デバイスのセキュリティ
セキュリティ機能は、デバイスの ID やデータへの脅威など、複数の脅威を防止します。セキュリティ機能は、デバイスとCisco Unified Communications Manager サーバ間に認証された通信ストリームを確立し、これを維持するとともに、デバイスがデジタル署名されたファイルのみ使用することを確認します。
Cisco Unified Communications Manager リリース 8.5(1) 以降にはデフォルトでセキュリティ機能が搭載されており、CTL クライアントを実行しなくても、デバイスに次のセキュリティ機能が提供されます。
-
構成ファイルの署名
-
設定ファイルの暗号化
-
Tomcat および他の Web サービスでの HTTPS
![]() (注) |
セキュア シグナリングおよびメディア機能には CTL ファイルが必要です。 |
認証局プロキシ関数(CAPF)に関連付けられた必要なタスクの実行後、ローカルで有効な証明書(LSC)がデバイスにインストールされます。『Cisco Unified Communications Manager Security Guide』 で説明されているように、 Cisco Unified Communications Manager 管理を使用して LSC を構成できます。
あるいは、デバイスの設定アプリケーションから LSC のインストールを開始することもできます。この設定アプリケーションでは、LSC の更新および削除も実行できます。
セキュリティ機能の概要
Cisco Unified Communications Manager システムでセキュリティを実装すると、デバイスや Cisco Unified Communications Manager サーバの ID 盗用、データの改ざん、およびコール シグナリングとメディア ストリームの改ざんを防止できます。
これらの脅威を軽減するため、Cisco IP テレフォニー ネットワークは、デバイスとサーバの間にセキュアな(暗号化された)通信ストリームを確立・維持します。ファイルはデジタル署名してからデバイスに転送されます。デバイス間ではメディア ストリームとコール シグナリングが暗号化されます。
Cisco DX シリーズ デバイスは、デバイスがセキュリティ保護の対象になるかどうかを定義するデバイス セキュリティ プロファイルを使用します。デバイスへのセキュリティ プロファイルの適用については、 「『Cisco Unified Communications Manager Security Guide』」を参照してください。
Cisco Unified Communications Manager 管理のセキュリティ関連設定を構成する場合、構成ファイルに機密情報が保存されます。設定ファイルのプライバシーを確保するには、そのファイルを暗号化用に設定する必要があります。詳細については、 『『Cisco Unified Communications Manager Security Guide』』の「"暗号化電話構成ファイルの設定"」の章を参照してください。
次の表に、電話でサポートするセキュリティ機能の概要を示します。
特長 |
説明 |
---|---|
イメージ認証 |
署名済みバイナリ ファイル(拡張子 .sbn)および暗号化バイナリ ファイル(拡張子 .sebn)によって、ファームウェア イメージがデバイスへのロード前に改ざんされることを防止します。 イメージが改ざんされると、デバイスは認証プロセスに失敗し、新しいイメージを拒否します。 |
カスタマー サイト証明書のインストール |
各デバイスは、デバイス認証に一意の証明書を必要とします。デバイスには Manufacturing Installed Certificate(MIC; 製造元でインストールされる証明書)が含まれますが、追加のセキュリティについては、Cisco Unified Communications Manager 管理ページで、Certificate Authority Proxy Function(CAPF; 認証局プロキシ関数)を使用して証明書のインストールを指定できます。あるいは、デバイスの [エンタープライズ セキュリティ(Enterprise security)] メニューからローカルで有効な証明書(LSC)をインストールします。 |
デバイス認証 |
Cisco Unified Communications Manager サーバとデバイス間で、一方のエンティティが他方のエンティティの証明書を受け入れるときに行われます。デバイスと Cisco Unified Communications Manager の間でセキュアな接続を確立するかどうかを決定します。必要に応じて、TLS プロトコルを介してエンティティ間にセキュアなシグナリング パスを作成します。 Cisco Unified Communications Manager は、デバイスを認証できる場合を除き、デバイスを登録しません。 |
ファイル認証 |
デバイスがダウンロードするデジタル署名ファイルを検証します。ファイル作成後のファイルの改ざんを防ぐため、デバイスでシグニチャを検証します。認証できないファイルは、デバイスのフラッシュ メモリに書き込まれません。デバイスはこのようなファイルを拒否し、処理を続行しません。 |
ファイルの暗号化 |
暗号化は、ファイルがデバイスに転送されている間、機密情報の漏洩を防ぎます。さらにデバイス側でも、ファイルが作成後に改ざんされていないことを署名確認により認証します。認証できないファイルは、デバイスのフラッシュ メモリに書き込まれません。デバイスはこのようなファイルを拒否し、処理を続行しません。 |
シグナリング認証 |
TLS プロトコルを使用して、シグナリング パケットが転送中に改ざんされていないことを検証します。 |
製造元でインストールされる証明書 |
各デバイスには、固有の製造元でインストールされる証明書(MIC)が内蔵されており、デバイス認証に使用されます。MIC は、個々のデバイスを識別するために永続的に割り当てられた証明であり、Cisco Unified Communications Manager はこれを使用してデバイスを認証します。 |
メディア暗号化 |
SRTP を使用して、サポートされるデバイス間のメディア ストリームがセキュアであること、および意図したデバイスのみがデータを受信し、読み取ることを保証します。デバイスのメディア プライマリ キーペアの作成、デバイスへのキーの配布、キーが転送される間のキーの配布のセキュリティの確保などが含まれます。 |
CAPF(Certificate Authority Proxy Function) |
デバイスに非常に高い処理負荷がかかる、証明書生成手順の一部を実装します。また、キーの生成および証明書のインストールのためにデバイスと対話します。デバイスの代わりに、お客様指定の認証局に証明書を要求するよう CAPF を構成できます。または、ローカルで証明書を生成するように CAPF を構成することもできます。 |
セキュリティ プロファイル(Security profile) |
デバイスがセキュリティ保護、認証、または暗号化の対象になるかどうかを定義します。この表の他の項目は、セキュリティ機能について説明しています。これらの機能に関する詳細は、『Cisco Unified Communications Manager Security Guide』 を参照してください。 |
暗号化された設定ファイル |
デバイスの構成ファイルのプライバシーを確保できるようにします。 |
電話機の Web サーバの無効化(オプション) |
セキュリティ上の目的で、デバイスの Web ページ(ここにはデバイスのさまざまな処理の統計情報が表示される)へのアクセスを防止できます。 |
電話のセキュリティ強化 |
Cisco Unified Communications Manager 管理ページから制御する追加セキュリティ オプション。
|
802.1X 認証 |
デバイスは 802.1X 認証を使用して、ネットワークへのアクセスの要求およびネットワーク アクセスができます。 |
SRST 向けのセキュアな SIP フェールオーバー |
セキュリティ目的で Survivable Remote Site Telephony(SRST)リファレンスを構成してから、Cisco Unified Communications Manager 管理ページで従属デバイスをリセットすると、TFTP サーバはデバイスの cnf.xml ファイルに SRST 証明書を追加し、そのファイルをデバイスに送信します。その後、セキュアなデバイスは TLS 接続を使用して、SRST 対応ルータと相互に対話します。 |
シグナリング暗号化 |
デバイスと Cisco Unified Communications Manager サーバの間で送信されるすべての SIP シグナリング メッセージが暗号化されるようにします。 |
AES 256 暗号化 |
Cisco Unified Communications Manager リリース 10.5(2) 以降に接続している DX シリーズ デバイスは、シグナリングとメディア暗号化に関する TLS および SIP の AES 256 暗号化をサポートします。これによりデバイスは、SHA-2(Secure Hash Algorithm)標準および Federal Information Processing Standard(FIPS)に準拠する AES-256 ベースの暗号を使用して TLS 1.2 接続を開始・提供できます。 |
セキュリティ プロファイル(Security Profiles)
Cisco DX シリーズ デバイスは、デバイスが非セキュア、認証、または暗号化のいずれであるかを定義するセキュリティ プロファイルを使用します。セキュリティ プロファイルの構成とデバイスへのプロファイルの適用については、 「『Cisco Unified Communications Manager Security Guide』」を参照してください。
デバイスに設定されているセキュリティ モードを表示するには、[設定(Settings)] アプリケーションの [セキュリティ(Security)] メニューを表示します。
SE Android
Android™ (SE Android)のセキュリティ拡張機能は、デバイスのセキュリティを強化します。SE Android は、デバイス上で不正または危険なコードの実行を防止することで、悪意のあるアプリケーションから保護します。SE Android は次の処理を実行します。
- プロセスによる権限昇格を防止できます
- root などの特権プロセスが侵害された場合に、誤用を防止し、損害を制限できます
- 一元化された分析可能なポリシーを提供
- 未検出の脆弱性から保護
デバイスには、アプリケーション、プロセス、またはユーザーがアクセスできるデータを指定するポリシーが含まれています。SE Android は次の 2 つのモードをサポートしています。
- 許可
- 適用
ポリシーに違反するものはすべてログに記録されます。モードが enforcing の場合、アクションは拒否されます。ポリシーまたはモードに対するユーザー制御も管理者制御も存在しません。
アップグレードおよび SE Android
リリース 10.2(2) にアップグレードすると、 Cisco DX650 は既存のフィールドユニットで動作する必要があり、強制モードを有効にする前に初期設定の状態にリセットする必要があるため、permissive モードのままになります。permissive モードでは、SE Android はエンドポイントの動作に影響を与えません。
Cisco DX650 が初期設定にリセットされると、モードは自動的に強制モードに切り替わります。このアクションにより、SE Android 保護がアクティブになり、ポリシーに違反するアクションの拒否が開始されます。
Enforcing モードは、デバイスが 10.2(2) より前のファームウェア リリースにダウングレードされない限り、有効なままです。リリース 10.2(2) 以降にアップグレードすると、初期設定へのリセットが実行されるまで、デバイスは permissive モードに戻ります。
Cisco DX70 および Cisco DX80 デバイスは、初期設定から常に enforcing モードになっています。Cisco DX70 および Cisco DX80 デバイスを permissive モードにすることはできません。
SE Android トラブルシューティング
ポリシーは、アプリケーションが実行できることを想定して調整されます。ただし、許可する必要がある操作がポリシーによって禁止されている場合があります。ポリシー エラーの症状には、次のようなものがあります。
- サードパーティまたはその他のアプリが起動時または実行中にエラーを表示します。
- アプリケーションまたは機能は、 Cisco DX650 などの permissive モードのエンドポイントでは動作しますが、同様に構成された強制モードのデバイスでは動作しません。
- SE Android は常時稼働の機能であり、管理者の制御下にはありません。現場での問題を診断し、欠陥として報告する必要があります。
SE Androidポリシーの問題の診断
手順
ステップ 1 |
SE Android モードを決定します。
|
ステップ 2 |
モードが enforcing の場合は、permissive モードのデバイスで再テストします。 |
ステップ 3 |
問題が SE Android に関連しているか、特定できない場合は、ログを収集して報告します。 |
ADB Shell 制限
エンドポイントが enforcing モードの場合、Android Debug Bridge(adb)シェルは制限されます。 ls や ps などのコマンドでは、完全な結果が表示されない場合があります。
完全な結果を得るには、debugsh コマンドを使用します。たとえば、シェルから ps の代わりに debugsh show process を使用します。
Enforcing モードでは、多くのディレクトリが立ち入り禁止であるため、ファイル システムを自由に参照することもできません。
SE Android ログ収集
問題を報告するには、次の情報を収集します。
- 問題の簡単な説明(発生時刻を含む)
- 問題のスクリーンショット(可能な場合)
- debugsh show selinux all コマンドの出力
- Problem Reporting Tool(PRT)の出力
ローカルでの重要な証明書のセットアップ
始める前に
次の点を調べて、対象の Cisco Unified Communications Manager および認証局プロキシ関数(CAPF)のセキュリティ構成が完了していることを確認してください。
- CTL ファイルまたは ITL ファイルに CAPF 証明書が含まれていること。
- Cisco Unified Communications オペレーティング システムの管理ページで、CAPF 証明書がインストールされていることを確認してください。
- CAPF は実行および設定されています。
詳細については、『Cisco Unified Communications Manager Security Guide』を参照してください。
手順
ステップ 1 |
CAPF の構成後に設定された CAPF 認証コードを入手します。 |
||||
ステップ 2 |
[設定(Settings)] アプリケーションで、 を選択します。 |
||||
ステップ 3 |
[LSC] をタップします。 |
||||
ステップ 4 |
認証文字列を入力し、[送信(Submit)] をタップします。 CAPF の構成に応じて、デバイスで LSC のインストール、更新、または削除が開始されます。この作業の間、一連のメッセージが表示されるので、進捗状況をモニタリングできます。
インストール手順が正常に完了すると、デバイスに [インストール済み( Installed)] と表示されます。デバイスに [未インストール(Not Installed)] と表示された場合は、認証文字列に誤りがあるか、デバイスのアップグレードが有効になっていない可能性があります。CAPF 操作で LSC が削除され、デバイスに [未インストール(Not Installed)] と表示された場合、それは操作が成功したことを示しています。CAPF サーバで生成されたエラー メッセージを確認し、適切なアクションを実行します。
|
SHA-256 製造元でインストールされる証明書
Cisco DX70 および Cisco DX80 は、RSA 2048 キーを使用した SHA-256 のシグネチャ アルゴリズムを使用する製造元でインストールされる証明書(MIC)を使用します。シグネチャ アルゴリズムには、 Cisco Unified Communications Manager、Cisco Secure Access Control Server(ACS)、および Secure SRST のサポートが必要です。
-
Cisco Unified Communications Manager リリース 9.1(2) 以降:
-
ACS リリース 5.2 以降。 (注)
ACS 5.2 以降では、EAP-TLS 内部方式を使用した EAP-FAST はサポートされません。EAP-TLS を使用するか、EAP-TLS 内部方式を使用した EAP-FAST の場合は ISE に移行します。
-
IOS 12.4(15)T1 以降
-
Cisco Identity Services Engine リリースは 1.1 以降です。EAP-TLS 内部方式を使用した EAP-FAST は、ISE リリース 1.2 以降でサポートされています。
アプリケーションが Cisco DX シリーズ デバイスの MIC を認証するには、これらの Cisco 認証局をアプリケーションにインポートする必要があります。
セキュアな電話コール
Cisco DX シリーズ デバイスのセキュリティを実装するには、 Cisco Unified Communications Manager Administration の [電話の構成(Phone Configuration)] ウィンドウで [保護されたデバイス(Protected Device)] パラメータを有効にします。セキュリティが実装されている場合、コールアプリケーションに [セキュア コール(Secure Call)] アイコンが表示されている場合は、セキュアな通話を示します。
セキュアなコールでは、すべてのコール シグナリングとメディア ストリームが暗号化されます。セキュアなコールは高度なレベルのセキュリティを提供し、コールに整合性とプライバシーを提供します。進行中のコールが暗号化されている場合、[設定(Settings)] アプリケーションの [エンタープライズ セキュリティ(Enterprise security )] の [セキュリティ モード(Security Mode)] ステータスが [暗号化(Encrypted)] と表示されます。
![]() (注) |
コールが PSTN などの非 IP コール レッグを経由してルーティングされる場合、コールが IP ネットワーク内で暗号化されており、鍵のアイコンが関連付けられていても、そのコールはセキュアではないことがあります。 |
セキュア コールでは、コールが暗号化され、両方のデバイスが保護されたデバイスとして設定されている場合、および Cisco Unified Communications Managerでセキュア トーン機能が有効になっている場合、2 秒間のトーンがユーザーに通知されます。このトーンは、コールが応答されたとき、発側と着側の両者に対して再生されます。このトーンは、発側と着側の両方のデバイスが保護されていて、なおかつ暗号化メディア上でコールが行われたときでなければ再生されません。コールが暗号化されていないとシステムが判断した場合、デバイスは非セキュア表示トーン(6 ビープ)を再生し、コールが保護されていないことをユーザーに警告する。セキュア通知トーン機能および構成要件の詳細な説明については、『Cisco Unified Communications Manager Security Guide』 を参照してください。
![]() (注) |
音声とビデオはセキュアとして送信できますが、プレゼンテーションは非セキュアとして送信されます。[暗号化されたロック( Encrypted lock)] アイコンは、デフォルトでプレゼンテーションを使用したコールに表示されます。 の Cisco Unified Communications Manager の別のオプションに、[セキュア コール アイコン表示ポリシーが必要(Secure Call Icon Display Policy Required)] を構成できます。デフォルトでは、[BFCP および iX トランスポート以外の全メディアを暗号化すべき(All media except BFCP and iX transports must be encrypted)] に設定されています。 |
セキュアな電話コールの識別
Cisco DX シリーズ デバイスと相手側のデバイスがセキュアなコールに構成されている場合、セキュアなコールが確立されます。両方のデバイスは、同じ Cisco IP ネットワーク内にあっても、Cisco IP ネットワーク以外のネットワークにあってもかまいません。セキュアな電話会議は、次のプロセスに従って確立されます。
-
ユーザーがセキュアなデバイス(暗号化セキュリティ モード)でコールを開始します。
-
デバイスは、[設定(Settings)] アプリケーションの [エンタープライズ セキュリティ(Enterprise security)] で [暗号化(Encrypted)] ステータスを示します。このステータスは、このデバイスがセキュアなコール用に設定されていることを示しますが、接続する他の電話機もセキュアであるという意味ではありません。
-
コールが別のセキュアなデバイスに接続される場合、セキュリティ トーンが再生されます。これは、会話の両端が暗号化されセキュアであることを示します。それ以外の場合は、非セキュア トーンが再生されます。
![]() (注) |
セキュア トーンは、 Cisco Unified Communications Managerで有効になっている場合にのみ再生されます。セキュア トーンが無効になっている場合、コールがセキュアであってもセキュア トーンは再生されません。詳細については、 『『Cisco Unified Communications Manager Security Guide』』の「"セキュアおよび非セキュア表示トーンの設定"」の章を参照してください。 |
セキュアな会議コールの識別
セキュアな会議コールを開始し、参加者のセキュリティ レベルをモニタすることができます。セキュアな電話会議は、次のプロセスに従って確立されます。
-
ユーザーがセキュアなデバイスで会議を開始します。
-
Cisco Unified Communications Manager は、セキュアな会議ブリッジをコールに割り当てます。
-
参加者が追加されると、Cisco Unified Communications Manager は、各電話のセキュリティ モードを検証し、セキュアな会議のレベルを維持します。
-
デバイスでは会議コールのセキュリティ レベルが表示されます。
さまざまなインタラクション、制限、および制限が、参加者のデバイスのセキュリティ モードとセキュアな会議ブリッジの可用性によって決定される会議コールのセキュリティ レベルに影響します。 Cisco DX シリーズ デバイスは、セキュアな音声およびビデオ会議コールをサポートします。
音声とビデオはセキュアとして送信できますが、プレゼンテーションは非セキュアとして送信されます。[暗号化(Encrypted)] ロック アイコンは、デフォルトでプレゼンテーション付きの会議コールに表示されます。 の Cisco Unified Communications Manager の別のオプションに、[セキュア コール アイコン表示ポリシーが必要(Secure Call Icon Display Policy Required)] を構成できます。デフォルトでは、[BFCP および iX トランスポート以外の全メディアを暗号化すべき(All media except BFCP and iX transports must be encrypted)] に設定されています。
コール セキュリティの連携動作と制限事項
Cisco Unified Communications Manager は、会議の確立時にデバイスのセキュリティ ステータスを確認し、会議のセキュリティ表示を変更するか、またはコールの確立をブロックしてシステムの整合性とセキュリティを維持します。次の表に、割り込み機能によるコール セキュリティ レベルの変更に関する情報を示します。
発信側電話機のセキュリティ レベル |
使用する機能 |
コール セキュリティ レベル |
動作結果 |
---|---|---|---|
非セキュア |
割込み |
暗号化されたコール(Encrypted call) |
コールが割り込まれ、非セキュア コールとして識別される |
セキュア |
割込み |
暗号化されたコール(Encrypted call) |
コールが割り込まれ、セキュア コールとして識別される |
次の表は、発信側の電話機のセキュリティ レベル、参加者のセキュリティ レベル、およびセキュアな会議ブリッジの可用性によって決定された、会議のセキュリティ レベルの変更に関する情報を示しています。
発信側電話機のセキュリティ レベル |
使用する機能 |
参加者のセキュリティ レベル |
動作結果 |
---|---|---|---|
非セキュア |
会議(Conference) |
強化されたセキュリティ |
非セキュアな会議ブリッジ 非セキュアな会議 |
強化されたセキュリティ |
会議(Conference) |
少なくとも 1 台のメンバーが非セキュア。 |
セキュアな会議ブリッジ 非セキュアな会議 |
強化されたセキュリティ |
会議(Conference) |
強化されたセキュリティ |
セキュアな会議ブリッジ セキュアな暗号化レベルの会議 |
非セキュア |
Meet-Me |
最小限のセキュリティ レベルが暗号化。 |
発信側は「セキュリティ レベルを満たしていません。コールは拒否されました(Does not meet Security Level, call rejected)」というメッセージを受け取ります。 |
強化されたセキュリティ |
Meet-Me |
最小限のセキュリティ レベルが非セキュア。 |
セキュアな会議ブリッジ 会議はすべてのコールを受け入れます。 |
セキュアなビデオが VPN および Cisco Virtualization Experience Client(VXC)VPN を介して使用されている場合、サポートされる最大帯域幅は 320 kpbs です。
デバイスが Cisco TelePresence をコールする場合、最大帯域幅は 320 kbps です。
リモートでのデバイス セキュリティ情報のチェック
手順
ステップ 1 |
デバイスのセキュリティ情報をリモートで確認するには、デバイスが Cisco Unified Communications Manager サーバに登録されているか以前に登録されており、デバイス構成ページで Web アクセスが有効になっている必要があります。 |
ステップ 2 |
Web ブラウザで、 http:// に移動します。<device ip>デバイスのセキュリティ情報を表示する/SecurityInformation 、または http:// /SecurityInformationX:デバイスのセキュリティ情報を XML 形式で表示します。 |
割り込みのための暗号化
デバイスに暗号化が構成されていない場合、ユーザーは暗号化されたコールに割り込むことはできません。この場合、割り込みに失敗すると、割り込みが開始されたデバイスでリオーダー トーン(速いビジー音)が聞こえます。
割り込みの開始側のデバイスに暗号化が構成されている場合、割り込みの開始側は暗号化されたデバイスからセキュアでないコールに割り込むことができます。割り込みが発生すると、Cisco Unified Communications Manager はそのコールを非セキュアコールに分類します。
割り込みの開始側のデバイスに暗号化が構成されている場合、割り込みの開始側は暗号化されたコールに割り込むことができ、デバイスはそのコールが暗号化されていることを示します。
802.1x 認証サポート
Cisco DX シリーズ デバイスと Cisco Catalyst スイッチは、従来から Cisco Discovery Protocol(CDP)を使用して相互を識別し、VLAN 割り当てやインライン パワー要件などのパラメータを特定しています。CDP では、ローカルに接続されたワークステーションは識別されません。Cisco DX シリーズ デバイスは、EAPOL パススルー メカニズムを提供します。このメカニズムを使用すると、デバイスに接続されたワークステーションは、LAN スイッチにある 802.1X オーセンティケータに EAPOL メッセージを渡すことができます。パススルー メカニズムにより、デバイスはネットワークにアクセスする前にデータ エンドポイントを認証する際 LAN スイッチとして動作しません。
Cisco DX シリーズ デバイスはまた、プロキシ EAPOL ログオフ メカニズムも提供します。ローカルに接続された PC がデバイスから切断された場合でも、LAN スイッチとデバイス間のリンクは維持されるので、LAN スイッチは物理リンクの障害を認識しません。ネットワークの完全性を保持するため、デバイスはダウンストリーム PC の代わりに EAPOL ログオフ メッセージをスイッチに送ります。これは、LAN スイッチにダウンストリーム PC の認証エントリをクリアさせます。
Cisco DX シリーズ デバイスには 802.1X サプリカントも含まれています。このサプリカントを使用して、ネットワーク管理者はデバイスと LAN スイッチ ポートの接続を制御できます。デバイスに含まれる 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST オプションと EAP-TLS オプションが使用されています。
必要なネットワーク コンポーネント
Cisco DX シリーズ デバイスの 802.1X 認証のサポートには、次のようなコンポーネントが必要です。これには、以下が含まれます。
-
デバイス自体が 802.1X サプリカントとして機能し、ネットワークへのアクセス要求を開始します。
-
Cisco Secure Access Control Server(ACS)(またはその他のサードパーティ認証サーバ)。認証サーバは、デバイスを認証する共有秘密を使用して設定する必要があります。
-
Cisco Catalyst スイッチ(またはその他のサードパーティ製スイッチ)。スイッチは、オーセンティケータとして機能し、デバイスと認証サーバの間でメッセージを渡すことができるように、802.1X をサポートしている必要があります。この交換が完了した後、スイッチはネットワークへのデバイスのアクセスを許可または拒否します。
Best Practices
The following list describes requirements and recommendations for 802.1X configuration.
-
Enable 802.1X Authentication: If you want to use the 802.1X standard to authenticate Cisco DX シリーズ devices, be sure that you properly configure the other components before you enable authentication on the device.
-
Configure PC Port: The 802.1X standard does not take into account the use of VLANs and thus recommends that only a single device should be authenticated to a specific switch port. However, some switches (including Cisco Catalyst switches) support multidomain authentication. The switch configuration determines whether you can connect a PC to the PC port of the device.
-
Enabled: If you are using a switch that supports multidomain authentication, you can enable the PC port and connect a PC to it. In this case, the devices support proxy EAPOL-Logoff to monitor the authentication exchanges between the switch and the attached PC. For more information about IEEE 802.1X support on the Cisco Catalyst switches, see the Cisco Catalyst switch configuration guides at:
-
Disabled: If the switch does not support multiple 802.1X-compliant devices on the same port, you should disable the PC Port when 802.1X authentication is enabled. If you do not disable this port and subsequently attempt to attach a PC to it, the switch denies network access to both the device and the PC.
-
- Configure Voice VLAN:
Because the 802.1X standard does not account for VLANs, you should configure
this setting based on the switch support.
- Enabled: If you are using a switch that supports multidomain authentication, you can continue to use the voice VLAN.
- Disabled: If the switch does not support multidomain authentication, disable the Voice VLAN and consider assignment of the port to the native VLAN.