Takk for tilbakemeldingen.

Fordi alle WLAN-enheter som er innenfor rekkevidde, kan motta all annen WLAN-trafikk, er sikring av talekommunikasjon avgjørende i WLAN-er. For å sikre at inntrengere ikke manipulerer eller fanger opp taletrafikk, støtter Cisco SAFE Security-arkitekturen telefonen. Hvis du vil ha mer informasjon om sikkerhet i nettverk, kan du se http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefoni-løsningen gir trådløs nettverkssikkerhet som forhindrer uautoriserte pålogginger og kompromittert kommunikasjon ved å bruke følgende autentiseringsm etoder som telefonen støtter.

• Åpen autentisering: Enhver trådløs enhet kan be om godkjenning i et åpent system. Tilgangspunktet som mottar forespørselen, kan gi godkjenning til enhver anmoder eller bare til forespørsler som finnes på en liste over brukere. Kommunikasjon mellom den trådløse enheten og tilgangspunktet (AP) kan ikke være kryptert.

• Utvidbar autentiseringsprotokoll - Fleksibel autentisering via EAP-FAST-godkjenning (Secure Tunneling): Denne sikkerhetsarkitekturen mellom klient og server krypterer EAP-transaksjoner i en TLS-tunnel (Transport Level Security) mellom AP og RADIUS-serveren, for eksempel Identity Services Engine (ISE).

  TLS-tunnelen bruker PAC (Protected Access Credentials) for godkjenning mellom klienten (telefonen) og RADIUS-serveren. Serveren sender en Authority ID (AID) til klienten (telefon), som igjen velger riktig PAC. Klienten (telefonen) returnerer en PAC-opak til RADIUS-tjeneren. Serveren dekrypterer PAC med primærnøkkelen. Begge endepunktene inneholder nå PAC-nøkkelen, og det opprettes en TLS-tunnel. EAP-FAST støtter automatisk PAC-klargjøring, men du må aktivere den på RADIUS-tjeneren.

  I ISE utløper PAC som standard om en uke. Hvis telefonen har en utløpt PAC, tar autentisering med RADIUS-serveren lengre tid mens telefonen får en ny PAC. Hvis du vil unngå forsinkelser i PAC-klargjøring, angir du PAC-utløpsperioden til 90 dager eller lenger på ISE- eller RADIUS-tjeneren.

• EAP@@ -TLS-godkjenning (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS krever et klientsertifikat for godkjenning og nettverkstilgang. For trådløs EAP-TLS kan klientsertifikatet være MIC eller brukerinstallert sertifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos proprietære passordbasert gjensidig autentiseringsskjema mellom klienten (telefonen) og en RADIUS-server. Telefonen kan bruke PEAP for autentisering med det trådløse nettverket. Både PEAP-MSCHAPV2- og PEAP-GTC-godkjenningsmetoder støttes.

  Hvis du vil støtte PEAP-GTC-godkjenning for Cisco Wireless Phone 9821, konfigurerer du den nødvendige policyen i Cisco ISE-policysettet.

• Pre-Shared Key (PSK): Telef onen støtter ASCII- og heksadesimale (HEX) formater. Du må bruke disse formatene når du konfigurerer en WPA2/SAE forhåndsdelt nøkkel.

  ASCII: En ASCII-tegnstreng med 8 til 63 tegn i lengde (0-9, små bokstaver a-z, store bokstav er A-Z og spesialtegn). For eksempel, GREG123567@9ZX&W.

  HEX: En seks-tegnstreng med 64 sekskantsifre i lengde (0-9, a-f eller A-F).

Følgende godkjenningsskjemaer bruker RADIUS-tjeneren til å administrere godkjenningsnøkler:

• WPA2/WPA3: Bruker RADIUS-serverinformasjon til å generere unike nøkler for autentisering. Fordi disse nøklene genereres på den sentraliserte RADIUS-serveren, gir WPA2/WPA3 mer sikkerhet enn WPA-forhåndsdelte nøkler som er lagret på AP og telefon.

• Rask sikker roaming: Bruker RADIUS-server og WDS-informasjon (Wireless Domain Server) til å administrere og autentisere nøkler. WDS oppretter en hurtigbuffer med sikkerhetsinformasjon for FT-aktiverte klientenheter for rask og sikker reautentisering.

Med WPA2/WPA3 legges ikke krypteringsnøkler inn på telefonen, men blir automatisk avledet mellom AP og telefon. Men EAP-brukernavnet og passordet som brukes til autentisering må oppgis på hver telefon.

For å beskytte taletrafikken over den trådløse koblingen støtter telefonen AES-basert kryptering for WPA2/WPA3-godkjenning. AES er en symmetrisk blokkchiffer standardisert av NIST. AES bruker en fast 128-bit blokkstørrelse og støtter nøkkelstørrelser på 128 bits, 192 bits og 256 bits. I Wi-Fi-nettverk brukes AES av chifferpakker som CCMP eller GCMP, mens autentisering leveres separat av PSK, SAE eller 802.1X/EAP, avhengig av konfigurert WLAN-sikkerhetsmodus. Den støttede chifferpakken og nøkkelstørrelsen avhenger av telefon modellen og WLAN-konfigurasjonen.

Autentiserings- og krypteringsordninger er satt opp i det trådløse LAN. VLAN-er er konfigurert i nettverket og på AP-ene og spesifiserer forskjellige kombinasjoner av autentisering og kryptering. En SSID assosieres med et VLAN og det bestemte autentiserings- og krypteringsskjemaet. For at trådløse klientenheter skal kunne godkjennes, må du konfigurere de samme SSID-ene med deres autentiserings- og krypteringsordninger på AP-ene og på telefonen.

Noen autentiseringsordninger krever spesifikke typer kryptering.

Autentiserings- og krypteringsskjemaene i tabellen nedenfor viser nettverkskon figurasjonsalternativene for Cisco Wireless Phone 9821 som tilsvarer AP-konfigurasjonen.

Cisco Wireless Phone 9821 støtter 802.1X-godkjenning for kablede nettverk. Dette brukes vanligvis under automatisk klargjøring når telefonen er koblet til stasjonær lader via en støttet USB-til-Ethernet-adapter.

Støtte for 802.1X-godkjenning på kablede nettverk krever flere komponenter som følger:

• Cisco IP-telefon: Telefonen starter forespørselen om tilgang til nettverket. Cisco IP-telefoner inneholder en 802.1X supplicant. Denne supplicanten lar nettverksadministratorer kontrollere tilkoblingen til IP-telefoner til LAN-bryterportene. Den nåværende versjonen av telefon 802.1X-supplicant bruker alternativene EAP-FAST og EAP-TLS for nettverksgodkjenning.

• Autentiseringsserver: Autentiseringsserveren og bryteren må begge konfigureres med en RADIUS-delt hemmelighet.

• Bryter: Bryteren må støtte 802.1X, slik at den kan fungere som autentisereren og vider esende EAP-meldingene mellom telefonen og godkjenningsserveren. Etter at utvekslingen er fullført, gir eller nekter bryteren telefonens tilgang til nettverket.

Cisco IP-telefoner og Cisco Catalyst-svitsjer bruker tradisjonelt Cisco Discovery Protocol (CDP) til å identifisere hverandre og bestemme parametere som VLAN-tildeling og innebygde strømkrav.

Du må utføre følgende handlinger for å konfigurere 802.1X.

• Konfigurer CDP/LLDP-stemme-VLAN-bypass.

• Konfigurer godkjenningsserveren og bryteren før du aktiverer 802.1X-god kjenning for kablede nettverk på telefonen.

• Konfigurer Voice VLAN: Fordi 802.1X-standarden ikke tar hensyn til VLAN-er, bør du konfigurere denne innstillingen basert på svitsjstøtten.

  • Aktivert: Hvis du bruker en bryter som støtter godkjenning med flere domener, kan du konfigurere den til å bruke tale-VLAN.
  • Deaktivert: Hvis bryteren ikke støtter godkjenning med flere domener, deaktiverer du Voice VLAN og vurderer å tilordne porten til det opprinnelige VLAN-et.

• Cisco Wireless Phone 9821 har et annet prefiks i PID enn for de andre Cisco-telefonene. Hvis du vil aktivere telefonen til å passere 802.1X-godkjenning, angir du Radius·User-Nam e-parameteren til å inkludere Cisco Wireless Phone 9821.

  For eksempel er PID for Cisco Wireless Phone 9821 WP-9821. Du kan angi Radius·Brukernavn til Start with WPeller Contains WPi begge følgende seksjoner:

  • Retnings linjer > Beting elser > Bibliotekbetingelser

  • Policy > Retningslinjes ett > Autorisasjonspolicy > Autorisasjonsregel 1