Благодарим вас за обратную связь.

Телефоны Cisco IP поддерживают аутентификацию 802.1X.

Телефоны Cisco IP и коммутаторы Cisco Catalyst традиционно используют Cisco Discovery Protocol технологию CDP для идентификации друг друга и определения таких параметров, как распределение VLAN и требования к встроенному питанию. CDP не идентифицирует локально подключенные рабочие станции. Телефоны Cisco IP оснащены механизмом сквозной передачи данных EAPOL. Этот механизм позволяет рабочей станции, подключенной к телефону Cisco IP Phone, передавать сообщения EAPOL аутентификатору 802.1X на коммутаторе локальной сети. Механизм сквозной передачи данных гарантирует, что IP-телефон не служит коммутатором локальной сети для аутентификации конечной точки передачи данных перед доступом к сети.

IP-телефоны Cisco также оснащены механизмом выхода из системы EAPOL через прокси-сервер. Если подключенный к локальной сети ПК отсоединяется от IP-телефона, коммутатор локальной сети не видит сбоя в физическом канале, поскольку связь между коммутатором локальной сети и IP-телефоном сохраняется. Чтобы избежать нарушения целостности сети, IP-телефон отправляет коммутатору сообщение о выходе из системы EAPOL от имени дочернего компьютера, в результате чего коммутатор локальной сети очищает запись аутентификации для нижестоящего ПК.

Для поддержки аутентификации 802.1X требуется несколько компонентов :

• Телефон Cisco IP: телефон инициирует запрос на доступ к сети. Телефоны Cisco IP содержат запрашивающий сигнал 802.1X. Этот заявитель позволяет сетевым администраторам управлять подключением IP-телефонов к портам коммутатора локальной сети. В текущей версии телефона, запрашивающей стандарт 802.1X, для сетевой аутентификации используются опции EAP-FAST и EAP-TLS.

• Сервер аутентификации. Сервер аутентификации и коммутатор должны быть настроены с использованием общего секретного ключа, позволяющего аутентифицировать телефон.

• Коммутатор: коммутатор должен поддерживать стандарт 802.1X, чтобы он мог выполнять роль аутентификатора и передавать сообщения между телефоном и сервером аутентификации. После завершения обмена коммутатор предоставляет или отказывает телефону в доступе к сети.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройте другие компоненты, прежде чем включить аутентификацию 802.1X на телефоне.

• Настройте порт ПК: стандарт 802.1X не учитывает VLAN и поэтому рекомендует аутентифицировать только одно устройство на определенном порту коммутатора. Однако некоторые коммутаторы поддерживают мультидоменную аутентификацию. Конфигурация коммутатора определяет, можно ли подключить компьютер к порту ПК телефона.

  • Включено: если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете включить порт ПК и подключить к нему компьютер. В этом случае телефоны Cisco IP поддерживают функцию EAPOL-Logoff через прокси-сервер для отслеживания аутентификационных обменов между коммутатором и подключенным ПК.

    Дополнительные сведения о поддержке IEEE 802.1X на коммутаторах Cisco Catalyst см. в руководствах по настройке коммутаторов Cisco Catalyst по адресу:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Отключено: если коммутатор не поддерживает несколько устройств, совместимых с 802.1X, на одном порту, следует отключить порт ПК при включенной аутентификации 802.1X. Если вы не отключите этот порт, а затем попытаетесь подключить к нему компьютер, коммутатор откажет в сетевом доступе как телефону, так и ПК.

• Настройте голосовую сеть VLAN: поскольку стандарт 802.1X не учитывает VLAN, вам следует настроить этот параметр в зависимости от поддержки коммутатора.
  • Включено: если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете продолжить использовать голосовую сеть VLAN.
  • Отключено: если коммутатор не поддерживает многодоменную аутентификацию, отключите голосовую сеть VLAN и попробуйте назначить порт собственной сети VLAN.
• (Только для настольных телефонов Cisco серии 9800)

  Префикс PID настольных телефонов Cisco серии 9800 отличается от префикса других телефонов Cisco. Чтобы телефон прошел аутентификацию 802.1X, задайте параметр Radius·User-Name, включив в него настольный телефон Cisco серии 9800.

  Например, PID телефона 9841 равен DP-9841; для параметра Radius·User-Name можно задать значение или. Start with DPContains DP Его можно задать в обоих следующих разделах:

  • Политика > Условия > Условия использования библиотеки

  • Политика > Наборы политик > Политика авторизации > Правило авторизации 1

Поскольку все устройства WLAN, находящиеся в пределах досягаемости, могут принимать весь другой трафик WLAN, обеспечение голосовой связи крайне важно в беспроводных локальных сетях. Чтобы злоумышленники не могли манипулировать голосовым трафиком и не перехватывать его, архитектура Cisco SAFE Security поддерживает телефон. Дополнительные сведения о безопасности в сетях см. на сайте http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Решение Cisco Wireless IP для телефонии обеспечивает безопасность беспроводной сети, предотвращающую несанкционированный вход и скомпрометированную связь с помощью следующих методов аутентификации, поддерживаемых телефоном:

• Открытая аутентификация. Любое беспроводное устройство может запросить аутентификацию в открытой системе. Точка доступа, получившая запрос, может предоставить аутентификацию любому отправителю запроса или только тем, кто указан в списке пользователей. Связь между беспроводным устройством и точкой доступа (AP) может быть незашифрованной.

• Расширяемый протокол аутентификации. Гибкая аутентификация с помощью аутентификации с помощью безопасного туннелирования (EAP-FAST): эта архитектура безопасности клиент-сервер шифрует транзакции EAP в туннеле TLS между точкой доступа и сервером RADIUS, например Identity Services Engine (ISE).

  Туннель TLS использует учетные данные защищенного доступа (PACs) для аутентификации между клиентом (телефоном) и сервером RADIUS. Сервер отправляет клиенту (телефону) идентификатор авторитета (AID), который, в свою очередь, выбирает подходящий PAC. Клиент (телефон) возвращает серверу RADIUS непрозрачный PAC-файл. Сервер расшифровывает PAC с помощью первичного ключа. Обе конечные точки теперь содержат ключ PAC, и создается туннель TLS. EAP-FAST поддерживает автоматическую инициализацию PAC, но ее необходимо включить на сервере RADIUS.

  В ISE срок действия PAC по умолчанию истекает через неделю. Если у телефона истек срок действия PAC, аутентификация на сервере RADIUS займет больше времени, пока телефон получит новый PAC. Чтобы избежать задержек с выделением PAC, установите срок действия PAC на сервере ISE или RADIUS на 90 дней или более.

• Аутентификация по протоколу расширяемой аутентификации и безопасности транспортного уровня (EAP-TLS). Для аутентификации и доступа к сети EAP-TLS требуется сертификат клиента. Для беспроводного протокола EAP-TLS клиентским сертификатом может быть MIC, LSC или сертификат, установленный пользователем.

• Защищенный расширяемый протокол аутентификации (PEAP): запатентованная Cisco схема взаимной аутентификации на основе паролей между клиентом (телефоном) и сервером RADIUS. Телефон может использовать PEAP для аутентификации в беспроводной сети. Поддерживаются методы аутентификации PEAP-MSCHAPV2 и PEAP-GTC.

• Предварительный общий ключ (PSK): телефон поддерживает формат ASCII. При настройке предварительно используемого ключа WPA/WPA2/SAE необходимо использовать этот формат:

  ASCII: строка символов ASCII длиной от 8 до 63 символов (0-9, строчные и прописные буквы A-Z, а также специальные символы)

  Пример: GREG123567 @9ZX &W

В следующих схемах аутентификации сервер RADIUS используется для управления ключами аутентификации:

• WPA/WPA2/WPA3: использует информацию о сервере RADIUS для создания уникальных ключей для аутентификации. Поскольку эти ключи генерируются на централизованном сервере RADIUS, WPA2/WPA3 обеспечивает большую безопасность, чем предварительные общие ключи WPA, хранящиеся на точке доступа и телефоне.

• Быстрый безопасный роуминг: использует данные сервера RADIUS и беспроводного доменного сервера (WDS) для управления ключами и их аутентификации. WDS создает кэш учетных данных безопасности для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации. Настольные телефоны Cisco 9861 и 9871 и видеотелефон Cisco 8875 поддерживают стандарт 802.11r (FT). Поддерживается как беспроводная связь, так и передача данных через DS, что обеспечивает быстрый и безопасный роуминг. Но мы настоятельно рекомендуем использовать беспроводной метод 802.11r (FT).

При использовании WPA/WPA2/WPA3 ключи шифрования не вводятся на телефоне, а автоматически передаются между точкой доступа и телефоном. Но имя пользователя и пароль EAP, используемые для аутентификации, должны быть введены на каждом телефоне.

Чтобы обеспечить безопасность голосового трафика, телефон поддерживает шифрование TKIP и AES. Когда эти механизмы используются для шифрования, как сигнальные пакеты SIP, так и пакеты голосового транспортного протокола реального времени (RTP) шифруются между точкой доступа и телефоном.

TKIP

WPA использует шифрование TKIP, которое имеет несколько улучшений по сравнению с WEP. Протокол TKIP обеспечивает шифрование по каждому пакету ключей и более длинные векторы инициализации (IV), которые усиливают шифрование. Кроме того, проверка целостности сообщений (MIC) гарантирует, что зашифрованные пакеты не будут изменены. Протокол TKIP исключает предсказуемость WEP, что помогает злоумышленникам расшифровать ключ WEP.

AES

Метод шифрования, используемый для аутентификации WPA2/WPA3. В этом национальном стандарте шифрования используется симметричный алгоритм с одним и тем же ключом для шифрования и дешифрования. AES использует шифрование Cipher Blocking Chain (CBC) размером 128 бит, которое поддерживает ключи размером не менее 128 бит, 192 бита и 256 бит. Телефон поддерживает ключ размером 256 бит.

Схемы аутентификации и шифрования настроены в беспроводной локальной сети. VLAN настраиваются в сети и на точках доступа и предусматривают различные комбинации аутентификации и шифрования. SSID связан с VLAN и конкретной схемой аутентификации и шифрования. Для успешной аутентификации беспроводных клиентских устройств необходимо настроить одинаковые идентификаторы SSID со схемами аутентификации и шифрования на точках доступа и на телефоне.

Некоторые схемы аутентификации требуют определенных типов шифрования.

Схемы аутентификации и шифрования в следующей таблице показывают параметры сетевой конфигурации телефона, соответствующие конфигурации точки доступа.