목차/09. Large Scale VPN(LSV)

09Large Scale VPN(LSV)Large Scale VPN(LSV)

지점·전 세계 협력사·원격 클라이언트, 그 밖의 환경을 잇는 VPN이 수백~수천 피어 에 이르면 새로운 문제가 생깁니다 — 새 VPN 피어를 운영에 투입할 때마다, 참여하는 모든 VPN 게이트웨이에 설정과 정책 설치 가 필요해지죠. Large Scale VPN(LSV) 은 이 문제를 해결해, 피어별 설정과 정책 설치 없이 대규모 VPN을 배포 하게 해 줍니다.

구성 흐름

LSV 구성의 큰 줄기는 다섯 걸음이며, 작업은 중앙(Center) VPN 게이트웨이 에서 진행합니다.

  1. 인증 기관(CA)을 구성합니다.
  2. Center VPN Security Gateway를 구성합니다(인증서 발급).
  3. VPN 커뮤니티를 구성합니다.
  4. LSV 프로파일 을 구성합니다.
  5. Security Policy를 설치합니다.

Step 1 — 인증 기관(CA) 구성

CA 인증서는 미리 디스크에 받아 두어야 합니다.

CA 인증서는 Certificate Authority 객체의 CA 옵션으로 내려받 거나, 미리 피어 관리자에게서 받 아 둡니다. CA 객체는 다음과 같이 정의합니다.

  1. Object Explorer에서 New > Server > More > Trusted CA 또는 Subordinate CA 를 클릭하면 Certificate Authority Properties 창이 열립니다.
  2. CA 객체의 Name 을 입력합니다.
  3. OPSEC PKI 탭에서 —
    • 자동 등록을 쓰려면 Automatically enroll certificate 를 선택합니다.
    • Connect to CA with protocol 에서 CA와 연결할 프로토콜을 SCEP·CMPV1·CMPV2 중에 고릅니다.
프로토콜입력 내용
SCEPCA 식별자(예: example.com)와 Certification Authority/Registration Authority URL
CMPV1해당 IP 주소와 포트 번호(기본 포트 829)
CMPV2전송 계층으로 직접 TCP를 쓸지 HTTP를 쓸지 결정

Step 2 — Center VPN 게이트웨이 인증서 구성

LSV 커뮤니티에 참여하는 장치들은 모두 같은 CA가 Center VPN 게이트웨이용으로 서명한 인증서 를 공유해야 합니다. 내부에서 관리되는 VPN 가능 객체에는 ICA가 인증서를 자동 발급 합니다(즉 General Properties > Network Security 탭에서 IPsec VPN 블레이드를 켜면 됨). OPSEC PKI CA나 외부 Check Point CA에서 인증서를 받는 과정은 서로 동일합니다.

수동 등록 (Manual Enrollment, OPSEC 인증 PKI)

PKCS#10 인증서 요청을 만드는 흐름입니다.

  1. Certificate Authority 객체를 만듭니다.
  2. Gateways & Servers 에서 해당 Security Gateway/Cluster 객체를 더블 클릭하고, General Properties 에서 IPsec VPN 블레이드를 켭니다.
  3. 왼쪽 트리에서 IPsec VPN 을 클릭하고, Repository of Certificates Available to the Gateway 영역에서 Add 를 클릭하면 Certificate Properties 창이 열립니다.
  4. Certificate Nickname 에 텍스트를 입력합니다(닉네임은 식별자일 뿐 인증서 내용과 무관).
  5. CA to enroll from 드롭다운에서 인증서를 발급할 CA를 고릅니다.
방식뜻
Store keys on the Security Management server인증서 생성을 Management Server와 CA가 전부 처리하고, 정책 설치 때 키와 인증서를 게이트웨이에 안전하게 내려보냅니다.
Store keys on the ModuleManagement Server가 게이트웨이에 키 생성을 지시하고 인증서 요청에 필요한 자료만 받습니다. 정책 설치 때 인증서만 내려갑니다.

자동 등록 (Automatic Enrollment)

Certificate Authority 객체의 OPSEC PKI 탭에서 Automatically enroll certificate 를 선택하고 프로토콜(scep 또는 cmp)을 고릅니다. 이어서 —

  1. Gateways & Servers 에서 해당 Security Gateway/Cluster 객체를 더블 클릭하고, General Properties 에서 IPsec VPN 블레이드를 켭니다.
  2. 왼쪽 트리에서 IPsec VPN > Repository of Certificates Available to the Gateway 영역에서 Add 를 클릭합니다.
  3. Certificate Nickname 을 입력하고, CA to enroll from 에서 CA를 고릅니다.
  4. Key pair generation and storage 에서 위 표와 같은 방식을 고릅니다.
  5. Generate 를 클릭하고 Automatic enrollment 를 선택합니다. 창이 열리면 Key Identifier 와 비밀 Authorization code 를 입력하고 OK 를 누릅니다.
  6. 인증서가 Repository에 나타나면 선택 후 View 에서 Copy to Clipboard 또는 Save to File 합니다.
  7. 요청을 CA 관리자에게 보내 인증서를 받은 뒤 디스크에 저장합니다.
  8. 왼쪽 트리에서 IPsec VPN > Repository에서 해당 인증서를 선택하고 Complete 를 클릭합니다.
  9. 저장해 둔 인증서를 찾아 선택하고 세부 정보를 확인합니다.
  10. OK 로 객체를 닫고 SmartConsole 세션을 Publish 합니다.

Step 3 — VPN 커뮤니티 구성 (새 Star Community)

  1. 왼쪽 탐색 창에서 Security Policies 를 클릭합니다.
  2. 왼쪽 위 Access Control 에서 Policy 를 클릭합니다.
  3. 왼쪽 아래 Access Tools 에서 VPN Communities 를 클릭합니다.
  4. New 를 클릭하고 Star Community 를 선택합니다.
  5. VPN 커뮤니티의 이름을 입력합니다.
  6. Center Gateways 영역에서 + 아이콘으로 중앙에 둘 게이트웨이(Cluster)를 하나 이상 더합니다.
  7. Satellite Gateways 영역에서 + 아이콘으로 중앙을 둘러쌀 게이트웨이(Cluster)를 하나 이상 더합니다.
  8. OK 를 클릭합니다. 이 커뮤니티는 기본 암호화·VPN Routing 설정을 씁니다.
  9. (선택) 이 VPN Community 객체에서 추가 설정을 편집합니다.

Step 4 — LSV 프로파일 구성

LSV의 핵심은 LSV 프로파일 입니다. 개별 피어를 일일이 객체로 만들고 커뮤니티에 넣는 대신, 하나의 프로파일로 다수의 위성 피어를 한꺼번에 다루 어 PKI 인증서 기반으로 자동 합류시킵니다.

  1. VPN Community 객체를 편집합니다.
  2. 왼쪽 트리에서 Gateways 를 클릭합니다.
  3. Satellite Gateways 영역에서 + 아이콘 > New > Large Scale VPN 을 클릭하면 New Large Scale VPN Profile 창이 열립니다.
  4. Certificate Authority 영역에서 해당 CA 객체를 선택합니다.
  5. (선택) LSV 프로파일의 VPN 도메인을 구성합니다. 각 위성 VPN 게이트웨이의 암호화 도메인에 쓰이는 IP 주소 수를 제한 하고, VPN 접근을 특정 네트워크 그룹으로 한정할 수 있습니다.
p.156
p.156

Step 5 — Security Policy 설치

마지막으로 Security Policy를 설치하면 LSV 구성이 적용됩니다.

LSV 피어와 터널 모니터링

Security Gateway에서는 vpn lsv 명령으로 LSV 피어를 모니터링합니다.

  1. Security Gateway(각 Cluster Member)의 명령줄에 접속합니다.
  2. Expert mode 로 로그인합니다.
  3. 다음을 실행합니다.
   vpn lsv

출력에서 옵션을 고릅니다.

   Select an option.
   **********
   Select Option
   **********
   (1) List all LSV peers       # 모든 LSV 피어 보기
   (2) Show LSV peer's details  # 특정 피어 세부 정보 보기
   (3) Remove an LSV peer       # 피어 하나 제거
   (4) Remove all LSV peers     # 모든 피어 제거
   (Q) Quit                     # 종료
   *******************************************