Благодарим за обратната връзка.

IP телефоните на Cisco поддържат 802.1X удостоверяване.

Cisco IP телефоните и превключвателите Cisco Catalyst традиционно използват Cisco Discovery Protocol (CDP), за да се идентифицират взаимно и да определят параметри като разпределение на VLAN и вградените изисквания за захранване. CDP не идентифицира локално прикачени работни станции. IP телефоните на Cisco осигуряват механизъм за преминаване на EAPOL. Този механизъм позволява на работна станция, прикрепена към IP телефона на Cisco, да предава EAPOL съобщения на 802.1X удостоверителя на превключвателя за LAN. Механизмът за преминаване гарантира, че IP телефонът не действа като LAN превключвател за удостоверяване на крайна точка за данни преди достъп до мрежата.

IP телефоните на Cisco също предоставят прокси механизъм EAPOL Logoff. Ако локално прикаченият компютър се прекъсне от IP телефона, превключвателят за LAN не вижда, че физическата връзка се провали, тъй като връзката между LAN превключвателя и IP телефона се поддържа. За да се избегне компрометирането на целостта на мрежата, IP телефонът изпраща съобщение EAPOL-Logoff до превключвателя от името на компютъра надолу по веригата, което задейства превключвателя за LAN, за да изчисти записа за удостоверяване на компютъра надолу по веригата.

Поддръжката за 802.1X удостоверяване изисква няколко компонента:

• Cisco IP телефон: Телефонът инициира заявката за достъп до мрежата. IP телефоните на Cisco съдържат 802.1X молба. Тази молба позволява на мрежовите администратори да контролират свързаността на IP телефони към портовете за превключване на LAN. Текущото издание на телефона 802.1X supplicant използва опциите EAP-FAST и EAP-TLS за мрежово удостоверяване.

• Сървър за удостоверяване: Сървърът за удостоверяване и превключвателят трябва да бъдат конфигурирани със споделена тайна, която удостоверява телефона.

• Превключвател: Превключвателят трябва да поддържа 802.1X, така че да може да действа като удостоверител и да предава съобщенията между телефона и сървъра за удостоверяване. След като обменът приключи, превключвателят предоставя или отказва достъп на телефона до мрежата.

Трябва да изпъл ните следните действия, за да конфигурирате 802.1X.

• Конфигурирайте останалите компоненти, преди да активирате 802.1X удостоверяване на телефона.

• Конфигуриране на PC порт: Стандартът 802.1X не взема предвид VLAN и по този начин препоръчва само едно устройство да бъде удостоверено на конкретен порт за превключване. Някои превключватели обаче поддържат удостоверяване на много домейни. Конфигурацията на превключвателя определя дали можете да свържете компютър към компютърния порт на телефона.

  • Активирано: Ако използвате превключвател, който поддържа удостоверяване с много домейни, можете да активирате порта на компютъра и да свържете компютър към него. В този случай IP телефоните на Cisco поддържат прокси EAPOL-Logoff за наблюдение на обмена на удостоверяване между превключвателя и прикачения компютър.

    За повече информация относно поддръжката на IEEE 802.1X на превключвателите Cisco Catalyst вижте ръководствата за конфигуриране на превключвателя Cisco Catalyst на адрес:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Деактивирано: Ако превключвателят не поддържа няколко 802.1X съвместими устройства на един и същ порт, трябва да деактивирате порта на компютъра, когато е активирано удостоверяването 802.1X. Ако не деактивирате този порт и след това се опитате да прикачите компютър към него, превключвателят отказва мрежовия достъп както до телефона, така и до компютъра.

• Конфигуриране на гласовата VLAN: Тъй като стандартът 802.1X не отчита VLAN, трябва да конфигурирате тази настройка въз основа на поддръжката на превключвателя.
  • Активирано: Ако използвате превключвател, който поддържа удостоверяване на много домейни, можете да го продължите, за да използвате гласовата VLAN.
  • Деактивирано: Ако превключвателят не поддържа удостоверяване на много домейни, деактивирайте Voice VLAN и помислете за присвояване на порта към родната VLAN.
• (Само за настолен телефон Cisco серия 9800)

  Cisco Desk Phone 9800 Series има различен префикс в PID от този за другите телефони на Cisco. За да активирате телефона ви да премине 802.1X удостоверяване, задайте параметъра Radius · UserName да включва вашия Cisco Desk Phone 9800 Series.

  Например, PID на телефон 9841 е DP-9841; можете да зададете Radius·Потребителско име на или. Start with DPContains DP Можете да го зададете и в двата от следните раздели:

  • Политика > Усл овия > Условия на библиотеката

  • Правила > На бори от правила > Пол итика за оторизация > Правило за оторизация 1

Тъй като всички WLAN устройства, които са в обхвата, могат да получават целия друг WLAN трафик, осигуряването на гласови комуникации е от решаващо значение в WLAN мрежи. За да се гарантира, че натрапниците не манипулират или прихващат гласовия трафик, архитектурата на Cisco SAFE Security поддържа телефона. За повече информация относно сигурността в мрежите вижте http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Решението Cisco Wireless IP телефония осигурява сигурност на безжичната мрежа, която предотвратява неоторизирани влизания и компрометирани комуникации, като използва следните методи за удостоверяване, които телефонът поддържа:

• Отворено удостоверяване: Всяко безжично устройство може да поиска удостоверяване в отворена система. АП, който получава искането, може да предостави удостоверяване на всеки заявител или само на заявители, които се намират в списък с потребители. Комуникацията между безжичното устройство и точката за достъп (AP) може да бъде некриптирана.

• Разшири@@ м протокол за удостоверяване - гъвкаво удостоверяване чрез защитено тунелиране (EAP-FAST): Тази архитектура за сигурност клиент-сървър криптира EAP транзакциите в тунел за сигурност на ниво транспорт (TLS) между AP и сървъра RADIUS, като например Identity Services Engine (ISE).

  Тунелът TLS използва идентификационни данни за защитен достъп (PAC) за удостоверяване между клиента (телефона) и RADIUS сървъра. Сървърът изпраща идентификатор на авторитета (AID) на клиента (телефон), който от своя страна избира подходящия PAC. Клиентът (телефонът) връща PAC-непрозрачен към сървъра RADIUS. Сървърът дешифрира PAC с основния ключ. И двете крайни точки вече съдържат ключа PAC и е създаден TLS тунел. EAP-FAST поддържа автоматично предоставяне на PAC, но трябва да го активирате на сървъра RADIUS.

  В ISE по подразбиране PAC изтича след една седмица. Ако телефонът има PAC с изтекъл срок на годност, удостоверяването със сървъра RADIUS отнема повече време, докато телефонът получава нов PAC. За да избегнете забавяне на предоставянето на PAC, задайте периода на изтичане на PAC на 90 дни или повече на сървъра ISE или RADIUS.

• Разширим протокол за удостоверяване - Удостоверяване на сигурността на транспортния слой (EAP-TLS): EAP-TLS изисква клиентски сертификат за удостоверяване и достъп до мрежата. За безжичен EAP-TLS клиентският сертификат може да бъде MIC, LSC или инсталиран от потребителя сертификат.

• Защитен разширим протокол за удостоверяване (PEAP): патентована схема на Cisco за взаимно удостоверяване, базирана на парола, между клиента (телефона) и RADIUS сървъра. Телефонът може да използва PEAP за удостоверяване с безжичната мрежа. Поддържат се както PEAP-MSCHAPV2, така и PEAP-GTC методи за удостоверяване.

• Предварително споделен ключ (PSK): Теле фонът поддържа формат ASCII. Трябва да използвате този формат, когато настройвате предварително споделен ключ WPA/WPA2/SAE:

  ASCII: ASCII символен низ с дължина от 8 до 63 знака (0-9, малки и главни букви A-Z и специални символи)

  Пример: GREG123567 @9ZX &W

Следните схеми за удостоверяване използват сървъра RADIUS за управление на ключовете за удостоверяване:

• WPA/WPA2/WPA3: Използва RADIUS сървърна информация за генериране на уникални ключове за удостоверяване. Тъй като тези ключове се генерират на централизирания RADIUS сървър, WPA2/WPA3 осигурява по-голяма сигурност от WPA предварително споделените ключове, които се съхраняват на AP и телефона.

• Бърз защитен роуминг: Използва RADIUS сървър и информация за сървър за безжичен домейн (WDS) за управление и удостоверяване на ключове. WDS създава кеш от идентификационни данни за защита за клиентски устройства с възможност за FT за бързо и сигурно повторно удостоверяване. Настолен телефон на Cisco 9861 и 9871 и Cisco видео телефон 8875 поддържат 802.11r (FT). Поддържат се както по въздух, така и над DS, за да се осигури бърз сигурен роуминг. Но ние силно препоръчваме използването на метода 802.11r (FT) през въздуха.

С WPA/WPA2/WPA3 ключовете за криптиране не се въвеждат в телефона, а автоматично се извличат между AP и телефона. Но потребителското име и паролата на EAP, които се използват за удостоверяване, трябва да бъдат въведени на всеки телефон.

За да се гарантира, че гласовият трафик е сигурен, телефонът поддържа TKIP и AES за криптиране. Когато тези механизми се използват за криптиране, както сигналните SIP пакети, така и пакетите за гласови транспортни протоколи в реално време (RTP) се криптират между AP и телефона.

TKIP

WPA използва TKIP криптиране, което има няколко подобрения спрямо WEP. TKIP осигурява шифриране на ключове за пакет и по-дълги вектори за инициализация (IV), които засилват криптирането. Освен това проверката на целостта на съобщенията (MIC) гарантира, че криптираните пакети не се променят. TKIP премахва предсказуемостта на WEP, която помага на натрапниците да дешифрират WEP ключа.

AES

Метод за криптиране, използван за удостоверяване на WPA2/WPA3. Този национален стандарт за криптиране използва симетричен алгоритъм, който има същия ключ за криптиране и декриптиране. AES използва шифроване на шифровъчната верига (CBC) с размер 128 бита, което поддържа ключови размери от 128 бита, 192 бита и 256 бита, като минимум. Телефонът поддържа размер на ключа от 256 бита.

Схемите за удостоверяване и криптиране са настроени в безжичната LAN мрежа. VLAN са конфигурирани в мрежата и на AP и определят различни комбинации от удостоверяване и криптиране. SSID се свързва с VLAN и конкретната схема за удостоверяване и криптиране. За да могат безжичните клиентски устройства да се удостоверяват успешно, трябва да конфигурирате същите SSID с техните схеми за удостоверяване и криптиране на AP и по телефона.

Някои схеми за удостоверяване изискват специфични видове криптиране.

Схемите за удостоверяване и криптиране в следващата таблица показват опциите за мрежова конфигурация за телефона, който съответства на конфигурацията на AP.