Tack för din feedback.

Eftersom alla WLAN-enheter som finns inom räckvidd kan ta emot all övrig WLAN-trafik är det nödvändigt att säkra röstkommunikation i WLAN. För att säkerställa att inkräktare inte manipulerar eller avlyssnar rösttrafik stöder Cisco SAFE Security-arkitekturen telefonen. Mer information om säkerhet i nätverk finns ihttp://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefonilösningen Cisco Wireless IP tillhandahåller säkerhet för trådlösa nätverk som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsmetoder som telefonen stöder.

• Öppen autentisering: Alla trådlösa enheter kan begära autentisering i ett öppet system. Åtkomstpunkten som tar emot begäran kan medge autentisering för alla begäranden eller bara för de begäranden som finns med i en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (åtkomstpunkten) kan vara icke-krypterad.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Autentisering: Den här säkerhetsarkitekturen på klient-servern krypterar EAP-transaktioner i en TLS-tunnel (Transport Level Security) mellan åtkomstpunkten och RADIUS-servern, till exempel ISE (Identity Services Engine).

  TLS-tunneln använder skyddad PAC (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett utfärdar-ID till klienten (telefon), som i sin tur väljer lämpligt PAC. Klienten (telefonen) returnerar ett PAC-täckande till RADIUS-servern. Servern dekrypterar PAC med den primära nyckeln. Båda slutpunkterna har nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST stöder automatisk PAC-etablering, men du måste aktivera den på RADIUS-servern.

  I ISE upphör PAC som standard att gälla om en vecka. Om telefonen har en utgången PAC, tar autentisering med RADIUS-servern längre tid när telefonen får ett nytt PAC. För att undvika fördröjningar i PAC-etableringen kan du sätta PAC-utgångstiden till 90 dagar eller längre på ISE- eller RADIUS-servern.

• Autentisering via EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlösa EAP-TLS kan klientcertifikatet vara MIC eller användarinstallerat certifikat.

• Skyddat PEAP (Extensible Authentication Protocol): Ciscos tillverkarspecifika lösenordsbaserade och växelvisa autentiseringsschema mellan klient (telefon) och RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2 och PEAP-GTC autentiseringsmetoder stöds.

  Om du vill stödja PEAP-GTC-autentisering för Cisco Wireless Phone 9821 konfigurerar du den nödvändiga principen i policyuppsättningen Cisco ISE.

• PSK (Pre-Shared Key): Telefonen stöder formaten ASCII och hexadecimalt (HEX). Du måste använda dessa format när du konfigurerar en i förväg delad WPA2/SAE-nyckel.

  ASCII: En ASCII-teckensträng med 8 till 63 tecken i längd (0-9, gemener a-z, versaler A-Z och specialtecken). Till exempel GREG123567@9ZX&W.

  HEX: En HEX-teckensträng med 64 hexsiffror i längd (0-9, a-f eller A-F).

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

• WPA2/WPA3: Använder RADIUS serverinformation för att skapa unika nycklar för autentisering. Eftersom de här nycklarna har genererats på den centrala RADIUS-servern ger WPA2/WPA3 högre säkerhet än i förväg delade WPA-nycklar som lagras på åtkomstpunkten och telefonen.

• Säker och snabb roaming: Används med RADIUS-server och information om trådlös domänserver vid hantering och autentisering av nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker omautentisering.

Med WPA2/WPA3 matas inga krypteringsnycklar in på telefonen, utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamn och lösenord som används för autentisering måste anges på respektive telefon.

För att skydda rösttrafiken via den trådlösa länken stöder telefonen AES-baserad kryptering för WPA2/WPA3-autentisering. AES är ett symmetriskt blockchiffer standardiserat av NIST. AES använder en fast 128-bitars blockstorlek och stöder nyckelstorlekar på 128 bitar, 192 bitar och 256 bitar. I Wi-Fi-nätverk används AES av chiffersviter som CCMP eller GCMP, medan autentisering tillhandahålls separat av PSK, SAE eller 802.1X/EAP, beroende på det konfigurerade WLAN-säkerhetsläget. Vilken chiffersviten och nyckelstorleken som stöds beror på telefonmodellen och WLAN konfigurationen.

Autentiserings- och krypteringsscheman ställs in i det trådlösa nätverket. VLAN konfigureras i nätverket och på åtkomstpunkterna, och anger olika kombinationer av autentisering och kryptering. Ett SSID kan kopplas till ett VLAN och valt autentiserings- och krypteringsschema. För att trådlösa klientenheter ska kunna autentiseras måste du konfigurera samma SSID med deras autentiserings- och krypteringsscheman på åtkomstpunkterna och på telefonen.

Vissa autentiseringsscheman kräver en viss typ av kryptering.

Autentiserings- och krypteringsscheman i följande tabell visar nätverkskonfigurationsalternativen för Cisco trådlös telefon 9821 som motsvarar AP-konfigurationen.

Cisco Trådlös telefon 9821 stöder 802.1X-autentisering för trådbundna nätverk. Detta används vanligtvis under automatisk etablering när telefonen är ansluten till skrivbordsladdaren via en USB-till-Ethernet-adapter som stöds.

Stöd för 802.1X-autentisering i kabelanslutna nätverk kräver flera komponenter enligt följande:

• Cisco IP-telefon: Telefonen initierar begäran om att få tillgång till nätverket. Cisco IP-telefon innehåller en 802.1X-supplikant. Supplikanten tillåter att nätverksadministratörer kan styra uppkoppling av IP-telefoner till LAN-växelportar. I den aktuella versionen av telefonens 802.1X-supplikant används EAP-FAST och EAP-TLS för nätverksautentisering.

• Autentiseringsserver: Både autentiseringsservern och växeln måste konfigureras med en delad RADIUS-hemlighet.

• Växel: Växeln måste ha stöd för 802.1X så att den kan fungera som autentiserare och vidarebefordra EAP-meddelanden mellan telefonen och autentiseringsservern. När utväxlingen är klar beviljar eller nekar växeln åtkomst till nätverket för telefonen.

Cisco IP-telefoner och Cisco Catalyst-växlar använder traditionellt Ciscos CDP-protokoll för att identifiera varandra och fastställa parametrar som VLAN-tilldelning och interna strömbehov.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

• Konfigurera förbikoppling av CDP/LLDP röst VLAN.

• Konfigurera autentiseringsservern och växeln innan du aktiverar 802.1X-autentisering för kabelanslutna nätverk på telefonen.

• Konfigurera röst-VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN, bör du konfigurera den här inställningen baserat på växelstöd.

  • Aktiverad: Om du använder en växel som stöder multidomänautentisering kan du konfigurera den för att använda rösten VLAN.
  • Inaktiverat: Om växeln inte stöder multidomänautentisering inaktiverar du röst-VLAN och överväg sedan att tilldela porten till det inbyggda VLAN-nätet.

• Cisco Trådlös telefon 9821 har ett annat prefix i PID än det för de andra Cisco telefonerna. Om du vill att telefonen ska klara 802.1X-autentisering ställer du in radien · Användarnamnsparameter för att inkludera din Cisco trådlösa telefon 9821.

  Till exempel är PID för Cisco Wireless Phone 9821 WP-9821. Du kan ställa in radie· Användarnamn för att börja med WP eller Innehåller WP i båda följande avsnitt:

  • Policy > Villkor > Biblioteksvillkor

  • Policy > Principuppsättningar > Auktoriseringsprincip > Auktoriseringsregel 1