09스마트폰·태블릿 접속스마트폰·태블릿 접속

이 장은 모바일 사용자에게 무엇을 준비시키는지, 클라이언트 인증서를 어떻게 만들어 배포하고 폐기하는지, 배포 이메일 템플릿을 어떻게 짜는지, 분실 기기를 지우는 Remote Wipe, 사용자 경험을 좌우하는 Mobile Profile(과 그 안의 모든 탭), Passcode Profile, Push Notification 구성과 진단, ESOD 우회, iOS·Android별 시스템 설정, 최종 사용자 안내, 그리고 핸드헬드용 고급 게이트웨이 속성 까지를 빠짐없이 풀어 둡니다.

사용자와 그들의 리소스 접근을 관리하려면 다음 작업을 갖춰야 합니다.

핸드헬드 기기가 게이트웨이에 붙으려면 다음 인증서들이 제대로 설정돼 있어야 합니다.

클라이언트 인증서 관리

핸드헬드용 Check Point 모바일 앱은 인증서만으로(certificate-only) 인증하거나, 클라이언트 인증서 + 사용자명/비밀번호의 2요소(two-factor) 로 인증할 수 있습니다. 이 인증서는 해당 Mobile Access 게이트웨이를 관리하는 Security Management Server의 내부 CA(ICA)가 서명 합니다.

클라이언트 인증서는 Security Policies > Access Control > Access Tools > Client Certificates 에서 관리합니다. 이 페이지는 두 개의 창(pane)으로 나뉩니다.

클라이언트 인증서 만들기

클라이언트 인증서 마법사로 인증서를 만들고 배포하려면 다음 순서를 따릅니다.

인증서 폐기하기

인증서 상태가 Pending Enrollment(등록 대기) 인 경우, 폐기하면 그 인증서는 Client Certificate 목록에서 사라 집니다.

인증서를 하나 이상 폐기하려면 다음과 같이 합니다.

폐기하고 나면 그 인증서는 더 이상 Client Certificate 목록에 나타나지 않습니다.

배포용 템플릿 만들기

이메일 템플릿을 새로 만들거나 기존 것을 고치려면 다음과 같이 합니다.

Site and Certificate Creation — 이미 Check Point 앱을 깐 사용자용입니다. 사용자가 QR 코드를 스캔하거나 링크로 들어가면 사이트가 만들어지고 인증서가 등록 됩니다. 사용자가 설치할 클라이언트 유형 하나를 고릅니다.

Download Application — 사용자에게 자기 기기용 Check Point 앱을 다운로드하도록 안내 합니다. 클라이언트 운영체제(iOS / Android)를 고르고, 위와 마찬가지로 사용자가 설치할 클라이언트 유형(Capsule Workspace / Capsule Connect/VPN)을 하나 고릅니다.

Custom URL — 직접 만든 URL을 구성할 수 있게 해 줍니다.

각 링크 유형마다 메일 템플릿에 어떤 요소를 넣을지 고를 수 있습니다.

QR Code와 HTML Link를 둘 다 선택 해 이메일에 함께 넣을 수도 있습니다. 10. OK 를 클릭합니다. 11. (선택) Preview in Browser 를 클릭해 이메일이 어떻게 보일지 미리 봅니다. 12. OK 를 클릭합니다. 13. 변경을 Publish 합니다.

템플릿 복제하기

이미 있는 템플릿과 비슷한 템플릿을 만들려면 복제(Clone) 가 편합니다.

Remote Wipe 는 사용자 모바일 기기에 캐시된 오프라인 데이터를 원격으로 지웁니다. 동작은 인증서 폐기와 맞물립니다. 관리자가 내부 CA 인증서를 폐기하면, 해당 클라이언트의 Remote Wipe 구성이 푸시 알림 방식(Remote Wipe by Push Notification)을 켜 둔 경우 Remote Wipe 푸시 알림이 발송 됩니다. 기기가 그 푸시 알림을 받는 순간 삭제가 실행됩니다.

기기가 Remote Wipe 푸시 알림을 받지 못했더라도, 그 클라이언트가 폐기된 내부 CA 인증서로 게이트웨이 연결이 필요한 활동을 시도하는 순간 Remote Wipe가 발동됩니다.

Remote Wipe는 다음 시점에 로그를 남깁니다.

Remote Wipe 구성하기

기본 구문은 이렇습니다.

   cvpnd_settings <Path to Conf File> {set | listAdd | listRemove} <Name> <Value>
   

     cvpnd_settings $CVPNDIR/conf/cvpnd.C set RemoteWipeEnabled {true | false}
     

Remote Wipe는 기본적으로 켜져(enabled) 있습니다. - 푸시 알림 방식 Remote Wipe(클라이언트가 알림을 받으면 삭제)를 켜거나 끄려면:

     cvpnd_settings $CVPNDIR/conf/cvpnd.C set RemoteWipePushEnabled {true | false}
     

Remote Wipe Push Notification 기능도 기본적으로 켜져 있습니다. 지원 클라이언트 목록은 sk95587 을 참고하세요. - 운영체제별로 Remote Wipe Push Notification 지원 기기를 설정하려면:

     cvpnd_settings $CVPNDIR/conf/cvpnd.C listAdd RemoteWipePushSupportedClientOS {iOS | Android}
     

변경이 적용됐는지 확인하려면 $CVPNDIR/conf/cvpnd.C 파일을 읽기 전용(Read-Only) 모드로 엽니다.

기기에서 Remote Wipe 발동시키기

   [Expert@HostName:0]# cvpnrestart
   

Remote Wipe 로그 보기

   "Remote Wipe" AND blade:"Mobile Access" action:"Failed Log In"
   

결과는 사용자 DN, 기기 ID(device ID), 인증서 일련번호(certificate serial number) 로 필터링할 수 있습니다.

Capsule Workspace 에서 사용자 경험을 좌우하는 많은 설정이 Mobile Profile 에서 옵니다.

각 Mobile Access 사용자 그룹에는 하나의 Mobile Profile이 배정 되며, 기본적으로 모든 사용자는 Default Profile 을 받습니다. Mobile Profile에 담기는 설정은 다음과 같습니다.

Mobile Profile은 Mobile Access 탭 > Capsule Workspace Settings 에서 관리합니다.

Mobile Profile 만들고 편집하기

Mobile Profile 창이 열립니다. 6. 설정을 바꿉니다(아래 "Mobile Profile의 Capsule Workspace 설정" 참고). 7. OK 를 클릭합니다. 8. 정책을 설치(Install policy) 합니다.

Mobile Profile의 Capsule Workspace 설정

Mobile Profile 창은 여러 탭으로 나뉩니다. 탭별로 무엇을 정하는지 차례로 풀어 봅니다.

1) Security 탭 — 접근 설정(Access Settings)

2) Applications 탭 — 기기에서 쓸 수 있는 기능 고르기

3) Data Loss Prevention 탭 — 나가는·들어오는 트래픽

Outbound(나가는)

Inbound(들어오는)

4) Harmony Mobile 섹션 — Harmony Mobile / Harmony App Protect 연동

Harmony Mobile 앱 또는 Harmony App Protect와의 연동 설정을 구성합니다.

보안 취약점 목록:

강제 동작 목록:

5) Client Customization 탭 — 최종 사용자가 보는 화면

6) Advanced 탭 — 미래 호환 사용자 정의 필드

사용 중인 SmartConsole 버전에는 아직 없는 새 Capsule Workspace 기능 을 위한 사용자 정의 필드를 구성합니다.

passcode 잠금은 모바일 기기 안의 Capsule Workspace를 보호 합니다. 각 Mobile Profile에서 어떤 Passcode Profile을 쓸지 정합니다. 이 프로파일에는 passcode 요건, 만료, 허용 실패 횟수가 들어 있습니다. 기본 passcode 프로파일은 Normal, Permissive, Restrictive 세 가지이며, 기본 프로파일을 고치거나 새 프로파일을 만들 수 있습니다.

Passcode Profile을 관리하려면 다음과 같이 합니다.

Passcode 창이 열립니다. 6. 설정을 바꿉니다(아래 참고). 7. OK 를 클릭합니다. 8. 정책을 설치(Install policy) 합니다.

Passcode Profile 설정

Passcode Profile에는 다음 설정이 들어 있습니다.

푸시 알림 켜기

푸시 알림은 Mobile Access Wizard 에서 켜거나, 각 Security Gateway의 Security Gateway Properties 에서 켭니다.

Exchange 서버와 Security Gateway 간 통신

먼저 Exchange 서버가 Mobile Access Portal에 접근할 수 있는지 확인합니다.

Exchange 서버와 게이트웨이 사이의 기밀 정보는 모두 암호화된 SSL 터널 을 씁니다. 비기밀 정보는 암호화되지 않은 HTTP 연결을 쓸 수 있습니다. 원한다면 모든 푸시 알림 통신이 SSL 터널을 거치도록 구성할 수 있습니다.

기본적으로 Exchange 서버로의 푸시 알림 등록(Push Notification registration)에는 Kerberos 인증이 켜져 있지 않 습니다. 켜려면 sk110629 의 지침을 따릅니다.

모든 푸시 알림 통신을 SSL 터널로 강제하려면 다음과 같이 합니다.

Exchange 서버에 인증서 가져오기

이렇게 하면 인증서가 Local computer 저장소와 Current user 저장소에 모두 저장 됩니다.

Push Notification Status Utility

환경이 푸시 알림에 맞게 제대로 구성됐는지 확인 하려면 Push Notification Status Utility 를 씁니다. 다음 명령으로 보고서를 만듭니다.

$CVPNDIR/bin/PushReport

보고서에는 다음 데이터가 담깁니다.

출력 예시는 다음과 같습니다.

[Exper@MyGW:0]# PushReport
This is your configuration status:
==================================
Topic               Status              Description
-------------------------------------------------------------------------
License             OK                  You are not using an evaluation license
Configuration       OK                  Push is enabled in configuation
Connectivity        OK                  You have connectivity to cloud
Callback URL        OK                  Your callback push url is: http://198.51.100.2/ExchangeRegistration. Make sure you have internal connectivity to this URL.

푸시 알림 사용 현황 모니터링

푸시 알림 활동을 모니터링·디버그·문제 해결하려면 fwpush 명령을 씁니다.

실패한 배치(failed batch), 만료된 푸시 알림, 지연된 푸시 알림을 보려면 다음 파일을 확인합니다.

$FWDIR/log/pushd_failed_posts

핸드헬드 기기는 Endpoint Security on Demand(ESOD) 구성요소를 실행할 수 없 어, 기본적으로 스마트폰·태블릿에는 ESOD가 비활성입니다. 조직이 ESOD를 켜 두었다면 모바일 앱은 ESOD가 강제되는 응용에 닿지 못 합니다.

게이트웨이의 ESOD 설정을 바꾸려면 다음과 같이 합니다.

   cvpnd_settings $CVPNDIR/conf/cvpnd.C set MobileAppBypassESODforApps "true"
   

또는

   cvpnd_settings $CVPNDIR/conf/cvpnd.C set MobileAppBypassESODforApps "false"
   

여기서:

이 절은 iPhone·iPad·Android에 필요한 시스템별 구성을 다룹니다. 일부는 최종 사용자가 직접 하는 구성 도 필요합니다.

iPhone·iPad 구성

iPhone/iPad 클라이언트를 ActiveSync 응용에 연결하기

ActiveSync 응용에 접근을 허용하면 사용자에게 ActiveSync Setup 항목이 보이고, ActiveSync 프로파일을 설치해 회사 이메일에 접근할 수 있습니다.

다음은 최종 사용자가 자기 기기에서 하는 절차입니다(모든 최종 사용자 구성 절차는 "최종 사용자 안내" 참고). 회사 이메일에 연결하려면:

iPhone·iPad에서 로그 받기

클라이언트 기기 문제를 해결하려면 사용자에게 로그를 보내 달라 고 하세요. 이때 iPhone·iPad에 이메일 계정이 설정돼 있어야 합니다. 로그를 구성하려면:

이메일 계정이 설정돼 있으면 이메일 페이지가 열리고 로그가 첨부됩니다.

클라이언트 SSO 끄기

Single Sign On(SSO) 은 세션 중인 사용자가 클라이언트를 시작할 때 다시 인증하지 않고 Mobile Access 게이트웨이에 연결하게 해 줍니다. SSO가 켜진 상태에서 사용자가 게이트웨이에 접근할 수 없다면 SSO를 끕니다. 클라이언트에서 SSO를 끄려면:

Android 구성

신뢰되지 않은 서버 인증서를 가진 서버로 접속하기

Android 앱에서 신뢰되지 않은 서버 인증서 를 가진 서버로 접속하면 접근이 거부되고 다음 메시지가 뜹니다.

Some resources on this page reside on an untrusted host.

스테이징·데모 환경처럼 일부 경우에는 신뢰되지 않은 인증서 서버로의 접속을 켤 수 있습니다.

Android 기기의 세션 타임아웃

Android에서는 유휴 타임아웃(idle timeout)을 기기나 게이트웨이가 수정·강제할 수 없 습니다. 기기에 적용되는 유일한 타임아웃은 활성 세션 타임아웃(active session timeout) 입니다. 이는 SmartDashboard의 Mobile Access Software Blade > Additional Settings > Session > Re-authenticate users every x minutes 옵션에서 구성합니다. 이 설정은 최대 세션 길이 를 뜻하며, 그 시간에 도달하면 사용자는 다시 로그인해야 합니다. 예를 들어 재인증을 120분으로 두면, 활성 세션 2시간 뒤 사용자는 다시 로그인해야 합니다.

Android 클라이언트에서 로그 받기

클라이언트 기기 문제를 해결하려면 사용자에게 로그를 보내 달라고 하세요. 로그를 보내려면:

최종 사용자가 자기 모바일 기기를 Mobile Access와 함께 쓰도록, 다음 안내를 전달하세요.

iPhone/iPad 최종 사용자 구성

iPhone/iPad에서 Mobile Access를 쓰려면 다음 절차를 합니다. 시작 전에 관리자가 다음을 주는지 확인하세요.

회사 사이트에 연결하려면:

회사 이메일에 연결하려면:

로그를 구성하려면:

클라이언트에서 SSO를 끄려면:

웹 응용의 서버 인증서 검증을 끄려면:

Android 최종 사용자 구성

Android 기기에서 Mobile Access를 쓰려면 다음 절차를 합니다. 시작 전에 관리자가 다음을 주는지 확인하세요.

회사 사이트에 연결하려면:

웹 응용의 서버 인증서 검증을 끄려면:

로그를 보내려면:

클라이언트 인증서를 제3자 메일 클라이언트로 옮기려면:

   Export succeeded. Certificate password is: _______
   

클라이언트 인증, 기기 요건, 인증서 세부, ActiveSync 동작을 사용자 정의할 수 있습니다. 아래 CLI 명령으로 구성 파일의 설정을 바꿉니다.

$CVPNDIR/conf/cvpnd.C

변경을 적용하려면 Mobile Access 서비스를 재시작합니다.

cvpnrestart

Mobile Access 속성을 설정하려면:

cvpnd_settings set <attribute_name> "<value>"

속성의 현재 값을 보려면:

cvpnd_settings get <attribute_name>

설정할 수 있는 속성은 다음과 같습니다.