피드백을 보내 주셔서 감사합니다.

범위 내에 있는 모든 WLAN 장치가 다른 모든 WLAN 트래픽을 수신할 수 있기 때문에 WLAN에서는 음성 통신 보안이 중요해요. 침입자가 음성 트래픽을 조작하거나 가로채지 못하게 하기 위해 Cisco SAFE Security 아키텍처가 전화를 지원해요. 네트워크 보안에 대한 자세한 내용은 http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html을 참조하세요.

Cisco 무선 IP 텔레포니 솔루션은 전화기가 지원하는 다음 인증 방법을 사용하여 무단 로그인과 통신 손상을 방지하는 무선 네트워크 보안을 제공해요.

• 공개 인증: 모든 무선 장치가 개방형 시스템에서 인증을 요청할 수 있어요. 요청을 받는 AP는 모든 요청자에게 인증을 부여하거나 사용자 목록에 있는 요청자에게만 인증을 부여할 수 있어요. 무선 장치와 액세스 포인트 (AP) 간의 통신은 암호화되지 않을 수 있어요.

• 확장 가능한 인증 프로토콜-보안 터널링 (EAP-FAST) 인증을 통한 유연한 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 RADIUS 서버 사이의 전송 수준 보안 (TLS) 터널 내에서 ID 서비스 엔진 (ISE) 같은 EAP 거래를 암호화해요.

  TLS 터널은 클라이언트 (전화) 와 RADIUS 서버 간의 인증에 보호 액세스 자격 증명 (PAC) 을 사용해요. 서버가 클라이언트 (전화) 에 기관 ID (AID) 를 보내고, 클라이언트는 적절한 PAC를 선택해요. 클라이언트 (전화) 가 PAC-불투명 신호를 RADIUS 서버에 돌려줘요. 서버가 기본 키로 PAC 암호를 해독해요. 이제 양쪽 엔드포인트에 PAC 키가 포함되고 TLS 터널이 생성됐어요. EAP-FAST는 자동 PAC 프로비저닝을 지원하지만 RADIUS 서버에서 활성화해야 해요.

  ISE에서는 기본적으로 PAC가 일주일 후에 만료돼요. 전화의 PAC가 만료된 경우, 전화가 새 PAC를 받는 동안 RADIUS 서버 인증이 더 오래 걸려요. PAC 프로비저닝 지연을 피하려면 ISE 또는 RADIUS 서버에서 PAC 만료 기간을 90일 이상으로 설정하세요.

• 확장 가능한 인증 프로토콜-전송 계층 보안 (EAP-TLS) 인증: EAP-TLS는 인증 및 네트워크 액세스를 위한 클라이언트 인증서가 필요해요. 무선 EAP-TLS의 경우, 클라이언트 인증서는 MIC 또는 사용자 설치 인증서일 수 있어요.

• 보호된 확장 인증 프로토콜 (PEAP): 클라이언트 (전화) 와 RADIUS 서버 간의 시스코 독점 암호 기반 상호 인증 체계예요. 전화는 무선 네트워크 인증에 PEAP를 사용할 수 있어요. PEAP-MSCHAPV2 인증 방법과 PEAP-GTC 인증 방법 모두 지원돼요.

  시스코 무선 전화 9821에 PEAP-GTC 인증을 지원하려면 Cisco ISE 정책 세트 내에 필요한 정책을 구성하세요.

• 사전 공유 키 (PSK): 전화기가 ASCII 및 16진수 (HEX) 형식을 지원해요. WPA2/SAE 사전 공유 키를 설정할 때 이 형식을 사용해야 해요.

  ASCII: 8~63자 길이의 아스키 문자열 (0-9, 소문자 a-z, 대문자 A-Z, 특수 문자). 예를 들자면, GREG123567@9ZX&W.

  HEX: 64자리 16진수 길이 (0-9, a-f 또는 A-F) 의 16진수 문자열이에요.

다음 인증 체계는 RADIUS 서버를 사용하여 인증 키를 관리해요.

• WPA2/WPA3: RADIUS 서버 정보를 사용하여 인증을 위한 고유 키를 생성해요. 이러한 키가 중앙 RADIUS 서버에서 생성되기 때문에 WPA2/WPA3는 AP와 전화에 저장된 WPA 사전 공유 키보다 더 많은 보안을 제공해요.

• 빠른 보안 로밍: RADIUS 서버와 무선 도메인 서버 (WDS) 정보를 사용하여 키를 관리하고 인증해요. WDS는 빠르고 안전한 재인증을 위해 FT 지원 클라이언트 장치의 보안 자격 증명 캐시를 생성해요.

WPA2/WPA3에서는 암호화 키가 전화에 입력되지 않고 AP와 전화 간에 자동으로 파생돼요. 하지만 인증에 사용되는 EAP 사용자 이름과 비밀번호는 각 전화에 입력해야 해요.

무선 링크를 통한 음성 트래픽을 보호하기 위해 전화기는 WPA2/WPA3 인증을 위한 AES 기반 암호화를 지원해요. AES는 NIST에서 표준화한 대칭 블록 암호예요. AES는 고정된 128비트 블록 크기를 사용하고 128비트, 192비트, 256비트의 키 크기를 지원해요. 와이파이 네트워크에서 AES는 CCMP나 GCMP 같은 암호 제품군에서 사용되는 반면 인증은 구성된 WLAN 보안 모드에 따라 PSK, SAE 또는 802.1X/EAP에서 별도로 제공해요. 지원되는 암호 모음과 키 크기는 전화 모델과 WLAN 구성에 따라 달라요.

인증 및 암호화 체계가 무선 LAN 내에서 설정돼요. VLAN은 네트워크와 AP에 구성되고 인증과 암호화의 다른 조합을 지정해요. SSID는 VLAN 및 특정 인증 및 암호화 체계와 연관돼요. 무선 클라이언트 장치가 성공적으로 인증되려면 AP와 전화의 인증 및 암호화 체계로 동일한 SSID를 구성해야 해요.

어떤 인증 체계에는 특정한 유형의 암호화가 필요해요.

다음 표의 인증 및 암호화 체계는 AP 구성에 해당하는 Cisco 무선 전화 9821의 네트워크 구성 옵션을 보여줘요.

시스코 무선 전화 9821은 유선 네트워크에 802.1X 인증을 지원해요. 보통 지원되는 USB-이더넷 어댑터를 통해 휴대폰이 데스크탑 충전기에 연결될 때 자동 프로비저닝 중에 사용돼요.

유선 네트워크에서 802.1X 인증을 지원하려면 다음과 같은 여러 구성요소가 필요해요.

• 시스코 IP 전화: 전화기가 네트워크 액세스 요청을 시작해요. 시스코 IP 전화에는 802.1X 서플라이컨트가 들어있어요. 이 요청자를 사용하여 네트워크 관리자가 IP 전화와 LAN 스위치 포트 연결을 제어할 수 있어요. 전화 802.1X 신청자의 현재 릴리스는 네트워크 인증에 EAP-FAST와 EAP-TLS 옵션을 사용해요.

• 인증 서버: 인증 서버와 스위치 모두 RADIUS 공유 암호로 구성해야 해요.

• 스위치: 스위치가 802.1X를 지원해야 인증자 역할을 하고 전화와 인증 서버 간에 EAP 메시지를 중계할 수 있어요. 교환 완료 후 스위치가 전화기의 네트워크 액세스를 허용하거나 거부해요.

시스코 IP 전화하고 Cisco Catalyst 스위치는 전통적으로 서로를 식별하고 VLAN 할당과 인라인 전원 요구 사항 같은 파라미터를 결정하는 데 Cisco Discovery Protocol (CDP) 를 사용해요.

802.1X를 구성하려면 다음 작업을 수행해야 해요.

• CDP/LLDP 음성 VLAN 바이패스를 구성하세요.

• 전화기에서 유선 네트워크에 802.1X 인증을 활성화하기 전에 인증 서버와 스위치를 구성하세요.

• 음성 VLAN 구성: 802.1X 표준은 VLAN을 고려하지 않기 때문에 스위치 지원을 기반으로 이 설정을 구성해야 해요.

  • 활성화됨: 멀티도메인 인증을 지원하는 스위치를 사용하는 경우 음성 VLAN을 사용하도록 구성할 수 있어요.
  • 비활성화됨: 스위치가 멀티도메인 인증을 지원하지 않으면 음성 VLAN을 비활성화하고 네이티브 VLAN에 포트를 할당하는 것을 고려해 보세요.

• 시스코 무선 전화 9821의 PID 접두사가 다른 시스코 전화의 접두사와 달라요. 휴대폰이 802.1X 인증을 통과할 수 있게 하려면 RADIUS·User-Name 파라미터에 Cisco 무선 전화 9821을 포함하도록 설정하세요.

  예를 들자면, 시스코 무선 전화 9821의 PID는 WP-9821 이에요. 다음 섹션 중 반경·사용자 이름을 Start with WP설정하거나 둘 Contains WP다에서 설정할 수 있어요.

  • 정책 > 조건 > 도서관 조건

  • 정책 > 정책 세트 > 권한 부여 정책 > 권한 부여 규칙 1