네트워크센서 DHCP 서비스 설정하기

Genian NAC 네트워크 센서는 DHCP(Dynamic Host Configuration Protocol) 서비스 기능을 제공하여 관리 네트워크 대역에 IP를 자동으로 할당할 수 있습니다.

DHCP 서비스를 제공하는 항목은 아래와 같으며, 네트워크 환경에 따라서 선택적으로 사용합니다.

설정항목	기능설명	비고
로컬	네트워크 센서의 관리범위에 대해서 DHCP 서비스 제공
리모트	네트워크 센서에서는 DHCP 서비스를 제공하지 않고, 리모트 서버에서 DHCP 서비스 제공	스위치에 DHCP Helper Address 설정 필요
로컬과 리모트	네트워크 센서의 관리범위 및 리모트로 설정된 네트워크 센서의 IP 대역에 DHCP 서비스 제공

../_images/Genian-NAC-DHCP-Options-1.png

DHCP Snooping·DAI 사용 스위치 설정

센서 또는 정책서버가 DHCP 서비스를 제공하는 경우(로컬, 로컬과 리모트), 센서가 연결된 스위치에서 아래 보안 기능을 사용하고 있다면 센서가 연결된 포트를 신뢰(Trusted) 포트로 설정해야 합니다.

스위치 기능	센서 포트를 신뢰 포트로 설정하지 않은 경우
DHCP Snooping	스위치가 신뢰하지 않는 포트로 들어오는 DHCP 서버 응답(OFFER, ACK)을 차단하여 단말이 IP를 할당받지 못합니다.
DAI (Dynamic ARP Inspection)	스위치가 DHCP Snooping 정보와 일치하지 않는 ARP 패킷을 차단합니다. DHCP 응답은 영향을 받지 않지만 센서의 ARP 패킷이 차단되어 ARP 제어 가 동작하지 않을 수 있습니다.

다음은 Cisco 스위치에서 센서가 연결된 포트(Gi1/0/1)를 신뢰 포트로 설정하는 예입니다.

Switch> enable
Switch# configure terminal
Switch(config)# interface gi1/0/1
Switch(config-if)# ip dhcp snooping trust
Switch(config-if)# ip arp inspection trust

다른 제조사 스위치도 같은 기능의 신뢰 포트 설정을 제공합니다. 명령은 제조사와 소프트웨어 버전에 따라 다르므로 해당 제조사 문서를 참고합니다.

Note

신뢰 포트 설정은 센서가 연결된 포트에만 적용합니다. 단말이 연결된 포트를 신뢰 포트로 설정하면 해당 포트에서 비인가 DHCP 서버와 ARP 위변조를 막는 스위치 보호 기능이 동작하지 않습니다.

네트워크센서 로컬 DHCP 서비스 설정하기

상단 페널에 시스템 으로 이동합니다.
왼쪽 시스템 항목에 센서관리 를 선택합니다.
설정할 네트워크 센서 에 체크박스를 선택합니다.
작업선택 항목에서 센서 일괄 설정 을 클릭합니다.
DHCP 관련 설정을 수행합니다
- DHCP 서비스 설정값을 ON 으로 변경합니다.
- 서비스 대상 설정값을 로컬 로 설정합니다.
- 노드 IP Pool 설정값을 입력합니다.
- DNS 서버 설정값을 입력합니다.
저장 버튼을 클릭합니다.

네트워크센서 리모트 DHCP 서비스 설정하기

리모트 DHCP 서비스는 자체적으로 DHCP를 제공하지 않음으로 로컬과 리모트 설정된 정책서버가 필요합니다.

상단 페널에 시스템 으로 이동합니다.
왼쪽 시스템 항목에 센서관리 를 선택합니다.
설정할 네트워크 센서 에 체크박스를 선택합니다.
작업선택 항목에서 센서 일괄 설정 을 클릭합니다.
DHCP 관련 설정을 수행합니다
- DHCP 서비스 설정값을 ON 으로 변경합니다.
- 서비스 대상 설정값을 리모트 로 설정합니다.
저장 버튼을 클릭합니다.

정책서버 로컬과 리모트 DHCP 서비스 설정하기

로컬과 리모트 DHCP 서비스 설정 시 리모트로 설정된 네트워크 센서 대역에 IP대역을 노드 IP Pool에 입력해야 합니다.

상단 페널에 시스템 으로 이동합니다.
왼쪽 시스템 항목에 센서관리 를 선택합니다.
설정할 네트워크 센서 에 체크박스를 선택합니다.
작업선택 항목에서 센서 일괄 설정 을 클릭합니다.
DHCP 관련 설정을 수행합니다
- DHCP 서비스 설정값을 ON 으로 변경합니다.
- 서비스 대상 설정값을 로컬 로 설정합니다.
- 노드 IP Pool 설정값을 입력합니다.(리모트로 설정된 네트워크센서 대역설정 필수)
- DNS 서버 설정값을 입력합니다.
저장 버튼을 클릭합니다.

정책서버에서만 DHCP 서비스하기

이 섹션은 네트워크환경이 DHCP 환경이고 DHCP 서버역할을 수행하는 주체가 정책서버이고 네트워크센서는 리모트로 동작하는 환경에서 사용됩니다.

상단 항목에 있는 시스템 으로 이동합니다.
정책서버 IP를 선택하고 센서설정 화면으로 이동합니다.
하단 DHCP 항목에서 아래와 같이 설정합니다.

DHCP서비스: On

서비스대상: 로컬과 리모트

노드 IP Pool: Client IP 대역 전체

기타 옵션들도 환경에 맞게 설정

왼쪽 시스템 관리 항목에 있는 시스템 초기설정 > 센서설정 로 이동합니다.
센서설정 창에서 아래와 같이 설정합니다.

DHCP 서비스: On

서비스 대상: 리모트

리모트 : 현재 센서는 DHCP서버 기능을 제공하지 않고 다른서버에서 DHCP 서비스 제공.

이하 모든 기타 설정 들은 옵션 입니다.
수정 을 클릭합니다.

DHCP IP 할당 금지 설정

DHCP IP 할당 금지 대상을 설정할 수 있습니다.

상단 페널에 시스템 으로 이동합니다.
왼쪽 시스템 항목에 센서관리 를 선택합니다.
설정할 네트워크 센서 에 체크박스를 선택합니다.
작업선택 항목에서 센서 일괄 설정 을 클릭합니다.
DHCP 관련 설정을 수행합니다

IP 할당 금지 대상 을 선택합니다.

변경 금지 위반 노드

변경 금지 미설정 노드

MAC 차단 노드

MAC 차단 노드 설정 시 등록되지 않은 MAC은 관리센서의 신규노드정책을 기반으로 동작합니다.

신규노드정책이 MAC 차단인 경우 IP 할당을 제한하고, MAC 정책 설정이 가능하도록 IP정보 없이 노드로 등록합니다.