Grazie per il feedback.

Poiché tutti i dispositivi WLAN che si trovano nel raggio d'azione possono ricevere tutto il resto del traffico WLAN, la protezione delle comunicazioni vocali è fondamentale nelle WLAN. Per garantire che gli intrusi non manipolino né intercettino il traffico vocale, l'architettura Cisco SAFE Security supporta il telefono. Per ulteriori informazioni sulla sicurezza nelle reti, vedere http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La soluzione di telefonia IP wireless Cisco fornisce una sicurezza della rete wireless che impedisce accessi non autorizzati e comunicazioni compromesse utilizzando i seguenti metodi di autenticazione supportati dal telefono.

• Autenticazione aperta: Qualsiasi dispositivo wireless può richiedere l'autenticazione in un sistema aperto. L'AP che riceve la richiesta può concedere l'autenticazione a qualsiasi richiedente o solo ai richiedenti presenti in un elenco di utenti. La comunicazione tra il dispositivo wireless e l'Access Point (AP) potrebbe essere non crittografata.

• Extensible Authentication Protocol-Autenticazione flessibile tramite Secure Tunneling (EAP-FAST) Autenticazione: questa architettura di sicurezza client-server crittografa le transazioni EAP all'interno di un tunnel Transport Level Security (TLS) tra l'AP e il server RADIUS, come Identity Services Engine (ISE).

  Il tunnel TLS utilizza le credenziali di accesso protetto (PAC) per l'autenticazione tra il client (telefono) e il server RADIUS. Il server invia un Authority ID (AID) al cliente (telefono), che a sua volta seleziona il PAC appropriato. Il client (telefono) restituisce un PAC opaco al server RADIUS. Il server decrittografa il PAC con la chiave primaria. Entrambi gli endpoint ora contengono la chiave PAC e viene creato un tunnel TLS. EAP-FAST supporta il provisioning automatico del PAC, ma deve abilitarlo sul server RADIUS.

  In ISE, per impostazione predefinita, il PAC scade tra una settimana. Se il telefono ha un PAC scaduto, l'autenticazione con il server RADIUS richiede più tempo mentre il telefono riceve un nuovo PAC. Per evitare ritardi nell'approvvigionamento del PAC, imposta il periodo di scadenza del PAC su 90 giorni o più sul server ISE o RADIUS.

• Autenticazione Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS richiede un certificato client per l'autenticazione e l'accesso alla rete. Per l'EAP-TLS wireless, il certificato client può essere MIC o certificato installato dall'utente.

• Protected Extensible Authentication Protocol (PEAP): schema di autenticazione reciproca proprietario di Cisco basato su password tra il client (telefono) e un server RADIUS. Il telefono può utilizzare PEAP per l'autenticazione con la rete wireless. Sono supportati entrambi i metodi di autenticazione PEAP-MSCHAPV2 e PEAP-GTC.

  Per supportare l'autenticazione PEAP-GTC per Cisco Wireless Phone 9821, configura la politica necessaria all'interno del set di criteri Cisco ISE.

• Chiave precondivisa (PSK): il telefono supporta i formati ASCII ed esadecimale (HEX). Deve utilizzare questi formati quando configura una chiave precondivisa WPA2/SAE.

  ASCII: Una stringa di caratteri ASCII con una lunghezza da 8 a 63 caratteri (0-9, lettere minuscole dalla a z, maiuscole dalla A alla Z e caratteri speciali). Ad esempio, GREG123567@9ZX&W.

  HEX: Una stringa di caratteri esadecimali con 64 cifre esadecimali (0-9, a-f o A-F).

I seguenti schemi di autenticazione utilizzano il server RADIUS per gestire le chiavi di autenticazione:

• WPA2/WPA3: utilizza le informazioni del server RADIUS per generare chiavi univoche per l'autenticazione. Poiché queste chiavi vengono generate sul server RADIUS centralizzato, WPA2/WPA3 offre maggiore sicurezza rispetto alle chiavi WPA precondivise archiviate sull'AP e sul telefono.

• Roaming veloce e sicuro: utilizza il server RADIUS e le informazioni di un server di dominio wireless (WDS) per gestire e autenticare le chiavi. Il WDS crea una cache di credenziali di sicurezza per i dispositivi client abilitati a FT per una riautenticazione rapida e sicura.

Con WPA2/WPA3, le chiavi di crittografia non vengono inserite sul telefono, ma vengono derivate automaticamente tra l'AP e il telefono. Ma il nome utente e la password EAP utilizzati per l'autenticazione devono essere inseriti su ogni telefono.

Per proteggere il traffico vocale tramite il collegamento wireless, il telefono supporta la crittografia basata su AES per l'autenticazione WPA2/WPA3. AES è un cifrario a blocchi simmetrico standardizzato dal NIST. AES utilizza un blocco di dimensioni fisse di 128 bit e supporta dimensioni di chiave di 128 bit, 192 bit e 256 bit. Nelle reti Wi-Fi, AES viene utilizzato da suite di crittografia come CCMP o GCMP, mentre l'autenticazione viene fornita separatamente da PSK, SAE o 802.1X/EAP, a seconda della modalità di sicurezza WLAN configurata. La suite di crittografia supportata e le dimensioni della chiave dipendono dal modello di telefono e dalla configurazione WLAN.

Gli schemi di autenticazione e crittografia sono impostati all'interno della LAN wireless. Le VLAN sono configurate nella rete e negli AP e specificano diverse combinazioni di autenticazione e crittografia. Un SSID è associato a una VLAN e al particolare schema di autenticazione e crittografia. Affinché i dispositivi client wireless si autentichino correttamente, deve configurare gli stessi SSID con i relativi schemi di autenticazione e crittografia sugli AP e sul telefono.

Alcuni schemi di autenticazione richiedono tipi specifici di crittografia.

Gli schemi di autenticazione e crittografia nella tabella seguente mostrano le opzioni di configurazione di rete per Cisco Wireless Phone 9821 che corrispondono alla configurazione AP.

Cisco Wireless Phone 9821 supporta l'autenticazione 802.1X per le reti cablate. Viene in genere utilizzato durante il provisioning automatico quando il telefono è collegato al caricabatterie da tavolo tramite un adattatore da USB a Ethernet supportato.

Il supporto per l'autenticazione 802.1X su reti cablate richiede diversi componenti come segue:

• Telefono IP Cisco: Il telefono avvia la richiesta di accesso alla rete. I telefoni IP Cisco contengono un supporto 802.1X. Questo supplicante consente agli amministratori di rete di controllare la connettività dei telefoni IP alle porte dello switch LAN. L'attuale versione del telefono che supporta lo standard 802.1X utilizza le opzioni EAP-FAST ed EAP-TLS per l'autenticazione di rete.

• Server di autenticazione: Il server di autenticazione e lo switch devono essere entrambi configurati con un segreto condiviso RADIUS.

• Switch: Lo switch deve supportare 802.1X, quindi può fungere da autenticatore e inoltrare i messaggi EAP tra il telefono e il server di autenticazione. Una volta completato lo scambio, lo switch concede o nega al telefono l'accesso alla rete.

I telefoni IP Cisco e gli switch Cisco Catalyst utilizzano tradizionalmente Cisco Discovery Protocol (CDP) per identificarsi e determinare parametri come l'allocazione della VLAN e i requisiti di alimentazione in linea.

È necessario eseguire le seguenti azioni per configurare 802.1X.

• Configurare il bypass VLAN vocale CDP/LLDP.

• Configura il server di autenticazione e lo switch prima di abilitare l' autenticazione 802.1X per le reti cablate sul telefono.

• Configura la VLAN vocale: Poiché lo standard 802.1X non tiene conto delle VLAN, deve configurare questa impostazione in base al supporto dello switch.

  • Abilitato: se utilizza uno switch che supporta l'autenticazione multidominio, può configurarlo per utilizzare la VLAN vocale.
  • Disabilitato: se lo switch non supporta l'autenticazione multidominio, disabiliti la VLAN vocale e valuta la possibilità di assegnare la porta alla VLAN nativa.

• Il telefono wireless Cisco 9821 ha un prefisso diverso nel PID da quello degli altri telefoni Cisco. Per consentire al suo telefono di superare l'autenticazione 802.1X, imposti il parametro Radius·User-Name per includere il suo telefono wireless Cisco 9821.

  Ad esempio, il PID di Cisco Wireless Phone 9821 è WP-9821. Può impostare Radius·User-Name su Start with WPo Contains WPin entrambe le seguenti sezioni:

  • Politica > Condizioni > Condizioni della biblioteca

  • Politica > Set di politiche > Politica di autorizzazione > Regola di autorizzazione 1