목차
시나리오 III: VPN 사용자의 특정 로컬 리소스 접근 제한
소개
액세스 제어 목록(ACL)은 정의된 기준에 따라 트래픽을 허용하거나 거부함으로써 네트워크, 장치 및 서비스 간의 트래픽을 제어합니다. ACL을 사용하면 네트워크 보안을 강화하고, 액세스 정책을 적용하며, 네트워크 내 리소스를 격리할 수 있습니다.
이 가이드에서는 컨트롤러 모드와 독립 실행형 모드 모두에서 Omada 라우터에 적용되는 몇 가지 일반적인 ACL 배포 시나리오를 설명합니다. 이러한 예시에는 네트워크 격리, 관리 네트워크 보호, VPN 액세스 제한 및 인터넷 전용 액세스 정책이 포함됩니다. 관리자는 이러한 시나리오를 따라가며, 네트워크 환경 내 트래픽을 보호하고 관리하기 위해 ACL을 어떻게 활용할 수 있는지 더 잘 이해할 수 있습니다.
요구 사항
- Omada 라우터
- Omada 컨트롤러
매개변수 레퍼런스
컨트롤러 모드의 게이트웨이 ACL:
설명: ACL을 식별할 수 있도록 설명을 입력합니다.
상태: ACL을 활성화하려면 이 확인란을 클릭하십시오.
방향: ACL 규칙이 적용될 트래픽 흐름을 선택합니다.
정책: 패킷이 규칙과 일치할 때 수행할 조치를 선택합니다.
거부: 일치하는 패킷을 폐기합니다.
허용: 일치하는 패킷을 전달합니다.
프로토콜: 드롭다운 목록에서 규칙이 적용될 하나 이상의 프로토콜 유형을 선택하십시오. 기본값은 '모두'이며, 이는 모든 프로토콜의 패킷이 일치 대상으로 처리됨을 의미합니다. TCP, UDP 또는 둘 다를 선택하면 규칙에서 패킷 필터링 기준으로 패킷의 IP 주소와 포트 번호를 설정할 수 있습니다.
로그: 이 기능을 활성화하면 시스템이 ACL 항목의 유효성 로그를 수집할 수 있습니다. 이 기능을 사용하려면 먼저 원격 로깅 기능을 설정하십시오.
규칙:
1) 출발지: 드롭다운 목록에서 패킷과 비교할 출발지 기준을 선택하십시오.
네트워크: 생성한 네트워크를 선택합니다. 생성된 네트워크가 없는 경우 기본 네트워크(LAN)를 선택하거나, ‘네트워크 구성 > 네트워크 설정 > LAN’으로 이동하여 네트워크를 생성할 수 있습니다.
! 네트워크: 생성한 네트워크를 선택하면 해당 네트워크에는 설정이 적용되지 않습니다.
IP 그룹: 생성한 IP 그룹을 선택하십시오. IP 그룹이 생성되지 않은 경우, 이 페이지에서 ‘+ 생성’을 클릭하거나 네트워크 구성 > 프로필 > 그룹으로 이동하여 생성하십시오. 시스템은 패킷의 출발지 IP 주소가 해당 IP 그룹에 속하는지 여부를 확인합니다.
! IP 그룹: 생성한 IP 그룹을 선택하면 해당 IP 그룹에는 설정이 적용되지 않습니다.
2) 목적지: 드롭다운 목록에서 패킷과 비교할 목적지 기준을 선택하십시오.
네트워크: 생성한 네트워크를 선택하십시오. 생성된 네트워크가 없는 경우 기본 네트워크(LAN)를 선택하거나, [네트워크 구성] > [네트워크 설정] > [LAN]으로 이동하여 네트워크를 생성할 수 있습니다.
! 네트워크: 생성한 네트워크를 선택하면 해당 네트워크에는 설정이 적용되지 않습니다.
IP 그룹: 생성한 IP 그룹을 선택하십시오. IP 그룹이 생성되지 않은 경우, 이 페이지에서 + 생성을 클릭하거나 네트워크 구성 > 프로필 > 그룹으로 이동하여 생성하십시오. 시스템은 패킷의 출발지 IP 주소가 해당 IP 그룹에 속하는지 확인합니다.
! IP 그룹: 생성한 IP 그룹을 선택하면 해당 IP 그룹에는 설정이 적용되지 않습니다.
라우터 관리 페이지: 이 옵션을 사용하면 지정된 출발지에서 라우터의 WAN 및 LAN 인터페이스 IP로 전송되는 모든 패킷을 허용하거나 차단할 수 있습니다.
고급 설정:
시간 범위: ACL 규칙이 적용될 시간 범위를 생성하거나 기존 시간 범위를 선택하십시오.
양방향: LAN-LAN 방향에서 이 확인란을 클릭하면 라우터가 “xxx_reverse”라는 이름의 또 다른 대칭 ACL을 생성할 수 있습니다. 여기서 “xxx”는 현재 ACL의 이름입니다. 이 두 ACL은 서로 반대 방향의 패킷을 대상으로 합니다.
상태 유형: 상태 기반 ACL 규칙의 유형을 결정합니다. 기본값인 “자동” 유형을 사용하는 것이 권장됩니다.
자동(새/설정됨/관련된 상태 일치): 새, 설정됨 및 관련 연결 상태를 일치시킵니다.
수동: 이 옵션을 선택하면 일치시킬 연결 상태를 수동으로 지정할 수 있습니다.
새 상태 일치: 초기 상태의 연결과 일치시킵니다. 예를 들어, TCP 연결에서 SYN 패킷이 도착하거나 라우터가 한 방향으로만 트래픽을 수신하는 경우입니다.
상태 일치: 설정됨: 설정된 연결과 일치합니다. 즉, 방화벽이 이 연결의 양방향 통신을 감지한 경우입니다.
관련 상태 일치: FTP 데이터 채널에 대한 연결과 같이 주 연결에 연결하는 하위 연결을 일치시킵니다.
상태 '무효' 일치: 예상대로 작동하지 않는 연결을 일치시킵니다.
모든 매개변수의 정의를 확인하려면 ACL 생성 화면의 오른쪽 상단에 있는 도움말 센터를 클릭하고 ‘매개변수’를 확장하십시오.
독립 실행형 모드의 게이트웨이 ACL:
정책: 규칙에 일치하는 패킷이 네트워크에 액세스하는 것을 차단할지 허용할지 선택합니다.
IP 유형: 규칙을 적용할 IP 유형(IPv4 또는 IPv6)을 지정합니다.
방향: 규칙이 적용될 트래픽 방향을 선택합니다.
- ALL: 모든 방향의 트래픽과 일치시킵니다.
- LAN->WAN: LAN에서 WAN으로 향하는 트래픽과 일치합니다.
- LAN->LAN: LAN에서 LAN으로 향하는 트래픽과 일치합니다.
- [WAN] IN: [WAN]을 통해 들어오는 트래픽과 일치합니다.
출발지/목적지 유형: 생성된 규칙의 출발지/목적지 유형을 선택합니다.
IP/IPv6 그룹: 이 규칙은 특정 IP/IPv6 그룹에 적용됩니다. 이 옵션을 선택한 경우, IP/IPv6 그룹을 선택하십시오. IP/IPv6 그룹을 생성하거나 사용자 지정하려면 환경설정 > IP 그룹 또는 환경설정 > IPv6 그룹으로 이동하십시오. 선택한 IP/IPv6 그룹에는 해당 IP/IPv6 주소의 유선 및 무선 클라이언트가 포함됩니다.
네트워크: 이 규칙은 특정 LAN 네트워크에 적용됩니다. 이 옵션을 선택한 경우 네트워크를 선택하십시오. 네트워크를 생성하거나 사용자 지정하려면 네트워크 > LAN으로 이동하십시오. 선택한 LAN 네트워크에는 유선 네트워크의 모든 클라이언트와 이 LAN 네트워크에 속한 SSID가 포함됩니다.
출발지/목적지:
IP/IPv6 그룹 선택: 드롭다운 목록에서 IP/IPv6 그룹을 선택하여 규칙의 출발지/목적지 주소 범위를 지정하십시오. 여기서 참조되는 IP/IPv6 그룹은 환경설정 > IP 그룹 또는 환경설정 > IPv6 그룹에서 생성할 수 있습니다.
네트워크 선택: 드롭다운 목록에서 LAN 네트워크를 선택하여 규칙의 출발지/목적지 LAN 네트워크 범위를 지정합니다. 여기서 참조되는 LAN 네트워크는 [환경 설정 > LAN]에서 생성할 수 있습니다.
적용 시간: 규칙의 적용 시간을 선택합니다. 여기서 참조되는 적용 시간은 [환경 설정 > 시간 범위] 페이지에서 설정할 수 있습니다.
상태: 상태 기반 ACL 규칙의 유형을 결정합니다. 기본값인 ‘자동’ 유형을 사용하는 것이 좋습니다.
새 연결: 초기 상태의 연결과 일치시킵니다. 예를 들어, TCP 연결에서 SYN 패킷이 도착하거나 라우터가 한 방향으로만 트래픽을 수신하는 경우입니다.
설정됨(Established): 이미 설정된 연결과 일치합니다. 즉, 방화벽이 이 연결의 양방향 통신을 감지한 상태입니다.
관련: FTP 데이터 채널에 대한 연결과 같이 주 연결에 연결한 하위 연결과 일치시킵니다.
Invalid: 예상대로 작동하지 않는 연결을 일치시킵니다.
모든 매개변수의 정의를 보려면 페이지 오른쪽 상단의 ‘?’를 누르고 ‘매개변수’를 참조하십시오.
시나리오 I: 네트워크 격리 (양방향)
이 예에서는 VLAN 31(10.0.31.0/24)과 VLAN 33(10.0.33.0/24)을 LAN-to-LAN ACL 규칙을 사용하여 서로 격리합니다. 이 네트워크 내의 장치는 VLAN 경계를 넘어 통신할 수 없지만, 다른 내부 네트워크 및 인터넷으로의 트래픽에는 영향을 미치지 않습니다.
Omada 라우터 ACL에는 묵시적 허용 규칙이 포함되어 있으므로, 설정한 거부 규칙에 일치하는 트래픽만 차단됩니다. 그 외의 모든 트래픽은 계속해서 정상적으로 전달됩니다.
컨트롤러 모드
1단계. 컨트롤러에 로그인하고 사이트 > 네트워크 설정 > 보안 > ACL로 이동합니다.
2단계. 게이트웨이 ACL로 이동하여 새 규칙 생성을 클릭합니다.
3단계. 여기서 VLAN 31에서 VLAN 33으로의 트래픽을 거부하는 규칙을 생성합니다.
적절한 매개변수를 입력합니다.
'고급 설정'을 클릭하고 '양방향'을 선택하면 출발지와 목적지를 서로 바꾸는 또 다른 규칙이 자동으로 생성됩니다.
완료되면 ‘생성’을 선택하십시오.
독립 실행형 모드
1단계. 라우터에 로그인하고, 'Firewall >Access Control'로 이동한 다음 'Add'를 클릭합니다.
2단계. 매개 변수를 입력합니다.
여기서 첫 번째 규칙은 VLAN 31이 VLAN 33과 통신하는 것을 차단하는 것입니다.
완료되면 '확인'을 클릭합니다.
3단계. 다시 ‘Add’를 클릭하고, ‘Source’와 ‘Destination’를 반대로 설정하여 동일한 규칙을 생성합니다.
시나리오 II: 관리 VLAN 액세스 (단방향)
이 예에서 VLAN 1(10.0.0.0/24)은 관리 VLAN으로 설정됩니다. 목표는 관리 VLAN 내의 장치가 VLAN 31(10.0.31.0/24) 및 VLAN 33(10.0.33.0/24)의 리소스에 액세스할 수 있도록 허용하는 동시에, 해당 네트워크에 있는 장치가 관리 VLAN으로의 통신을 시작하지 못하도록 방지하는 것입니다.
이 설정은 관리자가 네트워크 장치 및 클라이언트 시스템을 관리할 수 있도록 하면서, 관리 리소스에 대한 무단 액세스를 제한하는 데 일반적으로 사용됩니다. Omada 라우터 ACL에는 묵시적 허용 규칙이 포함되어 있으므로, 구성된 거부 규칙에 일치하는 트래픽만 차단되고, 그 외의 모든 트래픽은 정상적으로 전달됩니다.
컨트롤러 모드
1단계. 컨트롤러에 로그인하고 사이트 > 네트워크 설정 > 보안 > ACL로 이동합니다.
2단계. 다음으로 게이트웨이 ACL로 이동하여 ‘새 규칙 생성’을 클릭합니다.
3단계. 매개변수를 입력합니다.
아래 예시는 LAN > LAN 차단 규칙으로, VLAN 31 및 33이 관리 VLAN과 통신하는 것을 제한합니다.
입력이 완료되면 ‘생성’을 클릭합니다.
독립 실행형 모드
1단계. 라우터에 로그인하고, ‘Firewall > Access Control’로 이동한 다음 ‘Add’를 클릭합니다.
2단계. ACL 매개변수를 설정합니다.
아래 예시는 VLAN 31 장치가 관리 VLAN과 통신하지 못하도록 차단하는 LAN > LAN 거부 규칙입니다.
설정이 완료되면 'OK'를 클릭하십시오.
다른 VLAN에 대해서도 위 단계를 반복합니다.
시나리오 III: 특정 로컬 리소스에 대한 VPN 사용자 액세스 제한
VPN 연결을 통해 원격 사용자와 사이트는 다른 네트워크 내에 위치한 리소스에 안전하게 액세스할 수 있습니다. 그러나 많은 배포 환경에서 VPN에 연결된 장치는 필요한 리소스에만 액세스할 수 있도록 허용하고, 보안감시 장비, 관리 장치 또는 기타 중요 인프라와 같은 민감한 시스템에 대한 액세스는 제한해야 합니다.
이 예에서는 두 개의 Omada 라우터 간에 사이트 간(Site-to-Site) VPN이 설정되어 있습니다. 원격 네트워크(10.0.33.0/24)에 있는 장치는 VLAN 31(10.0.31.0/24)과 VLAN 1에 있는 NAS(10.0.1.6)와 같은 승인된 리소스에 액세스할 수 있습니다. 그러나 ACL 규칙을 사용하여 NVR(10.0.1.10)에 대한 액세스는 제한됩니다. 이 접근 방식을 사용하면 정상적인 VPN 연결을 유지하면서 선택한 로컬 리소스를 불필요한 액세스로부터 보호할 수 있습니다.
다음 예시는 위 토폴로지에서 VLAN1 및 VLAN31을 호스팅하는 라우터를 통해 설명됩니다.
참고: Omada 라우터가 VPN 서버(PPTP, L2TP, OpenVPN 또는 WireGuard)로 구성된 경우, 원격 클라이언트에 할당된 VPN DHCP 범위를 사용하여 IP 그룹을 생성하십시오. 이 IP 그룹은 VPN 클라이언트와 로컬 네트워크 리소스 간의 액세스를 제어하기 위해 ACL 규칙을 생성할 때 출발지 또는 목적지 IP로 사용할 수 있습니다.
컨트롤러 모드
1단계. ACL 규칙을 생성하기 전에, 액세스를 제한해야 할 호스트를 지정하기 위한 IP 그룹과 VPN을 통해 연결되는 원격 로컬 서브넷을 위한 또 다른 IP 그룹을 생성해야 합니다.
컨트롤러에 로그인하고, ‘사이트’로 이동한 다음 ‘네트워크 설정 > 프로필 > 그룹’으로 이동합니다.
2단계. '새 그룹 생성'을 클릭하고 매개변수를 입력합니다.
여기서 지정된 매개 변수는 NVR용입니다.
'적용'을 클릭한 후, 원격 사이트의 원격 서브넷에 대해서도 동일한 단계를 반복합니다.
3단계. 다음으로 네트워크 설정 > 보안으로 이동하여 ACL을 클릭합니다.
4단계. 다음으로 게이트웨이 ACL로 이동하여 '새 규칙 만들기'를 클릭합니다.
5단계. 매개변수를 입력합니다.
‘방향’의 경우, ACL 방향이 VPN 터널이 설정된 WAN 인터페이스와 일치하는지 확인하십시오.
이 예시에서는 터널이 WAN/LAN3에 있으므로 WAN/LAN 3 IN 옵션을 선택합니다.
입력이 완료되면 ‘생성’을 클릭합니다.
독립 실행형 모드
1단계: NVR 및 원격 서브넷에 대한 IP 그룹을 생성합니다.
라우터 ACL은 개별 IP 주소 대신 IP 그룹을 참조하므로 IP 그룹이 필요합니다.
라우터에 로그인하여 Preferences > IP Group > IP Address로 이동한 다음 Add를 클릭합니다.
2단계: 매개 변수를 입력합니다.
NVR의 IP 주소는 아래에 지정합니다.
입력이 완료되면 OK을 클릭하고, 원격 서브넷 IP 구성에 대해서도 동일한 단계를 반복합니다.
3단계. 다음으로 IP Group > Add를 클릭한 후 매개변수를 입력합니다.
완료되면 ‘OK’을 클릭하십시오.
이 과정을 두 번 수행하십시오. 한 번은 NVR용이고, 다른 한 번은 원격 서브넷용입니다.
4단계. 마지막으로 거부 규칙을 생성합니다.
'Firewall' > 'Access Control'로 이동한 후 'Add'를 클릭합니다.
5단계. 차단 규칙에 대한 매개변수를 입력합니다.
여기서 정책의 WAN IN 방향에 올바른 WAN 포트가 선택되었는지 확인하십시오.
이 라우터에서는 WAN 1이 사용되므로 [WAN1] IN을 선택합니다.
완료되면 ‘확인’을 클릭합니다.
시나리오 IV: 인터넷 접속 전용
일부 네트워크 환경에서는 특정 사용자 그룹에 인터넷 액세스를 제공하면서 내부 네트워크 리소스에 대한 액세스는 차단하는 것이 바람직할 수 있습니다. 일반적인 예로는 게스트 네트워크, 계약자 네트워크, 공용 키오스크 및 기업 시스템에 대한 액세스가 필요하지 않은 기타 신뢰할 수 없는 장치가 있습니다.
이 예에서는 VLAN 33(10.0.33.0/24)을 인터넷 전용 네트워크로 구성합니다. VLAN 33 내의 장치는 인터넷 리소스에 액세스할 수 있지만, VLAN 1(10.0.0.0/24)에 위치한 장치와의 통신은 LAN-to-LAN ACL 규칙을 통해 차단됩니다.
컨트롤러 모드
1단계. 컨트롤러에 로그인하고 사이트 > 네트워크 설정 > 보안 > ACL로 이동합니다.
2단계. 다음으로 게이트웨이 ACL로 이동하여 새 규칙 생성을 클릭합니다.
3단계. 차단 규칙을 생성하고 매개 변수를 입력합니다.
이 예시에서는 VLAN 33이 라우터의 다른 모든 VLAN과 통신하는 것이 차단됩니다.
목적지 유형은 !Network로 설정됩니다. 느낌표 “!”는 논리적 “NOT” 조건을 나타내며, 이는 지정된 네트워크를 제외한 모든 네트워크에 규칙이 적용됨을 의미합니다. VLAN 33이 출발지 및 제외 목적지 네트워크로 모두 선택되었으므로, VLAN 33에서 시작되어 다른 VLAN으로 향하는 트래픽은 차단됩니다.
설정이 완료되면 적용을 클릭합니다.
4단계. 다음으로, 네트워크가 기본 게이트웨이 UI에 액세스할 수 없도록 라우터 관리 페이지에 대한 또 다른 차단 규칙을 만듭니다.
완료되면 ‘적용’을 클릭합니다.
독립 실행형 모드
1단계. 라우터에 로그인하고, Firewall > Access Control로 이동한 다음 Add를 클릭합니다.
2단계. 차단 규칙을 생성하고 매개변수를 입력합니다.
이 예에서는 VLAN 33이 라우터의 다른 모든 VLAN과 통신하는 것이 차단됩니다.
목적지 유형은 !Network로 설정됩니다. 느낌표 “!”는 논리적 “NOT” 조건을 나타내며, 이는 지정된 네트워크를 제외한 모든 네트워크에 규칙이 적용됨을 의미합니다. VLAN 33이 출발지 네트워크와 제외 목적지 네트워크로 모두 선택되었으므로, VLAN 33에서 시작되어 다른 VLAN으로 향하는 트래픽은 차단됩니다.
설정이 완료되면 OK를 클릭합니다.
3단계. 다음으로 라우터 IP에서 VLAN 33을 차단하는 규칙을 만듭니다.
여기서 Me는 모든 인터페이스 라우터 IP 주소를 의미합니다.
완료되면 ‘OK’를 클릭합니다.
결론
관리자는 라우터 ACL을 사용하여 네트워크 간의 통신을 제어하고, 민감한 리소스에 대한 액세스를 제한하며, 네트워크 전반에 걸쳐 보안 정책을 적용할 수 있습니다. VLAN 격리, 관리 네트워크 보호, VPN 액세스 제한 또는 인터넷 전용 연결 제공 등 어떤 경우이든, ACL은 승인된 리소스에 대한 액세스를 유지하면서 트래픽 흐름을 제어할 수 있는 유연한 방법을 제공합니다.
각 기능 및 설정에 대해 자세히 알아보려면 지원 홈페이지를 방문하여 해당 제품의 설명서를 다운로드하거나 확인하십시오.
QA
Q1: 라우터 ACL을 생성한 후에도 동일한 VLAN에 속한 장치들이 여전히 통신할 수 있는 이유는 무엇입니까?
A1: 라우터 ACL은 라우터를 통과하는 트래픽만 검사합니다. 동일한 VLAN 내 장치 간의 트래픽은 로컬에서 스위칭되며 라우터를 통과하지 않습니다. 동일한 VLAN 내 통신을 제한하려면 스위치 ACL, 포트 격리 또는 별도의 VLAN을 사용하십시오.
이 문서에는 기계 번역이 적용되었으며, 정확한 내용을 확인하려면 원본 영문 문서를 참고하시기 바랍니다.
