Cisco IP seguridad telefónica

Además de la inscripción del certificado SCEP mediante las configuraciones manuales de la página web del teléfono, también puede utilizar la opción de DHCP 43 para rellenar los parámetros desde un servidor DHCP. La opción DHCP 43 está preconfigurada con los parámetros SCEP, posteriormente el teléfono puede obtener los parámetros del servidor DHCP para realizar la inscripción del certificado SCEP.

Para inscribir un certificado SCEP configurando los parámetros SCEP en la opción 43 DHCP, haga lo siguiente:

1. Prepare un entorno SCEP.

   Para obtener información acerca de la configuración del entorno SCEP, consulte la documentación del servidor SCEP.

2. Configure DHCP opción 43 (definida en 8.4 Información específica del proveedor, RFC 2132).

   Las subopciones (10–15) están reservadas para el método:

   Parámetro en la página web del teléfono	Subopción	Tipo	Longitud (byte)	Obligatorio
   Modo FIPS	10	booleano	1	No*
   Servidor	11	cadena	208 - longitud (Contraseña de desafío)	Sí
   Huella digital de CA raíz	12	binario	20 o 32	Sí
   Contraseña de desafío	13	cadena	208 - longitud (Servidor)	No*
   Habilitación de la autenticación de 802.1X	14	booleano	1	No
   Selección de certificado	15	8 bits sin firmar	1	No

   Cuando utilice el DHCP opción 43, observe las siguientes características del método:

   • Las subopciones (10–15) están reservadas para el certificado de dispositivo personalizado (CDC).
   • La longitud máxima de DHCP opción 43 es de 255 bytes.
   • La longitud máxima de Server + Challenge Password debe ser inferior a 208 bytes.
   • El valor del modo FIPS debe ser coherente con la configuración de aprovisionamiento de incorporación. De lo contrario, el teléfono no podrá recuperar el certificado instalado previamente después de la incorporación. Específicamente
     • Si el teléfono se va a registrar en un entorno donde el modo FIPS está deshabilitado, no es necesario configurar el parámetro Modo FIPS en DHCP opción 43. De forma predeterminada, el modo FIPS está deshabilitado.
     • Si el teléfono se va a registrar en un entorno donde el modo FIPS está habilitado, debe habilitar el modo FIPS en DHCP opción 43. Consulte Habilitar el modo FIPS para obtener más información.
   • La contraseña de la opción 43 está en texto no cifrado.

     Si la contraseña de desafío está vacía, el teléfono utiliza MIC/SUDI para la inscripción inicial y la renovación del certificado. Si la contraseña de desafío está configurada, solo se usa para la inscripción inicial y el certificado instalado se usará para la renovación del certificado.

   • Habilitar autenticación 802.1X y Selección de certificado se utilizan únicamente para los teléfonos de red cableada.
   • DHCP opción 60 (Identificador de clase de proveedor) se utiliza para identificar el modelo de dispositivo.

   En el cuadro siguiente se ofrece un ejemplo de DHCP opción 43 (subopciones 10 a 15):

   Subopción decimal/hexadecimal	Longitud del valor (byte) decimal/hexadecimal	Valor	Valor hexadecimal
   10/0a	1/01	1 (0: deshabilitado; 1: habilitado)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1 (0: No; 1: Sí)	01
   15/0f	1/01	1 (0: fabricación instalada; 1: instalación personalizada)	01

   Resumen de los valores de los parámetros:

   • Modo FIPS = Habilitado

   • Servidor = http://10.79.57.91

   • Huella digital de CA raíz = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • Contraseña de desafío = D233CCF9B9952A15

   • Habilitar autenticación 802.1X = Sí

   • Selección de certificado = Personalizado instalado

   La sintaxis del valor hexadecimal final es: {<suboption><length><value>}...

   De acuerdo con los valores de parámetro anteriores, el valor hexadecimal final es el siguiente:

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. Configure DHCP opción 43 en un servidor DHCP.
   Este paso proporciona un ejemplo de las configuraciones de la opción DHCP 43 en Cisco Network Register.
   1. Agregue DHCP conjunto de definición de opciones.

      La cadena de opción de proveedor es el nombre del modelo de los teléfonos IP. El valor válido es: DP-9841, DP-9851, DP-9861, DP-9871 o CP-8875.

   2. Agregue el DHCP opción 43 y las subopciones al conjunto de definiciones de opciones DHCP.

      Ejemplo:

      

   3. Agregue las opciones 43 a la directiva DHCP y configure el valor de la siguiente manera:

      Ejemplo:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. Verifique la configuración. Puede usar Wireshark para capturar un rastro del tráfico de red entre el teléfono y el servicio.
4. Realice un restablecimiento de fábrica para el teléfono.

   Después de restablecer el teléfono, los parámetros Servidor, Huella digital de CA raíz y Contraseña de desafío se completarán automáticamente. Estos parámetros se encuentran en la sección Configuración SCEP 1 de Certificado > Personalizado en la página web de administración del teléfono.

   Para comprobar los detalles del certificado instalado, haga clic en Ver en la sección Certificados existentes.

   Para comprobar el estado de instalación del certificado, seleccione Estado > Certificado personalizado. El Estado de descarga 1 muestra el último resultado. Si se produce algún problema durante la inscripción del certificado, el estado de descarga puede mostrar el motivo del problema para solucionar problemas.

   Si la autenticación de contraseña de desafío falla, se pedirá a los usuarios que introduzcan la contraseña en la pantalla del teléfono.
5. (Opcional): Para eliminar el certificado instalado del teléfono, haga clic en Eliminar en la sección Certificados existentes.
   Una vez que haga clic en el botón, la operación de eliminación comienza inmediatamente sin una confirmación.

El certificado del dispositivo se puede actualizar automáticamente mediante el proceso SCEP.

• El teléfono comprueba si el certificado caducará en 15 días cada 4 horas. Si es así, el teléfono inicia el proceso de renovación del certificado automáticamente.
• Si la contraseña de desafío está vacía, el teléfono utiliza MIC/SUDI tanto para la inscripción inicial como para la renovación del certificado. Si la contraseña de desafío está configurada, se usa solo para la inscripción inicial, el certificado existente/instalado se usa para la renovación del certificado.
• El teléfono no quita el certificado de dispositivo antiguo hasta que recupera el nuevo.
• Si la renovación del certificado falla porque caduca el certificado del dispositivo o la CA, el teléfono activa la inscripción inicial automáticamente. Mientras tanto, si la autenticación de contraseña de desafío falla, aparece una pantalla de entrada de contraseña en la pantalla del teléfono y se solicita a los usuarios que ingresen la contraseña de desafío en el teléfono.

La Teléfonos IP Cisco admiten la autenticación 802.1X.

Tradicionalmente, los Teléfonos IP Cisco y los switches Cisco Catalyst utilizan el Cisco Discovery Protocol (Protocolo de detección de Cisco o CDP) para identificarse entre ellos y determinar parámetros como la asignación de VLAN y los requisitos de la alimentación en línea. El CDP no identifica las estaciones de trabajo conectadas localmente. Los Teléfonos IP de Cisco proporcionan un mecanismo de transferencia de EAPOL. Este mecanismo permite que una estación de trabajo conectada al Teléfono IP de Cisco pase mensajes EAPOL al autenticador 802.1X en el switch de LAN. El mecanismo de transferencia garantiza que el teléfono IP no actúe como el switch de LAN para autenticar un extremo de datos antes de acceder a la red.

Los Teléfonos IP de Cisco también proporcionan un mecanismo de cierre de sesión EAPOL con proxy. Si la computadora conectada localmente se desconecta del teléfono IP, el switch de LAN no percibe la falla en el enlace físico, ya que se mantiene el enlace entre el switch de LAN y el teléfono IP. Para evitar poner en peligro la integridad de la red, el teléfono IP envía un mensaje de cierre de sesión de EAPOL al switch en nombre de la computadora de transmisión de datos a usuarios, que activa el switch de LAN para borrar la entrada de autenticación para esta computadora.

La compatibilidad con la autenticación 802.1X requiere varios componentes:

• Teléfono IP de Cisco: el teléfono inicia la solicitud de acceso a la red. Los Teléfonos IP de Cisco contienen un solicitante de 802.1X. Este solicitante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos de switch de LAN. La versión actual del teléfono solicitante de 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: Tanto el servidor de autenticación como el conmutador deben estar configurados con un secreto compartido que autentique el teléfono.

• Switch: el switch debe ser compatible con 802.1X, para que pueda actuar como autenticador y transmitir los mensajes entre el teléfono y el servidor de autenticación. Cuando se completa el intercambio de mensajes, el switch le otorga o deniega el acceso a la red al teléfono.

Para configurar 802.1X, debe realizar las siguientes acciones.

• Configure el resto de los componentes antes de activar la autenticación 802.1X en el teléfono.

• Configure el puerto PC: el estándar 802.1X no tiene en consideración las VLAN y, por lo tanto, recomienda que solo se autentique un único dispositivo en un puerto de conmutación específico. Sin embargo, algunos switches admiten la autenticación de múltiples dominios. La configuración del switch determina si puede conectar una computadora al puerto de PC del teléfono.

  • Activado: si está usando un switch que admite la autenticación de múltiples dominios, puede activar el puerto PC y conectar una PC a él. En este caso, los Teléfonos IP de Cisco admiten el cierre de sesión EAPOL con proxy para supervisar los intercambios de autenticación entre el switch y la PC conectada.

    Para obtener más información sobre la compatibilidad con IEEE 802.1X en los switches Cisco Catalyst, consulte las guías de configuración de switches Cisco Catalyst en:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Desactivado: si el switch no admite varios dispositivos compatibles con 802.1X en el mismo puerto, debe desactivar el puerto PC cuando la autenticación 802.1X está activada. Si no desactiva este puerto y luego intenta conectar una PC a él, el switch le denegará el acceso a la red tanto al teléfono como a la PC.

• Configure la VLAN de voz: como el estándar 802.1X no tiene en consideración las VLAN, debe configurar este parámetro según la compatibilidad del switch.
  • Activada: si utiliza un switch que admite la autenticación de múltiples dominios, puede utilizar la VLAN de voz.
  • Desactivada: si el switch no admite la autenticación de múltiples dominios, desactive la VLAN de voz y considere la asignación del puerto a la VLAN nativa.
• (Sólo para Cisco Desk Phone serie 9800)

  Cisco Desk Phone 9800 Series tiene un prefijo diferente en el PID que para los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, configure el botón Radius· Parámetro User-Name para incluir el Cisco Desk Phone serie 9800.

  Por ejemplo, el PID del teléfono 9841 es DP-9841; puedes establecer Radius· Nombre de usuario para empezar por DP o Contiene DP. Puede configurarlo en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Conjuntos > directivas > Política de autorización> Regla de autorización 1