원격 액세스 VPN 생성—Juniper Secure Connect

현재 위치: 네트워크 > VPN > IPsec VPN.

Juniper Secure Connect는 네트워크 리소스에 대한 보안 연결을 제공하는 주니퍼의 클라이언트 기반 SSL-VPN 솔루션입니다.

Juniper Secure Connect는 사용자가 인터넷을 사용하여 기업 네트워크 및 리소스에 원격으로 연결할 수 있는 안전한 원격 액세스를 제공합니다. Juniper Secure Connect는 SRX 서비스 디바이스에서 구성을 다운로드하고 연결 설정 중에 가장 효과적인 전송 프로토콜을 선택하여 뛰어난 관리자 및 사용자 경험을 제공합니다.

Juniper Secure Connect를 위한 원격 액세스 VPN을 생성하려면 다음을 수행합니다.

IPsec VPN 페이지의 오른쪽 상단에서 Create VPN > Remote Access > Juniper Secure Connect 를 선택합니다.

원격 액세스 생성(Juniper Secure Connect) 페이지가 나타납니다.

참고:
Junos OS 릴리스 23.2R1부터 Juniper Secure Connect VPN을 생성하거나 편집할 때 Junos-ike 패키지가 이미 설치된 경우 ike-user-type은 group-ike-id입니다. 이렇게 하면 다중 장치 액세스를 활성화하는 데 도움이 됩니다. SRX300 방화벽 제품군 및 SRX550HM 방화벽에는 지원되지 않습니다.
표 1 - 표 6에 제공된 지침에 따라 구성을 완료합니다.

토폴로지에서 VPN 연결이 회색 선에서 파란색 선으로 변경되어 구성이 완료되었음을 나타냅니다.
자동 정책 생성 옵션을 선택한 경우 저장을 클릭하여 Secure Connect VPN 구성 및 관련 정책을 완료합니다.

변경 내용을 취소하려면 취소를 클릭합니다.

표 1: 원격 액세스 생성(Juniper Secure Connect) 페이지의 필드
필드	작업
이름	원격 액세스 연결의 이름을 입력합니다. 이 이름은 Juniper Secure Connect 클라이언트에서 최종 사용자 영역 이름으로 표시됩니다.
설명	설명을 입력합니다. 이 설명은 IKE(Internet Key Exchange) 및 IPsec 제안, 정책, 원격 액세스 프로필, 클라이언트 구성 및 NAT 규칙 집합에 사용됩니다. 편집하는 동안 IPsec 정책 설명이 표시됩니다. IPsec 정책 및 원격 액세스 프로필 설명이 업데이트됩니다.
라우팅 모드	이 옵션은 원격 액세스에 대해 비활성화되어 있습니다. 기본 모드는 트래픽 선택기(자동 경로 삽입)입니다.
인증 방법	디바이스가 IKE(Internet Key Exchange) 메시지 소스를 인증하는 데 사용하는 인증 방법을 목록에서 선택합니다. EAP-MSCHAPv2(사용자 이름 및 암호) - RADIUS 서버에서 확인한 사용자 계정 자격 증명(외부 사용자 인증용)을 사용하여 네트워크 액세스를 인증합니다. EAP-TLS(인증서) - EAP 내에서 TLS 공개 키 인증서 인증 메커니즘을 사용하여 상호 클라이언트-서버 및 서버-클라이언트 인증을 제공합니다. EAP-TLS를 사용하면 클라이언트와 서버 모두 신뢰할 수 있는 CA(인증 기관)에서 서명한 디지털 인증서를 할당해야 합니다. 참고: Junos OS 릴리스 23.1R1부터 Juniper Secure Connect > Remote User에서 EAP-TLS를 사용할 수 없습니다. 사전 공유 키(사용자 이름 및 비밀번호) - 두 피어 간에 공유되는 비밀 키로, 인증 중에 피어를 서로 식별하는 데 사용됩니다. 참고: Junos OS 릴리스 23.2R1부터 Juniper Secure Connect VPN을 생성하거나 편집할 때 ike-user-type은 group-ike-id입니다. 이렇게 하면 다중 장치 액세스를 활성화하는 데 도움이 됩니다. SRX300 방화벽 제품군 및 SRX550HM 방화벽에는 지원되지 않습니다.
방화벽 정책 자동 생성	Yes(예)를 선택하면 로컬 보호 네트워크를 소스 주소로, 원격 보호 네트워크를 대상 주소로 사용하여 내부 영역과 터널 인터페이스 영역 간에 방화벽 정책이 자동으로 생성됩니다. 그 반대로 다른 방화벽 정책이 생성됩니다. 아니요를 선택하면 방화벽 정책 옵션이 없습니다. 이 VPN이 작동하려면 필요한 방화벽 정책을 수동으로 생성해야 합니다. 참고: VPN 워크플로에서 방화벽 정책을 자동으로 생성하지 않으려는 경우, 로컬 및 원격 게이트웨이 모두에서 동적 라우팅을 위해 보호된 네트워크가 숨겨집니다.
원격 사용자	토폴로지에 원격 사용자 아이콘을 표시합니다. 아이콘을 클릭하여 Juniper Secure Connect 클라이언트 설정을 구성합니다. 필드에 대한 자세한 정보는 표 2의 내용을 참조하십시오. 참고: Junos OS 23.1R1 릴리스부터 연결 프로파일이 구성된 경우 J-Web은 원격 사용자를 FQDN 또는 FQDN/Realm 형식으로 표시합니다. 구성되지 않은 경우, J-Web은 외부 인터페이스 IP(기본 프로필의 경우) 또는 외부 인터페이스 IP/VPN-Name(비기본 프로필의 경우)을 표시합니다.
로컬 게이트웨이	토폴로지에 로컬 게이트웨이 아이콘을 표시합니다. 아이콘을 클릭하여 로컬 게이트웨이를 구성합니다. 필드에 대한 자세한 정보는 표 3의 내용을 참조하십시오.
IKE(Internet Key Exchange) 및 IPsec 설정	사용자 지정 IKE(Internet Key Exchange) 또는 IPsec 제안과 권장 알고리즘 또는 값을 사용하여 사용자 지정 IPsec 제안을 구성합니다. 필드에 대한 자세한 정보는 표 6의 내용을 참조하십시오. 참고: J-Web은 단 하나의 커스텀 IKE(Internet Key Exchange) 제안만 지원하며 사전 정의된 제안 세트는 지원하지 않습니다. 편집 및 저장 시 J-Web은 구성된 경우 사전 정의된 제안 세트를 삭제합니다. VPN 터널의 원격 게이트웨이에서 동일한 사용자 지정 제안 및 정책을 구성해야 합니다. 편집 시 J-Web은 하나 이상의 사용자 지정 제안이 구성될 때 첫 번째 사용자 지정 IKE 및 IPsec 제안을 표시합니다.

표 2: 원격 사용자 페이지의 필드
필드	작업
기본 프로필	구성된 VPN 이름을 원격 액세스 기본 프로필로 사용하려면 이 옵션을 사용하도록 설정합니다. 참고: Junos OS 23.1R1 릴리스부터 기본 프로필은 J-Web에서 더 이상 사용되지 않습니다. 원격 액세스 VPN의 VPN > Global Settings(전역 설정) >> Global Settings(원격 액세스 VPN)에서 기본 프로파일이 구성된 경우 필드에 구성된 값이 표시됩니다
연결 모드	목록에서 다음 옵션 중 하나를 선택하여 Juniper Secure Connect 클라이언트 연결을 설정합니다. Manual(수동) - 로그인할 때마다 VPN 터널에 수동으로 연결해야 합니다. 항상—로그인할 때마다 VPN 터널에 자동으로 연결됩니다. 기본 연결 모드는 수동입니다.
SSL VPN	Juniper Secure Connect 클라이언트에서 SRX 시리즈 방화벽으로 SSL VPN 연결을 설정하려면 이 옵션을 활성화합니다. 기본적으로 이 옵션은 사용하도록 설정되어 있습니다. 참고: IPsec 포트에 연결할 수 없는 경우의 대체 옵션입니다.
생체 인증	이 옵션을 활성화하면 고유하게 구성된 방법을 사용하여 클라이언트 시스템을 인증할 수 있습니다. 클라이언트 시스템에 연결할 때 인증 프롬프트가 표시됩니다. VPN 연결은 Windows Hello 에 대해 구성된 방법(지문 인식, 얼굴 인식, PIN 입력 등)을 통해 인증에 성공한 후에만 시작됩니다. 생체 인식 인증 옵션을 사용하는 경우 클라이언트 시스템에서 Windows Hello를 미리 구성해야 합니다.
Dead Peer Detection(데드 피어 탐지)	DPD(Dead Peer Detection) 옵션을 활성화하면 Juniper Secure Connect 클라이언트가 SRX 시리즈 방화벽에 연결할 수 있는지 감지할 수 있습니다. SRX 시리즈 방화벽 연결 연결이 복원될 때까지 Juniper Secure Connect 클라이언트가 감지할 수 있도록 하려면 이 옵션을 비활성화합니다. 이 옵션은 기본적으로 활성화되어 있습니다.
DPD 간격	피어가 DPD(Dead Peer Detection) 요청 패킷을 보내기 전에 대상 피어의 트래픽을 기다리는 시간을 입력합니다. 범위는 2초에서 60초까지이며 기본값은 60초입니다.
DPD 임계값	피어를 사용할 수 없는 것으로 간주하기 전에 전송할 최대 DPD(Dead Peer Detection) 요청 실패 횟수를 입력합니다. 범위는 1에서 5까지이며 기본값은 5입니다.
인증서	인증서를 활성화하여 Secure Client Connect에서 인증서 옵션을 구성합니다. 참고: 이 옵션은 EAP-TLS(인증서) 인증 방법을 선택한 경우에만 사용할 수 있습니다.
만료 경고	Secure Connect 클라이언트에 인증서 만료 경고를 표시하려면 이 옵션을 사용으로 설정합니다. 이 옵션은 기본적으로 활성화되어 있습니다. 참고: 이 옵션은 인증서를 사용하도록 설정한 경우에만 사용할 수 있습니다.
경고 간격	경고를 표시할 간격(일)을 입력합니다. 범위는 1에서 90까지입니다. 기본값은 60입니다. 참고: 이 옵션은 인증서를 사용하도록 설정한 경우에만 사용할 수 있습니다.
연결당 핀 요구 사항	연결 시 인증서 PIN을 입력하려면 이 옵션을 활성화합니다. 이 옵션은 기본적으로 활성화되어 있습니다. 참고: 이 옵션은 인증서를 사용하도록 설정한 경우에만 사용할 수 있습니다.
사용자 이름 저장	Junos OS 릴리스 22.1R1부터 이 옵션을 활성화하여 원격 사용자 이름을 저장할 수 있습니다.
비밀번호 저장	Junos OS 릴리스 22.1R1부터 이 옵션을 활성화하여 원격 사용자 이름과 암호를 모두 저장할 수 있습니다.
Windows 로그온	사용자가 Windows 시스템에 로그온하기 전에 Windows 도메인에 안전하게 로그온할 수 있도록 하려면 이 옵션을 사용 가능으로 설정합니다. 클라이언트는 회사 네트워크에 대한 VPN 연결을 설정한 후 자격 증명 서비스 공급자를 사용하여 도메인 로그온을 지원합니다.
도메인 이름	사용자 시스템이 기록하는 시스템 도메인 이름을 입력합니다.
모드	목록에서 다음 옵션 중 하나를 선택하여 Windows 도메인에 로그온합니다. 수동 - Windows 로그온 화면에서 로그온 데이터를 수동으로 입력해야 합니다. 자동 - 클라이언트 소프트웨어는 사용자의 작업 없이 여기에 입력된 데이터를 Microsoft 로그온 인터페이스(자격 증명 공급자)로 전송합니다.
로그오프 시 연결 끊기	이 옵션을 사용하면 시스템이 최대 절전 모드 또는 대기 모드로 전환될 때 연결을 종료할 수 있습니다. 시스템이 최대 절전 모드 또는 대기 모드에서 다시 시작되면 연결을 다시 설정해야 합니다.
로그오프 시 자격 증명 플러시	이 옵션을 활성화하면 캐시에서 사용자 이름과 암호를 삭제할 수 있습니다. 사용자 이름과 암호를 다시 입력해야 합니다.
리드 타임 기간	네트워크 로그온과 도메인 로그온 사이의 시간을 초기화하는 리드 타임 기간을 입력합니다. 연결이 설정된 후 Windows 로그온은 여기에 설정된 초기화 시간이 경과한 후에만 실행됩니다.
EAP 인증	자격 증명 공급자의 대상 대화 상자 전에 EAP 인증을 실행하려면 이 옵션을 사용하도록 설정합니다. 그런 다음 시스템은 후속 전화 접속에 EAP가 필요한지 여부에 관계없이 필요한 PIN을 요청합니다. 이 옵션을 비활성화하면 대상 선택 후 EAP 인증이 실행됩니다.
자동 대화 상자 열기	원격 도메인에 대한 연결 설정을 위해 대화 상자를 자동으로 열어야 하는지 여부를 선택하려면 이 옵션을 사용하도록 설정합니다. 이 옵션을 사용하지 않도록 설정하면 클라이언트의 암호와 PIN은 Windows 로그온 후에만 쿼리됩니다.
다중 장치 액세스	참고: Junos OS 릴리스 23.2R1부터 J-Web은 원격 사용자 페이지에 대한 다중 디바이스 액세스 옵션을 지원합니다. 이 옵션은 SRX300 방화벽 라인 및 SRX550HM 방화벽에는 지원되지 않습니다. 이 옵션을 활성화하면 여러 장치에서 연결할 수 있습니다. 참고: 다중 디바이스 액세스를 사용하려면 junos-ike 패키지가 SRX 시리즈 방화벽에 설치되어 있어야 합니다. SRX 시리즈 방화벽에서 다음 명령을 실행하여 junos-ike 패키지를 설치합니다. request system software add optional: //junos-ike.tgz
응용 프로그램 바이패스	VPN 터널을 우회할 수 있는 애플리케이션, 도메인 또는 둘 다를 구성하려면 이 옵션을 활성화합니다. 그리드 보기에서 구성된 애플리케이션 바이패스 프로파일을 선택할 수 있습니다. 새 응용 프로그램 바이패스 용어를 추가하려면: + 아이콘을 클릭합니다. 다음 세부 정보를 입력합니다. Name(이름) - 용어의 이름을 입력합니다. Description(설명) - 애플리케이션 바이패스 용어 설명을 입력합니다. Protocol(프로토콜) - 목록에서 사용 가능한 프로토콜을 선택합니다. 다음 옵션을 사용할 수 있습니다. TCP 및 UDP - TCP 및 UDP 트래픽을 모두 우회합니다. TCP - TCP 트래픽만 우회합니다. UDP - UDP 트래픽만 우회합니다. 기본적으로 TCP 및 UDP가 선택됩니다. Domain Type(도메인 유형) - 목록에서 사용 가능한 도메인 유형을 선택합니다. 다음 옵션을 사용할 수 있습니다. 포함—모든 도메인 이름(예: abc.com)입니다. FQDN - 도메인 이름에 정규화된 도메인 이름(예: www.abc.com)이 포함됩니다. 와일드카드: 도메인 이름에 하위 도메인(예: .abc.com)이 포함됩니다. 와일드카드를 선택하면 기본적으로 도메인 값 필드에 "." 가 미리 채워집니다. Domain Value(도메인 값) - VPN 터널을 우회할 도메인 이름을 입력합니다. 체크 아이콘을 클릭하여 변경 사항을 저장하고 애플리케이션 바이패스 용어를 생성합니다. X 를 클릭하여 취소합니다. 그리드 위에 있는 편집 아이콘을 클릭하여 애플리케이션 바이패스 용어를 편집하고 삭제 아이콘을 클릭하여 애플리케이션 바이패스 용어를 삭제합니다. 참고: 원격 사용자를 편집할 때 애플리케이션 바이패스를 끄면 원격 사용자 아래에 구성된 애플리케이션 바이패스 용어가 삭제됩니다.
준수	참고: Junos OS 릴리스 23.2R1부터 J-Web은 원격 사용자 페이지에 대한 규정 준수 옵션을 지원합니다. 이 옵션은 SRX300 방화벽 라인 및 SRX550HM 방화벽에는 지원되지 않습니다. 사용자가 로그인하기 전에 VPN 터널을 설정하기 위해 SRX 시리즈 방화벽에서 검증할 규정 준수 규칙을 목록에서 선택합니다. 새 규정 준수 규칙을 만들려면 만들기를 클릭합니다. Create Pre-Logon Compliance(사전 로그온 규정 준수 만들기) 페이지가 나타납니다. 필드 정보는 Create Pre-Logon Compliance를 참조하십시오.

표 3: 로컬 게이트웨이 페이지의 필드
필드	작업
게이트웨이가 NAT 뒤에 있습니다.	로컬 게이트웨이가 네트워크 주소 변환(NAT) 디바이스 뒤에 있는 경우 이 옵션을 활성화합니다.
NAT IP 주소	SRX 시리즈 방화벽의 공용(NAT) IP 주소를 입력합니다. 참고: 이 옵션은 게이트웨이가 NAT 뒤에 있음 이 활성화된 경우에만 사용할 수 있습니다. 네트워크 주소 변환(NAT) 디바이스를 참조하도록 IPv4 주소를 구성할 수 있습니다.
외부 인터페이스	클라이언트가 연결할 발신 인터페이스를 목록에서 선택합니다. 지정된 인터페이스에 둘 이상의 IPv4 주소가 구성된 경우 목록에는 사용 가능한 모든 IP 주소가 포함됩니다. 선택한 IP 주소는 IKE 게이트웨이 아래의 로컬 주소로 구성됩니다.
연결 프로필	이것은 필수 필드입니다. 연결 프로파일을 FQDN 또는 FQDN/영역 형식으로 입력합니다. 연결 프로필은 모든 문자열이 될 수 있으며 마침표와 슬래시를 가질 수 있습니다. 최대 255자입니다. IKE(Internet Key Exchange) ID는 연결 프로필에서 자동으로 파생됩니다. 참고: Junos OS 23.1R1 릴리스부터 IKE ID는 연결 프로필을 사용하여 자동으로 파생됩니다. 시스템 호스트 이름이 구성된 경우 IKE ID는 <configured-hostname>@connection-profile로 구성되고, 그렇지 않으면 no-config-hostname@connection-profile이 됩니다. 연결 프로필에 영역(/hr)이 있는 경우 IKE ID를 구성하는 동안 '/'는 '.'로 대체됩니다. 원격 액세스 프로필 이름에 점(.)이 포함되지 않은 기존 VPN의 경우 연결 프로필이 기본 프로필의 경우 external-IP로, 기본이 아닌 프로필의 경우 external-IP/VPN-Name으로 표시됩니다. 기존 VPN을 업데이트하면 기본 프로필 이름이 연결 프로필 값으로 업데이트됩니다. 연결 프로필 값을 변경하면 IKE ID가 자동으로 업데이트됩니다.
터널 인터페이스	클라이언트가 연결할 인터페이스를 목록에서 선택합니다. Add(추가)를 클릭하여 새 인터페이스를 추가합니다. Create Tunnel Interface 페이지가 나타납니다. 새 터널 인터페이스 생성에 대한 자세한 내용은 표 4를 참조하십시오. 편집(Edit)을 클릭하여 선택한 터널 인터페이스를 편집합니다.
사전 공유 키	사전 공유 키의 다음 값 중 하나를 입력합니다. ascii-text—ASCII 텍스트 키입니다. hexadecimal - 16진수 키입니다. 참고: 이 옵션은 인증 방법이 사전 공유 키인 경우 사용할 수 있습니다.
로컬 인증서	목록에서 로컬 인증서를 선택합니다. 로컬 인증서에는 RSA 인증서만 나열됩니다. 참고: 이 옵션은 EAP-TLS(인증서) 인증 방법을 선택한 경우에만 사용할 수 있습니다. Junos OS 23.1R1 릴리스부터 모든 디바이스 인증서는 로컬 인증서에 나열됩니다. 예를 들어 Let's Encrypt 및 ACME 인증서가 있습니다. 장치 인증서에 대한 자세한 내용은 장치 인증서 만들기를 참조하십시오
사용자 인증	이 필드는 필수입니다. 원격 액세스 VPN에 액세스하는 사용자를 인증하는 데 사용할 인증 프로파일을 목록에서 선택합니다. 추가를 클릭하여 새 프로필을 만듭니다. 새 액세스 프로필을 만드는 방법에 대한 자세한 내용은 액세스 프로필 추가를 참조하십시오.
SSL VPN 프로파일	목록에서 원격 액세스 연결을 종료하는 데 사용할 SSL VPN 프로파일을 선택합니다. 새 SSL VPN 프로파일을 생성하려면 다음을 수행합니다. Add(추가)를 클릭합니다. 다음 세부 정보를 입력합니다. Name(이름) - SSL VPN 프로파일의 이름을 입력합니다. 로깅(Logging) - SSL VPN에 대해 로깅하려면 이 옵션을 활성화합니다. SSL 종료 프로파일 - 목록에서 SSL 종료 프로파일을 선택합니다. 새 SSL 종료 프로파일을 추가하려면 다음을 수행합니다. Add(추가)를 클릭합니다. Create SSL Termination Profile(SSL 종료 프로파일 생성) 페이지가 나타납니다. 다음 세부 정보를 입력합니다. Name(이름) - SSL 종료 프로파일의 이름을 입력합니다. Server Certificate(서버 인증서) - 목록에서 서버 인증서를 선택합니다. 인증서를 추가하려면 추가를 클릭합니다. 장치 인증서 추가에 대한 자세한 내용은 장치 인증서 추가를 참조하십시오. 인증서를 가져오려면 Import(가져오기)를 클릭합니다. 장치 인증서 가져오기에 대한 자세한 내용은 장치 인증서 가져오기를 참조하십시오. 확인을 클릭합니다. 확인을 클릭합니다. 확인을 클릭합니다.
소스 NAT 트래픽	이 옵션은 기본적으로 활성화되어 있습니다. Juniper Secure Connect 클라이언트의 모든 트래픽은 기본적으로 선택한 인터페이스로 NAT됩니다. 비활성화된 경우, 반환 트래픽을 올바르게 처리하기 위해 네트워크에서 SRX 시리즈 방화벽을 가리키는 경로가 있는지 확인해야 합니다.
인터페이스	목록에서 소스 NAT 트래픽이 통과하는 인터페이스를 선택합니다.
보호된 네트워크	+를 클릭합니다. 보호된 네트워크 만들기 페이지가 나타납니다.
보호된 네트워크 만들기
영역	방화벽 정책에서 소스 영역으로 사용할 보안 영역을 목록에서 선택합니다.
전체 주소	사용 가능 열에서 주소를 선택한 다음 오른쪽 화살표를 클릭하여 선택됨 열로 이동합니다. 추가를 클릭하여 클라이언트가 연결할 수 있는 네트워크를 선택합니다. Create Global Address(전역 주소 생성) 페이지가 나타납니다. 필드에 대한 자세한 정보는 표 5의 내용을 참조하십시오.
편집	편집할 보호된 네트워크를 선택하고 연필 아이콘을 클릭합니다. Edit Protected Networks(보호된 네트워크 편집) 페이지가 편집 가능한 필드와 함께 나타납니다.
삭제	편집할 보호된 네트워크를 선택하고 삭제 아이콘을 클릭합니다. 확인 메시지가 나타납니다. 예를 클릭하여 보호된 네트워크를 삭제합니다.

표 4: 터널 인터페이스 생성 페이지의 필드
필드	작업
인터페이스 유닛	논리 단위 번호를 입력합니다.
설명	논리적 인터페이스에 대한 설명을 입력합니다.
영역	목록에서 영역을 선택하여 터널 인터페이스에 추가합니다. 이 영역은 방화벽 정책의 자동 생성에 사용됩니다. Add(추가)를 클릭하여 새 영역을 추가합니다. 영역 이름과 설명을 입력하고 Create Security Zone(보안 영역 생성) 페이지에서 OK(확인)를 클릭합니다.
라우팅 인스턴스	목록에서 라우팅 인스턴스를 선택합니다. 참고: 기본 라우팅 인스턴스인 primary는 논리적 시스템의 기본 inet.0 라우팅 테이블을 참조합니다.

표 5: 전체 주소 생성 페이지의 필드
필드	작업
이름	전체 주소의 이름을 입력합니다. 이름은 영숫자로 시작해야 하며 콜론, 마침표, 대시 및 밑줄을 포함할 수 있는 고유한 문자열이어야 합니다. 공백이 허용되지 않습니다. 최대 63자.
IP 유형	IPv4를 선택합니다.
IPv4 (영어)
IPv4 주소	유효한 IPv4 주소를 입력합니다.
서브넷	IPv4 주소의 서브넷을 입력합니다.

표 6: IKE 및 IPsec 설정
필드	작업
IKE(Internet Key Exchange) 설정 참고: 다음 매개 변수는 자동으로 생성되며 J-Web UI에 표시되지 않습니다. 인증 방법이 사전 공유 키인 경우 IKE 버전은 v1, ike-user-type은 shared-ike-id, 모드는 적극적입니다. 인증 방법이 인증서 기반인 경우 IKE 버전은 v2이고, ike-user-type은 shared-ike-id이며, mode는 Main입니다. Junos OS 릴리스 23.2R1부터 ike-user-type은 group-ike-id입니다. 이렇게 하면 다중 장치 액세스를 활성화하는 데 도움이 됩니다. 기존 VPN을 편집하고 저장하여 group-ike-id로 변환할 수 있습니다. SRX300 방화벽 제품군 및 SRX550HM 방화벽에는 지원되지 않습니다.
암호화 알고리즘	목록에서 적절한 암호화 메커니즘을 선택합니다. 기본값은 AES-CBC 256비트입니다.
인증 알고리즘	목록에서 인증 알고리즘을 선택합니다. 예를 들어 SHA 256비트입니다.
DH 그룹	DH(Diffie-Hellman) 교환을 통해 참가자는 공유 비밀 값을 생성할 수 있습니다. 목록에서 적절한 DH 그룹을 선택합니다. 기본값은 group19입니다.
라이프타임 초(Lifetime Seconds)	IKE SA(보안 연결)의 수명 기간(초 단위)을 선택합니다. 기본값은 28,800초입니다. 범위: 180초에서 86,400초까지.
Dead Peer Detection(데드 피어 탐지)	피어에 발신되는 IPsec 트래픽이 있는지 여부에 관계 없이 데드 피어 탐지 요청을 보내려면 이 옵션을 활성화합니다.
DPD 모드	목록에서 옵션 중 하나를 선택합니다. optimized—나가는 트래픽이 있고 들어오는 데이터 트래픽이 없는 경우에만 프로브를 보냅니다 - RFC3706(기본 모드). probe-idle-tunnel—최적화된 모드에서와 동일하게 프로브를 전송하며 발신 및 수신 데이터 트래픽이 없을 때도 프로브를 전송합니다. always-send - 수신 및 발신 데이터 트래픽에 관계없이 주기적으로 프로브를 전송합니다.
DPD 간격	데드 피어 탐지 메시지를 보낼 간격(초)을 선택합니다. 기본 간격은 10초입니다. 범위는 2초에서 60초 사이입니다.
DPD 임계값	1에서 5 사이의 숫자를 선택하여 실패 DPD 임계값을 설정합니다. 피어로부터 응답이 없을 때 DPD 메시지를 보내야 하는 최대 횟수를 지정합니다. 기본 전송 횟수는 5회입니다.
고급 구성(옵션)
NAT-T	IPsec 트래픽이 네트워크 주소 변환(NAT) 디바이스를 통과하려면 이 옵션을 활성화합니다. NAT-T는 SRX 시리즈 방화벽 중 하나 앞에 NAT 디바이스가 있는 두 게이트웨이 디바이스 간에 VPN 연결을 설정하려고 할 때 사용되는 IKE 1단계 알고리즘입니다.
NAT 연결 유지	적절한 keepalive 간격(초)을 선택합니다. 범위: 1에서 300까지. VPN이 장기간 비활성 상태일 것으로 예상되는 경우, keepalive 값을 구성하여 인위적인 트래픽을 생성하여 NAT 디바이스에서 세션을 활성 상태로 유지할 수 있습니다.
IKE(Internet Key Exchange) 연결 제한	VPN 프로필이 지원하는 동시 연결 수를 입력합니다. 범위는 1에서 4294967295까지입니다. 최대 연결 수에 도달하면 IPsec VPN에 액세스하려는 원격 액세스 사용자(VPN) 엔드포인트가 더 이상 IKE(Internet Key Exchange) 협상을 시작할 수 없습니다.
IKEv2 단편화	이 옵션은 기본적으로 활성화되어 있습니다. IKEv2 단편화는 큰 IKEv2 메시지를 일련의 작은 메시지로 분할하여 IP 수준에서 단편화가 발생하지 않도록 합니다. 조각화는 원본 메시지가 암호화되고 인증되기 전에 수행되므로 각 조각이 별도로 암호화되고 인증됩니다. 참고: 이 옵션은 인증 방법이 인증서 기반인 경우 사용할 수 있습니다.
IKEv2 프래그먼트 크기	조각으로 분할되기 전에 IKEv2 메시지의 최대 크기(바이트)를 선택합니다. 크기는 IPv4 메시지에 적용됩니다. 범위: 570바이트에서 1320바이트. 기본값은 576바이트입니다. 참고: 이 옵션은 인증 방법이 인증서 기반인 경우 사용할 수 있습니다.
IPsec 설정 참고: 인증 방법은 사전 공유 키 또는 인증서 기반이며 프로토콜을 ESP로 자동 생성합니다.
암호화 알고리즘	암호화 방법을 선택합니다. 기본값은 AES-GCM 256비트입니다.
인증 알고리즘	목록에서 IPsec 인증 알고리즘을 선택합니다. 예: HMAC-SHA-256-128. 참고: 이 옵션은 암호화 알고리즘이 gcm이 아닌 경우에 사용할 수 있습니다.
PFS(Perfect Forward Secrecy)	목록에서 PFS(Perfect Forward Secrecy)를 선택합니다. 디바이스는 이 메서드를 사용하여 암호화 키를 생성합니다. 기본값은 group19입니다. PFS는 이전 키와 독립적으로 각각의 새 암호화 키를 생성합니다. 그룹 번호가 높을수록 보안이 강화되지만 처리 시간이 더 오래 걸립니다. 참고: group15, group16 및 group21은 SPC3 카드와 junos-ike 패키지가 설치된 SRX5000 디바이스 라인만 지원합니다.
라이프타임 초(Lifetime Seconds)	IPsec SA(Security Association)의 수명(초)을 선택합니다. SA가 만료되면 새 SA 및 SPI(Security Parameter Index)로 대체되거나 종료됩니다. 기본값은 3,600초입니다. 범위: 180초에서 86,400초까지.
수명 킬로바이트	IPsec SA의 수명(킬로바이트 단위)을 선택합니다. 기본값은 256kb입니다. 범위: 64에서 4294967294까지.
고급 구성
안티 리플레이	IPsec은 IPsec 패킷에 내장된 일련의 번호를 사용하여 VPN 공격으로부터 보호합니다. 시스템은 동일한 시퀀스 번호를 가진 패킷을 허용하지 않습니다. 이 옵션은 기본적으로 활성화되어 있습니다. Anti-Replay는 시퀀스 번호를 무시하는 것이 아니라 시퀀스 번호를 확인하고 검사를 적용합니다. IPsec 메커니즘에 오류가 발생하여 패킷의 순서가 잘못되어 제대로 작동하지 못하게 되는 경우 Anti-Replay를 비활성화합니다.
설치 간격	디바이스에 키가 다시 입력된 SA(아웃바운드 보안 연결)를 설치할 수 있는 최대 시간(초)을 선택합니다. 1초에서 10초 사이의 값을 선택합니다.
유휴 시간	유휴 시간 간격을 선택합니다. 세션과 해당 번역은 트래픽이 수신되지 않으면 일정 시간이 지나면 시간 초과됩니다. 범위는 60초에서 999999초입니다.
DF 비트	디바이스가 외부 헤더에서 DF(Don't Fragment) 비트를 처리하는 방법을 선택합니다. clear - 외부 헤더에서 DF 비트를 지우십시오(비활성화). 이것이 기본값입니다. copy - DF 비트를 외부 헤더에 복사합니다. set - 외부 헤더에서 DF 비트를 설정(활성화)합니다.
외부 DSCP 복사	이 옵션은 기본적으로 활성화되어 있습니다. 이렇게 하면 외부 IP 헤더 암호화 패킷에서 암호 해독 경로의 내부 IP 헤더 일반 텍스트 메시지로 DSCP(Differentiated Services Code Point)(외부 DSCP+ECN)를 복사할 수 있습니다. 이 기능을 활성화하면 IPsec 암호 해독 후 일반 텍스트 패킷이 내부 CoS(DSCP+ECN) 규칙을 따를 수 있습니다.

원격 액세스 VPN 생성—Juniper Secure Connect

관련 문서