RADIUSaaS에 관한 질문과 답변
이 사이트의 모든 페이지에서 다루는 질문을 주제별로 정리했습니다. 각 답변에는 고유한 링크가 있어 동료에게 바로 공유할 수 있습니다.
네트워크 요구 사항
01RADIUSaaS가 NPS를 대체할 수 있나요?
네. RADIUSaaS는 Wi-Fi, 유선 802.1X 및 VPN을 위한 RADIUS 서버입니다. 액세스 포인트, 스위치, VPN 게이트웨이가 NPS 대신 RADIUSaaS 인스턴스로 요청을 전송하며, 디바이스는 MDM이 배포한 인증서로 인증하므로 Active Directory 계정이 필요 없습니다. NPS는 디바이스 인증서를 Active Directory의 컴퓨터 계정으로 검증하기 때문에 Entra 조인 디바이스에는 이 방식이 필요합니다. 디바이스 쓰기 저장이 활성화된 하이브리드 조인 디바이스는 NPS와 함께 작동할 수 있지만, 쓰기 저장에 지연이 발생할 수 있고 Windows Autopilot 프로비저닝에서 타이밍 문제가 생길 수 있어 권장하지 않습니다. 인증서를 사용할 수 없는 디바이스는 RADIUSaaS에서 계정을 발급받습니다.
02서버, 어플라이언스 또는 에이전트가 필요한가요?
아닙니다. RADIUSaaS는 저희 클러스터에서 운영되며, 액세스 포인트와 스위치는 인터넷을 통해 RadSec으로 직접 연결하거나 RADIUSaaS 프록시를 통해 접근합니다. 디바이스에는 MDM이 이미 배포한 인증서와 네트워크 프로필 외에 추가로 필요한 것이 없습니다.
03클라우드 RADIUS 서비스를 비교할 때 어떤 점을 확인해야 하나요?
전용 인스턴스 제공 여부, RadSec을 지원하지 않는 장비의 연결 방식, 해지 검증 방식, 라이선스 산정 기준을 확인하세요. RADIUSaaS는 모든 고객에게 전용 공인 IP의 RadSec 서버, 전용 포털, 별도 로그 공간을 갖춘 전용 인스턴스를 제공하며, RADIUS 전용 장비는 고정 IP를 가진 프록시를 통해 연결합니다. CA별로 OCSP 또는 CRL을 통해 해지를 검증하며, SCEPman을 CA로 사용하는 경우 비활성화된 디바이스의 인증서는 자동으로 해지됩니다. 50명부터 사용자 단위로 라이선스가 부여됩니다.
04액세스 포인트가 RADIUS만 지원합니다. 충분히 안전한가요?
네. 액세스 포인트와 프록시 사이에서는 RADIUS가 공유 비밀로 요청을 보호하고, 인증서나 비밀번호를 전달하는 구간은 TLS로 암호화된 EAP 터널 내에 있습니다. 프록시부터는 모든 통신이 RadSec으로 이루어집니다. 인증서를 사용하는 경우 어느 구간에서도 비밀이 네트워크를 통해 전달되지 않습니다.
05구형 디바이스에 MAC 인증 우회를 사용할 수 있나요?
네, MAB-to-EAP 방식으로 사용할 수 있습니다. 스위치가 MAC 주소를 사용자 이름과 비밀번호로 삼아 PEAP-MSCHAPv2 또는 EAP-TTLS-PAP로 디바이스 대신 인증합니다. 이러한 디바이스에는 규칙을 통해 최소 액세스 권한만 부여하는 폴백 VLAN을 할당하는 것을 권장합니다. PAP 또는 CHAP 기반의 클래식 MAB는 지원되지 않습니다.
로그인 및 인증서 해지
01사용자가 Entra ID 비밀번호로 Wi-Fi에 로그인할 수 있나요?
아닙니다. 이는 의도적인 설계입니다. 비밀번호 로그인은 RADIUSaaS에서 생성된 계정, 즉 인증서를 사용할 수 없는 디바이스에만 적용됩니다. 디렉터리 비밀번호를 네트워크를 통해 중계하면 공격 표면이 넓어지며, 인증서를 사용하면 어떤 비밀도 네트워크를 통해 전달되지 않습니다.
02OCSP 응답자가 다운되면 어떻게 되나요?
기본값인 soft fail이 활성화된 상태에서는 사용자가 계속 로그인할 수 있으며, RADIUSaaS가 이미 해지된 것으로 파악한 인증서는 계속 거부됩니다. 미검증 접근을 허용하는 것보다 차단을 선호한다면 해당 CA에서 soft fail을 비활성화하세요. 해지 목록은 응답자가 실시간으로 작동하지 않아도 사용할 수 있습니다.
Microsoft Cloud PKI와 RADIUSaaS
01RADIUSaaS는 자체 루트를 사용하는 Cloud PKI(BYOCA)와도 연동되나요?
가능합니다. RADIUSaaS는 클라이언트 인증서를 발급하는 모든 CA를 신뢰하므로, 자체 루트 CA와 그에 연결된 Cloud PKI 발급 CA를 각각 해지 확인과 함께 신뢰 설정하면 됩니다. 가이드는 Cloud PKI가 두 CA를 모두 호스팅하는 경우를 기준으로 하며, 나머지 단계는 동일합니다.
02OCSP가 아닌 CRL을 사용하는 이유는 무엇인가요?
Microsoft Cloud PKI는 해지 정보를 CRL로만 게시하며 OCSP 응답자를 운영하지 않기 때문입니다. OCSP가 더 나은 선택이기는 합니다. 로그인 시점에 인증서별로 즉시 응답할 수 있기 때문입니다. 하지만 이 CA는 OCSP를 지원하지 않습니다. Intune은 각 CA에 대한 배포 지점을 호스팅하며, 해지가 발생할 때마다 CRL을 업데이트합니다. RADIUSaaS는 해당 CRL을 매시간 조회하고, 만료되거나 사본이 3시간 이상 경과하면 각 목록을 다시 다운로드합니다.
03여전히 SCEPman이 필요한가요?
부분적으로 필요합니다. Cloud PKI는 Intune이 관리하는 디바이스의 클라이언트 인증서를 처리합니다. Wi-Fi, LAN 또는 VPN에 필요한 것이 그것뿐이라면 Intune이 인증서를 발급하고 RADIUSaaS가 검증합니다. SCEPman은 RADIUSaaS 포털의 서비스 형태나 Enterprise Edition으로 나머지 영역을 담당합니다. Jamf Pro 또는 다른 MDM으로 관리되는 디바이스, 액세스 포인트와 스위치용 RadSec 클라이언트 인증서, 자체 CA에서 자동 갱신되는 RADIUSaaS 서버 인증서, 그리고 웹 서버, TLS 검사 및 도메인 컨트롤러 인증서가 이에 해당합니다. 또한 SCEPman의 OCSP 응답자를 통해 RADIUSaaS는 다음 CRL 갱신을 기다리지 않고 다음 로그인 시점에 바로 해지 여부를 확인할 수 있습니다.
04부서별로 VLAN을 할당할 수 있나요?
가능합니다. 규칙에서 인증서 필드(예: 주체의 OU)를 읽어 VLAN을 할당하고, 일치하는 항목이 없을 경우 기본 VLAN으로 폴백하도록 설정할 수 있습니다.
보안 및 가용성
01RADIUSaaS는 Blast-RADIUS의 영향을 받나요?
아닙니다. RADIUSaaS는 EAP 기반 인증만 허용하며, 해당 공격(CVE-2024-3596)은 모든 구성 요소가 EAP를 올바르게 구현한 경우 통하지 않습니다. 네트워크 벤더에 문의하여 장비가 최신 상태인지 확인하는 것도 권장합니다.
02데이터는 어디에 저장되나요?
사용자가 인스턴스에 선택한 호스팅 위치: 호주, 유럽연합, 영국 또는 미국. 프록시는 각각 지정한 지역에서 실행되며, 이는 인스턴스의 호스팅 위치에 영향을 주지 않습니다. 로그는 75일 동안 보관되며, 구성 정보와 비밀은 Azure Key Vault에 저장됩니다.
03인스턴스는 어디에 호스팅할 수 있나요?
사용자가 선택한 호스팅 위치: 호주, 유럽연합, 영국 또는 미국. RADIUS만 지원하는 액세스 포인트를 위한 프록시는 6개 대륙 19개 지역에서 실행되며, 각 프록시의 지역을 직접 선택할 수 있습니다.
04인스턴스에 연결할 수 없으면 어떻게 되나요?
가용성 목표는 월 99.5%입니다. 이중화를 강화하려면 추가 비용을 들여 별도 IP를 가진 두 번째 RadSec 엔드포인트를 추가할 수 있습니다. 그러면 프록시는 자동으로 가장 가까운 정상 엔드포인트로 전환되고, RadSec을 직접 사용하는 액세스 포인트는 설정한 두 번째 주소로 전환됩니다.
RADIUSaaS 라이선스 방식
01RADIUSaaS 라이선스는 어떻게 구성되나요?
최소 한 개의 디바이스에서 인증할 수 있는 사용자 수 기준으로, 50명부터 시작합니다. 사용자당 최대 고정 기기 5대와 모바일 기기 5대까지 연결할 수 있습니다. 자세한 내용은 가격 페이지를 참고하세요.
02사용자로 집계되는 기준은 무엇인가요?
하나 이상의 기기에서 RADIUSaaS 인증이 활성화된 모든 사람이 해당됩니다. 해당 기기가 실제로 사용 중인지, 꺼져 있는지는 관계없습니다. 대부분의 경우 MDM에서 Wi-Fi 또는 유선 프로파일에 할당된 사용자 수와 동일합니다.
03사용자 한 명이 연결할 수 있는 기기 수는 얼마인가요?
최대 고정 기기 5대와 모바일 기기 5대개입니다.
04최소 사용자 수가 있나요?
있습니다. 조직당 최소 50명이며, 사용자 구독은 최소 한 달 단위로 특정 사용자에게 귀속됩니다.
05RADIUSaaS가 사용자 수를 자동으로 집계해 주나요?
아니요. RADIUSaaS는 라이선스 사용량을 표시하지 않으므로, MDM의 프로파일 할당 현황을 직접 확인하시기 바랍니다.
06하나의 구독을 여러 조직에서 공유할 수 있나요?
아니요. 구독은 단일 조직의 사용자와 기기를 대상으로 하며, 분할하거나 재판매할 수 없습니다.
07포함된 항목은 무엇인가요?
모든 기능, 모든 업데이트, 인시던트 및 기술 문의 지원, 그리고 2개의 RADIUS 프록시가 포함됩니다. 추가 이중화를 위한 두 번째 RadSec 엔드포인트와 SCEPman as a Service는 별도로 이용할 수 있습니다.