Tak for din feedback.

Cisco IP- telefonerne understøtter 802.1X-godkendelse.

Cisco IP-telefoner og Cisco Catalyst-switche bruger traditionelt Cisco Discovery Protocol (CDP) til at identificere hinanden og bestemme parametre som VLAN-allokering og inline strømkrav. CDP identificerer ikke lokalt tilknyttede arbejdsstationer. Cisco IP-telefoner leverer en EAPOL-gennemgangsmekanisme. Denne mekanisme gør det muligt for en arbejdsstation, der er knyttet til Cisco IP-telefonen, at videregive EAPOL-meddelelser til 802.1X-godkenderen ved LAN-kontakten. Gennemgangsmekanismen sikrer, at IP-telefonen ikke fungerer som LAN-switch til at godkende et datakontendepunkt, før du får adgang til netværket.

Cisco IP-telefoner leverer også en proxy EAPOL Logoff-mekanisme. Hvis den lokalt tilsluttede pc afbryder forbindelsen til IP-telefonen, kan LAN-kontakten ikke se, at det fysiske link mislykkes, fordi forbindelsen mellem LAN-kontakten og IP-telefonen opretholdes. For at undgå at kompromittere netværksintegriteten sender IP-telefonen en EAPOL-logoff-meddelelse til switchen på vegne af downstream-pc'en, som udløser LAN-kontakten til at rydde godkendelsesposten for downstream-pc'en.

Understøt telse af 802.1X-godkendelse kræver flere komponenter:

• Cisco IP-telefon: Telefonen initierer anmodningen om at få adgang til netværket. Cisco IP-telefoner indeholder en 802.1X-supplicant. Denne supplicant giver netværksadministratorer mulighed for at kontrollere IP-telefonernes forbindelse til LAN-switch-porte. Den aktuelle version af telefonens 802.1X-supplicant bruger indstillingerne EAP-FAST og EAP-TLS til netværksgodkendelse.

• Godkendelsesserver: Godkendelsesserveren og switchen skal begge konfigureres med en delt hemmelighed, der godkender telefonen.

• Switch: Skiften skal understøtte 802.1X, så den kan fungere som godkenderen og videregive meddelelserne mellem telefonen og godkendelsesserveren. Når udvekslingen er afsluttet, giver eller nægter kontakten telefonens adgang til netværket.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurer de andre komponenter, før du aktiverer 802.1X-godkendelse på telefonen.

• Konfigurer pc-port: 802.1X-standarden tager ikke hensyn til VLAN'er og anbefaler derfor, at kun en enkelt enhed skal godkendes til en bestemt switchport. Nogle switche understøtter dog multidomæne-godkendelse. Switch-konfigurationen bestemmer, om du kan tilslutte en pc til telefonens pc-port.

  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse af flere domæner, kan du aktivere pc-porten og tilslutte en pc til den. I dette tilfælde understøtter Cisco IP-telefoner proxy EAPOL-logoff for at overvåge godkendelsesudvekslingen mellem switchen og den tilsluttede pc.

    Du kan finde flere oplysninger om IEEE 802.1X-understøttelse af Cisco Catalyst-switche i konfigurationsvejledningerne til Cisco Catalyst-switch på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Deaktiveret: Hvis switchen ikke understøtter flere 802.1X-kompatible enheder på den samme port, skal du deaktivere PC-porten, når 802.1X-godkendelse er aktiveret. Hvis du ikke deaktiverer denne port og derefter forsøger at tilslutte en pc til den, nægter kontakten netværksadgang til både telefonen og pc'en.

• Konfigurer Voice VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, skal du konfigurere denne indstilling baseret på understøttelsen af switchen.
  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse af flere domæner, kan du fortsætte med at bruge stemme-VLAN.
  • Deaktiveret: Hvis switchen ikke understøtter godkendelse af flere domæner, skal du deaktivere Voice VLAN og overveje at tildele porten til det oprindelige VLAN.
• (Kun til Cisco Desk Phone 9800-serien)

  Cisco Desk Phone 9800-serien har et andet præfiks i PID end for de andre Cisco-telefoner. Hvis du vil aktivere din telefon til at bestå 802.1X-godkendelse, skal du indstille parameteren Radius·UserName til at omfatte din Cisco Desk Phone 9800-serien.

  For eksempel er PID på telefon 9841 DP-9841; du kan indstille Radius·Brugernavn til eller. Start with DPContains DP Du kan indstille det i begge følgende afsnit:

  • Politik > Bet ingelser > Biblioteksbetingelser

  • Politik > Politiksæt > Autoriseringspolitik > God kendelsesregel 1

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage al anden WLAN-trafik, er sikring af talekommunikation afgørende i WLAN'er. For at sikre, at ubudne gæster ikke manipulerer eller opfanger stemmetrafik, understøtter Cisco SAFE Security-arkitekturen telefonen. Du kan finde flere oplysninger om sikkerhed i netværk på http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefoni-løsningen giver trådløs netværkssikkerhed, der forhindrer uautoriserede log-in og kompromitteret kommunikation ved hjælp af følgende godkendelsesmetoder, som telefonen understøtter:

• Åben godkendelse: Enhver trådløs enhed kan anmode om godkendelse i et åbent system. Den AP, der modtager anmodningen, kan give godkendelse til enhver anmoder eller kun til anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kan ikke være krypteret.

• Extensible Authentication Protocol-Fleksibel godkendelse via EAP-FAST-godkendelse (Secure Tunneling): Denne klient-server-sikkerhedsarkitektur krypterer EAP-transaktioner i en TLS-tunnel (Transport Level Security) mellem AP og RADIUS-serveren, f.eks. Identity Services Engine (ISE).

  TLS-tunnelen bruger PAC'er (Protected Access Credentials) til godkendelse mellem klienten (telefonen) og RADIUS-serveren. Serveren sender et Authority ID (AID) til klienten (telefon), som igen vælger den relevante PAC. Klienten (telefonen) returnerer en PAC-uigennemsigtig til RADIUS-serveren. Serveren dekrypterer PAC med den primære nøgle. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere den på RADIUS-serveren.

  I ISE udløber PAC som standard om en uge. Hvis telefonen har en udløbet PAC, tager godkendelsen med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser i PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE- eller RADIUS-serveren.

• EAP@@ -TLS-godkendelse (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. For trådløs EAP-TLS kan klientcertifikatet være MIC, LSC eller brugerinstalleret certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos proprietære adgangskodebaseret gensidig godkendelsesordning mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP-MSCHAPV2- og PEAP-GTC-godkendelsesmetoder understøttes.

• Pre-Shared Key (PSK): Telef onen understøtter ASCII-format. Du skal bruge dette format, når du konfigurerer en WPA/WPA2/SAE foruddelt nøgle:

  ASCII: en ASCII-tegnstreng med 8 til 63 tegn i længden (0-9, små og store bogstaver A-Z og specialtegn)

  Eksempel: GREG123567 @9ZX &W

Følgende godkendelsesskemaer bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• WPA/WPA2/WPA3: Bruger RADIUS-serveroplysninger til at generere unikke nøgler til godkendelse. Da disse nøgler genereres på den centraliserede RADIUS-server, giver WPA2/WPA3 større sikkerhed end WPA-foruddelte nøgler, der er gemt på AP og telefon.

• Hurtig sikker roaming: Bruger RADIUS-server og en WDS (trådløs domæneserver) oplysninger til at administrere og godkende nøgler. WDS opretter en cache med sikkerhedsoplysninger til FT-aktiverede klientenheder til hurtig og sikker gengodkendelse. Cisco Desk Phone 9861 og 9871 og Cisco Video Phone 8875 understøtter 802.11r (FT). Både over luften og over DS understøttes for at muliggøre hurtig sikker roaming. Men vi anbefaler kraftigt at bruge 802.11r (FT) over air-metoden.

Med WPA/WPA2/WPA3 indtastes krypteringsnøgler ikke på telefonen, men afledes automatisk mellem AP og telefon. Men EAP-brugernavnet og adgangskoden, der bruges til godkendelse, skal indtastes på hver telefon.

For at sikre, at stemmetrafik er sikker, understøtter telefonen TKIP og AES til kryptering. Når disse mekanismer bruges til kryptering, krypteres både signalerende SIP-pakker og RTP-pakker (Voice Real-Time Transport Protocol) mellem AP og telefonen.

TKIP

WPA bruger TKIP-kryptering, der har flere forbedringer i forhold til WEP. TKIP leverer kryptering af nøgler pr. pakke og længere initialiseringsvektorer (IV'er), der styrker krypteringen. Derudover sikrer en meddelelsesintegritetskontrol (MIC), at krypterede pakker ikke ændres. TKIP fjerner forudsigeligheden af WEP, der hjælper ubudne gæster med at dechiffrere WEP-nøglen.

AES

En krypteringsmetode, der bruges til WPA2/WPA3-godkendelse. Denne nationale standard for kryptering bruger en symmetrisk algoritme, der har den samme nøgle til kryptering og dekryptering. AES bruger Cipher Blocking Chain (CBC) kryptering på 128 bit i størrelse, som understøtter nøglestørrelser på 128 bit, 192 bit og 256 bit, som et minimum. Telefonen understøtter en nøglestørrelse på 256 bit.

Godkendelses- og krypteringsordninger er konfigureret i det trådløse LAN. VLAN'er er konfigureret i netværket og på AP'erne og angiver forskellige kombinationer af godkendelse og kryptering. Et SSID associeres med et VLAN og det særlige godkendelses- og krypteringsskema. For at trådløse klientenheder kan godkendes korrekt, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsskemaer på AP'erne og på telefonen.

Nogle godkendelsesordninger kræver specifikke typer kryptering.

Godkendelses- og krypteringsskemaerne i nedenstående tabel viser netværkskonfigurationsindstillingerne for den telefon, der svarer til AP-konfiguration.