단말 접속 구간에서 확인하는 정보

단말이 어느 포트에 연결됐는지, 어떤 IP를 할당받았는지와 어떤 서버를 신뢰하는지는 서로 연결된 정보입니다. MAC 주소 학습만으로 사용자의 신원을 인증할 수는 없습니다.

포트 보안은 허용 MAC과 학습 수를 제한하는 방식이고 802.1X는 포트 기반 접근 인증의 체계입니다. 단말이 실제로 여러 주소를 쓰는 정상 구성도 고려해야 합니다.

DHCP Snooping과 Option 82

DHCP Snooping은 신뢰 방향과 DHCP 메시지를 검증하고 IP와 MAC 및 VLAN과 포트 등의 바인딩을 관리할 수 있습니다. DHCP 릴레이는 다른 네트워크의 서버로 요청을 전달하는 별도의 역할입니다.

Option 82는 릴레이가 접속 위치 등의 정보를 서버에 전달하는 옵션입니다. 정보가 있다는 사실만으로 암호학적인 단말 인증이 성립하지는 않습니다. 삽입과 전달 및 서버 처리 정책을 함께 확인합니다.

동적 ARP 검사인 DAI는 ARP 메시지가 신뢰할 수 있는 IP와 MAC 관계에 맞는지 검사합니다. IP Source Guard는 포트로 들어오는 IP 트래픽의 출발지가 허용된 바인딩과 맞는지 제한합니다.

DHCP 바인딩을 활용할 수 있지만 검사하는 대상이 다릅니다. 고정 IP 장비에는 정적 바인딩이나 별도 허용 기준이 필요한지 확인해야 합니다.

RA Guard는 허용되지 않은 IPv6 라우터 광고를 제한하고 DHCPv6 Guard는 비인가 DHCPv6 서버나 릴레이의 메시지를 다룹니다. IPv4의 ARP와 DHCP 보호를 그대로 같은 기능으로 설명하면 안 됩니다.

RA Guard는 확장 헤더 등 우회 가능성에 대한 구현 보완도 중요합니다. 기능 이름이 표시돼 있다는 사실만으로 모든 위조 메시지를 차단한다고 보장하지 않습니다.

서버와 릴레이 및 상위 장비 방향, 고정 IP 장비와 IP 전화 및 여러 단말이 연결된 포트를 구분합니다. 바인딩 저장과 재부팅 후 복원 여부도 장비의 지원 범위에 포함됩니다.

신뢰 방향이나 바인딩이 잘못되면 정상 주소 할당과 통신까지 막힐 수 있습니다. 정상 트래픽을 기준으로 기능별 결과를 나누어 확인합니다.