Gracias por sus comentarios.

Los teléfonos IP de Cisco admiten la autenticación 802.1X.

Los teléfonos IP de Cisco y los switches Cisco Catalyst utilizan tradicionalmente Cisco Discovery Protocol (CDP) para identificarse entre sí y determinar parámetros como la asignación de VLAN y los requisitos de energía en línea. CDP no identifica estaciones de trabajo conectadas localmente. Los teléfonos IP de Cisco proporcionan un mecanismo de paso EAPOL. Este mecanismo permite que una estación de trabajo conectada al teléfono IP de Cisco pase mensajes EAPOL al autenticador 802.1X en el switch LAN. El mecanismo de transferencia garantiza que el teléfono IP no actúe como conmutador LAN para autenticar un punto final de datos antes de acceder a la red.

Los teléfonos IP de Cisco también proporcionan un mecanismo proxy de cierre de sesión EAPOL. Si la PC conectada localmente se desconecta del teléfono IP, el conmutador LAN no ve que el enlace físico falle, porque se mantiene el enlace entre el conmutador LAN y el teléfono IP. Para evitar comprometer la integridad de la red, el teléfono IP envía un mensaje de cierre de sesión EAPOL al switch en nombre de la PC descendente, lo que activa el conmutador LAN para borrar la entrada de autenticación para el PC descendente.

El soporte para la autenticación 802.1X requiere varios componentes:

• Teléfono IP de Cisco: El teléfono inicia la solicitud de acceso a la red. Los teléfonos IP de Cisco contienen un suplicante 802.1X. Este suplicante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos del switch LAN. La versión actual del suplicante del teléfono 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: tanto el servidor de autenticación como el switch deben configurarse con un secreto compartido que autentique el teléfono.

• Switch: El switch debe admitir 802.1X, para que pueda actuar como autenticador y pasar los mensajes entre el teléfono y el servidor de autenticación. Una vez finalizado el intercambio, el switch concede o niega el acceso telefónico a la red.

Debe realizar las siguientes acciones para configurar 802.1X.

• Configure los otros componentes antes de habilitar la autenticación 802.1X en el teléfono.

• Configurar puerto de PC: El estándar 802.1X no considera las VLAN y, por lo tanto, recomienda que solo un dispositivo se autentique en un puerto de switch específico. Sin embargo, algunos switches admiten la autenticación multidominio. La configuración del switch determina si puede conectar una PC al puerto PC del teléfono.

  • Habilitado: Si está utilizando un switch que admite la autenticación multidominio, puede habilitar el puerto de PC y conectar un PC a él. En este caso, los teléfonos IP de Cisco admiten el cierre de sesión proxy EAPOL para monitorear los intercambios de autenticación entre el switch y la PC conectada.

    Para obtener más información sobre la compatibilidad con IEEE 802.1X en los switches Cisco Catalyst, consulte las guías de configuración del switch Cisco Catalyst en:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Deshabilitado: Si el switch no admite varios dispositivos compatibles con 802.1X en el mismo puerto, debe deshabilitar el puerto de PC cuando la autenticación 802.1X esté habilitada. Si no deshabilita este puerto y luego intenta conectar una PC a él, el switch deniega el acceso a la red tanto al teléfono como al PC.

• Configurar VLAN de voz: Debido a que el estándar 802.1X no tiene en cuenta las VLAN, debe configurar esta configuración según el soporte del switch.
  • Habilitado: Si está utilizando un switch que admite la autenticación multidominio, puede continuar usando la VLAN de voz.
  • Deshabilitado: Si el switch no admite la autenticación multidominio, deshabilite la VLAN de voz y considere la posibilidad de asignar el puerto a la VLAN nativa.
• (Solo para Cisco Desk Phone serie 9800)

  Cisco Desk Phone serie 9800 tiene un prefijo diferente en el PID del de los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, configure el parámetro Radius·User-Nome para incluir su Cisco Desk Phone serie 9800.

  Por ejemplo, el PID del teléfono 9841 es DP-9841; puede establecer Radius·UserName en o. Start with DPContains DP Puede configurarlo en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Política > Conjuntos de directivas > Política de autorización > Regla de autorización 1

Debido a que todos los dispositivos WLAN que están dentro del alcance pueden recibir todo el resto del tráfico WLAN, asegurar las comunicaciones de voz es fundamental en las WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura Cisco SAFE Security es compatible con el teléfono. Para obtener más información sobre la seguridad en las redes, consulte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que evita el inicio de sesión no autorizado y las comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación que admite el teléfono:

• Autenticación abierta: Cualquier dispositivo inalámbrico puede solicitar autenticación en un sistema abierto. El AP que recibe la solicitud puede otorgar autenticación a cualquier solicitante o solo a los solicitantes que se encuentran en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no estar cifrada.

• Protocolo de autenticación extensible: Autenticación flexible mediante autenticación de túnel seguro (EAP-FAST): Esta arquitectura de seguridad cliente-servidor cifra las transacciones EAP dentro de un túnel de seguridad de nivel de transporte (TLS) entre el AP y el servidor RADIUS, como Identity Services Engine (ISE).

  El túnel TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona el PAC apropiado. El cliente (teléfono) devuelve un PAC opaco al servidor RADIUS. El servidor descifra el PAC con la clave principal. Ambos puntos finales ahora contienen la clave PAC y se crea un túnel TLS. EAP-FAST admite el aprovisionamiento PAC automático, pero debe habilitarlo en el servidor RADIUS.

  En ISE, por defecto, el PAC expira en una semana. Si el teléfono tiene un PAC caducado, la autenticación con el servidor RADIUS tarda más tiempo mientras el teléfono recibe un nuevo PAC. Para evitar retrasos en el aprovisionamiento de PAC, establezca el período de vencimiento de PAC en 90 días o más en el servidor ISE o RADIUS.

• Protocolo de autenticación extensible: autenticación de seguridad de la capa de transporte (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. Para EAP-TLS inalámbrico, el certificado de cliente puede ser MIC, LSC o certificado instalado por el usuario.

• Protocolo de autenticación extensible protegido (PEAP): esquema de autenticación mutua basado en contraseña patentado de Cisco entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede usar PEAP para la autenticación con la red inalámbrica. Se admiten los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC.

• Clave precompartida (PSK): El teléfono admite el formato ASCII. Debe usar este formato al configurar una clave precompartida WPA/WPA2/SAE:

  ASCII: una cadena de caracteres ASCII con 8 a 63 caracteres de longitud (0-9, de la A a la Z en minúscula y mayúscula y caracteres especiales)

  Ejemplo: GREG123567 @9ZX &W

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para administrar claves de autenticación:

• WPA/WPA2/WPA3: Utiliza la información del servidor RADIUS para generar claves únicas para la autenticación. Debido a que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 proporciona más seguridad que las claves precompartidas WPA que se almacenan en el AP y el teléfono.

• Roaming rápido y seguro: utiliza el servidor RADIUS y la información de un servidor de dominio inalámbrico (WDS) para administrar y autenticar claves. El WDS crea una caché de credenciales de seguridad para dispositivos cliente habilitados para FT para una reautenticación rápida y segura. Cisco Desk Phone 9861 y 9871 y Cisco Video Phone 8875 son compatibles con 802.11r (FT). Tanto por aire como por el DS son compatibles para permitir un roaming rápido y seguro. Pero recomendamos encarecidamente utilizar el método 802.11r (FT) sobre aire.

Con WPA/WPA2/WPA3, las claves de cifrado no se ingresan en el teléfono, sino que se derivan automáticamente entre el AP y el teléfono. Pero el nombre de usuario y la contraseña de EAP que se utilizan para la autenticación deben ingresarse en cada teléfono.

Para garantizar que el tráfico de voz sea seguro, el teléfono admite TKIP y AES para el cifrado. Cuando se utilizan estos mecanismos para el cifrado, tanto los paquetes SIP de señalización como los paquetes del Protocolo de transporte en tiempo real (RTP) de voz se cifran entre el AP y el teléfono.

TKIP

WPA utiliza cifrado TKIP que tiene varias mejoras con respecto a WEP. TKIP proporciona cifrado de clave por paquete y vectores de inicialización (IV) más largos que fortalecen el cifrado. Además, una verificación de integridad de mensajes (MIC) garantiza que los paquetes cifrados no se alteren. TKIP elimina la previsibilidad del WEP que ayuda a los intrusos a descifrar la clave WEP.

AES

Un método de cifrado utilizado para la autenticación WPA2/WPA3. Este estándar nacional para el cifrado utiliza un algoritmo simétrico que tiene la misma clave para el cifrado y el descifrado. AES utiliza el cifrado Cipher Blocking Chain (CBC) de 128 bits de tamaño, que admite tamaños de clave de 128 bits, 192 bits y 256 bits, como mínimo. El teléfono admite un tamaño de clave de 256 bits.

Los esquemas de autenticación y cifrado se configuran dentro de la LAN inalámbrica. Las VLAN se configuran en la red y en los AP y especifican diferentes combinaciones de autenticación y cifrado. Un SSID se asocia con una VLAN y el esquema particular de autenticación y cifrado. Para que los dispositivos cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado en los AP y en el teléfono.

Algunos esquemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado de la siguiente tabla muestran las opciones de configuración de red para el teléfono que corresponde a la configuración AP.