Дякуємо за відгук.

Оскільки всі пристрої WLAN у межах досяжності можуть приймати будь-який інший трафік WLAN, захист голосового зв’язку у WLAN має вирішальне значення. Щоб гарантувати, що зловмисники не маніпулюють і не перехоплюють голосовий трафік, архітектура Cisco SAFE Security підтримує цей телефон. Для отримання додаткової інформації про безпеку в мережах див. http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Телефонне рішення Cisco Wireless IP забезпечує безпеку бездротової мережі, яка запобігає несанкціонованим входам і скомпрометованим комунікаціям, використовуючи такі методи автентифікації, які підтримує телефон.

• Відкрита автентифікація. Будь-який бездротовий пристрій може подати запит на автентифікацію у відкритій системі. Точка доступу, яка отримує запит, може надавати автентифікацію будь-якому запитувачу або тільки запитувачам зі списку користувачів. Зв'язок між бездротовим пристроєм і точкою доступу (AP) міг бути незашифрованим.

• Розширений протокол автентифікації — гнучка автентифікація через безпечне тунелювання (EAP-FAST): Ця клієнт-серверна архітектура безпеки шифрує EAP транзакції в тунелі безпеки транспортного рівня (TLS) між точкою доступу та сервером RADIUS, наприклад, Identity Services Engine (ISE).

  Тунель TLS використовує захищені облікові дані доступу (PAC) для автентифікації між клієнтом (телефоном) і сервером RADIUS. Сервер надсилає клієнту (телефону) ідентифікатор центру сертифікації (AID), який у свою чергу вибирає відповідні облікові дані PAC. Клієнт (телефон) повертає на сервер RADIUS повідомлення PAC-Opaque. Сервер розшифровує PAC за допомогою головного ключа. Обидва кінцеві пристрої тепер містять ключ PAC. Також створюється тунель TLS. EAP-FAST підтримує автоматичне надсилання PAC, але цю функцію потрібно ввімкнути на сервері RADIUS.

  У ISE за замовчуванням PAC закінчується через тиждень. Якщо на телефоні закінчився термін дії PAC, автентифікація на сервері RADIUS займатиме більше часу, доки телефон не отримає нові облікові дані PAC. Щоб уникнути затримок у надсиланні даних PAC, установіть на сервері ISE або RADIUS термін дії PAC принаймні 90 днів.

• Розширюваний протокол автентифікації з протоколом безпеки транспортного рівня (EAP-TLS). Для автентифікації та доступу до мережі за допомогою EAP-TLS потрібен сертифікат клієнта. Для бездротового EAP-TLS клієнтський сертифікат може бути MIC або сертифікат, встановлений користувачем.

• Захищений розширюваний протокол автентифікації (PEAP). Розроблена Cisco схема взаємної автентифікації на основі пароля між клієнтом (телефоном) і сервером RADIUS. Телефон може використовувати PEAP для автентифікації через бездротову мережу. Підтримуються обидва методи автентифікації – PEAP-MSCHAPV2 й PEAP-GTC.

  Для підтримки автентифікації PEAP-GTC для бездротового телефону Cisco 9821 налаштуйте необхідну політику в наборі політик Cisco ISE.

• Попередній спільний ключ (PSK): Телефон підтримує формати ASCII та шістнадцятковий (HEX). Ви повинні використовувати ці формати при налаштуванні WPA2/SAE Pre-shared ключа.

  ASCII: рядок ASCII-символів довжиною від 8 до 63 символів (0-9, малі a-z, великі A-Z та спеціальні символи). Наприклад, GREG123567@9ZX&W.

  HEX: Шестигранний рядок символів довжиною 64 шістнадцятка (0-9, a-f або A-F).

Нижче наведено схеми автентифікації, які використовують керування ключами автентифікації сервер RADIUS.

• WPA2/WPA3 – використовує інформацію про сервер RADIUS для створення унікальних ключів автентифікації. Ці ключі створюються на централізованому сервері RADIUS, тому WPA2/WPA3 забезпечує кращий захист, ніж заздалегідь установлені ключі WPA, які зберігаються в AP й на телефоні.

• Швидкий безпечний роумінг – використовує інформацію про сервер RADIUS і сервер бездротового домену (WDS) для контролю та автентифікації ключів. WDS створює кеш облікових даних безпеки для клієнтських пристроїв з підтримкою FT для швидкої та безпечної повторної автентифікації.

У WPA2/WPA3 ключі шифрування не вводяться на телефоні, а автоматично отримуються між точкою доступу та телефоном. Однак ім’я користувача й пароль EAP, які використовуються для автентифікації, потрібно ввести на кожному з телефонів.

Для захисту голосового трафіку через бездротове з'єднання телефон підтримує шифрування на основі AES для автентифікації WPA2/WPA3. AES — це симетричний блочний шифр, стандартизований NIST. AES використовує фіксований 128-бітний розмір блоку і підтримує розміри ключів 128, 192 біти та 256 біт. У мережах Wi-Fi AES використовується наборами шифрів, такими як CCMP або GCMP, а автентифікація надається окремо PSK, SAE або 802.1X/EAP, залежно від налаштованого режиму безпеки WLAN. Підтримуваний набор шифрів і розмір ключа залежать від моделі телефону та конфігурації WLAN.

Схеми автентифікації та шифрування налаштовуються в межах бездротової локальної мережі. Мережі VLAN налаштовуються в мережі й точках доступу, задаючи різні комбінації автентифікації та шифрування. SSID прив’язується до VLAN й особливої схеми автентифікації та шифрування. Для успішної автентифікації бездротових клієнтських пристроїв необхідно налаштувати ті ж SSID з їхніми схемами автентифікації та шифрування на точках доступу та телефоні.

Деякі схеми автентифікації вимагають конкретних типів шифрування.

Схеми автентифікації та шифрування у наступній таблиці показують налаштування мережі для Cisco Wireless Phone 9821, що відповідає конфігурації точки доступу.

Cisco Бездротовий телефон 9821 підтримує автентифікацію 802.1X для дротових мереж. Зазвичай це використовується під час автоматичного налаштування , коли телефон підключений до зарядного пристрою через підтримуваний USB-to-Ethernet адаптер.

Підтримка автентифікації 802.1X у дротових мережах вимагає кількох компонентів, а саме:

• IP-телефон Cisco. Телефон ініціює запит на доступ до мережі. IP-телефони Cisco обладнано запитувачем 802.1X. За його допомогою адміністратори мережі можуть контролювати підключення IP-телефонів до портів комутатора LAN. Поточний випуск запитувача 802.1X телефона використовує для автентифікації в мережі параметри EAP-FAST та EAP-TLS.

• Сервер автентифікації: Сервер автентифікації та комутатор мають бути налаштовані з спільним секретом RADIUS.

• Комутатор: Комутатор повинен підтримувати 802.1X, щоб виконувати роль автентифікатора та передавати повідомлення EAP між телефоном і сервером автентифікації. Після завершення обміну комутатор надає або блокує телефону доступ до мережі.

Як правило, IP-телефони Cisco й комутатори Cisco Catalyst використовують протокол Cisco Discovery Protocol (CDP) для взаємної ідентифікації та визначення таких параметрів, як розподіл VLAN і вимоги до живлення через лінію.

Щоб налаштувати 802.1X:

• Налаштуйте CDP/LLDP голос VLAN обхід.

• Налаштуйте сервер автентифікації та комутатор перед тим, як увімкнути автентифікацію 802.1X для дротових мереж на телефоні.

• Налаштуйте голосову VLAN. Стандарт 802.1X не враховує VLAN, а тому вам потрібно налаштовувати цей параметр залежно від підтримки комутатора.

  • Увімкнено: Якщо ви використовуєте комутатор, який підтримує багатодоменну автентифікацію, ви можете налаштувати його на використання голосу VLAN.
  • Не підтримується. Якщо ваш комутатор не підтримує багатодоменну автентифікацію, вимкніть голосову VLAN і призначте порт нативній мережі VLAN.

• Cisco Бездротовий телефон 9821 має інший префікс у PID, ніж у інших телефонів Cisco. Щоб дозволити телефону пройти автентифікацію 802.1X, встановіть радіус· Параметр ім'я користувача , щоб включити ваш Cisco Wireless Phone 9821.

  Наприклад, PID бездротового телефону Cisco 9821 — це WP-9821. Ви можете встановити радіус· Ім'я користувача починається з WP або містить WP у обох наступних розділах:

  • Політика > Умови > Умови бібліотеки

  • Політики > Набори політик> Політика авторизації> Правило авторизації 1