Tack för din feedback.

Eftersom alla WLAN-enheter som är inom räckhåll kan ta emot all annan WLAN-trafik är det viktigt att säkra röstkommunikation i WLAN. För att säkerställa att inkräktare inte manipulerar eller avlyssnar rösttrafik stöder Cisco SAFE Security-arkitekturen telefonen. Mer information om säkerhet i nätverk finns på http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefonilösning ger trådlös nätverkssäkerhet som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsm etoder som telefonen stöder.

• Öppen autentisering: Alla trådlösa enheter kan begära autentisering i ett öppet system. Den åtkomstpunkt som tar emot begäran kan bevilja autentisering till alla begärare eller endast till begärare som finns i en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (AP) kan vara icke-krypterad.

• Extensible Authentication Protocol-Flexibel autentisering via EAP-FAST-autentisering (Secure Tunneling): Denna klient-server säkerhetsarkitektur krypterar EAP-transaktioner inom en TLS-tunnel (Transport Level Security) mellan åtkomstpunkten och RADIUS-servern, till exempel Identity Services Engine (ISE).

  TLS-tunneln använder PAC (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett Authority ID (AID) till klienten (telefon), som i sin tur väljer lämplig PAC. Klienten (telefonen) returnerar en PAC-opak till RADIUS-servern. Servern dekrypterar PAC med primärnyckeln. Båda slutpunkterna innehåller nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST stöder automatisk PAC-etablering, men du måste aktivera den på RADIUS-servern.

  I ISE, som standard, löper PAC ut om en vecka. Om telefonen har en utgått PAC tar autentiseringen med RADIUS-servern längre tid medan telefonen får en ny PAC. För att undvika förseningar i PAC-provisionering ställer du in PAC-förfalloperioden till 90 dagar eller längre på ISE- eller RADIUS-servern.

• EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) Authentication: EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlös EAP-TLS kan klientcertifikatet vara MIC eller användarinstallerat certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos egenutvecklade lösenordsbaserade system för ömsesidig autentisering mellan klienten (telefonen) och en RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2- och PEAP-GTC-autentiseringsmetoderna stöds.

  Om du vill stödja PEAP-GTC-autentisering för Cisco Wireless Phone 9821 konfigurerar du den nödvändiga principen inom Cisco ISE-principuppsättningen.

• Fördelad nyckel (PSK): Telefonen stöder ASCII- och hexadecimala (HEX) format. Du måste använda dessa format när du ställer in en fördelad WPA2/SAE-nyckel.

  ASCII: En ASCII-teckensträng med 8 till 63 tecken i längd (0-9, gemener a-z, versaler A-Z och specialtecken). Till exempel, GREG123567@9ZX&W.

  HEX: En hex-teckensträng med 64 hexsiffror i längd (0-9, a-f eller A-F).

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

• WPA2/WPA3: Använder RADIUS-serverinformation för att generera unika nycklar för autentisering. Eftersom dessa nycklar genereras på den centraliserade RADIUS-servern ger WPA2/WPA3 större säkerhet än WPA-fördelade nycklar som lagras på åtkomstpunkten och telefonen.

• Snabb säker roaming: Använder RADIUS-server och en WDS-information (Wireless Domain Server) för att hantera och autentisera nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker återautentisering.

Med WPA2/WPA3 matas inte krypteringsnycklar in på telefonen utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamnet och lösenordet som används för autentisering måste anges på varje telefon.

För att skydda rösttrafik över den trådlösa länken stöder telefonen AES-baserad kryptering för WPA2/WPA3-autentisering. AES är en symmetrisk blockchiffer standardiserad av NIST. AES använder en fast 128-bitars blockstorlek och stöder nyckelstorlekar på 128 bitar, 192 bitar och 256 bitar. I Wi-Fi-nätverk används AES av krypteringssviter som CCMP eller GCMP, medan autentisering tillhandahålls separat av PSK, SAE eller 802.1X/EAP, beroende på det konfigurerade WLAN-säkerhetsläget. Den krypteringssvit som stöds och nyckelstorleken beror på telefon modellen och WLAN-konfigurationen.

Autentiserings- och krypteringsscheman ställs in i det trådlösa nätverket. VLAN är konfigurerade i nätverket och på AP: erna och anger olika kombinationer av autentisering och kryptering. En SSID associeras med ett VLAN och det specifika autentiserings- och krypteringsschemat. För att trådlösa klientenheter ska autentisera framgångsrikt måste du konfigurera samma SSID: er med deras autentiserings- och krypteringsscheman på åt:erna och på telefonen.

Vissa autentiseringsscheman kräver specifika typer av kryptering.

Autentiserings- och krypteringsscheman i följande tabell visar nätverkskon figurationsalternativen för Cisco Wireless Phone 9821 som motsvarar AP-konfiguration.

Cisco Wireless Phone 9821 stöder 802.1X-autentisering för trådbundna nätverk. Detta används vanligtvis under automatisk provision ering när telefonen är ansluten till skrivbordsladdaren via en USB-till-Ethernet-adapter som stöds.

Stöd för 802.1X-autentisering i trådbundna nätverk kräver flera komponenter enligt följande:

• Cisco IP-telefon: Telefonen initierar begäran om åtkomst till nätverket. Cisco IP-telefoner innehåller en 802.1X-supplicant. Denna supplicant tillåter nätverksadministratörer att styra anslutningen av IP-telefoner till LAN-switchportarna. Den aktuella versionen av telefonens 802.1X-supplicant använder alternativen EAP-FAST och EAP-TLS för nätverksautentisering.

• Autentiseringsserver: Både autentiseringsservern och växeln måste konfigureras med en delad RADIUS-hemlighet.

• Switch: Omkopplaren måste stödja 802.1X, så att den kan fungera som autentiserare och vidarebefordra EAP-meddelanden mellan telefonen och autentiseringsservern. När utbytet är klart beviljar eller nekar omkopplaren telefonens åtkomst till nätverket.

Ciscos IP-telefoner och Cisco Catalyst-switchar använder traditionellt Cisco Discovery Protocol (CDP) för att identifiera varandra och bestämma parametrar som VLAN-allokering och inbyggda strömkrav.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

• Konfigurera CDP/LLDP röst VLAN-förbikoppling.

• Konfigurera autentiseringsservern och växeln innan du aktiverar 802.1X- autentisering för trådbundna nätverk på telefonen.

• Konfigurera Voice VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN bör du konfigurera den här inställningen baserat på switchstödet.

  • Aktiverad: Om du använder en switch som stöder autentisering med flera domäner kan du konfigurera den så att den använder röstVLAN.
  • Inaktiverad: Om växeln inte stöder autentisering med flera domäner inaktiverar du Voice VLAN och överväg att tilldela porten till det ursprungliga VLAN-nätverket.

• Cisco Wireless Phone 9821 har ett annat prefix i PID än för de andra Cisco-telefonerna. Om du vill att telefonen ska klara 802.1X-autentisering ställer du in parametern Radius·User-Nam n så att den inkluderar din Cisco Wireless Phone 9821.

  Till exempel är PID för Cisco Wireless Phone 9821 WP-9821. Du kan ställa in Radius·Användarnamn till Start with WPeller Contains WPi båda följande avsnitt:

  • Policy > Villkor > Biblioteksvillkor

  • Princip > Princip uppsättningar > Auktor iseringsprinci p > Auktoriseringsregel 1