Certifikát zařízení lze automaticky aktualizovat procesem SCEP.

• Telefon každé 4 hodiny kontroluje, zda platnost certifikátu vyprší za 15 dnů. Pokud ano, telefon automaticky spustí proces obnovení certifikátu.
• Pokud je ověřovací heslo prázdné, telefon použije pro úvodní registraci i obnovení certifikátu parametry MIC/SUDI. Pokud je nakonfigurováno heslo pro výzvu, použije se pouze pro úvodní registraci, k obnovení certifikátu se použije stávající/nainstalovaný certifikát.
• Telefon neodstraní starý certifikát zařízení, dokud nenačte nový.
• Pokud se obnovení certifikátu nezdaří, protože platnost certifikátu zařízení nebo certifikační autority vyprší, telefon automaticky spustí úvodní registraci. Pokud se mezitím ověření ověřovacího hesla nezdaří, na obrazovce telefonu se zobrazí vstupní obrazovka hesla a uživatelé jsou vyzváni k zadání ověřovacího hesla do telefonu.

Cisco IP telefony podporují ověřování 802.1X.

Přepínače Cisco IP telefonů a Cisco Catalyst se tradičně používají protokol CDP (Cisco Discovery Protocol) k vzájemné identifikaci a určování parametrů, jako je přidělení sítě VLAN a požadavky na napájení na kabelu. Protokol CDP neidentifikuje místně připojené pracovní stanice. Cisco IP telefony poskytují mechanismus průchodu EAPOL. Tento mechanismus umožňuje pracovní stanici připojené k Cisco IP telefonu přenášet zprávy EAPOL na ověřovací stanici 802.1X na přepínači LAN. Mechanismus průchodu zajišťuje, že IP telefon nebude fungovat jako přepínač LAN pro ověření datového koncového bodu před přístupem k síti.

Cisco IP telefony poskytují také mechanismus odhlášení proxy serveru EAPOL. Pokud se místně připojený počítač odpojí od IP telefonu, přepínač LAN neuvidí fyzické spojení selhání, protože spojení mezi přepínačem LAN a IP telefonem je zachováno. Aby nedošlo k ohrožení integrity sítě, odešle IP telefon přepínači jménem počítače downstream zprávu EAPOL-Logoff, která aktivuje přepínač sítě LAN a vymaže položku ověření pro počítače downstream.

Podpora ověřování 802.1X vyžaduje několik komponent:

• Cisco IP telefony Telefon zahájí žádost o přístup k síti. Cisco IP telefony obsahují supplicant 802.1X. Tento požadavek umožňuje správcům sítě ovládat připojení IP telefonů k portům přepínače LAN. Aktuální verze volajícího telefonu 802.1X používá pro síťové ověřování možnosti EAP-FAST a EAP-TLS.

• ověřovací služba Ověřovací server i přepínač musí být nakonfigurovány se sdíleným tajemstvím, které ověřuje telefon.

• Přepínač: Přepínač musí podporovat protokol 802.1X, aby fungoval jako ověřovací nástroj a předával zprávy mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač udělí nebo odepře telefonu přístup k síti.

Ke konfiguraci standardu 802.1X je třeba provést následující akce.

• Před povolením ověřování 802.1X v telefonu nakonfigurujte další součásti.

• Nakonfigurujte port počítače: Standard 802.1X nezohledňuje sítě VLAN, a proto doporučuje ověřit pouze jedno zařízení pro konkrétní port přepínače. Některé přepínače však podporují vícedoménové ověřování. Konfigurace přepínače určuje, zda můžete připojit počítač k portu PC telefonu.

  • Povoleno: Pokud používáte přepínač, který podporuje vícedoménové ověřování, můžete povolit port PC a připojit k němu počítač. V takovém případě Cisco IP telefony podporují protokol EAPOL a Logoff proxy k monitorování výměny ověřování mezi přepínačem a připojeným počítačem.

    Další informace o podpoře standardu IEEE 802.1X přepínače Cisco Catalyst naleznete v průvodcích konfigurací přepínače Cisco Catalyst na adrese:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Zakázáno: Pokud přepínač nepodporuje více zařízení kompatibilních s protokolem 802.1X na stejném portu, měli byste port PC deaktivovat, když je povoleno ověřování 802.1X. Pokud tento port nezakážete a poté se pokusíte k němu připojit počítač, přepínač odepře síťový přístup k telefonu i počítači.

• Nakonfigurujte hlasovou síť VLAN: Protože standard 802.1X nezahrnuje sítě VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.
  • Povoleno: Pokud používáte přepínač, který podporuje vícedoménové ověřování, můžete v něm i nadále používat hlasovou síť VLAN.
  • Zakázáno: Pokud přepínač nepodporuje vícedoménové ověřování, deaktivujte hlasovou síť VLAN a zvažte přiřazení portu k nativní síti VLAN.
• (Pouze pro stolní telefon Cisco řady 9800)

  Stolní telefon Cisco řady 9800 má v PID jinou předponu než u ostatních telefonů Cisco. Chcete-li v telefonu povolit ověřování 802.1X, nastavte parametr Radius·User-Name tak, aby zahrnoval stolní telefon Cisco řady 9800.

  Například PID telefonu 9841 je DP-9841; můžete nastavit uživatelské jméno Poloměr·uživatelské jméno na Začínáme s DP nebo Obsahuje DP. Můžete jej nastavit v obou následujících částech:

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > Sady zásad > Zásady autorizace > Pravidlo autorizace 1

Jelikož všechna zařízení WLAN, která jsou v dosahu, mohou přijímat veškerý ostatní provoz WLAN, je zabezpečení hlasové komunikace v sítích WLAN zásadní. Aby bylo zajištěno, že vetřelci nemanipulují hlasový provoz ani jej nezachycují, podporuje architektura Cisco SAFE Security Architecture. Další informace o zabezpečení v sítích naleznete na adrese http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Řešení Bezdrátové IP telefonie Cisco poskytuje zabezpečení bezdrátové sítě, které brání neoprávněnému přihlášení a narušení komunikace, pomocí následujících metod ověřování podporovaných telefonem:

• Otevřít ověřování: Jakékoli bezdrátové zařízení může požádat o ověření v otevřeném systému. Přístupový bod, který žádost přijme, může udělit ověření jakémukoli žadateli nebo pouze žadatelům, kteří jsou v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrována.

• Ověřování pomocí protokolu EAP-FAST (Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling): Tato architektura zabezpečení klient-server šifruje transakce EAP v tunelu Transport Level Security (TLS) mezi AP a serverem RADIUS, jako je například Identity Services Engine (ISE).

  Tunel TLS používá k ověřování mezi klientem (telefonem) a serverem RADIUS chráněné přístupové přihlašovací údaje (PAC). Server odešle klientovi (telefon) ID autority (AID), který pak vybere příslušnou PAC. Klient (telefon) vrátí PAC-Opaque na server RADIUS. Server dešifruje PAC primárním klíčem. Oba koncové body nyní obsahují klíč PAC a je vytvořen tunel TLS. EAP-FAST podporuje automatické zřizování PAC, musíte jej však povolit na serveru RADIUS.

  Ve výchozím nastavení ISE vyprší PAC za jeden týden. Pokud má telefon PAC vypršenou platnost, ověřování na serveru RADIUS trvá déle, dokud telefon získá novou PAC. Chcete-li předejít zpožděním při zřizování PAC, nastavte na serveru ISE nebo RADIUS dobu konce platnosti PAC na 90 dnů nebo déle.

• Ověřování protokolu EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): Protokol EAP-TLS vyžaduje pro ověření a přístup k síti klientský certifikát. V případě bezdrátového protokolu EAP-TLS může být klientský certifikát MIC, LSC nebo uživatelem instalovaný certifikát.

• Protokol PEAP (Protected Extensible Authentication Protocol): Schéma vzájemného ověřování na základě hesla společnosti Cisco mezi klientem (telefonem) a serverem RADIUS. Telefon může k ověření v bezdrátové síti používat protokol PEAP. Jsou podporovány metody ověřování PEAP-MSCHAPV2 a PEAP-GTC.

• Předsdílený klíč (PSK): Telefon podporuje formát ASCII. Při nastavování předem sdíleného klíče WPA/WPA2/SAE musíte použít tento formát:

  ASCII: řetězec ASCII obsahující 8 až 63 znaků (0–9, malá a velká písmena A–Z a speciální znaky)

  Příklad: GREG123567@9ZX&W