Ďakujeme za vašu spätnú väzbu.

Pretože všetky zariadenia WLAN, ktoré sú v dosahu, môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieti WLAN rozhodujúce. Aby sa zabezpečilo, že votrelci nebudú manipulovať ani nezachytiť hlasovú prevádzku, architektúra Cisco SAFE Security podporuje telefón. Ďalšie informácie o zabezpečení sietí nájdete v téme http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Bezdrôtové telefónne riešenie Cisco IP poskytuje zabezpečenie bezdrôtovej siete, ktoré zabraňuje neoprávnenému prihláseniu a narušeniu komunikácie pomocou nasledujúcich metód overovania, ktoré telefón podporuje.

• Otvorené overenie: Každé bezdrôtové zariadenie môže požiadať o overenie v otvorenom systéme. Prístupový bod, ktorý prijme žiadosť, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) mohla byť nešifrovaná.

• Rozšíriteľný autentifikačný protokol – flexibilné overovanie prostredníctvom zabezpečeného tunelovania (EAP-FAST) Autentifikácia: Táto architektúra zabezpečenia klient-server šifruje EAP transakcie v rámci tunela Transport Level Security (TLS) medzi prístupovým bodom a serverom RADIUS, ako je napríklad Identity Services Engine (ISE).

  Tunel TLS používa poverenia chráneného prístupu (PAC) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle klientovi (telefónu) autoritu ID (AID), ktorá v TURN vyberie príslušné PAC. Klient (telefón) vráti PAC-Opaque na server RADIUS. Server dešifruje PAC primárnym kľúčom. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

  V systéme ISE predvolene platnosť PAC vyprší o týždeň. Ak má telefón PAC s vypršanou platnosťou, overenie pomocou servera RADIUS trvá dlhšie, kým telefón dostane nový PAC. Aby ste sa vyhli oneskoreniam pri poskytovaní PAC, nastavte dobu vypršania platnosti PAC na 90 dní alebo dlhšie na serveri ISE alebo RADIUS.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Autentifikácia: EAP-TLS vyžaduje certifikát klienta na autentifikáciu a prístup do siete. V prípade bezdrôtového pripojenia EAP-TLS môže byť certifikátom klienta certifikát MIC alebo certifikát nainštalovaný používateľom.

• Protected Extensible Authentication Protocol (PEAP): Cisco proprietárna vzájomná autentifikačná schéma založená na hesle medzi klientom (telefónom) a serverom RADIUS. Telefón môže použiť PEAP na autentifikáciu v bezdrôtovej sieti. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.

  Ak chcete podporiť overovanie PEAP-GTC pre bezdrôtový telefón Cisco 9821, nakonfigurujte potrebnú politiku v rámci súboru zásad Cisco ISE.

• Predzdieľaný kľúč (PSK): Telefón podporuje formáty ASCII a hexadecimálne (HEX). Tieto formáty musíte použiť pri nastavovaní vopred zdieľaného kľúča WPA2/SAE.

  ASCII: Reťazec znakov ASCII s dĺžkou 8 až 63 znakov (0-9, malé a-z, veľké A-Z a špeciálne znaky). Napríklad,GREG123567@9ZX &W.

  HEX: reťazec so šesťhrannými znakmi a dĺžkou 64 hexadecimálnych číslic (0-9, a-f alebo A-F).

Nasledujúce schémy overovania používajú server RADIUS na správu autentifikačných kľúčov:

• WPA2/WPA3: Používa informácie o serveri RADIUS na generovanie jedinečných kľúčov na overenie. Keďže tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako WPA predzdieľané kľúče, ktoré sú uložené v prístupovom bode a telefóne.

• Rýchly zabezpečený roaming: Používa informácie zo servera RADIUS a bezdrôtového doménového servera (WDS) na správu a overovanie kľúčov. WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu.

Pri zabezpečení WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale automaticky sa odvodzujú medzi prístupovým bodom a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na overenie, však musia byť zadané na každom telefóne.

Na ochranu hlasovej prevádzky prostredníctvom bezdrôtového spojenia telefón podporuje šifrovanie WPA2/WPA3 založené na AES. AES je symetrická bloková šifra štandardizovaná NIST. AES používa pevnú 128-bitovú veľkosť bloku a podporuje kľúčové veľkosti 128 bitov, 192 bitov a 256 bitov. V sieťach Wi-Fi používajú AES šifrovacie balíky ako CCMP alebo GCMP, zatiaľ čo autentifikáciu poskytuje samostatne PSK, SAE alebo 802.1X / EAP v závislosti od nakonfigurovaného bezpečnostného režimu WLAN. Podporovaná šifrovacia sada a veľkosť kľúča závisia od modelu telefónu a konfigurácie WLAN.

Schémy overovania a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. VLAN sú konfigurované v sieti a na prístupových bodoch a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou autentifikačnou a šifrovacou schémou. Ak chcete, aby sa bezdrôtové klientske zariadenia úspešne overili, musíte na prístupových bodoch a v telefóne nakonfigurovať rovnaké identifikátory SSID s ich schémami overovania a šifrovania.

Niektoré schémy overovania vyžadujú špecifické typy šifrovania.

Schémy overovania a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre Cisco bezdrôtový telefón 9821, ktorá zodpovedá konfigurácii prístupového bodu.

Cisco Bezdrôtový telefón 9821 podporuje autentifikáciu 802.1X pre káblové siete. Toto sa zvyčajne používa počas automatického poskytovania , keď je telefón pripojený k stolnej nabíjačke prostredníctvom podporovaného adaptéra USB-to-Ethernet.

Podpora autentifikácie 802.1X v káblových sieťach vyžaduje niekoľko komponentov:

• Cisco IP Phone: Telefón iniciuje požiadavku na prístup k sieti. Cisco IP Phones obsahujú prosebníka 802.1X. Tento prosebník umožňuje správcom siete kontrolovať pripojenie telefónov IP k portom prepínača LAN. Aktuálne vydanie prosebníka telefónu 802.1X využíva možnosti EAP-FAST a EAP-TLS na overovanie siete.

• Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným kľúčom RADIUS.

• Prepínač: Prepínač musí podporovať štandard 802.1X, aby mohol fungovať ako autentifikátor a prenášať správy EAP medzi telefónom a overovacím serverom. Po dokončení výmeny prepínač udelí alebo zakáže telefónu prístup k sieti.

Cisco IP Phones a Cisco Spínače katalyzátora tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určenie parametrov, ako je alokácia VLAN a požiadavky na inline napájanie.

Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.

• Nakonfigurujte CDP/LLDP hlas VLAN bypass.

• Pred zapnutím overovania 802.1X pre káblové siete v telefóne nakonfigurujte autentifikačný server a prepínač.

• Konfigurácia hlasu VLAN: Keďže štandard 802.1X nezohľadňuje siete VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínača.

  • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete ho nakonfigurovať tak, aby používal hlas VLAN.
  • Vypnuté: Ak prepínač nepodporuje overovanie viacerých domén, vypnite hlas VLAN a zvážte priradenie portu k natívnemu VLAN.

• Cisco Bezdrôtový telefón 9821 má inú predvoľbu v PID ako pre ostatné telefóny Cisco. Ak chcete, aby váš telefón prešiel overením 802.1X, nastavte okruh· Parameter Meno používateľa na zahrnutie vášho bezdrôtového telefónu Cisco 9821.

  Napríklad PID bezdrôtového telefónu Cisco 9821 je WP-9821. Môžete nastaviť polomer· Meno používateľa na začiatok na WP alebo Obsahuje WP v oboch nasledujúcich častiach:

  • Zásada > Podmienky > Podmienky knižnice

  • Politika > Množiny politík> Autorizačná politika > Autorizačné pravidlo 1