13SAML·Dynamic Split TunnelingSAML·Dynamic Split Tunneling

SAML Support for Remote Access VPN 은 클라우드 기반 SAML Identity Provider(IdP)의 신원을 인식 해 원격 접속을 인증하는 기능입니다. 사용자는 조직이 쓰는 Azure AD(Microsoft Entra ID)·Okta 같은 IdP에서 인증하고, 그 결과로 VPN에 접속합니다. 사용자 인증의 여러 로그인 옵션 중 하나로 SAML을 추가해, 비밀번호 대신 IdP 인증으로 접속 하게 하는 방식입니다.

요구 사항 (Requirements)

R82 관리 서버에서 이 기능을 쓰려면 각 제품이 다음 버전 이상이어야 합니다.

지원하는 Endpoint Security Client / Mobile Access Client 은 다음과 같습니다.

구성 절차 (Configuration)

SAML 인증은 여섯 단계로 구성합니다.

Step 1 — 원격 접속 VPN 구성

Step 2 — Identity Provider 오브젝트 구성

IdP의 안내를 따르며 다음을 수행합니다.

Step 3 — Generic External User Profile 오브젝트 구성

Step 4 — Identity Provider를 인증 방법으로 구성

이 속성들이 보이지 않으면, fetch_options 속성을 오른쪽 클릭 > Edit > 아무것도 바꾸지 말고 OK 를 누릅니다(변경하지 않습니다). - (i) 필요한 설정을 구성합니다. - 온프레미스 Active Directory(LDAP)를 쓰는 경우 - (i) fetch_options 아래에서 do_generic_fetch 의 현재 값이 false 가 아니면, 오른쪽 클릭 > Edit > 값 false 선택 > OK. - (ii) directory 아래에서 UserLoginAttr 을 오른쪽 클릭 > Edit > 값 mail 선택 > OK. - 온프레미스 Active Directory(LDAP)를 쓰지 않는 경우 - (i) fetch_options 아래에서 do_internal_fetch 의 현재 값이 false 가 아니면, 오른쪽 클릭 > Edit > 값 false 선택 > OK. - (ii) fetch_options 아래에서 do_ldap_fetch 의 현재 값이 false 가 아니면, 오른쪽 클릭 > Edit > 값 false 선택 > OK. - (j) fetch_type 속성을 오른쪽 클릭 > Edit > 값 fetch_options 선택 > OK. - (k) 해당하는 모든 게이트웨이에 대해 (c)–(j) 를 반복합니다. - (l) 모든 변경을 저장합니다(File 메뉴 > Save All). - (m) Database Tool(GuiDBEdit Tool)을 닫습니다. 10. SmartConsole 로 Security Management Server / 해당 Domain Management Server에 접속합니다. 11. 게이트웨이 오브젝트를 하나씩 열어, 인증을 사용하는 각 Software Blade(VPN, Mobile Access, Identity Awareness)의 설정을 점검합니다. - LDAP를 쓰는 Software Blade에는 LDAP Users only 옵션을 선택했는지 확인합니다. - LDAP를 쓰지 않는 Software Blade에는 External user profiles only 옵션을 선택했는지 확인합니다. 12. R81.10 이하 게이트웨이를 하나 이상 이 기능에 쓰려면, 관리 서버에 스크립트를 내려받아 실행해야 합니다. - (a) 해당 스크립트를 컴퓨터에 내려받습니다. - (b) 게이트웨이에 필요한 Jumbo Hotfix Accumulator가 설치돼 있는지 확인합니다(위 요구 사항 참고). - (c) 스크립트를 컴퓨터에서 관리 서버로 복사합니다.

        chmod u+x allow_VPN_RA_for_R8040_and_above_gateways_V2.sh
        

스크립트를 실행합니다(첫 번째 인자는 반드시 1).

        ./allow_VPN_RA_for_R8040_and_above_gateways_V2.sh 1
        

Step 5 — 원격 접속 VPN 클라이언트 설치·구성 (Windows·macOS만 해당)

Windows 클라이언트가 단말 기본 브라우저(예: Chrome)를 쓰게 하기:

    net stop TracSrvWrapper
    net start TracSrvWrapper
    

macOS 클라이언트가 단말 기본 브라우저(예: Chrome)를 쓰게 하기:

    sudo launchctl stop com.checkpoint.epc.service
    sudo launchctl start com.checkpoint.epc.service
    

Windows 클라이언트가 Internet Explorer 브라우저를 쓰게 하기:

    net stop TracSrvWrapper
    net start TracSrvWrapper
    

게이트웨이의 구성 파일에서 Windows 단말의 브라우저 모드 구성하기:

Windows용 원격 접속 VPN 클라이언트 E88.41 부터는, 게이트웨이의 구성 파일에서 단말 브라우저 모드를 설정할 수 있습니다. trac_client_1.ttm 파일의 idp_browser_mode 파라미터가 브라우저 모드를 제어합니다. 자세한 내용은 sk75221 을 참고하세요.

Step 6 — 그룹 권한 부여(Group Authorization) 구성

권한 부여는 다음 두 종류의 그룹에 적용합니다.

Identity Provider 그룹을 구성하려면:

예를 들어 IdP 인터페이스의 역할 이름이 my_group 이면, SmartConsole에는 EXT_ID_my_group 이라는 내부 User Group 오브젝트를 만듭니다.

Identity Provider 그룹과 Internal 그룹(예: LDAP)은 권한 부여에 사용됩니다. 권한 부여 유형은 Remote Access VPN Community 와 Access Roles 두 가지입니다.

권한 부여 방식은 다음과 같이 적용합니다.

알려진 제한 사항 (Known Limitations)

Hub Mode에서는 모든 트래픽이 VPN 터널을 거쳐 게이트웨이로 가므로, Microsoft 365 같은 SaaS 트래픽까지 게이트웨이를 거쳐 부하가 늘 수 있습니다. Dynamic Split Tunneling 은 Hub Mode에서 SaaS 트래픽을 원격 접속 VPN 터널에서 제외 해 게이트웨이 부하를 줄입니다.

동작 순서(Chain of Events):

SaaS의 IP는 자주 바뀌므로, Updatable Object로 최신 IP를 받아 정확히 제외하는 것이 핵심입니다.

사전 요구 사항 (Prerequisites)

이 기능에는 다음이 필요합니다.

구성 절차 (Configuration)

Hub Mode에서 SaaS 서비스를 원격 접속 VPN 터널에서 제외하려면 다음을 수행합니다.

Step 1 — SmartConsole에서 설정 구성

Step 2 — 원격 접속 VPN 클라이언트에서 필요한 설정 구성

클라이언트에서 기능을 켜려면 다음 중 하나를 수행합니다.

방법 A — 게이트웨이의 $FWDIR/conf/trac_client_1.ttm 파일 편집

    cp -v $FWDIR/conf/trac_client_1.ttm{,_BKP}
    

    vi $FWDIR/conf/trac_client_1.ttm
    

        :trac_client_1 (
            :split_tunnel (
                :gateway (
                    :default (true)
                )
            )
            :<other_parameters> (
            ... ...
            )
        )
    )
    

이 기능은 관리자가 게이트웨이와 원격 접속 VPN 터널 사이에 새 연결을 만든 뒤 VPN 클라이언트에서 사용할 수 있게 됩니다.

방법 B — VPN 클라이언트의 trac.defaults 파일 편집 (VPN 클라이언트 설치 폴더 안에 있음)

    STRING
    true
    GW_USER
    0
    

VPN 클라이언트는 게이트웨이로 새 원격 접속 VPN 터널을 만들 때부터 SaaS 서비스를 제외하기 시작합니다.

정리하면, SAML은 클라우드 ID로 인증을 현대화하고, Dynamic Split Tunneling은 SaaS 트래픽을 터널에서 빼 게이트웨이 부하를 줄 이는, 요즘 환경에 맞춘 두 기능입니다.