Il certificato del dispositivo può essere aggiornato automaticamente tramite il processo SCEP.

• Il telefono verifica se il certificato scadrà entro 15 giorni ogni 4 ore. In tal caso, il telefono avvia automaticamente la procedura di rinnovo del certificato.
• Se la password di verifica è vuota, il telefono utilizza MIC/SUDI sia per l'iscrizione iniziale che per il rinnovo del certificato. Se la password di verifica è configurata, viene utilizzata solo per l'iscrizione iniziale, il certificato esistente/installato viene utilizzato per il rinnovo del certificato.
• Il telefono non rimuove il certificato del dispositivo precedente fino a quando non recupera quello nuovo.
• Se il rinnovo del certificato non riesce a causa della scadenza del certificato del dispositivo o dell'autorità certificativa, il telefono attiva automaticamente l'iscrizione iniziale. Nel frattempo, se l'autenticazione della password di verifica non riesce, viene visualizzata una schermata di input della password sullo schermo del telefono e agli utenti viene richiesto di immettere la password di verifica sul telefono.

I telefoni IP Cisco supportano l'autenticazione 802.1X.

I telefoni IP Cisco e gli switch Cisco Catalyst utilizzano tradizionalmente il protocollo CDP (Cisco Discovery Protocol) per identificarsi reciprocamente e determinare parametri come l'allocazione VLAN e i requisiti di alimentazione in linea. Il protocollo CDP non identifica le postazioni di lavoro collegate in locale. I telefoni IP Cisco forniscono un meccanismo pass-through EAPOL. Questo meccanismo consente a una postazione di lavoro collegata al telefono IP Cisco di trasmettere i messaggi EAPOL all'autenticatore 802.1X sullo switch LAN. Il meccanismo pass-through garantisce che il telefono IP non agisca come switch LAN per autenticare un endpoint dati prima di accedere alla rete.

I telefoni IP Cisco forniscono anche un meccanismo di disconnessione EAPOL proxy. Se il PC collegato in locale si disconnette dal telefono IP, lo switch LAN non prevede un errore fisico poiché il collegamento tra lo switch LAN e il telefono IP viene mantenuto. Per evitare di compromettere l'integrità della rete, il telefono IP invia un messaggio di disconnessione EAPOL allo switch per conto del PC downstream, che attiva lo switch LAN per cancellare la voce di autenticazione per il PC downstream.

Il supporto dell'autenticazione 802.1X richiede diversi componenti:

• Cisco IP Phone Il telefono avvia la richiesta di accesso alla rete. I telefoni IP Cisco contengono un richiedente 802.1X. Questo richiedente consente agli amministratori di rete di controllare la connettività dei telefoni IP alle porte dello switch LAN. Per l'autenticazione della rete, nella versione corrente del richiedente 802.1X del telefono vengono utilizzate le opzioni EAP-FAST ed EAP-TLS.

• servizio di autenticazione Il server di autenticazione e lo switch devono essere entrambi configurati con un segreto condiviso per autenticare il telefono.

• Interruttore: Lo switch deve supportare 802.1X per poter agire come autenticatore e trasmettere i messaggi tra il telefono e il server di autenticazione. Al termine dello scambio, lo switch concede o nega al telefono l'accesso alla rete.

Per configurare l'autenticazione 802.1X, è necessario eseguire le seguenti operazioni.

• Configurare gli altri componenti prima di abilitare l'autenticazione 802.1X sul telefono.

• Configura porta PC: Lo standard 802.1X non prende in considerazione le VLAN e pertanto consiglia di autenticare un solo dispositivo su una porta dello switch specifica. Tuttavia, alcuni switch supportano l'autenticazione multidominio. La configurazione dello switch determina se è possibile connettere un PC alla porta PC del telefono.

  • Abilitato: Se si utilizza uno switch in grado di supportare l'autenticazione multidominio, è possibile abilitare la porta PC e connettervi un PC. In questo caso, i telefoni IP Cisco supportano la disconnessione EAPOL del proxy per monitorare gli scambi di autenticazione tra lo switch e il PC collegato.

    Per ulteriori informazioni sul supporto di IEEE 802.1X sugli switch Cisco Catalyst, consultare le guide di configurazione dello switch Cisco Catalyst all'indirizzo:

    http://www.cisco.com/it/IT/products/hw/switches/ps708/tsd_products_support_series_home.html

  • disabilitato Se lo switch non supporta più dispositivi conformi allo standard 802.1X sulla stessa porta, è necessario disabilitare la porta PC quando l'autenticazione 802.1X è abilitata. Se non si disabilita questa porta e si tenta di collegarvi un PC, lo switch nega l'accesso alla rete sia al telefono che al PC.

• Configura VLAN vocale: Poiché lo standard 802.1X non tiene conto delle VLAN, è necessario configurare questa impostazione in base al supporto dello switch.
  • Abilitato: Se stai utilizzando uno switch in grado di supportare l'autenticazione multidominio, puoi continuare a utilizzare la VLAN vocale.
  • disabilitato Se lo switch non supporta l'autenticazione multidominio, disabilitare la VLAN vocale e valutare di assegnare la porta alla VLAN nativa.
• (Solo per Cisco Desk Phone serie 9800)

  Il telefono fisso Cisco serie 9800 presenta un prefisso diverso nel PID da quello degli altri telefoni Cisco. Per consentire al telefono di passare l'autenticazione 802.1X, impostare il parametro Radius·User-Name per includere il telefono fisso Cisco serie 9800.

  Ad esempio, il PID del telefono 9841 è DP-9841; è possibile impostare Radius·User-Name su Start with DP o Contains DP. È possibile impostarlo in entrambe le sezioni seguenti:

  • Criteri > Condizioni > Condizioni libreria

  • Criteri > Set di criteri > Criteri di autorizzazione > Regola autorizzazione 1

Dal momento che tutti i dispositivi WLAN all'interno della copertura possono ricevere tutto il traffico WLAN, la protezione delle comunicazioni vocali sulle reti WLAN assume un'importanza critica. Per garantire che utenti non autorizzati non manipolino o intercettino il traffico vocale, l'architettura per la sicurezza SAFE di Cisco supporta il telefono. Per ulteriori informazioni sulla sicurezza nelle reti, vedere http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La soluzione di telefonia IP Cisco Wireless offre protezione sulla rete wireless in grado di impedire accessi non autorizzati e comunicazioni compromesse tramite i seguenti metodi di autenticazione supportati dal telefono:

• Apri autenticazione: Qualsiasi dispositivo wireless può richiedere l'autenticazione in un sistema aperto. L'AP che riceve la richiesta può concedere l'autenticazione a qualsiasi richiedente o solo ai richiedenti presenti in un elenco di utenti. La comunicazione tra il dispositivo wireless e il punto di accesso (AP) potrebbe non essere crittografata.

• Autenticazione EAP-FAST (Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling): Questa architettura di sicurezza client-server crittografa le transazioni EAP all'interno di un tunnel TLS (Transport Level Security) tra l'AP e il server RADIUS, ad esempio il motore dei servizi di identità (ISE).

  Il tunnel TLS utilizza le credenziali di accesso protetto (PAC, Protected Access Credentials) per l'autenticazione tra il client (telefono) e il server RADIUS. Il server invia un ID autorità (AID) al client (telefono), che a sua volta seleziona la PAC appropriata. Il client (telefono) restituisce un codice PAC-Opaque al server RADIUS. Il server decrittografa la chiave PAC con la chiave principale. Entrambi gli endpoint ora contengono la chiave PAC ed è stato creato un tunnel TLS. EAP-FAST supporta il provisioning PAC automatico, ma è necessario abilitarlo sul server RADIUS.

  In ISE, per impostazione predefinita, la PAC scade tra una settimana. Se sul telefono è presente una chiave PAC scaduta, l'autenticazione con il server RADIUS richiede più tempo mentre il telefono riceve una nuova chiave PAC. Per evitare ritardi nel provisioning della chiave PAC, impostare il periodo di scadenza della chiave PAC su almeno 90 giorni sul server ISE o RADIUS.

• Autenticazione EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS richiede un certificato client per l'autenticazione e l'accesso alla rete. Per EAP-TLS wireless, il certificato client può essere MIC, LSC o certificato installato dall'utente.

• Protected Extensible Authentication Protocol (PEAP): Schema proprietario di Cisco di autenticazione reciproca basata su password tra il client (telefono) e un server RADIUS. Il telefono può utilizzare il protocollo PEAP per l'autenticazione con la rete wireless. Sono supportati entrambi i metodi di autenticazione PEAP-MSCHAPV2 e PEAP-GTC.

• Chiave già condivisa (PSK): Il telefono supporta il formato ASCII. È necessario utilizzare questo formato durante l'impostazione di una chiave WPA/WPA2/SAE già condivisa:

  ASCII: una stringa di caratteri ASCII di lunghezza da 8 a 63 caratteri (da 0 a 9, lettere minuscole e maiuscole da A A Z e caratteri speciali)

  Esempio: GREG123567@9ZX&W