~/network/concepts/ise
보안

Cisco ISE

Identity Services Engine

Cisco ISE는 네트워크i 접근을 중앙에서 판단하고 권한을 부여하는 NAC(Network Access Control) 정책 서버다. 802.1X나 MAB로 접속을 시도한 단말에 대해 "들여보내도 되는가, 들여보낸다면 어떤 권한을 줄 것인가"를 결정하는 주체다.

스위치, 무선 컨트롤러(WLC) 같은 Authenticator는 판단하지 않고 중개만 한다. 판단은 뒤에 있는 정책 서버가 맡으며, ISE가 그 역할을 한다.

요청–응답 구조

단말이 포트나 SSID에 붙으면, Authenticator는 단말의 자격 증명(802.1X의 EAP 신원, MAB의 MAC 주소 등)을 RADIUS 요청에 담아 정책 서버에 보낸다. 즉 "이 단말 들여보내도 돼?"라는 질문을 대신 전달하는 것이다.

[단말]       [스위치/WLC = Authenticator]                [ISE = 정책 서버]
   │                    │                                    │
   │   접속 감지          │                                    │
   │ ─────────────────▶ │  Access-Request                    │
   │                    │  (EAP 신원 또는 MAC, 접속 포트 등)      │
   │                    │ ─────────────────────────────────▶ │
   │                    │                            등록 정보·정책 조회
   │                    │                         (AD/LDAP, MAC·프로파일 DB)
   │                    │  Access-Accept + 권한 속성           │
   │                    │  (VLAN / ACL / SGT ...)            │
   │                    │ ◀───────────────────────────────── │
   │  포트 개방 + 권한 적용 │                                     │
   │ ◀───────────────── │                                    │

정책 서버는 요청을 받으면 자신이 가진 정보와 대조한다. 사용자 계정이라면 Active Directory/LDAP에 신원을 위임 조회하고, MAB라면 사전에 등록된 MAC 주소 목록과 그 MAC이 속해야 할 VLAN·권한을 참조한다. 여기에 단말 유형(DHCP·CDP 등으로 장비 종류를 식별하는 프로파일링 결과), 접속 시간·위치, 단말 보안 상태(posture) 같은 조건을 더해 최종 정책을 결정한다.

인증(Authentication)과 인가(Authorization)의 분리

정책 서버가 내리는 판단은 두 가지로 나뉜다.

  • 인증(Authentication) — "너는 누구/무엇인가"를 확인. 자격 증명이 유효한지 검증한다.
  • 인가(Authorization) — "그래서 무슨 권한을 줄 것인가"를 결정. 통과한 단말에 부여할 VLAN·ACL 등을 정한다.

그래서 응답은 단순한 허용/거부(Access-Accept / Access-Reject)에 그치지 않고, 허용일 때 어떤 네트워크·권한으로 넣을지를 함께 실어 보낸다. 이 권한 정보는 RADIUS 응답의 속성(Attribute)에 담겨 Authenticator가 포트/세션에 적용한다.

부여 권한전달되는 RADIUS 속성 (예)효과
동적 VLANTunnel-Private-Group-ID 등 Tunnel 속성 3종단말을 지정한 VLAN에 배치. 접속 포트와 무관하게 알맞은 망으로 분리
동적 ACLFilter-Id(사전 정의 ACL 지정) / Cisco av-pair(dACL 직접 하달)포트/세션에 ACL을 적용해 접근 범위 제한
SGT / 세션 정책Cisco cisco-av-pair (예: SGT 태그)그룹 기반 세그멘테이션(TrustSec 등) 태그 부여
세션 제어Session-Timeout, Termination-Action재인증 주기·세션 만료 동작 지정

예를 들어 ISE에 "이 MAC(프린터)은 VLAN 30, 인터넷만 허용하는 ACL"이라고 정책이 등록돼 있으면, 단말 접속 시 ISE가 Access-Accept와 함께 VLAN 30·해당 ACL 속성을 내려주고, 스위치는 그 포트를 VLAN 30에 넣고 ACL을 걸어 정확히 그 범위만 허용한다.

중앙 집중식 정책 관리의 이점

판단 로직을 개별 스위치·AP에 흩어두지 않고 정책 서버 한 곳에 모으면, 접속 지점이 어디든 일관된 정책이 적용되고 규칙 변경도 한 곳에서 끝난다. Authenticator는 정책을 몰라도 되고 "묻고 시키는 대로 포트를 여닫는" 단순한 문지기로 남는다. 이는 TACACS+에서 장비가 사용자와 서버 사이를 중개하고 인증·인가 판단을 서버에 위임하는 구조와 같은 방식이다.