Köszönjük visszajelzését.

A Cisco IP telefonok támogatják a 802.1X hitelesítést.

A Cisco IP-telefonok és a Cisco Catalyst kapcsolók hagyományosan Cisco Discovery Protocol (CDP) használják egymás azonosítására és olyan paraméterek meghatározására, mint a VLAN-kiosztás és a beépített energiaigény. A CDP nem azonosítja a helyileg csatolt munkaállomásokat. A Cisco IP-telefonok EAPOL átjáró mechanizmust biztosítanak. Ez a mechanizmus lehetővé teszi a Cisco IP-telefonhoz csatlakoztatott munkaállomás számára, hogy EAPOL üzeneteket továbbítson a LAN kapcsoló 802.1X hitelesítőjének. Az átjáró mechanizmus biztosítja, hogy az IP-telefon ne működjön LAN-kapcsolóként az adatvégpont hitelesítéséhez a hálózathoz való hozzáférés előtt.

A Cisco IP telefonok egy proxy EAPOL Logoff mechanizmust is biztosítanak. Ha a helyben csatlakoztatott számítógép lekapcsolódik az IP-telefonról, a LAN kapcsoló nem látja, hogy a fizikai kapcsolat meghibásodik, mivel a LAN kapcsoló és az IP-telefon közötti kapcsolat megmarad. A hálózat integritásának veszélyeztetésének elkerülése érdekében az IP-telefon EAPOL-Logoff üzenetet küld a kapcsolónak a downstream PC nevében, amely aktiválja a LAN kapcsolót, hogy törölje a későbbi számítógép hitelesítési bejegyzését.

A 802.1X hitelesítés támogatá sa több összetevőt igényel:

• Cisco IP telefon: A telefon kezdeményezi a hálózat elérésének kérését. A Cisco IP-telefonok 802.1X kérelmet tartalmaznak. Ez a kérelem lehetővé teszi a hálózati rendszergazdák számára, hogy irányítsák az IP-telefonok csatlakoztatását a LAN kapcsolóportokhoz. A telefon 802.1X supplicant jelenlegi kiadása az EAP-FAST és az EAP-TLS opciókat használja a hálózati hitelesítéshez.

• Hitelesítési kiszolgáló: A hitelesítési kiszolgálót és a kapcsolót egyaránt megosztott titkokkal kell konfigurálni, amely hitelesíti a telefont.

• Kapcsoló: A kapcsolónak támogatnia kell a 802.1X-et, így hitelesítőként működhet, és továbbíthatja az üzeneteket a telefon és a hitelesítési kiszolgáló között. A csere befejezése után a kapcsoló biztosítja vagy megtagadja a telefon hozzáférését a hálózathoz.

A 802.1X konfigurálásához a következő műveleteket kell végrehajtania.

• Konfigurálja a többi összetevőt, mielőtt engedélyezné a 802.1X hitelesítést a telefonon.

• PC-port konfigurálása: A 802.1X szabvány nem veszi figyelembe a VLAN-okat, ezért azt javasolja, hogy csak egyetlen eszközt kell hitelesíteni egy adott kapcsolóporton. Egyes kapcsolók azonban támogatják a többdomaines hitelesítést. A kapcsoló konfigurációja határozza meg, hogy csatlakoztathatja-e számítógépet a telefon PC-portjához.

  • Engedélyezve: Ha olyan kapcsolót használ, amely támogatja a többtartományú hitelesítést, engedélyezheti a PC-portot, és csatlakoztathatja hozzá egy számítógépet. Ebben az esetben a Cisco IP-telefonok támogatják az EAPOL-Logoff proxyt a kapcsoló és a csatolt számítógép közötti hitelesítési csere figyelemmel kíséréséhez.

    A Cisco Catalyst kapcsolók IEEE 802.1X támogatásával kapcsolatos további információkért lásd a Cisco Catalyst kapcsoló konfigurációs útmutatóját:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Letiltva: Ha a kapcsoló nem támogat több 802.1X-kompatibilis eszközt ugyanazon a porton, akkor a 802.1X hitelesítés engedélyezése esetén le kell tiltania a PC portot. Ha nem tiltja le ezt a portot, majd megpróbálja csatlakoztatni a számítógépet, a kapcsoló megtagadja a hálózati hozzáférést mind a telefonhoz, mind a számítógéphez.

• Hangalapú VLAN konfigurálása: Mivel a 802.1X szabvány nem veszi figyelembe a VLAN-okat, ezt a beállítást a kapcsolótámogatás alapján kell konfigurálni.
  • Engedélyezve: Ha olyan kapcsolót használ, amely támogatja a többtartományú hitelesítést, folytathatja azt a hangos VLAN használatához.
  • Letiltva: Ha a kapcsoló nem támogatja a többtartományú hitelesítést, tiltsa le a Voice VLAN-t, és fontolja meg a port hozzárendelését a natív VLAN-hoz.
• (Csak Cisco asztali telefonhoz 9800 sorozathoz)

  A Cisco Desk Phone 9800 sorozat PID-ben más előtaggal rendelkezik, mint a többi Cisco telefonnál. A telefon 802.1X hitelesítésének engedélyezéséhez állítsa be a Radius · Username paramétert úgy, hogy tartalmazza a Cisco Desk Phone 9800-as sorozatot.

  Például a 9841 telefon PID-je a DP-9841; beállíthatja a Radius·UserName értéket vagy értékre. Start with DPContains DP Mindkét alábbi szakaszban beállíthatja:

  • Szabályz at > Feltétel ek > Kö nyvtári feltételek

  • Házirend > Házirend-készletek > En gedélyezési házirend > Engedélyszabály

Mivel a hatótávolságon belüli összes WLAN-eszköz képes fogadni az összes többi WLAN-forgalmat, a hangkommunikáció biztosítása kritikus fontosságú a WLAN-ok esetében. A Cisco SAFE Security architektúra támogatja a telefont annak biztosítása érdekében, hogy a behatolók ne manipulálják és ne fogják el a hangforgalmat. A hálózatok biztonságával kapcsolatos további információkért lásd: http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

A Cisco Wireless IP-telefonos megoldás biztosítja a vezeték nélküli hálózati biztonságot, amely megakadályozza a jogosulatlan bejelentkezéseket és a veszélyeztetett kommunikációt a telefon által támogatott alábbi hitelesítési módszerekkel:

• Nyitott hiteles ítés: Bármely vezeték nélküli eszköz kérhet hitelesítést nyitott rendszerben. A kérelmet befogadó AP hitelesítést adhat bármely kérelmezőnek, vagy csak a felhasználók listáján található kérelmezőknek. A vezeték nélküli eszköz és az Access Point (AP) közötti kommunikáció nem titkosítható.

• B@@ ővíthető hitelesítési protokoll — Rugalmas hitelesítés biztonságos alagúttal (EAP-FAST) hitel esítéssel: Ez az ügyfélkiszolgáló biztonsági architektúra az AP és a RADIUS kiszolgáló közötti szállítási szintű biztonsági (TLS) alagútban titkosítja az EAP-tranzakciókat, például az Identity Services Engine (ISE) között.

  A TLS-alagút védett hozzáférési hitelesítő adatokat (PAC) használ az ügyfél (telefon) és a RADIUS kiszolgáló közötti hitelesítéshez. A szerver egy Hatósági azonosítót (AID) küld az ügyfélnek (telefon), amely viszont kiválasztja a megfelelő PAC-t. Az ügyfél (telefon) egy PAC-átlátszatot ad vissza a RADIUS kiszolgálóra. A szerver visszafejti a PAC-t az elsődleges kulccsal. Mindkét végpont tartalmazza a PAC kulcsot, és létrejön egy TLS-alagút. Az EAP-FAST támogatja az automatikus PAC szolgáltatást, de engedélyeznie kell a RADIUS kiszolgálón.

  Az ISE-ben alapértelmezés szerint a PAC egy héten belül lejár. Ha a telefon lejárt PAC-vel rendelkezik, a RADIUS szerverrel történő hitelesítés hosszabb ideig tart, amíg a telefon új PAC-t kap. A PAC biztosítási késések elkerülése érdekében állítsa be a PAC lejárati idejét 90 napra vagy hosszabbra az ISE vagy a RADIUS kiszolgálón.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) hitelesítés: Az EAP-TLS hiteles ítéshez és hálózati hozzáféréshez ügyféltanúsítványt igényel. Vezeték nélküli EAP-TLS esetén az ügyféltanúsítvány lehet MIC, LSC vagy felhasználó által telepített tanúsítvány.

• Protected Extensible Authentication Protocol (PEAP): Cisco szabadalmaztatott jelszóalapú kölcsönös hitelesítési rendszere az ügyfél (telefon) és a RADIUS kiszolgáló között. A telefon PEAP-ot használhatja a vezeték nélküli hálózattal történő hitelesítéshez. Mind a PEAP-MSCHAPV2, mind a PEAP-GTC hitelesítési módszerek támogatottak.

• Előre megosztott kulcs (PSK): A telefon támogatja az ASCII formátumot. Ezt a formátumot kell használnia a WPA/WPA2/SAE előre megosztott kulcs beállításakor:

  ASCII: 8-63 karakter hosszúságú ASCII karakterlánc (0-9, kis- és nagybetű A-Z, valamint speciális karakterek)

  Példa: GREG123567 @9ZX &W

A következő hitelesítési sémák a RADIUS-kiszolgálót használják a hitelesítési kulcsok kezelésére:

• WPA/WPA2/WPA3: RADIUS kiszolgálóinformációkat használ egyedi kulcsok létrehozásához a hitelesítéshez. Mivel ezeket a kulcsokat a központosított RADIUS kiszolgálón generálják, a WPA2/WPA3 nagyobb biztonságot nyújt, mint az AP-n és a telefonon tárolt WPA előre megosztott kulcsok.

• Gyors biztonságos barangolás: RADIUS kiszolgálót és vezeték nélküli tartománykiszolgálót (WDS) használ a kulcsok kezeléséhez és hitelesítéséhez. A WDS biztonsági hitelesítő adatok gyorsítótárát hoz létre az FT-kompatibilis ügyféleszközök számára a gyors és biztonságos újrahitelesítés érdekében. A Cisco asztali telefon 9861 és 9871 és a Cisco Video Phone 8875 támogatja a 802.11r (FT) szolgáltatást. A gyors, biztonságos barangolás lehetővé tétele érdekében mind a levegőn, mind a DS-en keresztül támogatottak. De erősen javasoljuk a 802.11r (FT) over air módszer használatát.

A WPA/WPA2/WPA3 használatával a titkosítási kulcsok nem kerülnek be a telefonba, hanem automatikusan az AP és a telefon között származnak. De a hitelesítéshez használt EAP felhasználónevet és jelszót minden telefonon meg kell adni.

A hangforgalom biztonságának biztosítása érdekében a telefon támogatja a TKIP és az AES-t a titkosításhoz. Amikor ezeket a mechanizmusokat titkosításhoz használják, mind a jelző SIP csomagok, mind a hangos valós idejű szállítási protokoll (RTP) csomagok titkosítva vannak az AP és a telefon között.

TKIP

A WPA TKIP titkosítást használ, amely számos fejlesztéssel rendelkezik a WEP-hez képest. A TKIP csomagonkénti kulcs titkosítását és hosszabb inicializációs vektorokat (IV) biztosít, amelyek erősítik a titkosítást. Ezenkívül az üzenet integritásának ellenőrzése (MIC) biztosítja, hogy a titkosított csomagok ne változtassák meg. A TKIP eltávolítja a WEP kiszámíthatóságát, amely segít a betolakodóknak a WEP kulcs megfejtésében.

AES

A WPA2/WPA3 hitelesítéshez használt titkosítási módszer. Ez a nemzeti titkosítási szabvány szimmetrikus algoritmust használ, amely ugyanazzal a kulccsal rendelkezik a titkosításhoz és a visszafejtéshez. Az AES 128 bites méretű Cipher Blocking Chain (CBC) titkosítást használ, amely legalább 128 bites, 192 bites és 256 bites kulcsméreteket támogat. A telefon 256 bites kulcsméretet támogat.

A hitelesítési és titkosítási sémák a vezeték nélküli LAN hálózaton belül vannak beállítva. A VLAN-ok a hálózatban és az AP-kon vannak konfigurálva, és a hitelesítés és a titkosítás különböző kombinációit határozzák meg. Az SSID egy VLAN-hoz és az adott hitelesítési és titkosítási sémához kapcsolódik. A vezeték nélküli ügyféleszközök sikeres hitelesítéséhez ugyanazokat az SSID-ket kell konfigurálnia a hitelesítési és titkosítási sémákkal az AP-kon és a telefonon.

Egyes hitelesítési sémák bizonyos típusú titkosítást igényelnek.

A következő táblázatban szereplő hitelesítési és titkosítási sémák a telefon hálózati konfigurációs beállításait mutatják be, amelyek megfelelnek az AP konfigurációnak.