이 가이드는 Windows 컴퓨터에 적용됩니다
Iru Endpoint에서 Enterprise Wi-Fi를 선택하면 선택한 EAP 유형과 관계없이 ID 인증서 및 인증서 신뢰 설정이 항상 UI에 표시됩니다. 이러한 필드는 필수가 아니며 일부 EAP 유형에서는 적용되지 않습니다. EAP 유형에서 인증서를 사용하지 않는 경우 이러한 필드를 비워 둘 수 있습니다.
EAP-TLS 구성
EAP-TLS는 전송 계층 보안(Transport Layer Security)과 ID 인증서를 사용하여 기기를 네트워크에 인증합니다. EAP-TLS를 사용하려면 ID 인증서를 제공해야 합니다.1
EAP 유형 선택
Accepted EAP Types에서 TLS를 선택합니다.
2
자격 증명 소스 선택
Credential source에서 클라이언트가 ID 인증서를 찾는 방법을 선택합니다.
- 대부분의 배포에서는 Certificate Store를 사용합니다.
3
간단한 인증서 선택 활성화(권장)
Windows가 인증 중에 올바른 인증서를 자동으로 선택하도록 Simple certificate selection을 활성화합니다.
비활성화하면 사용자에게 사용 가능한 인증서 중에서 선택하라는 메시지가 표시될 수 있습니다.
4
서버 유효성 검사 구성(권장)
RADIUS/인증서 인프라가 배포된 방식에 따라 유효성 검사 옵션을 구성합니다.
- Perform server validation(프로덕션에 권장)
- 서버 유효성 검사에 대한 사용자 프롬프트 비활성화
- 서버 이름 수락
5
EKU 필터링 구성(선택 사항)
환경에서 EKU 필터링을 사용하는 경우 다음을 구성합니다.
- 클라이언트 인증 EKU
- 모든 용도 EKU
- 전체 용도 EKU
EAP-TTLS 구성
TTLS(Tunneled Transport Layer Security)는 TLS 터널을 사용하여 다른 인증 프로토콜을 암호화합니다. 일반적으로 ID 인증서가 필요하지 않으며, 대부분의 배포에서는 사용자 이름과 암호(또는 인프라에 따라 기기 자격 증명)를 사용하여 인증합니다.1
EAP 유형 선택
Accepted EAP Types에서 TTLS를 선택합니다.
2
ID 개인정보 보호 활성화(선택 사항이지만 권장)
인프라가 ID 개인정보 보호를 지원하는 경우 Enable identity privacy를 활성화합니다.
활성화하면 클라이언트는 초기 교환 중에 익명의 외부 ID를 전송하고 암호화된 터널 내부에서만 실제 ID를 공개합니다.
3
서버 유효성 검사 구성(권장)
다음을 구성합니다.
- 서버 유효성 검사 수행
- 서버 유효성 검사에 대한 사용자 프롬프트 비활성화
- 서버 이름 수락
4
내부 인증 구성
Inner authentication에서 TLS 터널 내부에서 사용할 인증 프로토콜을 선택합니다(RADIUS 구성에서 요구하는 대로).
ID 인증서 설정이 UI에 표시될 수 있지만, 인프라에서 명시적으로 인증서를 요구하지 않는 한 일반적으로 TTLS에는 사용되지 않습니다.
EAP-PEAP 구성
PEAP(Protected Extensible Authentication Protocol)는 TLS 터널을 사용하여 내부 인증 방법으로 교환되는 자격 증명을 보호합니다. TTLS와 마찬가지로 PEAP는 일반적으로 ID 인증서가 필요하지 않으며, 가장 일반적으로 터널 내부에서 사용자 이름/암호 인증을 사용합니다.1
EAP 유형 선택
Accepted EAP Types에서 PEAP를 선택합니다.
2
선택적 PEAP 동작 구성
환경에 따라 다음을 구성합니다.
- Enable fast reconnect(로밍 성능 향상)
- Require cryptobinding(지원되는 경우 권장, 일부 터널링 공격으로부터 보호하는 데 도움)
- Enable NAP quarantine checks(레거시, 최신 배포에서는 일반적으로 비활성화)
3
신뢰할 수 없는 서버 인증서에 대한 신뢰 동작 제어(권장)
Allow user to accept untrusted server certificates를 구성합니다.
- 활성화하면 서버 CA를 신뢰할 수 없을 때 사용자에게 메시지가 표시될 수 있습니다.
- 비활성화하면 서버의 유효성을 검사할 수 없을 때 연결이 자동으로 실패합니다.
4
서버 유효성 검사 구성(권장)
다음을 구성합니다.
- 서버 유효성 검사 수행
- 서버 유효성 검사에 대한 사용자 프롬프트 비활성화
- 서버 이름 수락
5
ID 개인정보 보호 활성화(선택 사항이지만 권장)
배포에서 익명의 외부 ID를 지원하는 경우 Enable identity privacy를 활성화합니다.
6
내부 인증 구성
RADIUS 요구 사항에 따라 Inner authentication 방법을 선택합니다.
ID 인증서 필드가 표시될 수 있지만 PEAP는 일반적으로 ID 인증서를 사용하지 않습니다.
EAP-TEAP 구성
TEAP(Tunneled EAP)는 여러 내부 인증 메커니즘을 지원하고 PEAP/TTLS보다 확장성이 뛰어난 최신 터널형 EAP 방법입니다. 많은 TEAP 배포에서는 사용자 이름/암호, 인증서 또는 이들의 조합을 사용하여 인증합니다.1
EAP 유형 선택
Accepted EAP Types에서 TEAP를 선택합니다.
2
수동으로 수락한 서버 인증서에 대한 신뢰 동작 구성(선택 사항)
Auto-trust servers accepted by the user를 구성합니다.
활성화하면 사용자가 서버 인증서를 수동으로 수락하고 연결이 성공했을 때 서버가 푸시한 추가 루트를 신뢰할 수 있는 CA 목록에 추가할 수 있습니다.
3
서버 유효성 검사 구성(권장)
다음을 구성합니다.
- 서버 유효성 검사 수행
- 서버 유효성 검사에 대한 사용자 프롬프트 비활성화
- 서버 이름 수락
4
ID 개인정보 보호 활성화(선택 사항)
인프라에서 지원하는 경우 Enable identity privacy를 활성화합니다.
5
내부 인증 구성
TEAP는 여러 내부 방법을 사용할 수 있습니다. 다음을 구성합니다.
- 기본 내부 인증
- Secondary inner authentication(선택 사항)
인증 전략에 따라 일부 TEAP 배포에서는 ID 인증서를 사용할 수 있습니다. TEAP 배포에서 인증서를 사용하지 않는 경우 인증서 필드를 비워 둘 수 있습니다.
EAP-SIM 구성
EAP-SIM은 인증에 SIM 카드를 사용합니다. 접근 제어에 SIM 기반 ID를 사용하는 통신사 또는 기업 환경에서 일반적으로 사용됩니다.1
EAP 유형 선택
Accepted EAP Types에서 SIM을 선택합니다.
2
강력한 암호 키 요구(선택 사항)
더 강력한 암호화 키(3개의 RAND)를 요구하려면 Require strong cipher keys를 구성합니다.
구성하지 않으면 서버 동작에 따라 2개 또는 3개의 RAND가 허용될 수 있습니다.
3
영구 가입자 ID(IMSI) 숨기기(선택 사항)
이전 인증에서 가명 ID가 존재할 때 IMSI가 노출되지 않도록 하려면 **Hide permanent subscriber identity (IMSI)**를 구성합니다.
4
공급자 및 영역 구성(선택 사항)
- Provider name(이 공급자와 일치하는 SIM으로 인증을 제한)
- Realm configuration(서버에 ID를 전송할 때 사용되는 영역을 제어)
EAP-AKA 구성
EAP-AKA는 USIM 기반 인증을 사용하며, 모바일 통신사 및 SIM 지원 기업 배포에서 일반적으로 사용됩니다.1
EAP 유형 선택
Accepted EAP Types에서 AKA를 선택합니다.
2
영구 가입자 ID(IMSI) 숨기기(선택 사항)
가명이 존재할 때 IMSI를 보호할지 여부에 따라 **Hide permanent subscriber identity (IMSI)**를 구성합니다.
3
공급자 및 영역 구성(선택 사항)
- 공급자 이름
- 영역 구성
EAP-AKA’ 구성
EAP-AKA’는 ID 바인딩 및 키 파생이 개선된 EAP-AKA의 향상된 버전입니다. 일부 최신 SIM 기반 배포에서 사용됩니다.1
EAP 유형 선택
Accepted EAP Types에서 **AKA’**를 선택합니다.
2
서버의 네트워크 이름 유효성 검사(선택 사항)
클라이언트가 예상하는 네트워크 이름을 서버가 알리는 이름과 대조하여 확인할지 여부를 제어하려면 Validate network name from server를 구성합니다.
3
빠른 재인증 활성화(선택 사항)
가능한 경우 더 짧고 빠른 AKA’ 교환을 허용하려면 Enable fast reauthentication을 구성합니다.
비활성화하거나 구성하지 않으면 모든 연결에서 전체 인증을 사용합니다.
4
영구 가입자 ID(IMSI) 숨기기(선택 사항)
환경에서 필요한 경우 IMSI 보호 설정을 구성합니다.
5
공급자 및 영역 구성(선택 사항)
- 공급자 이름
- 영역 구성
권장 사항 및 모범 사례
- 가능하면 항상 서버 유효성 검사를 사용하십시오. 유효성 검사를 비활성화하거나 신뢰할 수 없는 서버 인증서를 허용하면 자격 증명 가로채기 및 중간자 공격 위험에 대한 노출이 증가합니다.
- 특히 TTLS/PEAP/TEAP 환경에서는 사용 가능한 경우 ID 개인정보 보호를 활성화하십시오.
- 조직에서 SIM/USIM 기반 ID 인증을 지원하는 경우에만 EAP-SIM / AKA / AKA’를 사용하십시오. 이러한 방법은 일반적인 기업 Wi-Fi 배포에서는 흔하지 않습니다.
- 사용할 EAP 유형을 잘 모르는 경우 Wi-Fi/RADIUS 팀에 문의하여 인프라에서 활성화된 방법을 확인하십시오.