El certificado del dispositivo se puede actualizar automáticamente mediante el proceso SCEP.

• El teléfono comprueba si el certificado caducará en 15 días cada 4 horas. Si es así, el teléfono inicia el proceso de renovación de certificados automáticamente.
• Si la contraseña de desafío está vacía, el teléfono utiliza MIC/SUDI tanto para la inscripción inicial como para la renovación del certificado. Si la contraseña de desafío está configurada, se utiliza solo para la inscripción inicial; el certificado existente/instalado se utiliza para la renovación del certificado.
• El teléfono no elimina el certificado de dispositivo anterior hasta que recupera el nuevo.
• Si falla la renovación del certificado porque caduca el certificado del dispositivo o la CA, el teléfono activa la inscripción inicial automáticamente. Mientras tanto, si la autenticación de contraseña de desafío falla, aparece una pantalla de entrada de contraseña en la pantalla del teléfono y se solicita a los usuarios que introduzcan la contraseña de desafío en el teléfono.

Los teléfonos IP Cisco son compatibles con la autenticación 802.1X.

Tradicionalmente, los teléfonos IP Cisco y los switches Cisco Catalyst utilizan el Protocolo de detección de Cisco (CDP) para identificarse entre sí y determinar parámetros como la asignación de VLAN y los requisitos de alimentación en línea. El CDP no identifica las estaciones de trabajo conectadas localmente. Los Teléfonos IP de Cisco proporcionan un mecanismo de transferencia EAPOL. Este mecanismo permite que una estación de trabajo conectada al Teléfono IP de Cisco pase mensajes EAPOL al autenticador 802.1X en el switch de LAN. El mecanismo de transferencia garantiza que el teléfono IP no actúe como el switch de LAN para autenticar un extremo de datos antes de acceder a la red.

Los Teléfonos IP de Cisco también proporcionan un mecanismo de cierre de sesión EAPOL con proxy. Si la PC conectada localmente se desconecta del teléfono IP, el switch de LAN no ve que el enlace físico falla, ya que se mantiene el enlace entre el switch de LAN y el teléfono IP. Para evitar comprometer la integridad de la red, el teléfono IP envía un mensaje de cierre de sesión de EAPOL al switch en nombre de la PC descendente, lo que activa el switch de LAN para borrar la entrada de autenticación para la PC descendente.

El soporte para la autenticación 802.1X requiere varios componentes:

• Teléfono IP de Cisco El teléfono inicia la solicitud para acceder a la red. Los teléfonos IP de Cisco contienen un solicitante 802.1X. Este solicitante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos de switch de LAN. La versión actual del teléfono solicitante 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• servicio de autenticación El servidor de autenticación y el switch deben estar configurados con un secreto compartido que autentica el teléfono.

• Conmutador: El switch debe admitir 802.1X, para que pueda actuar como autenticador y pasar los mensajes entre el teléfono y el servidor de autenticación. Una vez finalizado el intercambio, el switch concede o deniega el acceso del teléfono a la red.

Debe realizar las siguientes acciones para configurar 802.1X.

• Configure los otros componentes antes de habilitar la autenticación 802.1X en el teléfono.

• Configurar puerto de PC: El estándar 802.1X no tiene en cuenta las VLAN y, por lo tanto, recomienda que solo se autentique un dispositivo en un puerto de switch específico. Sin embargo, algunos switches admiten la autenticación de multidominio. La configuración del switch determina si puede conectar una PC al puerto de PC del teléfono.

  • Habilitado Si está utilizando un switch que admite la autenticación de varios dominios, puede habilitar el puerto de PC y conectar una PC a este. En este caso, los Teléfonos IP de Cisco admiten el cierre de sesión EAPOL con proxy para supervisar los intercambios de autenticación entre el switch y la PC conectada.

    Para obtener más información sobre la compatibilidad con IEEE 802.1X en los switches Cisco Catalyst, consulte las guías de configuración del switch Cisco Catalyst en:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • desactivado Si el switch no admite varios dispositivos compatibles con 802.1X en el mismo puerto, debe deshabilitar el puerto de PC cuando la autenticación 802.1X esté habilitada. Si no desactiva este puerto y luego intenta conectar una PC a él, el switch deniega el acceso de red tanto al teléfono como a la PC.

• Configurar la VLAN de voz: Dado que el estándar 802.1X no tiene en cuenta las VLAN, debe configurar este ajuste en función de la compatibilidad del switch.
  • Habilitado Si está utilizando un switch que admite la autenticación de varios dominios, puede continuar usando la VLAN de voz.
  • desactivado Si el switch no admite la autenticación multidominio, deshabilite la VLAN de voz y considere la asignación del puerto a la VLAN nativa.
• (Solo para teléfonos de escritorio Cisco serie 9800)

  El teléfono de escritorio Cisco serie 9800 tiene un prefijo diferente en el PID al de los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, defina el parámetro Radio·Nombre de usuario para que incluya su teléfono de escritorio Cisco serie 9800.

  Por ejemplo, el PID del teléfono 9841 es DP-9841; puede configurar Radio·Nombre de usuario en Iniciar con DP o Contiene DP. Puede definirlo en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Directiva > Conjuntos de directivas > Política de autorización > Regla de autorización 1

Dado que todos los dispositivos WLAN que están dentro del rango pueden recibir todo el resto del tráfico WLAN, proteger las comunicaciones de voz es fundamental en las WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura de seguridad SAFE de Cisco es compatible con el teléfono. Para obtener más información sobre la seguridad en las redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que evita los inicios de sesión no autorizados y las comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación compatibles con el teléfono:

• Autenticación abierta: Cualquier dispositivo inalámbrico puede solicitar la autenticación en un sistema abierto. El AP que recibe la solicitud puede otorgar autenticación a cualquier solicitante o solo a los solicitantes que se encuentran en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no cifrarse.

• Protocolo de autenticación extensible-Autenticación flexible a través de autenticación de túnel seguro (EAP-FAST): Esta arquitectura de seguridad cliente-servidor cifra las transacciones EAP dentro de un túnel de seguridad de nivel de transporte (TLS) entre el AP y el servidor RADIUS, como el motor de servicios de identidad (ISE).

  El túnel de TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona el PAC adecuado. El cliente (teléfono) devuelve un PAC-Opaque al servidor RADIUS. El servidor descifra el PAC con la clave principal. Ambos extremos ahora contienen la clave PAC y se crea un túnel TLS. EAP-FAST admite el aprovisionamiento automático de PAC, pero debe habilitarlo en el servidor RADIUS.

  En ISE, de forma predeterminada, el PAC caduca en una semana. Si el teléfono tiene un PAC caducado, la autenticación con el servidor RADIUS tarda más tiempo mientras el teléfono obtiene un PAC nuevo. Para evitar demoras en el aprovisionamiento de PAC, establezca el período de caducidad de PAC en 90 días o más en el servidor ISE o RADIUS.

• Autenticación extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. En el caso de EAP-TLS inalámbrico, el certificado de cliente puede ser MIC, LSC o certificado instalado por el usuario.

• Protocolo de autenticación extensible protegido (PEAP): Esquema de autenticación mutua de propiedad de Cisco basado en contraseñas entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede utilizar PEAP para la autenticación con la red inalámbrica. Los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC son compatibles.

• Clave compartida previamente (PSK): El teléfono admite el formato ASCII. Debe utilizar este formato al configurar una clave precompartida de WPA/WPA2/SAE:

  ASCII: una cadena de caracteres ASCII de 8 a 63 caracteres de longitud (0-9, minúsculas y mayúsculas A-Z, y caracteres especiales)

  Ejemplo: GREG123567@9ZX&W