09Identity Sharing과 PDP·PEPIdentity Sharing과 PDP·PEP

공유를 안 하면 무엇이 문제인가

Identity Sharing이 없으면 다음과 같은 비효율이 그대로 남습니다.

Identity Sharing 소개 — PDP와 PEP

해결의 핵심은 역할을 나누는 것입니다. Policy Decision Point(PDP) 로 구성된 게이트웨이 한 대가 신원 정보를 얻어 Policy Enforcement Point(PEP) 로 구성된 다른 게이트웨이들과 공유합니다. 이렇게 하면 오직 한 게이트웨이만 그룹 멤버십을 조회하고 Access Role 객체를 계산 하므로, 신원 소스와 User Directory 양쪽의 부하가 함께 줄어듭니다.

PDP — Policy Decision Point(정책 결정 지점)

PEP — Policy Enforcement Point(정책 집행 지점)

지원하는 구성

Identity Sharing은 다음과 같은 조합을 지원합니다.

Identity Server가 Identity Sharing을 위해 Identity Awareness 게이트웨이에 연결할 때는 그 게이트웨이 객체의 IP 주소 를 사용합니다.

Identity Sharing 설정 절차

설정은 모두 SmartConsole에서 게이트웨이 객체의 Identity Awareness > Identity Sharing 페이지에서 합니다.

Smart-Pull Identity Sharing — 필요할 때만 당겨오기

대규모 환경에서는 모든 PEP가 모든 PDP의 신원을 다 가질 필요가 없 습니다. 예를 들어 사용자가 적은 소규모 지점이라면, 본사 PDP가 가진 신원을 전부 보관할 까닭이 없습니다.

Smart-Pull 을 구성하면, 신원은 PEP가 PDP에게 요청(pull)할 때만 PEP로 전달됩니다. 덕분에 PEP의 저장 공간을 아끼고, PDP와 PEP 사이에 불필요한 트랜잭션이 오가는 것을 피합니다.

Smart-Pull Identity Sharing은 세 단계로 동작합니다.

1단계 — 신원 취득(Identity Acquisition)

2단계 — 서브넷 등록(Sub-Network Registration)

사용자가 PEP를 통해 연결을 시작합니다. 정책에 신원 요소가 반드시 필요하다면, PEP는 자신의 로컬 데이터베이스에서 그 신원을 먼저 찾 습니다.

3단계 — 신원 전파(Identity Propagation)

Push Identity Sharing — 얻는 즉시 밀어주기

Push Identity Sharing 에서는 PDP가 신원을 얻는 즉시 그 신원을 PEP에 게시 합니다.

Identity Sharing 모니터링

Identity Sharing이 정상으로 동작하면, PDP와 PEP 사이에는 다음 두 연결이 열려 있습니다.

PEP가 Push 모드 로 구성되어 있으면, Identity connection은 수신 하지만 Network connection은 보내지 않 습니다.

PDP나 PEP가 클러스터 라면, 모든 멤버가 나가는(outgoing) 연결은 열지만 active 클러스터 멤버만 들어오는(incoming) 연결을 받습니다. 클러스터는 연결에 Virtual IP Address(VIP) 를 사용합니다.

연결 상태 확인 예시

다음 예에서 PDP의 IP는 10.10.10.10, PEP의 IP는 11.11.11.11 입니다.

PDP 게이트웨이(또는 active 클러스터 멤버)에서 연결을 확인하려면:

pdp connections pep

PEP 게이트웨이(또는 active 클러스터 멤버)에서 연결을 확인하려면:

pep show pdp all

pdp connections pep 명령 출력 예시는 다음과 같습니다.

[Expert@MyGW1:0]# pdp connections pep
| Direction | IP            | Port  | Name  | Type           | Status    | Location | IPv6 Supported |
| Incoming  | 172.23.57.237 | 28581 | MyGW2 | Single Gateway | Connected | Remote   | No             |
| Outgoing  | 127.0.0.1     | 15105 | MyGW3 | Single Gateway | Connected | Locally  | No             |
| Outgoing  | 172.23.57.237 | 15105 | MyGW2 | Single Gateway | Connected | Remote   | No             |

pep show pdp all 명령 출력 예시는 다음과 같습니다.

[Expert@MyGW1:0]# pep show pdp all
Command: root->show->pdp->all
| Direction | IP            | ID | Status    | Users | Connect time         |
| Incoming  | 127.0.0.1     | 0  | Connected | 0     | 13Oct2022 20:04:46   |
| Incoming  | 172.23.57.220 | 0  | Connected | 0     | 13Oct2022 9:44:11    |
| Outgoing  | 172.23.57.220 | 0  | Connected | N/A   | 13Oct2022 9:44:09    |

여러 관리 도메인에 걸친 더 정교한 공유는 Identity Broker에서 다룹니다.

PDP Identity Conciliation — 무엇을 푸는가

같은 IP 주소에 대해 서로 다른 신원 정보가 들어오면 어느 것을 진짜로 받아들일지 결정해야 합니다. Policy Decision Point(PDP) 게이트웨이는 이를 위해 PDP Identity Conciliation(신원 조정) 메커니즘을 사용합니다.

Conciliation 동작 세 가지

PDP가 이미 활성 세션을 가진 IP 주소 에 대해 신원 업데이트(사용자 신원 또는 컴퓨터 신원)를 받으면, 다음 중 하나를 수행합니다.

용어 — 세션의 종류

조정 규칙을 이해하려면 세션이 어디서 왔는지를 먼저 구분해야 합니다.

PDP 세션 파라미터 — 우열을 가르는 기준

기본 동작으로 정해지지 않는 경우, PDP는 다음 세션 파라미터 들을 견주어 어느 세션을 살릴지 결정합니다.

Confidence 의 신원 소스별 기본 점수:

Locality 의 예시로, 두 세션의 hop count를 비교합니다.

세션 A:
  Identity Source => PDP Identity Publisher(Hop Count = 0)
                  => PDP Identity Subscriber(Hop Count = 1)
  총 Hop Count = 1

세션 B:
  Identity Source => PDP Identity Publisher(Hop Count = 0)
                  => PDP Identity Subscriber/Publisher(Hop Count = 1)
                  => PDP Identity Subscriber(Hop Count = 2)
  총 Hop Count = 2

세션 A의 hop count가 더 낮으므로, PDP는 세션 A에 더 높은 우선순위를 줍니다.

가능한 세션 시나리오

PDP Identity Conciliation은 다음 여섯 가지 시나리오를 지원합니다. 각 시나리오마다 내부 세션 범주(Internal Session Category), 현재/새 세션의 종류, 관리 도메인의 같고 다름, 그리고 적용되는 동작이 정해집니다.

각 시나리오의 세부 사항은 다음과 같습니다.

결정 흐름(Decision Flow)

PDP가 기본 동작을 그대로 적용하지 않는 경우에는, 구성된 세션 파라미터 우선순위를 차례로 살펴 결정합니다.

결정 예시

예시 1 — 현재 세션은 Identity Collector 신원(Identity Broker 공유로 수신), 새 세션은 RADIUS Accounting 신원(직접 수신), 같은 Management Server가 두 PDP를 관리. → 내부 세션 범주는 PerEntityInDomain 이므로 새 세션을 현재 세션에 Append 합니다.

예시 2 — 현재 세션은 Terminal Server용 Identity Agent 신원(Identity Broker 공유로 수신), 새 세션은 Remote Access VPN client 신원(직접 수신), 같은 Management Server 관리. → 내부 세션 범주는 PerHostInDomain 이며, 현재 세션을 새 세션으로 Override 합니다.

예시 3 — 현재 세션은 Identity Web API(Identity Broker로 수신), 새 세션은 Captive Portal(Identity Broker로 수신), 서로 다른 Management Server 관리. → 내부 세션 범주는 PerHostExternal. 우선순위 목록(Value0-Locality, Value1-Confidence, Value2-TTL, Value3-Full Session, Value4-PDP Preference)에 따라 비교합니다.

PDP Identity Conciliation 구성하기

구성 파일 편집 절차:

   cp -v $FWDIR/conf/pdp_session_conciliation.C{,_BKP}
   

   vi $FWDIR/conf/pdp_session_conciliation.C
   

   asg_cp2blades $FWDIR/conf/pdp_session_conciliation.C
   

구성 파일의 파라미터

pdp_session_conciliation.C 파일은 몇 개의 섹션으로 나뉩니다.

ConfidenceConfig > ScorePerAttribute 의 기본값은 모두 0입니다 — :HasLogoutNotification (0), :HasAuthorization (0), :HasAuthentication (0), :HasKeepAlive (0), :HasIpSpoofingDetection (0), :HasRoamingDetection (0), :HasLogout (0).

ScorePerIdentitySource 의 기본 점수:

ConciliationConfig 의 시나리오별 기본 우선순위(낮은 번호가 먼저 비교됨):

  :0 (OfficeModeIp)
  :1 (Confidence)
  :2 (Ttl)
  :3 (Locality)
  :4 (FullSession)
  :5 (PdpPreference)

PerEntityInDomain
  :0 (Confidence)
  :1 (Ttl)
  :2 (Locality)
  :3 (PdpPreference)

PerHostExternal
  :0 (Locality)
  :1 (Confidence)
  :2 (Ttl)
  :3 (FullSession)
  :4 (PdpPreference)

PerEntityExternal
  :0 (Locality)
  :1 (Confidence)
  :2 (Ttl)
  :3 (PdpPreference)

구성 파일 예시 1 — Identity Collector PDP를 선호하기

환경 안의 모든 게이트웨이가 같은 관리 도메인 에 있습니다. 한 PDP Publisher는 Identity Collector 정보를 공유하고, 다른 PDP Publisher는 Terminal Server용 Identity Agent 정보를 공유합니다. 관리자는 Identity Collector를 보내는 PDP Publisher를 선호 하고 싶습니다.

해당 내부 세션 범주는 PerHostInDomain 입니다. 기본값으로는 Identity Agent 세션을 보낸 PDP Publisher가 Confidence 우선순위가 더 높아 그쪽 세션이 남습니다. Identity Collector PDP Publisher를 선호하려면 PDP 게이트웨이의 $FWDIR/conf/pdp_session_conciliation.C 파일을 다음처럼 바꿉니다.

   :PerHostInDomain (
     :0 (PdpPreference)
     :1 (OfficeModeIp)
     :2 (Confidence)
     :3 (Ttl)
     :4 (Locality)
     :5 (FullSession)
   )
   

구성 파일 예시 2 — 같은 단말의 VPN과 Identity Agent flapping 막기

같은 사용자 단말에 Remote Access VPN 과 Identity Agent 가 함께 있을 때를 구성하는 예입니다. 이렇게 해 두면 사용자가 Remote Access VPN으로 로그인할 때 PDP가 식별할 수 있고, 단말에 Identity Agent가 설치되어 있어도 PDP가 이전 연결을 끊지 않 습니다. 이 구성이 없으면 Identity Agent와 Remote Access VPN 사이에서 신원이 flapping(요동) 하여, 서로 10~15분마다 상대를 로그오프 시킵니다.

PDP 게이트웨이의 $FWDIR/conf/pdp_session_conciliation.C 파일을 다음처럼 바꿉니다.

   fw kill pdpd
   

PDP-Only 모드 — 집행 없이 신원만 다루기

Identity Awareness는 두 가지 주요 프로세스로 이루어집니다.

대규모 Identity Awareness 배포에서는 오직 신원 취득·전파 로직만 돌리는 전용 Gaia 장비 를 둡니다. 이런 장비는 트래픽을 집행하지 않으므로, 신원 기반 집행 로직을 굳이 돌릴 필요가 없습니다. PEP 프로세스는 다음과 같은 추가 자원을 소비 합니다 — 메모리 소비, CPU 소비, 커널의 Identity Awareness 데이터베이스 접근, 로컬 PEP 프로세스와 신원을 나누려고 PDP 프로세스에서 도는 중복 로직.

해결책 — 신원을 취득·전파하기만 하는 Identity Awareness 게이트웨이에 PDP-Only 모드 를 켜면 자원 사용을 줄일 수 있습니다. 이 모드에서는 PDP 게이트웨이가 PEPD 프로세스를 돌리지 않 습니다. 그 결과 메모리·CPU 소비가 최소화되고 자원 활용이 더 효율적이 됩니다.

PDP-Only 모드 켜기/끄기

PDP-Only 모드를 켜거나 끄려면, 관리자가 Management Server에서 해당 Management API를 호출해야 합니다. 변경을 적용하려면 Access Control 정책 설치가 필요 합니다.

활성화/비활성화 예시 명령:

mgmt_cli set simple-gateway name <Name> identity-awareness-settings.identity-based-enforcement off

기능이 켜졌는지 꺼졌는지 확인하려면:

mgmt_cli show simple-gateway name <Name> identity-awareness-settings.identity-based-enforcement

Policy Enforcement Point(PEP) 게이트웨이는 PEP Identity Conciliation 메커니즘을 사용합니다.

PEP Conciliation 동작

PEP가 이미 활성 세션을 가진 IP 주소 에 대해 신원 업데이트(사용자 신원 또는 컴퓨터 신원)를 받으면, 다음 중 하나를 수행합니다. PDP와 달리 PEP에는 Append 가 없고 두 동작만 있습니다.

PEP 기본 구성

기본적으로 PEP Identity Conciliation은 Confidence(신뢰도 점수)를 기준 으로 결정합니다. 점수가 높은 세션에 더 높은 우선순위 를 줍니다. 신원 소스별 기본 점수는 다음과 같습니다.

개요 — "지우기 우선"에서 "지키기 우선"으로

Identity Awareness는 본래 심각한 오류 흐름을 다룰 때 엄격한 접근 을 기본으로 따랐습니다. 이는 "prefer to delete(지우기 우선)" 원칙 으로, 특정 오류 상황에서 신원을 대규모로 삭제 하게 만듭니다.

이런 동작의 결과는 다음과 같습니다.

Identity Awareness Gateway R82 이상 은 Identity Sharing 프로토콜에 Identity Cache Mode 를 사용합니다.

Identity Cache Mode는 "prefer to keep(지키기 우선)" 원칙 을 따라, 앞서 말한 혼란 없이 Identity Awareness가 안정을 되찾게 합니다.

R81.20 Jumbo Hotfix에서 R82로 업그레이드

Identity Cache Mode 기능은 R81.20 Jumbo Hotfix Accumulator Take 70 이상 에서 제공됩니다. R81.20 Jumbo에서는 이 기능이 기본으로 꺼져 있고, PDP-to-PDP 공유의 기본 timeout도 다릅니다(24시간). R82로 업그레이드할 때는 이전 구성이 그대로 보존 됩니다.

현재 상태 확인하기

   vsenv <VS ID>
   

     pdp broker identity_cache_mode status
     

     pep control identity_cache_mode status
     

가능한 출력은 다음과 같습니다.

Identity Cache Mode is enabled    (기본값)
Identity Cache Mode is disabled

모든 게이트웨이에 일괄 구성하기

Security Management Server / Domain Management Server가 관리하는 모든 Identity Awareness 게이트웨이의 기본 구성은 — (1) Identity Cache Mode가 켜짐, (2) PDP-to-PDP 공유 프로토콜(Identity Broker)의 timeout이 60분 입니다. 전역 구성은 SmartConsole이나 Management API로 바꿀 수 있습니다.

SmartConsole로 전역 설정하기

Management API로 전역 설정하기

   mgmt_cli show global-properties
   

기본 출력 예시:

   [Expert@MyMgmt:0]# mgmt_cli show global-properties
   ...
   identity-awareness:
     cache-mode: true
     cache-mode-duration: 60
   

   mgmt_cli set global-properties identity-awareness.cache-mode {true | false}
   

   mgmt_cli set global-properties identity-awareness.cache-mode-duration <1-2880>
   

   mgmt_cli install-policy <parameters>
   

특정 게이트웨이에만 다르게 구성하기

게이트웨이 객체에 넣는 API 파라미터는 다음과 같습니다.

전역 상태를 특정 게이트웨이에서 재정의하려면 (객체 종류별 예시):

mgmt_cli set simple-gateway name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile true
mgmt_cli set simple-cluster name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile true
mgmt_cli set legacy-virtual-system name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile true

전역 상태와 PDP-to-PDP timeout을 복원하려면 — 위 명령에서 override-profile 값을 false 로 바꿉니다.

mgmt_cli set simple-gateway name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile false
mgmt_cli set simple-cluster name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile false
mgmt_cli set legacy-virtual-system name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile false

PDP-to-PDP 공유의 전역 timeout을 특정 게이트웨이에서 재정의하려면:

mgmt_cli set simple-gateway name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile true identity-awareness-settings.identity-sharing-settings.cache-mode.value <Timeout in Minutes>
mgmt_cli set simple-cluster name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile true identity-awareness-settings.identity-sharing-settings.cache-mode.value <Timeout in Minutes>
mgmt_cli set legacy-virtual-system name <Name of Object> identity-awareness-settings.identity-sharing-settings.cache-mode.override-profile true identity-awareness-settings.identity-sharing-settings.cache-mode.value <Timeout in Minutes>

명령어 전체 구문과 모니터링 명령(pdp connections, pep show, pdp network, pep show network 등)은 명령줄·참조에서 확인하세요.