Cisco IP 電話セキュリティ

電話ウェブページの手動設定による SCEP 証明書の登録に加えて、DHCP オプション 43 を使用して、DHCP サーバからパラメータを入力することもできます。 DHCP オプションの 43 は SCEP パラメーターで事前構成されており、後で電話で DHCP サーバからパラメーターを取得して、SCEP 証明書の登録を実行できます。

DHCP オプション 43 で SCEP パラメーターを設定して SCEP 証明書を登録するには、次の作業を行います。

1. SCEP 環境を準備します。

   SCEP 環境のセットアップについての情報は、SCEP サーバのドキュメントを参照してください。

2. DHCP オプション 43 (定義: 8.4 ベンダー固有情報、RFC 2132) を参照してください。

   サブオプション (10-15) は メソッド用に予約されています。

   電話ウェブページのパラメータ	サブオプション	タイプ（Type）	長さ (バイト)	必須
   FIPS モード	10	boolean	1	いいえ*
   サーバ（Server）	11	文字列	208 - 長さ (パスワードの再確認)	はい
   ルート CA フィンガープリント	12	バイナリ	20 または 32	はい
   チャレンジ パスワード	13	文字列	208 - 長さ (サーバ)	いいえ*
   [802.1X認証の有効化（Enable 802.1X Authentication）]	14	boolean	1	いいえ
   証明書の選択	15	符号なし 8 ビット	1	いいえ

   DHCP オプション 43 を使用する場合、メソッドの次の特性に注意してください。

   • サブオプション (10–15) はカスタムデバイス証明書 (CDC) 用に予約されています。
   • DHCP オプション 43 の最大長は 255 バイトです。
   • 最大の長さ サーバ + チャレンジ パスワード 208 バイト未満でなければなりません。
   • の値 FIPS モード オンボーディングのプロビジョニング構成と一致する必要があります。 そうしないと、電話はオンボーディング後に以前にインストールされた証明書の取得に失敗します。 具体的には、
     • FIPS モードが無効になっている環境に電話が登録される場合、パラメーターを構成する必要はありません。 FIPS モード DHCP オプション 43 で指定します。デフォルトでは、FIPS モードは無効になっています。
     • FIPS モードが有効な環境に電話が登録される場合、DHCP オプション 43 で FIPS モードを有効にする必要があります。次を参照してください。 FIPS モードを有効にする を参照してください。
   • オプション 43 のパスワードはクリアテキストです。

     チャレンジ パスワードが空の場合、電話は最初の登録と証明書の更新に MIC/SUDI を使用します。 チャレンジ パスワードが構成されている場合、それは最初の登録にのみ使用され、インストールされた証明書が証明書の更新に使用されます。

   • 802.1X 認証を有効にする および 証明書の選択 は有線ネットワークの電話にのみ使用されます。
   • DHCP オプション 60 (ベンダー クラス識別子) は端末モデルの識別に使用されます。

   次の表では、DHCP オプション 43 (サブオプション 10–15) の例を示します。

   サブオプション小数/16 進数	値の長さ (バイト) 10 進数/16 進数	値	16 進数値
   10/0a	1/01	1 (0: 無効; 1: 有効)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1 (0: いいえ; 1: はい)	01
   15/0f	1/01	1 (0: マニュファクチャリングインストール、1: カスタムインストール)	01

   パラメータ値の概要:

   • FIPS モード = 有効

   • サーバ = http://10.79.57.91

   • ルート CA フィンガープリント = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • チャレンジ パスワード = D233CCF9B9952A15

   • 802.1X 認証を有効にする = はい

   • 証明書の選択 = カスタムインストール

   最終的な 16 進値の構文は次のとおりです: {<suboption><length><value>}...

   上記のパラメータ値によると、最終的な 16 進値は以下の通りです。

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D550901f1pi1d

3. DHCP オプション 43 を DHCP サーバで設定します。
   この手順は、Cisco Network Register の DHCP option 43 構成の例を提供します。
   1. DHCP オプション定義セットを追加。

      ベンダーオプション文字列 は IP 電話のモデル名です。 有効な値は、DP-9841、DP-9851、DP-9861、DP-9871、または CP-8875 です。

   2. DHCP オプション 43 とサブオプションを DHCP オプション定義セットに追加します。

      例：

      

   3. オプション 43 を DHCP ポリシーに追加し、値を次のようにセットアップします。

      例：

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 14))

   4. 設定を確認します。 Wireshark を使用して、電話とサービスの間のネットワーク トラフィックのトレースをキャプチャできます。
4. 電話の工場出荷時設定へのリセットを実行します。

   電話がリセットされた後、パラメータ サーバ、 ルート CA 指紋、および チャレンジパスワード が自動的に入力されます。 これらのパラメータは、セクション SCEP Configuration 1 from 証明書 > カスタムに配置されています。 電話管理ウェブページで確認することができます。

   インストールされた証明書の詳細を確認するには、[ 既存の証明書 ] セクションで [ 表示 ] をクリックします。

   証明書のインストール状況を確認するには、[ 証明書 ] > [ ] [カスタム証明書の状況] の順に選択します。 ダウンロード状況 1 に最新の結果が表示されます。 証明書の登録中に問題が発生した場合、トラブルシューティングの目的で、ダウンロードの状況に問題の理由を表示できます。

   チャレンジ パスワード認証が失敗した場合、ユーザは電話スクリーン上でパスワードを入力するように指示されます。
5. (オプション) インストールされた証明書を電話から削除するには、[ 既存の証明書 ] セクションで [ 削除 ] をクリックします。
   ボタンをクリックすると、削除操作が確認なしですぐに開始されます。

デバイス証明書は、SCEP プロセスによって自動的に更新できます。

• 電話は、証明書が 15 日後に期限切れになるかどうかを 4 時間ごとに確認します。 その場合、電話は証明書の更新プロセスを自動的に開始します。
• チャレンジ パスワードが空の場合、電話は最初の登録と証明書の更新の両方で MIC/SUDI を使用します。 チャレンジ パスワードが設定されている場合、最初の登録にのみ使用され、既存/インストール済みの証明書が証明書の更新に使用されます。
• 電話は、新しい証明書を取得するまで、古いデバイス証明書を削除しません。
• デバイスの証明書または CA の有効期限が切れているために証明書の更新が失敗した場合、電話は最初の登録を自動的にトリガーします。 一方、チャレンジ パスワード認証が失敗すると、電話スクリーンにパスワード入力画面がポップアップ表示され、ユーザは電話でチャレンジ パスワードを入力するように求められます。

Cisco IP 電話 は 802.1X 認証をサポートします。

Cisco IP 電話 と Cisco Catalyst スイッチは、従来 Cisco Discovery Protocol（CDP）を使用して互いを識別し、VLAN 割り当てやインライン所要電力などのパラメータを決定します。 CDP では、ローカルに接続されたワークステーションは識別されません。 Cisco IP 電話は、EAPOL パススルー メカニズムを提供します。 このメカニズムを使用すると、Cisco IP 電話に接続されたワークステーションは、LAN スイッチにある 802.1X オーセンティケータに EAPOL メッセージを渡すことができます。 パススルー メカニズムにより、IP フォンはネットワークにアクセスする前にデータ エンドポイントを認証する際 LAN スイッチとして動作しません。

Cisco IP 電話はまた、プロキシ EAPOL ログオフ メカニズムも提供します。 ローカルに接続された PC が IP フォンから切断された場合でも、LAN スイッチと IP フォン間のリンクは維持されるので、LAN スイッチは物理リンクの障害を認識しません。 ネットワークの完全性が脅かされるのを避けるため、IP フォンはダウンストリーム PC の代わりに EAPOL ログオフ メッセージをスイッチに送ります。これは、LAN スイッチにダウンストリーム PC の認証エントリをクリアさせます。

802.1X 認証のサポートには、次のようなコンポーネントが必要です。

• Cisco IP 電話: 電話機は、ネットワークへのアクセス要求を開始します。 Cisco IP 電話には、802.1x サプリカントが含まれています。 このサプリカントを使用して、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。 電話機に含まれる 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST オプションと EAP-TLS オプションが使用されています。

• 認証サーバ: 認証サーバとスイッチの両方に、電話を認証する共有シークレットを設定する必要があります。

• スイッチ：スイッチは 802.1X をサポートする必要があるため、オーセンティケーターとして機能し、電話と認証サーバー間でメッセージを送受信します。 この交換が完了した後、スイッチはネットワークへの電話機のアクセスを許可または拒否します。

802.1X を設定するには、次の手順を実行する必要があります。

• 電話機で 802.1X 認証をイネーブルにする前に、他のコンポーネントを設定します。

• PC ポートの設定：802.1X 標準では VLAN が考慮されないため、特定のスイッチ ポートに対してデバイスを 1 つだけ認証することを推奨します。 ただし、一部のスイッチはマルチドメイン認証をサポートしています。 スイッチの設定により、PC を電話機の PC ポートに接続できるかどうかが決定されます。

  • 有効：複数ドメインの認証をサポートするスイッチを使用している場合、PC ポートを有効化し、そのポートに PC を接続できます。 この場合、スイッチと接続先 PC 間の認証情報の交換をモニタするために、Cisco IP 電話はプロキシ EAPOL ログオフをサポートします。

    Cisco Catalyst スイッチでの IEEE 802.1X サポートの詳細については、次の URL にある Cisco Catalyst スイッチのコンフィギュレーション ガイドを参照してください。

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 無効：スイッチが同一ポート上の複数の 802.1X 対応デバイスをサポートしていない場合、802.1X 認証を有効化するときに PC ポートを無効にする必要があります。 このポートを無効にしないで PC を接続しようとすると、スイッチは電話機と PC の両方に対してネットワーク アクセスを拒否します。

• ボイス VLAN の設定：802.1X 標準では VLAN が考慮されないため、この設定をスイッチのサポートに基づいて行うようにしてください。
  • 有効：複数ドメインの認証をサポートするスイッチを使用している場合は、ボイス VLAN を引き続き使用できます。
  • 無効：スイッチで複数ドメインの認証がサポートされていない場合は、ボイス VLAN を無効にし、ポートをネイティブ VLAN に割り当てることを検討してください。
• (Cisco Desk Phone 9800 シリーズのみ)

  Cisco Desk Phone 9800 シリーズの PID には、他の Cisco 電話のものとは異なるプレフィックスがあります。 電話が 802.1X 認証にパスするようにするには、次を設定します: 範囲・ユーザ名 パラメータに Cisco Desk Phone 9800 シリーズを追加します。

  たとえば、電話 9841 の PID は DP-9841 です。[ Radius ・ユーザ名 ] を、[ DP で開始] または DP を含むように設定できます。。 次の両方のセクションで設定できます。

  • ポリシー > 条件 > ライブラリ条件

  • ポリシー > ポリシーセット > 認証ポリシー > 認証ルール 1