SECTION 011. 이 글은 누구를 위한 것인가?
본 가이드는 기업 내 내부 네트워크 보안 강화를 담당하는 네트워크 관리자, 보안 인프라 설계자, 그리고 IT 운영팀을 위해 작성되었습니다. 단순한 망 분리를 넘어, 사용자 식별 기반의 접근 제어(NAC)와 세밀한 보안 정책 적용(마이크로세그먼테이션), 그리고 외부 방문자를 위한 안전한 게스트망 설계를 고민하는 실무자에게 구체적인 방법론을 제시합니다.
SECTION 022. 주요 개념과 동작 원리
2.1 NAC (Network Access Control)
NAC는 네트워크에 접속하려는 모든 단말과 사용자를 식별하고, 보안 정책 준수 여부를 검증하여 접속 권한을 차별적으로 부여하는 기술입니다.
- 802.1X 인증: 단말(Supplicant), 인증 장치(Authenticator, 스위치/AP), 인증 서버(Authentication Server, RADIUS) 간의 EAP 통신을 통해 인증을 수행합니다.
- MAB (MAC Authentication Bypass): 802.1X를 지원하지 않는 프린터, IoT 장비 등을 위해 MAC 주소를 기반으로 인증을 수행합니다.
- Cisco ISE: 중앙 집중식 정책 엔진으로 사용자 그룹, 장치 유형, 위치 등에 따른 동적 권한 부여(dACL, SGT)를 수행합니다.
- 한드림넷 VIPM: 보안 스위치와 연동하여 IP/MAC 관리는 물론, 비인가 단말 차단 및 유해 트래픽 제어를 통합 수행합니다.
2.2 마이크로세그먼테이션 (Micro-segmentation)
전통적인 VLAN 기반의 거시적 분리(Macro-segmentation)를 넘어, 동일 서브넷 내에서도 단말 간 통신을 제어하는 방식입니다.
- Zero Trust 모델: "아무도 믿지 말고 항상 검증하라"는 원칙에 따라, 내부망 이동(Lateral Movement)을 최소화합니다.
- Cisco TrustSec: SGT(Scalable Group Tag)를 사용하여 IP 주소와 무관하게 역할 기반의 보안 정책을 적용합니다.
2.3 게스트망 설계 (Guest Network Design)
내부 자원에 대한 접근을 원천 차단하고 인터넷 서비스만 제공하는 격리된 망입니다.
- 논리적 격리: 전용 VLAN과 VRF를 사용하여 라우팅 테이블 자체를 분리합니다.
- Captive Portal: 웹 인증 페이지를 통해 약관 동의 또는 일회용 계정 로그인을 유도합니다.
SECTION 033. 설계 및 구축 단계
- 자산 식별 및 분류: 네트워크에 접속하는 모든 단말(PC, 모바일, IoT, 서버)의 리스트를 확보하고 중요도에 따라 그룹화합니다.
- 보안 정책 정의: 그룹별 접근 허용 범위(예: 게스트는 인터넷만, 개발팀은 개발 서버만)를 정의합니다.
- 인프라 준비:
- Cisco: ISE 서버 구축 및 스위치와 RADIUS 연동 설정.
- 한드림넷: SG 보안 스위치 설치 및 VIPM 관리 서버 연동.
- 망 분리 설계: 게스트용 VLAN(예: VLAN 999)과 내부 업무용 VLAN을 분리하고, 게스트 트래픽은 방화벽을 통해 외부로만 나가도록 ACL을 설정합니다.
- 단계적 롤아웃: 초기에는 '모니터링 모드'로 운영하여 로그를 분석한 뒤, 점진적으로 '차단 모드'로 전환합니다.
SECTION 044. 안전한 확인 명령 및 절차
Field note
주의: 아래 명령어를 통한 설정 변경은 기존 사용자의 네트워크 세션을 즉시 끊을 수 있습니다. 반드시 정기 점검 시간이나 영향도가 낮은 시간대에 수행하십시오.
4.1 Cisco 장비 확인 (IOS XE 기준)
- 인증 세션 상태 확인:
`bash
show authentication sessions interface <인터페이스_번호>
`
- RADIUS 서버 연동 상태 확인:
`bash
show aaa servers
`
- SGT 할당 확인:
`bash
show cts role-based sgt-map all
`
4.2 한드림넷 장비 확인 (SG 스위치 기준)
- 사용자 인증 리스트 조회:
`bash
show user-list
`
- 보안 엔진(MDS) 동작 상태 확인:
`bash
show security-status
`
- 관리 IP 및 VIPM 연동 확인:
`bash
show system system-info
`
SECTION 055. 흔한 장애와 분리 진단
| 장애 유형 | 원인 | 진단 및 해결 방안 |
|---|---|---|
| 인증 실패 (Reject) | 계정 정보 불일치 또는 인증서 만료 | RADIUS 서버 로그를 확인하여 Reject 사유(EAP Failure 등) 분석 |
| 인증 타임아웃 | 스위치와 RADIUS 간 통신 단절 | ping으로 서버 도달 가능성 확인 및 UDP 1812/1813 포트 개방 확인 |
| IP 할당 불가 | VLAN 할당 오류 또는 DHCP 범위 고갈 | show vlan으로 포트 할당 확인 및 DHCP 서버 상태 점검 |
| 게스트 포탈 미출력 | DNS 설정 오류 또는 리다이렉션 ACL 미적용 | 클라이언트의 DNS 설정 확인 및 스위치의 http-server 활성화 여부 점검 |
SECTION 066. 도입 및 회의 체크리스트
- 모든 단말의 MAC 주소 리스트가 최신화되어 있는가?
- 802.1X를 지원하지 않는 장비(MAB 대상)의 식별 기준이 있는가?
- 인증 서버(ISE/VIPM)의 이중화가 설계에 포함되었는가?
- 게스트망 사용자의 최대 동시 접속 수를 고려하여 대역폭 제한(Rate Limiting)을 설정했는가?
- (Cisco) 도입 예정인 Catalyst 스위치 PID가 현재 지원 상태인지 Cisco EOS/EOL Index에서 확인했는가?
- (한드림넷) 한드림넷 공식 홈페이지의 현행 제품 라인업을 기준으로 설계되었는가? (현재 별도 EOS 공지는 확인되지 않음)
SECTION 077. References
- Cisco Design Guide: SD-Access Segmentation Design Guide
- 한드림넷 제품 정보: SG보안스위치 제품군
- IEEE Standard: IEEE 802.1X-2010 - Port-Based Network Access Control
- Cisco Security: What Is Network Segmentation?