엔터프라이즈 네트워크 환경에서 보안의 경계가 모호해짐에 따라, '신뢰하되 검증하라'는 과거의 방식에서 '검증 전에는 아무도 신뢰하지 마라'는 제로 트러스트 모델로의 전환이 가속화되고 있습니다. 이러한 변화의 중심에는 포트 기반 네트워크 액세스 제어(NAC) 표준인 IEEE 802.1X가 있으며, Cisco Identity Services Engine(ISE)은 이를 가장 정교하게 구현할 수 있는 솔루션입니다. 본 가이드에서는 Cisco ISE를 활용하여 안정적인 802.1X NAC 환경을 구축하기 위한 핵심 설계 요소와 실무적인 단계별 적용 전략을 다룹니다. 특히 인증서 기반의 강력한 보안 체계 구축부터 MAB를 통한 예외 처리, 그리고 가용성을 보장하는 단계적 전환 방법론을 심도 있게 분석합니다.
SECTION 011. Cisco ISE와 802.1X NAC의 핵심 개념
802.1X NAC의 핵심은 인증(Authentication), 인가(Authorization), 계정 관리(Accounting)를 아우르는 AAA 체계의 확립입니다. Cisco ISE는 정책 서버(Policy Service Node)로서 네트워크 접속을 시도하는 단말의 신원을 확인하고, 사전에 정의된 보안 정책에 따라 적절한 네트워크 자원 접근 권한을 부여합니다.
가장 강력한 인증 방식인 EAP-TLS(RFC 5216/9190)는 디지털 인증서를 기반으로 단말과 서버 간의 상호 인증을 수행합니다. 이는 사용자 이름과 비밀번호 방식보다 보안성이 훨씬 뛰어나며, 중간자 공격(MitM)을 효과적으로 방어할 수 있습니다 [1]. 실무적으로 ISE 노드 설정 시, 인증서의 SAN(Subject Alternative Name) 필드에 노드의 FQDN을 정확히 기입하는 것이 클라이언트와의 정상적인 TLS 핸드쉐이크를 위해 필수적입니다. 또한, ISE 아키텍처 설계 시 관리 기능을 담당하는 PAN(Policy Administration Node), 모니터링을 위한 MnT(Monitoring and Troubleshooting Node), 실제 인증을 처리하는 PSN(Policy Service Node)의 역할을 명확히 분리하여 부하를 분산하는 것이 대규모 환경에서의 베스트 프랙티스입니다.
SECTION 022. 성공적인 구축을 위한 설계 및 구성 포인트
NAC 구축 시 가장 큰 위험 요소는 정당한 사용자의 네트워크 접속이 차단되는 서비스 장애입니다. 이를 방지하기 위해 다음과 같은 인프라 준비가 선행되어야 합니다.
첫째, PKI(Public Key Infrastructure) 체계의 정립입니다. ISE와 모든 단말이 신뢰할 수 있는 루트 CA 인증서를 보유해야 하며, 인증서 폐기 목록(CRL) 또는 OCSP를 통한 유효성 검증 경로가 확보되어야 합니다. 둘째, 네트워크 장비(NAD)와의 연동입니다. Cisco Catalyst 스위치에서 ISE를 RADIUS 서버로 지정하고, CoA(Change of Authorization)를 위한 설정을 포함해야 합니다.
# Cisco IOS XE 기본 RADIUS 및 AAA 설정 예시
aaa new-model
radius server ISE_NODE_1
address ipv4 10.1.1.10 auth-port 1812 acct-port 1813
key 7 <Shared_Secret>
# CoA 활성화를 위한 설정
aaa server radius dynamic-author
client 10.1.1.10 server-key 7 <Shared_Secret>
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius
dot1x system-auth-controlSECTION 033. 서비스 중단을 최소화하는 단계적 롤아웃 전략
Cisco는 NAC 도입 시 발생할 수 있는 충격을 완화하기 위해 세 단계의 롤아웃 모드를 권장합니다. 각 모드는 보안 수준과 가용성 사이의 균형을 조절합니다.
| 단계 (Mode) | 주요 특징 | 차단 여부 | 권장 설정 |
|---|---|---|---|
| Monitor Mode | 가시성 확보 및 로그 수집 | 없음 | authentication open |
| Low Impact Mode | 최소 통신 허용 및 인증 후 확장 | 부분적 | Pre-auth ACL 적용 |
| Closed Mode | 엄격한 인증 및 전면 차단 | 전체 | 기본 802.1X 동작 |
Monitor Mode는 실무에서 가장 중요한 단계입니다. 인터페이스에 authentication open 명령을 적용하면, 인증 결과와 상관없이 모든 트래픽이 통과됩니다. 이 기간 동안 ISE의 라이브 로그를 분석하여 미인증 단말이나 정책 오류를 수정합니다.
Low Impact Mode로 넘어가면, 인증 전에는 DHCP, DNS, ISE 통신만 허용하는 Pre-authentication ACL을 적용합니다. 인증이 성공하면 ISE에서 dACL(Downloadable ACL)을 내려받아 단말의 접근 권한을 동적으로 확장합니다. 마지막으로 Closed Mode는 인증되지 않은 모든 트래픽을 차단하여 보안을 극대화하는 최종 단계입니다 [2].
SECTION 044. IoT 및 레거시 장비를 위한 MAB와 Profiling
IP 전화기, 프린터, 산업용 IoT 기기 등 802.1X 서플리컨트(Supplicant) 기능이 없는 장비는 MAB(MAC Authentication Bypass)를 통해 수용합니다. MAB는 단말의 MAC 주소를 ID로 사용하여 인증을 수행하지만, MAC 주소는 쉽게 위조될 수 있다는 취약점이 있습니다.
이를 보완하기 위해 ISE의 Profiling 기능을 연동해야 합니다. ISE는 단말의 HTTP User-Agent, DHCP 옵션, SNMP 데이터 등을 수집하여 기기 고유의 지문(Fingerprint)을 생성합니다. 예를 들어, 특정 장비가 프린터의 MAC 주소를 가졌더라도 트래픽 패턴이 윈도우 PC라면 접근을 차단하는 식의 정교한 제어가 가능합니다 [4].
SECTION 055. 게스트 접속 및 WebAuth 예외 처리
방문객을 위한 게스트 네트워크는 CWA(Central Web Authentication) 방식을 주로 사용합니다. 사용자가 네트워크에 접속하면 스위치는 트래픽을 ISE의 웹 포털로 리다이렉트합니다. 사용자가 포털에서 인증을 완료하거나 약관에 동의하면, ISE는 CoA 패킷을 스위치에 보내 포트의 권한을 업데이트합니다. 이 과정은 별도의 소프트웨어 설치 없이 웹 브라우저만으로 동작하므로 게스트 환경에 최적화되어 있습니다.
SECTION 066. 운영 검증 및 트러블슈팅
구축 후에는 실시간 상태 확인을 통해 정책 적용 여부를 검증해야 합니다. 특히 세션 타이머와 재인증 설정은 네트워크 안정성에 큰 영향을 미칩니다.
# 인터페이스별 재인증 타이머 설정 예시
interface GigabitEthernet1/0/1
authentication periodic
authentication timer reauthenticate 3600Cisco IOS XE 환경에서는 다음 명령어를 통해 실시간 세션 상태를 상세히 확인합니다.
# 인증 세션 상세 확인
show authentication sessions interface GigabitEthernet1/0/1 details결과 값에서 Status: Auth Success와 Method: dot1x 또는 mab를 확인해야 합니다. 만약 문제가 발생한다면 ISE의 Operations > RADIUS > Live Logs 메뉴를 확인하십시오. 여기서 실패 원인(Failure Reason) 코드를 분석하는 것이 문제 해결의 시작입니다.
SECTION 077. 흔한 장애 및 위험 요소
NAC 구축 과정에서 엔지니어가 자주 직면하는 장애 시나리오는 다음과 같습니다. 첫째, 인증서 체인 불일치입니다. 중간 CA 인증서가 누락될 경우 모바일 기기나 특정 OS에서 인증 실패가 발생할 수 있습니다. 둘째, RADIUS 타임아웃입니다. 네트워크 지연이나 ISE 노드의 부하로 인해 응답이 늦어지면 스위치는 단말의 접속을 거부하거나 Fail-open 정책에 따라 비정상적인 접근을 허용할 수 있습니다. 셋째, 서플리컨트 구성 오류입니다. 윈도우의 경우 '네트워크 수준 인증' 설정이나 인증서 선택 로직이 복잡하여 사용자 환경마다 다른 결과가 나타날 수 있으므로, GPO(Group Policy Object)를 통한 표준화가 필수적입니다.
SECTION 088. 실무 유지보수 체크리스트
안정적인 NAC 운영을 위해 다음 항목을 주기적으로 점검해야 합니다.
- ISE 노드의 인증서 만료일 확인 및 사전 갱신
- 신규 도입 IoT 장비에 대한 프로파일링 규칙 업데이트
- RADIUS 서버 간 부하 분산 상태 및 응답 시간 모니터링
- dACL 및 보안 정책의 정기적인 감사 및 불필요한 항목 제거
Cisco ISE와 802.1X NAC는 단순한 보안 솔루션을 넘어, 네트워크 전체에 대한 가시성과 통제권을 제공하는 핵심 인프라입니다. 단계적 롤아웃 전략을 통해 안정성을 확보하고, MAB와 프로파일링을 결합하여 예외 없는 보안 체계를 구축하시기 바랍니다.