Cisco IP 전화기 보안

전화기 웹 페이지의 수동 구성에 의한 SCEP 인증서 등록 외에도 DHCP 옵션 43을 사용하여 DHCP 서버의 매개 변수를 채울 수도 있습니다. DHCP 옵션 43은 SCEP 매개 변수로 사전 구성됩니다. 나중에 전화기가 DHCP 서버에서 매개 변수를 가져와서 SCEP 인증서 등록을 수행할 수 있습니다.

DHCP 옵션 43에서 SCEP 매개 변수를 구성하여 SCEP 인증서를 등록하려면 다음을 수행합니다.

1. SCEP 환경을 준비합니다.

   SCEP 환경 설정에 대한 자세한 내용은 SCEP 서버 설명서를 참조하십시오.

2. DHCP 옵션 43(8.4 공급업체별 정보, RFC 2132 에 정의됨)을설정합니다.

   하위 옵션(10–15)은 메서드용으로 예약되어 있습니다.

   전화기 웹 페이지의 매개 변수	하위 옵션	유형	길이(바이트)	필수
   FIPS 모드	10	부울	1	아니요*
   서버	11	문자열	208 - 길이(챌린지 비밀번호)	예
   루트 CA 지문	12	바이너리	20 또는 32	예
   챌린지 비밀번호	13	문자열	208 - 길이(서버)	아니요*
   802.1X 인증 활성화	14	부울	1	아니요
   인증서 선택	15	부호 없는 8비트	1	아니요

   DHCP 옵션 43을 사용할 때 메서드의 다음과 같은 특성을 확인할 수 있습니다.

   • 하위 옵션(10–15)은 CDC(사용자 지정 장치 인증서)용으로 예약되어 있습니다.
   • DHCP 옵션 43의 최대 길이는 255바이트입니다.
   • 서버 + 챌린지 암호 의 최대 길이는 208바이트 미만이어야 합니다.
   • FIPS 모드 의 값은 온보딩 프로비저닝 구성과 일치해야 합니다. 그렇지 않으면 전화기가 온보딩 후 이전에 설치된 인증서를 검색할 수 없습니다. 특히
     • FIPS 모드가 비활성화된 환경에 전화기를 등록하는 경우 DHCP 옵션 43에서 FIPS 모드 매개 변수를 구성할 필요가 없습니다. 기본적으로 FIPS 모드는 비활성화되어 있습니다.
     • FIPS 모드가 활성화된 환경에 전화기를 등록할 경우 DHCP 옵션 43에서 FIPS 모드를 활성화해야 합니다. 자세한 내용은 FIPS 모드 사용을 참조하십시오 .
   • 옵션 43의 암호는 일반 텍스트로 되어 있습니다.

     인증 확인 암호가 비어 있으면 전화기는 초기 등록 및 인증서 갱신에 MIC/SUDI를 사용합니다. 챌린지 암호가 구성된 경우 초기 등록에만 사용되며 설치된 인증서는 인증서 갱신에 사용됩니다.

   • 802.1X 인증 활성화 및 인증서 선택은 유선 네트워크의 전화기에만 사용됩니다.
   • DHCP 옵션 60(공급업체 클래스 식별자)은 장치 모델을 식별하는 데 사용됩니다.

   다음 표는 DHCP 옵션 43(하위 옵션 10–15)의 예를 제공합니다.

   서브옵션 10진수/16진수	값 길이(바이트) 십진수/16진수	값	16진수 값
   10/0ᅡ	1/01	1(0: 사용 안 함, 1: 사용)	01
   11/0ᄂ	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0씨	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0일	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1(0: 아니오, 1: 예)	01
   15/0층	1/01	1(0: 제조 설치됨, 1: 사용자 지정 설치됨)	01

   매개 변수 값 요약:

   • FIPS 모드 = 사용

   • 서버 = http://10.79.57.91

   • 루트 CA 지문 = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • 챌린지 암호 = D233CCF9B9952A15

   • 802.1X 인증 활성화 = 예

   • 인증서 선택 = 사용자 지정 설치됨

   최종 16진수 값의 구문은 다음과 같습니다. {<suboption><length><value>}...

   위의 매개변수 값에 따라 최종 16진수 값은 다음과 같습니다.

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. DHCP 서버에서 DHCP 옵션 43을 구성합니다.
   이 단계에서는 Cisco 네트워크 레지스터의 DHCP 옵션 43 구성 예를 제공합니다.
   1. DHCP 옵션 정의 세트를 추가합니다.

      공급업체 옵션 문자열 은 IP 전화기의 모델 이름입니다. 유효한 값은 DP-9841, DP-9851, DP-9861, DP-9871 또는 CP-8875입니다.

   2. DHCP 옵션 43 및 하위 옵션을 DHCP 옵션 정의 세트에 추가합니다.

      예:

      

   3. DHCP 정책에 옵션 43을 추가하고 다음과 같이 값을 설정합니다.

      예:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. 설정을 확인합니다. Wireshark를 사용하여 전화기와 서비스 간의 네트워크 트래픽 추적을 캡처할 수 있습니다.
4. 전화기를 초기 재설정합니다.

   전화기가 재설정되면 매개변수 서버, 루트 CA 지문 및 챌린지 암호가 자동으로 채워집니다. 이러한 매개 변수는 전화기 관리 웹 페이지의 Certificate>Custom 에서 SCEP 구성 1 섹션에 나와 있습니다.

   설치된 인증서의 세부 정보를 확인하려면 [기존 인증서 ] 섹션에서 [보기 ]를 클릭합니다 .

   인증서 설치 상태를 확인하려면 인증서 > 사용자 지정 인증서 상태를 선택합니다. Download Status 1(다운로드 상태 1 )은 최신 결과를 나타냅니다. 인증서를 등록하는 동안 문제가 발생하는 경우 다운로드 상태에 문제 해결을 위한 문제 이유가 표시될 수 있습니다.

   인증 확인 암호 인증에 실패하면 전화기 화면에 암호를 입력하라는 메시지가 표시됩니다.
5. (선택 사항): 전화기에서 설치된 인증서를 제거하려면 기존 인증서 섹션에서 삭제 를 클릭합니다 .
   버튼을 클릭하면 확인 없이 제거 작업이 즉시 시작됩니다.

장치 인증서는 SCEP 프로세스에 의해 자동으로 새로 고쳐질 수 있습니다.

• 전화기는 4시간마다 인증서의 만료 여부를 15일 후 확인합니다. 확인이 되면, 전화기가 인증서 갱신 프로세스를 자동으로 시작합니다.
• 챌린지 암호가 비어 있으면 전화기는 초기 등록 및 인증서 갱신에 MIC/SUDI를 사용합니다. 챌린지 암호가 구성된 경우 초기 등록에만 사용되며 기존/설치된 인증서는 인증서 갱신에 사용됩니다.
• 전화기는 새 인증서를 검색할 때까지 이전 장치 인증서를 제거하지 않습니다.
• 장치 인증서 또는 CA가 만료되어 인증서 갱신에 실패할 경우 전화기가 자동으로 초기 등록을 트리거합니다. 그 동안 챌린지 암호 인증에 실패하면 전화기 화면에 비밀번호 입력 화면이 나타나고 사용자에게 전화기에 챌린지 비밀번호를 입력하라는 메시지가 표시됩니다.

Cisco IP 전화기는 802.1X 인증을 지원합니다.

Cisco IP 전화기와 Cisco Catalyst 스위치는 일반적으로 CDP(Cisco Discovery Protocol)를 사용해 서로를 식별하고 VLAN 할당 및 인라인 전력 요구 사항 같은 매개 변수를 결정합니다. CDP는 로컬로 연결된 워크스테이션은 식별하지 않습니다. Cisco IP 전화기는 EAPOL 패스스루 메커니즘을 제공합니다. 이 메커니즘을 통해 Cisco IP 전화기에 연결된 워크스테이션은 LAN 스위치의 802.1X 인증자에게 EAPOL 메시지를 전달합니다. 패스스루 메커니즘은 네트워크에 접속하기 전 데이터 엔드포인트를 인증하기 위해 IP 전화기가 LAN 스위치로 작동하지 않도록 합니다.

Cisco IP 전화기는 프록시 EAPOL 로그오프 메커니즘도 제공합니다. 로컬로 연결된 PC에서 IP 전화기와의 연결을 끊어도, LAN 스위치와 IP 전화기 사이의 링크는 유지되기 때문에 LAN 스위치는 물리적인 링크 문제를 발견하지 못합니다. 네트워크 무결성이 손상되지 않도록 IP 전화기는 다운스트림 PC를 대신해 스위치에 EAPOL 로그오프 메시지를 전송합니다. 그러면 LAN 스위치에서 다운스트림 PC에 대한 인증 항목을 지웁니다.

802.1X 인증을 지원하려면 다음과 같은 몇 가지 구성 요소가 필요합니다.

• Cisco IP 전화기: 전화기에서 네트워크 액세스 요청을 시작합니다. Cisco IP 전화기에는 802.1X 인증 요청자가 있습니다. 이 인증 요청자를 통해 네트워크 관리자는 IP 전화기의 LAN 스위치 포트 연결을 제어합니다. 현재 전화기 802.1X 인증 요청자 릴리스는 네트워크 인증에 EAP-FAST 및 EAP-TLS 옵션을 사용합니다.

• 인증 서버: 인증 서버와 스위치 모두 전화기를 인증하는 공유 비밀로 구성되어야 합니다.

• 스위치: 스위치는 802.1X를 지원해야 하므로, 스위치는 인증 요청자로 작동하여 전화기와 인증 서버 사이에 메시지를 전달할 수 있습니다. 교환이 끝나면 스위치는 네트워크에 대한 전화기 액세스를 허용 또는 거부합니다.

802.1X를 구성하려면 다음과 같은 작업을 수행해야 합니다.

• 전화기에서 802.1X 인증을 활성화하기 전에, 먼저 다른 구성 요소를 구성합니다.

• PC 포트 구성: 802.1X 표준은 VLAN을 고려하지 않기 때문에 특정 스위치 포트에서 단일 장치만 인증하도록 권장합니다. 그러나 일부 스위치는 멀티도메인 인증을 지원합니다. PC를 전화기의 PC 포트에 연결할 수 있는지 여부는 스위치 구성에서 결정합니다.

  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용 중이면, PC 포트를 활성화하고 여기에 PC를 연결할 수 있습니다. 이 경우 Cisco IP 전화기는 스위치와 연결된 PC 간의 인증 교환을 모니터링하기 위해 프록시 EAPOL 로그오프를 지원합니다.

    Cisco Catalyst 스위치의 IEEE 802.1X 지원에 관한 자세한 내용은 Cisco Catalyst 스위치 구성 설명서를 참조하십시오.

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 비활성화됨: 스위치가 같은 포트에서 여러 개의 802.1X 준수 장치를 지원하지 않는다면, 802.1X 인증이 활성화될 때 PC 포트를 비활성화해야 합니다. 이 포트를 비활성화지 않은 상태에서 나중에 PC와 연결하려고 하면, 스위치에서 전화기와 PC 모두에 대한 네트워크 액세스를 거부합니다.

• 음성 VLAN 구성: 802.1X 표준으로 VLAN이 설명되지 않으므로 스위치 지원을 기준으로 이 설정을 구성해야 합니다.
  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용 중이면, 계속 음성 VLAN을 사용할 수 있습니다.
  • 비활성화됨: 스위치에서 멀티도메인 인증을 지원하지 않으면, 음성 VLAN을 비활성화하고 기본 VLAN에 대한 포트 할당을 고려하십시오.
• (Cisco Desk Phone 9800 시리즈만 해당)

  Cisco Desk Phone 9800 시리즈의 PID에는 다른 Cisco 전화기의 접두사와 다른 접두사가 있습니다. 전화기가 802.1X 인증을 통과할 수 있도록 하려면 Radius· Cisco Desk Phone 9800 시리즈를 포함하는 User-Name 매개 변수입니다.

  예를 들어, 전화기 9841의 PID는 DP-9841입니다. 당신은 설정할 수 있습니다 반경· 사용자 이름은 DP 로 시작하거나 DP를 포함합니다. 다음 두 섹션에서 설정할 수 있습니다.

  • 정책 >조건 > 라이브러리 조건

  • 정책 > 정책 집합 > 권한 부여 정책 > 권한 부여 규칙 1