Дякуємо за відгук.

Оскільки всі пристрої WLAN, які знаходяться в межах діапазону, можуть отримувати весь інший трафік WLAN, захист голосового зв'язку є критичним у мережах WLAN. Щоб гарантувати, що зловмисники не маніпулюють і не перехоплюють голосовий трафік, архітектура Cisco SAFE Security підтримує телефон. Для отримання додат кової інформації про безпеку в мережах див. http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Рішення Cisco Wireless IP телефонії забезпечує безпеку бездротової мережі, що запобігає несанкціонованим входам та компрометованим комунікаціям за допомогою наступних методів аутентифікації, які підтримує телефон.

• Відкрита аутенти фікація: Будь-який бездротовий пристрій може запитувати аутентифікацію у відкритій системі. Точка доступу, яка отримує запит, може надавати автентифікацію будь-якому запитувачу або лише запитувачам, які знаходяться у списку користувачів. Зв'язок між бездротовим пристроєм і точкою доступу (AP) може бути нешифрованим.

• Розширюваний протокол автентифікації - гнучка автентифікація за допомогою аутентифікації безпечного тунелювання (EAP-FAST): ця архітектура безпеки клієнт-сервер шифрує транзакції EAP в тунелі безпеки транспортного рівня (TLS) між точкою доступу та сервером RADIUS, наприклад, Identity Services Engine (ISE).

  Тунель TLS використовує захищені облікові дані доступу (PAC) для автентифікації між клієнтом (телефоном) та сервером RADIUS. Сервер надсилає клієнту (телефону) Authority ID (AID), який у свою чергу вибирає відповідний PAC. Клієнт (телефон) повертає PAC-непрозорість сервера RADIUS. Сервер розшифровує PAC первинним ключем. Обидві кінцеві точки тепер містять ключ PAC і створюється тунель TLS. EAP-FAST підтримує автоматичне забезпечення PAC, але його потрібно ввімкнути на сервері RADIUS.

  У ISE за замовчуванням PAC закінчується через один тиждень. Якщо телефон має термін дії PAC, аутентифікація за допомогою сервера RADIUS займає більше часу, поки телефон отримує новий PAC. Щоб уникнути затримок забезпечення PAC, встановіть термін дії PAC на 90 днів або довше на сервері ISE або RADIUS.

• Аутентифікація протоколу розширеної автентифікації та захисту транспортного рівня (EAP-TLS): для аутентифікації та доступу до мережі EAP-TLS потрібен клієнтський сертифікат. Для бездротового EAP-TLS клієнтським сертифікатом може бути MIC або встановлений користувачем сертифікат.

• Протокол захищеної розширюваної аутентифікації (PEAP): власна схема взаємної аутентифікації на основі пароля Cisco між клієнтом (телефоном) та сервером RADIUS. Телефон може використовувати PEAP для аутентифікації з бездротовою мережею. Підтримуються як методи аутентифікації PEAP-MSCHAPV2, так і PEAP-GTC.

  Щоб підтримати аутентифікацію PEAP-GTC для Cisco Wireless Phone 9821, налаштуйте необхідну політику в наборі політик Cisco ISE.

• Попередньо спільний ключ (PSK): телефон підтримує формати ASCII та шістнадцятковий (HEX). Ви повинні використовувати ці формати при налаштуванні попередньо спільного ключа WPA2/SAE.

  ASCII: Рядок ASCII-символів довжиною від 8 до 63 символів (0-9, малі літери a-z, великі літер и A-Z та спеціальні символи). Наприклад, GREG123567@9ZX&W.

  HEX: Рядок шестигранного символу з 64 шестигранними цифрами довжиною (0-9, a-f або A-F).

Наступні схеми автентифікації використовують сервер RADIUS для керування ключами автентифікації:

• WPA2/WPA3: використовує інформацію сервера RADIUS для створення унікальних ключів для автентифікації. Оскільки ці ключі генеруються на централізованому сервері RADIUS, WPA2/WPA3 забезпечує більшу безпеку, ніж попередньо спільні ключі WPA, які зберігаються на точці доступу та телефоні.

• Швидкий безпечний роумінг: використовує інформацію сервера RADIUS та сервера бездротового домену (WDS) для керування та автентифікації ключів. WDS створює кеш облікових даних безпеки для клієнтських пристроїв з підтримкою FT для швидкої та безпечної повторної аутентифікації.

За допомогою WPA2/WPA3 ключі шифрування не вводяться на телефон, а автоматично виводяться між точкою доступу та телефоном. Але ім'я користувача та пароль EAP, які використовуються для аутентифікації, повинні бути введені на кожному телефоні.

Щоб захистити голосовий трафік по бездротовому зв'язку, телефон підтримує шифрування на основі AES для аутентифікації WPA2/WPA3. AES - це симетричний блоковий шифр, стандартизований NIST. AES використовує фіксований 128-бітний розмір блоку і підтримує розміри ключів 128 біт, 192 біт і 256 біт. У мережах Wi-Fi AES використовується шифрними пакетами, такими як CCMP або GCMP, тоді як ау тентифікація надається окремо за допомогою PSK, SAE або 802.1X/EAP, залежно від налаштованого режиму безпеки WLAN. Підтримуваний набір шифрів та розмір ключа залежать від моделі телефону та конфігурації WLAN.

Схеми аутентифікації та шифрування налаштовуються в бездротовій локальній мережі. VLAN налаштовуються в мережі і на точок доступу і вказують різні комбінації аутентифікації і шифрування. SSID асоціюється з VLAN та певною схемою аутентифікації та шифрування. Щоб бездротові клієнтські пристрої успішно пройшли аутентифікацію, необхідно налаштувати однакові SSID з їх схемами аутентифікації та шифрування на точок доступу та на телефоні.

Деякі схеми аутентифікації вимагають певних типів шифрування.

Схеми автентифікації та шифрування в наступній таблиці показують параметри конфігурації мережі для Cisco Wireless Phone 9821, які відповідають конфігурації точки доступу.

Бездротовий телефон Cisco 9821 підтримує аутентифікацію 802.1X для дротових мереж. Зазвичай це використовується під час автоматичного забезпечення, коли телефон підключений до настільного зарядного пристрою через підтримуваний адаптер USB-Ethernet.

Підтримка аутентифікації 802.1X в дротових мережах вимагає декількох компонентів, таких як :

• IP-телефон Cisco: телефон ініціює запит на доступ до мережі. IP-телефони Cisco містять заявник 802.1X. Цей додаток дозволяє мережевим адміністраторам контролювати підключення IP-телефонів до портів комутатора LAN. Поточний випуск додатка телефону 802.1X використовує параметри EAP-FAST та EAP-TLS для автентифікації мережі.

• Сервер аутентифікації: Сервер аутентифікації та комутатор повинні бути налаш товані спільним секретом RADIUS.

• Перемикач: комутатор повинен підтримувати 802.1X, щоб він міг виконувати функцію автентифікатора та передавати повідомлення EAP між телефоном та сервером аутентифікації. Після завершення обміну комутатор надає або забороняє телефону доступ до мережі.

IP-телефони Cisco та комутатори Cisco Catalyst традиційно використовують Cisco Discovery Protocol (CDP) для ідентифікації один одного та визначення таких параметрів, як розподіл VLAN та вбудовані вимоги до живлення.

Для налаштування 802.1X необхідно виконати наступні дії.

• Налаштуйте обхід голосового VLAN CDP/LLDP.

• Налаштуйте сервер автентифікації та комутатор, перш ніж увімкнути ав тентифікацію 802.1X для дротових мереж на телефоні.

• Налаштування голосової локальної мережі: оскільки стандарт 802.1X не враховує VLAN, вам слід налаштувати цей параметр на основі підтримки комутатора.

  • Увімкнено: якщо ви використовуєте комутатор, який підтримує багатодоменну автентифікацію, ви можете налаштувати його на використання голосової VLAN.
  • Вимкнено: якщо комутатор не підтримує багатодоменну аутентифікацію, вимкніть голосову VLAN та розгляньте можливість присвоєння порту рідній VLAN.

• Бездротовий телефон Cisco 9821 має інший префікс у PID, ніж для інших телефонів Cisco. Щоб дозволити телефону пройти автентифікацію 802.1X, встановіть параметр Радіус · Ім'я користувача, щоб включати ваш без дротовий телефон Cisco 9821.

  Наприклад, PID бездротового телефону Cisco 9821 - WP-9821. Ви можете встановити Радіус·Ім'я користувача Start with WPабо Contains WPв обох наступних розділах:

  • Політика > У мови > У мови бібліотеки

  • Політика > Н абори політик > Полі тика авторизації > Правило авторизації 1