感谢您的反馈。

Cisco IP 电话支持 802.1X 验证。

Cisco IP 电话和 Cisco Catalyst 交换机过去使用 Cisco Discovery Protocol (CDP) 来识别彼此并确定 VLAN 分配和线内电源要求等参数。 CDP 不识别本地连接的工作站。 Cisco IP 电话提供 EAPOL 传递机制。 利用此机制，连接至 Cisco IP 电话的工作站会将 EAPOL 消息传递给 LAN 交换机处的 802.1X 验证器。 该传递机制可确保，在访问网络前 IP 电话不会充当 LAN 交换机来验证数据终端。

Cisco IP 电话还提供代理 EAPOL 注销机制。 如果本地连接的 PC 与 IP 电话断开，LAN 交换机看不到物理链路失效，因为保持了 LAN 交换机与 IP 电话之间的链路。 为了避免损害网络完整性，IP 电话会代表下游 PC 向交换机发送一则 EAPOL 注销的消息，这会触发 LAN 交换机清除下游 PC 的验证条目。

对 802.1X 验证的支持需要多个组件：

• Cisco IP 电话：电话会发起访问网络的请求。 Cisco IP 电话包含 802.1X 请求方。 网络管理员可以通过此请求方控制 IP 电话至 LAN 交换机端口的连接。 电话 802.1X 请求方的最新版本使用 EAP-FAST 和 EAP-TLS 选项进行网络验证。

• 身份验证服务器：身份验证服务器和交换机都必须配置用于对电话进行身份验证的共享密钥。

• 交换机：交换机必须支持 802.1X，这样它才能充当验证器，并在电话和验证服务器之间传递消息。 在交换完成后，交换机会授予或拒绝电话访问网络的权限。

您必须执行以下操作来配置 802.1X。

• 在电话上启用 802.1X 验证前配置其他组件。

• 配置 PC 端口：802.1X 标准不会考虑 VLAN，因此建议只验证连接至特定交换机端口的单个设备。 但是，某些交换机支持多域验证。 交换机配置决定是否可以将 PC 连接至电话的 PC 端口。

  • 启用：如果您使用的是支持多域验证的交换机，可以启用 PC 端口并将 PC 连接至该端口。 在此情况下，Cisco IP 电话支持代理 EAPOL 注销，来监控交换机与所连 PC 之间的验证交换。

    有关 Cisco Catalyst 交换机上支持 IEEE 802.1X 的详细信息，请参阅位于以下网址的 Cisco Catalyst 交换机配置指南：

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 禁用：如果交换机不支持同一端口上的多个符合 802.1X 的设备，应在启用 802.1X 验证后禁用 PC 端口。 如果不禁用此端口，后来又尝试将 PC 连接至该端口，交换机会拒绝对电话和 PC 的网络访问。

• 配置语音 VLAN：由于 802.1X 标准不考虑 VLAN，应根据交换机支持来配置此设置。
  • 启用：如果您使用的是支持多域验证的交换机，则可以继续使用语音 VLAN。
  • 禁用：如果交换机不支持多域验证，则禁用语音 VLAN 并考虑将此端口分配给本机 VLAN。
• （仅适用于 Cisco Desk Phone 9800 系列）

  Cisco Desk Phone 9800 系列在 PID 中的前缀与其他 Cisco 电话的前缀不同。 要使您的电话通过 802.1X 身份验证，请设置 Radius· 用户名参数，用于包含您的 Cisco Desk Phone 9800 系列。

  例如，电话 9841 的 PID 是 DP-9841;您可以设置 半径·以 DP 开头或 包含 DP 的用户名 。 您可以在以下两个部分中设置它：

  • 政策 > 条件 > 库条件

  • 策略 > 策略集 > 授权策略 > 授权规则 1

由于范围内的所有 WLAN 设备均可接收所有其他 WLAN 流量，因此安全语音通信在 WLAN 中至关重要。 为了确保入侵者不会纵或拦截语音流量，Cisco SAFE 安全体系结构支持电话。 有关网络中安全性的详细信息，请参阅 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 无线 IP 电话解决方案提供无线网络安全性，通过使用电话支持的以下身份验证方法防止未经授权的登录和通信受损：

• 开放式验证：任何无线设备均可在开放式系统中请求验证。 收到请求的 AP 可允许任何请求方或仅允许用户列表中找到的请求方进行验证。 无线设备和接入点（AP）之间的通信可能未加密。

• 可扩展身份验证协议 - 通过安全隧道（EAP-FAST）身份验证进行灵活身份验证：此客户端 - 服务器安全体系结构在 AP 和 RADIUS 服务器（如身份服务引擎（ISE））之间的传输级别安全性（TLS）隧道内加密 EAP 事务。

  TLS 隧道使用受保护的访问凭证 (PAC) 进行客户端（电话）与 RADIUS 服务器之间的验证。 服务器将授权 ID (AID) 发送给客户端（电话），后者会选择适当的 PAC。 客户端（电话）将返回 PAC - 对 RADIUS 服务器不透明。 服务器通过主密钥解密 PAC。 现在，两个终端均包含 PAC 密钥，且 TLS 隧道已创建。 EAP-FAST 支持自动 PAC 部署，但您必须在 RADIUS 服务器上启用该功能。

  在 ISE 中，默认情况下，PAC 将在一周后过期。 如果电话有过期的 PAC，则电话获取新 PAC 时，与 RADIUS 服务器的验证要花较长的时间。 为避免 PAC 部署延迟，在 ISE 或 RADIUS 服务器上，将 PAC 过期期限设置为 90 天或更长时间。

• 可扩展身份验证协议-传输层安全 (EAP-TLS) 验证：EAP-TLS 需要客户端证书用于身份验证和网络访问。 对于无线 EAP-TLS，客户端证书可以是 MIC, LSC, 或用户安装的证书。

• 受保护的可扩展验证协议 (PEAP)：客户端（电话）与 RADIUS 服务器之间 Cisco 专有的、基于密码的相互验证方案。 电话可以使用 PEAP 通过无线网络进行身份验证。 支持 PEAP-MSCHAPV2 和 PEAP-GTC 验证方法。

• 预共享密钥（PSK）：电话支持 ASCII 格式。 在设置 WPA/WPA2/SAE 预共享密钥时，必须使用此格式：

  ASCII：长度为 8 至 63 个字符的 ASCII 字符字符串（0-9、小写和大写 A-Z 以及特殊字符）

  示例：GREG123567@9ZX&W

以下验证方案使用 RADIUS 服务器管理验证密钥：

• WPA/WPA2/WPA3：使用 RADIUS 服务器信息生成用于身份验证的唯一密钥。 由于这些密钥在中央 RADIUS 服务器生成，因此 WPA2/WPA3 提供比存储在 AP 和电话上的 WPA 预共享密钥更高的安全性。

• 快速安全漫游：使用 RADIUS 服务器和无线域服务器 (WDS) 信息管理和验证密钥。 WDS 为启用 FT 的客户端设备创建安全凭据缓存，以便快速安全地重新进行身份验证。 Cisco 座机号码 9861 和 9871 和 Cisco 可视电话 8875 支持 802.11r（FT）。 支持无线和 DS，以实现快速安全漫游。 但我们强烈建议使用空中 802.11r (FT) 方法。

对于 WPA/WPA2/WPA3，加密密钥不会在电话上输入，而是在 AP 和电话之间自动派生。 但必须在每部电话上输入用于验证的 EAP 用户名和密码。

为确保语音流量安全，电话支持 TKIP 和 AES 加密。 当使用这些机制进行加密时，信令 SIP 数据包和语音实时传输协议（RTP）数据包在 AP 和电话之间加密。

TKIP

WPA 使用 TKIP 加密，与 WEP 相比有多项改进。 TKIP 提供每个信息包的密钥加密和更长的初始化向量 (IV) 来强化加密。 此外，消息完整性检查 (MIC) 可确保加密的信息包不会被更改。 TKIP 消除了有助于入侵者解密 WEP 密钥的 WEP 可预测性。

AES

用于 WPA2/WPA3 身份验证的加密方法。 此国家加密标准使用对称算法，加密和解密具有相同的密钥。 AES 使用大小为 128 位最小值的密码阻止链 (CBC) 加密，其支持的密钥大小为 128、192 和 256 位。 电话支持的密钥大小为 256 位。

验证和加密方案在无线 LAN 内设置。 VLAN 在网络和 AP 中配置，指定验证和加密的不同组合。 SSID 与 VLAN 以及特定验证和加密方案关联。 要使无线客户端设备成功进行身份验证，您必须在 AP 和电话上配置相同的 SSID 及其身份验证和加密方案。

某些验证方案需要特定类型的加密。

下表中的身份验证和加密方案显示了对应于 AP 配置的电话的网络配置选项。