Het apparaatcertificaat kan automatisch worden vernieuwd door het SCEP-proces.

• De telefoon controleert of het certificaat elke 4 uur over 15 dagen verloopt. Als dat het geval is, start de telefoon het certificaatverlengingsproces automatisch.
• Als het wachtwoord voor de uitdaging leeg is, gebruikt de telefoon MIC/SUDI voor zowel de eerste inschrijving als de verlenging van het certificaat. Als het wachtwoord voor de identiteitsvraag is geconfigureerd, wordt het alleen gebruikt voor de eerste inschrijving, wordt het bestaande/geïnstalleerde certificaat gebruikt voor de verlenging van het certificaat.
• De telefoon verwijdert het oude apparaatcertificaat pas totdat het nieuwe is opgehaald.
• Als certificaatverlenging mislukt omdat het apparaatcertificaat of de CA is verlopen, wordt de eerste inschrijving automatisch door de telefoon geactiveerd. Als in de tussentijd de wachtwoordverificatie mislukt, verschijnt een scherm voor het invoeren van een wachtwoord op het telefoonscherm en worden gebruikers gevraagd het wachtwoord voor de identiteitsvraag op de telefoon in te voeren.

Cisco IP-telefoons ondersteunen 802.1X-verificatie.

Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel Cisco Discovery Protocol (CDP) om elkaar te identificeren en parameters te bepalen zoals VLAN-toewijzing en inline voedingsvereisten. CDP identificeert geen lokaal aangesloten werkstations. Cisco IP-telefoons bieden een EAPOL-doorgeefmechanisme. Met dit mechanisme kan een werkstation dat is gekoppeld aan de Cisco IP-telefoon EAPOL-berichten doorgeven aan de 802.1X-authenticator op de LAN-switch. Het doorgeefmechanisme zorgt ervoor dat de IP-telefoon niet fungeert als de LAN-switch voor het verifiëren van een gegevenseindpunt voor toegang tot het netwerk.

Cisco IP-telefoons bieden ook een proxy EAPOL-uitlogmechanisme. Als de lokaal aangesloten pc de verbinding met de IP-telefoon verbreekt, ziet de LAN-switch niet dat de fysieke koppeling mislukt, omdat de koppeling tussen de LAN-switch en de IP-telefoon in stand blijft. Om te voorkomen dat de netwerkintegriteit in gevaar komt, verzendt de IP-telefoon een EAPOL-afmeldbericht naar de switch uit naam van de downstream-pc, waardoor de LAN-switch wordt geactiveerd om de verificatievermelding voor de downstream-pc te wissen.

Voor ondersteuning voor 802.1X-verificatie zijn verschillende componenten vereist:

• Cisco IP-telefoon De telefoon initieert het verzoek voor toegang tot het netwerk. Cisco IP-telefoons bevatten een 802.1X-supplicant. Met deze supplicant kunnen netwerkbeheerders de verbinding regelen van IP-telefoons met de LAN-switchpoorten. De huidige versie van de 802.1X-supplicant voor de telefoon gebruikt de opties EAP-FAST en EAP-TLS voor netwerkverificatie.

• verificatieservice De verificatieserver en de switch moeten beide worden geconfigureerd met een gedeeld geheim waarmee de telefoon wordt geverifieerd.

• Schakelen: De switch moet 802.1X ondersteunen, zodat deze kan optreden als authenticator en de berichten tussen de telefoon en de verificatieserver kan doorgeven. Nadat de uitwisseling is voltooid, verleent of weigert de switch toegang tot het netwerk van de telefoon.

U moet de volgende acties uitvoeren om 802.1X te configureren.

• Configureer de andere componenten voordat u 802.1X-verificatie op de telefoon inschakelt.

• Pc-poort configureren: De 802.1X-standaard houdt geen rekening met VLAN's en beveelt aan om slechts één apparaat te verifiëren voor een specifieke switchpoort. Sommige switches ondersteunen echter verificatie voor meerdere domeinen. De switchconfiguratie bepaalt of u een pc kunt aansluiten op de pc-poort van de telefoon.

  • Ingeschakeld: Als u een switch gebruikt die multidomeinverificatie ondersteunt, kunt u de pc-poort inschakelen en een pc aansluiten. In dat geval ondersteunen Cisco IP-telefoons de proxy-EAPOL-uitlogfunctie om de verificatie-uitwisseling tussen de switch en de aangesloten pc te controleren.

    Voor meer informatie over IEEE 802.1X-ondersteuning op de Cisco Catalyst-switches raadpleegt u de handleidingen voor Cisco Catalyst-switchconfiguratie op:

    http://www.cisco.com/nl/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • uitgeschakeld Als de switch niet meerdere 802.1X-compatibele apparaten ondersteunt op dezelfde poort, moet u de pc-poort uitschakelen wanneer 802.1X-verificatie wordt ingeschakeld. Als u deze poort niet uitschakelt en er vervolgens een pc op aansluit, weigert de switch netwerktoegang voor zowel de telefoon als de pc.

• Spraak-VLAN configureren: Omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de switchondersteuning.
  • Ingeschakeld: Als u een switch gebruikt die multidomeinverificatie ondersteunt, kunt u deze blijven gebruiken om het spraak-VLAN te gebruiken.
  • uitgeschakeld Als de switch geen multidomeinverificatie ondersteunt, schakelt u het spraak-VLAN uit en probeert u de poort toe te wijzen aan het systeemeigen VLAN.
• (Alleen voor Cisco Desk Phone 9800-serie)

  De Cisco bureautelefoon 9800-serie heeft een ander voorvoegsel in de PID dan dat voor de andere Cisco-telefoons. Als u wilt inschakelen dat uw telefoon 802.1X-verificatie doorgeeft, stelt u de parameter Radius·User-Name in om uw Cisco Desk Phone 9800-serie op te nemen.

  De PID van telefoon 9841 is bijvoorbeeld DP-9841. U kunt Radius·Gebruikersnaam instellen op Starten met DP of op Bevat DP. U kunt deze in beide volgende gedeelten instellen:

  • Beleid > Voorwaarden > Voorwaarden bibliotheek

  • Beleid > Beleidssets > Autorisatiebeleid > Autorisatieregel 1

Omdat alle WLAN-apparaten die binnen het bereik zijn al het andere WLAN-verkeer kunnen ontvangen, is beveiligde spraakcommunicatie van cruciaal belang in WLAN's. Om ervoor te zorgen dat indringers het spraakverkeer niet manipuleren of onderscheppen, ondersteunt de Cisco SAFE Security-architectuur de telefoon. Zie http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html voor meer informatie over beveiliging in netwerken.

De Cisco draadloze IP-telefonieoplossing biedt draadloze netwerkbeveiliging die ongeautoriseerde aanmeldingen en verstoorde communicatie voorkomt door de volgende verificatiemethoden te gebruiken die door de telefoon worden ondersteund:

• Open verificatie: Elk draadloos apparaat kan verificatie aanvragen in een open systeem. Het toegangspunt dat het verzoek ontvangt, verleent verificatie aan een aanvrager of alleen aan aanvragers in een lijst met gebruikers. De communicatie tussen het draadloze apparaat en het toegangspunt (AP) kan niet-gecodeerd zijn.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST): Deze client-server beveiligingsarchitectuur codeert EAP-transacties binnen een TLS-tunnel (Transport Level Security) tussen het AP en de RADIUS-server, zoals Identity Services Engine (ISE).

  De TLS-tunnel gebruikt PAC (Protected Access Credentials) voor verificatie tussen de client (telefoon) en de RADIUS-server. De server verzendt een Authority ID (AID) naar de client (telefoon), die op zijn beurt de juiste PAC selecteert. De client (telefoon) retourneert een PAC-Opaque naar de RADIUS-server. De server decodeert de PAC met de primaire sleutel. Beide eindpunten bevatten nu de PAC-sleutel en er wordt een TLS-tunnel gemaakt. EAP-FAST ondersteunt automatische PAC-inrichting, maar u moet dit inschakelen op de RADIUS-server.

  In ISE verloopt de PAC standaard over één week. Als de telefoon een verlopen PAC heeft, duurt verificatie met de RADIUS-server langer terwijl de telefoon een nieuwe PAC krijgt. Als u vertragingen in de PAC-levering wilt voorkomen, stelt u de PAC-vervalperiode in op 90 dagen of langer op de ISE- of RADIUS-server.

• EAP-TLS-verificatie (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vereist een clientcertificaat voor verificatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat een MIC-, LSC- of door de gebruiker geïnstalleerd certificaat zijn.

• Protected Extensible Authentication Protocol (PEAP): Cisco's eigen op wachtwoorden gebaseerde wederzijdse verificatieschema tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor verificatie met het draadloze netwerk. Zowel de PEAP-MSCHAPV2- als PEAP-GTC-verificatiemethoden worden ondersteund.

• Vooraf gedeelde sleutel (PSK): De telefoon ondersteunt de ASCII-indeling. U moet deze indeling gebruiken wanneer u een vooraf gedeelde WPA/WPA2/SAE-sleutel instelt:

  ASCII: een reeks ASCII-tekens met een lengte van 8 tot 63 tekens (0-9, kleine letters en hoofdletters A-Z en speciale tekens)

  Voorbeeld: GREG123567@9ZX&W