Kiitos palautteestasi.

Koska kaikki kantaman sisällä olevat WLAN-laitteet voivat vastaanottaa kaiken muun WLAN-liikenteen, puheviestinnän turvaaminen on kriittistä WLAN-verkkoissa. Cisco SAFE Security -arkkitehtuuri tukee puhelinta sen varmistamiseksi, että tunkeilijat eivät manipuloi tai sieppaa ääniliikennettä. Lisätietoja verkkojen suojauksesta on osoitteessa http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Ciscon langaton IP-puhelinratkaisu tarjoaa langattoman verkon suojauksen, joka estää luvattomat sisäänkirjautumiset ja vaarantuneen viestinnän käyttämällä seuraavia puhelimen tukem ia todennusmenetelmiä.

• Avoin toden nus: Mikä tahansa langaton laite voi pyytää todennusta avoimessa järjestelmässä. Pyynnön vastaanottava tukiasema voi myöntää todennuksen kenelle tahansa pyynnön esittäjälle tai vain pyynnön esittäjille, jotka löytyvät käyttäjäluettelosta. Langattoman laitteen ja tukiaseman (AP) välinen tiedonsiirto voi olla salaamatonta.

• Laajennettava todennusprotokolla-joustava todennus suojatun tunneloinnin (EAP-FAST) -toden nuksen avulla: Tämä asiakas-palvelin-tietoturva-arkkitehtuuri salaa EAP-tapahtumat tukiaseman ja RADIUS-palvelimen välisessä Transport Level Security (TLS-tunneli) sisällä, kuten Identity Services Engine (ISE).

  TLS-tunneli käyttää suojattuja käyttöoikeustietoja (PAC) asiakkaan (puhelimen) ja RADIUS-palvelimen väliseen todennukseen. Palvelin lähettää Authority ID (AID) asiakkaalle (puhelimelle), joka puolestaan valitsee sopivan PAC: n. Asiakas (puhelin) palauttaa PAC-läpinäkyvyyden RADIUS-palvelimelle. Palvelin purkaa PAC: n ensisijaisella avaimella. Molemmat päätepisteet sisältävät nyt PAC-avaimen, ja TLS-tunneli luodaan. EAP-FAST tukee automaattista PAC-valmistelua, mutta se on otettava käyttöön RADIUS-palvelimessa.

  ISE: ssä oletusarvoisesti PAC vanhenee viikossa. Jos puhelimessa on vanhentunut PAC, todennus RADIUS-palvelimella kestää kauemmin, kun puhelin saa uuden PAC: n. Jos haluat välttää PAC-valmistelun viiveet, aseta PAC-ohjelman vanhenemisajaksi vähintään 90 päivää ISE- tai RADIUS-palvelimessa.

• EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) -todennus: EAP-TLS vaatii asiakasvarmenteen toden nusta ja verkkoyhteyttä varten. Langattoman EAP-TLS: n asiakasvarmenteena voi olla MIC tai käyttäjän asentama varmenne.

• PEAP (Protected Extensible Authentication Protocol): Ciscon oma salasanapohjainen keskinäinen todennusjärjestelmä asiakkaan (puhelimen) ja RADIUS-palvelimen välillä. Puhelin voi käyttää PEAP: tä todennukseen langattoman verkon kanssa. Sekä PEAP-MSCHAPV2- että PEAP-GTC-todennusmenetelmiä tuetaan.

  Jos haluat tukea Cisco Wireless Phone 9821:n PEAP-GTC-todennusta, määritä tarvittava käytäntö Cisco ISE -käytäntöjoukon sisällä.

• Esijaettu avain (PSK): Puhelin tukee ASCII- ja heksadesimaalimuotoja (HEX). Näitä muotoja on käytettävä määritettäessä valmiiksi jaettua WPA2/SAE-avainta.

  ASCII: AS CII-merkkijono, jonka pituus on 8—63 merkkiä (0-9, pienet kirjaimet a-z, isot kirjaimet A-Z ja erikoismerkit). Esimerkiksi, GREG123567@9ZX&W.

  HEX: Kuusimerkkinen merkkijono, jonka pituus on 64 heksadesimerkin numeroa (0-9, a-f tai A-F).

Seuraavat todennusjärjestelmät käyttävät RADIUS-palvelinta todennusavainten hallintaan:

• WPA2/WPA3: Käyttää RADIUS-palvelintietoja ainutlaatuisten avainten luomiseen todennusta varten. Koska nämä avaimet luodaan keskitetyllä RADIUS-palvelimella, WPA2/WPA3 tarjoaa paremman suojan kuin tukiasemaan ja puhelimeen tallennetut WPA-valmiiksi jaetut avaimet.

• Nopea suojattu verkkovierailu: Käyttää RADIUS-palvelimen ja WDS-palvelimen (WDS) tietoja avainten hallintaan ja todentamiseen. WDS luo tietoturvatunnisteiden välimuistin FT-yhteensopiville asiakaslaitteille nopeaa ja turvallista uudelleentodennusta varten.

WPA2/WPA3:ssa salausavaimia ei syötetä puhelimeen, vaan ne johdetaan automaattisesti tukiaseman ja puhelimen välillä. Mutta EAP-käyttäjänimi ja salasana, joita käytetään todennukseen, on syötettävä jokaiseen puhelimeen.

Langattoman linkin kautta tapahtuvan ääniliikenteen suojaamiseksi puhelin tukee AES-pohjaista salausta WPA2/WPA3- todennusta varten. AES on NIST: n standardoima symmetrinen lohkosalaus. AES käyttää kiinteää 128-bittistä lohkokoa ja tukee avainkokoja 128 bittiä, 192 bittiä ja 256 bittiä. Wi-Fi-verkoissa AES: ää käyttävät salauspaketit, kuten CCMP tai GCMP, kun taas todennuksen tarjoaa erikseen PSK, SAE tai 802.1X/EAP määritetystä WLAN-suojaustilasta riippuen. Tuettu salauspaketti ja avaimen koko riippuvat puhelimen mallista ja WLAN-kokoonpanosta.

Todennus- ja salausjärjestelmät määritetään langattomassa lähiverkossa. VLAN-yhteydet on määritetty verkossa ja tukiasemissa, ja ne määrittävät erilaisia todennuksen ja salauksen yhdistelmiä. SSID liittyy VLAN-verkkoon ja tiettyyn todennus- ja salausjärjestelmään. Jotta langattomat asiakaslaitteet voivat todentua onnistuneesti, sinun on määritettävä samat SSID-tunnukset niiden todennus- ja salausjärjestelmillä tukiasemissa ja puhelimessa.

Jotkin todennusjärjestelmät vaativat tietyntyyppisiä salauksia.

Seuraavan taulukon todennus- ja salausmallit näyttävät Cisco Wireless Phone 9821: n verkon määr itysasetukset, jotka vastaavat AP-määrityksiä.

Cisco Wireless Phone 9821 tukee 802.1X-todennusta langallisissa verkoissa. Tätä käytetään tyypillisesti automaattisen käyttöönoton aikana, kun puhelin on kytketty pöytälaturiin tuetun USB-Ethernet-sovittimen kautta.

802.1X-todennuksen tuki langallisissa verkoissa edellyttää useita komponentteja seuraavasti:

• Cisco IP-puhelin: Puhelin käynnistää pyynnön käyttää verkkoa. Ciscon IP-puhelimet sisältävät 802.1X-pyytäjän. Tämän pyynnön avulla verkonvalvojat voivat hallita IP-puhelimien yhteyttä LAN-kytkinportteihin. Puhelimen 802.1X-tukiohjelman nykyinen versio käyttää verkon todennusta varten EAP-FAST- ja EAP-TLS -vaihtoehtoja.

• Todennuspalvelin: Todennuspalvelimen ja kytkimen on oltava määritettä vissä RADIUS-jaetulla salaisuudella.

• Kytkin: Kytkimen on tuettava 802.1X-asetusta, jotta se voi toimia todentajana ja välittää EAP-viestit puhelimen ja todennuspalvelimen välillä. Kun vaihto on valmis, kytkin myöntää tai estää puhelimen pääsyn verkkoon.

Ciscon IP-puhelimet ja Cisco Catalyst -kytkimet käyttävät perinteisesti Cisco Discovery Protocol (CDP) toistensa tunnistamiseen ja parametrien, kuten VLAN-allokoinnin ja sisäisten virrankulutusten määrittämiseen.

Määritä 802.1X : n määrittäminen edellyttää seuraavien toimien suorittamista.

• Määritä CDP/LLDP-äänen VLAN-ohitus.

• Määritä todennuspalvelin ja kytkin, ennen kuin otat 802.1X- todennuksen käyttöön langallisissa verkoissa puhelimessa.

• Määritä Voice VLAN: Koska 802.1X-standardi ei ota huomioon VLAN-verkkoja, sinun on määritettävä tämä asetus kytkimen tuen perusteella.

  • Käytössä: Jos käytät usean toimialueen todennusta tukevaa kytkintä, voit määrittää sen käyttämään ääni-VLAN-verkkoa.
  • Pois käytöstä: Jos kytkin ei tue usean toimialueen todennusta, poista Voice VLAN käytöstä ja harkitse portin määrittämistä alkuperäiseen VLAN-verkkoon.

• Cisco Wireless Phone 9821: llä on PID: ssä erilainen etuliite kuin muilla Cisco-puhelimilla. Jos haluat, että puhelin voi läpäistä 802.1X-todennuksen, aseta Radius·UserName -parametri sisällyttämään Cisco Wireless Phone 9821 -puhelimesi.

  Esimerkiksi Cisco Wireless Phone 9821: n PID on WP-9821. Voit määrittää Radius·User-nimen asetukseksi Start with WPtai molem Contains WPmissa seuraavista osista:

  • Käytäntö > Ehdot > Kirjaston ehdot

  • Käytäntö > Käyt äntöjoukot > Val tuutuskäytäntö > Val tuutussääntö 1