תודה על המשוב.

מכיוון שכל התקני WLAN הנמצאים בטווח יכולים לקבל את כל תעבורת ה- WLAN האחרת, אבטחת תקשורת קולית היא קריטית ברשתות WLAN. כדי להבטיח שהפולשים לא יעשו מניפולציות או יירטו תנועה קולית, ארכיטקטורת ה- SAFE Security של Cisco תומכת בטלפון. לקבלת מידע נוסף אודות אבטחה ברשתות, ראה http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

פתרון טלפוניה IP אלחוטית של Cisco מספק אבטחת רשת אלחוטית המונעת כניסות לא מורשות ותקשורת שנפגעה באמצעות שיטות האימות הבאות בהן הטלפון תומך.

• אימות פתוח: כל התקן אלחוטי יכול לבקש אימות במערכת פתוחה. ה- AP שמקבל את הבקשה רשאי להעניק אימות לכל מבקש או רק למבקשים שנמצאים ברשימת משתמשים. התקשורת בין ההתקן האלחוטי לנקודת הגישה (AP) עשויה להיות לא מוצפנת.

• פרו@@ טוקול אימות הניתן להרחבה-אימות גמיש באמצעות אימות מנהור מאובטח (EAP-FAST): ארכיטקטורת אבטחה זו של לקוח-שרת מצפינה עסקאות EAP בתוך מנהרת אבטחה ברמת תחבורה (TLS) בין נקודת הגישה לשרת RADIUS, כגון מנוע שירותי זהות (ISE).

  מנהרת ה- TLS משתמשת באישורי גישה מוגנים (PAC) לאימות בין הלקוח (טלפון) לשרת RADIUS. השרת שולח מזהה רשות (AID) ללקוח (טלפון), אשר בתורו בוחר את ה- PAC המתאים. הלקוח (הטלפון) מחזיר פאק-אטום לשרת RADIUS. השרת מפענח את ה- PAC עם המפתח הראשי. שתי נקודות הקצה מכילות כעת את מפתח PAC ונוצרת מנהרת TLS. EAP-FAST תומך בהקצאת PAC אוטומטית, אך עליך להפעיל אותה בשרת RADIUS.

  ב- ISE, כברירת מחדל, תוקף ה- PAC יפוג בעוד שבוע. אם לטלפון יש PAC שפג תוקפו, האימות עם שרת RADIUS לוקח זמן רב יותר בזמן שהטלפון מקבל PAC חדש. כדי למנוע עיכובים בהקצאת PAC, הגדר את תקופת התפוגה של PAC ל-90 יום או יותר בשרת ISE או RADIUS.

• אימות הניתן להרחבת-אימות פרוטוקול אבטחת שכבת הובלה (EAP-TLS): EAP-TLS דורש אישור לקוח לצורך אימות וגישה לרשת. עבור EAP-TLS אלחוטי, אישור הלקוח יכול להיות MIC או אישור המותקן על ידי המשתמש.

• פרוטוקול אימות מוגן להרחבה (PEAP): ע רכת אימות הדדית מבוססת סיסמה קניינית של סיסקו בין הלקוח (הטלפון) לשרת RADIUS. הטלפון יכול להשתמש ב- PEAP לאימות עם הרשת האלחוטית. הן שיטות האימות PEAP-MSCHAPV2 והן PEAP-GTC נתמכות.

  כדי לתמוך באימות PEAP-GTC עבור טלפון אלחוטי של Cisco 9821, הגדר את המדיניות הדרושה במסגרת ערכת המדיניות של Cisco ISE.

• מפתח משותף מראש (PSK): הטלפון תומך בפורמטים ASCII ו- הקסדצימליים (HEX). עליך להשתמש בפורמטים אלה בעת הגדרת מפתח משותף מראש של WPA2/SAE.

  ASCII: מחרוזת תווים ASCII באורך של 8 עד 63 תווים (0-9, אותיות קטנות a-z, אותיות גדולות A-Z ותווים מיוחדים). לדוגמה, GREG123567@9ZX&W.

  HEX: מחרוזת בעלת תווים משושה עם 64 ספרות משושה באורך (0-9, a-f או A-F).

ערכות האימות הבאות משתמשות בשרת RADIUS לניהול מפתחות אימות:

• WPA2/WPA3: משתמש במידע שרת RADIUS כדי ליצור מפתחות ייחודיים לאימות. מכיוון שמפתחות אלה נוצרים בשרת RADIUS המרכזי, WPA2/WPA3 מספק אבטחה רבה יותר מאשר מפתחות WPA המשותפים מראש המאוחסנים ב- AP ובטלפון.

• נדידה מאובטחת מהירה: משתמש בשרת RADIUS ובמידע על שרת תחום אלחוטי (WDS) לניהול ואימות מפתחות. ה- WDS יוצר מטמון של אישורי אבטחה עבור התקני לקוח התומכים ב- FT לצורך אימות חוזר מהיר ומאובטח.

עם WPA2/WPA3, מפתחות הצפנה אינם מוזנים בטלפון, אלא נגזרים אוטומטית בין נקודת הגישה לטלפון. אך יש להכניס את שם המשתמש והסיסמה של EAP המשמשים לאימות בכל טלפון.

כדי לסייע בהגנה על התעבורה הקולית דרך הקישור האלחוטי, הטלפון תומך ב הצפנה מבוססת AES לאימות WPA2/WPA3. AES הוא צופן בלוק סימטרי סטנדרטי על ידי NIST. AES משתמש בגודל בלוק קבוע של 128 סיביות ותומך בגדלי מפתח של 128 סיביות, 192 סיביות ו -256 סיביות. ברשתות Wi-Fi, AES משמש על ידי חבילות צופן כגון CCMP או GCMP, בעוד האימות מסופק בנפרד על ידי PSK, SAE או 802.1X/EAP, בהתאם למצב האבטחה WLAN שהוגדר. חבילת הצופן הנתמכת וגודל המפתח תלויים בד גם הטלפון ובתצורת ה- WLAN.

תוכניות אימות והצפנה מוגדרות בתוך ה- LAN האלחוטי. VLAN מוגדרים ברשת וב- AP ומציינים שילובים שונים של אימות והצפנה. SSID משויך ל- VLAN ולתוכנית האימות וההצפנה המסוימת. כדי שהתקני לקוח אלחוטיים יאותרו בהצלחה, עליך להגדיר את אותם SSIDs עם תוכניות האימות וההצפנה שלהם ב- AP ובטלפון.

תוכניות אימות מסוימות דורשות סוגים ספציפיים של הצפנה.

תוכניות האימות וההצפנה בטבלה הבאה מציגות את אפשרויות תצורת הרשת עבור Cisco Wireless Phone 9821 התואמות את תצורת ה- AP.

טלפון אלחוטי 9821 של סיסקו תומך באימות 802.1X עבור רשתות קוויות. זה משמש בדרך כלל במהלך הקצ אה אוטומטית כאשר הטלפון מחובר למטען השולחני באמצעות מתאם USB-ל-Ethernet נתמך.

תמיכה באימות 802.1X ברשתות קוויות דורשת מספר רכיבים כדלקמן:

• טלפון IP של סיסקו: הטלפון יוזם את הבקשה לגישה לרשת. טלפונים IP של סיסקו מכילים מתבקש 802.1X. מתחנן זה מאפשר למנהלי רשת לשלוט בקישוריות של טלפונים IP ליציאות מתג LAN. המהדורה הנוכחית של המבקש 802.1X של הטלפון משתמשת באפשרויות EAP-FAST ו- EAP-TLS לאימות רשת.

• שרת אימות: שרת האימות והמתג חייבים להיות מוגדרים עם סוד משותף של RADIUS.

• מתג: המתג חייב לתמוך ב- 802.1X, כך שהוא יכול לשמש כמאמת ולהעביר את הודעות ה- EAP בין הטלפון לשרת האימות. לאחר השלמת ההחלפה, המתג מעניק או שולל את הגישה לטלפון לרשת.

טלפונים IP של סיסקו ומתגי Cisco Catalyst משתמשים באופן מסורתי Cisco Discovery Protocol (CDP) כדי לזהות זה את זה ולקבוע פרמטרים כגון הקצאת VLAN ודרישות הספק מוטבע.

עליך לבצע את הפעולות הבאות כדי להגדיר את תצורת 802.1X.

• הגדר מעקף VLAN קולי CDP/LLDP.

• הגדר את שרת האימות ואת המתג לפני שתפעיל אימות 802.1X עבור רשתות קוויות בטלפון.

• קביעת תצורה של VLAN קולי: מכיוון שתקן 802.1X אינו מתייחס לרשתות VLAN, עליך להגדיר הגדרה זו בהתבסס על התמיכה במתג.

  • מופעל: אם אתה משתמש במתג התומ ך באימות רב-דומיין, באפשרותך להגדיר אותו לשימוש ב- VLAN הקולי.
  • מושבת: אם המתג אינו תומך באימות רב-דומיין, השבת את ה- Voice VLAN ושקול להקצות את היציאה ל- VLAN המקורי.

• לטלפון האלחוטי של סיסקו 9821 יש קידומת שונה ב- PID מזו של הטלפונים האחרים של סיסקו. כדי לאפשר לטלפון שלך לעבור אימות 802.1X, הגדר את הפרמטר רדיוס·שם משתמש כך שיכלול את הטלפון האלחוטי 9821 של Cisco.

  לדוגמה, ה- PID של הטלפון האלחוטי של סיסקו 9821 הוא WP-9821. ניתן להגדיר את רדיוס·שם משתמש לשני הסעיפים הבאים Start with WPאו Contains WPבשני הסעיפים הבאים:

  • מדיניות > תנאים > תנאי הספרייה

  • מדיניות > ע רכות מדיניות > מדיניות הרשאות > כלל הרשאה 1