コメントありがとうございます。

シスコのIP電話は802.1X認証をサポートしています。

Cisco IP電話とCisco Catalystスイッチは従来、互いを識別し、VLAN割り当てやインライン電力要件などのパラメータを決定するためにCisco Discovery Protocol（CDP）を使用していました。 CDPはローカルに接続されたワークステーションを識別しません。 Cisco IP電話はEAPOLパススルーメカニズムを提供します。 このメカニズムにより、Cisco IP Phoneに接続されたワークステーションは、EAPOLメッセージをLANスイッチの802.1Xオーセンティケータに渡すことができます。 パススルーメカニズムは、IP電話がネットワークにアクセスする前にデータエンドポイントを認証するためのLANスイッチとして機能しないようにします。

Cisco IP電話には、プロキシEAPOLログオフメカニズムもあります。 ローカルに接続されたPCがIP電話から切断されても、LANスイッチとIP電話の間のリンクは維持されるため、LANスイッチは物理リンク障害を認識しません。 ネットワークの完全性が損なわれないように、IP電話はダウンストリームPCに代わってEAPOL-Logoffメッセージをスイッチに送信します。これにより、LANスイッチはダウンストリームPCの認証エントリをクリアします。

802.1X認証のサポートにはいくつかのコンポーネントが必要です。

• Cisco IP電話：電話はネットワークへのアクセスの要求を開始します。 シスコのIP電話には802.1Xサプリカントが含まれています。 このサプリカントにより、ネットワーク管理者はIP電話のLANスイッチポートへの接続を制御できます。 電話機の802.1Xサプリカントの現在のリリースでは、ネットワーク認証にEAP-FASTとEAP-TLSのオプションを使用しています。

• 認証サーバー：認証サーバーとスイッチの両方に、電話を認証する共有シークレットを設定する必要があります。

• スイッチ：スイッチは802.1Xをサポートしている必要があります。そうすれば、オーセンティケータとして機能し、電話と認証サーバーの間でメッセージを渡すことができます。 交換が完了すると、スイッチはネットワークへの電話アクセスを許可または拒否します。

802.1Xを設定するには 、次の操作を実行する必要があります。

• 電話で802.1X認証を有効にする前に、 他のコンポーネントを設定してください。

• PCポートの設定：802.1X規格はVLANを考慮していないため、特定のスイッチポートで認証されるのは1つのデバイスのみであることが推奨されています。 ただし、一部のスイッチはマルチドメイン認証をサポートしています。 スイッチの設定によって、PCを電話機のPCポートに接続できるかどうかが決まります。

  • 有効：マルチドメイン認証をサポートするスイッチを使用している場合は、PCポートを有効にしてPCを接続できます。 この場合、Cisco IP PhoneはプロキシEAPOL-Logoffをサポートして、スイッチと接続されているPC間の認証交換を監視します。

    Cisco Catalyst スイッチでの IEEE 802.1X サポートの詳細については、次の Cisco Catalyst スイッチの設定ガイドを参照してください。

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • 無効：スイッチが同じポート上の複数の802.1X対応デバイスをサポートしていない場合は、802.1X認証が有効になっているときにPCポートを無効にする必要があります。 このポートを無効にせずにPCを接続しようとすると、スイッチは電話とPCの両方へのネットワークアクセスを拒否します。

• 音声VLANの設定：802.1X標準ではVLANは考慮されていないので、スイッチのサポートに基づいてこの設定を行う必要があります。
  • 有効：マルチドメイン認証をサポートするスイッチを使用している場合は、引き続き音声VLANを使用できます。
  • 無効：スイッチがマルチドメイン認証をサポートしていない場合は、音声VLANを無効にして、ポートをネイティブVLANに割り当てることを検討してください。
• (シスコデスクフォン 9800シリーズのみ)

  シスコデスクフォン 9800シリーズのPIDのプレフィックスは、他のシスコ電話とは異なります。 電話機が802.1X認証を通過できるようにするには、Radius·User-NameパラメータにCiscoデスクフォン9800シリーズが含まれるように設定してください。

  たとえば、電話9841のPIDはDP-9841です。半径・ユーザー名をまたはに設定できます。Start with DPContains DP 次の両方のセクションで設定できます。

  • ポリシー > 条件 > 図書館利用規約

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール1

範囲内にあるすべてのWLANデバイスは他のすべてのWLANトラフィックを受信できるため、WLANでは音声通信を保護することが重要です。 侵入者が音声トラフィックを操作したり傍受したりしないように、Cisco SAFEセキュリティアーキテクチャは電話をサポートしています。 ネットワークのセキュリティの詳細については、http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .htmlを参照してください。

シスコワイヤレスIPテレフォニーソリューションは、電話がサポートする次の認証方法を使用して、不正なサインインや通信の侵害を防ぐワイヤレスネットワークセキュリティを提供します。

• オープン認証:どのワイヤレスデバイスでも、オープンシステムでの認証を要求できます。 リクエストを受信したAPは、任意の要求者に認証を与えることも、ユーザーのリストに記載されている要求者にのみ認証を与えることもできます。 ワイヤレスデバイスとアクセスポイント（AP）間の通信は暗号化されていない可能性があります。

• 拡張可能な認証プロトコル-セキュアトンネリング（EAP-FAST）認証による柔軟な認証：このクライアント/サーバーセキュリティアーキテクチャは、IDサービスエンジン（ISE）などのAPとRADIUSサーバー間のトランスポートレベルセキュリティ（TLS）トンネル内のEAPトランザクションを暗号化します。

  TLSトンネルは、クライアント（電話）とRADIUSサーバー間の認証に保護アクセス証明書（PAC）を使用します。 サーバーはオーソリティID（AID）をクライアント（電話）に送信し、クライアント（電話）は適切なPACを選択します。 クライアント（電話）は、PAC-OPEQUEをRADIUSサーバーに返します。 サーバーは主キーでPACを復号化します。 これで、両方のエンドポイントにPACキーが含まれ、TLSトンネルが作成されました。 EAP-FASTは自動PACプロビジョニングをサポートしていますが、RADIUSサーバーで有効にする必要があります。

  ISEでは、デフォルトで、PACは1週間で期限切れになります。 電話機のPACの有効期限が切れている場合、電話機が新しいPACを取得するまでの間、RADIUSサーバーでの認証に時間がかかります。 PACプロビジョニングの遅延を避けるには、ISEまたはRADIUSサーバーでPACの有効期限を90日以上に設定してください。

• 拡張認証プロトコル-トランスポート層セキュリティ（EAP-TLS）認証：EAP-TLSでは、認証とネットワークアクセスにクライアント証明書が必要です。 ワイヤレスEAP-TLSの場合、クライアント証明書はMIC、LSC、またはユーザーがインストールした証明書です。

• 保護された拡張認証プロトコル（PEAP）：クライアント（電話）とRADIUSサーバー間のシスコ独自のパスワードベースの相互認証方式。 電話はワイヤレスネットワークでの認証にPEAPを使用できます。 PEAP-MSCHAPV2とPEAP-GTCの両方の認証方法がサポートされています。

• 事前共有キー（PSK）：電話はASCII形式をサポートしています。 WPA/WPA2/SAE事前共有キーを設定するときは、次の形式を使用する必要があります。

  ASCII：長さ8～63文字のASCII文字列（0～9、小文字と大文字のA～Z、特殊文字）

  例:グレッグ123567 @9ZX &W

次の認証方式では、RADIUSサーバーを使用して認証キーを管理します。

• WPA/WPA2/WPA3：RADIUSサーバーの情報を使用して、認証用のユニークなキーを生成します。 これらのキーは集中型のRADIUSサーバーで生成されるため、WPA2/WPA3はAPと電話に保存されているWPA事前共有キーよりもセキュリティが高くなります。

• 高速で安全なローミング：RADIUSサーバーとワイヤレスドメインサーバー（WDS）の情報を使用して、キーを管理および認証します。 WDSは、FT対応のクライアントデバイスのセキュリティ認証情報のキャッシュを作成して、迅速かつ安全な再認証を行います。 シスコデスクフォン 9861と9871とシスコビデオフォン 8875は802.11r（FT）をサポートしています。 高速で安全なローミングを可能にするために、無線とDS経由の両方がサポートされています。 しかし、802.11r（FT）オーバーエア方式を利用することを強くお勧めします。

WPA/WPA2/WPA3では、暗号化キーは電話では入力されませんが、APと電話の間で自動的に生成されます。 ただし、認証に使用するEAPのユーザー名とパスワードは、各電話で入力する必要があります。

音声トラフィックの安全を確保するために、電話はTKIPとAESの暗号化をサポートしています。 これらのメカニズムを暗号化に使用すると、シグナリングSIPパケットと音声リアルタイム転送プロトコル（RTP）パケットの両方がAPと電話の間で暗号化されます。

TKIP

WPAはTKIP暗号化を使用しており、WEPに比べていくつか改善されています。 TKIPは、パケットごとのキー暗号化と、暗号化を強化するより長い初期化ベクトル（IV）を提供します。 さらに、メッセージ整合性チェック（MIC）は、暗号化されたパケットが変更されていないことを確認します。 TKIPは、侵入者がWEPキーを解読するのに役立つWEPの予測可能性を排除します。

AES

WPA2/WPA3認証に使用される暗号化方法です。 この暗号化に関する国家標準では、暗号化と復号化に同じ鍵を使用する対称アルゴリズムを使用しています。 AESは128ビットの暗号ブロックチェーン（CBC）暗号化を使用しており、最低でも128ビット、192ビット、256ビットのキーサイズをサポートしています。 電話は256ビットのキーサイズをサポートしています。

認証と暗号化の仕組みは、無線LAN内に設定されています。 VLANはネットワークとAPで設定され、認証と暗号化のさまざまな組み合わせを指定します。 SSIDはVLANと特定の認証および暗号化スキームに関連付けられます。 ワイヤレスクライアントデバイスを正常に認証するには、APと電話で同じSSIDを認証および暗号化スキームで設定する必要があります。

一部の認証方式では、特定の種類の暗号化が必要です。

次の表の認証および暗号化スキームは、AP構成に対応する電話のネットワーク構成オプションを示しています。