Благодарим вас за обратную связь.

Так как все устройства беспроводной сети, расположенные в пределах радиуса действия, могут получать весь остальной трафик беспроводной сети, обеспечение безопасности голосовой связи является критически важной задачей в беспроводных локальных сетях. Чтобы злоумышленники не могли манипулировать и не перехватывать голосовой трафик, телефон поддерживает архитектура Cisco SAFE Security. Дополнительные сведения о безопасности в сетях см. в разделе http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html

Решение телефонии для беспроводной сети Cisco IP обеспечивает защиту беспроводной сети и предотвращает несанкционированный вход и скомпрометируемые сообщения с помощью следующих методов аутентификации, поддерживаемых телефоном:

• Открытая аутентификация: в открытой системе любое беспроводное устройство может запросить аутентификацию. Точка доступа, которая получает запрос, может аутентифицировать любое запрашивающее лицо или только тех запрашивающих лиц, которые включены в список пользователей. Связь между беспроводным устройством и точкой доступа (точка доступа) может быть нешифровой.

• Аутентификация с помощью защищенного туннелирования (EAP-FAST) Аутентификация: эта архитектура безопасности клиент-сервер обеспечивает шифрование транзакций EAP в туннеле уровня безопасности на транспорте (TLS) между точкой доступа и сервером АУТЕНТИФИКАЦИИ,например Identity Services Engine (ISE).

  TLS-туннель использует учетные данные для защищенного доступа (PAC) для выполнения аутентификации между клиентом (телефоном) и сервером RADIUS. Сервер отправляет идентификатор AID клиенту (телефону), который в свою очередь выбирает подходящий PAC. Клиент (телефон) возвращает PAC-Opaque на сервер RADIUS. Сервер расшифровывает PAC с помощью первичного ключа. Обе конечные точки теперь имеют ключ PAC, и создается TLS-туннель. EAP-FAST поддерживает автоматическую подготовку PAC, однако вам необходимо включить ее на сервере RADIUS.

  В ISE по умолчанию PAC истекает в течение одной недели. Если в телефоне есть PAC с истекшим сроком действия, аутентификация на сервере RADIUS занимает дольше времени, пока телефон получает новый PAC. Чтобы избежать задержек с подготовкой PAC, задайте на сервере ISE или RADIUS срок действия PAC не менее 90 дней.

• Аутентификация по протоколу EAP-TLS: для аутентификации и предоставления доступа к сети протоколу EAP-TLS требуется сертификат клиента. Для беспроводной сети EAP-TLS сертификатом клиента может быть сертификат MIC или установленный пользователем сертификат.

• Протокол PEAP: запатентованная Cisco схема взаимной аутентификации на основе пароля между клиентом (телефоном) и сервером RADIUS. Телефон может использовать PEAP для аутентификации с беспроводной сетью. Поддерживаются методы аутентификации PEAP-MSCHAPV2 и PEAP-GTC.

  Для поддержки аутентификации PEAP-GTC для беспроводного телефона Cisco 9821 настройте необходимую политику в наборе политик Cisco ISE.

• Ключ до общего доступа (PSK): телефон поддерживает форматы ASCII и шестнадцатеричный (HEX). Эти форматы необходимо использовать при настройке предварительно общего доступа ключа WPA2/SAE.

  ASCII: строка ASCII-символов длиной от 8 до 63 символов (от 0 до 9, строчные буквы a-z, заглавные буквы A–Z и специальные символы). Например, GREG123567@9ZX&W.

  HEX: строка с hex-символами длиной 64 гессерич-цифры (0–9, a-f или A–F).

Следующие схемы аутентификации задействуют сервер RADIUS для управления ключами аутентификации:

• WPA2/WPA3: используются сведения с сервера RADIUS для создания уникальных ключей аутентификации. Поскольку эти ключи генерируются на централизованном сервере RADIUS, WPA2/WPA3 обеспечивает безопасность более высокого уровня, чем предварительные ключи WPA, которые хранятся в точке доступа и на телефоне.

• Быстрый безопасный роуминг: для управления ключами и их аутентификации используются сведения с сервера RADIUS и сервера домена беспроводной сети (WDS). WDS создает кэш учетных данных для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации.

При использовании WPA2/WPA3 ключи шифрования не вводятся на телефоне, а автоматически извлекаются между точкой доступа и телефоном. Однако имя пользователя и пароль EAP, которые используются для аутентификации, должны быть введены на каждом телефоне.

В целях защиты голосового трафика по беспроводному каналу телефон поддерживает шифрование на основе AES для аутентификации WPA2/WPA3. AES — симметричный шифр блока, стандартизированный NIST. AES использует фиксированный размер 128-битный блок и поддерживает ключи размеров 128 бит, 192 бит и 256 бит. В сетях Wi-Fi AES используется пакетами шифров, такими как CCMP или ГЦМП, а аутентификация предоставляется отдельно PSK, SAE или 802.1X/EAP в зависимости от настроенного режима безопасности WLAN. Поддерживаемый пакет шифров и размер ключа зависит от модели телефона и конфигурации WLAN.

Схемы аутентификации и шифрования настраиваются в беспроводной локальной сети. VLAN настраиваются в сети и в точках доступа и могут использовать разные комбинации аутентификации и шифрования. SSID связывается с VLAN и определенной схемой аутентификации и шифрования. Чтобы беспроводные клиентские устройства прошли успешную аутентификацию, необходимо настроить те же SSID со схемами аутентификации и шифрования на интернет-серверах и на телефоне.

Некоторые схемы аутентификации нуждаются в определенных типах шифрования.

Схемы аутентификации и шифрования, приведенные в следующей таблице, приведены параметры конфигурации сети для беспроводного телефона Cisco 9821, который соответствует конфигурации точки доступа.

Беспроводной телефон Cisco 9821 поддерживает аутентификацию 802.1X для проводных сетей. Обычно это используется при автоматической подготовке , когда телефон подключается к настольному зарядному устройству через поддерживаемый адаптер USB-to-Ethernet.

Для поддержки аутентификации 802.1X в проводных сетях требуются несколько компонентов, приведенных ниже

• Телефон Cisco IP: телефон инициирует запрос на доступ к сети. Телефоны Cisco IP содержат запрашивающее устройство 802.1X. Это запрашивающее устройство позволяет администраторам сети управлять подключением IP-телефонов к портам коммутатора локальной сети. Текущая версия запрашивающего устройства 802.1X на телефоне использует параметры EAP-FAST и EAP-TLS для аутентификации в сети.

• Сервер аутентификации: и сервер аутентификации, и коммутатор должны быть настроены с использованием общего секрета РАДИУС ДЕЙСТВИЯ(144).

• Коммутатор: коммутатор должен поддерживать 802.1X, чтобы он мог выполнять функции аутентификатора и ретранслировать сообщения EAP между телефоном и сервером аутентификации. По завершении обмена коммутатор предоставляет телефону доступ к сети или отказывает в доступе.

Телефоны Cisco IP и коммутаторы Cisco Catalyst традиционно используют протокол CDP для определения друг друга, а также таких параметров, как выделение VLAN и требования к питанию на линии.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройте CDP/LLDP обход голосового VLAN.

• Настройте сервер аутентификации и коммутатор, прежде чем включить аутентификацию 802.1X для проводных сетей на телефоне.

• Настройка голосовой VLAN: так как в стандарте 802.1X не учтены виртуальные локальные сети (VLAN), необходимо настроить этот параметр в зависимости от характеристик коммутатора.

  • Включено: если вы используете коммутатор, который поддерживает аутентификацию в нескольких доменах, можно настроить его на использование голосовой VLAN.
  • Отключено: если коммутатор не поддерживает аутентификацию в нескольких доменах, отключите голосовую VLAN и рассмотрите возможность назначения этого порта обычной VLAN.

• Cisco беспроводной телефон 9821 имеет в PID другой префикс, чем у других телефонов Cisco. Чтобы телефон мог проходить аутентификацию 802.1X, задайте «Радиус» Параметр «Имя пользователя» для добавления параметра Cisco беспроводного телефона 9821.

  Например, PID для Cisco беспроводного телефона 9821 имеет значение WP-9821. Можно настроить Радиус. Имя пользователя для начала с WP или содержит WP в обоих следующих разделах:

  • Политика > Кондиции > Обусловы по лизме

  • Политика > Наборы политики> Политика аутентификации> Правило 1