Cisco IP Phones tukee 802.1X-todennusta.

Cisco IP Phones ja Cisco Catalyst-kytkimet käyttävät perinteisesti Cisco Discovery Protocol-metodia (CDP) tunnistaakseen toisensa ja määrittääkseen parametrit, kuten VLAN -allokoinnin ja linjan sisäiset virrankulutusvaatimukset. CDP ei tunnista paikallisesti liitettyjä työasemia. Cisco IP Phones tarjoaa EAPOL-läpikulkumekanismin. Tämä mekanismi sallii Cisco IP Phone-palvelimeen liitetyn työaseman välittää EAPOL-viestejä lähiverkon kytkimen 802.1X-todentajalle. Läpikulkumekanismi varmistaa, että IP-puhelin ei toimi lähiverkon kytkimenä, joka todentaa datapäätepisteen ennen verkkoon pääsyä.

Cisco IP Phones tarjoaa myös EAPOL-uloskirjautumismekanismin välityspalvelimena. Jos paikallisesti liitetty tietokone katkaisee yhteyden IP-puhelimeen, lähiverkon kytkin ei näe fyysisen yhteyden katkeamista, koska lähiverkon kytkimen ja IP-puhelimen välinen yhteys säilyy. Verkon eheyden vaarantumisen välttämiseksi IP-puhelin lähettää kytkimelle EAPOL-Logoff-viestin alavirran tietokoneen puolesta, mikä laukaisee lähiverkon kytkimen tyhjentämään alavirran tietokoneen todennusmerkinnän.

802.1X-todennuksen tuki vaatii useita komponentteja:

• Cisco IP Phone: Puhelin aloittaa verkon käyttöpyynnön. Cisco IP Phones sisältää 802.1X-anojan. Tämä pyyntölomake antaa verkonvalvojille mahdollisuuden hallita IP-puhelimien yhteyttä lähiverkon kytkimen portteihin. Puhelimen 802.1X-todennuksen nykyinen versio käyttää verkon todennukseen asetuksia EAP-FAST ja EAP-TLS.

• Todennuspalvelin: Sekä todennuspalvelimen että kytkimen on oltava määritettynä jaetulla salaisuudella, joka todentaa puhelimen.

• Kytkin: Kytkimen on tuettava 802.1X:ää, jotta se voi toimia todentajana ja välittää viestejä puhelimen ja todennuspalvelimen välillä. Vaihdon päätyttyä keskus myöntää tai estää puhelimen pääsyn verkkoon.

Sinun on suoritettava seuraavat toimenpiteet 802.1X:n määrittämiseksi.

• Määritä muut komponentit ennen kuin otat 802.1X-todennuksen käyttöön puhelimessa.

• Tietokoneen portin konfigurointi: 802.1X-standardi ei ota huomioon VLAN-verkkoja ja suosittelee siksi, että vain yksi laite tulisi todentaa tiettyyn kytkimen porttiin. Jotkin kytkimet kuitenkin tukevat usean verkkotunnuksen todennusta. Kytkimen kokoonpano määrittää, voitko liittää tietokoneen puhelimen PC-porttiin.

  • Käytössä: Jos käytät kytkintä, joka tukee usean verkkotunnuksen todennusta, voit ottaa käyttöön PC-portin ja liittää tietokoneen siihen. Tässä tapauksessa Cisco IP Phones tukee EAPOL-Logoff-välityspalvelinta kytkimen ja liitetyn tietokoneen välisten todennustietojen vaihdon valvomiseksi.

    Lisätietoja Cisco Catalyst -kytkimien IEEE 802.1X -tuesta on Cisco Catalyst -kytkimen määritysoppaissa osoitteessa:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Pois käytöstä: Jos kytkin ei tue useita 802.1X-yhteensopivia laitteita samassa portissa, sinun on poistettava PC-portti käytöstä, kun 802.1X-todennus on käytössä. Jos et poista tätä porttia käytöstä ja yrität sitten liittää siihen tietokoneen, kytkin estää verkkoyhteyden sekä puhelimesta että tietokoneesta.

• Äänen määrittäminen VLAN: Koska 802.1X-standardi ei huomioi VLAN-verkkoja, sinun tulee määrittää tämä asetus kytkimen tuen perusteella.
  • Käytössä: Jos käytät kytkintä, joka tukee usean verkkotunnuksen todennusta, voit jatkaa sen käyttöä äänikomennolla VLAN.
  • Pois käytöstä: Jos kytkin ei tue usean verkkotunnuksen todennusta, poista käytöstä ääni VLAN ja harkitse portin määrittämistä natiiville VLAN-kytkimelle.
• (Vain Cisco pöytäpuhelimelle 9800-sarja)

  Cisco Pöytäpuhelimen 9800-sarjan PID-etuliite on eri kuin muiden Cisco-puhelimien. Jotta puhelimesi läpäisisi 802.1X-todennuksen, aseta Radius·Käyttäjänimi parametri, joka sisältää Cisco pöytäpuhelimen 9800-sarjan.

  Esimerkiksi puhelimen 9841 PID on DP-9841; voit asettaa Radius·Käyttäjänimi että Aloita DP:llä tai Sisältää DP:tä. Voit asettaa sen molemmissa seuraavista osioista:

  • Käytäntö > Edellytykset > Kirjaston ehdot

  • Käytäntö > Käytäntöjoukot > Valtuutuskäytäntö > Valtuutussääntö 1

Koska kaikki WLAN -laitteet voivat vastaanottaa kaiken muun WLAN -liikennettä, puheviestinnän ottaminen käyttöön on WLAN-laitteissa erittäin tärkeää. Varmista, etteivät tunkeilijat manipuloi ääniliikennettä eivätkä kaappaa sitä, Cisco SAFE Security -arkkitehtuuri tukee puhelinta. Lisätietoja verkkojen suojauksen toiminnoista on kohdassa http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco Langaton IP -puhelinratkaisu tarjoaa langattoman verkon suojauksen, joka estää luvattomia sisään- ja vaaranna viestintää käyttämällä seuraavia puhelimen tukemia todennusmenetelmiä:

• Avaa todennus: Kaikki langattomat laitteet voivat pyytää todennusta avoimessa järjestelmässä. Pyynnön vastaanottava käyttöasema voi myöntää todennuksen kenelle tahansa pyynnön esittäjälle tai vain pyynnön esittäjille, jotka ovat käyttäjäluettelossa. Langattoman laitteen ja TUKIASEMAn välistä viestintää ei ehkä salata.

• Laaja todennusprotokollan joustava todennus suojatun tunnelointitoiminnon (EAP-FAST) avulla -todennus: Tämä asiakas-palvelinsuojausarkkitehtuuli salata EAP-tapahtumat AP:n ja RADIUS-palvelimen välisessä siirtotason suojaustunnelissa (TLS), kuten Identity Services Engine (ISE).

  TLS-tunneli käyttää suojatun käytön tunnistetietoja (PAC) todennukseen asiakkaan (puhelimen) ja RADIUS-palvelimen välillä. Palvelin lähettää asiakkaalle (puhelimella) viranomaisen tunnuksen (AID), joka TURN valitsee asianmukaisen PAC-yhteyden. Asiakas (puhelin) palauttaa PAC-kvaque-palvelimen RADIUS-palvelimeen. Palvelin poistaa PAC:n salauksen ensisijaisella näppäimellä. Molemmissa päätepisteissä on nyt PAC-avain ja TLS-tunneli luodaan. EAP-FAST tukee automaattista PAC-valmistelua, mutta sinun on otettava se käyttöön RADIUS-palvelimessa.

  ISE:ssa PAC vanhenee oletusarvoisesti viikon kuluttua. Jos puhelimen pac on vanhentunut, todennus RADIUS-palvelimella kestää kauemmin, kun puhelin saa uuden PAC:n. Voit välttää PAC-valmistelun viiveet asettamalla PAC-vanhenemisajaksi 90 päivää tai pidempään ISE- tai RADIUS-palvelimessa.

• Laaja todennusprotokollan ja siirtokerrossuojauksen (EAP-TLS) todennus: EAP-TLS edellyttää asiakasvarmennetta todennusta ja verkkoyhteyttä varten. Langattomassa EAP-TLS asiakasvarmenne voi olla MIC, LSC, tai käyttäjän asentama varmenne.

• Suojattu laajennustodennusprotokolla (PEAP): Cisco asiakkaan (puhelimen) ja RADIUS-palvelimen välinen oma salasanapohjainen todennusmalli. Puhelin voi käyttää PEAP langattoman verkon todennukseen. Sekä PEAP-MSCHAPV2- että PEAP-GTC-todennusmenetelmiä tuetaan.

• Esijaettu avain (PSK): Puhelin tukee ASCII -muotoa. Tätä muotoa on käytettävä määritettäessä WPA/WPA2/SAE Esijaettua avainta:

  ASCII: ASCII-merkkinen merkkijono, jonka pituus on 8 - 63 merkkiä (0-9, pieni ja iso kirjaiminen A-Z sekä erikoismerkit)

  Esimerkki: GREG123567@9ZX&W

Seuraavat todennusmallit käyttävät RADIUS-palvelinta todennusavainten hallintaan:

• WPA/WPA2/WPA3: Käyttää RADIUS-palvelimen tietoja yksilöllisiä avaimia todennusta varten. Koska nämä avaimet luodaan keskitetylle RADIUS-palvelimelle, WPA2/WPA3 tarjoaa enemmän suojausta kuin WPA esivalmistetut avaimet, jotka on tallennettu käyttöp. ja puhelimeen.

• Fast Secure Roaming: Käyttää RADIUS-palvelinta ja WDS -tietoja avainten hallintaan ja todennukseen. WDS luo suojaustunnisteiden välimuistin FT-yhteensopiville asiakaslaitteille, jotta ne voidaan toistaa nopeasti ja turvallisesti. Cisco Desk -puhelin 9861 ja 9871 ja Cisco VideoPuhelin 8875 tukevat 802.11r (FT). Sekä ilmassa että DS:n yllä tuetaan, jotta verkkovierailu on nopea suojattu. Suosittelemme kuitenkin vahvasti, että käytät 802.11r (FT) ilmamenetelmää.

WPA/WPA2/WPA3 -näppäimellä salausavaimia ei syötetä puhelimeen, vaan ne johdetaan automaattisesti apin ja puhelimen välillä. Todennukseen käytettävä EAP-käyttäjänimi ja salasana on kuitenkin annettava kullekin puhelimelle.

Jotta ääniliikenne on turvallista, puhelin tukee TKIP-koodausta ja AES salausta varten. Kun näitä salausohjeita käytetään salaukseen, sekä viestittävät SIP -paketit että reaaliaikainen äänisiirtoprotokolla (RTP) -paketit salataan ap:n ja puhelimen välillä.

TKIP

WPA käyttää TKIP-salausta, jossa on useita parannusta WEP-salaukseen. TKIP tarjoaa per-paketti-avainsalakirjoitusta ja pidempiä alustusvektoreita (IVs), jotka vahvistavat salausta. Lisäksi viestin eheystarkistus (MIC) varmistaa, ettei salattuja pakkauksia muuteta. TKIP poistaa WEP -näppäimen ennustettavuuden, joka auttaa tunkeilijoille WEP-avaimen tulkitsemisen.

AES

WPA2/WPA3-todennuksessa käytettävä salausmenetelmä. Tämä kansallinen salausnormi käyttää symmetristä algoritmia, jolla on sama avain salaukseen ja salauksen purkamiseen. AES käyttää kooltaan 128 bitin salausta ( Cipher Blocking Chain, CBC), joka tukee vähintään 128 bitin, 192 bitin ja 256 bitin avainkokoja. Puhelin tukee 256 bitin näppäinkokoa.

Todennus- ja salausjärjestelmät on määritetty langattomaan lähiverkkoon. VLAN-numerot on määritetty verkossa ja APS:ssä, ja ne määrittävät eri todennus- ja salausyhdistelmiä. SSID yhdistää ohjelman VLAN ja tietyn todennus- ja salausmallin. Jotta langattomat asiakaslaitteet todennetaan oikein, samat SSID-protokollat on määritettävä todennus- ja salausmalleille APS-laitteissa ja puhelimessa.

Jotkin todennusjärjestelmät edellyttävät tietyntyyppistä salausta.

Seuraavassa taulukossa on lueteltu tukiasemamäärityksiä vastaavat puhelimen verkkomääritykset.