používateľa a heslo

Každá metóda má svoje výhody. Ak to však vaša firemná bezpečnostná politika povoľuje, odporúčame prístup založený na certifikátoch, pretože certifikáty umožňujú bezproblémové prihlásenie bez zásahu používateľa. Podporované sú certifikáty LSC aj MIC.

Ak chcete nakonfigurovať niektorú z VPN funkcií, najprv zriaďte zariadenie lokálne a potom môžete zariadenie nasadiť mimo priestorov.

Ďalšie informácie o overovaní certifikácie a práci so sieťou VPN nájdete v téme Konfigurácia telefónu AnyConnect VPN pomocou overenia certifikátom na ASA.

Pri prístupe založenom na hesle alebo mene používateľa a hesle sa používateľovi zobrazí výzva na zadanie prihlasovacích poverení. Nastavte prihlasovacie poverenia používateľa v súlade so zásadami zabezpečenia vašej spoločnosti. Môžete tiež nakonfigurovať nastavenie Povoliť pretrvávanie hesla tak, aby sa používateľské heslo uložilo do telefónu. Heslo používateľa sa uchováva, kým nedôjde k neúspešnému pokusu o prihlásenie, kým používateľ manuálne nevymaže heslo alebo kým sa telefón neresetuje alebo nestratí napájanie.

Ďalším užitočným nástrojom je nastavenie Povoliť automatickú detekciu siete. Keď začiarknete toto políčko, VPN klient sa môže spustiť len vtedy, keď zistí, že sa nachádza mimo podnikovej siete. Toto nastavenie je predvolene zakázané.

Telefón Cisco podporuje ako typ klienta klienta Cisco SVC IPPhone Client v1.0.

Ďalšie informácie o konfigurácii VPN na Unified CM nájdete v téme Sprievodca konfiguráciou funkcií pre Cisco Unified Communications Manager.

Funkcia Cisco VPN využíva na zachovanie zabezpečenia siete SSL technológiu Secure Sockets Layer (Secure Sockets Layer).