Mulțumim pentru feedback.

Telefoanele IP Cisco acceptă autentificarea 802.1X.

Telefoanele IP Cisco și switch-urile Cisco Catalyst folosesc în mod tradițional Cisco Discovery Protocol (CDP) pentru a se identifica reciproc și a determina parametri precum alocarea VLAN și cerințele de alimentare în linie. CDP nu identifică stațiile de lucru atașate local. Telefoanele IP Cisco oferă un mecanism de trecere EAPOL. Acest mecanism permite unei stații de lucru atașate telefonului IP Cisco să transmită mesaje EAPOL către autentificatorul 802.1X la comutatorul LAN. Mecanismul de trecere asigură că telefonul IP nu acționează ca comutator LAN pentru a autentifica un punct final de date înainte de a accesa rețeaua.

Telefoanele IP Cisco oferă, de asemenea, un mecanism proxy EAPOL Logoff. Dacă PC-ul atașat local se deconectează de la telefonul IP, comutatorul LAN nu vede că legătura fizică eșuează, deoarece legătura dintre comutatorul LAN și telefonul IP este menținută. Pentru a evita compromiterea integrității rețelei, telefonul IP trimite un mesaj EAPOL-Logoff către comutator în numele PC-ului din aval, care declanșează comutatorul LAN pentru a șterge intrarea de autentificare pentru PC-ul din aval.

Supor tul pentru autentificarea 802.1X necesită mai multe componente:

• Cisco IP Phone: Telefonul inițiază solicitarea de acces la rețea. Telefoanele IP Cisco conțin un supplicant 802.1X. Acest supplicant permite administratorilor de rețea să controleze conectivitatea telefoanelor IP la porturile comutatorului LAN. Versiunea curentă a telefonului 802.1X supplicant utilizează opțiunile EAP-FAST și EAP-TLS pentru autentificarea în rețea.

• Server de autentificare: Serverul de autentificare și comutatorul trebuie să fie configurate cu un secret partajat care autentifică telefonul.

• Comutator: Comutatorul trebuie să accepte 802.1X, astfel încât să poată acționa ca autentificator și să transmită mesajele între telefon și serverul de autentificare. După finalizarea schimbului, comutatorul acordă sau refuză accesul telefonului la rețea.

Trebuie să efectuați următoarele acțiuni pentru a configura 802.1X.

• Configurați celelalte componente înainte de a activa autentificarea 802.1X pe telefon.

• Configurați portul PC: Standardul 802.1X nu ia în considerare VLAN-urile și, prin urmare, recomandă ca doar un singur dispozitiv să fie autentificat la un anumit port switch. Cu toate acestea, unele switch-uri acceptă autentificarea cu mai multe domenii. Configurația comutatorului determină dacă puteți conecta un PC la portul PC al telefonului.

  • Activat: Dacă utilizați un comutator care acceptă autentificarea cu mai multe domenii, puteți activa portul PC și puteți conecta un PC la acesta. În acest caz, telefoanele IP Cisco acceptă proxy EAPOL-Logoff pentru a monitoriza schimburile de autentificare dintre switch și PC-ul atașat.

    Pentru mai multe informații despre suportul IEEE 802.1X pentru switch-urile Cisco Catalyst, consultați ghidurile de configurare a comutatorului Cisco Catalyst la:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Dezactivat: Dacă comutatorul nu acceptă mai multe dispozitive compatibile 802.1X pe același port, ar trebui să dezactivați portul PC atunci când autentificarea 802.1X este activată. Dacă nu dezactivați acest port și apoi încercați să atașați un PC la acesta, comutatorul refuză accesul la rețea atât la telefon, cât și la PC.

• Configurați VLAN vocal: Deoarece standardul 802.1X nu ține cont de VLAN-urile, ar trebui să configurați această setare pe baza suportului comutatorului.
  • Activat: Dacă utilizați un comutator care acceptă autentificarea cu mai multe domenii, îl puteți continua pentru a utiliza VLAN-ul vocal.
  • Dezactivat: Dacă comutatorul nu acceptă autentificarea cu mai multe domenii, dezactivați VLAN-ul vocal și luați în considerare atribuirea portului la VLAN nativ.
• (Numai pentru telefonul Cisco Desk Series 9800)

  Cisco Desk Phone 9800 Series are un prefix diferit în PID de cel pentru celelalte telefoane Cisco. Pentru a permite telefonului să treacă autentificarea 802.1X, setați parametrul Radius·Nume utilizator pentru a include telefonul Cisco Desk Phone 9800 Series.

  De exemplu, PID al telefonului 9841 este DP-9841; puteți seta Radius·Nume utilizator la sau. Start with DPContains DP Puteți să o setați în ambele secțiuni următoare:

  • Politică > Condi ţii > Condi ţii de bibliotecă

  • Politică > Seturi de politici > Poli tică de autorizare > Regula de autorizare 1

Deoarece toate dispozitivele WLAN care se află în raza de acțiune pot primi tot celălalt trafic WLAN, securizarea comunicațiilor vocale este esențială în rețelele WLAN. Pentru a se asigura că intrușii nu manipulează și nu interceptează traficul vocal, arhitectura Cisco SAFE Security acceptă telefonul. Pentru mai multe informații despre securitatea în rețele, consultați http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Soluția Cisco Wireless IP telefonie oferă securitate a rețelei wireless care previne conectarea neautorizată și comunicațiile compromise utilizând următoarele metode de autentificare pe care telefonul le acceptă:

• Autentificare deschisă: Orice dispozitiv wireless poate solicita autentificarea într-un sistem deschis. AP care primește solicitarea poate acorda autentificare oricărui solicitant sau numai solicitanților care se găsesc pe o listă de utilizatori. Comunicarea dintre dispozitivul wireless și punctul de acces (AP) ar putea fi necriptată.

• Protocol de autentificare extensibil-Autentificare flexibilă prin autentificare Secure Tuneling (EAP-FAST): Această arhitectură de securitate client-server criptează tranzacțiile EAP într-un tunel de securitate la nivel de transport (TLS) între AP și serverul RADIUS, cum ar fi Identity Services Engine (ISE).

  Tunelul TLS utilizează acreditări de acces protejate (PAC) pentru autentificarea între client (telefon) și serverul RADIUS. Serverul trimite un ID de autoritate (AID) clientului (telefon), care la rândul său selectează PAC corespunzător. Clientul (telefonul) returnează un PAC opac serverului RADIUS. Serverul decriptează PAC cu cheia primară. Ambele puncte finale conțin acum cheia PAC și este creat un tunel TLS. EAP-FAST acceptă provizionarea automată PAC, dar trebuie să o activați pe serverul RADIUS.

  În ISE, în mod implicit, PAC expiră într-o săptămână. Dacă telefonul are un PAC expirat, autentificarea cu serverul RADIUS durează mai mult în timp ce telefonul primește un nou PAC. Pentru a evita întârzierile de furnizare PAC, setați perioada de expirare PAC la 90 de zile sau mai mult pe serverul ISE sau RADIUS.

• Protocol de autentificare extensibil-Transport Layer Security (EAP-TLS) Autentificare: EAP-TLS necesită un certificat client pentru autentificare și acces la rețea. Pentru EAP-TLS fără fir, certificatul client poate fi MIC, LSC sau certificat instalat de utilizator.

• Protocol de autentificare extensibilă protejat (PEAP): schemă de autentificare reciprocă bazată pe parolă proprietară Cisco între client (telefon) și un server RADIUS. Telefonul poate utiliza PEAP pentru autentificarea cu rețeaua wireless. Sunt acceptate atât metodele de autentificare PEAP-MSCHAPV2, cât și PEAP-GTC.

• Cheie pre-partajată (PSK): Telefonul acceptă formatul ASCII. Trebuie să utilizați acest format atunci când configurați o cheie pre-partajată WPA/WPA2/SAE:

  ASCII: un șir de caractere ASCII cu 8 până la 63 de caractere în lungime (0-9, litere mici și mari A-Z și caractere speciale)

  Exemplu: GREG123567 @9ZX &W

Următoarele scheme de autentificare utilizează serverul RADIUS pentru a gestiona cheile de autentificare:

• WPA/WPA2/WPA3: Utilizează informațiile serverului RADIUS pentru a genera chei unice pentru autentificare. Deoarece aceste chei sunt generate la serverul RADIUS centralizat, WPA2/WPA3 oferă mai multă securitate decât cheile prepartajate WPA care sunt stocate pe AP și telefon.

• Roaming securizat rapid: Utilizează serverul RADIUS și informațiile despre un server de domeniu wireless (WDS) pentru a gestiona și autentifica cheile. WDS creează o memorie cache de acreditări de securitate pentru dispozitivele client compatibile FT pentru o reautentificare rapidă și sigură. Telefonul de birou Cisco 9861 și 9871 și Cisco Video Phone 8875 acceptă 802.11r (FT). Atât prin aer, cât și prin DS sunt acceptate pentru a permite roaming securizat rapid. Dar vă recomandăm cu tărie utilizarea metodei 802.11r (FT) over air.

Cu WPA/WPA2/WPA3, cheile de criptare nu sunt introduse pe telefon, ci sunt derivate automat între AP și telefon. Dar numele de utilizator și parola EAP care sunt utilizate pentru autentificare trebuie introduse pe fiecare telefon.

Pentru a vă asigura că traficul vocal este sigur, telefonul acceptă TKIP și AES pentru criptare. Când aceste mecanisme sunt utilizate pentru criptare, atât pachetele SIP de semnalizare, cât și pachetele vocale Real-Time Transport Protocol (RTP) sunt criptate între AP și telefon.

TKIP

WPA utilizează criptarea TKIP care are mai multe îmbunătățiri față de WEP. TKIP oferă cifrare cheie per pachet și vectori de inițializare mai lungi (IV) care întăresc criptarea. În plus, o verificare a integrității mesajelor (MIC) asigură că pachetele criptate nu sunt modificate. TKIP elimină predictibilitatea WEP care ajută intrușii să descifreze cheia WEP.

AES

O metodă de criptare utilizată pentru autentificarea WPA2/WPA3. Acest standard național pentru criptare utilizează un algoritm simetric care are aceeași cheie pentru criptare și decriptare. AES utilizează criptarea Cipher Blocking Chain (CBC) de dimensiuni de 128 de biți, care acceptă dimensiuni de cheie de 128 biți, 192 biți și 256 biți, ca minim. Telefonul acceptă o dimensiune cheie de 256 biți.

Schemele de autentificare și criptare sunt configurate în rețeaua LAN wireless. VLAN-urile sunt configurate în rețea și pe AP-uri și specifică diferite combinații de autentificare și criptare. Un SSID se asociază cu un VLAN și schema particulară de autentificare și criptare. Pentru ca dispozitivele client wireless să se autentifice cu succes, trebuie să configurați aceleași SSID-uri cu schemele lor de autentificare și criptare pe AP-uri și pe telefon.

Unele scheme de autentificare necesită tipuri specifice de criptare.

Schemele de autentificare și criptare din tabelul următor prezintă opțiunile de configurare a rețelei pentru telefonul care corespunde configurației AP.