Hvala za povratne informacije.

Ker lahko vse naprave WLAN, ki so v dosegu, prejmejo ves preostali promet WLAN, je zaščita glasovne komunikacije ključnega pomena v omrežjih WLAN. Da vsiljivci ne manipulirajo ali prestrezajo glasovnega prometa, arhitektura Cisco SAFE Security podpira telefon. Če želite več informacij o varnosti v omrežjih, glejte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefonska rešitev Cisco Wireless IP zagotavlja varnost brezžičnega omrežja, ki preprečuje nepooblaščeno prijavo in ogroženo komunikacijo z naslednjimi načini preverjanja pristnosti, ki jih telefon podpira.

• Odpri preverjanje pristnosti: Vsaka brezžična naprava lahko zahteva preverjanje pristnosti v odprtem sistemu. AP, ki prejme zahtevo, lahko odobri avtentikacijo kateremu koli vlagatelju zahteve ali samo vlagateljem, ki so na seznamu uporabnikov. Komunikacija med brezžično napravo in dostopno točko (AP) morda ni šifrirana.

• Prilagodljivo preverjanje pristnosti razširljivega protokola preverjanja pristnosti prek varnega tuneliranja (EAP-FAST) Preverjanje pristnosti: Ta varnostna arhitektura odjemalec-strežnik šifrira EAP transakcije v tunelu Transport Level Security (TLS) med AP in strežnikom RADIUS, kot je Identity Services Engine (ISE).

  Tunel TLS uporablja poverilnice za zaščiteni dostop (PAC) za preverjanje pristnosti med odjemalcem (telefonom) in strežnikom RADIUS. Strežnik pošlje naročniku ID (AID) odjemalcu (telefonu), ki v TURN izbere ustrezen PAC. Odjemalec (telefon) vrne PAC-Opaque strežniku RADIUS. Strežnik dešifrira PAC s primarnim ključem. Obe končni točki zdaj vsebujeta ključ PAC in ustvarjen je tunel TLS. EAP-FAST podpira samodejno omogočanje PAC, vendar ga morate omogočiti na strežniku RADIUS.

  V ISE PAC privzeto poteče v enem tednu. Če ima telefon potekel PAC, preverjanje pristnosti s strežnikom RADIUS traja dlje, medtem ko telefon dobi nov PAC. Če se želite izogniti zamudam pri zagotavljanju PAC, nastavite obdobje poteka PAC na 90 dni ali več v strežniku ISE ali RADIUS.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Preverjanje pristnosti: EAP-TLS zahteva potrdilo odjemalca za preverjanje pristnosti in dostop do omrežja. Za brezžični EAP-TLS je lahko certifikat odjemalca MIC ali uporabniško nameščen certifikat.

• Protected Extensible Authentication Protocol (PEAP): Cisco lastniška shema vzajemnega preverjanja pristnosti na podlagi gesla med odjemalcem (telefonom) in strežnikom RADIUS. Telefon lahko uporablja PEAP za preverjanje pristnosti z brezžičnim omrežjem. Podprta sta načina preverjanja pristnosti PEAP-MSCHAPV2 in PEAP-GTC.

  Če želite podpreti preverjanje pristnosti PEAP-GTC za brezžični telefon Cisco 9821, konfigurirajte potreben pravilnik v naboru pravil Cisco ISE.

• Ključ v vnaprejšnji skupni rabi (PSK): telefon podpira formata ASCII in šestnajstiške oblike zapisa (HEX). Te oblike zapisa morate uporabiti, ko nastavljate ključ v vnaprejšnji skupni rabi WPA2/SAE.

  ASCII: Niz znakov ASCII z dolžino od 8 do 63 znakov (0–9, male črke a–z, velike črke A–Z in posebni znaki). Na primer,GREG123567@9ZX &W.

  HEX: šestnajstiški niz s 64 šestnajstiškimi števkami (0–9, a–f ali A–F).

Naslednje sheme preverjanja pristnosti uporabljajo strežnik RADIUS za upravljanje ključev za preverjanje pristnosti:

• WPA2/WPA3: uporablja informacije o strežniku RADIUS za ustvarjanje enoličnih ključev za preverjanje pristnosti. Ker so ti ključi ustvarjeni na centraliziranem strežniku RADIUS, WPA2/WPA3 zagotavlja večjo varnost kot ključi v vnaprejšnji skupni rabi WPA, ki so shranjeni v AP in telefonu.

• Hitro varno gostovanje: uporablja informacije strežnika RADIUS in strežnika brezžične domene (WDS) za upravljanje in preverjanje pristnosti ključev. WDS ustvari predpomnilnik varnostnih poverilnic za odjemalske naprave, ki podpirajo FT, za hitro in varno ponovno preverjanje pristnosti.

Z WPA2/WPA3 šifrirni ključi niso vneseni v telefon, temveč se samodejno izpeljejo med AP in telefonom. Toda uporabniško ime in geslo EAP, ki se uporabljata za preverjanje pristnosti, je treba vnesti na vsakem telefonu.

Telefon za zaščito glasovnega prometa prek brezžične povezave podpira šifriranje na podlagi AES za preverjanje pristnosti WPA2/WPA3. AES je simetrična šifra blokov, ki jo standardizira NIST. AES uporablja fiksno 128-bitno velikost bloka in podpira velikosti ključev 128 bitov, 192 bitov in 256 bitov. V omrežjih Wi-Fi AES uporabljajo zbirke šifer, kot sta CCMP ali GCMP, preverjanje pristnosti pa ločeno zagotavljajo PSK, SAE ali 802.1X/EAP, odvisno od konfiguriranega varnostnega načina WLAN. Podprta zbirka šifer in velikost ključa sta odvisni od modela telefona in konfiguracije WLAN.

Sheme za preverjanje pristnosti in šifriranje so vzpostavljene znotraj brezžičnega omrežja LAN. VLAN-i so konfigurirani v omrežju in na AP-jih ter določajo različne kombinacije preverjanja pristnosti in šifriranja. SSID se poveže z VLAN in posebno shemo preverjanja pristnosti in šifriranja. Če želite, da brezžične odjemalske naprave uspešno preverijo pristnost, morate konfigurirati iste SSID-je z njihovimi shemami preverjanja pristnosti in šifriranja v AP-jih in telefonu.

Nekatere sheme preverjanja pristnosti zahtevajo posebne vrste šifriranja.

Sheme preverjanja pristnosti in šifriranja v spodnji tabeli prikazujejo možnosti konfiguracije omrežja za Cisco Wireless Phone 9821, ki ustrezajo konfiguraciji AP.

Cisco Wireless Phone 9821 podpira preverjanje pristnosti 802.1X za žična omrežja. To se običajno uporablja med samodejnim omogočanjem uporabe, ko je telefon povezan z namiznim polnilnikom prek podprtega vmesnika USB-to-Ethernet.

Podpora za preverjanje pristnosti 802.1X v žičnih omrežjih zahteva več komponent:

• Cisco IP Phone: Telefon sproži zahtevo za dostop do omrežja. Cisco IP Phones vsebujejo prosilno sredstvo 802.1X. Ta pripomoček omogoča skrbnikom omrežja, da nadzorujejo povezljivost telefonov IP s stikalnimi vrati LAN. Trenutna izdaja telefona 802.1X supplicant uporablja možnosti EAP-FAST in EAP-TLS za preverjanje pristnosti omrežja.

• Strežnik za preverjanje pristnosti: strežnik za preverjanje pristnosti in stikalo morata biti konfigurirana s skupno skrivnostjo RADIUS.

• Stikalo: Stikalo mora podpirati 802.1X, tako da lahko deluje kot avtentikator in prenaša sporočila EAP med telefonom in strežnikom za preverjanje pristnosti. Ko je izmenjava končana, stikalo dodeli ali zavrne telefonski dostop do omrežja.

Stikala Cisco IP Phones in Cisco Catalyst tradicionalno uporabljajo Cisco Discovery Protocol (CDP) za medsebojno identifikacijo in določanje parametrov, kot so razporeditev VLAN in zahteve glede moči v vrsti.

Če želite konfigurirati standard 802.1X, morate izvesti naslednja dejanja.

• Konfigurirajte obhod CDP/LLDP glas VLAN.

• Konfigurirajte strežnik za preverjanje pristnosti in stikalo, preden omogočite preverjanje pristnosti 802.1X za žična omrežja v telefonu.

• Konfiguriraj glas VLAN: Ker standard 802.1X ne upošteva VLAN-ov, morate to nastavitev konfigurirati glede na podporo stikala.

  • Omogočeno: če uporabljate stikalo, ki podpira večdomensko preverjanje pristnosti, ga lahko konfigurirate tako, da uporablja glas VLAN.
  • Onemogočeno: Če stikalo ne podpira preverjanja pristnosti z več domenami, onemogočite Voice VLAN in razmislite o dodelitvi vrat izvornemu VLAN.

• Cisco Wireless Phone 9821 ima v PID drugačno predpono kot za druge telefone Cisco. Če želite telefonu omogočiti preverjanje pristnosti 802.1X, nastavite Radij· Parameter uporabniškega imena , ki vključuje vaš brezžični telefon Cisco 9821.

  Na primer, PID brezžičnega telefona Cisco 9821 je WP-9821. Nastavite lahko Radius· Uporabniško ime za začetek z WP ali Vsebuje WP v obeh naslednjih razdelkih:

  • Pravilnik > Pogoji > knjižnični pogoji

  • Nabori pravilnikov > pravilnikov > Pravilnik o avtorizaciji> Pravilo 1