Tak for din feedback.

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage alle andres WLAN-trafik, er beskyttelse af talekommunikation vigtigt i WLAN. For at sikre, at ubudne gæster ikke manipulerer eller opfanger taletrafik, understøtter Cisco SAFE Security-arkitekturen telefonen. Du kan finde flere oplysninger om sikkerhed i netværk i http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefoniløsningen Cisco Wireless IP leverer trådløs netværkssikkerhed, der forhindrer uautoriseret logon og kompromitteret kommunikation ved hjælp af følgende godkendelsesmetoder, som telefonen understøtter.

• Åben godkendelse: Trådløse enheder kan anmode om godkendelse i et åbent system. Det AP, der modtager anmodningen, kan give godkendelse til en person eller kun de anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kan være ikke-krypteret.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Authentication: Denne klient-server sikkerhedsarkitektur krypterer EAP transaktioner inden for en Transport Level Security (TLS) tunnel mellem AP og RADIUS-serveren, såsom Identity Services Engine (ISE).

  TLS-tunnelen bruger PAC'er (Protected Access Credentials) til godkendelse mellem klienten (telefon) og RADIUS-serveren. Serveren sender et AID (Authority ID) til klienten (telefonen), som gengæld vælger det relevante PAC. Klienten (telefonen) returnerer en PAC-Opaque til RADIUS-serveren. Serveren dekrypterer PAC med masternøglen. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere det på RADIUS-serveren.

  I ISE udløber PAC som standard om en uge. Hvis telefonen har en udløbet PAC, tager en godkendelse med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser pga. PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE'en eller RADIUS-serveren.

• EAP-TLS-godkendelse (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. For trådløse EAP-TLS kan klientcertifikatet være MIC eller brugerinstalleret certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos beskyttede adgangskodebaserede gensidige godkendelsesmetode mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP MSCHAPV2- og PEAP GTC-godkendelsesmetoden understøttes.

  Hvis du vil understøtte PEAP-GTC-godkendelse for Cisco trådløs telefon 9821, skal du konfigurere den nødvendige politik inden for Cisco ISE-politiksættet.

• Pre-Shared Key (PSK): Telefonen understøtter formaterne ASCII og hexadecimal (HEX). Du skal bruge disse formater, når du konfigurerer en forhåndsdelt WPA2/SAE-nøgle.

  ASCII: En ASCII-tegnstreng med 8 til 63 tegn i længden (0-9, små bogstaver a-z, store bogstaver A-Z og specialtegn). f.eks. . GREG123567@9ZX&W.

  HEX: En HEX-tegnstreng med 64 hex-cifre i længden (0-9, a-f eller A-F).

Følgende godkendelsesmetode bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• WPA2/WPA3: Bruger RADIUS-serveroplysninger til at generere entydige nøgler til godkendelse. Da disse nøgler genereres på den centrale RADIUS-server, giver WPA2/WPA3 mere sikkerhed end forhåndsdelte WPA-nøgler, der er gemt på AP'en og telefonen.

• Hurtig sikker roaming: Bruger oplysninger om RADIUS-server og en trådløs domæneserver (WDS) for at administrere og godkende nøgler. WDS opretter en cache med sikkerhedslegitimationsoplysninger for FT-aktiverede klientenheder til hurtig og sikker gengodkendelse.

Med WPA2/WPA3 angives krypteringsnøgler ikke på telefonen, men hentes automatisk mellem adgangspunktet og telefonen. Men det EAP-brugernavn og den adgangskode, der bruges til godkendelse, skal angives på hver enkelt telefon.

For at hjælpe med at beskytte taletrafik via det trådløse link understøtter telefonen AES-baseret kryptering til WPA2/WPA3-godkendelse. AES er en symmetrisk blokchiffer standardiseret af NIST. AES bruger en fast 128-bit blokstørrelse og understøtter nøglestørrelser på 128 bit, 192 bit og 256 bit. I Wi-Fi-netværk bruges AES af krypteringspakker som CCMP eller GCMP, mens godkendelse leveres separat af PSK, SAE eller 802.1X/EAP, afhængigt af den konfigurerede WLAN-sikkerhedstilstand. Den understøttede krypteringspakke og nøglestørrelse afhænger af telefonmodellen og WLAN-konfigurationen.

Godkendelses- og krypteringsmetoder konfigureres inden for det trådløse LAN. VLAN'er konfigureres i netværket og på AP'er og angiver forskellige kombinationer af godkendelse og kryptering. Et SSID er knyttet til et VLAN og det specifikke godkendelses- og krypteringsmetode. Hvis trådløse klientenheder skal kunne godkendes, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsskemaer på AP'erne og på telefonen.

Visse godkendelsesmetoder kræver bestemte typer kryptering.

Godkendelses- og krypteringsskemaerne i følgende tabel viser netværkskonfigurationsindstillingerne for Cisco trådløs telefon 9821, der svarer til AP-konfigurationen.

Cisco Trådløs telefon 9821 understøtter 802.1X-godkendelse for kablede netværk. Dette bruges typisk under automatisk klargøring , når telefonen er sluttet til bordopladeren via en understøttet USB-til-Ethernet-adapter.

Understøttelse af 802.1X-godkendelse på kablede netværk kræver følgende flere komponenter:

• Cisco IP-telefon: Telefonen starter anmodningen for at få adgang til netværket. Cisco IP-telefon indeholder en 802.1X-supplikant. Denne supplikant giver netværksadministratorer kontrol over forbindelsen mellem IP-telefoner og porte på LAN-switch. Den aktuelle version af telefonens 802.1X-supplikant bruger EAP-FAST- og EAP-TLS-indstillingerne til netværksgodkendelse.

• Autentificeringsserver: Godkendelsesserveren og switchen skal begge konfigureres med en delt RADIUS-hemmelighed.

• Switch: Switchen skal understøtte 802.1X, så den kan fungere som godkender og videresende EAP-meddelelser mellem telefonen og godkendelsesserveren. Når udvekslingen er fuldført, giver eller afviser switchen at give telefonen adgang til netværket.

Cisco IP-telefon og Cisco Catalyst-switches bruger traditionelt set Cisco Discovery Protocol (CDP) til at identificere hinanden og bestemme parametre som f.eks. VLAN-tildeling og integreret strømkrav.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurer CDP/LLDP stemme VLAN bypass.

• Konfigurer godkendelsesserveren og switchen, før du aktiverer 802.1X-godkendelse for kabelbaserede netværk på telefonen.

• Konfigurer tale-VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, skal du konfigurere denne indstilling ud fra switchunderstøttelsen.

  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse på flere domæner, kan du konfigurere den til at bruge stemmen VLAN.
  • Deaktiveret: Hvis switchen ikke understøtter godkendelse på flere domæner, skal du deaktivere tale-VLAN'et og overveje at tildele porten til det indbyggede VLAN.

• Cisco Trådløs telefon 9821 har et andet præfiks i PID end for de andre Cisco telefoner. Indstil Radius· for at aktivere din telefon til at passere 802.1X-godkendelse Parameteren Brugernavn for at inkludere din Cisco trådløse telefon 9821.

  For eksempel er PID'et for Cisco trådløs telefon 9821 WP-9821. Du kan indstille Radius· Brugernavn til at starte med WP eller Indeholder WP i begge følgende afsnit:

  • Politik > Betingelser > Biblioteksbetingelser

  • Politik > Politiksæt> Autorisationspolitik > Autorisationsregel 1