Hartelijk dank voor uw feedback

De Cisco IP-telefoons ondersteunen 802.1X-authenticatie.

Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel Cisco Discovery Protocol CDP om elkaar te identificeren en parameters te bepalen, zoals VLAN-toewijzing en inline-stroomvereisten. CDP identificeert geen lokaal verbonden werkstations. Cisco IP-telefoons bieden een EAPOL-doorvoermechanisme. Met dit mechanisme kan een werkstation dat is aangesloten op de Cisco IP-telefoon EAPOL-berichten doorsturen naar de 802.1X-authenticator op de LAN-switch. Het pass-through-mechanisme zorgt ervoor dat de IP-telefoon niet fungeert als LAN-switch om een gegevenseindpunt te verifiëren voordat toegang wordt verkregen tot het netwerk.

Cisco IP-telefoons bieden ook een EAPOL-afmeldingsmechanisme voor proxy's. Als de lokaal aangesloten pc de verbinding met de IP-telefoon verbreekt, ziet de LAN-switch niet dat de fysieke verbinding uitvalt, omdat de verbinding tussen de LAN-switch en de IP-telefoon behouden blijft. Om te voorkomen dat de netwerkintegriteit in gevaar wordt gebracht, stuurt de IP-telefoon namens de downstream-pc een EAPOL-afmeldingsbericht naar de switch, waardoor de LAN-switch de authenticatie-invoer voor de downstream-pc wordt gewist.

Voor ondersteuning van 802.1X-authenticatie zijn verschillende componenten vereist:

• Cisco IP-telefoon: De telefoon initieert het verzoek om toegang tot het netwerk. Cisco IP-telefoons bevatten een 802.1X-supplicant. Met dit verzoek kunnen netwerkbeheerders de connectiviteit van IP-telefoons met de LAN-switchpoorten regelen. De huidige versie van de 802.1X-telefoonaanbieder maakt gebruik van de opties EAP-FAST en EAP-TLS voor netwerkverificatie.

• Authenticatieserver: De authenticatieserver en de switch moeten beide worden geconfigureerd met een gedeeld geheim waarmee de telefoon wordt geverifieerd.

• Switch: De switch moet 802.1X ondersteunen, zodat deze als authenticator kan fungeren en de berichten kan doorgeven tussen de telefoon en de authenticatieserver. Nadat de uitwisseling is voltooid, verleent of weigert de overstap de telefoontoegang tot het netwerk.

U moet de volgende acties uitvoeren om 802.1X te configureren.

• Configureer de andere componenten voordat u 802.1X-verificatie op de telefoon inschakelt.

• PC-poort configureren: De 802.1X-standaard houdt geen rekening met VLAN's en raadt daarom aan dat slechts één apparaat wordt geverifieerd op een specifieke switchpoort. Sommige switches ondersteunen echter authenticatie met meerdere domeinen. De configuratie van de switch bepaalt of u een pc kunt aansluiten op de PC-poort van de telefoon.

  • Ingeschakeld: Als u een switch gebruikt die verificatie met meerdere domeinen ondersteunt, kunt u de PC-poort inschakelen en er een pc op aansluiten. In dit geval ondersteunen Cisco IP-telefoons proxy EAPOL-Logoff om de authenticatie-uitwisselingen tussen de switch en de aangesloten pc te controleren.

    Voor meer informatie over IEEE 802.1X-ondersteuning op Cisco Catalyst-switches, zie de Cisco Catalyst-switchconfiguratiehandleidingen op:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Uitgeschakeld: Als de switch niet meerdere 802.1X-compatibele apparaten op dezelfde poort ondersteunt, moet u de PC-poort uitschakelen wanneer 802.1X-verificatie is ingeschakeld. Als u deze poort niet uitschakelt en er vervolgens een pc op probeert aan te sluiten, weigert de switch de netwerktoegang tot zowel de telefoon als de pc.

• Voice VLAN configureren: Omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de ondersteuning van de switch.
  • Ingeschakeld: Als u een switch gebruikt die multidomeinauthenticatie ondersteunt, kunt u deze blijven gebruiken om de spraak-VLAN te gebruiken.
  • Uitgeschakeld: Als de switch geen ondersteuning biedt voor multidomeinauthenticatie, schakel dan de Voice VLAN uit en overweeg om de poort toe te wijzen aan het oorspronkelijke VLAN.
• (Alleen voor Cisco Desk Phone 9800 Series)

  De Cisco Desk Phone 9800 Series heeft een andere prefix in de PID dan die voor de andere Cisco-telefoons. Om ervoor te zorgen dat uw telefoon de 802.1X-authenticatie doorstaat, stelt u de parameter Radius·User-Name in op uw Cisco Desk Phone 9800 Series.

  De PID van telefoon 9841 is bijvoorbeeld DP-9841; u kunt Radius·User-Name instellen op of. Start with DPContains DP U kunt dit in beide van de volgende secties instellen:

  • Beleid > Voorwaarden > Bibliotheekvoorwaarden

  • Beleid > Beleidssets > Autorisatiebeleid > Autorisatieregel 1

Omdat alle WLAN-apparaten binnen bereik al het andere WLAN-verkeer kunnen ontvangen, is de beveiliging van spraakcommunicatie van cruciaal belang in WLAN's. Om ervoor te zorgen dat indringers spraakverkeer niet manipuleren of onderscheppen, ondersteunt de Cisco SAFE Security-architectuur de telefoon. Voor meer informatie over beveiliging in netwerken, zie http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

De Cisco draadloze IP-telefonieoplossing biedt draadloze netwerkbeveiliging die ongeoorloofde aanmeldingen en gecompromitteerde communicatie voorkomt door gebruik te maken van de volgende authenticatiemethoden die de telefoon ondersteunt:

• Open authenticatie: Elk draadloos apparaat kan authenticatie aanvragen in een open systeem. De AP die het verzoek ontvangt, kan authenticatie verlenen aan elke aanvrager of alleen aan aanvragers die op een lijst van gebruikers voorkomen. De communicatie tussen het draadloze apparaat en het access point (AP) kan niet-versleuteld zijn.

• Extensible Authentication Protocol-Flexibele authenticatie via Secure Tunneling (EAP-FAST) Authenticatie: Deze client-serverbeveiligingsarchitectuur versleutelt EAP-transacties binnen een Transport Level Security-tunnel (TLS) tussen de AP en de RADIUS-server, zoals Identity Services Engine (ISE).

  De TLS-tunnel maakt gebruik van Protected Access Credentials (PAC's) voor authenticatie tussen de client (telefoon) en de RADIUS-server. De server stuurt een autoriteits-ID (AID) naar de client (telefoon), die op zijn beurt de juiste PAC selecteert. De client (telefoon) stuurt een PAC-ondoorzichtig terug naar de RADIUS-server. De server decodeert de PAC met de primaire sleutel. Beide eindpunten bevatten nu de PAC-sleutel en er wordt een TLS-tunnel gemaakt. EAP-FAST ondersteunt automatische PAC-provisioning, maar u moet deze inschakelen op de RADIUS-server.

  In ISE verloopt de PAC standaard over een week. Als de PAC van de telefoon is verlopen, duurt de authenticatie met de RADIUS-server langer, terwijl de telefoon een nieuwe PAC krijgt. Om vertragingen bij de levering van PAC te voorkomen, stelt u de PAC vervaldatum in op 90 dagen of langer op de ISE- of RADIUS-server.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Authenticatie: EAP-TLS vereist een clientcertificaat voor authenticatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat een MIC-, LSC- of door de gebruiker geïnstalleerd certificaat zijn.

• Protected Extensible Authentication Protocol (PEAP): een gepatenteerd systeem voor wederzijdse authenticatie op basis van een wachtwoord van Cisco tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor authenticatie met het draadloze netwerk. Zowel PEAP-MSCHAPV2- als PEAP-GTC-authenticatiemethoden worden ondersteund.

• Pre-Shared Key (PSK): De telefoon ondersteunt het ASCII-formaat. U moet dit formaat gebruiken bij het instellen van een vooraf gedeelde WPA/WPA2/SAE-sleutel:

  ASCII: een ASCII-tekenreeks met een lengte van 8 tot 63 tekens (0-9, kleine letters en hoofdletters A-Z en speciale tekens)

  Voorbeeld: GREG123567 @9ZX &W

De volgende authenticatieschema's gebruiken de RADIUS-server om authenticatiesleutels te beheren:

• WPA/WPA2/WPA3: Gebruikt RADIUS-serverinformatie om unieke sleutels voor authenticatie te genereren. Omdat deze sleutels worden gegenereerd op de gecentraliseerde RADIUS-server, biedt WPA2/WPA3 meer beveiliging dan vooraf gedeelde WPA-sleutels die zijn opgeslagen op het toegangspunt en de telefoon.

• Fast Secure Roaming: Maakt gebruik van RADIUS-server en informatie over een draadloze domeinserver (WDS) om sleutels te beheren en te verifiëren. Het WDS creëert een cache met beveiligingsgegevens voor clientapparaten met FT-ondersteuning voor snelle en veilige herauthenticatie. Cisco Desk Phone 9861 en 9871 en Cisco Video Phone 8875 ondersteunen 802.11r (FT). Zowel via de ether als via de DS worden ondersteund om snel en veilig roamen mogelijk te maken. Maar we raden ten zeerste aan om de 802.11r (FT) over-air-methode te gebruiken.

Met WPA/WPA2/WPA3 worden coderingssleutels niet ingevoerd op de telefoon, maar automatisch afgeleid tussen het toegangspunt en de telefoon. Maar de EAP-gebruikersnaam en -wachtwoord die voor authenticatie worden gebruikt, moeten op elke telefoon worden ingevoerd.

Om ervoor te zorgen dat het spraakverkeer veilig is, ondersteunt de telefoon TKIP en AES voor versleuteling. Wanneer deze mechanismen worden gebruikt voor versleuteling, worden zowel de SIP-signaalpakketten als de RTP-pakketten (Voice Real-Time Transport Protocol) versleuteld tussen het AP en de telefoon.

TKIP

WPA maakt gebruik van TKIP-versleuteling die verschillende verbeteringen heeft ten opzichte van WEP. TKIP biedt sleutelversleuteling per pakket en langere initialisatievectoren (IV's) die de versleuteling versterken. Bovendien zorgt een berichtintegriteitscontrole (MIC) ervoor dat versleutelde pakketten niet worden gewijzigd. TKIP neemt de voorspelbaarheid van WEP weg, waardoor indringers de WEP-sleutel kunnen ontcijferen.

AES

Een coderingsmethode die wordt gebruikt voor WPA2/WPA3-authenticatie. Deze nationale standaard voor versleuteling maakt gebruik van een symmetrisch algoritme dat dezelfde sleutel heeft voor versleuteling en ontsleuteling. AES maakt gebruik van Cipher Blocking Chain (CBC) -versleuteling van 128 bits, die sleutelgroottes van minimaal 128 bits, 192 bits en 256 bits ondersteunt. De telefoon ondersteunt een sleutelgrootte van 256 bits.

Authenticatie- en coderingsschema's worden ingesteld binnen het draadloze netwerk. VLAN's worden in het netwerk en op de AP's geconfigureerd en specificeren verschillende combinaties van authenticatie en versleuteling. Een SSID is gekoppeld aan een VLAN en het specifieke authenticatie- en coderingsschema. Om draadloze clientapparaten succesvol te kunnen authenticeren, moet u dezelfde SSID's met hun authenticatie- en coderingsschema's configureren op de AP's en op de telefoon.

Voor sommige authenticatieschema's zijn specifieke soorten versleuteling vereist.

De authenticatie- en coderingsschema's in de volgende tabel tonen de netwerkconfiguratieopties voor de telefoon die overeenkomen met de AP-configuratie.