Takk for tilbakemeldingen.

Fordi alle WLAN-enheter som er innenfor rekkevidde, kan motta all annen WLAN-trafikk, er sikring av talekommunikasjon kritisk i WLAN-er. For å sikre at inntrengere ikke manipulerer eller fanger opp taletrafikk, støtter Cisco SAFE Security-arkitekturen telefonen. Hvis du vil ha mer informasjon om sikkerhet i nettverk, kan du se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefoniløsningen Cisco Wireless IP gir trådløs nettverkssikkerhet som forhindrer uautoriserte pålogginger og kompromittert kommunikasjon ved å bruke følgende godkjenningsmetoder som telefonen støtter.

• Åpen godkjenning: Alle trådløse enheter kan be om godkjenning i et åpent system. Tilgangspunktet som mottar forespørselen kan gi godkjenning til en hvilken som helst anmoder eller bare til anmodere som finnes på en liste over brukere. Kommunikasjon mellom den trådløse enheten og tilgangspunktet (AP) kan være ukryptert.

• Utvidbar godkjenningsprotokoll-fleksibel godkjenning via sikker tunnelering (EAP-FAST) Godkjenning: Denne klient-server-sikkerhetsarkitekturen krypterer EAP-transaksjoner i en TLS)-tunnel (Transport Level Security) mellom AP- og RADIUS-serveren, for eksempel Identity Services Engine (ISE).

  TLS-tunnelen bruker PAC-legitimasjon (Protected Access Credentials) til godkjenning mellom klienten (telefon) og RADIUS-serveren. Serveren sender en AID (Authority ID) til klienten (telefonen), som igjen velger den riktige PAC-koden. Klienten (telefonen) returnerer en PAC-Opaque til RADIUS-serveren. Serveren dekrypterer PAC-koden med hovednøkkelen. Begge endepunktene inneholder nå PAC-nøkkelen, og det opprettes en TLS-tunnel. EAP-FAST støtter automatisk klargjøring av PAC-koder, men må du aktivere det på RADIUS-serveren.

  I ISE, som standard, utløper PAC om en uke. Hvis telefonen har en utløpt PAC-kode, tar godkjenning med RADIUS-serveren lengre tid mens telefonen får en ny PAC-kode. For å unngå forsinkelser ved klargjøring av PAC-koder kan du angi utløpsperioden for PAC-koder til 90 dager eller lenger på ISE- eller RADIUS-serveren.

• EAP-TLS-godkjenning (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS krever et klientsertifikat for godkjenning og nettverkstilgang. For trådløs EAP-TLS kan klientsertifikatet være MIC eller brukerinstallert sertifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos egenutviklede passordbaserte ordning for gjensidig godkjenning mellom klienten (telefonen) og en RADIUS-server. Telefonen kan bruke PEAP for autentisering med det trådløse nettverket. Både godkjenningsmetodene PEAP-MSCHAPV2 og PEAP-GTC støttes.

  For å støtte PEAP-GTC-godkjenning for Cisco Wireless Phone 9821, konfigurer den nødvendige policyen innenfor Cisco ISE-policysettet.

• Pre-Shared Key (PSK): Telefonen støtter ASCII og heksadesimale (HEX) formater. Du må bruke disse formatene når du konfigurerer en forhåndsdelt WPA2/SAE-nøkkel.

  ASCII: En ASCII-tegnstreng med en lengde på 8 til 63 tegn (0-9, små bokstaver a-z, store A-Z og spesialtegn). For eksempel,GREG123567@9ZX &W.

  HEX: En HEX-tegnstreng med 64 sekskantsifre i lengde (0-9, a-f eller A-F).

De følgende godkjenningsordningene bruker RADIUS-serveren til å håndtere godkjenningsnøkler:

• WPA2/WPA3: bruker RADIUS-serverinformasjon til å generere unike godkjenningsnøkler. Fordi disse nøklene genereres på den sentraliserte RADIUS-serveren, gir WPA2/WPA3 bedre sikkerhet enn forhåndsdelte WPA-nøkler som er lagret på tilgangspunktet og telefonen.

• Rask og sikker roaming: bruker RADIUS-serveren og informasjon fra en trådløst domene-server (WDS) til å håndtere og godkjenne nøkler. WDS oppretter en hurtigbuffer med sikkerhetslegitimasjon for FT-aktiverte klientenheter for rask og sikker reautentisering.

Med WPA2/WPA3 angis ikke krypteringsnøkler på telefonen, men avledes automatisk mellom tilgangspunktet og telefonen. Men EAP-brukernavnet og -passordet som brukes til godkjenning, må angis på hver telefon.

For å beskytte taletrafikk over den trådløse koblingen støtter telefonen AES-basert kryptering for WPA2/WPA3-godkjenning. AES er et symmetrisk blokkchiffer standardisert av NIST. AES bruker en fast 128-biters blokkstørrelse og støtter nøkkelstørrelser på 128 bits, 192 bits og 256 bits. I Wi-Fi-nettverk brukes AES av chiffreringssamlinger som CCMP eller GCMP, mens godkjenning gis separat av PSK, SAE eller 802.1X/EAP, avhengig av den konfigurerte WLAN-sikkerhetsmodusen. Den støttede chiffreringspakken og nøkkelstørrelsen avhenger av telefonmodellen og WLAN konfigurasjonen.

Godkjennings- og krypteringsordninger konfigureres innenfor det trådløse LAN-et. VLAN-er konfigureres i nettverket og på tilgangspunktene og angir forskjellige kombinasjoner av godkjenning og kryptering. En SSID knyttes til et VLAN og til den bestemte godkjennings og krypteringsordningen. For at trådløse klientenheter skal godkjennes, må du konfigurere de samme SSID-ene med godkjennings- og krypteringsskjemaene på tilgangspunktene og på telefonen.

Noen godkjenningsordninger krever bestemte typer kryptering.

Godkjennings- og krypteringsskjemaene i tabellen nedenfor viser nettverkskonfigurasjonsalternativene for Cisco trådløs telefon 9821 som tilsvarer tilgangspunktkonfigurasjon.

Cisco Trådløs telefon 9821 støtter 802.1X-godkjenning for kablede nettverk. Dette brukes vanligvis under automatisk klargjøring når telefonen er koblet til skrivebordsladeren via en støttet USB-til-Ethernet-adapter.

Støtte for 802.1X-godkjenning på kablede nettverk krever flere komponenter som følger:

• Cisco IP-telefon: Telefonen sender forespørselen om tilgang til nettverket. Cisco IP-telefoner inneholder en 802.1X-anmoder. Denne anmoderen tillater at nettverksadministratorer kontrollerer tilkoblingen for IP-telefoner til LAN-svitsjeportene. Den gjeldende versjonen av telefonens 802.1X-anmoder bruker alternativene EAP-FAST og EAP-TLS for nettverksgodkjenning.

• Godkjenningsserver: Både godkjenningsserveren og svitsjen må konfigureres med en delt RADIUS-hemmelighet.

• Svitsj: Svitsjen må støtte 802.1X, slik at den kan fungere som autentisator og videresende EAP-meldingene mellom telefonen og godkjenningsserveren. Etter at utvekslingen er fullført, gir eller avslår svitsjen tilgang til nettverket for telefonen.

Cisco IP-telefon og Cisco Catalyst-svitsjer bruker tradisjonelt CDP-protokollen (Cisco Discovery Protocol) til å identifisere hverandre og definere parametere, for eksempel VLAN-tildeling og innebygde strømkrav.

Du må utføre følgende handlinger for å konfigurere 802.1X.

• Konfigurer CDP/LLDP stemme VLAN bypass.

• Konfigurer godkjenningsserveren og svitsjen før du aktiverer 802.1X-godkjenning for kablede nettverk på telefonen.

• Konfigurer Tale-VLAN: 802.1X-standarden omfatter ikke VLAN-er, og derfor må du konfigurere denne innstillingen basert på svitsjstøtten.

  • Aktivert: Hvis du bruker en svitsj som støtter godkjenning på flere domener, kan du konfigurere den til å bruke stemmen VLAN.
  • Deaktivert: Hvis svitsjen ikke støtter godkjenning på flere domener, deaktiverer du Tale-VLAN og vurderer å tilordne porten til opprinnelig VLAN.

• Cisco Trådløs telefon 9821 har et annet prefiks i PID enn for de andre Cisco-telefonene. Hvis du vil at telefonen skal bestå 802.1X-godkjenning, angir du Radius· Brukernavnparameter for å inkludere Cisco trådløs telefon 9821.

  For eksempel er PID for Cisco trådløs telefon 9821 WP-9821. Du kan angi radius · Brukernavn til å begynne med WP eller inneholder WP i begge følgende seksjoner:

  • Retningslinjer > betingelser > bibliotekbetingelser

  • Policy > policysett> autorisasjonspolicy > autorisasjonsregel 1