Благодарим вас за обратную связь.

Поскольку все устройства WLAN, находящиеся в пределах досягаемости, могут принимать весь другой трафик WLAN, обеспечение голосовой связи крайне важно в беспроводных локальных сетях. Чтобы злоумышленники не могли манипулировать голосовым трафиком и не перехватывать его, архитектура Cisco SAFE Security поддерживает телефон. Дополнительные сведения о безопасности в сетях см. на сайте http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Решение Cisco Wireless IP Telephony обеспечивает безопасность беспроводной сети, предотвращающую несанкционированный вход и скомпрометированную связь с помощью следующих методов аутентификации, поддерживаемых телефоном.

• Открытая аутентификация. Любое беспроводное устройство может запросить аутентификацию в открытой системе. Точка доступа, получившая запрос, может предоставить аутентификацию любому отправителю запроса или только тем, кто указан в списке пользователей. Связь между беспроводным устройством и точкой доступа (AP) может быть незашифрованной.

• Расширяемый протокол аутентификации. Гибкая аутентификация с помощью аутентификации с помощью безопасного туннелирования (EAP-FAST): эта архитектура безопасности клиент-сервер шифрует транзакции EAP в туннеле TLS между точкой доступа и сервером RADIUS, например Identity Services Engine (ISE).

  Туннель TLS использует учетные данные защищенного доступа (PACs) для аутентификации между клиентом (телефоном) и сервером RADIUS. Сервер отправляет клиенту (телефону) идентификатор авторитета (AID), который, в свою очередь, выбирает подходящий PAC. Клиент (телефон) возвращает серверу RADIUS непрозрачный PAC-файл. Сервер расшифровывает PAC с помощью первичного ключа. Обе конечные точки теперь содержат ключ PAC, и создается туннель TLS. EAP-FAST поддерживает автоматическую инициализацию PAC, но ее необходимо включить на сервере RADIUS.

  В ISE срок действия PAC по умолчанию истекает через неделю. Если у телефона истек срок действия PAC, аутентификация на сервере RADIUS займет больше времени, пока телефон получит новый PAC. Чтобы избежать задержек с выделением PAC, установите срок действия PAC на сервере ISE или RADIUS на 90 дней или более.

• Аутентификация по протоколу расширяемой аутентификации и безопасности транспортного уровня (EAP-TLS). Для аутентификации и доступа к сети EAP-TLS требуется сертификат клиента. Для беспроводного протокола EAP-TLS клиентским сертификатом может быть MIC или сертификат, установленный пользователем.

• Защищенный расширяемый протокол аутентификации (PEAP): запатентованная Cisco схема взаимной аутентификации на основе паролей между клиентом (телефоном) и сервером RADIUS. Телефон может использовать PEAP для аутентификации в беспроводной сети. Поддерживаются методы аутентификации PEAP-MSCHAPV2 и PEAP-GTC.

  Чтобы поддержать аутентификацию PEAP-GTC для беспроводного телефона Cisco 9821, настройте необходимую политику в наборе политик Cisco ISE.

• Предварительный общий ключ (PSK): телефон поддерживает форматы ASCII и шестнадцатеричный (HEX). Эти форматы необходимо использовать при настройке предварительно используемого ключа WPA2/SAE.

  ASCII: строка символов ASCII длиной от 8 до 63 символов (0-9, строчные буквы a-z, прописные A-Z и специальные символы). Например, GREG123567@9ZX&W.

  HEX: строка из шестнадцатеричных символов длиной 64 шестнадцатеричных цифры (0-9, a-f или A-F).

В следующих схемах аутентификации сервер RADIUS используется для управления ключами аутентификации:

• WPA2/WPA3: использует информацию о сервере RADIUS для создания уникальных ключей для аутентификации. Поскольку эти ключи генерируются на централизованном сервере RADIUS, WPA2/WPA3 обеспечивает большую безопасность, чем предварительные общие ключи WPA, хранящиеся на точке доступа и телефоне.

• Быстрый безопасный роуминг: использует данные сервера RADIUS и беспроводного доменного сервера (WDS) для управления ключами и их аутентификации. WDS создает кэш учетных данных безопасности для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации.

При использовании WPA2/WPA3 ключи шифрования не вводятся на телефоне, а автоматически передаются между точкой доступа и телефоном. Но имя пользователя и пароль EAP, используемые для аутентификации, должны быть введены на каждом телефоне.

Чтобы защитить голосовой трафик по беспроводной сети, телефон поддерживает шифрование на основе AES для аутентификации WPA2/WPA3. AES — это симметричный блочный шифр, стандартизированный NIST. AES использует фиксированный 128-битный размер блока и поддерживает ключи размером 128, 192 и 256 бит. В сетях Wi-Fi AES используется наборами шифров, такими как CCMP или GCMP, а аутентификация осуществляется отдельно с помощью PSK, SAE или 802.1X/EAP в зависимости от настроенного режима безопасности WLAN. Поддерживаемый набор шифров и размер ключа зависят от модели телефона и конфигурации WLAN.

Схемы аутентификации и шифрования настроены в беспроводной локальной сети. VLAN настраиваются в сети и на точках доступа и предусматривают различные комбинации аутентификации и шифрования. SSID связан с VLAN и конкретной схемой аутентификации и шифрования. Для успешной аутентификации беспроводных клиентских устройств необходимо настроить одинаковые идентификаторы SSID со схемами аутентификации и шифрования на точках доступа и на телефоне.

Некоторые схемы аутентификации требуют определенных типов шифрования.

Схемы аутентификации и шифрования, приведенные в следующей таблице, показывают параметры конфигурации сети для беспроводного телефона Cisco Wireless Phone 9821, соответствующие конфигурации точки доступа.

Беспроводной телефон Cisco 9821 поддерживает аутентификацию 802.1X для проводных сетей. Обычно это используется при автоматическом выделении ресурсов, когда телефон подключается к настольному зарядному устройству через поддерживаемый адаптер USB-Ethernet.

Для поддержки аутентификации 802.1X в проводных сетях требуется несколько следующих компонентов:

• Телефон Cisco IP: телефон инициирует запрос на доступ к сети. Телефоны Cisco IP содержат запрашивающий сигнал 802.1X. Этот заявитель позволяет сетевым администраторам управлять подключением IP-телефонов к портам коммутатора локальной сети. В текущей версии телефона, запрашивающей стандарт 802.1X, для сетевой аутентификации используются опции EAP-FAST и EAP-TLS.

• Сервер аутентификации: как сервер аутентификации, так и коммутатор должны быть настроены с использованием общего секрета RADIUS.

• Коммутатор: коммутатор должен поддерживать стандарт 802.1X, чтобы он мог выполнять роль аутентификатора и передавать сообщения EAP между телефоном и сервером аутентификации. После завершения обмена коммутатор предоставляет или отказывает телефону в доступе к сети.

Телефоны Cisco IP и коммутаторы Cisco Catalyst традиционно используют Cisco Discovery Protocol технологию CDP для идентификации друг друга и определения таких параметров, как распределение VLAN и требования к встроенному питанию.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройте обход голосовой сети VLAN CDP/LLDP.

• Настройте сервер аутентификации и коммутатор, прежде чем включить аутентификацию 802.1X для проводных сетей на телефоне.

• Настройте голосовую сеть VLAN: поскольку стандарт 802.1X не учитывает VLAN, вам следует настроить этот параметр в зависимости от поддержки коммутатора.

  • Включено: если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете настроить его на использование голосовой сети VLAN.
  • Отключено: если коммутатор не поддерживает многодоменную аутентификацию, отключите голосовую сеть VLAN и попробуйте назначить порт собственной сети VLAN.

• Префикс PID беспроводного телефона Cisco 9821 отличается от префикса других телефонов Cisco. Чтобы телефон прошел аутентификацию 802.1X, задайте параметр Radius·User-Name так, чтобы он включал беспроводной телефон Cisco 9821.

  Например, PID беспроводного телефона Cisco 9821 равен WP-9821. Для Start with WPпараметра Radius·User-Name можно задать значение или оба следующих раздела: Contains WP

  • Политика > Условия > Условия использования библиотеки

  • Политика > Наборы политик > Политика авторизации > Правило авторизации 1