Obrigado pelos seus comentários.

Os Cisco IP Phones suportam a autenticação 802.1X.

Os Cisco IP Phones e os switches Cisco Catalyst tradicionalmente usam Cisco Discovery Protocol (CDP) para identificar uns aos outros e determinar parâmetros como alocação de VLAN e requisitos de energia em linha. O CDP não identifica estações de trabalho conectadas localmente. Os Cisco IP Phones fornecem um mecanismo de passagem EAPOL. Esse mecanismo permite que uma estação de trabalho conectada ao Cisco IP Phone passe mensagens EAPOL para o autenticador 802.1X no switch LAN. O mecanismo de passagem garante que o telefone IP não atue como switch de LAN para autenticar um endpoint de dados antes de acessar a rede.

Os Cisco IP Phones também fornecem um mecanismo proxy EAPOL Logoff. Se o PC conectado localmente se desconectar do telefone IP, o switch de LAN não verá falha no link físico, pois o link entre o switch de LAN e o telefone IP será mantido. Para evitar comprometer a integridade da rede, o telefone IP envia uma mensagem de encerramento do EAPOL para o switch em nome do PC downstream, que aciona o switch LAN para limpar a entrada de autenticação do PC downstream.

O suporte à autenticação 802.1X requer vários componentes:

• Telefone IP Cisco: O telefone inicia a solicitação para acessar a rede. Os telefones IP Cisco contêm um suplicante 802.1X. Esse suplicante permite que os administradores de rede controlem a conectividade dos telefones IP às portas do switch LAN. A versão atual do suplicante 802.1X do telefone usa as opções EAP-FAST e EAP-TLS para autenticação de rede.

• Servidor de autenticação: o servidor de autenticação e o switch devem ser configurados com um segredo compartilhado que autentica o telefone.

• Switch: O switch deve suportar 802.1X, para que possa atuar como autenticador e passar as mensagens entre o telefone e o servidor de autenticação. Após a conclusão da troca, o switch concede ou nega o acesso telefônico à rede.

Você deve executar as seguintes ações para configurar o 802.1X.

• Configure os outros componentes antes de ativar a autenticação 802.1X no telefone.

• Configurar a porta do PC: O padrão 802.1X não considera VLANs e, portanto, recomenda que somente um único dispositivo seja autenticado em uma porta de switch específica. No entanto, alguns switches oferecem suporte à autenticação de vários domínios. A configuração do switch determina se você pode conectar um PC à porta PC do telefone.

  • Ativado: se você estiver usando um switch que suporta autenticação de vários domínios, você pode ativar a porta do PC e conectar um PC a ela. Nesse caso, os Cisco IP Phones suportam o proxy EAPOL logoff para monitorar as trocas de autenticação entre o switch e o PC conectado.

    Para obter mais informações sobre o suporte IEEE 802.1X nos switches Cisco Catalyst, consulte os guias de configuração do switch Cisco Catalyst em:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Desativado: Se o switch não suportar vários dispositivos compatíveis com 802.1X na mesma porta, você deverá desativar a porta do PC quando a autenticação 802.1X estiver ativada. Se você não desativar essa porta e tentar conectar um PC a ela, o switch negará o acesso à rede tanto para o telefone quanto para o PC.

• Configurar VLAN de voz: Como o padrão 802.1X não leva em conta as VLANs, você deve definir essa configuração com base no suporte do switch.
  • Habilitado: se você estiver usando um switch que suporta autenticação de vários domínios, você pode continuar usando a VLAN de voz.
  • Desativado: se o switch não oferecer suporte à autenticação de vários domínios, desative a VLAN de voz e considere atribuir a porta à VLAN nativa.
• (Somente para o Cisco Desk Phone 9800 Series)

  O Cisco Desk Phone 9800 Series tem um prefixo diferente no PID daquele dos outros telefones Cisco. Para permitir que seu telefone passe pela autenticação 802.1X, defina o parâmetro Radius·User-Name para incluir seu Cisco Desk Phone 9800 Series.

  Por exemplo, o PID do telefone 9841 é DP-9841; você pode definir Radius·Nome de usuário como ou. Start with DPContains DP Você pode configurá-lo nas duas seções a seguir:

  • Política > Condições > Condições da Biblioteca

  • Política > Conjuntos de políticas > Política de autorização > Regra de autorização 1

Como todos os dispositivos WLAN que estão dentro do alcance podem receber todos os outros tráfegos de WLAN, proteger as comunicações de voz é fundamental nas WLANs. Para garantir que intrusos não manipulem nem interceptem o tráfego de voz, a arquitetura Cisco SAFE Security suporta o telefone. Para obter mais informações sobre segurança em redes, consulte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

A solução de telefonia IP sem fio da Cisco fornece segurança de rede sem fio que evita logins não autorizados e comunicações comprometidas usando os seguintes métodos de autenticação suportados pelo telefone:

• Autenticação aberta: qualquer dispositivo sem fio pode solicitar autenticação em um sistema aberto. O AP que recebe a solicitação pode conceder autenticação a qualquer solicitante ou somente aos solicitantes encontrados em uma lista de usuários. A comunicação entre o dispositivo sem fio e o ponto de acesso (AP) pode não ser criptografada.

• Protocolo de Autenticação Extensível - Autenticação flexível via túnel seguro (EAP-FAST): Essa arquitetura de segurança cliente-servidor criptografa transações EAP em um túnel TLS (Transport Level Security) entre o AP e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS usa Credenciais de Acesso Protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia uma ID de autoridade (AID) ao cliente (telefone), que por sua vez seleciona a PAC apropriada. O cliente (telefone) retorna um PAC-opaco ao servidor RADIUS. O servidor descriptografa a PAC com a chave primária. Ambos os endpoints agora contêm a chave PAC e um túnel TLS é criado. O EAP-FAST suporta o provisionamento automático de PAC, mas você deve habilitá-lo no servidor RADIUS.

  No ISE, por padrão, o PAC expira em uma semana. Se o telefone tiver uma PAC expirada, a autenticação com o servidor RADIUS demorará mais enquanto o telefone recebe uma nova PAC. Para evitar atrasos no provisionamento da PAC, defina o período de expiração da PAC para 90 dias ou mais no servidor ISE ou RADIUS.

• Autenticação EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): o EAP-TLS exige um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser MIC, LSC ou certificado instalado pelo usuário.

• Protocolo de Autenticação Extensível Protegido (PEAP): esquema de autenticação mútua baseado em senha proprietário da Cisco entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar o PEAP para autenticação com a rede sem fio. Os métodos de autenticação PEAP-MSCHAPV2 e PEAP-GTC são suportados.

• Chave pré-compartilhada (PSK): o telefone suporta o formato ASCII. Você deve usar esse formato ao configurar uma chave pré-compartilhada WPA/WPA2/SAE:

  ASCII: uma cadeia de caracteres ASCII com 8 a 63 caracteres de comprimento (0-9, letras minúsculas e maiúsculas de A a Z e caracteres especiais)

  Exemplo: GREG123567 @9ZX &W

Os esquemas de autenticação a seguir usam o servidor RADIUS para gerenciar as chaves de autenticação:

• WPA/WPA2/WPA3: usa as informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, o WPA2/WPA3 fornece mais segurança do que as chaves pré-compartilhadas WPA armazenadas no AP e no telefone.

• Roaming rápido e seguro: usa as informações do servidor RADIUS e de um servidor de domínio sem fio (WDS) para gerenciar e autenticar chaves. O WDS cria um cache de credenciais de segurança para dispositivos clientes habilitados para FT para uma reautenticação rápida e segura. O Cisco Desk Phone 9861 e 9871 e o Cisco Video Phone 8875 suportam 802.11r (FT). Tanto pelo ar quanto pelo DS são suportados para permitir um roaming rápido e seguro. Mas é altamente recomendável utilizar o método 802.11r (FT) over air.

Com o WPA/WPA2/WPA3, as chaves de criptografia não são inseridas no telefone, mas são derivadas automaticamente entre o AP e o telefone. Mas o nome de usuário e a senha do EAP usados para autenticação devem ser inseridos em cada telefone.

Para garantir a segurança do tráfego de voz, o telefone suporta TKIP e AES para criptografia. Quando esses mecanismos são usados para criptografia, tanto os pacotes SIP de sinalização quanto os pacotes do Protocolo de Transporte em Tempo Real (RTP) de voz são criptografados entre o AP e o telefone.

TKIP

O WPA usa criptografia TKIP que tem várias melhorias em relação ao WEP. O TKIP fornece criptografia de chave por pacote e vetores de inicialização (IVs) mais longos que fortalecem a criptografia. Além disso, uma verificação de integridade de mensagens (MIC) garante que os pacotes criptografados não sejam alterados. O TKIP remove a previsibilidade do WEP que ajuda os intrusos a decifrar a chave WEP.

AES

Um método de criptografia usado para autenticação WPA2/WPA3. Esse padrão nacional para criptografia usa um algoritmo simétrico que tem a mesma chave para criptografia e decodificação. O AES usa criptografia Cipher Blocking Chain (CBC) de 128 bits, que suporta tamanhos de chave de 128 bits, 192 bits e 256 bits, no mínimo. O telefone suporta um tamanho de chave de 256 bits.

Os esquemas de autenticação e criptografia são configurados na LAN sem fio. As VLANs são configuradas na rede e nos APs e especificam diferentes combinações de autenticação e criptografia. Um SSID se associa a uma VLAN e ao esquema específico de autenticação e criptografia. Para que os dispositivos cliente sem fio sejam autenticados com êxito, você deve configurar os mesmos SSIDs com seus esquemas de autenticação e criptografia nos APs e no telefone.

Alguns esquemas de autenticação exigem tipos específicos de criptografia.

Os esquemas de autenticação e criptografia na tabela a seguir mostram as opções de configuração de rede para o telefone que correspondem à configuração do AP.