Danke für Ihr Feedback.

Da alle WLAN-Geräte, die sich innerhalb der Reichweite befinden, den gesamten anderen WLAN-Datenverkehr empfangen können, ist die Sicherung der Sprachkommunikation in einem WLAN besonders wichtig. Um sicherzustellen, dass Eindringlinge den Sprachverkehr weder manipulieren noch abfangen können, wird das Telefon von der Cisco SAFE Security-Architektur unterstützt. Weitere Informationen zur Sicherheit in Netzwerken finden Sie unter http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Die Cisco Wireless IP Telefonielösung bietet Sicherheit für Wireless-Netzwerke, die nicht autorisierte Anmeldungen und kompromittierte Kommunikation mithilfe der folgenden, vom Telefon unterstützten Authentifizierungsmethoden verhindert.

• Offene Authentifizierung: In einem offenen System kann jedes kabellose Gerät die Authentifizierung anfordern. Der Access Point, der die Anforderung empfängt, kann die Authentifizierung entweder jedem Anforderer oder nur denjenigen Anforderern gewähren, die in einer Benutzerliste aufgeführt sind. Die Kommunikation zwischen dem drahtlosen Gerät und dem Access Point (AP) kann unverschlüsselt sein.

• Extensible Authentication Protocol-flexible Authentication via Secure Tunneling (EAP-FAST)-Authentifizierung: Diese Client-Server-Sicherheitsarchitektur verschlüsselt EAP-Transaktionen innerhalb eines Transport Level Security (TLS)-Tunnels zwischen dem Access Point und dem RADIUS-Server, z. B. Identity Services Engine (ISE).

  Der TLS-Tunnel verwendet PACs (Protected Access Credentials) für die Authentifizierung zwischen dem Client (Telefon) und dem RADIUS-Server. Der Server sendet eine Autoritäts-ID (Authority ID, AID) an den Client (Telefon), der wiederum die richtige PAC auswählt. Der Client (Telefon) gibt einen PAC-Opaque-Wert an den RADIUS-Server zurück. Der Server entschlüsselt die PAC mit dem primären Schlüssel. Beide Endpunkte verfügen nun über den PAC-Schlüssel, und ein TLS-Tunnel wird erstellt. EAP-FAST unterstützt die automatische PAC-Bereitstellung, muss jedoch auf dem RADIUS-Server aktiviert werden.

  In der ISE läuft die PAC standardmäßig nach einer Woche ab. Wenn auf dem Telefon eine abgelaufene PAC vorhanden ist, dauert die Authentifizierung beim RADIUS-Server länger, da das Telefon eine neue PAC abrufen muss. Um Verzögerungen bei der PAC-Bereitstellung zu vermeiden, sollten Sie den Ablaufzeitraum für die PAC auf dem ISE oder RADIUS-Server auf mindestens 90 Tage festlegen.

• Extensible Authentication Protocol-Transport Layer Security-(EAP-TLS-)-Authentifizierung: EAP-TLS erfordert ein Client-Zertifikat für Authentifizierung und Netzwerkzugriff. Bei Wireless EAP-TLS kann das Clientzertifikat MIC oder ein vom Benutzer installiertes Zertifikat sein.

• PEAP (Protected Extensible Authentication Protocol): Ein von Cisco entwickeltes, kennwortbasiertes Schema zur gegenseitigen Authentifizierung zwischen Client (Telefon) und RADIUS-Server. Das Telefon kann PEAP für die Authentifizierung beim Drahtlosnetzwerk verwenden. Als Authentifizierungsmethoden werden sowohl PEAP-MSCHAPV2 als auch PEAP-GTC unterstützt.

  Um die PEAP-GTC-Authentifizierung für das Cisco Wireless Phone 9821 zu unterstützen, konfigurieren Sie die erforderliche Richtlinie innerhalb des Cisco ISE-Richtliniensatzes.

• Pre-shared Key (PSK): Das Telefon unterstützt das Format ASCII und Hexadezimal (HEX). Sie müssen diese Formate verwenden, wenn Sie einen WPA2/SAE Pre-shared Key einrichten.

  ASCII: Eine ASCII-Zeichenfolge mit einer Länge von 8 bis 63 Zeichen (0-9, Kleinbuchstaben a-z, Großbuchstaben A-Z und Sonderzeichen). Beispiel: GREG123567@9ZX&W.

  HEX: Eine HEX-Zeichenfolge mit einer Länge von 64 Hexadezimalzeichen (0-9, a-f oder A-F).

Folgende Authentifizierungsschemata verwenden den RADIUS-Server, um Authentifizierungsschlüssel zu verwalten:

• WPA2/WPA3: Verwendet RADIUS-Serverinformationen, um eindeutige Authentifizierungsschlüssel zu generieren. Da diese Schlüssel auf dem zentralen RADIUS-Server generiert werden, bietet WPA2/WPA3 eine höhere Sicherheit als die vorinstallierten WPA-Schlüssel, die am Access Point und auf dem Telefon gespeichert sind.

• Fast Secure Roaming: Verwendet RADIUS-Serverinformationen und WDS-Informationen (Wireless Domain Server), um Schlüssel zu verwalten und zu authentifizieren. Der WDS erstellt einen Cache mit Sicherheitsanmeldedaten für FT-fähige Client-Geräte, um eine schnelle und sichere erneute Authentifizierung zu gewährleisten.

Bei WPA2/WPA3 werden die Verschlüsselungsschlüssel nicht auf dem Telefon eingegeben, sondern automatisch zwischen dem Access Point und dem Telefon abgeleitet. Der EAP-Benutzername und das Kennwort, die zur Authentifizierung verwendet werden, müssen jedoch auf jedem Telefon eingegeben werden.

Um den Sprachverkehr über die drahtlose Verbindung zu schützen, unterstützt das Telefon die AES-basierte Verschlüsselung für die WPA2/WPA3-Authentifizierung. AES ist eine symmetrische Blockchiffre, die vom NIST standardisiert wurde. AES verwendet eine feste 128-Bit-Blockgröße und unterstützt Schlüssellängen von 128 Bit, 192 Bit und 256 Bit. In Wi-Fi-Netzwerken wird AES von Verschlüsselungssammlungen wie CCMP oder GCMP verwendet, während die Authentifizierung je nach konfiguriertem WLAN-Sicherheitsmodus separat von PSK, SAE oder 802.1X/EAP bereitgestellt wird. Die unterstützte Verschlüsselungssammlung und Schlüsselgröße hängen vom Telefonmodell und der WLAN-Konfiguration ab.

Authentifizierungs- und Verschlüsselungsschemata werden innerhalb des Wireless LAN eingerichtet. VLANs werden im Netzwerk und an den Access Points konfiguriert und geben verschiedene Kombinationen von Authentifizierung und Verschlüsselung an. Eine SSID wird einem VLAN und dem spezifischen Authentifizierungs- und Verschlüsselungsschema zugeordnet. Damit kabellose Client-Geräte erfolgreich authentifiziert werden können, müssen Sie an den Access Points und auf dem Telefon die gleichen SSIDs mit ihren Authentifizierungs- und Verschlüsselungsschemata konfigurieren.

Einige Authentifizierungsschemata erfordern bestimmte Arten von Verschlüsselung.

Die Authentifizierungs- und Verschlüsselungsschemata in der folgenden Tabelle zeigen die Netzwerkkonfigurationsoptionen für Cisco Wireless Phone 9821, das der AP-Konfiguration entspricht.

Cisco Wireless Phone 9821 unterstützt die 802.1X-Authentifizierung für kabelgebundene Netzwerke. Diese wird normalerweise während der automatischen Bereitstellung verwendet, wenn das Telefon über einen unterstützten USB-zu-Ethernet-Adapter mit dem Desktopladegerät verbunden ist.

Für die Unterstützung der 802.1X-Authentifizierung in kabelgebundenen Netzwerken werden folgende Komponenten benötigt:

• Cisco IP-Telefon: Das Telefon initiiert die Anforderung, um auf das Netzwerk zuzugreifen. Das Cisco IP-Telefon enthält ein 802.1X Supplicant. Dieses Supplicant ermöglicht Netzwerkadministratoren die Verbindung von IP-Telefonen mit den LAN-Switch-Ports zu steuern. Die aktuelle Version des 802.1X Supplicant verwendet EAP-FAST und EAP-TLS für die Netzwerkauthentifizierung.

• Authentifizierungsserver: Der Authentifizierungsserver und der Switch müssen beide mit einem Shared Secret für RADIUS konfiguriert werden.

• Switch: Der Switch muss 802.1X unterstützen, damit er als Authentifikator fungieren und die EAP Nachrichten zwischen dem Telefon und dem Authentifizierungsserver weiterleiten kann. Nach dem Meldungsaustausch gewährt oder verweigert der Switch dem Telefon den Zugriff auf das Netzwerk.

Cisco IP-Telefons und Cisco Catalyst-Switches verwenden normalerweise CDP (Cisco Discovery Protocol), um sich gegenseitig zu identifizieren und Paramater zu bestimmen, beispielsweise die VLAN-Zuweisung und Inline-Energieanforderungen.

Um 802.1X zu konfigurieren, müssen Sie die folgenden Schritte ausführen.

• Konfigurieren Sie CDP/LLDP Sprachumgehung VLAN.

• Konfigurieren Sie den Authentifizierungsserver und den Switch, bevor Sie die 802.1X-Authentifizierung für verkabelte Netzwerke auf dem Telefon aktivieren.

• Sprach-VLAN konfigurieren: Da VLANs von 802.1X-Standard nicht berücksichtigt werden, sollten Sie diese Einstellung basierend auf der Switch-Unterstützung konfigurieren.

  • Aktiviert: Wenn Sie einen Switch verwenden, der die Authentifizierung in mehreren Domänen unterstützt, können Sie ihn für die Verwendung der Sprachauthentifizierung VLAN konfigurieren.
  • Deaktiviert: Wenn der Switch die Authentifizierung in mehreren Domänen nicht unterstützt, deaktivieren Sie das Sprach-VLAN und weisen Sie den Port dem systemeigenen VLAN zu.

• Cisco Das Wireless-Telefon 9821 hat ein anderes Präfix in der PID als die anderen Cisco-Telefone. Damit Ihr Telefon die 802.1X-Authentifizierung bestehen kann, legen Sie das Feld Radius· User-Name-Parameter , um Ihr Cisco Wireless Phone 9821 einzuschließen.

  Beispielsweise lautet die PID von Cisco Wireless Phone 9821 WP-9821. Sie können Radius · Benutzername , der mit WP beginnen soll oder Enthält WP in den beiden folgenden Abschnitten:

  • Richtlinie > Bedingungen > Bibliotheksbedingungen

  • Richtlinie > Richtliniensätze > Autorisierungsrichtlinie > Autorisierungsregel 1