장치 인증서는 SCEP 프로세스를 통해 자동으로 새로 고칠 수 있습니다.

• 전화기는 인증서가 4시간마다 15일 내에 만료되는지 확인합니다. 이러한 경우 전화기는 인증서 갱신 프로세스를 자동으로 시작합니다.
• 챌린지 비밀번호가 비어 있는 경우 전화기는 초기 등록 및 인증서 갱신 모두에 MIC/SUDI를 사용합니다. 챌린지 비밀번호가 구성된 경우, 이는 초기 등록에만 사용되고, 기존/설치된 인증서는 인증서 갱신에 사용됩니다.
• 전화기는 새 장치 인증서를 검색할 때까지 이전 장치 인증서를 제거하지 않습니다.
• 장치 인증서 또는 CA가 만료되었기 때문에 인증서 갱신이 실패하는 경우 전화기는 초기 등록을 자동으로 트리거합니다. 한편, 챌린지 비밀번호 인증에 실패하는 경우 전화기 화면에 비밀번호 입력 화면이 나타나고 사용자에게 전화기에 챌린지 비밀번호를 입력하라는 메시지가 표시됩니다.

Cisco IP 전화기는 802.1X 인증을 지원합니다.

Cisco IP 전화기와 Cisco Catalyst 스위치는 전통적으로 CDP(Cisco Discovery Protocol)를 사용하여 서로를 식별하고 VLAN 할당 및 인라인 전원 요구 사항과 같은 매개 변수를 결정합니다. CDP는 로컬로 연결된 워크스테이션을 식별하지 않습니다. Cisco IP 전화기는 EAPOL 통과 메커니즘을 제공합니다. 이 메커니즘을 사용하면 Cisco IP 전화기에 연결된 워크스테이션이 LAN 스위치의 802.1X 인증자에게 EAPOL 메시지를 전달할 수 있습니다. 통과 메커니즘은 네트워크에 액세스하기 전에 데이터 엔드포인트를 인증하기 위해 IP 전화기가 LAN 스위치로 작동하지 않도록 합니다.

Cisco IP 전화기는 프록시 EAPOL 로그오프 메커니즘도 제공합니다. 로컬로 연결된 PC가 IP 전화기에서 연결을 끊으면 LAN 스위치와 IP 전화기 간의 링크가 유지되므로 LAN 스위치에 물리적 링크가 표시되지 않습니다. 네트워크 무결성이 손상되지 않게 하기 위해 IP 전화기는 다운스트림 PC를 대신하여 스위치에 EAPOL 로그오프 메시지를 전송하며, 이는 LAN 스위치를 트리거하여 다운스트림 PC에 대한 인증 항목을 지웁니다.

802.1X 인증을 지원하려면 다음과 같은 다양한 구성 요소가 필요합니다.

• Cisco IP Phone 전화기가 네트워크에 액세스하기 위한 요청을 시작합니다. Cisco IP 전화기에는 802.1X 요청자가 포함되어 있습니다. 이 간청을 사용하면 네트워크 관리자가 LAN 스위치 포트에 대한 IP 전화기의 연결을 제어할 수 있습니다. 전화기 802.1X 인증 요청자의 현재 릴리스는 네트워크 인증에 EAP-FAST 및 EAP-TLS 옵션을 사용합니다.

• 인증 서비스 인증 서버와 스위치는 전화기를 인증하는 공유 비밀로 구성되어야 합니다.

• 전환: 스위치는 인증자 역할을 하고 전화기와 인증 서버 간에 메시지를 전달할 수 있도록 802.1X를 지원해야 합니다. 교환이 완료되면 스위치는 네트워크에 대한 전화기 액세스를 부여하거나 거부합니다.

802.1X를 구성하려면 다음 작업을 수행해야 합니다.

• 전화기에서 802.1X 인증을 활성화하기 전에 다른 구성 요소를 구성합니다.

• PC 포트 구성: 802.1X 표준은 VLAN을 고려하지 않기 때문에 특정 스위치 포트에 대해 한 개의 장치만 인증하는 것이 좋습니다. 그러나 일부 스위치는 다중 도메인 인증을 지원합니다. 스위치 구성은 PC를 전화기의 PC 포트에 연결할 수 있는지 여부를 결정합니다.

  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용하고 있는 경우, PC 포트를 활성화하고 PC를 연결할 수 있습니다. 이 경우 Cisco IP 전화기는 스위치와 연결된 PC 간의 인증 교환을 모니터링하기 위해 프록시 EAPOL-로고를 지원합니다.

    Cisco Catalyst 스위치의 IEEE 802.1X 지원에 대한 자세한 내용은 다음 위치에서 Cisco Catalyst 스위치 구성 안내서를 참조하십시오.

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 비활성화됨: 스위치가 동일한 포트에서 여러 개의 802.1X 준수 장치를 지원하지 않는 경우, 802.1X 인증이 활성화되면 PC 포트를 비활성화해야 합니다. 이 포트를 비활성화하지 않은 다음 PC를 연결하려고 하면 스위치는 전화기와 PC 모두에 대한 네트워크 액세스를 거부합니다.

• 음성 VLAN 구성: 802.1X 표준은 VLAN을 고려하지 않기 때문에 스위치 지원에 따라 이 설정을 구성해야 합니다.
  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용하고 있는 경우, 계속 음성 VLAN을 사용할 수 있습니다.
  • 비활성화됨: 스위치에서 멀티도메인 인증을 지원하지 않는 경우, 음성 VLAN을 비활성화하고 포트를 네이티브 VLAN에 할당할 것을 고려하십시오.
• (Cisco Desk Phone 9800 시리즈 전용)

  Cisco Desk Phone 9800 시리즈에는 다른 Cisco 전화기의 PID와 다른 접두사가 있습니다. 전화기에서 802.1X 인증을 통과하도록 활성화하려면 Radius·User-Name 파라미터를 설정하여 Cisco Desk Phone 9800 시리즈를 포함합니다.

  예를 들어, 전화기 9841의 PID는 DP-9841입니다. Radius·User-Name을 DP로 시작 또는 DP 포함으로 설정할 수 있습니다. 다음 섹션 모두에서 설정할 수 있습니다.

  • 정책 > 조건 > 라이브러리 조건

  • 정책 > 정책 설정 > 인증 정책 > 인증 규칙 1

범위 내에 있는 모든 WLAN 장치는 다른 모든 WLAN 트래픽을 수신할 수 있으므로, WLAN에서 음성 통신을 보호하는 것이 중요합니다. 침입자가 음성 트래픽을 조작하거나 가로채지 않도록 Cisco SAFE Security 아키텍처는 전화기를 지원합니다. 네트워크의 보안에 대한 자세한 정보는 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html을 참조하십시오.

Cisco 무선 IP 텔레포니 솔루션은 전화기가 지원하는 다음 인증 방법을 사용하여 인증되지 않은 로그인 및 통신을 방지하는 무선 네트워크 보안을 제공합니다.

• 인증 없음 모든 무선 장치는 개방형 시스템에서 인증을 요청할 수 있습니다. 요청을 수신하는 AP는 모든 요청자에게 또는 사용자 목록에 있는 요청자에게만 인증을 부여할 수 있습니다. 무선 장치와 액세스 포인트(AP) 간의 통신은 암호화되지 않을 수 있습니다.

• EAP-FAST(Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling) 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 RADIUS 서버 간의 전송 수준 보안(TLS) 터널 내에서 EAP 트랜잭션을 암호화합니다(예: Identity Services Engine).

  TLS 터널은 클라이언트(전화기)와 RADIUS 서버 간의 인증을 위해 PAC(Protected Access Credentials)를 사용합니다. 서버는 AID(인증 ID)를 클라이언트(전화기)로 전송하고, 차례로 적절한 PAC를 선택합니다. 클라이언트(전화기)는 PAC-Opaque를 RADIUS 서버로 반환합니다. 서버는 기본 키로 PAC를 해독합니다. 이제 두 엔드포인트 모두 PAC 키를 포함하며 TLS 터널이 생성됩니다. EAP-FAST는 자동 PAC 프로비저닝을 지원하지만 RADIUS 서버에서 활성화해야 합니다.

  ISE에서는 기본적으로 PAC가 1주일 내에 만료됩니다. 전화기에 만료된 PAC가 있는 경우 전화기에 새 PAC를 가져오는 동안 RADIUS 서버와의 인증이 더 오래 걸립니다. PAC 프로비저닝 지연을 방지하려면 ISE 또는 RADIUS 서버에서 PAC 만료 기간을 90일 이상으로 설정합니다.

• 확장 가능한 인증 프로토콜-전송 계층 보안(EAP-TLS) 인증: EAP-TLS에는 인증 및 네트워크 액세스를 위한 클라이언트 인증서가 필요합니다. 무선 EAP-TLS의 경우 클라이언트 인증서는 MIC, LSC 또는 사용자가 설치한 인증서일 수 있습니다.

• PEAP(Protected Extensible Authentication Protocol): 클라이언트(전화기)와 RADIUS 서버 간의 Cisco 독점 비밀번호 기반 상호 인증 체계. 전화기는 무선 네트워크를 인증하기 위해 PEAP를 사용할 수 있습니다. PEAP-MSCHAPV2 및 PEAP-GTC 인증 방법이 모두 지원됩니다.

• 사전 공유 키(PSK): 전화기는 ASCII 형식을 지원합니다. WPA/WPA2/SAE 사전 공유 키를 설정할 때 이 형식을 사용해야 합니다.

  ASCII: 8~63자 길이의 ASCII 문자 문자열(0-9, 소문자 및 대문자 A-Z 및 특수 문자)

  예: GREG123567@9ZX&W