Hvala na povratnim informacijama.

Cisco IP telefoni podržavaju 802.1Ks autentifikaciju.

Cisco IP telefoni i Cisco Catalist prekidači tradicionalno koriste Cisco Discovery Protocol (CDP) da bi se međusobno identifikovali i odredili parametre kao što su dodeljivanje VLAN-a i zahtevi za ugrađenim napajanjem. CDP ne identifikuje lokalno povezane radne stanice. Cisco IP telefoni pružaju EAPOL prolazni mehanizam. Ovaj mehanizam omogućava radnoj stanici priključenoj na Cisco IP telefon da prosledi EAPOL poruke na 802.1Ks autentifikator na LAN prekidaču. Mehanizam prolaska osigurava da IP telefon ne deluje kao LAN prekidač za autentifikaciju krajnje tačke podataka pre pristupa mreži.

Cisco IP telefoni takođe pružaju proki EAPOL Logoff mehanizam. Ako se lokalno priključeni računar prekine sa IP telefona, LAN prekidač ne vidi da fizička veza ne uspe, jer se veza između LAN prekidača i IP telefona održava. Da bi se izbegao ugrožavanje integriteta mreže, IP telefon šalje EAPOL-Logoff poruku prekidaču u ime nizvodnog računara, što pokreće LAN prekidač za brisanje unosa za autentifikaciju za nizvodni računar.

Podr ška za 802.1Ks autentifikaciju zahteva nekoliko komponenti:

• Cisco IP telefon: Telefon pokreće zahtev za pristup mreži. Cisco IP telefoni sadrže 802.1Ks suplicant. Ovaj zahtev omogućava mrežnim administratorima da kontrolišu povezivanje IP telefona sa portovima LAN prekidača. Trenutno izdanje telefona 802.1Ks suplicant koristi EAP-FAST i EAP-TLS opcije za autentifikaciju mreže.

• Server za autentifikaciju: Server za autentifikaciju i prekidač moraju biti konfigurisani sa zajedničkom tajnom koja potvrđuje autentifikaciju telefona.

• Prekidač: Prekidač mora podržavati 802.1Ks, tako da može delovati kao autentifikator i prenositi poruke između telefona i servera za autentifikaciju. Nakon završetka razmene, prekidač odobrava ili uskraćuje pristup telefonu mreži.

Morate izvršiti sledeće rad nje da biste konfigurisali 802.1Ks.

• Konfigurišite ostale komponente pre nego što omogućite 802.1Ks autentifikaciju na telefonu.

• Konfigurišite PC port: 802.1Ks standard ne uzima u obzir VLAN-ove i stoga preporučuje da samo jedan uređaj bude autentičan na određenom prekidaču. Međutim, neki prekidači podržavaju autentifikaciju više domena. Konfiguracija prekidača određuje da li možete da povežete računar na PC port telefona.

  • Omogućeno: Ako koristite prekidač koji podržava autentifikaciju više domena, možete omogućiti PC port i povezati računar sa njim. U ovom slučaju, Cisco IP telefoni podržavaju proki EAPOL-Logoff za praćenje razmene autentifikacije između prekidača i priloženog računara.

    Za više informacija o podršci IEEE 802.1Ks na Cisco Catalist prekidačima, pogledajte vodiče za konfiguraciju prekidača Cisco Catalist na:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Onemogućeno: Ako prekidač ne podržava više uređaja usklađenih sa 802.1Ks na istom portu, trebalo bi da onemogućite PC port kada je omogućena 802.1Ks autentifikacija. Ako ne onemogućite ovaj port, a zatim pokušate da priključite računar na njega, prekidač uskraćuje pristup mreži i telefonu i računaru.

• Konfigurišite glasovni VLAN: Pošto standard 802.1Ks ne uzima u obzir VLAN-ove, trebalo bi da konfigurišete ovo podešavanje na osnovu podrške prekidača.
  • Omogućeno: Ako koristite prekidač koji podržava autentifikaciju više domena, možete ga nastaviti da koristite glasovni VLAN.
  • Onemogućeno: Ako prekidač ne podržava autentifikaciju više domena, onemogućite Voice VLAN i razmislite o dodeljivanju porta izvornom VLAN-u.
• (Samo za Cisco Desk Phone 9800 serije)

  Cisco Desk Phone 9800 serija ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili telefonu da prođe 802.1Ks autentifikaciju, podesite parametar Radius · Korisničko ime da uključuje vaš Cisco Desk Phone 9800 Series.

  Na primer, PID telefona 9841 je DP-9841; možete podesiti Radius · Korisničko ime na ili. Start with DPContains DP Možete ga podesiti u oba sledeća odeljka:

  • Politika > U slovi > Uslo vi biblioteke

  • Politika > Sku povi smernica > Politika autorizacije > Pra vilo autorizacije 1

Budući da svi VLAN uređaji koji su u dometu mogu da primaju sav drugi VLAN saobraćaj, obezbeđivanje glasovne komunikacije je kritično u VLAN-ovima. Da bi se osiguralo da uljezi ne manipulišu niti presreću glasovni saobraćaj, Cisco SAFE Securiti arhitektura podržava telefon. Za više informacija o bezbednosti u mrežama pogledajte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Rešenje Cisco Vireless IP telefonije pruža sigurnost bežične mreže koja sprečava neovlašćene prijave i ugroženu komunikaciju korišćenjem sledećih metoda autentifikacije koje telefon podržava:

• Otvorena autentifik acija: Bilo koji bežični uređaj može zatražiti autentifikaciju u otvorenom sistemu. AP koji primi zahtev može odobriti autentifikaciju bilo kom podnosiocu zahteva ili samo podnosiocima zahteva koji se nalaze na listi korisnika. Komunikacija između bežičnog uređaja i pristupne tačke (AP) može biti nešifrovana.

• Pro@@ širivi protokol autentifikacije-fleksibilna autentifikacija putem sigurnog tuneliranja (EAP-FAST) Aut entifikacija: Ova sigurnosna arhitektura klijent-server šifruje EAP transakcije unutar tunela bezbednosti nivoa transporta (TLS) između AP-a i RADIUS servera, kao što je Identity Services Engine (ISE).

  TLS tunel koristi akreditive zaštićenog pristupa (PAC) za autentifikaciju između klijenta (telefona) i RADIUS servera. Server šalje ID autoriteta (AID) klijentu (telefon), koji zauzvrat bira odgovarajući PAC. Klijent (telefon) vraća PAC-neproziran na RADIUS server. Server dešifruje PAC primarnim ključem. Obe krajnje tačke sada sadrže PAC ključ i kreiran je TLS tunel. EAP-FAST podržava automatsko obezbeđivanje PAC-a, ali morate ga omogućiti na RADIUS serveru.

  U ISE-u, podrazumevano, PAC ističe za nedelju dana. Ako telefon ima istekao PAC, autentifikacija sa RADIUS serverom traje duže dok telefon dobija novi PAC. Da biste izbegli kašnjenja u obezbeđivanju PAC-a, podesite period isteka PAC-a na 90 dana ili duže na ISE ili RADIUS serveru.

• Pro@@ širivi protokol za autentifikaciju-bezbednost transportnog sloja (EAP-TLS) Autentifikacija: EAP-TLS zahteva klijentski sertifikat za autentifik aciju i pristup mreži. Za bežični EAP-TLS, klijentski sertifikat može biti MIC, LSC ili korisnički instaliran sertifikat.

• Zaštićeni ekstenzivni protokol za autentifikaciju (PEAP): Cisco vlasnička šema međusobne autentifikacije zasnovana na lozinci između klijenta (telefona) i RADIUS servera. Telefon može da koristi PEAP za autentifikaciju sa bežičnom mrežom. Podržane su i PEAP-MSCHAPV2 i PEAP-GTC metode autentifikacije.

• Pre-deljeni ključ (PSK): Telefon podržava ASCII format. Morate koristiti ovaj format prilikom podešavanja VPA/VPA2/SAE unapred deljenog ključa:

  ASCII: niz znakova ASCII sa dužinom od 8 do 63 znaka (0-9, mala i velika slova A-Z i specijalni znakovi)

  Primer: GREG123567 @9ZX &V

Sledeće šeme autentifikacije koriste RADIUS server za upravljanje ključevima za autentifikaciju:

• WPA/WPA2/WPA3: Koristi informacije o RADIUS serveru za generisanje jedinstvenih ključeva za autentifikaciju. Pošto se ovi ključevi generišu na centralizovanom RADIUS serveru, VPA2/VPA3 pruža veću sigurnost od VPA unapred deljenih ključeva koji se čuvaju na AP-u i telefonu.

• Brzi bezbedni roming: Koristi RADIUS server i informacije o serveru bežičnog domena (VDS) za upravljanje i autentifikaciju ključeva. VDS stvara keš sigurnosnih akreditiva za klijentske uređaje sa omogućenim FT-om za brzu i sigurnu ponovnu autentifikaciju. Cisco Desk Phone 9861 i 9871 i Cisco Video Phone 8875 podržavaju 802.11r (FT). Podržani su i preko vazduha i preko DS-a kako bi se omogućio brzi siguran roaming. Ali toplo preporučujemo upotrebu 802.11r (FT) metode preko vazduha.

Sa VPA/VPA2/VPA3, ključevi za šifrovanje se ne unose na telefon, već se automatski izvode između AP-a i telefona. Ali EAP korisničko ime i lozinka koji se koriste za autentifikaciju moraju se uneti na svaki telefon.

Da bi se osiguralo da je glasovni saobraćaj siguran, telefon podržava TKIP i AES za šifrovanje. Kada se ovi mehanizmi koriste za šifrovanje, i signalni SIP paketi i glasovni paketi transportnog protokola u realnom vremenu (RTP) su šifrovani između AP-a i telefona.

TKIP

VPA koristi TKIP enkripciju koja ima nekoliko poboljšanja u odnosu na VEP. TKIP pruža šifrovanje ključeva po paketu i duže vektore inicijalizacije (IV) koji jačaju šifrovanje. Pored toga, provera integriteta poruke (MIC) osigurava da se šifrovani paketi ne menjaju. TKIP uklanja predvidljivost VEP-a koja pomaže uljezima da dešifruju VEP ključ.

AES

Metoda šifrovanja koja se koristi za VPA2/VPA3 autentifikaciju. Ovaj nacionalni standard za šifrovanje koristi simetrični algoritam koji ima isti ključ za šifrovanje i dešifrovanje. AES koristi šifrovanje šifrnog lanca blokiranja (CBC) veličine 128 bita, što podržava veličine ključeva od 128 bita, 192 bita i 256 bita, kao minimum. Telefon podržava veličinu ključa od 256 bita.

Šeme autentifikacije i šifrovanja postavljene su unutar bežičnog LAN-a. VLAN-ovi su konfigurisani u mreži i na AP-ovima i određuju različite kombinacije autentifikacije i šifrovanja. SSID se povezuje sa VLAN-om i određenom šemom autentifikacije i šifrovanja. Da bi se bežični klijentski uređaji uspešno potvrdili autentifikaciju, morate da konfigurišete iste SSID-ove sa njihovim šemama autentifikacije i šifrovanja na AP-ovima i na telefonu.

Neke šeme autentifikacije zahtevaju određene vrste šifrovanja.

Šeme autentifikacije i šifrovanja u sledećoj tabeli prikazuju opcije mrežne konfiguracije za telefon koji odgovara AP konfiguraciji.