感謝您的意見回饋。

由於範圍內的所有 WLAN 裝置都可以接收所有其他 WLAN 流量，因此在 WLAN 中安全的語音通訊很重要。 為確保入侵者不會操縱或攔截語音流量，Cisco SAFE 安全性架構支援電話。 有關網路安全性的詳細資訊，請參閱 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 無線 IP 電話解決方案通過使用電話支援的以下身份驗證方法提供無線網路安全性，防止未經授權的登錄和通信受損。

• 開放驗證：任何無線裝置都可以在開放系統中請求驗證。 接收請求的 AP 可以將驗證授予任何請求者或僅授予使用者清單上的請求者。 無線設備和接入點 (AP) 之間的通信可能是非加密的。

• 可擴展身份驗證協定 - 通過安全隧道 (EAP-FAST) 身份驗證的靈活身份驗證：此用戶端 - 伺服器安全體系結構對 AP 和 RADIUS 伺服器之間的傳輸級別安全性 (TLS) 隧道中的 EAP 事務進行加密，例如身份服務引擎 (ISE)。

  TLS 通道使用受保護存取認證 (PAC) 在用戶端（電話）與 RADIUS 伺服器之間驗證。 伺服器將授權單位 ID (AID) 傳送至用戶端（電話），進而選取適當的 PAC。 用戶端（電話）將 PAC-Opaque 返回至 RADIUS 伺服器。 伺服器使用主密鑰解密 PAC 。 這兩個端點即包含 PAC 金鑰並建立 TLS 通道。 EAP-FAST 支援自動 PAC 佈建，但您需在 RADIUS 伺服器上啟用它。

  在 ISE 中，預設情況下，PAC 將在一周後過期。 如果電話具有過期的 PAC，電話取得新的 PAC 時，向 RADIUS 伺服器驗證需要更長時間。 若要避免 PAC 佈建延遲，請在 ISE 或 RADIUS 伺服器上將 PAC 到期期間設定為 90 天或更長時間。

• 可延伸驗證通訊協定—傳輸層安全性 (EAP-TLS) 的驗證：EAP-TLS 需要用戶端憑證才能進行驗證與網路存取。 對於無線 EAP-TLS，用戶端證書可以是 MIC 或使用者安裝證書。

• 受保護的可延伸驗證通訊協定 (PEAP)：用戶端 (電話) 與 RADIUS 伺服器之間的 Cisco 專屬密碼型相互驗證架構。 電話可以使用 PEAP 通過無線網路進行身份驗證。 同時支援 PEAP-MSCHAPV2 和 PEAP-GTC 驗證方法。

  要支援 Cisco 無線電話 9821 的 PEAP-GTC 身份驗證，請在 Cisco ISE 策略集中配置必要的策略。

• 預共用金鑰 (PSK)：電話支援 ASCII 和十六進位 (HEX) 格式。 設定 WPA2/SAE 預共用金鑰時，您必須使用這些格式。

  ASCII：長度為 8 到 63 個字元 (0-9、小寫 a-z、大寫 A-Z 和特殊字元) 的 ASCII 字元字串。 例如， GREG123567@9ZX&W。

  十六進位：長度為 64 個十六進位數字的十六進位字元字串 (0-9、a-f 或 A-F)。

下列驗證方案使用 RADIUS 伺服器管理驗證金鑰：

• WPA2/WPA3：使用 RADIUS 伺服器資訊產生用於驗證的唯一金鑰。 由於這些金鑰是在集中式 RADIUS 伺服器上生成，因此 WPA2/WPA3 比儲存在 AP 和電話上的 WPA 預共用金鑰提供更高的安全性。

• 快速安全漫遊︰使用 RADIUS 伺服器和無線網域伺服器 (WDS) 資訊來管理和驗證金鑰。 WDS 為啟用了 FT 的用戶端設備創建安全憑據緩存，以實現快速安全的重新身份驗證。

使用 WPA2/WPA3，加密金鑰不會輸入在電話上，但會自動在 AP 與電話之間衍生。 但是，需在每部電話上輸入用於驗證的 EAP 使用者名稱和密碼。

為了幫助保護透過無線連結的語音流量，電話支援基於 AES 的加密以進行 WPA2/WPA3 驗證。 AES 是由 NIST 標準化的對稱分組密碼。 AES 使用固定的 128 位塊大小，並支援 128 位、192 位和 256 位的金鑰大小。 在 Wi-Fi 網络中，AES 由 CCMP 或 GCMP 等密碼套件使用，而身份驗證則由 PSK、SAE 或 802.1X/EAP 單獨提供，具體取決於配置的 WLAN 安全模式。 支援的密碼套件和金鑰大小視電話機型和 WLAN 組態而定。

在無線 LAN 內設定驗證和加密架構。 在網路中和 AP 上設定 VLAN，並指定不同的驗證和加密的組合。 SSID 與 VLAN 和特定驗證及加密架構關聯。 要使無線用戶端設備成功進行身份驗證，您必須在 AP 和電話上使用其身份驗證和加密方案配置相同的 SSID。

部分驗證架構需要特定的加密類型。

下表中的身份驗證和加密方案顯示了對應於 AP 組態的 Cisco Wireless Phone 9821 的網路組態選項。

Cisco 無線電話 9821 支援有線網络的 802.1X 身份驗證。 當電話透過支援的 USB 至乙太網路介面卡連接至桌上型充電器時，通常會在自動設定 期間 使用此方法。

支援有線網路上的 802.1X 身份驗證需要以下幾個元件：

• Cisco IP 電話︰電話發起存取網路的請求。 Cisco IP 電話包含 802.1X 要求。 此要求允許網路管理員控制 IP 電話與 LAN 交換器連接埠的連接。 最新版電話 802.1X 要求使用 EAP-FAST 與 EAP-TLS 選項進行網路驗證。

• 身份驗證伺服器：身份驗證伺服器和交換機都必須使用 RADIUS 共用密鑰進行配置。

• 交換器：交換器必須支援 802.1X，以便它可以充當驗證器並在電話和驗證伺服器之間中繼 EAP 訊息。 交換完成後，交換器同意或拒絕電話存取網路。

Cisco IP 電話與 Cisco Catalyst 交換器通常使用 Cisco Discovery Protocol (CDP) 來相互識別及確定各項參數，例如 VLAN 分配與線內電源要求。

您需執行下列動作來設定 802.1X。

• 配置 CDP/LLDP 語音 VLAN 旁路。

• 在為電話上的有線網路啟用 802.1X 驗證之前，請先設定驗證伺服器和交換器。

• 設定語音 VLAN：由於 802.1X 標準不考慮 VLAN，您應根據交換器支援情況來進行此設定。

  • 已啟用：如果您使用的是支援多域身份驗證的交換機，則可以將其配置為使用語音 VLAN。
  • 已停用：若交換器不支援多網域驗證，則停用語音 VLAN，並考慮將通訊埠指定到原生 VLAN。

• Cisco Wireless Phone 9821 的 PID 前綴與其他 Cisco 電話的前綴不同。 若要讓您的電話透過 802.1X 驗證，請設定 Radius· 使用者名參數以包含您的 Cisco 無線電話 9821。

  例如，Cisco Wireless Phone 9821 的 PID 為 WP-9821。 您可以設定 半徑· 在以下兩個部分中，使用者名以 WP 開頭或 包含 WP ：

  • 原則 > 條件 > 庫條件

  • 原則 > 原則集 > 授權原則 > 授權規則 1