Takk for tilbakemeldingen.

Cisco IP- telefoner støtter 802.1X-godkjenning.

Cisco IP-telefoner og Cisco Catalyst-svitsjer bruker tradisjonelt Cisco Discovery Protocol (CDP) til å identifisere hverandre og bestemme parametere som VLAN-tildeling og innebygde strømkrav. CDP identifiserer ikke lokalt tilknyttede arbeidsstasjoner. Cisco IP-telefoner gir en EAPOL-gjennomgangsmekanisme. Denne mekanismen gjør det mulig for en arbeidsstasjon som er koblet til Cisco IP-telefonen, å sende EAPOL-meldinger til 802.1X-autentisereren ved LAN-bryteren. Gjennomgangsmekanismen sikrer at IP-telefonen ikke fungerer som LAN-bryteren for å autentisere et dataendepunkt før du får tilgang til nettverket.

Cisco IP-telefoner gir også en proxy EAPOL Logoff-mekanisme. Hvis den lokalt tilkoblede PC-en kobler fra IP-telefonen, ser ikke LAN-bryteren at den fysiske koblingen mislykkes, fordi koblingen mellom LAN-bryteren og IP-telefonen opprettholdes. For å unngå å kompromittere nettverksintegriteten sender IP-telefonen en EAPOL-logoff-melding til bryteren på vegne av nedstrøms PC, som utløser LAN-bryteren for å fjerne autentiseringsoppføringen for nedstrøms PC.

Støtte for 802.1X-godkjenning krever flere komponenter:

• Cisco IP-telefon: Telefonen starter forespørselen om tilgang til nettverket. Cisco IP-telefoner inneholder en 802.1X supplicant. Denne supplicanten lar nettverksadministratorer kontrollere tilkoblingen til IP-telefoner til LAN-bryterportene. Den nåværende versjonen av telefon 802.1X-supplicant bruker alternativene EAP-FAST og EAP-TLS for nettverksgodkjenning.

• Autentiseringsserver: Godkjenningsserveren og bryteren må begge konfigureres med en delt hemmelighet som autentiserer telefonen.

• Bryter: Bryteren må støtte 802.1X, slik at den kan fungere som autentisereren og sende meldingene mellom telefonen og godkjenningsserveren. Etter at utvekslingen er fullført, gir eller nekter bryteren telefonens tilgang til nettverket.

Du må utføre følgende handlinger for å konfigurere 802.1X.

• Konfigurer de andre komponentene før du aktiverer 802.1X-godkjenning på telefonen.

• Konfigurer PC-port: 802.1X-standarden tar ikke hensyn til VLAN-er og anbefaler derfor at bare en enkelt enhet skal autentiseres til en bestemt svitsjport. Noen brytere støtter imidlertid multidomene-autentisering. Bryterkonfigurasjonen avgjør om du kan koble en PC til PC-porten på telefonen.

  • Aktivert: Hvis du bruker en bryter som støtter godkjenning med flere domener, kan du aktivere PC-porten og koble en PC til den. I dette tilfellet støtter Cisco IP-telefoner proxy EAPOL-Logoff for å overvåke autentiseringsutvekslingene mellom bryteren og den tilkoblede PC-en.

    Hvis du vil ha mer informasjon om IEEE 802.1X-støtte for Cisco Catalyst-svitsjene, kan du se konfigurasjonsveiledningene for Cisco Catalyst-svitsjer på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Deaktivert: Hvis bryteren ikke støtter flere 802.1X-kompatible enheter på samme port, bør du deaktivere PC-porten når 802.1X-godkjenning er aktivert. Hvis du ikke deaktiverer denne porten og deretter prøver å koble en PC til den, nekter bryteren nettverkstilgang til både telefonen og PC-en.

• Konfigurer Voice VLAN: Fordi 802.1X-standarden ikke tar hensyn til VLAN-er, bør du konfigurere denne innstillingen basert på svitsjstøtten.
  • Aktivert: Hvis du bruker en bryter som støtter godkjenning med flere domener, kan du fortsette med å bruke tale-VLAN.
  • Deaktivert: Hvis bryteren ikke støtter godkjenning med flere domener, deaktiverer du Voice VLAN og vurderer å tilordne porten til det opprinnelige VLAN-et.
• (Kun for Cisco Desk Phone 9800-serien)

  Cisco Desk Phone 9800-serien har et annet prefiks i PID enn for de andre Cisco-telefonene. Hvis du vil aktivere telefonen til å passere 802.1X-godkjenning, angir du Radius·User-Nam e-parameteren til å inkludere Cisco Desk Phone 9800-serien.

  For eksempel er PID på telefon 9841 DP-9841; du kan angi Radius·Brukernavn til eller. Start with DPContains DP Du kan angi det i begge følgende seksjoner:

  • Retnings linjer > Beting elser > Bibliotekbetingelser

  • Policy > Retningslinjes ett > Autorisasjonspolicy > Autorisasjonsregel 1

Fordi alle WLAN-enheter som er innenfor rekkevidde, kan motta all annen WLAN-trafikk, er sikring av talekommunikasjon avgjørende i WLAN-er. For å sikre at inntrengere ikke manipulerer eller fanger opp taletrafikk, støtter Cisco SAFE Security-arkitekturen telefonen. Hvis du vil ha mer informasjon om sikkerhet i nettverk, kan du se http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefoni-løsningen gir trådløs nettverkssikkerhet som forhindrer uautoriserte pålogginger og kompromittert kommunikasjon ved å bruke følgende autentiseringsmetoder som telefonen støtter:

• Åpen autentisering: Enhver trådløs enhet kan be om godkjenning i et åpent system. Tilgangspunktet som mottar forespørselen, kan gi godkjenning til enhver anmoder eller bare til forespørsler som finnes på en liste over brukere. Kommunikasjon mellom den trådløse enheten og tilgangspunktet (AP) kan ikke være kryptert.

• Utvidbar autentiseringsprotokoll - Fleksibel autentisering via EAP-FAST-godkjenning (Secure Tunneling): Denne sikkerhetsarkitekturen mellom klient og server krypterer EAP-transaksjoner i en TLS-tunnel (Transport Level Security) mellom AP og RADIUS-serveren, for eksempel Identity Services Engine (ISE).

  TLS-tunnelen bruker PAC (Protected Access Credentials) for godkjenning mellom klienten (telefonen) og RADIUS-serveren. Serveren sender en Authority ID (AID) til klienten (telefon), som igjen velger riktig PAC. Klienten (telefonen) returnerer en PAC-opak til RADIUS-tjeneren. Serveren dekrypterer PAC med primærnøkkelen. Begge endepunktene inneholder nå PAC-nøkkelen, og det opprettes en TLS-tunnel. EAP-FAST støtter automatisk PAC-klargjøring, men du må aktivere den på RADIUS-tjeneren.

  I ISE utløper PAC som standard om en uke. Hvis telefonen har en utløpt PAC, tar autentisering med RADIUS-serveren lengre tid mens telefonen får en ny PAC. Hvis du vil unngå forsinkelser i PAC-klargjøring, angir du PAC-utløpsperioden til 90 dager eller lenger på ISE- eller RADIUS-tjeneren.

• EAP@@ -TLS-godkjenning (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS krever et klientsertifikat for godkjenning og nettverkstilgang. For trådløs EAP-TLS kan klientsertifikatet være MIC, LSC eller brukerinstallert sertifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos proprietære passordbasert gjensidig autentiseringsskjema mellom klienten (telefonen) og en RADIUS-server. Telefonen kan bruke PEAP for autentisering med det trådløse nettverket. Både PEAP-MSCHAPV2- og PEAP-GTC-godkjenningsmetoder støttes.

• Pre-Shared Key (PSK): Telef onen støtter ASCII-format. Du må bruke dette formatet når du konfigurerer en WPA/WPA2/SAE forhåndsdelt nøkkel:

  ASCII: en ASCII-tegnstreng med 8 til 63 tegn i lengde (0-9, små og store bokstaver A-Z og spesialtegn)

  Eksempel: GREG123567 @9ZX &W

Følgende godkjenningsskjemaer bruker RADIUS-tjeneren til å administrere godkjenningsnøkler:

• WPA/WPA2/WPA3: Bruker RADIUS-serverinformasjon til å generere unike nøkler for godkjenning. Fordi disse nøklene genereres på den sentraliserte RADIUS-serveren, gir WPA2/WPA3 mer sikkerhet enn WPA-forhåndsdelte nøkler som er lagret på AP og telefon.

• Rask sikker roaming: Bruker RADIUS-server og WDS-informasjon (Wireless Domain Server) til å administrere og autentisere nøkler. WDS oppretter en hurtigbuffer med sikkerhetsinformasjon for FT-aktiverte klientenheter for rask og sikker reautentisering. Cisco Desk Phone 9861 og 9871 og Cisco Video Phone 8875 støtter 802.11r (FT). Både over luften og over DS støttes for å muliggjøre rask sikker roaming. Men vi anbefaler på det sterkeste å bruke 802.11r (FT) over air-metoden.

Med WPA/WPA2/WPA3 legges ikke krypteringsnøkler inn på telefonen, men blir automatisk avledet mellom AP og telefon. Men EAP-brukernavnet og passordet som brukes til autentisering må oppgis på hver telefon.

For å sikre at taletrafikken er sikker, støtter telefonen TKIP og AES for kryptering. Når disse mekanismene brukes til kryptering, krypteres både signalerende SIP-pakker og RTP-pakker (Voice Real-Time Transport Protocol) mellom AP og telefonen.

TKIP

WPA bruker TKIP-kryptering som har flere forbedringer i forhold til WEP. TKIP gir nøkkelkryptering per pakke og lengre initialiseringsvektorer (IV) som styrker krypteringen. I tillegg sikrer en meldingsintegritetskontroll (MIC) at krypterte pakker ikke endres. TKIP fjerner forutsigbarheten til WEP som hjelper inntrengere med å tyde WEP-nøkkelen.

AES

En krypteringsmetode som brukes til WPA2/WPA3-godkjenning. Denne nasjonale standarden for kryptering bruker en symmetrisk algoritme som har samme nøkkel for kryptering og dekryptering. AES bruker Cipher Blocking Chain (CBC) kryptering på 128 bits i størrelse, som støtter nøkkelstørrelser på 128 biter, 192 biter og 256 biter, som et minimum. Telefonen støtter en nøkkelstørrelse på 256 biter.

Autentiserings- og krypteringsordninger er satt opp i det trådløse LAN. VLAN-er er konfigurert i nettverket og på AP-ene og spesifiserer forskjellige kombinasjoner av autentisering og kryptering. En SSID assosieres med et VLAN og det bestemte autentiserings- og krypteringsskjemaet. For at trådløse klientenheter skal kunne godkjennes, må du konfigurere de samme SSID-ene med deres autentiserings- og krypteringsordninger på AP-ene og på telefonen.

Noen autentiseringsordninger krever spesifikke typer kryptering.

Autentiserings- og krypteringsskjemaene i tabellen nedenfor viser nettverkskonfigurasjonsalternativene for telefonen som tilsvarer AP-konfigurasjonen.