Aruba ClearPass

이점

• 네트워크, 클라이언트 및 디바이스를 관리하고 유지하는 데 도움이 되는 데이터에 빠르고 쉽게 액세스할 수 있습니다.

• 네트워크에 대한 실시간 가시성을 제공하는 지속적인 모니터링 및 고급 분석.

방화벽과 ClearPass 간의 통신은 어떻게 이루어지나요?

적용 보안과 함께 Aruba ClearPass가 필요한 이유는 무엇입니까?

1. 위험 및 과제 - 회사 스마트폰 사용은 기업에 가장 큰 IT 보안 위험 중 하나입니다.

   • 오늘날의 네트워크 환경은 언제 어디서나 모든 디바이스 액세스를 어느 정도 지원하고 사용자가 네트워크에 연결된 여러 디바이스를 동시에 사용할 수 있기 때문에 다양한 종류의 공격에 더 개방되어 있습니다.

   • 공격자는 근처에 있는 회사 소유의 모바일 디바이스에 액세스하여 멀웨어를 설치하여 언제든지 데이터를 캡처할 수 있습니다.

   • 공격자는 정보 수집 벤처를 시작하고, 비즈니스 활동을 중단하고, 민감한 기업 데이터를 훔칠 수 있습니다.

2. 비즈니스 필요 - 모바일 디바이스와 클라우드 서비스의 확산과 보안 유지는 엔터프라이즈 사이버 보안의 기본적인 전략적 부분이 되었습니다.

   • 모바일 디바이스를 지원하는 작업 환경에서는 사용자의 신원을 아는 것이 중요합니다.

   • 사용자의 ID는 IT 관리자가 공격의 출처를 식별하고 동일한 전략을 따르는 향후 잠재적 공격을 차단하는 데 더 나은 이점을 제공합니다.

   • 시행 보안 기능이 있는 ClearPass는 모바일 디바이스 및 동시에 연결된 여러 디바이스를 사용하여 유입되는 악의적인 침입으로부터 보호합니다.

3. ClearPass를 사용한 보호 - 보안 기능이 적용된 ClearPass를 사용하면 사용자 이름 또는 속한 그룹으로 사용자를 식별하는 보안 정책을 구성할 수 있으므로 공격 및 침입으로부터 사용자를 보호할 수 있습니다.

   • ClearPass는 네트워크 환경에 대한 위협과 공격을 식별하고 이 정보를 CPPM에 제공합니다.

   • CPPM의 관리자는 보안 적용을 보다 효과적으로 조정하여 향후 같은 종류의 공격으로부터 보호할 수 있습니다.

   • 사용자가 둘 이상의 디바이스로 네트워크에 로그인한 경우, 디바이스뿐만 아니라 ID를 기반으로 활동을 추적할 수 있습니다.

   • 의도했든 아니든 네트워크 액세스와 악의적인 활동을 대신하여 쉽게 제어할 수 있습니다.

Aruba ClearPass 및 Enforcement 보안은 어떻게 작동합니까?

시행 보안 기능이 있는 Aruba ClearPass는 SCREENS, IDP 및 콘텐츠 보안 기능의 보호를 제공하여 광범위한 공격 전략으로부터 네트워크를 방어합니다. 회사의 네트워크 리소스를 보호하는 것 외에도 디바이스는 공격 또는 공격 위협에 대응하여 이러한 보호 보안 기능에서 생성된 CPPM 로그 레코드를 사용할 수 있습니다. 이미 발생한 위협과 특정 공격에 대해 알면 IT 부서가 규정을 준수하지 않는 시스템과 노출된 네트워크 영역을 식별하는 데 도움이 될 수 있습니다. 이 정보를 통해 디바이스 규정 준수를 강화하고 리소스 보호를 강화하여 보안을 강화할 수 있습니다.

보안 기능이 적용된 ClearPass를 사용하면 사용자 수준에서 세부적인 제어를 수행할 수 있습니다.

• 디바이스의 관리자는 이제 ID 인식보안 정책의 ID 소스 매개 변수에 CPPM이 디바이스에 게시하는 사용자 이름 또는 역할(그룹) 이름을 지정할 수 있습니다. 더 이상 사용자를 식별하는 수단으로 장치의 IP 주소에만 의존하는 데 국한되지 않습니다. 디바이스뿐만 아니라 디바이스 사용자에 집중하면 보안 적용에 대한 제어가 강화됩니다.

• CPPM은 방화벽에 인증된 사용자 정보를 제공하는 것 외에도 디바이스 유형을 역할에 매핑하고 사용자를 해당 역할에 할당할 수 있습니다. 그런 다음 해당 역할 매핑을 방화벽으로 보낼 수 있습니다. 이 기능을 사용하면 사용자가 특정 유형의 디바이스를 사용할 때 리소스에 대한 사용자의 액세스를 보안 정책을 통해 제어할 수 있습니다.

예를 들어 CPPM 관리자가 marketing-company-device라는 역할을 구성하고 회사 장치와 마케팅 부서 구성원 모두를 해당 역할에 매핑했다고 가정해 보겠습니다. 디바이스의 관리자는 마치 그룹인 것처럼 보안 정책에서 해당 역할을 지정할 수 있습니다. 그런 다음 역할에 매핑된 모든 사용자에게 보안 정책이 적용되어 해당 유형의 디바이스 유형을 사용할 때 네트워크 활동을 본질적으로 제어합니다.

방화벽 보안 정책은 CPPM에서 디바이스로 전송되는 사용자 인증 및 ID 정보를 활용하여 회사의 리소스를 보호하고 세분화된 수준에서 액세스 제어를 시행합니다. CPPM은 인증 소스 역할을 합니다. 자체 내부 RADIUS 서버를 사용하여 사용자를 인증합니다. 또한 외부 RADIUS 서버 또는 Active Directory와 같은 외부 인증 소스에 의존하여 인증 수행할 수도 있습니다.

CPPM 인증은 스위치 및 액세스 컨트롤러와 같은 NAS 디바이스의 요청에 의해 트리거됩니다. CPPM은 디바이스가 노출하는 RESTful 웹 서비스의 XML 부분을 사용하여 디바이스 인증된 사용자 ID 및 디바이스 상태 정보에 POST 요청 메시지를 보냅니다.

방화벽과 Aruba ClearPass는 회사 리소스를 보호하고 모바일 디바이스에 대한 인터넷 액세스 정책을 시행하는 데 필요한 복잡하고 복잡한 보안 작업을 단순화합니다. 이러한 보안은 모바일 경험을 지원하고 사용자가 자신의 시스템, 스마트폰, 태블릿을 비롯한 다양한 디바이스를 사용할 수 있는 자유를 제공하는 네트워크 환경에서 필수적입니다.

ClearPass에서 방화벽으로 전송되는 데이터의 무결성

다음 요구 사항에 따라 CPPM에서 전송된 데이터가 손상되지 않도록 합니다.

• Web API 구현은 HTTP/HTTPS POST 요청만 처리하도록 제한됩니다. 수신하는 다른 모든 유형의 요청은 오류 메시지를 생성합니다.

• Web API 디먼은 다음 전용 URL의 HTTP/HTTPS 요청만 분석하고 처리합니다.

• CPPM이 디바이스에 게시하는 HTTP/HTTPS 콘텐츠의 형식은 일관되게 올바르게 지정되어야 합니다. 올바른 XML 형식은 손상이 없음을 나타내며, 사용자 ID 정보가 손실되지 않도록 합니다.

데이터 크기 제한 및 기타 제약 조건

CPPM에는 다음과 같은 데이터 크기 제한 및 제한이 적용됩니다.

• CPPM은 게시하는 데이터의 크기를 제어해야 합니다. 그렇지 않으면 Web API 데몬이 이를 처리할 수 없습니다. 현재 웹 API는 최대 2메가바이트의 데이터를 처리할 수 있습니다.

• 역할 및 디바이스 상태 정보에 대한 XML 데이터에 다음과 같은 제한이 적용됩니다. Web API 디먼은 이러한 양(즉, 오버플로 데이터)을 초과하는 XML 데이터를 삭제합니다.

  • 방화벽은 최대 209개의 역할을 처리할 수 있습니다.

  • 방화벽은 6개의 가능한 상태 토큰 또는 값이 있는 한 가지 유형의 상태만 지원합니다. 개별 사용자의 ID 정보는 하나의 상태 토큰만 가질 수 있습니다.

  • CPPM은 방화벽의 상태와 상태를 확인하며, 해당 정보를 게시하는 사용자 정보의 일부로 방화벽에 보낼 수 있습니다.

  • 방화벽에서 상태를 정의할 수 없습니다. 또한 방화벽은 수신한 상태 정보를 확인하지 않습니다.

포스처 상태 및 포스처 그룹

사용자, 역할 및 보안 상태 토큰 필드는 CPPM의 컨텍스트에서 구별됩니다. 각 사용자 ID 정보 집합에는 사용자 및 역할(그룹) ID와 상태 토큰이 포함됩니다. 방화벽은 사용자 및 역할(그룹) 필드만 지원하므로 접두사 posture–를 추가하여 포스처 토큰 값이 역할에 매핑됩니다. 그런 다음 보안 정책에서 해당 역할을 그룹으로 사용할 수 있으며 해당 정책은 정책과 일치하는 모든 트래픽에 적용됩니다.

사전 정의된 보안 상태 ID 상태는 다음과 같습니다.

• 자세 건강(HEALTHY)

• 자세 점검(CHECKUP)

• posture-transition(TRANSITION)

• 보안 격리(QUARANTINE)

• 자세 감염(INFECTED)

• 알 수 없는 상태(알 수 없음)

ClearPass가 위협과 공격을 탐지하고 CPPM에 알리는 방법

방화벽이 위협 및 공격 이벤트를 탐지하면 해당 이벤트는 방화벽 이벤트 로그에 기록됩니다. 방화벽은 syslog를 사용하여 로그를 CPPM으로 전달합니다. CPPM은 로그를 평가하고 일치하는 조건에 따라 조치를 취할 수 있습니다. ClearPass의 관리자는 방화벽의 정보를 사용하고 CPPM에서 적절한 작업을 정의하여 보안을 강화할 수 있습니다.

방화벽의 Junos OS는 10개 이상의 모듈에서 발행된 100개 이상의 다양한 유형의 로그 항목을 생성합니다. 위협 및 공격 로그를 생성하는 방화벽 중에는 SCREENS, IDP 및 콘텐츠 보안이 있습니다. 방화벽과 로그 서버의 과도한 부담을 방지하기 위해 ClearPass를 사용하면 SCREENS, IDP 및 컨텐츠 보안 기능에서 감지한 활동에 응답하여 이벤트 로그에 기록된 공격 및 위협 로그 항목만 CPPM으로 보내도록 방화벽을 구성할 수 있습니다.

로그 전송을 제어하기 위해 다음 조건을 설정할 수 있습니다.

• 위협 및 공격 로그만 전송되도록 하는 로그 스트림 필터입니다.

• 전송 볼륨을 제어하는 속도 제한기입니다. 디바이스 로그 전송은 설정한 속도 제한 조건을 초과하지 않습니다.

CPPM이 전송하는 로그 정보를 분석하려면 컨텐츠의 형식을 표준적이고 구조화된 방식으로 지정해야 합니다. 방화벽 로그 전송은 공급업체별 확장을 구조화된 방식으로 제공할 수 있는 메시지 형식을 갖는 syslog 프로토콜을 따릅니다.

Aruba ClearPass로 전송되는 위협 및 공격 로그

방화벽 및 적용 기능은 Aruba ClearPass와 협력하여 공격 및 위협 이벤트 로그를 사용하여 잠재적 및 실제 공격으로부터 회사 리소스를 보호합니다. 방화벽 SCREENS, IDP 및 콘텐츠 보안 구성 요소에서 생성되는 이러한 로그는 회사의 네트워크 보안을 위협하는 공격 및 위협 유형을 명확하게 식별합니다.

방화벽은 전체 로그 항목에서 위협 및 공격 이벤트를 보고하는 로그를 필터링하고, 이러한 로그 항목을 회사의 보안 정책을 평가하고 시행하는 데 사용할 ClearPass 정책 관리자(CPPM)로 전달합니다. 방화벽은 사용자가 설정한 속도 제한 조건에 따라 결정된 볼륨의 로그를 전송합니다.

ClearPass는 JIMS와 어떻게 작동합니까?

사용자가 CPPM에 의해 인증되면 CPPM은 웹 API를 사용하여 사용자 또는 디바이스 정보를 방화벽에 푸시합니다. 방화벽은 사용자에 대한 인증 항목 또는 디바이스 정보를 구축하며, 사용자 트래픽은 보안 정책에 따라 방화벽을 통과할 수 있습니다. Windows Active Directory 클라이언트가 도메인에 로그온하면 방화벽은 일괄 쿼리를 통해 JIMS에서 클라이언트의 사용자 또는 디바이스 정보를 가져옵니다. 인증 테이블은 JIMS에서 제공하는 항목으로 업데이트됩니다. 사용자 트래픽은 보안 정책에 따라 디바이스를 통과할 수 있습니다.

JIMS IP 쿼리와 ClearPass 사용자 쿼리가 모두 활성화되면 방화벽은 항상 ClearPass를 먼저 쿼리합니다. CPPM이 IP-사용자 매핑 정보와 함께 반환되면, 해당 정보는 이후에 인증 테이블에 추가됩니다. CPPM이 IP-사용자 매핑 정보를 반환하지 않거나 방화벽이 IP-사용자 매핑 없이 CPPM으로부터 응답을 수신하는 경우, 방화벽은 JIMS를 쿼리하여 IP-사용자 또는 그룹 매핑을 가져옵니다.

IP-사용자 또는 그룹 매핑이 JIMS와 CPPM 모두에서 수신되면 방화벽은 최신 인증 항목을 고려하고 기존 인증 항목을 덮어씁니다.

디바이스가 delay-query-time 쿼리를 보내기 전에 일정 시간 동안 대기할 수 있도록 초 단위로 지정된 매개 변수를 설정할 수 있습니다. 지연 시간은 ClearPass 및 JIMS에 대해 동일한 값이어야 합니다. 그렇지 않으면 오류 메시지가 표시되고 커밋 검사가 실패합니다.

IP-사용자 또는 그룹 매핑이 JIMS와 CPPM 모두에서 수신되면 디바이스는 최신 인증 항목을 고려하고 기존 인증 항목을 덮어씁니다.

ClearPass가 JIMS와 작동하는 방식에 대한 다양한 시나리오

JIMS와 ClearPass의 작동 방식에 대한 시나리오에 대한 자세한 설명은 다음과 같습니다.

도메인 그룹

디바이스는 도메인 네임스페이스에서 사용자 이름을 처리하는 방법과 관련하여 일반적인 과정을 따릅니다. 네임스페이스를 사용하여 동일 admin하지만 소스가 다르고 도메인에 있는 이름을 구별합니다. 서로 다른 도메인에 속하기 때문에 이름이 충돌하지 않습니다.

IP-사용자 매핑의 일부인 모든 그룹은 해당 도메인이 특정 도메인인지 GLOBAL 도메인인지 여부에 관계없이 항상 도메인에 속합니다. IP-사용자 매핑에 도메인 이름이 지정되지 않은 경우 GLOBAL 도메인이 가정됩니다.

IP, , user1, group-list

IP, domain1, user1, group-list

관심 그룹

보안 정책에 의해 참조되는 경우, 즉 정책의 소스 ID 필드에 지정된 경우, 그룹은 관심 그룹 으로 간주됩니다. 라우팅 엔진 인증 테이블에서 각 사용자 항목에는 보안 정책이 존재하는 그룹의 이름을 식별하는 정책 목록에 의해 참조되는 그룹이 포함됩니다. 사용자 항목에 포함된 그룹이 현재 보안 정책에서 사용되지 않는 경우 이 목록에 포함되지 않습니다. 그룹은 정책 목록이 참조하는 그룹 안팎으로 이동할 수 있습니다.

• 관심 그룹 목록

  관심 있는 그룹 목록 또는 정책에서 참조하는 그룹 목록은 전체 그룹의 하위 집합입니다. 사용자 인증 항목의 그룹 목록과 보안 정책의 소스 ID 목록의 교집합입니다. 즉, ClearPass 인증 테이블 사용자 항목에 포함된 모든 그룹은 관심 그룹으로 간주됩니다. 라우팅 엔진은 보안 정책에서 참조하는 그룹만 패킷 포워딩 엔진의 ClearPass 인증 테이블에 있는 사용자 항목과 동기화합니다.

  작동 방식은 다음과 같습니다.

  • UserID 디먼은 CPPM에서 전체 IP-사용자 역할(그룹) 맵핑을 가져옵니다.

  • 각 그룹에 대해 UserID 디먼은 해당 그룹을 참조하는 보안 정책이 있는지 판별하여 관심 있는 그룹인지 여부를 식별합니다. 모든 적격 그룹은 라우팅 엔진의 정책 목록에 의해 참조되는 그룹에 포함됩니다. UserID 디먼은 나머지 사용자 인증 및 ID 정보와 함께 패킷 포워딩 엔진 관심 그룹의 ClearPass 인증 테이블에 있는 사용자 항목과 동기화됩니다.

  라우팅 엔진의 사용자 항목에 대한 관심 있는 그룹 목록은 다음 이벤트에 따라 변경될 수 있습니다.

  • 라우팅 엔진의 사용자 항목에 포함되었지만 항목의 참조된 그룹 목록에는 아직 없는 그룹을 참조하는 새 보안 정책이 구성됩니다.

  • 소스 ID에서 그룹을 참조하는 현재 구성된 보안 정책은 삭제됩니다.

  다음 예를 고려하십시오.

  • CPPM이 두 사용자에 대한 다음 정보를 방화벽에 게시했다고 가정해 보겠습니다.

  • 디바이스가 포스처를 매핑하고 그룹으로 정의하면 디바이스 라우팅 엔진 인증 테이블의 두 사용자 항목이 다음과 같이 표시됩니다.

  • 여러 보안 정책에 group1, group3, posture-healthy 중 하나를 참조하는 source-identity 필드가 포함되어 있다고 가정합니다.

    앞의 집합들(원래 그룹 목록과 그룹을 참조하는 보안 정책 목록)의 교집합은 다음과 같은 관심 그룹 목록이 됩니다.

    • 사용자 john의 경우, 정책 목록이 참조하는 그룹에는 group1 및 posture-healthy가 포함됩니다.

    • 사용자 abe의 경우, 정책 목록이 참조하는 그룹에는 group1, group3 및 posure-healthy가 포함됩니다.

  이제 source-identity 필드가 group1을 지정한 보안 정책이 삭제되었다고 가정해봅시다. 두 사용자(john 및 abe)에 대한 사용자 인증 항목에 대한 정책 목록에서 참조하는 그룹이 변경되어 다음 결과가 생성됩니다.

  • 사용자 john의 경우 목록에는 상태가 좋은 상태만 포함됩니다.

  • 사용자 abe의 경우 목록에는 group3 및 posure-healthy가 포함됩니다.

표 6 은 그룹이 보안 정책에 의해 참조 되지 않 으므로 관심 그룹이 아닌 경우 ClearPass 인증 테이블에 미치는 영향을 보여줍니다.

203.0.113.9, ,user1, g1, g2, g3, g4

203.0.113.9 , ,user1 

192.0.2.1, domain1, user2, g1, g2, g3, g4

192.0.2.1, domain1, user2, g2, g4

사용자가 이미 다른 소스에 의해 인증된 경우

예를 들어, 디바이스 라우팅 엔진 인증 테이블과 패킷 포워딩 엔진의 개별 Microsoft Active Directory 인증 테이블에 Active Directory에 의해 인증된 사용자에 대한 항목이 포함되어 있을 수 있습니다. 평소와 같이 CPPM은 사용자에 대한 IP-사용자 매핑을 디바이스로 보냅니다. 디바이스는 라우팅 엔진 인증 테이블이 Active Directory와 ClearPass 모두에 공통적이기 때문에 문제를 해결해야 합니다.

장치가 상황을 처리하는 방법은 다음과 같습니다.

• 라우팅 엔진 인증 테이블에서 다음을 수행합니다.

  • 디바이스는 공통 라우팅 엔진 인증 테이블의 사용자에 대한 Active Directory 인증 항목을 CPPM의 사용자에 대한 IP-사용자 매핑에서 새로 생성된 항목으로 덮어씁니다.

    이제 IP 주소 또는 사용자 이름 충돌이 없습니다.

• 패킷 포워딩 엔진에서:

  • 디바이스는 Active Directory 인증 테이블에서 사용자에 대한 기존 Active Directory 인증 항목을 삭제합니다.

    이렇게 하면 IP 주소와 연결된 활성 세션이 삭제됩니다.

  • 디바이스는 패킷 포워딩 엔진 ClearPass 인증 테이블에서 CPPM 인증 사용자에 대한 새 항목을 생성합니다.

    IP-사용자 매핑 항목과 연결된 트래픽은 ClearPass 인증 테이블의 사용자 인증을 기반으로 새 세션을 시작합니다.

방화벽이 ClearPass 인증 테이블을 관리하는 방법

방화벽은 CPPM에서 인증된 사용자 ID 정보를 가져오고, ClearPass 인증 테이블에 항목을 생성하며, 보안 정책 및 사용자 이벤트와 관련하여 이러한 항목을 관리합니다. ClearPass는 방화벽의 인증 소스 역할을 합니다. CPPM은 인증된 사용자에 대한 ID 정보를 방화벽으로 보냅니다. 방화벽의 UserID 디먼 프로세스는 이 정보를 수신하고 처리한 후 이 목적을 위해 생성된 독립적인 ClearPass 인증 테이블의 패킷 포워딩 엔진 측에 동기화합니다.

디바이스의 관리자는 보안 정책에서 인증된 사용자 ID 정보를 사용하여 보호된 리소스 및 인터넷에 대한 액세스를 제어할 수 있습니다.

디바이스가 CPPM에서 획득하고 개별 ClearPass 인증 테이블과 동기화되는 글로벌 라우팅 엔진 인증 테이블에 항목을 생성하는 데 사용하는 사용자 ID 정보 수집을 매핑이라고 합니다. 또는 사용자 이름과 관련 그룹 목록이 사용자 디바이스의 IP 주소에 매핑되기 때문에 보다 일반적으로 IP-사용자 매핑이라고 합니다.

ClearPass 인증 테이블의 각 사용자 인증 항목에 대해 그룹 목록은 사용자가 속한 그룹과 함께 디바이스의 상태를 나타내는 상태 토큰과 같은 기타 정보를 식별합니다. 이는 디바이스의 상태(예: 정상 여부)를 나타냅니다.

ClearPass 인증 테이블의 사용자 인증 항목

방화벽의 IP 주소가 ClearPass 인증 테이블 항목의 사용자 이름 및 해당 그룹에 연결되기 때문에 보안 정책에서 사용자 이름 또는 그룹 이름을 사용하여 사용자를 식별할 수 있으며 사용되는 디바이스의 IP 주소에 직접 의존하지 않을 수 있습니다. ClearPass 인증 테이블의 각 사용자 인증 항목에 대해 그룹 목록은 사용자가 속한 그룹과 함께 디바이스의 상태를 나타내는 상태 토큰과 같은 기타 정보를 식별합니다. 이는 디바이스의 상태(예: 정상 여부)를 나타냅니다. ClearPass 인증은 인증 테이블에 사용자 ID 및 인증 항목이 있는 각 사용자에 대해 최대 2048개의 인증 세션을 관리합니다.

각 사용자 항목의 경우, 항목의 그룹 또는 역할 수는 200을 초과할 수 없습니다. 용량에 도달하면 추가 역할이 삭제되고 다음 syslog 메시지가 전송됩니다.

CPPM은 사용자 정보를 다음 형식으로 디바이스에 게시합니다. 디바이스는 이 정보를 모두 사용하지 않습니다.

다음은 사용자에 대한 ClearPass 인증 테이블 항목의 형식이며, 예제 항목과 해당 구성 요소에 대한 설명이 이어집니다.

다음 예에서 사용자는 human-resources-grp 그룹과 posure-healthy 그룹의 두 그룹에 속합니다. 방화벽은 CPPM의 상태 정보를 그룹 이름으로 변환합니다. 디바이스가 상태 정상 그룹(역할)에 속하는 경우 모든 사용자가 마케팅 서버에 액세스할 수 있도록 허용하는 보안 정책을 구성할 수 있습니다.

• IP 주소

  사용된 디바이스의 IP 주소입니다.

• 사용자가 속한 도메인의 이름입니다.

  이 예에서 도메인 이름은 "my-company-domain"입니다. 도메인 이름이 제공되지 않은 경우 기본 도메인 이름 GLOBAL이 사용됩니다.

• 사용자 이름

  사용자 이름은 네트워크에 연결하는 데 사용되는 사용자의 로그인 이름이며, 이 예에서는 lin입니다.

  이 이름은 사용되는 디바이스에 관계없이 일정합니다.

  source-identity 튜플이 사용된 디바이스의 IP 주소가 아닌 사용자 이름 또는 그룹 이름으로 트래픽 소스를 식별하는 보안 정책을 구성할 경우, 보안 정책이 디바이스에 독립적인 것과 같습니다. 이는 사용하는 디바이스에 관계없이 사용자의 활동에 적용됩니다.

• 사용자가 속한 하나 이상의 그룹

  여기에서 이해 집단 의 개념과 보안 정책과의 관계가 작용합니다. 관심 있는 그룹은 보안 정책에서 참조되는 그룹입니다. 관심 그룹의 개념은 이 항목의 뒷부분에서 다룹니다.

사용자가 여러 디바이스를 사용하여 네트워크에 연결된 경우 해당 사용자에 대해 둘 이상의 IP-사용자 매핑이 있을 수 있습니다. 각 매핑에는 사용자 이름 및 IP 주소와 함께 고유한 값 집합(즉, 도메인 이름 및 그룹 목록)이 있습니다.

예를 들어, 세 개의 개별 디바이스를 사용하여 네트워크에 연결된 사용자 abe에 대해 다음 세 가지 IP 주소-사용자 이름 매핑이 존재할 수 있습니다.

방화벽이 110.208.132.23, abe에 대한 로그아웃 메시지를 수신한다고 가정해봅시다. 다음 부분 사용자 인증 항목은 사용자 abe가 현재 두 개의 디바이스만 사용하여 네트워크에 로그인했음을 보여줍니다.

2048개 이상의 세션이 ClearPass 인증 테이블의 단일 인증 항목과 연결된 경우 ClearPass의 Active Directory는 오버플로를 일으킨 세션을 관리하지 않습니다. 따라서 해당 세션에 대한 세션 닫기 로그에 보고된 해당 세션에 대한 사용자 식별 정보가 없습니다.

Aruba ClearPass의 시간 초과 설정이란 무엇입니까?

Aruba ClearPass 인증 테이블의 인증 항목에는 항목이 만료되는 시간 제한 값이 포함되어 있습니다. 유효하지 않은 인증 항목에 특정한 시간초과 설정을 구성하여 사용자 유효성을 검사하기 전에 인증 테이블의 유효하지 않은 인증 항목이 만료되지 않도록 보호할 수 있습니다. 잘못된 인증 항목 제한시간 설정은 유효한 항목에 적용되는 공통 인증 항목 제한시간 설정과 다릅니다.

ClearPass 기능의 경우, 인증되지 않은 사용자가 네트워크에 연결을 시도할 때 사용자 디바이스의 IP 주소를 찾을 수 없는 경우, 즉 패킷 포워딩 엔진에 없는 경우 디바이스는 Aruba ClearPass에 사용자 정보를 쿼리합니다. 쿼리가 실패하면 시스템은 사용자에 대한 유효하지 않은 인증 항목을 생성합니다. 잘못된 시간 제한 설정에 대한 값을 구성하는 경우, 해당 시간 제한이 항목에 적용됩니다. 잘못된 항목 시간 제한을 구성하지 않으면 기본 시간 제한인 30분이 새 항목에 적용됩니다. 유효하지 않은 항목 제한시간은 상태가 유효 또는 보류 중에서 유효하지 않음으로 변경된 항목에도 적용됩니다.

Aruba ClearPass의 시간 초과 설정은 어떻게 작동합니까?

다음 명령을 사용하여 ClearPass 인증 테이블의 항목에 대해 잘못된 인증 항목 시간 제한을 구성합니다. 여기서 ClearPass 인증 테이블의 잘못된 인증 항목은 생성된 후 22분 후에 만료됩니다.

• ClearPass에 대한 잘못된 인증 항목 시간 제한 값을 처음 구성할 때 구성 후 생성된 모든 잘못된 인증 항목에 적용됩니다. 그러나 기존의 모든 유효하지 않은 인증 항목은 기본 타임아웃인 30분을 유지합니다.

• 무효 인증 항목 시간 제한 설정을 구성하지 않으면 모든 무효 인증 항목에 기본 시간 제한인 30분이 적용됩니다.

  무효 인증 항목 시간 초과 설정을 구성하고 나중에 삭제하면 삭제 후 생성된 새 무효 인증 항목에 기본값이 적용됩니다. 그러나 이전에 구성된 값이 적용된 기존의 잘못된 인증 항목은 해당 값을 유지합니다.

• 유효하지 않은 인증 항목 제한시간 값에 대한 설정을 변경하는 경우, 값이 변경된 후 작성된 모든 유효하지 않은 인증 항목에 새 값이 적용됩니다. 그러나 기존의 모든 유효하지 않은 인증 항목은 적용된 이전의 유효하지 않은 인증 항목 제한 설정을 유지합니다. 이전에 기본값인 30분이 적용된 항목에는 해당 설정이 유지됩니다.

• 항목의 보류 중 또는 유효한 상태가 무효로 변경되면 무효 인증 항목 제한시간 설정이 적용됩니다.

  유효하지 않은 인증 항목의 상태가 보류 중 또는 유효으로 변경되면 유효하지 않은 인증 항목 제한시간 설정이 더 이상 적용되지 않습니다. 공통 인증 항목 시간 초과에 대해 설정된 시간 제한 값이 적용됩니다.

  표 7: ClearPass 인증 테이블의 잘못된 항목에 대한 잘못된 인증 시간 초과

  잘못된 입력 시간 초과 설정	초기 잘못된 입력 시간 제한 설정	경과 시간	새 잘못된 항목 시간 초과 구성 설정	기존 유효하지 않은 항목에 대한 최종 시간 제한 설정
  새 잘못된 인증 항목			50	50
  기존의 유효하지 않은 입력 시간 제한	20	5	50	15
  기존의 유효하지 않은 입력 시간 제한	0	40	20	0
  기존의 유효하지 않은 입력 시간 제한	40	20	0	20