Tak for din feedback.

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage al anden WLAN-trafik, er sikring af talekommunikation afgørende i WLAN'er. For at sikre, at ubudne gæster ikke manipulerer eller opfanger stemmetrafik, understøtter Cisco SAFE Security-arkitekturen telefonen. Du kan finde flere oplysninger om sikkerhed i netværk på http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefoni-løsningen giver trådløs netværkssikkerhed, der forhindrer uautoriserede log-in og kompromitteret kommunikation ved hjælp af følgende godkendelses metoder, som telefonen understøtter.

• Åben godkendelse: Enhver trådløs enhed kan anmode om godkendelse i et åbent system. Den AP, der modtager anmodningen, kan give godkendelse til enhver anmoder eller kun til anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kan ikke være krypteret.

• Extensible Authentication Protocol-Fleksibel godkendelse via EAP-FAST-godkendelse (Secure Tunneling): Denne klient-server-sikkerhedsarkitektur krypterer EAP-transaktioner i en TLS-tunnel (Transport Level Security) mellem AP og RADIUS-serveren, f.eks. Identity Services Engine (ISE).

  TLS-tunnelen bruger PAC'er (Protected Access Credentials) til godkendelse mellem klienten (telefonen) og RADIUS-serveren. Serveren sender et Authority ID (AID) til klienten (telefon), som igen vælger den relevante PAC. Klienten (telefonen) returnerer en PAC-uigennemsigtig til RADIUS-serveren. Serveren dekrypterer PAC med den primære nøgle. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere den på RADIUS-serveren.

  I ISE udløber PAC som standard om en uge. Hvis telefonen har en udløbet PAC, tager godkendelsen med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser i PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE- eller RADIUS-serveren.

• EAP@@ -TLS-godkendelse (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. For trådløs EAP-TLS kan klientcertifikatet være MIC eller brugerinstalleret certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos proprietære adgangskodebaseret gensidig godkendelsesordning mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP-MSCHAPV2- og PEAP-GTC-godkendelsesmetoder understøttes.

  Hvis du vil understøtte PEAP-GTC-godkendelse til Cisco Wireless Phone 9821, skal du konfigurere den nødvendige politik i Cisco ISE-politiksættet.

• Pre-Shared Key (PSK): Telef onen understøtter ASCII- og hexadecimale (HEX) formater. Du skal bruge disse formater, når du konfigurerer en WPA2/SAE foruddelt nøgle.

  ASCII: En ASCII-tegnstreng med en længde på 8 til 63 tegn (0-9, små bogstaver a-z, store bogstaver A-Z og specialtegn). For eksempel, GREG123567@9ZX&W.

  HEX: En seks-tegnstreng med 64 hex-cifre i længden (0-9, a-f eller A-F).

Følgende godkendelsesskemaer bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• WPA2/WPA3: Bruger RADIUS-serveroplysninger til at generere unikke nøgler til godkendelse. Da disse nøgler genereres på den centraliserede RADIUS-server, giver WPA2/WPA3 større sikkerhed end WPA-foruddelte nøgler, der er gemt på AP og telefon.

• Hurtig sikker roaming: Bruger RADIUS-server og en WDS (trådløs domæneserver) oplysninger til at administrere og godkende nøgler. WDS opretter en cache med sikkerhedsoplysninger til FT-aktiverede klientenheder til hurtig og sikker gengodkendelse.

Med WPA2/WPA3 indtastes krypteringsnøgler ikke på telefonen, men afledes automatisk mellem AP og telefon. Men EAP-brugernavnet og adgangskoden, der bruges til godkendelse, skal indtastes på hver telefon.

For at beskytte stemmetrafik over det trådløse link understøtter telefonen AES-baseret kryptering til WPA2/WPA3-godkendelse. AES er en symmetrisk blokkryptering standardiseret af NIST. AES bruger en fast 128-bit blokstørrelse og understøtter nøglestørrelser på 128 bit, 192 bit og 256 bit. I Wi-Fi-netværk bruges AES af chifferpakker som CCMP eller GCMP, mens godkendelse leveres separat af PSK, SAE eller 802.1X/EAP afhængigt af den konfigurerede WLAN-sikkerhedstilstand. Den understøttede chifferpakke og nøglestørrelse afhænger af telefon modellen og WLAN-konfigurationen.

Godkendelses- og krypteringsordninger er konfigureret i det trådløse LAN. VLAN'er er konfigureret i netværket og på AP'erne og angiver forskellige kombinationer af godkendelse og kryptering. Et SSID associeres med et VLAN og det særlige godkendelses- og krypteringsskema. For at trådløse klientenheder kan godkendes korrekt, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsskemaer på AP'erne og på telefonen.

Nogle godkendelsesordninger kræver specifikke typer kryptering.

Godkendelses- og krypteringsskemaerne i nedenstående tabel viser netværkskon figurationsindstillingerne for Cisco Wireless Phone 9821, der svarer til AP-konfiguration.

Cisco Wireless Phone 9821 understøtter 802.1X-godkendelse til kablede netværk. Dette bruges typisk under automatisk klargøring, når telefonen er tilsluttet skrivebordopl aderen via en understøttet USB-til-Ethernet-adapter.

Understøttelse af 802.1X-godkendelse på kabelforbundne netværk kræver flere komponenter som følger:

• Cisco IP-telefon: Telefonen initierer anmodningen om at få adgang til netværket. Cisco IP-telefoner indeholder en 802.1X-supplicant. Denne supplicant giver netværksadministratorer mulighed for at kontrollere IP-telefonernes forbindelse til LAN-switch-porte. Den aktuelle version af telefonens 802.1X-supplicant bruger indstillingerne EAP-FAST og EAP-TLS til netværksgodkendelse.

• Godkendelsesserver: Godkendelsesserveren og switchen skal begge konfigureres med en delt RADIUS-hemmelighed.

• Switch: Skiften skal understøtte 802.1X, så den kan fungere som godkenderen og vider esende EAP-meddelelserne mellem telefonen og godkendelsesserveren. Når udvekslingen er afsluttet, giver eller nægter kontakten telefonens adgang til netværket.

Cisco IP-telefoner og Cisco Catalyst-switche bruger traditionelt Cisco Discovery Protocol (CDP) til at identificere hinanden og bestemme parametre som VLAN-allokering og inline strømkrav.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurer CDP/LLDP-stemme-VLAN-bypass.

• Konfigurer godkendelsesserveren og switchen, før du aktiverer 802.1X- godkendelse for kabelforbundne netværk på telefonen.

• Konfigurer Voice VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, skal du konfigurere denne indstilling baseret på understøttelsen af switchen.

  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse af flere domæner, kan du konfigurere den til at bruge stemme-VLAN.
  • Deaktiveret: Hvis switchen ikke understøtter godkendelse af flere domæner, skal du deaktivere Voice VLAN og overveje at tildele porten til det oprindelige VLAN.

• Cisco Wireless Phone 9821 har et andet præfiks i PID end for de andre Cisco-telefoner. Hvis du vil aktivere din telefon til at bestå 802.1X-godkendelse, skal du indstille parameteren Radius·Brugernavn til at omfatte din Cisco Wireless Phone 9821.

  For eksempel er PID for Cisco Wireless Phone 9821 WP-9821. Du kan indstille Radius·Brugernavn til Start with WPeller Contains WPi begge følgende afsnit:

  • Politik > Bet ingelser > Biblioteksbetingelser

  • Politik > Politiksæt > Autoriseringspolitik > God kendelsesregel 1