Gracias por sus comentarios.

Debido a que todos los dispositivos WLAN que están dentro del alcance pueden recibir todo el resto del tráfico WLAN, asegurar las comunicaciones de voz es fundamental en las WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura Cisco SAFE Security es compatible con el teléfono. Para obtener más información sobre la seguridad en las redes, consulte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que evita el inicio de sesión no autorizado y las comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación que admite el teléfono.

• Autenticación abierta: Cualquier dispositivo inalámbrico puede solicitar autenticación en un sistema abierto. El AP que recibe la solicitud puede otorgar autenticación a cualquier solicitante o solo a los solicitantes que se encuentran en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no estar cifrada.

• Protocolo de autenticación extensible: Autenticación flexible mediante autenticación de túnel seguro (EAP-FAST): Esta arquitectura de seguridad cliente-servidor cifra las transacciones EAP dentro de un túnel de seguridad de nivel de transporte (TLS) entre el AP y el servidor RADIUS, como Identity Services Engine (ISE).

  El túnel TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona el PAC apropiado. El cliente (teléfono) devuelve un PAC opaco al servidor RADIUS. El servidor descifra el PAC con la clave principal. Ambos puntos finales ahora contienen la clave PAC y se crea un túnel TLS. EAP-FAST admite el aprovisionamiento PAC automático, pero debe habilitarlo en el servidor RADIUS.

  En ISE, por defecto, el PAC expira en una semana. Si el teléfono tiene un PAC caducado, la autenticación con el servidor RADIUS tarda más tiempo mientras el teléfono recibe un nuevo PAC. Para evitar retrasos en el aprovisionamiento de PAC, establezca el período de vencimiento de PAC en 90 días o más en el servidor ISE o RADIUS.

• Protocolo de autenticación extensible: autenticación de seguridad de la capa de transporte (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. Para EAP-TLS inalámbrico, el certificado de cliente puede ser MIC o certificado instalado por el usuario.

• Protocolo de autenticación extensible protegido (PEAP): esquema de autenticación mutua basado en contraseña patentado de Cisco entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede usar PEAP para la autenticación con la red inalámbrica. Se admiten los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC.

  Para admitir la autenticación PEAP-GTC para Cisco Wireless Phone 9821, configure la política necesaria dentro del conjunto de políticas ISE de Cisco.

• Clave precompartida (PSK): El teléfono admite formatos ASCII y hexadecimal (HEX). Debe usar estos formatos al configurar una clave precompartida WPA2/SAE.

  ASCII: Una cadena de caracteres ASCII con 8 a 63 caracteres de longitud (0-9, minúscula a-z, A-Z mayúscula y caracteres especiales). Por ejemplo, GREG123567@9ZX&W.

  HEX: Una cadena de caracteres HEXADECIMALES con 64 dígitos hexagonales de longitud (0-9, a-f o A-F).

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para administrar claves de autenticación:

• WPA2/WPA3: utiliza la información del servidor RADIUS para generar claves únicas para la autenticación. Debido a que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 proporciona más seguridad que las claves precompartidas WPA que se almacenan en el AP y el teléfono.

• Roaming rápido y seguro: utiliza el servidor RADIUS y la información de un servidor de dominio inalámbrico (WDS) para administrar y autenticar claves. El WDS crea una caché de credenciales de seguridad para dispositivos cliente habilitados para FT para una reautenticación rápida y segura.

Con WPA2/WPA3, las claves de cifrado no se ingresan en el teléfono, sino que se derivan automáticamente entre el AP y el teléfono. Pero el nombre de usuario y la contraseña de EAP que se utilizan para la autenticación deben ingresarse en cada teléfono.

Para ayudar a proteger el tráfico de voz a través del enlace inalámbrico, el teléfono admite cifrado basado en AES para la autenticación WPA2/WPA3. AES es un cifrado de bloques simétrico estandarizado por NIST. AES utiliza un tamaño de bloque fijo de 128 bits y admite tamaños de clave de 128 bits, 192 bits y 256 bits. En las redes Wi-Fi, los conjuntos de cifrado como CCMP o GCMP utilizan AES, mientras que la autenticación se proporciona por separado por PSK, SAE o 802.1X/EAP, dependiendo del modo de seguridad WLAN configurado. El conjunto de cifrado y el tamaño de clave admitidos dependen del modelo de teléfono y la configuración de WLAN.

Los esquemas de autenticación y cifrado se configuran dentro de la LAN inalámbrica. Las VLAN se configuran en la red y en los AP y especifican diferentes combinaciones de autenticación y cifrado. Un SSID se asocia con una VLAN y el esquema particular de autenticación y cifrado. Para que los dispositivos cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado en los AP y en el teléfono.

Algunos esquemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado de la siguiente tabla muestran las opciones de configuración de red para Cisco Wireless Phone 9821 que corresponden a la configuración AP.

Cisco Wireless Phone 9821 admite la autenticación 802.1X para redes cableadas. Esto se usa generalmente durante el aprovisionamiento automático cuando el teléfono está conectado al cargador de escritorio a través de un adaptador USB a Ethernet compatible.

El soporte para la autenticación 802.1X en redes cableadas requiere varios componentes como se indica a continuación:

• Teléfono IP de Cisco: El teléfono inicia la solicitud de acceso a la red. Los teléfonos IP de Cisco contienen un suplicante 802.1X. Este suplicante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos del switch LAN. La versión actual del suplicante del teléfono 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: tanto el servidor de autenticación como el switch deben configurarse con un secreto compartido RADIUS.

• Switch: El switch debe admitir 802.1X, para que pueda actuar como autenticador y retransmitir los mensajes EAP entre el teléfono y el servidor de autenticación. Una vez finalizado el intercambio, el switch concede o niega el acceso telefónico a la red.

Los teléfonos IP de Cisco y los switches Cisco Catalyst utilizan tradicionalmente Cisco Discovery Protocol (CDP) para identificarse entre sí y determinar parámetros como la asignación de VLAN y los requisitos de energía en línea.

Debe realizar las siguientes acciones para configurar 802.1X.

• Configure el bypass de VLAN de voz CDP/LLDP.

• Configure el servidor de autenticación y el conmutador antes de habilitar la autenticación 802.1X para redes cableadas en el teléfono.

• Configurar VLAN de voz: Debido a que el estándar 802.1X no tiene en cuenta las VLAN, debe configurar esta configuración según el soporte del switch.

  • Habilitado: Si está utilizando un switch que admite autenticación multidominio, puede configurarlo para usar la VLAN de voz.
  • Deshabilitado: Si el switch no admite la autenticación multidominio, deshabilite la VLAN de voz y considere la posibilidad de asignar el puerto a la VLAN nativa.

• Cisco Wireless Phone 9821 tiene un prefijo diferente en el PID del de los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, establezca el parámetro Radius·UserName para incluir su Cisco Wireless Phone 9821.

  Por ejemplo, el PID de Cisco Wireless Phone 9821 es WP-9821. Puede establecer Radius·UserName Contains WPen Start with WPo en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Política > Conjuntos de directivas > Política de autorización > Regla de autorización 1