피드백을 보내 주셔서 감사합니다.

범위 내에 있는 모든 WLAN 장치는 기타 모든 WLAN 트래픽을 수신할 수 있으므로, 음성 통신 보안이 WLAN에서 중요합니다. 침입자가 음성 트래픽을 조작하거나 가로채지 않도록 Cisco SAFE 보안 아키텍처가 전화기를 지원합니다. 네트워크 보안에 대한 자세한 내용은 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html 을 참조하십시오.

Cisco Wireless IP 텔레포니 솔루션은 전화기가 지원하는 다음 인증 방법을 사용하여 인증되지 않은 로그인 및 통신 저하를 방지하는 무선 네트워크 보안을 제공합니다.

• 개방형 인증: 무선 장치가 개방형 시스템에서 인증을 요청할 수 있습니다. 요청을 수신하는 AP는 요청자에게 또는 사용자 목록에 있는 요청자에게만 인증을 허가할 수 있습니다. 무선 장치와 액세스 포인트(AP) 간의 통신이 암호화되지 않을 수 있습니다.

• EAP-FAST(Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling) 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 ISE(Identity Services Engine)와 같은 RADIUS 서버 간의 TLS(Transport Level Security) 터널 내에서 EAP 트랜잭션을 암호화합니다.

  TLS 터널은 클라이언트(전화기)와 RADIUS 서버 간 인증을 위해 PAC(Protected Access Credential)를 사용합니다. 서버가 AID(Authority ID)를 클라이언트(전화기)로 보내면, 거기서 해당 PAC를 선택합니다. 클라이언트(전화기)는 PAC-Opaque를 RADIUS 서버로 반환합니다. 서버는 기본 키로 PAC를 해독합니다. 이제 두 엔드포인트에는 PAC 키가 있고 TLS 터널이 생성됩니다. EAP-FAST는 자동 PAC 구축을 지원하지만, RADIUS 서버에서 이것을 활성화해야 합니다.

  ISE에서는 기본적으로 PAC가 1주일 후에 만료됩니다. 전화기에 만료된 PAC가 있는 경우, 전화기가 새 PAC를 가져오는 동안 RADIUS 서버에서 인증 시간이 더 오래 걸립니다. PAC 구축 지연을 피하기 위해 PAC 만료 기간을 ISE 또는 RADIUS 서버에서 90일 이상으로 설정하십시오.

• 확장 가능 인증 프로토콜 - 전송 계층 보안 EAP-TLS) 인증: EAP-TLS에는 인증 및 네트워크 액세스를 위한 클라이언트 인증서가 필요합니다. 무선 EAP-TLS의 경우 클라이언트 인증서는 MIC 또는 사용자 설치 인증서일 수 있습니다.

• PEAP(Protected Extensible Authentication Protocol): 클라이언트(전화기)와 RADIUS 간 Cisco의 독점적 암호 기반 상호 인증 체계입니다. 전화기는 무선 네트워크에서 인증을 위해 PEAP를 사용할 수 있습니다. PEAP-MSCHAPV2 및 PEAP-GTC 인증 방법이 모두 지원됩니다.

  Cisco Wireless Phone 9821에 대한 PEAP-GTC 인증을 지원하려면 Cisco ISE 정책 집합 내에서 필요한 정책을 구성합니다.

• PSK(사전 공유 키): 전화기는 ASCII 및 16진수(HEX) 형식을 지원합니다. WPA2/SAE 사전 공유 키를 설정할 때 이러한 형식을 사용해야 합니다.

  ASCII: 길이가 8-63자인 ASCII 문자열입니다(0-9, 소문자 a-z, 대문자 A-Z 및 특수 문자). 예: GREG123567@9ZX&W.

  HEX: 길이가 64자리인 16진수 문자열(0-9, a-f 또는 A-F)입니다.

다음 인증 체계는 RADIUS 서버를 사용하여 인증 키를 관리합니다.

• WPA2/WPA3: RADIUS 서버 정보를 사용하여 인증을 위한 고유 키를 생성합니다. 이러한 키는 중앙 집중식 RADIUS 서버에서 생성되므로, WPA2/WPA3는 AP 및 전화기에 저장된 WPA 사전 공유 키보다 더 강화된 보안을 제공합니다.

• 고속 보안 로밍: RADIUS 서버와 무선 도메인 서버(WDS) 정보를 사용하여 키를 관리하고 인증합니다. WDS는 빠르고 안전한 재인증을 위해 FT 지원 클라이언트 디바이스에 대한 보안 자격 증명 캐시를 만듭니다.

WPA2/WPA3를 사용하면 암호화 키가 전화기에 입력되지 않지만 AP와 전화기 간에 자동으로 파생됩니다. 그러나 인증을 위해 사용되는 EAP 사용자 이름과 암호는 각 전화기에 입력해야 합니다.

무선 링크를 통한 음성 트래픽을 보호하기 위해 전화기는 WPA2/WPA3 인증에 AES 기반 암호화를 지원합니다. AES는 NIST에서 표준화한 대칭 블록 암호입니다. AES 고정 128비트 블록 크기를 사용하고 128비트, 192비트 및 256비트의 키 크기를 지원합니다. Wi-Fi 네트워크에서는 CCMP 또는 GCMP와 같은 암호 그룹에 의해 AES가 사용되는 반면, 인증은 구성된 WLAN 보안 모드에 따라 PSK, SAE 또는 802.1X/EAP에 의해 별도로 제공됩니다. 지원되는 암호 그룹 및 키 크기는 전화기 모델 및 WLAN 구성에 따라 다릅니다.

인증 및 암호화 체계는 무선 LAN 내에서 설정됩니다. VLAN은 네트워크 및 AP에서 구성되고 다른 인증과 암호화의 조합을 지정합니다. SSID는 VLAN과 특정 인증 및 암호화 체계와 연결됩니다. 무선 클라이언트 장치를 성공적으로 인증하려면 AP 및 전화기의 인증 및 암호화 체계와 동일한 SSID를 구성해야 합니다.

일부 인증 체계에서는 특정 유형의 암호화가 필요합니다.

다음 표의 인증 및 암호화 체계는 AP 구성에 해당하는 Cisco Wireless Phone 9821의 네트워크 구성 옵션을 보여줍니다.

Cisco Wireless Phone 9821은 유선 네트워크에 대해 802.1X 인증을 지원합니다. 일반적으로 전화기가 지원되는 USB-이더넷 어댑터를 통해 데스크톱 충전기에 연결되었을 때 자동 프로비저닝 중에 사용됩니다.

유선 네트워크에서 802.1X 인증을 지원하려면 다음과 같은 몇 가지 구성 요소가 필요합니다.

• Cisco IP 전화기: 전화기에서 네트워크 액세스 요청을 시작합니다. Cisco IP 전화기에는 802.1X 인증 요청자가 있습니다. 이 인증 요청자를 통해 네트워크 관리자는 IP 전화기의 LAN 스위치 포트 연결을 제어합니다. 현재 전화기 802.1X 인증 요청자 릴리스는 네트워크 인증에 EAP-FAST 및 EAP-TLS 옵션을 사용합니다.

• 인증 서버: 인증 서버와 스위치 모두 RADIUS 공유 비밀로 구성해야 합니다.

• 스위치: 스위치는 802.1X를 지원해야 인증자 역할을 하고 전화기와 인증 서버 간에 EAP 메시지를 릴레이할 수 있습니다. 교환이 끝나면 스위치는 네트워크에 대한 전화기 액세스를 허용 또는 거부합니다.

Cisco IP 전화기와 Cisco Catalyst 스위치는 일반적으로 CDP(Cisco Discovery Protocol)를 사용해 서로를 식별하고 VLAN 할당 및 인라인 전력 요구 사항 같은 매개변수를 결정합니다.

802.1X를 구성하려면 다음과 같은 작업을 수행해야 합니다.

• CDP/LLDP 음성 VLAN 바이패스를 구성합니다.

• 전화기에서 유선 네트워크에 대한 802.1X 인증을 활성화하기 전에 먼저 인증 서버 및 스위치를 구성합니다.

• 음성 VLAN 구성: 802.1X 표준으로 VLAN이 설명되지 않으므로 스위치 지원을 기준으로 이 설정을 구성해야 합니다.

  • 사용: 다중 도메인 인증을 지원하는 스위치를 사용하는 경우 음성 VLAN를 사용하도록 구성할 수 있습니다.
  • 비활성화됨: 스위치에서 멀티도메인 인증을 지원하지 않으면, 음성 VLAN을 비활성화하고 기본 VLAN에 대한 포트 할당을 고려하십시오.

• Cisco Wireless Phone 9821의 PID에는 다른 Cisco 전화기의 접두사와 다른 접두사가 있습니다. 전화기가 802.1X 인증을 통과할 수 있도록 하려면 Radius· 사용자 이름 매개 변수에 Cisco Wireless Phone 9821을 포함합니다.

  예를 들어, Cisco Wireless Phone 9821의 PID는 WP-9821입니다. 당신은 설정할 수 있습니다 반경· User-Name : WP 로 시작하거나 다음 두 섹션 모두에서 WP 를 포함합니다.

  • 정책 >조건 > 라이브러리 조건

  • 정책 > 정책 집합 > 권한 부여 정책 > 권한 부여 규칙 1