Merci pour votre commentaire.

Les téléphones IP Cisco prennent en charge l'authentification 802.1X.

Les téléphones IP Cisco et les commutateurs Cisco Catalyst utilisent Cisco Discovery Protocol traditionnellement le CDP pour s'identifier et déterminer des paramètres tels que l'allocation du VLAN et les besoins en alimentation en ligne. Le CDP n'identifie pas les postes de travail connectés localement. Les téléphones IP Cisco proposent un mécanisme d'échange EAPOL. Ce mécanisme permet à une station de travail connectée au téléphone IP Cisco de transmettre des messages EAPOL à l'authentificateur 802.1X du commutateur LAN. Le mécanisme de transmission garantit que le téléphone IP ne fait pas office de commutateur LAN pour authentifier un point de terminaison de données avant d'accéder au réseau.

Les téléphones IP Cisco proposent également un mécanisme de déconnexion EAPOL par proxy. Si le PC connecté localement se déconnecte du téléphone IP, le commutateur LAN ne voit pas la liaison physique échouer, car la liaison entre le commutateur LAN et le téléphone IP est maintenue. Pour ne pas compromettre l'intégrité du réseau, le téléphone IP envoie un message de déconnexion EAPOL au commutateur au nom du PC en aval, ce qui déclenche l'effacement de l'entrée d'authentification du PC en aval par le commutateur LAN.

La prise en charge de l'authentification 802.1X nécessite plusieurs composants :

• Téléphone IP Cisco : C'est le téléphone qui lance la demande d'accès au réseau. Les téléphones IP Cisco contiennent un implorant 802.1X. Ce suppliant permet aux administrateurs réseau de contrôler la connectivité des téléphones IP aux ports du commutateur LAN. La version actuelle du téléphone 802.1X supplicant utilise les options EAP-FAST et EAP-TLS pour l'authentification réseau.

• Serveur d'authentification : Le serveur d'authentification et le switch doivent tous deux être configurés avec un secret partagé qui authentifie le téléphone.

• Switch : Le switch doit prendre en charge la norme 802.1X pour pouvoir faire office d'authentificateur et transmettre les messages entre le téléphone et le serveur d'authentification. Une fois l'échange terminé, le commutateur accorde ou refuse l'accès téléphonique au réseau.

Vous devez effectuer les actions suivantes pour configurer le 802.1X.

• Configurez les autres composants avant d'activer l'authentification 802.1X sur le téléphone.

• Configurer le port du PC : La norme 802.1X ne prend pas en compte les VLAN et recommande donc qu'un seul appareil soit authentifié sur un port de commutateur spécifique. Cependant, certains commutateurs prennent en charge l'authentification multidomaine. La configuration du switch détermine si vous pouvez connecter un PC au port PC du téléphone.

  • Activé : si vous utilisez un commutateur qui prend en charge l'authentification multidomaine, vous pouvez activer le port PC et y connecter un PC. Dans ce cas, les téléphones IP Cisco prennent en charge le proxy EAPOL-Logoff pour surveiller les échanges d'authentification entre le switch et le PC connecté.

    Pour plus d'informations sur la prise en charge de la norme IEEE 802.1X sur les commutateurs Cisco Catalyst, consultez les guides de configuration des commutateurs Cisco Catalyst à l'adresse suivante :

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Désactivé : si le commutateur ne prend pas en charge plusieurs appareils conformes à la norme 802.1X sur le même port, vous devez désactiver le port PC lorsque l'authentification 802.1X est activée. Si vous ne désactivez pas ce port pour essayer d'y connecter un PC, le switch refuse l'accès réseau au téléphone et à l'ordinateur.

• Configurer le VLAN vocal : comme la norme 802.1X ne prend pas en compte les VLAN, vous devez configurer ce paramètre en fonction de la prise en charge des commutateurs.
  • Activé : si vous utilisez un commutateur qui prend en charge l'authentification multidomaine, vous pouvez continuer à utiliser le VLAN vocal.
  • Désactivé : si le commutateur ne prend pas en charge l'authentification multidomaine, désactivez le VLAN vocal et envisagez d'attribuer le port au VLAN natif.
• (Pour les téléphones de bureau Cisco de la gamme 9800 uniquement)

  Les téléphones de bureau Cisco de la série 9800 ont un préfixe PID différent de celui des autres téléphones Cisco. Pour permettre à votre téléphone de passer l'authentification 802.1X, définissez le paramètre Radius·User-Name pour inclure votre téléphone de bureau Cisco de la gamme 9800.

  Par exemple, le PID du téléphone 9841 est DP-9841 ; vous pouvez régler Radius·User-Name sur ou. Start with DPContains DP Vous pouvez le configurer dans les deux sections suivantes :

  • Politique > Conditions > Conditions de la bibliothèque

  • Politique > Ensembles de politiques > Politique d'autorisation > Règle d'autorisation 1

Comme tous les appareils WLAN à portée peuvent recevoir tout autre trafic WLAN, la sécurisation des communications vocales est essentielle sur les réseaux locaux sans fil. Pour s'assurer que les intrus ne manipulent ni n'interceptent le trafic vocal, l'architecture Cisco SAFE Security prend en charge le téléphone. Pour plus d'informations sur la sécurité des réseaux, voir http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La solution de téléphonie IP sans fil Cisco assure la sécurité du réseau sans fil qui empêche les connexions non autorisées et les communications compromises en utilisant les méthodes d'authentification suivantes prises en charge par le téléphone :

• Authentification ouverte : n'importe quel appareil sans fil peut demander une authentification dans un système ouvert. L'AP qui reçoit la demande peut authentifier n'importe quel demandeur ou uniquement aux demandeurs figurant sur une liste d'utilisateurs. La communication entre l'appareil sans fil et le point d'accès (AP) n'est peut-être pas cryptée.

• Protocole d'authentification extensible : authentification flexible via un tunnel sécurisé (EAP-FAST) Authentification : Cette architecture de sécurité client-serveur chiffre les transactions EAP dans un tunnel TLS (Transport Level Security) entre l'AP et le serveur RADIUS, tel que Identity Services Engine (ISE).

  Le tunnel TLS utilise des informations d'accès protégées (PAC) pour l'authentification entre le client (téléphone) et le serveur RADIUS. Le serveur envoie un identifiant d'autorité (AID) au client (téléphone), qui sélectionne à son tour le PAC approprié. Le client (téléphone) renvoie un PAC-opaque au serveur RADIUS. Le serveur déchiffre le PAC à l'aide de la clé primaire. Les deux points de terminaison contiennent désormais la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge le provisionnement automatique des PAC, mais vous devez l'activer sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire dans une semaine. Si le PAC du téléphone est expiré, l'authentification auprès du serveur RADIUS prend plus de temps tant que le téléphone reçoit un nouveau PAC. Pour éviter les retards d'approvisionnement du PAC, définissez la période d'expiration du PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• Authentification EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) : L'EAP-TLS nécessite un certificat client pour l'authentification et l'accès au réseau. Pour l'EAP-TLS sans fil, le certificat client peut être un MIC, un LSC ou un certificat installé par l'utilisateur.

• Protocole d'authentification extensible protégé (PEAP) : système d'authentification mutuelle basé sur un mot de passe propriétaire de Cisco entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser le protocole PEAP pour s'authentifier sur le réseau sans fil. Les méthodes d'authentification PEAP-MSCHAPV2 et PEAP-GTC sont prises en charge.

• Clé pré-partagée (PSK) : le téléphone prend en charge le format ASCII. Vous devez utiliser ce format pour configurer une clé prépartagée WPA/WPA2/SAE :

  ASCII : chaîne de caractères ASCII de 8 à 63 caractères (0 à 9, minuscules et majuscules de A à Z, caractères spéciaux)

  Exemple : GREG123567 @9ZX &W

Les schémas d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• WPA/WPA2/WPA3 : utilise les informations du serveur RADIUS pour générer des clés uniques d'authentification. Comme ces clés sont générées sur le serveur RADIUS centralisé, le WPA2/WPA3 offre plus de sécurité que les clés prépartagées WPA stockées sur l'AP et le téléphone.

• Roaming rapide et sécurisé : utilise les informations du serveur RADIUS et d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le WDS crée un cache contenant les informations de sécurité pour les appareils clients compatibles FT afin de permettre une réauthentification rapide et sécurisée. Les téléphones de bureau Cisco 9861 et 9871 et le visiophone Cisco 8875 sont compatibles avec la norme 802.11r (FT). La diffusion en direct et la DS sont prises en charge pour permettre une itinérance rapide et sécurisée. Mais nous vous recommandons vivement d'utiliser la méthode en direct 802.11r (FT).

Avec le WPA/WPA2/WPA3, les clés de cryptage ne sont pas saisies sur le téléphone, mais sont automatiquement dérivées entre l'AP et le téléphone. Mais le nom d'utilisateur et le mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour garantir la sécurité du trafic vocal, le téléphone est compatible avec le TKIP et l'AES pour le cryptage. Lorsque ces mécanismes sont utilisés pour le cryptage, les paquets SIP de signalisation et les paquets vocaux RTP sont chiffrés entre le point d'accès et le téléphone.

TKIP

Le WPA utilise le cryptage TKIP qui présente plusieurs améliorations par rapport au WEP. Le TKIP fournit un chiffrement par clé par paquet et des vecteurs d'initialisation (IV) plus longs qui renforcent le chiffrement. De plus, un contrôle d'intégrité des messages (MIC) garantit que les paquets cryptés ne sont pas modifiés. Le TKIP supprime la prévisibilité du WEP qui aide les intrus à déchiffrer la clé WEP.

AES

Méthode de cryptage utilisée pour l'authentification WPA2/WPA3. Cette norme nationale de cryptage utilise un algorithme symétrique qui possède la même clé pour le cryptage et le déchiffrement. AES utilise le cryptage CBC (Cipher Blocking Chain) de 128 bits, qui prend en charge des tailles de clé de 128 bits, 192 bits et 256 bits au minimum. Le téléphone prend en charge une taille de clé de 256 bits.

Les systèmes d'authentification et de cryptage sont configurés sur le réseau sans fil. Les VLAN sont configurés sur le réseau et sur les points d'accès et proposent différentes combinaisons d'authentification et de cryptage. Un SSID est associé à un VLAN et à un schéma d'authentification et de cryptage spécifique. Pour que les appareils clients sans fil s'authentifient correctement, vous devez configurer les mêmes SSID avec leurs schémas d'authentification et de cryptage sur les points d'accès et sur le téléphone.

Certains systèmes d'authentification nécessitent des types de cryptage spécifiques.

Les schémas d'authentification et de cryptage du tableau suivant indiquent les options de configuration réseau du téléphone qui correspondent à la configuration du point d'accès.