Certificatul dispozitivului poate fi reîmprospătat automat prin procesul SCEP.

• Telefonul verifică dacă certificatul va expira în 15 zile, la fiecare 4 ore. În acest caz, telefonul inițiază automat procesul de reînnoire a certificatului.
• Dacă parola de verificare este goală, telefonul utilizează MIC/SUDI atât pentru înregistrarea inițială, cât și pentru reînnoirea certificatului. Dacă este configurată parola de contestare, aceasta este utilizată numai pentru înregistrarea inițială, certificatul existent/instalat este utilizat pentru reînnoirea certificatului.
• Telefonul nu elimină certificatul dispozitivului vechi până când nu îl preia pe cel nou.
• Dacă reînnoirea certificatului nu reușește deoarece certificatul dispozitivului sau CA expiră, telefonul declanșează automat înregistrarea inițială. Între timp, dacă autentificarea prin parolă de provocare nu reușește, pe ecranul telefonului apare un ecran de introducere a parolei, iar utilizatorilor li se solicită să introducă parola de provocare pe telefon.

Telefoanele Cisco IP acceptă autentificarea 802.1X.

Telefoanele Cisco IP și switch-urile Cisco Catalyst utilizează în mod tradițional Cisco Discovery Protocol (CDP) pentru a se identifica reciproc și a determina parametri precum alocarea VLAN și cerințele de alimentare în linie. CDP nu identifică stațiile de lucru atașate local. Telefoanele Cisco IP furnizează un mecanism de trecere EAPOL. Acest mecanism permite unei stații de lucru atașate la telefonul Cisco IP să transmită mesaje EAPOL către autentificatorul 802.1X la comutatorul LAN. Mecanismul de trecere prin trecere asigură faptul că telefonul IP nu acționează ca comutator LAN pentru autentificarea unui terminal de date înainte de a accesa rețeaua.

Telefoanele Cisco IP oferă, de asemenea, un mecanism de logoff EAPOL proxy. Dacă PC-ul atașat local se deconectează de la telefonul IP, comutatorul LAN nu vede că legătura fizică eșuează, deoarece legătura dintre comutatorul LAN și telefonul IP este menținută. Pentru a evita compromiterea integrității rețelei, telefonul IP trimite un mesaj EAPOL-Logoff către switch în numele PC-ului din aval, care declanșează switch-ul LAN pentru a șterge intrarea de autentificare pentru PC-ul din aval.

Asistența pentru autentificarea 802.1X necesită mai multe componente:

• Telefoane IP Cisco Telefonul inițiază solicitarea de acces la rețea. Telefoanele Cisco IP conțin un implant 802.1X. Acest implant permite administratorilor de rețea să controleze conectivitatea telefoanelor IP la porturile de comutare LAN. Versiunea actuală a solicitantului telefonului 802.1X utilizează opțiunile EAP-FAST și EAP-TLS pentru autentificarea în rețea.

• serviciu de autentificare Serverul de autentificare și comutatorul trebuie să fie configurate cu un secret partajat care autentifică telefonul.

• Comutare: Comutatorul trebuie să accepte 802.1X, astfel încât să poată acționa ca aplicație de autentificare și să transmită mesajele între telefon și serverul de autentificare. După finalizarea schimbului, comutatorul acordă sau refuză accesul telefonului la rețea.

Trebuie să efectuați următoarele acțiuni pentru a configura 802.1X.

• Configurați celelalte componente înainte de a activa autentificarea 802.1X pe telefon.

• Configurare port PC: Standardul 802.1X nu ia în considerare VLAN-urile și, prin urmare, recomandă autentificarea unui singur dispozitiv la un anumit port de comutare. Cu toate acestea, unele switch-uri acceptă autentificarea prin mai multe domenii. Configurația comutatorului determină dacă puteți conecta un PC la portul PC al telefonului.

  • Activată: Dacă utilizați un comutator care acceptă autentificarea prin mai multe domenii, puteți activa portul PC și puteți conecta un PC la acesta. În acest caz, telefoanele Cisco IP acceptă proxy EAPOL-Logoff pentru monitorizarea schimburilor de autentificare între switch și PC-ul atașat.

    Pentru mai multe informații despre compatibilitatea IEEE 802.1X cu switch-urile Cisco Catalyst, consultați ghidurile de configurare a switch-urilor Cisco Catalyst de la:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Dezactivat: Dacă comutatorul nu acceptă mai multe dispozitive compatibile 802.1X pe același port, trebuie să dezactivați portul PC atunci când autentificarea 802.1X este activată. Dacă nu dezactivați acest port și apoi încercați să atașați un PC la acesta, comutatorul refuză accesul la rețea, atât la telefon, cât și la PC.

• Configurați Voice VLAN: Deoarece standardul 802.1X nu include VLAN-uri, trebuie să configurați această setare pe baza asistenței pentru comutare.
  • Activată: Dacă utilizați un comutator care acceptă autentificarea prin mai multe domenii, îl puteți utiliza în continuare pentru a utiliza VLAN de voce.
  • Dezactivat: Dacă comutatorul nu acceptă autentificarea prin mai multe domenii, dezactivați VLAN-ul de voce și luați în considerare alocarea portului la VLAN-ul nativ.
• (Numai pentru Cisco Desk Phone seria 9800)

  Telefonul de birou Cisco seria 9800 are un prefix în PID diferit de cel pentru celelalte telefoane Cisco. Pentru a permite telefonului să treacă prin autentificarea 802.1X, setați parametrul Radius·Nume utilizator pentru a include telefonul Cisco Desk seria 9800.

  De exemplu, PID-ul telefonului 9841 este DP-9841; puteți seta Radius·Nume utilizator pentru a Începe cu DP sau Conține DP. Puteți să o setați în ambele secțiuni următoare:

  • Politică > Condiții > Condiții bibliotecă

  • Politică > Seturi de politici > Politică de autorizare > Regulă de autorizare 1

Deoarece toate dispozitivele WLAN aflate în raza de acoperire pot recepționa toate celelalte tipuri de trafic WLAN, securizarea comunicațiilor vocale este esențială în rețelele WLAN. Pentru a vă asigura că intrușii nu manipulează și nu interceptează traficul vocal, arhitectura de securitate SIGURĂ Cisco acceptă telefonul. Pentru mai multe informații despre securitatea rețelelor, accesați http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Soluția de telefonie Cisco wireless IP oferă securitate wireless a rețelei, care previne conectarea neautorizată și comunicațiile compromise, utilizând următoarele metode de autentificare acceptate de telefon:

• Deschideți autentificarea: Orice dispozitiv wireless poate solicita autentificarea într-un sistem deschis. AP-ul care primește solicitarea poate acorda autentificarea oricărui solicitant sau numai solicitanților care se află într-o listă de utilizatori. Comunicarea dintre dispozitivul wireless și punctul de acces (AP) ar putea fi necriptată.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST): Această arhitectură de securitate client-server criptează tranzacțiile EAP din cadrul unui tunel Transport Level Security (TLS) între AP și serverul RADIUS, cum ar fi Identity Services Engine (ISE).

  Tunelul TLS utilizează Protected Access Credentials (PAC) pentru autentificarea între client (telefon) și serverul RADIUS. Serverul trimite clientului (telefon) un ID de autoritate, care, la rândul său, selectează PAC-ul corespunzător. Clientul (telefonul) returnează un Opac PAC către serverul RADIUS. Serverul decriptează PAC cu cheia principală. Ambele terminale conțin acum cheia PAC și este creat un tunel TLS. EAP-FAST acceptă configurarea automată a PAC, dar trebuie să o activați pe serverul RADIUS.

  În ISE, în mod implicit, PAC expiră într-o săptămână. Dacă telefonul are un PAC expirat, autentificarea la serverul RADIUS durează mai mult, în timp ce telefonul primește un nou PAC. Pentru a evita întârzierile în asigurarea accesului la PAC, setați perioada de expirare a PAC la 90 de zile sau mai mult pe serverul ISE sau RADIUS.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS necesită un certificat de client pentru autentificare și acces la rețea. Pentru EAP-TLS wireless, certificatul clientului poate fi MIC, LSC sau certificat instalat de utilizator.

• Protected Extensible Authentication Protocol (PEAP): Schemă de autentificare reciprocă Cisco bazată pe parolă privată între client (telefon) și un server RADIUS. Telefonul poate utiliza PEAP pentru autentificare în rețeaua wireless. Sunt acceptate atât metode de autentificare PEAP-MSCHAPV2, cât și metode de autentificare PEAP-GTC.

• Cheie prepartajată (PSK): Telefonul acceptă formatul ASCII. Trebuie să utilizați acest format atunci când configurați o cheie prepartajată WPA/WPA2/SAE:

  ASCII: un șir de caractere ASCII cu o lungime de 8 până la 63 de caractere (0-9, litere mici și mari, de la A LA Z și caractere speciale)

  Exemplu: GREG123567@9ZX&W