802.1X와 RADIUS 인증 체계

핵심 정리

802.1X와 RADIUS는 무선랜과 유선 포트에 접속하는 단말의 신원을 확인하고, 접근을 허용할지 정하는 인증 체계의 두 축이다. 802.1X는 포트 기반 접근 제어와 인증을 위한 표준이다. 포트는 인증이 끝나기 전까지 일반 데이터를 통과시키지 않으며, 인증에 성공한 뒤에만 열린다. 따라서 802.1X는 인증 없이 내부망에 들어오는 경로를 막는 장치로 설명된다.

인증은 사용자가 누구인지 확인하는 단계이고, 인가는 확인된 사용자가 무엇을 할 수 있는지 정하는 단계이며, 회계는 사용 기록을 남기는 단계다. AAA는 이 세 기능을 묶어 부르는 말이다. RADIUS는 등록된 사용자만 대상으로 인증, 인가, 회계를 처리하는 프로토콜이다. RADIUS에서는 장비가 직접 인증 여부를 판단하지 않고 중앙 서버가 인증을 맡는다.

무선 구간에서는 WPA-EAP 방식이 인증에 RADIUS 서버를 이용할 수 있다. WPA에는 개인 모드와 엔터프라이즈 모드가 있다. WPA 개인 모드는 PSK에서 유도한 키를 쓰고, 엔터프라이즈 모드는 RADIUS 서버와 EAP 표준으로 인증한다. 사용자별 신원을 확인해야 하는 환경에는 엔터프라이즈 모드가 적합하다.

RADIUS 서버가 인증 결정을 내리면 NAS는 그 결과에 따라 접속을 허용하거나 차단한다. 따라서 인증 체계의 효과는 단말에서 끝나지 않고, 중앙 서버의 판단과 서버 사이의 전송 구간이 안전한지에 달려 있다. 이 구조는 판단과 전송이 모두 중앙 장비에 의존한다는 한계가 있다. 서버의 판단이 늦어지면 접속도 늦어지므로 가용성도 고려해야 한다.

이 체계가 작동하려면 단말, 인증자, 인증 서버라는 세 요소가 모두 필요하다. 이 중 하나라도 빠지면 포트를 열지 닫을지 판단할 수 없다. 기업 환경에서 사용자 단위로 접속을 통제하려면 이 세 요소와 RADIUS 서버, EAP가 함께 작동해야 한다.

자세히

802.1X의 역할 분담과 상호 인증

802.1X에서는 접속을 요청하는 단말을 신청자, 포트를 가진 장비를 인증자, 신원을 판정하는 장비를 인증 서버라고 부른다. 이처럼 역할을 나누므로 포트는 인증자의 판단에 따라 열리고 닫힌다. 인증 전에 포트가 허용하는 것은 인증 메시지뿐이므로, 인증에 실패한 단말은 내부망의 다른 장비와 통신하지 못한다. 무선 단말과 인증 서버는 IEEE 802.1X 방식에서 상호 인증을 수행할 수 있다. 상호 인증은 단말이 서버를 신뢰할 수 있는지, 서버가 단말의 신원을 확인했는지를 양쪽에서 따지는 절차다. IEEE 802.11i 인증 단계에서도 STA와 인증 서버는 상호 인증을 위해 EAP를 교환한다.

WPA 개인 모드와 엔터프라이즈 모드의 차이

WPA 구현에서는 EAP 기반 802.1x 인증과 WPA-PSK를 함께 쓸 수 있다. 두 방식은 키를 누가 어떻게 나눠 갖는지에서 차이가 난다. 개인 모드는 사용자가 미리 공유한 암호에서 키를 만들며, 별도의 인증 서버 없이 동작한다. 따라서 사용자별 신원을 구분하는 인증에는 적합하지 않다. 반면 엔터프라이즈 모드는 RADIUS 서버가 사용자별로 판단하므로 접속 기록과 권한을 사용자 단위로 관리할 수 있다.