피드백을 보내 주셔서 감사합니다.

시스코 IP 전화는 802.1X 인증을 지원해요.

시스코 IP 전화하고 Cisco Catalyst 스위치는 전통적으로 서로를 식별하고 VLAN 할당과 인라인 전원 요구 사항 같은 파라미터를 결정하는 데 Cisco Discovery Protocol (CDP) 를 사용해요. CDP는 로컬에 연결된 워크스테이션을 식별하지 않아요. 시스코 IP 전화는 EAPOL 패스스루 메커니즘을 제공해요. 이 메커니즘을 통해 Cisco IP Phone에 연결된 워크스테이션이 LAN 스위치의 802.1X 인증기로 EAPOL 메시지를 전달할 수 있어요. 패스스루 메커니즘은 IP 전화가 네트워크에 액세스하기 전에 데이터 엔드포인트를 인증하는 LAN 스위치 역할을 하지 않도록 해줘요.

시스코 IP 전화는 프록시 EAPOL 로그오프 메커니즘도 제공해요. 로컬로 연결된 PC와 IP 전화의 연결이 끊어지면 LAN 스위치는 물리적 연결 장애를 보지 못해요. LAN 스위치와 IP 전화 사이의 링크가 유지되기 때문이죠. 네트워크 무결성 훼손을 방지하기 위해 IP 전화가 다운스트림 PC를 대신하여 스위치에 EAPOL-Logoff 메시지를 보냅니다. 그러면 LAN 스위치가 다운스트림 PC의 인증 항목을 지우도록 트리거해요.

802.1X 인증 지원에는 몇 가지 구성 요소가 필요해요.

• 시스코 IP 전화: 전화기가 네트워크 액세스 요청을 시작해요. 시스코 IP 전화에는 802.1X 서플라이컨트가 들어있어요. 이 요청자를 사용하여 네트워크 관리자가 IP 전화와 LAN 스위치 포트 연결을 제어할 수 있어요. 전화 802.1X 신청자의 현재 릴리스는 네트워크 인증에 EAP-FAST와 EAP-TLS 옵션을 사용해요.

• 인증 서버: 인증 서버와 스위치 모두 전화를 인증하는 공유 암호로 구성해야 해요.

• 스위치: 스위치가 802.1X를 지원해야 인증자 역할을 하고 전화와 인증 서버 간에 메시지를 전달할 수 있어요. 교환 완료 후 스위치가 전화기의 네트워크 액세스를 허용하거나 거부해요.

802.1X를 구성하려면 다음 작업을 수행해야 해요.

• 전화기에서 802.1X 인증을 활성화하기 전에 다른 구성 요소를 구성하세요.

• PC 포트 구성: 802.1X 표준은 VLAN을 고려하지 않으므로 특정 스위치 포트에 대해 단일 장치만 인증하도록 권장해요. 하지만 일부 스위치는 멀티도메인 인증을 지원해요. 스위치 구성에 따라 PC를 전화기의 PC 포트에 연결할 수 있는지 여부가 결정돼요.

  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용하는 경우 PC 포트를 활성화하고 PC를 연결할 수 있어요. 이 경우 시스코 IP 폰은 스위치와 연결된 PC 간의 인증 교환을 모니터링하기 위해 프록시 EAPOL-로그오프를 지원해요.

    Cisco Catalyst 스위치의 IEEE 802.1X 지원에 대한 자세한 내용은 다음 주소의 Cisco Catalyst 스위치 구성 가이드를 참조하세요.

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • 비활성화됨: 스위치가 같은 포트에서 802.1X 호환 장치 여러 개를 지원하지 않으면 802.1X 인증이 활성화될 때 PC 포트를 비활성화해야 해요. 이 포트를 비활성화하지 않고 PC를 연결하려고 하면 스위치가 전화기와 PC 모두에 대한 네트워크 액세스를 거부해요.

• 음성 VLAN 구성: 802.1X 표준은 VLAN을 고려하지 않기 때문에 스위치 지원을 기반으로 이 설정을 구성해야 해요.
  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용하는 경우 음성 VLAN을 계속 사용할 수 있어요.
  • 비활성화됨: 스위치가 멀티도메인 인증을 지원하지 않으면 음성 VLAN을 비활성화하고 네이티브 VLAN에 포트를 할당하는 것을 고려해 보세요.
• (시스코 데스크 폰 9800 시리즈에만 해당)

  시스코 데스크폰 9800 시리즈의 PID 접두사가 다른 시스코 폰의 접두사와 달라요. 휴대폰이 802.1X 인증을 통과할 수 있게 하려면 RADIUS·User-Name 파라미터에 Cisco 데스크 폰 9800 시리즈를 포함하도록 설정하세요.

  예를 들어, 전화 9841의 PID는 DP-9841 이에요. 반경·사용자 이름을 또는 로 설정할 수 있어요. Start with DPContains DP 다음 두 섹션에서 설정할 수 있어요.

  • 정책 > 조건 > 도서관 조건

  • 정책 > 정책 세트 > 권한 부여 정책 > 권한 부여 규칙 1

범위 내에 있는 모든 WLAN 장치가 다른 모든 WLAN 트래픽을 수신할 수 있기 때문에 WLAN에서는 음성 통신 보안이 중요해요. 침입자가 음성 트래픽을 조작하거나 가로채지 못하게 하기 위해 Cisco SAFE Security 아키텍처가 전화를 지원해요. 네트워크 보안에 대한 자세한 내용은 http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html을 참조하세요.

Cisco 무선 IP 텔레포니 솔루션은 전화기가 지원하는 다음 인증 방법을 사용하여 무단 로그인과 통신 손상을 방지하는 무선 네트워크 보안을 제공해요.

• 공개 인증: 모든 무선 장치가 개방형 시스템에서 인증을 요청할 수 있어요. 요청을 받는 AP는 모든 요청자에게 인증을 부여하거나 사용자 목록에 있는 요청자에게만 인증을 부여할 수 있어요. 무선 장치와 액세스 포인트 (AP) 간의 통신은 암호화되지 않을 수 있어요.

• 확장 가능한 인증 프로토콜-보안 터널링 (EAP-FAST) 인증을 통한 유연한 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 RADIUS 서버 사이의 전송 수준 보안 (TLS) 터널 내에서 ID 서비스 엔진 (ISE) 같은 EAP 거래를 암호화해요.

  TLS 터널은 클라이언트 (전화) 와 RADIUS 서버 간의 인증에 보호 액세스 자격 증명 (PAC) 을 사용해요. 서버가 클라이언트 (전화) 에 기관 ID (AID) 를 보내고, 클라이언트는 적절한 PAC를 선택해요. 클라이언트 (전화) 가 PAC-불투명 신호를 RADIUS 서버에 돌려줘요. 서버가 기본 키로 PAC 암호를 해독해요. 이제 양쪽 엔드포인트에 PAC 키가 포함되고 TLS 터널이 생성됐어요. EAP-FAST는 자동 PAC 프로비저닝을 지원하지만 RADIUS 서버에서 활성화해야 해요.

  ISE에서는 기본적으로 PAC가 일주일 후에 만료돼요. 전화의 PAC가 만료된 경우, 전화가 새 PAC를 받는 동안 RADIUS 서버 인증이 더 오래 걸려요. PAC 프로비저닝 지연을 피하려면 ISE 또는 RADIUS 서버에서 PAC 만료 기간을 90일 이상으로 설정하세요.

• 확장 가능한 인증 프로토콜-전송 계층 보안 (EAP-TLS) 인증: EAP-TLS는 인증 및 네트워크 액세스를 위한 클라이언트 인증서가 필요해요. 무선 EAP-TLS의 경우 클라이언트 인증서는 MIC, LSC 또는 사용자 설치 인증서일 수 있어요.

• 보호된 확장 인증 프로토콜 (PEAP): 클라이언트 (전화) 와 RADIUS 서버 간의 시스코 독점 암호 기반 상호 인증 체계예요. 전화는 무선 네트워크 인증에 PEAP를 사용할 수 있어요. PEAP-MSCHAPV2 인증 방법과 PEAP-GTC 인증 방법 모두 지원돼요.

• 사전 공유 키 (PSK): 전화기가 ASCII 형식을 지원해요. WPA/WPA2/SAE 사전 공유 키를 설정할 때 이 형식을 사용해야 해요.

  ASCII: 8~63자 길이의 아스키 문자열 (0-9, 소문자와 대문자 A-Z, 특수 문자)

  예: GREG123567 @9ZX &W

다음 인증 체계는 RADIUS 서버를 사용하여 인증 키를 관리해요.

• WPA/WPA2/WPA3: RADIUS 서버 정보를 사용하여 인증을 위한 고유 키를 생성해요. 이러한 키가 중앙 RADIUS 서버에서 생성되기 때문에 WPA2/WPA3는 AP와 전화에 저장된 WPA 사전 공유 키보다 더 많은 보안을 제공해요.

• 빠른 보안 로밍: RADIUS 서버와 무선 도메인 서버 (WDS) 정보를 사용하여 키를 관리하고 인증해요. WDS는 빠르고 안전한 재인증을 위해 FT 지원 클라이언트 장치의 보안 자격 증명 캐시를 생성해요. 시스코 데스크 폰 9861, 9871이랑 시스코 비디오 폰 8875는 802.11r (FT) 를 지원해요. 빠른 보안 로밍이 가능하도록 무선과 DS 모두 지원돼요. 하지만 802.11r (FT) 오버에어 방식을 사용하는 것이 좋습니다.

WPA/WPA2/WPA3에서는 암호화 키가 전화에 입력되지 않지만 AP와 전화 간에 자동으로 파생돼요. 하지만 인증에 사용되는 EAP 사용자 이름과 비밀번호는 각 전화에 입력해야 해요.

음성 트래픽의 보안을 보장하기 위해 전화기는 TKIP하고 AES를 암호화하여 지원해요. 이러한 메커니즘을 암호화에 사용하면 신호 SIP 패킷과 음성 실시간 전송 프로토콜 (RTP) 패킷이 모두 AP와 전화 사이에서 암호화돼요.

TKIP

WPA는 WEP보다 몇 가지 향상된 TKIP 암호화를 사용해요. TKIP는 패킷당 키 암호화와 암호화를 강화하는 더 긴 초기화 벡터 (IV) 를 제공해요. 또한, 메시지 무결성 검사 (MIC) 는 암호화된 패킷이 변경되지 않도록 보장해요. TKIP는 침입자가 WEP 키를 해독하는 데 도움이 되는 WEP의 예측 가능성을 제거해요.

AES

WPA2/WPA3 인증에 사용되는 암호화 방법이에요. 이 국가 암호화 표준은 암호화와 암호 해독에 동일한 키를 사용하는 대칭 알고리즘을 사용해요. AES는 128비트 크기의 암호 차단체인 (CBC) 암호화를 사용하는데, 최소 128비트, 192비트, 256비트의 키 크기를 지원해요. 휴대폰은 256비트 키 크기를 지원해요.

인증 및 암호화 체계가 무선 LAN 내에서 설정돼요. VLAN은 네트워크와 AP에 구성되고 인증과 암호화의 다른 조합을 지정해요. SSID는 VLAN 및 특정 인증 및 암호화 체계와 연관돼요. 무선 클라이언트 장치가 성공적으로 인증되려면 AP와 전화의 인증 및 암호화 체계로 동일한 SSID를 구성해야 해요.

어떤 인증 체계에는 특정한 유형의 암호화가 필요해요.

다음 표의 인증 및 암호화 체계는 AP 구성에 해당하는 전화기의 네트워크 구성 옵션을 보여줘요.