Apple 기기의 Cisco IPsec VPN 설정

이 섹션을 통해 Cisco 네트워크 방화벽 Adaptive Security Appliance 5500 Series 및 Private Internet Exchange를 지원하는 iOS, iPadOS 및 macOS용으로 Cisco VPN 서버를 구성하십시오. 또한 해당 운영 체제는 IOS 버전 12.4(15)T 이상이 설치된 Cisco IOS VPN 라우터를 지원합니다. VPN 3000 Series Concentrator는 VPN 기능을 지원하지 않습니다.

인증 방식

iOS, iPadOS 및 macOS에서는 다음과 같은 인증 방식을 지원합니다.

  • xauth 명령을 사용하여 사용자 인증이 포함된 사전 공유된 키 IPsec 인증.

  • xauth를 통한 사용자 인증(선택 사항)이 포함된 IPsec 인증용 클라이언트 및 서버 인증서.

  • 서버에서 인증서를 제공하고 클라이언트에서 IPsec 인증용으로 사전 공유된 키를 제공하는 하이브리드 인증. 사용자 인증은 필수이며 xauth를 사용하여 제공됩니다. xauth는 인증 방식의 사용자 이름과 암호, RSA SecurID를 포함하고 있습니다.

인증 그룹

Cisco Unity 프로토콜은 인증 그룹을 사용하여 일반 매개변수 세트를 기반으로 사용자를 그룹화합니다. 사용자를 위한 인증 그룹을 생성해야 합니다. 사전 공유된 키 및 하이브리드 인증의 경우, 그룹 이름은 그룹의 공유 시크릿(사전 공유된 키)을 그룹 암호로 설정하고 기기에 구성해야 합니다.

인증서 인증을 사용하는 경우에는 공유 시크릿이 없습니다. 사용자의 그룹은 인증서의 필드를 통해 확인할 수 있습니다. Cisco 서버 설정을 통해 인증서의 필드를 사용자 그룹에 매핑할 수 있습니다.

RSA-Sig는 ISAKMP(Internet Security Association and Key Management Protocol) 우선 순위 목록에서 최고 우선 순위로 설정되어야 합니다.

IPsec 설정 및 설명

아래와 같은 설정을 지정하여 IPsec 구현 방식을 정의할 수 있습니다.

  • 모드: 터널링 모드입니다.

  • IKE 교환 모드: 사전 공유된 키 및 하이브리드 인증에 대한 적극적인 모드 또는 인증서 인증에 대한 주 모드입니다.

  • 암호화 알고리즘: 3DES, AES-128 또는 AES256입니다.

  • 인증 알고리즘: HMAC-MD5 또는 HMAC-SHA1입니다.

  • Diffie-Hellman 그룹: 사전 공유된 키 및 하이브리드 인증에는 그룹 2가 필요하며 3DES 및 AES-128이 포함된 그룹 2는 인증서 인증, AES-256이 포함된 그룹 2 또는 그룹 5에 필요합니다.

  • PFS(전달 완전 보안): IKE Phase 2의 경우 PFS를 사용했다면 Diffie-Hellman 그룹은 IKE Phase 1에 사용한 것과 동일해야 합니다.

  • 모드 구성: 활성화해야 합니다.

  • Dead Peer Detection: 권장됩니다.

  • 표준 NAT Traversal: 지원되며 활성화할 수 있습니다(TCP를 통한 IPsec은 지원되지 않음).

  • 로드 밸런싱: 지원되며 활성화할 수 있습니다.

  • Phase 1 리킹: 현재 지원하지 않습니다. 서버의 리킹 시간은 한 시간으로 설정하는 것이 좋습니다.

  • ASA 주소 마스크: 모든 기기 주소 풀 마스크는 설정되어 있지 않거나 255.255.255.255로 설정되어 있어야 합니다. 예시는 다음과 같습니다.

    asa(config-webvpn)# ip local pool vpn_users 10.0.0.1-10.0.0.254 mask 255.255.255.255.

    권장된 주소 마스크를 사용하는 경우 VPN 구성에서 맡고 있는 일부 경로는 무시될 수 있습니다. 이를 피하려면 라우팅 테이블에 모든 필수 경로를 구성하고 배포 전에 서브넷 주소가 접근 가능하도록 설정해야 합니다.

    • 응용 프로그램 버전: 클라이언트 소프트웨어 버전은 서버로 전송됩니다. 서버는 기기의 소프트웨어 버전에 따라 연결을 수락하거나 거부할 수 있습니다.

    • 배너: 서버에서 배너를 구성한 경우 기기에 배너가 표시되며 사용자는 배너에 표시된 내용을 수락하거나 연결을 해제해야 합니다.

    • 분할 터널링: 지원됩니다.

    • 분할 DNS: 지원됩니다.

    • 기본 도메인: 지원됩니다.

발행 날짜: 2022년 4월 21일
추가 정보Apple 기기에서 VPN 프록시 및 인증서 구성 사용하기Apple 기기의 VPN 기기 관리 설정 개요
Morty Proxy This is a proxified and sanitized view of the page, visit original site.
도움이 되었습니까?
글자 수 제한: 250
250자 이내로 작성하십시오.
피드백을 보내 주셔서 감사합니다.
Morty Proxy This is a proxified and sanitized view of the page, visit original site.