感谢您的反馈。

由于范围内的所有 WLAN 设备均可接收所有其他 WLAN 流量，因此安全语音通信在 WLAN 中至关重要。 为了确保入侵者不会操纵或拦截语音流量，Cisco SAFE 安全体系结构支持电话。 有关网络安全性的更多信息，请参阅 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 无线 IP 电话解决方案提供无线网络安全性，通过使用电话支持的以下身份验证方法防止未经授权的登录和通信受损。

• 开放式验证：任何无线设备均可在开放式系统中请求验证。 收到请求的 AP 可允许任何请求方或仅允许用户列表中找到的请求方进行验证。 无线设备和接入点（AP）之间的通信可能未加密。

• 可扩展身份验证协议 - 通过安全隧道（EAP-FAST）身份验证进行灵活身份验证：此客户端 - 服务器安全体系结构加密 AP 和 RADIUS 服务器（如身份服务引擎（ISE））之间的传输级别安全性（TLS）隧道内的 EAP 事务。

  TLS 隧道使用受保护的访问凭证 (PAC) 进行客户端（电话）与 RADIUS 服务器之间的验证。 服务器将授权 ID (AID) 发送给客户端（电话），后者会选择适当的 PAC。 客户端（电话）将返回 PAC - 对 RADIUS 服务器不透明。 服务器通过主密钥解密 PAC。 现在，两个终端均包含 PAC 密钥，且 TLS 隧道已创建。 EAP-FAST 支持自动 PAC 部署，但您必须在 RADIUS 服务器上启用该功能。

  在 ISE 中，默认情况下，PAC 将在一周后过期。 如果电话有过期的 PAC，则电话获取新 PAC 时，与 RADIUS 服务器的验证要花较长的时间。 为避免 PAC 部署延迟，在 ISE 或 RADIUS 服务器上，将 PAC 过期期限设置为 90 天或更长时间。

• 可扩展身份验证协议-传输层安全 (EAP-TLS) 验证：EAP-TLS 需要客户端证书用于身份验证和网络访问。 对于无线 EAP-TLS，客户端证书可以是 MIC 或用户安装的证书。

• 受保护的可扩展验证协议 (PEAP)：客户端（电话）与 RADIUS 服务器之间 Cisco 专有的、基于密码的相互验证方案。 电话可以使用 PEAP 进行无线网络身份验证。 支持 PEAP-MSCHAPV2 和 PEAP-GTC 验证方法。

  要支持 Cisco 无线电话 9821 的 PEAP-GTC 身份验证，请在 Cisco ISE 策略集中配置必要的策略。

• 预共享密钥（PSK）：电话支持 ASCII 和十六进制（HEX）格式。 设置 WPA2/SAE 预共享密钥时，必须使用这些格式。

  ASCII：长度为 8 到 63 个字符（0-9、小写 a-z、大写 A-Z 和特殊字符）的 ASCII 字符串。 例如， GREG123567@9ZX&W。

  HEX：长度为 64 个十六进制数字（0-9、a-f 或 A-F）的十六进制字符串。

以下验证方案使用 RADIUS 服务器管理验证密钥：

• WPA2/WPA3：使用 RADIUS 服务器信息生成唯一的密钥进行验证。 由于这些密钥在中央 RADIUS 服务器生成，因此 WPA2/WPA3 提供比存储在 AP 和电话上的 WPA 预共享密钥更高的安全性。

• 快速安全漫游：使用 RADIUS 服务器和无线域服务器 (WDS) 信息管理和验证密钥。 WDS 为启用 FT 的客户端设备创建安全凭据缓存，以便快速安全地重新进行身份验证。

使用 WPA2/WPA3，加密密钥不会在电话上输入，而是在 AP 和电话之间自动派生。 但必须在每部电话上输入用于验证的 EAP 用户名和密码。

为了帮助保护无线链路上的语音流量，电话支持基于 AES 的加密进行 WPA2/WPA3 身份验证。 AES 是由 NIST 标准化的对称分组密码。 AES 使用固定的 128 位块大小，并支持 128 位、192 位和 256 位的密钥大小。 在 Wi-Fi 网络中，AES 由 CCMP 或 GCMP 等密码套件使用，而身份验证由 PSK、SAE 或 802.1X/EAP 单独提供，具体取决于配置的 WLAN 安全模式。 支持的密码套件和密钥大小取决于电话型号和 WLAN 配置。

验证和加密方案在无线 LAN 内设置。 VLAN 在网络和 AP 中配置，指定验证和加密的不同组合。 SSID 与 VLAN 以及特定验证和加密方案关联。 要使无线客户端设备成功进行身份验证，您必须在 AP 和电话上配置相同的 SSID 及其身份验证和加密方案。

某些验证方案需要特定类型的加密。

下表中的身份验证和加密方案显示了对应于 AP 配置的 Cisco 无线电话 9821 的网络配置选项。

Cisco 无线电话 9821 支持有线网络的 802.1X 身份验证。 这通常在自动配置 期间 使用，当电话通过支持的 USB 转以太网适配器连接到桌面充电器时。

在有线网络上支持 802.1X 身份验证需要以下几个组件：

• Cisco IP 电话：电话会发起访问网络的请求。 Cisco IP 电话包含 802.1X 请求方。 网络管理员可以通过此请求方控制 IP 电话至 LAN 交换机端口的连接。 电话 802.1X 请求方的最新版本使用 EAP-FAST 和 EAP-TLS 选项进行网络验证。

• 身份验证服务器：身份验证服务器和交换机都必须配置 RADIUS 共享密钥。

• 交换机：交换机必须支持 802.1X，因此它可以充当身份验证器并在电话和身份验证服务器之间中继 EAP 消息。 在交换完成后，交换机会授予或拒绝电话访问网络的权限。

Cisco IP 电话和 Cisco Catalyst 交换机过去使用 Cisco Discovery Protocol (CDP) 来识别彼此并确定 VLAN 分配和线内电源要求等参数。

您必须执行以下操作来配置 802.1X。

• 配置 CDP/LLDP 语音 VLAN 绕过。

• 在为电话上的有线网络启用 802.1X 身份验证之前，请先配置身份验证服务器和交换机。

• 配置语音 VLAN：由于 802.1X 标准不考虑 VLAN，应根据交换机支持来配置此设置。

  • 已启用：如果您使用的是支持多域身份验证的交换机，则可以将其配置为使用语音 VLAN。
  • 禁用：如果交换机不支持多域验证，则禁用语音 VLAN 并考虑将此端口分配给本机 VLAN。

• Cisco 无线电话 9821 在 PID 中的前缀与其他 Cisco 电话的前缀不同。 要使您的电话通过 802.1X 身份验证，请设置 Radius·用户名 参数，用于包含您的 Cisco 无线电话 9821。

  例如，Cisco 无线电话 9821 的 PID 是 WP-9821。 您可以设置 半径·用户名以 WP 开头 或 包含 WP 在以下两个 部分中：

  • 政策 > 条件 > 库条件

  • 策略 > 策略集 > 授权策略 > 授权规则 1