コメントありがとうございます。

範囲内にあるすべてのWLANデバイスは他のすべてのWLANトラフィックを受信できるため、WLANでは音声通信を保護することが重要です。 侵入者が音声トラフィックを操作したり傍受したりしないように、Cisco SAFEセキュリティアーキテクチャは電話をサポートしています。 ネットワークのセキュリティの詳細については、http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .htmlを参照してください。

シスコワイヤレスIPテレフォニーソリューションは、 電話がサポートする次の認証方法を使用して、 不正なサインインや通信の侵害を防ぐワイヤレスネットワークセキュリティを提供します。

• オープン認証:どのワイヤレスデバイスでも、オープンシステムでの認証を要求できます。 リクエストを受信したAPは、任意の要求者に認証を与えることも、ユーザーのリストに記載されている要求者にのみ認証を与えることもできます。 ワイヤレスデバイスとアクセスポイント（AP）間の通信は暗号化されていない可能性があります。

• 拡張可能な認証プロトコル-セキュアトンネリング（EAP-FAST）認証による柔軟な認証：このクライアント/サーバーセキュリティアーキテクチャは、IDサービスエンジン（ISE）などのAPとRADIUSサーバー間のトランスポートレベルセキュリティ（TLS）トンネル内のEAPトランザクションを暗号化します。

  TLSトンネルは、クライアント（電話）とRADIUSサーバー間の認証に保護アクセス証明書（PAC）を使用します。 サーバーはオーソリティID（AID）をクライアント（電話）に送信し、クライアント（電話）は適切なPACを選択します。 クライアント（電話）は、PAC-OPEQUEをRADIUSサーバーに返します。 サーバーは主キーでPACを復号化します。 これで、両方のエンドポイントにPACキーが含まれ、TLSトンネルが作成されました。 EAP-FASTは自動PACプロビジョニングをサポートしていますが、RADIUSサーバーで有効にする必要があります。

  ISEでは、デフォルトで、PACは1週間で期限切れになります。 電話機のPACの有効期限が切れている場合、電話機が新しいPACを取得するまでの間、RADIUSサーバーでの認証に時間がかかります。 PACプロビジョニングの遅延を避けるには、ISEまたはRADIUSサーバーでPACの有効期限を90日以上に設定してください。

• 拡張認証プロトコル-トランスポート層セキュリティ（EAP-TLS）認証：EAP-TLSでは、認証とネットワークアクセスにクライアント証明書が必要です。 ワイヤレスEAP-TLSの場合、クライアント証明書はMICでもユーザーがインストールした証明書でもかまいません。

• 保護された拡張認証プロトコル（PEAP）：クライアント（電話）とRADIUSサーバー間のシスコ独自のパスワードベースの相互認証方式。 電話はワイヤレスネットワークでの認証にPEAPを使用できます。 PEAP-MSCHAPV2とPEAP-GTCの両方の認証方法がサポートされています。

  シスコワイヤレス電話9821のPEAP-GTC認証をサポートするには、Cisco ISEポリシーセット内で必要なポリシーを設定してください。

• 事前共有キー（PSK）：電話はASCII形式と16進数（HEX）形式をサポートしています。 WPA2/SAE事前共有鍵を設定するときは、これらの形式を使用する必要があります。

  ASCII: 長さ8～63文字のASCII文字列 (0～9、 小文字のa～z、大文字のA～Z、特殊文字)。 例えば、 GREG123567@9ZX&W。

  16進数：長さが64桁の16進文字列（0-9、a-f、またはA-F）。

次の認証方式では、RADIUSサーバーを使用して認証キーを管理します。

• WPA2/WPA3：RADIUSサーバーの情報を使用して、認証用の固有のキーを生成します。 これらのキーは集中型のRADIUSサーバーで生成されるため、WPA2/WPA3はAPと電話に保存されているWPA事前共有キーよりもセキュリティが高くなります。

• 高速で安全なローミング：RADIUSサーバーとワイヤレスドメインサーバー（WDS）の情報を使用して、キーを管理および認証します。 WDSは、FT対応のクライアントデバイスのセキュリティ認証情報のキャッシュを作成して、迅速かつ安全な再認証を行います。

WPA2/WPA3では、暗号化キーは電話では入力されませんが、 APと電話の間で自動的に生成されます。 ただし、認証に使用するEAPのユーザー名とパスワードは、各電話で入力する必要があります。

ワイヤレスリンクを介した音声トラフィックを保護するために、 電話はWPA2/WPA3認証のAESベースの暗号化をサポートしています。 AESはNISTによって標準化された対称ブロック暗号です。 AESは固定128ビットのブロックサイズを使用し、128ビット、192ビット、 256ビットのキーサイズをサポートします。 Wi-Fiネットワークでは、AESはCCMPやGCMPなどの暗号スイートで使用され、 認証は設定されたWLANセキュリティモードに応じて、PSK、SAE、または802.1X/EAPによって個別に提供されます。 サポートされる暗号スイートとキーサイズは、 電話のモデルとWLAN構成によって異なります。

認証と暗号化の仕組みは、無線LAN内に設定されています。 VLANはネットワークとAPで設定され、認証と暗号化のさまざまな組み合わせを指定します。 SSIDはVLANと特定の認証および暗号化スキームに関連付けられます。 ワイヤレスクライアントデバイスを正常に認証するには、APと電話で同じSSIDを認証および暗号化スキームで設定する必要があります。

一部の認証方式では、特定の種類の暗号化が必要です。

次の表の認証および暗号化スキームは、 AP構成に対応するCiscoワイヤレス電話9821のネットワーク構成オプションを示しています。

シスコワイヤレス電話9821は、有線ネットワークの802.1X認証をサポートしています。 これは通常、 サポートされているUSB-イーサネットアダプターを介して電話がデスクトップチャージャーに接続されている場合の自動プロビジョニング時に使用されます。

有線ネットワークでの802.1X認証のサポートには、 次のようないくつかのコンポーネントが必要です。

• Cisco IP電話：電話はネットワークへのアクセスの要求を開始します。 シスコのIP電話には802.1Xサプリカントが含まれています。 このサプリカントにより、ネットワーク管理者はIP電話のLANスイッチポートへの接続を制御できます。 電話機の802.1Xサプリカントの現在のリリースでは、ネットワーク認証にEAP-FASTとEAP-TLSのオプションを使用しています。

• 認証サーバー： 認証サーバーとスイッチの両方にRADIUS共有シークレットを設定する必要があります。

• スイッチ：スイッチは802.1Xをサポートしている必要があります。そうすれば、オーセンティケータとして機能し、 電話と認証サーバー間でEAPメッセージを中継できます。 交換が完了すると、スイッチはネットワークへの電話アクセスを許可または拒否します。

Cisco IP電話とCisco Catalystスイッチは従来、互いを識別し、VLAN割り当てやインライン電力要件などのパラメータを決定するためにCisco Discovery Protocol（CDP）を使用していました。

802.1Xを設定するには 、次の操作を実行する必要があります。

• CDP/LLDPの音声VLANバイパスを設定してください。

• 電話で有線ネットワークの802.1X認証を有効にする前に、 認証サーバーとスイッチを設定してください。

• 音声VLANの設定：802.1X標準ではVLANは考慮されていないので、スイッチのサポートに基づいてこの設定を行う必要があります。

  • 有効： マルチドメイン認証をサポートするスイッチを使用している場合は、音声VLANを使用するように設定できます。
  • 無効：スイッチがマルチドメイン認証をサポートしていない場合は、音声VLANを無効にして、ポートをネイティブVLANに割り当てることを検討してください。

• シスコワイヤレス電話9821のPIDのプレフィックスは、他のシスコ電話のプレフィックスとは異なります。 電話機が802.1X認証を通過できるようにするには、 Radius·User-NameパラメータにCiscoワイヤレス電話9821が含まれるように設定してください。

  たとえば、シスコワイヤレス電話9821のPIDはWP-9821です。 Radius·User-Nameは、次のセクションのどちらでも、Start with WPContains WPまたは両方に設定できます。

  • ポリシー > 条件 > 図書館利用規約

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール1