Das Gerätezertifikat kann durch den SCEP-Prozess automatisch aktualisiert werden.

• Das Telefon überprüft, ob das Zertifikat in 15 Tagen alle 4 Stunden abläuft. Wenn dies der Fall ist, startet das Telefon den Prozess der Zertifikatverlängerung automatisch.
• Wenn das Passwort für die Anforderung leer ist, verwendet das Telefon MIC/SUDI sowohl für die erste Registrierung als auch für die Zertifikatsverlängerung. Wenn das Passwort für die Anforderung konfiguriert ist, wird es nur für die erstmalige Registrierung verwendet, und das vorhandene/installierte Zertifikat wird für die Zertifikatsverlängerung verwendet.
• Das Telefon entfernt das alte Gerätezertifikat erst, nachdem das neue Zertifikat abgerufen wurde.
• Wenn die Zertifikatsverlängerung fehlschlägt, weil das Gerätezertifikat oder die CA abläuft, löst das Telefon die erste Registrierung automatisch aus. Wenn die Authentifizierung des Anforderungspassworts in der Zwischenzeit fehlschlägt, wird auf dem Telefonbildschirm ein Bildschirm für die Passworteingabe angezeigt, und die Benutzer werden aufgefordert, das Anforderungspasswort auf dem Telefon einzugeben.

Cisco IP-Telefons unterstützen die 802.1X-Authentifizierung.

Cisco IP-Telefons und Cisco Catalyst-Switches verwenden üblicherweise CDP (Cisco Discovery Protocol), um sich gegenseitig zu identifizieren und Parameter wie die VLAN-Zuweisung und die Inline-Energieanforderungen zu bestimmen. CDP identifiziert lokal verbundene Arbeitsstationen nicht. Cisco IP-Telefons stellen einen EAPOL-Passthrough-Mechanismus bereit. Dieser Mechanismus ermöglicht einer Arbeitsstation, die an das Cisco IP-Telefon angeschlossen ist, EAPOL-Nachrichten an den 802.1X-Authentifikator am LAN-Switch weiterzuleiten. Der Pass-Through-Mechanismus stellt sicher, dass das IP-Telefon nicht als LAN-Switch fungiert, um einen Datenendpunkt vor dem Zugriff auf das Netzwerk zu authentifizieren.

Cisco IP-Telefons stellen auch einen Proxy-EAPOL-Logoff-Mechanismus bereit. Wenn der lokal angeschlossene PC vom IP-Telefon getrennt wird, sieht der LAN-Switch die physische Verbindung nicht aus, da die Verbindung zwischen dem LAN-Switch und dem IP-Telefon aufrechterhalten wird. Um eine Gefährdung der Netzwerkintegrität zu vermeiden, sendet das IP-Telefon im Auftrag des nachgelagerten PCs eine EAPOL-Logoff-Nachricht an den Switch, die den LAN-Switch veranlasst, den Authentifizierungseintrag für den nachgelagerten PC zu löschen.

Für die Unterstützung der 802.1X-Authentifizierung sind mehrere Komponenten erforderlich:

• Cisco IP-Telefon Das Telefon initiiert die Anforderung, um auf das Netzwerk zuzugreifen. Cisco IP-Telefons enthalten ein 802.1X-Supplicant. Dieses Supplicant ermöglicht es Netzwerkadministratoren, die Konnektivität von IP-Telefonen mit den LAN-Switch-Ports zu steuern. Die aktuelle Version des 802.1X-Telefons verwendet die EAP-FAST- und EAP-TLS-Optionen für die Netzwerkauthentifizierung.

• Authentifizierungsserver: Sowohl der Authentifizierungsserver als auch der Switch müssen mit einem Shared Secret konfiguriert werden, das das Telefon authentifiziert.

• Wechseln: Der Switch muss 802.1X unterstützen, damit er als Authentifikator fungieren und die Nachrichten zwischen dem Telefon und dem Authentifizierungsserver übermitteln kann. Nach Abschluss des Austauschs gewährt oder verweigert der Switch dem Telefon den Zugriff auf das Netzwerk.

Sie müssen die folgenden Schritte ausführen, um 802.1X zu konfigurieren.

• Konfigurieren Sie die anderen Komponenten, bevor Sie die 802.1X-Authentifizierung auf dem Telefon aktivieren.

• PC-Port konfigurieren: Der 802.1X-Standard berücksichtigt keine VLANs und empfiehlt daher, nur ein einzelnes Gerät bei einem bestimmten Switch-Port zu authentifizieren. Einige Switches unterstützen jedoch die Authentifizierung in mehreren Domänen. Die Switch-Konfiguration legt fest, ob Sie einen PC mit dem PC-Port des Telefons verbinden können.

  • Aktiviert Wenn Sie einen Switch verwenden, der die Authentifizierung in mehreren Domänen unterstützt, können Sie den PC-Port aktivieren und einen PC daran anschließen. In diesem Fall unterstützen Cisco IP-Telefons Proxy EAPOL-Logoff zum Überwachen des Authentifizierungsaustauschs zwischen dem Switch und dem angeschlossenen PC.

    Weitere Informationen zur Unterstützung von IEEE 802.1X auf den Cisco Catalyst-Switches finden Sie in den Konfigurationshandbüchern für die Cisco Catalyst-Switches unter:

    http://www.cisco.com/de/USA/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deaktiviert Wenn der Switch nicht mehrere 802.1X-konforme Geräte am selben Port unterstützt, sollten Sie den PC-Port deaktivieren, wenn die 802.1X-Authentifizierung aktiviert ist. Wenn Sie diesen Port nicht deaktivieren und dann versuchen, einen PC anzuschließen, verweigert der Switch den Netzwerkzugriff auf das Telefon und den PC.

• Sprach-VLAN konfigurieren: Da VLANs für den 802.1X-Standard nicht berücksichtigt werden, sollten Sie diese Einstellung basierend auf der Switch-Unterstützung konfigurieren.
  • Aktiviert Wenn Sie einen Switch verwenden, der die Authentifizierung in mehreren Domänen unterstützt, können Sie ihn weiterhin mit dem Sprach-VLAN verwenden.
  • Deaktiviert Wenn der Switch die Authentifizierung in mehreren Domänen nicht unterstützt, deaktivieren Sie das Sprach-VLAN und weisen Sie den Port dem systemeigenen VLAN zu.
• (Nur für die Cisco Desk Phone 9800-Serie)

  Die Cisco-Tischtelefon 9800-Serie hat in der PID ein anderes Präfix als die anderen Cisco-Telefone. Damit Ihr Telefon die 802.1X-Authentifizierung bestehen kann, legen Sie den Parameter Radius·User-Name für die Cisco-Tischtelefon 9800-Serie fest.

  Die PID des Telefons 9841 lautet beispielsweise DP-9841; Sie können Radius·Benutzername auf Mit DP beginnen oder Enthält DP festlegen. Sie können ihn in beiden der folgenden Abschnitte festlegen:

  • Richtlinie > Bedingungen > Bibliotheksbedingungen

  • Richtlinie > Richtliniensätze > Autorisierungsrichtlinie > Autorisierungsregel 1

Da alle WLAN-Geräte, die sich in Reichweite befinden, den gesamten anderen WLAN-Datenverkehr empfangen können, ist die Sicherung der Sprachkommunikation in WLANs von entscheidender Bedeutung. Um sicherzustellen, dass der Sprachverkehr nicht manipuliert oder abgefangen wird, unterstützt die Cisco SAFE-Sicherheitsarchitektur das Telefon. Weitere Informationen zur Sicherheit in Netzwerken finden Sie unter http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Die Cisco Wireless IP-Telefonielösung bietet Sicherheit für drahtlose Netzwerke, die nicht autorisierte Anmeldungen und kompromittierte Kommunikation mithilfe der folgenden, vom Telefon unterstützten Authentifizierungsmethoden verhindert:

• Authentifizierung öffnen: Jedes drahtlose Gerät kann in einem offenen System eine Authentifizierung anfordern. Der Access Point, der die Anforderung erhält, kann die Authentifizierung jedem Antragsteller oder nur Antragstellern gewähren, die in einer Benutzerliste aufgeführt sind. Die Kommunikation zwischen dem drahtlosen Gerät und dem Access Point (AP) könnte nicht verschlüsselt sein.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST): Diese Client-Server-Sicherheitsarchitektur verschlüsselt EAP-Transaktionen innerhalb eines TLS-Tunnels (Transport Level Security) zwischen dem Access Point und dem RADIUS-Server, z. B. die Identity Services Engine (ISE).

  Der TLS-Tunnel verwendet PACs (Protected Access Credentials) für die Authentifizierung zwischen dem Client (Telefon) und dem RADIUS-Server. Der Server sendet eine Autoritäts-ID (AID) an den Client (Telefon), der wiederum die entsprechende PAC auswählt. Der Client (Telefon) gibt eine PAC-Opaque an den RADIUS-Server zurück. Der Server entschlüsselt die PAC mit dem primären Schlüssel. Beide Endpunkte enthalten jetzt den PAC-Schlüssel, und es wird ein TLS-Tunnel erstellt. EAP-FAST unterstützt die automatische PAC-Bereitstellung, muss jedoch auf dem RADIUS-Server aktiviert werden.

  In ISE läuft die PAC standardmäßig in einer Woche ab. Wenn das Telefon über eine abgelaufene PAC verfügt, dauert die Authentifizierung beim RADIUS-Server länger, während das Telefon eine neue PAC erhält. Um Verzögerungen bei der PAC-Bereitstellung zu vermeiden, legen Sie den Ablaufzeitraum für die PAC auf dem ISE- oder RADIUS-Server auf mindestens 90 Tage fest.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS erfordert ein Clientzertifikat für die Authentifizierung und den Netzwerkzugriff. Bei drahtlosem EAP-TLS kann es sich bei dem Clientzertifikat um das MIC-, LSC- oder das vom Benutzer installierte Zertifikat handeln.

• Protected Extensible Authentication Protocol (PEAP): Das von Cisco proprietäre kennwortbasierte gegenseitige Authentifizierungsschema zwischen dem Client (Telefon) und einem RADIUS-Server. Das Telefon kann PEAP für die Authentifizierung mit dem drahtlosen Netzwerk verwenden. Es werden sowohl PEAP-MSCHAPV2- als auch PEAP-GTC-Authentifizierungsmethoden unterstützt.

• Vorinstallierter Schlüssel (PSK): Das Telefon unterstützt das ASCII-Format. Sie müssen dieses Format verwenden, wenn Sie einen vorinstallierten WPA/WPA2/SAE-Schlüssel einrichten:

  ASCII: eine ASCII-Zeichenfolge mit 8 bis 63 Zeichen (0-9, Klein- und Großbuchstaben A-Z und Sonderzeichen)

  Beispiel: GREG123567@9ZX&W