Grazie per il feedback.

I telefoni IP Cisco supportano l'autenticazione 802.1X.

I telefoni IP Cisco e gli switch Cisco Catalyst utilizzano tradizionalmente Cisco Discovery Protocol (CDP) per identificarsi e determinare parametri come l'allocazione della VLAN e i requisiti di alimentazione in linea. CDP non identifica le workstation collegate localmente. I telefoni IP Cisco forniscono un meccanismo pass-through EAPOL. Questo meccanismo consente a una workstation collegata al telefono IP Cisco di trasmettere i messaggi EAPOL all'autenticatore 802.1X sullo switch LAN. Il meccanismo pass-through assicura che il telefono IP non funga da switch LAN per autenticare un endpoint di dati prima di accedere alla rete.

I telefoni IP Cisco forniscono anche un meccanismo proxy EAPOL Logoff. Se il PC collegato localmente si disconnette dal telefono IP, lo switch LAN non vede il collegamento fisico fallire, perché il collegamento tra lo switch LAN e il telefono IP viene mantenuto. Per evitare di compromettere l'integrità della rete, il telefono IP invia un messaggio di logoff EAPOL allo switch per conto del PC a valle, che attiva lo switch LAN per cancellare la voce di autenticazione per il PC a valle.

Il supporto per l'autenticazione 802.1X richiede diversi componenti:

• Telefono IP Cisco: Il telefono avvia la richiesta di accesso alla rete. I telefoni IP Cisco contengono un supporto 802.1X. Questo supplicante consente agli amministratori di rete di controllare la connettività dei telefoni IP alle porte dello switch LAN. L'attuale versione del telefono che supporta lo standard 802.1X utilizza le opzioni EAP-FAST ed EAP-TLS per l'autenticazione di rete.

• Server di autenticazione: Il server di autenticazione e lo switch devono essere entrambi configurati con un segreto condiviso che autentica il telefono.

• Switch: Lo switch deve supportare 802.1X, quindi può fungere da autenticatore e passare i messaggi tra il telefono e il server di autenticazione. Una volta completato lo scambio, lo switch concede o nega al telefono l'accesso alla rete.

È necessario eseguire le seguenti azioni per configurare 802.1X.

• Configuri gli altri componenti prima di abilitare l'autenticazione 802.1X sul telefono.

• Configura la porta PC: Lo standard 802.1X non considera le VLAN e quindi consiglia di autenticare un solo dispositivo su una porta dello switch specifica. Tuttavia, alcuni switch supportano l'autenticazione multidominio. La configurazione dello switch determina se è possibile connettere un PC alla porta PC del telefono.

  • Abilitato: se utilizza uno switch che supporta l'autenticazione multidominio, può abilitare la porta PC e collegarvi un PC. In questo caso, i telefoni IP Cisco supportano il proxy EAPOL-Logoff per monitorare gli scambi di autenticazione tra lo switch e il PC collegato.

    Per ulteriori informazioni sul supporto IEEE 802.1X sugli switch Cisco Catalyst, consultare le guide alla configurazione dello switch Cisco Catalyst all'indirizzo:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Disabilitato: Se lo switch non supporta più dispositivi conformi allo standard 802.1X sulla stessa porta, deve disabilitare la porta PC quando l'autenticazione 802.1X è abilitata. Se non disabilita questa porta e poi tenta di collegarvi un PC, lo switch nega l'accesso alla rete sia al telefono che al PC.

• Configura la VLAN vocale: Poiché lo standard 802.1X non tiene conto delle VLAN, deve configurare questa impostazione in base al supporto dello switch.
  • Abilitato: se utilizza uno switch che supporta l'autenticazione multidominio, può continuare a utilizzare la VLAN vocale.
  • Disabilitato: se lo switch non supporta l'autenticazione multidominio, disabiliti la VLAN vocale e valuta la possibilità di assegnare la porta alla VLAN nativa.
• (Solo per Cisco Desk Phone serie 9800)

  Il telefono da tavolo Cisco serie 9800 ha un prefisso diverso nel PID da quello degli altri telefoni Cisco. Per consentire al suo telefono di superare l'autenticazione 802.1X, imposti il parametro Radius·User-Name per includere il suo telefono da tavolo Cisco serie 9800.

  Ad esempio, il PID del telefono 9841 è DP-9841; può impostare Radius·User-Name su o. Start with DPContains DP Può impostarlo in entrambe le seguenti sezioni:

  • Politica > Condizioni > Condizioni della biblioteca

  • Politica > Set di politiche > Politica di autorizzazione > Regola di autorizzazione 1

Poiché tutti i dispositivi WLAN che si trovano nel raggio d'azione possono ricevere tutto il resto del traffico WLAN, la protezione delle comunicazioni vocali è fondamentale nelle WLAN. Per garantire che gli intrusi non manipolino né intercettino il traffico vocale, l'architettura Cisco SAFE Security supporta il telefono. Per ulteriori informazioni sulla sicurezza nelle reti, vedere http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La soluzione di telefonia IP wireless Cisco fornisce una sicurezza della rete wireless che impedisce accessi non autorizzati e comunicazioni compromesse utilizzando i seguenti metodi di autenticazione supportati dal telefono:

• Autenticazione aperta: Qualsiasi dispositivo wireless può richiedere l'autenticazione in un sistema aperto. L'AP che riceve la richiesta può concedere l'autenticazione a qualsiasi richiedente o solo ai richiedenti presenti in un elenco di utenti. La comunicazione tra il dispositivo wireless e l'Access Point (AP) potrebbe essere non crittografata.

• Extensible Authentication Protocol-Autenticazione flessibile tramite Secure Tunneling (EAP-FAST) Autenticazione: questa architettura di sicurezza client-server crittografa le transazioni EAP all'interno di un tunnel Transport Level Security (TLS) tra l'AP e il server RADIUS, come Identity Services Engine (ISE).

  Il tunnel TLS utilizza le credenziali di accesso protetto (PAC) per l'autenticazione tra il client (telefono) e il server RADIUS. Il server invia un Authority ID (AID) al cliente (telefono), che a sua volta seleziona il PAC appropriato. Il client (telefono) restituisce un PAC opaco al server RADIUS. Il server decrittografa il PAC con la chiave primaria. Entrambi gli endpoint ora contengono la chiave PAC e viene creato un tunnel TLS. EAP-FAST supporta il provisioning automatico del PAC, ma deve abilitarlo sul server RADIUS.

  In ISE, per impostazione predefinita, il PAC scade tra una settimana. Se il telefono ha un PAC scaduto, l'autenticazione con il server RADIUS richiede più tempo mentre il telefono riceve un nuovo PAC. Per evitare ritardi nell'approvvigionamento del PAC, imposta il periodo di scadenza del PAC su 90 giorni o più sul server ISE o RADIUS.

• Autenticazione Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS richiede un certificato client per l'autenticazione e l'accesso alla rete. Per l'EAP-TLS wireless, il certificato client può essere MIC, LSC o un certificato installato dall'utente.

• Protected Extensible Authentication Protocol (PEAP): schema di autenticazione reciproca proprietario di Cisco basato su password tra il client (telefono) e un server RADIUS. Il telefono può utilizzare PEAP per l'autenticazione con la rete wireless. Sono supportati entrambi i metodi di autenticazione PEAP-MSCHAPV2 e PEAP-GTC.

• Chiave precondivisa (PSK): il telefono supporta il formato ASCII. Deve utilizzare questo formato per configurare una chiave precondivisa WPA/WPA2/SAE:

  ASCII: una stringa di caratteri ASCII con una lunghezza compresa tra 8 e 63 caratteri (0-9, lettere minuscole e maiuscole dalla A alla Z e caratteri speciali)

  Esempio: GREG123567 @9ZX &W

I seguenti schemi di autenticazione utilizzano il server RADIUS per gestire le chiavi di autenticazione:

• WPA/WPA2/WPA3: utilizza le informazioni del server RADIUS per generare chiavi univoche per l'autenticazione. Poiché queste chiavi vengono generate sul server RADIUS centralizzato, WPA2/WPA3 offre maggiore sicurezza rispetto alle chiavi WPA precondivise archiviate sull'AP e sul telefono.

• Roaming veloce e sicuro: utilizza il server RADIUS e le informazioni di un server di dominio wireless (WDS) per gestire e autenticare le chiavi. Il WDS crea una cache di credenziali di sicurezza per i dispositivi client abilitati a FT per una riautenticazione rapida e sicura. Il telefono da tavolo Cisco 9861 e 9871 e il videotelefono Cisco 8875 supportano 802.11r (FT). Sia via etere che via DS sono supportati per consentire un roaming veloce e sicuro. Ma consigliamo vivamente di utilizzare il metodo 802.11r (FT) over air.

Con WPA/WPA2/WPA3, le chiavi di crittografia non vengono inserite sul telefono, ma vengono derivate automaticamente tra l'AP e il telefono. Ma il nome utente e la password EAP utilizzati per l'autenticazione devono essere inseriti su ogni telefono.

Per garantire la sicurezza del traffico vocale, il telefono supporta la crittografia TKIP e AES. Quando questi meccanismi vengono utilizzati per la crittografia, sia i pacchetti SIP di segnalazione che i pacchetti RTP (Voice Real-Time Transport Protocol) sono crittografati tra l'AP e il telefono.

TKIP

WPA utilizza la crittografia TKIP che presenta diversi miglioramenti rispetto al WEP. TKIP fornisce la crittografia a chiave per pacchetto e vettori di inizializzazione (IV) più lunghi che rafforzano la crittografia. Inoltre, un controllo di integrità dei messaggi (MIC) garantisce che i pacchetti crittografati non vengano alterati. TKIP elimina la prevedibilità del WEP che aiuta gli intrusi a decifrare la chiave WEP.

AES

Un metodo di crittografia utilizzato per l'autenticazione WPA2/WPA3. Questo standard nazionale per la crittografia utilizza un algoritmo simmetrico con la stessa chiave per la crittografia e la decrittografia. AES utilizza la crittografia Cipher Blocking Chain (CBC) di 128 bit, che supporta chiavi di dimensioni minime di 128 bit, 192 bit e 256 bit. Il telefono supporta una chiave di 256 bit.

Gli schemi di autenticazione e crittografia sono impostati all'interno della LAN wireless. Le VLAN sono configurate nella rete e negli AP e specificano diverse combinazioni di autenticazione e crittografia. Un SSID è associato a una VLAN e al particolare schema di autenticazione e crittografia. Affinché i dispositivi client wireless si autentichino correttamente, deve configurare gli stessi SSID con i relativi schemi di autenticazione e crittografia sugli AP e sul telefono.

Alcuni schemi di autenticazione richiedono tipi specifici di crittografia.

Gli schemi di autenticazione e crittografia nella tabella seguente mostrano le opzioni di configurazione di rete per il telefono che corrispondono alla configurazione AP.