Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

대규모 조직의 디지털 세계에서 네트워크는 모든 이메일, 파일 전송, 화상 통화를 실어 나르는 보이지 않는 고속도로와 같습니다. 수십 년 동안 이 고속도로를 관리하는 방식은 놀라울 정도로 단순하고 정적적이었습니다. 벽에 있는 포트에 물리적인 케이블을 꽂는 것만으로 컴퓨터가 어디로 갈 수 있는지가 정확히 결정되었습니다. 만약 그 포트가 네트워크의 특정 구역에 연결되어 있다면, 그곳에 기기를 연결한 사람은 누구이든 상관없이 그 구 전체에 접근할 수 있었습니다. 이러한 방식은 전적으로 물리적 보안에 의존했습니다. 즉, 권한이 없는 사람이 벽면 잭에 손을 뻗을 수만 있다면, 회사의 개인 데이터 속으로 바로 걸어 들어갈 수 있었던 것입니다. 조직이 구성원, 학생, 방문객 등 다양한 수준의 접근 권한을 가진 사람들로 인해 더 복잡해짐에 따라, 이러한 "플러그 앤 플레이(plug-and-play)" 방식은 심각한 약점이 되었습니다. 해결책은 네트워크가 문을 열기 전에 "당신은 누구입니까?"라고 묻고, 그 사람을 아무에게나 열려 있는 문 대신 그가 들어갈 수 있도록 허용된 특정 방으로 안내할 만큼 똑똑해지는 데 있습니다.

이것이 바로 지부티의 아카데미 데 사이언스 에 테크놀로지 인더스트리엘(Académie des sciences et technologies industrielles)의 압둘라힘 함무드 모하메드 알마웨리(Abdulraheem Hamoud Mohammed Almaweri)가 수행한 최근 연구가 다루고 있는 과제입니다. 연구자는 기존의 정적인 방식을 역동적인 방식으로 대체하는 시스템을 구축하고 테스트하고자 했습니다. 이 새로운 접근 방식에서는 컴퓨터가 네트워크에 연결되면, 네트워크는 즉시 신원 증명을 요구합니다. 사용자가 유효한 자격 증명을 제공하면, 시스템은 조직 내에서의 역할을 확인하고 해당 사용자를 적절한 디지털 구역으로 자동 할당합니다. 사용자가 직원이라면 직원 네트워크로 보내고, 학생이라면 학생 네트워크로 보냅니다. 만약 사용자가 신원을 증명하지 못하거나 신원을 확인하는 시스템이 오프라인 상태가 되더라도, 네트워크는 단순히 접속을 허용하거나 사용자를 방치하지 않습니다. 대신, 사용자를 디지털 대기실이라 불리는 격리 구역으로 부드럽게 이동시켜, 나머지 시스템을 위험에 빠뜨리지 않으면서도 문제를 수정하거나 점검할 수 있도록 합니다.

이 복잡한 일련의 과정이 얼마나 안정적으로 작동하는지 테스트하기 위해, 연구자는 완전한 가상 실험실을 구축했습니다. 이것은 단 한 대의 컴퓨터를 이용한 작은 실험이 아니라, 기업 네트워크를 온전하게 시뮬레이션한 것이었습니다. 이 설정에는 신원 관리자 역할을 하는 중앙 서버, 규칙을 만드는 정책 서버, 그리고 물리적 포트를 제어하는 네트워크 스위치가 포함되었습니다. 연구자는 두 개의 뚜렷한 사용자 그룹을 만들었는데, 하나는 직원을 나타내고 다른 하나는 학생을 나타냅니다. 각 그룹은 동일한 건물 내의 별도의 보이지 않는 방과 같은 역할을 하는 VLAN이라고 불리는 서로 다른 디지털 구역에 할당되었습니다. 직원 그룹은 하나의 방에, 학생 그룹은 다른 방에 매핑되었습니다. 시스템은 보안 핸드셰이크 프로토콜을 사용하도록 설계되었는데, 여기서 컴퓨터와 서버는 데이터가 통과하기 전에 신원을 확인하기 위해 암호화된 메시지를 주고받습니다.

그 후 연구자는 다양한 조건에서 시스템이 어떻게 작동하는지 확인하기 위해 25번의 테스트를 실행했습니다. 첫 번째 테스트 세트에서는 직원과 학생 그룹의 유효한 사용자들이 올바른 비밀번호로 로그인했습니다. 모든 경우에 시스템은 그들을 성공적으로 식별하여 각각의 올바른 디지털 방으로 배치했습니다. 직원들은 일관되적으로 직원 구역으로 안내되었고, 학생들은 학생 구역으로 안내되었습니다. 이 과정의 속도 또한 측정되었습니다. 사용자가 케이블을 연결한 순간부터 접속 권한을 부여받을 때까지의 전 과정은 단 1.5초 남짓 걸렸습니다. 이는 인간 사용자가 지연을 느끼지 못할 만큼 빠른 속도로, 보안이 일상 업무에 영향을 주지 않도록 만듭니다.

연구는 성공적인 로그인에 그치지 않고, 문제가 발생했을 때 어떤 일이 벌어지는지를 구체적으로 테스트했습니다. 한 시나리오에서는 사용자가 올바른 사용자 이름은 입력했지만 틀린 비밀번호를 입력했습니다. 또 다른 시나리오에서는 권한이 없는 그룹에 속하지 않은 계정으로 로그인을 시도했습니다. 두 경우 모두 시스템은 시도를 올바르게 거부했습니다. 사용자를 접속 불능 상태로 만들거나 실수로 잘못된 영역에 들여보내는 대신, 네트워크는 자동으로 해당 연결을 격리 구역(quarantine zone)으로 이동시켰습니다. 이곳은 사용자를 조사하거나 도움을 줄 수 있는 안전하고 격리된 구역으로, 민감한 네트워크 부분에는 손을 댈 수 없습니다. 시스템은 비밀번호가 틀리거나 계정이 승인되지 않았을 때마다 이 격리 조치를 완벽하게 수행했습니다.

아마도 가장 결정적인 테스트는 중앙 권한 기관 자체의 실패를 시뮬레이션하는 것이었을 것입니다. 연구자는 신원을 확인하는 책임을 지는 서버를 꺼버려, 네트워크 스위치가 허가를 구할 대상이 없는 상황을 만들었습니다. 설계가 잘못된 시스템이라면 스위치가 당황하여 모든 문을 열어버리거나, 혹은 모든 사람을 완전히 차단해 버릴 수도 있습니다. 이 실험에서 스위치는 안전망을 갖추도록 설정되었습니다. 스위치가 서버에 도달할 수 없음을 감지하자, 스위치는 몇 초간 대기한 후 모든 새로운 연결을 동일한 격리 구역으로 자동 이동시켰습니다. 이를 통해 시스템의 '두뇌'가 잠들어 있는 동안에도 네트워크의 '몸체'는 보안을 유지할 수 있었으며, 문제 해결을 위한 통로는 열어둔 채로 무단 접근을 방지했습니다.

25번의 시험 결과는 일관되고 명확했습니다. 시스템은 승인된 사용자를 올바른 구역으로 안내하고, 승인되지 않은 사용자를 거부하며, 실패 상황을 모든 시도에서 안전하게 격리하는 데 성공했습니다. 연구자는 이 시스템이 통제된 환경에서는 완벽하게 작동했지만, 테스트 횟수가 적기 때문에 이 메커니즘이 거대한 실제 네트워크에서 장기적으로 얼마나 신뢰할 수 있는지는 추가적인 연구가 필요하다고 언급했습니다. 이 연구는 모든 가능한 보안 문제를 해결했다고 주장하거나 모든 유형의 인증 방법을 테스트한 것이 아닙니다. 연구는 표준적인 기성 제품들로 구축된 시스템이 어떻게 사용자의 신원을 동적으로 네트워크 위치와 연결할 수 있는지를 입증하는 데 집중했습니다.

이 연구 결과는 조직이 네트워크 접근을 관리하는 기존의 경직된 방식에서 벗어날 수 있는 실질적인 청사진을 제공합니다. 사용자의 디지털 위치가 물리적인 플러그가 아닌 사용자의 신원을 따라갈 수 있음을 입증함으로써, 이 연구는 더 안전하면서도 유연한 네트워크를 향한 길을 보여줍니다. 시스템은 사용자가 내부에서 작동하는 복잡한 기계 장치를 이해할 필요 없이, 사용자가 누구인지 알고, 역할에 따라 대우하며, 문제가 생겼을 때 스스로를 보호할 수 있는 네트워크를 구축하는 것이 가능하다는 것을 보여주었습니다. 호기 curiosity를 가진 관찰자에게 이 실험은, 사용자가 네트워크에 맞추는 것이 아니라 네트워크가 사용자에 맞춰 변화하는 꿈이 단순한 이론적 아이디어가 아니라 오늘날 구축 가능한 작동하는 현실임을 확인시켜 줍니다.