Ďakujeme za vašu spätnú väzbu.

Pretože všetky zariadenia WLAN, ktoré sú v dosahu, môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieťach WLAN rozhodujúce. Aby sa zabezpečilo, že votrelci nemanipulujú ani nezachytávajú hlasovú prevádzku, podporuje telefón architektúra Cisco SAFE Security. Ďalšie informácie o zabezpečení v sieťach nájdete na stránke http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Riešenie bezdrôtovej IP telefónie Cisco poskytuje bezpečnosť bezdrôtovej siete, ktorá zabraňuje neoprávnenému prihlasovaniu a ohrozenej komunikácii pomocou nasledujúcich metód autentifikácie, ktoré telefón podporuje.

• Otvorená autentifik ácia: Akékoľvek bezdrôtové zariadenie môže požadovať autentifikáciu v otvorenom systéme. AP, ktorý žiadosť dostane, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) môže byť nešifrovaná.

• Extensible Authentication Protocol — Flexibilná autentifikácia prostredníctvom bezpečného tunelovania (EAP-FAST): Táto bezpečnostná architektúra klient-server šifruje transakcie EAP v rámci tunela zabezpečenia úrovne transportu (TLS) medzi AP a serverom RADIUS, ako je napríklad Identity Services Engine (ISE).

  Tunel TLS používa chránené prístupové poverenia (PAC) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle klientovi (telefón) ID autority (AID), ktorý zase vyberie príslušný PAC. Klient (telefón) vráti PAC-nepriehľadný na server RADIUS. Server dešifruje PAC pomocou primárneho kľúča. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

  V ISE štandardne platnosť PAC vyprší o jeden týždeň. Ak má telefón vypršaný PAC, autentifikácia na serveri RADIUS trvá dlhšie, kým telefón dostane nový PAC. Aby ste predišli oneskoreniu poskytovania PAC, nastavte dobu vypršania platnosti PAC na serveri ISE alebo RADIUS na 90 dní alebo dlhšie.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Autentifikácia: EAP-TLS vyžaduje certifikát klienta na autentifik áciu a prístup k sieti. Pre bezdrôtový EAP-TLS môže byť klientskym certifikátom MIC alebo certifikát nainštalovaný používateľom.

• Protected Extensible Authentication Protocol (PEAP): Proprietárna schéma vzájomnej autentifikácie založená na hesle spoločnosti Cisco medzi klientom (telefónom) a serverom RADIUS. Telefón môže používať PEAP na autentifikáciu v bezdrôtovej sieti. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.

  Ak chcete podporiť autentifikáciu PEAP-GTC pre bezdrôtový telefón Cisco 9821, nakonfigurujte potrebné politiky v rámci sady politík Cisco ISE.

• Predzdieľaný kľúč (PSK): Telefón podporuje formáty ASCII a hexadecimálne (HEX). Tieto formáty musíte použiť pri nastavovaní predzdieľaného kľúča WPA2/SAE.

  ASCII: Re ťazec znakov ASCII s dĺžkou 8 až 63 znakov (0-9, malé písmená a-z, veľké písmen á A-Z a špeciálne znaky). Napríklad, GREG123567@9ZX&W.

  HEX: Reťazec znakov Hex s dĺžkou 64 šesťhranných číslic (0-9, a-f alebo A-F).

Nasledujúce schémy overovania používajú server RADIUS na správu autentifikačných kľúčov:

• WPA2/WPA3: Používa informácie o serveri RADIUS na generovanie jedinečných kľúčov na autentifikáciu. Keďže tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako predzdieľané kľúče WPA, ktoré sú uložené v AP a telefóne.

• Rýchly bezpečný roaming: Na správu a autentifikáciu kľúčov používa server RADIUS a informácie o bezdrôtovom doménovom serveri (WDS). WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu.

Pri WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale sú automaticky odvodené medzi AP a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na autentifikáciu, sa však musia zadať do každého telefónu.

Na ochranu hlasovej prevádzky cez bezdrôtové prepojenie telefón podporuje šifrovanie založené na AES pre autentifikáciu WPA2/WPA3. AES je symetrická bloková šifra štandardizovaná spoločnosťou NIST. AES používa pevnú 128-bitovú veľkosť bloku a podporuje veľkosti kľúčov 128 bitov, 192 bitov a 256 bitov. V sieťach Wi-Fi používajú AES šifrové sady, ako sú CCMP alebo GCMP, zatiaľ čo autentifikáciu poskytujú samostatne PSK, SAE alebo 802.1X/EAP, v závislosti od nakonfigurovaného bezpečnostného režimu WLAN. Podporovaná šifrovacia sada a veľkosť kľúča závisia od modelu telefónu a konfigurácie WLAN.

Schémy autentifikácie a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. VLAN sú nakonfigurované v sieti a na AP a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou schémou autentifikácie a šifrovania. Aby sa bezdrôtové klientske zariadenia mohli úspešne overovať, musíte nakonfigurovať rovnaké SSID s ich schémami autentifikácie a šifrovania na prístupoch a v telefóne.

Niektoré schémy autentifikácie vyžadujú špecifické typy šifrovania.

Schémy autentifikácie a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre bezdrôtový telefón Cisco 9821, ktoré zodpovedajú konfigurácii AP.

Cisco Wireless Phone 9821 podporuje 802.1X autentifikáciu pre káblové siete. Toto sa zvyčajne používa pri automatickom poskytovaní, keď je telefón pripojený k stolnej nabíja čke prostredníctvom podporovaného adaptéra USB-to-Ethernet.

Podpora autentifikácie 802.1X v káblových sieťach vyžaduje niekoľko nasledujúcich komponentov:

• Cisco IP Phone: Telefón iniciuje žiadosť o prístup do siete. Telefóny Cisco IP obsahujú 802.1X aplikáciu. Táto prosba umožňuje správcom siete ovládať pripojenie telefónov IP k portom prepínača LAN. Aktuálne vydanie telefónu 802.1X supplicant využíva možnosti EAP-FAST a EAP-TLS pre autentifikáciu siete.

• Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným tajomstvom RADIUS.

• Prepínač: Prepínač musí podporovať 802.1X, aby mohol fungovať ako autentifikátor a prenášať správy EAP medzi telefónom a autentifikačným serverom. Po dokončení výmeny prepínač udelí alebo odmietne prístup telefónu do siete.

Cisco IP Phones a Cisco Catalyst prepínače tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určovanie parametrov, ako je alokácia VLAN a požiadavky na napájanie v linke.

Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.

• Nakonfigurujte CDP/LLDP hlasový obtok VLAN.

• Pred povolením autentifikácie 802.1X pre káblové siete v telefóne nakonfigur ujte autentifikačný server a prepínač.

• Konfigurácia hlasovej siete VLAN: Pretože štandard 802.1X nezohľadňuje VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínača.

  • Povolené: Ak používate prepínač, ktorý podporuje autentifikáciu viacerých domén, môžete ho nakonfigurovať tak, aby používal hlasovú VLAN.
  • Zakázané: Ak prepínač nepodporuje autentifikáciu viacerých domén, vypnite hlasovú VLAN a zvážte priradenie portu natívnej VLAN.

• Bezdrôtový telefón Cisco 9821 má v PID inú predponu ako pre ostatné telefóny Cisco. Ak chcete, aby váš telefón mohol prejsť autentifikáciou 802.1X, nastavte parameter Radius · UserName tak, aby zahrnul váš bezdrô tový telefón Cisco 9821.

  Napríklad PID bezdrôtového telefónu Cisco 9821 je WP-9821. Radius·Užívateľské meno môžete nastaviť na Start with WPalebo Contains WPv oboch nasledujúcich sekciách:

  • Pravidlá > Pod mienky > Podmi enky knižnice

  • Politika > Sú bory politík > Politika autorizácie > Pravid lo autorizácie 1