Geri bildiriminiz için teşekkürler.

Menzil içindeki tüm WLAN cihazları diğer tüm WLAN trafiğini alabildiğinden, sesli iletişimin güvenliğini sağlamak WLAN'larda kritik öneme sahiptir. Davetsiz misafirlerin ses trafiğini manipüle etmemesini veya engellememesini sağlamak için Cisco SAFE Security mimarisi telefonu destekler. Ağlardaki güvenlik hakkında daha fazla bilgi için bkz. http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Kablosuz IP telefon çözümü, telefonun desteklediği aşağıdaki kimlik doğrulama yöntemlerini kullanarak yetkisiz oturum açmaları ve güvenliği ihlal edilmiş iletişimleri önleyen kablosuz ağ güvenliği sağlar.

• Açık Kimlik Doğrul ama: Herhangi bir kablosuz cihaz açık bir sistemde kimlik doğrulama isteyebilir. İsteki alan AP, herhangi bir istekleyiciye veya yalnızca kullanıcı listesinde bulunan istekçilere kimlik doğrulama verebilir. Kablosuz aygıt ile Erişim Noktası (AP) arasındaki iletişim şifrelenmemiş olabilir.

• Genişletilebilir Kimlik Doğrulama Protokolü-Güvenli Tünel (EAP-FAST) Kimlik Doğrulaması ile Esnek Kimlik Doğrul ama: Bu istemci-sunucu güvenlik mimarisi, AP ile Identity Services Engine (ISE) gibi RADIUS sunucusu arasındaki Aktarım Düzeyi Güvenliği (TLS) tüneli içindeki EAP işlemlerini şifreler.

  TLS tüneli, istemci (telefon) ve RADIUS sunucusu arasındaki kimlik doğrulaması için Korumalı Erişim Kimlik Bilgileri (PAC) kullanır. Sunucu istemciye (telefon) bir Yetki Kimliği (AID) gönderir ve bu da uygun PAC'yi seçer. İstemci (telefon) RADIUS sunucusuna bir PAC opak döndürür. Sunucu, PAC'nin şifresini birincil anahtarla çözer. Her iki uç nokta da artık PAC anahtarını içerir ve bir TLS tüneli oluşturulur. EAP-FAST otomatik PAC provizyonunu destekler, ancak bunu RADIUS sunucusunda etkinleştirmeniz gerekir.

  ISE'de, varsayılan olarak, PAC bir hafta içinde sona erer. Telefonun süresi dolmuş bir PAC varsa, telefon yeni bir PAC alırken RADIUS sunucusu ile kimlik doğrulama daha uzun sürer. PAC sağlama gecikmelerini önlemek için ISE veya RADIUS sunucusunda PAC son kullanma süresini 90 gün veya daha uzun olarak ayarlayın.

• Genişletilebilir Kimlik Doğrulama Protokolü-Aktarım Katmanı Güvenliği (EAP-TLS) Kimlik Doğrulaması: EAP-TLS, kimlik doğrulama ve ağ erişimi için bir istemci sertifikası gerektirir. Kablosuz EAP-TLS için istemci sertifikası MIC veya kullanıcı tarafından yüklenen sertifika olabilir.

• Korumalı Genişletilebilir Kimlik Doğrulama Protokolü (PEAP): İstemci (telefon) ve RADIUS sunucusu arasındaki Cisco tescilli parola tabanlı karşılıklı kimlik doğrulama şeması. Telefon, kablosuz ağ ile kimlik doğrulaması için PEAP kullanabilir. Hem PEAP-MSCHAPV2 hem de PEAP-GTC kimlik doğrulama yöntemleri desteklenir.

  Cisco Kablosuz Telefon 9821 için PEAP-GTC kimlik doğrulamasını desteklemek için Cisco ISE ilke kümesinde gerekli ilkeyi yapılandırın.

• Önceden Paylaşılan Anahtar (PSK): Telefon ASCII ve onaltılık (HEX) formatlarını destekler. WPA2/SAE Önceden paylaşılan anahtarı ayarlarken bu biçimleri kullanmanız gerekir.

  ASCII: 8 ila 63 karakter uzunluğunda bir ASCII karakter dizesi (0-9, küçük harf a-z, büyük A-Z ve özel karakterler). Örneğin, GREG123567@9ZX&W.

  HEX: 64 altıgen basamak uzunluğunda (0-9, a-f veya A-F) altıgen karakterli bir dize.

Aşağıdaki kimlik doğrulama şemaları, kimlik doğrulama anahtarlarını yönetmek için RADIUS sunucusunu kullanır:

• WPA2/WPA3: Kimlik doğrulama için benzersiz anahtarlar oluşturmak için RADIUS sunucu bilgilerini kullanır. Bu anahtarlar merkezi RADIUS sunucusunda oluşturulduğundan, WPA2/WPA3, AP ve telefonda depolanan önceden paylaşılan WPA anahtarlarından daha fazla güvenlik sağlar.

• Hızlı Güvenli Dolaşım: Anahtarları yönetmek ve doğrulamak için RADIUS sunucusu ve kablosuz etki alanı sunucusu (WDS) bilgilerini kullanır. WDS, hızlı ve güvenli yeniden kimlik doğrulaması için FT özellikli istemci aygıtları için bir güvenlik kimlik bilgileri önbelleği oluşturur.

WPA2/WPA3 ile şifreleme anahtarları telefona girilmez, ancak AP ile telefon arasında otomatik olarak türetilir. Ancak kimlik doğrulama için kullanılan EAP kullanıcı adı ve şifresi her telefona girilmelidir.

Kablosuz bağlantı üzerinden ses trafiğinin korunmasına yardımcı olmak için telefon, WPA2/WPA3 kimlik doğrulaması için AES tabanlı şifrelemeyi destekler. AES, NIST tarafından standartlaştırılmış simetrik bir blok şifresidir. AES sabit bir 128 bit blok boyutu kullanır ve 128 bit, 192 bit ve 256 bit anahtar boyutlarını destekler. Wi-Fi ağlarında AES, CCMP veya GCMP gibi şifre paketleri tarafından kullanılırken, kimlik doğrulama yapılandırılmış WLAN güvenlik moduna bağlı olarak PSK, SAE veya 802.1X/EAP tarafından ayrı ayrı sağlanır. Desteklenen şifre paketi ve anahtar boyutu telefon modeline ve WLAN yapılandırmasına bağlıdır.

Kimlik doğrulama ve şifreleme şemaları kablosuz LAN içinde ayarlanır. VLAN'lar ağda ve AP'lerde yapılandırılır ve farklı kimlik doğrulama ve şifreleme kombinasyonları belirtir. Bir SSID, bir VLAN ve belirli kimlik doğrulama ve şifreleme şemasıyla ilişkilendirilir. Kablosuz istemci cihazlarının kimlik doğrulamasını başarıyla gerçekleştirmesi için, aynı SSID'leri AP'lerde ve telefonda kimlik doğrulama ve şifreleme şemalarıyla yapılandırmanız gerekir.

Bazı kimlik doğrulama şemaları belirli şifreleme türleri gerektirir.

Aşağıdaki tablodaki kimlik doğrulama ve şifreleme şemaları, Cisco Kablosuz Telefon 9821 için AP yapılandırmasına karşılık gelen ağ yapılandırma seçeneklerini göstermektedir.

Cisco Kablosuz Telefon 9821, kablolu ağlar için 802.1X kimlik doğrulamasını destekler. Bu, genellikle telefon desteklenen bir USB-Ethernet adaptörü aracılığıyla masaüstü şarj cihazına bağlandığında otomatik sağlama sırasında kullanılır.

Kablolu ağlarda 802.1X kimlik doğrulaması desteği aşağıdaki gibi birkaç bileşen gerektirir:

• Cisco IP Telefon: Telefon ağa erişim isteğini başlatır. Cisco IP Telefonları bir 802.1X çağırıcı içerir. Bu talep, ağ yöneticilerinin IP telefonlarının LAN anahtar bağlantı noktalarına bağlanmasını kontrol etmesine olanak tanır. Telefon 802.1X istemcisinin geçerli sürümü, ağ kimlik doğrulaması için EAP-FAST ve EAP-TLS seçeneklerini kullanır.

• Kimlik doğrulama sunucusu: Kimlik doğrulama sunucusu ve anahtarın her ikisi de bir RADIUS paylaşılan sırrı ile yapılandırılmalıdır.

• Anahtar: Anahtarın 802.1X'i desteklemesi gerekir, böylece kimlik doğrulayıcı görevi görebilir ve EAP mesaj larını telefon ile kimlik doğrulama sunucusu arasında aktarabilir. Değişim tamamlandıktan sonra, anahtar telefona ağa erişimini verir veya reddeder.

Cisco IP Telefonları ve Cisco Catalyst anahtarları, birbirlerini tanımlamak ve VLAN tahsisi ve hat içi güç gereksinimleri gibi parametreleri belirlemek için geleneksel olarak Cisco Discovery Protocol (CDP) kullanır.

802.1X'i yapılandırmak için aşağıdaki işlemleri gerçekleştir melisiniz.

• CDP/LLDP sesli VLAN baypasını yapılandırın.

• Telefondaki kablolu ağlar için 802.1X kimlik doğrulamasını etkinleştirmeden önce kimlik doğrulama sunucusunu ve anahtarı yapılandırın.

• Sesli VLAN'ı Yapılandırma: 802.1X standardı VLAN'ları hesaba katmadığından, bu ayarı anahtar desteğine göre yapılandırmanız gerekir.

  • Etkin: Çok etki alanlı kimlik doğrulamasını destekleyen bir anahtar kullanıyorsanız, bu anahtarı sesli VLAN'ı kullanacak şekilde yapılandırabilirsiniz.
  • Devre dışı: Anahtar çok etki alanlı kimlik doğrulamayı desteklemiyorsa, Ses VLAN'ı devre dışı bırakın ve bağlantı noktasını yerel VLAN'a atamayı düşünün.

• Cisco Kablosuz Telefon 9821, PID'de diğer Cisco telefonlarından farklı bir ön ekine sahiptir. Telefon unuzun 802.1X kimlik doğrulamasını geçmesini sağlamak için Yarıçap · Kullanıcı Adı parametresini Cisco Kablosuz Telefon 9821'inizi içerecek şekilde ayarlayın.

  Örneğin, Cisco Kablosuz Telefon 9821'in PID değeri WP-9821'dir. Yarıçap · Kullanıcı Adı ayarını aşağıdaki bölümlerin her ik isine Start with WPveya her Contains WPikisine de ayarlayabilirsiniz:

  • Politika > Koş ullar > Kütüphane Koşulları

  • İlke > İlke Kümeleri > Y etkilendirme İlkesi > Y etkilendirme Kuralı 1