Mulțumim pentru feedback.

Deoarece toate dispozitivele WLAN care se află în raza de acțiune pot primi tot celălalt trafic WLAN, securizarea comunicațiilor vocale este esențială în rețelele WLAN. Pentru a se asigura că intrușii nu manipulează și nu interceptează traficul vocal, arhitectura Cisco SAFE Security acceptă telefonul. Pentru mai multe informații despre securitatea în rețele, consultați http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Soluția Cisco Wireless IP telefonie oferă securitate a rețelei wireless care previne conectarea neautorizată și comunicațiile compromise utilizând următoarele metode de autentificare pe care telefonul le acceptă.

• Autentificare deschisă: Orice dispozitiv wireless poate solicita autentificarea într-un sistem deschis. AP care primește solicitarea poate acorda autentificare oricărui solicitant sau numai solicitanților care se găsesc pe o listă de utilizatori. Comunicarea dintre dispozitivul wireless și punctul de acces (AP) ar putea fi necriptată.

• Protocol de autentificare extensibil-Autentificare flexibilă prin autentificare Secure Tuneling (EAP-FAST): Această arhitectură de securitate client-server criptează tranzacțiile EAP într-un tunel de securitate la nivel de transport (TLS) între AP și serverul RADIUS, cum ar fi Identity Services Engine (ISE).

  Tunelul TLS utilizează acreditări de acces protejate (PAC) pentru autentificarea între client (telefon) și serverul RADIUS. Serverul trimite un ID de autoritate (AID) clientului (telefon), care la rândul său selectează PAC corespunzător. Clientul (telefonul) returnează un PAC opac serverului RADIUS. Serverul decriptează PAC cu cheia primară. Ambele puncte finale conțin acum cheia PAC și este creat un tunel TLS. EAP-FAST acceptă provizionarea automată PAC, dar trebuie să o activați pe serverul RADIUS.

  În ISE, în mod implicit, PAC expiră într-o săptămână. Dacă telefonul are un PAC expirat, autentificarea cu serverul RADIUS durează mai mult în timp ce telefonul primește un nou PAC. Pentru a evita întârzierile de furnizare PAC, setați perioada de expirare PAC la 90 de zile sau mai mult pe serverul ISE sau RADIUS.

• Protocol de autentificare extensibil-Transport Layer Security (EAP-TLS) Autentificare: EAP-TLS necesită un certificat client pentru autentificare și acces la rețea. Pentru EAP-TLS fără fir, certificatul client poate fi MIC sau certificat instalat de utilizator.

• Protocol de autentificare extensibilă protejat (PEAP): schemă de autentificare reciprocă bazată pe parolă proprietară Cisco între client (telefon) și un server RADIUS. Telefonul poate utiliza PEAP pentru autentificarea cu rețeaua wireless. Sunt acceptate atât metodele de autentificare PEAP-MSCHAPV2, cât și PEAP-GTC.

  Pentru a sprijini autentificarea PEAP-GTC pentru Cisco Wireless Phone 9821, configurați politica necesară în cadrul setului de politici Cisco ISE.

• Cheie pre-partajată (PSK): Telef onul acceptă formate ASCII și hexazecimale (HEX). Trebuie să utilizați aceste formate atunci când configurați o cheie pre-partajată WPA2/SAE.

  ASCII: Un șir de caractere ASCII cu 8 până la 63 de caractere în lungime (0-9, litere mici a-z, majus cule A-Z și caractere speciale). De exemplu, GREG123567@9ZX&W.

  HEX: Un șir de caractere hexagonale cu 64 de cifre hexagonale în lungime (0-9, a-f sau A-F).

Următoarele scheme de autentificare utilizează serverul RADIUS pentru a gestiona cheile de autentificare:

• WPA2/WPA3: Utilizează informațiile serverului RADIUS pentru a genera chei unice pentru autentificare. Deoarece aceste chei sunt generate la serverul RADIUS centralizat, WPA2/WPA3 oferă mai multă securitate decât cheile prepartajate WPA care sunt stocate pe AP și telefon.

• Roaming securizat rapid: Utilizează serverul RADIUS și informațiile despre un server de domeniu wireless (WDS) pentru a gestiona și autentifica cheile. WDS creează o memorie cache de acreditări de securitate pentru dispozitivele client compatibile FT pentru o reautentificare rapidă și sigură.

Cu WPA2/WPA3, cheile de criptare nu sunt introduse pe telefon, ci sunt derivate automat între AP și telefon. Dar numele de utilizator și parola EAP care sunt utilizate pentru autentificare trebuie introduse pe fiecare telefon.

Pentru a ajuta la protejarea traficului vocal prin legătura wireless, telefonul acceptă criptarea bazată pe AES pentru autentificarea WPA2/WPA3. AES este un cifru bloc simetric standardizat de NIST. AES utilizează o dimensiune fixă a blocului pe 128 de biți și acceptă dimensiuni cheie de 128 biți, 192 biți și 256 biți. În rețelele Wi-Fi, AES este utilizat de suitele de cifrare, cum ar fi CCMP sau GCMP, în timp ce autentificarea este furnizată separat de PSK, SAE sau 802.1X/EAP, în funcție de modul de securitate WLAN configurat. Suita de cifrare acceptată și dimensiunea cheii depind de modelul telefonului și de configurația WLAN.

Schemele de autentificare și criptare sunt configurate în rețeaua LAN wireless. VLAN-urile sunt configurate în rețea și pe AP-uri și specifică diferite combinații de autentificare și criptare. Un SSID se asociază cu un VLAN și schema particulară de autentificare și criptare. Pentru ca dispozitivele client wireless să se autentifice cu succes, trebuie să configurați aceleași SSID-uri cu schemele lor de autentificare și criptare pe AP-uri și pe telefon.

Unele scheme de autentificare necesită tipuri specifice de criptare.

Schemele de autentificare și criptare din tabelul următor prezintă opțiunile de configurare a rețelei pentru Cisco Wireless Phone 9821 care corespunde configurației AP.

Cisco Wireless Phone 9821 acceptă autentificarea 802.1X pentru rețelele cu fir. Acest lucru este utilizat de obicei în timpul furnizării automate atunci când telefonul este conectat la încărcătorul desktop printr-un adaptor USB-to-Ethernet acceptat.

Suportul pentru autentificarea 802.1X în rețelele cu fir necesită mai multe componente după cum urmează:

• Cisco IP Phone: Telefonul inițiază solicitarea de acces la rețea. Telefoanele IP Cisco conțin un supplicant 802.1X. Acest supplicant permite administratorilor de rețea să controleze conectivitatea telefoanelor IP la porturile comutatorului LAN. Versiunea curentă a telefonului 802.1X supplicant utilizează opțiunile EAP-FAST și EAP-TLS pentru autentificarea în rețea.

• Server de autentificare: Serverul de autentificare și comutatorul trebuie să fie configurate cu un secret partajat RADIUS.

• Comutator: Comutatorul trebuie să accepte 802.1X, astfel încât să poată acționa ca autentificator și să transmită mesaj ele EAP între telefon și serverul de autentificare. După finalizarea schimbului, comutatorul acordă sau refuză accesul telefonului la rețea.

Telefoanele IP Cisco și switch-urile Cisco Catalyst folosesc în mod tradițional Cisco Discovery Protocol (CDP) pentru a se identifica reciproc și a determina parametri precum alocarea VLAN și cerințele de alimentare în linie.

Trebuie să efectuați următoarele acțiuni pentru a configura 802.1X.

• Configurați ocolirea VLAN vocală CDP/LLDP.

• Configurați serverul de autentificare și comutatorul înainte de a activa autentificarea 802.1X pentru rețelele cu fir de pe telefon.

• Configurați VLAN vocal: Deoarece standardul 802.1X nu ține cont de VLAN-urile, ar trebui să configurați această setare pe baza suportului comutatorului.

  • Activat: Dacă utilizați un comutator care acceptă autentificarea cu mai multe domenii, îl puteți configura pentru a utiliza VLAN-ul vocal.
  • Dezactivat: Dacă comutatorul nu acceptă autentificarea cu mai multe domenii, dezactivați VLAN-ul vocal și luați în considerare atribuirea portului la VLAN nativ.

• Cisco Wireless Phone 9821 are un prefix diferit în PID de cel pentru celelalte telefoane Cisco. Pentru a permite telefonului să treacă autentificarea 802.1X, setați parametrul Radius·Nume utilizator pentru a include telefonul wireless Cisco 9821.

  De exemplu, PID al telefonului wireless Cisco 9821 este WP-9821. Puteţi seta Radius·Nume utilizator la Start with WPsau Contains WPîn ambele secţiuni următoare:

  • Politică > Condi ţii > Condi ţii de bibliotecă

  • Politică > Seturi de politici > Poli tică de autorizare > Regula de autorizare 1