[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2024029658A1 - 네트워크에서의 접근 통제 시스템 및 그 방법 - Google Patents

네트워크에서의 접근 통제 시스템 및 그 방법 Download PDF

Info

Publication number
WO2024029658A1
WO2024029658A1 PCT/KR2022/012964 KR2022012964W WO2024029658A1 WO 2024029658 A1 WO2024029658 A1 WO 2024029658A1 KR 2022012964 W KR2022012964 W KR 2022012964W WO 2024029658 A1 WO2024029658 A1 WO 2024029658A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
network
policy
packet
arp
Prior art date
Application number
PCT/KR2022/012964
Other languages
English (en)
French (fr)
Inventor
김찬우
김장훈
강준석
김현필
Original Assignee
스콥정보통신 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 스콥정보통신 주식회사 filed Critical 스콥정보통신 주식회사
Priority to CN202280098789.1A priority Critical patent/CN119678430A/zh
Publication of WO2024029658A1 publication Critical patent/WO2024029658A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • This disclosure relates to an access control system and method in a network, and more specifically, to providing an access control system and method for controlling access in a network including a plurality of in-house terminals located in different households. will be.
  • wall pads in the same apartment complex form one subnet, and communication is performed between wall pads within the subnet through direct communication. Additionally, communication between wall pads of different districts is possible through communication between subnets. Therefore, in order to protect the wall pad from hacking, it is necessary to control not only access within the same subnet within the apartment complex, but also access from other subnets.
  • ACL Access Control List
  • firewall function provided by security equipment such as switches or routers was used.
  • ACL technology sets filters defined by source IP address, destination IP address, protocol, application port number, etc. and performs comparative inspection on in-bound or out-bound packets.
  • This is a technology that allows or blocks the packet.
  • ACL technology operates to unconditionally block (deny) or allow packets to pass for devices that are not registered in the white list or black list, resulting in difficulties in policy management due to changes in the network environment, such as network configuration changes and new device registration. .
  • ACL technology can block communication between subnets of different buildings within an apartment complex, but it may be difficult to block direct communication between wall pads within the same building. Communication between wall pads in the same building belonging to one subnet is done through the L2 switch belonging to the subnet, not the L3 switch. Therefore, the ACL function configured in the L3 switch cannot block communication between wall pads within the same building.
  • the present disclosure is intended to provide an access control system and method that can control access to in-house terminals such as wall pads installed for each household in an apartment complex.
  • a management device sends ARP (Address Resolution Protocol) request packets to the plurality of in-house terminals. Transmitting to, the management device analyzing first ARP response packets received in response to the ARP request packet to obtain address information of the plurality of in-house terminals, the management device performing MAC (Media Access Control) ) Generating second ARP response packets whose addresses have been modulated, and the management device transmits the second ARP response packets to the plurality of in-house terminals to identify each in-house terminal in the ARP table of the plurality of in-house terminals. It may include the step of altering the MAC address.
  • ARP Address Resolution Protocol
  • the second ARP response packet may be an ARP response packet that includes the IP address of the domestic terminal whose MAC address is to be altered in each ARP table and the altered MAC address as source address information.
  • the modified MAC address may be a MAC address with which communication is not possible.
  • the network includes a policy server that manages an access management policy including a VLAN (Virtual Local Area Network) band allocation policy and a communication permission policy for each of a plurality of subnets to which different network devices are connected, and the plurality of in-house terminals. It may include a plurality of network devices.
  • the management device transmits a third ARP response packet with a modified MAC address to the plurality of network devices, and sets the MAC address of the gateway in the ARP table of the plurality of network devices to the MAC of the management device. modulating an address, the management device receiving a packet transmitted from the plurality of network devices to a gateway, and the management device forwarding the received packet to the gateway based on the access management policy.
  • a discarding step may be further included.
  • the step of forwarding or discarding the received packet to the gateway is to prohibit communication between the VLAN band to which the destination IP address of the received packet belongs and the VLAN band to which the source IP address of the received packet belongs in the communication permission policy.
  • the step of discarding the received packet may be included.
  • the step of forwarding or discarding the received packet to the gateway includes allowing communication between the VLAN band to which the destination IP address of the received packet belongs and the VLAN band to which the source IP address of the received packet belongs in the communication permitting policy. In this case, it may include forwarding the received packet to the gateway.
  • Forwarding or discarding the received packet to the gateway may include forwarding the received packet to the gateway if the destination IP address of the received packet belongs to a network external to the network.
  • the communication permission policy may be set to prohibit communication between subnets to which the plurality of in-house terminals belong.
  • the access control method includes the management device obtaining address information of a network device that transmitted the packet from the received packet, and the management device obtaining address information obtained from the received packet and the policy server. A step of detecting a new network device by comparing managed address information may be further included.
  • the access management policy may further include a policy for determining whether to authorize the new network device.
  • the access control method includes the policy server determining whether to authorize the new network device based on the access management policy or control input from an administrator, and the management device determining whether the new network device is unauthorized. If the device is a new network device, the step of transmitting to the new network device a fourth ARP request packet for modulating the MAC address of another network device in the ARP table of the new network device to a MAC address with which communication is not possible may be further included.
  • the management device modifies the MAC address of the gateway in the ARP table of the new network device to a MAC address that cannot communicate or to the MAC address of the management device. It may further include transmitting a fifth ARP request packet to the new network device.
  • the access management policy may further include a blocking policy for address thief devices.
  • the management device compares the address information obtained from the received packet with the address information managed by the policy server to detect the address thief device that has stolen the address of another network device registered in the network.
  • the method may further include detecting and, by the management device, blocking the address thief device from the network based on the blocking policy.
  • the management device may be connected to an 802.1Q tagged port of the L3 switch.
  • an access control system in a network including a plurality of in-house terminals located in different households transmits ARP (Address Resolution Protocol) request packets to the plurality of in-house terminals, and the ARP request packet
  • ARP Address Resolution Protocol
  • the ARP request packet By analyzing the first ARP response packets received in response to obtaining address information of the plurality of in-house terminals, and transmitting second ARP response packets with modulated MAC (Media Access Control) addresses to the plurality of in-house terminals, It may include a management device that blocks communication between the plurality of in-house terminals by modulating the MAC address of each in-house terminal registered in the ARP table of the plurality of in-house terminals.
  • the second ARP response packet may be an ARP response packet that includes the IP address of the domestic terminal whose MAC address is to be altered in each ARP table and the altered MAC address as source address information.
  • the modified MAC address may be a MAC address with which communication is not possible.
  • the access control system may further include a policy server that manages an access management policy including a VLAN (Virtual Local Area Network) band allocation policy and a communication permission policy for each of the plurality of subnets constituting the network.
  • the management device transmits a third ARP response packet with a modified MAC address to a plurality of network devices registered in the network, and matches the MAC address of the gateway registered in the ARP table of the plurality of network devices with the MAC address of the management device.
  • the plurality of network devices may include the plurality of in-house terminals. .
  • the management device may discard the received packet when communication between the VLAN band to which the destination IP address of the received packet belongs and the VLAN band to which the source IP address of the received packet belongs is prohibited in the communication permission policy. there is.
  • the management device allows communication between the VLAN band to which the destination IP address of the received packet belongs and the VLAN band to which the source IP address of the received packet belongs, or the destination IP address of the received packet is If it belongs to a network external to the network, the received packet can be forwarded to the gateway.
  • the communication permission policy may be set to prohibit communication between different subnets to which the plurality of in-house terminals belong.
  • the policy server manages address information of the plurality of network devices, and the management device obtains address information of the network device that transmitted the packet from the received packet, address information obtained from the received packet, and New network devices can be detected by comparing address information managed by the policy server.
  • the access management policy may further include a policy for determining whether to authorize the new network device.
  • the policy server may determine whether to authorize the new network device based on the access management policy or control input from an administrator. If the new network device is an unauthorized device, the management device sends a fourth ARP request packet to the new network device to modulate the MAC address of another network device in the ARP table of the new network device to a MAC address with which communication is not possible. can be transmitted to.
  • the management device sends a fifth ARP request packet to modify the MAC address of the gateway in the ARP table of the new network device to a MAC address that is unable to communicate or to the MAC address of the management device. can be transmitted to the new network device.
  • the access management policy may further include a blocking policy for address thief devices.
  • the management device detects the address thief device that has stolen the address of another network device registered in the network by comparing the address information obtained from the received packet with the address information managed by the policy server, and sets the blocking policy. Based on this, the address thief device can be blocked from the network.
  • the management device may be connected to an 802.1Q tagged port of the L3 switch.
  • Figure 1 schematically shows a network within an apartment complex according to an embodiment.
  • Figure 2 schematically shows an access control system according to one embodiment.
  • Figure 3 schematically shows an access control method in a network according to an embodiment.
  • Figure 4 schematically illustrates a method of blocking access of an address theft device to a network according to an embodiment.
  • Figure 1 schematically shows a network within an apartment complex according to an embodiment.
  • packets transmitted and received from the network 1 within the apartment complex to the external network (Internet) pass through the firewall 11 and the L3 switch 12.
  • the firewall 11 is responsible for the security of the network 1 and can block harmful traffic entering or leaving the network.
  • the L3 switch 12 can operate as a backbone switch located at the center of the nodes in the network 1 that want to connect to the Internet. In this case, all packets transmitted and received between the network 1 and the Internet pass through the L3 switch 12.
  • the L3 switch 12 may operate as a gateway of the network 1. The gateway can forward packets between the Internet and the network 1, or between subnets constituting the network 1, based on the destination IP address included in each packet.
  • Network 1 may include at least one subnet 20.
  • each subnet 20 may include in-house terminals 22 located in the same building and at least one L2 switch 21 that supports communication between them. Communication between in-house terminals 22 belonging to the same subnet 20, that is, in-house terminals 22 in the same building, may correspond to direct communication through the L2 switch 21. Communication between in-house terminals 22 belonging to different subnets 20, that is, in-house terminals 22 in different buildings, may correspond to communication between subnets 20 through the gateway of the L3 switch 12. .
  • the in-house terminal 22 is a network device located within each household, and can perform various functions such as providing information within the apartment complex/unit, controlling facilities within the apartment complex/unit, and making calls.
  • the in-house terminal 22 may include, for example, a video phone, a door phone, a wall pad, etc.
  • the network 1 includes various public systems managed through the network 1 within the apartment complex (for example, CCTV 31, parking management system 32, complex entrance 33, common It may include the front door (34), etc.).
  • the network 1 may further include various servers located within the apartment complex, such as a complex server 41 and a call server 42.
  • each subnet 20, 30, and 40 may be divided into a virtual local area network (VLAN) band. That is, different VLAN bands may be assigned to the subnets 20, 30, and 40.
  • VLAN virtual local area network
  • the in-house terminal 22 belonging to the network 1 may be collectively referred to as 'network devices'.
  • the network 1 may further include a policy server 43 and a management device 13 to block illegal access to network devices belonging to the network 1.
  • Figure 2 schematically shows an access control system for controlling access to network devices in a network 1 within an apartment complex according to an embodiment.
  • the access control system 100 may include the L3 switch 12, management device 13, and policy server 43 of FIG. 1 described above.
  • the management device 13 and the policy server 43 are connected to the L3 switch 12 and can communicate with each other through the L3 switch 12.
  • the policy server 43 can perform the function of setting and managing a policy for network access (access management policy) and device information of network devices in the network 1.
  • the policy server 43 may include a database 431 and a policy management unit 432.
  • the database 431 may store policy (access management policy) information for connection authentication, authorization, account operations, etc. for network access in the network 1.
  • the access management policy includes a VLAN band (or subnet band) allocation policy for each subnet (20, 30, and 40) constituting the network (1), a communication allowance policy (communication allowance policy for each VLAN band, and a communication allowance policy between VLAN bands).
  • communication permission policy may be included.
  • the communication permission policy is such that communication is blocked between different subnets 20 to which the in-house terminals 22 belong, and the subnet 20 to which the in-house terminals 22 belong and the subnet to which the parking management system 32 belongs ( 30) It can be set to enable communication between the two.
  • the access management policy includes a policy for determining whether to authorize a network device that newly attempts to connect to the network (1), a blocking policy for devices that are unauthorized by the network (1) or have stolen the address of another network device, etc. It can be included.
  • the database 431 may further include device information of each network device registered in the network 1.
  • Device information may include address information (IP address and MAC address), status information (online/offline), authentication information (authorization/unauthorization), blocking status, etc. of each network device.
  • the policy management unit 432 can set and manage policy information stored in the database 431.
  • the policy management unit 432 can set and manage policy information based on control input received from the administrator.
  • the policy management unit 432 may set and manage device information stored in the database 431.
  • the policy management unit 432 may receive address information and status information of each network device from the management device 13, and set and manage device information based on the received information.
  • the policy management unit 432 may determine whether to authorize the new network device based on information about the new network device received from the management device 13.
  • the policy management unit 432 may determine whether to authorize a new network device based on policy information stored in the database 431.
  • the policy management unit 432 may notify the manager of the detection of a new network device and then decide whether to authorize the network device based on control input received from the manager.
  • the policy management unit 432 may also transmit corresponding authorization information to the management device 13 when it is determined whether to authorize a new network device.
  • the management device 13 may control access to the network 1 using ARP (Address Resolution Protocol) packet modulation and packet forwarding.
  • ARP Address Resolution Protocol
  • the management device 13 may include a storage unit 131, a transmission/reception unit 132, and a control unit 133.
  • the storage unit 131 can store various information, data, etc. processed by the management device 13.
  • the storage unit 131 may store information (policy information, device information, etc.) received from the policy server 43.
  • the storage unit 131 may store address information and status information of each network device obtained by the control unit 133, which will be described later.
  • the storage unit 131 may temporarily store packets transmitted and received through the transceiver 132.
  • the transceiver 132 can transmit and receive information, packets, etc. between the management device 13 and other devices belonging to the network 1.
  • the transceiver 132 can receive policy information, device information, etc. from the policy server 43.
  • the transceiver unit 132 may notify the policy server 43 of the occurrence of an event and transmit status information and address information of the network device obtained by the management device 13 to the policy server 43.
  • the transceiver 132 may collect packets (ARP packets, User Datagram Protocol (UDP) packets, Transmission Control Protocol (TCP) packets, etc.) transmitted through the L3 switch 12 within the network 1.
  • the transceiver unit 132 may be connected to an 802.1Q tagged port (or trunk port) of the L3 switch 12.
  • the 802.1Q tagged port of the L3 switch 12 is a port through which multiple VLAN band traffic passes. As described above, different VLAN bands may be assigned to each subnet 20, 30, and 40 of the network 1. Therefore, in order for the management device 13 to collect packets of all subnets 20, 30, and 40 transmitted through the L3 switch 12, it must access all VLAN bands assigned to the subnets 20, 30, and 40. It must be possible to do this, and for this, the transceiver 132 can be connected to the 802.1Q tagged port of the L3 switch 12.
  • the transmitting and receiving unit 132 may transmit and receive ARP packets (ARP request packet, ARP response packet, etc.) with each network device (for example, in-house terminal 22) connected to the network 1. there is.
  • ARP packets ARP request packet, ARP response packet, etc.
  • the transceiver 132 may forward packets received from other network devices to a gateway (eg, the L3 switch 12 performing a gateway function).
  • a gateway eg, the L3 switch 12 performing a gateway function.
  • the control unit 133 may control the overall operation of the management device 13.
  • control unit 133 may receive policy information, device information of network devices, etc. from the policy server 43 and store them in the storage unit 131.
  • control unit 133 may transmit an ARP request packet for each VLAN band (subnet band) to obtain information (address information, status information, etc.) on network devices connected to each VLAN band (subnet band).
  • the control unit 133 may broadcast an ARP request packet including the IP address of the network device for which information is to be checked as destination address information to the subnet to which the network device belongs. Then, the control unit 133 may determine status information of the corresponding network device based on whether an ARP response packet for the transmitted ARP request packet is received. That is, the control unit 133 may determine that the corresponding network device is offline if an ARP response packet is not received within the predetermined time from the corresponding network device after transmitting the ARP request packet at least once during a predetermined period of time. there is. If an ARP response packet is received from a corresponding network device within a predetermined time after transmitting the ARP request packet, the control unit 133 may determine that the corresponding network device is online.
  • the control unit 133 may set status information for each network device based on the determined status and store this in the storage unit 131.
  • the online state may indicate a state in which the connection between the corresponding network device and the network 1 is activated
  • the offline state may indicate a state in which the connection between the corresponding network device and the network 1 is deactivated.
  • the control unit 133 may detect a status change event by comparing it with previous status information of the corresponding network device.
  • the previous state information of the corresponding network device can be obtained from the device information of the corresponding network device received from the policy server 43 or the previous state information of the corresponding network device stored in the storage unit 131.
  • the control unit 133 may determine that a state change event has occurred for the network device.
  • the control unit 133 may notify the policy server 43 of the state change event. Additionally, the control unit 133 may transmit updated status information to the policy server 43 to update device information stored in the policy server 43.
  • the control unit 133 may acquire address information (IP address and MAC address) of each network device by analyzing the received ARP response packet. There is. A network device that has confirmed its IP address from the destination address information of the ARP request packet transmitted from the management device 13 may transmit an ARP response packet including its IP address and MAC address as source address information. Therefore, when an ARP response packet is received, the control unit 133 obtains the address information (IP address and MAC address) of the corresponding network device from the source address information (source IP address and source MAC address) included in the response packet. You can.
  • the control unit 133 can collect status information and address information of the home terminals 22 installed in each household in the apartment complex in the above-described manner, and which subnet 20 (VLAN band) each home terminal 22 is in. You can also check whether it belongs.
  • the control unit 133 identifies the in-house terminals 22 connected to each subnet 20 based on the information collected in the above-described manner, and uses ARP packet modulation to identify in-house terminals of different generations belonging to the same subnet 20. (22) Communication between devices can be blocked.
  • the control unit 133 may generate modulated ARP response packets to modulate MAC addresses in the ARP table of each domestic terminal 22, based on the address information of each domestic terminal 22.
  • Each modified ARP response packet may include the IP address of the in-house terminal 22, the target of MAC address modification, and the modified MAC address as source address information.
  • the altered MAC address may be a meaningless MAC address unsuitable for communication.
  • the control unit 133 may transmit it to the subnet 20 to which the in-house terminal 22, which is the subject of MAC address modification, belongs. Accordingly, other domestic terminals 22 in the same subnet 20 that have received the modified ARP response packet can update their stored ARP tables based on the source address information included in the received ARP response packet. That is, each in-house terminal 22 that receives the modulated ARP response packet acquires the source IP address and source MAC address from the received ARP response packet, and enters the MAC address corresponding to the source IP address in its ARP table as the source. It can be changed to MAC address.
  • the ARP table of each network device contains address information (IP address and MAC address) of network devices belonging to the same broadcast domain (e.g., subnet) as the network device and address information (IP) of the gateway to which the network device is connected. address and MAC address).
  • IP address information
  • each domestic terminal 22 refers to the address information of the other domestic terminal 22 stored in the ARP table. Therefore, when the in-house terminals 22 belonging to the same subnet 20 modulate the MAC addresses of the ARP table that they refer to in order to communicate with other in-house terminals 22 to MAC addresses that cannot communicate, the in-house terminals 22 use the same MAC addresses. Since the correct MAC address of the other home terminal 22 belonging to the subnet 20 cannot be known, direct communication with the other home terminal 22 becomes impossible.
  • the control unit 133 may control access between network devices belonging to different subnets using ARP packet modulation and packet forwarding.
  • the control unit 133 generates a modulated ARP response packet to modulate the MAC address of the gateway (e.g., L3 switch 12) to the MAC address of the management device 13 for each subnet requiring access control, A modulated ARP response packet can be transmitted to each subnet.
  • the modulated ARP response packet may include the IP address of the gateway (L3 switch 12) and the MAC address of the management device 13 as source address information. Each network device that receives this can update the MAC address of the gateway to the MAC address of the management device 13 in the ARP table stored therein.
  • a specific network device transmits a packet destined for the outside of the subnet to which it belongs (to another subnet or an external network of network 1), it will be delivered to the management device 13 rather than the gateway of the L3 switch 12. You can. That is, when each network device transmits a packet outside the subnet to which it belongs (the Internet or another subnet), the control unit 133 can receive the transmitted packet on behalf of the gateway.
  • control unit 133 When the control unit 133 receives a packet on behalf of the gateway, it can check the source subnet and destination subnet of the received packet based on the source IP address and destination IP address of the received packet. In addition, the control unit 133 can check whether access from the source subnet to the destination subnet is permitted based on the policy information (policy for allowing communication between VLAN bands (or subnet bands)) received from the policy server 43. there is. If access from the source subnet to the destination subnet is prohibited in the communication permission policy, the control unit 133 may block access by discarding the packet without forwarding it.
  • policy information policy for allowing communication between VLAN bands (or subnet bands)
  • this case applies when the in-house terminal 22 transmits a packet to connect to the in-house terminal 22 belonging to another building (another subnet 20), and in this case, the in-house terminal 22 Transmitted packets may be discarded and delivery blocked. If access from the source subnet to the destination subnet is permitted in the communication permission policy, the control unit 133 may forward the packet to the gateway (L3 switch 12) so that the packet is normally delivered to the destination.
  • the gateway L3 switch 12
  • the in-house terminal 22 is a network device commonly used within an apartment complex (e.g., CCTV 31, parking management system 32, complex entrance door 33, common front door 34, etc.)
  • This case corresponds to the case where a packet is transmitted to connect to , and in this case, the packet transmitted from the in-house terminal 22 is forwarded to the gateway to be normally delivered to the destination.
  • the control unit 133 can forward the packet to the gateway (L3 switch 12) so that the packet is delivered normally.
  • the gateway When a packet is forwarded from the management device 13, the gateway (L3 switch 12) can check the destination address of the forwarded packet and transmit the packet to the destination subnet or external network.
  • the control unit 133 may continuously analyze packets received from network devices and update the status information of each network device. When a packet is received, the control unit 133 may check whether the network device that transmitted the packet is already registered in the policy server 43 based on the source address information of the received packet. If the network device that transmitted the packet is already a registered network device, the control unit 133 can confirm that the network device is online. In addition, the control unit 133 detects network devices that have not transmitted packets for a predetermined period of time among network devices registered with the policy server 43 (i.e., network devices whose address information is registered in the device information of the policy server 43). Once confirmed, the status of the network device can be checked using the ARP packet as described above. That is, the control unit 133 can transmit an ARP request packet to check the status of the corresponding network device and check the status of the corresponding network device based on whether an ARP response packet is received.
  • the control unit 133 may continuously analyze packets received from network devices to detect new network devices attempting to connect to the network 1. When a packet is received from a network device, the control unit 133 obtains source address information (source IP address and source MAC address) from the received packet, compares this with the address information of pre-registered network devices, and transmits the packet. You can check whether the network device is a new device. If address information identical to the source address information obtained from the received packet is not found among the address information of the previously registered network devices, the control unit 133 determines that the network device that transmitted the packet is a new device newly connected to the network (1). It can be judged that it is.
  • source address information source IP address and source MAC address
  • control unit 133 determines that the network device that transmitted the packet is a new device, it notifies the policy server 43 of the occurrence of a new device detection event and sends the address information (IP address and MAC address) of the network device to the policy server. You can also send it to (43).
  • the policy server 43 may determine whether to authorize the new network device based on an access management policy or a control input received from the manager. When a new network device is authorized, the policy server 43 may register the new network device in the network 1 and include the address information of the new network device in the device information in the database 431. Additionally, the policy server 43 may transmit information indicating whether a new network device is authorized or not to the management device 13.
  • the control unit 133 When the control unit 133 receives authorization information (authorization/disapproval) for a new network device from the policy server 43, it can block access of the new network device to the network 1 depending on whether the new network device is authorized. . If the new network device is an unauthorized device, the control unit 133 uses a modulated ARP response packet to communicate the MAC addresses of network devices belonging to the same subnet as the unauthorized network device in the ARP table of the unauthorized network device. This can be altered into a meaningless MAC address. That is, the control unit 133 generates a modulated ARP response packet to modulate the MAC address of each network device belonging to the same subnet as the unauthorized network device into a meaningless address, and sends it to the subnet to which the unauthorized network device belongs. Can be transmitted. The unauthorized network device that receives this updates its ARP table based on the address information obtained from the modified ARP response packet, which prevents the unauthorized network device from verifying the correct MAC address of the network device. do.
  • the control unit 133 may block the unauthorized network device from accessing network devices outside the subnet to which it belongs by modifying the MAC address of the gateway in the ARP table of the unauthorized network device to a meaningless address. That is, the control unit 133 transmits an ARP response packet to modulate the MAC address of the gateway (e.g., L3 switch 12) into a meaningless MAC address, and selects the gateway's MAC from the ARP table of the unauthorized network device. The address can be altered into a meaningless MAC address. Accordingly, unauthorized network devices may be blocked from communicating not only with other network devices in the subnet to which they belong, but also with network devices in other subnets that must be accessed through a gateway.
  • the gateway e.g., L3 switch 12
  • the control unit 133 may block unauthorized network devices from accessing other network devices using a tactical packet forwarding method.
  • the control unit 133 sends an ARP response packet to the unauthorized network device to modulate the MAC address of the gateway in the ARP table of the unauthorized network device to the MAC address of the management device 13. It can be transmitted to the subnet it belongs to. Accordingly, the MAC address of the gateway in the ARP table in the unauthorized network device is modulated to the MAC address of the management device 13, and the packet transmitted by the unauthorized network device is delivered to the management device 13, not the gateway. It can be. Since the management device 13 already knows that the network device in question is an unauthorized device, when a packet is received from an unauthorized network device, it can discard the packet and block communication with the unauthorized network device.
  • the control unit 133 may analyze received packets to check whether address theft (IP address theft, MAC address theft, IP address and MAC address theft) of the network device.
  • address theft IP address theft, MAC address theft, IP address and MAC address theft
  • the control unit 133 compares the source address information of the received packet with the address information of devices registered in the policy server 43 to detect a network device that has stolen an IP address or MAC address. If the source address information extracted from the collected packet has the same IP address as the network device already registered in the policy server 43 but has a different MAC address, the network device that transmitted the packet steals the IP address. You can decide to do it. In addition, if the source address information extracted from the collected packet has the same MAC address as the network device already registered in the policy server 43 but has a different IP address, the network device that transmitted the packet has the MAC address. may be determined to have been stolen.
  • the control unit 133 may detect network devices that have stolen IP and MAC addresses by analyzing ARP probe packets transmitted from each network device.
  • the IPv4 Address Conflict Detection proposed standard, ARP Far Lobe packets are specified.
  • ACD the ARP Parob packet is a packet used when a host checks whether its IP address is already in use within the network it belongs to, and is used for the purpose of preventing IP collisions.
  • the host sets the ARP Opcode to 1, broadcasts an ARP probe packet set as an ARP request within its network, and waits to receive a response packet (a packet with an ARP Opcode of 2).
  • ARP probe packet ARP request
  • the host can set the source MAC address of the header to its own MAC address and set the source IP address to 0.0.0.0.
  • the host can set the destination MAC address of the ARP probe packet header to 00:00:00:00:00:00, and set the destination IP address to its own IP address. These ARP probe packets do not update the ARP tables of other hosts belonging to the same network to prevent IP address collisions.
  • each network device operates to repeatedly broadcast ARP probe packets when the IP address changes. Accordingly, a thief device that changes its IP address and MAC address by copying the address data of another network device broadcasts an ARP probe packet within the network to which the cloned IP address belongs.
  • an ARP probe packet (ARP request) transmitted from each network device (host) may include the IP address and MAC address of the network device that transmitted it. Accordingly, when an ARP probe packet transmitted as an ARP request is received from a network device, the control unit 133 can detect the IP address and MAC address of the corresponding network device from the received ARP probe packet. In addition, the control unit 133 compares the detected IP address and MAC address with the address information registered in the policy server 43 to determine whether the device is a thief device that copies and uses the IP address and MAC address of another network device. You can judge.
  • each network device changes when a network interface transitions from an inactive state to an active state, when a network device returns from sleep mode to normal mode, and when a network device returns to normal mode from sleep mode, as well as when its link status with the network 1 (e.g. ARP probe packets may be transmitted in situations such as when a change occurs (for example, in the connection status of an Ethernet cable) or when an 802.11 wireless interface is associated with a new base station.
  • ARP probe packets may be transmitted in situations such as when a change occurs (for example, in the connection status of an Ethernet cable) or when an 802.11 wireless interface is associated with a new base station.
  • a normal network device not a thief device, can repeatedly broadcast ARP probe packets when its connection to the network changes from offline to online.
  • control unit 133 may additionally check the status information of the network device that transmitted the ARP probe packet in order to prevent a normal network device from being mistakenly recognized as a rogue device. If the same address information as the newly collected address information through the ARP probe packet is already registered in the policy server 43, the control unit 133 additionally checks the status information before receiving the ARP probe packet of the corresponding network device. This allows you to make a final decision as to whether or not your address has been stolen. That is, if the status information of the corresponding network device indicates an offline state before the control unit 133 receives the ARP probe packet, the received ARP probe packet is transmitted from a normal device whose connection state with the network 1 has been switched to the online state. By determining that the message has been received, it is possible to finally determine that the corresponding network device is a normal network device rather than a thief device.
  • the control unit 133 may notify the policy server 43 of the occurrence of an address theft event. Additionally, based on the policy information received from the policy server 43, access to the network 1 of the detected thief device can be blocked. For example, when a thief device is detected, the control unit 133 may block network use of the thief device by transmitting a network use blocking packet (ARP Probe Reply packet).
  • ARP Probe Reply packet a network use blocking packet
  • the management device (13) detects such illegal address theft and blocks the thief device from accessing other network devices in advance, thereby preventing attempts to invade the network (1) by stealing the address of the public system. You can block it.
  • Figure 3 schematically shows a method of controlling access between network devices in the network 1 according to an embodiment.
  • the method of FIG. 3 may be performed by the access control system 100 described with reference to FIG. 2.
  • the management device 13 when the management device 13 starts operating, it can obtain status information and address information of each network device registered in the network 1 (S11).
  • the management device 13 may obtain status information and address information of each network device by transmitting an ARP request packet.
  • the management device 13 may generate, for each network device, an ARP request packet including the IP address of the network device as destination address information and transmit it to the subnet to which the network device belongs.
  • the control unit 133 may determine status information of the corresponding network device based on whether an ARP response packet for the transmitted ARP request packet is received.
  • the management device 13 transmits an ARP request packet to network devices and receives an ARP response packet, it obtains the address information (IP address and MAC address) of each network device from the source address information of the received ARP response packet. ) can also be obtained.
  • the management device 13 can use an ARP packet to modify the MAC addresses of the network devices and gateways requiring access control in the ARP table of each network device (S12).
  • the management device 13 may modulate the MAC address of another home terminal 22 into a meaningless address in the ARP table of each home terminal 22 in order to block communication between the home terminals 22. there is. To this end, the management device 13 may generate a modulated ARP response packet to modulate the MAC address of each in-house terminal 22 in the ARP table. Each modulated ARP response packet may include the IP address of the corresponding in-house terminal 22 and the modulated MAC address (MAC address unsuitable for communication) as source address information. The management device 13 may transmit the ARP response packet generated in this way to the subnet 20 to which the corresponding in-house terminal 22 belongs.
  • the corresponding MAC addresses in the ARP table of the domestic terminals 22 belonging to the corresponding subnet 20 are modulated into MAC addresses with which communication is not possible, thereby blocking access of other domestic terminals to the corresponding domestic terminal 22. You can.
  • the management device 13 can block all direct communication between the in-house terminals 22 by changing the MAC addresses of all other in-house terminals in the ARP table of each in-house terminal 22 to addresses that do not allow communication. .
  • the management device 13 matches the MAC address of the gateway to the MAC address of the management device 13 in the ARP table of each network device 22 in order to restrict access between different subnets 20, 30, and 40. It can be modulated. To this end, the management device 13 sends a modulated ARP response packet containing the IP address of the actual gateway (IP address of the L3 switch 12) and the MAC address of the management device 13 as source address information to each network device. It can be transmitted to the subnet it belongs to. Accordingly, the MAC address of the gateway in the ARP table of each network device may be modulated to the MAC address of the management device 13.
  • each network device when each network device wants to forward a packet outside the subnet to which it belongs, it transmits the packet by referring to the MAC address of the management device 13 rather than the gateway, and the transmitted packet is received by the management device 13 instead of the gateway. It can be.
  • the management device 13 can receive packets transmitted by network devices belonging to each subnet to other networks (eg, other subnets) on behalf of the gateway (S13).
  • the management device 13 can analyze the packet to determine whether the network device that transmitted the packet, that is, the source of the packet, is a new network device (S14).
  • the management device 13 may obtain source address information (source IP address and source MAC address) from the received packet and compare this with address information of network devices previously registered in the policy server 43. If the management device 13 does not search for address information identical to the source address information obtained from the received packet among the address information of the previously registered network devices, it determines that the source of the packet is a new device newly connected to the network 1. You can judge. When the management device 13 searches for address information identical to the source address information obtained from a received packet among the address information of pre-registered network devices, the management device 13 determines that the source address of the packet is already in the network 1. It can be determined that it is a registered network device.
  • source IP address and source MAC address source IP address and source MAC address
  • step S14 determines whether the packet source is a network device already registered in the network 1
  • the management device 13 determines whether to block the received packet based on the access management policy received from the policy server 43. (S15).
  • step S15 the management device 13 extracts the source IP address and destination IP address from the received packet, and determines the subnet to which the source IP address belongs and the subnet to which the destination IP address belongs in the policy of allowing communication between VLAN bands (or subnet bands). You can check whether it is set to allow communication between the devices.
  • the management device 13 prohibits communication between the VLAN band (subnet band) to which the source IP address belongs and the VLAN band (subnet band) to which the destination IP address belongs in the communication permission policy (for example, the in-house terminal 22) If an attempt is made to connect to the in-house terminal 22 belonging to this other building (another subnet 20), it may be determined that the packet needs to be blocked.
  • the management device 13 allows communication between the VLAN band (subnet band) to which the source IP address belongs and the VLAN band (subnet band) to which the destination IP address belongs in the communication permission policy (for example, in-house terminal When (22) attempts to connect to a network device commonly used within the apartment complex (e.g., CCTV (31), parking management system (32), complex entrance door (33), common front door (34), etc.) ), it can be determined that there is no need to block the packet.
  • a network device commonly used within the apartment complex e.g., CCTV (31), parking management system (32), complex entrance door (33), common front door (34), etc.
  • the management device 13 may block communication by discarding the packet (S17). On the other hand, when the management device 13 does not need to block the packet (S16), it forwards the packet to the actual gateway (e.g., the L3 switch 12) (S18), so that the packet is normally delivered to the destination. It can be delivered.
  • the actual gateway e.g., the L3 switch 12
  • the management device 13 may transmit the address information of the new network device to the policy server 43 and notify the detection of the new network device. .
  • the policy server 43 which has been notified of the detection of a new network device by the management device 13, can determine whether to authorize the new network device based on the policy or control input from the manager (S19). If the new network device is an authorized device (S20), the policy server 43 registers the new network device in the network 1 (S21) and includes the address information of the new network device in the device information of the database 431. You can.
  • the policy server 43 determines whether to authorize a new network device, it can transmit information about whether to authorize the new network device to the management device 13. If the new network device is an unauthorized device (S20), the management device 13 that has received this may block the unauthorized device's access to the network 1 (S22).
  • step S22 the management device 13 uses a modified ARP response packet to change the MAC addresses of network devices belonging to the same subnet as the unauthorized network device from the ARP table of the unauthorized network device into meaningless MAC addresses that cannot communicate. It can be modulated. Accordingly, unauthorized network devices cannot determine the correct MAC addresses of other network devices belonging to the same subnet, and thus communication with other network devices is blocked.
  • the management device 13 may modulate the MAC address of the gateway into a meaningless address in the ARP table of the unauthorized network device using a modified ARP response packet. Accordingly, unauthorized network devices may be blocked from communicating not only with other network devices in the subnet to which they belong, but also with network devices in other subnets that must be accessed through a gateway.
  • the management device 13 may block unauthorized network devices from accessing other network devices using ARP packet modulation and packet forwarding methods.
  • the management device 13 sends an ARP response packet to the unauthorized network device to change the MAC address of the gateway in the ARP table of the unauthorized network device to the MAC address of the management device 13. It can be transmitted to the subnet to which it belongs. Accordingly, the packet transmitted by the unauthorized network device is delivered to the management device 13 rather than the gateway, and since the management device 13 already knows that the network device is an unauthorized device, the packet is transmitted to the unauthorized network device. Packets received from can be discarded.
  • Figure 4 schematically shows a method of blocking access of an address theft device to a network 1 according to an embodiment.
  • the method of FIG. 4 may be performed by the access control system 100 described with reference to FIG. 2 .
  • the management device 13 can analyze each packet to determine whether the addresses of the network devices that transmitted the packets have been stolen (S32).
  • the management device 13 may detect a network device that has stolen an IP address or MAC address by comparing the source address information of the collected packets with the address information of devices registered in the policy server 43. If the source address information extracted from the collected packet has the same IP address as the network device already registered in the policy server 43 but has a different MAC address, the network device that transmitted the packet has an IP address. It can be determined that it was stolen. In addition, if the source address information extracted from the collected packet has the same MAC address as the network device already registered in the policy server 43 but has a different IP address, the network device that transmitted the packet has a MAC address. You may decide that the address has been stolen.
  • the management device 13 may detect network devices that have stolen IP and MAC addresses by analyzing ARP probe packets transmitted from each network device.
  • the management device 13 may detect the IP address and MAC address of the corresponding network device from the ARP probe packet transmitted as an ARP request from the network device.
  • the management device 13 compares the detected IP address and MAC address with the address information registered in the policy server 43, and determines whether the device is a thief device that duplicates and uses the IP address and MAC address of another network device. Awareness can be determined.
  • the management device 13 may additionally check the status information of the network device that transmitted the ARP probe packet in order to prevent a normal network device from being mistakenly recognized as a rogue device.
  • the received ARP probe packet is received from a normal device whose connection state with the network 1 has been switched to the online state. If it is determined that the corresponding network device is a normal network device rather than a thief device, it can be finally determined that the corresponding network device is a normal network device.
  • the management device 13 may notify the policy server 43 that the address theft device has been detected (S34). Additionally, based on the policy information received from the policy server 43, access to the network 1 of the detected address theft device can be blocked (S35). For example, when an address thief device is detected, the control unit 133 may block network use of the thief device by transmitting a network use blocking packet (a response packet to an ARP probe packet).
  • the management device 13 If the management device 13 confirms in step S32 that the network device is not an address theft device (S33), it can process packets received from the network device according to the set policy (S36). For example, packets may be processed through steps S14 to S22 of FIG. 3.
  • the access control system 100 uses a modulated ARP packet to modulate the MAC address of the other in-house terminal 22 held by each in-house terminal 22 to an address that cannot communicate, thereby allowing access to the same subnet ( Direct communication between terminals 22 registered in 20) can be effectively blocked.
  • the access control system 100 modifies the MAC address of the gateway held by each network device to the MAC address of the management device 13, so that the management device 13 receives the packets on behalf of the gateway and then discards the packets according to the policy. or forwarding, access between subnets that are not permitted to communicate with each other (for example, subnets 20 to which different domestic terminals 22 are connected) can also be effectively blocked.
  • packets collected by the management device 13 of the access control system 100 may be analyzed to detect and block access of unauthorized network devices or address theft devices in advance.
  • Computer-readable media includes all types of recording devices that store data that can be read by a computer system. Examples of computer-readable media include HDD (Hard Disk Drive), SSD (Solid State Disk), SDD (Silicon Disk Drive), ROM, RAM, CD-ROM, magnetic tape, floppy disk, optical data storage device, etc. This also includes those implemented in the form of carrier waves (e.g., transmission via the Internet). Additionally, the computer may include a terminal control unit. Accordingly, the above detailed description should not be construed as restrictive in all respects and should be considered illustrative. The scope of the present invention should be determined by reasonable interpretation of the appended claims, and all changes within the equivalent scope of the present invention are included in the scope of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)

Abstract

본 개시에 따르면, 서로 다른 세대에 위치하는 복수의 댁내 단말을 포함하는 네트워크에서의 접근 통제 방법은, ARP 요청 패킷들을 상기 복수의 댁내 단말에 전송하는 단계, 상기 ARP 요청 패킷에 대응하여 수신되는 제1 ARP 응답 패킷들을 분석하여 상기 복수의 댁내 단말의 주소 정보를 획득하는 단계, MAC 주소가 변조된 제2 ARP 응답 패킷들을 생성하는 단계, 그리고 상기 제2 ARP 응답 패킷들을 상기 복수의 댁내 단말에 전송함으로써, 상기 복수의 댁내 단말의 ARP 테이블에서 각 댁내 단말의 MAC 주소를 변조시키는 단계를 포함할 수 있다. 상기 제2 ARP 응답 패킷은, 각 ARP 테이블에서 MAC 주소를 변조하고자 하는 댁내 단말의 IP 주소와 변조된 MAC 주소를 출발지 주소 정보로 포함하는 ARP 응답 패킷이며, 상기 변조된 MAC 주소는 통신이 불가능한 MAC 주소일 수 있다.

Description

네트워크에서의 접근 통제 시스템 및 그 방법
본 개시는 네트워크에서의 접근 통제 시스템 및 그 방법에 관한 것으로서, 더욱 상세하게는 서로 다른 세대에 위치하는 복수의 댁내 단말을 포함하는 네트워크서의 접근을 통제하기 위한 접근 통제 시스템 및 그 방법을 제공하는 것이다.
아파트 단지 내 각 세대에 설치되는 월 패드(Wall-Pad)에 다양한 기능들이 추가되고 있다. 월 패드에 카메라 등 다양한 기능이 탑재되면서, 최근 월 패드 해킹으로 인한 사생활 정보 유출이 사회적 문제로 대두하고 있다. 이에 따라, 아파트 단지 내 네트워크에서 서로 다른 세대의 월 패드로 접근하는 것을 통제하는 기능이 요구되고 있다. 또한, 월 패드와의 통신이 항상 허용되는 CCTV(closed circuit television), 주차관리 시스템 등의 주요 네트워크 장비를 통해 월 패드가 해킹 될 가능성 또한 존재하여, 이들 네트워크 장비를 IP(Internet Protocol) 주소/MAC(Media Access Control) 주소 도용 등의 해킹으로부터 보호해야 할 필요성도 대두되고 있다.
통상적으로 아파트 단지 내 네트워크에서 같은 동의 월 패드들은 하나의 서브넷(Subnet)을 구성하며, 해당 서브넷 내 월 패드들 간에는 직접 통신 방식으로 통신이 이루어진다. 또한, 서로 다른 동의 월 패드들 간에도 서브넷 간의 통신을 통해 통신이 가능하다. 따라서, 월 패드를 해킹으로부터 보호하기 위해서는 아파트 단지 내 동일한 서브넷 내에서의 접근뿐만 아니라, 다른 서브넷에서의 접근도 통제될 필요가 있다.
종래에는 아파트 단지 내 네트워크에서 월 패드 간 접근을 제어하기 위해, 스위치나 라우터 등 보안 장비에서 제공하는 ACL(Access Control List) 또는 방화벽(Firewall) 기능이 사용되었다. ACL 기술은 출발지 IP 주소, 목적지 IP 주소, 프로토콜, 어플리케이션 포트 번호 등으로 정의된 필터를 설정하고, 인-바운드(In-Bound) 또는 아웃-바운드(Out-Bound) 패킷에 대해 비교 검사를 실시하여, 해당 패킷을 허용하거나 차단하는 기술이다. ACL 기술은 화이트 리스트 또는 블랙리스트에 등록되지 않은 장비에 대해서는 패킷을 무조건 차단(Deny)하거나 통과시키도록 작동하여, 네트워크 구성 변경, 신규 장비 등록 등 네트워크 환경의 변화에 따른 정책 관리에 어려움이 발생한다. 또한, ACL 기술은 아파트 단지 내 서로 다른 동의 서브넷 간 통신은 차단이 가능하나, 같은 동 내의 월 패드 간 직접 통신은 차단이 어려울 수 있다. 하나의 서브넷에 속하는 같은 동 내 월 패드 간의 통신은 L3 스위치가 아닌 서브넷에 속한 L2 스위치를 통해 이루어진다. 따라서, L3 스위치에서 구성한 ACL 기능으로는 같은 동 내 월 패드 간 통신을 차단할 수 없다.
또한, 아파트 단지 내 네트워크를 구성하는 서브넷 수 및 노드 수가 증가할수록, 즉 아파트의 동 수와 세대 수가 증가할수록, 월 패드 간 접근 제어를 위한 정책 관리가 복잡해지고, 이에 따른 장애 발생률 또한 증가하게 된다. 또한, 접근 제어 기능을 구성하기 위해 필요한 보안 장비의 수 또한 증가하여, 비용 증가, 보안 정책 가동률 감소 등의 문제가 발생할 수 있다.
본 개시는 아파트 단지 내 세대별로 설치된 월 패드 등의 댁내 단말에 대해 접근을 통제할 수 있는 접근 통제 시스템 및 그 방법을 제공하기 위한 것이다.
상기 과제를 해결하기 위한 일 실시 예에 따른 서로 다른 세대에 위치하는 복수의 댁내 단말을 포함하는 네트워크에서의 접근 통제 방법은, 관리 장치가, ARP(Address Resolution Protocol) 요청 패킷들을 상기 복수의 댁내 단말에 전송하는 단계, 상기 관리 장치가, 상기 ARP 요청 패킷에 대응하여 수신되는 제1 ARP 응답 패킷들을 분석하여 상기 복수의 댁내 단말의 주소 정보를 획득하는 단계, 상기 관리 장치가, MAC(Media Access Control) 주소가 변조된 제2 ARP 응답 패킷들을 생성하는 단계, 그리고 상기 관리 장치가, 상기 제2 ARP 응답 패킷들을 상기 복수의 댁내 단말에 전송함으로써, 상기 복수의 댁내 단말의 ARP 테이블에서 각 댁내 단말의 MAC 주소를 변조시키는 단계를 포함할 수 있다. 상기 제2 ARP 응답 패킷은, 각 ARP 테이블에서 MAC 주소를 변조하고자 하는 댁내 단말의 IP 주소와 변조된 MAC 주소를 출발지 주소 정보로 포함하는 ARP 응답 패킷일 수 있다. 상기 변조된 MAC 주소는 통신이 불가능한 MAC 주소일 수 있다.
상기 네트워크는, 서로 다른 네트워크 장치가 연결된 복수의 서브넷 각각에 대한 VLAN(Virtual Local Area Network) 대역 할당 정책 및 통신 허용 정책을 포함하는 액세스 관리 정책을 관리하는 정책 서버와, 상기 복수의 댁내 단말을 포함하는 복수의 네트워크 장치를 포함할 수 있다. 상기 접근 통제 방법은, 상기 관리 장치가, 상기 복수의 네트워크 장치에 MAC 주소가 변조된 제3 ARP 응답 패킷을 전송하여, 상기 복수의 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 상기 관리 장치의 MAC 주소로 변조시키는 단계, 상기 관리 장치가, 상기 복수의 네트워크 장치로부터 게이트웨이로 전송된 패킷을 수신하는 단계, 그리고, 상기 관리 장치가, 상기 액세스 관리 정책에 기초해 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하는 단계를 더 포함할 수 있다.
상기 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하는 단계는, 상기 통신 허용 정책에서 상기 수신된 패킷의 목적지 IP 주소가 속한 VLAN 대역과 상기 수신된 패킷의 출발지 IP 주소가 속한 VLAN 대역 간의 통신이 금지된 경우, 상기 수신된 패킷을 폐기하는 단계를 포함할 수 있다.
상기 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하는 단계는, 상기 통신 허용 정책에서 상기 수신된 패킷의 목적지 IP 주소가 속한 VLAN 대역과 상기 수신된 패킷의 출발지 IP 주소가 속한 VLAN 대역 간의 통신을 허용하는 경우, 상기 수신된 패킷을 상기 게이트웨이로 전달하는 단계를 포함할 수 있다.
상기 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하는 단계는, 상기 수신된 패킷의 목적지 IP 주소가 상기 네트워크의 외부 네트워크에 속하면, 상기 수신된 패킷을 상기 게이트웨이에 전달하는 단계를 포함할 수 있다.
상기 통신 허용 정책은, 상기 복수의 댁내 단말이 속한 서브넷들 간에는 통신이 금지되도록 설정될 수 있다.
상기 접근 통제 방법은, 상기 관리 장치가, 상기 수신된 패킷으로부터 패킷을 전송한 네트워크 장치의 주소 정보를 획득하는 단계, 그리고 상기 관리 장치가, 상기 수신된 패킷으로부터 획득한 주소 정보와 상기 정책 서버에서 관리하는 주소 정보를 비교하여 신규 네트워크 장치를 검출하는 단계를 더 포함할 수 있다.
상기 액세스 관리 정책은, 상기 신규 네트워크 장치의 인가 여부를 결정하기 위한 정책을 더 포함할 수 있다. 상기 접근 통제 방법은, 상기 정책 서버가, 상기 액세스 관리 정책 또는 관리자로부터 입력되는 제어 입력에 기초해 상기 신규 네트워크 장치의 인가 여부를 결정하는 단계, 그리고 상기 관리 장치가, 상기 신규 네트워크 장치가 비 인가된 장치이면, 상기 신규 네트워크 장치의 ARP 테이블에서 다른 네트워크 장치의 MAC 주소를 통신이 불가능한 MAC 주소로 변조하기 위한 제4 ARP 요청 패킷을 상기 신규 네트워크 장치에 전송하는 단계를 더 포함할 수 있다.
상기 접근 통제 방법은, 상기 관리 장치가, 상기 신규 네트워크 장치가 비 인가된 장치이면, 상기 신규 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 통신이 불가능한 MAC 주소 또는 상기 관리 장치의 MAC 주소로 변조하기 위한 제5 ARP 요청 패킷을 상기 신규 네트워크 장치에 전송하는 단계를 더 포함할 수 있다.
상기 액세스 관리 정책은, 주소 도용 장치에 대한 차단 정책을 더 포함할 수 있다. 상기 접근 통제 방법은, 상기 관리 장치가, 상기 수신된 패킷으로부터 획득한 주소 정보와 상기 정책 서버에서 관리하는 주소 정보를 비교하여 상기 네트워크에 등록된 다른 네트워크 장치의 주소를 도용한 상기 주소 도용 장치를 검출하는 단계, 그리고 상기 관리 장치가, 상기 차단 정책에 기초해 상기 주소 도용 장치를 상기 네트워크로부터 차단하는 단계를 더 포함할 수 있다.
상기 접근 통제 방법에서, 상기 관리 장치는, L3 스위치의 802.1Q 태그드 포트(802.1Q Tagged port)에 연결될 수 있다.
또한, 일 실시 예에 따른 서로 다른 세대에 위치하는 복수의 댁내 단말을 포함하는 네트워크에서의 접근 통제 시스템은, ARP(Address Resolution Protocol) 요청 패킷들을 상기 복수의 댁내 단말에 전송하고, 상기 ARP 요청 패킷에 대응하여 수신되는 제1 ARP 응답 패킷들을 분석하여 상기 복수의 댁내 단말의 주소 정보를 획득하며, MAC(Media Access Control) 주소가 변조된 제2 ARP 응답 패킷들을 상기 복수의 댁내 단말에 전송함으로써, 상기 복수의 댁내 단말의 ARP 테이블에 등록된 각 댁내 단말의 MAC 주소를 변조시켜 상기 복수의 댁내 단말 간의 통신을 차단하는 관리 장치를 포함할 수 있다. 상기 제2 ARP 응답 패킷은, 각 ARP 테이블에서 MAC 주소를 변조하고자 하는 댁내 단말의 IP 주소와 변조된 MAC 주소를 출발지 주소 정보로 포함하는 ARP 응답 패킷일 수 있다. 상기 변조된 MAC 주소는 통신이 불가능한 MAC 주소일 수 있다.
상기 접근 통제 시스템은, 상기 네트워크를 구성하는 복수의 서브넷 각각에 대한 VLAN(Virtual Local Area Network) 대역 할당 정책 및 통신 허용 정책을 포함하는 액세스 관리 정책을 관리하는 정책 서버를 더 포함할 수 있다. 상기 관리 장치는, 상기 네트워크에 등록된 복수의 네트워크 장치에 MAC 주소가 변조된 제3 ARP 응답 패킷을 전송하여 상기 복수의 네트워크 장치의 ARP 테이블에 등록된 게이트웨이의 MAC 주소를 상기 관리 장치의 MAC 주소로 변조시키고, 상기 복수의 네트워크 장치로부터 패킷이 수신되면 상기 액세스 관리 정책에 기초해 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하며, 상기 복수의 네트워크 장치는, 상기 복수의 댁내 단말을 포함할 수 있다.
상기 관리 장치는, 상기 통신 허용 정책에서 상기 수신된 패킷의 목적지 IP 주소가 속한 VLAN 대역과 상기 수신된 패킷의 출발지 IP 주소가 속한 VLAN 대역 간의 통신이 금지된 경우, 상기 수신된 패킷을 폐기할 수 있다.
상기 관리 장치는, 상기 통신 허용 정책에서 상기 수신된 패킷의 목적지 IP 주소가 속한 VLAN 대역과 상기 수신된 패킷의 출발지 IP 주소가 속한 VLAN 대역 간의 통신을 허용하거나, 상기 수신된 패킷의 목적지 IP 주소가 상기 네트워크의 외부 네트워크에 속하면, 상기 수신된 패킷을 상기 게이트웨이에 전달할 수 있다.
상기 통신 허용 정책은, 상기 복수의 댁내 단말이 속한 서로 다른 서브넷 간에는 통신이 금지되도록 설정될 수 있다.
상기 정책 서버는, 상기 복수의 네트워크 장치의 주소 정보를 관리하며, 상기 관리 장치는, 상기 수신된 패킷으로부터 패킷을 전송한 네트워크 장치의 주소 정보를 획득하고, 상기 수신된 패킷으로부터 획득한 주소 정보와 상기 정책 서버에서 관리하는 주소 정보를 비교하여 신규 네트워크 장치를 검출할 수 있다.
상기 액세스 관리 정책은, 상기 신규 네트워크 장치의 인가 여부를 결정하기 위한 정책을 더 포함할 수 있다. 상기 정책 서버는, 상기 액세스 관리 정책 또는 관리자로부터 입력되는 제어 입력에 기초해 상기 신규 네트워크 장치의 인가 여부를 결정할 수 있다. 상기 관리 장치는, 상기 신규 네트워크 장치가 비 인가된 장치이면, 상기 신규 네트워크 장치의 ARP 테이블에서 다른 네트워크 장치의 MAC 주소를 통신이 불가능한 MAC 주소로 변조하기 위한 제4 ARP 요청 패킷을 상기 신규 네트워크 장치에 전송할 수 있다.
상기 관리 장치는, 상기 신규 네트워크 장치가 비 인가된 장치이면, 상기 신규 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 통신이 불가능한 MAC 주소 또는 상기 관리 장치의 MAC 주소로 변조하기 위한 제5 ARP 요청 패킷을 상기 신규 네트워크 장치에 전송할 수 있다.
상기 액세스 관리 정책은, 주소 도용 장치에 대한 차단 정책을 더 포함할 수 있다. 상기 관리 장치는, 상기 수신된 패킷으로부터 획득한 주소 정보와 상기 정책 서버에서 관리하는 주소 정보를 비교하여 상기 네트워크에 등록된 다른 네트워크 장치의 주소를 도용한 상기 주소 도용 장치를 검출하며, 상기 차단 정책에 기초해 상기 주소 도용 장치를 상기 네트워크로부터 차단할 수 있다.
상기 관리 장치는, L3 스위치의 802.1Q 태그드 포트(802.1Q Tagged port)에 연결될 수 있다.
본 개시에 따르면 아파트 단지 내 세대별로 설치된 월 패드 등의 댁내 단말에 대한 불법적인 접근을 효과적으로 차단할 수 있다.
도 1은 일 실시 예에 따른 아파트 단지 내 네트워크를 개략적으로 도시한다.
도 2는 일 실시 예에 따른 접근 통제 시스템을 개략적으로 도시한다.
도 3은 일 실시 예에 따른 네트워크에서의 접근 통제 방법을 개략적으로 도시한다.
도 4는 일 실시 예에 따른 네트워크에서 주소 도용 장치의 접근을 차단하는 방법을 개략적으로 도시한다.
이하, 첨부된 도면을 참조하여 본 명세서에 개시된 실시 예를 상세히 설명하되, 동일하거나 유사한 구성요소에는 동일, 유사한 도면 부호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다. 이하의 설명에서 사용되는 구성요소에 대한 접미사 "모듈" 및 "부"는 명세서 작성의 용이함만이 고려되어 부여되거나 혼용되는 것으로서, 그 자체로 서로 구별되는 의미 또는 역할을 갖는 것은 아니다. 또한, 본 명세서에 개시된 실시 예를 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 본 명세서에 개시된 실시 예의 요지를 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다. 또한, 첨부된 도면은 본 명세서에 개시된 실시 예를 쉽게 이해할 수 있도록 하기 위한 것일 뿐, 첨부된 도면에 의해 본 명세서에 개시된 기술적 사상이 제한되지 않으며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.
제1, 제2 등과 같이 서수를 포함하는 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 구성요소들은 이 용어들에 의해 한정되지는 않는다. 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다.
단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다.
본 출원에서, "포함한다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
도 1은 일 실시 예에 따른 아파트 단지 내 네트워크를 개략적으로 도시한다.
도 1을 참조하면, 아파트 단지 내 네트워크(1)에서 외부 네트워크(인터넷)와 송수신 되는 패킷들은 방화벽(11) 및 L3 스위치(12)를 통과한다. 방화벽(11)은 네트워크(1)의 보안을 담당하며, 네트워크 내부로 들어오거나 외부로 나가는 유해 트래픽을 차단하는 기능을 수행할 수 있다. L3 스위치(12)는 네트워크(1)에서 인터넷에 연결하고자 하는 노드들의 중심에 위치하는 백본 스위치(backbone switch)로 작동할 수 있다. 이 경우, 네트워크(1)와 인터넷 사이에 송수신 되는 모든 패킷들이 L3 스위치(12)를 통과하게 된다. L3 스위치(12)는 네트워크(1)의 게이트웨이(gateway)로서 작동할 수도 있다. 게이트웨이는 각 패킷에 포함된 목적지 IP 주소에 기초해, 인터넷과 네트워크(1) 사이, 또는 네트워크(1)를 구성하는 서브넷들 사이에서 패킷을 전달할 수 있다.
네트워크(1)는 적어도 하나의 서브넷(subnet)(20)을 포함할 수 있다.
아파트 단지 내 네트워크(1)에서 각 서브넷(20)은 같은 동에 위치하는 댁내 단말(22)들 및 이들 사이의 통신을 지원하는 적어도 하나의 L2 스위치(21)를 포함할 수 있다. 동일한 서브넷(20)에 속하는 댁내 단말(22)들 즉, 같은 동에 속하는 댁내 단말(22)들 간의 통신은 L2 스위치(21)를 통한 직접 통신에 해당할 수 있다. 서로 다른 서브넷(20)에 속하는 댁내 단말(22)들 즉, 서로 다른 동에 속하는 댁내 단말(22)들 간의 통신은 L3 스위치(12)의 게이트웨이를 통한 서브넷(20) 간 통신에 해당할 수 있다. 댁내 단말(22)은 각 세대 내에 위치하는 네트워크 장치로서, 아파트 단지/세대 내 정보 제공 기능, 아파트 단지/세대 내 설비 제어 기능, 통화 기능 등 다양한 기능을 수행할 수 있다. 댁내 단말(22)은 예를 들어, 비디오 폰, 도어 폰, 월 패드 등을 포함할 수 있다.
네트워크(1)는 댁내 단말(22) 외에도 아파트 단지 내에서 네트워크(1)를 통해 관리되는 각종 공용 시스템(예를 들어, CCTV(31), 주차관리 시스템(32), 단지 출입문(33), 공동 현관문(34) 등)을 포함할 수 있다. 네트워크(1)는 단지 서버(41), 통화 서버(42) 등 아파트 단지 내 위치하는 각종 서버를 더 포함할 수 있다.
네트워크(1)에서, 공용 시스템들(예를 들어, CCTV(31), 주차관리 시스템(32), 단지 출입문(33), 공동 현관문(34) 등)과 각종 서버들(예를 들어, 단지 서버(41), 통화 서버(42) 등)은 적어도 하나의 서브넷(30, 40)을 구성할 수 있다. 네트워크(1)에서 각 서브넷(20, 30, 40)은 가상 랜(Virtual Local Area Network, VLAN) 대역으로 구분될 수 있다. 즉, 서브넷들(20, 30, 40)에는 서로 다른 VLAN 대역이 할당될 수 있다.
아래에서는, 설명의 편의를 위해, 네트워크(1)에 속하는 댁내 단말(22), 공용 시스템(CCTV(31), 주차관리 시스템(32), 단지 출입문(33), 공동 현관문(34) 등), 및 서버(단지 서버(41), 통화 서버(42) 등)를 '네트워크 장치'로 통칭할 수도 있다.
네트워크(1)는 네트워크(1)에 속하는 네트워크 장치에 대한 불법적인 접근을 차단하기 위해 정책 서버(43) 및 관리 장치(13)를 더 포함할 수 있다.
도 2는 일 실시 예에 따른 아파트 단지 내 네트워크(1)에서 네트워크 장치에 대한 접근을 통제하기 위한 접근 통제 시스템을 개략적으로 도시한다.
도 2를 참조하면, 접근 통제 시스템(100)은 전술한 도 1의 L3 스위치(12), 관리 장치(13) 및 정책 서버(43)를 포함할 수 있다.
관리 장치(13) 및 정책 서버(43)는 L3 스위치(12)에 연결되며, L3 스위치(12)를 통해 서로 통신할 수 있다.
정책 서버(43)는 네트워크(1)에서 네트워크 액세스에 대한 정책(액세스 관리 정책) 및 네트워크 장치들의 장치 정보를 설정하고 관리하는 기능을 수행할 수 있다.
정책 서버(43)는 데이터베이스(431) 및 정책 관리부(432)를 포함할 수 있다.
데이터베이스(431)는 네트워크(1)에서의 네트워크 액세스에 대한 연결 인증, 권한 부여, 계정 작업 등을 위한 정책(액세스 관리 정책) 정보를 저장할 수 있다. 액세스 관리 정책은, 네트워크(1)를 구성하는 각 서브넷(20, 30, 40)에 대한, VLAN 대역(또는 서브넷 대역) 할당 정책, 통신 허용 정책(각 VLAN 대역에 대한 통신 허용 정책, VLAN 대역 간의 통신 허용 정책)을 포함할 수 있다. 예를 들어, 통신 허용 정책은, 댁내 단말(22)들이 속한 서로 다른 서브넷(20) 간에는 통신이 차단되고, 댁내 단말(22)들이 속하는 서브넷(20)과 주차관리 시스템(32)이 속한 서브넷(30) 간에는 통신이 가능하도록 설정될 수 있다. 액세스 관리 정책은 네트워크(1)에 새로이 접속을 시도하는 네트워크 장치의 인가 여부를 결정하기 위한 정책, 네트워크(1)에 의해 비인가 되거나, 다른 네트워크 장치의 주소를 도용한 장치에 대한 차단 정책 등을 더 포함할 수 있다.
데이터베이스(431)는 네트워크(1)에 등록된 각 네트워크 장치의 장치 정보를 더 포함할 수 있다. 장치 정보는, 각 네트워크 장치의 주소 정보(IP 주소 및 MAC 주소), 상태 정보(온라인/오프라인), 인증 정보(인가/비인가), 차단 여부 등을 포함할 수 있다.
정책 관리부(432)는 데이터베이스(431)에 저장되는 정책 정보를 설정 및 관리할 수 있다. 정책 관리부(432)는 관리자로부터 수신되는 제어 입력에 기초해 정책 정보를 설정 및 관리할 수 있다.
정책 관리부(432)는 데이터베이스(431)에 저장되는 장치 정보를 설정 및 관리할 수도 있다. 정책 관리부(432)는 관리 장치(13)로부터 각 네트워크 장치의 주소 정보, 상태 정보 등을 수신하고, 수신된 정보들에 기초해 장치 정보를 설정 및 관리할 수 있다.
정책 관리부(432)는 관리 장치(13)로부터 신규 네트워크 장치의 검출이 통지되면, 관리 장치(13)로부터 수신되는 신규 네트워크 장치의 정보에 기초해 신규 네트워크 장치의 인가 여부를 결정할 수 있다. 정책 관리부(432)는 데이터베이스(431)에 저장된 정책 정보에 기초해 신규 네트워크 장치의 인가 여부를 결정할 수 있다. 정책 관리부(432)는 신규 네트워크 장치의 검출을 관리자에게 통지하고, 이후 관리자로부터 수신되는 제어 입력에 기초해 해당 네트워크 장치의 인가 여부를 결정할 수도 있다.
정책 관리부(432)는 또한 신규 네트워크 장치에 대한 인가 여부가 결정되면, 대응하는 인가 정보를 관리 장치(13)에 전송할 수도 있다.
관리 장치(13)는 ARP(Address Resolution Protocol) 패킷 변조 및 패킷 포워딩을 사용해 네트워크(1)에 대한 접근을 통제할 수 있다.
관리 장치(13)는 저장부(131), 송수신부(132), 및 제어부(133)를 포함할 수 있다.
저장부(131)는 관리 장치(13)에서 처리되는 각종 정보, 데이터 등을 저장할 수 있다. 저장부(131)는 정책 서버(43)로부터 수신되는 정보(정책 정보, 장치 정보 등)를 저장할 수 있다. 저장부(131)는 후술하는 제어부(133)에 의해 획득되는 각 네트워크 장치의 주소 정보, 상태 정보 등을 저장할 수도 있다. 저장부(131)는 송수신부(132)를 통해 송수신되는 패킷들을 임시 저장할 수도 있다.
송수신부(132)는 네트워크(1)에 속한 다른 장치와 관리 장치(13) 사이에서 정보, 패킷 등을 송수신할 수 있다.
송수신부(132)는 정책 서버(43)로부터 정책 정보, 장치 정보 등을 수신할 수 있다. 송수신부(132)는 정책 서버(43)에 이벤트 발생을 통지하고, 관리 장치(13)에 의해 획득된 네트워크 장치의 상태 정보, 주소 정보 등을 정책 서버(43)에 전송할 수도 있다.
송수신부(132)는 네트워크(1) 내에서 L3 스위치(12)를 통해 전달되는 패킷들(ARP 패킷, UDP(User Datagram Protocol) 패킷, TCP(Transmission Control Protocol) 패킷 등)을 수집할 수 있다. 송수신부(132)는 L3 스위치(12)의 802.1Q 태그드 포트(802.1Q Tagged port)(또는 트렁크 포트(trunk port))에 연결될 수 있다. L3 스위치(12)의 802.1Q 태그드 포트는, 다수의 VLAN 대역 트래픽이 통과하는 포트이다. 위에서 설명한 바와 같이, 네트워크(1)의 각 서브넷(20, 30, 40)에는 서로 다른 VLAN 대역이 할당될 수 있다. 따라서, 관리 장치(13)가 L3 스위치(12)를 통해 전달되는 모든 서브넷(20, 30, 40)의 패킷들을 수집하기 위해서는, 서브넷(20, 30, 40)들에 할당된 모든 VLAN 대역에 접근할 수 있어야 하며, 이를 위해 송수신부(132)는 L3 스위치(12)의 802.1Q 태그드 포트에 연결될 수 있다.
송수신부(132)는 네트워크(1)에 접속하는 각 네트워크 장치(예를 들어, 댁내 단말(22))와 ARP 패킷(ARP 요청(request) 패킷, ARP 응답(response) 패킷 등)을 송수신할 수도 있다.
송수신부(132)는 다른 네트워크 장치로부터 수신한 패킷을 게이트웨이(예를 들어, 게이트웨이 기능을 수행하는 L3 스위치(12))로 포워딩(forwarding)할 수도 있다.
제어부(133)는 관리 장치(13)의 전반적인 작동을 제어할 수 있다.
제어부(133)는 관리 장치(13)의 작동이 개시되면, 정책 서버(43)로부터 정책 정보, 네트워크 장치들의 장치 정보 등을 수신하여, 저장부(131)에 저장할 수 있다.
또한, 제어부(133)는 각 VLAN 대역(서브넷 대역) 별로 ARP 요청 패킷을 전송하여, 각 VLAN 대역(서브넷 대역)에 연결된 네트워크 장치들의 정보(주소 정보, 상태 정보 등)를 획득할 수 있다.
제어부(133)는 정보를 확인하고자 하는 네트워크 장치의 IP 주소를 목적지 주소 정보로 포함하는 ARP 요청 패킷을 해당 네트워크 장치가 속한 서브넷으로 브로드캐스팅할 수 있다. 그런 다음, 제어부(133)는 전송된 ARP 요청 패킷에 대한 ARP 응답 패킷이 수신되는지 여부에 기초하여 대응하는 네트워크 장치의 상태 정보를 결정할 수 있다. 즉, 제어부(133)는 소정 시간 동안 ARP 요청 패킷을 적어도 1회 이상 전송한 후, 대응하는 네트워크 장치로부터 소정 시간 내에 ARP 응답 패킷이 수신되지 않은 경우, 해당 네트워크 장치가 오프라인 상태인 것으로 판단할 수 있다. 제어부(133)는 ARP 요청 패킷을 전송한 후 소정 시간 내에 대응하는 네트워크 장치로부터 ARP 응답 패킷이 수신되면, 해당 네트워크 장치가 온라인 상태인 것으로 판단할 수 있다. 제어부(133)는 각 네트워크 장치의 상태가 온라인 또는 오프라인으로 결정되면, 결정된 상태를 토대로 각 네트워크 장치의 상태 정보를 설정하고, 이를 저장부(131)에 저장할 수 있다. 여기서, 온라인 상태는 해당 네트워크 장치와 네트워크(1) 간의 연결이 활성화된 상태를 나타내고, 오프라인 상태는 해당 네트워크 장치와 네트워크(1) 간의 연결이 비활성화된 상태를 나타낼 수 있다.
제어부(133)는 상태 정보가 획득되면, 이를 해당 네트워크 장치의 이전 상태 정보와 비교하여 상태 변경 이벤트를 검출할 수도 있다. 여기서, 해당 네트워크 장치의 이전 상태 정보는, 정책 서버(43)로부터 수신한 해당 네트워크 장치의 장치 정보, 또는 저장부(131)에 저장된 해당 네트워크 장치의 이전 상태 정보로부터 획득할 수 있다. 제어부(133)는 오프라인 상태에서 온라인 상태, 또는 온라인 상태에서 오프라인 상태로 상태가 변경된 네트워크 장치가 검출되면, 해당 네트워크 장치에 대해 상태 변경 이벤트가 발생한 것으로 결정할 수 있다. 제어부(133)는 적어도 하나의 네트워크 장치에서 상태 변경 이벤트 발생이 검출되면, 상태 변경 이벤트 발생을 정책 서버(43)에 통지할 수 있다. 또한, 제어부(133)는 정책 서버(43)에 저장된 장치 정보를 업데이트하도록 업데이트된 상태 정보를 정책 서버(43)에 전달할 수 있다.
제어부(133)는 ARP 요청 패킷을 네트워크 장치들에 전송한 후 이에 대한 ARP 응답 패킷이 수신되면, 수신된 ARP 응답 패킷을 분석하여 각 네트워크 장치의 주소 정보(IP 주소 및 MAC 주소)를 획득할 수도 있다. 관리 장치(13)로부터 전송된 ARP 요청 패킷의 목적지 주소 정보로부터 자신의 IP 주소를 확인한 네트워크 장치는, 자신의 IP 주소 및 MAC 주소를 출발지 주소 정보로 포함하는 ARP 응답 패킷을 전송할 수 있다. 따라서, 제어부(133)는 ARP 응답 패킷이 수신되면, 해당 응답 패킷에 포함된 출발지 주소 정보(출발지 IP 주소 및 출발지 MAC 주소)로부터 대응하는 네트워크 장치의 주소 정보(IP 주소 및 MAC 주소)를 획득할 수 있다.
제어부(133)는 전술한 방식으로 아파트 단지 내 각 세대에 설치된 댁내 단말(22)들의 상태 정보 및 주소 정보를 수집할 수 있으며, 각 댁내 단말(22)이 어느 서브넷(20)(VLAN 대역)에 속하는지 또한 확인할 수 있다.
제어부(133)는 전술한 방식으로 수집된 정보들에 기초해 각 서브넷(20)에 연결된 댁내 단말(22)들을 식별하고, ARP 패킷 변조를 사용해 동일한 서브넷(20)에 속하는 서로 다른 세대의 댁내 단말(22)간의 통신을 차단할 수 있다.
제어부(133)는 각 댁내 단말(22)의 주소 정보에 기초해, 각 댁내 단말(22)의 ARP 테이블에서 MAC 주소들을 변조시키기 위한 변조된 ARP 응답 패킷들을 생성할 수 있다. 각각의 변조된 ARP 응답 패킷은, MAC 주소 변조 대상인 댁내 단말(22)의 IP 주소와 변조된 MAC 주소를 출발지 주소 정보로 포함할 수 있다. 변조된 MAC 주소는 통신에 부적합한 의미 없는 MAC 주소일 수 있다.
제어부(133)는 변조된 ARP 응답 패킷이 생성되면, 이를 MAC 주소 변조 대상인 댁내 단말(22)이 속한 서브넷(20)으로 전송할 수 있다. 이에 따라, 변조된 ARP 응답 패킷을 수신하게 된 같은 서브넷(20)의 다른 댁내 단말(22)들은 수신된 ARP 응답 패킷에 포함된 출발지 주소 정보에 기초해 자신에 저장된 ARP 테이블을 업데이트할 수 있다. 즉, 변조된 ARP 응답 패킷을 수신한 각 댁내 단말(22)은, 수신된 ARP 응답 패킷으로부터 출발지 IP 주소 및 출발지 MAC 주소를 획득하고, 자신의 ARP 테이블에서 출발지 IP 주소에 대응하는 MAC 주소를 출발지 MAC 주소로 변경할 수 있다.
각 네트워크 장치의 ARP 테이블은, 해당 네트워크 장치와 동일한 브로드캐스트 도메인(예를 들어, 서브넷)에 속한 네트워크 장치들의 주소 정보(IP 주소 및 MAC 주소)와 해당 네트워크 장치가 연결되는 게이트웨이의 주소 정보(IP 주소 및 MAC 주소)를 포함할 수 있다. 각 댁내 단말(22)은 동일한 서브넷(20)에 속한 다른 댁내 단말(22)과 통신하기 위해 이 ARP 테이블에 저장된 상대측 댁내 단말(22)의 주소 정보를 참조한다. 따라서, 동일한 서브넷(20)에 속한 댁내 단말(22)들이 다른 댁내 단말(22)과 통신하기 위해 참조하는 ARP 테이블의 MAC 주소들을 통신이 불가능한 MAC 주소로 변조시킬 경우, 댁내 단말(22)은 같은 서브넷(20)에 속한 다른 댁내 단말(22)의 올바른 MAC 주소를 알 수 없어 다른 댁내 단말(22)과의 직접 통신이 불가능하게 된다.
제어부(133)는 ARP 패킷 변조 및 패킷 포워딩(forwarding)을 사용해 서로 다른 서브넷에 속한 네트워크 장치 사이의 접근을 통제할 수도 있다.
제어부(133)는 접근 통제가 필요한 각 서브넷에 대해 게이트웨이(예를 들어, L3 스위치(12))의 MAC 주소를 관리 장치(13)의 MAC 주소로 변조하기 위해 변조된 ARP 응답 패킷을 생성하고, 변조된 ARP 응답 패킷을 각 서브넷에 전송할 수 있다. 변조된 ARP 응답 패킷은, 게이트웨이(L3 스위치(12))의 IP 주소와 관리 장치(13)의 MAC 주소를 출발지 주소 정보로 포함할 수 있다. 이를 수신한 각 네트워크 장치는 자신에 저장된 ARP 테이블에서 게이트웨이의 MAC 주소를 관리 장치(13)의 MAC 주소로 업데이트할 수 있다. 이에 따라, 특정 네트워크 장치가 자신이 속한 서브넷의 외부(다른 서브넷 또는 네트워크(1)의 외부 네트워크)로 향하는 패킷을 전송하면, 이는 L3 스위치(12)의 게이트웨이가 아닌 관리 장치(13)로 전달될 수 있다. 즉, 제어부(133)는 각 네트워크 장치가 자신이 속한 서브넷의 외부(인터넷 또는 다른 서브넷)로 패킷을 전송하면, 전송된 패킷을 게이트웨이 대신 수신할 수 있다.
제어부(133)는 게이트웨이 대신 패킷을 수신하면, 수신된 패킷의 출발지 IP 주소 및 목적지 IP 주소에 기초해 수신된 패킷의 출발지 서브넷과 목적지 서브넷을 확인할 수 있다. 또한, 제어부(133)는 정책 서버(43)로부터 수신한 정책 정보(VLAN 대역(또는 서브넷 대역) 간의 통신 허용 정책)에 기초해, 출발지 서브넷에서 목적지 서브넷으로의 접근이 허용된 상태인지를 확인할 수 있다. 제어부(133)는 통신 허용 정책에서 출발지 서브넷에서 목적지 서브넷으로의 접근이 금지된 상태이면, 해당 패킷을 포워딩 하지 않고 폐기하여 접근을 차단할 수 있다. 예를 들어, 댁내 단말(22)이 다른 동(다른 서브넷(20))에 속한 댁내 단말(22)에 접속하기 위해 패킷을 전송한 경우가 이 경우에 해당하며, 이 경우 댁내 단말(22)로부터 전송된 패킷은 폐기되어 전달이 차단될 수 있다. 제어부(133)는 통신 허용 정책에서 출발지 서브넷에서 목적지 서브넷으로의 접근이 허용된 상태이면, 해당 패킷이 목적지에 정상적으로 전달되도록 해당 패킷을 게이트웨이(L3 스위치(12))로 포워딩 할 수 있다. 예를 들어, 댁내 단말(22)이 아파트 단지 내 공통으로 사용되는 네트워크 장치(예를 들어, CCTV(31), 주차관리 시스템(32), 단지 출입문(33), 공동 현관문(34) 등)에 접속하기 위해 패킷을 전송한 경우가 이 경우에 해당하며, 이 경우 댁내 단말(22)로부터 전송된 패킷은 목적지에 정상적으로 전달하기 위해 게이트웨이로 포워딩 된다.
제어부(133)는 수신된 패킷이 네트워크(1)의 외부 네트워크로 전송되는 패킷인 경우에도, 해당 패킷이 정상적으로 전달되도록 게이트웨이(L3 스위치(12))로 포워딩 할 수 있다.
게이트웨이(L3 스위치(12)는 관리 장치(13)로부터 패킷이 포워딩 되면, 포워딩 된 패킷의 목적지 주소를 확인하여 해당 패킷을 목적지인 서브넷 또는 외부 네트워크로 전송할 수 있다.
제어부(133)는 네트워크 장치들로부터 수신되는 패킷들을 지속적으로 분석하여 각 네트워크 장치의 상태 정보를 업데이트할 수 있다. 제어부(133)는 패킷이 수신되면, 수신된 패킷의 출발지 주소 정보에 기초해 해당 패킷을 전송한 네트워크 장치가 정책 서버(43)에 이미 등록된 네트워크 장치인지 확인할 수 있다. 제어부(133)는 패킷을 전송한 네트워크 장치가 이미 등록된 네트워크 장치이면 해당 네트워크 장치가 온라인 상태인 것으로 확인할 수 있다. 또한, 제어부(133)는 정책 서버(43)에 등록된 네트워크 장치들(즉, 정책 서버(43)의 장치 정보에 주소 정보가 등록된 네트워크 장치들) 중 소정 시간 동안 패킷을 전송하지 않은 네트워크 장치가 확인되면, 전술한 바와 같이 ARP 패킷을 사용해 해당 네트워크 장치의 상태를 확인할 수 있다. 즉, 제어부(133)는 해당 네트워크 장치의 상태 확인을 위한 ARP 요청 패킷을 전송하고, 이에 대한 ARP 응답 패킷의 수신 여부에 기초해 해당 네트워크 장치의 상태를 확인할 수 있다.
제어부(133)는 네트워크 장치들로부터 수신되는 패킷들을 지속적으로 분석하여 네트워크(1)에 새로 접속을 시도하는 신규 네트워크 장치를 검출할 수도 있다. 제어부(133)는 네트워크 장치로부터 패킷이 수신되면, 수신된 패킷으로부터 출발지 주소 정보(출발지 IP 주소 및 출발지 MAC 주소)를 획득하고, 이를 기 등록된 네트워크 장치들의 주소 정보와 비교하여 해당 패킷을 전송한 네트워크 장치가 신규 장치인지를 확인할 수 있다. 제어부(133)는 기 등록된 네트워크 장치들의 주소 정보 중에서, 수신된 패킷으로부터 획득한 출발지 주소 정보와 동일한 주소 정보가 검색되지 않으면, 해당 패킷을 전송한 네트워크 장치가 네트워크(1)에 새로 연결된 신규 장치인 것으로 판단할 수 있다. 제어부(133)는 패킷을 전송한 네트워크 장치가 신규 장치인 것으로 확인되면, 정책 서버(43)에 신규 장치 검출 이벤트 발생을 통지하고, 해당 네트워크 장치의 주소 정보(IP 주소 및 MAC 주소)를 정책 서버(43)에 전송할 수도 있다.
정책 서버(43)는 관리 장치(13)로부터 신규 네트워크 장치의 검출이 통지되면, 액세스 관리 정책 또는 관리자로부터 수신되는 제어 입력에 기초해 신규 네트워크 장치에 대한 인가 여부를 결정할 수 있다. 정책 서버(43)는 신규 네트워크 장치가 인가되면, 신규 네트워크 장치를 네트워크(1)에 등록하고 신규 네트워크 장치의 주소 정보를 데이터베이스(431) 내 장치 정보에 포함시킬 수 있다. 또한, 정책 서버(43)는 신규 네트워크 장치의 인가 유무를 나타내는 정보를 관리 장치(13)에 전송할 수 있다.
제어부(133)는 신규 네트워크 장치에 대한 인가 정보(인가/비인가)를 정책 서버(43)로부터 수신하면, 신규 네트워크 장치의 인가 여부에 따라서 네트워크(1)에 대한 신규 네트워크 장치의 접근을 차단할 수 있다. 제어부(133)는 신규 네트워크 장치가 비 인가된 장치인 경우, 변조된 ARP 응답 패킷을 사용하여 비 인가된 네트워크 장치의 ARP 테이블에서 비 인가된 네트워크 장치와 동일한 서브넷에 속하는 네트워크 장치들의 MAC 주소를 통신이 불가능한 의미 없는 MAC 주소로 변조할 수 있다. 즉, 제어부(133)는 비 인가된 네트워크 장치와 동일한 서브넷에 속하는 각 네트워크 장치의 MAC 주소를 의미 없는 주소로 변조하기 위한 변조된 ARP 응답 패킷을 생성하고, 이를 비 인가된 네트워크 장치가 속한 서브넷으로 전송할 수 있다. 이를 수신한 비 인가된 네트워크 장치는, 변조된 ARP 응답 패킷으로부터 획득한 주소 정보에 기초해 자신의 ARP 테이블을 업데이트하고, 이로 인해 비 인가된 네트워크 장치가 해당 네트워크 장치의 올바른 MAC 주소를 확인할 수 없게 된다.
제어부(133)는 비 인가된 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 의미 없는 주소로 변조시킴으로써, 비 인가된 네트워크 장치가 자신이 속한 서브넷 외부의 네트워크 장치에 접근하는 것을 차단할 수도 있다. 즉, 제어부(133)는 게이트웨이(예를 들어, L3 스위치(12))의 MAC 주소를 의미 없는 MAC 주소로 변조하기 위한 ARP 응답 패킷을 전송하여, 비 인가된 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 의미 없는 MAC 주소로 변조시킬 수 있다. 이에 따라, 비 인가된 네트워크 장치는, 자신이 속한 서브넷의 다른 네트워크 장치 뿐만 아니라, 게이트웨이를 통해 접근해야 하는 다른 서브넷의 네트워크 장치 와도 통신이 차단될 수 있다.
제어부(133)는 전술학 패킷 포워딩 방식을 사용하여 비 인가된 네트워크 장치가 다른 네트워크 장치에 접근하는 것을 차단할 수도 있다. 제어부(133)는 비 인가된 네트워크 장치가 검출되면, 비 인가된 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 관리 장치(13)의 MAC 주소로 변조시키기 위한 ARP 응답 패킷을 비 인가된 네트워크 장치가 속한 서브넷으로 전송할 수 있다. 이에 따라, 비 인가된 네트워크 장치 내 ARP 테이블에서 게이트웨이의 MAC 주소는 관리 장치(13)의 MAC 주소로 변조되고, 비 인가된 네트워크 장치에 의해 전송된 패킷은 게이트웨이가 아닌 관리 장치(13)로 전달될 수 있다. 관리 장치(13)는 해당 네트워크 장치가 비 인가된 장치임을 이미 알고 있으므로, 비 인가된 네트워크 장치로부터 패킷이 수신되면, 이를 폐기하여 비 인가된 네트워크 장치의 통신을 차단할 수 있다.
제어부(133)는 수신되는 패킷들을 분석하여, 네트워크 장치의 주소 도용(IP 주소 도용, MAC 주소 도용, IP 주소 및 MAC 주소 도용) 여부를 확인할 수도 있다.
제어부(133)는 패킷이 수신되면, 수신된 패킷의 출발지 주소 정보를 정책 서버(43)에 등록된 장치들의 주소 정보와 비교하여 IP 주소 또는 MAC 주소를 도용한 네트워크 장치를 검출할 수 있다. 제어부(133)는 수집된 패킷에서 추출한 출발지 주소 정보가, 정책 서버(43)에 기 등록된 네트워크 장치와 IP 주소는 동일하나 MAC 주소가 상이하면, 해당 패킷을 전송한 네트워크 장치가 IP 주소를 도용한 것으로 결정할 수 있다. 또한, 제어부(133)는 수집된 패킷에서 추출한 출발지 주소 정보가, 정책 서버(43)에 기 등록된 네트워크 장치와 MAC 주소는 동일하나 IP 주소가 상이하면, 해당 패킷을 전송한 네트워크 장치가 MAC 주소를 도용한 것으로 결정할 수도 있다.
제어부(133)는 각 네트워크 장치로부터 전송된 ARP 프로브(prob) 패킷을 분석하여, IP 및 MAC 주소를 도용한 네트워크 장치를 검출할 수도 있다.
IPv4 주소 충돌 감지 표준(IPv4 Address Conflict Detection, proposed standard)인 RFC 5227에서는, ARP 파 로브 패킷에 대해 명시되어 있다. ACD에서 ARP 파 로브 패킷은 호스트가 자신이 속해 있는 네트워크 내에서 자신의 IP 주소가 이미 사용 중인지 조사할 때 사용되는 패킷으로, IP 충돌을 방지하는 것을 목적으로 사용된다. 호스트는 ARP Opcode를 1로 설정하여 ARP 요청으로 설정된 ARP 프로브 패킷을 자신이 속한 네트워크 내에서 브로드캐스팅하고, 이에 대한 응답 패킷(ARP Opcode가 2인 패킷)의 수신을 대기한다. 호스트는 ARP 프로브 패킷(ARP 요청)의 전송 시, 헤더(header)의 출발지 MAC 주소를 자신의 MAC 주소로 설정하고, 출발지 IP 주소는 0.0.0.0으로 설정할 수 있다. 또한, 호스트는 ARP 프로브 패킷 헤더의 목적지 MAC 주소를 00:00:00:00:00:00으로 설정하고, 목적지 IP 주소는 자신의 IP 주소로 설정할 수 있다. 이러한 ARP 프로브 패킷은 IP 주소 충돌을 방지하기 위해 동일한 네트워크에 속하는 다른 호스트들의 ARP 테이블을 업데이트 시키지는 않는다.
네트워크(1)에서 각 네트워크 장치(호스트)는 IP 주소가 변경되면, ARP 프로브 패킷을 반복해서 브로드캐스팅 하도록 작동한다. 따라서, 다른 네트워크 장치의 주소 데이터를 복제하여 자신의 IP 주소 및 MAC 주소를 변경한 도용 장치는, 복제된 IP 주소가 속한 네트워크 내에서 ARP 프로브 패킷을 브로드캐스팅하게 된다. 위에서 설명한 바와 같이, 각 네트워크 장치(호스트)로부터 전송된 ARP 프로브 패킷(ARP 요청)은 이를 전송한 네트워크 장치의 IP 주소 및 MAC 주소를 포함할 수 있다. 따라서, 제어부(133)는 네트워크 장치로부터 ARP 요청으로 전송된 ARP 프로브 패킷이 수신되면, 수신된 ARP 프로브 패킷으로부터 대응하는 네트워크 장치의 IP 주소 및 MAC 주소를 검출할 수 있다. 또한, 제어부(133)는 검출된 IP 주소 및 MAC 주소를 정책 서버(43)에 등록된 주소 정보와 비교하여, 해당 장치가 다른 네트워크 장치의 IP 주소 및 MAC 주소를 복제하여 사용하는 도용 장치인지를 판단할 수 있다.
각 네트워크 장치는 IP 주소가 변경되는 때 외에도, 네트워크 인터페이스가 비활성 상태에서 활성 상태로 전환할 때, 네트워크 장치가 절전 모드에서 노멀(normal) 모드로 복귀할 때, 네트워크(1)와의 링크 상태(예를 들어, 이더넷 케이블의 연결 상태)에 변경이 발생했을 때, 802.11 무선 인터페이스가 새로운 기반 스테이션에 관련된 경우 등의 상황에서 ARP 프로브 패킷을 전송할 수도 있다. 즉, 도용 장치가 아닌 정상적인 네트워크 장치도 네트워크에 대한 연결이 오프라인 상태에서 온라인 상태로 전환되면, ARP 프로브 패킷을 반복해서 브로드캐스팅 할 수 있다.
따라서, 제어부(133)는 정상적인 네트워크 장치를 도용 장치로 오 인식하는 것을 방지하기 위해, ARP 프로브 패킷을 전송한 네트워크 장치의 상태 정보를 추가로 확인할 수 있다. 제어부(133)는 ARP 프로브 패킷을 통해 새로 수집된 주소 정보와 동일한 주소 정보가 정책 서버(43)에 이미 등록된 상태이면, 대응하는 네트워크 장치의 ARP 프로브 패킷을 수신하기 전 상태 정보를 추가로 확인하여 주소 도용 여부를 최종 결정할 수도 있다. 즉, 제어부(133)는 ARP 프로브 패킷을 수신하기 전 대응하는 네트워크 장치의 상태 정보가 오프라인 상태를 지시하면, 수신된 ARP 프로브 패킷은 네트워크(1)와의 연결 상태가 온라인 상태로 전환된 정상적인 장치로부터 수신된 것으로 판단하여, 대응하는 네트워크 장치를 도용 장치가 아닌 정상적인 네트워크 장치로 최종 판단할 수 있다.
제어부(133)는 전술한 바와 같이 다른 네트워크 장치의 주소 정보를 도용한 장치가 확인되면, 주소 도용 이벤트 발생을 정책 서버(43)에 통지할 수 있다. 또한, 정책 서버(43)로부터 수신한 정책 정보에 기초해, 검출된 도용 장치의 네트워크(1)에 대한 접근을 차단할 수 있다. 예를 들어, 제어부(133)는 도용 장치가 검출되면, 네트워크 사용 차단 패킷(ARP 프로브 패킷의 응답 패킷(ARP Probe Reply 패킷))을 전송하여 도용 장치의 네트워크 사용을 차단할 수 있다.
CCTV(31), 주차관리 시스템(32)과 같은 공용 시스템의 경우, 통상적으로 365일 24시간 온라인 상태를 유지하며, 댁내 단말(22) 및 아파트 단지 내 서버와의 통신이 항상 허용된다. 따라서, 누군가 악의적인 목적으로 이러한 공용 시스템의 주소를 도용할 경우 다른 네트워크 장치에 불법적인 접근이 가능할 수 있다. 네트워크(1)에서는 관리 장치(13)가 이러한 불법적인 주소 도용을 탐지하여 도용 장치가 다른 네트워크 장치에 접근하는 것을 사전에 차단함으로써, 공용 시스템의 주소를 도용하여 네트워크(1)에 침입하려는 시도를 차단할 수 있다.
이하, 도 3 및 도 4를 참조하여 아파트 단지 내 네트워크(1)에서의 접근 통제 방법에 대해 설명한다.
도 3은 일 실시 예에 따른 네트워크(1)에서 네트워크 장치들 간의 접근을 통제하는 방법을 개략적으로 도시한다. 도 3의 방법은 도 2를 참조하여 설명한 접근 통제 시스템(100)에 의해 수행될 수 있다.
도 3을 참조하면, 관리 장치(13)는 작동이 개시되면 네트워크(1)에 등록된 각 네트워크 장치의 상태 정보 및 주소 정보를 획득할 수 있다(S11).
S11 단계에서, 관리 장치(13)는 ARP 요청 패킷을 전송하여 각 네트워크 장치의 상태 정보 및 주소 정보를 획득할 수 있다. 관리 장치(13)는 각 네트워크 장치에 대해 해당 네트워크 장치의 IP 주소를 목적지 주소 정보로 포함하는 ARP 요청 패킷을 생성하고, 이를 해당 네트워크 장치가 속한 서브넷으로 전송할 수 있다. 그런 다음, 제어부(133)는 전송된 ARP 요청 패킷에 대한 ARP 응답 패킷이 수신되는지 여부에 기초하여 대응하는 네트워크 장치의 상태 정보를 결정할 수 있다. 또한, 관리 장치(13)는 ARP 요청 패킷을 네트워크 장치들에 전송한 후 이에 대한 ARP 응답 패킷이 수신되면, 수신된 ARP 응답 패킷의 출발지 주소 정보로부터 각 네트워크 장치의 주소 정보(IP 주소 및 MAC 주소)를 획득할 수도 있다.
관리 장치(13)는 각 네트워크 장치의 상태 정보 및 주소 정보가 확인되면, ARP 패킷을 사용해 각 네트워크 장치의 ARP 테이블에서 접근 통제가 필요한 네트워크 장치 및 게이트웨이의 MAC 주소를 변조시킬 수 있다(S12).
S12 단계에서, 관리 장치(13)는 댁내 단말(22)들 간의 통신을 차단하기 위해, 각 댁내 단말(22)의 ARP 테이블에서 다른 댁내 단말(22)의 MAC 주소를 의미 없는 주소로 변조시킬 수 있다. 이를 위해, 관리 장치(13)는 ARP 테이블 내 각 댁내 단말(22)의 MAC 주소를 변조하기 위한 변조된 ARP 응답 패킷을 생성할 수 있다. 각각의 변조된 ARP 응답 패킷은, 대응하는 댁내 단말(22)의 IP 주소와 변조된 MAC 주소(통신에 부적합한 MAC 주소)를 출발지 주소 정보로 포함할 수 있다. 관리 장치(13)는 이렇게 생성된 ARP 응답 패킷을 대응하는 댁내 단말(22)이 속한 서브넷(20)으로 전송할 수 있다. 이에 따라, 해당 서브넷(20)에 속한 댁내 단말(22)들의 ARP 테이블에서 대응하는 MAC 주소가 통신이 불가능한 MAC 주소로 변조되어, 대응하는 댁내 단말(22)에 대한 다른 댁내 단말의 접근이 차단될 수 있다. 관리 장치(13)는 이러한 방식으로, 각 댁내 단말(22)의 ARP 테이블에서 다른 댁내 단말들의 MAC 주소를 통신이 불가능한 주소로 모두 변경함으로써, 댁내 단말(22)들 간의 직접 통신을 모두 차단할 수 있다.
S12 단계에서, 관리 장치(13)는 서로 다른 서브넷(20, 30, 40) 간의 접근을 제한하기 위해, 각 네트워크 장치(22)의 ARP 테이블에서 게이트웨이의 MAC 주소를 관리 장치(13)의 MAC 주소로 변조시킬 수 있다. 이를 위해, 관리 장치(13)는 실제 게이트웨이의 IP 주소(L3 스위치(12)의 IP 주소)와 관리 장치(13)의 MAC 주소를 출발지 주소 정보로 포함하는 변조된 ARP 응답 패킷을 각 네트워크 장치가 속한 서브넷으로 전송할 수 있다. 이에 따라, 각 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소가 관리 장치(13)의 MAC 주소로 변조될 수 있다. 따라서, 각 네트워크 장치는 자신이 속한 서브넷 외부로 패킷을 전달하고자 하는 경우 게이트웨이가 아닌 관리 장치(13)의 MAC 주소를 참조하여 패킷을 전송하고, 전송된 패킷은 게이트웨이 대신 관리 장치(13)에 수신될 수 있다.
ARP 테이블에서 게이트웨이의 MAC 주소를 변조한 후, 관리 장치(13)는 각 서브넷에 속한 네트워크 장치가 다른 네트워크(예를 들어, 다른 서브넷)로 전송한 패킷들을 게이트웨이 대신 수신할 수 있다(S13).
관리 장치(13)는 패킷이 수신되면, 해당 패킷을 분석하여 패킷을 전송한 네트워크 장치, 즉 패킷의 출발지가 신규 네트워크 장치인지를 확인할 수 있다(S14).
S14 단계에서, 관리 장치(13)는 수신된 패킷으로부터 출발지 주소 정보(출발지 IP 주소 및 출발지 MAC 주소)를 획득하고, 이를 정책 서버(43)에 기 등록된 네트워크 장치들의 주소 정보와 비교할 수 있다. 관리 장치(13)는 기 등록된 네트워크 장치들의 주소 정보 중에서, 수신된 패킷으로부터 획득한 출발지 주소 정보와 동일한 주소 정보가 검색되지 않으면, 해당 패킷의 출발지가 네트워크(1)에 새로 연결된 신규 장치인 것으로 판단할 수 있다. 관리 장치(13)는 관리 장치(13)는 기 등록된 네트워크 장치들의 주소 정보 중에서, 수신된 패킷으로부터 획득한 출발지 주소 정보와 동일한 주소 정보가 검색되면, 해당 패킷의 출발지가 네트워크(1)에 이미 등록된 네트워크 장치인 것으로 판단할 수 있다.
관리 장치(13)는 S14 단계를 통해 패킷 출발지가 네트워크(1)에 이미 등록된 네트워크 장치인 것으로 확인되면, 정책 서버(43)로부터 수신한 액세스 관리 정책에 기초해 수신된 패킷의 차단 여부를 결정할 수 있다(S15).
S15 단계에서, 관리 장치(13)는 수신된 패킷으로부터 출발지 IP 주소 및 목적지 IP 주소를 추출하고, VLAN 대역(또는 서브넷 대역) 간의 통신 허용 정책에서 출발지 IP 주소가 속한 서브넷과 목적지 IP 주소가 속한 서브넷 간의 통신을 허용하도록 설정되어 있는지 확인할 수 있다. 관리 장치(13)는 통신 허용 정책에서 출발지 IP 주소가 속한 VLAN 대역(서브넷 대역)과 목적지 IP 주소가 속한 VLAN 대역(서브넷 대역) 사이의 통신을 금지한 경우(예를 들어, 댁내 단말(22)이 다른 동(다른 서브넷(20))에 속한 댁내 단말(22)에 접속을 시도하는 경우), 해당 패킷의 차단이 필요한 것으로 판단할 수 있다. 반면에, 관리 장치(13)는 통신 허용 정책에서 출발지 IP 주소가 속한 VLAN 대역(서브넷 대역)과 목적지 IP 주소가 속한 VLAN 대역(서브넷 대역) 사이의 통신을 허용하는 경우(예를 들어, 댁내 단말(22)이 아파트 단지 내 공통으로 사용되는 네트워크 장치(예를 들어, CCTV(31), 주차관리 시스템(32), 단지 출입문(33), 공동 현관문(34) 등)에 접속을 시도하는 경우), 패킷을 차단할 필요가 없는 것으로 판단할 수 있다.
관리 장치(13)는 정책에 의해 패킷의 차단이 필요하면(S16), 해당 패킷을 폐기하여 통신을 차단할 수 있다(S17). 반면에, 관리 장치(13)는 패킷의 차단이 필요하지 않은 경우(S16), 해당 패킷을 실제 게이트웨이(예를 들어, L3 스위치(12))로 포워딩 하여(S18), 해당 패킷이 목적지에 정상적으로 전달되도록 할 수 있다.
관리 장치(13)는 S14 단계에서 수신된 패킷의 출발지가 신규 네트워크 장치인 것으로 판단되면, 신규 네트워크 장치의 주소 정보를 정책 서버(43)에 전달하여 검출된 신규 네트워크 장치의 검출을 통보할 수 있다. 관리 장치(13)로부터 신규 네트워크 장치의 검출을 통보받은 정책 서버(43)는 정책 또는 관리자로부터 입력된 제어 입력에 기초해 신규 네트워크 장치의 인가 여부를 결정할 수 있다(S19). 정책 서버(43)는 신규 네트워크 장치가 인가된 장치이면(S20), 신규 네트워크 장치를 네트워크(1)에 등록하고(S21), 신규 네트워크 장치의 주소 정보를 데이터베이스(431)의 장치 정보에 포함시킬 수 있다.
정책 서버(43)는 신규 네트워크 장치의 인가 여부가 결정되면, 인가 여부에 대한 정보를 관리 장치(13)에 전달할 수 있다. 이를 수신한 관리 장치(13)는 신규 네트워크 장치가 비 인가된 장치이면(S20), 비 인가된 장치의 네트워크(1)에 대한 접근을 차단할 수 있다(S22).
S22 단계에서, 관리 장치(13)는 변조된 ARP 응답 패킷을 사용하여 비 인가된 네트워크 장치의 ARP 테이블에서 비 인가된 네트워크 장치와 동일한 서브넷에 속하는 네트워크 장치들의 MAC 주소를 통신이 불가능한 의미 없는 MAC 주소로 변조할 수 있다. 이에 따라, 비 인가된 네트워크 장치는 자신과 동일한 서브넷에 속하는 다른 네트워크 장치의 올바른 MAC 주소를 확인할 수 없어 다른 네트워크 장치와의 통신이 차단된다.
S22 단계에서, 관리 장치(13)는 변조된 ARP 응답 패킷을 사용하여 비 인가된 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 의미 없는 주소로 변조시킬 수도 있다. 이에 따라, 비 인가된 네트워크 장치는, 자신이 속한 서브넷의 다른 네트워크 장치 뿐만 아니라, 게이트웨이를 통해 접근해야 하는 다른 서브넷의 네트워크 장치와도 통신이 차단될 수 있다.
S22 단계에서, 관리 장치(13)는 ARP 패킷 변조 및 패킷 포워딩 방식을 사용하여 비 인가된 네트워크 장치가 다른 네트워크 장치에 접근하는 것을 차단할 수도 있다. 관리 장치(13)는 비 인가된 네트워크 장치가 검출되면, 비 인가된 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 관리 장치(13)의 MAC 주소로 변조시키기 위한 ARP 응답 패킷을 비 인가된 네트워크 장치가 속한 서브넷으로 전송할 수 있다. 이에 따라, 비 인가된 네트워크 장치에 의해 전송된 패킷은 게이트웨이가 아닌 관리 장치(13)로 전달되고, 관리 장치(13)는 해당 네트워크 장치가 비 인가된 장치임을 이미 알고 있으므로, 비 인가된 네트워크 장치로부터 수신된 패킷을 폐기할 수 있다.
도 4는 일 실시 예에 따른 네트워크(1)에서 주소 도용 장치의 접근을 차단하는 방법을 개략적으로 도시한다. 도 4의 방법은 도 2를 참조하여 설명한 접근 통제 시스템(100)에 의해 수행될 수 있다.
도 4를 참조하면, 관리 장치(13)는 네트워크 장치들로부터 패킷들이 수집되면(S31), 각 패킷을 분석하여 패킷을 전송한 네트워크 장치들의 주소 도용 여부를 판단할 수 있다(S32).
S32 단계에서, 관리 장치(13)는 수집된 패킷의 출발지 주소 정보를 정책 서버(43)에 등록된 장치들의 주소 정보와 비교하여 IP 주소 또는 MAC 주소를 도용한 네트워크 장치를 검출할 수 있다. 관리 장치(13)는 수집된 패킷에서 추출한 출발지 주소 정보가, 정책 서버(43)에 기 등록된 네트워크 장치와 IP 주소는 동일하나 MAC 주소가 상이하면, 해당 패킷을 전송한 네트워크 장치가 IP 주소를 도용한 것으로 결정할 수 있다. 또한, 관리 장치(13)는 수집된 패킷에서 추출한 출발지 주소 정보가, 정책 서버(43)에 기 등록된 네트워크 장치와 MAC 주소는 동일하나 IP 주소가 상이하면, 해당 패킷을 전송한 네트워크 장치가 MAC 주소를 도용한 것으로 결정할 수도 있다.
S32 단계에서, 관리 장치(13)는 각 네트워크 장치로부터 전송된 ARP 프로브 패킷을 분석하여, IP 및 MAC 주소를 도용한 네트워크 장치를 검출할 수도 있다. 관리 장치(13)는 네트워크 장치로부터 ARP 요청으로 전송된 ARP 프로브 패킷으로부터 대응하는 네트워크 장치의 IP 주소 및 MAC 주소를 검출할 수 있다. 그런 다음, 관리 장치(13)는 검출된 IP 주소 및 MAC 주소를 정책 서버(43)에 등록된 주소 정보와 비교하여, 해당 장치가 다른 네트워크 장치의 IP 주소 및 MAC 주소를 복제하여 사용하는 도용 장치인지를 판단할 수 있다. 이 때, 관리 장치(13)는 정상적인 네트워크 장치를 도용 장치로 오 인식하는 것을 방지하기 위해, ARP 프로브 패킷을 전송한 네트워크 장치의 상태 정보를 추가로 확인할 수도 있다. 관리 장치(13)는 ARP 프로브 패킷을 수신하기 전 대응하는 네트워크 장치의 상태 정보가 오프라인 상태를 지시하면, 수신된 ARP 프로브 패킷은 네트워크(1)와의 연결 상태가 온라인 상태로 전환된 정상적인 장치로부터 수신된 것으로 판단하여, 대응하는 네트워크 장치를 도용 장치가 아닌 정상적인 네트워크 장치로 최종 판단할 수 있다.
관리 장치(13)는 S32 단계를 통해 네트워크 장치가 주소 도용 장치로 확인되면(S33), 주소 도용 장치가 검출되었음을 정책 서버(43)에 통보할 수 있다(S34). 또한, 정책 서버(43)로부터 수신한 정책 정보에 기초해, 검출된 주소 도용 장치의 네트워크(1)에 대한 접근을 차단할 수 있다(S35). 예를 들어, 제어부(133)는 주소 도용 장치가 검출되면, 네트워크 사용 차단 패킷(ARP 프로브 패킷의 응답 패킷)을 전송하여 도용 장치의 네트워크 사용을 차단할 수 있다.
관리 장치(13)는 S32 단계를 통해 네트워크 장치가 주소 도용 장치가 아닌 것 확인되면(S33), 설정된 정책에 따라서 네트워크 장치로부터 수신한 패킷들을 처리할 수 있다(S36). 예를 들어, 도 3의 S14 단계 내지 S22 단계를 통해 패킷들을 처리할 수 있다.
전술한 실시 예에 따르면, 접근 통제 시스템(100)은 변조된 ARP 패킷을 사용해 각 댁내 단말(22)이 보유하는 다른 댁내 단말(22)의 MAC 주소를 통신이 불가능한 주소로 변조함으로써, 같은 서브넷(20)에 등록된 댁내 단말(22)들 간에 직접 통신을 효과적으로 차단할 수 있다.
또한, 접근 통제 시스템(100)은 각 네트워크 장치가 보유한 게이트웨이의 MAC 주소를 관리 장치(13)의 MAC 주소로 변조하여, 관리 장치(13)가 게이트웨이 대신 패킷들을 수신한 뒤 정책에 따라 패킷들을 폐기하거나 포워딩 하도록 함으로써, 서로 통신이 허용되지 않은 서브넷들(예를 들어, 서로 다른 동의 댁내 단말(22)들이 연결된 서브넷(20)들) 간의 접근 또한 효과적으로 차단할 수 있다.
또한, 접근 통제 시스템(100)의 관리 장치(13)에서 수집된 패킷들을 분석하여 비 인가된 네트워크 장치 또는 주소 도용 장치의 접근을 검출하여 사전에 차단할 수도 있다.
전술한 실시 예들은, 프로그램이 기록된 매체에 컴퓨터가 읽을 수 있는 코드로서 구현하는 것이 가능하다. 컴퓨터가 읽을 수 있는 매체는, 컴퓨터 시스템에 의하여 읽힐 수 있는 데이터가 저장되는 모든 종류의 기록장치를 포함한다. 컴퓨터가 읽을 수 있는 매체의 예로는, HDD(Hard Disk Drive), SSD(Solid State Disk), SDD(Silicon Disk Drive), ROM, RAM, CD-ROM, 자기 테이프, 플로피 디스크, 광 데이터 저장 장치 등이 있으며, 또한 캐리어 웨이브(예를 들어, 인터넷을 통한 전송)의 형태로 구현되는 것도 포함한다. 또한, 컴퓨터는 단말기의 제어부를 포함할 수도 있다. 따라서, 상기의 상세한 설명은 모든 면에서 제한적으로 해석되어서는 아니되고 예시적인 것으로 고려되어야 한다. 본 발명의 범위는 첨부된 청구항의 합리적 해석에 의해 결정되어야 하고, 본 발명의 등가적 범위 내에서의 모든 변경은 본 발명의 범위에 포함된다.

Claims (21)

  1. 서로 다른 세대에 위치하는 복수의 댁내 단말을 포함하는 네트워크에서의 접근 통제 방법으로서,
    관리 장치가, ARP(Address Resolution Protocol) 요청 패킷들을 상기 복수의 댁내 단말에 전송하는 단계,
    상기 관리 장치가, 상기 ARP 요청 패킷에 대응하여 수신되는 제1 ARP 응답 패킷들을 분석하여 상기 복수의 댁내 단말의 주소 정보를 획득하는 단계,
    상기 관리 장치가, MAC(Media Access Control) 주소가 변조된 제2 ARP 응답 패킷들을 생성하는 단계, 그리고
    상기 관리 장치가, 상기 제2 ARP 응답 패킷들을 상기 복수의 댁내 단말에 전송함으로써, 상기 복수의 댁내 단말의 ARP 테이블에서 각 댁내 단말의 MAC 주소를 변조시키는 단계를 포함하며,
    상기 제2 ARP 응답 패킷은, 각 ARP 테이블에서 MAC 주소를 변조하고자 하는 댁내 단말의 IP 주소와 변조된 MAC 주소를 출발지 주소 정보로 포함하는 ARP 응답 패킷이며,
    상기 변조된 MAC 주소는 통신이 불가능한 MAC 주소인, 접근 통제 방법.
  2. 제1항에 있어서,
    상기 네트워크는, 서로 다른 네트워크 장치가 연결된 복수의 서브넷 각각에 대한 VLAN(Virtual Local Area Network) 대역 할당 정책 및 통신 허용 정책을 포함하는 액세스 관리 정책을 관리하는 정책 서버와, 상기 복수의 댁내 단말을 포함하는 복수의 네트워크 장치를 포함하며,
    상기 접근 통제 방법은,
    상기 관리 장치가, 상기 복수의 네트워크 장치에 MAC 주소가 변조된 제3 ARP 응답 패킷을 전송하여, 상기 복수의 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 상기 관리 장치의 MAC 주소로 변조시키는 단계,
    상기 관리 장치가, 상기 복수의 네트워크 장치로부터 게이트웨이로 전송된 패킷을 수신하는 단계, 그리고,
    상기 관리 장치가, 상기 액세스 관리 정책에 기초해 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하는 단계를 더 포함하는 접근 통제 방법.
  3. 제2항에 있어서,
    상기 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하는 단계는,
    상기 통신 허용 정책에서 상기 수신된 패킷의 목적지 IP 주소가 속한 VLAN 대역과 상기 수신된 패킷의 출발지 IP 주소가 속한 VLAN 대역 간의 통신이 금지된 경우, 상기 수신된 패킷을 폐기하는 단계를 포함하는, 접근 통제 방법.
  4. 제2항에 있어서,
    상기 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하는 단계는,
    상기 통신 허용 정책에서 상기 수신된 패킷의 목적지 IP 주소가 속한 VLAN 대역과 상기 수신된 패킷의 출발지 IP 주소가 속한 VLAN 대역 간의 통신을 허용하는 경우, 상기 수신된 패킷을 상기 게이트웨이로 전달하는 단계를 포함하는, 접근 통제 방법.
  5. 제2항에 있어서,
    상기 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하는 단계는,
    상기 수신된 패킷의 목적지 IP 주소가 상기 네트워크의 외부 네트워크에 속하면, 상기 수신된 패킷을 상기 게이트웨이에 전달하는 단계를 포함하는, 접근 통제 방법.
  6. 제2항에 있어서,
    상기 통신 허용 정책은, 상기 복수의 댁내 단말이 속한 서브넷들 간에는 통신이 금지되도록 설정되는, 접근 통제 방법.
  7. 제2항에 있어서,
    상기 관리 장치가, 상기 수신된 패킷으로부터 패킷을 전송한 네트워크 장치의 주소 정보를 획득하는 단계, 그리고
    상기 관리 장치가, 상기 수신된 패킷으로부터 획득한 주소 정보와 상기 정책 서버에서 관리하는 주소 정보를 비교하여 신규 네트워크 장치를 검출하는 단계를 더 포함하는 접근 통제 방법.
  8. 제7항에 있어서,
    상기 액세스 관리 정책은, 상기 신규 네트워크 장치의 인가 여부를 결정하기 위한 정책을 더 포함하며,
    상기 접근 통제 방법은,
    상기 정책 서버가, 상기 액세스 관리 정책 또는 관리자로부터 입력되는 제어 입력에 기초해 상기 신규 네트워크 장치의 인가 여부를 결정하는 단계, 그리고
    상기 관리 장치가, 상기 신규 네트워크 장치가 비 인가된 장치이면, 상기 신규 네트워크 장치의 ARP 테이블에서 다른 네트워크 장치의 MAC 주소를 통신이 불가능한 MAC 주소로 변조하기 위한 제4 ARP 요청 패킷을 상기 신규 네트워크 장치에 전송하는 단계를 더 포함하는 접근 통제 방법.
  9. 제8항에 있어서,
    상기 관리 장치가, 상기 신규 네트워크 장치가 비 인가된 장치이면, 상기 신규 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 통신이 불가능한 MAC 주소 또는 상기 관리 장치의 MAC 주소로 변조하기 위한 제5 ARP 요청 패킷을 상기 신규 네트워크 장치에 전송하는 단계를 더 포함하는 접근 통제 방법.
  10. 제2항에 있어서,
    상기 액세스 관리 정책은, 주소 도용 장치에 대한 차단 정책을 더 포함하며,
    상기 접근 통제 방법은,
    상기 관리 장치가, 상기 수신된 패킷으로부터 획득한 주소 정보와 상기 정책 서버에서 관리하는 주소 정보를 비교하여 상기 네트워크에 등록된 다른 네트워크 장치의 주소를 도용한 상기 주소 도용 장치를 검출하는 단계, 그리고
    상기 관리 장치가, 상기 차단 정책에 기초해 상기 주소 도용 장치를 상기 네트워크로부터 차단하는 단계를 더 포함하는 접근 통제 방법.
  11. 제1항에 있어서,
    상기 관리 장치는, L3 스위치의 802.1Q 태그드 포트(802.1Q Tagged port)에 연결되는, 접근 통제 방법.
  12. 서로 다른 세대에 위치하는 복수의 댁내 단말을 포함하는 네트워크에서의 접근 통제 시스템으로서,
    ARP(Address Resolution Protocol) 요청 패킷들을 상기 복수의 댁내 단말에 전송하고, 상기 ARP 요청 패킷에 대응하여 수신되는 제1 ARP 응답 패킷들을 분석하여 상기 복수의 댁내 단말의 주소 정보를 획득하며, MAC(Media Access Control) 주소가 변조된 제2 ARP 응답 패킷들을 상기 복수의 댁내 단말에 전송함으로써, 상기 복수의 댁내 단말의 ARP 테이블에 등록된 각 댁내 단말의 MAC 주소를 변조시켜 상기 복수의 댁내 단말 간의 통신을 차단하는 관리 장치를 포함하고,
    상기 제2 ARP 응답 패킷은, 각 ARP 테이블에서 MAC 주소를 변조하고자 하는 댁내 단말의 IP 주소와 변조된 MAC 주소를 출발지 주소 정보로 포함하는 ARP 응답 패킷이며,
    상기 변조된 MAC 주소는 통신이 불가능한 MAC 주소인, 접근 통제 시스템.
  13. 제12항에 있어서,
    상기 네트워크를 구성하는 복수의 서브넷 각각에 대한 VLAN(Virtual Local Area Network) 대역 할당 정책 및 통신 허용 정책을 포함하는 액세스 관리 정책을 관리하는 정책 서버를 더 포함하고,
    상기 관리 장치는, 상기 네트워크에 등록된 복수의 네트워크 장치에 MAC 주소가 변조된 제3 ARP 응답 패킷을 전송하여 상기 복수의 네트워크 장치의 ARP 테이블에 등록된 게이트웨이의 MAC 주소를 상기 관리 장치의 MAC 주소로 변조시키고, 상기 복수의 네트워크 장치로부터 패킷이 수신되면 상기 액세스 관리 정책에 기초해 수신된 패킷을 상기 게이트웨이로 전달하거나 폐기하며,
    상기 복수의 네트워크 장치는, 상기 복수의 댁내 단말을 포함하는, 접근 통제 시스템.
  14. 제13항에 있어서,
    상기 관리 장치는, 상기 통신 허용 정책에서 상기 수신된 패킷의 목적지 IP 주소가 속한 VLAN 대역과 상기 수신된 패킷의 출발지 IP 주소가 속한 VLAN 대역 간의 통신이 금지된 경우, 상기 수신된 패킷을 폐기하는, 접근 통제 시스템.
  15. 제13항에 있어서,
    상기 관리 장치는, 상기 통신 허용 정책에서 상기 수신된 패킷의 목적지 IP 주소가 속한 VLAN 대역과 상기 수신된 패킷의 출발지 IP 주소가 속한 VLAN 대역 간의 통신을 허용하거나, 상기 수신된 패킷의 목적지 IP 주소가 상기 네트워크의 외부 네트워크에 속하면, 상기 수신된 패킷을 상기 게이트웨이에 전달하는, 접근 통제 시스템.
  16. 제13항에 있어서,
    상기 통신 허용 정책은, 상기 복수의 댁내 단말이 속한 서로 다른 서브넷 간에는 통신이 금지되도록 설정되는, 접근 통제 시스템.
  17. 제13항에 있어서,
    상기 정책 서버는, 상기 복수의 네트워크 장치의 주소 정보를 관리하며,
    상기 관리 장치는, 상기 수신된 패킷으로부터 패킷을 전송한 네트워크 장치의 주소 정보를 획득하고, 상기 수신된 패킷으로부터 획득한 주소 정보와 상기 정책 서버에서 관리하는 주소 정보를 비교하여 신규 네트워크 장치를 검출하는, 접근 통제 시스템.
  18. 제17항에 있어서,
    상기 액세스 관리 정책은, 상기 신규 네트워크 장치의 인가 여부를 결정하기 위한 정책을 더 포함하며,
    상기 정책 서버는, 상기 액세스 관리 정책 또는 관리자로부터 입력되는 제어 입력에 기초해 상기 신규 네트워크 장치의 인가 여부를 결정하고,
    상기 관리 장치는, 상기 신규 네트워크 장치가 비 인가된 장치이면, 상기 신규 네트워크 장치의 ARP 테이블에서 다른 네트워크 장치의 MAC 주소를 통신이 불가능한 MAC 주소로 변조하기 위한 제4 ARP 요청 패킷을 상기 신규 네트워크 장치에 전송하는, 접근 통제 시스템.
  19. 제18항에 있어서,
    상기 관리 장치는, 상기 신규 네트워크 장치가 비 인가된 장치이면, 상기 신규 네트워크 장치의 ARP 테이블에서 게이트웨이의 MAC 주소를 통신이 불가능한 MAC 주소 또는 상기 관리 장치의 MAC 주소로 변조하기 위한 제5 ARP 요청 패킷을 상기 신규 네트워크 장치에 전송하는, 접근 통제 시스템.
  20. 제13항에 있어서,
    상기 액세스 관리 정책은, 주소 도용 장치에 대한 차단 정책을 더 포함하며,
    상기 관리 장치는, 상기 수신된 패킷으로부터 획득한 주소 정보와 상기 정책 서버에서 관리하는 주소 정보를 비교하여 상기 네트워크에 등록된 다른 네트워크 장치의 주소를 도용한 상기 주소 도용 장치를 검출하며, 상기 차단 정책에 기초해 상기 주소 도용 장치를 상기 네트워크로부터 차단하는, 접근 통제 시스템.
  21. 제12항에 있어서,
    상기 관리 장치는, L3 스위치의 802.1Q 태그드 포트(802.1Q Tagged port)에 연결되는, 접근 통제 시스템.
PCT/KR2022/012964 2022-08-03 2022-08-30 네트워크에서의 접근 통제 시스템 및 그 방법 WO2024029658A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202280098789.1A CN119678430A (zh) 2022-08-03 2022-08-30 网络中的访问控制系统及其方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2022-0096889 2022-08-03
KR1020220096889A KR102510093B1 (ko) 2022-08-03 2022-08-03 네트워크에서의 접근 통제 시스템 및 그 방법

Publications (1)

Publication Number Publication Date
WO2024029658A1 true WO2024029658A1 (ko) 2024-02-08

Family

ID=85502905

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/012964 WO2024029658A1 (ko) 2022-08-03 2022-08-30 네트워크에서의 접근 통제 시스템 및 그 방법

Country Status (3)

Country Link
KR (1) KR102510093B1 (ko)
CN (1) CN119678430A (ko)
WO (1) WO2024029658A1 (ko)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102628441B1 (ko) * 2023-07-17 2024-01-23 스콥정보통신 주식회사 네트워크 보호 장치 및 그 방법

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050029800A (ko) * 2003-09-23 2005-03-29 주식회사 신텔정보통신 네트워크 접속 제어 방법
KR20050052018A (ko) * 2003-11-28 2005-06-02 한국전자통신연구원 고속의 패킷 포워딩을 위한 주소 번역 프로토콜 테이블관리방법 및 관리장치
US20050198383A1 (en) * 2003-12-31 2005-09-08 Laurence Rose Printer discovery protocol system and method
KR100528171B1 (ko) * 2005-04-06 2005-11-15 스콥정보통신 주식회사 네트워크 상에서 특정 아이피 주소 또는 특정 장비를보호/차단하기 위한 아이피 관리 방법 및 장치
KR20120058188A (ko) * 2010-11-29 2012-06-07 주식회사 케이티 무선인터넷 서비스의 온라인 개통 방법 및 그 시스템

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050029800A (ko) * 2003-09-23 2005-03-29 주식회사 신텔정보통신 네트워크 접속 제어 방법
KR20050052018A (ko) * 2003-11-28 2005-06-02 한국전자통신연구원 고속의 패킷 포워딩을 위한 주소 번역 프로토콜 테이블관리방법 및 관리장치
US20050198383A1 (en) * 2003-12-31 2005-09-08 Laurence Rose Printer discovery protocol system and method
KR100528171B1 (ko) * 2005-04-06 2005-11-15 스콥정보통신 주식회사 네트워크 상에서 특정 아이피 주소 또는 특정 장비를보호/차단하기 위한 아이피 관리 방법 및 장치
KR20120058188A (ko) * 2010-11-29 2012-06-07 주식회사 케이티 무선인터넷 서비스의 온라인 개통 방법 및 그 시스템

Also Published As

Publication number Publication date
CN119678430A (zh) 2025-03-21
KR102510093B1 (ko) 2023-03-14

Similar Documents

Publication Publication Date Title
CA2600760C (en) Security for mobile devices in a wireless network
WO2022235007A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
US9749337B2 (en) System and apparatus for rogue VoIP phone detection and managing VoIP phone mobility
WO2012153913A1 (ko) 차단서버를 이용한 스푸핑 공격 방어방법
WO2017091047A1 (ko) 무선 침입 방지 시스템에서의 접속 차단 방법 및 장치
US20040213237A1 (en) Network authentication apparatus and network authentication system
US20040141617A1 (en) Public access point
WO2010128747A1 (ko) 지그비 무선 통신 프로토콜상에서의 보안성 강화 방법 및 장치
WO2023249320A1 (ko) Dds 통신 방법, 장치 및 시스템
WO2015034241A1 (en) Method and system for configuring smart home gateway firewall
MXPA06013129A (es) Contencion automatizada de un invasor en redes.
WO2013085217A1 (ko) 다수의 중계 서버를 갖는 보안관리 시스템 및 보안관리 방법
WO2011136610A2 (en) Improvements to multicast traffic management
WO2010068018A2 (en) Method for configuring closed user network using ip tunneling mechanism and closed user network system
US20060015714A1 (en) Authentication system, network line concentrator, authentication method and authentication program
WO2022255619A1 (ko) 무선 침입 방지 시스템 및 그 동작 방법
WO2020009369A1 (ko) 종단 간 통신에 보안을 제공하기 위한 장치 및 방법
WO2024071535A1 (ko) Saas 기반 데이터베이스 접근제어 게이트웨이 서비스 시스템 및 방법
WO2024029658A1 (ko) 네트워크에서의 접근 통제 시스템 및 그 방법
WO2016190663A1 (ko) 홈 네트워크 시스템에서의 보안 관리 장치 및 보안 관리 방법
WO2016076574A1 (ko) 단말 정보 식별 장치 및 방법
JP4253520B2 (ja) ネットワーク認証装置及びネットワーク認証システム
JP4750750B2 (ja) パケット転送システムおよびパケット転送方法
WO2016200232A1 (ko) 서버 장애 시 원격 서버 복구 시스템 및 방법
WO2019182219A1 (ko) 블록체인기반의 신뢰 네트워크 시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22954113

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2025504620

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 11202500288R

Country of ref document: SG

WWP Wipo information: published in national office

Ref document number: 11202500288R

Country of ref document: SG

NENP Non-entry into the national phase

Ref country code: DE