Hartelijk dank voor uw feedback

Omdat alle WLAN-apparaten binnen bereik al het andere WLAN-verkeer kunnen ontvangen, is de beveiliging van spraakcommunicatie van cruciaal belang in WLAN's. Om ervoor te zorgen dat indringers spraakverkeer niet manipuleren of onderscheppen, ondersteunt de Cisco SAFE Security-architectuur de telefoon. Voor meer informatie over beveiliging in netwerken, zie http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

De Cisco draadloze IP-telefonieoplossing biedt draadloze netwerkbeveiliging die ongeoorloofde aanmeldingen en gecompromitteerde communicatie voorkomt door gebruik te maken van de volgende verificatiemethoden die de telefoon ondersteunt.

• Open authenticatie: Elk draadloos apparaat kan authenticatie aanvragen in een open systeem. De AP die het verzoek ontvangt, kan authenticatie verlenen aan elke aanvrager of alleen aan aanvragers die op een lijst van gebruikers voorkomen. De communicatie tussen het draadloze apparaat en het access point (AP) kan niet-versleuteld zijn.

• Extensible Authentication Protocol-Flexibele authenticatie via Secure Tunneling (EAP-FAST) Authenticatie: Deze client-serverbeveiligingsarchitectuur versleutelt EAP-transacties binnen een Transport Level Security-tunnel (TLS) tussen de AP en de RADIUS-server, zoals Identity Services Engine (ISE).

  De TLS-tunnel maakt gebruik van Protected Access Credentials (PAC's) voor authenticatie tussen de client (telefoon) en de RADIUS-server. De server stuurt een autoriteits-ID (AID) naar de client (telefoon), die op zijn beurt de juiste PAC selecteert. De client (telefoon) stuurt een PAC-ondoorzichtig terug naar de RADIUS-server. De server decodeert de PAC met de primaire sleutel. Beide eindpunten bevatten nu de PAC-sleutel en er wordt een TLS-tunnel gemaakt. EAP-FAST ondersteunt automatische PAC-provisioning, maar u moet deze inschakelen op de RADIUS-server.

  In ISE verloopt de PAC standaard over een week. Als de PAC van de telefoon is verlopen, duurt de authenticatie met de RADIUS-server langer, terwijl de telefoon een nieuwe PAC krijgt. Om vertragingen bij de levering van PAC te voorkomen, stelt u de PAC vervaldatum in op 90 dagen of langer op de ISE- of RADIUS-server.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Authenticatie: EAP-TLS vereist een clientcertificaat voor authenticatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat een MIC zijn of een door de gebruiker geïnstalleerd certificaat.

• Protected Extensible Authentication Protocol (PEAP): een gepatenteerd systeem voor wederzijdse authenticatie op basis van een wachtwoord van Cisco tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor authenticatie met het draadloze netwerk. Zowel PEAP-MSCHAPV2- als PEAP-GTC-authenticatiemethoden worden ondersteund.

  Om PEAP-GTC-authenticatie voor Cisco Wireless Phone 9821 te ondersteunen, moet u het noodzakelijke beleid binnen de Cisco ISE-beleidsset configureren.

• Pre-Shared Key (PSK): De telefoon ondersteunt de formaten ASCII en hexadecimaal (HEX). U moet deze formaten gebruiken bij het instellen van een vooraf gedeelde WPA2/SAE-sleutel.

  ASCII: Een ASCII-tekenreeks met een lengte van 8 tot 63 tekens (0-9, kleine letters a-z, hoofdletters A-Z en speciale tekens). Bijvoorbeeld GREG123567@9ZX&W.

  HEX: Een reeks van hexadecimale tekens met een lengte van 64 hexadecimale cijfers (0-9, a-f of A-F).

De volgende authenticatieschema's gebruiken de RADIUS-server om authenticatiesleutels te beheren:

• WPA2/WPA3: Gebruikt RADIUS-serverinformatie om unieke sleutels voor authenticatie te genereren. Omdat deze sleutels worden gegenereerd op de gecentraliseerde RADIUS-server, biedt WPA2/WPA3 meer beveiliging dan vooraf gedeelde WPA-sleutels die zijn opgeslagen op het toegangspunt en de telefoon.

• Fast Secure Roaming: Maakt gebruik van RADIUS-server en informatie over een draadloze domeinserver (WDS) om sleutels te beheren en te verifiëren. Het WDS creëert een cache met beveiligingsgegevens voor clientapparaten met FT-ondersteuning voor snelle en veilige herauthenticatie.

Met WPA2/WPA3 worden coderingssleutels niet ingevoerd op de telefoon, maar automatisch afgeleid tussen het toegangspunt en de telefoon. Maar de EAP-gebruikersnaam en -wachtwoord die voor authenticatie worden gebruikt, moeten op elke telefoon worden ingevoerd.

Om spraakverkeer via de draadloze verbinding te helpen beschermen, ondersteunt de telefoon AES-versleuteling voor WPA2/WPA3-authenticatie. AES is een symmetrisch blokcijfer dat gestandaardiseerd is door NIST. AES gebruikt een vaste blokgrootte van 128 bits en ondersteunt sleutelgroottes van 128 bits, 192 bits en 256 bits. In Wi-Fi-netwerken wordt AES gebruikt door coderingssuites zoals CCMP of GCMP, terwijl authenticatie afzonderlijk wordt verzorgd door PSK, SAE of 802.1X/EAP, afhankelijk van de geconfigureerde WLAN-beveiligingsmodus. De ondersteunde coderingssuite en de grootte van de sleutel zijn afhankelijk van het telefoonmodel en de WLAN-configuratie.

Authenticatie- en coderingsschema's worden ingesteld binnen het draadloze netwerk. VLAN's worden in het netwerk en op de AP's geconfigureerd en specificeren verschillende combinaties van authenticatie en versleuteling. Een SSID is gekoppeld aan een VLAN en het specifieke authenticatie- en coderingsschema. Om draadloze clientapparaten succesvol te kunnen authenticeren, moet u dezelfde SSID's met hun authenticatie- en coderingsschema's configureren op de AP's en op de telefoon.

Voor sommige authenticatieschema's zijn specifieke soorten versleuteling vereist.

De authenticatie- en coderingsschema's in de volgende tabel tonen de netwerkconfiguratieopties voor Cisco Wireless Phone 9821 die overeenkomen met de AP-configuratie.

Cisco Wireless Phone 9821 ondersteunt 802.1X-verificatie voor bekabelde netwerken. Dit wordt meestal gebruikt bij automatische provisioning wanneer de telefoon is aangesloten op de desktoplader via een ondersteunde USB-naar-Ethernet-adapter.

Voor ondersteuning van 802.1X-authenticatie op bekabelde netwerken zijn verschillende componenten nodig, zoals :

• Cisco IP-telefoon: De telefoon initieert het verzoek om toegang tot het netwerk. Cisco IP-telefoons bevatten een 802.1X-supplicant. Met dit verzoek kunnen netwerkbeheerders de connectiviteit van IP-telefoons met de LAN-switchpoorten regelen. De huidige versie van de 802.1X-telefoonaanbieder maakt gebruik van de opties EAP-FAST en EAP-TLS voor netwerkverificatie.

• Authenticatieserver: De authenticatieserver en de switch moeten beide worden geconfigureerd met een gedeeld RADIUS-geheim.

• Switch: De switch moet 802.1X ondersteunen, zodat deze als authenticator kan fungeren en de EAP-berichten kan doorsturen tussen de telefoon en de authenticatieserver. Nadat de uitwisseling is voltooid, verleent of weigert de overstap de telefoontoegang tot het netwerk.

Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel Cisco Discovery Protocol CDP om elkaar te identificeren en parameters te bepalen, zoals VLAN-toewijzing en inline-stroomvereisten.

U moet de volgende acties uitvoeren om 802.1X te configureren.

• Configureer de CDP/LLDP-voice-VLAN-bypass.

• Configureer de authenticatieserver en de switch voordat u 802.1X-verificatie inschakelt voor bekabelde netwerken op de telefoon.

• Voice VLAN configureren: Omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de ondersteuning van de switch.

  • Ingeschakeld: Als u een switch gebruikt die multidomeinauthenticatie ondersteunt, kunt u deze configureren om het spraak-VLAN te gebruiken.
  • Uitgeschakeld: Als de switch geen ondersteuning biedt voor multidomeinauthenticatie, schakel dan de Voice VLAN uit en overweeg om de poort toe te wijzen aan het oorspronkelijke VLAN.

• Cisco Wireless Phone 9821 heeft een ander voorvoegsel in de PID dan dat voor de andere Cisco-telefoons. Om ervoor te zorgen dat uw telefoon de 802.1X-authenticatie doorstaat, stelt u de parameter Radius·User-Name zo in dat ook uw Cisco Wireless Phone 9821 wordt opgenomen.

  De PID van Cisco Wireless Phone 9821 is bijvoorbeeld WP-9821. U kunt de gebruikersnaam van Radius·op Start with WPof Contains WPin beide van de volgende secties instellen:

  • Beleid > Voorwaarden > Bibliotheekvoorwaarden

  • Beleid > Beleidssets > Autorisatiebeleid > Autorisatieregel 1