Obrigado pelos seus comentários.

Como todos os dispositivos WLAN que estão dentro do alcance podem receber todos os outros tráfegos de WLAN, proteger as comunicações de voz é fundamental nas WLANs. Para garantir que intrusos não manipulem nem interceptem o tráfego de voz, a arquitetura Cisco SAFE Security suporta o telefone. Para obter mais informações sobre segurança em redes, consulte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

A solução de telefonia IP sem fio da Cisco fornece segurança de rede sem fio que evita logins não autorizados e comunicações comprometidas usando os seguintes métodos de autenticação suportados pelo telefone.

• Autenticação aberta: qualquer dispositivo sem fio pode solicitar autenticação em um sistema aberto. O AP que recebe a solicitação pode conceder autenticação a qualquer solicitante ou somente aos solicitantes encontrados em uma lista de usuários. A comunicação entre o dispositivo sem fio e o ponto de acesso (AP) pode não ser criptografada.

• Protocolo de Autenticação Extensível - Autenticação flexível via túnel seguro (EAP-FAST): Essa arquitetura de segurança cliente-servidor criptografa transações EAP em um túnel TLS (Transport Level Security) entre o AP e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS usa Credenciais de Acesso Protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia uma ID de autoridade (AID) ao cliente (telefone), que por sua vez seleciona a PAC apropriada. O cliente (telefone) retorna um PAC-opaco ao servidor RADIUS. O servidor descriptografa a PAC com a chave primária. Ambos os endpoints agora contêm a chave PAC e um túnel TLS é criado. O EAP-FAST suporta o provisionamento automático de PAC, mas você deve habilitá-lo no servidor RADIUS.

  No ISE, por padrão, o PAC expira em uma semana. Se o telefone tiver uma PAC expirada, a autenticação com o servidor RADIUS demorará mais enquanto o telefone recebe uma nova PAC. Para evitar atrasos no provisionamento da PAC, defina o período de expiração da PAC para 90 dias ou mais no servidor ISE ou RADIUS.

• Autenticação EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): o EAP-TLS exige um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser MIC ou certificado instalado pelo usuário.

• Protocolo de Autenticação Extensível Protegido (PEAP): esquema de autenticação mútua baseado em senha proprietário da Cisco entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar o PEAP para autenticação com a rede sem fio. Os métodos de autenticação PEAP-MSCHAPV2 e PEAP-GTC são suportados.

  Para suportar a autenticação PEAP-GTC para o Cisco Wireless Phone 9821, configure a política necessária no conjunto de políticas do Cisco ISE.

• Chave pré-compartilhada (PSK): o telefone suporta os formatos ASCII e hexadecimal (HEX). Você deve usar esses formatos ao configurar uma chave pré-compartilhada WPA2/SAE.

  ASCII: Uma cadeia de caracteres ASCII com 8 a 63 caracteres de comprimento (0-9, a-z minúscula, A-Z maiúscula e caracteres especiais). Por exemplo, GREG123567@9ZX&W.

  HEX: Uma cadeia de caracteres hexadecimais com 64 dígitos hexadecimais de comprimento (0-9, a-f ou A-F).

Os esquemas de autenticação a seguir usam o servidor RADIUS para gerenciar as chaves de autenticação:

• WPA2/WPA3: usa as informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, o WPA2/WPA3 fornece mais segurança do que as chaves pré-compartilhadas WPA armazenadas no AP e no telefone.

• Roaming rápido e seguro: usa as informações do servidor RADIUS e de um servidor de domínio sem fio (WDS) para gerenciar e autenticar chaves. O WDS cria um cache de credenciais de segurança para dispositivos clientes habilitados para FT para uma reautenticação rápida e segura.

Com o WPA2/WPA3, as chaves de criptografia não são inseridas no telefone, mas são derivadas automaticamente entre o AP e o telefone. Mas o nome de usuário e a senha do EAP usados para autenticação devem ser inseridos em cada telefone.

Para ajudar a proteger o tráfego de voz pelo link sem fio, o telefone suporta criptografia baseada em AES para autenticação WPA2/WPA3. O AES é uma cifra de bloco simétrica padronizada pelo NIST. O AES usa um tamanho de bloco fixo de 128 bits e suporta tamanhos de chave de 128 bits, 192 bits e 256 bits. Em redes Wi-Fi, o AES é usado por pacotes de criptografia, como CCMP ou GCMP, enquanto a autenticação é fornecida separadamente pelo PSK, SAE ou 802.1X/EAP, dependendo do modo de segurança da WLAN configurado. O conjunto de cifras suportado e o tamanho da chave dependem do modelo do telefone e da configuração da WLAN.

Os esquemas de autenticação e criptografia são configurados na LAN sem fio. As VLANs são configuradas na rede e nos APs e especificam diferentes combinações de autenticação e criptografia. Um SSID se associa a uma VLAN e ao esquema específico de autenticação e criptografia. Para que os dispositivos cliente sem fio sejam autenticados com êxito, você deve configurar os mesmos SSIDs com seus esquemas de autenticação e criptografia nos APs e no telefone.

Alguns esquemas de autenticação exigem tipos específicos de criptografia.

Os esquemas de autenticação e criptografia na tabela a seguir mostram as opções de configuração de rede para o Cisco Wireless Phone 9821 que correspondem à configuração do AP.

O Cisco Wireless Phone 9821 suporta autenticação 802.1X para redes com fio. Isso geralmente é usado durante o provisionamento automático quando o telefone está conectado ao carregador de mesa por meio de um adaptador USB para Ethernet compatível.

O suporte à autenticação 802.1X em redes com fio requer vários componentes, como segue:

• Telefone IP Cisco: O telefone inicia a solicitação para acessar a rede. Os telefones IP Cisco contêm um suplicante 802.1X. Esse suplicante permite que os administradores de rede controlem a conectividade dos telefones IP às portas do switch LAN. A versão atual do suplicante 802.1X do telefone usa as opções EAP-FAST e EAP-TLS para autenticação de rede.

• Servidor de autenticação: O servidor de autenticação e o switch devem ser configurados com um segredo compartilhado RADIUS.

• Switch: O switch deve suportar 802.1X, para que possa atuar como autenticador e retransmitir as mensagens EAP entre o telefone e o servidor de autenticação. Após a conclusão da troca, o switch concede ou nega o acesso telefônico à rede.

Os Cisco IP Phones e os switches Cisco Catalyst tradicionalmente usam Cisco Discovery Protocol (CDP) para identificar uns aos outros e determinar parâmetros como alocação de VLAN e requisitos de energia em linha.

Você deve executar as seguintes ações para configurar o 802.1X.

• Configurar o desvio de VLAN de voz CDP/LLDP.

• Configure o servidor de autenticação e o switch antes de ativar a autenticação 802.1X para redes com fio no telefone.

• Configurar VLAN de voz: Como o padrão 802.1X não leva em conta as VLANs, você deve definir essa configuração com base no suporte do switch.

  • Habilitado: se você estiver usando um switch que suporta autenticação de vários domínios, você pode configurá-lo para usar a VLAN de voz.
  • Desativado: se o switch não oferecer suporte à autenticação de vários domínios, desative a VLAN de voz e considere atribuir a porta à VLAN nativa.

• O Cisco Wireless Phone 9821 tem um prefixo diferente no PID daquele dos outros telefones Cisco. Para permitir que seu telefone passe pela autenticação 802.1X, defina o parâmetro Radius·User-Name para incluir seu Cisco Wireless Phone 9821.

  Por exemplo, o PID do Cisco Wireless Phone 9821 é WP-9821. Você pode definir Radius·Nome de usuário para Start with WPou Contains WPem ambas as seções a seguir:

  • Política > Condições > Condições da Biblioteca

  • Política > Conjuntos de políticas > Política de autorização > Regra de autorização 1