Благодарим за обратната връзка.

Тъй като всички WLAN устройства, които са в обхвата, могат да получават целия друг WLAN трафик, осигуряването на гласови комуникации е от решаващо значение в WLAN мрежи. За да се гарантира, че натрапниците не манипулират или прихващат гласовия трафик, архитектурата на Cisco SAFE Security поддържа телефона. За повече информация относно сигурността в мрежите вижте http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Решението Cisco Wireless IP телефония осигурява сигурност на безжичната мрежа, която предотвратява неоторизирани влизания и компрометирани комуникации, като използва следните методи за удостоверяване, които телефонът поддържа.

• Отворено удостоверяване: Всяко безжично устройство може да поиска удостоверяване в отворена система. АП, който получава искането, може да предостави удостоверяване на всеки заявител или само на заявители, които се намират в списък с потребители. Комуникацията между безжичното устройство и точката за достъп (AP) може да бъде некриптирана.

• Разшири@@ м протокол за удостоверяване - гъвкаво удостоверяване чрез защитено тунелиране (EAP-FAST): Тази архитектура за сигурност клиент-сървър криптира EAP транзакциите в тунел за сигурност на ниво транспорт (TLS) между AP и сървъра RADIUS, като например Identity Services Engine (ISE).

  Тунелът TLS използва идентификационни данни за защитен достъп (PAC) за удостоверяване между клиента (телефона) и RADIUS сървъра. Сървърът изпраща идентификатор на авторитета (AID) на клиента (телефон), който от своя страна избира подходящия PAC. Клиентът (телефонът) връща PAC-непрозрачен към сървъра RADIUS. Сървърът дешифрира PAC с основния ключ. И двете крайни точки вече съдържат ключа PAC и е създаден TLS тунел. EAP-FAST поддържа автоматично предоставяне на PAC, но трябва да го активирате на сървъра RADIUS.

  В ISE по подразбиране PAC изтича след една седмица. Ако телефонът има PAC с изтекъл срок на годност, удостоверяването със сървъра RADIUS отнема повече време, докато телефонът получава нов PAC. За да избегнете забавяне на предоставянето на PAC, задайте периода на изтичане на PAC на 90 дни или повече на сървъра ISE или RADIUS.

• Разширим протокол за удостоверяване - Удостоверяване на сигурността на транспортния слой (EAP-TLS): EAP-TLS изисква клиентски сертификат за удостоверяване и достъп до мрежата. За безжичен EAP-TLS клиентският сертификат може да бъде MIC или сертификат, инсталиран от потребителя.

• Защитен разширим протокол за удостоверяване (PEAP): патентована схема на Cisco за взаимно удостоверяване, базирана на парола, между клиента (телефона) и RADIUS сървъра. Телефонът може да използва PEAP за удостоверяване с безжичната мрежа. Поддържат се както PEAP-MSCHAPV2, така и PEAP-GTC методи за удостоверяване.

  За да поддържате удостоверяване PEAP-GTC за Cisco Wireless Phone 9821, конфигурирайте необходимата политика в рамките на набора от правила на Cisco ISE.

• Предварително споделен ключ (PSK): Теле фонът поддържа ASCII и шестнадесетичен (HEX) формати. Трябва да използвате тези формати, когато настройвате предварително споделен ключ WPA2/SAE.

  ASCII: ASCII символен низ с дължина от 8 до 63 знака (0-9, малки букви a-z, главни бу кви A-Z и специални символи). Например, GREG123567@9ZX&W.

  HEX: HEX-символен низ с дължина 64 шестостенни цифри (0-9, a-f или A-F).

Следните схеми за удостоверяване използват сървъра RADIUS за управление на ключовете за удостоверяване:

• WPA2/WPA3: Използва информация за сървъра на RADIUS за генериране на уникални ключове за удостоверяване. Тъй като тези ключове се генерират на централизирания RADIUS сървър, WPA2/WPA3 осигурява по-голяма сигурност от WPA предварително споделените ключове, които се съхраняват на AP и телефона.

• Бърз защитен роуминг: Използва RADIUS сървър и информация за сървър за безжичен домейн (WDS) за управление и удостоверяване на ключове. WDS създава кеш от идентификационни данни за защита за клиентски устройства с възможност за FT за бързо и сигурно повторно удостоверяване.

С WPA2/WPA3 ключовете за криптиране не се въвеждат в телефона, а автоматично се извличат между AP и телефона. Но потребителското име и паролата на EAP, които се използват за удостоверяване, трябва да бъдат въведени на всеки телефон.

За да помогне за защитата на гласовия трафик през безжичната връзка, телефонът поддържа AES-базирано криптиране за WPA2/WPA3 удостоверяване. AES е симетричен блоков шифър, стандартизиран от NIST. AES използва фиксиран 128-битов размер на блока и поддържа ключови размери от 128 бита, 192 бита и 256 бита. В Wi-Fi мрежите AES се използва от пакети за шифри като CCMP или GCMP, докато удостоверяването се предоставя отделно от PSK, SAE или 802.1X/EAP, в зависимост от конфигурирания режим на сигурност на WLAN. Поддържаният пакет за шифри и размерът на ключа зависят от модела на телефона и конфигурацията на WLAN.

Схемите за удостоверяване и криптиране са настроени в безжичната LAN мрежа. VLAN са конфигурирани в мрежата и на AP и определят различни комбинации от удостоверяване и криптиране. SSID се свързва с VLAN и конкретната схема за удостоверяване и криптиране. За да могат безжичните клиентски устройства да се удостоверяват успешно, трябва да конфигурирате същите SSID с техните схеми за удостоверяване и криптиране на AP и по телефона.

Някои схеми за удостоверяване изискват специфични видове криптиране.

Схемите за удостоверяване и криптиране в следващата таблица показват опциите за мрежова конфигурация за Cisco Wireless Phone 9821, които съответстват на конфигурацията на AP.

Cisco Wireless Phone 9821 поддържа 802.1X удостоверяване за кабелни мрежи. Това обикновено се използва по време на автоматично осигуряване, когато телефонът е свързан към зарядното устройство за настолни компютри чрез поддържан USB-to-Ethernet адаптер.

Поддръжката за 802.1X удостоверяване на кабелни мрежи изисква няколко компонента, както следва:

• Cisco IP телефон: Телефонът инициира заявката за достъп до мрежата. IP телефоните на Cisco съдържат 802.1X молба. Тази молба позволява на мрежовите администратори да контролират свързаността на IP телефони към портовете за превключване на LAN. Текущото издание на телефона 802.1X supplicant използва опциите EAP-FAST и EAP-TLS за мрежово удостоверяване.

• Сървър за удостоверяване: Сървърът за удостоверяване и превключвателят трябва да бъдат конфигурирани със споделена тайна RADIUS.

• Превключвател: Превключвателят трябва да поддържа 802.1X, така че да може да действа като удостоверител и да предава EAP съобщ енията между телефона и сървъра за удостоверяване. След като обменът приключи, превключвателят предоставя или отказва достъп на телефона до мрежата.

Cisco IP телефоните и превключвателите Cisco Catalyst традиционно използват Cisco Discovery Protocol (CDP), за да се идентифицират взаимно и да определят параметри като разпределение на VLAN и вградените изисквания за захранване.

Трябва да изпъл ните следните действия, за да конфигурирате 802.1X.

• Конфигурирайте CDP/LLDP гласов VLAN байпас.

• Конфигурирайте сървъра за удостоверяване и превключвателя, преди да активирате 802.1X удостоверяване за кабелни мрежи на телефона.

• Конфигуриране на гласовата VLAN: Тъй като стандартът 802.1X не отчита VLAN, трябва да конфигурирате тази настройка въз основа на поддръжката на превключвателя.

  • Активирано: Ако използвате превключвател, който поддържа удостоверяване на много домейни, можете да го конфигурирате да използва гласовата VLAN.
  • Деактивирано: Ако превключвателят не поддържа удостоверяване на много домейни, деактивирайте Voice VLAN и помислете за присвояване на порта към родната VLAN.

• Безжичният телефон Cisco 9821 има различен префикс в PID от този за другите телефони на Cisco. За да активирате телефона ви да премине 802.1X удостоверяване, задайте параметъра Radius · UserName да включва вашия Cis co Wireless Phone 9821.

  Например, PID на безжичния телефон 9821 на Cisco е WP-9821. Можете да зададете Radius·Потребителско име на Start with WPили Contains WPв двата от следните раздела:

  • Политика > Усл овия > Условия на библиотеката

  • Правила > На бори от правила > Пол итика за оторизация > Правило за оторизация 1