Сертификат устройства может быть автоматически обновлен процессом SCEP.

• Телефон проверяет, истечет ли срок действия сертификата через 15 дней каждые 4 часа. В этом случае телефон запускает процесс обновления сертификата автоматически.
• Если пароль для вызова пуст, телефон использует MIC/SUDI как для начальной регистрации, так и для продления сертификата. Если настроен пароль для вызова, он используется только для начальной регистрации, для продления сертификата используется существующий или установленный сертификат.
• Телефон не удаляет старый сертификат устройства, пока не получит новый.
• Если обновление сертификата не удается из-за истечения срока действия сертификата устройства или ЦС, телефон автоматически инициирует начальную регистрацию. В то же время, если аутентификация с помощью запрашиваемого пароля не пройдёт, на экране телефона появится всплывающий экран ввода пароля, и пользователям будет предложено ввести пароль с помощью телефона.

Телефоны Cisco IP поддерживают аутентификацию 802.1X.

Телефоны Cisco IP и коммутаторы Cisco Catalyst традиционно используют протокол CDP для идентификации друг друга и определения таких параметров, как выделение VLAN и требования к питанию в сети. CDP не определяет локально подключенные рабочие станции. Телефоны Cisco IP предоставляют сквозной механизм EAPOL. Этот механизм позволяет рабочей станции, подключенной к телефону Cisco IP, передавать сообщения EAPOL в средство аутентификации 802.1X на коммутаторе локальной сети. Сквозной механизм гарантирует, что IP-телефон не выполняет роль коммутатора локальной сети для аутентификации конечной точки данных перед доступом к сети.

Телефоны Cisco IP также предоставляют механизм регистрации прокси-сервера EAPOL. Если локально подключенный ПК отключается от IP-телефона, коммутатор локальной сети не видит сбоя физического канала, так как сохраняется связь между коммутатором локальной сети и IP-телефоном. Во избежание нарушения целостности сети IP-телефон отправляет на коммутатор сообщение EAPOL от имени нисходящего ПК, что приводит к очистке коммутатором локальной сети записи аутентификации нисходящего ПК.

Для поддержки аутентификации 802.1X требуется несколько компонентов:

• IP-телефон Cisco Телефон инициирует запрос на доступ к сети. Телефоны Cisco IP содержат запрашивающее устройство 802.1X. Это запрашивающее устройство позволяет администраторам сети управлять подключением IP-телефонов к портам коммутатора локальной сети. Текущий выпуск запрашивающего устройства 802.1X на телефоне использует параметры EAP-FAST и EAP-TLS для аутентификации в сети.

• служба аутентификации Сервер аутентификации и коммутатор должны быть настроены с использованием совместно используемого секретного кода для аутентификации телефона.

• Переключение: Коммутатор должен поддерживать 802.1X, чтобы он мог выполнять функции средства аутентификации и передавать сообщения между телефоном и сервером аутентификации. После завершения обмена коммутатор предоставляет или отклоняет доступ телефона к сети.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройте другие компоненты, прежде чем включить аутентификацию 802.1X на телефоне.

• Настройка порта ПК: Стандарт 802.1X не учитывает сети VLAN и поэтому рекомендует, чтобы только одно устройство было аутентифицировано по определенному порту коммутатора. Однако некоторые коммутаторы поддерживают аутентификацию в нескольких доменах. Конфигурация коммутатора определяет, можно ли подключить ПК к порту ПК телефона.

  • Включен. При использовании коммутатора, который поддерживает аутентификацию в нескольких доменах, можно включить порт ПК и подключить к нему ПК. В этом случае телефоны Cisco IP поддерживают прокси-сервер EAPOL для отслеживания обмена аутентификацией между коммутатором и подключенным ПК.

    Дополнительную информацию о поддержке IEEE 802.1X на коммутаторах Cisco Catalyst см. в руководствах по настройке коммутатора Cisco Catalyst по ссылке:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Отключен. Если коммутатор не поддерживает несколько устройств, совместимых с 802.1X, на одном и том же порте, необходимо отключить порт ПК, если включена аутентификация 802.1X. Если вы не отключите этот порт, а затем попытаетесь подключить к нему ПК, коммутатор запретит доступ к сети как к телефону, так и к ПК.

• Настройка голосовой VLAN: Поскольку стандарт 802.1X не учитывает сети VLAN, необходимо настроить этот параметр в зависимости от поддержки коммутатора.
  • Включен. Если вы используете коммутатор, который поддерживает аутентификацию в нескольких доменах, можно продолжить использовать голосовую VLAN.
  • Отключен. Если коммутатор не поддерживает аутентификацию в нескольких доменах, отключите голосовую VLAN и рассмотрите возможность назначения порта встроенной VLAN.
• (Только для стационарного телефона Cisco серии 9800)

  Префикс PID для стационарных телефонов Cisco серии 9800 отличается от префикса для других телефонов Cisco. Чтобы телефон мог пройти аутентификацию 802.1X, задайте параметр Radius·User-Name, чтобы добавить стационарный телефон Cisco серии 9800.

  Например, PID телефона 9841 — DP-9841. Для параметра Radius·User-Name можно задать значение Start with DP (Начать с DP) или Contains DP (Содержит DP). Его можно настроить в обоих следующих разделах.

  • Политика > Условия > Условия библиотеки

  • Политика > Наборы политик > Политика авторизации > Правило авторизации 1

Поскольку все устройства БЛВС, находящиеся в радиусе действия, могут получать весь остальной трафик БЛВС, безопасность голосовой связи в БЛВС имеет решающее значение. Чтобы убедиться, что злоумышленники не манипулируют голосовым трафиком и не перехватывают его, архитектура безопасности Cisco SAFE поддерживает телефон. Дополнительную информацию о безопасности в сетях см. на странице http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Решение для беспроводной IP-телефонии Cisco обеспечивает безопасность беспроводной сети, которая предотвращает несанкционированный вход и скомпрометированную связь с помощью следующих методов аутентификации, поддерживаемых телефоном:

• Без аутентификации Любое беспроводное устройство может запросить аутентификацию в открытой системе. Точка доступа, получающая запрос, может предоставить аутентификацию любому запрашивающему пользователю или только тем, кто указан в списке пользователей. Связь между беспроводным устройством и точкой доступа (AP) может быть незашифрована.

• Протокол Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST). Эта архитектура безопасности клиента-сервера шифрует транзакции EAP в туннеле Transport Level Security (TLS) между точкой доступа и сервером RADIUS, например Identity Services Engine (ISE).

  TLS-туннель использует учетные данные защищенного доступа (PAC) для аутентификации между клиентом (телефоном) и сервером RADIUS. Сервер отправляет идентификатор авторизации (AID) клиенту (телефону), который в свою очередь выбирает соответствующий PAC. Клиент (телефон) возвращает PAC-Opaque на сервер RADIUS. Сервер расшифровывает PAC с помощью основного ключа. Обе конечные точки теперь содержат ключ PAC, и создается туннель TLS. EAP-FAST поддерживает автоматическую подготовку PAC, однако ее необходимо включить на сервере RADIUS.

  В ISE срок действия PAC по умолчанию истекает через неделю. Если у телефона истек срок действия PAC, аутентификация на сервере RADIUS занимает больше времени, пока телефон получает новый PAC. Во избежание задержек подготовки PAC задайте на сервере ISE или RADIUS срок действия PAC равный 90 или более дней.

• Аутентификация по протоколу EAP-TLS. Для аутентификации и сетевого доступа EAP-TLS требуется сертификат клиента. Для беспроводного EAP-TLS сертификатом клиента может быть MIC, LSC или установленный пользователем сертификат.

• Протокол PEAP. Собственная схема взаимной аутентификации Cisco на основе пароля между клиентом (телефоном) и сервером RADIUS. Телефон может использовать PEAP для аутентификации в беспроводной сети. Поддерживаются методы аутентификации PEAP-MSCHAPV2 и PEAP-GTC.

• Общий ключ (PSK). Телефон поддерживает формат ASCII. При настройке предварительного ключа WPA/WPA2/SAE необходимо использовать этот формат.

  ASCII: строка ASCII длиной от 8 до 63 символов (0–9, строчные и верхние буквы A–Z и специальные символы)

  Пример. ГРЕГ123567@9ZX&W