Dziękujemy za opinię.

Ponieważ wszystkie urządzenia WLAN znajdujące się w zasięgu mogą odbierać cały inny ruch WLAN, zabezpieczenie komunikacji głosowej ma kluczowe znaczenie w sieciach sieci WLAN. Aby zapewnić, że intruzi nie manipulują ani nie przechwytują ruchu głosowego, architektura Cisco SAFE Security obsługuje telefon. Aby uzyskać więcej informacji na temat bezpieczeństwa w sieciach, zobacz http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Rozwiązanie Cisco Wireless IP zapewnia bezpieczeństwo sieci bezprzewodowej, które zapobiega nieautoryzowanemu logowaniu i naruszeniu komunikacji przy użyciu następujących metod uwierzytelniania obsługiwanych przez telefon.

• Otwarte uwierzytelnianie: Każde urządzenie bezprzewodowe może zażądać uwierzytelniania w otwartym systemie. AP, który otrzyma żądanie, może przyznać uwierzytelnienie dowolnemu wnioskodawcy lub tylko wnioskodawcom znajdującym się na liście użytkowników. Komunikacja między urządzeniem bezprzewodowym a punktem dostępowym (AP) może być niezaszyfrowana.

• Rozszerzalny protokół uwierzytelniania — elastyczne uwierzytelnianie za pomocą bezpiecznego tunelowania (EAP-FAST): Ta architektura zabezpieczeń klient-serwer szyfruje transakcje EAP w tunelu zabezpieczeń poziomu transportu (TLS) między punktem AP a serwerem RADIUS, takim jak Identity Services Engine (ISE).

  Tunel TLS używa poświadczeń dostępu chronionego (PAC) do uwierzytelniania między klientem (telefonem) a serwerem RADIUS. Serwer wysyła identyfikator Authority ID (AID) do klienta (telefon), który z kolei wybiera odpowiedni PAC. Klient (telefon) zwraca nieprzezroczysty PAC na serwer RADIUS. Serwer odszyfruje PAC za pomocą klucza podstawowego. Oba punkty końcowe zawierają teraz klucz PAC i tworzony jest tunel TLS. EAP-FAST obsługuje automatyczne udostępnianie PAC, ale należy je włączyć na serwerze RADIUS.

  W ISE domyślnie PAC wygasa w ciągu tygodnia. Jeśli telefon ma wygasły PAC, uwierzytelnianie za pomocą serwera RADIUS trwa dłużej, podczas gdy telefon otrzyma nowy PAC. Aby uniknąć opóźnień w udostępnianiu PAC, ustaw okres wygaśnięcia PAC na 90 dni lub dłużej na serwerze ISE lub RADIUS.

• U@@ wierzytelnianie EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS wymaga certyfikatu klienta do uwierzytelniania i dostępu do sieci. W przypadku bezprzewodowego EAP-TLS certyfikatem klienta może być certyfikat MIC lub certyfikat zainstalowany przez użytkownika.

• Protected Extensible Authentication Protocol (PEAP): autorski system wzajemnego uwierzytelniania oparty na hasłach firmy Cisco między klientem (telefonem) a serwerem RADIUS. Telefon może używać PEAP do uwierzytelniania w sieci bezprzewodowej. Obsługiwane są zarówno metody uwierzytelniania PEAP-MSCHAPV2, jak i PEAP-GTC.

  Aby obsługiwać uwierzytelnianie PEAP-GTC dla telefonu bezprzewodowego Cisco 9821, skonfiguruj niezbędne zasady w zestawie zasad Cisco ISE.

• Pre-Shared Key (PSK): Telefon obsługuje formaty ASCII i szesnastkowe (HEX). Należy używać tych formatów podczas konfigurowania klucza wstępnie udostępnionego WPA2/SAE.

  ASCII: Ciąg znaków ASCII o długości od 8 do 63 znaków (0-9, małe litery a-z, wielkie litery A-Z i znaki specjalne). Na przykład, GREG123567@9ZX&W.

  HEX: Cią g znakowy Hex o długości 64 cyfr sześciokątnych (0-9, a-f lub A-F).

Następujące schematy uwierzytelniania wykorzystują serwer RADIUS do zarządzania kluczami uwierzytelniania:

• WPA2/WPA3: Wykorzystuje informacje serwera RADIUS do generowania unikalnych kluczy do uwierzytelniania. Ponieważ klucze te są generowane na scentralizowanym serwerze RADIUS, WPA2/WPA3 zapewnia większe bezpieczeństwo niż klucze wstępnie udostępnione WPA, które są przechowywane w punkcie AP i telefonie.

• Szybki bezpieczny roaming: wykorzystuje serwer RADIUS i informacje o serwerze domeny bezprzewodowej (WDS) do zarządzania kluczami i ich uwierzytelniania. WDS tworzy pamięć podręczną danych uwierzytelniających zabezpieczeń dla urządzeń klienckich z obsługą FT w celu szybkiego i bezpiecznego ponownego uwierzytelniania.

W przypadku WPA2/WPA3 klucze szyfrowania nie są wprowadzane w telefonie, ale są automatycznie pobierane między punktem AP a telefonem. Ale nazwa użytkownika i hasło EAP, które są używane do uwierzytelniania, muszą być wprowadzone na każdym telefonie.

Aby chronić ruch głosowy przez łącze bezprzewodowe, telefon obsługuje szyfrowanie oparte na AES w celu uwierzytelniania WPA2/WPA3. AES to symetryczny szyfr blokowy standaryzowany przez NIST. AES wykorzystuje stały rozmiar bloku 128-bitowego i obsługuje rozmiary kluczy 128 bitów, 192 bitów i 256 bitów. W sieciach Wi-Fi AES jest używany przez pakiety szyfrowania, takie jak CCMP lub GCMP, podczas gdy uwierzytelnianie jest zapewniane oddzielnie przez PSK, SAE lub 802.1X/EAP, w zależności od skonfigurowanego trybu bezpieczeństwa WLAN. Obsługiwany pakiet szyfrów i rozmiar klucza zależą od modelu telefonu i konfiguracji sieci WLAN.

Schematy uwierzytelniania i szyfrowania są konfigurowane w bezprzewodowej sieci LAN. VLAN są konfigurowane w sieci i na punktach dostępowych i określają różne kombinacje uwierzytelniania i szyfrowania. SSID kojarzy się z siecią VLAN i konkretnym schematem uwierzytelniania i szyfrowania. Aby urządzenia klienckie bezprzewodowe mogły się uwierzytelnić pomyślnie, należy skonfigurować te same identyfikatory SSID z ich schematami uwierzytelniania i szyfrowania na punktach dostępowych i telefonie.

Niektóre schematy uwierzytelniania wymagają określonych rodzajów szyfrowania.

Schematy uwierzytelniania i szyfrowania w poniższej tabeli przedstawiono opcje konfiguracji sieci dla Cisco Wireless Phone 9821 odpowiadające konfiguracji punktu dostępowego.

Cisco Wireless Phone 9821 obsługuje uwierzytelnianie 802.1X dla sieci przewodowych. Jest to zwykle używane podczas automatycznego udostępniania, gdy telefon jest podłączony do ładowarki stacjonar nej za pomocą obsługiwanego adaptera USB-to-Ethernet.

Obsługa uwierzytelniania 802.1X w sieciach przewodowych wymaga kilku następujących komponentów :

• Telefon IP Cisco: Telefon inicjuje żądanie dostępu do sieci. Telefony IP Cisco zawierają prośbę 802.1X. Ta prośba pozwala administratorom sieci kontrolować łączność telefonów IP z portami przełączników LAN. Obecna wersja telefonu 802.1X supplicant wykorzystuje opcje EAP-FAST i EAP-TLS do uwierzytelniania sieciowego.

• Serwer uwierzytelniania: Serwer uwierzytelniania i przełącznik muszą być skonfigurowane z użyciem wspólnej tajemnicy RADIUS.

• Przełącznik: Przełącznik musi obsługiwać 802.1X, aby mógł działać jako uwierzytelniacz i przekazywać wiadomości EAP między telefonem a serwerem uwierzytelniania. Po zakończeniu wymiany przełącznik przyznaje lub odmawia telefonowi dostępu do sieci.

Telefony IP Cisco i przełączniki Cisco Catalyst tradycyjnie używają Cisco Discovery Protocol (CDP) do wzajemnej identyfikacji i określania parametrów, takich jak alokacja sieci VLAN i wymagania dotyczące zasilania w sieci.

Aby skonfigurować 802.1X, należy wykonać następujące czynności.

• Skonfiguruj obejście głosowej sieci VLAN CDP/LLDP.

• Skonfiguruj serwer uwierzytelniania i przełącznik przed włączeniem uwierzytelniania 802.1X dla sieci przewodowych w telefonie.

• Konfigurowanie sieci VLAN głosowej: Ponieważ standard 802.1X nie uwzględnia sieci VLAN, należy skonfigurować to ustawienie w oparciu o obsługę przełączników.

  • Włączone: Jeśli używasz przełącznika obsługującego uwierzytelnianie wielodomenowe, możesz skonfigurować go tak, aby używał głosowej sieci VLAN.
  • Wyłączone: Jeśli przełącznik nie obsługuje uwierzytelniania wielodomenowego, wyłącz Voice VLAN i rozważ przypisanie portu do natywnej sieci VLAN.

• Cisco Wireless Phone 9821 ma inny prefiks w PID niż dla innych telefonów Cisco. Aby umożliwić telefonowi uwierzytelnianie 802.1X, ustaw parametr Radius · Nazwa użytkownika tak, aby zawierał telefon bezprzewodowy Cisco 9821.

  Na przykład identyfikator PID telefonu bezprzewodowego Cisco 9821 to WP-9821. Radius·Nazwa użytkownika można ustawić na Start with WPlub Contains WPw obu poniższych sekcjach:

  • Zasady > War unki > War unki biblioteki

  • Zasady > Zest awy zasad > Zasady autoryzacji > Reguła autoryzacji 1