안녕하세요.
사내 네트워크를 구축하다가 궁금한 점이 있어서 문의 드립니다.
현재 사내에서는 Cisco SG220 시리즈와 Netgear GS724Tv4 를 주로 사용하고 있습니다.
IT 회사이다보니 사람들이 개인적으로 개별자리에 있는 랜선에 모니터링이 안되는 작은 스위치(IPTime 같은)를 연결해서 사용하고 있는데, 이것을 막을 방법이 있을까요 ?
예를 들이 이런식으로 구성되어 있습니다.
Netgear GS724Tv4 (VLAN 용최상단)
Cisco SG220-26 (사용자 네트워크)
개별 라인 - 이 라인에 사람들이 IPTime 같은 작은 스위치를 물립니다.
맥 ACL 로 제어할려고 했는데, 회사 특성상 VM 이 많이 생성되어 맥을 일일이 추가할 수가 없고 더미 허브를 물렸을 때 막을 방법이 없을 것 같아서 시도는 안하고 있습니다.
혹시 경험을 가지고 계시면 조언을 부탁드리겠습니다.
미리 감사드립니다.
개별 스윗치를 물렸을때 특별히 문제가 되는 점이 있는지요??
(관리가 안되는 것은 어쩔수 없지만)
회사에서 랜포트가 모자르면 스윗치를 증설해야 하지 않을까요??
회사 특성상 외부 사람들이 자주 왕래를 하는데, 이 부분에 대해서 사장님께서 사내망에 접근하는 것을 막기 위해서이고, 공식적인 스위치를 제외한 개인적인 스위치를 붙여서 게임 자동 툴같은 걸 돌려서 사내 망이 느려지는 현상을 애초에 방지하려고 해서 그렇습니다.
제가 찾아보니 MAC ACL Rule 과 MAC ACL 조합으로 시도를 한번 해 보려고 합니다.
VMware 의 가상머신 -> MAC ACL Rule
사내 내부 PC 와 핸드폰등의 모바일 기기 MAC ACL 등록
성공하거나 실패하거나 적용후에 올리도록 하겠습니다.
답변 주신 ZSNET5 님, 박문형님 귀한 시간 내서 답변 주셔서 감사드립니다. 꾸벅 ^^
완전히 독립시키고 외부사람들을 위한 공간도 분리시켜 두는 것은 어떨런가 생각합니다.
아래와 같이 네트웍을 분리하여 변경하면 어떨까요..?
1. 인터넷 -------공유기1--------공유기2-----스위치허브-------서버군
|
+---------스위치허브1~n -----------PC들....
2. 인터넷 ---------방화벽 ------DMZ-----스위치허브 ---------서버군
|
+--------IntZone------스위치허브 ----------PC 들....
이렇게 네트웍을 분리하여 운영하며...
PC 쪽을 MAC ACL 혹은 OpenNAC 등으로 타 스위치 연결을 제어하면 될듯합니다.
또한 Wifi도 네트웍을 나누어 놓어면 더욱 안전하겠죠
왜 그생각을 못했는지 모르겠네요.
답변 감사드립니다 박문형님 ^^
외부사람들이 침입은 하지 못합니다..
(인터넷선과 허브만 주고 데이터 저장공간은 없애버리는게 좋겠죠.. 일종의 안내문구나 경고문구를 적어줘도 좋습니다..윗사람에 대한 책임 회피도 됩니다..)
내부망 사용자가 난리치는 것은 당장 어떻게 할수는 없지만요..
사실 이것을 전문적으로 처리할 수 있는 장비가 있습니다.
1. 소위 IP 관리 솔루션들인데요.
MAC Base 로 허가되지 않은 사용자의 PC 가 내부 네트워크로 통신할 때 MAC 충돌을 일으키게 만들어 고립시켜 버릴 수 있습니다.
2. 아니면, AAA 인증 시스템을 베이스로 TACACS+ / RADIUS 시스템을 구축하는 것입니다.
시스템을 구현을 해야 하는 문제도 문제지만, 또 다른 사람이 관리해야 하니까요. 귀찮을 수도 있겠네요.
또한, 서버에 대한 관리가 필요하고 생각지도 않았던 관리 업무 +1 이 추가된다는 게 문제겠네요.
돈도 돈이겠지만요...
3. 가장 현실적인 것이 Port Security 입니다.
상세하게 여러가지 옵션이 존재하는 데, 해당 포트에 특정 MAC 만 올라오도록 막을 수 있습니다.
실제로 스위치에서 해당 포트에 대해서 port 정보를 보면 어느 포트에서 허브를 붙여서 쓰는 지 알 수 있습니다.
[대장님께 죄송합니다만, 데이터 트래픽좀 쓰겠습니다. ^^;;;; ]
-----------------------------------------------------------------------------------------------
cisco 장비의 예입니다.
다음과 같이 명령어를 치면, 어느 포트에 어떤 맥이 올라와있는지 보입니다.
UNI_BB_DATASW2_05#sh mac address-table
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
All 0100.0ccc.cccc STATIC CPU
All 0100.0ccc.cccd STATIC CPU
All 0180.c200.0000 STATIC CPU
All 0180.c200.0001 STATIC CPU
All 0180.c200.0002 STATIC CPU
All 0180.c200.0003 STATIC CPU
All 0180.c200.0004 STATIC CPU
All 0180.c200.0005 STATIC CPU
All 0180.c200.0006 STATIC CPU
All 0180.c200.0007 STATIC CPU
All 0180.c200.0008 STATIC CPU
All 0180.c200.0009 STATIC CPU
All 0180.c200.000a STATIC CPU
All 0180.c200.000b STATIC CPU
All 0180.c200.000c STATIC CPU
All 0180.c200.000d STATIC CPU
All 0180.c200.000e STATIC CPU
All 0180.c200.000f STATIC CPU
All 0180.c200.0010 STATIC CPU
All ffff.ffff.ffff STATIC CPU
1 0002.6514.8ae7 DYNAMIC Gi1/0/20
1 0002.6514.8bcb DYNAMIC Gi1/0/22
1 000b.468f.b440 DYNAMIC Gi1/0/8
1 000b.468f.b441 DYNAMIC Gi1/0/8
1 0011.115c.9cdd DYNAMIC Gi1/0/24
1 0013.2040.b6ad DYNAMIC Gi1/0/24
1 0015.5d6f.3c03 DYNAMIC Gi1/0/24
1 0015.5d6f.3c08 DYNAMIC Gi1/0/24
1 0015.5d6f.3c09 DYNAMIC Gi1/0/24
1 0015.5d6f.3c0a DYNAMIC Gi1/0/24
1 0015.5d6f.3c0e DYNAMIC Gi1/0/24
1 0015.5d6f.3c10 DYNAMIC Gi1/0/24
1 0015.5d6f.3c13 DYNAMIC Gi1/0/24
1 0015.9949.2b58 DYNAMIC Gi1/0/8
1 0015.99c9.75a0 DYNAMIC Gi1/0/8
1 001e.0b9e.dd49 DYNAMIC Gi1/0/24
1 0023.0587.5e97 DYNAMIC Gi1/0/24
1 0023.0587.5ec0 DYNAMIC Gi1/0/24
1 00af.a537.b7dd DYNAMIC Gi1/0/10
1 00c0.ff10.9656 DYNAMIC Gi1/0/24
1 00e1.6d42.8515 DYNAMIC Gi1/0/24
1 00e1.6d42.8540 DYNAMIC Gi1/0/24
1 28d2.445e.f9b8 DYNAMIC Gi1/0/3
1 28d2.445e.fa1a DYNAMIC Gi1/0/4
1 28d2.44c5.fef0 DYNAMIC Gi1/0/24
1 30cd.a7b6.d52f DYNAMIC Gi1/0/24
1 3464.a9c3.7829 DYNAMIC Gi1/0/1
1 441e.a178.37a2 DYNAMIC Gi1/0/24
1 64e5.9991.ebd8 DYNAMIC Gi1/0/24
1 78e3.b503.939d DYNAMIC Gi1/0/24
1 8086.f218.dc47 DYNAMIC Gi1/0/24
1 b888.e3f3.1816 DYNAMIC Gi1/0/24
1 c81f.66d3.ff4b DYNAMIC Gi1/0/24
1 d0c5.f3c1.7494 DYNAMIC Gi1/0/24
1 f0de.f159.a03e DYNAMIC Gi1/0/24
1 f816.548f.9ec2 DYNAMIC Gi1/0/24
Total Mac Addresses for this criterion: 56
자세히 보시면 아시겠지만, Gi1/0/24 에 많은 MAC 이 보이는 걸 아실 수 있으실 겁니다.
Uplink 이기 때문입니다. 반대로...
1 3464.a9c3.7829 DYNAMIC Gi1/0/1
1 28d2.445e.fa1a DYNAMIC Gi1/0/4
처럼 1개가 하나만 보이는 경우가 있습니다. 즉 스위치에서 한대의 장치가 직결되어 있다는 의미 입니다.
또한 예를들어, 이렇게 업링크도 아닌데 한 Port 에 두개의 MAC 이 올라온다면 이는 HUB 사용을 의심해봐야하는 것이지요.
1 0015.9949.2b58 DYNAMIC Gi1/0/8
1 0015.99c9.75a0 DYNAMIC Gi1/0/8
---------------------------------------------------------------------------------------------------------------
위와 같이 하나의 포트에 하나의 MAC 혹은 갯수, 내가 지정한 MAC 만 올라오게 한다던가,,, 하는 설정이 가능합니다.
만약, 다른 MAC 이 올라오는 경우, 아예 포트를 shutdown 시켜서 네트워크 관리자가 no shutdown 으로 풀어주기
전까지 기존 사용자도 막아버릴 수 있는 기능도 가능합니다.
단,,,,,,,, 사용자가 몇명이 되지 않는다 치고,,,, 자기 자리에서 이동이 없다면 해 볼수 있겠습니다만...
귀찮지요... 아무래도... 또 접속하는 장비에서 MAC을 바꾼는 것도 가능하기 때문에,, 완벽하다고는 볼 수 없겠습니다만.
문제는 귀찮음 이지요..... 그리고 사용자가 PC 나 자리가 변할 때마다 사람이 집적 해줘야 한다는 것도 있겠네요.
하나의 포트에 하나의 맥만 올라오게 세팅하는 경우래 봐야 빈자리 가서 꼽아다가 사용하는 될 문제라..
하지만,,, 엄연히 불가능 한 것은 아닙니다. 가능합니다........
http://www.cisco.com/c/dam/en/us/td/docs/switches/lan/csbss/sf220_sg220/administration/guide/Sx220_AG_en.pdf
포트 시큐리티 쪽에서 Max No. of Addresses Allowed 찾으시면 됩니다.
VM 쓰신다고 해도 VM 개수 감안해서 최소 수량으로만 잡아주던가,
신청해서 VM 쓰는 사용자만큼만 늘리시면 그래도 보강이 많이 됩니다.
VM사용이 필요하거나 테스트가 필요한경우 IP단위로 풀어주시면 됩니다. DHCP돌리는 경우는 시도니님 글 참고하시어 무력화 하시구요.
답변들 감사드립니다. ^^
오늘도 여러가지 얻어만 갑니다.
감사합니다.