Merci pour votre commentaire.

Tout périphérique WLAN étant à portée peut recevoir n'importe quel trafic WLAN : en conséquence, la sécurisation des communications voix est un élément essentiel des réseaux WLAN. Pour s'assurer que les intrus ne manipulent ni n'interceptent le trafic vocal, l'architecture Cisco SAFE Security prend en charge le téléphone. Pour plus d'informations sur la sécurité dans les réseaux, reportez-vous à http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solution de téléphonie Cisco Wireless IP assure la sécurité des réseaux sans fil, empêchant les connexions non autorisées et les communications dangereuses à l'aide des méthodes d'authentification suivantes prises en charge par le téléphone.

• Authentification ouverte : tout périphérique sans fil peut demander une authentification dans un système ouvert. Le point d'accès qui reçoit la requête peut accorder l'authentification à n'importe quel demandeur ou seulement aux demandeurs présents sur une liste d'utilisateurs. Les communications entre le périphérique sans fil et le point d'accès (AP) peuvent être non chiffrées.

• Authentification EAP-FAST (Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling) : cette architecture de sécurité client-serveur chiffre les transactions EAP dans un tunnel de sécurité de niveau de transport (TLS) entre le point d'accès et le serveur RADIUS, tel que Identity Services Engine (ISE).

  Le tunnel TLS utilise des identifiants PAC (Protected Access Credentials) lors de l'authentification du client (téléphone) avec le serveur RADIUS. Le serveur envoie un identifiant AID (Authority ID) au client (téléphone), qui sélectionne ensuite le PAC approprié. Le client (téléphone) renvoie un champ PAC-Opaque au serveur RADIUS. Le serveur déchiffre le PAC grâce à la clé principale. Les deux terminaux détiennent alors la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge le provisionnement automatique de PAC, mais vous devez activer cette option sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire au bout d'une semaine. Si le téléphone détient un PAC qui a expiré, l'authentification avec le serveur RADIUS prend plus de temps, car le téléphone doit obtenir un nouveau PAC. Pour éviter les délais de provisionnement de PAC, configurez la durée de vie du PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• L'authentification Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)  : EAP-TLS requiert un certificat client pour l'authentification et l'accès au réseau. Pour le sans fil EAP-TLS, le certificat client peut être un certificat MIC ou installé par l'utilisateur.

• Protocole PEAP (Protected Extensible Authentication Protocol) : modèle propriétaire Cisco d'authentification mutuelle via mot de passe entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser PEAP pour s'authentifier auprès du réseau sans fil. Les méthodes d'authentification PEAP-MSCHAPv2 et PEAP-GTC sont prises en charge.

  Pour prendre en charge l'authentification PEAP-GTC pour le téléphone sans fil Cisco 9821, configurez la stratégie nécessaire dans l'ensemble de stratégies Cisco ISE.

• Pre-Shared Key (PSK) : le téléphone prend en charge les formats ASCII et hexadécimal (HEX). Vous devez utiliser ces formats lorsque vous configurez une clé pré-partagée WPA2/SAE.

  ASCII : chaîne de caractères ASCII de 8 à 63 caractères (0 à 9, lettres a-z minuscules, lettres A-Z majuscules et caractères spéciaux). Par exemple, GREG123567@9ZX&W.

  HEX : chaîne de caractères hexadécimaux comportant 64 chiffres hexadécimaux (0 à 9, a-f ou A à F).

Les modèles d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• WPA2/WPA3 : utilise les informations du serveur RADIUS pour générer des clés d'authentification uniques. Ces clés étant générées par le serveur RADIUS centralisé, WPA2/WPA3 assure une sécurité renforcée par rapport aux clés WPA pré-partagées stockées par le point d'accès et le téléphone.

• Itinérance sécurisée rapide : utilise le serveur RADIUS et les informations d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le serveur WDS crée un cache d'informations d'identification pour les périphériques clients compatibles FT, permettant ainsi une ré-authentification rapide et sécurisée.

Avec WPA2/WPA3, les clés de chiffrement ne sont pas saisies sur le téléphone, mais sont automatiquement dérivées entre le point d'accès et le téléphone. Toutefois, les nom d'utilisateur et mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour protéger le trafic vocal sur la liaison sans fil, le téléphone prend en charge le chiffrement AES pour l'authentification WPA2/WPA3. AES est un chiffrement par bloc symétrique standardisé par le NIST. AES utilise une taille de bloc fixe de 128 bits et prend en charge les tailles de clé de 128 bits, 192 bits et 256 bits. Dans les réseaux Wi-Fi, AES est utilisé par les suites de chiffrement telles que CCMP ou GCMP, tandis que l'authentification est fournie séparément par PSK, SAE ou 802.1X/EAP, selon le mode de sécurité WLAN configuré. La suite de chiffrement prise en charge et la taille de la clé dépendent du modèle du téléphone et de la configuration WLAN.

Les modèles d'authentification et de chiffrement sont configurés dans le LAN sans fil. Les VLAN sont configurés dans le réseau et sur les points d'accès. Ils spécifient différentes combinaisons d'authentification et de chiffrement. Un SSID s'associe avec un VLAN et avec un modèle spécifique d'authentification et de chiffrement. Pour que les périphériques clients sans fil réussissent à s'authentifier, vous devez configurer les mêmes SSID avec leurs modèles d'authentification et de chiffrement sur les points d'accès et le téléphone.

Certains modèles d'authentification nécessitent des types de chiffrement spécifiques.

Les modèles d'authentification et de chiffrement dans le tableau suivant montrent les options de configuration réseau pour le téléphone sans fil Cisco 9821 qui correspond à la configuration du point d'accès.

Cisco Le téléphone sans fil 9821 prend en charge l'authentification 802.1X pour les réseaux câblés. Ce paramètre est généralement utilisé lors de la mise à disposition automatique lorsque le téléphone est connecté au chargeur de bureau via un adaptateur USB-Ethernet pris en charge.

La prise en charge de l'authentification 802.1X sur les réseaux câblés requiert plusieurs composants :

• Téléphone IP Cisco : le téléphone envoie la requête d'accès au réseau. Les téléphones IP Cisco contiennent un demandeur 802.1X. Ce demandeur permet aux autoriser de contrôler la connectivité des téléphones IP aux ports de commutation LAN. La version actuelle du demandeur 802.1X du téléphone utilise les options EAP-FAST et EAP-TLS pour l’authentification réseau.

• Serveur d'authentification : le serveur d'authentification et le commutateur doivent tous deux être configurés avec un secret partagé RADIUS.

• Commutateur : le commutateur doit prendre en charge 802.1X, de sorte qu'il peut agir en tant qu'authentifiant et relayer les messages EAP entre le téléphone et le serveur d'authentification. Une fois l’échange terminé, le commutateur accorde ou refuse au téléphone l’autorisation d’accéder au réseau.

Les téléphones IP Cisco et les commutateurs Catalyst Cisco utilisent généralement le protocole de découverte Cisco (CDP) pour s’identifier entre eux et pour déterminer des paramètres tels que l’allocation d’un réseau VLAN et les exigences relatives à l'alimentation en ligne.

Vous devez effectuer les actions suivantes pour configurer 802.1X.

• Configurez le contournement CDP/LLDP voice VLAN.

• Configurez le serveur d'authentification et le commutateur avant d'activer l'authentification 802.1X pour les réseaux câblés sur le téléphone.

• Configure Voice VLAN (Configurer le VLAN voix) : la norme 802.1X ne tenant pas compte des VLAN, vous devez configurer ce paramètre en fonction de la prise en charge du commutateur.

  • Activé : Si vous utilisez un commutateur qui prend en charge l'authentification sur plusieurs domaines, vous pouvez le configurer pour utiliser la voix VLAN.
  • Désactivé : si le commutateur ne prend pas en charge l’authentification sur plusieurs domaines, désactivez le VLAN voix et envisagez d’affecter le port à un VLAN natif.

• Cisco Le téléphone sans fil 9821 a un préfixe différent dans le PID de celui des autres téléphones Cisco. Pour activer votre téléphone avec succès l'authentification 802.1x, définissez le Rayon· Nom d'utilisateur pour inclure votre Cisco Téléphone sans fil 9821.

  Par exemple, le PID du téléphone sans fil Cisco 9821 est WP-9821. Vous pouvez définir Radius· Nom d'utilisateur pour commencer par WP ou contient WP dans les deux sections suivantes :

  • Stratégie > Conditions > Conditions de la bibliothèque

  • Stratégie > Ensembles de stratégies > Autorisation Stratégie > Règle d'autorisation 1