デバイス証明書は、SCEP プロセスによって自動的に更新されます。

• 電話機は、証明書の有効期限が 4 時間ごとに 15 日以内に切れるかどうかを確認します。 その場合、電話機は証明書の更新プロセスを自動的に開始します。
• チャレンジパスワードが空の場合、電話機は初期登録と証明書の更新の両方に MIC/SUDI を使用します。 チャレンジパスワードが設定されている場合、初期登録のみに使用され、既存またはインストール済みの証明書が証明書の更新に使用されます。
• 電話機は、新しいデバイス証明書を取得するまで、古いデバイス証明書を削除しません。
• デバイスの証明書または CA の期限が切れているために証明書の更新に失敗した場合、電話機は最初の登録を自動的にトリガーします。 その間、チャレンジパスワード認証が失敗した場合、パスワード入力画面が電話画面にポップアップ表示され、ユーザは電話機でチャレンジパスワードの入力を求められます。

Cisco IP 電話は 802.1X 認証をサポートしています。

Cisco IP 電話と Cisco Catalyst スイッチは、伝統的に Cisco Discovery Protocol（CDP）を使用して互いを識別し、VLAN 割り当てやインライン電源要件などのパラメータを決定します。 CDP は、ローカルに接続されているワークステーションを特定しません。 Cisco IP 電話は、EAPOL パススルー メカニズムを提供します。 このメカニズムにより、Cisco IP 電話に接続されたワークステーションは、LAN スイッチの 802.1X オーセンティケータに EAPOL メッセージを渡すことができます。 パススルー メカニズムにより、IP 電話がネットワークにアクセスする前にデータ エンドポイントを認証するための LAN スイッチとして機能しません。

Cisco IP 電話は、プロキシ EAPOL ログオフ メカニズムも提供します。 ローカルに接続された PC が IP フォンから切断された場合、LAN スイッチと IP フォン間のリンクが維持されているため、LAN スイッチは物理的なリンクが失敗しません。 ネットワークの整合性が損なわれないようにするため、IP 電話はダウンストリーム PC の代わりに EAPOL ログオフ メッセージをスイッチに送信します。これにより、LAN スイッチがダウンストリーム PC の認証エントリを消去します。

802.1X 認証のサポートには、いくつかのコンポーネントが必要です。

• Cisco IP Phone 電話機は、ネットワークへのアクセス要求を開始します。 Cisco IP 電話には、802.1X サプリカントが含まれています。 このサプリカントを使用すると、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。 電話機 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST および EAP-TLS オプションを使用します。

• 認証サービス 認証サーバとスイッチの両方が電話機を認証する共有秘密で設定されている必要があります。

• 切り替える。 スイッチは、オーセンティケータとして機能し、電話機と認証サーバの間でメッセージを渡すことができるように、802.1X をサポートしている必要があります。 交換が完了すると、スイッチは電話機のネットワークへのアクセスを許可または拒否します。

802.1X を設定するには、次のアクションを実行する必要があります。

• 電話機で 802.1X 認証を有効にする前に、他のコンポーネントを設定します。

• PC ポートの設定: 802.1X 標準では VLAN は考慮しないため、特定のスイッチ ポートに対して 1 つのデバイスだけを認証することを推奨します。 ただし、一部のスイッチはマルチドメイン認証をサポートしています。 スイッチ設定は、PC を電話機の PC ポートに接続できるかどうかを決定します。

  • 有効: マルチドメイン認証をサポートするスイッチを使用している場合、PC ポートを有効にして PC を接続できます。 この場合、Cisco IP 電話は、スイッチと接続された PC 間の認証交換を監視するプロキシ EAPOL-Logoff をサポートします。

    Cisco Catalyst スイッチでの IEEE 802.1X サポートの詳細については、次の場所にある Cisco Catalyst スイッチ設定ガイドを参照してください。

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 無効: スイッチが同じポート上の複数の 802.1X 準拠デバイスをサポートしていない場合、802.1X 認証が有効になっているときに PC ポートを無効にする必要があります。 このポートを無効にしてから PC を接続しようとすると、スイッチは電話機と PC の両方へのネットワーク アクセスを拒否します。

• 音声 VLAN の設定: 802.1X 標準では VLAN が考慮されていないため、この設定はスイッチ サポートに基づいて設定する必要があります。
  • 有効: マルチドメイン認証をサポートするスイッチを使用している場合は、音声の VLAN を引き続き使用できます。
  • 無効: スイッチがマルチドメイン認証をサポートしていない場合は、音声 VLAN を無効にし、ポートをネイティブ VLAN に割り当てることを検討してください。
• (Cisco Desk Phone 9800 シリーズのみ)

  Cisco Desk Phone 9800 シリーズには、他の Cisco 電話の PID と異なるプレフィックスがあります。 電話機が 802.1X 認証をパスできるようにするには、Radius·User-Name パラメータを設定して、Cisco Desk Phone 9800 シリーズを含めます。

  たとえば、電話 9841 の PID は DP-9841 です。Radius·User-Name を DP で開始する または DP を含む に設定できます。 次の両方のセクションで設定できます。

  • ポリシー > 条件 > ライブラリ条件

  • ポリシー > ポリシーセット > 認証ポリシー > 認証ルール 1

範囲内にあるすべての WLAN デバイスは、他の WLAN トラフィックをすべて受信できるため、WLAN では音声通信のセキュリティが重要です。 侵入者が音声トラフィックを操作または傍受しないようにするために、Cisco SAFE Security アーキテクチャは電話機をサポートします。 ネットワークのセキュリティの詳細については、http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html を参照してください。

Cisco ワイヤレス IP テレフォニー ソリューションは、電話機がサポートする次の認証方法を使用して、不正なサインインと通信を妨げるワイヤレス ネットワーク セキュリティを提供します。

• 認証なし 任意のワイヤレス デバイスは、オープン システムで認証を要求できます。 リクエストを受信する AP は、任意のリクエスト者に認証を付与するか、またはユーザのリストで見つかったリクエスト者にのみ付与できます。 ワイヤレス デバイスと Access Point (AP) 間の通信は暗号化されませんでした。

• 拡張認証プロトコル - セキュア トンネリング (EAP-FAST) 認証による柔軟な認証: このクライアント サーバ セキュリティ アーキテクチャは、AP と Identity Services Engine（ISE）などの RADIUS サーバ間のトランスポート レベル セキュリティ（TLS）トンネル内の EAP トランザクションを暗号化します。

  TLS トンネルは、クライアント（電話機）と RADIUS サーバ間の認証に、保護されたアクセス クレデンシャル（PAC）を使用します。 サーバはクライアント（電話機）に Authority ID（AID）を送信し、その後適切な PAC を選択します。 クライアント（電話機）は、PAC-Opaque を RADIUS サーバに返します。 サーバはプライマリキーで PAC を復号します。 両方のエンドポイントに PAC キーが含まれるようになり、TLS トンネルが作成されます。 EAP-FAST は自動 PAC プロビジョニングをサポートしますが、RADIUS サーバで有効にする必要があります。

  ISE では、デフォルトで PAC は 1 週間で期限切れになります。 電話機に期限切れの PAC がある場合、電話機が新しい PAC を取得する間、RADIUS サーバでの認証に時間がかかります。 PAC プロビジョニングの遅延を回避するには、ISE サーバまたは RADIUS サーバで PAC 有効期限を 90 日以上に設定します。

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) 認証: EAP-TLS では、認証とネットワーク アクセスのためのクライアント証明書が必要です。 ワイヤレス EAP-TLS の場合、クライアント証明書は MIC、LSC、またはユーザがインストールされた証明書になります。

• Protected Extensible Authentication Protocol (PEAP): クライアント（電話）と RADIUS サーバ間のシスコ独自のパスワードベースの相互認証スキーム。 電話機は、ワイヤレス ネットワークでの認証に PEAP を使用できます。 PEAP-MSCHAPV2 と PEAP-GTC の両方の認証方式がサポートされています。

• 事前共有キー (PSK): 電話機は ASCII 形式をサポートします。 WPA/WPA2/SAE 事前共有キーを設定する場合は、次の形式を使用する必要があります。

  ASCII: 長さ 8 ～ 63 文字の ASCII 文字列 (0 ～ 9、小文字 A ～ Z、特殊文字)

  例: GREG123567@9ZX&W