Děkujeme za vaši zpětnou vazbu.

IP telefony Cisco podporují ověřování 802.1X.

IP telefony Cisco a přepínače Cisco Catalyst tradičně používají Cisco Discovery Protocol (CDP) k vzájemné identifikaci a určování parametrů, jako je alokace VLAN a požadavky na inline napájení. CDP neidentifikuje lokálně připojené pracovní stanice. IP telefony Cisco poskytují mechanismus průchodu EAPOL. Tento mechanismus umožňuje pracovní stanici připojené k telefonu Cisco IP předávat zprávy EAPOL ověřovateli 802.1X na přepínači LAN. Mechanismus průchodu zajišťuje, že IP telefon nefunguje jako přepínač LAN pro ověření datového koncového bodu před přístupem k síti.

IP telefony Cisco také poskytují proxy mechanismus odhlášení EAPOL. Pokud se místně připojený počítač odpojí od telefonu IP, přepínač LAN nevidí selhání fyzického spojení, protože spojení mezi přepínačem LAN a telefonem IP je zachováno. Aby nedošlo k ohrožení integrity sítě, IP telefon odešle přepínači zprávu o odhlášení EAPOL jménem následného počítače, která spustí přepínač LAN k vymazání položky autentizace pro následný počítač.

Podpora ověřování 802.1X vyžaduje několik komponent:

• Cisco IP Phone: Telefon iniciuje požadavek na přístup k síti. IP telefony Cisco obsahují požadavek 802.1X. Tento požadavek umožňuje správcům sítě řídit připojení IP telefonů k portům přepínače LAN. Aktuální verze telefonního požadavku 802.1X používá pro ověřování v síti možnosti EAP-FAST a EAP-TLS.

• Ověřovací server: Ověřovací server i přepínač musí být nakonfigurovány se sdíleným tajemstvím, které ověřuje telefon.

• Přepínač: Přepínač musí podporovat 802.1X, aby mohl fungovat jako ověřovatel a předávat zprávy mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač udělí nebo odepře přístup telefonu do sítě.

Chcete-li nakonfigurovat 802.1X, musíte provést následující akce.

• Před povolením ověřování 802.1X v telefonu nakonfigurujte ostatní komponenty.

• Konfigurace portu PC: Standard 802.1X nebere v úvahu sítě VLAN, a proto doporučuje ověřit pouze jedno zařízení ke konkrétnímu portu přepínače. Některé přepínače však podporují ověřování více domén. Konfigurace přepínače určuje, zda můžete připojit počítač k portu PC telefonu.

  • Povoleno: Pokud používáte přepínač, který podporuje ověřování více domén, můžete povolit port PC a připojit k němu počítač. V tomto případě podporují IP telefony Cisco proxy EAPOL-Logoff pro sledování výměny autentizace mezi přepínačem a připojeným počítačem.

    Další informace o podpoře IEEE 802.1X na přepínačích Cisco Catalyst naleznete v příručkách konfigurace přepínačů Cisco Catalyst na adrese:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Zakázáno: Pokud přepínač nepodporuje více zařízení kompatibilních se standardem 802.1X na stejném portu, měli byste port PC deaktivovat, pokud je povoleno ověřování 802.1X. Pokud tento port nezakážete a poté se k němu pokusíte připojit počítač, přepínač odepře přístup k síti k telefonu i počítači.

• Konfigurace hlasové sítě VLAN: Protože standard 802.1X nezahrnuje sítě VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.
  • Povoleno: Pokud používáte přepínač, který podporuje ověřování více domén, můžete v něm pokračovat a používat hlasovou síť VLAN.
  • Zakázáno: Pokud přepínač nepodporuje ověřování více domén, zakažte hlasovou VLAN a zvažte přiřazení portu nativní síti VLAN.
• (Pouze pro stolní telefon Cisco řady 9800)

  Cisco Desk Phone řady 9800 má jinou předponu v PID než u ostatních telefonů Cisco. Chcete-li povolit, aby telefon procházel ověřováním 802.1X, nastavte parametr Radius·User-Name tak, aby zahrnov al stolní telefon Cisco řady 9800.

  Například PID telefonu 9841 je DP-9841; můžete nastavit Poloměr · Uživatelské jméno na nebo. Start with DPContains DP Můžete jej nastavit v obou následujících sekcích:

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > S ady zásad > Zásady autorizace > Pravidlo autorizace 1

Protože všechna zařízení WLAN, která jsou v dosahu, mohou přijímat veškerý další provoz WLAN, je zabezpečení hlasové komunikace v síti WLAN zásadní. Aby bylo zajištěno, že vetřelci nebudou manipulovat ani nezachycovat hlasový provoz, podporuje architektura Cisco SAFE Security telefon. Další informace o zabezpečení v sítích naleznete na adrese http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Řešení Cisco Wireless IP telefonie poskytuje zabezpečení bezdrátové sítě, které zabraňuje neoprávněnému přihlášení a ohrožené komunikaci pomocí následujících metod ověřování, které telefon podporuje:

• Otevřené ověřování: Každé bezdrátové zařízení může požádat o ověření v otevřeném systému. Přístupový bod, který obdrží požadavek, může udělit ověření libovolnému žadateli nebo pouze žadatelům, kteří jsou nalezeni v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrovaná.

• Rozšiřitelný ověřovací protokol — Flexibilní ověřování pomocí ověřování zabezpečeného tunelování (EAP-FAST): Tato architektura zabezpečení klient-server šifruje transakce EAP v tunelu zabezpečení úrovně přenosu (TLS) mezi přístupovým bodem a serverem RADIUS, například Identity Services Engine (ISE).

  Tunel TLS používá PAC (Protected Access Credentials) pro ověřování mezi klientem (telefonem) a serverem RADIUS. Server odešle klientovi (telefonu) Authority ID (AID), který následně vybere příslušný PAC. Klient (telefon) vrátí PAC-neprůhlednost serveru RADIUS. Server dešifruje PAC primárním klíčem. Oba koncové body nyní obsahují klíč PAC a je vytvořen tunel TLS. Funkce EAP-FAST podporuje automatické přidělování PAC, ale je nutné jej povolit na serveru RADIUS.

  V ISE, ve výchozím nastavení, PAC vyprší za jeden týden. Pokud má telefon platnost PAC vypršela, ověření pomocí serveru RADIUS trvá déle, než telefon získá nový PAC. Chcete-li se vyhnout zpožděním zřizování PAC, nastavte na serveru ISE nebo RADIUS dobu vypršení platnosti PAC na 90 dní nebo déle.

• Ověřování protokolu EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vyžaduje certifik át klienta pro ověřování a přístup k síti. Pro bezdrátový EAP-TLS může být klientským certifikátem MIC, LSC nebo certifikát nainstalovaný uživatelem.

• PEAP (Protected Extensible Authentication Protocol): Patent ované schéma vzájemného ověřování založeného na heslech společnosti Cisco mezi klientem (telefonem) a serverem RADIUS. Telefon může používat PEAP pro ověřování s bezdrátovou sítí. Podporovány jsou metody ověřování PEAP-MSCHAPV2 i PEAP-GTC.

• Předsdílený klíč (PSK): Telefon podporuje formát ASCII. Tento formát musíte použít při nastavování předsdíleného klíče WPA/WPA2/SAE:

  ASCII: řetězec znaků ASCII s délkou 8 až 63 znaků (0-9, malá a velká písmena A-Z a speciální znaky)

  Příklad: GREG123567 @9ZX &W

Následující schémata ověřování používají server RADIUS ke správě ověřovacích klíčů:

• WPA/WPA2/WPA3: Používá informace serveru RADIUS ke generování jedinečných klíčů pro ověřování. Protože jsou tyto klíče generovány na centralizovaném serveru RADIUS, poskytuje WPA2/WPA3 větší zabezpečení než předsdílené klíče WPA, které jsou uloženy v přístupovém bodu a telefonu.

• Rychlý zabezpečený roaming: Ke správě a ověřování klíčů používá informace o serveru RADIUS a bezdrátovém doménovém serveru (WDS). WDS vytvoří mezipaměť bezpečnostních pověření pro klientská zařízení s podporou FT pro rychlé a bezpečné opětovné ověřování. Stolní telefon Cisco 9861 a 9871 a Cisco Video Phone 8875 podporují 802.11r (FT). Pro rychlý bezpečný roaming jsou podporovány jak bezdrátově, tak přes DS. Důrazně však doporučujeme použít metodu 802.11r (FT) over air.

U WPA/WPA2/WPA3 nejsou šifrovací klíče zadávány v telefonu, ale jsou automaticky odvozeny mezi přístupovým bodem a telefonem. Na každém telefonu však musí být zadáno uživatelské jméno a heslo EAP, které se používají pro ověřování.

Aby bylo zajištěno zabezpečení hlasového provozu, telefon podporuje šifrování TKIP a AES. Pokud jsou tyto mechanismy použity pro šifrování, jsou signální pakety SIP i hlasové pakety RTP (Real-Time Transport Protocol) šifrovány mezi přístupovým přístupem a telefonem.

TKIP

WPA používá šifrování TKIP, které má oproti WEP několik vylepšení. TKIP poskytuje šifrování klíčů na paket a delší inicializační vektory (IV), které posilují šifrování. Kontrola integrity zpráv (MIC) navíc zajišťuje, že šifrované pakety nejsou změněny. TKIP odstraňuje předvídatelnost WEP, která pomáhá vetřelcům dešifrovat klíč WEP.

AES

Metoda šifrování používaná pro ověřování WPA2/WPA3. Tento národní standard pro šifrování používá symetrický algoritmus, který má stejný klíč pro šifrování a dešifrování. AES používá šifrování Cipher Blocking Chain (CBC) o velikosti 128 bitů, které podporuje velikosti klíčů minimálně 128 bitů, 192 bitů a 256 bitů. Telefon podporuje velikost klíče 256 bitů.

Schémata ověřování a šifrování jsou nastavena v bezdrátové síti LAN. VLAN jsou nakonfigurovány v síti a na přístupových místech a určují různé kombinace autentizace a šifrování. SSID se spojuje s VLAN a konkrétním schématem ověřování a šifrování. Aby se bezdrátová klientská zařízení úspěšně ověřovala, musíte nakonfigurovat stejné SSID s jejich schématy ověřování a šifrování na přístupových místech a v telefonu.

Některá schémata ověřování vyžadují specifické typy šifrování.

Schémata ověřování a šifrování v následující tabulce ukazují možnosti konfigurace sítě pro telefon, které odpovídají konfiguraci přístupového bodu.