O certificado do dispositivo pode ser atualizado automaticamente pelo processo SCEP.

• O telefone verifica se o certificado expirará em 15 dias a cada 4 horas. Se sim, o telefone inicia o processo de renovação do certificado automaticamente.
• Se a senha do desafio estiver vazia, o telefone usará MIC/SUDI para registro inicial e renovação do certificado. Se a senha do desafio estiver configurada, ela será usada apenas para inscrição inicial. O certificado existente/instalado será usado para renovação do certificado.
• O telefone não remove o certificado de dispositivo antigo até recuperar o novo.
• Se a renovação do certificado falhar porque o certificado do dispositivo ou CA expirar, o telefone acionará a inscrição inicial automaticamente. Enquanto isso, se a autenticação de senha de desafio falhar, uma tela de entrada de senha aparecerá na tela do telefone e os usuários serão solicitados a inserir a senha de desafio no telefone.

Os Telefones IP Cisco são compatíveis com a Autenticação 802.1X.

Os Telefones IP Cisco e os switches do Cisco Catalyst tradicionalmente usam o CDP (Cisco Discovery Protocol) para identificar um ao outro e determinar parâmetros como a alocação de VLAN e os requisitos de energia embutida. O CDP não identifica estações de trabalho conectadas localmente. Os Telefones IP Cisco fornecem um mecanismo de passagem EAPOL. Esse mecanismo permite que uma estação de trabalho conectada ao Telefone IP Cisco passe mensagens EAPOL ao autenticador 802.1X no switch da LAN. O mecanismo de passagem garante que o telefone IP não atue como o switch da LAN para autenticar um dispositivo de dados antes de acessar a rede.

Os Telefones IP Cisco também fornecem um mecanismo de encerramento EAPOL por proxy. Se o PC conectado localmente se desconectar do telefone IP, o switch da LAN não verá a falha do link físico, pois o link entre o switch da LAN e o telefone IP é mantido. Para evitar o comprometimento da integridade da rede, o telefone IP envia uma mensagem de encerramento do EAPOL para o switch em nome do PC downstream, o que aciona o switch da LAN para limpar a entrada de autenticação do PC downstream.

O suporte para autenticação 802.1X requer vários componentes:

• Telefone IP Cisco O telefone inicia a solicitação para acessar a rede. Os Telefones IP Cisco contêm um suplicante 802.1X. Esse suplicante permite que os administradores de rede controlem a conectividade dos telefones IP para as portas de switch da LAN. A versão atual do suplicante 802.1X do telefone usa as opções EAP-FAST e EAP-TLS para autenticação de rede.

• serviço de autenticação O servidor de autenticação e o switch devem ser ambos configurados com um segredo compartilhado que autentique o telefone.

• Alternar: O switch deve ser compatível com 802.1X para que possa agir como o autenticador e passar as mensagens entre o telefone e o servidor de autenticação. Após a conclusão da troca, o switch concede ou nega o acesso do telefone à rede.

Você deve executar as seguintes ações para configurar a 802.1X.

• Configure os outros componentes antes de ativar a Autenticação 802.1X no telefone.

• Configurar porta do PC: O padrão 802.1X não considera VLANs e, assim, recomenda que apenas um único dispositivo seja autenticado para uma porta de switch específica. No entanto, alguns switches suportam a autenticação de vários domínios. A configuração do switch determina se você pode conectar um PC à porta do PC do telefone.

  • Habilitado: Se você estiver usando um switch que aceita a autenticação de vários domínios, poderá ativar a porta do PC e conectar um PC a ela. Nesse caso, os Telefones IP Cisco suportam o encerramento do EAPOL por proxy para monitorar a troca de autenticação entre o switch e o PC conectado.

    Para obter mais informações sobre o suporte do IEEE 802.1X em switches do Cisco Catalyst, consulte os guias de configuração de switch do Cisco Catalyst em:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • desativado Se o switch não oferecer suporte a vários dispositivos compatíveis com 802.1X na mesma porta, você deverá desativar a porta do PC quando a autenticação 802.1X for ativada. Se você não desativar essa porta e tentar conectar um PC a ela, o switch negará o acesso à rede tanto para o telefone quanto para o PC.

• Configure a VLAN de voz: Como o padrão 802.1X não considera as VLANs, você deve definir essa configuração com base no suporte ao switch.
  • Habilitado: Se você estiver usando um switch que ofereça suporte à autenticação de vários domínios, poderá continuar usando a VLAN de voz.
  • desativado Se o switch não oferecer suporte à autenticação de vários domínios, desative a VLAN de voz e considere a atribuição da porta à VLAN nativa.
• (Apenas para o Telefone fixo Cisco série 9800)

  O Telefone fixo Cisco série 9800 tem um prefixo diferente no PID para outros telefones Cisco. Para permitir que o telefone passe a autenticação 802.1X, defina o parâmetro Radius·User-Name para incluir o Cisco Desk Phone 9800 Series.

  Por exemplo, o PID do telefone 9841 é DP-9841; você pode definir Radius·Nome do usuário para Iniciar com DP ou Contém DP . Você pode configurá-lo em ambas as seções a seguir:

  • Política > Condições > Condições da biblioteca

  • Política > Conjuntos de políticas > Política de autorização > Regra de autorização 1

Como todos os dispositivos de WLAN que estão no intervalo podem receber todo o tráfego da WLAN, proteger a comunicação por voz é algo essencial nas WLANs. Para garantir que intrusos não manipulem nem interceptem o tráfego de voz, a arquitetura do Cisco SAFE Security oferece suporte ao telefone. Para obter mais informações sobre segurança em redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A solução de telefonia IP sem fio Cisco fornece segurança de rede sem fio que impede inícios de sessão não autorizados e comunicações comprometidas usando os seguintes métodos de autenticação aceitos pelo telefone:

• Autenticação aberta : Qualquer dispositivo sem fio pode solicitar autenticação em um sistema aberto. O AP que recebe a solicitação pode conceder autenticação a qualquer solicitante ou apenas a solicitantes encontrados em uma lista de usuários. A comunicação entre o dispositivo sem fio e o ponto de acesso (AP) pode não ser criptografada.

• Autenticação Extensible Protocol-Flexible via autenticação de túnel seguro (EAP-FAST) : Essa arquitetura de segurança cliente-servidor criptografa transações EAP dentro de um túnel TLS (Transport Level Security) entre o AP e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS usa credenciais de acesso protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia um ID de autoridade (AID) para o cliente (telefone), que por sua vez seleciona o PAC apropriado. O cliente (telefone) retorna um PAC-Opaque para o servidor RADIUS. O servidor descriptografa a PAC com a chave primária. Agora, ambos os terminais contêm a chave PAC e um túnel TLS é criado. O EAP-FAST suporta provisionamento automático de PAC, mas você deve ativá-lo no servidor RADIUS.

  No ISE, por padrão, a PAC expira em uma semana. Se o telefone tiver uma PAC expirada, a autenticação no servidor RADIUS levará mais tempo enquanto o telefone obtém uma nova PAC. Para evitar atrasos no provisionamento da PAC, defina o período de expiração para 90 dias ou mais no servidor ISE ou RADIUS.

• Autenticação Extensible Protocol-Transport Layer Security (EAP-TLS) : O EAP-TLS requer um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser MIC, LSC ou certificado instalado pelo usuário.

• Protocolo de autenticação extensível protegido (PEAP): Esquema de autenticação mútua baseada em senha proprietária da Cisco entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar PEAP para autenticação com a rede sem fio. Os métodos de autenticação PEAP-MSCHAPV2 e PEAP-GTC são suportados.

• Chave pré-compartilhada (PSK): O telefone é compatível com o formato ASCII. Você deve usar este formato ao configurar uma chave pré-compartilhada WPA/WPA2/SAE:

  <UNK> ASCII <UNK> : uma sequência de caracteres ASCII com 8 a 63 caracteres de comprimento (0-9, A-Z minúsculo e maiúsculo e caracteres especiais)

  Exemplo: GREG123567@9ZX&W