Děkujeme za vaši zpětnou vazbu.

Protože všechna zařízení WLAN, která jsou v dosahu, mohou přijímat veškerý další provoz WLAN, je zabezpečení hlasové komunikace v síti WLAN zásadní. Aby bylo zajištěno, že vetřelci nebudou manipulovat ani nezachycovat hlasový provoz, podporuje architektura Cisco SAFE Security telefon. Další informace o zabezpečení v sítích naleznete na adrese http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Řešení Cisco Wireless IP telefonie poskytuje zabezpečení bezdrátové sítě, které zabraňuje neoprávněnému přihlášení a ohrožené komunikaci pomocí následujících metod ověřování, které telefon podporuje.

• Otevřené ověřování: Každé bezdrátové zařízení může požádat o ověření v otevřeném systému. Přístupový bod, který obdrží požadavek, může udělit ověření libovolnému žadateli nebo pouze žadatelům, kteří jsou nalezeni v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrovaná.

• Rozšiřitelný ověřovací protokol — Flexibilní ověřování pomocí ověřování zabezpečeného tunelování (EAP-FAST): Tato architektura zabezpečení klient-server šifruje transakce EAP v tunelu zabezpečení úrovně přenosu (TLS) mezi přístupovým bodem a serverem RADIUS, například Identity Services Engine (ISE).

  Tunel TLS používá PAC (Protected Access Credentials) pro ověřování mezi klientem (telefonem) a serverem RADIUS. Server odešle klientovi (telefonu) Authority ID (AID), který následně vybere příslušný PAC. Klient (telefon) vrátí PAC-neprůhlednost serveru RADIUS. Server dešifruje PAC primárním klíčem. Oba koncové body nyní obsahují klíč PAC a je vytvořen tunel TLS. Funkce EAP-FAST podporuje automatické přidělování PAC, ale je nutné jej povolit na serveru RADIUS.

  V ISE, ve výchozím nastavení, PAC vyprší za jeden týden. Pokud má telefon platnost PAC vypršela, ověření pomocí serveru RADIUS trvá déle, než telefon získá nový PAC. Chcete-li se vyhnout zpožděním zřizování PAC, nastavte na serveru ISE nebo RADIUS dobu vypršení platnosti PAC na 90 dní nebo déle.

• Ověřování protokolu EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vyžaduje certifik át klienta pro ověřování a přístup k síti. Pro bezdrátový EAP-TLS může být klientským certifikátem MIC nebo certifikát nainstalovaný uživatelem.

• PEAP (Protected Extensible Authentication Protocol): Patent ované schéma vzájemného ověřování založeného na heslech společnosti Cisco mezi klientem (telefonem) a serverem RADIUS. Telefon může používat PEAP pro ověřování s bezdrátovou sítí. Podporovány jsou metody ověřování PEAP-MSCHAPV2 i PEAP-GTC.

  Chcete-li podporovat ověřování PEAP-GTC pro Cisco Wireless Phone 9821, nakonfigurujte nezbytnou zásadu v sadě zásad Cisco ISE.

• Předsdílený klíč (PSK): Telefon podporuje formáty ASCII a hexadecimální (HEX). Tyto formáty musíte použít při nastavování předsdíleného klíče WPA2/SAE.

  ASCII: Řetězec znaků ASCII s délkou 8 až 63 znaků (0-9, malá písmena a-z, velká písmena A-Z a speciální znaky). Například, GREG123567@9ZX&W.

  HEX: Š estihranný řetězec s délkou 64 hexadecimálních číslic (0-9, a-f nebo A-F).

Následující schémata ověřování používají server RADIUS ke správě ověřovacích klíčů:

• WPA2/WPA3: Používá informace serveru RADIUS ke generování jedinečných klíčů pro ověřování. Protože jsou tyto klíče generovány na centralizovaném serveru RADIUS, poskytuje WPA2/WPA3 větší zabezpečení než předsdílené klíče WPA, které jsou uloženy v přístupovém bodu a telefonu.

• Rychlý zabezpečený roaming: Ke správě a ověřování klíčů používá informace o serveru RADIUS a bezdrátovém doménovém serveru (WDS). WDS vytvoří mezipaměť bezpečnostních pověření pro klientská zařízení s podporou FT pro rychlé a bezpečné opětovné ověřování.

U WPA2/WPA3 nejsou šifrovací klíče zadávány v telefonu, ale jsou automaticky odvozeny mezi přístupovým přístupem a telefonem. Na každém telefonu však musí být zadáno uživatelské jméno a heslo EAP, které se používají pro ověřování.

Pro ochranu hlasového provozu přes bezdrátové spojení telefon podporuje šifrování založené na AES pro ověřování WPA2/WPA3. AES je symetrická bloková šifra standardizovaná NIST. AES používá pevnou 128bitovou velikost bloku a podporuje velikosti klíčů 128 bitů, 192 bitů a 256 bitů. V sítích Wi-Fi používá AES šifrovací sady, jako je CCMP nebo GCMP, zatímco ověřování je poskytováno samostatně pomocí PSK, SAE nebo 802.1X/EAP, v závislosti na nakonfigurovaném režimu zabezpečení WLAN. Podporovaná sada šifrů a velikost klíče závisí na modelu telefonu a konfiguraci WLAN.

Schémata ověřování a šifrování jsou nastavena v bezdrátové síti LAN. VLAN jsou nakonfigurovány v síti a na přístupových místech a určují různé kombinace autentizace a šifrování. SSID se spojuje s VLAN a konkrétním schématem ověřování a šifrování. Aby se bezdrátová klientská zařízení úspěšně ověřovala, musíte nakonfigurovat stejné SSID s jejich schématy ověřování a šifrování na přístupových místech a v telefonu.

Některá schémata ověřování vyžadují specifické typy šifrování.

Schémata ověřování a šifrování v následující tabulce ukazují možnosti konfigurace sítě pro Cisco Wireless Phone 9821, které odpovídají konfiguraci přístupového bodu.

Cisco Wireless Phone 9821 podporuje ověřování 802.1X pro kabelové sítě. To se obvykle používá při automatickém zajišťování, když je telefon připojen k stolní nabíječce prostřednictvím podporovaného adaptéru USB-to-Ethernet.

Podpora ověřování 802.1X v kabelových sítích vyžaduje několik následujících komponent :

• Cisco IP Phone: Telefon iniciuje požadavek na přístup k síti. IP telefony Cisco obsahují požadavek 802.1X. Tento požadavek umožňuje správcům sítě řídit připojení IP telefonů k portům přepínače LAN. Aktuální verze telefonního požadavku 802.1X používá pro ověřování v síti možnosti EAP-FAST a EAP-TLS.

• Ověřovací server: Ověřovací server i přepínač musí být nakonfigurovány se sdílen ým tajným tajemstvím RADIUS.

• Přepínač: Přepínač musí podporovat 802.1X, aby mohl fungovat jako ověřovatel a přenášet zprávy EAP mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač udělí nebo odepře přístup telefonu do sítě.

IP telefony Cisco a přepínače Cisco Catalyst tradičně používají Cisco Discovery Protocol (CDP) k vzájemné identifikaci a určování parametrů, jako je alokace VLAN a požadavky na inline napájení.

Chcete-li nakonfigurovat 802.1X, musíte provést následující akce.

• Nakonfigurujte hlasový bypass VLAN CDP/LLDP.

• Před povolením ověřování 802.1X pro kabelové sítě v telefonu nakonfigur ujte ověřovací server a přepínač.

• Konfigurace hlasové sítě VLAN: Protože standard 802.1X nezahrnuje sítě VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.

  • Povoleno: Pokud používáte přepínač, který podporuje ověřování více domén, můžete jej nakonfigurovat tak, aby používal hlasovou síť VLAN.
  • Zakázáno: Pokud přepínač nepodporuje ověřování více domén, zakažte hlasovou VLAN a zvažte přiřazení portu nativní síti VLAN.

• Cisco Wireless Phone 9821 má jinou předponu v PID než u ostatních telefonů Cisco. Chcete-li povolit, aby telefon procházel ověřováním 802.1X, nastavte parametr Radius·User-Name tak, aby zahrnoval váš bezdrátový telefon Cisco 9821.

  Například PID bezdrátového telefonu Cisco 9821 je WP-9821. Poloměr · Uživatelské jméno můžete nastavit na Start with WPnebo Contains WPv obou následujících částech:

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > S ady zásad > Zásady autorizace > Pravidlo autorizace 1