Благодарим за обратната връзка.

Тъй като всички WLAN устройства, които са в обхват, могат да получават всякакъв друг WLAN трафик, защитата на гласови комуникации е от решаващо значение в WLAN. За да се гарантира, че нарушителите не манипулират или прихващат гласов трафик, архитектурата Cisco SAFE Security поддържа телефона. За повече информация относно сигурността в мрежите вижте http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Телефонното решение Cisco Wireless IP осигурява безжична мрежова сигурност, която предотвратява неоторизирани влизания и компрометирани комуникации чрез следните методи за удостоверяване, които телефонът поддържа.

• Отворено удостоверяване: всяко безжично устройство може да поиска удостоверяване в отворена система. Точката за достъп, който получи искането, може да предостави удостоверяване на всеки заявител или само на заявители, които се намират в списък с потребители. Комуникацията между безжичното устройство и точката за достъп (AP) може да бъде некриптирана.

• Разширен протокол за автентикация – гъвкава автентикация чрез сигурно тунелиране (EAP-FAST): Тази клиент-сървър архитектура за сигурност криптира EAP транзакции в тунел за сигурност на транспортно ниво (TLS) между AP и RADIUS сървъра, като например Identity Services Engine (ISE).

  Тунелът TLS използва идентификационни данни за защитен достъп (PAC) за удостоверяване между клиента (телефона) и сървъра RADIUS. Сървърът изпраща ИД на органа (AID) на клиента (телефон), който от своя страна избира подходящия PAC. Клиентът (телефонът) връща PAC-Opaque на сървъра RADIUS. Сървърът декриптира PAC с основния ключ. И двете крайни устройства сега съдържат ключа PAC и се създава тунел TLS. EAP-FAST поддържа автоматично осигуряване на PAC, но трябва да го активирате на сървъра RADIUS.

  В ISE по подразбиране PAC изтича след една седмица. Ако телефонът има изтекъл PAC, удостоверяването със сървъра RADIUS отнема повече време, докато телефонът получава нов PAC. За да избегнете закъснения при осигуряването на PAC, задайте периода на изтичане на PAC на 90 дни или повече на сървъра ISE или RADIUS.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Authentication: EAP-TLS изисква клиентски сертификат за удостоверяване и достъп до мрежата. За безжична EAP-TLS клиентският сертификат може да бъде MIC или потребителски инсталиран сертификат.

• Protected Extensible Authentication Protocol (PEAP): собствена схема на Cisco за взаимно удостоверяване, базирано на парола, между клиента (телефон) и RADIUS сървър. Телефонът може да използва PEAP за удостоверяване с безжичната мрежа. Поддържат се както методите за удостоверяване PEAP-MSCHAPV2, така и PEAP-GTC.

  За да поддържате PEAP-GTC удостоверяване за Cisco Wireless Phone 9821, конфигурирайте необходимата политика в набора политики Cisco ISE.

• Предварително споделен ключ (PSK): Телефонът поддържа формати ASCII и шестнадесетичен (HEX). Трябва да използвате тези формати при настройване на WPA2/SAE предварително споделен ключ.

  ASCII: ASCII-символен низ с дължина от 8 до 63 знака (0-9, малки a-z, главни A-Z и специални знаци). Например, GREG123567@9ZX&W.

  HEX: Низ от шестнадесетни знаци с дължина 64 шестнадесетни цифри (0-9, a-f или A-F).

Следните схеми за удостоверяване използват сървъра RADIUS за управление на ключовете за удостоверяване:

• WPA2/WPA3: използва информация за сървъра RADIUS, за да генерира уникални ключове за удостоверяване. Тъй като тези ключове се генерират на централизирания RADIUS сървър, WPA2/WPA3 осигурява по-голяма сигурност от предварително споделените ключове на WPA, които се съхраняват на AP и телефона.

• Бърз защитен роуминг: използва RADIUS сървър и информация за безжичен домейн сървър (WDS) за управление и удостоверяване на ключове. WDS създава кеш с идентификационни данни за сигурност за клиентски устройства с FT за бърза и сигурна повторна автентикация.

При WPA2/WPA3 ключовете за криптиране не се въвеждат на телефона, а автоматично се извеждат между точката за достъп и телефона. Но потребителското име и паролата на EAP, които се използват за удостоверяване, трябва да бъдат въведени на всеки телефон.

За да се защити гласовият трафик през безжичната връзка, телефонът поддържа криптиране на база AES за удостоверяване с WPA2/WPA3. AES е симетричен блоков шифр, стандартизиран от NIST. AES използва фиксиран размер на блока от 128 бита и поддържа размери на ключове от 128 бита, 192 бита и 256 бита. В Wi-Fi мрежите AES се използва от шифровъчни пакети като CCMP или GCMP, докато удостоверяването се предоставя отделно от PSK, SAE или 802.1X/EAP, в зависимост от конфигурирания режим на сигурност WLAN. Поддържаният набор от шифри и размерът на ключа зависят от модела на телефона и конфигурацията WLAN.

Схеми за удостоверяване и шифроване са настроени в безжичния LAN. VLAN мрежите се конфигурират в мрежата и на AP и определят различни комбинации от удостоверяване и шифроване. SSID се свързва с VLAN и конкретната схема за удостоверяване и шифроване. За да могат безжичните клиентски устройства да се удостоверят успешно, трябва да конфигурирате същите SSID-та с техните схеми за удостоверяване и криптиране на AP-тата и на телефона.

Някои схеми за удостоверяване изискват специфични типове шифроване.

Схемите за автентикация и криптиране в следващата таблица показват опциите за конфигурация на мрежата за Cisco Wireless Phone 9821, който съответства на конфигурация на AP.

Cisco Безжичният телефон 9821 поддържа 802.1X автентикация за жични мрежи. Това обикновено се използва при автоматично зареждане , когато телефонът е свързан към настолното зарядно чрез поддържан USB-to-Ethernet адаптер.

Поддръжката на 802.1X автентикация в жични мрежи изисква няколко компонента, както следва:

• Cisco IP телефон: телефонът инициира искането за достъп до мрежата. Cisco IP телефоните съдържат 802.1X заявител. Този заявител позволява на мрежовите администратори да контролират свързаността на IP телефоните към портовете за превключватели на LAN. Текущата версия на 802.1X заявителя на телефона използва опциите за EAP-FAST и EAP-TLS за удостоверяване на мрежата.

• Сървър за автентикация: Сървърът за автентикация и суичът трябва да бъдат конфигурирани с RADIUS споделена тайна.

• Суич: Суичът трябва да поддържа 802.1X, за да може да действа като автентикатор и да предава EAP съобщенията между телефона и сървъра за автентикация. След като обменът приключи, превключвателят предоставя или отказва достъп на телефона до мрежата.

Cisco IP телефоните и превключвателите на Cisco Catalyst традиционно използват Cisco Discovery Protocol (CDP), за да се идентифицират взаимно и да определят параметри като разпределение на VLAN и изисквания за вградена мощност.

Трябва да изпълните следните действия, за да конфигурирате 802.1X.

• Конфигурирайте CDP/LLDP глас VLAN заобикаляне.

• Конфигурирайте сървъра за автентикация и суича преди да активирате 802.1X автентикация за жични мрежи на телефона.

• Конфигуриране на гласов VLAN: тъй като стандартът 802.1X не отчита VLAN, трябва да конфигурирате тази настройка въз основа на поддръжката на превключвателя.

  • Активирано: Ако използвате суич, който поддържа мултидомейн автентикация, можете да го конфигурирате да използва глас VLAN.
  • Деактивирано: ако превключвателят не поддържа удостоверяване на множество домейни, деактивирайте гласовия VLAN и помислете за задаване на порта към присъщия VLAN.

• Cisco Безжичният телефон 9821 има различен префикс в PID от този за другите Cisco телефони. За да позволите на телефона си да премине 802.1X автентикация, задайте Radius· Параметър за потребителско име, който включва вашия Cisco безжичен телефон 9821.

  Например, PID на Cisco Wireless Phone 9821 е WP-9821. Можеш да зададеш Radius· Потребителско име да започне с WP или съдържа WP в двете от следните секции:

  • Политика > Условия > Библиотечни условия

  • Политики>Набори от политики> Политика за упълномощаване> Правило 1 за упълномощаване