Además de la inscripción del certificado SCEP mediante las configuraciones manuales de la página web del teléfono, también puede utilizar la opción de DHCP 43 para rellenar los parámetros desde un servidor DHCP. La opción DHCP 43 está preconfigurada con los parámetros SCEP, posteriormente el teléfono puede obtener los parámetros del servidor DHCP para realizar la inscripción del certificado SCEP.

Para inscribir un certificado SCEP configurando los parámetros SCEP en la opción 43 DHCP, haga lo siguiente:

1. Prepare un entorno SCEP.

   Para obtener información acerca de la configuración del entorno SCEP, consulte la documentación del servidor SCEP.

2. Configure DHCP opción 43 (definida en 8.4 Información específica del proveedor, RFC 2132).

   Las subopciones (10–15) están reservadas para el método:

   Parámetro en la página web del teléfono	Subopción	Tipo	Longitud (byte)	Obligatorio
   Modo FIPS	10	booleano	1	No*
   Servidor	11	cadena	208 - longitud (Contraseña de desafío)	Sí
   Huella digital de CA raíz	12	binario	20 o 32	Sí
   Contraseña de desafío	13	cadena	208 - longitud (Servidor)	No*
   Habilitación de la autenticación de 802.1X	14	booleano	1	No
   Selección de certificado	15	8 bits sin firmar	1	No

   Cuando utilice el DHCP opción 43, observe las siguientes características del método:

   • Las subopciones (10–15) están reservadas para el certificado de dispositivo personalizado (CDC).
   • La longitud máxima de DHCP opción 43 es de 255 bytes.
   • La longitud máxima de Server + Challenge Password debe ser inferior a 208 bytes.
   • El valor del modo FIPS debe ser coherente con la configuración de aprovisionamiento de incorporación. De lo contrario, el teléfono no podrá recuperar el certificado instalado previamente después de la incorporación. Específicamente
     • Si el teléfono se va a registrar en un entorno donde el modo FIPS está deshabilitado, no es necesario configurar el parámetro Modo FIPS en DHCP opción 43. De forma predeterminada, el modo FIPS está deshabilitado.
     • Si el teléfono se va a registrar en un entorno donde el modo FIPS está habilitado, debe habilitar el modo FIPS en DHCP opción 43. Consulte Habilitar el modo FIPS para obtener más información.
   • La contraseña de la opción 43 está en texto no cifrado.

     Si la contraseña de desafío está vacía, el teléfono utiliza MIC/SUDI para la inscripción inicial y la renovación del certificado. Si la contraseña de desafío está configurada, solo se usa para la inscripción inicial y el certificado instalado se usará para la renovación del certificado.

   • Habilitar autenticación 802.1X y Selección de certificado se utilizan únicamente para los teléfonos de red cableada.
   • DHCP opción 60 (Identificador de clase de proveedor) se utiliza para identificar el modelo de dispositivo.

   En el cuadro siguiente se ofrece un ejemplo de DHCP opción 43 (subopciones 10 a 15):

   Subopción decimal/hexadecimal	Longitud del valor (byte) decimal/hexadecimal	Valor	Valor hexadecimal
   10/0a	1/01	1 (0: deshabilitado; 1: habilitado)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1 (0: No; 1: Sí)	01
   15/0f	1/01	1 (0: fabricación instalada; 1: instalación personalizada)	01

   Resumen de los valores de los parámetros:

   • Modo FIPS = Habilitado

   • Servidor = http://10.79.57.91

   • Huella digital de CA raíz = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • Contraseña de desafío = D233CCF9B9952A15

   • Habilitar autenticación 802.1X = Sí

   • Selección de certificado = Personalizado instalado

   La sintaxis del valor hexadecimal final es: {<suboption><length><value>}...

   De acuerdo con los valores de parámetro anteriores, el valor hexadecimal final es el siguiente:

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. Configure DHCP opción 43 en un servidor DHCP.
   Este paso proporciona un ejemplo de las configuraciones de la opción DHCP 43 en Cisco Network Register.
   1. Agregue DHCP conjunto de definición de opciones.

      La cadena de opción de proveedor es el nombre del modelo de los teléfonos IP. El valor válido es: DP-9841, DP-9851, DP-9861, DP-9871 o CP-8875.

   2. Agregue el DHCP opción 43 y las subopciones al conjunto de definiciones de opciones DHCP.

      Ejemplo:

      

   3. Agregue las opciones 43 a la directiva DHCP y configure el valor de la siguiente manera:

      Ejemplo:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. Verifique la configuración. Puede usar Wireshark para capturar un rastro del tráfico de red entre el teléfono y el servicio.
4. Realice un restablecimiento de fábrica para el teléfono.

   Después de restablecer el teléfono, los parámetros Servidor, Huella digital de CA raíz y Contraseña de desafío se completarán automáticamente. Estos parámetros se encuentran en la sección Configuración SCEP 1 de Certificado > Personalizado en la página web de administración del teléfono.

   Para comprobar los detalles del certificado instalado, haga clic en Ver en la sección Certificados existentes.

   Para comprobar el estado de instalación del certificado, seleccione Estado > Certificado personalizado. El Estado de descarga 1 muestra el último resultado. Si se produce algún problema durante la inscripción del certificado, el estado de descarga puede mostrar el motivo del problema para solucionar problemas.

   Si la autenticación de contraseña de desafío falla, se pedirá a los usuarios que introduzcan la contraseña en la pantalla del teléfono.
5. (Opcional): Para eliminar el certificado instalado del teléfono, haga clic en Eliminar en la sección Certificados existentes.
   Una vez que haga clic en el botón, la operación de eliminación comienza inmediatamente sin una confirmación.

El certificado del dispositivo se puede actualizar automáticamente mediante el proceso SCEP.

• El teléfono comprueba si el certificado caducará en 15 días cada 4 horas. Si es así, el teléfono inicia el proceso de renovación del certificado automáticamente.
• Si la contraseña de desafío está vacía, el teléfono utiliza MIC/SUDI tanto para la inscripción inicial como para la renovación del certificado. Si la contraseña de desafío está configurada, se usa solo para la inscripción inicial, el certificado existente/instalado se usa para la renovación del certificado.
• El teléfono no quita el certificado de dispositivo antiguo hasta que recupera el nuevo.
• Si la renovación del certificado falla porque caduca el certificado del dispositivo o la CA, el teléfono activa la inscripción inicial automáticamente. Mientras tanto, si la autenticación de contraseña de desafío falla, aparece una pantalla de entrada de contraseña en la pantalla del teléfono y se solicita a los usuarios que ingresen la contraseña de desafío en el teléfono.

La Teléfonos IP Cisco admiten la autenticación 802.1X.

Tradicionalmente, los Teléfonos IP Cisco y los switches Cisco Catalyst utilizan el Cisco Discovery Protocol (Protocolo de detección de Cisco o CDP) para identificarse entre ellos y determinar parámetros como la asignación de VLAN y los requisitos de la alimentación en línea. El CDP no identifica las estaciones de trabajo conectadas localmente. Los Teléfonos IP de Cisco proporcionan un mecanismo de transferencia de EAPOL. Este mecanismo permite que una estación de trabajo conectada al Teléfono IP de Cisco pase mensajes EAPOL al autenticador 802.1X en el switch de LAN. El mecanismo de transferencia garantiza que el teléfono IP no actúe como el switch de LAN para autenticar un extremo de datos antes de acceder a la red.

Los Teléfonos IP de Cisco también proporcionan un mecanismo de cierre de sesión EAPOL con proxy. Si la computadora conectada localmente se desconecta del teléfono IP, el switch de LAN no percibe la falla en el enlace físico, ya que se mantiene el enlace entre el switch de LAN y el teléfono IP. Para evitar poner en peligro la integridad de la red, el teléfono IP envía un mensaje de cierre de sesión de EAPOL al switch en nombre de la computadora de transmisión de datos a usuarios, que activa el switch de LAN para borrar la entrada de autenticación para esta computadora.

La compatibilidad con la autenticación 802.1X requiere varios componentes:

• Teléfono IP de Cisco: el teléfono inicia la solicitud de acceso a la red. Los Teléfonos IP de Cisco contienen un solicitante de 802.1X. Este solicitante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos de switch de LAN. La versión actual del teléfono solicitante de 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: Tanto el servidor de autenticación como el conmutador deben estar configurados con un secreto compartido que autentique el teléfono.

• Switch: el switch debe ser compatible con 802.1X, para que pueda actuar como autenticador y transmitir los mensajes entre el teléfono y el servidor de autenticación. Cuando se completa el intercambio de mensajes, el switch le otorga o deniega el acceso a la red al teléfono.

Para configurar 802.1X, debe realizar las siguientes acciones.

• Configure el resto de los componentes antes de activar la autenticación 802.1X en el teléfono.

• Configure el puerto PC: el estándar 802.1X no tiene en consideración las VLAN y, por lo tanto, recomienda que solo se autentique un único dispositivo en un puerto de conmutación específico. Sin embargo, algunos switches admiten la autenticación de múltiples dominios. La configuración del switch determina si puede conectar una computadora al puerto de PC del teléfono.

  • Activado: si está usando un switch que admite la autenticación de múltiples dominios, puede activar el puerto PC y conectar una PC a él. En este caso, los Teléfonos IP de Cisco admiten el cierre de sesión EAPOL con proxy para supervisar los intercambios de autenticación entre el switch y la PC conectada.

    Para obtener más información sobre la compatibilidad con IEEE 802.1X en los switches Cisco Catalyst, consulte las guías de configuración de switches Cisco Catalyst en:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Desactivado: si el switch no admite varios dispositivos compatibles con 802.1X en el mismo puerto, debe desactivar el puerto PC cuando la autenticación 802.1X está activada. Si no desactiva este puerto y luego intenta conectar una PC a él, el switch le denegará el acceso a la red tanto al teléfono como a la PC.

• Configure la VLAN de voz: como el estándar 802.1X no tiene en consideración las VLAN, debe configurar este parámetro según la compatibilidad del switch.
  • Activada: si utiliza un switch que admite la autenticación de múltiples dominios, puede utilizar la VLAN de voz.
  • Desactivada: si el switch no admite la autenticación de múltiples dominios, desactive la VLAN de voz y considere la asignación del puerto a la VLAN nativa.
• (Sólo para Cisco Desk Phone serie 9800)

  Cisco Desk Phone 9800 Series tiene un prefijo diferente en el PID que para los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, configure el botón Radius· Parámetro User-Name para incluir el Cisco Desk Phone serie 9800.

  Por ejemplo, el PID del teléfono 9841 es DP-9841; puedes establecer Radius· Nombre de usuario para empezar por DP o Contiene DP. Puede configurarlo en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Conjuntos > directivas > Política de autorización> Regla de autorización 1

Dado que todos los dispositivos WLAN que están dentro del alcance pueden recibir el resto de tráfico WLAN, la protección de las comunicaciones de voz es crítica en las WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura de seguridad Cisco SAFE es compatible con el teléfono. Para obtener más información sobre la seguridad en las redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que evita inicios de sesión no autorizados y comunicaciones comprometidas mediante los siguientes métodos de autenticación que admite el teléfono:

• Autenticación abierta: cualquier dispositivo inalámbrico puede solicitar autenticación en un sistema abierto. El AP que recibe la solicitud puede conceder la autenticación a cualquier solicitante o solo a los solicitantes que se encuentran en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no estar cifrada.

• Protocolo de autenticación extensible: autenticación flexible mediante autenticación de túnel seguro (EAP-FAST): esta arquitectura de seguridad cliente-servidor cifra EAP transacciones dentro de un túnel de seguridad de nivel de transporte (TLS) entre el AP y el servidor RADIUS, como Identity Services Engine (ISE).

  El túnel de TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona la PAC apropiada. El cliente (teléfono) devuelve la PAC-opaca al servidor RADIUS. El servidor descifra la PAC con la clave principal. Ambos puntos finales contienen ahora la tecla PAC y se crea un túnel de TLS. EAP-FAST es compatible con el aprovisionamiento de PAC automático, pero debe activarlo en el servidor RADIUS.

  En ISE, de forma predeterminada, el PAC expira en una semana. Si el teléfono tiene una PAC caducada, la autenticación con el servidor RADIUS tarda más tiempo si el teléfono obtiene un nuevo PAC. Para evitar los retrasos de aprovisionamiento de PAC, configure el período de caducidad de PAC en 90 días o más en el servidor ISE o RADIUS.

• Autenticación de Protocolo de autenticación extensible-Seguridad de capa de transporte (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. Para EAP-TLS inalámbricas, el certificado de cliente puede ser MIC, LSC o certificado instalado por el usuario.

• protocolo de autenticación extensible protegido (PEAP): esquema de autenticación mutua de un propietario de Cisco basado en contraseña entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede utilizar PEAP para la autenticación con la red inalámbrica. Se admiten los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC.

• Clave precompartida (PSK): El teléfono admite ASCII formato. Debe utilizar este formato al configurar una clave precompartida WPA/WPA2/SAE:

  ASCII: cadena de caracteres ASCII de 8 a 63 caracteres de longitud (0-9, minúsculas y mayúsculas de a-Z, y caracteres especiales)

  Ejemplo: GREG123567@9ZX&W

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para administrar las claves de autenticación:

• WPA/WPA2/WPA3: Utiliza la información del servidor RADIUS para generar claves únicas para la autenticación. Dado que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 proporciona más seguridad que claves WPA previamente compartidas almacenadas en el punto de acceso y el teléfono.

• Itinerancia rápida segura: utiliza el servidor RADIUS y una información de servidor de dominio inalámbrico (WDS) para administrar y autenticar las claves. El WDS crea una caché de credenciales de seguridad para dispositivos cliente habilitados para FT para una reautenticación rápida y segura. Cisco Desk Phone 9861 y 9871 y Cisco Video Phone 8875 son compatibles con 802.11r (FT). Tanto por aire como por DS son compatibles para permitir una itinerancia rápida y segura. Pero se recomienda utilizar el método por vía aérea 802.11 r (FT).

Con WPA/WPA2/WPA3, las claves de cifrado no se introducen en el teléfono, sino que se derivan automáticamente entre el AP y el teléfono. Pero el nombre de usuario EAP y la contraseña que se utilizan para la autenticación deben introducirse en cada teléfono.

Para garantizar que el tráfico de voz sea seguro, el teléfono admite TKIP y AES cifrado. Cuando estos mecanismos se utilizan para el cifrado, tanto los paquetes SIP de señalización como los paquetes de protocolo de transporte en tiempo real (RTP) de voz se cifran entre el AP y el teléfono.

TKIP

WPA utiliza el cifrado TKIP que tiene varias mejoras con respecto a WEP. TKIP proporciona el cifrado de claves por paquete y los vectores de inicialización más largos (IV) que fortalecen el cifrado. Además, un código de integridad de mensaje (MIC) garantiza que los paquetes cifrados no se alteran. TKIP elimina la previsibilidad de WEP que ayuda a los intrusos a descifrar la clave WEP.

AES

Método de cifrado utilizado para la autenticación WPA2/WPA3. Este estándar nacional para el cifrado utiliza un algoritmo simétrico que tiene la misma clave para el cifrado y el descifrado. AES utiliza el cifrado CBC (cadena de bloqueo de cifrado) de 128 bits de tamaño, que admite tamaños de clave de 128 bits, 192 bits y 256 bits, como mínimo. El teléfono admite un tamaño de clave de 256 bits.

Los sistemas de autenticación y cifrado se configuran en la LAN inalámbrica. Las VLAN se configuran en la red y en el AP y especifican diferentes combinaciones de autenticación y cifrado. SSID se asocia a una VLAN y al esquema de autenticación y cifrado en particular. Para que los dispositivos cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado en los AP y en el teléfono.

Algunos esquemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado de la siguiente tabla muestran las opciones de configuración de red para el teléfono que corresponde a la configuración de AP.