Openstage HFA - "Secure Mode" ?!

[openstagefreak]

In der Bedienungsanleitung für die Openstages liest man ja immer was vom Secure Mode den das Fachpersonal einrichten kann. Die Frage ist wo
wird das ganze eingestellt/eingerichtet. Werde aus der OS Adminanleitung da nicht so wirklich schlau.

[OpenOpti]

Meinst du jetzt den DLS Secure Mode oder Secure Mode in Bezug auf die Anlagenanbindung? Das müsstest du wenn dann in der Anlage einstellen, wenn ich jetzt nicht komplett verkehrt liege.

[openstagefreak]

Meinte die Verschlüsselung der Gespräche.

[OpenOpti]

Muss alles auf der Anlage konfiguriert werden.

[openstagefreak]

Ich weiß allerdings nicht wie, wäre sowieso nur spielerei und hätte keinen tieferen Sinn. Sehr unwahrscheinlich das im eigenen Netzwerk Gespräche abgefangen werden ^^

[Sandra-T]

Man weiß ja nie...

Aber ich vermute mal, man braucht die passende Siemens Anlage dazu, dass das Feature auch geht. Mit Anlagen anderer Anbieter vermutlich nicht machbar.

Gruß
Sandra

[openstagefreak]

Das mit der Anlage ist klr Sonst würde HFA nämlich gar nicht laufen bei mir :P

[Agent_Orange]

du brauchst zumindest bei SIP EG eine OpenScape Voice.
Dann kann sofern die Zertifikate vorhanden sind im Teilnehmerprofil der OSV als Transportprotokoll und am EG (Menüpunkt Sip Interface) TLS aktiviert werden.

Ich glaube bei HFA EGs gibt es einen Punkt Security an dem das aktiviert werden kann

[OpenOpti]

Bei der OSV sind die TLS-Zertifikate standardmäßig installiert und es muss nicht zwangsweise in der OSV TLS aktiviert werden. TLS am Endgerät einstellen reicht.

Allerdings will's der Fragesteller hier für HFA wissen )

[LastRaven]

zu dem HFA kann ich leider auch nix beitragen, aber:

Bei der OSV sind die TLS-Zertifikate standardmäßig installiert und es muss nicht zwangsweise in der OSV TLS aktiviert werden. TLS am Endgerät einstellen reicht.

so einfach ist es dann doch nicht. Die Zertifikate auf der OSV sind bei allen gleich! Die würde ich zu aller erst tunlichst ersetzen. Dann muss das Zertifikat (egal ob das Default oder ein neues) auf das jeweilige Endgerät geladen werden. Und zuletzt muss sowohl am Endgerät als auch im Teilnehmerprofil der OSV TLS aktiviert werden. Wichtig dabei ist noch, dass OSV und Endgerät ihre Zeit möglichst vom gleichen NTP bekommen, da schon kleine Abweichungen in der Urzeit die Funktion verhindern.
Ob dann aber tatsächlich eine SRTP-Verbindung zustande kommt hängt noch von ein paar anderen Faktoren ab...

[OpenOpti]

so einfach ist es dann doch nicht. Die Zertifikate auf der OSV sind bei allen gleich!

Das ist ein anderes Thema. Installieren muss man aber erstmal keine um TLS nutzen zu können.

Dann muss das Zertifikat (egal ob das Default oder ein neues) auf das jeweilige Endgerät geladen werden.

Nein, muss es nicht zwangsweise. Für SRTP Verschlüsselung wird es bei SIP nicht auf dem Telefon benötigt.
Das Zertifikat muss dann installiert werden, wenn das Telefon beim TLS-Aufbau das Zertifikat gegenprüfen soll (Servervalidierung an). Das ist der einzige Sinn und Zweck des Zertifikatsimportes auf das OpenStage (und auch optiPoint). Import geht übrigens auch nur per DLS.

Und zuletzt muss sowohl am Endgerät als auch im Teilnehmerprofil der OSV TLS aktiviert werden.

Auch hier nein. Im Teilnehmerprofil der OSV kann auch UDP eingestellt sein und der Teilnehmer kann mit UDP, TCP, TLS ankommen.
Es ist lediglich empfehlenswert dieses auch auf TLS einzustellen, damit nicht jemand das Telefon wieder zurück auf UDP stellt oder jemand anderes sich per UDP registrieren kann.

Wichtig dabei ist noch, dass OSV und Endgerät ihre Zeit möglichst vom gleichen NTP bekommen, da schon kleine Abweichungen in der Urzeit die Funktion verhindern.

Ja und nein. Für den TLS Aufbau ist auch nicht zwingend eine gültige Uhrzeit notwendig. Für SRTP schon (wobei Sprache normalerweise eh nicht über die OSV geht, sondern nur das Signalling, aber die Ausführungen spare ich mir mal). Bei SRTP mit SDES ist es meines Wissens nach auch schon wieder egal. Aber im Grunde ist es besser, wenn alle eine mögstlich gleiche Zeit haben. Gerade wenn man auf Fehlersuche ist, vereinfacht die gleiche Zeit auf allen involvierten Geräten die Fehlersuche ungemein.