Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

인증 정책 레이블 구성

네트워크에 대한 액세스를 제어하기 위해 인증 정책에서 참조할 사용자 및 리소스를 식별하는 레이블을 추가합니다.

네트워크 액세스 제어 정책은 네트워크에 연결을 시도하는 디바이스에 보안 액세스를 제공하기 위한 일련의 규칙 및 지침입니다. 정책은 디바이스와 사용자가 네트워크에 액세스하고 네트워크 리소스를 사용하기 위해 충족해야 하는 특정 기준으로 구성됩니다.

인증 정책으로 주니퍼 Mist Access Assurance를 구성하여 주니퍼 Mist 관리 디바이스가 클라이언트를 네트워크 또는 애플리케이션에 연결할 수 있도록 할 수 있습니다.

주니퍼 Mist는 "레이블"을 정책 일치 기준으로 활용하며, 사용 레이블은 권한을 지정하는 관련 정책 작업을 적용합니다. 즉, 인증 정책을 생성할 때 레이블을 다음과 같이 사용할 수 있습니다.

  • 일치 기준: 정책 규칙을 적용하기 위해 충족해야 하는 일치 기준 집합입니다.
  • 정책 허용 작업: 추가 속성(VLAN, 역할 및 그룹 기반 정책 태그) 적용과 같은 일치 시 적용할 일련의 작업입니다.

레이블 생성

다음 페이지에서 레이블을 만들 수 있습니다.

  • 인증 정책
  • 인증 정책 레이블

인증 정책 레이블 페이지에서 레이블을 생성하려면 다음을 수행합니다.

  1. 주니퍼 Mist 포털의 왼쪽 메뉴에서 조직 > 액세스 > 인증 정책 레이블을 선택합니다.

    기존 레이블 목록(있는 경우)이 나타납니다.

  2. 인증 정책 레이블에서 레이블 추가 를 클릭하고 다음 세부 정보를 입력합니다.
    • 레이블 이름 - 레이블의 고유한 이름을 입력합니다. 영숫자와 하나 이상의 특수 문자를 포함하여 최대 32자를 사용할 수 있습니다.
    • 레이블 유형 - 레이블 유형을 지정합니다. 표 1 의 정보를 참조하여 레이블 유형을 선택하십시오.
    표 1: 새 레이블에 대한 매개 변수

    레이블 유형

    세부 정보

    인증 정책 규칙에서의 역할

    AAA 속성

    일치 기준으로 작동하며 권한을 지정하는 정책 작업을 결정하는 데 도움이 되는 사용자 속성 그룹입니다.

    옵션:

    • 역할: 할당된 사용자 역할입니다. 이는 역할 기반 정책을 적용하는 데 사용할 수 있습니다.
    • VLAN: VLAN ID, 사이트 변수 또는 명명된 VLAN을 사용하여 VLAN을 클라이언트에 할당할 수 있습니다. 사이트 변수에 대한 자세한 내용은 사이트 변수를 사용한 동적 VLAN 할당을 참조하십시오.
    • 영역: 인증에 사용되는 도메인으로, 사용자 자격 증명이 유효한 위치를 지정하는 데 자주 사용됩니다.
    • 사용자 이름: 개인 또는 디바이스에 할당된 고유 식별자입니다. 이는 인증 디바이스의 사용자 이름 RADIUS 속성과 일치하는 데 사용할 수 있습니다.
    • GBP 태그: 그룹 정책 태그)는 특정 사용자 또는 디바이스 그룹을 다양한 유형의 네트워크 트래픽 관리에 할당하는 데 사용됩니다.
    • 세션 시간 초과: 사용자 세션이 재설정되기 전에 허용되는 최대 시간을 3600초에서 604800초로 설정합니다.
    • 사용자 지정 공급업체별 특성: 액세스-수락 메시지에서 반환되도록 구성할 수 있는 사용자 지정 특성입니다. 이러한 속성은 특정 공급업체에 맞게 조정되며 역할 또는 권한을 포함할 수 있습니다. 예:
      • 시스코: cisco-avpair, cisco-nas-port, cisco-fax-account-id-origin.
      • 주니퍼: 주니퍼 로컬 사용자 이름입니다.
      • Palo Alto Networks: paloAlto-admin-role, paloAlto-admin-액세스-domain.

      • 여러 벤더의 VSA(Vendor-Specific Attribute)는 해당 설명서 또는 구성 가이드에서 확인할 수 있습니다.

    • 사용자 지정 표준 RADIUS 속성( Idle-Timeout=600 또는 Termination-Action=RADIUS-Request와 같은 표준 IETF RADIUS 속성이며 추가 속성으로 수정할 수 있습니다.
    • 동적 유선 포트 구성(액세스-Accept 메시지의 RADIUS 속성 Egress-VLAN-Name 에 대해 액세스 Assurance가 반환하는 VLAN 이름으로, 동적 포트 구성에서 특히 유용합니다. 예를 들어 AP 연결에 트렁크 포트를 자동으로 사용하거나 태그가 지정된 VLAN과 태그가 지정되지 않은 VLAN을 구별하는 데 유용합니다.)
    • 반환된 사용자 이름: 사용자 이름, 사용자가 성공적으로 인증되면 시스템에 들어오는 이메일과 같은 사용자의 식별자입니다.

      옵션:

      • 자동
      • 인증 CN
      • 인증서 SAN:UPN
      • 인증서 SAN:이메일
      • 인증 SAN:DNS
    • 구성된 포트 VLAN ID: 인증에 성공한 후 특정 포트에서 디바이스가 할당되는 VLAN ID입니다.
    • NAS IP 주소: 인증 요청이 이루어지는 네트워크 액세스 서버(게이트웨이 디바이스)의 IP 주소입니다.

    일치 기준 및 정책 허용 작업
    인증서 속성 인증 중에 사용되는 사용자 또는 디바이스 인증서 필드 그룹입니다.

    옵션:

    • 일반 이름(CN)
    • 제목
    • 일련 번호
    • 발행자
    • SAN(주체 대체 이름)

    일치 기준

    클라이언트 목록

    와일드카드 값으로 식별되는 MAC 주소 또는 MAC OUI(Organizationally Unique Identifier) 목록입니다. 예: 1122AA33BB44 또는 11-22-AA-33-BB-44 또는 11-22-AA*

    802.1X를 지원하지 않는 디바이스의 경우 클라이언트 목록을 사용하여 승인된 디바이스가 네트워크에 액세스할 수 있도록 허용할 수 있습니다.

    일치 기준
    SSID(SSID)

    수신 호출 스테이션 식별자 속성을 기반으로 사용자 또는 디바이스 인증 중에 사용되는 SSID 이름입니다. 쉼표로 구분된 값을 사용하여 여러 SSID를 하나의 레이블에 결합할 수 있습니다.

    일치 기준
    디렉터리 속성 사용자 그룹 멤버십. IdP(ID 공급자)는 사용자 또는 디바이스 인증 중에 사용자 그룹 정보를 제공합니다.

    일치 기준
    MDM 규정 준수 권한 부여 중에 모바일 디바이스 관리 공급자로부터 받은 클라이언트 상태 준수를 평가하여 정책 규칙의 일치 섹션에서 사용됩니다.
    • 규정 준수
    • 비준수
    • 알 수 없음

    일치 기준
    클라이언트 레이블 NAC 엔드포인트 데이터베이스의 MAC 주소에 할당된 레이블 또는 레이블 목록을 일치시키는 데 사용됩니다. 텍스트를 입력합니다. 예: 건물 3, 층 2, 프린터.

    일치 기준
  3. 만들기를 클릭하여 새 레이블에 대한 설정을 저장합니다.
    이 작업에서 생성한 레이블은 인증 정책을 생성할 때 일치 조건 또는 정책 허용 작업으로 선택할 수 있습니다.

또한보십시오