802.1X 인증

802.1X 인증 작동 방식

802.1X 인증은 인증 요청자의 자격 증명이 제시되고 인증 서버(RADIUS 서버)에서 일치할 때까지 포트에서 인증 요청자(종단 디바이스)의 수신 트래픽을 차단하기 위해 인증자 포트 액세스 엔터티(스위치)를 사용하여 실행됩니다. 인증되면 스위치가 트래픽 차단을 중단하고 인증 요청자에 대한 포트를 개방합니다.

종단 디바이스는 single supplicant 모드, single-secure supplicant 모드 또는 multiple supplicant 모드에서 지원됩니다.

• single supplicant—첫 번째 종단 디바이스만 인증합니다. 나중에 포트에 연결하는 다른 모든 종단 디바이스는 추가 인증 없이 모든 권한이 허용되며, 첫 번째 종단 디바이스의 인증 시 효과적으로 피기백합니다.

• single-secure supplicant—하나의 종단 디바이스만 포트에 연결할 수 있습니다. 첫 번째 디바이스가 로그아웃할 때까지 다른 종단 디바이스가 연결할 수 없습니다.

• multiple supplicant—여러 개의 종단 디바이스를 포트에 연결할 수 있습니다. 각각의 종단 디바이스는 개별적으로 인증됩니다.

네트워크 액세스는 VLAN 및 방화벽 필터를 사용하여 추가로 정의할 수 있습니다. 두 가지 모두 종단 디바이스 그룹을 분리하고 필요한 LAN 영역으로 일치시키는 필터 역할을 합니다. 예를 들어, 다음에 따라 다양한 범주의 인증 실패를 처리하도록 VLAN을 구성할 수 있습니다.

• 종단 디바이스의 802.1X 지원 여부.

• 호스트가 연결된 스위치 인터페이스에서 MAC RADIUS 인증 구성 여부.

• RADIUS 인증 서버를 사용할 수 없는지, 또는 RADIUS access-reject 메시지를 전송하는지 여부. RADIUS 서버 장애 복구 구성(CLI 절차)을 참조하십시오.

802.1X 기능 개요

다음 802.1X 기능은 주니퍼 네트웍스 이더넷 스위치에서 지원됩니다.

• Guest VLAN—호스트가 연결된 스위치 인터페이스에서 MAC RADIUS 인증이 구성되지 않으면 802.1X가 활성화되지 않은 비응답 종단 디바이스의 경우 LAN(일반적으로 인터넷에만)에 제한된 액세스를 제공합니다. 또한 guest VLAN은 게스트 사용자에게 LAN에 대한 제한된 액세스를 제공하는 데 사용될 수 있습니다. 일반적으로 guest VLAN은 인터넷과 다른 게스트의 종단 디바이스에 대해서만 액세스를 제공합니다.

• Server-reject VLAN—802.1X가 활성화되었지만 잘못된 자격 증명을 전송한 응답형 종단 디바이스의 경우 LAN(일반적으로 인터넷에만)에 대한 제한된 액세스를 제공합니다. server-reject VLAN을 사용하여 인증된 종단 디바이스가 IP 전화인 경우, 음성 트래픽은 허용되지 않습니다.

• Server-fail VLAN—RADIUS 서버 시간 제한 중인 802.1X 종단 디바이스의 경우 LAN(일반적으로 인터넷에만)에 대한 제한된 액세스를 제공합니다.

• 동적 VLAN—인증 후 종단 디바이스가 동적으로 VLAN의 구성원이 되도록 활성화합니다.

• 프라이빗 VLAN—프라이빗 VLAN(PVLAN)의 구성원인 인터페이스에서 802.1X 인증 구성을 활성화합니다.

• 사용자 세션에 대한 동적 변경—스위치 관리자가 이미 인증된 세션을 종료할 수 있도록 활성화합니다. 이 기능은 RFC 3576에 정의된 RADIUS Disconnect Message 지원을 기반으로 합니다.

• VoIP VLAN—IP 전화를 지원합니다. IP 전화에서 음성 VLAN의 구현은 공급업체에 따라 다릅니다. 전화기에 802.1X가 활성화되어 있는 경우, 다른 인증 요청자처럼 인증됩니다. 전화기가 802.1X를 지원하지 않지만 데이터 포트에 연결된 다른 802.1X 호환 디바이스가 있는 경우, 해당 디바이스가 인증되면 전화기에서 VoIP 트래픽이 오고 갈 수 있습니다(인터페이스가 single-secure supplicant 모드가 아닌 single supplicant 모드에서 구성된 경우).

  주:

  프라이빗 VLAN(PVLAN) 인터페이스에서 VoIP VLAN 구성은 지원되지 않습니다.

• RADIUS 어카운팅—RADIUS 어카운팅 서버에 어카운팅 정보를 전송합니다. 어카운팅 정보는 가입자가 로그인하거나 로그아웃할 때마다, 그리고 가입자가 구독을 활성화하거나 비활성화할 때마다 서버로 전송됩니다.

• 802.1X에 대한 RADIUS 서버 속성—Juniper-Switching-Filter은(는) 802.1X 인증 프로세스 중에 인증 요청자의 액세스를 추가로 정의하기 위해 RADIUS 서버에 구성할 수 있는 벤더 고유 속성(VSA)입니다. 인증 서버 중앙에서 속성을 구성하면 인증 요청자가 LAN에 연결할 수 있는 LAN의 모든 스위치에서 방화벽 필터의 형태로 이러한 속성을 구성할 필요가 없습니다. 이 기능은 RLI 4583, AAA RADIUS BRAS VSA 지원을 기반으로 합니다.

802.1X가 활성화되지 않은 디바이스를 인증하기 위해 다음과 같은 기능이 지원됩니다.

• 정적 MAC 바이패스—802.1X가 활성화되지 않은 디바이스(예: 프린터)를 인증하기 위해 바이패스 메커니즘을 제공합니다. 정적 MAC 바이패스는 802.1X 인증을 우회하여 이러한 디바이스를 802.1X 지원 포트에 연결합니다.

• MAC RADIUS 인증—802.1X가 활성화되지 않는 호스트가 LAN에 액세스할 수 있는 수단을 제공합니다. MAC-RADIUS는 클라이언트의 MAC 주소를 사용자 이름과 암호로 사용하여 클라이언트 디바이스의 인증 요청자 기능을 시뮬레이션합니다.

트렁크 포트의 802.1X 인증

Junos OS 릴리스 18.3R1부터 트렁크 인터페이스에서 802.1X 인증을 구성할 수 있어 NAS(네트워크 액세스 디바이스)가 AP(액세스 포인트)나 연결된 다른 레이어 2 디바이스를 인증할 수 있습니다. 네트워크 액세스 서버(NAS)에 연결된 AP 또는 스위치는 여러 개의 VLAN을 지원하므로 트렁크 포트에 연결해야 합니다. 트렁크 인터페이스에서 802.1X 인증을 활성화하면 공격자가 AP 연결을 중단시키고 노트북에 연결하여 구성된 모든 VLAN의 네트워크에 자유롭게 액세스할 수 있는 보안 위협으로부터 NAS를 보호합니다.

트렁크 인터페이스에서 802.1X 인증을 구성할 때 다음과 같은 주의 사항을 참조하십시오.

• 트렁크 인터페이스에서는 single 맟 single-secure supplicant 모드만 지원됩니다.

• 트렁크 인터페이스에서 802.1X 인증을 로컬로 구성해야 합니다. set protocol dot1x interface all 명령을 사용하여 802.1X 인증을 전역으로 구성하는 경우 트렁크 인터페이스에 구성이 적용되지 않습니다.

• 동적 VLAN은 트렁크 인터페이스에서 지원되지 않습니다.

• Guest VLAN 및 server-reject VLAN은 트렁크 인터페이스에서 지원되지 않습니다.

• VoIP 클라이언트에 대한 서버 장애 복구는 트렁크 인터페이스에서 지원되지 않습니다(server-fail-voip).

• 캡티브 포털을 사용한 트렁크 포트의 인증은 지원되지 않습니다.

• 트렁크 포트 인증은 집계된 인터페이스에서 지원되지 않습니다.

• 프라이빗 VLAN(PVLAN)의 구성원인 인터페이스의 802.1X 인증 구성은 트렁크 포트에서 지원되지 않습니다.

레이어 3 인터페이스의 802.1X 인증

Junos OS 릴리스 20.2R1부터 레이어 3 인터페이스에서 802.1X 인증을 구성할 수 있습니다. 레이어 3 인터페이스에서 802.1X 인증을 구성할 때 다음과 같은 주의 사항을 참조하십시오.

• EAP 가능 클라이언트만 지원됩니다.

• single supplicant 모드만 지원됩니다.

• 레이어 3 인터페이스에서 802.1X 인증을 로컬로 구성해야 합니다. set protocol dot1x interface all 명령을 사용하여 802.1X 인증을 전역으로 구성하는 경우, 레이어 3 인터페이스에 구성이 적용되지 않습니다.

• 레이어 3 인터페이스에 대한 지원에는 IRB 또는 하위 인터페이스가 포함되지 않습니다.

• Guest VLAN, server-reject VLAN, server-fail VLAN은 지원되지 않습니다.

• VoIP 클라이언트에 대한 서버 장애 복구는 지원되지 않습니다(server-fail-voip).

• 레이어 3 인터페이스에서 인증된 클라이언트에 대한 RADIUS access-accept 또는 COA 메시지의 일부로, 인증 서버에서 허용되는 속성은 다음과 같습니다.

  • User-Name

  • Session-Timeout

  • Calling-Station-ID

  • Acct-Session-ID

  • NAS-Port-Id

  • Port-Bounce

레이어 2 인터페이스의 802.1X 인증

Junos OS Evolved 릴리스 22.3R1부터 레이어 2 인터페이스에서 802.1X 인증을 구성할 수 있습니다. 레이어 2 인터페이스의 802.1X 인증 시 다음에 주의하십시오.

• 다음 기능이 지원되지 않습니다.

  • Guest VLAN, server-reject VLAN, server-fail VLAN

  • VoIP 클라이언트에 대한 서버 장애 복구(server-fail-voip)

  • 동적 VLAN

  • 캡티브 포털 및 CWA(Central Web Authentication)를 사용한 레이어 2 인터페이스 인증

• 레이어 2 인터페이스에서 인증된 클라이언트에 대한 RADIUS access-accept 또는 COA 메시지의 인증 서버에서 지원되지 않는 속성:

  • Ip-Mac-Session-Binding

  • Juniper-CWA-Redirect

  • Juniper-Switching-Filter

  • Filter-Id

  • Tunnel-Medium-Type

  • Juniper-VoIP-VLAN

  • Egress-VLAN-Name

  • Egress-VLAN-ID

  • Tunnel-Type

  • Tunnel-Private-Group-Id

• IRB가 브리지 도메인에 있는 경우, 802.1x 지원 포트는 사용자가 인증되지 않은 경우에도 single-secure 및 multiple supplicant 모드에 대해 라우팅된 트래픽이 손실되지 않습니다. 레이어 2 인터페이스의 802.1x 지원 포트는 single supplicant 모드 구성에 대해서만 라우팅된 트래픽이 손실됩니다.

메시지 연결 해제

RADIUS 서버는 사용자 세션을 종료하고 관련된 모든 세션 컨텍스트를 삭제하기 위해 스위치에 연결 해제 요청 메시지를 보냅니다. 스위치는 요청이 성공한 경우 즉, 연결된 모든 세션 컨텍스트가 삭제되고 사용자 세션이 더 이상 연결되지 않는 경우 Disconnect-ACK 메시지로 Disconnect-Request 패킷에 응답합니다. 요청이 실패한 경우, 즉 인증자가 세션의 연결을 끊고 모든 연결을 취소할 수 없는 경우 Disconnect-NAK 패킷으로 응답합니다. 세션 컨텍스트를 편집합니다.

Disconnect-Request 메시지에서 RADIUS 특성은 스위치(NAS)와 사용자 세션을 고유하게 식별하는 데 사용됩니다. 메시지에 포함된 NAS 식별 특성과 세션 식별 특성의 조합은 요청이 성공하려면 적어도 하나의 세션과 일치해야 합니다. 그렇지 않으면 스위치가 Disconnect-NAK 메시지로 응답합니다. Disconnect-Request 메시지는 NAS 및 세션 식별 특성만 포함할 수 있습니다. 다른 특성이 포함된 경우 스위치는 Disconnect-NAK 메시지로 응답합니다.

인증 메시지 변경

CoA(Change of Authorization) 메시지에는 권한 부여 수준을 변경하기 위해 사용자 세션에 대한 권한 부여 특성을 동적으로 수정하기 위한 정보가 포함되어 있습니다. 이는 MAC RADIUS 인증을 사용하여 엔드포인트를 먼저 인증한 다음 장치 유형에 따라 프로파일링하는 2단계 인증 프로세스의 일부로 발생합니다. CoA 메시지는 일반적으로 데이터 필터 또는 VLAN을 변경하여 디바이스에 적합한 시행 정책을 적용하는 데 사용됩니다.

인증 변경이 성공하면 스위치가 CoA-ACK 메시지로 CoA 메시지에 응답하고, 변경이 성공하지 못하면 CoA-NAK 메시지로 응답합니다. CoA-Request 메시지에 지정된 하나 이상의 권한 부여 변경을 수행할 수 없는 경우 스위치는 CoA-NAK 메시지로 응답합니다.

CoA-Request 메시지에서 RADIUS 속성은 스위치(NAS 역할)와 사용자 세션을 고유하게 식별하는 데 사용됩니다. 메시지에 포함된 NAS 식별 특성과 세션 식별 특성의 조합은 요청이 성공하려면 적어도 하나의 세션의 식별 특성과 일치해야 합니다. 그렇지 않으면 스위치가 CoA-NAK 메시지로 응답합니다.

CoA-Request 패킷에는 요청이 수락될 경우 수정되는 세션 인증 속성도 포함됩니다. 지원되는 세션 권한 부여 특성은 아래에 나열되어 있습니다. CoA 메시지는 이러한 속성의 일부 또는 전부를 포함할 수 있습니다. 특성이 CoA-Request 메시지의 일부로 포함되지 않은 경우, NAS는 해당 특성의 값이 변경되지 않은 상태로 유지된다고 가정합니다.

• Filter-ID

• Tunnel-Private-Group-ID

• Juniper-Switching-Filter

• Juniper-VoIP-VLAN

• Session-Timeout

CoA 요청 포트 바운스

인증된 호스트의 VLAN을 변경하는 데 CoA 메시지가 사용되는 경우 프린터와 같은 엔드 디바이스에는 VLAN 변경을 감지하는 메커니즘이 없으므로 새 VLAN의 DHCP 주소에 대한 리스를 갱신하지 않습니다. Junos OS 릴리스 17.3부터는 포트 바운스 기능을 사용하여 인증된 포트에 링크 플랩을 발생시켜 엔드 디바이스가 DHCP 재협상을 시작하도록 할 수 있습니다.

포트를 바운스하는 명령은 Juniper Networks VSA(Vendor-Specific Attribute)를 사용하여 RADIUS 서버에서 전송됩니다. RADIUS 서버로부터 CoA 메시지에 다음 VSA attribute-value 쌍이 수신되면 포트가 바운스됩니다.

• Juniper-AV-Pair = “Port-Bounce”

포트 바운스 기능을 사용하려면 RADIUS 서버의 Junos 사전 파일(juniper.dct)을 Juniper-AV-Pair VSA로 업데이트해야 합니다. 사전 파일을 찾고 다음 텍스트를 파일에 추가합니다.

VSA 추가에 대한 자세한 내용은 FreeRADIUS 설명서를 참조하십시오.

[edit protocols dot1x authenticator interface interface-name] 계층 수준에서 ignore-port-bounce문을 구성하여 기능을 비활성화할 수 있습니다.

Error-Cause 코드

연결 끊기 또는 CoA 작업이 성공하지 못한 경우, NAS가 서버로 보내는 응답 메시지에 오류 원인 속성(RADIUS 속성 101)을 포함하여 문제의 원인에 대한 세부 정보를 제공할 수 있습니다. 탐지된 오류가 지원되는 오류 원인 특성 값 중 하나에 매핑되지 않으면 라우터는 오류 원인 특성 없이 메시지를 보냅니다. NAS에서 전송되는 응답 메시지에 포함될 수 있는 오류 원인 코드에 대한 설명은 표 1을(를) 참조하십시오.

목적

모니터링 기능을 사용하여 인증된 사용자와 인증에 실패한 사용자의 세부 정보를 표시합니다.

작업

J-Web 인터페이스에 인증 세부 정보를 표시하려면 Monitoring> Security> 802.1X을(를) 선택해야 합니다.

CLI에 인증 세부 정보를 표시하려면 다음 명령을 입력해야 합니다.

• show dot1x interface detail | display xml

• show dot1x interface detail <interface> | display xml

• show dot1x auth-failed-users

의미

표시된 세부 정보는 다음과 같습니다.

• 인증된 사용자 목록.

• 연결된 사용자의 수.

• 인증에 실패한 사용자 목록.

세부 정보를 표시해야 하는 인터페이스를 지정할 수도 있습니다.

목적

802.1X 인증용으로 구성된 인터페이스가 있는 스위치의 인터페이스에서 신청자가 인증되고 있는지 확인하고 사용 중인 인증 방법을 표시합니다.

작업

802.1X용으로 구성된 인터페이스에 대한 상세 정보를 표시합니다(여기에서 인터페이스가 ge-0/0/16임).

의미

show dot1x interface detail 명령의 샘플 출력은 Number of connected supplicants이(가) 1임을 보여줍니다. 인증되어 현재 LAN에 연결된 신청자는 RADIUS 서버에서 user5로 알려져 있으며 MAC 주소는 00:30:48:8C:66:BD입니다. 신청자는 출력에서 에 표시된 대로, Radius RADIUS 인증이라는 802.1X 인증 방법을 통해 인증되었습니다. RADIUS 인증이 사용되면 신청자가 RADIUS 서버에서 구성되고, RADIUS 서버는 이를 스위치에 전달하며, 스위치가 신청자가 연결된 인터페이스에서 LAN 액세스를 엽니다. 또한 샘플 출력은 신청자가 VLAN v200에 연결되어 있음을 보여줍니다.

RADIUS 인증 외에 EX 시리즈 스위치에서 지원되는 다른 802.1X 인증 방법은 다음과 같습니다.

• Guest VLAN—비응답 호스트에는 Guest-VLAN 액세스 권한이 부여됩니다.

• MAC Radius—비응답 호스트는 해당 MAC 주소를 기반으로 인증됩니다. MAC 주소는 RADIUS 서버에서 허용되는 것으로 구성되고, RADIUS 서버는 MAC 주소가 허용된 주소임을 스위치에 알리며, 스위치는 연결된 인터페이스에 있는 비응답 호스트에 LAN 액세스 권한을 부여합니다.

• Server-fail deny—RADIUS 서버의 시간이 초과하면, 모든 신청자는 LAN에 대한 액세스가 거부되어 신청자의 트래픽이 인터페이스를 통해 트래버스하지 못합니다. 이는 기본 설정입니다.

• Server-fail permit—RADIUS 서버를 사용할 수 없을 때, 신청자가 RADIUS 서버에서 성공적으로 인증된 것처럼 신청자는 여전히 LAN에 액세스할 수 있습니다.

• Server-fail use-cache—재인증 중에 RADIUS 서버의 시간이 초과하면 이전에 인증된 신청자에게는 LAN 액세스 권한이 부여되지만 새로운 신청자는 LAN 액세스가 거부됩니다.

• Server-fail VLAN—요청자를 재인증하기 위해 RADIUS 서버를 사용할 수 없는 경우 신청자는 지정된 VLAN으로 이동하도록 구성됩니다. (VLAN이 스위치에 이미 존재해야 합니다.)

문제

원인

정적 MAC 주소는 인터페이스에서 학습한 다른 MAC 주소와 동일하게 처리됩니다. 삭제 dot1x 인터페이스 명령이 실행되면 인터페이스에서 정적 MAC 바이패스 목록(배제 목록이라고도 함)을 포함하여 학습한 모든 MAC 주소가 삭제됩니다.

솔루션

인증 바이패스를 위해 구성된 정적 MAC 주소가 있는 인터페이스에 대해 삭제 dot1x 인터페이스 명령을 실행하면 정적 MAC 바이패스 목록에 정적 MAC 주소를 다시 추가해야 합니다.