CCNP Enterprise 따라잡기 18장

이번 장은 디바이스 보안과 AAA를 다룬다.

네트워크 장비에 누가 접근하는지 통제하지 않으면 위험하다.

관리자마다 권한을 나누고, 접근 기록도 남겨야 한다.

이걸 체계적으로 처리하는 것이 AAA다.

이번 장의 목표는 다음과 같다.

AAA의 세 요소를 이해한다.

TACACS+와 RADIUS의 차이를 정리한다.

디바이스 접근 보안의 기본을 익힌다.

1. AAA의 세 요소

AAA는 Authentication, Authorization, Accounting의 약자다.

Authentication은 누구인지 확인한다.

Authorization은 무엇을 할 수 있는지 정한다.

Accounting은 무엇을 했는지 기록한다.

세 요소를 나눠서 관리하는 것이 핵심이다.

1. 로컬 인증과 서버 인증

로컬 인증은 장비 자체에 계정을 둔다.

장비가 많아지면 계정 관리가 어렵다.

서버 인증은 중앙 서버에 계정을 두고 모든 장비가 참조한다.

계정 추가, 삭제, 권한 변경을 한 곳에서 관리할 수 있다.

1. TACACS+

TACACS+는 주로 장비 관리 접근에 쓴다.

인증과 권한을 분리해서 처리할 수 있다.

명령어 단위 권한 제어(command authorization)가 가능하다.

전체 패킷을 암호화한다.

Cisco 장비 관리에서 자주 쓰인다.

1. RADIUS

RADIUS는 주로 사용자 네트워크 접근에 쓴다.

802.1X와 함께 클라이언트 인증에 많이 사용된다.

인증과 권한이 함께 묶여 처리된다.

패킷에서 비밀번호만 암호화한다.

무선, VPN, 유선 접속 인증에 널리 쓰인다.

1. 디바이스 접근 보안 기본

관리 접근은 SSH를 쓰고 Telnet은 끈다.

관리 네트워크를 별도로 분리한다.

권한 레벨을 나눠 최소 권한만 준다.

로그인 시도와 명령 실행을 accounting으로 기록한다.

1. 자주 나오는 실수

TACACS+와 RADIUS의 용도를 혼동한다.

AAA 서버가 죽었을 때를 대비한 로컬 백업 계정을 두지 않는다.

Telnet을 끄지 않고 관리한다.

권한을 나누지 않고 모두에게 최고 권한을 준다.

1. 핵심 정리

AAA는 인증, 권한, 기록을 나눠서 관리한다.

TACACS+는 장비 관리, RADIUS는 사용자 접근에 주로 쓴다.

중앙 서버 인증으로 계정을 한 곳에서 관리한다.

서버 장애를 대비한 로컬 백업 계정이 필요하다.

1. 다음 장 예고

다음 장에서는 컨트롤 플레인 보안을 다룬다.

CoPP로 장비의 CPU를 보호하고 관리 평면을 강화하는 방법을 정리한다.