Kiitos palautteestasi.

Ciscon IP-puhel imet tukevat 802.1X-todennusta.

Ciscon IP-puhelimet ja Cisco Catalyst -kytkimet käyttävät perinteisesti Cisco Discovery Protocol (CDP) toistensa tunnistamiseen ja parametrien, kuten VLAN-allokoinnin ja sisäisten virrankulutusten määrittämiseen. CDP ei tunnista paikallisesti liitettyjä työasemia. Ciscon IP-puhelimet tarjoavat EAPOL-läpivientimekanismin. Tämän mekanismin avulla Cisco IP -puhelimeen liitetty työasema voi välittää EAPOL-viestejä 802.1X-todennuslaitteelle LAN-kytkimessä. Läpivientimekanismi varmistaa, että IP-puhelin ei toimi LAN-kytkimenä datapäätepisteen todentamiseksi ennen verkkoon pääsyä.

Ciscon IP-puhelimet tarjoavat myös välityspalvelimen EAPOL Logoff -mekanismin. Jos paikallisesti liitetty tietokone katkaisee yhteyden IP-puhelimeen, LAN-kytkin ei näe fyysistä linkkiä epäonnistuvan, koska LAN-kytkimen ja IP-puhelimen välinen yhteys säilyy. Verkon eheyden vaarantumisen välttämiseksi IP-puhelin lähettää kytkimelle loppupään tietokoneen puolesta EAPOL-logoff-viestin, joka laukaisee LAN-kytkimen tyhjentämään loppupään tietokoneen todennusmerkinnän.

802.1 X-todennuksen tuki vaatii useita komponentteja:

• Cisco IP-puhelin: Puhelin käynnistää pyynnön käyttää verkkoa. Ciscon IP-puhelimet sisältävät 802.1X-pyytäjän. Tämän pyynnön avulla verkonvalvojat voivat hallita IP-puhelimien yhteyttä LAN-kytkinportteihin. Puhelimen 802.1X-tukiohjelman nykyinen versio käyttää verkon todennusta varten EAP-FAST- ja EAP-TLS -vaihtoehtoja.

• Todennuspalvelin: Todennuspalvelin ja kytkin on määritettävä jaetulla salaisuudella, joka todentaa puhelimen.

• Kytkin: Kytkimen on tuettava 802.1X-asetusta, jotta se voi toimia todentajana ja välittää viestejä puhelimen ja todennuspalvelimen välillä. Kun vaihto on valmis, kytkin myöntää tai estää puhelimen pääsyn verkkoon.

Määritä 802.1X : n määrittäminen edellyttää seuraavien toimien suorittamista.

• Määritä muut komponentit ennen 802.1X-todennuksen ottamista käyttöön puhelimessa.

• Määritä PC-portti: 802.1X-standardi ei ota huomioon VLAN-verkkoja, joten suosittelemme, että vain yksi laite todennetaan tiettyyn kytkinporttiin. Jotkin kytkimet tukevat kuitenkin moniverkkotunnuksen todennusta. Kytkimen kokoonpano määrittää, voitko kytkeä tietokoneen puhelimen PC-porttiin.

  • Käytössä: Jos käytät usean toimialueen todennusta tukevaa kytkintä, voit ottaa PC-portin käyttöön ja liittää siihen tietokoneen. Tässä tapauksessa Ciscon IP-puhelimet tukevat välityspalvelinta EAPOL-Logoff valvoakseen kytkimen ja liitetyn tietokoneen välistä todennusvaihtoa.

    Lisätietoja Cisco Catalyst -kytkimien IEEE 802.1X -tuesta on Cisco Catalyst -kytkimen määritysoppaissa osoitteessa:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Pois käytöstä: Jos kytkin ei tue useita 802.1X-yhteensopivia laitteita samassa portissa, sinun on poistettava PC-portti käytöstä, kun 802.1X-todennus on käytössä. Jos et poista tätä porttia käytöstä ja yrität sitten liittää siihen tietokoneen, kytkin estää verkon käytön sekä puhelimesta että tietokoneesta.

• Määritä Voice VLAN: Koska 802.1X-standardi ei ota huomioon VLAN-verkkoja, sinun on määritettävä tämä asetus kytkimen tuen perusteella.
  • Käytössä: Jos käytät usean toimialueen todennusta tukevaa kytkintä, voit jatkaa sitä ääni-VLAN-verkon käyttämiseksi.
  • Pois käytöstä: Jos kytkin ei tue usean toimialueen todennusta, poista Voice VLAN käytöstä ja harkitse portin määrittämistä alkuperäiseen VLAN-verkkoon.
• (Vain Cisco 9800 -sarjan pöytäpuhelimille)

  Cisco Desk Phone 9800 -sarjan PID: ssä on erilainen etuliite kuin muilla Cisco-puhelimilla. Jos haluat, että puhelimesi voi läpäistä 802.1X-todennuksen, aseta Radius·UserName -parametri sisällyttämään Cisco Des k Phone 9800 Series -puhelimesi.

  Esimerkiksi puhelimen 9841 PID on DP-9841; voit asettaa Radius·User-nimeksi tai. Start with DPContains DP Voit asettaa sen molemmissa seuraavista osioista:

  • Käytäntö > Ehdot > Kirjaston ehdot

  • Käytäntö > Käyt äntöjoukot > Val tuutuskäytäntö > Val tuutussääntö 1

Koska kaikki kantaman sisällä olevat WLAN-laitteet voivat vastaanottaa kaiken muun WLAN-liikenteen, puheviestinnän turvaaminen on kriittistä WLAN-verkkoissa. Cisco SAFE Security -arkkitehtuuri tukee puhelinta sen varmistamiseksi, että tunkeilijat eivät manipuloi tai sieppaa ääniliikennettä. Lisätietoja verkkojen suojauksesta on osoitteessa http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Ciscon langaton IP-puhelinratkaisu tarjoaa langattoman verkon suojauksen, joka estää luvattomat sisäänkirjautumisen ja vaarantuneen viestinnän käyttämällä seuraavia puhelimen tukemia todennusmenetelmiä:

• Avoin toden nus: Mikä tahansa langaton laite voi pyytää todennusta avoimessa järjestelmässä. Pyynnön vastaanottava tukiasema voi myöntää todennuksen kenelle tahansa pyynnön esittäjälle tai vain pyynnön esittäjille, jotka löytyvät käyttäjäluettelosta. Langattoman laitteen ja tukiaseman (AP) välinen tiedonsiirto voi olla salaamatonta.

• Laajennettava todennusprotokolla-joustava todennus suojatun tunneloinnin (EAP-FAST) -toden nuksen avulla: Tämä asiakas-palvelin-tietoturva-arkkitehtuuri salaa EAP-tapahtumat tukiaseman ja RADIUS-palvelimen välisessä Transport Level Security (TLS-tunneli) sisällä, kuten Identity Services Engine (ISE).

  TLS-tunneli käyttää suojattuja käyttöoikeustietoja (PAC) asiakkaan (puhelimen) ja RADIUS-palvelimen väliseen todennukseen. Palvelin lähettää Authority ID (AID) asiakkaalle (puhelimelle), joka puolestaan valitsee sopivan PAC: n. Asiakas (puhelin) palauttaa PAC-läpinäkyvyyden RADIUS-palvelimelle. Palvelin purkaa PAC: n ensisijaisella avaimella. Molemmat päätepisteet sisältävät nyt PAC-avaimen, ja TLS-tunneli luodaan. EAP-FAST tukee automaattista PAC-valmistelua, mutta se on otettava käyttöön RADIUS-palvelimessa.

  ISE: ssä oletusarvoisesti PAC vanhenee viikossa. Jos puhelimessa on vanhentunut PAC, todennus RADIUS-palvelimella kestää kauemmin, kun puhelin saa uuden PAC: n. Jos haluat välttää PAC-valmistelun viiveet, aseta PAC-ohjelman vanhenemisajaksi vähintään 90 päivää ISE- tai RADIUS-palvelimessa.

• EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) -todennus: EAP-TLS vaatii asiakasvarmenteen toden nusta ja verkkoyhteyttä varten. Langattoman EAP-TLS: n asiakasvarmenteena voi olla MIC, LSC tai käyttäjän asentama varmenne.

• PEAP (Protected Extensible Authentication Protocol): Ciscon oma salasanapohjainen keskinäinen todennusjärjestelmä asiakkaan (puhelimen) ja RADIUS-palvelimen välillä. Puhelin voi käyttää PEAP: tä todennukseen langattoman verkon kanssa. Sekä PEAP-MSCHAPV2- että PEAP-GTC-todennusmenetelmiä tuetaan.

• Esijaettu avain (PSK): Puhelin tukee ASCII-muotoa. Tätä muotoa on käytettävä määritettäessä valmiiksi jaettua WPA/WPA2/SAE-avainta:

  ASCII: AS CII-merkkijono, jonka pituus on 8—63 merkkiä (0-9, pienet ja isot kirjaimet A-Z sekä erikoismerkit)

  Esimerkki: GREG123567 @9ZX &W

Seuraavat todennusjärjestelmät käyttävät RADIUS-palvelinta todennusavainten hallintaan:

• WPA/WPA2/WPA3: Käyttää RADIUS-palvelintietoja ainutlaatuisten avainten luomiseen todennusta varten. Koska nämä avaimet luodaan keskitetyllä RADIUS-palvelimella, WPA2/WPA3 tarjoaa paremman suojan kuin tukiasemaan ja puhelimeen tallennetut WPA-valmiiksi jaetut avaimet.

• Nopea suojattu verkkovierailu: Käyttää RADIUS-palvelimen ja WDS-palvelimen (WDS) tietoja avainten hallintaan ja todentamiseen. WDS luo tietoturvatunnisteiden välimuistin FT-yhteensopiville asiakaslaitteille nopeaa ja turvallista uudelleentodennusta varten. Cisco Desk Phone 9861 ja 9871 sekä Cisco Video Phone 8875 tukevat 802.11r (FT). Sekä langattomasti että DS: n kautta tuetaan nopean suojatun verkkovierailun mahdollistamiseksi. Suosittelemme kuitenkin käyttämään 802.11r (FT) over air -menetelmää.

WPA/WPA2/WPA3-salausavaimia ei syötetä puhelimeen, vaan ne johdetaan automaattisesti tukiaseman ja puhelimen välillä. Mutta EAP-käyttäjänimi ja salasana, joita käytetään todennukseen, on syötettävä jokaiseen puhelimeen.

Ääniliikenteen turvallisuuden varmistamiseksi puhelin tukee TKIP- ja AES-salausta varten. Kun näitä mekanismeja käytetään salaukseen, sekä signaloivat SIP-paketit että äänen Real-Time Transport Protocol (RTP) -paketit salataan AP: n ja puhelimen välillä.

TKIP

WPA käyttää TKIP-salausta, jolla on useita parannuksia WEP:hen verrattuna. TKIP tarjoaa pakettikohtaisen avaimen salauksen ja pidemmät alustusvektorit (IV), jotka vahvistavat salausta. Lisäksi viestin eheyden tarkistus (MIC) varmistaa, että salattuja paketteja ei muuteta. TKIP poistaa WEP:n ennustettavuuden, joka auttaa tunkeilijoita tulkitsemaan WEP-avaimen.

AES

Salausmenetelmä, jota käytetään WPA2/WPA3-todennuksessa. Tämä kansallinen salausstandardi käyttää symmetristä algoritmia, jolla on sama avain salaukseen ja salauksen purkamiseen. AES käyttää 128 bittiä koosta Cipher Blocking Chain (CBC) -salausta, joka tukee vähintään 128 bittiä, 192 bittiä ja 256 bittiä avainkokoja. Puhelin tukee avaimen kokoa 256 bittiä.

Todennus- ja salausjärjestelmät määritetään langattomassa lähiverkossa. VLAN-yhteydet on määritetty verkossa ja tukiasemissa, ja ne määrittävät erilaisia todennuksen ja salauksen yhdistelmiä. SSID liittyy VLAN-verkkoon ja tiettyyn todennus- ja salausjärjestelmään. Jotta langattomat asiakaslaitteet voivat todentua onnistuneesti, sinun on määritettävä samat SSID-tunnukset niiden todennus- ja salausjärjestelmillä tukiasemissa ja puhelimessa.

Jotkin todennusjärjestelmät vaativat tietyntyyppisiä salauksia.

Seuraavan taulukon todennus- ja salausjärjestelmät näyttävät puhelimen verkon määritysasetukset, jotka vastaavat tukiasemien määritystä.