Merci pour votre commentaire.

Comme tous les appareils WLAN à portée peuvent recevoir tout autre trafic WLAN, la sécurisation des communications vocales est essentielle sur les réseaux locaux sans fil. Pour s'assurer que les intrus ne manipulent ni n'interceptent le trafic vocal, l'architecture Cisco SAFE Security prend en charge le téléphone. Pour plus d' informations sur la sécurité des réseaux, voir http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La solution de téléphonie IP sans fil Cisco assure la sécurité du réseau sans fil qui empêche les connexions non autorisées et les communications compromises en utilisant les méthodes d'authentification suivantes prises en charge par le téléphone.

• Authentification ouverte : n'importe quel appareil sans fil peut demander une authentification dans un système ouvert. L'AP qui reçoit la demande peut authentifier n'importe quel demandeur ou uniquement aux demandeurs figurant sur une liste d'utilisateurs. La communication entre l'appareil sans fil et le point d'accès (AP) n'est peut-être pas cryptée.

• Protocole d'authentification extensible : authentification flexible via un tunnel sécurisé (EAP-FAST) Authentification : Cette architecture de sécurité client-serveur chiffre les transactions EAP dans un tunnel TLS (Transport Level Security) entre l'AP et le serveur RADIUS, tel que Identity Services Engine (ISE).

  Le tunnel TLS utilise des informations d'accès protégées (PAC) pour l'authentification entre le client (téléphone) et le serveur RADIUS. Le serveur envoie un identifiant d'autorité (AID) au client (téléphone), qui sélectionne à son tour le PAC approprié. Le client (téléphone) renvoie un PAC-opaque au serveur RADIUS. Le serveur déchiffre le PAC à l'aide de la clé primaire. Les deux points de terminaison contiennent désormais la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge le provisionnement automatique des PAC, mais vous devez l'activer sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire dans une semaine. Si le PAC du téléphone est expiré, l'authentification auprès du serveur RADIUS prend plus de temps tant que le téléphone reçoit un nouveau PAC. Pour éviter les retards d'approvisionnement du PAC, définissez la période d'expiration du PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• Authentification EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) : L'EAP-TLS nécessite un certificat client pour l'authentification et l'accès au réseau. Pour l'EAP-TLS sans fil, le certificat client peut être un MIC ou un certificat installé par l'utilisateur.

• Protocole d'authentification extensible protégé (PEAP) : système d'authentification mutuelle basé sur un mot de passe propriétaire de Cisco entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser le protocole PEAP pour s'authentifier sur le réseau sans fil. Les méthodes d'authentification PEAP-MSCHAPV2 et PEAP-GTC sont prises en charge.

  Pour prendre en charge l'authentification PEAP-GTC pour le téléphone sans fil Cisco 9821, configurez la politique nécessaire dans le cadre de l'ensemble de politiques Cisco ISE.

• Clé pré-partagée (PSK) : Le téléphone prend en charge les formats ASCII et hexadécimal (HEX). Vous devez utiliser ces formats lorsque vous configurez une clé prépartagée WPA2/SAE.

  ASCII : chaîne de caractères ASCII de 8 à 63 caractères (0 à 9, a-z minuscules, A-Z majuscules et caractères spéciaux). Par exemple, GREG123567@9ZX&W.

  HEX : chaîne de caractères hexadécimaux de 64 chiffres hexadécimaux (0-9, a-f ou A-F).

Les schémas d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• WPA2/WPA3 : utilise les informations du serveur RADIUS pour générer des clés uniques d'authentification. Comme ces clés sont générées sur le serveur RADIUS centralisé, le WPA2/WPA3 offre plus de sécurité que les clés prépartagées WPA stockées sur l'AP et le téléphone.

• Roaming rapide et sécurisé : utilise les informations du serveur RADIUS et d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le WDS crée un cache contenant les informations de sécurité pour les appareils clients compatibles FT afin de permettre une réauthentification rapide et sécurisée.

Avec le WPA2/WPA3, les clés de cryptage ne sont pas saisies sur le téléphone, mais sont automatiquement dérivées entre l'AP et le téléphone. Mais le nom d'utilisateur et le mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour protéger le trafic vocal via la liaison sans fil, le téléphone prend en charge le cryptage AES pour l'authentification WPA2/WPA3. L'AES est un chiffrement par blocs symétrique normalisé par le NIST. AES utilise une taille de bloc fixe de 128 bits et prend en charge des tailles de clé de 128 bits, 192 bits et 256 bits. Sur les réseaux Wi-Fi, l'AES est utilisé par des suites de chiffrement telles que CCMP ou GCMP, tandis que l'authentification est fournie séparément par PSK, SAE ou 802.1X/EAP, selon le mode de sécurité WLAN configuré. La suite de chiffrement et la taille de clé prises en charge dépendent du modèle de téléphone et de la configuration du réseau local sans fil.

Les systèmes d'authentification et de cryptage sont configurés sur le réseau sans fil. Les VLAN sont configurés sur le réseau et sur les points d'accès et proposent différentes combinaisons d'authentification et de cryptage. Un SSID est associé à un VLAN et à un schéma d'authentification et de cryptage spécifique. Pour que les appareils clients sans fil s'authentifient correctement, vous devez configurer les mêmes SSID avec leurs schémas d'authentification et de cryptage sur les points d'accès et sur le téléphone.

Certains systèmes d'authentification nécessitent des types de cryptage spécifiques.

Les schémas d'authentification et de cryptage du tableau suivant indiquent les options de configuration réseau du téléphone sans fil Cisco 9821, qui correspondent à la configuration du point d'accès.

Le téléphone sans fil Cisco 9821 prend en charge l'authentification 802.1X pour les réseaux filaires. C'est généralement utilisé lors de l'approvisionnement automatique lorsque le téléphone est connecté au chargeur de bureau via un adaptateur USB/Ethernet compatible.

La prise en charge de l'authentification 802.1X sur les réseaux câblés nécessite plusieurs composants, à savoir  :

• Téléphone IP Cisco : C'est le téléphone qui lance la demande d'accès au réseau. Les téléphones IP Cisco contiennent un implorant 802.1X. Ce suppliant permet aux administrateurs réseau de contrôler la connectivité des téléphones IP aux ports du commutateur LAN. La version actuelle du téléphone 802.1X supplicant utilise les options EAP-FAST et EAP-TLS pour l'authentification réseau.

• Serveur d'authentification : Le serveur d'authentification et le switch doivent tous deux être configurés avec un secret partagé RADIUS.

• Switch : Le switch doit prendre en charge la norme 802.1X pour pouvoir faire office d'authentificateur et relayer les messages EAP entre le téléphone et le serveur d'authentification. Une fois l'échange terminé, le commutateur accorde ou refuse l'accès téléphonique au réseau.

Les téléphones IP Cisco et les commutateurs Cisco Catalyst utilisent Cisco Discovery Protocol traditionnellement le CDP pour s'identifier et déterminer des paramètres tels que l'allocation du VLAN et les besoins en alimentation en ligne.

Vous devez effectuer les actions suivantes pour configurer le 802.1X.

• Configurez le contournement vocal VLAN CDP/LLDP.

• Configurez le serveur d'authentification et le commutateur avant d'activer l' authentification 802.1X pour les réseaux filaires sur le téléphone.

• Configurer le VLAN vocal : comme la norme 802.1X ne prend pas en compte les VLAN, vous devez configurer ce paramètre en fonction de la prise en charge des commutateurs.

  • Activé : si vous utilisez un commutateur qui prend en charge l'authentification multidomaine, vous pouvez le configurer pour utiliser le VLAN vocal.
  • Désactivé : si le commutateur ne prend pas en charge l'authentification multidomaine, désactivez le VLAN vocal et envisagez d'attribuer le port au VLAN natif.

• Le téléphone sans fil Cisco 9821 a un préfixe PID différent de celui des autres téléphones Cisco. Pour permettre à votre téléphone de passer l'authentification 802.1X, définissez le paramètre Radius·User-Name pour inclure votre téléphone sans fil Cisco 9821.

  Par exemple, le PID du téléphone sans fil Cisco 9821 est WP-9821. Vous pouvez définir Radius·User-Name sur Start with WPou Contains WPdans les deux sections suivantes :

  • Politique > Conditions > Conditions de la bibliothèque

  • Politique > Ensembles de politiques > Politique d'autorisation > Règle d'autorisation 1