기업 네트워크에 802.1X 기반의 강력한 인증 체계를 도입하는 것은 보안 수준을 획기적으로 높이는 핵심 과제입니다. 하지만 운영 중인 네트워크에 갑작스럽게 '인증 전 차단' 정책을 적용하면, 인증 기능이 없는 레거시 장비나 설정이 잘못된 단말들이 대거 통신 불능 상태에 빠지는 대형 장애로 이어질 수 있습니다. Cisco ISE(Identity Services Engine)는 이러한 리스크를 최소화하기 위해 저위험 롤아웃(Low-Impact Rollout) 모델을 제공합니다. 본 포스팅에서는 단계별 전환 절차와 설계 핵심을 살펴보겠습니다.
SECTION 011. 누구를 위한 글인지
- 기존 네트워크 인프라에 Cisco ISE를 도입하여 포트 기반 보안을 강화하려는 네트워크 보안 엔지니어
- 802.1X 도입 시 발생할 수 있는 가용성 이슈를 우려하는 네트워크 관리자
- Cisco Catalyst 스위치 환경에서 안정적인 NAC(Network Access Control) 롤아웃을 설계 중인 담당자
SECTION 022. 개념과 동작 원리
802.1X 롤아웃은 보안성과 가용성 사이의 균형을 맞추는 과정입니다. Cisco는 이를 위해 세 가지 단계적 모드를 정의합니다.
모니터 모드 (Monitor Mode)
- 원리: 스위치 포트에
authentication open명령을 적용합니다. 단말이 인증에 실패하더라도 트래픽 통과를 허용합니다. - 목적: 어떤 장비가 네트워크에 접속하고 있는지, 802.1X 인증을 지원하는지 가시성을 확보하는 단계입니다. 실제 차단은 발생하지 않지만 ISE 로그를 통해 인증 성공/실패 여부를 추적할 수 있습니다.
저위험 모드 (Low-Impact Mode)
- 원리: 포트에 Pre-authentication ACL (PACL)을 적용합니다. 인증 전에도 DHCP, DNS, ISE 통신 등 최소한의 필수 트래픽은 허용합니다.
- 목적: 인증에 실패하거나 아직 인증되지 않은 단말도 최소한의 통신은 가능하게 하여, 관리자가 원격으로 문제를 해결하거나 단말이 정책을 내려받을 수 있도록 돕습니다. 인증 성공 시에는 dACL(Dynamic ACL)을 통해 전체 권한을 부여합니다.
폐쇄 모드 (Closed Mode)
- 원리: 802.1X의 기본 동작 방식입니다. EAPOL(인증용 트래픽)을 제외한 모든 트래픽을 인증 성공 전까지 차단합니다.
- 목적: 가장 높은 수준의 보안을 제공하며, 모든 단말이 정상적으로 인증 체계에 편입된 후 최종적으로 도달해야 하는 목표 지점입니다.
SECTION 033. 설계 또는 구축 단계
안정적인 롤아웃을 위해 다음의 4단계 절차를 권장합니다.
단계 1: 인프라 및 정책 준비
- ISE에서 네트워크 장비(NAD)를 등록하고 RADIUS 공유 비밀키를 설정합니다.
- 단말 그룹별로 적용할 dACL과 권한 정책을 설계합니다.
- 중요: Cisco 장비 도입 시에는 개별 PID(Product ID)의 최신 지원 상태를 확인해야 합니다. 제품 라인업 주제에 대해서는 구매 전 반드시 공식 Cisco EOS/EOL(End-of-Sale/End-of-Life) 인덱스를 확인하여 단종 여부를 검토하시기 바랍니다.
단계 2: 모니터 모드 적용
- 스위치 포트 설정을
authentication open으로 구성합니다. - 약 2~4주간 ISE 라이브 로그를 모니터링하여 인증 실패 장비를 식별합니다.
- 802.1X 미지원 장비(프린터, IoT 등)에 대해 MAB(MAC Authentication Bypass) 예외 처리를 진행합니다.
단계 3: 저위험 모드 전환
- 포트에서
authentication open을 유지하거나 제거하되, 강력한 Pre-Auth ACL을 적용합니다. - 인증되지 않은 상태에서도 헬프데스크 페이지나 업데이트 서버에 접근할 수 있도록 경로를 열어둡니다.
단계 4: 폐쇄 모드 최종 전환
- 모든 주요 단말의 인증 성공률이 99% 이상일 때,
authentication open을 제거하고 Closed Mode로 전환합니다. - 예외 장비들이 MAB를 통해 정상적으로 권한을 할당받는지 최종 확인합니다.
SECTION 044. 안전한 확인 명령 및 절차
설정 후에는 반드시 스위치 CLI에서 세션 상태를 확인해야 합니다.
Field note
주의:
no authentication open또는 ACL 변경 명령은 즉시 트래픽 차단을 유발할 수 있으므로, 반드시 업무 외 시간이나 테스트 포트에서 먼저 검증하십시오.
- 인증 세션 요약 확인:
`bash
show authentication sessions interface <Interface_ID>
`
이 명령을 통해 Status: Auth Success 여부와 적용된 Method (dot1x 또는 mab)를 확인할 수 있습니다.
- 상세 802.1X 상태 확인:
`bash
show dot1x all summary
`
각 포트별 802.1X 활성화 상태와 역할을 한눈에 파악할 수 있습니다.
- 적용된 ACL 확인:
`bash
show ip access-lists
`
ISE로부터 내려받은 dACL이 인터페이스에 올바르게 적용되었는지 대조합니다.
SECTION 055. 흔한 장애와 분리 진단
| 장애 유형 | 주요 원인 | 진단 방법 |
|---|---|---|
| 인증 실패 (Auth Fail) | Supplicant 설정 오류, 인증서 불일치 | ISE Live Log의 'Failure Reason' 확인 |
| EAP 타임아웃 | 네트워크 지연 또는 단말 응답 없음 | 스위치에서 debug dot1x all 실행 (부하 주의) |
| 권한 할당 오류 | dACL 구문 오류 또는 VLAN 미존재 | show authentication sessions detail로 수신 데이터 확인 |
| MAB 오동작 | MAC 주소 DB 미등록 또는 오타 | ISE Endpoint 데이터베이스 및 정적 등록 여부 확인 |
SECTION 066. 도입/회의 체크리스트
- 장비 호환성: 스위치 IOS 버전이 ISE 기능을 모두 지원하는가? (Cisco Feature Navigator 확인)
- 예외 장비 식별: 프린터, 전화기, 비디오 장비 등 802.1X 미지원 장비 리스트가 확보되었는가?
- 롤백 계획: 장애 발생 시 즉시 모니터 모드로 복구할 수 있는 스크립트가 준비되었는가?
- 사용자 공지: 인증 실패 시 사용자가 조치해야 할 가이드라인이 배포되었는가?
- EOS/EOL 확인: 도입 예정인 스위치 모델의 수명 주기를 공식 인덱스에서 대조하였는가?
SECTION 077. References
- Cisco Community: ISE Secure Wired Access Prescriptive Deployment Guide
- Cisco Official Documentation: Wired 802.1X Deployment Guide
- Cisco Support: Troubleshoot Dot1x on Catalyst 9000 Series Switches