Cisco IP защиту телефона на телефоне 9800/8875 (многоплатформенный)

Сертификат устройства может быть обновлен автоматически в рамках процесса SCEP.

• Телефон проверяет, не истекает ли срок действия сертификата через 15 дней каждые 4 часа. В этом случае телефон автоматически начинает обновление сертификата.
• Если пароль для вызова пуст, телефон использует MIC/SUDI как для первоначальной регистрации, так и для обновления сертификата. Если пароль вызова настроен, он используется только для начальной регистрации, существующий/установленный сертификат используется для обновления сертификата.
• Телефон не удаляет сертификат старого устройства, пока не извлекает новое.
• Если продление сертификата заканчивается, потому что сертификат устройства или СА истекает, телефон инициирует начальную регистрацию автоматически. В то же время, если аутентификация пароля вызова терпит сбой, на экране телефона появляется экран ввода пароля, и пользователям предлагается ввести пароль на телефоне.

Телефоны Cisco IP поддерживают аутентификацию 802.1X.

Телефоны Cisco IP и коммутаторы Cisco Catalyst традиционно используют протокол CDP для определения друг друга, а также таких параметров, как выделение VLAN и требования к питанию на линии. CDP не определяет локально подключенные рабочие станции. Телефоны Cisco IP предоставляют сквозной механизм EAPOL. Этот механизм позволяет рабочей станции, подключенной к телефону Cisco IP, передавать сообщения EAPOL на средство аутентификации 802.1X, размещенное на коммутаторе локальной сети. Сквозной механизм гарантирует, что IP-телефон не будет выполнять роль коммутатора локальной сети для аутентификации оконечного устройства данных перед получением доступа к сети.

Телефоны Cisco IP также предоставляют механизм выхода из прокси-сервера EAPOL. Если локально подключенный ПК отключается от IP-телефона, коммутатор локальной сети не видит сбоя физического канала, так как поддерживается канал между коммутатором локальной сети и IP-телефоном. Во избежание нарушения целостности сети IP-телефон передает сообщение о выходе EAPOL на коммутатор от лица расположенного ниже ПК, что приводит к очистке коммутатором локальной сети записи аутентификации о расположенном ниже ПК.

Для поддержки аутентификации 802.1X требуются несколько компонентов.

• Телефон Cisco IP: телефон инициирует запрос на доступ к сети. Телефоны Cisco IP содержат запрашивающее устройство 802.1X. Это запрашивающее устройство позволяет администраторам сети управлять подключением IP-телефонов к портам коммутатора локальной сети. Текущая версия запрашивающего устройства 802.1X на телефоне использует параметры EAP-FAST и EAP-TLS для аутентификации в сети.

• Сервер аутентификации: и сервер аутентификации, и коммутатор должны быть настроены с использованием общего секрета, который аутентифицирует телефон.

• Коммутатор: чтобы коммутатор мог действовать в качестве средства аутентификации и передавать сообщения между телефоном и сервером аутентификации, он должен поддерживать стандарт 802.1X. По завершении обмена коммутатор предоставляет телефону доступ к сети или отказывает в доступе.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройте другие компоненты, прежде чем включить аутентификацию 802.1X на телефоне.

• Настройка порта ПК: в стандарте 802.1X не учтены виртуальные локальные сети (VLAN), поэтому рекомендуется, чтобы только одно устройство проходило аутентификацию для определенного порта коммутатора. Однако некоторые коммутаторы поддерживают аутентификацию в нескольких доменах. Конфигурация коммутатора определяет, можно ли подключать ПК к порту ПК на телефоне.

  • Включено: если используется коммутатор, который поддерживает аутентификацию в нескольких доменах, можно включить порт ПК и подсоединить к нему ПК. В этом случае телефоны Cisco IP поддерживают выход с прокси-сервера EAPOL для отслеживания обмена данными аутентификации между коммутатором и подключенным ПК.

    Дополнительные сведения о поддержке IEEE 802.1X на коммутаторах Cisco Catalyst см. в руководствах по конфигурации коммутаторов Cisco Catalyst:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html.

  • Отключено: если коммутатор не поддерживает несколько совместимых со стандартом 802.1X устройств на одном и том же порту, то при включенной аутентификации по 802.1X необходимо отключить порт ПК. Если вы не отключите этот порт и впоследствии попытаетесь подключить к нему ПК, коммутатор откажет в доступе к сети и телефону, и ПК.

• Настройка голосовой VLAN: так как в стандарте 802.1X не учтены виртуальные локальные сети (VLAN), необходимо настроить этот параметр в зависимости от характеристик коммутатора.
  • Включено: если вы используете коммутатор, поддерживающий аутентификацию в нескольких доменах, можно продолжить использовать голосовую VLAN.
  • Отключено: если коммутатор не поддерживает аутентификацию в нескольких доменах, отключите голосовую VLAN и рассмотрите возможность назначения этого порта обычной VLAN.
• (Только для настольных телефонов Cisco серии 9800)

  Настольное телефонное устройство Cisco серии 9800 имеет в PID другой префикс, чем у других телефонов Cisco. Чтобы телефон мог проходить аутентификацию 802.1X, задайте «Радиус» Параметр User-Name (Имя пользователя), включающее в себя настольный телефон Cisco серии 9800.

  Например, PID для телефона 9841 — DP-9841; можно задать Радиус. Имя пользователя для начала с DP или содержит DP. Его можно установить в обоих следующих разделах:

  • Политика > Кондиции > Обусловы по лизме

  • Политика > Наборы политики> Политика аутентификации> Правило 1

Так как все устройства беспроводной сети, расположенные в пределах радиуса действия, могут получать весь остальной трафик беспроводной сети, обеспечение безопасности голосовой связи является критически важной задачей в беспроводных локальных сетях. Телефон поддерживается архитектурой Cisco SAFE Security, чтобы злоумышленники не могли манипулировать и не перехватывать голосовой трафик. Дополнительные сведения о безопасности в сетях см. на странице http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Решение для беспроводной IP-телефонии Cisco обеспечивает защиту беспроводной сети при предотвращении несанкционированного входа и взлома связи с помощью следующих методов аутентификации, поддерживаемых телефоном:

• Открытая аутентификация: в открытой системе любое беспроводное устройство может запросить аутентификацию. Точка доступа, которая получает запрос, может аутентифицировать любое запрашивающее лицо или только тех запрашивающих лиц, которые включены в список пользователей. Связь между беспроводным устройством и точкой доступа (точка доступа) может быть нешифровой.

• Расширяемый протокол аутентификации — гибкий протокол аутентификации с помощью защищенного туннелирования (EAP-FAST): эта архитектура безопасности клиент-сервер шифрует транзакции EAP в туннеле TLS между точкой доступа и сервером СИСТЕМЫ АУТЕНТИФИКАЦИи (ISE), такому как Identity Services Engine (ISE).

  TLS-туннель использует учетные данные для защищенного доступа (PAC) для выполнения аутентификации между клиентом (телефоном) и сервером RADIUS. Сервер отправляет идентификатор AID клиенту (телефону), который в свою очередь выбирает подходящий PAC. Клиент (телефон) возвращает PAC-Opaque на сервер RADIUS. Сервер расшифровывает PAC с помощью первичного ключа. Обе конечные точки теперь имеют ключ PAC, и создается TLS-туннель. EAP-FAST поддерживает автоматическую подготовку PAC, однако вам необходимо включить ее на сервере RADIUS.

  В ISE по умолчанию PAC истекает в течение одной недели. Если в телефоне есть PAC с истекшим сроком действия, аутентификация на сервере RADIUS занимает дольше времени, пока телефон получает новый PAC. Чтобы избежать задержек с подготовкой PAC, задайте на сервере ISE или RADIUS срок действия PAC не менее 90 дней.

• Аутентификация по протоколу EAP-TLS: для аутентификации и предоставления доступа к сети протоколу EAP-TLS требуется сертификат клиента. Для беспроводного EAP-TLS сертификатом клиента может быть установленный пользователем сертификат MIC, LSC или сертификат, установленный пользователем.

• Протокол PEAP: запатентованная Cisco схема взаимной аутентификации на основе пароля между клиентом (телефоном) и сервером RADIUS. Телефон может использовать ПРОТОКОЛ PEAP для аутентификации с беспроводной сетью. Поддерживаются методы аутентификации PEAP-MSCHAPV2 и PEAP-GTC.

• Предварительный общий ключ (PSK): телефон поддерживает формат ASCII. При настройке предварительного ключа WPA/WPA2/SAE необходимо использовать этот формат:

  ASCII: строка ASCII-символов длиной от 8 до 63 символов (0–9, строчные и заглавные буквы A–Z, специальные символы).

  Пример: GREG123567@9ZX&W

Следующие схемы аутентификации задействуют сервер RADIUS для управления ключами аутентификации:

• WPA/WPA2/WPA3: использует информацию о сервере РАДИУС для формирования уникальных ключей для аутентификации. Поскольку эти ключи генерируются на централизованном сервере RADIUS, WPA2/WPA3 обеспечивает безопасность более высокого уровня, чем предварительные ключи WPA, которые хранятся в точке доступа и на телефоне.

• Быстрый безопасный роуминг: для управления ключами и их аутентификации используются сведения с сервера RADIUS и сервера домена беспроводной сети (WDS). WDS создает кэш учетных данных для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации. Настольные телефоны Cisco 9861 и 9871, а также телефон Cisco Video Phone 8875 поддерживают 802.11r (FT). Поддерживаются и по воздуху, и через DS, что обеспечивает быстрый защищенный роуминг. Однако мы настоятельно рекомендуем использовать беспроводную связь стандарта 802.11r (FT).

При использовании WPA/WPA2/WPA3 ключи шифрования не вводятся на телефоне, а автоматически извлекаются между точкой доступа и телефоном. Однако имя пользователя и пароль EAP, которые используются для аутентификации, должны быть введены на каждом телефоне.

Чтобы обеспечить безопасность голосового трафика, телефон поддерживает шифрование TKIP и AES. Когда эти механизмы используются для шифрования, между точкой доступа и телефоном шифруются как сигнальные SIP-пакеты, так и пакеты RTP.

TKIP

В WPA используется шифрование TKIP, которое имеет несколько усовершенствований по сравнению с WEP. TKIP обеспечивает шифрование ключом каждого пакета и более длительные векторы инициализации, что делает шифрование более надежным. Кроме того, проверка целостности сообщения (MIC) обеспечивает невозможность изменения зашифрованных пакетов. TKIP устраняет предсказуемость WEP, благодаря которой злоумышленники могут расшифровать ключ WEP.

AES

Метод шифрования, используемый для аутентификации WPA2/WPA3. Этот национальный стандарт шифрования использует симметричный алгоритм, который задействует один и тот же ключ для шифрования и расшифровки. AES использует 128-разрядный алгоритм шифрования Cipher Blocking Chain (CBC), который поддерживает ключи размером как минимум 128, 192 и 256 битов. Телефон поддерживает размер ключа 256 бит.

Схемы аутентификации и шифрования настраиваются в беспроводной локальной сети. VLAN настраиваются в сети и в точках доступа и могут использовать разные комбинации аутентификации и шифрования. SSID связывается с VLAN и определенной схемой аутентификации и шифрования. Чтобы беспроводные клиентские устройства прошли успешную аутентификацию, необходимо настроить те же SSID со схемами аутентификации и шифрования на интернет-серверах и на телефоне.

Некоторые схемы аутентификации нуждаются в определенных типах шифрования.

Схемы аутентификации и шифрования, приведенные в следующей таблице, приведены параметры сетевой конфигурации телефона, соответствующего конфигурации точки доступа.