PPX-AnyLink 일반제안서유무선통합인증 2010.01 www.entrolink.com 1
I. 시스템보안이슈 2
1.1. 무선랜의보안이슈 접속제어이슈 데이터보호이슈 무선단말장치의보급으로무선접속이매우용이함 내가접속하는 AP 는안전하고신뢰할수있는가? AP Smart Phone NoteBook AP 불안전한 AP WEP Key 를이용한암호화는보안에취약함 무선을통해내부네트워크가외부에노출됨 무선장비를통해내부네트워크에불법적으로접속함 1.2. 무선랜의해킹방법및대안 War Driving : 무선 SCAN 안테나탑재차량으로이동하며 Weak AP 탐색 War Walking : 걸어다니며 Weak AP 탐색 Sniffing & WEP Crack : Sniffer 등을이용무선프래임데이터를수집하고암호키 (WEP Key) 등을 Crack 하여침투 MAC Spoofing : 정상적으로인가된 MAC을알아낸후자신의 MAC으로위장침투 Man in the Middle & Session high-jacking : 중간세션을훔쳐서정상적인사용자로위장접속 Rogue AP : 비인가된 AP를설치한후접속을시도하는사용자의정보를취득 IV공격 & Bit-Flipping & DoS : 프레임의 ICV및 WEP 키의취약성을이용, 손상된프레임으로변경한프레임을발생시킴으로네트워크의부하를줌 < WPA2 수준의보안을직접공격할수있는방법은아직없음, 802.11i 의보안방식이표준화되었음 > 3
1.3. 무선랜보안방법 인증클라이언트 Data 암호화 WLAN 접속장비 (AP) Authenticator Radius Cli 내부네트워크 접속제어 인증서버 Tunneled EAP 서버 서버인증서 접속제어 Data 암호화 -미인가사용자접속차단 : WLAN(AP) 에서인증클라이언트 ( 접속자 ) 제어 (802.11i) -미인가 AP 확인 : 인증서버에서접속장치 (AP) 상호인증 (PEAP, TTLS, WPA2) -접속자 PW 암호화 : EAP-MD5, EAP-MSCHAPv2 등 -접속자 ID / PW 암호화 : EAP-TTLS, PEAP (TLS로암호화 Session 생성후접속자 ID / PW 교환을수행 ) -사용자 Data 암호화 : WEP(IV의재사용으로사실상의 Data보호효과없음 ) WPA(Dynamic WEP사용으로 IV의노출위험희박함 ) 802.11i(WPA2.0으로 MK에대한분배및관리편리성증가, WEP과의호환성없음 ) 1.4. 802.11i 의구성내용 인증클라이언트 WLAN 접속장비 (AP) Authenticator Radius Cli 내부네트워크 인증서버 Tunneled EAP 서버 인증클라이언트 NAS(AP) 인증서버 Services offered 단말 (PC) By Authenticator s System Authenticator 인증프로세스 접속제어 EAP protocol Exchanges Carried in higher Layer protocol LAN or WLAN 인증프로세스흐름인증이후데이터흐름 4
1.5. WPA2 개요및구성설명 Authenticator Radius Cli 인증클라이언트 (802.11i) NAS(AP) (AES function) 인증서버 (802.11i) PSK Mode & Enterprise Mode - 단말과 AP간에 shared (Secret) key를정하고해당 Key를기반으로암호화하여 Data를전송하고, Interval time마다암호화 Key를변경하며변경된 Key는 TKIP기능을통해단말과 AP상호동기화된다. - PSK Mode는암호화 Key를 AP에수동으로설정 ( 별도의인증서버없음 ) - Enterprise Mode는암호화 Key를인증서버에서자동분배 ( 중앙 Key관리가능 ) WPA2 개요 - 802.11i + AES encryption+ MIC(Message integrity check) - Global Key(Multicast, broadcast용 ) 지원 - WEP과의호환성보장 1.6. TKIP 의키믹서구조 MAC header Transmitter Address(TA) Phase 1 Temporal Key(TK) Key mixing TKIP-mixed Transmit Address and key (TTAK) TSC5+TSC4+TSC3+TSC2 (upper 4 bytes of TSC) Phase 2 Key mixing TSC1+TSC0 (lower 2 byte of TSC) Per packet seed IV(24bits) WEP128 RC4 Key(104bits) lsb TSC0 TSC1 TSC2 TSC3 TSC4 TSC5 TKIP Sequence Counter (TSC) 48 bits msb 5
1.7. WPA2 의구성및보안수준 802.11i (EAP-TLS/TTLS) WEP 보안수준고도화 WPA WPA v2 WEP 환경과의호환성보장 802.1x Dynamic WEP(TKIP) WEP 환경과의호환성없음 802.11i CCMP(AES) 1.8. 무선랜보안내용 ( 인증 + 암호화 ) 무선랜의인증방식 무선랜의암호화방식 DSSS 방식 WEP 암호화 SSID 방식 802.11b MAC 기반 802.1x 개방시스템인증 공유키인증 -RC4 스트림사이퍼 - 키분배문제 -WEP2 로발전 (128 비트 ) WEP AES 암호화 802.11i -OCB 모드 (Optional) -CCM 모드 ( 키 :128 비트 ) - 유럽비동기, 미국비동기방식, 하이퍼랜 2 에서채택 6
1.9. WPA2 에서의 WEP 개선점 IV 의보안이슈해결을위해 WPA 등장 확장 IV: 48-bit IV (Initial vector) 사용 Michael: MIC (Message Integrity Code) 사용 EAP(802.1x): 암호키에대한자동분배및확인절차수용 TKIP (Temporal Key Integrity Protocol): Packet 단위의 Key 생성을통해 IV 의재사용을최소화함. 1.10. CHAP 수행절차 인증클라이언트 인증서버 AP User_ID CHAP_Challenge Code = 1 Seq_ID = x Length Channenge Value(CV) CV=f(x) HV=MD5(CV,PW,ID) Hashed Value(HV) User_ID Seq_ID = x CHAP_response Code = 2 Code = 3 HV =MD5(CV,PW,seq_ID) Compare HV with HV CHAP_success seq_id ID 만전송되고 PW 는전송되지않으므로외부에 PW 가노출되지않음 7
1.11. WLAN 보안기술 Roadmap Data 보안 64bit key 128bit key Static (RC4) Dynamic (RC4) TKIP(RC4) WPA v 1 CCMP(AES) WEP-24bit IV WPA-48bit IV WPA v2 RSN(802.11i) MD5 PEAP (TLS over MD5 or TLS(CHAP)) 접속인증 TLS TTLS (TLS over MD5 ) 802.1x -EAP CCMP (AES) 암호방식의구조 CBC MAC Overhead MAC frame Nonce, 기타 Additional Authentication data(aa) First block of message.. Final block Of message B(0) AES cipher B(1) B(2) B(n) AES AES + + + cipher cipher AES cipher CBC-MAC Result MIC (8 bytes) TK TK TK TK CTR encryption A(0) B(0) A(1) B(1) A(2) B(2) A(final) AES cipher AES AES + + + cipher cipher AES cipher TK TK TK TK 8
1.12. WLAN 보안기술비교 EAP 설명 EAP-MD5 (Message Digest Challenge) EAP-TLS (Transport Layer Security) 기본적인수준의 EAP 지원을제공하는 EAP 인증유형입니다. EAP-MD-5 는사용자암호를알아낼수있으므로일반적으로무선 LAN 구현에는권장되지않습니다. 이인증유형은실제로는무선클라이언트와네트워크에대한상호인증단계가없으므로단방향인증만제공합니다. 또한동적인세션기반 WEP(Wired Equivalent Privacy) 키를알아낼수있는방법을제공하지않는다는점에서매우중요한인증유형중하나입니다. 클라이언트및네트워크에대한인증서기반상호인증기능을제공합니다. 이방법은클라이언트측인증서와서버측인증서를통해인증을수행하며 WLAN 클라이언트와액세스포인트간후속통신에대한보안을강화하기위해사용자기본 WEP 키및세션기반 WEP 키를동적으로생성합니다. EAP- TLS 의한가지단점은클라이언트측과서버측모두에서인증서를관리해야한다는점입니다. 이는규모가큰 WLAN 을설치하는경우번거로운작업이될수있습니다. EAP-TTLS Funk Software 와 Certicom 이 EAP-TLS 를보강하여개발한방법입니다. 이보 (Tunneled Transport 안방법은암호화된채널 ( 또는 " 터널 ") 을통해클라이언트와네트워크에대 Layer Security) 한인증서기반상호인증및동적인사용자또는세션기반 WEP 키를생성할수있는방법을제공합니다. EAP-TLS와달리 EAP-TTLS에는서버측인증서만있으면됩니다. EAP-PEAP (Protected Extensible Authentication Protocol) 레거시암호기반프로토콜과같은인증데이터를 802.11 무선네트워크를통해안전하게전송할수있는방법을제공합니다. PEAP는 PEAP 클라이언트와인증서버간터널링을사용하여이기능을수행합니다. PEAP는유사한기능을수행하는 TLS( Tunneled Transport Layer Security) 와같이서버측인증서만을사용하여보안무선 LAN의구현및관리를간소화함으로써무선 LAN 클라이언트를인증합니다. PEAP는 Microsoft, Cisco 및 RSA Security에서개발한방법입니다. EAP-SRP (Secure Remote Password) 인증알고리즘은무선랜표준인 802.1x 에서지원하는확장프로토콜의하나로, 무선랜사용자가인증을받을때인증서버와단말기간에사용자 ID 와 PW 를직접전송하지않고별도의방식으로암호화후전송합니다 9
1.13. EAP TTLS 인증절차상세 10
1.14. WLAN 보안기술비교 특성비교 MAC EAP-MD5 EAP-TLS EAP-TTLS PEAP EAP 기반인증 X O O O O C/S 상호인증 X X O O O Session Key 배포 (MPPE) X X O O O Certificate 사용 X X O (Server/Client) O (Client Optional) O (Client Optional) 인증보안수준 Low Low High High High Username fake X X X O O 권한검증 O O O O O 접속제어 O O O O O 데이터기밀성 X X O (WPA 확장시 ) O (WPA 확장시 ) O (WPA 확장시 ) 데이터무결성 X X 인증 Overhead (Handshaki ng) Session Key Roaming None X Little (2 회 ) X O (WPA 확장시 ) middle (4 회 ) O (AP Depend) O (WPA 확장시 ) Much (5 회 ) O (AP Depend) O (WPA 확장시 ) So much (8 회 ) O (AP Depend) WPAv2 호환성 O O O X X (802.11i) (AP Depend) (AP Depend) (AP Depend) CCMP (AES) 암호화프레임의구조 MAC header CCMP Header (8) DATA MIC (8) FCS (4) PN0 (1) PN1 (1) Rsvd (1) extiv/ KeyID PN2 (1) PN3 (1) 4 (1) PN5 (1) WEP-40/TKIP 와의호환용 11
1.15. 무선랜보안기술비교 (TLS) TLS의특징은인증시 Identity 및 Certificate 교환시암호화되지않으므로데이터및인증데이터에대한기밀성의보장이부분적으로어렵다는것. 그러나, Server Certificate 및 Client Certificate를이용하여 ID/PW만을사용하는 EAP-MD5에비해제삼자에의한정보유출이어렵다는장점이있음. 12
1.16. WLAN 보안기술비교 (TTLS) EAP-TTLS의특징은 Phase I / Phase II의인증방식을두단계로구분하고, Phase I 에서단말과인증서버사이에 Certificate를이용해 TLS Tunnel을생성시키고, 해당 Encryption Tunnel 을이용해 Phase II에서실제 ID를교환하는방식을사용하기때문에인증데이터에대한기밀성이보장됨. 인증 Accept Packet에포함된두개의 Key(MPPE-Send, Recv) 를이용해 AP와단말은데이터를암호화하기위한 Session Key를생성함. AP와단말 (NIC) 이 WPA 지원시해당 Session Key는 TKIP과 MIC 방식을이용해더욱더강화된데이터암호화를보장받게됨. 13
II. 유 / 무선통합인증도입시고려사항 14
1. 무선랜 / 인증도입시고려사항 순번분야고려사항비고 1 무선구간의데이터암호화필요 IEEE 802.11i 를통한무선구간데이터암호화 AES 방식에의한데이터암호화지원 인증 2 허가받은사용자만무선랜사용 AP 주변에서허가된사용자가아닌주변건물이나외부인의사용이이루어질수있음 3 IP관리 NAS(AP) 관리 내장된 DHCP 기능을이용하여 IP 관리 관리 4 네트워크무단사용발생 인증서버를통한사용자접속관리 5 사용자 무선랜사용자의편리성과관리의용이성을위한별도의 Client S/W 제공 OS 기본내장 S/W 이용가능별도의전용 Client S/W 제공웹인증을통한사용의편의성제공 VPN 모듈에의한추가적인데이터보호지원 6 DB 인증서버의 DB 와인사 DB 연동 각종 DB 연동가능 ( 연동지원 ) 15
III. 유 / 무선통합인증세부구현방안 16
3.1. 유 / 무선통합인증개념적구성도 Username Users123 Password pwpw (802.1x) AP(802.11i) PPX-ANYLINK DHCP Relay AnyVPN (VPN) 웹포탈프로세스 ( 유선 / 무선 ) 인증프로세스 ( 무선 802.11i-AP) DHCP 서버프로세스 자체통합계정서버 802.11i 기반하의인증영역 DHCP 영역 기능블록 기능 802.11i Network Authentication 802.11i Authentication Clients ID/PW Administration(LDAP or DB) Clients ID, PW, MAC Administration DHCP Area AnyVPN(SSL) DHCP Server, Proxy, Agent 기능 비인가사용자 IP 할당제한 사용자별 IP Pool 정책적용 기존외부 DHCP 서버 Scope 정책연동 추가적인 SSL VPN 기능제공 OS 기본 Client S/W 사용 Clients Authorization 웹브라우저사용 전용 S/W(BISHOP) 사용 17
3.2. 인증개념 Username Users123 Password pwpw (802.1x) 구분 구성내용 AP(802.11i) DHCP Relay NAS(802.1x) 802.11i(AP) 무선인증구간 무선구간사용자들은무선인증서버를통하여인증한후 DHCP서버로가서 IP Address를부여받은후네트워크접속 (EAP-TTLS 권고 ) RADIUS(802.11i-AP) DHCP 서버 Username = Users123 Password = pwpw Vendor Avpaire= ssid=entrolink 18
IV. PPX-AnyLink 소개 19
1. 제품소개 ENTROLINK PPX-AnyLink 는무선랜의확장성과유연성을최대한수용함과동시에 Wire & Wireless 사용자인증을통한다양한보안컨텐츠를제공하여, 내부업무및네트워크시스템에보안기능을강화할수있는 H/W 기반의유. 무선통합인증보안제품입니다. 유. 무선통합인증스위치구성도 ( PPX-AnyLink ) WEB Based Management( 한국어 / 영어 ) 20
Feature and benefits [AAA] 기능 기능상세 자체운영체제 통합인증보안용자체개발 IOS 표준지원 RADIUS 관리용이인증방식외부 DB 지원보고서관리지원프로토콜접속제어안전성 IEEE802.11i 기반 EAP, WAP v1/v2 Standard Suport, Web based 인증 RFC2865,2868,2869(RADIUS, RADIUS Proxy, Accounting) 웹기반운영자관리인터페이스, MLU(Menu Line Interface) 아이디, 비밀번호 (EAP-MD5, MSCHAPv2, TLS, TTLS, PEAP v1/v2) MAC & EAP 인증동시지원 Oracle, Sybase, MS-SQL, MySQL, DB2 LDAP, Active Directory Distribution File System (DFS) 자체보안 MMDB 실시간현재사용자정보관리및통계 사용자별사용시간, 사용량, 인증성공유무 NAS 장비별인증통계기능 서버상태및현황조회 3D Snap shot 기능지원 SNMP, RADIUS, DHCP, Syslog, Accounting, TCP/IP, HTTP, HTTPS NAS MAC 을이용한제어, NAS 별 SSID 를이용한설정 사용자별접속시간, 권한제한기능 Manager ID 를이용한사용자접속제어기능 1:Multi-NAS 지원 ( 다양한 NAS 연동 ) System Down 시 Bypass 기능제공 보안 이중화지원 WEB Portal 기능지원 사설 CA(Certification Authority) 내장, 공인 (PKI) CA 지원 MMDB 간 Sync 지원 Active-Active, Active-Standby Plug & Play Web Redirection 인증게이트웨이기능 보안기능 ( 불법네트워크접속, 유해트래픽 (Worm) 감지차단기능 ) 21
Feature and benefits [Firewall, VPN, WEB Portal, Etc] 기능 기능상세 방화벽기능 객체기반보안정책적용지원 객체정의 GROUP, SERVICE, TIME Object 설정지원 - Every Limit 4096 NAT DMZ, SNAT, DNAT, E-NAT 지원 지원 RULE Default 7000 User Define 2000 VPN 지원 WEB Portal 지원 DHCP 지원 DNS 지원모니터링 SSL 128 default License include Net-to-Net, Net-to-Client, Client-to-Client 지원 Client S/W 무상지원 IP & ID & MAC block base rule 적용지원 IP Plug & Play 적용지원 Class base rule 적용지원 Server, Client 지원 Multi subnet 지원, MAC_IP Match 지원 DNS Server, Client 지원 Max 1024 DNS 지원 Every packet real time logging 지원 Every packet Source IP, Port & Dest IP, Port Logging 지원 리포팅 상태모니터링 기타 시간기준리포팅지원 사용자기준리포팅지원 패킷기준리포팅지원 CPU, MEMORY, Process, Interface 상태표시지원 Static, Dynamic Routing 지원 22
12 1.2 사양 시스템사양 제조사 ENTROLINK ENTROLINK PPX-6900 기능 Web Authentication 제안사양 PPX-AnyLink-6900 Product s License Div. Model User License Description PPX-AnyLink PPX-AnyLink-6900 2,048 User Session License Include IEEE 802.11i / IEEE 802.1x EAP-MD5, TLS, TTLS, PEAP, SIM EAP-MSCHAPv2 WPA(TKIP), /WPA2(AES) Dynamic/Static WEP Key Support Web-Based Management Tool MAC, User ID, IP 조합인증 AnyVPN, DHCP Server DNS Server NTP Server Product s Model Model Interface Description PPX-AnyLink 6900 CPU: Core 2 Duo LGA-775 processors 10/100/1000M * 6 RJ-45 pin serial 2*16 LCD 128M Flash Memory 2048M SDRAM 19 1U Rack Type Bypass 2 Unit 200W ATA PSU 443(W)x292.1(D)x44(H) mm Temperature:5 to 40C Humidity: 20% to 90% RH PPX-AnyLink-2048U 10G Module Options 250G LOG HDD Include 23
12 1.2 사양 시스템사양 제조사 ENTROLINK ENTROLINK PPX-6560 기능 Web Authentication 제안사양 PPX-AnyLink-6560 Product s License Div. Model User License Description PPX-AnyLink PPX-AnyLink-6560 1,024 User Session License Include IEEE 802.11i / IEEE 802.1x EAP-MD5, TLS, TTLS, PEAP, SIM EAP-MSCHAPv2 WPA(TKIP), /WPA2(AES) Dynamic/Static WEP Key Support Web-Based Management Tool MAC, User ID, IP 조합인증 AnyVPN, DHCP Server DNS Server NTP Server Product s Model Model Interface Description PPX-AnyLink 6560 CPU: Intel LGA-775 processors 10/100/1000M * 6 RJ-45 pin serial 2*16 LCD 128M Flash Memory 1024M SDRAM 19 1U Rack Type Bypass 1 Unit 220W ATA PSU 431.8(W)x355.2(D)x44(H) mm Temperature:5 to 40C Humidity: 20% to 90% RH PPX-AnyLink-1024U 10G Module Options 250G LOG HDD Include 24
12 1.2 사양 시스템사양 제조사 ENTROLINK ENTROLINK PPX-6060 기능 Web Authentication 제안사양 PPX-AnyLink-6060 Product s License Div. Model User License Description PPX-AnyLink PPX-AnyLink-6060 1024 User Session License Include IEEE 802.11i / IEEE 802.1x EAP-MD5, TLS, TTLS, PEAP, SIM EAP-MSCHAPv2 WPA(TKIP), /WPA2(AES) Dynamic/Static WEP Key Support Web-Based Management Tool MAC, User ID, IP 조합인증 AnyVPN, DHCP Server DNS Server NTP Server Product s Model Model Interface Description PPX-AnyLink 6060 CPU: Intel processors 10/100/1000M * 6 RJ-45 pin serial 2*16 LCD 128M Flash Memory 1024M SDRAM 19 1U Rack Type Bypass 1 Unit 220W ATA PSU 429(W)x255(D)x44(H) mm Temperature:5 to 40C Humidity: 20% to 90% RH PPX-AnyLink-1024U 250G LOG HDD Include 25
12 1.2 사양 시스템사양 제조사 ENTROLINK ENTROLINK PPX-6006 기능 Web Authentication 제안사양 PPX-AnyLink-6006 Product s License Div. Model User License Description PPX-AnyLink (v3.75) PPX-AnyLink-6006 512 User Session License Include IEEE 802.11i / IEEE 802.1x EAP-MD5, TLS, TTLS, PEAP, SIM EAP-MSCHAPv2 WPA(TKIP), /WPA2(AES) Dynamic/Static WEP Key Support Web-Based Management Tool MAC, User ID, IP 조합인증 AnyVPN, DHCP Server DNS Server NTP Server Product s Model Model Interface Description PPX-AnyLink 6006 CPU: Intel processors 10/100/1000M * 6 RJ-45 pin serial 2*16 LCD 128M Flash Memory 1024M SDRAM 19 1U Rack Type Bypass 1 Unit 80W ATA PSU 428(W)x255(D)x44(H) mm Temperature:5 to 40C Humidity: 20% to 90% RH PPX-AnyLink-512U 250G LOG HDD Include 26
12 1.2 사양 시스템사양 제조사 ENTROLINK ENTROLINK PPX-6004 기능 Web Authentication 제안사양 PPX-AnyLink-6004 Product s License Div. Model User License Description PPX-AnyLink (v3.75) PPX-AnyLink-6004 256 User Session License Include IEEE 802.11i / IEEE 802.1x EAP-MD5, TLS, TTLS, PEAP, SIM EAP-MSCHAPv2 WPA(TKIP), /WPA2(AES) Dynamic/Static WEP Key Support Web-Based Management Tool MAC, User ID, IP 조합인증 AnyVPN, DHCP Server DNS Server NTP Server Product s Model Model Interface Description PPX-AnyLink 6004 CPU: Intel processors 10/100/1000M * 6 RJ-45 pin serial 2*16 LCD 128M Flash Memory 1024M SDRAM 84W ATA PSU 250(W)x213(D)x55(H) mm Temperature:5 to 40C Humidity: 20% to 90% RH PPX-AnyLink-256U 250G LOG HDD Include 27
12 1.2 사양 시스템사양 제조사 ENTROLINK ENTROLINK PPX-AnyWRT 기능 Web Authentication 제안사양 PPX-AnyWRT Product s License Div. Model WEB Portal Description PPX-AnyWRT PPX-AnyWRT-500 접속시간기반제어지원 접속량기반제어지원 MAC 기반제어지원 MAC 인증지원 DHCP 지원 E-NAT(IP Plug&Play) 지원 무인증호스트지원 DNS Packet Bypass 지원 User base speed Limit it 지원 IEEE 802.11B/G 지원 WEP, WPA, WPA2, RADIUS 지원 Dynamic/Static WEP Key Support Web-Based Management Tool AnyVPN 연결지원 유, 무선연결공유지원 STATIC, DHCP 지원 WEB 인증연동 (WEB portal) 지원 Product s Model Model Interface Description PPX-AnyWRT 500 10/100M * 4 8M Flash Memory 32M SDRAM 2*USB(2.0) PPX-AnyWRT-128U 28
12 1.2 사양 시스템사양 제조사 ENTROLINK ENTROLINK BISHOP 기능 Wireless CM 제안사양 BISHOP Product s List Div. Model 지원운영체제 Description BISHOP PPX-AnyLink BISHOP Windows 2000 Windows 2003 Windows XP Windows VISTA Windows 7 WEP, WPA, WPA2, RADIUS 지원 Dynamic/Static WEP Key Support STATIC, DHCP지원 제조사 ENTROLINK AnyVPN GUI ENTROLINK 기능 AnyVPN CM 제안사양 AnyVPN GUI Product s List Div. Model 지원운영체제 Description AnyVPN GUI PPX-AnyVPN AnyVPN GUI Windows 2000 Windows 2003 Windows XP Windows VISTA Windows 7 ID/PW 인증지원 SSL 연결지원 인증서연결지원 DHCP 지원 29
13 1.3 주요기능 특장점 1. WEB Based Easy Configuration 자체내장 web consol 을통하여시스템관련모든사항을설정및모니터링할수있음. 고급관리자를위한 MLC (Memu Line Command) 제공 2. Switch 기반의보안기능제공 Software 기반이아닌 Switch 기반이므로 Software 설치불필요함. 자체 IOS 관리를위한 STUDY 가불필요함. 시스템 (H/W) 장애시최대 10 분이내시스템복구가가능함. (OS Install, DB BACKUP & Recovery 불필요 ) 3. 다양한인증알고리즘제공 802.11i, 802.1x 알고리즘이동시에지원되므로필요한암호화방식을원활히활용할수있음. 4. Bypass port 내장으로 H/W 장애시유연한대처가가능함. WEB Portal 운용시 5. Redundancy 구현으로시스템장애시자동 Backup 가능. Redundancy 용추가장비필요함 6. 자제 Radius(AAA) Engine 및 WEB Portal( 웹인증 ) 모듈탑재 추가적인인증모듈불필요함. 7. 유연한네트워크정책설정지원 Site 환경에최적화된네트워크구성지원 NAT, PAT, E-NAT 구성으로별도의 Firewall 불필요 8. Just Plug & Play! (E-NAT) Network Plug & Play 기능은유. 무선랜사용자단말의네트워크환경변경없이유. 무선랜서비스지역에서의접속을가능하게함. 사용자는사무실혹은집에서사용하던 IP 주소그대로유. 무선랜서비스지역에서사용할수있음 9. 시스템자체보안을위한보안기능탑재 DoS, Spoofing 등다양한시스템공격으로부터시스템을보호하기위한보안모듈기본탑재 유해 packet 차단을위한 packet filtering 모듈기본탑재 10. 웹인증시사용자는별도의 S/W 설치가불필요함. 사용자에의한 Call 없음 (S/W 인스톨에의한장애등 ) 사용자관리및지원이필요없음 (S/W 충돌, H/W 호환등불필요 ) SSL에의한강력한보안기능을제공함 ( 기본 Browser 제공 ) 인증이후에도다양한접속정책적용가능함 ( 접속시간, 사용량, Packet 제어등 ) 무인증사용자에대한특정 site 접속가능 ( 특정 page는인증하지않고도접속가능하게설정등 ) 11. AnyVPN(SSL VPN) 기능탑재 원격지장비간 VPN 터널에의한안전한데이터전송지원 (Net-to-Net) to Net) 외부근무자를위한 AnyVPN 클라이언트접속지원 유. 무선인증후추가적인보안을위한전송데이터암호화 (VPN, Encryption, Compression) 지원 30
1.4 PPX-AnyLink 6000 기능모음 1.4.1.1 인증서버 (RADIUS) 기능 Wire User SSL Manager Router Metro PPX-AnyLink Internet Wire Group 802.1x 802.11i 802.11i Wireless User Wire User Wireless User 1.4.1.2 인증서버 (RADIUS) 내용 IEEE802.1x, IEEE802.11i 표준에의한사용자인증후네트워크접속허용 정책에의한접근통제수행 주요정책항목 : 사용자아이디, 비밀번호, 다운로드속도, 업로드속도, 다운로드량, 업로드량, 접속시간 ( 요일 & 시간 ), NAS(AP) 그룹, 종료일, 사용시간등 인증방식 : EAP-MD5, EAP-MSCHAPv2, EAP-TLS, EAP-TTLS, EAP-PEAP 암호방식 : WEP, WAP, WAPv2 MAC 인증에의한단말인증 외부 DBMS 지원 : ORACLE, MSSQL, LDAP, AD, MySQL, Sybase 등 관리자를위한 WEB 기반관리지원, 사용자용 WEB 기반관리지원, 관리자용 CLI 지원 다양한보고서지원 : 사용자상태보기, 접속자보기, 인증내역보기, 관리기록보기, 시간별보고서, 사용자별보고서, 트래픽별보고서지원및 EXCEL, WORD 다운로드지원 RADIUS PROXY 지원 : 외부 RADIUS 서버에대한 RADIUS PROXY 서버로동작할수있음 31
1.4 PPX-AnyLink 6000 화면구성 가. 관리자설정 나. 사용자설정 다.NAS(AP) 설정 라. 인증서설정 마. 자체인증시험 바.PROXY 설정 32
1.4 PPX-AnyLink 6000 기능모음 ( 계속 ) 1.4.2.1 WEB Portal( 웹인증 ) 기능 Wire User Manager Internet Router Metro PPX-AnyLink SSL 학내무선망 / 접견실 / 객실 SSL Wireless User Check_In (Password 부여 ) Plug_In Internet Click Check_Out Internet << Log-In >> ID+PW 1.4.2.2 WEB Portal( 웹인증 ) 내용 내방객이많은접견실, 커피샵, 호텔혹은학내망무선구간에웹인증구역을할당하여아이디, 비밀번호만으로웹인증을실시하고, 사용자를구분하여네트워크접속을허용하는시스템으로별도의 S/W설치없이기본브라우저만으로인증을실시하므로관리자의 CALL을최소화할수있음 기본적인방화벽기능과연동되므로유해단말에의한 worm 이내부로전파확산되지않음 NLB 와연계하여웹인증 packet 을 FTTH 등별도의회선으로처리하면, 내부업무와는무관하게웹인증을구현할수있음. 과금자료가필요할경우과금기능을활용하여과금자료를생성할수있음 무인증 URL, 무인증 HOST 를지정하여 VIP 및자사 URL 접속을무인증으로처리함 계정요청화면제공에의한관리자승인만으로손쉽게계정을생성할수있음 SMS, E-MAIL 에의한아이디, 비밀찾기기능제공 (SMS 는별도가입이필요함 ) 33
1.4 PPX-AnyLink 6000 화면구성 가. 볼륨설정 나. 시간정책설정 다.NAS 그룹설정 라. 보안객체정의 마. 포워드설정 바.SNAT 설정 아.DNAT 설정 자. 보안정책상태보기 34
1.4 PPX-AnyLink 6000 기능모음 ( 계속 ) 1.4.3.1 AnyVPN 기능 외부사용자 SSL VPN 연결 Manager 무선사용자 SSL VPN 연결 Router Metro PPX-AnyVPN Internet AnyVPN TUNNEL PPX-AnyVPN Session 유선사용자 SSL VPN 연결 PPX-AnyWRT Internet FTTH 3G/2G 무선사용자 SSL VPN 연결 1.4.3.2 AnyVPN 내용 SSL (Secure Socket Layer) 방식에의한 VPN 기능을이용하여 PPX-AnyLink 간암호터널을구성하여 PPX-AnyLink 간안전한데이터를교환할수있음. PPX-AnyVPN 은외부사용자, 외부 PPX-Series 간 SSL VPN Tunnel 을구성하여무선, 유선구간에보다강화된데이터암호화를수행할수있음 PPX-AnyVPN 은 SSL 방식에의한터널을생성하므로공유기, 방화벽의 NAT 에구애받지않고접속할수있음 35
1.4 PPX-AnyLink 6000 화면구성 가. 인터페이스설정 나. 라우팅테이블설정 다. 로드발란스설정 라. 도메인설정 마. 시간설정 바. 로컬관리자비밀번호설정 사.PING 시험 아. 시스템재시작 36
1.4 PPX-AnyLink 6000 기능모음 ( 계속 ) 1.4.4.1 방회벽 (Firewall) 기능 Wire User SSL Manager Router Metro PPX-AnyLink Internet Wire Group 802.1x 802.11i Wire User Wireless User 1.4.4.2 방회벽 (Firewall) 내용 Source Network, Destination Network에의한보안정책 (ACCEPT, DROP) 적용가능 Source Port, Destination Port에의한보안정책 (ACCEPT, DROP) 적용가능 Time에의한보안정책 (ACCEPT, DROP) 적용가능 Rule정책에의한보안정책적용가능 NAT, SNAT, DNAT, PAT, E-NAT 방식적용가능 MAC Match에의한보안정책적용가능 37
1.4 PPX-AnyLink 6000 화면구성 가. 서비스설정 나.AnyVPN 설정 다. WEB Portal 설정 라.DHCP 설정 마.DNS 설정 바. 모니터링 사. 시스템정보 아. 실시간모니터링 38
1.4 PPX-AnyLink 6000 기능모음 ( 계속 ) 1.4.5.1 부가기능 DHCP 서버기능 : 사용자용네트워크에 DHCP 서비스를위한 DHCP 서버기능을사용할수있음 다중서브네트워크구성가능 MAC Match 에의한 IP 할당가능 DHCP Relay 지원 DNS 서버기능 : 사용자용네트워크에 DNS 서비스를위한 DNS 서버기능을사용할수있음 다중 DNS 구성가능 모든 URL 에대해하나의 IP 로응답가능 (Any URL 에대해단일 IP 로응답할수있음 ) E-NAT 기능 : Every IP 에대한게이트웨이로동작할수있음 IP 변경없이웹포탈에접속할수있음 NTP 서버기능 : 네트워크네타임서버기능을제공할수있음 네트워크장비동기화를위한시간서버로동작할수있음 SMS 송신기능 : SMS(Mobile 단문전송 ) 에의한아이디, 비밀번호찾기기능제공 ( 별도유료가입필수 ) 인증서관리기능 : 사설 CA(Certification Authority) 내장, 공인 CA 지원 인증서버용인증서및개별사용자용인증서관리기능제공 자체인증시험기능 : 인증서버에서의자체인증시험기능제공 VLAN 지원 : 802.1Q VLAN 기능지원 라우팅지원 : Static Dynamic Routing 지원 NLB, SBL 지원 : 다중회부회선에대한로드발란스지원, 다중내부서버에대한로드발란스지원 실시간트래픽모니터링지원 : PPX-Series 에대한모든트리픽을실시간으로모니터링할수있음 인증트래픽모니터링지원 네트워크드래픽모니터링지원 PPX-AnyLink Series 사용을위한 S/W 무상제공 (Site Based License) BISHOP 39 AnyVPN GUI