네트워크 인프라가 확장됨에 따라 수많은 네트워크 장비와 사용자에 대한 접근 제어를 개별적으로 관리하는 것은 불가능에 가깝습니다. 중앙 집중식 보안 정책 관리 솔루션인 Cisco ISE(Identity Services Engine)는 AAA(Authentication, Authorization, Accounting) 프레임워크를 통해 이 문제를 해결합니다. 본 가이드에서는 실무적인 관점에서 RADIUS와 TACACS+ 프로토콜을 활용한 AAA 정책 설계와 구축 절차를 상세히 다룹니다.
1. 이 가이드가 필요한 대상
- 기업 내 네트워크 장비(스위치, 라우터, 방화벽)의 관리 권한을 중앙화하려는 보안 담당자
- 802.1X 인증을 통해 사용자 및 단말의 네트워크 접근을 제어하고자 하는 인프라 엔지니어
- Cisco ISE 도입을 검토 중이거나 정책 최적화가 필요한 아키텍트
2. AAA 프레임워크와 프로토콜의 이해
AAA는 보안의 세 가지 핵심 요소를 의미합니다.
- Authentication (인증): 사용자가 누구인지 확인 (ID/PW, 인증서 등)
- Authorization (권한 부여): 인증된 사용자가 수행할 수 있는 작업 정의 (명령어 제한, VLAN 할당)
- Accounting (계정 관리): 사용자가 수행한 작업의 기록 (접속 시간, 실행 명령어 로그)
RADIUS vs TACACS+ 비교
장비 관리(Device Admin)에는 주로 TACACS+가, 사용자 접근 제어(Network Access)에는 RADIUS가 사용됩니다.
| 항목 | RADIUS | TACACS+ |
|---|---|---|
| 프로토콜 | UDP (1812, 1813) | TCP (49) |
| 암호화 | 패스워드만 암호화 | 전체 패킷 암호화 |
| 인증/권한 분리 | 결합됨 | 완전히 분리됨 |
| 주 용도 | 802.1X, 무선 인증, VPN | 네트워크 장비 CLI 관리 |
| 표준 여부 | IETF 표준 (RFC 2865) | Cisco 독자 개발 (이후 개방) |
3. Cisco ISE AAA 정책 설계 단계
성공적인 AAA 구축을 위해 ISE에서 다음과 같은 순서로 정책을 설계합니다.
1단계: 네트워크 장비 등록 (Network Resources)
인증을 요청할 스위치나 라우터를 ISE에 등록합니다. 이때 Shared Secret은 장비와 ISE 간의 통신을 암호화하는 핵심 키이므로 강력한 문자열을 사용해야 합니다.
2단계: ID 소스 정의 (Identity Sources)
사용자 정보를 어디서 가져올지 결정합니다. 일반적으로 Active Directory(AD)와 연동하거나 ISE 내부 DB(Internal Users)를 사용합니다.
3단계: 정책 세트(Policy Sets) 구성
ISE 2.x 이상에서는 Policy Set 구조를 사용하여 조건에 따라 정책을 그룹화합니다.
- Authentication Policy: 어떤 ID 소스를 사용하여 인증할 것인가? (예: AD 연동)
- Authorization Policy: 인증 성공 시 어떤 권한을 줄 것인가? (예: 관리자 그룹은 Privilege 15 부여)
4단계: TACACS+ Profile 및 Command Sets (장비 관리용)
사용자가 입력할 수 있는 명령어를 제한하려면 Command Set을 정의합니다. 예를 들어, 운영팀은 show 명령만 가능하고, 보안팀은 conf t까지 가능하도록 설정할 수 있습니다.
4. 안전한 설정 및 확인 절차
네트워크 장비(Cisco IOS XE 기준)에서의 설정 예시입니다.
Field note
주의: AAA 설정을 변경할 때는 반드시 별도의 콘솔 세션을 유지하거나, 로컬 계정으로 접속 가능한
fallback설정을 확인해야 합니다. 잘못된 설정은 관리자의 장비 접속을 차단할 수 있습니다.
[설정 예시]
# AAA 활성화
aaa new-model
# TACACS+ 서버 정의
tacacs server ISE_SERVER
address ipv4 10.1.1.10
key 7 <Encrypted_Key>
# AAA 그룹 지정
aaa group server tacacs+ ISE_GROUP
server name ISE_SERVER
# 로그인 인증 정책 (ISE 실패 시 로컬 DB 사용)
aaa authentication login default group ISE_GROUP local
# 실행 권한 부여 정책
aaa authorization exec default group ISE_GROUP local [검증 명령어]
설정 후 다음 명령어를 통해 상태를 확인합니다.
show aaa sessions: 현재 활성화된 AAA 세션 확인show tacacs: TACACS+ 서버 연결 상태 및 통계 확인test aaa group tacacs+ <user> <pass> legacy: 실제 서버와 통신하여 인증 테스트 (장비에 따라 다름)
5. 흔한 장애와 분리 진단
- Shared Secret 불일치: 장비와 ISE 간의 키가 다르면
Authen Fail이 발생합니다. 양측의 설정을 재확인하십시오. - 네트워크 도달성 문제: UDP 1812/1813 또는 TCP 49 포트가 방화벽에서 차단되어 있는지 확인합니다.
- ISE 정책 매칭 오류: 사용자가 의도한 Authorization Policy에 매칭되지 않는 경우입니다. ISE의 Live Logs를 통해 어떤 조건(Condition)에서 누락되었는지 분석해야 합니다.
- AD 연동 지연: AD 서버와의 복제 지연이나 응답 속도 저하로 인해 인증 시간이 초과될 수 있습니다.
6. 도입 및 회의 체크리스트
- 관리 대상 장비 리스트 및 IP 대역이 정리되었는가?
- 사용자 그룹별(운영, 보안, 감사 등) 허용 명령어 범위가 확정되었는가?
- ISE 서버의 리던던시(PAN, MNT, PSN 노드 분리)가 설계에 반영되었는가?
- 장애 시 로컬 계정으로의 우회(Fallback) 시나리오가 마련되었는가?
- 구매 전 주의사항: Cisco ISE 하드웨어 어플라이언스 및 라이선스(Essential, Advantage, Premier)의 공식 EOS(End-of-Sale) / EOL(End-of-Life) 인덱스를 반드시 확인하여 단종 예정 모델을 피하십시오.