Сертифікат пристрою можна автоматично оновити за допомогою процесу SCEP.

• Термін дії сертифіката перевіряється телефоном через 15 днів кожні 4 години. Якщо так, телефон автоматично розпочне процес подовження сертифіката.
• Якщо пароль виклику пустий, телефон використовує MIC/SUDI як для початкової реєстрації, так і для подовження сертифіката. Якщо налаштовано пароль завдання, він використовується лише для початкової реєстрації, а для подовження сертифіката використовується наявний/встановлений сертифікат.
• Телефон не видаляє старий сертифікат пристрою, доки не отримає новий.
• Якщо не вдасться подовжити дію сертифіката через завершення терміну дії сертифіката пристрою або ЦС, телефон автоматично запустить початкову реєстрацію. Тим часом, якщо помилка автентифікації тестового пароля, на екрані телефону з’явиться екран введення пароля, і користувачам буде запропоновано ввести тестовий пароль на телефоні.

IP-телефони Cisco підтримують автентифікацію 802.1X.

IP-телефони Cisco та комутатори Cisco Catalyst традиційно використовують Cisco Discovery Protocol (CDP), щоб ідентифікувати один одного та визначити такі параметри, як виділення VLAN та вимоги до вбудованої потужності. CDP не ідентифікує локально підключені робочі станції. IP-телефони Cisco забезпечують механізм передавання через EAPOL. Цей механізм дозволяє робочій станції, підключеній до IP-телефону Cisco, передавати повідомлення EAPOL до автентифікатора 802.1X на комутаторі локальної мережі. Механізм передавання даних гарантує, що IP-телефон не виступає як перемикач локальної мережі для автентифікації кінцевої точки даних перед доступом до мережі.

IP-телефони Cisco також забезпечують проксі-механізм EAPOL Logoff. Якщо локально підключений ПК відключиться від IP-телефону, перемикач локальної мережі не побачить фізичного зв’язку, оскільки зв’язок між перемикачем локальної мережі та IP-телефоном підтримується. Щоб уникнути загрози цілісності мережі, IP-телефон надсилає комутатору повідомлення EAPOL-Logoff від імені ПК, розташованого нижче за рангом, який запускає перемикач локальної мережі, щоб очистити запис автентифікації для ПК нижче за рангом.

Підтримка автентифікації 802.1X вимагає декількох компонентів:

• IP-телефони Cisco Телефон ініціює запит на доступ до мережі. IP-телефони Cisco містять постачальника 802.1X. Цей постачальник дозволяє адміністраторам мережі керувати підключенням IP-телефонів до портів перемикання локальної мережі. У поточному випуску постачальника телефону 802.1X використовуються параметри EAP-FAST та EAP-TLS для автентифікації мережі.

• Сервер автентифікації: Сервер автентифікації та перемикач мають бути налаштовані зі спільним секретом, який автентифікує телефон.

• Перемикач: Перемикач повинен підтримувати 802.1X, щоб він міг виступати як автентифікатор і передавати повідомлення між телефоном і сервером автентифікації. Після завершення обміну перемикач надає або забороняє доступ до телефону до мережі.

Щоб налаштувати 802.1X, необхідно виконати такі дії.

• Налаштуйте інші компоненти, перш ніж увімкнути автентифікацію 802.1X на телефоні.

• Налаштувати порт ПК: Стандарт 802.1X не враховує мережі VLAN і тому рекомендує автентифікувати лише один пристрій на конкретний порт перемикання. Однак деякі перемикачі підтримують багатодоменну автентифікацію. Конфігурація перемикача визначає, чи можна підключити комп’ютер до порту ПК телефону.

  • Увімкнено: Якщо ви використовуєте перемикач, який підтримує багатодоменну автентифікацію, ви можете ввімкнути порт ПК та підключити до нього ПК. IP-телефони Cisco підтримують проксі EAPOL-Logoff для моніторингу обміну автентифікацією між перемикачем і прикріпленим ПК.

    Додаткову інформацію про підтримку IEEE 802.1X у комутаторах Cisco Catalyst див. в посібниках із налаштування перемикачів Cisco Catalyst за адресою:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Вимкнено: Якщо перемикач не підтримує кілька пристроїв, сумісних із 802.1X, на одному порту необхідно вимкнути порт ПК, коли ввімкнено автентифікацію 802.1X. Якщо цей порт не вимкнути, а потім спробувати прикріпити до нього ПК, перемикач заборонить мережевий доступ як до телефону, так і до ПК.

• Налаштувати голосову VLAN: Оскільки стандарт 802.1X не враховує мережі VLAN, цей параметр слід налаштувати на основі підтримки перемикання.
  • Увімкнено: Якщо ви використовуєте перемикач, який підтримує багатодоменну автентифікацію, ви можете продовжити його, використовуючи голосову VLAN.
  • Вимкнено: Якщо перемикач не підтримує багатодоменну автентифікацію, вимкніть голосову VLAN і розгляньте можливість призначення порту рідній VLAN.
• (Тільки для настільних телефонів Cisco серії 9800)

  Настільний телефон Cisco серії 9800 має інший префікс в PID, ніж для інших телефонів Cisco. Щоб увімкнути передавання автентифікації 802.1X на телефоні, установіть параметр Radius·User-Name, щоб включити настільний телефон Cisco серії 9800.

  Наприклад, PID телефону 9841 є DP-9841. Ви можете задати параметр Radius·User-Name, щоб Почати з DP або Містить DP. Його можна встановити в обох таких розділах:

  • Політика > Умови > Умови бібліотеки

  • Політика > Набори політик > Політика авторизації > Правило авторизації 1

Оскільки всі пристрої WLAN, які знаходяться в межах діапазону, можуть отримувати весь інший трафік WLAN, безпека голосового зв’язку має важливе значення в WLAN. Щоб переконатися, що зловмисники не маніпулюють і не перехоплюють голосовий трафік, архітектура SAFE Security Cisco підтримує телефон. Додаткову інформацію про безпеку в мережах див. у статті http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Рішення Cisco Wireless IP-телефонії забезпечує безпеку бездротової мережі, яка запобігає несанкціонованому вході та компромісному зв’язку за допомогою таких методів автентифікації, які підтримує телефон:

• Без автентифікації Будь-який бездротовий пристрій може запитувати автентифікацію у відкритій системі. AP, що отримує запит, може надати автентифікацію будь-якому відправнику запиту або лише відправникам запиту, знайденим у списку користувачів. Зв’язок між бездротовим пристроєм і точкою доступу (AP) може бути незашифрованим.

• Розширений протокол автентифікації — гнучка автентифікація за допомогою безпечного тунелювання (EAP-FAST): Ця архітектура безпеки клієнта-сервера шифрує транзакції EAP в тунелі Transport Level Security (TLS) між AP та сервером RADIUS, наприклад Identity Services Engine (ISE).

  Тунель TLS використовує облікові дані захищеного доступу (PAC) для автентифікації між клієнтом (телефоном) і сервером RADIUS. Сервер надсилає ідентифікатор центру (AID) клієнту (телефону), який у свою чергу вибирає відповідний PAC. Клієнт (телефон) повертає PAC-Opaque на сервер RADIUS. Сервер розшифрує PAC за допомогою первинного ключа. Обидві кінцеві пристрої тепер містять ключ PAC, і створено тунель TLS. EAP-FAST підтримує автоматичну підготовку PAC, але її потрібно ввімкнути на сервері RADIUS.

  У ISE за замовчуванням термін дії PAC закінчується через один тиждень. Якщо термін дії PAC на телефоні завершився, автентифікація за допомогою сервера RADIUS займає більше часу, поки телефон отримує новий PAC. Щоб уникнути затримок під час підготовки PAC, встановіть період закінчення терміну дії PAC на 90 днів або більше на сервері ISE.

• Автентифікація розширеного протоколу автентифікації — транспортного рівня безпеки (EAP-TLS): EAP-TLS вимагає сертифіката клієнта для автентифікації та доступу до мережі. Для бездротового EAP-TLS сертифікатом клієнта може бути мікрофон, LSC або сертифікат, встановлений користувачем.

• Захищений розширений протокол автентифікації (PEAP): Власна схема взаємної автентифікації Cisco на основі пароля між клієнтом (телефоном) і RADIUS-сервером. Телефон може використовувати PEAP для автентифікації з бездротовою мережею. Підтримуються методи автентифікації PEAP-MSCHAPV2 та PEAP-GTC.

• Спільний ключ (PSK): Телефон підтримує формат ASCII. Цей формат потрібно використовувати під час налаштування спільного ключа WPA/WPA2/SAE:

  ASCII: рядок ASCII-символів довжиною від 8 до 63 символів (0–9, малих і великих літер A–Z і спеціальні символи)

  Приклад: GREG123567@9ZX&W