Děkujeme za vaši zpětnou vazbu.

Protože všechna zařízení WLAN, která jsou v dosahu, mohou přijímat veškerý ostatní provoz WLAN, je zabezpečení hlasové komunikace v sítích WLAN velmi důležité. Aby bylo zajištěno, že vetřelci nebudou manipulovat ani zachycovat hlasový provoz, architektura Cisco SAFE Security podporuje telefon. Další informace o zabezpečení v sítích naleznete v tématu http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefonní řešení Cisco Wireless IP poskytuje zabezpečení bezdrátové sítě, které zabraňuje neoprávněným přihlášením a ohrožené komunikaci pomocí následujících metod ověřování, které telefon podporuje.

• Otevřené ověření: V otevřeném systému může o ověření požádat jakékoli bezdrátové zařízení. Přístupový bod, který obdrží požadavek, může povolit ověření libovolnému žadateli nebo pouze žadatelům, kteří se nacházejí v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrovaná.

• Flexibilní ověřování pomocí zabezpečeného tunelového propojení (EAP-FAST): Tato architektura zabezpečení klient-server šifruje EAP transakce v tunelovém propojení TLS (Transport Level Security) mezi přístupovým bodem a serverem RADIUS, jako je například Identity Services Engine (ISE).

  Tunel TLS používá k ověřování mezi klientem (telefonem)   serverem RADIUS chráněná pověření (PAC). Server odešle ID autority (AID) klientovi (telefonu), který následně vybere příslušné pověření PAC. Klient (telefon) vrátí serveru RADIUS zprávu PAC-Opaque. Server dešifruje pověření PAC pomocí primárního klíče. Oba koncové body nyní obsahují klíč PAC a dojde k vytvoření tunelu TLS. Ověření EAP-FAST podporuje automatické poskytování pověření PAC, ale je nutné jej povolit na serveru RADIUS.

  V ISE ve výchozím nastavení vyprší platnost PAC za jeden týden. Pokud má telefon neplatné pověření PAC, ověření pomocí serveru RADIUS potrvá déle, než telefon získá nové pověření PAC. Pokud chcete předejít zpoždění při poskytování pověření PAC, nastavte na serveru ISE nebo RADIUS dobu platnosti pověření PAC na 90 dní nebo delší.

• Ověření EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): Zabezpečení EAP-TLS vyžaduje pro ověření a přístup k síti klientský certifikát. Pro bezdrátový EAP-TLS může být klientský certifikát MIC nebo uživatelem nainstalovaný certifikát.

• PEAP (Protected Extensible Authentication Protocol): Proprietární schéma vzájemného ověřování založené na hesle mezi klientem (telefonem) a serverem RADIUS. Telefon může použít PEAP pro ověření v bezdrátové síti. Podporovány jsou metody ověření PEAP-MSCHAPV2 i PEAP-GTC.

  Chcete-li podporovat ověřování PEAP-GTC pro Cisco bezdrátový telefon 9821, nakonfigurujte potřebné zásady v rámci sady zásad Cisco ISE.

• Předsdílený klíč (PSK): Telefon podporuje formáty ASCII a šestnáctkové formáty (HEX). Tyto formáty je nutné použít při nastavování předsdíleného klíče WPA2/SAE.

  ASCII: Řetězec znaků ASCII s délkou 8 až 63 znaků (0-9, malá písmena a-z, velká písmena A-Z a speciální znaky). Například GREG123567@9ZX&W.

  HEX: Hexadecimální znakový řetězec s délkou 64 hexadecimálních číslic (0-9, a-f nebo A-F).

Následující schémata ověření používají ke správě ověřovacích klíčů server RADIUS:

• WPA2/WPA3: Používá informace serveru RADIUS ke generování jedinečných klíčů pro ověření. Protože jsou tyto klíče generovány na centralizovaném serveru RADIUS, poskytuje WPA2/WPA3 vyšší zabezpečení než předsdílený klíč WPA, který je uložen na přístupovém bodu a v telefonu.

• Rychlý zabezpečený roaming: Ke správě a ověřování klíčů používá server RADIUS a informace serveru bezdrátové domény (WDS). Služba WDS vytvoří mezipaměť s pověřeními zabezpečení pro klientská zařízení s povoleným protokolem FT pro rychlé a bezpečné opětovné ověření.

U WPA2/WPA3 se šifrovací klíče nezadávají do telefonu, ale jsou automaticky odvozeny mezi přístupovým bodem a telefonem. Uživatelské jméno a heslo EAP, které se používají pro ověření, však musí být zadány v každém telefonu.

Z důvodu ochrany hlasového provozu prostřednictvím bezdrátového spojení podporuje telefon šifrování založené na AES pro ověřování WPA2/WPA3. AES je symetrická bloková šifra standardizovaná NIST. AES používá pevnou velikost bloku 128 bitů a podporuje velikosti klíčů 128 bitů, 192 bitů a 256 bitů. V sítích Wi-Fi je AES používán šifrovacími sadami, jako je CCMP nebo GCMP, zatímco ověřování je poskytováno odděleně PSK, SAE nebo 802.1X/EAP, v závislosti na nakonfigurovaném režimu zabezpečení WLAN. Podporovaná šifrovací sada a velikost klíče závisí na modelu telefonu a konfiguraci WLAN.

V rámci bezdrátové sítě LAN jsou nastavena schémata ověření a šifrování. Sítě VLAN jsou konfigurovány v síti a na přístupových bodech a určují různé kombinace ověřování a šifrování. Identifikátor SSID je spojen se sítí VLAN a konkrétním schématem ověření a šifrování. Aby bylo možné úspěšně ověřit klientská zařízení bezdrátové sítě, je nutné nakonfigurovat stejné identifikátory SSID s jejich schématy ověřování a šifrování v přístupových bodech a v telefonu.

Některá schémata ověření vyžadují specifické typy šifrování.

Schémata ověřování a šifrování v následující tabulce ukazují možnosti konfigurace sítě pro Cisco Wireless Phone 9821, který odpovídá konfiguraci přístupového bodu.

Cisco Wireless Phone 9821 podporuje ověřování 802.1X pro kabelové sítě. Obvykle se používá při automatickém zřizování, když je telefon připojen k nabíječce stolního počítače prostřednictvím podporovaného adaptéru USB-Ethernet.

Podpora ověřování 802.1X v kabelových sítích vyžaduje několik následujících součástí:

• Cisco IP telefon: Telefon iniciuje požadavek na přístup k síti. Cisco IP telefony obsahují žádající port 802.1X. Tento žádající port umožňuje správcům sítě řídit připojení IP telefonů k portům přepínače LAN. Aktuální verze žádajícího portu telefonu 802.1X používá pro ověřování sítě možnosti EAP-FAST a EAP-TLS.

• Ověřovací server: Ověřovací server i přepínač musí být nakonfigurované se sdíleným tajným klíčem RADIUS.

• Přepínač: Přepínač musí podporovat standard 802.1X, aby mohl fungovat jako ověřovatel a přenášet zprávy EAP mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač povolí nebo zamítne přístup telefonu k síti.

Cisco IP telefony a přepínače Cisco Catalyst obvykle používají protokol CDP (Cisco Discovery Protocol) ke vzájemné identifikaci a určení parametrů, jako je přidělení VLAN a požadavky na napájení v síti.

Pro konfiguraci protokolu 802.1X je třeba provést následující akce.

• Nakonfigurujte CDP/LLDP hlasový VLAN bypass.

• Před povolením ověřování 802.1X pro kabelové sítě v telefonu nakonfigurujte ověřovací server a přepínač.

• Konfigurace hlasové sítě VLAN: Protože standard 802.1X nepočítá se sítí VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.

  • Povoleno: Pokud používáte přepínač, který podporuje ověřování více domén, můžete ho nakonfigurovat tak, aby používal hlasovou VLAN.
  • Zakázáno: Pokud přepínač nepodporuje vícedoménové ověřování, zakažte hlasovou síť VLAN a zvažte přiřazení portu k nativní síti VLAN.

• Cisco Wireless Phone 9821 má v PID jinou předponu než u ostatních Cisco telefonů. Chcete-li, aby telefon prošel ověřováním 802.1X, nastavte Radius· User-Name parametr pro zahrnutí vašeho Cisco Wireless Phone 9821.

  Například PID Cisco Wireless Phone 9821 je WP-9821. Můžete nastavit Radius· User-Name to Start with WP nebo Obsahuje WP v obou následujících částech:

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > Sady zásad> Zásady autorizace> Autorizační pravidlo 1