Cisco IOS Easy VPN Cisco Easy VPN on Cisco IOS Software-Based Routers Cisco Easy VPN 솔루션개요 Cisco Easy VPN 솔루션 ( 그림 1) 은사이트간 (site-to-site) 그리고원격액세스간 VPN에서유연성과확장성및사용용이성을제공합니다. 규모가작은지사사무실이나재택작업환경또는이동근무자처럼기술지원담당자를두기가어려운곳에서 VPN 을구현해야하는고객에게매우유용합니다. 이솔루션은시스코라우터, 보안어플라이언스및소프트웨어 VPN 클라이언트를단일구현으로통합하여 VPN 장치의선택권과지원면에서매우뛰어난유연성을제공합니다. 대규모 VPN 을구현할경우모든시스코 VPN 장치간에일관된정책과키관리방식을중앙에서적용함으로써관리의복잡성을줄여줍니다. 그림 1. Cisco Easy VPN 솔루션개요 애플리케이션 : 소규모구현이동작업자나재택근무자의경우고성능인터넷연결을가지기가쉽지않습니다. 업무의효율성을높이려면이러한작업자들이전자리소스를집에서안전하고완전하게액세 All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 1
스할수있어야합니다. 즉, 이러한작업자들을위해서는높은수준의인증과데이터암호화기능을갖춘 VPN 연결을설정하는것이효율적입니다. Cisco Easy VPN 솔루션은소규모사무실이나기업의지사사무실에서일하는원격작업자나재택작업자들이공개인터넷을사용하여 VPN 연결을설정하는작업을간단하게할수있도록도와줍니다. VPN 연결은이러한작업자들이업무에필요한네트워크리소스에보다빠르게접근할수있게하며, 다른보안방법에비해비용도훨씬작게소요됩니다. 이전에는원격작업자들에게보안액세스를제공할때주로 PPTP(Point-to-Point Tunneling Protocol) 를사용하여홈오피스에연결했습니다. 하지만이방법은홈오피스보안연결을사용자가터미네이션할수있게해주는반면에, PPTP 터널이사용자인증을제공하지않기때문에전체적인보안한계를낮추는결과를가져옵니다. 그외보안연결을설정하는이외에다른방법들은네트워크에서모든플랫폼을지원하지못해서생기는한계를가지고있습니다. 솔루션구성요소 Cisco Easy VPN 솔루션은 Cisco Easy VPN Remote와 Cisco Easy VPN Server, 이두가지운영구성요소를기본으로구성됩니다 ( 그림 2). 그림 2. Cisco Easy VPN 솔루션 Cisco Easy VPN Remote는 VPN 연결을사용하는지사또는원격사용자측을나타냅니다. Cisco IOS Software 기반라우터나 Cisco ASA 보안어플라이언스또는 Cisco VPN Client 소프트웨어를실행하는 PC 등다양한장치가 Easy VPN Remote로참여할수있습니다. Cisco Easy VPN Server는 VPN 터널을사용하는헤드엔드측을나타냅니다. Cisco IOS Software 기반라우터, Cisco Catalyst 스위치및 Cisco ASA 보안어플라이언스는지사사무실이나재택작업환경또는이동중인작업지에서사용하는장치를포함하여수천개의 Easy VPN Remote 장치에대해 Easy VPN 어그리게이션포인트로서의역할을수행합니다. Cisco Easy VPN Server는중앙집중식정책푸시기능을사용하여사전에정의된보안 All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 2
정책과구성매개변수를 Easy VPN Remote 장치에자동으로전송합니다. 예를들어, 내부 IP 주소, 내부서브넷마스크, DHCP 서버주소, WINS 서버주소및분할터널링 (Split Tunneling) 플래그와같은구성매개변수를원격장치에푸시할수있으며이를통해관리가간단해집니다. 여러원격장치를개별적으로구성해야하는대규모 CPE(customer premises equipment) 구현이나 IT 지원에들어가는노력을줄일수있기때문에원격사무실에매우이상적입니다. 주요기능및이점 Cisco Easy VPN 솔루션은다음을포함하여이외에도수많은기능과이점을제공합니 다. 네트워크통합 : Cisco IOS Software 는다양한토폴로지와사용사례에서작업할수있는고급 VPN 솔루션을제공하는데이솔루션의핵심은네트워크통합입니다. 즉, 네트워크에서사용되는다양한장치간의문제뿐아니라, 같은장치에서 VPN 과 IP 서비스를어떻게통합할것인지가중요합니다. 간단한관리 : Cisco Easy VPN 솔루션은중앙집중식정책푸시기능과 Easy VPN 의 향상된아키텍처 ( 가상터널인터페이스통합 ) 와같은기능을통해간단하고지속적인 관리를제공합니다. 인증 : Cisco Easy VPN 은그룹및 xauth 수준인증을모두사용하는원격 클라이언트와사용자의인증을위해두가지준비프로세스를지원합니다. 확장성및고가용성 : Cisco Easy VPN Server 는수천개의원격장치를어그리게이션할수있어고도로확장가능한구현이가능합니다. 이러한시나리오에서 가장중요한고려사항은고가용성으로, 수많은사이트에서장치고장이나연결실패가 발생하지않도록하기위해이를지원하는다양한매커니즘이 Cisco Easy VPN 솔루션에내장되어있습니다. 소유비용절감 : 보안과 VPN 을단일장치에결합함으로써비즈니스요구가확대될때확장성과모듈식방식에따라투자보호뿐아니라초기비용을절감할수있습니다. 특히필수적인지점라우터 (branch router) 의경우에는그효과가더큽니다. 또한 학습해야할관리솔루션도한가지로줄어들기때문에교육의요구도최소화되고 지속적인운영도간소화됩니다. Cisco IOS Software 기반라우터는업계최고의장치 관리기능과함께다중프로토콜라우팅, 경계선보안 (perimeter security), 침입방지, 고급 VPN 등을모두수용하는확장가능한최강의올인원솔루션을제공합니다. 네트워크통합 표 1 은 Cisco Easy VPN 솔루션의주요네트워크통합기능과이점을설명합니다. 표 1. 네트워크통합기능및이점 All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 3
주요기능새롭게강화된 Easy VPN Virtual Tunnel Interface(VTI) 통합 VRF( 가상경로포워딩 ) 통합 TCP 기반방화벽트래버셜 NAT( 네트워크주소변환 ) 통합 SafeNet 클라이언트 설명및이점 Enhanced Easy VPN 아키텍처는 GRE(generic routing encapsulation) 와같은 IPsec 내부프로토콜을캡슐화하지않아도 IP Security(IPsec) 를사용하여직접구성할수있는새로운가상인터페이스를제공하며. 네트워크통합은다음과같은이점을제공합니다. QoS와같은사용자별속성 - VTI를사용하면사용자별로쉽게정책을구성할수있습니다. VTI는원하는애플리케이션성능을제공하고사용자의생산성과의욕을유지할수있게관리자의능동적인관리를지원합니다. 터널특정기능 - VTI를사용하면각분기 VPN 터널을자체매개변수세트를사용하여구성할수있으며, 사이트별요구사항에맞춰구성과보안을직접정의할수있는유연성을제공합니다. VTI 를사용한 VRF 통합을통해여러 VRF 인스턴스를여러인터페이스에서터미네이션할수있습니다. 이기능은대규모서비스제공업체와엔터프라이즈 MPLS(Multiprotocol Label Switching) 구현을용이하게합니다. IPsec TCP 패킷을타사방화벽장치를통해터널링할수있습니다. 표준 ESP(Encapsulating Security Payload) 또는 UDP(User Datagram Protocol) 포트 500 을허용또는비허용할수있습니다. NAT 통합은 UDP 포트 500(RFC 3947) 에따라 NAT 투명성을지원함으로써 IPsec 와 NAT 사이에알려진비호환성문제를처리하고해결합니다. SafeNet 클라이언트는특정 ISAKMP(Internet Security Association and Key Management Protocol) 로컬주소를사용하여클라이언트구성그룹으로바인딩합니다. 서로다른고객들이서로다른로컬터미네이션주소를사용하여동일한피어 ID 와 ISAKMP 키를사용할수있습니다. 다음기능들은 Cisco Easy VPN 에서가장사용하기편리한기능들입니다. 동적정책업데이트 : 네트워크작업자나서비스제공업체가최종사용자의장치를건드리지않고도필요에따라장비와네트워크구성을변경할수있습니다. Easy VPN Server 는필요시최신보안정책을푸시하여수동구성및이로인한작업자의오류를최소화할수있으며, 이에따라추가서비스콜도줄어드는효과가있습니다. All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 4
향상된 Easy VPN 아키텍처 (VTI 통합 ): 원격지사측뿐만아니라헤드엔드측에서도구성요구사항이대폭간소화됩니다. 가상템플릿인터페이스를사용하여 IP 서비스를구성할수있으며,( 또는 AAA 서버 (authentication, authorization, 및 accounting) 에서다운로드할수있습니다.) 연결시 VTI 인스턴스가이러한템플릿에서동적으로복제됩니다. 따라서각원격사이트에대한비슷한구성명령세트를수동으로만들필요가없습니다. Enhanced Easy VPN 은라우팅프로토콜을지원하지않지만여러서브넷에대한연결가능정보를분산하는 RRI(Reverse Route Injection) 를사용하면정상적으로작동됩니다. 하드웨어 VPN 클라이언트 : VPN 라우터또는보안어플라이언스가 VPN 클라이언트역할을수행하여 LAN 상의 PC 사용자대신암호화를처리합니다. 따라서최종사용자가외부 VPN 장치를구매하고구성할필요가없습니다. Cisco Easy VPN 및 Cisco Unity 프레임워크 : PC 기반의소프트웨어 VPN 클라이언트와외부하드웨어기반의 VPN 솔루션, 그리고기타 VPN 애플리케이션처럼서로다른기반간에일어날수있는상호운용성문제를줄여줍니다. Cisco Easy VPN의정책푸시기능의동적특성 ( 예 : 온디맨드및자동화 ) 은소규모사무실, 재택작업자, 원격사무실, 지사사무실환경에대한 VPN 롤아웃을대폭간소화하는핵심기능입니다. 표 2는정책푸시기능의주요특징과이점을보여줍니다. 표 2. 중앙집중식정책푸시기능및이점 주요기능브라우저프록시구성 Include-Local-LAN 로그인배너 ( 하드웨어클라이언트에해당 ) 자동업그레이드 ( 소프트웨어클라이언트 ) 설명및이점이기능을사용하면수동으로조작하지않아도 Easy VPN Server 에서프록시서버를원격장치로자동으로푸시할수있습니다. 연결이해제되면원격서버의원래프록시설정이자동으로변환됩니다. LAN 연결은비분할터널 (non-split-tunnel) 연결로유지할수있습니다. 이렇게하면소스연결이다시설정되었을때프린터나서버와같은로컬리소스의연결을유지할수있습니다. Easy VPN Server 는 Extended Authentication(Xauth) 및웹기반인증을수행하는동안배너가사용되는원격장치로배너를푸시하며, Easy VPN 터널이처음중단될때원격장치에개인화된메시지를표시할수있습니다. Easy VPN Server 가 Easy VPN Client 의소프트웨어업그레이드를자동화하는매커니즘을제공하도록구성할수있습니다. All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 5
자동구성업데이트통합클라이언트방화벽을위한중앙정책푸시 DHCP 클라이언트프록시및분산 DNS 분할터널링분할 DNS 지원 Easy VPN Server 가 Easy VPN 원격클라이언트에대한소프트웨어및펌웨어업그레이드를자동화하는매커니즘을제공하도록구성할수있습니다. 또한모든클라이언트를직접터치할필요없이간단하게구성변경을푸시할수있습니다. 이기능을사용하면 Cisco IOS Software 기반 Easy VPN Server 에서분할터널링에대해향상된보안을허용하도록클라이언트시스템에대한개인방화벽을구성할수있습니다. EasyVPN Server 는최신방화벽구성정책이없는클라이언트가 VPN 에참가하는것을허용하지않도록지정할수도있습니다. Easy VPN Server 는프록시 DHCP 클라이언트역할을수행하며, DHCP 서버로부터 IP 주소를가져오고클라이언트로이 IP 주소를푸시합니다. Cisco Easy VPN Server 에서이기능을사용하여회사 DHCP 서버로부터클라이언트로 IP 주소를지정하여 IP 주소지정관리를중앙화할수있습니다. 분할터널링 (Split tunneling) 을사용하면인트라넷대상트래픽 (Internet-destined traffic) 을암호화하지않은상태로인터넷으로직접보낼수있습니다. 이기능을사용하지않으면모든트래픽은헤드엔드측장치로전송된후대상리소스로다시라우팅됩니다. ( 웹액세스경로에서회사네트워크를제거합니다 ) 분할터널링은원격위치에서중요한업무데이터와애플리케이션에액세스하는사람의대역폭을늘림으로써, 회사의 IT 리소스를보다효율적으로사용할수있게합니다. Easy VPN 클라이언트는분할 DNS(Split-DNS) 를통해 DNS 프록시역할을수행하여, 인터넷질의를 ISP 의 DNS 서버로보내고, 회사의 DNS 요청을회사 DNS 서버로보냅니다. 인증 표 3 은 Cisco Easy VPN 솔루션의주요인증기능과이점을설명합니다. 표 3. 인증기능및이점 All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 6
주요기능 AAA 서비스 설명및이점 RADIUS 클라이언트역할을수행하여 RADIUS 를통해사용자인증을수행합니다. 즉, 로컬인증및권한부여를수행하고어카운팅세션정보를지원합니다. 디지털인증서터널엔드포인트인증을위한디지털인증서를지원합니다. 암호화된암호관심트래픽에대한터널활성화 (ACL 트리거 ) Xauth 을위한웹인터셉터 Xauth 우회 AAA 를사용하여암호만료 Cisco IOS Software 의비밀번호를쉽게알아낼수없도록암호화스키마를강화하여강력한암호를사용합니다. ACL( 액세스제어목록 ) 에정의된관심트래픽에기반하여보안터널을구축할수있습니다. 어떤트래픽을암호화할것인지세분화된단계에서제어하는기능을사용하면잠재적인대역폭사용량을줄일수있습니다. Cisco IOS Software 기반하드웨어클라이언트에대한 Xauth 자격증명을입력할수있는 HTTP 인터페이스를제공하므로로그인하기위해 CLI 를사용할필요가없어졌습니다. 이에따라사용자가단일포트가아닌전체장치를인증할수있게되었습니다. 터널을우회하는옵션을제공하여재택근무자의암호화되지않은인터넷액세스가허용됩니다. 이전암호가만료되면 VPN 클라이언트사용자가새암호를입력할수있습니다. 확장성및고가용성 표 4 는 Cisco Easy VPN 솔루션의주요고가용성및확장성기능과이점을설명합니다. 표 4. 고가용성및확장성기능과이점 주요기능 RRI(Reverse Route Injection) DPD(Dead Peer Detection) 및 Keepalives 설명및이점고가용성또는로드밸런싱중하나를필요로하는 VPN 을위해 RRI 가네트워크설계를간소화했습니다. RRI 는헤드앤드장치측의각원격네트워크나호스트에서동적경로전달 (propagation) 을허용하도록경로를만듭니다. DPD 는서로다른서브넷상의집선기 (concentrator) 들간의장애복구를원하는환경에서이상적입니다. 라우터는정기적인간격으로 IKE 피어에게질의하여데드피어를조기감지할수 All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 7
있습니다. HSRP(Hot Standby Router Protocol) IPsec 상태저장장애복구잘못된 SPI(Security Parameter Index) 복구다중백업피어기본피어재활성화 (Primary Peer Reactivation) 원격이중터널 (Remote Dual Tunnels) IPsec Single Security Association 서버로드밸런싱 : HSRP 는단일라우터의가용성에의존하지않고이더넷네트워크상의호스트로부터 IP 트래픽을라우팅하여높은네트워크가용성을제공합니다. RRI 와 HSRP 를함께사용하면 VPN 에보다안정된네트워크설계를제공하고원격피어구성에서복잡성을줄일수있습니다. 상태저장장애복구 (Stateful failover) 는계획되었거나계획되지않은전원중단이발생해도라우터에서 IPsec 를계속처리하고포워딩하도록합니다. 잘못된 SPI 메시지가수신되면자동으로수신자를트리거하여새키교환을초기화합니다. Keepalive 또는 DPD 를지원하지않는 IKE 피어는잘못된 SPI 복구기능을사용하여장애복구후에피어를재동기화할수있습니다. 이기능을사용하면라우터에서로컬다중피어구성을지원할수있습니다. 기본 VPN 터널연결이해제되면 Easy VPN 클라이언트는장애복구가발생한후기본피어와의연결을계속재시도하게됩니다. 기본피어를사용할수있게되면연결이다시설정되고백업연결은삭제됩니다. 이기능을사용하면인터페이스내부및외부에서공통인터페이스를공유하는여러 Easy VPN 터널이서로다른 VPN 서버로두피어를동시에연결하도록구성할수있습니다. 이기능은지원되는다중서브넷수와 split-include 목록의크기에상관없이단일 IPsec 터널을설정합니다. VPN 라우터에대한리소스사용이감소되고확장기능이강화됩니다. Cisco IOS Software 는구성된로드밸런싱알고리즘을기반으로서버를선택합니다. 선택한서버중하나가실패할경우모든수신요청이나머지서버로동적으로라우팅됩니다. 총소유비용절감 Cisco Easy VPN 솔루션은기업의총소유비용을다음과같이다양한방식으로절감합 니다. All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 8
자본지출절감 : 통합된 Cisco IOS Software 기반솔루션은별도로어플라이언스를설치하는것과비교하면초기구매비용을줄여줍니다. 이솔루션은 VPN 클라이언트소프트웨어를함께제공하므로, 추가기능라이센스가없어도원격액세스사용자에대한지원을제공할수있습니다. 교육비용절감 : Cisco Easy VPN 기능은표준 IOS CLI 를사용하여구성할수있습니다. 새로운교육을확장하지않아도네트워크작업자가솔루션을쉽고직관적으로설치하고문제해결을처리할수있으며, 새로운하드웨어와소프트웨어를학습할필요가없습니다. 운영비절감 : 원격하드웨어와소프트웨어에대한변경사항이계속진행중인경우에도사용자개입을최소화하는중앙집중식정책푸시기능의대규모구현이점을누려보십시오. 소규모구현에서는제공되는장치관리애플리케이션, Cisco 라우터및 Security Device Manager(SDM) 를사용하여 Cisco Easy VPN 을구성할수있습니다. 간단한 Cisco SDM 마법사를통해라우팅, QoS, VPN 및보안기능 ( 예 : Cisco TAC-승인기본방화벽정책 ) 뿐아니라방화벽로그의실시간모니터링을구성할수있습니다. 지원및유지보수비용절감 : 단일통합장치는단일지원계약을의미합니다. 단일지원계약은다중장치에지속적으로발생하는비용을절감해주며, 단일공급업체를관리하므로여러관계를관리하는것보다훨씬간단합니다. 표 5 는 Cisco 플랫폼에따라지원되는 Cisco Easy VPN 터널의수를나타냅니다. Table 5. 플랫폼별로지원되는터널수 플랫폼 Easy VPN 터널의 최대수 Cisco 870 시리즈통합서비스라우터 10 Cisco 1801, 1802, 1803, 1811, 1812 통합서비스라우터 50 SSL VPN 고급통합모듈 1 을사용하는 Cisco 1841 통합서비스 라우터 (AIM-VPN/SSL-1) 800 AIM-VPN/SSL-2 를사용하는 Cisco 2800 시리즈통합서비스라우터 1500 AIM-SSL-3 을사용하는 Cisco 3825 통합서비스라우터 2000 AIM-SSL-3 을사용하는 Cisco 3845 통합서비스라우터 2500 VPN Acceleration Module 2+(VAM2+) 를사용하는 Cisco 7200 시리즈 라우터 5000 NPE-G2 Network Processing Engine 및 VPN Services Adapter 를 5000 All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 9
사용하는 Cisco 7200VXR Routers VAM2+ 를사용하는 Cisco 7301 라우터 5000 IPSec VPN 공유포트어댑터를사용하는 Cisco 7600 시리즈라우터 16,000 IPsec VPN SPA 를사용하는 Cisco Catalyst 6500 시리즈스위치 16,000 시스템요구사항표 6은 Cisco IOS Software를실행하는 Cisco 라우터및스위치에서 Cisco Easy VPN 소프트웨어를실행할수있는시스템요구사항을나타냅니다. 표 6. 시스템사양 주요기능하드웨어소프트웨어호환성 설명 Easy VPN Remote: Cisco 800, 1800, 2800 시리즈통합서비스라우터 Cisco ASA 5500 시리즈적응형보안어플라이언스 Easy VPN Server: Cisco 1800, 2800, 3800 시리즈통합서비스라우터 Cisco ASA 5500 시리즈적응형보안어플라이언스 Cisco 7200 시리즈라우터, Cisco 7301 라우터및 Cisco Catalyst 6500 시리즈스위치 Cisco IOS Software Release 12.4XW Cisco IOS Software Release 12.4XJ Cisco IOS Software Release 12.4T 주문정보모든 Cisco 라우터보안번들에는 Cisco Easy VPN에대한지원이포함됩니다. 라우터보안번들목록은 http://www.cisco.com/go/securitybundles를참조하십시오. 주문을하려면시스코주문홈페이지를방문해주십시오. 소프트웨어를다운로드하려면다음시스코소프트웨어센터 (Cisco Software Center) 를방문하십시오. http://www.cisco.com/public/sw-center/netmgmt/cmtk/mibs.shtml. 시스코서비스 시스코서비스는네트워크와애플리케이션그리고그것을사용하는사람들의협업을효율 All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 10
적으로개선합니다. 오늘날, 네트워크는사용자, 정보그리고아이디어간의효율적인통합을요구하는전략적플랫폼이며, 고객의비즈니스요구와기회를고려하여적합한서비스및제품으로솔루션을구성할때보다효과적으로작동합니다. 시스코만의서비스라이프사이클접근법은네트워크라이프사이클의각단계에맞는활동을정의하여서비스우수성을보장합니다. 시스코와시스코파트너간의숙련된네트워크, 그리고고객들의힘이결합된협업방식을통해최선의결과를얻을수있습니다. 추가정보 Cisco Easy VPN 에대한자세한내용은 http://www.cisco.com/go/easyvpn 을참조하거나시 스코영업담당자에게문의하십시오. < 업데이트 : 2008 년 11 월 20 일 > All contents are Copyright 1992 2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information 11