802.1X

IEEE 802.1X

802.1X는 포트 기반 네트워크 접근 제어(Port-Based Network Access Control) 표준이다. 스위치 포트나 무선 AP에 장치가 연결됐을 때, 인증을 통과하기 전에는 네트워크로의 트래픽을 차단하고 인증에 성공한 장치에만 포트를 개방한다.

Wi-Fi 비밀번호(PSK)처럼 네트워크 전체가 하나의 키를 공유하는 방식과 달리, 802.1X는 접속하는 사용자와 장치마다 개별 자격 증명으로 인증한다. 그래서 유선 사내망, WPA-Enterprise 무선망 등 개인 단위 접근 통제가 필요한 환경의 기본 인증 체계로 쓰인다.

3가지 구성 요소

802.1X는 세 주체가 참여하는 구조로 동작한다.

Supplicant (요청자) — 접속을 시도하는 단말. PC·노트북·스마트폰에 설치된 802.1X 클라이언트가 자격 증명을 제출한다.
Authenticator (인증자) — 단말이 물리적으로 연결되는 스위치 또는 무선 AP/컨트롤러. 포트를 여닫는 문지기 역할을 하되, 인증 판단은 직접 하지 않고 서버에 중개한다.
Authentication Server (인증 서버) — 실제로 자격 증명을 검증하는 서버. 대부분 RADIUS 서버(FreeRADIUS, Cisco ISE 등)를 사용한다.

Authenticator는 판단하지 않고 전달만 한다. TACACS+ 문서의 "장비가 사용자와 서버 사이를 중개한다"는 구조와 같은 맥락이며, 802.1X에서는 그 중개자가 접속 포트를 가진 스위치/AP다.

EAP

802.1X 자체는 인증 방식을 정의하지 않고, EAP(Extensible Authentication Protocol) 라는 인증 프레임워크를 실어 나르는 틀만 제공한다. 실제 인증은 EAP 위에서 동작하는 여러 방식(EAP method) 중 하나로 이뤄진다.

EAPOL (EAP over LAN) — 단말(Supplicant)과 스위치/AP(Authenticator) 사이 구간. LAN에서 EAP를 직접 실어 나른다.
RADIUS — 스위치/AP(Authenticator)와 인증 서버 사이 구간. Authenticator가 받은 EAP 메시지를 RADIUS 패킷에 담아 서버로 전달한다.

즉 단말 → 스위치는 EAPOL, 스위치 → 서버는 RADIUS로 캡슐화가 바뀌며, EAP 메시지 자체는 단말과 서버가 끝단끼리 주고받는다.

대표적인 EAP 방식

EAP-TLS — 클라이언트·서버 양쪽이 인증서로 상호 인증. 가장 강력하지만 단말마다 인증서 발급·관리가 필요하다.
PEAP / EAP-TTLS — 서버 인증서로 TLS 터널을 먼저 만들고, 그 안에서 ID/비밀번호로 인증. 인증서를 서버에만 두면 되어 도입이 쉽다.

동작 흐름

[단말 Supplicant]  --EAPOL-->  [스위치/AP Authenticator]  --RADIUS-->  [인증 서버]
    (자격 증명)                       (포트 차단→개방)                    (EAP 검증)

단말이 포트에 연결되면, 인증 전까지 스위치는 해당 포트에서 802.1X(EAPOL) 트래픽만 허용하고 나머지는 차단한다.
스위치가 EAP-Request/Identity로 신원을 요구하고, 단말이 자격 증명을 제출한다.
스위치는 이 EAP 메시지를 RADIUS로 감싸 인증 서버에 전달한다.
서버가 검증 후 Access-Accept 또는 Access-Reject를 회신한다.
성공하면 스위치가 포트를 개방하고, 서버가 내려준 정책(VLAN 할당, ACL 등)을 포트에 적용한다.

인증 성공 시 서버가 단말을 특정 VLAN에 자동 배치하는 Dynamic VLAN Assignment를 함께 쓰는 경우가 많다. 사번/부서에 따라 접속 포트와 무관하게 알맞은 네트워크로 분리할 수 있다.

인증 실패 및 미지원 단말 처리

포트에 붙는 모든 장치가 802.1X 클라이언트를 갖추고 있지는 않다. 프린터·IP 전화·IoT 센서 등은 Supplicant가 없어 802.1X 인증 자체를 시작할 수 없다. 이런 단말을 위해 다음 대체 수단을 함께 구성한다.

MAB (MAC-Based Authentication) — 단말의 MAC 주소를 자격 증명 삼아 인증하는 폴백. 802.1X가 응답 없으면 넘어간다.
Captive Portal — 웹 로그인 페이지로 유도해 인증. 주로 게스트 접속에 사용한다.
Guest VLAN / Auth-Fail VLAN — 인증 실패나 미지원 단말을 제한된 VLAN으로 격리한다.

보통 스위치 포트에서 802.1X → MAB → Captive Portal / Guest VLAN 순으로 단계적 폴백을 구성해 함께 쓴다.

운영 시 고려사항

인증 순서 설계 — 802.1X를 먼저 시도하고 실패·타임아웃 시 MAB로 폴백하는 순서가 일반적이다. 순서를 반대로 두면 802.1X 지원 단말도 MAC 인증으로 처리될 수 있다.
RADIUS 서버 이중화 — 서버 불통 시 인증이 막혀 접속 장애로 이어지므로 서버를 이중화하고, 불통 시 동작(개방/차단)을 정책으로 정한다.
단계적 적용(Monitor Mode) — 처음부터 차단을 걸면 대량 접속 장애가 날 수 있어, 인증 결과를 로그만 남기고 차단하지 않는 모니터 모드로 먼저 검증한 뒤 강제 모드로 전환한다.