Hvala na povratnim informacijama.

Pošto svi WLAN uređaji koji su u okviru opsega mogu da primaju drugi WLAN saobraćaj, osiguravanje glasovne komunikacije je od presudnog značaja za WLAN-ove. Da bi se osiguralo da uljezi ne manipulišu niti presreću glasovni saobraćaj, Cisco SAFE Securiti arhitektura podržava telefon. Za više informacija o bezbednosti u mrežama, pogledajte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Rešenje za telefoniju Cisco Bežično IP obezbeđuje bezbednost bežične mreže koja sprečava neovlašćene prijave i kompromitovane komunikacije korišćenjem sledećih metoda autentifikacije koje telefon podržava.

• Otvorena autentifikacija: Bilo koji bežični uređaj može da zahteva autentifikaciju u otvorenom sistemu. AP koji dobija zahtev može da odobri autentifikaciju za bilo kog podnosioca zahteva ili samo za podnosioce zahteva koji se nalaze na listi korisnika. Komunikacija između bežičnog uređaja i pristupne tačke (AP) može biti nešifrovana.

• Proširivi protokol za autentifikaciju - fleksibilna autentifikacija putem sigurnog tuneliranja (EAP-FAST) Autentifikacija: Ova bezbednosna arhitektura klijent-server šifrira EAP transakcije unutar tunela bezbednosti na nivou transporta (TLS) između AP i RADIUS servera, kao što je Identiti Services Engine (ISE).

  TLS tunel koristi akreditive za zaštićeni pristup (PAC-ovi) za autentifikaciju između klijenta (telefon) i RADIUS servera. Server šalje ID autoriteta (AID) za klijenta (telefon) koji zauzvrat bira odgovarajući PAC. Klijent (telefon) donosi PAC-Opaque na RADIUS server. Server dešifruje PAC uz primarni ključ. Obe krajnje tačke sada sadrže PAC ključ i kreira se TLS tunel. EAP-FAST podrža automatsko obezbeđivanje PAC, ali to morate da omogućite na RADIUS server.

  U ISE, po defaultu, PAC ističe za nedelju dana. Ako telefon ima istekli PAC, autentifikacija preko RADIUS servera traje duže dok telefon dobije novi PAC. Da biste izbegli kašnjenja za dobijanje PAC, podesite period za istek PAC-a na 90 dana ili duže na ISE ili RADIUS serveru.

• Protokol za autentifikaciju lokala-Autentifikacija transportnog sloja bezbednosti (EAP-TLS): EAP-TLS zahteva sertifikat klijenta za autentifikaciju i mrežni pristup. Za bežičnu EAP-TLS, sertifikat klijenta može biti MIC ili sertifikat instaliran od strane korisnika.

• Zaštićeni protokol autntifikacije lokala (PEAP): Cisco šema za zajedničku autentifikaciju zasnovana na lozinci između klijenta (telefon) i RADIUS servera. Telefon može da koristi PEAP za autentifikaciju sa bežičnom mrežom. Oba metoda autentifikacije, PEAP-MSCHAPV2 i PEAP-GTC, su podržani.

  Da biste podržali PEAP-GTC autentifikaciju za Cisco bežični telefon 9821, konfigurišite potrebnu politiku u okviru Cisco ISE politike skupa.

• Pre-Shared Kei (PSK): Telefon podržava ASCII i heksadecimalni (HEKS) formati. Morate koristiti ove formate kada podesite VPA2/SAE unapred deljen ključ.

  ASCII: ASCII-karakterni niz sa 8 do 63 karaktera dužine (0-9, mala slova a-z, velika slova AZ i specijalni znakovi). Na primer, GREG123567@9ZX & V.

  HEKS: HEKS-karakter niz sa 64 heksadecimalnih cifara dužine (0-9, af ili AF).

Sledeće šeme za autentifikaciju koriste RADIUS server za upravljanje autentifikacionim ključevima:

• WPA2/WPA3: Koristi informacije RADIUS servera za kreiranje jedinstvenih tastera za autentifikaciju. Pošto se ovi ključevi generišu na centralizovanom RADIUS serveru, WPA2/WPA3 pruža više bezbednosti od WPA unapred podeljenih ključeva koji su sačuvani na AP i telefonu.

• Brzi bezbedni roming: Koristi informacije za RADIUS server i server bežičnog domena (WDS) za upravljanje i autentifikaciji ključeva. VDS stvara keš bezbednosnih akreditiva za klijentske uređaje sa omogućenim FT-om za brzu i sigurnu ponovnu autentifikaciju.

Sa VPA2 / VPA3, ključevi za šifrovanje se ne unose na telefonu, već se automatski izvode između AP-a i telefona. Ali EAP korisničko ime i lozinka koji se koriste za autentifikaciju moraju da se unesu na svaki telefon.

Da bi se zaštitio glasovni saobraćaj preko bežične veze, telefon podržava šifrovanje zasnovano na AES-u za VPA2 / VPA3 autentifikaciju. AES je simetrična blok šifra standardizovana od strane NIST-a. AES koristi fiksnu 128-bitnu veličinu bloka i podržava veličine ključeva od 128 bita, 192 bita i 256 bita. U Wi-Fi mrežama, AES koriste paketi za šifrovanje kao što su CCMP ili GCMP, dok je autentifikacija obezbeđena odvojeno od strane PSK, SAE ili 802.1X/EAP, u zavisnosti od konfigurisanog WLAN bezbednosnog režima. Podržani paket šifri i veličina ključa zavise od modela telefona i konfiguracije WLAN.

Šeme za autentifikaciju i šifrovanje podešavaju se u okviru bežičnog LAN. VLAN-ovi se podešavaju na mreži i na AP-ovima i navode različite kombinacije za autentifikaciju i šifrovanje. SSID se pridružuje sa VLAN i određenoj autentifikaciji i šemi šifrovanja. Da bi se bežični klijentski uređaji uspešno autentifikovali, morate konfigurisati iste SSID-ove sa njihovim šemama za autentifikaciju i šifrovanje na AP-ovima i na telefonu.

Iste šeme za autentifikaciju zahtevaju specifične tipove šifrovanja.

Šeme autentifikacije i šifrovanja u sledećoj tabeli prikazuju opcije konfiguracije mreže za Cisco bežični telefon 9821 koji odgovara AP konfiguraciji.

Cisco Bežični telefon 9821 podržava 802.1Ks autentifikaciju za žičane mreže. Ovo se obično koristi tokom automatskog obezbeđivanja kada je telefon povezan sa punjačem na radnoj površini preko podržanog USB-to-Ethernet adaptera.

Podrška za 802.1Ks autentifikaciju na žičanim mrežama zahteva nekoliko komponenti na sledeći način:

• Cisco IP telefon: Telefon pokreće zahtev za pristup na mrežu. Cisco IP telefoni sadrže 802.1X dodatak. Ovaj dodatak omogućava administratoru mreže da kontroliše konektivnost IP telefona na LAN portove sviča. Trenutno izdanje za dodatak za telefon 802.1X koristi EAP-FAST i EAP-TLS opcije za autentifikaciju mreže.

• Server za autentifikaciju: Server za autentifikaciju i prekidač moraju biti konfigurisani sa RADIUS zajedničkom tajnom.

• Prekidač: Prekidač mora da podržava 802.1Ks, tako da može da deluje kao autentifikator i prenosi EAP poruke između telefona i servera za autentifikaciju. Nakon završetka razmene, svič odobrava ili odbija pristup telefona na mrežu.

Cisco IP telefoni i Cisco Catalyst svičevi tradicionalno koriste Cisco Discovery Protocol (CDP) za međusobnu identifikaciju i određivanje parametara kao što je VLAN alokacija i zahtevi za dovodno napajanje.

Morate da obavite sledeće postupke da biste podesili 802.1X.

• Konfigurišite CDP/LLDP glas VLAN bajpas.

• Konfigurišite server za autentifikaciju i prekidač pre nego što omogućite 802.1Ks autentifikaciju za žičane mreže na telefonu.

• Podešavanje govornog VLAN: Pošto se 802.1X standard ne računa za VLAN-ove, potrebno je da podesite ovu postavku na osnovu podrške za svič.

  • Omogućeno: Ako koristite prekidač koji podržava autentifikaciju više domena, možete ga konfigurisati da koristi glas VLAN.
  • Onemogućeno: Ako svič ne podržava autentifikaciju za više uređaja, onemogućite govorni VLAN i razmislite da dodelite port na prirodni VLAN.

• Cisco Bežični telefon 9821 ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili vašem telefonu da prođe 802.1Ks autentifikaciju, podesite Radijus· User-Name parametar za uključivanje vašeg Cisco bežičnog telefona 9821.

  Na primer, PID Cisco bežičnog telefona 9821 je VP-9821. Možete podesiti Radijus · Korisničko ime za početak sa VP ili sadrži VP u oba sledeća odeljka:

  • Politika > Uslovi > Uslovi biblioteke

  • Politika > Skupovi politika >Politika autorizacije> Pravilo autorizacije KSNUMKS