13문제 해결·FAQ·CLI 참조문제 해결·FAQ·CLI 참조

웹 연결 문제 — 쿠키부터 의심한다

Mobile Access Web Applications 에서 HTTP 쿠키를 쓰거나 요구하는 응용 을 다룰 때 웹 연결 문제가 생기곤 합니다. 원인은 분명합니다 — Microsoft Internet Explorer 가 같은 상황에서 웹 서버로 평소 보내던 일부 쿠키를 Mobile Access는 전달하지 않기 때문입니다. 이 문제의 해결책은 sk31636 에 정리돼 있으니 그대로 따르면 됩니다.

Outlook Web Access(OWA) 문제 해결

Mobile Access를 배포한 뒤 OWA 에 문제가 생겼다면, 다음 순서로 접근합니다.

OWA 점검 목록

OWA 사용 중 문제가 있을 때 밟을 단계입니다.

지원되지 않는 기능 목록

다음 OWA 기능·플랫폼·제품 버전은 Mobile Access가 지원하지 않습니다.

(*) 별표 항목은 Mobile Access와 함께 테스트되지는 않았으나, 그런 환경에 성공적으로 통합된 사례는 있습니다.

위 기능 중 하나를 반드시 써야 한다면 SSL Network Extender(SNX) 를 사용하세요.

Common OWA problems

다음 절들은 Mobile Access를 거쳐 OWA로 접속할 때 생기는 문제를 다룹니다.

OWA 인증 문제 해결

사용자가 Mobile Access에 로그인한 뒤 OWA 응용에 접근하려 하면, OWA가 다시 한번 인증 자격 증명을 요구합니다. OWA에는 두 가지 인증 방식이 있습니다 — 기본인 일반 HTTP 기반 인증(HBA) 과 폼 기반 인증(FBA, Form-Based Authentication) 입니다. 여기에 더해 Mobile Access는 HBA·FBA를 통한 단일 로그인(SSO) 도 지원합니다.

HBA 문제

내부 웹 서버가 Integrated Windows Authentication(NTLM) 이나 다른 HTTP 기반 인증을 요구하면, Mobile Access는 로그인 자격 증명을 묻는 대화상자를 띄우거나 사용자의 포털 자격 증명을 대신 쓰려고 합니다(웹 응용 구성에 따라 다름). HBA 관련 문제는 IIS의 웹 기반 암호 관리 서비스 때문에 생길 수 있습니다.

OWA 같은 IIS 웹 응용은 IIS 웹 기반 암호 관리 서비스를 쓰도록 구성할 수 있는데, 이 서비스 덕분에 사용자가 웹 서버를 통해 Windows NT 암호를 바꿀 수 있습니다. 그런데 이 서비스는 공격에 취약한 것으로 알려진 IIS HTR 기술 을 쓰며, 공격자가 사용자 시스템에서 악성 코드를 돌릴 수 있게 합니다. Microsoft는 오래전부터 업무상 꼭 필요한 경우가 아니면 웹 서버에서 HTR을 끄라고 권고해 왔습니다(Microsoft Security Bulletin MS02-028).

이 권고에 맞춰 IPS 는 기본적으로 HTR 익스플로잇을 막습니다. HTR 메커니즘을 허용하고 싶다면, IPS General HTTP Worm Catcher 보호에서 htr worm pattern을 비활성화 한 뒤 SmartDashboard에서 보안 정책을 설치하세요.

단일 로그인(SSO) 문제

문제를 짚을 때는 SSO가 원인일 가능성부터 배제합니다 — Mobile Access 사용자 포털의 자격 증명 목록에서 OWA 사용자 자격 증명을 제거 해 보세요.

OWA 권한 부여 문제 해결

Mobile Access의 권한 부여 메커니즘은 관리자가 경로별·호스트별·포트별 로 자원 접근을 허용하게 해 줍니다. Mobile Access는 OWA를 특별한 성질을 가진 웹 응용으로, 특별한 웹 서버에 붙는 것으로 봅니다. 권한 부여 문제는 다음에서 비롯됩니다.

설명하자면, Exchange 서버의 FBA 설정은 클라이언트가 SSL을 쓰도록 요구하므로 어떤 서버 측 구성요소(IIS 등)는 SSL 트래픽도 받아야 합니다. FBA를 구성할 때 Exchange 관리자에게는 다음 메시지가 표시됩니다.

Forms Based Authentication requires clients to use a SSL connection.
If SSL encryption is not off-loaded to another source, complete the following steps:
  - Configure SSL
  - Restart the IIS service

즉 보통은 IIS가 SSL 위에서 동작하도록 설정됩니다. 하지만 SSL 암호화를 다른 곳으로 오프로드하고 IIS 자체는 HTTP도 허용하는 복잡한 경우, Mobile Access 관리자가 HTTPS 트래픽도 허용해야 한다는 사실을 모를 수 있어 불일치가 생깁니다.

해결책 — Mobile Access 블레이드의 OWA 응용 구성이 Exchange 서버의 구성 요건과 일치하도록 맞춥니다.

또 다른 원인은 OWA에 대한 대체 참조(Alternative References) 입니다. 일부 회사는 중간 웹사이트(intermediary website) 를 거쳐 OWA에 접근하는데, 이 중간 웹사이트가 OWA 서버를 IP나 호스트 이름으로 참조합니다. OWA 서버 접근을 정의할 때 이 중간 웹사이트를 빠뜨리면 Mobile Access에서 권한 부여 실패가 일어날 수 있습니다.

증상은 사용자마다 다릅니다 — 런타임 JavaScript 오류가 나거나 OWA가 응답하지 않을 수 있습니다(자세한 내용은 Insufficient User Permissions 참고). 이런 문제는 프록시·Security Gateway·웹사이트 같은 중개자 없이 OWA 동작을 테스트해 보며 짚어냅니다. 대부분의 권한 부여 실패는 다음 오류 메시지로 나타납니다.

Error: Access denied. The destination of your request has not been
configured, or you do not have authorization access to it. (401).

OWA의 보안 제한 문제 해결

Mobile Access는 내부 네트워크를 외부 위협으로부터 막는 여러 내장 보안 기능을 쓰고, 단말 보안 기능으로 엔드포인트도 보호합니다. 그런데 이 보호 메커니즘이 정상적인 사용자 활동을 방해할 때 가 있습니다. 그 가능성을 배제하려면, 문제 해결 동안 모든 Web Intelligence 보호를 끄고 보안 정책을 설치해 봅니다. 증상은 사례마다 크게 달라 일일이 적지 않으니, 다음 단계로 짚어 나갑니다.

OWA의 성능 문제 해결

OWA에서 성능 문제는 다음 이유로 생깁니다.

Debug·Trace 로그를 끄는 방법

      #CvpnTraceLogMaxByte 10000000
      #CvpnWsDebugSubjects ...
      

기존 Debug·Trace 로그를 비우는 방법

SSL 위의 OWA, 또는 FBA가 켜진 OWA — OWA 서비스는 보안 네트워크 안에서 SSL 위로 동작하도록 구성할 수 있습니다. 보통 Exchange 서버가 SSL 암호화 트래픽(HTTPS)을 받도록 돼 있을 때 이렇게 합니다. OWA가 FBA를 쓰도록 구성된 경우가 바로 그렇습니다 — FBA를 켜면 IIS가 Exchange 관리자에게 웹 응용을 SSL 위로 동작시키라고 요구합니다. 그런데 보안 네트워크 안에서 OWA를 SSL로 쓰면 SSL 협상이 크게 늘어나 성능과 브라우징 경험이 나빠집니다. SSL 협상은 매우 CPU 집약적이기 때문입니다. 해결하려면

느린 네트워크 문제 — Mobile Access를 OWA 토폴로지에 넣으면 사용자가 원격지에서 기업 자원에 접속할 수 있습니다. 원격지에서 접속하는 사용자는 일시적·영구적 네트워크 문제를 겪을 수 있고, 그런 망의 패킷 손실률과 처리량은 크게 들쭉날쭉 합니다.

지연(latency) 오버헤드 문제 — Mobile Access는 Security Gateway를 지나는 모든 HTTP 트래픽을 검사하고 수정 하며, 패킷마다 처리에 시간이 듭니다. 그래서 Mobile Access를 거치는 연결과 거치지 않는 연결 사이에는 지연 차이가 생기고, 절대 경과 시간으로 본 오버헤드는 전달되는 데이터 양에 비례 합니다. 이메일·일정·작업 항목이 많은 사용자일수록 체감이 큽니다. 해결책은 더 성능 좋은 장비 로 Mobile Access의 성능을 높여 지연 오버헤드를 최소화하는 것입니다.

SSL 타임아웃 문제 — Mobile Access를 거쳐 Internet Explorer로 작업할 때 SSL 타임아웃이 생길 수 있습니다. 이는 느려짐을 일으키고, 심하면 브라우저가 일시적·영구적으로 응답하지 않게 만듭니다. 해결하려면

특정 위치에 keep-alive 없이 동작하게 하는 방법

   <LocationMatch "CVPNHost=<IP or DNS name delimited by dots>">
   SetEnv nokeepalive
   </LocationMatch>
   

예시:

   <LocationMatch "CVPNHost=208\.77\.188\.166">
   SetEnv nokeepalive
   </LocationMatch>
   ........
   <LocationMatch "CVPNHost=myhost\.example\.com|CVPNHost=myhost">
   SetEnv nokeepalive
   </LocationMatch>
   

이 밖에 권한 부여(Authorization) 문제도 성능 저하처럼 보일 수 있으니, 앞의 권한 부여 절을 함께 참고하세요.

OWA로 첨부 파일 저장하기

OWA로 첨부 파일을 저장하려 하면 Mobile Access가 파일 이름에 전체 경로를 덧붙입니다. 예를 들어 파일 이름이 이렇게 나옵니다.

Bulletin1H.PDF,CVPNHost=192.168.201.6,CVPNProtocol=http,CVPNOrg=full,CVPNExtension=.PDF

이를 해결하려면 웹 응용이 Path Translation 또는 Hostname Translation 을 쓰도록 구성합니다(애플리케이션의 Mobile Access Applications 참고).

Citrix 문제 해결

Mobile Access 배포 후 Citrix에 문제가 있다면, 먼저 애플리케이션의 Citrix Services 절을 본 다음 아래 점검 목록을 따릅니다.

Citrix 점검 목록

연결성 문제

구성 문제

파일 공유(File Shares) 문제 해결

푸시 알림(Push Notifications) 문제 해결

상황 — 푸시 알림을 구성했는데 사용자가 Capsule Workspace 에서 푸시 알림을 보지 못합니다.

이때는 Push Notification Status Utility 와 Monitoring Push Notification Usage 로 문제를 짚습니다(모바일 기기의 Mobile Access for Smartphones and Tablets 참고). 추가로 sk109039 도 함께 보세요.

운영 중 자주 나오는 질문은 대개 이 가이드의 다른 장이나 sk로 이어집니다. 아래 표가 그 길잡이입니다.

대부분의 구성은 SmartConsole에서 하지만, Mobile Access 게이트웨이에는 직접 쓰는 명령줄 도구 가 여럿 있습니다. 전체 구문은 R82 CLI Reference Guide 에 있고, 여기서는 자주 쓰는 명령을 추려 쓰임과 매개변수를 빠짐없이 설명합니다.

CLI 구문 표기법 읽는 법

이 가이드(와 Check Point 문서 전반)는 명령·파라미터·옵션을 가능하면 알파벳 순 으로 싣고, 구문을 다음 약속대로 표기합니다.

들여쓰기(TAB) 표기가 헷갈리기 쉬운데, 예를 들어 이렇게 쓰여 있으면:

    config
        -a <options>
        -d <options>
        -p
        -r
    del <options>

실제로는 아래 중 하나의 명령 을 실행하라는 뜻입니다 — cpwd_admin config -a <options>, cpwd_admin config -d <options>, cpwd_admin config -p, cpwd_admin config -r, 또는 cpwd_admin del <options>.

admin_wizard — 연결성 테스트 마법사

admin_wizard 는 관리 클라이언트 마법사를 돌려 웹사이트·Exchange 서버 서비스·LDAP 서버로의 연결성을 테스트 합니다.

      cancel
      estimation
      exchange_wizard <Exchange Server Address> <User Name> <Password> [<Options>]
      ldap <LDAP server>
      wizard <Web Site Address>

기본 파라미터는 다음과 같습니다.

exchange_wizard 는 Exchange 서버 응답을 테스트하며, 주소 프로토콜(HTTP/HTTPS)과 인증 방식(Basic/NTLM)을 찾아내고, 사용자용 ActiveSync·EWS 서비스 접근성을 점검하며, Web 명령은 URL 접근을 확인하고, OWA 명령은 outlook web access URL을 돌려줍니다. 기본 파라미터는 <Exchange Server Address>(IP 또는 호스트 이름), <User Name>, <Password> 이고, [<Options>] 로 테스트 옵션을 줍니다.

예시:

admin_wizard wizard www.checkpoint.com                                   # URL 접근성 확인
admin_wizard ldap 192.168.0.55                                           # LDAP 서버 접근성 확인
admin_wizard exchange_wizard exchange.example.com username user1 -t as,ews   # ActiveSync·EWS 확인

cvpnd_admin — cvpnd 프로세스 동작 변경

cvpnd_admin 은 Mobile Access cvpnd 프로세스의 동작을 바꿉니다.

      appMonitor status
      clear_kernel_tables
      clear_portal_cache
      debug <options>
      ics_update
      isEnabled
      license <options>
      policy [{graceful | hard}]
      revoke <Certificate Serial Number>

cvpnd_settings — 로컬 구성 파일 다루기

cvpnd_settings 는 Mobile Access 게이트웨이의 로컬 구성 파일 $CVPNDIR/conf/cvpnd.C 를 바꿉니다. 속성 값을 가져오거나(get) 설정해(set) cvpnd 프로세스를 구성합니다. 앞 장들에서 ESOD 우회·IPS 로컬 설정·Secure Workspace 완화 모드 등을 켤 때 등장했던 명령입니다.

cvpnd_settings [<Configuration File>] {get | set | add | listAdd | listRemove | internal} <Attribute-Name> [<Attribute-Value>]

DynamicID 재전송용 구문:

cvpnd_settings [<Configuration File>] {set | get} smsMaxResendRetries [<Number>]

Kerberos 인증용 구문:

cvpnd_settings [<Configuration File>] {set | get} useKerberos {true | false}
cvpnd_settings [<Configuration File>] {listAdd | listRemove} kerberosRealms [<Your AD Name>]

전체 파라미터 설명은 cvpnd_settings -h 로 볼 수 있습니다.

예시:

cvpnd_settings set myFlag 1                       # 속성 myFlag를 1로 설정
cvpnd_settings get myFlag                         # myFlag의 현재 값 보기
cvpnd_settings set myFlag                         # myFlag 값을 비우거나, 새 속성/리스트 myFlag 생성
cvpnd_settings listAdd myFlag a.example.com       # 리스트에 a.example.com 추가

cvpn_ver — 버전 보기

cvpn_ver 는 Mobile Access Software Blade의 버전을 보여 줍니다.

cvpn_ver

예시 출력:

[Expert@MyGW:0]# cvpn_ver
This is Check Point Mobile Access R82 - Build 123
[Expert@MyGW:0]#

cvpnstart / cvpnstop / cvpnrestart — 서비스 제어

서비스를 다루는 명령이 가장 기본입니다.

cvpnstop
cvpnrestart [--with-pinger]

cvpnrestart 의 --with-pinger 옵션은 ActiveSync·OWA 푸시 메일 알림을 담당하는 Pinger 서비스 까지 함께 재시작합니다.

deleteUserSettings — 사용자 저장 설정 삭제

deleteUserSettings 는 한 명 이상의 최종 사용자가 저장한 영구 설정(즐겨찾기·쿠키·자격 증명) 을 모두 삭제합니다.

deleteUserSettings [-s] <Username1> [<Username2> ...]

예시:

deleteUserSettings [-s] user1                                      # 내부 사용자 user1
deleteUserSettings [-s] CN=user1,OU=users,DC=example,DC=com        # LDAP 사용자 user1

fwpush — 푸시 알림 관리

fwpush 는 게이트웨이의 fwpushd 프로세스에 명령 인터럽트를 보냅니다.

      debug <options>
      del <options>
      info
      print
      send <options>
      unsub <options>

send 구문은 다음과 같습니다.

fwpush send -token <Token> -os {iPhone | Android} -msg "<Notification Message>"
fwpush send {-user <Username> | -uid <User-UID>} -msg "<Notification Message>"

fwpush 에 쓰는 값들은 접속 사용자 상세 에서 가져옵니다.

UserSettingsUtil show_exchange_registered_users

출력 예시:

[Expert@MyGW:0]# UserSettingsUtil show_exchange_registered_users
User Name: CN=JohnD,OU=USERS,OU=RND,OU=PO,OU=USA,DC=AD,DC=CHECKPOINT,DC=COM
User Settings id: c4b6c6fbb0c4xxxxxxxx265e93e0e372
Push Token: xxxxxxxxxxxxx65b48e424023ebxxxxxxxxca22ea788cfb3cxxxxxxxxxx
Device id: 46c5XXXXcc1d10b4e18cf5a1xxxxxxxx
[Expert@MyGW:0]#

전송 예시:

[Expert@MyGW:0]# fwpush send -uid JohnD -msg "Hello - push"

ics_updates_script — ESOD 업데이트 수동 실행

ics_updates_script 는 게이트웨이에서 Endpoint Security on Demand(ESOD) 업데이트를 수동으로 시작합니다. 자세한 내용은 $CVPNDIR/bin/ics_updates_script 파일 안의 내용을 참고하세요.

$CVPNDIR/bin/ics_updates_script <Path to Local ICS Updates Package>

listusers — 접속 사용자 목록

listusers 는 게이트웨이에 접속한 최종 사용자 목록을 출발 IP 주소와 함께 보여 줍니다.

listusers

예시 출력:

[Expert@MyGW:0]# listusers
------------------------------
UserName       | IP
------------------------------
Tom , 192.168.0.51
John , 192.168.0.130
Jane , 192.168.0.7
[Expert@MyGW:0]#

rehash_ca_bundle — CA 번들 다시 해시

rehash_ca_bundle 은 $CVPNDIR/var/ssl/ca-bundle/ 디렉터리의 모든 인증 기관(CA) 파일을 Mobile Access의 신뢰 CA 번들로 가져옵니다. 이 신뢰 CA 번들은 게이트웨이가 OWA 같은 내부 서버에 HTTPS로 접근할 때 쓰입니다.

내부 서버의 SSL 서버 인증서를 게이트웨이가 신뢰하지 않으면, 게이트웨이는 Internal Web Server Verification 기능의 설정(기본 Monitor)에 따라 응답합니다. 특정 서버의 인증서를 받아들이려면 그 서버 인증서의 CA를 CA 번들에 추가합니다.

rehash_ca_bundle

예시 출력:

[Expert@MyGW:0]# rehash_ca_bundle
Doing /opt/CPcvpn-R82/var/ssl/ca-bundle/
AC_Ra__z_Certic__mara_S.A..pem => 6f2c1157.0
AOL_Time_Warner_Root_Certification_Authority_1.pem => ed9bb25c.0
... ... ...
beTRUSTed_Root_CA_-_RSA_Implementation.pem => 16b3fe3c.0
thawte_Primary_Root_CA.pem => 2e4eed3c.0
[Expert@MyGW:0]#

UserSettingsUtil — 접속 사용자 상세 보기

UserSettingsUtil 은 게이트웨이에 접속한 사용자의 상세 정보를 보여 줍니다. 앞서 fwpush에 쓸 Push Token·CN·User Settings id 값을 얻을 때도 이 명령을 씁니다.

UserSettingsUtil show_exchange_registered_users [<Username>]

예시:

UserSettingsUtil show_exchange_registered_users                                       # 모든 사용자
UserSettingsUtil show_exchange_registered_users user1                                 # 내부 사용자 user1
UserSettingsUtil show_exchange_registered_users CN=user1,OU=users,DC=example,DC=com   # LDAP 사용자 user1

이로써 Mobile Access의 소개부터 솔루션 선택, 포털·애플리케이션·인증·권한, 모바일 기기와 단말 검사, Reverse Proxy와 블레이드 연동, 그리고 운영 문제 해결·FAQ·CLI 도구까지 한 바퀴를 돌았습니다. 원격 접속 전반을 더 깊이 보려면 Remote Access VPN 가이드와 함께 읽기를 권합니다.