Obrigado pelos seus comentários.

Como todos os dispositivos de WLAN que estão no intervalo podem receber todo o tráfego da WLAN, proteger a comunicação por voz é algo essencial nessas redes. Para garantir que os intrusos não manipulem nem interceptam o tráfego de voz, a arquitetura Cisco SEGURANÇA SEGURA suporta o telefone. Para obter mais informações sobre segurança nas redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A solução Cisco sem fio IP telefonia fornece segurança de rede sem fio que impede entradas não autorizadas e comunicações comprometidas usando os métodos de autenticação a seguir que o telefone suporta.

• Autenticação aberta: qualquer dispositivo sem fio pode solicitar autenticação em um sistema aberto. O AP que recebe a solicitação pode conceder autenticação para qualquer solicitante ou apenas para solicitantes encontrados em uma lista de usuários. A comunicação entre o dispositivo sem fio e o Ponto de Acesso (AP) não pôde ser criptografada.

• Protocolo de Autenticação Extensível – Autenticação Flexível via Túnel Seguro (EAP-FAST) Autenticação: Esta arquitetura de segurança cliente-servidor criptografa EAP transações dentro de um túnel de Segurança de Nível de Transporte (TLS) entre o AP e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS usa credenciais de acesso protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia um ID de autoridade (AID) para o cliente (telefone), que por sua vez seleciona a PAC apropriada. O cliente (telefone) retorna uma PAC-Opaque para o servidor RADIUS. O servidor descriptografa a PAC com a chave primária. Agora s dois pontos de extremidade contêm a chave PAC, e um túnel TLS é criado. O EAP-FAST oferece suporte para provisionamento automático de PAC, mas você precisa ativá-lo no servidor RADIUS.

  No ISE, por padrão, o PAC expira em uma semana. Se a PAC do telefone tiver expirado, a autenticação no servidor RADIUS será mais demorada enquanto o telefone obtém uma nova PAC. Para evitar atrasos no provisionamento do PAC, defina o período de expiração do PAC como 90 dias ou mais no servidor ISE ou RADIUS.

• Protocolo de autenticação ampliável - autenticação de segurança da camada de transporte (EAP-TLS): o EAP-TLS exige um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser MIC ou certificado instalado pelo usuário.

• Protocolo de autenticação extensível protegido (PEAP): esquema de autenticação mútua baseada em senha e proprietário da Cisco entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar PEAP para autenticação com a rede sem fio. Os métodos de autenticação PEAP MSCHAPV2 e PEAP-GTC têm suporte.

  Para suportar a autenticação PEAP-GTC para o Cisco Telefone sem fio 9821, configure a política necessária dentro do conjunto de diretivas Cisco ISE.

• Chave pré-compartilhada (PSK): o telefone oferece suporte aos formatos ASCII e hexadecimal (HEX). Você deve usar esses formatos ao configurar uma chave pré-compartilhada WPA2/SAE.

  ASCII: uma cadeia de caracteres ASCII com 8 a 63 caracteres de comprimento (0 a 9, letras minúsculas a-z, A-Z maiúsculo e caracteres especiais). Por exemplo,GREG123567@9ZX &W.

  HEX: uma cadeia de caracteres HEX com 64 dígitos hex de comprimento (0-9, a-f ou A-F).

Os seguintes esquemas de autenticação usam o servidor RADIUS para gerenciar chaves de autenticação:

• WPA2/WPA3: usa informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, o WPA2/WPA3 oferece que mais segurança do que as chaves pré-compartilhadas WPA que são armazenadas no AP e no telefone.

• Roaming rápido e seguro: usa informações do servidor RADIUS e de um servidor de domínio sem fio (WDS) para gerenciar e autenticar as chaves. O WDS cria um cache de credenciais de segurança para dispositivos cliente ativados por FT para autenticação rápida e segura.

Com o WPA2/WPA3, as teclas de criptografia não são inseridas no telefone, mas são automaticamente derivadas entre o AP e o telefone. Porém, o nome do usuário EAP e a senha que são usados para autenticação devem ser inseridos em cada telefone.

Para ajudar a proteger o tráfego de voz através de um link sem fio, o telefone suporta criptografia baseada em AES para autenticação WPA2/WPA3. AES é uma cifere de bloco simétrico padronizada pelo NIST. O AES usa um tamanho de bloqueio fixo de 128 bits e suporta tamanhos de chave de 128 bits, 192 bits e 256 bits. Em redes Wi-Fi, AES é usado por conjuntos de cifradrias como CCMP ou GCMP, enquanto a autenticação é fornecida separadamente por PSK, SAE ou 802.1X/EAP, dependendo do modo de segurança WLAN configurado. O conjunto de cipher e o tamanho da chave suportados dependem do modelo do telefone e da configuração de WLAN.

Esquemas de autenticação e criptografia são configuradas na LAN sem fio. As VLANs configuradas na rede e nos APs e especificam diferentes combinações de autenticação e criptografia. Um SSID é associado a uma VLAN e ao esquema de autenticação e criptografia específico. Para que os dispositivos de cliente sem fio se autenticem com êxito, você deve configurar os mesmos SSIDs com seus esquemas de autenticação e criptografia nos APs e no telefone.

Alguns esquemas de autenticação exigem tipos específicos de criptografia.

Os esquemas de autenticação e criptografia na tabela a seguir mostram as opções de configuração de rede para o Cisco Telefone sem fio 9821 que correspondem à configuração AP.

O Cisco Wireless Phone 9821 suporta autenticação 802.1X para redes com fio. Isso é geralmente usado durante o provisionamento automático quando o telefone está conectado ao carregador de mesa por meio de um adaptador USB-to-Ethernet suportado.

O suporte para autenticação 802.1X em redes com fio requer diversos componentes como se segue:

• Telefone IP Cisco: o telefone inicia a solicitação para acessar a rede. Os Telefones IP Cisco contêm um suplicante 802.1X. Esse suplicante permite aos administradores de rede controlar a conectividade dos telefones IP para as portas de switch da LAN. A versão atual do suplicante 802.1X do telefone usa as opções EAP-FAST e EAP-TLS para autenticação de rede.

• Servidor de autenticação: O servidor de autenticação e o comutador devem ser configurados com um segredo compartilhado RADIUS.

• Switch: o comutador deve suportar 802.1X, de forma que possa funcionar como um autenticador e retransmitir as mensagens EAP entre o telefone e o servidor de autenticação. Após a conclusão da troca, o switch concede ou nega o acesso do telefone à rede.

Os Telefones IP Cisco e os switches do Cisco Catalyst tradicionalmente usam o CDP (Cisco Discovery Protocol) para identificar um ao outro e determinar parâmetros como a alocação de VLAN e os requisitos de potência embutida.

Você deve executar as ações a seguir para configurar a 802.1X.

• Configure CDP/LLDP de voz VLAN ignorar.

• Configure o servidor de autenticação e o comutador antes de ativar a autenticação 802.1X para redes com fio no telefone.

• Configure a VLAN de voz: como o padrão 802.1X não considera as VLANs, você deve definir essa configuração com base no suporte ao switch.

  • Ativado: se estiver usando um comutador que suporte autenticação multidomain, você pode configurá-lo para usar a voz VLAN.
  • Desativado: se o switch não suportar a autenticação de vários domínios, desative a VLAN de voz e considere a atribuição da porta à VLAN nativa.

• Cisco Telefone sem fio 9821 tem um prefixo diferente no PID daquele para os outros telefones Cisco. Para ativar seu telefone para passar pela autenticação 802.1X, defina o Radius· O parâmetro Nome de usuário para incluir seu Cisco Telefone sem fio 9821.

  Por exemplo, a PID do Cisco Telefone sem fio 9821 é O WP-9821. Você pode definir Radius· O Nome do usuário para iniciar com WP ou WP contém o WP nas duas seções a seguir:

  • Condições > conduções > Libraria

  • Conjuntos de políticas>Estimização > Estimização > Retodonar 1