Az eszköz tanúsítványa az SCEP-folyamat által automatikusan frissíthető.

• A telefon 4 óránként ellenőrzi, hogy a tanúsítvány 15 nap múlva lejár-e. Ha igen, a telefon automatikusan megkezdi a tanúsítvány megújítási folyamatát.
• Ha a kihívás jelszava üres, a telefon MIC/SUDI protokollt használ mind a kezdeti regisztrációhoz, mind a tanúsítvány megújításához. Ha a kihívás jelszava be van állítva, akkor csak a kezdeti regisztrációhoz használja, a meglévő/telepített tanúsítványt pedig a tanúsítvány megújításához használja a rendszer.
• A telefon nem távolítja el a régi eszköztanúsítványt, amíg nem kéri le az újat.
• Ha a tanúsítvány megújítása azért sikertelen, mert az eszköz tanúsítványa vagy a hitelesítésszolgáltató lejár, a telefon automatikusan elindítja a kezdeti regisztrációt. Addig is, ha a kihívást jelentő jelszó hitelesítése sikertelen, egy jelszóbeviteli képernyő jelenik meg a telefon képernyőjén, és a felhasználókat arra kéri, hogy adják meg a kihívást jelentő jelszót a telefonon.

A Cisco IP-telefonok támogatják a 802.1x hitelesítést.

A Cisco IP-telefonok és a Cisco Catalyst kapcsolók hagyományosan a Cisco Discovery Protocol (CDP) protokollt használják egymás azonosítására és az olyan paraméterek meghatározására, mint a VLAN-kiosztás és a beépített tápellátás követelményei. A CDP nem azonosítja a helyileg csatlakoztatott munkaállomásokat. A Cisco IP-telefonok EAPOL átvezető mechanizmust biztosítanak. Ez a mechanizmus lehetővé teszi, hogy a Cisco IP telefonhoz csatlakoztatott munkaállomás továbbítsa az EAPOL üzeneteket a 802.1X hitelesítőnek a LAN kapcsolón. Az átvezető mechanizmus biztosítja, hogy az IP-telefon ne működjön LAN-kapcsolóként az adatvégpont hitelesítéséhez a hálózat elérése előtt.

A Cisco IP-telefonok proxy EAPOL kijelentkezési mechanizmust is biztosítanak. Ha a helyileg csatlakoztatott számítógép bontja a kapcsolatot az IP-telefonnal, a LAN-kapcsoló nem látja a fizikai kapcsolatot, mert megmarad a LAN-kapcsoló és az IP-telefon közötti kapcsolat. A hálózati integritás veszélyeztetésének elkerülése érdekében az IP-telefon egy EAPOL-Logoff üzenetet küld a kapcsolónak a downstream PC nevében, amely elindítja a LAN kapcsolót, hogy törölje a downstream PC hitelesítési bejegyzését.

A 802.1X hitelesítés támogatásához több összetevő szükséges:

• Cisco IP-telefonok A telefon kezdeményezi a hálózat elérésére irányuló kérést. A Cisco IP-telefonok 802.1X kérvényt tartalmaznak. Ez a kérelmező lehetővé teszi a hálózati rendszergazdák számára, hogy szabályozzák az IP-telefonok csatlakozását a LAN-kapcsoló portokhoz. A telefon 802.1X kérvényező jelenlegi kiadása az EAP-FAST és EAP-TLS opciókat használja a hálózati hitelesítéshez.

• hitelesítési szolgáltatás A hitelesítési kiszolgálót és a kapcsolót is olyan megosztott titkos kóddal kell konfigurálni, amely hitelesíti a telefont.

• Váltás: A kapcsolónak támogatnia kell a 802.1X-et, hogy hitelesítőként működhessen, és továbbíthassa az üzeneteket a telefon és a hitelesítési kiszolgáló között. Miután a csere befejeződött, a kapcsoló megadja vagy megtagadja a telefonnak a hálózathoz való hozzáférést.

A 802.1X konfigurálásához a következő műveleteket kell végrehajtania.

• Konfigurálja a többi összetevőt, mielőtt engedélyezi a 802.1X hitelesítést a telefonon.

• PC port konfigurálása: A 802.1X szabvány nem veszi figyelembe a VLAN-t, ezért azt javasolja, hogy csak egy eszközt kell hitelesíteni egy adott kapcsolóportra. Egyes kapcsolók azonban támogatják a többtartományos hitelesítést. A kapcsolókonfiguráció határozza meg, hogy csatlakoztathat-e számítógépet a telefon PC portjához.

  • Engedélyezve: Ha a többtartományos hitelesítést támogató kapcsolót használ, engedélyezheti a PC portot, és csatlakoztathat hozzá egy PC-t. Ebben az esetben a Cisco IP-telefonok támogatják az EAPOL-Logoff proxy protokollt a kapcsoló és a csatlakoztatott PC közötti hitelesítési cserék figyeléséhez.

    A Cisco Catalyst kapcsolók IEEE 802.1X támogatásával kapcsolatos további információkért tekintse meg a Cisco Catalyst kapcsoló konfigurációs útmutatóját:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Letiltva: Ha a kapcsoló nem támogat több 802.1X-kompatibilis eszközt ugyanazon a porton, akkor a 802.1X-hitelesítés engedélyezésekor tiltsa le a PC-portot. Ha nem tiltja le ezt a portot, majd megpróbál PC-t csatolni hozzá, a kapcsoló megtagadja a hálózati hozzáférést a telefonhoz és a PC-hez is.

• Hang VLAN konfigurálása: Mivel a 802.1X szabvány nem tartalmazza a VLAN-okat, ezt a beállítást a kapcsolási támogatás alapján kell konfigurálnia.
  • Engedélyezve: Ha a többtartományos hitelesítést támogató kapcsolót használ, továbbra is használhatja a hang VLAN-t.
  • Letiltva: Ha a kapcsoló nem támogatja a többtartományos hitelesítést, tiltsa le a Voice VLAN-t, és fontolja meg a port hozzárendelését a natív VLAN-hoz.
• (Csak a Cisco Desk Phone 9800 Series telefonokhoz)

  A Cisco 9800 sorozatú asztali telefonok előhívóazonosítójában más előhívószám található, mint a többi Cisco telefoné. Ha engedélyezni szeretné, hogy a telefon átadhassa a 802.1x azonosítást, állítsa be a Radius·Felhasználónév paramétert úgy, hogy az tartalmazza a Cisco Desk Phone 9800 Series telefont.

  Például a 9841-es telefon PID-je DP-9841; a Radius·Felhasználónév beállítása DP-vel kezdődik vagy DP-t tartalmaz. Az alábbi két szakaszban állíthatja be:

  • Szabályzat > Feltételek > Könyvtár feltételei

  • Szabályzat > Szabályzatkészletek > Engedélyezési szabályzat > 1. engedélyezési szabály

Mivel a hatótávolságon belüli összes WLAN-eszköz fogadni tudja az összes többi WLAN-forgalmat, a hangkommunikáció biztosítása kritikus fontosságú a WLAN-hálózatokon. A Cisco SAFE Security architektúra támogatja a telefont, hogy a behatolók ne manipulálják és ne blokkolják a hangforgalmat. A hálózatok biztonságával kapcsolatos további információért lásd: http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A Cisco vezeték nélküli IP-telefonos megoldás a következő, a telefon által támogatott hitelesítési módszerek segítségével biztosítja a vezeték nélküli hálózat biztonságát, amely megakadályozza a jogosulatlan bejelentkezést és a sérült kommunikációt:

• Hitelesítés megnyitása: Bármely vezeték nélküli eszköz kérheti a hitelesítést egy nyitott rendszerben. A kérelmet fogadó AP engedélyezheti a hitelesítést bármely kérelmezőnek vagy csak a felhasználók listáján szereplő kérelmezőknek. A vezeték nélküli eszköz és a hozzáférési pont (AP) közötti kommunikáció nem titkosítható.

• Bővíthető hitelesítési protokoll-Flexible Authentication via Secure Tunneling (EAP-FAST) hitelesítés: Ez a kliens-szerver biztonsági architektúra az AP és a RADIUS szerver közötti Transport Level Security (TLS) alagútban titkosítja az EAP-tranzakciókat, mint például az Identity Services Engine (ISE).

  A TLS-alagút védett hozzáférési hitelesítő adatokat (PAC-kat) használ a hitelesítéshez az ügyfél (telefon) és a RADIUS szerver között. A szerver egy Authority azonosítót (AID) küld az ügyfélnek (telefonnak), amely viszont kiválasztja a megfelelő PAC-t. A kliens (telefon) PAC-átlátszatlan értéket ad vissza a RADIUS szervernek. A kiszolgáló visszafejti a PAC-t az elsődleges kulccsal. Mostantól mindkét végpont tartalmazza a PAC-kulcsot, és létrejön egy TLS-alagút. Az EAP-FAST támogatja az automatikus PAC kiépítést, de engedélyeznie kell a RADIUS szerveren.

  ISE esetén a PAC alapértelmezés szerint egy hét alatt lejár. Ha a telefon lejárt PAC-val rendelkezik, a RADIUS szerverrel történő hitelesítés hosszabb időt vesz igénybe, amíg a telefon új PAC-t kap. A PAC-szolgáltatás késéseinek elkerülése érdekében állítsa be a PAC lejárati idejét 90 napra vagy annál hosszabb időre az ISE vagy a RADIUS szerveren.

• Bővíthető hitelesítési protokoll-Transport Layer Security (EAP-TLS) hitelesítés: Az EAP-TLS kliens tanúsítványt igényel a hitelesítéshez és a hálózati hozzáféréshez. Vezeték nélküli EAP-TLS esetén a kliens tanúsítvány lehet MIC, LSC vagy felhasználó által telepített tanúsítvány.

• Védett bővíthető hitelesítési protokoll (PEAP): A Cisco saját, jelszó alapú kölcsönös hitelesítési rendszere az ügyfél (telefon) és a RADIUS szerver között. A telefon a PEAP protokollt használhatja a vezeték nélküli hálózaton történő hitelesítéshez. A PEAP-MSCHAPV2 és a PEAP-GTC hitelesítési módszerek is támogatottak.

• Előre megosztott kulcs (PSK): A telefon támogatja az ASCII formátumot. Ezt a formátumot kell használnia az előre megosztott WPA/WPA2/SAE kulcs beállításakor:

  ASCII: 8–63 karakteres ASCII-karakterlánc (0–9, kisbetű és nagybetű A–Z, speciális karakterek)

  Példa: GREG123567@9ZX&W