네 강사님 이 강의에서는
aa 서버에 관해 얘기하겠습니다 aa
서버는 인증 권한 부여, 회계를 뜻하죠 aa
서버를 이해하려면 먼저 802 서버를 어떻게…
? 1x는 프레임워크로 작동합니다.
802번 1x는 표준 프레임워크로
유선과 무선 네트워크에서 포트
기반 인증을 위해 사용됩니다
이제 802년부터. 네 1x는 프레임워크입니다
다른 메커니즘을 이용해 실제
인증을 대신해줍니다
실행할 수 있습니다
예를 들어 원격 인증 다이얼인 사용자 서비스와 radius
터미널 액세스 컨트롤러
예를 들어 액세스 컨트롤 시스템
플러스 tacacs+는 둘 다 802를 사용해 인증 수행에
사용될 수 있습니다
1x 프로토콜
802에서 인증이 발생하려면
세 가지 역할이 필요합니다. 1X
첫 번째는 서플리컨트입니다 네트워크에 엑세스 권한을
요청하는 장치나 사용자를 말하죠
이 이미지에서 pc1 같은 거요 ,
그런 다음 신청자가 네트워크에 액세스를 시도하는
데 사용하는 장치인 인증자가
있습니다.
네 일반적으로 이건 스위치나 무선
액세스 포인트 혹은 vpn 센터 같은 거죠
끝으로 인증 서버가 있죠 인증을 수행하는
중앙 집중식 장치가 될
겁니다 보통 여러분의 tacacs+서버가
되겠죠 ????
인증이 이루어집니다 증명이 완료되고
시스템에 의해 신원이 확인되면 인증이 이루어지죠
매일 하시잖아요
이 코스에 로그인했을 때 이미 했죠
네 이메일 주소와 비밀번호를 입력했을 때 본인이
이 과정에 등록금을 낸 학생이라고 주장했고
그렇게 함으로써 시스템으로 확인받고
액세스를 허가받습니다 ,
자신을 증명하는 방법은 다양해요
예를 들어, 현실 세계에서는 과속으로
인해 경찰관이 차를 세우는 경우
운전 면허증을 꺼내서 자신이
누구인지, 자신이 누구인지 보여줄
수 있습니다.
이게 증거예요
디지털 세계에는 다섯
가지 인증 방법이 있습니다
네 우리가 아는 건 암호나
사용자 이름 같은 거죠 사용자 정보도
있어요 지문이나 눈, 망막 스캔과
같은 거죠 ? 네 여기 뭔가 있어요 토큰 같은 거죠
운전면허증이나 신용카드요
여러분이 하는 것일 수도 있고 말하는 방식이나 이름을 서명하는 방식일
수도 있어요 여러분이 있는 곳이 위치
인자일 수도 있죠 gps 위치에 기반한
위치 인자요
Ldap는 경량 디렉토리 엑세스 프로토콜입니다
이는 네트워크의 클라이언트 및 개체에 대한 정보를
중앙 집중화하는 데 사용되는 데이터베이스입니다.
Ldap는 본질적으로 x의 단순화 버전입니다 500은 디렉토리 서비스이며
네트워크 내부의
사용자, 그룹, 서버 및 시스템의
계층적 구성을 포함합니다.
Ldap는 암호화되지 않은 상태에서 포트
389를 통해 통신하며, ssl이나 tls를
사용하여 암호화하기로 결정한 경우 포트 636을 사용하게 됩니다.
네 자 이제 Microsoft는 AD 또는
Active Directory로
알려진 이걸 자체적으로 구현했습니다 ,
Windows 도메인에서 Active Directory는
네트워크의 모든 걸 구성하고 관리하는 데 사용됩니다
클라이언트 서버 장치 사용자, 그룹을
포함해서요
네 이제
이제 ,
반경은 원격 인증 다이얼인 사용자 서비스입니다
네 네 네, 둘 다 사용할
수 있죠
확장성
인증 프로토콜, 즉 eap입니다
Radius는 osi 모델의 7번째 계층인 애플리케이션
계층에서 실행되는 클라이언트 서버 프로토콜입니다.
네 반경은 보통 별도의 서버에서 실행되도록 구성돼 있지만
Windows 서버에 더 작은 도메인 환경에서
로드될 수도 있어요
Radius는 사용자를 인증하고
서비스를 승인하고 그 서비스
사용을 계정화합니다 ???????
Radius는 또한 연결을 위해 udp를 활용하므로
인증 및 권한 부여 기능
중에 속도가 상당히 빠릅니다.
네 자 반경은 플랫폼 간 표준이지만 Cisco의
독점 프로토콜 TACACS+가 있습니다 ???
802에서 인증자 역할을 수행할 수 있는 Terminal
Access Controller Access-Control System
Plus입니다. 1x 네트워크
이제 어떤 게 조직에 최선일지 결정하는
건 여러분 몫입니다
개인적으로 저는 radius를 조직
내에서만 사용했습니다
Tacacs+는 udp 대신 tcp에 의존하기
때문에 작동 속도가 약간 느리지만 tacacs+에는
몇 가지 이점이 있습니다.
이는 추가적인 보안을
제공하고 인증, 승인 및 계정 프로세스를
독립적으로 수행합니다.
네 tacs+는 모든 네트워크 프로토콜을 지원하지만
반면에 radius는 원격
접속 프로토콜을 지원하지 않습니다 네, 맞아요,
넷바이오 프레임 프로토콜 x 25명과 다른 인맥도
있고요
네 전체적으로 TACACS+는 훌륭한 선택입니다
하지만 네트워크에서 Cisco 장치를
사용할 경우에만요 크로스
플랫폼 기능을 갖추려면 RADIUS를 살펴봐야
합니다 제가 과거에 선택한
방법으로요
두 번째 a는 허가입니다
승인 네 부여받을
때 발생합니다
이봐요 네 관계자
외 출입 금지라는 거요
그럼 그 지역엔 못 들어가요
정비실 같은 곳일 거예요 발전기가
있어서 정비공만 들어갈
수 있는 곳이죠
그들은 해당 영역으로 들어갈 수 있는 특별한
열쇠나 특별한 배지를 가지고 있습니다.
거긴 허가 없이 들어갈 수 없어요
Kerberos는 인증과 권한 부여에 초점을 맞추고 있습니다
Windows 도메인의 Kerberos 티켓팅
시스템을 통해 실행됩니다
케르베로스는 양방향 혹은 상호 인증을
제공하는 인증 프로토콜입니다
네 사용자가 도메인에 로그인하면
가장 먼저 키 배포 센터인 kdc로
동작하는 도메인 컨트롤러에 접촉합니다 ,
이 kdc에는 인증과 티켓 부여라는
두 가지 기본 기능이 있습니다.
네 의뢰인이 제대로 인증받으면
조폐국에서 표를 발급해 줘요
티켓 허가증이라고 하죠
네 티켓 부여 티켓은 사용자가 리소스에
액세스하고 싶을 때 도메인 컨트롤러에
제공됩니다 도메인 컨트롤러는
해당 사용자에게 서비스 티켓이나 세션
키를 제공해 필요에 따라 사용할 수 있습니다
이 티켓들은 리소스에 제공되고 액세스가
승인됩니다 리소스는 항상
도메인 컨트롤러가 제공한
티켓을 신뢰하기 때문이죠 ,
자 Kerberos는 핵심 배포 센터로
도메인 컨트롤러에 의존하기 때문입니다
도메인에서 단일 실패 지점이죠
도메인 컨트롤러가 다운되면
티켓 제공 서비스도 다운됩니다
네 이걸 막기 위해 대부분의 사람들이
주 활성 도메인 컨트롤러를 갖습니다
이렇게 여분을 남겨서 케르베로스가
작동하고 ldap가 작동하는지 확인할 수 있어요
세 번째 a는 회계입니다.
회계는 데이터, 컴퓨터 사용 및 네트워크
리소스에 대한 추적이 유지되도록 보장합니다.
그걸 할 땐 보통 로그
파일이란 걸 넣어요
이건 컴퓨터에 있는
파일로 본질적으로 큰 텍스트
문서죠 모든 걸 추적합니다
이게 네트워크를 떠나는 모든 인터넷
연결일 수도 있어요 여기 화면에서처럼요 아니면
특정 파일이나 웹사이트에 로그인하려는
모든 사람의 목록일 수도 있죠 , 이건 그냥
네 컴퓨터에 온갖 종류의 로그가 저장돼
있어요 진행 중인 다양한 일을
모두 기록하는 거죠 모두 훌륭한
회계 관행이 사용되고 있다는 뜻이에요 데이터
유출이 있거나 내부에 위협이
있다면 로그 파일에 있는 데이터를
살펴보고 누가 언제 뭘 했는지 알아낼 수
있거든요
경리부는 그런 일을 하게 해주죠
네 이제 누군가 어떤 행동을 했다는
증거가 있으면 부인하지 않는 거예요 ?
부인하지 않기 부인하지 않기란 사용자가 그 행동을 안
했다고 말할 수 없다는 뜻이죠 했다는 증거가 있으니까요
예를 들어 나한테 이메일을
보내고 디지털 서명으로 서명하면
그 디지털 서명 키를 가진 사람은
당신뿐이에요
그 메일 당신이 보낸 거 알아요
나중에 안 보냈다고 하지 마요 이제
증거가 생겼으니까요
부인하지 마세요