コメントありがとうございます。

通信圏内にあるすべての WLAN デバイスは他の WLAN トラフィックをすべて受信できるため、WLAN 内の音声通信の保護は重要です。 侵入者が音声トラフィックを操作したり傍受したりしないようにするため、Cisco SAFE Security アーキテクチャは電話機をサポートしています。 ネットワークにおけるセキュリティに関する詳細は http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.htmlを参照してください。

Cisco Wireless IP 電話ソリューションは、電話がサポートする以下の認証方法を用いて、不正サインインや通信の侵害を防ぐワイヤレスネットワークセキュリティを提供します。

• オープン認証：オープン システムでは、任意のワイヤレス デバイスが認証を要求できます。 要求を受けた AP は、任意のリクエスタまたはユーザのリスト上にあるリクエスタだけに認証を与える場合があります。 無線機器とアクセスポイント（AP）間の通信は暗号化されていない可能性がある。

• 拡張可能な認証プロトコル - セキュアトンネリングによる柔軟な認証 (EAP-FAST) 認証このクライアント/サーバセキュリティアーキテクチャは、アクセスポイントと、Identity Services Engine (ISE) などの RADIUS サーバ間のトランスポートレベルセキュリティ (TLS) トンネル内で EAP トランザクションを暗号化します。

  TLS トンネルでは、クライアント（電話機）と RADIUS サーバの間の認証に Protected Access Credential（PAC）が使用されます。 サーバは Authority ID（AID）をクライアント（電話機）に送信します。それを受けてクライアントは適切な PAC を選択します。 クライアント（電話機）は PAC-Opaque を RADIUS サーバに返します。 サーバは、プライマリキーで PAC を復号します。 これで両方のエンドポイントに同じ PAC キーが含まれ、TLS トンネルが構築されます。 EAP-FAST では、自動 PAC プロビジョニングがサポートされていますが、RADIUS サーバ上で有効にする必要があります。

  ISE では、デフォルトでは PAC は 1 週間後に期限切れになります。 電話機に期限切れの PAC が存在する場合、電話機が新しい PAC を取得するまでの間は、RADIUS サーバでの認証に比較的長い時間がかかります。 PAC のプロビジョニング遅延を回避するには、ISE または RADIUS サーバで PAC の有効期限を 90 日以上に設定してください。

• 拡張認証プロトコル - トランスポート層セキュリティ（EAP-TLS）認証：EAP-TLS では、認証とネットワークアクセスにクライアント証明書が必要です。 無線 EAP-TLS の場合、クライアント証明書は MIC またはユーザインストール証明書である場合があります。

• Protected Extensible Authentication Protocol（PEAP）：クライアント（電話機）と RADIUS サーバ間の、シスコ独自のパスワードベースの相互認証方式です。 電話機は、無線ネットワークとの認証に PEAP を使用できます。 PEAP-MSCHAPV2 と PEAP-GTC の両方の認証メカニズムがサポートされます。

  Cisco ワイヤレス電話 9821 の PEAP-GTC 認証をサポートするには、Cisco ISE ポリシーセット内で必要なポリシーを設定してください。

• 事前共有キー(PSK):電話は ASCII および 16 進数(HEX)フォーマットをサポートしています。 WPA2/SAE 事前共有キーを設定する際は、これらのフォーマットを使用しなければなりません。

  ASCII:8〜63 文字(0-9、小文字 a-z、大文字 A-Z、特殊文字)を持つ ASCII 文字列。 例えば、 GREG123567@9ZX&W。

  HEX:長さ 64 桁(0-9、a-f、A-F)を持つ HEX 文字の文字列です。

次の認証方式では、RADIUS サーバを使用して認証キーを管理します。

• WPA2/WPA3: 一意の認証キーを生成するために RADIUS サーバの情報を使用します。 これらのキーは中央の RADIUS サーバで生成されるため、WPA2/WPA3 は、AP と電話に保存されている事前共有キーよりも高いセキュリティを提供します。

• 高速安全ローミング： RADIUS サーバとワイヤレス ドメイン サーバ（WDS）上の情報を使用してキーを管理および認証します。 WDS は、FT 対応クライアントデバイス向けにセキュリティ認証情報のキャッシュを作成し、高速かつ安全な再認証を実現します。

WPA2/WPA3 では、暗号化鍵は電話側に入力されるのではなく、AP と電話間で自動的に派生されます。 ただし認証で使用する EAP ユーザ名とパスワードは、各電話機に入力する必要があります。

無線リンク上の音声通信を保護するため、電話機は WPA2/WPA3 認証のための AES ベースの暗号化をサポートしています。 AES は NIST によって標準化された対称ブロック暗号です。 AES は固定された 128 ビットのブロックサイズを使用し、128 ビット、192 ビット、256 ビットの鍵サイズをサポートしています。 Wi-Fi ネットワークでは、AES は CCMP や GCMP などの暗号スイートで使用され、認証は設定された WLAN セキュリティモードに応じて PSK、SAE、または 802.1X/EAP によって別途提供されます。 対応する暗号スイートや鍵のサイズは、電話機のモデルや WLAN 構成によって異なります。

認証方式と暗号化方式は、ワイヤレス LAN 内で設定されます。 VLAN は、ネットワーク内および AP 上で設定され、認証と暗号化の異なる組み合わせを指定します。 SSID は、VLAN と VLAN の特定の認証および暗号化方式に関連付けられます。 無線クライアントデバイスが正常に認証されるためには、アクセスポイントと電話機の両方で、同じ SSID、認証方式、暗号化方式を設定する必要があります。

一部の認証方式では、特定のタイプの暗号化が必要です。

以下の表の認証および暗号化方式は、Cisco Wireless Phone 9821 のネットワーク構成オプションを示しており、これは AP 構成に対応しています。

Cisco ワイヤレス電話 9821 は有線ネットワーク用の 802.1X 認証をサポートしています。 これは通常、対応する USB からイーサネットアダプターを介して電話をデスクトップ充電器に接続する 自動プロビジョ ニングの際に使われます。

有線ネットワークでの 802.1X 認証のサポートには、以下のいくつかのコンポーネントが必要です。

• Cisco IP 電話: 電話機は、ネットワークへのアクセス要求を開始します。 Cisco IP Phones には、802.1x サプリカントが含まれています。 このサプリカントを使用して、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。 電話機に含まれる 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST オプションと EAP-TLS オプションが使用されています。

• 認証サーバ:認証サーバとスイッチの両方が RADIUS 共有シークレットで設定されている必要があります。

• スイッチ:スイッチは 802.1X をサポートしている必要があり、認証機能として機能し、電話と認証サーバ間で EAP メッセージを中継できます。 この交換が完了した後、スイッチはネットワークへの電話機のアクセスを許可または拒否します。

Cisco IP Phones と Cisco Catalyst スイッチは、従来 Cisco Discovery Protocol（CDP）を使用して互いを識別し、VLAN 割り当てやインライン所要電力などのパラメータを決定します。

802.1X を設定するには、次の手順を実行する必要があります。

• CDP/LLDP 音声 VLAN バイパスを設定してください。

• 電話の有線ネットワークで 802.1X 認証を有効にする前に、認証サーバとスイッチを設定してください。

• ボイス VLAN の設定：802.1X 標準では VLAN が考慮されないため、この設定をスイッチのサポートに基づいて行うようにしてください。

  • 有効:マルチドメイン認証をサポートするスイッチを使っている場合、音声 VLAN を使うように設定できます。
  • 無効：スイッチで複数ドメインの認証がサポートされていない場合は、ボイス VLAN を無効にし、ポートをネイティブ VLAN に割り当てることを検討してください。

• Cisco ワイヤレスフォン 9821 は、他の Cisco 電話とは異なるプリフィックスが PID に記載されています。 802.1X 認証に通すには、 Radius·ユーザ名 パラメータを Cisco ワイヤレスフォン 9821 を含めてください。

  例えば、Cisco Wireless Phone 9821 の PID は WP-9821 です。 Radius·User-Name to 以下両方のセクションで WP または Contains WP で始めます:

  • ポリシー > 条件 > 図書館の利用条件

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール 1