Hartelijk dank voor uw feedback

Omdat alle WLAN-apparaten die binnen het bereik zijn al het andere WLAN-verkeer kunnen ontvangen, is veilige gesproken communicatie van cruciaal belang in WLAN's. Om te voorkomen dat indringers het spraakverkeer niet manipuleren of onderscheppen, ondersteunt de architectuur Cisco SAFE Security de telefoon. Ziehttp://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html voor meer informatie over beveiliging in netwerken.

De oplossing Cisco Wireless IP telefonie biedt een draadloze netwerkbeveiliging die ongeoorloofde aanmeldingen en gevaar voorkomt dat communicatie wordt verhinderd door gebruik te maken van de volgende verificatiemethoden die de telefoon ondersteunt.

• Open verificatie: een draadloos apparaat kan verificatie aanvragen in een open systeem. Het toegangspunt dat het verzoek ontvangt, verleent verificatie voor een aanvrager of alleen voor aanvragers in een lijst met gebruikers. De communicatie tussen het draadloze apparaat en het Toegangspunt (AP) kan niet zijn versleuteld.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Authentication: deze beveiligingsarchitectuur voor clientservers versleutelt EAP transacties binnen een tunnel voor Transport Level Security (TLS) tussen de AP en de RADIUS-server, zoals Ise (Identity Services Engine).

  De TLS-tunnel gebruikt PAC (Protected Access Credentials) voor de verificatie tussen de client (telefoon) en de RADIUS-server. De server verstuurt een Authority ID (AID) naar de client (telefoon), die vervolgens de juiste PAC selecteert. De client (telefoon) retourneert een PAC-Opaque naar de RADIUS-server. De server decodeert de PAC met de hoofdsleutel. Beide eindpunten bevatten nu de PAC-sleutel en een TLS-tunnel wordt gemaakt. EAP-FAST ondersteunt automatische PAC-levering, maar u moet dit inschakelen op de RADIUS-server.

  In ISE verloopt de PAC standaard binnen één week. Als de telefoon een verlopen PAC heeft, duurt verificatie met de RADIUS-server langer terwijl de telefoon een nieuwe PAC krijgt. Om vertragingen in de PAC-levering te voorkomen stelt u de PAC-vervalperiode in op 90 dagen of meer op de ISE-of RADIUS-server.

• EAP-TLS-verificatie (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vereist een clientcertificaat voor verificatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat MIC of een door de gebruiker geïnstalleerd certificaat zijn.

• Protected Extensible Authentication Protocol (PEAP): Cisco's eigen op wachtwoorden gebaseerde wederzijdse verificatieschema tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor verificatie met het draadloze netwerk. Zowel de PEAP-MSCHAPV2 als PEAP-GTC verificatiemethoden worden ondersteund.

  Ter ondersteuning van PEAP-GTC-verificatie voor draadloze telefoon Cisco 9821, configureert u het nodige beleid binnen de ise-beleidsset van Cisco.

• Pre-Shared Key (PSK):de telefoon ondersteunt ASCII en hexadecimale (HEX) indelingen. U moet deze indelingen gebruiken bij het instellen van een PRE-shared sleutel (WPA2/SAE).

  ASCII: een ASCII-tekenreeks met 8 tot 63 tekens (0-9, kleine letters a-z, hoofdletters A-Z en speciale tekens). Bijvoorbeeld GREG123567@9ZX&W.

  HEX: een HEX-tekenreeks met een lengte van 64 hex cijfers (0-9, a-f of A-F).

De volgende verificatieschema's gebruiken de RADIUS-server om verificatiesleutels te beheren:

• WPA2/WPA3: gebruikt RADIUS-serverinformatie voor het genereren van unieke sleutels voor de verificatie. Omdat deze sleutels zijn gegenereerd op de centrale RADIUS-server, biedt WPA2/WPA3 betere beveiliging dan de vooraf gedeelde WPA-sleutels die op de telefoon en het toegangspunt zijn opgeslagen.

• Snelle beveiligde roaming: gebruikt de RADIUS-server en de gegevens van een draadloze domeinserver (WDS) voor het beheren en verifiëren van sleutels. De WDS maakt een cache met beveiligingsreferenties voor CLIENTapparaten met FT-ondersteuning voor snelle en veilige reauthenticatie.

Bij WPA2/WPA3 worden coderingssleutels niet ingevoerd op de telefoon, maar worden automatisch afgeleid tussen het AP en de telefoon. Maar de EAP-gebruikersnaam en het wachtwoord die worden gebruikt voor de verificatie, moeten worden ingevoerd op elke telefoon.

Om spraakverkeer via de draadloze koppeling te beveiligen, ondersteunt de telefoon op basis van AES-codering voor WPA2/WPA3-verificatie. AES is een door NIST standaard symmetrische blokversleuteling. AES werkt met een vaste 128-bits blokgrootte en ondersteunt sleutelgroottes van 128 bits, 192 bits en 256 bits. In Wi-Fi netwerken wordt AES gebruikt door versleutelingssuites zoals CCMP of FAHRT, terwijl verificatie afzonderlijk wordt geleverd door PSK, SAE of 802.1X/EAP, afhankelijk van de geconfigureerde beveiligingsmodus van WLAN. De ondersteunde codeersuite en het sleutelformaat zijn afhankelijk van het telefoonmodel en de configuratie van WLAN.

Verificatie en coderingschema's worden ingesteld binnen het draadloze LAN-netwerk. VLAN's zijn geconfigureerd in het netwerk en op de toegangspunten en geven verschillende verificatie- en coderingscombinaties. Een SSID wordt gekoppeld aan een VLAN en het specifieke verificatie- en coderingsschema. Voor verificatie van draadloze clientapparaten moet u dezelfde SSID's configureren met hun verificatie- en coderingsprogramma's op de AP's en op de telefoon.

Sommige verificatieschema's vereisen specifieke coderingstypen.

In de verificatie- en encryptieschema's in de volgende tabel worden de netwerkconfiguratieopties voor Cisco Wireless Phone 9821 weergegeven die overeenkomt met de AP-configuratie.

Cisco Wireless Phone 9821 ondersteunt 802,1X-verificatie voor bekabelde netwerken. Deze wordt gewoonlijk gebruikt tijdens automatische provisionering wanneer de telefoon via een ondersteunde USB-naar-Ethernet-adapter op het bureaulader is aangesloten.

Ondersteuning voor 802.1x-verificatie op bedrade netwerken vereist verschillende componenten:

• Cisco IP-telefoon: de telefoon initieert het verzoek voor toegang tot het netwerk. Cisco IP-telefoon bevat een 802.1X-supplicant. Met deze supplicant kunnen netwerkbeheerders de verbinding regelen van IP-telefoons met de LAN-switchpoorten. De huidige versie van de 802.1X-supplicant voor de telefoon gebruikt de opties EAP-FAST en EAP-TLS voor netwerkverificatie.

• Verificatieserver: de verificatieserver en de switch moeten beide zijn geconfigureerd met een RADIUS-gedeeld geheim.

• Switch: de switch moet 802.1X ondersteunen, zodat deze kan fungeren als verificator en de EAP-berichten kan doorsturen tussen de telefoon en de verificatieserver. Nadat de uitwisseling is afgerond, kan de switch toegang tot het netwerk toestaan of weigeren.

Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel Cisco Discovery Protocol (CDP) om elkaar te herkennen en om parameters te bepalen zoals VLAN-toewijzing en inline voedingsvereisten.

U moet de volgende acties uitvoeren om 802.1X te configureren.

• Configureer CDP/LLDP spraak VLAN bypass.

• Configureer de verificatieserver en de switch voordat u 802.1X-verificatie voor bekabelde netwerken op de telefoon inschakelt.

• Spraak-VLAN configureren: omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de switchondersteuning.

  • Ingeschakeld: als u een switch gebruikt die multidomeinverificatie ondersteunt, kunt u deze configureren voor het gebruik van spraaknummer VLAN.
  • Uitgeschakeld: als de switch geen ondersteuning biedt voor multidomeinverificatie, schakelt u het spraak-VLAN uit en probeert u de poort toe te wijzen aan het native VLAN.

• Cisco Wireless Phone 9821 heeft een ander prefix in het PID dan het prefix voor de andere telefoons van het nummer Cisco. Om ervoor te zorgen dat uw telefoon 802.1X-verificatie doorgeeft, stelt u de Radius· Gebruikersnaamparameter voor uw draadloze telefoon Cisco 9821.

  Bijvoorbeeld, de PID van Cisco Wireless Phone 9821 is WP-9821. U kunt Radius· Gebruikersnaam om te beginnen met WP of Bevat WP in de beide volgende secties:

  • Beleid > Voorwaarden > Libraire Voorwaarden

  • Beleids > Beleidssets > Authorization Policy > Authorization Rule 1