Hvala na povratnim informacijama.

Budući da svi uređaji WLAN-a koji su u dometu mogu primati sav drugi WLAN promet, osiguravanje glasovne komunikacije je nužno u WLAN-ovima. Kako uljezi ne bi manipulirali niti presreli glasovni promet, arhitektura Cisco SAFE Security podržava telefon. Dodatne informacije o sigurnosti u mrežama potražite u članku http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Rješenje Cisco bežične IP telefonije pruža sigurnost bežične mreže koja sprječava neovlaštene prijave i ugroženu komunikaciju pomoću sljedećih metoda provjere autentičnosti koje telefon podržava.

• Otvori provjeru autentičnosti: svaki bežični uređaj može zatražiti provjeru autentičnosti u otvorenom sustavu. AP koji prima zahtjev može odobriti provjeru autentičnosti svakom tražitelju ili samo tražiteljima koji se nalaze na popisu korisnika. Komunikacija između bežičnog uređaja i pristupne točke (AP) može biti nešifrirana.

• Proširivi protokol provjere autentičnosti – fleksibilna provjera autentičnosti putem sigurnog tuneliranja (EAP-FAST) Provjera autentičnosti: Ova sigurnosna arhitektura klijent-poslužitelj šifrira EAP transakcije unutar tunela Transport Level Security (TLS) između AP-a i RADIUS poslužitelja, kao što je Identity Services Engine (ISE).

  Tunel TLS upotrebljava Vjerodajnice za zaštićeni pristup (engl. Protected Access Credential, PAC) za provjeru autentičnosti između klijenta (telefona) i poslužitelja RADIUS. Poslužitelj šalje ID ovlaštenja (engl. Authority ID, AID) klijentu (telefon), što zauzvrat odabire odgovarajući PAC. Klijent (telefon) vraća neproziran PAC poslužitelju RADIUS-u. Poslužitelj primarnim ključem dešifrira PAC. Obje krajnje točke sada sadrže ključ PAC i stvara se TLS tunel. EAP-FAST podržava automatsku dodjelu PAC-a, ali ga morate omogućiti na poslužitelju RADIUS-u.

  U ISE-u, prema zadanim postavkama, PAC istječe za tjedan dana. Ako telefon ima istekli PAC, provjera autentičnosti na poslužitelju RADIUS traje dulje dok telefon dobije novi PAC. Kako biste izbjegli kašnjenja pri dodjeli PAC-ova, postavite razdoblje trajanja PAC-a na 90 dana ili dulje na ISE-u ili poslužitelju RADIUS.

• Protokol proširene provjere autentičnosti – Sigurnost na razini prijenosa (engl. Extensible Authentication Protocol-Transport Layer Security, EAP-TLS) za provjeru autentičnosti: EAP-TLS zahtijeva certifikat klijenta za provjeru autentičnosti i pristup mreži. Za bežičnu EAP-TLS certifikat klijenta može biti MIC ili certifikat koji je instalirao korisnik.

• Protokol za zaštićenu proširenu provjeru autentičnosti (engl. Protected Extensible Authentication Protocol, PEAP): Vlasnička shema tvrtke Cisco uzajamne provjere autentičnosti temeljena na lozinci između klijenta (telefona) i poslužitelja RADIUS. Telefon može koristiti PEAP za provjeru autentičnosti s bežičnom mrežom. Podržani su i PEAP-MSCHAPV2 i PEAP-GTC načini provjere autentičnosti.

  Da biste podržali PEAP-GTC autentifikaciju za Cisco bežični telefon 9821, konfigurirajte potrebna pravila unutar skupa pravila Cisco ISE.

• Unaprijed dijeljeni ključ (PSK): telefon podržava formate ASCII i heksadecimalne (HEX). Te oblike morate koristiti prilikom postavljanja unaprijed dijeljenog ključa WPA2/SAE.

  ASCII: Niz ASCII znakova duljine od 8 do 63 znaka (0-9, mala slova a-z, velika slova A-Z i posebni znakovi). Na primjer,GREG123567@9ZX &W.

  HEX: HEX-znakovni niz sa 64 šesterokutne znamenke duljine (0-9, a-f ili A-F).

Sheme provjere autentičnosti u nastavku upotrebljavaju poslužitelj RADIUS za upravljanje ključevima za provjeru autentičnosti:

• WPA2/WPA3: upotrebljava podatke poslužitelja RADIUS za stvaranje jedinstvenih ključeva za provjeru autentičnosti. Budući da se ovi ključevi stvaraju na središnjem poslužitelju RADIUS, WPA2/WPA3 pruža više sigurnosti nego unaprijed dijeljeni ključevi WPA pohranjeni na AP-u i telefonu.

• Brz i siguran roaming: upotrebljava poslužitelj RADIUS i podatke o poslužitelju bežične domene (engl. wireless domain server, WDS) za upravljanje i provjeru autentičnosti ključeva. WDS stvara predmemoriju sigurnosnih vjerodajnica za klijentske uređaje s omogućenim FT-om za brzu i sigurnu ponovnu provjeru autentičnosti.

Uz WPA2/WPA3 ključevi za šifriranje ne unose se na telefon, već se automatski izvode između AP-a i telefona. No, EAP korisničko ime i lozinka koji se upotrebljavaju za provjeru autentičnosti moraju biti unesene u svaki telefon.

Da bi zaštitio glasovni promet putem bežične veze, telefon podržava šifriranje temeljeno na AES-u za WPA2/WPA3 provjeru autentičnosti. AES je simetrična šifra bloka standardizirana od strane NIST-a. AES koristi fiksnu 128-bitnu veličinu bloka i podržava veličine ključeva od 128 bita, 192 bita i 256 bita. U Wi-Fi mrežama AES koriste paketi šifri kao što su CCMP ili GCMP, dok provjeru autentičnosti zasebno pružaju PSK, SAE ili 802.1X/EAP, ovisno o konfiguriranom WLAN sigurnosnom načinu rada. Podržani paket šifri i veličina ključa ovise o modelu telefona i konfiguraciji WLAN.

Provjera autentičnosti i sheme šifriranja postavljeni su unutar bežičnog LAN-a. VLAN-ovi su konfigurirani u mreži i na AP-ovima i određuju različite kombinacije provjere autentičnosti i šifriranja. SSID se povezuje s VLAN-om i određenom shemom za provjeru autentičnosti i šifriranje. Da bi bežični klijentski uređaji uspješno provjerili autentičnost, morate konfigurirati iste SSID-ove s njihovim shemama provjere autentičnosti i šifriranja na AP-ovima i na telefonu.

Neke sheme za provjeru autentičnosti zahtijevaju određene vrste šifriranja.

Sheme provjere autentičnosti i šifriranja u sljedećoj tablici prikazuju mogućnosti mrežne konfiguracije za Cisco bežični telefon 9821 koje odgovaraju AP konfiguraciji.

Cisco bežični telefon 9821 podržava provjeru autentičnosti 802.1X za žičane mreže. To se obično koristi tijekom automatskog dodjeljivanja resursa kada je telefon povezan s stolnim punjačem putem podržanog adaptera USB-to-Ethernet.

Podrška za provjeru autentičnosti 802.1X na žičanim mrežama zahtijeva nekoliko komponenti kako slijedi:

• Cisco IP telefoni: telefon inicira zahtjev za pristup mreži. Cisco IP telefoni sadrže alt za slanje zamolbe u protokolu 802.1X Ovaj alat za slanje zamolbe omogućuje administratorima mreže kontrolu povezanosti IP telefona s LAN ulazima za prespajanje. Trenutačno izdanje alata za slanje zamolbe u protokolu 802.1X telefona upotrebljava mogućnosti EAP-FAST i EAP-TLS za provjeru autentičnosti mreže.

• Poslužitelj za provjeru autentičnosti: Poslužitelj za provjeru autentičnosti i skretnica moraju biti konfigurirani s zajedničkom tajnom RADIUS-a.

• Prekidač: skretnica mora podržavati 802.1X kako bi mogla djelovati kao autentifikator i prenositi poruke EAP između telefona i poslužitelja za provjeru autentičnosti. Nakon dovršetka razmjene, prespojnik odobrava ili odbija odobriti pristup telefona mreži.

Cisco IP telefoni i prespojnici Cisco Catalyst uobičajeno upotrebljavaju Cisco protokol za otkrivanje (engl. Cisco Discovery Protocol, CDP) kako bi identificirali jedni druge i utvrditi parametre kao što su alokacija VLAN-a i zahtjevi za linijsko napajanje.

Kako biste konfigurirali protokol 802.1X, morate izvršiti radnje navedene u nastavku.

• Konfigurirajte CDP/LLDP glas VLAN zaobiđi.

• Konfigurirajte poslužitelj za provjeru autentičnosti i skretnicu prije omogućivanja provjere autentičnosti 802.1X za ožičene mreže na telefonu.

• Konfiguriranje Glasovnog VLAN-a: Budući da standard 802.1X ne računa na VLAN-ove, trebali biste konfigurirati ovu postavku na temelju podrške prespojnika.

  • Omogućeno: ako koristite skretnicu koja podržava provjeru autentičnosti više korisnika, možete je konfigurirati tako da koristi glas VLAN.
  • Onemogućeno: ako prespojnik ne podržava provjeru autentičnosti višestukih domena, onemogućite glasovni VLAN i razmislite o dodjeljivanju ulaza izvornom VLAN-u.

• Cisco bežični telefon 9821 ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste telefonu omogućili prolazak provjere autentičnosti 802.1X, postavite radij· Parametar korisničkog imena koji uključuje vaš Cisco bežični telefon 9821.

  Na primjer, PID Cisco bežičnog telefona 9821 je WP-9821. Možete postaviti radijus· Korisničko ime za početak s WP ili sadrži WP u oba sljedeća odjeljka:

  • Uvjeti > Uvjeti > Uvjeti biblioteke

  • Pravila > Skupovi pravila> Pravila autorizacije> Pravilo autorizacije 1