Dziękujemy za opinię.

Telefony IP Cisco obsługują uwierzytelnianie 802.1X.

Telefony IP Cisco i przełączniki Cisco Catalyst tradycyjnie używają Cisco Discovery Protocol (CDP) do wzajemnej identyfikacji i określania parametrów, takich jak alokacja sieci VLAN i wymagania dotyczące zasilania w sieci. CDP nie identyfikuje lokalnie podłączonych stacji roboczych. Telefony IP Cisco zapewniają mechanizm przejściowy EAPOL. Mechanizm ten umożliwia stacji roboczej podłączonej do telefonu IP Cisco przekazywanie wiadomości EAPOL do uwierzytelniania 802.1X na przełączniku LAN. Mechanizm przejścia zapewnia, że telefon IP nie działa jako przełącznik LAN w celu uwierzytelniania punktu końcowego danych przed uzyskaniem dostępu do sieci.

Telefony IP Cisco zapewniają również mechanizm proxy EAPOL Logoff. Jeśli lokalnie podłączony komputer odłączy się od telefonu IP, przełącznik LAN nie widzi błędu fizycznego połączenia, ponieważ połączenie między przełącznikiem LAN a telefonem IP jest utrzymywane. Aby uniknąć naruszenia integralności sieci, telefon IP wysyła komunikat EAPOL-Logoff do przełącznika w imieniu dalszego komputera, który uruchamia przełącznik LAN w celu usunięcia wpisu uwierzytelniania dla dalszego komputera.

Obsługa uwierzytelniania 802.1X wymaga kilku komponentów:

• Telefon IP Cisco: Telefon inicjuje żądanie dostępu do sieci. Telefony IP Cisco zawierają prośbę 802.1X. Ta prośba pozwala administratorom sieci kontrolować łączność telefonów IP z portami przełączników LAN. Obecna wersja telefonu 802.1X supplicant wykorzystuje opcje EAP-FAST i EAP-TLS do uwierzytelniania sieciowego.

• Serwer uwierzytelniania: Serwer uwierzytelniania i przełącznik muszą być skonfigurowane z udostępnionym sekretem, który uwierzytelnia telefon.

• Przełącznik: Przełącznik musi obsługiwać 802.1X, aby mógł działać jako uwierzytelniacz i przekazywać wiadomości między telefonem a serwerem uwierzytelniania. Po zakończeniu wymiany przełącznik przyznaje lub odmawia telefonowi dostępu do sieci.

Aby skonfigurować 802.1X, należy wykonać następujące czynności.

• Skonfiguruj pozost ałe komponenty przed włączeniem uwierzytelniania 802.1X w telefonie.

• Skonfiguruj port komputera: Standard 802.1X nie uwzględnia sieci VLAN i dlatego zaleca, aby tylko jedno urządzenie było uwierzytelnione na określonym porcie przełącznika. Jednak niektóre przełączniki obsługują uwierzytelnianie wielodomenowe. Konfiguracja przełącznika określa, czy można podłączyć komputer do portu komputera w telefonie.

  • Włączone: Jeśli używasz przełącznika obsługującego uwierzytelnianie wielodomenowe, możesz włączyć port komputera i podłączyć do niego komputer. W takim przypadku telefony IP Cisco obsługują proxy EAPOL-Logoff do monitorowania wymiany uwierzytelniania między przełącznikiem a dołączonym komputerem.

    Aby uzyskać więcej informacji na temat obsługi IEEE 802.1X w przełącznikach Cisco Catalyst, zobacz przewodniki konfiguracji przełączników Cisco Catalyst pod adresem:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Wyłączone: Jeśli przełącznik nie obsługuje wielu urządzeń zgodnych z 802.1X na tym samym porcie, należy wyłączyć port komputera, gdy włączone jest uwierzytelnianie 802.1X. Jeśli nie wyłączysz tego portu, a następnie spróbujesz podłączyć do niego komputer, przełącznik odmawia dostępu do sieci zarówno do telefonu, jak i komputera.

• Konfigurowanie sieci VLAN głosowej: Ponieważ standard 802.1X nie uwzględnia sieci VLAN, należy skonfigurować to ustawienie w oparciu o obsługę przełączników.
  • Włączone: Jeśli używasz przełącznika obsługującego uwierzytelnianie wielodomenowe, możesz go kontynuować, aby używać głosowej sieci VLAN.
  • Wyłączone: Jeśli przełącznik nie obsługuje uwierzytelniania wielodomenowego, wyłącz Voice VLAN i rozważ przypisanie portu do natywnej sieci VLAN.
• (Tylko dla telefonu biurkowego Cisco z serii 9800)

  Cisco Desk Phone 9800 Series ma inny prefiks w PID niż w przypadku innych telefonów Cisco. Aby umożliwić telefonowi uwierzytelnianie 802.1X, ustaw parametr Radius · Nazwa użytkownika tak, aby zawierał telefon Cisco Desk Phone 9800 Series.

  Na przykład identyfikator PID telefonu 9841 to DP-9841; można ustawić Radius·UserName na lub. Start with DPContains DP Możesz ustawić go w obu poniższych sekcjach:

  • Zasady > War unki > War unki biblioteki

  • Zasady > Zest awy zasad > Zasady autoryzacji > Reguła autoryzacji 1

Ponieważ wszystkie urządzenia WLAN znajdujące się w zasięgu mogą odbierać cały inny ruch WLAN, zabezpieczenie komunikacji głosowej ma kluczowe znaczenie w sieciach sieci WLAN. Aby zapewnić, że intruzi nie manipulują ani nie przechwytują ruchu głosowego, architektura Cisco SAFE Security obsługuje telefon. Aby uzyskać więcej informacji na temat bezpieczeństwa w sieciach, zobacz http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Rozwiązanie Cisco Wireless IP zapewnia bezpieczeństwo sieci bezprzewodowej, które zapobiega nieautoryzowanemu logowaniu i zagrożonej komunikacji przy użyciu następujących metod uwierzytelniania obsługiwanych przez telefon:

• Otwarte uwierzytelnianie: Każde urządzenie bezprzewodowe może zażądać uwierzytelniania w otwartym systemie. AP, który otrzyma żądanie, może przyznać uwierzytelnienie dowolnemu wnioskodawcy lub tylko wnioskodawcom znajdującym się na liście użytkowników. Komunikacja między urządzeniem bezprzewodowym a punktem dostępowym (AP) może być niezaszyfrowana.

• Rozszerzalny protokół uwierzytelniania — elastyczne uwierzytelnianie za pomocą bezpiecznego tunelowania (EAP-FAST): Ta architektura zabezpieczeń klient-serwer szyfruje transakcje EAP w tunelu zabezpieczeń poziomu transportu (TLS) między punktem AP a serwerem RADIUS, takim jak Identity Services Engine (ISE).

  Tunel TLS używa poświadczeń dostępu chronionego (PAC) do uwierzytelniania między klientem (telefonem) a serwerem RADIUS. Serwer wysyła identyfikator Authority ID (AID) do klienta (telefon), który z kolei wybiera odpowiedni PAC. Klient (telefon) zwraca nieprzezroczysty PAC na serwer RADIUS. Serwer odszyfruje PAC za pomocą klucza podstawowego. Oba punkty końcowe zawierają teraz klucz PAC i tworzony jest tunel TLS. EAP-FAST obsługuje automatyczne udostępnianie PAC, ale należy je włączyć na serwerze RADIUS.

  W ISE domyślnie PAC wygasa w ciągu tygodnia. Jeśli telefon ma wygasły PAC, uwierzytelnianie za pomocą serwera RADIUS trwa dłużej, podczas gdy telefon otrzyma nowy PAC. Aby uniknąć opóźnień w udostępnianiu PAC, ustaw okres wygaśnięcia PAC na 90 dni lub dłużej na serwerze ISE lub RADIUS.

• U@@ wierzytelnianie EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS wymaga certyfikatu klienta do uwierzytelniania i dostępu do sieci. W przypadku bezprzewodowego EAP-TLS certyfikatem klienta może być certyfikat MIC, LSC lub certyfikat zainstalowany przez użytkownika.

• Protected Extensible Authentication Protocol (PEAP): autorski system wzajemnego uwierzytelniania oparty na hasłach firmy Cisco między klientem (telefonem) a serwerem RADIUS. Telefon może używać PEAP do uwierzytelniania w sieci bezprzewodowej. Obsługiwane są zarówno metody uwierzytelniania PEAP-MSCHAPV2, jak i PEAP-GTC.

• Pre-Shared Key (PSK): Telefon obsługuje format ASCII. Podczas konfigurowania klucza wstępnie udostępnionego WPA/WPA2/SAE należy użyć tego formatu:

  ASCII: ciąg znaków ASCII o długości od 8 do 63 znaków (0-9, małe i wielkie litery A-Z oraz znaki specjalne)

  Przykład: GREG123567 @9ZX &W

Następujące schematy uwierzytelniania wykorzystują serwer RADIUS do zarządzania kluczami uwierzytelniania:

• WPA/WPA2/WPA3: Wykorzystuje informacje serwera RADIUS do generowania unikalnych kluczy do uwierzytelniania. Ponieważ klucze te są generowane na scentralizowanym serwerze RADIUS, WPA2/WPA3 zapewnia większe bezpieczeństwo niż klucze wstępnie udostępnione WPA, które są przechowywane w punkcie AP i telefonie.

• Szybki bezpieczny roaming: wykorzystuje serwer RADIUS i informacje o serwerze domeny bezprzewodowej (WDS) do zarządzania kluczami i ich uwierzytelniania. WDS tworzy pamięć podręczną danych uwierzytelniających zabezpieczeń dla urządzeń klienckich z obsługą FT w celu szybkiego i bezpiecznego ponownego uwierzytelniania. Telefony Cisco Desk Phone 9861 i 9871 oraz Cisco Video Phone 8875 obsługują standard 802.11r (FT). Obsługiwane są zarówno drogą powietrzną, jak i przez DS, aby umożliwić szybki bezpieczny roaming. Ale zdecydowanie zalecamy użycie metody 802.11r (FT) over air.

W przypadku WPA/WPA2/WPA3 klucze szyfrowania nie są wprowadzane w telefonie, ale są automatycznie pobierane między punktem dostępowym a telefonem. Ale nazwa użytkownika i hasło EAP, które są używane do uwierzytelniania, muszą być wprowadzone na każdym telefonie.

Aby zapewnić bezpieczeństwo ruchu głosowego, telefon obsługuje szyfrowanie TKIP i AES. Gdy te mechanizmy są używane do szyfrowania, zarówno pakiety sygnalizacyjne SIP, jak i pakiety głosowego protokołu transportu w czasie rzeczywistym (RTP) są szyfrowane między punktem dostępowym a telefonem.

TKIP

WPA wykorzystuje szyfrowanie TKIP, które ma kilka ulepszeń w stosunku do WEP. TKIP zapewnia szyfrowanie kluczy na pakiet i dłuższe wektory inicjalizacji (IV), które wzmacniają szyfrowanie. Ponadto kontrola integralności wiadomości (MIC) zapewnia, że zaszyfrowane pakiety nie są zmieniane. TKIP usuwa przewidywalność WEP, która pomaga intruzom rozszyfrować klucz WEP.

AES

Metoda szyfrowania używana do uwierzytelniania WPA2/WPA3. Ten krajowy standard szyfrowania wykorzystuje symetryczny algorytm, który ma ten sam klucz do szyfrowania i deszyfrowania. AES wykorzystuje szyfrowanie Cipher Blocking Chain (CBC) o rozmiarze 128 bitów, które obsługuje rozmiary kluczy co najmniej 128 bitów, 192 bitów i 256 bitów. Telefon obsługuje rozmiar klucza 256 bitów.

Schematy uwierzytelniania i szyfrowania są konfigurowane w bezprzewodowej sieci LAN. VLAN są konfigurowane w sieci i na punktach dostępowych i określają różne kombinacje uwierzytelniania i szyfrowania. SSID kojarzy się z siecią VLAN i konkretnym schematem uwierzytelniania i szyfrowania. Aby urządzenia klienckie bezprzewodowe mogły się uwierzytelnić pomyślnie, należy skonfigurować te same identyfikatory SSID z ich schematami uwierzytelniania i szyfrowania na punktach dostępowych i telefonie.

Niektóre schematy uwierzytelniania wymagają określonych rodzajów szyfrowania.

Schematy uwierzytelniania i szyfrowania w poniższej tabeli przedstawiają opcje konfiguracji sieci dla telefonu odpowiadającego konfiguracji AP.