Tack för din feedback.

Cisco IP- telefoner stöder 802.1X-autentisering.

Ciscos IP-telefoner och Cisco Catalyst-switchar använder traditionellt Cisco Discovery Protocol (CDP) för att identifiera varandra och bestämma parametrar som VLAN-allokering och inbyggda strömkrav. CDP identifierar inte lokalt anslutna arbetsstationer. Cisco IP-telefoner tillhandahåller en EAPOL-genomgångsmekanism. Denna mekanism gör det möjligt för en arbetsstation ansluten till Cisco IP Phone att skicka EAPOL-meddelanden till 802.1X-autentiseraren vid LAN-omkopplaren. Genomströmningsmekanismen säkerställer att IP-telefonen inte fungerar som LAN-omkopplaren för att autentisera en datapunkt innan du ansluter till nätverket.

Cisco IP-telefoner tillhandahåller också en proxy EAPOL Logoff-mekanism. Om den lokalt anslutna datorn kopplas bort från IP-telefonen ser LAN-omkopplaren inte den fysiska länken misslyckas, eftersom länken mellan LAN-omkopplaren och IP-telefonen bibehålls. För att undvika att äventyra nätverksintegriteten skickar IP-telefonen ett meddelande om EAPOL-avloggning till switchen på uppdrag av nedströmsdatorn, vilket aktiverar LAN-omkopplaren för att rensa autentiseringsposten för nedströmsdatorn.

Stöd för 802.1X-autentisering kräver flera komponenter:

• Cisco IP-telefon: Telefonen initierar begäran om åtkomst till nätverket. Cisco IP-telefoner innehåller en 802.1X-supplicant. Denna supplicant tillåter nätverksadministratörer att styra anslutningen av IP-telefoner till LAN-switchportarna. Den aktuella versionen av telefonens 802.1X-supplicant använder alternativen EAP-FAST och EAP-TLS för nätverksautentisering.

• Autentiseringsserver: Både autentiseringsservern och växeln måste konfigureras med en delad hemlighet som autentiserar telefonen.

• Switch: Omkopplaren måste stödja 802.1X, så att den kan fungera som autentiserare och skicka meddelanden mellan telefonen och autentiseringsservern. När utbytet är klart beviljar eller nekar omkopplaren telefonens åtkomst till nätverket.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

• Konfigurera de andra komponenterna innan du aktiverar 802.1X-autentisering på telefonen.

• Konfigurera PC-port: 802.1X-standarden tar inte hänsyn till VLAN och rekommenderar därför att endast en enda enhet ska autentiseras till en specifik switchport. Vissa switchar stöder dock autentisering med flera domäner. Switchkonfigurationen avgör om du kan ansluta en dator till telefonens PC-port.

  • Aktiverad: Om du använder en switch som stöder autentisering med flera domäner kan du aktivera PC-porten och ansluta en dator till den. I det här fallet stöder Cisco IP-telefoner proxy EAPOL-Logoff för att övervaka autentiseringsutbytet mellan switchen och den anslutna datorn.

    Mer information om stöd för IEEE 802.1X för Cisco Catalyst-switchar finns i konfigurationsguiderna för Cisco Catalyst-switchar på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Inaktiverad: Om switchen inte stöder flera 802.1X-kompatibla enheter på samma port bör du inaktivera PC-porten när 802.1X-autentisering är aktiverad. Om du inte inaktiverar den här porten och sedan försöker ansluta en dator till den, nekar switchen nätverksåtkomst till både telefonen och datorn.

• Konfigurera Voice VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN bör du konfigurera den här inställningen baserat på switchstödet.
  • Aktiverad: Om du använder en switch som stöder autentisering med flera domäner kan du fortsätta använda röstVLAN.
  • Inaktiverad: Om växeln inte stöder autentisering med flera domäner inaktiverar du Voice VLAN och överväg att tilldela porten till det ursprungliga VLAN-nätverket.
• (Endast för Cisco Desk Phone 9800-serien)

  Cisco Desk Phone 9800-serien har ett annat prefix i PID än för de andra Cisco-telefonerna. Om du vill att telefonen ska klara 802.1X-autentisering ställer du in parametern Radius·User-Nam n så att den inkluderar din Cisco Desk Phone 9800-serien.

  Till exempel är PID för telefon 9841 DP-9841; du kan ställa in Radius·Användarnamn till eller. Start with DPContains DP Du kan ställa in det i båda följande avsnitt:

  • Policy > Villkor > Biblioteksvillkor

  • Princip > Princip uppsättningar > Auktor iseringsprinci p > Auktoriseringsregel 1

Eftersom alla WLAN-enheter som är inom räckhåll kan ta emot all annan WLAN-trafik är det viktigt att säkra röstkommunikation i WLAN. För att säkerställa att inkräktare inte manipulerar eller avlyssnar rösttrafik stöder Cisco SAFE Security-arkitekturen telefonen. Mer information om säkerhet i nätverk finns på http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefonilösning ger trådlös nätverkssäkerhet som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsmetoder som telefonen stöder:

• Öppen autentisering: Alla trådlösa enheter kan begära autentisering i ett öppet system. Den åtkomstpunkt som tar emot begäran kan bevilja autentisering till alla begärare eller endast till begärare som finns i en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (AP) kan vara icke-krypterad.

• Extensible Authentication Protocol-Flexibel autentisering via EAP-FAST-autentisering (Secure Tunneling): Denna klient-server säkerhetsarkitektur krypterar EAP-transaktioner inom en TLS-tunnel (Transport Level Security) mellan åtkomstpunkten och RADIUS-servern, till exempel Identity Services Engine (ISE).

  TLS-tunneln använder PAC (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett Authority ID (AID) till klienten (telefon), som i sin tur väljer lämplig PAC. Klienten (telefonen) returnerar en PAC-opak till RADIUS-servern. Servern dekrypterar PAC med primärnyckeln. Båda slutpunkterna innehåller nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST stöder automatisk PAC-etablering, men du måste aktivera den på RADIUS-servern.

  I ISE, som standard, löper PAC ut om en vecka. Om telefonen har en utgått PAC tar autentiseringen med RADIUS-servern längre tid medan telefonen får en ny PAC. För att undvika förseningar i PAC-provisionering ställer du in PAC-förfalloperioden till 90 dagar eller längre på ISE- eller RADIUS-servern.

• EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) Authentication: EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlös EAP-TLS kan klientcertifikatet vara MIC, LSC eller användarinstallerat certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos egenutvecklade lösenordsbaserade system för ömsesidig autentisering mellan klienten (telefonen) och en RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2- och PEAP-GTC-autentiseringsmetoderna stöds.

• Fördelad nyckel (PSK): Telef onen stöder ASCII-format. Du måste använda det här formatet när du ställer in en fördelad WPA/WPA2/SAE nyckel:

  ASCII: en ASCII-teckensträng med 8 till 63 tecken i längd (0-9, gemener och versaler A-Z och specialtecken)

  Exempel: GREG123567 @9ZX &W

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

• WPA/WPA2/WPA3: Använder RADIUS-serverinformation för att generera unika nycklar för autentisering. Eftersom dessa nycklar genereras på den centraliserade RADIUS-servern ger WPA2/WPA3 större säkerhet än WPA-fördelade nycklar som lagras på åtkomstpunkten och telefonen.

• Snabb säker roaming: Använder RADIUS-server och en WDS-information (Wireless Domain Server) för att hantera och autentisera nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker återautentisering. Cisco Desk Phone 9861 och 9871 och Cisco Video Phone 8875 stöder 802.11r (FT). Både över luften och över DS stöds för att möjliggöra snabb säker roaming. Men vi rekommenderar starkt att du använder 802.11r (FT) over air-metoden.

Med WPA/WPA2/WPA3 matas inte krypteringsnycklar in på telefonen utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamnet och lösenordet som används för autentisering måste anges på varje telefon.

För att säkerställa att rösttrafiken är säker stöder telefonen TKIP och AES för kryptering. När dessa mekanismer används för kryptering krypteras både signalerande SIP-paket och RTP-paket (Voice Real-Time Transport Protocol) mellan AP och telefonen.

TKIP

WPA använder TKIP-kryptering som har flera förbättringar jämfört med WEP. TKIP tillhandahåller nyckelkryptering per paket och längre initialiseringsvektorer (IV) som stärker krypteringen. Dessutom säkerställer en MIC (Message Integrity Check) att krypterade paket inte ändras. TKIP tar bort förutsägbarheten hos WEP som hjälper inkräktare att dechiffrera WEP-nyckeln.

AES

En krypteringsmetod som används för WPA2/WPA3-autentisering. Denna nationella standard för kryptering använder en symmetrisk algoritm som har samma nyckel för kryptering och dekryptering. AES använder Cipher Blocking Chain (CBC) kryptering av 128 bitar i storlek, som stöder nyckelstorlekar på 128 bitar, 192 bitar och 256 bitar, som ett minimum. Telefonen stöder en nyckelstorlek på 256 bitar.

Autentiserings- och krypteringsscheman ställs in i det trådlösa nätverket. VLAN är konfigurerade i nätverket och på AP: erna och anger olika kombinationer av autentisering och kryptering. En SSID associeras med ett VLAN och det specifika autentiserings- och krypteringsschemat. För att trådlösa klientenheter ska autentisera framgångsrikt måste du konfigurera samma SSID: er med deras autentiserings- och krypteringsscheman på åt:erna och på telefonen.

Vissa autentiseringsscheman kräver specifika typer av kryptering.

Autentiserings- och krypteringsscheman i följande tabell visar nätverkskonfigurationsalternativen för telefonen som motsvarar AP-konfigurationen.