Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

대규모 조직의 디지털 세계에서 네트워크는 모든 이메일, 파일 전송, 화상 통화를 실어 나르는 보이지 않는 고속도로와 같습니다. 수십 년 동안 네트워크 접근 관리는 비교적 단순하고 정적이었습니다. 벽면 포트에 물리적인 케이블을 연결하는 것이 컴퓨터가 네트워크의 어느 부분에 접근할 수 있는지를 결정했습니다. 만약 그 포트가 특정 네트워크 세그먼트에 연결되어 있다면, 사용자의 신원과 관계없이 해당 포트에 기기를 연결하는 누구든 잠재적으로 그 세그먼트에 접근할 수 있었습니다. 이러한 방식은 물리적 보안에 크게 의존했습니다. 권한이 없는 사람이 노출된 네트워크 잭에 접근할 수 있다면, 먼저 인증을 거치지 않고도 네트워크 자원에 접근할 수 있었기 때문입니다. 조직이 직원, 학생, 방문객 등 서로 다른 수준의 접근 권한을 요구하며 더욱 복잡해짐에 따라, 이러한 전통적인 방식은 중요한 보안 우려 사항이 되었습니다. 더 안전한 해결책은 네트워크가 접근을 허용하기 전에 사용자의 신원을 확인하고, 승인된 역할에 따라 사용자를 적절한 네트워크 세그먼트로 안내하도록 만드는 것입니다.

이것이 바로 지부티의 압둘라힘 함무드 모하메드 알마웨리(Abdulraheem Hamoud Mohammed Almaweri)가 수행한 연구가 다루는 과제입니다. 연구자는 정적인 네트워크 접근 할당을 동적인 신원 기반 방식으로 대체하는 시스템을 구축하고 평가하고자 했습니다. 이 모델에서는 컴퓨터가 네트워크에 연결되면 네트워크가 인증을 요청합니다. 사용자가 유효한 자격 증명을 제공하면, 시스템은 조직 내에서의 역할을 확인하고 해당 연결을 적절한 네트워크 세그먼트에 동적으로 할당합니다. 직원 구성원은 직원 네트워크로 안내되는 반면, 학생은 학생 네트워크로 안내됩니다. 인증에 실패하거나 인증 서버를 사용할 수 없게 되는 경우, 시스템은 접근을 제한하고 영향을 받는 연결을 격리된 격리(quarantine) 네트워크로 유도하도록 설계되었습니다. 이곳에서는 민감한 네트워크 자원을 노출시키지 않으면서도 연결 문제를 조사하고 해결할 수 있습니다.

이 프로세스가 안정적으로 작동할 수 있는지 평가하기 위해, 연구자는 기업 네트워크를 나타내는 가상 실험실을 구축했습니다. 단 한 대의 컴퓨터에 의존하는 대신, 이 실험은 신원 관리를 위한 중앙 서버, 접근 규칙을 정의하고 집행하기 위한 정책 서버, 그리고 물리적 포트를 통해 접근을 제어하기 위한 네트워크 스위치를 포함하는 시뮬레이션된 네트워크 환경을 사용했습니다. 연구자는 직원과 학생을 나타내는 두 개의 별도 사용자 그룹을 생성했습니다. 각 그룹은 별도의 가상 로컬 영역 네트워크(VLAN)와 연결되어, 동일한 물리적 네트워크 인프라 내에서 두 그룹 간의 논리적 분리를 제공했습니다. 직원 그룹은 하나의 VLAN에 매핑되었고, 학생 그룹은 다른 VLAN에 매핑되었습니다. 시스템은 클라이언트와 네트워크 인프라가 네트워크 접근을 허용하기 전에 사용자 신원을 확인하기 위해 인증 메시지를 주고받는 인증 프레임워크를 사용했습니다.

그 후 연구자는 다양한 조건에서 시스템을 평가하기 위해 25번의 테스트를 수행했습니다. 초기 테스트에서는 직원과 학생 그룹 모두의 승인된 사용자들이 유효한 자격 증명을 사용하여 인증을 시도했습니다. 테스트된 각 사례에서 시스템은 사용자를 성공적으로 인증하고 그들의 연결을 적절한 VLAN에 할당했습니다. 직원 사용자는 직원 네트워크로 안내되었고, 학생 사용자는 학생 네트워크에 할당되었습니다. 인증 및 접근 할당 프로세스 또한 측정되었습니다. 보고된 실험 결과에 따르면, 사용자가 장치를 네트워크에 연결한 시점부터 접근 권한이 부여될 때까지의 과정은 약 1.5초가 소요되었습니다. 이 비교적 짧은 간격은 테스트된 환경에서 사용자에게 상당한 지연을 반드시 초래하지 않으면서도 동적인 네트워크 접근 제어를 구현할 수 있음을 시사합니다.

연구는 또한 인증 실패에 시스템이 어떻게 반응하는지도 조사했습니다. 한 시나리오에서는 사용자가 올바른 사용자 이름은 입력했지만 틀린 비밀번호를 입력했습니다. 다른 시나리오에서는 승인된 그룹에 속하지 않은 계정으로 인증을 시도했습니다. 두 시나리오 모두에서 시스템은 인증 시도를 거부하고 영향을 받는 연결을 지정된 격리 VLAN에 할당했습니다. 이 격리된 네트워크 세그먼트는 권한이 없는 연결이 민감한 네트워크 자원에 도달하는 것을 방지하는 동시에, 관리자가 인증 실패를 조사하거나 사용자를 도울 수 있도록 하기 위해 의도되었습니다. 시스템은 유효하지 않은 자격 증명이나 승인되지 않은 계정이 포함된 모든 테스트 사례에서 구성된 격리 동작을 성공적으로 수행했습니다.

또 다른 중요한 테스트는 중앙 인증 서버를 사용할 수 없는 상황에 대한 시스템의 반응을 조사한 것이었습니다. 연구자는 네트워크 스위치가 인증 서비스와 더 이상 통신할 수 없을 때 어떻게 작동하는지 평가하기 위해 서버 장애를 시뮬레이션했습니다. 구성에 따라 이러한 장애는 권한 없는 접근을 허용하거나 정당한 접근을 거부하는 결과를 초래할 수 있습니다. 이 실험에서 스위치는 제한적인 폴백(fallback) 정책을 적용하도록 구성되었습니다. 인증 서버에 도달할 수 없게 되자, 새로운 연결은 구성된 응답 간격 후에 격리 VLAN으로 유도되었습니다. 이러한 동작은 중앙 인증 서비스가 사용할 수 없을 때 '페일-시큐어(fail-secure)' 구성이 어떻게 네트워크 격리를 유지하는 데 도움이 될 수 있는지를 보여주었습니다. 기존 세션에 미치는 영향을 포함하여 이 동작의 정확한 범위는 구현된 구성과 테스트된 시나리오에 따라 달라집니다.

25번의 테스트 결과는 평가된 시나리오 전반에 걸쳐 일관된 동작을 보여주었습니다. 시스템은 승인된 사용자를 지정된 네트워크 세그먼트에 할당하고, 승인되지 않은 인증 시도를 거부하며, 테스트된 장애 조건 하에서 영향을 받는 연결을 격리 VLAN으로 유도했습니다. 그러나 제한된 시험 횟수와 통제된 가상 환경의 사용은 대규모 실제 네트워크에서의 장기적인 신뢰성, 확장성 및 성능을 평가하기 위해 추가적인 테스트가 필요함을 의미합니다. 이 연구가 가능한 모든 네트워크 보안 위협을 해결하거나 모든 인증 방법을 평가한다고 주장하지는 않았습니다. 대신, 표준 네트워크 구성 요소와 확립된 인증 기술을 사용하여 사용자 신원과 권한 상태를 네트워크 접근 할당에 동적으로 연결하는 것이 가능하다는 것을 입증하는 데 집중했습니다.

이러한 결과는 조직이 정적인 포트 기반 네트워크 접근 할당에서 벗어나 더 유연한 신원 기반 접근 제어로 나아갈 수 있는 실질적인 사례를 제공합니다. 사용자의 네트워크 할당이 물리적인 연결 지점에 의해서만 결정되는 것이 아니라, 인증된 신원과 조직 내 역할에 의해 결정될 수 있음을 보여줌으로써, 이 연구는 네트워크 세분화 및 접근 관리를 개선하기 위한 실질적인 접근 방식을 제시합니다. 실험 결과는 네트워크가 사용자를 인증하고, 적절한 네트워크 세그먼트에 할당하며, 인증에 실패하거나 인증 서비스를 사용할 수 없을 때 제한적인 정책을 적용할 수 있음을 나타냅니다. 실제 운영 환경에 배포하려면 추가적인 검증이 필요하겠지만, 이 실험은 확립된 기업용 네트워킹 기술을 사용한 동적 네트워크 접근 제어에 관한 향후 연구를 위한 토대를 제공합니다.