IPsec 및 그룹 정책을 통한 서버 및 도메인 격리

  • 아티클

업데이트 날짜: 2005년 2월 16일

1장: 서버 및 도메인 격리 소개

데이터 또는 통신이 손상되지 않도록 보호하기 위해 컴퓨터와 네트워크를 물리적으로 격리하는 방법은 수년 동안 사용되어 왔습니다. 물리적 격리의 문제점은 많은 기업 조직의 정보 기술(IT)이 하드적인 물리적 경계로 간편하게 보호될 수 없다는 것입니다. 모바일 클라이언트의 증가와 분산형 네트워크 환경의 특성으로 인해 물리적 제한 사항이 구현되고 작동되기에는 지나치게 경직되어 있습니다.

서버와 도메인 격리를 통해 보안 계층을 형성하여 컴퓨터 또는 네트워크 간에 이동하는 네트워크 트래픽을 논리적으로 격리할 수 있습니다. 공격자가 컴퓨터의 내부 네트워크에 대한 물리적 액세스 권한을 얻고 가치 있는 데이터 자신이 포함된 서버에 액세스하려고 하는 경우 서버와 도메인 격리는 공격자가 유효한 사용자 계정과 암호를 사용했다 해도 사용하고 있는 컴퓨터가 트러스트된 회사 장치가 아니라면 액세스를 차단할 수 있습니다.

서버와 도메인 격리 기법을 사용하는 논리적 격리 접근 방식을 통해 물리적 격리의 비용 또는 경직성이 없이 격리의 보안을 제공하는 유연하고 확장 가능하며 관리 가능한 격리 솔루션을 배포할 수 있습니다.

이 페이지에서

요약
이 가이드가 필요한 대상
비즈니스 도전 과제
프로젝트 팀 구성
가이드 개요
시나리오 개요
요약

요약

Microsoft는 대기업들이 높아져 가는 네트워크 주변의 보안 유지라는 도전 과제에 직면하고 있다는 사실을 알고 있습니다. 조직이 성장하고 비즈니스 관계가 변함에 따라 물리적인 네트워크 액세스가 통제 불가능할 수 있습니다. 일상적으로 고객, 공급업체 및 컨설턴트는 합당한 비즈니스상의 이유로 귀사의 네트워크에 모바일 장치를 연결합니다. GPRS(General Packet Radio Service)와 Bluetooth와 같은 무선 네트워크와 무선 연결 기술의 출현으로 네트워크 액세스가 이전 보다 훨씬 쉬워졌습니다. 이러한 강화된 연결성은 곧 내부 네트워크의 도메인 구성원이 주변 보안의 위반뿐 아니라 내부 네트워크의 다른 컴퓨터의 상당한 위험에 대한 노출 가능성이 높아져 가고 있다는 것을 의미합니다. 개인 또는 호스트 기반의 방화벽이 인터넷에 연결된 클라이언트의 보안을 유지하는 데 도움이 될지라도 내부 서버와 클라이언트를 보호하는 데는 아직 부적합합니다.

서버와 도메인 격리는 여러 다양한 비즈니스 이점을 제공합니다. 무엇보다도 중요한 이점은 조직의 내부 네트워크상의 트러스트된 도메인 구성원에 액세스하는 트러스트되지 않은 호스트의 위협을 상당히 줄여 줄 수 있는 네트워크 보안 계층을 제공한다는 점입니다. 서버와 도메인 격리는 바이러스 전파, 내부 해커, 직원들의 기술 자산의 남용 및 정보 절도 등을 예방하는 데 중요한 전략이 될 수 있습니다. 또한, 클라이언트나 서버든지 트러스트된 리소스에 액세스하려는 모든 클라이언트의 도메인 구성원 자격을 요구하는 데 사용되어 전문 IT 담당자가 더욱 효율적으로 관리할 수 있습니다. 서버와 도메인 격리는 기존 Microsoft® Windows® 응용 프로그램을 수정하거나 네트워크의 VPN(가상 사설망) 터널링 하드웨어를 배포하지 안고도 데이터 개인 정보와 네트워크 트래픽의 데이터에 대한 기타 보호 요건을 충족시키기 위한 기본 또는 추가 전략으로 사용될 수도 있습니다.

코어에서 서버와 도메인 격리를 통해 IT 관리자는 트러스트된 컴퓨터인 도메인 구성원의 TCP/IP의 통신을 제한할 수 있습니다. 이러한 트러스트된 컴퓨터는 다른 트러스트된 컴퓨터 또는 특정한 트러스트된 컴퓨터 그룹의 들어오는 연결만을 허용하도록 구성할 수 있습니다. 액세스 제어는 Microsoft® Active Directory® 그룹 정책을 통해 중앙에서 관리되어 네트워크 로그온 권한을 제어합니다. 거의 모든 TCP/IP 네트워크 연결은 IPsec이 응용 프로그램 계층 아래의 네트워크 계층에서 작동하여 컴퓨터 종단 간 인증과 패킷 단위 보안을 제공하기 때문에 응용 프로그램 변경 없이도 보안이 유지될 수 있습니다. 네트워크 트래픽은 사용자가 지정할 수 있는 다양한 시나리오로 인증되거나 인증되어 암호화될 수 있습니다. 그룹 정책 및 IPSec 구성은 Active Directory에서 중앙 관리됩니다.

본 가이드에 제시된 논리적 격리의 개념은 두 가지 솔루션으로 구체화되고 있습니다. 즉, 서버가 트러스트된 도메인 구성원 또는 특정 도메인 구성원 그룹의 네트워크 연결을 수락하도록 하는 서버 격리와 트러스트되지 않은 연결의 도메인 구성원을 격리하는 도메인 격리가 있습니다. 이러한 솔루션은 전반적인 논리적 격리 솔루션의 일부분으로 별도로 또는 함께 사용될 수 있습니다.

이 장에 제공된 테스트된 솔루션은 다음과 같은 최소 플랫폼 구성이 필요합니다.

  • Windows 2000(서비스 팩 4 이상 포함)

  • Microsoft Windows Server™ 2003

  • Windows XP(서비스 팩 2 이상 포함)

이러한 구성 요건을 통해 IPsec 구성 요소는 반드시 개정이 필요합니다. Windows 플랫폼 이외의 플랫폼이나 트러스트되지 않은 시스템의 통신은 예외 목록을 가지고 있고 일반 텍스트(비 IPsec) 통신으로 돌아갈 수 있도록 허용된 IPsec 구성으로 제어됩니다. 네트워크 주소 변환기(Network Address Translator)는 이제 더 이상 새 네트워크 주소 변환(NAT) 통과 기능이 있는 LAN의 IPsec 사용에 장애가 아닙니다.

이 가이드에서는 대표적인 랩 환경에서 서버와 도메인 격리의 구현을 입증하기 위해 Woodgrove National 은행 시나리오를 사용하고 있습니다. 또한 Microsoft가 고객 환경뿐 아니라 내부적으로 이러한 두 가지 솔루션 구현을 통해 얻은 경험을 제시해 줍니다. 이 가이드는 분야별 전문가로 구성된 Microsoft 팀이 개발하고 Microsoft 전문 IT 담당자와 수많은 고객이 참여한 베타 프로그램을 통해 검토되었습니다.

서버와 도메인 격리 시나리오가 Microsoft 글로벌 내부 네트워크 내에 존재하기 때문에 Microsoft의 비즈니스는 이러한 솔루션의 보안에 좌우됩니다. 또한 이러한 솔루션을 고객에게 권장하는 데 있어 Microsoft는 신뢰할 수 있는 컴퓨팅 환경에 필요한 보안이 강화된 관리 가능한 인프라를 구축하기 위해 취해야 하는 장기적인 방향을 지원합니다.

페이지 위쪽

이 가이드가 필요한 대상

이 가이드는 초기 평가 및 승인 단계에서 배포, 테스팅 및 완료된 구현 관리에 이르기 까지 전체 IT 주기 단계 전반에서 서버 및 도메인 격리 솔루션을 지원하도록 제작되었습니다. 이러한 이유로 이 가이드를 구성하는 다양한 장은 다양한 독자들의 요구를 충족시키도록 작성되었습니다.

이 장에서는 주로 자신이 속한 조직이 서버 및 도메인 격리 프로젝트로 얻게 될 이점을 파악하려고 하는 비즈니스 의사 결정자를 위한 정보를 제공합니다. 이 장의 내용을 이해하는 데 조직의 비즈니스와 보안 요구에 대한 이해 이상의 특정한 기술적 지식이 필요하지 않습니다.

이 가이드를 구성하는 장(2, 3, 4장)을 계획할 때 조직에게 가장 맞는 솔루션 설계를 담당해야 하는 기술 아키텍트와 IT 전문가에게 가장 유용하도록 하는 데 주안점을 두었습니다. 이러한 장을 가장 효과적으로 활용하려면 관련 기술과 조직의 현재 인프라 모두를 적합한 기술적 수준에서 이해해야 합니다.

5장과 부록은 조직의 솔루션의 배포 계획을 세워야 하는 지원 담당자를 위해 제작되었습니다. 이 가이드에는 테스트 랩 환경을 만들기 위한 실질적인 구현 단계뿐 아니라 성공적인 솔루션 배포를 완성하는 단계에 대한 다양한 권장 사항이 포함되어 있습니다.

이 가이드의 6장은 솔루션이 구현되고 완전하게 작동된 후에 일상적인 작업을 담당해야 하는 담당자를 위한 참조 자료로서 제작되었습니다. 이 장에 강조된 수많은 작동 프로세스와 프로시저는 조직의 작업 프레임워크로 구축되어야 합니다.

7장은 IPsec 배포의 문제 해결에 대한 정보를 제공합니다. IPsec이 기본적으로 네트워크 통신에 영향을 끼치기 때문에 문제 해결 정보와 기법은 IPsec을 구현하려는 조직에게 상당한 도움을 줄 수 있습니다.

페이지 위쪽

비즈니스 도전 과제

오늘날 긴밀하게 연결된 조직과 모바일 네트워크 장치의 특성으로 인해 조직의 IT 인프라는 수많은 위험에 노출될 수 있습니다. 이러한 위험은 소규모 지사 또는 직원의 가정 내 원격 컴퓨터뿐 아니라 이동이 잦은 직업, 공급업체 및 고객 컴퓨터를 포함하여 다양한 소스로부터 발생할 수 있습니다. 대부분이 경우에 이러한 위험은 실수로 다운로드되어 무고한 사람의 컴퓨터로 설치되는 바이러스와 웜과 같은 악성 소프트웨어(일명 멀웨어)로부터 유발됩니다.

논리적 격리가 자체의 바이러스 백신 방어로 분류될 수 없을지라도 공격 가능성을 줄여주고 발생할 수 있는 범위를 최소화할 수 있는 추가 보안 계층을 제공하기 때문에 광범위한 바이러스 백신 솔루션에 속할 수 있습니다. 예를 들어, 스프레드시트를 제공하기 위해 귀사의 네트워크에 모바일 컴퓨터를 연결하는 방문 고객이 귀사의 IT 인프라에 위험을 유발할 수 있습니다. 물리적 네트워크에 직접 연결함으로써 고객은 네트워크 기반 공격을 보호하기 위해 설정된 주변 방어를 우회했습니다.

단, 고객이 연결하는 내부 네트워크가 귀사의 서버에 직접 액세스를 허용하지 않는 경우 이러한 위험은 완화될 수 있습니다. 문제는 그러한 조직의 리소스에 대한 액세스를 어떻게 필요한 컴퓨터로만 제한할 수 있는가 하는 것입니다. 그 해답은 바로 해당 컴퓨터 자체를 식별하고 인증하여 액세스가 허용된 리소스를 확인하는 기법인 서버와 도메인 격리에 있습니다. 인증은 서버가 로그온하기 전에 이루어지며 컴퓨터가 연결된 상태에서 유효합니다. 이러한 접근 방식을 통해 귀사의 네트워크에 연결하는 식별되지 않고 관리되지 않은 컴퓨터가 중요한 비즈니스 데이터에 미칠 수 있는 잠재적인 위험을 줄여줄 수 있습니다.

참고: 악성 프로그램과 귀하의 조직이 자체 방어할 수 있는 구체적인 방법에 대한 자세한 내용은 TechNet 문서, The Antivirus Defense-in-Depth Guide(영문)(TechNet at https://go.microsoft.com/fwlink/?LinkId=28732)를 참조하십시오.

업무상 이점

논리적 격리 방어 계층 사용의 이점은 다음과 같습니다.

  • 추가 보안. 논리적 격리 방어 계층은 네트워크상에서 관리되는 모든 컴퓨터에 추가 보안을 제공합니다.

  • 특정 정보에 액세스할 수 있는 제어력 강화. 이 솔루션을 사용함으로써 컴퓨터는 네트워크에 연결하는 것만으로는 모든 네트워크 리소스에 자동으로 액세스할 수 없게 됩니다.

  • 저렴한 비용. 이 솔루션은 일반적으로 물리적 격리 솔루션을 사용하는 것 보다 훨씬 저렴한 비용으로 구현할 수 있습니다.

  • 관리되는 컴퓨터 수의 증가. 관리되는 컴퓨터만 조직의 정보를 사용할 수 있게 되는 경우 모든 장치는 해당 사용자에게 액세스 권한을 제공하기 위해서는 관리되는 시스템이 되어야 합니다.

  • 악성 프로그램 공격에 대한 보호 수준 개선. 격리 솔루션은 트러스트되지 않은 컴퓨터가 트러스트된 리소스에 액세스할 수 있는 기능을 상당히 제한하게 됩니다. 이러한 이유로 트러스트되지 않은 컴퓨터의 악성 프로그램의 공격은 공격자가 유효한 사용자 이름과 암호를 획득한다 해도 연결이 허용되지 않기 때문에 실패합니다.

  • 네트워크 데이터 암호화 메커니즘. 논리적 격리를 사용하면 선택된 컴퓨터 간의 모든 네트워크 트래픽을 암호화할 수 있습니다.

  • 신속한 응급 격리. 이 솔루션은 공격 발생 시 네트워크 내부의 특정 리소스를 신속하고 효율적으로 격리하는 메커니즘을 제공합니다.

  • 공개적으로 사용 가능한 네트워크 연결 보호. 로비와 같은 일부 네트워크 연결 지점은 네트워크의 모든 리소스에 대한 직접 액세스를 제공하지 않습니다.

  • 개선된 감사 기능. 이 솔루션은 관리되는 리소스별로 네트워크 액세스를 기록하고 감사하는 방법을 제공합니다.

기술 도전 과제

직원들이 가장 민첩하고 생산적인 방식으로 작업할 수 있는 환경을 제공해 주는 동시에 최신 IT 인프라를 공격자의 위험으로부터 방어하는 것은 그리 쉬운 일이 아닙니다. 단순히 환경을 보호할 수 있는 광범위한 기술을 이해하는 것은 대부분의 사람들에게는 어려울 뿐입니다. 이 가이드는 해당 솔루션이 일반적인 IT 인프라에 적합한 분야와 기존 네트워크 방어 계층을 보완하도록 설계되는 방법을 정확하게 확인하는 데 도움이 될 수 있습니다.

다양한 네트워크 방어 계층으로 구성된 일반적인 네트워크 인프라를 보여 주는 다음 그림은 일반적인 환경에서 논리적인 격리가 적합한 부분을 제시하고 있습니다.

그림 1.1 인프라 영역 및 네트워크 방어 계층

그림 1.1은 일반적인 네트워크 인프라에 심층적인 방어 보안 설계를 제공하기 위해 사용할 수 있는 다양한 기술의 단순한 예시를 제공합니다. 이러한 인프라는 일반적으로 다음과 같은 요소로 구성되어 있습니다.

  • 원격 작업자 및 네트워크. 이러한 원격 엔터티는 일반적으로 VPN을 사용하여 조직의 내부 네트워크를 연결하고 조직의 IT 인프라에 액세스합니다.

  • 인터넷. 조직의 내부 네트워크는 하나 이상의 주변 방화벽 장치를 통해 네트워크에 연결되는 경우가 있습니다. 이러한 장치는 주변 네트워크에 상주하여 인터넷 연결로 발생하는 외부 위협에 대해 높은 보호 수준을 제공합니다.

  • 주변 네트워크. 이 네트워크는 인터넷에서 직접 액세스가 필요한 서버와 장치용으로 특별히 지정되어 있으며, 이것은 더 많은 공격 위험에 노출되어 있다는 것을 의미합니다.

  • 내부 네트워크. 일반적으로 이 네트워크는 IT 인프라의 일부로 운영 및 관리되는 사이트에 물리적으로 위치한 조직의 네트워크 그룹화를 나타냅니다.

  • 차단된 네트워크. 이 네트워크는 조직에서 규정하고 있는 최소 필요 보안 표준을 충족시키지 못하는 컴퓨터에 제한적인 연결성을 제공하는 상대적으로 새로운 구성 요소입니다. 필요한 테스트를 성공적으로 통과한 후에 컴퓨터와 사용자는 내부 네트워크에 대한 완전한 연결을 승인 받게 됩니다. 테스트 통과에 실패하는 경우 차단 네트워크가 테스트를 통과할 수 있게 해주는 필요한 요소를 다운로드하여 설치할 수 있기에 충분한 연결성을 제공하게 됩니다. Microsoft는 NAP(Network Access Protection)를 사용하여 원격 액세스 컴퓨터를 차단하는 새로운 기능을 제공합니다. 자세한 내용은 Network Access Protection 페이지(영문)(www.microsoft.com/nap)를 참조하십시오.

  • 파트너 네트워크. 이러한 네트워크는 조직에서 운영하거나 관리되지 않기 때문에 상당히 통제된 액세스 수준을 통해서만 특정 비즈니스 응용 프로그램이나 엑스트라넷 통신을 제공하는 VPN 터널 또는 주변 라우터를 통해 발생하는 프로세스를 허용할 수 있습니다.

그림 1.1은 논리적 격리가 내부 네트워크 호스트의 통신에 직접적으로 집중되어 있다는 점을 보여줍니다. VPN은 원격 액세스 서비스(RAS)를 통해서만 원격 작업자 또는 네트워크의 트래픽이 원격 위치에서 안전하게 연결할 수 있도록 관리됩니다. 네트워크 가장자리 방화벽은 인터넷과 내부 네트워크 간 연결을 보호합니다. NAP와 함께 RAS는 차단 네트워크를 사용하여 원격 작업자 연결을 관리할 수 있는 기능을 제공합니다.

현재, 이러한 다양한 네트워크 방어 수단은 일반적으로 심층 방어 네트워크 설계의 개별 구성 요소로서 설치되어 관리됩니다. 단, 향후 몇 년 동안 이러한 구성 요소는 단일 종단 간 솔루션으로 구현되어 관리될 수 있는 공통 네트워크 방어 수단으로 통합될 가능성이 있습니다.

현재 대부분의 네트워크 설계에서 놓치는 점은 다른 네트워크에서 내부 네트워크에 있는 컴퓨터를 보호할 수 있는 기능입니다. 대규모 내부 네트워크는 많은 조직을 지원하는 경우가 있고 일부 경우에 여러 IT 부서가 컴퓨터와 물리적 액세스 지점을 관리해야 합니다. 결론적으로, 모든 물리적으로 연결된 컴퓨터가 다른 컴퓨터에 대한 전체 네트워크 액세스 권한을 갖도록 트러스트된 단순히 하나의 네트워크로 내부 네트워크를 검토해서는 안 됩니다.

논리적 격리의 목표는 내부 네트워크가 세분화되고 격리되어 하드적인 물리적 경계가 없어도 높은 보안 수준을 지원할 수 있도록 하는 것입니다. 논리적 격리의 실제적인 기술적 도전 과제는 귀하의 조직에 관리 가능한 동시에 확장 가능한 방식으로 구현하는 것입니다. 필요한 비즈니스 작업을 수행하는 사용자의 능력을 저해하는 너무나 복잡하고 제한적인 설계는 격리 솔루션이 전혀 없는 것 보다 더욱 더 큰 문제를 일으킬 수 있습니다. 귀하가 솔루션 배포 전과 후에 적합한 계획가 테스트를 완료하는 것이 중요합니다. 이 가이드를 통해 확장 가능한 동시에 관리할 수 있어 배포 단계에서 제어되고 다양한 지점에서 테스트할 수 있는 방식으로 배포될 수도 있는 솔루션을 설계할 수 있습니다.

논리적 격리가 성취된 후의 추가 보안 계층은 인증된 클라이언트의 기능을 제한하지 않고 네트워크의 다양한 정보 자산에 대한 위험을 완화시켜 줄 수 있게 됩니다.

페이지 위쪽

프로젝트 팀 구성

이 솔루션은 잠재적으로 조직의 내부 네트워크 통신의 모든 영역에 영향을 끼치게 되고, 그 다음으로는 이러한 통신에 의존하는 모든 부서와 사용자에게 영향을 끼치게 됩니다. 이러한 이유로 조직의 모든 요구와 기대가 이 프로젝트의 모든 단계에서 소통되고, 문서화되고, 이해되며 고려되는 것이 중요합니다.

일반적인 조직에서 한 사람이 이 범위의 프로젝트에 필요한 모든 작업을 수행할 수 있을 것으로 기대하는 것은 현실성이 없기 때문에 프로젝트 팀을 구성하는 것이 좋습니다. 이 프로젝트 팀은 현재 IT 인프라의 주요 기술 영역뿐 아니라 조직 내 모든 부서의 담당자로 구성되어야 합니다. 프로젝트 팀이 조직 내에서 어떤 역할을 하는 것을 설명하는 것은 이 가이드의 범위를 넘는 것이기 때문에 이 프로젝트 주기 동안 적합한 프로젝트 팀이 정립되고 솔루션의 요건과 목표가 프로젝트의 다양한 단계에서 프로젝트 관계자들과 솔루션 사용자들에게 적절하게 전달될 것이라고 가정합니다. 이와 같은 프로젝트 구성 방법에 대한 자세한 내용은 Microsoft Solutions Framework(MSF) 웹 사이트(영문)(at www.microsoft.com/msf)를 참조하세요.

페이지 위쪽

가이드 개요

이 섹션은 IPsec 및 그룹 정책을 통한 서버 및 도메인 격리 가이드에 속한 각 장의 내용에 대한 간략한 요약을 제공합니다.

1장: 서버 및 도메인 격리 소개

이 장(1장)은 가이드를 구성하고 있는 각 장의 내용에 대한 요약과 간략한 소개를 제공합니다. 논리적 격리의 개념과 조직에 대한 서버 및 도메인 격리 접근 방식을 소개하고 비즈니스 합리성에 대해 논의하며 일반적인 IT 인프라에 어떻게 들어 맞는지를 보여줍니다. 또한 POC, 설계 및 테스트 목적으로 채택된 Woodgrove National 은행 시나리오에 대한 정보를 제공하기도 합니다.

2장: 서버 및 도메인 격리의 이해

2장에서는 트러스트된 호스트의 개념을 정의하고 트러스트가 도메인 또는 서버 격리 솔루션 생성에 사용되는 방법을 논의합니다. 서버 및 도메인 격리의 개념, IPsec 및 그룹 정책 간 관계를 검토합니다. 이 가이드의 기술적 내용은 방어하는 데 도움이 되는 기술적 위협과 IPsec을 사용하여 도메인 또는 서버 격리 솔루션을 생성할 때 직면할 수 있는 기술적 문제점의 두 가지 측면에서 솔루션을 통해 기대할 수 있는 상세한 기술적 설명을 제공합니다.

3장: 현재 IT 인프라 상태에 대한 파악

프로젝트를 착수하기 전에 솔루션 설계자들이 현재 IT 인프라에 대한 최신의 정확한 정보를 가지고 있는 것이 중요합니다. 이 정보에는 모든 네트워크 장비, 서버, 워크스테이션 구성 및 도메인 트러스트의 최신 상태가 포함됩니다. 또한, NAT, IPsec 기반 원격 액세스 VPN 클라이언트, 내부 방화벽 및 프록시와 내부 포트 기반 필터링과 같은 기타 네트워킹 기술의 잠재적인 영향을 다룹니다. 이 장에서는 정보 획득에 필요한 단계와 함께 계획에 필요한 정보에 대한 안내를 제공합니다.

4장: 격리 그룹의 설계 및 계획

이 장에서는 조직의 비즈니스 요건과 이러한 요건을 성취하는 데 도움이 되는 서버 및 도메인 격리 설계를 접목하는 방법에 대한 안내를 제공합니다. 단계별 접근 방식이 제공되어 격리와 관련된 조직의 보안 요건을 성취할 수 있는 격리 그룹 설계를 생성하는 데 도움이 됩니다. 또한, 이 장에서는 사용자가 배포 단계에서 조직에 대한 영향을 최소화하고 성공적인 구현의 기회를 최대화할 수 있도록 사용할 수 있는 다양한 배포 접근 방식을 설명합니다. 이 장의 모든 단계와 프로세스는 Woodgrove 은행 시나리오 예제로 제시됩니다.

5장: 격리 그룹을 위한 IPsec 정책 만들기

IPsec 정책은 사용자가 각 컴퓨터가 피어와 통신하는 규칙을 강제 적용하기 위해 사용하는 메커니즘입니다. 이러한 규칙은 그룹 정책 개체를 사용하는 트러스트된 도메인이 구성원에게 지정되고 전달됩니다, 이 장에서는 이러한 IPsec 정책을 만드는 방법과 이를 수신 컴퓨터에 배포하는 방법을 이해하는 데 필요한 정보를 제공합니다.

6장: 서버 및 도메인 격리 환경 관리

솔루션이 정리되고 운영된 후에 사용자가 솔루션이 일상적으로 올바르게 관리되고 지원될 수 있도록 이해하고 문서화해야 하는 많은 프로세스가 있습니다. 이 장에서는 사용자가 MOF(Microsoft Operations Framework)와 같은 광범위한 운영 프레임워크의 일부로서 사용해야 하는 지원 모델과 다양한 관리 프로세스 및 절차를 제시합니다. MOF에 대한 자세한 내용은 Microsoft Operations Framework 웹 사이트(영문)(www.microsoft.com/mof)를 참조하십시오.

7장: IPsec 문제 해결

솔루션이 배포되고 사용됨에 따라 문제가 발생하는 것은 거의 불가피합니다. 이 장에서는 문제 발생 시 발생한 문제의 원인이 IPsec인지 여부와 문제의 원인인 경우 문제를 해결할 수 있는 방법을 파악하는 데 도움이 되는 다양한 IPsec 문제 해결 절차, 작업, 도구 및 팁을 자세히 다룹니다.

부록

기본적으로 구성된 주요 장뿐 아니라 본 가이드에는 이 가이드의 개발 단계에서 Microsoft의 테스트 랩 환경의 계획, 테스트 및 배포에 사용된 다양한 참조 자료, 보조 도구 및 스크립트가 포함되어 있습니다. 이러한 부록의 정보를 사용자가 운영하는 서버 및 도메인 격리 솔루션을 구현하는 데 활용할 수 있습니다. 여기에 제공된 자료는 초기 사전 준비 단계에서 완전히 배포된 솔루션의 일상적인 운영에 이르기 까지 프로젝트의 전 단계를 지원하도록 설계되어 있습니다.

페이지 위쪽

시나리오 개요

서버 및 도메인 격리 솔루션 모두 Microsoft의 내부 네트워크에 내부적으로 배포되었습니다. 그러나, 대표적인 물리적 랩 구현은 이 솔루션에 구체적이고 공통적인 모델을 제공하기 위해 Woodgrove 은행 고객 시나리오에 기반하여 테스트되었습니다. Microsoft의 요구 사항뿐 아니라 이 가상 조직의 비즈니스 및 기술적 요구 사항은 이 솔루션을 개발하는 데 사용되었습니다. 이 가이드에는 Microsoft 내부 IT 관리자가 정기적으로 사용하는 많은 지원 및 관리 기법이 소개되어 있습니다. 단, 이 가이드는 Woodgrove 은행 요건과 직원 구성은 Microsoft의 고유한 고려 사항과 다를 수 있다는 점에 특별히 유의할 것을 명시하고 있습니다.

Woodgrove 은행의 정의

Woodgrove National 은행은 가상의 POC 조직으로서 Microsoft는 공용 배포 안내를 제시하기 위해 구체적인 고객의 예를 제공하기 위해 사용합니다. Woodgrove 은행의 요구 사항은 Microsoft가 기업 고객과의 관계를 통해 축적된 다양한 경험으로부터 만들어졌습니다. 은행으로서 Woodgrove 조직은 당사의 자금 자산과 고객의 개인 데이터 모두의 안전을 보장하기 위해 상당히 보안에 의존합니다. 또한, Woodgrove 은행은 또한 정부와 업계 그룹의 수많은 규제 요건을 준수해야 합니다. 특정 입법 및 규제 요건은 이 솔루션이 한 국가 또는 지역으로 국한되지 않도록 하기 위해 여기에서는 논의되지 않습니다.

Woodgrove 은행은 금융 매개체로서의 역할을 통해 기관, 기업, 정부 및 개인 고객에게 서비스를 제공하는 세계적인 글로벌 투자 은행입니다. Woodgrove Bank의 비즈니스 분야에는 유가증권 인수, 판매 및 거리, 금융 자문 서비스, 투자 연구, 벤처 캐피털 및 금융 기관의 중계 서비스 등이 있습니다.

Woodgrove 은행 는 영국 런던에 본사를 두고 있는 세계적인 글로벌 금융 서비스 기업인 WG Holding Company의 완전 자회사입니다. WG는 다섯 개의 기업(Woodgrove National Bank, Northwind Trading, Contoso, Ltd., Litware Financials 및 Humongous Insurance)을 소유하고 있습니다. WG 소유 기업 모두 5,000명 이상의 직원을 고용하고 있는 대규모 조직입니다.

지리적 프로필

Woodgrove 은행은 전세계 60개 이상의 지사에 1,5000명 이상의 직원을 보유하고 있습니다. 뉴욕(5,000명), 런던(5,200명) 및 도쿄(500명)에 수많은 직원을 거느린 기업 본사(허브)가 있습니다. 각 허브는 수많은 중소 사이트를 지원합니다. 예를 들어, 뉴욕 본사는 보스턴과 애틀랜타의 사이트를 지원합니다. 허브뿐 아니라 자체 전담 파일, 인쇄 및 응용 프로그램 서버를 운영하고 있는 두 개의 다른 주요 지사가 시드니와 요하네스버그가 있습니다.

사이트 간 연결성

도쿄와 런던은 6Mbps와 각각 10Mbps의 대역폭이 할당된 사설 인터넷 연결을 통해 뉴욕의 기업 본사에 연결되어 있습니다. 모든 지역 허브는 2MB에서 10MB 연결로 기업 본사에 연결되어 있습니다. 독립적인 지사는 2MB 연결 속도를 갖추고 있습니다. 소규모 지사는 일반적으로 1MB WAN 연결 속도를 지원합니다. 이러한 연결성에 대한 자세한 내용은 이 가이드의 3장 "현재 IT 인프라 상태에 대한 파악"의 그림 3.1에 제시되어 있습니다.

기업 IT의 도전 과제

Woodgrove 은행은 대부분의 기업과 동일한 도전 과제에 직면해 있습니다. 즉, 고정 자산의 비용은 줄이면서 수입은 증가하고 비용은 감소하기를 원합니다. 이러한 도전 과제는 IT에 지속적인 영향을 끼치고 있습니다. Woodgrove 은행은 다음을 포함하여 IT에도 영향을 끼치는 다양한 추가 기업 솔루션을 가지고 있습니다.

  • 인수와 합병을 통해 새로운 시장으로 분화됩니다.

  • 고객 만족을 가속화합니다.

  • 고객의 생산성을 향상시킵니다.

  • 프로세스와 운영을 개선합니다.

  • 보안 환경을 제공합니다.

이러한 솔루션은 IT에도 영향을 끼칠뿐 아니라 다음을 포함하여 IT 의사 결정자들이 직면하는 별도의 특정한 도전 과제가 있습니다.

  • 전반적인 IT의 비용을 절감합니다.

    • 운영 비용을 절감하며, 관리를 개선하고 관리 비용을 절감하며, 환경의 서버 수를 줄여 주고 이종 응용 프로그램과 서비스를 다인 서버로 통합합니다.

    • 기존 IT 투자로 수익을 거둡니다.

    • 민첩한 IT 인프라를 구축합니다.

  • 투자 수익을 증대합니다.

    • 활용률을 높입니다.

    • 가용성 및 안정성을 개선합니다.

    • 새 하드웨어 플랫폼을 개척합니다.

  • 직원, 파트너와 고객이 가장 안전한 환경에서 작업하도록 합니다.

  • 서비스 수준의 계약을 맺을 수 있는 능력을 제공합니다(내부 및 외부).

  • 어디에서나 정보에 대한 중대한 실시간 액세스를 제공함으로써 비즈니스 민첩성을 증대합니다.

IT 조직 프로필

Woodgrove 은행은 Windows와 UNIX를 사용하고 해당 인프라가 Windows Server 백본에서 실행되는 혼합된 서버 환경을 갖추고 있습니다. 전체 1,712개의 Windows 기반 서버가 있으며 서버의 대부분이 Windows 2000 이상에서 실행됩니다.

  • 파일 및 인쇄 서버 785

  • 웹 서버 123

  • 인프라 서버 476

  • Microsoft Exchange 서버 98

  • Microsoft SQL Server™ 서버 73

  • 개발 서버 73

  • 모니터링 서버 33

  • 기타(Lotus Notes, Oracle) 51

대부분의 서버가 세 개의 본사(뉴욕, 런던 및 도쿄)에 있습니다.

PC 환경

대부분의 Woodgrove 은행 직원은 적어도 한 대 이상의 컴퓨터를 가지고 있습니다. 대부분의 직원이 데스크톱 PC를 사용하고 있으며 영업 담당자들은 모바일 컴퓨터를 사용하고 있습니다. 전체적으로 Woodgrove 은행은 17,000대 이상의 최종 사용자 PC를 가지고 있습니다. 이러한 PC의 약 85%가 데스크톱 컴퓨터이며 15%가 모바일 컴퓨터입니다. 최종 사용자 PC의 95% 이상이 일부 Windows 버전에서 실행되는 Intel 기반 PC입니다. LOB(기간 현업) 응용 프로그램용으로 특정 부서에서 사용되고 있는 일부 Mac 워크스테이션과 몇 개의 UNIX 워크스테이션이 있습니다.

시스템 및 관리 아키텍처 개요

Woodgrove 은행 네트워크는 몇 개의 IT 영역으로 구성되어 있습니다. 즉, 기업 데이터 센터 1개, 허브 2개, 위성 사무소 2개 및 원격 사용자를 지원하는 주변 네트워크입니다. 아래 그림에서 제시된 것처럼 Woodgrove 은행은 뉴욕시에서 중앙에서 서버와 데스크톱을 관리하기 위한 중앙화된 관리 모델을 구현합니다.

그림 1.2 Woodgrove 은행 중앙화된 IT 관리 모델

디렉터리 서비스

Woodgrove 은행은 당사의 Active Directory 디자인의 서비스 제공업체 포리스트 모델을 채택하기로 결정했습니다. 왜냐하면 이 모델이 주변을 위한 하나의 포리스트와 내부 리소스를 위한 별도의 공유 포리스트를 가지는 유연성을 제공하기 때문입니다. 이러한 기능은 주변 네트워크에 있는 서버의 격리 요건을 충족합니다. Woodgrove는 주변 서버를 중대한 기업 데이터로부터 격리할 수 없기 때문에 단일 포리스트 모델을 선택하지 않았습니다. 다음 그림은 Woodgrove 은행이 사용하는 Active Directory 논리 구조를 보여줍니다.

그림 1.3 Woodgrove 은행 디렉터리 서비스 설계

주변 포리스트는 주변 서버를 관리하기에 충분한 단일 포리스트 도메인 모델을 사용합니다. 복제 요건은 주변 서버에서는 미미해서 복제 경계를 제공하거나 포리스트를 세분화하기 위해 여러 지역 도메인 모델을 사용할 필요가 없습니다. Woodgrove가 주변 서버만을 관리하기 위해 이 설계를 선택했다는 점은 주목할만 합니다. 사용자 계정이 주변 서버에 위치하고 주변 서버가 여려 위치에 있는 경우에 다른 도메인 설계가 필요했을 것입니다.

내부 포리스트는 여러 지역 도메인 모델에 기반합니다. Woodgrove는 세 개의 지역 도메인(미국, 유럽 및 아시아)을 구축했습니다. 또한, Woodgrove는 포리스트 수준의 기능을 관리하기 위해 전담 포리스트 루트를 구현했습니다. 이 모델은 도메인 수준 자치의 관리를 각 지역으로 위임할 뿐 아니라 복제 토폴로지 관리의 수단을 제공합니다.

Woodgrove 은행의 사이트 토폴로지는 세 개의 지역(미국, 유럽 및 아시아)으로 구분됩니다. 뉴욕, 런던 및 도쿄는 전체 토폴로지의 중앙 허브입니다.

Woodgrove 은행의 설계자들은 주로 개체 기반인 조직 단위(OU) 설계를 진행하기로 선택했습니다. OU 구조는 각 지역 도메인에 완전하게 복제되고 OU 구조의 하위 집합은 포리스트 루트에 생성됩니다. 이 가이드 3장의 그림 3.2는 Woodgrove 은행이 사용하는 상세한 OU 구조의 다이어그램을 제공합니다.

서버 및 도메인 격리 롤아웃을 위한 Woodgrove 전략

조직이 해당 요건에 가장 잘 부합되는 설계를 이해하는 데 도움이 되도록 Woodgrove 은행은 POC 랩 프로젝트를 구축했습니다. 이 프로젝트는 다음 그림에 제시된 Woodgrove의 제안된 설계를 테스트할 소규모 랩 구현을 사용했습니다.

그림 1.4 Woodgrove 은행 시험 설계

이 다이어그램은 이 가이드에서 제시한 시나리오를 테스트하기 위해 Woodgrove 은행 시나리오에 사용된 컴퓨터의 하위 집합을 보여줍니다. POC 프로젝트의 목표는 생산 환경과 기업 사용자에게 영향을 끼치지 않으면서 솔루션이 기대한 대로 작동하도록 하기 위해 랩 설계에 충분한 다양성을 제공하는 것입니다.

이 가이드의 전반에서 제공된 예는 그림 1.4에 제시된 시험 설계 인프라의 결과물에 기반한 것입니다.

참고: 격리로 인해 컴퓨터 네트워킹의 많은 측면이 변화되기 때문에 Microsoft는 생산 환경에 영향을 끼치지 않도록 먼저 랩 환경에서 각 격리 시나리오를 테스트할 것을 강력하게 권장합니다. IT 관리자는 지원 문제, 운영 절차 및 문제 해결에 대해서 6과 7장에서 검토해야 합니다.

성공적인 랩 구현 프로젝트 후에 기본 서버 격리 시나리오를 격리하기 위해 서버 그룹을 확인해야 합니다. 이러한 서버는 연결이 영향을 끼친다 해도 비즈니스에는 낮은 영향을 끼치는 서버입니다. IT 관리자와 지원 직원은 문제 해결 기법을 교육 받습니다. 이러한 서버는 성능에 대해 충분히 모니터링되고 영향 설명을 지원합니다. 조직 관리 역할, 프로세스 및 지원 방법은 테스트되었습니다. 다음으로 Woodgrove의 소규모 도메인은 도메인 격리를 시험하도록 선택되었습니다. 이러한 도메인 프로젝트의 영향은 대부분의 도메인 구성원이 있는 네트워크 서브넷에만 IPsec을 사용함으로써 최소화됩니다. 이러한 도메인 구성원이 시험에 관련되지 않은 다른 컴퓨터와 통신하는 경우 비 IPsec 통신을 허용함으로써 영향은 더욱 감소됩니다. 이러한 시험을 완료한 후에 프로젝트 팀은 전체 조직을 위한 완벽한 설계를 작성하고 구현하는 데 필요했던 모든 정보를 갖게 됩니다.

페이지 위쪽

요약

이 장에서는 논리적 격리에 대한 소개를 제공하고 서버 및 도메인 격리가 IPsec 및 그룹 정책을 사용하여 기업 수준의 솔루션을 구축하는 데 사용될 수 있는 방법을 설명했습니다. 또한, 이 가이드를 구성하고 있는 각 장에 대한 요약과 간략한 설명을 제공했습니다. 이 정보를 통해 이 솔루션이 귀하의 조직에 제공하게 될 이점과 일반적인 IT 인프라 내에 적합한 부분과 솔루션을 성공적으로 수행하는 데 필요한 스킬 등을 이해할 수 있게 됩니다.

페이지 위쪽

전체 솔루션 다운로드

IPsec 및 그룹 정책을 통해 서버 및 도메인 격리

페이지 위쪽