リリース11.3(1)以降の Cisco IP 電話 7800シリーズマルチプラットフォーム電話管理ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

リリース11.3(1)以降の Cisco IP 電話 7800シリーズマルチプラットフォーム電話管理ガイド

Chapter Title

Cisco IP 電話のセキュリティ

検索結果

Updated:
2022年9月12日

章のタイトル： Cisco IP 電話のセキュリティ

Cisco IP 電話のセキュリティ

ドメインおよびインターネットの設定

制限付きアクセス ドメインを構成する

指定されたサーバのみを使用して登録、プロビジョニング、ファームウェアアップグレード、およびレポートを送信するように、電話機を設定することができます。 指定されたサーバを使用しない登録、プロビジョニング、アップグレード、およびレポートは、電話機では実行できません。 使用するサーバを指定する場合は、以下のフィールドに入力するサーバがリストに含まれていることを確認してください。

  • プロビジョニングタブ上のプロファイルルール、プロファイルルール B、プロファイルルール C、およびプロファイルルール D

  • プロビジョニングタブ上のアップグレードルールおよび Cisco ヘッドセットアップグレードルール

  • プロビジョニングタブ上のレポートルール

  • プロビジョニングタブ上のカスタム CA ルール

  • 内線（n）タブ上のプロキシおよびアウトバウンドプロキシ

始める前に

電話機 ウェブインターフェイスへのアクセス.

手順

ステップ 1

[音声（Voice）] > [システム（System）] を選択します。

ステップ 2

システム設定セクションで、制限付きアクセスドメイン フィールドを見つけ、各サーバーの完全修飾ドメイン名（FQDN）を入力します。 FQDN はカンマで区切ります。

例:

voiceip.com, voiceip1.com

次の形式で文字列を入力することによって、設定ファイル (cfg.xml) でこのパラメータを設定することができます。 

<Restricted_Access_Domains ua="na">voiceip.com, voiceip1.com</Restricted_Access_Domains>
ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

DHCP オプションを設定する

電話機が DHCP オプションを使用する順序を設定することができます。 DHCP オプションのヘルプについては、DHCP オプションのサポートを参照してください。

始める前に

電話機 ウェブインターフェイスへのアクセス.

手順

ステップ 1

[音声（Voice）] > [プロビジョニング（Provisioning）] を選択します。

ステップ 2

設定プロファイル セクションで、 DHCPオプション設定のパラメータ表の説明に従って、使用するDHCPオプションと 使用するDHCPv6オプション を設定します。

ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

DHCPオプション設定のパラメータ

次の表は、電話機のウェブインターフェイスの音声>プロビジョニングタブの下にある設定プロファイルセクションにおけるDHCPオプション設定のパラメータの機能と使用方法を定義しています。 また、パラメータを設定するために、XML (cfg.xml) コードを含む電話構成ファイルに追加される文字列のシンタックスも定義します。

表 1. DHCPオプション設定のパラメータ

パラメータ

説明

[使用するDHCPオプション（DHCP Option To Use）]

ファームウェアおよびプロファイルを取得するために使用される、コンマで区切られた DHCP オプション。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。

    <DHCP_Option_To_Use ua="na">66,160,159,150,60,43,125</DHCP_Option_To_Use>

  • 電話機のウェブページで、DHCP オプションをコンマで区切って入力します。

    例：66,160,159,150,60,43,125

デフォルト：66,160,159,150,60,43,125

[使用するDHCPv6オプション（DHCPv6 Option To Use）]

ファームウェアおよびプロファイルを取得するために使用される、コンマで区切られた DHCPv6 オプション。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。

    <DHCPv6_Option_To_Use ua="na">17,160,159</DHCPv6_Option_To_Use>

  • 電話機のウェブページで、DHCP オプションをコンマで区切って入力します。

    例：17,160,159

デフォルト：17,160,159

DHCP オプションのサポート

次の表に、複数の電話機でサポートされている DHCP オプションを表示します。

ネットワーク標準規格

説明

DHCP オプション 1

サブネット マスク（Subnet mask）

DHCP オプション 2

タイム オフセット

DHCP オプション 3

ルータ

DHCP オプション 6

ドメイン ネーム サーバ

DHCP オプション 15

ドメイン名（Domain Name）

DHCP オプション 41

IP アドレスのリース期間

DHCP オプション 42

NTP サーバ

DHCP オプション 43

ベンダー固有の情報

TR.69 自動コンフィギュレーション サーバ（ACS）の検出に使用できます。

DHCP オプション 56

NTP サーバ

IPv6 を使用した NTP サーバの構成

DHCP オプション 60

ベンダー クラス ID

DHCP オプション 66

TFTP サーバ名

DHCP オプション 125

ベンダー識別ベンダー固有の情報

TR.69 自動コンフィギュレーション サーバ（ACS）の検出に使用できます。

DHCP オプション 150

TFTP サーバ（TFTP server）

DHCP オプション 159

プロビジョニング サーバ IP

DHCP オプション 160

プロビジョニング URL

SIP INVITE メッセージのチャレンジの設定

セッションで SIP INVITE（初期化）メッセージにチャレンジするように電話を設定できます。 チャレンジは、サービス プロバイダー ネットワーク上でデバイスとの相互作用が許可される SIP サーバを制限します。 これにより、電話機に対する悪意のある攻撃を防ぐことができます。 有効に設定した場合、SIP プロキシからの初期の着信 INVITE リクエストに認証が必要になります。

XML（cfg.xml）コードを使用して電話機構成ファイルのパラメータを設定することもできます。

始める前に

電話機 ウェブインターフェイスへのアクセス.

手順

ステップ 1

[音声（Voice）] > [内線（n）（Ext(n)）] を選択します。ここで、n は内線番号です。

ステップ 2

[SIP 設定 (SIP Settings)]セクションで、[認証 INVITE（Auth INVITE）] リストから [はい（Yes）] を選択してこの機能を有効にするか、[いいえ（No）] を選択して無効にします。

次の形式で文字列を入力することによって、設定ファイル (cfg.xml) でこのパラメータを設定することができます。 
<Auth_INVITE_1>Yes</Auth_INVITE_1_>

デフォルト：いいえ(No)

ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

トランスポート レイヤ セキュリティ

Transport Layer Security（TLS）は、インターネット上での通信を保護および認証するための標準プロトコルです。 SIP over TLS は、サービス プロバイダーの SIP プロキシとエンド ユーザ間の SIP メッセージシグナリングを暗号化します。

Cisco IP 電話は SIP トランスポート用の標準として UDP を使用しますが、セキュリティ強化のため SIP over TLS もサポートします。

次の表は、2 つの TLS レイヤーを示します。

表 2. TLS レイヤー

Protocol Name

説明

TLS 録音プロトコル

SIP や TCH などの信頼性の高いトランスポート プロトコルで階層化されたこの層は、接続が対称データ暗号化の使用を通してプライベートであることと、その接続が信頼できることを保証します。

TLS ハンドシェイクプロトコル

サーバと顧客を認証し、アプリケーション プロトコルがデータを送受信する前に暗号化アルゴリズムと暗号キーをネゴシエートします。

SIP Over TLS でシグナリングを暗号化する

SIP over TLS を使用してシグナリングメッセージを暗号化する場合は、追加されたセキュリティを設定できます。

始める前に

電話機 ウェブインターフェイスへのアクセス. 「トランスポート レイヤ セキュリティ」を参照。

手順

ステップ 1

[音声（Voice）] > [内線（n）（Ext(n)）] を選択します。ここで、n は内線番号です。

ステップ 2

[SIP 設定（SIP Settings）] セクションで、[SIP トランスポート（SIP Transport）] リストから [TLS] を選択します。

次の形式で文字列を入力することによって、設定ファイル (cfg.xml) でこのパラメータを設定することができます。 
<SIP_Transport_1_ ua="na">TLS</SIP_Transport_1_>
.

使用可能なオプションは次のとおりです。

  • UDP

  • [TCP]

  • TLS

  • 自動

デフォルト：UDP
ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

LDAP over TLS の設定

LDAP over TLS（LDAPS）を設定して、サーバと特定の電話機間の安全なデータ転送を有効にできます。


注目

シスコでは、認証方式をデフォルト値の [なし（None）] のままにしておくことを推奨しています。 [サーバ（server）] フィールドの隣は、[なし（None）]、[シンプル（Simple）]、または [Digest-MD5] の値を使用する認証フィールドです。 認証には [TLS] の値はありません。 ソフトウェアはサーバ文字列の LDAPS プロトコルから認証方法を決定します。

XML（cfg.xml）コードを使用して電話機構成ファイルのパラメータを設定することもできます。

始める前に

電話管理の Web ページにアクセスします。 電話機 ウェブインターフェイスへのアクセスを参照してください。

手順

ステップ 1

[音声（Voice）] > [電話（Phone）] を選択します。

ステップ 2

[LDAP] セクションで、サーバ アドレスを [サーバ（Server）] フィールドに入力します。

次の形式で文字列を入力することによって、設定ファイル (cfg.xml) でこのパラメータを設定することができます。

<LDAP_Server ua="na">ldaps://10.45.76.79</LDAP_Server>

たとえば、ldaps://<ldaps_server>[:port] を入力します。

引数の説明

  • ldaps://= サーバーアドレス文字列の開始。

  • Ldaps_server = IP アドレスまたはドメイン名

  • port = ポート番号 デフォルト：636

ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

StartTLS の設定

電話機と LDAP サーバ間の通信には、開始トランスポートレイヤセキュリティ (StartTLS) を有効にすることができます。 セキュリティで保護された通信と安全でない通信の両方に同じネットワークポート (デフォルト 389) を使用します。 LDAP サーバが StartTLS をサポートしている場合、TLS は通信を暗号化します。 それ以外の場合は、通信はプレーンテキストになります。

始める前に

手順

ステップ 1

[音声（Voice）] > [電話（Phone）] を選択します。

ステップ 2

[LDAP] セクションで、サーバ アドレスを [サーバ（Server）] フィールドに入力します。

たとえば、ldap://<ldap_server>[:port] を入力します。

ここで、

  • ldap://= URLのスキーム、サーバーアドレス文字列の開始

  • Ldap_server = IP アドレスまたはドメイン名

  • port = ポート番号

次の形式で文字列を入力することによって、設定ファイル (cfg.xml) でこのパラメータを設定することができます。

<LDAP_Server ua="na">ldap://<ldap_server>[:port]</LDAP_Server>
ステップ 3

StartTLS 有効フィールドをはいに設定します。

次の形式で文字列を入力することによって、設定ファイル (cfg.xml) でこのパラメータを設定することができます。

<LDAP_StartTLS_Enable ua="na">可</LDAP_StartTLS_Enable>
ステップ 4

[すべての変更の送信（Submit All Changes）]をクリックします。

HTTPS プロビジョニング

電話機は、リモートに導入されたユニットを管理する際のセキュリティを強化するために、プロビジョニング用に HTTPS をサポートします。 各電話機は、Sipura CA サーバ ルート証明書に加えて、固有の SLL クライアント証明書（および関連付けられた秘密キー）を保持します。 ルート証明書を使って、電話機は認証されたプロビジョニング サーバを認識し、認証されていないサーバを拒否できます。 一方、クライアント証明書を使うと、プロビジョニング サーバはリクエストを発行した個々のデバイスを識別できます。

HTTPS を使用して導入を管理するサービス プロバイダーでは、HTTPS を使用した電話機の再同期先となるプロビジョニング サーバごとにサーバ証明書を生成する必要があります。 サーバ証明書はシスコ サーバの CA ルート キーで署名される必要があります。導入済みのすべてのユニットはすべての証明書を保持します。 署名されたサーバ証明書を取得するには、サービス プロバイダーが証明書署名要求をシスコに送信します。シスコはプロビジョニング サーバへのインストール用にサーバ証明書に署名して返送します。

プロビジョニング サーバ証明書には、共通名（CN）フィールドと、対象内でサーバを実行しているホストの FQDN を含める必要があります。 オプションで、ホストの FQDN に続く情報をスラッシュ（/）文字で区切って含めることができます。 次の例は、電話機で有効として受け入れられる CN エントリです。 


CN=sprov.callme.com
CN=pv.telco.net/mailto:admin@telco.net
CN=prof.voice.com/info@voice.com

電話機では、サーバ証明書の検証に加えて、サーバ証明書で指定されたサーバ名の DNS ルックアップに対してサーバ IP アドレスをテストします。

署名付きサーバ証明書の取得

OpenSSL ユーティリティで、証明書署名要求を生成できます。 次の例は、1024 ビットの RSA 公開キーと秘密キーのペアおよび証明書署名要求を生成する openssl コマンドを示しています。 


openssl req –new –out provserver.csr

このコマンドでは、privkey.pem と対応する証明書署名要求 provserver.csr にサーバの秘密キーが生成されます。 サービス プロバイダーは、privkey.pem 秘密キーを維持し、署名のために provserver.csr をシスコに提出します。 provserver.csr ファイルを受信すると、シスコは署名付きサーバ証明書 provserver.crt を生成します。

手順

ステップ 1

https://software.cisco.com/software/cda/home に移動し、CCO クレデンシャルでログインします。

（注）   

電話機を初めてネットワークに接続する場合、または初期設定へのリセット後にネットワークに接続する場合に、セットアップされている DHCP オプションがないと、電話機はゼロ タッチ プロビジョニングのためにデバイス アクティベーション サーバに接続します。 新しい電話機は、プロビジョニングに "webapps.cisco.com" の代わりに "activate.cisco.com" を使用します。 11.2(1) より前のファームウェアを搭載している電話機は、引き続き "webapps.cisco.com" を使用します。 ファイアウォールで両方のドメイン名を許可することが推奨されます。

ステップ 2

[証明書の管理（Certificate Management）] を選択します。

[CSRの署名（Sign CSR）] タブで、前の手順の CSR を署名用にアップロードします。

ステップ 3

[製品の選択（Select Product）] ドロップダウン リスト ボックスから [SPA1xxファームウェア1.3.3以降（SPA1xx firmware 1.3.3 and newer）]、[SPA232Dファームウェア1.3.3以降（SPA232D firmware 1.3.3 and newer）]、[SPA5xxファームウェア7.5.6以降（SPA5xx firmware 7.5.6 and newer）]、[CP-78xx-3PCC]、および [CP-88xx-3PCC] を選択します。

ステップ 4

[CSRファイル（CSR File）] フィールドで、[参照（Browse）] をクリックし、署名用に CSR を選択します。

ステップ 5

暗号方式を選択します。

  • MD5
  • SHA1
  • SHA256

SHA256 暗号化を選択することが推奨されます。
ステップ 6

[サインイン期間（Sign in Duration）] ドロップダウン リスト ボックスで、適切な期間（1 年など）を選択します。

ステップ 7

[証明書の署名要求（Sign Certificate Request）] をクリックします。

ステップ 8

署名付き証明書を受信するには、次のいずれかのオプションを選択します。

  • [受信者の電子メールアドレスを入力する（Enter Recipient’s Email Address）]：電子メールで証明書を受け取る場合は、このフィールドに電子メール アドレスを入力します。
  • [ダウンロード（Download）]：署名付き証明書をダウンロードする場合は、このオプションを選択します。
ステップ 9

[送信（Submit）] をクリックします。

署名付きサーバ証明書は、前に指定した電子メール アドレスに送信されるか、ダウンロードされます。

マルチプラットフォーム フォンの CA クライアント ルート証明書

シスコは、サービス プロバイダーにマルチプラットフォーム フォンのクライアント ルート証明書も提供しています。 このルート証明書により、各電話機で保持されるクライアント証明書が本物であることが証明されます。 マルチプラットフォーム フォンは、Verisign、Cybertrust などで提供される証明書のように、サードパーティの署名付き証明書もサポートします。

各デバイスが HTTPS セッション中に提供する固有のクライアント証明書では、その件名フィールドに識別情報が埋め込まれています。 この情報は、HTTPS サーバを介して、安全なリクエストを処理するために起動される CGI スクリプトで使用できます。 特に、証明書の件名は、ユニットの製品名（OU 要素）、MAC アドレス（S 要素）、シリアル番号（L 要素）を示します。

次は、Cisco IP 電話 7841 マルチプラットフォーム フォンのクライアント証明書にある件名フィールドの例で、以下の要素を示しています。

OU=CP-7841-3PCC, L=88012BA01234, S=000e08abcdef
次は、Cisco IP 会議用電話 7832 マルチプラットフォーム フォンのクライアント証明書にある件名フィールドの例で、以下の要素を示しています。

OU=CP-7832-3PCC, L=88012BA01234, S=000e08abcdef

電話機が個別の証明書を保持するかどうかを判断するには、$CCERT プロビジョニング マクロ変数を使用します。 変数の値は、固有のクライアント証明書の有無に従って、Installed または Not Installed のいずれかに展開されます。 一般的な証明書の場合は、User-Agent フィールドの HTTP リクエスト ヘッダーからユニットのシリアル番号を取得できます。

HTTPS サーバを設定して、接続しているクライアントに SSL 証明書を要求することができます。 これを有効にすると、サーバは、シスコが提供するマルチプラットフォーム フォンのクライアント ルート証明書を使用してクライアント証明書を検証できます。 その後、サーバは、以降の処理のために証明書情報を CGI に提供できます。

証明書の保存場所はさまざまです。 たとえば、Apache をインストールした場合には、プロビジョニング サーバの署名付き証明書、関連付けられた秘密キー、マルチプラットフォーム フォン CA クライアントのルート証明書を保存するファイル パスは次のようになります。


# Server Certificate:
SSLCertificateFile /etc/httpd/conf/provserver.crt

# Server Private Key:
SSLCertificateKeyFile /etc/httpd/conf/provserver.key

# Certificate Authority (CA):
SSLCACertificateFile /etc/httpd/conf/spacroot.crt

個別の情報は、HTTPS サーバの資料を参照してください。

シスコのクライアント証明書ルート認証局が、独自の証明書にそれぞれ署名します。 関連するルート証明書が作成され、クライアント認証の目的でサービス プロバイダーがそれを利用できるようになります。

冗長プロビジョニング サーバ

プロビジョニング サーバは、IP アドレスまたは完全修飾ドメイン名（FQDN）で指定できます。 FQDN を使用すると、冗長なプロビジョニング サーバの導入が容易になります。 プロビジョニング サーバが FQDN によって識別される場合、電話機は DNS を介して FQDN を IP アドレスに解決しようとします。 プロビジョニングでは DNS A レコードのみサポートされます。DNS SRV のアドレス解決はプロビジョニングには使用できません。 電話機は、サーバが応答するまで A レコードの処理を続行します。 A レコードの応答にサーバが関連付けられていない場合、電話機は syslog サーバにエラーを記録します。

syslog サーバ

<Syslog Server> パラメータを使用して syslog サーバを電話機に設定している場合、再同期およびアップグレード操作のメッセージが syslog サーバーに送信されます。 メッセージはリモート ファイル リクエストの開始時（設定プロファイルまたはファームウェアのロード）、および操作の完了時（成功または失敗を示す）に生成できます。

ログに記録されたメッセージは次のパラメータで設定され、実際の syslog メッセージにマクロ展開されます。

  • Log_Request_Msg

  • Log_Success_Msg

  • Log_Failure_Msg

ファイアウォールを有効にする

オペレーティングシステムを強化することにより、電話のセキュリティを改善しました。 この強化により、電話機は悪意のある着信トラフィックから保護するファイアウォールを備えています。 ファイアウォールは、受信データと送信データのポートを追跡します。 予期しないソースからの着信トラフィックが検出されると、アクセスがブロックされます。 ファイアウォールはすべての発信トラフィックを許可します。

ファイアウォールは、通常、ブロックされているポートを動的にロック解除します。 発信 TCP 接続または UDP フローは、リターントラフィックと継続トラフィックに対するポートのブロックを解除します。 フローがアクティブな間、ポートはブロックされていない状態になります。 このポートは、フローが停止またはエージングするときに、ブロックされた状態に戻ります。

従来の設定である IPv6 マルチキャストPing 音声 > システム > ipv6 設定 > ブロードキャストエコーは、新しいファイアウォール設定に関係なく動作し続けます。

通常、ファイアウォール設定の変更によって電話機を再起動することはありません。 通常、電話機のソフト再起動はファイアウォール動作に影響しません。

ファイアウォールは、デフォルトでは有効になっています。 無効にしている場合は、電話機のウェブページから有効にすることができます。

始める前に

電話機 ウェブインターフェイスへのアクセス

手順

ステップ 1

音声 > システム > セキュリティ設定を選択します。

ステップ 2

ファイアウォール ドロップダウンリストで、[有効（Enabled）] を選択します。

次の形式で文字列を入力することによって、設定ファイル (cfg .xml) でこのパラメータを設定することもできます。
<Firewall ua="na">Enabled</Firewall>

有効値は、無効|有効です。 デフォルト値は [有効（Enabled）] です。
ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

これにより、デフォルトで開いている UDP ポートと TCP ポートでファイアウォールが有効になります。
ステップ 4

ネットワークを以前の動作に戻したい場合は、 [無効（Disabled）] を選択します。

次の表では、デフォルトのオープン UDP ポートを説明しています。

表 3. ファイアウォールデフォルトのオープン UDP ポート

デフォルトのオープン UDP ポート

説明

DHCP/DHCPv6

DHCP クライアントポート 68

DHCPv6 クライアントポート 546

SIP UDP

[回線の有効化（Line Enable）] が [はい（Yes）] に設定され、[SIP トランスポート（SIP Transport）] が [UDP] または [自動（Auto）] に設定されている場合、 [音声（Voice）] > [内線（Ext）]<n> > [SIP 設定（SIP Settings）] > [SIP ポート（SIP Port）]（例：5060）でポートを設定します。

RTP/RTCP

RTP ポートの最小値からRTPポートの最大値 + 1 までの UDP ポート範囲

PFS（ピア ファームウェア共有）

アップグレード有効化とピアファームウェア共有が [はい（Yes）] に設定されている場合、ポート 4051になります。

TFTP クライアント

ポート 53240-53245 リモートサーバーが標準の TFTP ポート 69 以外のポートを使用している場合は、このポート範囲が必要です。サーバーが標準ポート 69 を使用している場合は、これをオフにすることができます。追加のオプションを使用してファイアウォールを設定するを参照してください。

TR-069

TR-069を有効にする が [はい（Yes）] に設定されている場合、UDP/STUN ポート 7999 になります。

次の表では、デフォルトのオープン UDP ポートを説明しています。

表 4. ファイアウォールデフォルト オープン TCP ポート

デフォルトのオープン TCP ポート

説明

[Webサーバ（Web server）]

ウェブサーバを有効にするが [はい（Yes）]されている場合、ウェブサーバーポート経由で設定されたポート（デフォルト80）になります。

PFS（ピア ファームウェア共有）

アップグレード有効化とピアファームウェア共有の両方が [はい（Yes）] に設定されている場合、ポート 4051 および 6970になります。

TR-069

TR-069を有効にするが [はい（Yes）] に設定されている場合、TR-069接続リクエストURLのHTTP/SOAPポートになります。

ポートは、範囲 8000-9999 からランダムに選択されます。

追加のオプションを使用してファイアウォールを設定する

ファイアウォールオプション オプションフィールドで、追加オプションを設定することができます。 フィールドの各オプションのキーワードを入力し、キーワードをコンマ (,) で区切ります。 一部のキーワードには値があります。 コロン (:)で値を区切りますます。

始める前に

電話機 ウェブインターフェイスへのアクセス

手順

ステップ 1

音声 > システム > セキュリティ設定に移動します。

ステップ 2

[ファイアウォール（Firewall）] フィールド [有効（Enabled）] に設定します

ステップ 3

ファイアウォールオプション に、キーワードを入力します。 ポートの一覧は、IPv4 プロトコルと IPv6 プロトコルの両方に適用されます。

キーワードを入力する際、

  • 各キーワードはカンマ (,)で区切ります。

  • キーワード値は、コロン (:)で区切ります。

表 5. ファイアウォールのオプション設定

ファイアウォールオプションのキーワード

説明

フィールドが空です。

ファイアウォールは、デフォルトのオープンポートを使用して実行されます。

NO_ICMP_PING

ファイアウォールは、ICMP/ICMPv6 Echoリクエスト(Ping)の着信をブロックします。

このオプションでは、電話機に対する一部のタイプのトレースルートリクエストを中断する場合があります。 Windows tracert はその一例です。

オプションの組み合わせを使用したファイアウォールオプションエントリの例を次に示します。

NO_ICMP_PING,TCP:12000,UDP:8000:8010

ファイアウォールは、デフォルト設定と次の追加オプションで実行されます。

  • 着信 ICMP/ICMPv6 Echo (Ping) リクエストをドロップします。

  • 着信接続用の TCP ポート 12000 (IPv4 および IPv6) を開きます。

  • 着信リクエストに対して UDP ポート範囲 8000-8010 (IPv4 および IPv6) を開きます。

NO_ICMP_UNREACHABLE

電話機は、UDP ポートに対して ICMP および ICMPv6 の宛先到着不可（Destination Unreachable） を送信しません。

（注）   

この例外は、RTP ポート範囲内のポートで、常に宛先到着不可（Destination Unreachable） を送信することです。

このオプションでは、電話機に対する一部のタイプの トレースルート リクエストを中断する場合があります。 例えば、Linux トレースルートが中断する可能性があります。

NO_CISCO_TFTP

  • 電話機は、TFTP クライアントのポート範囲 (UDP 53240:53245)を開いていません。

  • 非標準 (非 69) TFTP サーバポートに対するリクエストは失敗します。

  • 標準 TFTP サーバポート 69 へのリクエスト。

次のキーワードとオプションは、電話機が着信リクエストを処理するカスタムアプリケーションを実行するときに適用されます。

UDP:<xxx>

UDP ポート <xxx> を開きます。

UDP:<xxx:yyy>

UDP ポート範囲 <xxx to yyy> を開きます。

最大 5 個の UDP ポートオプション (単一のポートとポート範囲) を保持できます。 たとえば、3 つの UDP:<xxx> および 2 つの UDP:<xxx:yyy> を保持することができます。

TCP:<xxx>

TCP ポート <xxx> を開きます。

TCP:<xxx:yyy>

TCP ポート範囲 <xxx to yyy> を開きます。

最大 5 個の TCP ポートオプション (単一のポートとポート範囲) を保持できます。 たとえば、4 つの TCP:<xxx> と 1 つの TCP:<xxx:yyy> を保持することができます。

次の形式で文字列を入力することによって、設定ファイル (cfg .xml) でこのパラメータを設定することもできます。 
<Firewall_Config ua="na">NO_ICMP_PING</Firewall_Config>
ステップ 4

[すべての変更の送信（Submit All Changes）]をクリックします。

暗号リストを設定する

電話機の TLS アプリケーションが使用する暗号スイートを指定することができます。 指定された暗号リストは、TLS プロトコルを使用するすべてのアプリケーションに適用されます。 お使いの電話機の TLS アプリケーションには、次のものが含まれます。

  • カスタマー CA プロビジョニング

  • E911 地理位置情報

  • ファームウェア/シスコ ヘッドセットアップグレード

  • LDAPS

  • LDAP (StartTLS)

  • 画像ダウンロード

  • ロゴダウンロード

  • ディクショナリダウンロード

  • プロビジョニング

  • レポートアップロード

  • PRTアップロード

  • SIP オーバー TLS

  • TR-069

  • WebSocket API

  • XML サービス

  • XSI サービス

また、TR-069 パラメータ (Device.X_CISCO_SecuritySettings.TLSCipherList) または設定ファイル(cfg.xml)で暗号を指定することもできます。 設定ファイルに次のフォーマットで文字列を入力します。 
<TLS_Cipher_List ua="na">RSA:!aNULL:!eNULL</TLS_Cipher_List>

始める前に

電話管理のウェブページにアクセスして、 電話機 ウェブインターフェイスへのアクセスを参照してください。

手順

ステップ 1

[音声（Voice）] > [システム（System）] を選択します。

ステップ 2

セキュリティ設定セクションで、TLS 暗号化リストフィールドに暗号スイートまたは暗号スイートの組み合わせを入力します。

例： 

RSA:!aNULL:!eNULL
RSA 認証を使用してこれらの暗号スイートをサポートしますが、暗号化と認証を行わない暗号スイートを除きます
（注）   

有効な暗号リストは、 https://www.openssl.org/docs/man1.1.1/man1/ciphers.htmlで定義されている形式に従う必要があります。 電話機は、OpenSSL ウェブページにリストされているすべての暗号文字列をサポートしていません。 サポートされる文字列については、サポートされている暗号文字列を参照してください。

TLS 暗号リストフィールドに空白または無効な値が含まれている場合、使用される暗号スイートはアプリケーションによって異なります。 このフィールドに空白または無効な値が含まれている場合は、アプリケーションが使用する以下のスイートの一覧を参照してください。

  • ウェブサーバ (HTTPS) アプリケーションは、次の暗号スイートを使用します。

    • ECDHE-RSA-AES256-GCM-SHA384

    • ECDHE-RSA-AES128-GCM-SHA256

    • AES256-SHA

    • AES128-SHA

    • DES-CBC3-SHA

  • XMPP では、暗号リストt HIGH:MEDIUM:AES:@STRENGTHを使用します。

  • SIP、TR-069、および curl ライブラリを使用するその他のアプリケーションは、デフォルトの暗号ストリングを使用します。 デフォルトの暗号ストリングには、電話機がサポートする次の暗号スイートが含まれます。 

    DEFAULT Cipher Suites (28 suites):
        ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
        ECDHE_RSA_WITH_AES_256_GCM_SHA384
        DHE_RSA_WITH_AES_256_GCM_SHA384
        ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
        ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
        DHE_RSA_WITH_CHACHA20_POLY1305_SHA256
        ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
        ECDHE_RSA_WITH_AES_128_GCM_SHA256
        DHE_RSA_WITH_AES_128_GCM_SHA256
        ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
        ECDHE_RSA_WITH_AES_256_CBC_SHA384
        DHE_RSA_WITH_AES_256_CBC_SHA256
        ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
        ECDHE_RSA_WITH_AES_128_CBC_SHA256
        DHE_RSA_WITH_AES_128_CBC_SHA256
        ECDHE_ECDSA_WITH_AES_256_CBC_SHA
        ECDHE_RSA_WITH_AES_256_CBC_SHA
        DHE_RSA_WITH_AES_256_CBC_SHA
        ECDHE_ECDSA_WITH_AES_128_CBC_SHA
        ECDHE_RSA_WITH_AES_128_CBC_SHA
        DHE_RSA_WITH_AES_128_CBC_SHA
        RSA_WITH_AES_256_GCM_SHA384
        RSA_WITH_AES_128_GCM_SHA256
        RSA_WITH_AES_256_CBC_SHA256
        RSA_WITH_AES_128_CBC_SHA256
        RSA_WITH_AES_256_CBC_SHA
        RSA_WITH_AES_128_CBC_SHA
        EMPTY_RENEGOTIATION_INFO_SCSV
ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

サポートされている暗号文字列

次に示すサポートされている暗号文字列は、OpenSSL 1.1.1d 標準に基づいています。

表 6. サポートされている暗号文字列 (OpenSSL 1.1.1d)

文字列

文字列

文字列

DEFAULT

kECDHE、kEECDH

CAMELLIA128, CAMELLIA256, CAMELLIA

COMPLEMENTOFDEFAULT

ECDHE、EECDH

CHACHA20

すべて

ECDH

SEED

COMPLEMENTOFALL

AECDH

MD5

高

aRSA

SHA1、SHA

中規模

aDSS、DSS

SHA256、SHA384

eNULL、NULL

aECDSA、ECDSA

SUITEB128、SUITEB128ONLY、SUITEB192

aNULL

TLSv 1.2, TLSv1, SSLv3

kRSA、RSA

AES128、AES256、AES

kDHE、kEDH、DH

AESGCM

DHE、EDH

AESCCM、AESCCM8

ADH

ARIA128、ARIA256、ARIA

SIP over TLS のホスト名検証を有効化する

TLS を使用している場合は、電話回線上の電話機のセキュリティを向上させることができます。 電話回線はホスト名を確認して、接続が安全であるかどうかを確認できます。

TLS 接続を介して、電話機はサーバアイデンティティを確認するためにホスト名を検証できます。 電話機は、サブジェクトの別名 (SAN) と一般名 (CN) の両方をチェックできます。 有効な証明書のホスト名がサーバとの通信に使用されるホスト名と一致する場合、TLS 接続が確立されます。 それ以外の場合、TLS 接続は失敗します。

電話機は、常に、以下のアプリケーションのホスト名を確認します。

  • LDAPS

  • LDAP (StartTLS)

  • XMPP

  • HTTPS 経由のイメージアップグレード

  • HTTPS over HTTPS

  • HTTPS 経由でのファイルのダウンロード

  • TR-069

電話回線が TLS を介して SIP メッセージを転送する場合、内線(n)タブの TLS名検証 フィールドを使用して回線を設定し、ホスト名の検証を有効にするか、あるいはバイパスするかを設定できます。

始める前に

手順

ステップ 1

音声 > 内線 (n).に移動します。

ステップ 2

[プロキシと登録 セクションで、TLS名検証 フィールドを [はい（Yes）] に設定してホスト名検証を有効にするか、[いいえ（No）] に 設定してホスト名検証をバイパスします。

次の形式で文字列を入力することによって、設定ファイル (cfg .xml) でこのパラメータを設定することもできます。
<TLS_Name_Validate_1_ ua="na">Yes</TLS_Name_Validate_1_>

有効値は、 はいまたはいいえです。デフォルト設定は、はいです
ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

メディアプレーンセキュリティネゴシエーションの顧客開始モードを有効にする

メディアセッションを保護するには、サーバーとのメディアプレーンセキュリティネゴシエーションを開始するように電話機を設定できます。 セキュリティメカニズムは、RFC 3329 に記載されている標準と、メディア用の内線ドラフトアセキュリティメカニズム名アに従っています (https://tools.ietf.org/html/draft-dawes-sipcore-mediasec-parameter-08#ref-2を参照)。 電話機とサーバ間でのネゴシエーションの転送では、UDP、TCP、および TLS を介した SIP プロトコルを使用できます。 シグナリングトランスポートプロトコルが TLS の場合にのみ メディアプレーンセキュリティネゴシエーションが適用されるように制限することができます。

このパラメータは、設定ファイル(cfg.xml)のパラメータでも設定できます。 各パラメータを設定するには、メディア平面セキュリティネゴシエーションのパラメータの文字列のシンタックスを参照してください。

始める前に

電話管理の Web ページにアクセスします。 電話機 ウェブインターフェイスへのアクセスを参照してください。

手順

ステップ 1

[音声（Voice）] > 内線（n）（Ext(n)）を選択します。

ステップ 2

SIP の設定セクションで、MediaSec リクエストおよびMediaSec Over TLS Onlyフィールドをメディア平面セキュリティネゴシエーションのパラメータで定義されているように設定します

ステップ 3

[すべての変更の送信（Submit All Changes）]をクリックします。

メディア平面セキュリティネゴシエーションのパラメータ

次の表で、電話機のウェブインターフェイスの [音声（Voice）]> [内線（n）（Ext (n)）] タブにある [SIP 設定（SIP Settings）] セクションにおける、メディア平面セキュリティネゴシエーション用パラメータの機能と使用方法を定義します。 また、パラメータを設定するために、XML コードを含む電話設定ファイルに追加される文字列のシンタックスも定義します。

表 7. メディア平面セキュリティネゴシエーションのパラメータ

パラメータ

説明

MediaSec リクエスト

電話機がサーバとのメディア平面セキュリティネゴシエーションを開始するかどうかを指定します。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <MediaSec_Request_1_ ua="na">Yes</MediaSec_Request_1_>

  • 電話機のウェブインターフェイスで、必要に応じてこのフィールドを [はい（Yes）] または [いいえ（No）] に設定します。

有効値: はい（Yes）| いいえ（No）

  • [はい (Yes)]: クライアントが開始するモード。 電話機は、メディア平面セキュリティネゴシエーションを開始します。

  • いいえ（No）— サーバ起動モード。 サーバがメディア平面セキュリティネゴシエーションを開始します。 電話機はネゴシエーションを開始しませんが、サーバからのネゴシエーション要求を処理して、安全な通話を確立できます。

デフォルト：[いいえ（No）]

MediaSec Over TLS のみ

メディア平面セキュリティネゴシエーションが適用されるシグナリングトランスポートプロトコルを指定します。

このフィールドで [はい（Yes）] に設定する前に、シグナリングプロトコルが TLS であることを確認してください。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <MediaSec_Over_TLS_Only_1_ ua="na">No</MediaSec_Over_TLS_Only_1_>

  • 電話機のウェブインターフェイスで、必要に応じてこのフィールドを [はい（Yes）] または [いいえ（No）] に設定します。

有効値: はい（Yes）| いいえ（No）

  • [はい（Yes）]： 電話機は、シグナリングトランスポートプロトコルが TLS の場合にのみ、メディア平面セキュリティネゴシエーションを開始または処理します。

  • [いいえ （No）]: 電話機は、シグナリングトランスポートプロトコルに関係なく、メディア平面セキュリティネゴシエーションを開始し、処理します。

デフォルト：[いいえ（No）]

802.1X 認証

Cisco IP 電話は、Cisco Discovery Protocol(CDP)を使用してLANスイッチを識別し、VLAN 割当やインラインパワー要件などのパラメータを決定します。 CDP では、ローカルに接続されたワークステーションは識別されません。 Cisco IP 電話は、EAPOL パススルー メカニズムを提供します。 このメカニズムを使用すると、Cisco IP 電話に接続されたワークステーションは、LAN スイッチにある 802.1X オーセンティケータに EAPOL メッセージを渡すことができます。 パススルー メカニズムにより、IP フォンはネットワークにアクセスする前にデータ エンドポイントを認証する際 LAN スイッチとして動作しません。

Cisco IP 電話はまた、プロキシ EAPOL ログオフ メカニズムも提供します。 ローカルに接続された PC が IP フォンから切断された場合でも、LAN スイッチと IP フォン間のリンクは維持されるので、LAN スイッチは物理リンクの障害を認識しません。 ネットワークの完全性が脅かされるのを避けるため、IP フォンはダウンストリーム PC の代わりに EAPOL ログオフ メッセージをスイッチに送ります。これは、LAN スイッチにダウンストリーム PC の認証エントリをクリアさせます。

802.1X 認証のサポートには、次のようなコンポーネントが必要です。

  • Cisco IP 電話: 電話機は、ネットワークへのアクセス要求を開始します。 Cisco IP 電話には、802.1x サプリカントが含まれています。 このサプリカントを使用して、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。 電話機に含まれる 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST オプションと EAP-TLS オプションが使用されています。

  • Cisco Secure Access Control Server（ACS）（またはその他のサードパーティ製認証サーバ）：認証サーバと電話機の両方に、電話機を認証するための共有秘密が設定されている必要があります。

  • 802.1Xをサポートする LAN スイッチ：このスイッチはオーセンティケーターとして機能し、電話と認証サーバー間でメッセージを送受信します。 この交換が完了した後、スイッチはネットワークへの電話機のアクセスを許可または拒否します。

802.1X を設定するには、次の手順を実行する必要があります。

  • 電話機で 802.1X 認証をイネーブルにする前に、他のコンポーネントを設定します。

  • PC ポートの設定：802.1X 標準では VLAN が考慮されないため、特定のスイッチ ポートに対してデバイスを 1 つだけ認証することを推奨します。 ただし、一部のスイッチはマルチドメイン認証をサポートしています。 スイッチの設定により、PC を電話機の PC ポートに接続できるかどうかが決定されます。

    • はい（Yes）：マルチドメイン認証をサポートするスイッチを使用している場合は、PCポートを有効にして、PCを接続することができます。 この場合、スイッチと接続先 PC 間の認証情報の交換をモニタするために、Cisco IP 電話はプロキシ EAPOL ログオフをサポートします。

    • いいえ（No）：スイッチが同じポート上の複数の 802.1X 準拠デバイスをサポートしていない場合は、802.1X 認証を有効にする際に PC ポートを無効にする必要があります。 このポートを無効にしないで PC を接続しようとすると、スイッチは電話機と PC の両方に対してネットワーク アクセスを拒否します。

  • ボイス VLAN の設定：802.1X 標準では VLAN が考慮されないため、この設定をスイッチのサポートに基づいて行うようにしてください。

    • 有効：複数ドメインの認証をサポートするスイッチを使用している場合は、ボイス VLAN を引き続き使用できます。

    • 無効：スイッチで複数ドメインの認証がサポートされていない場合は、ボイス VLAN を無効にし、ポートをネイティブ VLAN に割り当てることを検討してください。

[802.1X認証の有効化（Enable 802.1X Authentication）]

電話機上で 802.1X 認証を有効にできます。 802.1 X 認証が有効になっている場合、電話機は 802.1 X 認証を使用してネットワークアクセスを要求します。802.1 X 認証を無効にすると、電話機は CDP を使用して VLAN とネットワークアクセスを取得します。 電話画面メニューにトランザクションステータスを表示することもできます。

手順

ステップ 1

802.1 X 認証を有効にするには、次のいずれかの操作を実行します。

  • 電話機のウェブインターフェイスで、音声 > システムを選択し、 802.1X 認証有効化フィールドを[はい（Yes）]に設定します。 その後、すべての変更の送信をクリックします。
  • 設定ファイル(cfg.xml)で、次の形式で文字列を入力します。 
    <Enable_802.1X_Authentication ua="rw">Yes</Enable_802.1X_Authentication>
  • 電話機上で、 アプリケーション > ネットワーク設定 > イーサネット設定 > 802.1X 認証の順に押します。 次に、[選択（Select）] ボタンで [デバイス認証（Device authentication）] フィールドを [オン（On）] に切り替え、[送信（Submit）] を押します。
ステップ 2

（オプション）トランザクションステータス を選択して、以下を表示します。

  • トランザクションステータス：802.1X 認証のトランザクション ステータスを表示します。 状態は、以下のようになります

    • 認証中: 認証プロセスが進行中であることを示します。

    • 認証済み（Authenticated）：電話が認証されたことを示します。

    • 無効化802.1X 認証が電話機で無効になっています。

  • プロトコル：802.1x 認証に使用される EAP 方式を表示します。 このプロトコルは、EAP-FAST または EAP-TLS にすることができます。

ステップ 3

戻るボタンを押してメニューを終了します。

プロキシサーバーをセットアップする

セキュリティを向上するためにプロキシサーバーを使用するように電話機を設定できます。 プロキシサーバーは、電話機とインターネット間のファイアウォールとして動作します。 設定が成功すると、電話機はプロキシサーバーを介してインターネットに接続し、電話機をサイバー攻撃から保護します。

自動設定スクリプトを使用するか、または手動でホストサーバー（ホスト名または IP アドレス）とプロキシサーバーのポートを設定することで、プロキシサーバーを設定できます。

設定すると、HTTP プロキシ機能は、HTTP プロトコルを使用するすべてのアプリケーションに適用されます。 アプリケーションには、次のものが含まれます。

  • GDS（アクティベーション コードによるオンボーディング）

  • EDOS デバイスの有効化

  • Webex クラウドへのオンボーディング（EDOS および GDS 経由）

  • 証明書認証

  • プロビジョニング

  • ファームウェア アップグレード

  • 電話ステータスレポート

  • PRTアップロード

  • XSI サービス

  • Webex サービス

始める前に

電話管理の Web ページにアクセスします。 電話機 ウェブインターフェイスへのアクセスを参照してください。

手順

ステップ 1

[音声（Voice）] > [システム（System）] を選択します。

ステップ 2

[HTTP プロキシ設定（HTTP Proxy Settings）] セクションで、要件に応じてパラメータ [プロキシモード（Proxy Mode）] とその他のパラメータを設定します。 詳細については、次の手順で説明します。

ステップ 3

次のいずれか 1 つの処理を実行します。

  • [プロキシモード（Proxy Mode）] は [自動（Auto）] です。

    • [自動検出を使用（WPAD）（Use Auto Discovery (WPAD)）] が [はい（Yes）] の場合は、それ以上のアクションは不要です。 電話機は、Web プロキシ自動検出（WPAD）プロトコルによってプロキシ自動設定（PAC）ファイルを自動的に取得します。

    • [自動検出を使用（WPAD）（Use Auto Discovery (WPAD)）] が [いいえ（No）] の場合は、[PAC URL] に有効な URL を入力します。

  • [プロキシモード（Proxy Mode）] は [手動（Manual）] です。

    • [プロキシサーバーに認証が必要（Proxy Server Requires Authentication）] が [いいえ（No）] の場合は、[プロキシホスト（Proxy Host）] にプロキシサーバーを入力し、[プロキシポート（Proxy Port）] にプロキシポートを入力します。

    • [プロキシサーバーに認証が必要（Proxy Server Requires Authentication）] が [はい（Yes）] の場合は、[プロキシホスト（Proxy Host）] にプロキシサーバーを入力し、[プロキシポート（Proxy Port）] にプロキシポートを入力します。 [ユーザー名（Username）] にユーザー名を入力し、[パスワード（Password）] にパスワードを入力します。

  • [プロキシモード（Proxy Mode）] が [オフ（Off）] の場合は、HTTP プロキシ機能は電話機で無効になります。

このパラメータは、電話機の設定ファイル(cfg.xml)のパラメータでも設定できます。 各パラメータを設定するには、HTTP プロキシ設定のパラメータの文字列のシンタックスを参照してください。

ステップ 4

[すべての変更の送信（Submit All Changes）]をクリックします。

HTTP プロキシ設定のパラメータ

次の表で、電話機のウェブインターフェイスの [音声（Voice）] > [システム（System）] タブにある[HTTP プロキシ設定（HTTP Proxy Settings）] セクションにおける、HTTP プロキシパラメータの機能と使用方法を定義します。 また、パラメータを設定するために、XML コードを含む電話設定ファイルに追加される文字列のシンタックスも定義します。

表 8. HTTP プロキシ設定のパラメータ

パラメータ

説明とデフォルト値

プロキシモード

電話機が使用する HTTP プロキシモードを指定するか、HTTP プロキシ機能を無効にします。

  • 自動

    電話機は自動的にプロキシ自動設定（PAC）ファイルを取得し、プロキシサーバーを選択します。 このモードでは、Web プロキシ自動検出（WPAD）プロトコルを使用して PAC ファイルを取得するか、または手動で PAC ファイルの有効な URL を入力するかどうかを決定できます。

    パラメータの詳細については、「自動検出を使用（WPAD）」および「PAC URL」を参照してください。

  • 手動

    サーバー（ホスト名または IP アドレス）とプロキシサーバーのポートを手動で指定する必要があります。

    パラメータの詳細については、「プロキシホスト」と「プロキシポート」を参照してください。

  • オフ

    電話機の HTTP プロキシ機能を無効にします。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <Proxy_Mode ua="rw">Off</Proxy_Mode>

  • 電話機の Web インターフェイスで、プロキシモードを選択するか、この機能を無効にします。

有効値：Auto、Manual、および Off

デフォルト：Off

自動ディスカバリ(WPAD)を使用

電話機が Web プロキシ自動検出（WPAD）プロトコルを使用して PAC ファイルを取得するかどうかを決定します。

WPAD プロトコルは、DHCP または DNS、あるいは両方のネットワークプロトコルを使用して、プロキシ自動設定（PAC）ファイルを自動的に特定します。 PAC ファイルは、特定の URL のプロキシサーバーを選択するために使用されます。 このファイルは、ローカルまたはネットワーク上でホストできます。

  • パラメータの設定は、[プロキシモード（Proxy Mode）] が [自動（Auto）] に設定されている場合に有効になります。

  • パラメータを [いいえ（No）] に設定した場合は、PAC URL を指定する必要があります。

    パラメータの詳細については、PAC URL を参照してください。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <Use_Auto_Discovery__WPAD_ ua="rw">Yes</Use_Auto_Discovery__WPAD_>

  • 電話機ウェブインターフェイスで、必要に応じて [はい（Yes）] または [いいえ（No）] を選択します

有効値: はい（Yes）といいえ（No）

デフォルト：はい（Yes）

PAC URL

PAC ファイルの URL。

たとえば、http://proxy.department.branch.example.com などです。

TFTP、HTTP、および HTTPS がサポートされています。

[プロキシモード（Proxy Mode）] を [自動（Auto）] に設定し、[自動検出を使用（WPAD）（Use Auto Discovery (WPAD)）] を [いいえ（No）] に設定した場合は、このパラメータを設定する必要があります。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <PAC_URL ua="rw">http://proxy.department.branch.example.com/pac</PAC_URL>

  • 電話機の Web インターフェイスで、PAC ファイルを特定する有効な URL を入力します。

デフォルト：空

プロキシホスト

アクセスする電話機のプロキシホストサーバーの IP アドレスまたはホスト名です。 次に例を示します。

proxy.example.com

スキーム（http:// または https://）は不要です。

[プロキシモード（Proxy Mode）] を [手動（Manual）] に設定した場合は、このパラメータを設定する必要があります。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <Proxy_Host ua="rw">proxy.example.com</Proxy_Host>

  • 電話のウェブインターフェイスで、プロキシサーバーの IP アドレスまたはホスト名を入力します。

デフォルト：空

プロキシポート

プロキシホストサーバーのポート番号。

[プロキシモード（Proxy Mode）] を [手動（Manual）] に設定した場合は、このパラメータを設定する必要があります。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <Proxy_Port ua="rw">3128</Proxy_Port>

  • 電話機の Web インターフェイスで、サーバーポートを入力します。

デフォルト：3128

プロキシサーバーに認証が必要（Proxy Server Requires Authentication）

ユーザーが、プロキシサーバーに必要な認証資格情報（ユーザー名とパスワード）を入力する必要かどうかを決定します。 このパラメータは、プロキシサーバの実際の動作に応じて設定されます。

このパラメータを [はい（Yes）] に設定した場合は、[ユーザー名（Username）] と [パスワード（Password）] を設定する必要があります。

パラメータの詳細については、「ユーザー名」と「パスワード」を参照してください。

パラメータの設定は、[プロキシモード（Proxy Mode）] が [手動（Manual）] に設定されている場合に有効になります。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <Proxy_Server_Requires_Authentication ua="rw">No</Proxy_Server_Requires_Authentication>

  • 電話機のウェブインターフェイスで、必要に応じてこのフィールドを [はい（Yes）] または [いいえ（No）] に設定します。

有効値: はい（Yes）といいえ（No）

デフォルト：[いいえ（No）]

ユーザ名

プロキシサーバーの資格情報を持つユーザーのユーザー名。

[プロキシモード（Proxy Mode）] が [手動（Manual）] に設定され、[プロキシサーバーに認証が必要（Proxy Server Requires Authentication）] が [はい（Yes）] に設定されている場合は、パラメータを設定する必要があります。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <Proxy_Username ua="rw">Example</Proxy_Username>

  • 電話機のウェブインターフェイスで、ユーザー名を入力します。

デフォルト：空

[パスワード（Password）]

プロキシ認証用に指定されたユーザー名のパスワード。

[プロキシモード（Proxy Mode）] が [手動（Manual）] に設定され、[プロキシサーバーに認証が必要（Proxy Server Requires Authentication）] が [はい（Yes）] に設定されている場合は、パラメータを設定する必要があります。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。 
    <Proxy_Password ua="rw">Example</Proxy_Password>

  • 電話機の Web インターフェイスで、ユーザーのプロキシ認証に有効なパスワードを入力します。

デフォルト：空

電話機から VPN 接続をセットアップする

電話機から VPN 接続をセットアップして有効にすることができます。

手順

ステップ 1

アプリケーション を押します。

ステップ 2

[ネットワーク設定（Network configuration）] > [VPN 設定（VPN settings）] を選択します。

ステップ 3

[VPN サーバー（VPN server）] に VPN サーバーの IP アドレスまたは FQDN を入力します。

ステップ 4

[ユーザー名（Username）]と [パスワード（Password）] にユーザーの資格情報を入力します。

ステップ 5

（任意） 必要に応じて、[トンネルグループ（Tunnel group）] にトンネルグループの名前を入力します。

このフィールドが空の場合、この VPN 接続に使用されるトンネルグループはありません。
ステップ 6

[起動時に VPN へ接続する（Connect to VPN on bootup）] を強調表示し、ナビゲーションクラスタの [選択（Select）] ボタンを押して [オン（On）] を選択します。

ステップ 7

[設定（Set）] を押して設定を保存します。

現在、VPN 設定は完了しています。 電話機を手動で再起動すると、VPN サーバーへの自動接続がトリガーされます。 VPN 接続をすぐに有効にする場合は、次の手順に進みます。
ステップ 8

[VPN 接続を有効にする（Enable VPN connection）] を強調表示し、[オン（On）] を選択して VPN 接続を有効にします。

（注）   

[VPN 接続を有効にする（Enable VPN connection）] を [オン（On）] に設定すると、電話機はすぐに VPN サーバーとの接続を試行します。 このプロセスの間に電話機は自動的に再起動します。

VPN の接続にかかる時間は約 1 分です。

電話機の再起動後、電話画面の右上隅にある VPN 接続アイコン は、VPN 接続が正常に確立されたことを示します。

VPN 接続が失敗した場合、[VPN 接続を有効にする（Enable VPN connection）] は [オフ（Off）] のままです。

ステップ 9

（任意） VPN 接続の詳細を表示します。 たとえば、現在の VPN 接続ステータスや VPN IP アドレスなどです。 詳細については、VPN ステータスを表示するを参照してください。

ステップ 10

（任意） 電話機から VPN 接続を無効にできます。

  1. アプリケーション を押します。

  2. [ネットワーク設定（Network configuration）] > [VPN 設定（VPN settings）] を選択します。

  3. [起動時に VPN に接続する（Connect to VPN on bootup）] を強調表示し、[オフ（Off）] を選択します。

  4. [VPN 接続を有効にする（Enable VPN connection）] を強調表示し、[オフ（Off）] を選択して、VPN 接続を無効にします。 これにより、すぐに電話機が再起動します。

VPN ステータスを表示する

VPN 接続の詳細を確認できます。 たとえば、電話機の現在の VPN ステータスや VPN IP アドレスなどです。

電話機のウェブページで [情報（Info）] > [ステータス（Status）] > [VPN スタース（VPN Status）]を選択して、ステータスを表示することもできます。

手順

ステップ 1

アプリケーション を押します。

ステップ 2

[ステータス（Status）] > [VPN ステータス（VPN status）]を選択します。

以下の情報を確認できます。

  • [VPN 接続（VPN connection）]：電話機が VPN サーバーに接続しているかどうかを示します。 ステータスは [接続済み（Connected）] か [接続解除（Disconnected）] のいずれかです。

  • [VPN IP アドレス（VPN IP address）]：VPN IP サーバーから割り当てられた VPN IP アドレス。

  • [VPN サブネットマスク（VPN subnet mask）]：VPN サーバーから割り当てられた VPN サブネットマスク。

  • [送信バイト数（Sent bytes）]：電話機が VPN サーバー経由でネットワークに送信した合計バイト数。

  • [受診したバイト数（Received bytes）]：電話機が VPN サーバー経由でネットワークから受信した合計バイト数。

電話機のウェブページから VPN 接続をセットアップする

電話機のウェブページから VPN 接続をセットアップできます。

始める前に

電話管理の Web ページにアクセスします。 電話機 ウェブインターフェイスへのアクセスを参照してください。

手順

ステップ 1

[音声（Voice）] > [システム（System）] を選択します。

ステップ 2

[VPN 設定（VPN Settings）] セクションで、VPN 設定のパラメータ表に定義されているとおりにパラメータを設定します。

ステップ 3

[すべての変更内容を送信（Submit All Changes）] をクリックして、変更内容を保存します。

変更はすぐには有効になりません。 電話機を手動で再起動するか、電話機の VPN 接続を有効にして VPN 接続をトリガーします。

XML（cfg.xml）コードを使用して電話機構成ファイルのパラメータを設定することもできます。 各パラメータを設定するには、VPN 設定のパラメータ表の文字列のシンタックスを参照してください。

ステップ 4

（任意） 電話機の再起動が正常に行われると、[情報（Info）] > [ステータス（Status）]の [VPN ステータス（VPN Status）] セクションで VPN 接続のステータスやその他の詳細を確認できます。

ステップ 5

（任意） VPN 接続を無効にする場合は、[起動時に接続する（Connect on Bootup）] パラメータを [いいえ（No）] に設定してから、手動で電話機を再起動します。 詳細については、電話機 Webページから電話機を再起動するを参照してください。

VPN 設定のパラメータ

次の表で、電話機のウェブインターフェイスの [音声（Voice）] > [システム（System）]タブにある [VPN 設定（VPN Settings）] セクションにおける、VPN 接続パラメータの機能と使用方法を定義します。 また、パラメータを設定するために、XML コードを含む電話設定ファイルに追加される文字列のシンタックスも定義します。

表 9. VPN 設定のパラメータ

パラメータ

説明とデフォルト値

VPN Server

アクセスする電話機の VPN サーバーの IP アドレスまたは FQDN。 次に例を示します。

100.101.1.218 または vpn_server.example.com

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。

    <VPN_Server ua="rw"><Server IP or FQDN></VPN_Server>

  • 電話のウェブインターフェイスで、VPN サーバーの IP アドレスまたは FQDN を入力します。

デフォルト：空

VPN ユーザー名（VPN User Name）

VPN サーバーの資格情報を持つユーザーのユーザー名。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。

    <VPN_User_Name ua="rw">Example</VPN_User_Name>

  • 電話機のウェブインターフェイスで、ユーザー名を入力します。

デフォルト：空

LDAPパスワード(VPN Password、半角英数字のみ)

VPN サーバーにアクセスするための指定されたユーザー名のパスワード。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。

    <VPN_Password ua="rw">Example</VPN_Password>

  • 電話機のウェブインターフェイスで、パスワードを入力します。

デフォルト：空

VPN トンネルグループ（VPN Tunnel Group）

VPN ユーザーに割り当てられたトンネルグループ

トンネルグループは、VPN 接続のグループポリシーを識別するために使用されます。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。

    <VPN_Tunnel_Group ua="rw">Example</VPN_Tunnel_Group>

  • 電話機のウェブインターフェイスで、トンネルグループの名前を入力します。

デフォルト：空

起動時に接続する（Connect on Bootup）

電話機の再起動後、VPN サーバーへの自動接続を有効または無効にします。

次のいずれかを実行します。

  • XML (cfg.xml)を使用した電話機の設定ファイルでは、次の形式で文字列を入力します。

    <Connect_on_Bootup ua="rw">No</Connect_on_Bootup>

  • 電話機のウェブインターフェイスで、必要に応じてこのフィールドを [はい（Yes）] または [いいえ（No）] に設定します。

有効値: はい（Yes）といいえ（No）

デフォルト：[いいえ（No）]

シスコ製品のセキュリティの概要

本製品には暗号化機能が備わっており、輸入、輸出、配布および使用に適用される米国および他の国の法律の対象となります。 Cisco の暗号化製品を譲渡された第三者は、その暗号化技術の輸入、輸出、配布、および使用を許可されたわけではありません。 輸入業者、輸出業者、販売業者、およびユーザは、米国および他の国での法律を順守する責任があります。 本製品を使用するにあたっては、関係法令の順守に同意したものと見なされます。 米国および他の国の法律を順守できない場合は、本製品を至急送り返してください。

米国の輸出規制の詳細については、https://www.bis.doc.gov/policiesandregulations/ear/index.htm をご覧ください。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ