KR102204143B1 - 터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템 - Google Patents

터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템 Download PDF

Info

Publication number
KR102204143B1
KR102204143B1 KR1020200091275A KR20200091275A KR102204143B1 KR 102204143 B1 KR102204143 B1 KR 102204143B1 KR 1020200091275 A KR1020200091275 A KR 1020200091275A KR 20200091275 A KR20200091275 A KR 20200091275A KR 102204143 B1 KR102204143 B1 KR 102204143B1
Authority
KR
South Korea
Prior art keywords
tunnel
controller
terminal
information
gateway
Prior art date
Application number
KR1020200091275A
Other languages
English (en)
Inventor
김영랑
Original Assignee
프라이빗테크놀로지 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from US16/580,974 external-priority patent/US11381557B2/en
Priority claimed from US16/580,866 external-priority patent/US11190494B2/en
Application filed by 프라이빗테크놀로지 주식회사 filed Critical 프라이빗테크놀로지 주식회사
Application granted granted Critical
Publication of KR102204143B1 publication Critical patent/KR102204143B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/32—Flow control; Congestion control by discarding or delaying data units, e.g. packets or frames
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/306—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information intercepting packet switched data communications, e.g. Web, Internet or IMS communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/60—Scheduling or organising the servicing of application requests, e.g. requests for application data transmissions using the analysis and optimisation of the required network resources
    • H04L67/63—Routing a service request depending on the request content or context
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Technology Law (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Power Engineering (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Cardiology (AREA)
  • General Health & Medical Sciences (AREA)

Abstract

본 발명의 일 실시 예에 따른 네트워크 경계에서 컨트롤러 및 게이트웨이와 연동하는 단말은 디스플레이와 통신 회로와 상기 디스플레이 및 상기 통신 회로와 작동적으로 연결되는 프로세서와 상기 프로세서와 작동적으로 연결되고, 접속 제어 애플리케이션을 저장하는 메모리를 포함하고, 상기 프로세서가 컨트롤러 접속 이벤트 감지에 따라 상기 접속 제어 애플리케이션을 실행하여 상기 통신 회로를 통해 상기 컨트롤러와의 제어 플로우를 생성하기 위한 컨트롤러 접속 요청 패킷을 전송하고, 상기 컨트롤러 접속 요청 패킷에 대한 응답 패킷에 기초하여 기본 게이트웨이로 터널 생성 요청 패킷을 전송하여 터널을 생성하고, 상기 생성된 터널을 이용하여 데이터 패킷을 전송할 수 있다.

Description

터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템{TUNNEL-BASED CONECTIVITY MANAGEMENT METHOD AND APPARATUS AND SYSTEM THEREFOR}
본 문서에서 개시되는 실시예들은, 터널링 기술을 기반으로 하는 접속성 제어 네트워크 환경에서 단말의 기본 게이트웨이를 탐지하고 단말과 게이트웨이 사이에 터널을 생성하고 갱신하는 기술과 관련된다.
정보통신기술(ICT)과 전통산업의 융합으로 촉진된 4차 산업혁명은 산업 간 기술의 경계를 허물고 있다. ICT에 기반한 비즈니스 경험이 없는 전통산업 기업들까지 기존에 경험하지 못했던 사이버 보안 위협에 대응해야 하는 상황에 놓이게 되었다.
다수의 장치들은 네트워크를 통해서 데이터를 통신할 수 있다. 예를 들어, 스마트폰은 인터넷을 통해 서버와 데이터를 송신하거나 수신할 수 있다. 네트워크는 인터넷과 같은 공용 네트워크(public network)뿐만 아니라 인트라넷과 같은 사설 네트워크(private network)를 포함할 수 있다.
종래의 네트워크는 실행 모듈과 통신 모듈을 포함하는 통신 애플리케이션이 탑재된 단말과 단말과 통신 연결하여 특정 서비스를 제공하는 서버를 포함하여 구성되었다.
종래 통신 애플리케이션은 서버와의 네트워크 접속을 위한 통신 모듈이 배포된 상태로 배포되었으며, 단일 통신 채널을 구성하여 서버와 직접 연결되었다.
종래 통신 애플리케이션은 서버와의 통신 구간을 보호하기 위해 HTTPS(Hyper Text Protocol Secure), HTTP over TLS((Hyper Text Protocol over Transaction Layer Security), End to End Security, SSL-VPN(Secure Sockets Layer-Virtual Private Network) 기술 등이 적용되었다.
이러한 배포 및 통신 구조를 갖는 통신 애플리케이션은 최초 배포 시 모든 통신 프로토콜 및 정보를 포함하고 있기 때문에 역공학(Reverse Engineering, RE)에 의한 각종 위/변조 및 인증 우회 등으로 인한 위협에 대응하기 어려운 문제점을 가지고 있다.
특히, 제어 플로우와 데이터 플로우의 분리 없이 단일 채널로 통신하는 구조를 갖고 있기 때문에 네트워크 접속 제어 및 위협 발생 시 완전한 네트워크 접속 차단이 어려운 문제점이 있었다.
또한, 종래 단일 채널 기반의 네트워크 보안 기술은 네트워크 환경 변화에 효과적으로 대응할 수 없는 한계를 가지고 있었다.
특히, 최근 악성 코드 또는 악의적 행위들은 단일 통신 채널의 문제점을 이용해서 기존의 네트워크 경계를 무력화하고 직접적인 서버 공격을 발생시키고 있다.
통신 애플리케이션의 역공학을 방지하기 위한 난독화 기술, 위변조 탐지 및 방지 기술의 대표적인 예인 동적으로 모듈을 다운로드 받아 실행하는 기술이 통신 애플리케이션 보호를 위해 도입되고 있으나, 해당 기술은 애플리케이션을 보호하기 위한 단편적인 기술일 뿐 효과적인 역공학 방지가 어려운 문제점이 있다.
실제 환경에서 종래 애플리케이션 통신은 다양한 보안 기술을 적용하여도 보안 모듈을 우회한 이후에 데이터 패킷이 전송되는 것을 차단하거나 필터링할 수 있는 근본적인 해결책을 제시해주고 있지 못하다.
특히, 애플리케이션의 보안 기술 우회는 점점 그 공격이 정교해지고 있으며, 시간이 지나면 결과적으로 애플리케이션의 보안 기술은 무력화될 수 밖에 없기 때문에 근본적인 대안이 요구되고 있는 실정이다.
본 발명의 목적은 터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템을 제공하는 것이다.
본 발명의 다른 목적은 터널 기반 접속성 제어 대상인 단말과 컨트롤러 사이의 제어 데이터 패킷 전송 흐름을 항상 감시하고, 단말이 종속된 네트워크 환경 변화에 따라 최적화된 터널 및 정책을 즉시 갱신함으로써, 네트워크 접속 끊김 및 속도 지연 문제를 개선할 수 있는 터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템을 제공하는 것이다.
본 발명의 또 다른 목적은 단말이 현재 어떤 네트워크에 접속되어 있는지를 상시 감시 및 제어할 수 있으며, 해당 단말에 인가된 기본 게이트웨이를 통해서만 데이터 패킷이 목적지 노드에 전송되도록 제어하는 것이 가능한 터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템을 제공하는 것이다.
본 발명의 기술적 과제들은 이상에서 언급한 기술적 과제들로 제한되지 않으며, 언급되지 않은 또 다른 기술적 과제들은 아래의 기재들로부터 당업자에게 명확하게 이해될 수 있을 것이다.
본 발명의 일 실시 예에 따른 네트워크 경계에서 컨트롤러 및 게이트웨이와 연동하는 단말은 디스플레이와 통신 회로와 상기 디스플레이 및 상기 통신 회로와 작동적으로 연결되는 프로세서와 상기 프로세서와 작동적으로 연결되고, 접속 제어 애플리케이션을 저장하는 메모리를 포함하고, 상기 프로세서가 컨트롤러 접속 이벤트 감지에 따라 상기 접속 제어 애플리케이션을 실행하여 상기 통신 회로를 통해 상기 컨트롤러와의 제어 플로우를 생성하기 위한 컨트롤러 접속 요청 패킷을 전송하고, 상기 컨트롤러 접속 요청 패킷에 대한 응답 패킷에 기초하여 기본 게이트웨이로 터널 생성 요청 패킷을 전송하여 터널을 생성하고, 상기 생성된 터널을 이용하여 데이터 패킷을 전송할 수 있다.
실시 예로, 상기 데이터 패킷은 상기 단말과 상기 컨트롤러 사이에 송수신되는 제어 데이터 패킷 및 상기 단말과 목적지 노드 사이에 송수신되는 일반 데이터 패킷을 포함할 수 있다.
실시 예로, 상기 제어 데이터 패킷이 상기 기본 게이트웨이를 경유하여 상기 컨트롤러로 전송되는 경우, 상기 기본 게이트웨이에 상응하는 게이트웨이 식별 정보가 상기 제어 데이터 패킷의 헤더 일측에 추가된 후 상기 컨트롤러로 전송될 수 있다.
실시 예로, 상기 제어 데이터 패킷에 포함된 상기 게이트웨이 식별 정보에 기반하여 통신 경로가 식별되고, 상기 제어 데이터 패킷이 인가된 통신 경로를 통해 수신되고 상기 단말이 미리 저장된 블랙리스트에 포함되지 않은 경우, 상기 단말과 상기 컨트롤러 사이에 상기 제어 플로우가 생성될 수 있다.
실시 예로, 상기 제어 데이터 패킷이 복수의 게이트웨이를 경유하는 경우, 경유 순서에 따라 순차적으로 해당 게이트웨이 식별 정보가 해당 제어 데이터 패킷의 헤더 일측에 추가될 수 있다.
실시 예로, 상기 응답 패킷이 상기 컨트롤러로의 접속 요청이 성공하였음을 지시하는 경우, 상기 응답 패킷은 제어 플로우 ID 정보, 접속 정책 정보, 유효성 검사 정보 및 터널 생성 정보 중 적어도 하나를 포함하고, 상기 단말이 접속 제어를 필요로 하는 네트워크에 존재하거나 미리 설정된 정책에 따라 지정된 네트워크를 통해 접속되어야 하는 경우, 상기 터널 생성 정보에 기초하여 상기 단말과 상기 기본 게이트웨이 사이에 터널이 생성될 수 있다.
실시 예로, 상기 터널 생성 정보는 터널 종료 정보, 터널 방식 정보, 인증 정보, 터널 종료 포인트 IP 주소 및 포트 정보 중 적어도 하나를 포함할 수 있다.
실시 예로, 상기 프로세서는 컨트롤러 접속 갱신 요청 패킷을 전송하고, 상기 컨트롤러 접속 갱신 요청 패킷에 대한 응답으로 수신된 터널 생성 정보에 기초하여 새로운 게이트웨이로 터널 생성을 요청하여 터널을 생성하고, 상기 기본 게이트웨이와 설정된 터널을 해제할 수 있다.
실시 예로, 상기 프로세서는 일정 시간 간격 또는 네트워크 접속 정보가 변경된 경우, 상기 컨트롤러 접속 갱신 요청 패킷을 전송할 수 있다.
본 발명의 다른 실시 예에 따른 터널 기반 접속성 관리 시스템은 컨트롤러 접속 이벤트 감지에 따라 탑재된 접속 제어 애플리케이션을 실행하여 컨트롤러와의 제어 플로우 생성을 위한 컨트롤러 접속 요청 패킷을 전송하는 단말과 수신된 데이터 패킷의 헤더를 분석하여 해당 데이터 패킷이 인가된 통신 경로를 통해 수신되었는지 여부를 판단하여 상기 단말을 위한 제어 플로우를 생성하고, 제어 플로우 정책에 따라 해당 단말을 위해 사용될 기본 게이트웨이를 식별하고, 터널 정책에 따라 상기 단말과 상기 기본 게이트웨이 사이의 터널 생성에 필요한 터널 생성 정보를 생성하는 컨트롤러와 수신된 데이터 패킷이 컨트롤러로 전송될 제어 데이터 패킷인 경우, 해당 제어 데이터 패킷의 헤더 일측에 자신의 식별 정보를 추가하고, 상기 컨트롤러부터 상기 터널 생성 정보를 수신한 후 상기 단말로부터 터널 생성 요청 패킷을 수신하면, 상기 단말과 터널을 생성하는 게이트웨이를 포함할 수 있다.
본 발명의 또 다른 실시 예에 따른 적어도 하나의 게이트웨이를 통해 컨트롤러와 연동되는 단말에서의 터널 기반 접속성 관리 방법은 컨트롤러 접속 이벤트 감지에 따라 탑재된 접속 제어 애플리케이션을 실행하여 상기 컨트롤러와의 제어 플로우 생성을 위한 컨트롤러 접속 요청 패킷을 전송하는 단계와 상기 컨트롤러 접속 요청 패킷에 대한 응답 패킷을 수신하는 단계와 상기 응답 패킷에 기초하여 기본 게이트웨이로 터널 생성 요청 패킷을 전송하는 단계와 상기 기본 게이트웨이와 터널을 생성하는 단계와 상기 생성된 터널을 이용하여 데이터 패킷을 전송하는 단계를 포함할 수 있다.
실시 예로, 상기 데이터 패킷은 상기 단말과 상기 컨트롤러 사이에 송수신되는 제어 데이터 패킷 및 상기 단말과 목적지 노드 사이에 송수신되는 일반 데이터 패킷을 포함할 수 있다.
실시 예로, 상기 제어 데이터 패킷이 상기 기본 게이트웨이를 경유하여 상기 컨트롤러로 전송되는 경우, 상기 기본 게이트웨이에 상응하는 게이트웨이 식별 정보가 상기 제어 데이터 패킷의 헤더 일측에 추가된 후 상기 컨트롤러로 전송될 수 있다.
실시 예로, 상기 제어 데이터 패킷에 포함된 상기 게이트웨이 식별 정보에 기반하여 통신 경로가 식별되며, 상기 제어 데이터 패킷이 인가된 통신 경로를 통해 수신되고 상기 단말이 미리 저장된 블랙리스트에 포함되지 않은 경우 상기 단말과 상기 컨트롤러 사이에 상기 제어 플로우가 생성될 수 있다.
실시 예로, 상기 제어 데이터 패킷이 복수의 게이트웨이를 경유하는 경우, 경유 순서에 따라 순차적으로 해당 게이트웨이 식별 정보가 상기 제어 데이터 패킷의 헤더 일측에 추가될 수 있다.
실시 예로, 상기 응답 패킷이 상기 컨트롤러로의 접속 요청이 성공하였음을 지시하는 경우, 상기 응답 패킷은 제어 플로우 ID 정보, 접속 정책 정보, 유효성 검사 정보 및 터널 생성 정보 중 적어도 하나를 포함하고, 상기 단말이 접속 제어를 필요로 하는 네트워크에 존재하거나 미리 설정된 정책에 따라 지정된 네트워크를 통해 접속되어야 하는 경우, 상기 터널 생성 정보에 기초하여 상기 단말과 기본 게이트웨이 사이에 터널이 생성될 수 있다.
실시 예로, 상기 터널 생성 정보는 터널 종료 정보, 터널 방식 정보, 인증 정보, 터널 종료 포인트 IP 주소 및 포트 정보 중 적어도 하나를 포함할 수 있다.
실시 예로, 상기 방법은 컨트롤러 접속 갱신 요청 패킷을 전송하는 단계와 새로운 터널 생성 정보 및 새로운 게이트웨이 식별 정보가 포함된 접속 갱신 응답 패킷을 수신하는 단계와 상기 새로운 터널 생성 정보에 기초하여 새로운 게이트웨이로 터널 생성을 요청하여 터널을 생성하는 단계를 더 포함하고, 상기 기본 게이트웨이와 설정된 터널은 해제될 수 있다.
실시 예로, 주기적 또는 네트워크 접속 정보가 변경된 경우, 상기 컨트롤러 접속 갱신 요청 패킷이 전송될 수 있다.
실시 예로, 상기 방법은 상기 컨트롤러로의 접속에 실패한 경우, 네트워크 접속에 실패하였음을 지시하는 소정 알림 메시지를 화면에 출력하는 단계를 더 포함할 수 있다.
본 발명에서 이루고자 하는 기술적 과제들은 이상에서 언급한 기술적 과제들로 제한되지 않으며, 언급하지 않은 또 다른 기술적 과제들은 아래의 기재로부터 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.
본 문서에 개시되는 실시예들에 따르면, 본 발명은 터널 기반 접속성 제어 방법 및 그를 위한 장치 및 시스템을 제공하는 장점이 있다.
또한, 본 발명은 터널 기반 접속성 제어 대상인 단말과 컨트롤러 사이의 제어 데이터 패킷 전송 흐름을 항상 감시하고, 단말이 종속된 네트워크 환경 변화에 따라 최적화된 터널 및 정책을 즉시 갱신함으로써, 네트워크 접속 끊김 및 속도 지연 문제를 개선할 수 있는 장점이 있다.
또한, 본 발명은 단말이 현재 어떤 네트워크에 접속되어 있는지를 상시 감시 및 제어할 수 있으며, 해당 단말에 인가된 기본 게이트웨이를 통해서만 데이터 패킷이 목적지 노드에 전송되도록 제어하는 것이 가능한 터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템을 제공하는 장점이 있다.
또한, 본 발명은 네트워크 접속 끊김 현상을 최소화하고 인가된 안전한 터널을 사용하여 데이터 패킷을 전송할 수 있는 네트워크 환경을 제공할 수 있는 장점이 있다.
또한, 본 발명에 따른 터널 기반 접속성 관리 시스템은 통신 경로상에서 비인가된 게이트웨이 통과 여부를 판단하는 수단, 접속 정책에 의해 접속이 불가능한 네트워크에 존재하는 단말을 식별하는 수단, MITM(Man In The Middle) 공격에 의한 비정상적인 제어 데이터 패킷 흐름을 식별하는 수단을 구비함으로써, 위협을 내재하고 있는 단말 및/또는 비인가된 단말을 식별하여 네트워크에서 해당 단말을 효과적으로 격리시킬 수 있는 장점이 있다.
이 외에, 본 문서를 통해 직접적 또는 간접적으로 파악되는 다양한 효과들이 제공될 수 있다.
도 1은 실시 예에 따른 터널 기반 접속성 제어 네트워크의 필요성을 설명하기 위한 도면이다.
도 2는 본 발명의 실시 예에 따른 터널 기반 접속성 제어 방법을 설명하기 위한 도면이다.
도 3은 본 발명의 실시 예에 따른 컨트롤러의 구조를 설명하기 위한 블록도이다.
도 4는 본 발명의 실시 예에 따른 제어 플로우 정보의 구조를 설명하기 위한 블록도이다.
도 5는 본 발명의 실시 예에 따른 터널 정보의 구조를 설명하기 위한 블록도이다.
도 6은 본 발명의 실시 예에 따른 단말 네트워크 접속 제어를 위한 사용자 인터페이스 화면을 설명하기 위한 도면이다.
도 7은 예시적인 실시 예에 따른 제어 데이터 패킷의 구조를 설명하기 위한 도면이다.
도 8은 실시 예에 다른 웹 브라우저 접속 화면을 보여준다.
도 9는 실시 예에 따른 컨트롤러 갱신 방법을 설명하기 위한 도면이다.
도 10은 본 발명의 실시 예에 따른 단말과 게이트웨이 사이에 설정된 터널에 기반하여 데이터 흐름을 제어하는 방법을 설명하기 위한 도면이다.
도 11은 실시 예에 따른 터널 기반 접속성 제어 네트워크에서의 컨트롤러 접속 절차를 설명하기 위한 흐름도이다.
도 12는 실시 예에 따른 터널 기반 접속성 제어 네트워크에서의 컨트롤러 접속 갱신 절차를 설명하기 위한 흐름도이다.
도 13는 상기 도 1 내지 도 12의 다양한 실시 예들에 따른 단말 또는 발신지 노드의 기능적 블록도를 나타낸다.
도면의 설명과 관련하여, 동일 또는 유사한 구성요소에 대해서는 동일 또는 유사한 참조 부호가 사용될 수 있다.
이하, 본 발명의 다양한 실시 예가 첨부된 도면을 참조하여 기재된다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 실시 예의 다양한 변경(modification), 균등물(equivalent), 및/또는 대체물(alternative)을 포함하는 것으로 이해되어야 한다.
본 문서에서 아이템에 대응하는 명사의 단수 형은 관련된 문맥상 명백하게 다르게 지시하지 않는 한, 상기 아이템 한 개 또는 복수 개를 포함할 수 있다. 본 문서에서, "A 또는 B", "A 및 B 중 적어도 하나",“A 또는 B 중 적어도 하나”, "A, B 또는 C", "A, B 및 C 중 적어도 하나” 및 “A, B, 또는 C 중 적어도 하나"와 같은 문구들 각각은 그 문구들 중 해당하는 문구에 함께 나열된 항목들 중 어느 하나, 또는 그들의 모든 가능한 조합을 포함할 수 있다. "제 1", "제 2", 또는 "첫째" 또는 "둘째"와 같은 용어들은 단순히 해당 구성요소를 다른 해당 구성요소와 구분하기 위해 사용될 수 있으며, 해당 구성요소들을 다른 측면(예: 중요성 또는 순서)에서 한정하지 않는다. 어떤(예: 제 1) 구성요소가 다른(예: 제 2) 구성요소에, “기능적으로” 또는 “통신적으로”라는 용어와 함께 또는 이런 용어 없이, “커플드” 또는 “커넥티드”라고 언급된 경우, 그것은 상기 어떤 구성요소가 상기 다른 구성요소에 직접적으로(예: 유선으로), 무선으로, 또는 제 3 구성요소를 통하여 연결될 수 있다는 것을 의미한다.
본 문서에서 설명되는 구성요소들의 각각의 구성요소(예: 모듈 또는 프로그램)는 단수 또는 복수의 개체를 포함할 수 있다. 다양한 실시 예들에 따르면, 해당 구성요소들 중 하나 이상의 구성요소들 또는 동작들이 생략되거나, 또는 하나 이상의 다른 구성요소들 또는 동작들이 추가될 수 있다. 대체적으로 또는 추가적으로, 복수의 구성요소들(예: 모듈 또는 프로그램)은 하나의 구성요소로 통합될 수 있다. 이런 경우, 통합된 구성요소는 상기 복수의 구성요소들 각각의 구성요소의 하나 이상의 기능들을 상기 통합 이전에 상기 복수의 구성요소들 중 해당 구성요소에 의해 수행되는 것과 동일 또는 유사하게 수행할 수 있다. 다양한 실시 예들에 따르면, 모듈, 프로그램 또는 다른 구성요소에 의해 수행되는 동작들은 순차적으로, 병렬적으로, 반복적으로, 또는 휴리스틱하게 실행되거나, 상기 동작들 중 하나 이상이 다른 순서로 실행되거나, 생략되거나, 또는 하나 이상의 다른 동작들이 추가될 수 있다.
본 문서에서 사용되는 용어 "모듈"은 하드웨어, 소프트웨어 또는 펌웨어로 구현된 유닛을 포함할 수 있으며, 예를 들면, 로직, 논리 블록, 부품, 또는 회로와 같은 용어와 상호 호환적으로 사용될 수 있다. 모듈은, 일체로 구성된 부품 또는 하나 또는 그 이상의 기능을 수행하는, 상기 부품의 최소 단위 또는 그 일부가 될 수 있다. 예를 들면, 일 실시 예에 따르면, 모듈은 ASIC(application-specific integrated circuit)의 형태로 구현될 수 있다.
본 문서의 다양한 실시 예들은 기기(machine) 의해 읽을 수 있는 저장 매체(storage medium)(예: 메모리)에 저장된 하나 이상의 명령어들을 포함하는 소프트웨어(예: 프로그램 또는 애플리케이션)로서 구현될 수 있다. 예를 들면, 기기의 프로세서는, 저장 매체로부터 저장된 하나 이상의 명령어들 중 적어도 하나의 명령을 호출하고, 그것을 실행할 수 있다. 이것은 기기가 상기 호출된 적어도 하나의 명령어에 따라 적어도 하나의 기능을 수행하도록 운영되는 것을 가능하게 한다. 상기 하나 이상의 명령어들은 컴파일러에 의해 생성된 코드 또는 인터프리터에 의해 실행될 수 있는 코드를 포함할 수 있다. 기기로 읽을 수 있는 저장 매체는, 비일시적(non-transitory) 저장 매체의 형태로 제공될 수 있다. 여기서, ‘비일시적’은 저장 매체가 실재(tangible)하는 장치이고, 신호(signal)(예: 전자기파)를 포함하지 않는다는 것을 의미할 뿐이며, 이 용어는 데이터가 저장 매체에 반영구적으로 저장되는 경우와 임시적으로 저장되는 경우를 구분하지 않는다.
본 문서에 개시된 다양한 실시 예들에 따른 방법은 컴퓨터 프로그램 제품(computer program product)에 포함되어 제공될 수 있다. 컴퓨터 프로그램 제품은 상품으로서 판매자 및 구매자 간에 거래될 수 있다. 컴퓨터 프로그램 제품은 기기로 읽을 수 있는 저장 매체(예: compact disc read only memory(CD-ROM))의 형태로 배포되거나, 또는 애플리케이션 스토어(예: 플레이 스토어™)를 통해 또는 두 개의 사용자 장치들(예: 스마트폰들) 간에 직접, 온라인으로 배포(예: 다운로드 또는 업로드)될 수 있다. 온라인 배포의 경우에, 컴퓨터 프로그램 제품의 적어도 일부는 제조사의 서버, 애플리케이션 스토어의 서버, 또는 중계 서버의 메모리와 같은 기기로 읽을 수 있는 저장 매체에 적어도 일시 저장되거나, 임시적으로 생성될 수 있다.
이하 도 1 내지 도 12를 참조하여 본 발명의 실시 예에 따른 터널 기반 접속성 제어 방법 및 그를 위한 장치 및 시스템을 상세히 설명하기로 한다.
도 1는 실시 예에 따른 터널 기반 접속성 제어 네트워크의 필요성을 설명하기 위한 도면이다.
도 1을 참조하면, 터널 기반 접속성 제어(Connectivity Control) 네트워크(100)는 크게 클라우드 네트워크(150)에 배치되는 컨트롤러(Controller, 110), 단말(Terminal, 120), 게이트웨이(Gateway, 130) 및 목적지 네트워크(Destination Network)에 배치되는 목적지 노드(Destination Node, 140)을 포함하여 구성될 수 있다.
이하, 실시 예에 설명에서 컨트롤러(110)는 경계 네트워크에 위치한 경계 컨트롤러(Perimeter Controller)를 의미하고, 게이트웨이(130)는 경계 네트워크에 위치한 경계 게이트웨이(Perimeter Controller)를 의미할 수 있다.
터널링 기술을 기반으로 하는 접속성 제어 네트워크 환경은 인가된 접속 대상이 인가된 터널을 통해서만 대상 네트워크에 접속할 수 있는 방법을 제공한다. 이러한 터널 기반접속성 제어 네트워크 환경에서 비인가된 접속 대상으로의 연결 또는 일반적인 TCP(Transmission Control Protocol)/IP(Internet Protocol) 통신 매커니즘을 활용한 연결을 근본적으로 차단할 수 있기 때문에 TCP/IP가 내재하고 있는 외부 보안 공격 및 위협을 최소화할 수 있으며, IP 주소 기반의 통신 연결에서 다양한 식별 정보-예를 들면, 단말 ID, 사용자 ID 등-를 기반으로 접속을 인가할 수 있는 장점을 가진다.
이하, 터널 기반 접속성 제어를 위한 터널링 기술을 간단히 살펴보기로 한다.
IPSec(Internet Protocol Security), VPN(Virtual Private Network), Open VPN, GRE(Generic Routing Encapsulation) 터널링 등과 같이 일반적으로 활용되고 있는 터널링 기술의 특징은 단말 또는 네트워크 단위의 접속 대상을 기반으로 하고 있으며, SSL(Secure Sockets Layer)/TLS(Transport Layer Security) VPN의 경우는 좀 더 작은 웹 서비스 단위의 접속 대상에 연결되도록 고안되어 있다.
만약, 단말(120)이 네트워크 접속 제어를 필요로 하는 네트워크 내에 존재하는 경우, 목적지 네트워크 내 목적지 노드(140)와 통신을 수행하기 위해서는 반드시 해당 네트워크 경계상에 존재하는 게이트웨이(130)와 특정 터널링 기술을 활용한 터널 수립이 이루어져야 한다.
이러한 환경에서 터널 기반 접속성 제어 기술의 경우, 단말은 목적지 네트워크상의 목적지 노드(140)로의 접속을 요청할 때마다 터널의 존재 여부를 확인해야 하며, 터널이 존재하지 않을 경우, 단말(120)은 네트워크 경계에 위치한 게이트웨이(130)와 터널을 수립하는 절차를 수행해야 하는 비효율적인 터널 관리 구조를 가지고 있었다.
만약, 단말(120)이 이동성을 갖는 단말, 예를 들면 휴대폰이나 노트북과 같은 기기인 경우, 단말(120)은 외부 네트워크-즉, 모바일 네트워크-에서 내부 네트워크-예를 들면, 와이파이(WIFI) 기반 네트워크-로 핸드오버(Handover)될 수 있다. 이 경우, 단말(120)은 제어 대상 네트워크가 변경되는 문제가 발생될 수 있다. 특히, 종래 터널링 기술은 근본적으로 모빌리티에 문제를 가지고 있기 때문에 단말(120)은 기존에 연결되어 있던 터널을 해제하고 내부 네트워크 경계에 존재하는 게이트웨이(130)와 터널을 새롭게 연결하는 일련의 터널 갱신 절차를 수행해야 한다.
만약, 상기한 터널 갱신 절차를 수행하지 않는 경우, 단말(120)은 터널 기반 접속성 제어 기술을 사용하는 네트워크 진입 시 네트워크 접속 오류로 인한 잦은 네트워크 접속 시도 현상을 발생시킬 수 있으며, 이동성이 없는 단말의 경우에도 터널 생성을 위한 네트워크 접속 시 속도 지연 등과 같은 문제가 발생될 수 있다.
상기한 문제점을 해결하기 위해, 본 발명의 실시 예에 따른 터널 기반 접속성 제어 방법 및 그를 위한 장치 및 시스템은 터널 기반 접속성 제어 대상인 단말(120)과 컨트롤러(110) 사이에 항상 제어 데이터 패킷 전송 흐름-즉, 제어 플로우-를 감시하고, 단말(120)이 종속된 네트워크 환경 변화에 따라 최적화된 터널 및 정책을 즉시 갱신함으로써, 종래의 네트워크 접속 끊김 및 속도 지연 문제를 개선할 수 있는 장점이 있다.
또한, 본 발명의 실시 예에 따른 터널 기반 접속성 제어 방법 및 시스템은 단말(120)이 현재 어떤 네트워크에 접속되어 있는지를 상시 감시 및 제어할 수 있는 장점이 있다.
도 2는 본 발명의 실시 예에 따른 터널 기반 접속성 제어 방법을 설명하기 위한 도면이다.
상세하게, 도 2는 터널 기반 접속성 제어 시스템에서의 제어 데이터 패킷 흐름을 설명하기 위한 도면이다.
도 2에 도시된 바와 같이, 본 실시 예에 따른 네트워크는 크게 제1 네트워크(210)와 제2 네트워크(220)를 포함하여 구성될 수 있다. 일 예로, 제1 네트워크(210)는 인트라넷일 수 있고, 제2 네트워크(220)는 클라우드 네트워크일 수 있다.
제1 네트워크(210)는 단말(211) 및 제1 게이트웨이(212)를 포함하고, 제2 네트워크(220)는 제2 게이트웨이(221), 목적지 노드(222) 및 컨트롤러(223)를 포함하여 구성될 수 있다.
단말(211)과 컨트롤러(223)는 적어도 하나의 게이트웨이를 통해-예를 들면, 제1 게이트웨이(212) 및 제2 게이트웨이(221)-를 통해 상호 정보를 교환할 수 있다.
도 2를 참조하면, 제1 네트워크(210)에 위치한 단말(211)은 내부 탑재된 접속 제어 애플리케이션을 통해 컨트롤러(223)에 접속하여 제어 데이터 패킷 흐름-즉, 제어 플로우-를 생성할 수 있다.
단말(211)과 컨트롤러(223) 사이의 통신 경로에서 상호간의 제어 데이터 패킷 흐름은 도 2에 도시된 바와 같이, 하나 이상의 게이트웨이(212, 221)를 통과하는 구조를 가질 수 있다.
상기 제어 플로우만 생성된 상태에서 단말(211)은 인가된 터널을 가지고 있지 않으므로 네트워크상에서 전송되는 데이터 패킷은 네트워크 드라이버 및 운영체제의 커널 단에서 차단될 수 있다. 이때, 단말(211)의 접속 제어 애플리케이션에 의해 생성된 패킷을 제외한 어떠한 데이터 패킷도 네트워크상에 전송될 수 없다.
또한, 네트워크 경계에 존재하는 게이트웨이(221)는 컨트롤러(223)로 전송되는 제어 데이터 패킷을 제외한 인가된 터널로 전송되지 않은 모든 데이터 패킷을 차단하므로 단말(211)과 제1 네트워크(220)는 격리된 상태가 된다.
도 3은 본 발명의 실시 예에 따른 컨트롤러의 구조를 설명하기 위한 블록도이다.
도 4는 본 발명의 실시 예에 따른 제어 플로우 정보의 구조를 설명하기 위한 블록도이다.
도 5는 본 발명의 실시 예에 따른 터널 정보의 구조를 설명하기 위한 블록도이다.
도 3을 참조하면, 컨트롤러(300)는 크게 접속 제어부(310), 정책 관리부(320) 및 테이블 관리부(330)을 포함하여 구성될 수 있다. 여기서, 컨트롤러(300)는 상기 도 1 내지 도 2의 클라우드 네트워크에 배치된 컨트롤러(110, 223)일 수 있다.
접속 제어부(310)는 컨트롤러(300)의 전체적인 동작 및 입출력을 제어할 수 있다.
접속 제어부(310)는 외부 단말과의 통신을 통해 제어 플로우를 생성할 수 있다.
또한, 접속 제어부(310)는 제어 플로우를 통해 단말과 게이트웨이 사이의 데이터 패킷 전송을 위한 터널이 생성되도록 제어할 수 있다.
정책 관리부(320)는 접속 정책을 관리할 수 있다.
관리자는 컨트롤러(300)에 접속하여 출발지와 도착지 사이의 접속 제어를 위한 연결 중심의 정책을 설정할 수 있으며, 이를 통해 기존의 NAC 및 방화벽 대비 보다 세밀한 네트워크 접속 제어가 가능하다.
정책 관리부(320)는 접속 정책을 설정 및 관리하는 접속 정책 모듈(321), 제어 플로우 정책을 설정 및 관리하는 제어 플로우 정책 모듈(322), 터널 정책을 설정 및 관리하는 터널 정책 모듈(323) 및 블랙리스트 정책을 설정 및 관리하는 블랙리스트 정책 모듈(324)를 포함하여 구성될 수 있다.
접속 정책은 식별된 네트워크, 단말, 사용자, 비식별 사용자(게스트), 애플리케이션 등이 접속 가능한 네트워크 및 서비스 정보를 포함할 수 있다.
접속 제어부(310)는 기 설정된 접속 정책을 기반으로 식별된 네트워크, 단말, 사용자, 애플리케이션 등이 대상 네트워크 및 서비스로의 접속이 가능한지 여부를 확인할 수 있다.
제어 플로우 정책은 단말이 접속할 수 있는 접속 정책에 따라 각 네트워크 경계에 존재하는 게이트웨이를 해당 단말을 위한 기본 게이트웨이로 사용할 것인지에 관한 정보, 각 네트워크 경계에 존재하는 게이트웨이를 기본 게이트웨이로 사용할 경우 해당 단말과 게이트웨이 사이의 터널에 적용할 터널 정책을 식별하기 위한 정보 및 인가된 게이트웨이를 식별하기 위한 헤더 정보 등을 포함할 수 있다.
터널 정책은 상기 정책에 따라 접속 또는 연결(Connection) 경로상에서 출발지 노드인 단말과 네트워크 경계에 존재하는 게이트웨이 및(또는) 도착지(또는 목적지) 노드에 연결할 터널의 종류 및 해당 터널에 적용될 암호화 방법 및 암호화 수준 정보를 포함할 수 있다.
접속 제어부(310)는 단말의 네트워크 접속 요청 시 상기한 정책들을 기반으로 해당 목적지 네트워크 및(또는) 목적지 노드에 접속하기 위한 최적의 터널을 결정하여 설정할 수 있다.
블랙리스트 정책은 단말 또는 게이트웨이서 주기적으로 수집되는 보안 이벤트 중 보안 이벤트의 위험도 및 발생 주기, 행위 분석 등을 통해 블랙 리스트로 식별된 정보-예를 들면, 단말 ID, IP 주소, MAC 주소, 사용자 ID 등-을 기반으로 단말의 영구적 또는 일시적 접속을 차단하기 위한 블랙리스트 등록 정책을 포함할 수 있다.
블랙리스트는 상기한 정책들에 의해서 접속 차단된 단말 ID, IP 주소, MAC 주소, 사용자 ID 등에 대한 리스트일 수 있다.
접속 제어부(310)는 블랙리스트에 포함된 단말로부터의 접속 요청 확인 시 해당 단말의 접속 요청을 차단함으로써, 블랙리스트 단말이 네트워크 접속이 불가능한 완전 격리 상태로 유지시킬 수 있다.
테이블 관리부(330)는 생성된 제어 플로우에 관한 정보가 저장된 제어 플로우 테이블(331), 생성된 터널에 관한 정보가 저장된 터널 테이블(332) 및 블랙 리스트가 저장된 블랙 리스트 테이블(333)을 포함하여 구성될 수 있다. 여기서, 테이블은 데이터베이스의 형태로 구성되어 관리될 수 있다.
제어 플로우 테이블(331)은 단말과 컨트롤러 사이에 생성된 흐름을 관리하기 위한 일종의 세션 테이블로써, 단말이 성공적으로 컨트롤러(300)에 접속된 경우, 접속 제어부(310)는 해당 단말을 위한 제어 플로우를 생성하고, 생성된 제어 플로우에 관한 정보-이하, 간단히 제어 플로우 정보라 명함-를 제어 플로우 테이블(331)에 기록할 수 있다.
후술할 도 4에 도시된 바와 같이, 제어 플로우 정보(400)는 제어 플로우 ID(401), 식별 정보(402), 상태 정보(403), 만료 시각 정보(404) 등을 포함할 수 있다.
접속 제어부(310)는 단말의 네트워크 접속 요청 시 수신된 해당 제어 플로우 ID(401)에 상응하는 식별 정보(402)를 검색할 수 있다. 접속 제어부(310)는 검색된 각 식별 정보(402)를 접속 정책과 매핑하여 해당 단말이 접속이 가능한지 여부를 결정하고, 접속 가능 시 터널 생성이 필요한지 여부를 결정할 수 있다.
단말은 주기적으로 제어 플로우의 만료 시각을 갱신해야 한다. 만약, 일정 시간 동안 만료 시각 갱신이 이루어지지 않았을 경우, 접속 제어부(310)는 해당 단말에 상응하는 제어 플로우를 제거할 수 있다.
또한, 접속 제어부(310)는 단말 및 게이트웨이에 대한 보안 이벤트를 실시간 모니터링하여 보안 이벤트 발생 정보를 수집할 수 있다.
접속 제어부(310)는 발생된 보안 이벤트의 위험 수준을 식별하고, 식별된 위험 수준에 기초하여 즉각적인 접속 차단이 필요한지 여부를 판단할 수 있다.
판단 결과, 접속 차단이 필요한 경우, 접속 제어부(310)는 해당 단말 또는 해당 게이트웨이와의 제어 플로우를 제거할 수 있다.
또한, 접속 제어부(310)는 단말로부터 수신된 접속 종료 요청에 따라 해당 단말에 상응하는 제어 플로우를 제거할 수도 있다.
접속 제어부(310)는 제어 플로우가 제거되면, 해당 제어 플로우에 상응하여 생성되었던 모든 터널 및 데이터 플로우도 회수할 수 있다.
상기 제어 플로우, 모든 터널 및 데이터 플로우의 회수로 단말의 모든 접속은 차단될 수 있다.
터널 테이블(332)은 단말과 게이트웨이 또는 단말과 도착지(또는 목적지) 노드 사이에 설정된 터널, 게이트웨이와 게이트웨이 사이에 설정된 터널을 관리하기 위한 테이블일 수 있다.
도 5를 참조하면, 터널 테이블(332)에 관리되는 터널 정보(500)는 유효한 터널이 존재하는 경우, 해당 유효한 터널을 고유하게 식별 및 관리하기 위한 터널 ID(501), 제어 플로우에 종속적인 터널이 존재하는 경우, 해당 터널 ID에 상응하는 제어 플로우 ID(502) 및 터널 앤드 포인트(Tunnel End Point, TEP), 터널 스타트 포인트(Tunnel Start point, TSP), 터널 알고리즘 및 터널 종류 등을 관리하기 위한 부가 정보(503)를 포함하여 구성될 수 있다.
접속 제어부(310)는 보안 이벤트의 수집된 검색된 제어 플로우 내에 포함된 식별 정보를 기반하여 검색된 제어 플로우 테이블 내 포함된
제어 플로우 관련 정책이 기록된 정책 테이블(1201), 생성된 제어 플로우를 관리하기 위한 제어 플로우 정보가 유지되는 제어 플로우 테이블(1202), 원격 실행할 탐지 및 패치 코드를 미리 생성하여 저장해둔 원격 실행 코드 테이블(1203), 원격 코드를 생성하는 원격 실행 코드 생성 모듈(1204), 일반적 통신 및 제어 플로우 기반 통신을 수행하기 위한 통신 모듈(1205), 통신 모듈(1205)을 통해 수신된 각종 데이터 패킷을 처리하고, 제어 플로우 생성/삭제/갱신을 제어하는 PCFB 제어 모듈(1206) 및 제어 플로우 테이블(1202) 및 제어 플로우 제어 시 발생되는 각종 종료 조건에 따라 관련된 제어 플로우 및 데이터 플로우를 종료 처리하기 위한 제어 채널 감시 및 종료 처리 모듈(1207)을 포함하여 구성될 수 있다.
제어 플로우 테이블(1202)는 단말(또는 PCFB(400)과 경계 컨트롤러(210) 사이에 제어 데이터 패킷의 생성된 흐름(예: 제어 플로우)을 관리하기 위한 일종의 세션(session) 관리 테이블일 수 있다. 단말이 성공적으로 경계 컨트롤러(210)에 접속하는 경우, 제어 플로우 및 제어 플로우에 대한 식별 정보가 경계 컨트롤러(210)에 의하여 생성될 수 있다. 제어 플로우 정보는 제어 플로우의 식별 정보, 경계 컨트롤러(210)에 대한 접속 및 인증 시 식별되는 IP 주소, 단말 ID, 또는 사용자 ID 중 적어도 하나를 포함할 수 있다. 예를 들어, 단말로부터 목적지 네트워크에 대한 접속이 요청되면, 경계 컨트롤러(210)는 해당 단말로부터 수신된 제어 플로우 식별 정보를 통해 제어 플로우 정보를 검색하고, 검색된 제어 플로우 정보 내에 포함된 IP 주소, 단말 ID, 또는 사용자 ID 중 적어도 하나를 접속 정책에 매핑함으로써 상기 단말이 접속이 가능한지 여부 및 터널 생성 여부를 결정할 수 있다.
실시 예에 따른 정책 테이블(1201)은 접속 정책 정보, 터널 정책 정보, 블랙리스트 정책 정보 등을 포함하여 구성될 수 있다.
접속 정책 정보는 식별된 네트워크, 단말, 사용자, 또는 애플리케이션이 접속 가능한 네트워크 및/또는 서비스에 대한 정보를 포함할 수 있다. 예를 들어, 단말로부터 목적지 네트워크에 대한 접속이 요청되면, 경계 컨트롤러(210)는 접속 정책에 기반하여 식별된 네트워크(예: 단말이 속하는 네트워크), 단말, 사용자(예: 단말의 사용자), 및/또는 애플리케이션(예: 단말에 포함되는 애플리케이션)이 목적지 네트워크에 접속이 가능한지 여부를 결정할 수 있다.
터널 정책 정보는 연결(connection) 경로 상에서 출발지 노드(예: 단말)와 네트워크의 경계에 존재하는 경계 게이트웨이(230)에 연결될 터널의 종류, 암호화 방법, 및 암호화 수준 정보를 포함할 수 있다. 예를 들어, 단말로부터 목적지 네트워크에 대한 접속이 요청되면, 경계 컨트롤러(210)는 터널 정책에 기반하여 목적지 네트워크에 접속하기 위한 최적의 터널 및 그에 관한 정보를 단말에게 제공할 수 있다.
블랙 리스트 정보는 특정 단말의 접속을 영구적 또는 일시적으로 차단하기 위한 정책에 관한 정보를 포함할 수 있다. 블랙리스트 정책은 단말 또는 게이트웨이에서 주기적으로 수집되는 보안 이벤트 중에서 보안 이벤트의 위험도, 발생 주기, 및/또는 행위 분석을 통해 식별된 정보(예: 단말 ID(identifier), IP 주소, MAC(media access control) 주소, 또는 사용자 ID 중 적어도 하나)를 기반으로 생성될 수 있다.
블랙리스트는 블랙리스트 정책에 의해서 차단된 단말, IP 주소, MAC 주소, 또는 사용자 중 적어도 하나에 대한 목록을 포함할 수 있다. 예를 들어, 경계 컨트롤러(210)는 목적지 네트워크로의 접속을 요청하는 단말이 블랙리스트에 포함된 경우 상기 단말의 접속 요청을 거부함으로써 상기 목적지 네트워크로부터 상기 단말을 격리시킬 수 있다.
도 6은 본 발명의 실시 예에 따른 단말 네트워크 접속 제어를 위한 사용자 인터페이스 화면을 설명하기 위한 도면이다.
사용자는 단말 네트워크 접속 제어를 수행하기 위한 소정 접속 제어 애플리케이션-예를 들면, 경계 브로커 버전 1.0(Perimeter Broker Ver 1.0)-을 설치 및 실행시킬 수 있다.
사용자는 컨트롤러 접속을 위해 접속 제어 애플리케이션 실행 시 컨트롤러 접속 정보를 기입하고 소정 접속 버튼을 클릭하여 컨트롤러 접속을 시도할 수 있다.
도 6을 참조하면, 도면 번호 610은 컨트롤러 접속 화면(610)이고, 도면 번호 620은 컨트롤러 접속 실패 화면(620)이다.
컨트롤러 접속 화면(610)은 컨트롤러 접속 정보를 입력(또는 선택)하기 위한 제1 입력 영역(611), 사용자 ID를 입력하기 위한 제2 입력 영역(612), 비밀 번호를 입력하기 위한 제3 영역(613), 사용자 모드로의 접속을 위한 사용자 접속 버튼(614) 및 게스트 모드로의 접속을 위한 게스트 접속 버튼(615)을 포함할 수 있다. 여기서, 컨트롤러 접속 정보는 IP 주소 또는 도메인 주소일 수 있으나, 이에 한정되지는 않는다.
사용자는 컨트롤러 접속 화면(610)에 컨트롤러 접속 정보, 사용자 ID 및 비밀 번호를 입력한 후 사용자 접속 버튼(614) 또는 게스트 접속 버튼(615)를 눌러 해당 컨트롤러로의 접속을 시도할 수 있다.
제1 내지 제3 영역(611 내지 613)에 정보가 입력된 후 인증된 사용자의 컨트롤러 접속을 위한 버튼인 사용자 접속 버튼(614)을 수신함으로써 단말은 컨트롤러 접속 이벤트를 감지할 수 있다. 다른 예를 들어, 단말의 사용자 인증이 아직 완료되지 않은 상태라면, 단말은 비인가된 사용자(즉, 게스트)의 컨트롤러 접속을 위한 버튼인 게스트 접속 버튼(615)을 수신함으로써 컨트롤러 접속 이벤트를 감지할 수 있다.
단말은 컨트롤러 접속 이벤트를 감지한 것에 응답하여 컨트롤러에게 컨트롤러 접속 요청 패킷을 전송할 수 있다.
만약, 단말이 컨트롤러 접속에 실패한 경우, 사용자 단말의 화면에는 소정 알림 메시지를 포함한 컨트롤러 접속 실패 화면(620)이 표시될 수 있다, 일 예로, 알림 메시지는 도면 번호 615에 도시된 바와 같이, “접속이 차단된 단말입니다. 관리자에게 격리 해제 요청하십시오.”일 수 있다.
접속 제어 애플리케이션은 컨트롤러로 접속 요청 데이터 패킷을 전송할 수 있다. 이때, 접속 요청 데이터 패킷과 같은 제어 데이터 패킷 전송 시 통신 구간에 존재하는 각각의 게이트웨이는 해당 제어 데이터 패킷이 자신을 경유하였음을 지시하기 위한 소정 게이트웨이 식별 정보를 제어 데이터 패킷의 헤더에 삽입할 수 있다. 컨트롤러는 수신된 제어 데이터 패킷에 포함된 게이트웨이 식별 정보에 기초하여 해당 제어 데이터 패킷이 어느 게이트웨이를 경유하여 수신되었는지를 확인할 수 있다.
도 7은 예시적인 실시 예에 따른 제어 데이터 패킷의 구조를 설명하기 위한 도면이다.
도 7을 참조하면, 제어 데이터 패킷(700)은 크게 헤더 영역(710)과 페이로드 영역(720)으로 구분될 수 있다.
헤더 영역(710)과 페이로드 영역(720)은 모두 가변 길이를 가질 수 있다.
헤더 영역(710)은 발신지 및(또는) 목적지 IP 주소 정보가 기록되는 IP HEADER(711) 필드, 발신지 및(또는) 목적지 TCP 주소 정보가 기록되는 TCP HEADER(712) 필드, 해당 제어 데이터 패킷(700)이 경유한 게이트웨이 식별 정보가 기록되는 GATEWAY HEADER(713) 필드를 포함할 수 있다.
제어 데이터 패킷이 복수의 게이트웨이를 경유하는 경우, 경유 순서에 따라 순차적으로 해당 게이트웨이 식별 정보가 해당 제어 데이터 패킷의 게이트웨이 헤더(713) 영역에 추가될 수 있다.
실시 예로, 헤더 영역(710)은 GATEWAY HEADER(713) 필드에 포함된 게이트웨이 헤더의 개수를 지시하는 게이트웨이 카운트(미도시) 필드를 더 포함할 수 있다.
이하, 단말의 컨트롤러 접속 절차를 상세히 설명하기로 한다.
컨트롤러는 수신된 제어 데이터 패킷에서 게이트웨이들이 추가한 헤더를 식별하고, 단말에 인가된 게이트웨이를 통해 해당 제어 데이터 패킷이 수신되었는지 확인할 수 있다.
단말이 통신 경로상에서 접속 제어를 필요로 하는 네트워크에 존재하거나 미리 설정된 정책에 따라 지정된 네트워크에 기본적으로 접속할 수 있게 해야 하는 경우, 컨트롤러는 단말과 게이트웨이 간의 터널 생성에 필요한 정보를 해당 단말 및 해당 네트워크 경계에 위치하는 접속 대상 게이트웨이로 전송할 수 있다.
또한, 컨트롤러는 접속 제어 애플리케이션이 접속 요청한 정보가 미리 설정된 정책에 기초하여 접속 가능한 상태인지 여부를 확인할 수 있다.
또한, 컨트롤러는 단말 및 네트워크 식별 정보-예를 들면, 단말 ID 정보, IP 주소 정보, MAC 주소 정보 등-가 블랙리스트에 포함되어 있는지 여부를 검사하여 해당 단말이 접속 가능한 상태인지 확인할 수 있다. 만약, 접속 가능한 상태인 경우, 컨트롤러는 해당 단말에 상응하는 제어 플로우를 생성하고, 생성된 제어 플로우에 할당된 제어 플로우 ID를 해당 단말로 전송할 수 있다.
만약, 단말이 접속 불가능한 상태인 경우, 접속 제어 애플리케이션은 화면에 접속 불가 메시지 및 사유를 표시할 수 있다.
접속 제어 애플리케이션은 네트워크 경계에 위치한 기본 게이트웨이와 터널을 생성해야 하는 경우, 컨트롤러부터 수신된 터널 생성 정보에 기초하여 터널을 생성하고, 기본적인 접속 제어를 위한 유효성 검사 정보(또는 유효성 검사 정책)을 갱신할 수 있다. 여기서, 단말은 컨트롤러로부터 유효성 검사 정보를 획득할 수 있다.
이후 단말에서 발생되는 모든 네트워크 접속 요청은 컨트롤러에 의해 인가 여부가 결정되며, 단말은 컨트롤러가 전송한 유효성 검사 정책을 기반으로 사전 검증을 수행할 수 있다.
단말은 상기 컨트롤러 접속 절차만으로도 기본 게이트웨이 식별 및 터널 생성이 가능하며, 그를 통해 기본적인 접속 제어 및 통신이 가능한 상태가 될 수 있다.
도 8은 실시 예에 다른 웹 브라우저 접속 화면을 보여준다.
도면 번호 810은 웹브라우저 접속 차단 시 단말에 출력되는 웹브라우저 접속 화면이고, 도면 번호 820은 웹브라우저 접속이 인가된 경우 단말에 출력되는 웹브라우저 접속 화면이다.
도면 번호 811에 도시된 바와 같이, 웹브라우저 접속이 컨트롤러에 의해 차단된 경우, 단말의 화면에는 소정 접속 차단 알림 메시지가 포함된 팝업 알림창이 표시될 수 있다.
도 9는 실시 예에 따른 컨트롤러 갱신 방법을 설명하기 위한 도면이다.
만약, 단말의 네트워크 환경이 변경되어 컨트롤러 접속 갱신이 필요한 경우, 단말은 새로운 게이트웨이로의 접속을 시도할 수 있다. 이 경우, 도면 번호 910에 도시된 바와 같이, 단말의 화면에는 “네트워크 환경이 변경되어 새로운 게이트웨이에 접속 중입니다. 잠시만 기다리십시오.”라는 알림 메시지가 표시될 수 있다.
만약, 컨트롤러 접속 갱신에 실패한 경우, 단말은 도면 번호 920에 도시된 바와 같이, “네트워크 접속이 허용되지 않은 네트워크입니다. 관리자에게 문의하십시오.”라는 알림 메시지를 출력할 수 있다.
단말의 접속 제어 애플리케이션은 단말이 계속적으로 활성화되어 있음을 특정 이벤트에 따라 또는 주기적으로 컨트롤러에게 통보할 수 있다.
단말에서 발생된 보안 이벤트를 컨트롤러에 알리고, 컨트롤러로부터 수신해야 할 정책 및 제어 정보가 있는지를 확인하기 위해 단말은 일정 시간 간격 또는 특정 이벤트 기초하여 소정 제어 데이터 패킷을 컨트롤러에 전송할 수 있다.
이때, 전송되는 제어 데이터 패킷은 상술한 바와 같이, 통신 경로상에 존재하는 적어도 하나의 게이트웨이를 식별할 수 있는 헤더 정보가 추가되어 컨트롤러에 전송될 수 있다.
컨트롤러는 수신된 제어 데이터 패킷에 기반하여 이동성을 가지고 있는 단말의 접속 네트워크 변경을 실시간 감지할 수 있다.
또한, 컨트롤러는 변경된 네트워크 경계상의 게이트웨이와 단말 사이의 터널 생성을 제어하고 해당 네트워크에 적용되는 접속 정책을 반영할 수 있다. 또한 컨트롤러는 게이트웨이 갱신 시 기존 게이트웨이와 단말 사이에 생성된 터널을 제거하여 회수할 수 있다.
또한 접속 요청된 목적지 네트워크가 해당 단말이 접속할 수 없는 네트워크인 경우, 컨트롤러는 해당 단말의 해당 네트워크 접속을 차단할 수 있다.
상기한 절차들을 통해, 단말의 접속 제어 애플리케이션은 별다른 추가 절차 없이 일반적인 접속 제어 처리 절차만을 수행하여 항상 인가된 터널 및 접속 제어 정책이 적용될 수 있으며, 그에 따라 항상 안전한 통신이 가능한 상태를 유지할 수 있다.
컨트롤러는 접속 정책에 의해 접속이 불가한 단말-즉, 비인가된 단말-인 경우, 해당 단말이 네트워크에 접속될 수 없도록 격리할 수 있다.
도 10은 본 발명의 실시 예에 따른 단말과 게이트웨이 사이에 설정된 터널에 기반하여 데이터 흐름을 제어하는 방법을 설명하기 위한 도면이다.
상세하게, 도 10은 단말과 기본 게이트웨이 사이에 터널 생성 후 터널 기반 접속성 제어 시스템에서의 제어 데이터 패킷 흐름을 설명하기 위한 도면이다.
도 10에 도시된 바와 같이, 본 실시 예에 따른 네트워크는 크게 제1 네트워크(1010)와 제2 네트워크(1020)를 포함하여 구성될 수 있다. 일 예로, 제1 네트워크(1010)는 인트라넷일 수 있고, 제2 네트워크(1020)는 클라우드 네트워크일 수 있다.
제1 네트워크(1010)는 발신지 노드(Source Node, 1011) 및 제1 경계 게이트웨이(First Perimeter Gateway, 1012)를 포함하고, 제2 네트워크(1020)는 제2 경계 게이트웨이(Second Perimeter Gateway, 1021), 목적지 노드(Destination Node, 1022) 및 경계 컨트롤러(Perimeter Controller, 1023)를 포함하여 구성될 수 있다. 여기서, 발신지 노드(1011)는 상술한 실시 예들에서의 단말에 해당될 수 있으며, 접속 제어 애플리케이션의 일종인 경계 브로커(Perimeter Broker)가 탑재될 수 있다.
발신지 노드(1011)과 컨트롤러(1023)는 적어도 하나의 게이트웨이를 통해-예를 들면, 제1 경계 게이트웨이(1012) 및 제2 경계 게이트웨이(1021)-를 통해 상호 정보를 교환할 수 있다.
도 10을 참조하면, 제1 네트워크(1010)에 위치한 발신지 노드(1011)은 내부 탑재된 접속 제어 애플리케이션을 통해 컨트롤러(1023)에 접속하여 제어 데이터 패킷 흐름-즉, 제어 플로우-를 생성할 수 있다.
발신지 노드(1011)과 경계 컨트롤러(1023) 사이의 통신 경로에서 상호간의 제어 데이터 패킷 흐름은 도 10에 도시된 바와 같이, 하나 이상의 경계 게이트웨이(1012, 1021)(또는 기본 게이트웨이)를 통과하는 구조를 가질 수 있다.
도 10에 도시된 바와 같이, 발신지 노드(1011)와 경계 컨트롤러(1023) 사이에 구성된 제어 플로우 경로 상에는 제어 데이터 패킷과 일반 데이터 패킷을 전송하기 위한 복수의 터널이 생성될 수 있다.
일 예로, 상기 복수의 터널은 발신지 노드(1011)와 제1 경계 게이트웨이(1012) 사이의 제1 터널, 제1 경계 게이트웨이(1012)와 제2 경계 게이트웨이(1021) 사이의 제2 터널 및 제2 경계 게이트웨이(1021)와 경계 컨트롤러(1023) 사이에 제3 터널이 생성될 수 있다. 발신지 노드(1011)과 목적지 노드(1022) 사이의 일반 데이터 송수신은 제1 내지 제2 터널을 통해 수행될 수 있다.
전사 네트워크 환경에서 터널 기반 접속성 제어 기술을 적용하기 위해서는 발신지 노드(1011)가 접속한 네트워크 및 경로를 상시 식별할 수 있어야 한다. 발신지 노드(1011)가 접속한 네트워크를 식별하기 위해 출발지 IP를 사용할 경우, 사설 네트워크 환경, NAT(Network Address Translation)을 수반하는 네트워크 환경 및 이동성을 갖는 발신지 노드(1011)를 추적하기 어려운 네트워크 등에서 핸드오버가 이루어 지는 환경 등에서 발신지 노드(1011)가 접속한 네트워크를 정확하게 식별하기 어렵다.
하지만, 상기한 환경에서 본 발명의 발신지 노드(1011)의 제어 데이터 패킷의 흐름을 활용한 통신 경로 분석 및 접속 제어 네트워크 식별 방법이 적용되는 경우, 발신지 노드(1011)는 최초 컨트롤러 접속 절차를 수행하는 것만으로 신속하게 기본 게이트웨이와 터널을 설정하여 통신을 수행할 수 있다.
또한, 이동성을 가지는 발신지 노드(1011) 또는 와이파이를 활용한 무선 네트워크 환경, 페일오버(Failover)를 지원하기 위한 다중으로 구성된 게이트웨이 환경 등과 같이 핸드오버가 발생하는 경우, 본 기술을 활용하여 신속하게 새로운 터널을 생성하거나 갱신하고 관련 접속 정책을 수행할 수 있다.
또한, 발신지 노드(1011) 및/또는 경계 컨트롤러(1023) 및/또는 경계 게이트웨이(1012, 1021)는 해당 터널을 통한 위협 감지, 터널 갱신 등의 이벤트에 기초하여 불필요한 터널을 제거할 수도 있다.
또한, 본 발명에 따른 터널 기반 접속성 관리 시스템은 통해 네트워크 접속 끊김 현상을 최소화하고 인가된 안전한 터널을 사용하여 데이터 패킷을 전송할 수 있는 네트워크 환경을 제공할 수 있는 장점이 있다.
나아가, 본 발명에 따른 터널 기반 접속성 관리 시스템은 통신 경로상에서 비인가된 게이트웨이 통과 여부를 판단하는 수단, 접속 정책에 의해 접속이 불가능한 네트워크에 존재하는 단말을 식별하는 수단, MITM(Man In The Middle) 공격에 의한 비정상적인 제어 데이터 패킷 흐름을 식별하는 수단을 구비함으로써, 위협을 내재하고 있는 단말 및/또는 비인가된 단말을 식별하여 네트워크에서 해당 단말을 격리시킬 수 있는 장점이 있다.
상기한 도 10의 실시 예에서는 발신지 노드(1011)와 목적지 노드(1022) 사이에 2개의 기본 게이트웨이가 존재하는 것으로 설명하고 있으나, 이는 하나의 실시 예에 불과하며, 그보다 많거나 적은 기본 게이트웨이가 존재할 수도 있다.
도 11은 실시 예에 따른 터널 기반 접속성 제어 네트워크에서의 컨트롤러 접속 절차를 설명하기 위한 흐름도이다.
도 11을 참조하면, 컨트롤러 접속 절차는 단말(1110), 게이트웨이(1120) 및 컨트롤러(1130)가 상호 연동하여 수행될 수 있다.
본 실시 예에 따른 컨트롤러 접속 절차는 사용자가 단말(1110)의 네트워크 접속 제어를 수행하기 위한 애플리케이션을 설치 및 실행하면 개시될 수 있다.
실시 예에 따른 컨트롤러 접속 절차는 컨트롤러 접속 요청 단계(S1110), 제어 데이터 패킷 포워딩 단계(S1120), 접속 요청 확인 단계(S1130), 제어 플로우 생성 단계(1140), 터널 생성 정보 수신 단계(S1150) 및 결과 값 처리 단계(S1160)를 포함하여 구성될 수 있다.
이하, 컨트롤러 접속 절차를 구성하는 각 단계를 상세히 설명하기로 한다.
1) 컨트롤러 접속 요청 단계(S1110)
단말(1110)에 탑재된 접속 제어 애플리케이션은 컨트롤러(1130)와 제어 플로우-예를 들면, 제어 데이터 패킷 흐름 및 일련의 세션-을 생성하기 위해 컨트롤러 접속 요청 패킷을 전송할 수 있다.
여기서, 컨트롤러 접속 요청 패킷은 게이트웨이(1120)를 통해 컨트롤러(1130)로 전송될 수 있다.
실시 예로, 컨트롤러 접속 요청 패킷은 하기와 같이, 컨트롤러 요청할 액션 코드 정보가 기록되는 액션 코드 필드와 컨트롤러 접속 요청 정보가 포함된 데이터 필드를 포함하여 구성될 수 있다.
Figure 112020076756816-pat00001
<암호화 및 캡슐화 이전의 컨트롤러 접속 요청 패킷>
2) 제어 데이터 패킷 포워딩 단계(S1120)
게이트웨이(1120)는 단말(1110)로부터 컨트롤러 접속 요청 패킷을 수신하면 해당 패킷에 포함된 목적지 IP 주소 정보 및 식별 정보에 기반하여 해당 패킷이 컨트롤러(1130)로 전송되어야 하는 제어 데이터 패킷인지 결정할 수 있다. 또한, 게이트웨이(1120)는 수신된 컨트롤러 접속 요청 패킷에 대한 유효성 검사를 수행할 수 있다. 게이트웨이(1120)는 유효성 검사 결과에 기초하여 해당 패킷이 컨트롤러(1130)로 전송 가능한 제어 데이터 패킷인지 결정할 수 있다.
게이트웨이(1120)는 수신된 데이터 패킷이 컨트롤러(1130)로 전송할 제어 데이터 패킷으로 확인된 경우, 컨트롤러(1130)에 의해 사전 할당된 게이트웨이 식별 정보를 해당 패킷의 게이트웨이 헤더 필드에 추가한 후 해당 패킷을 컨트롤러(1130)로 전송할 수 있다.
이때, 게이트웨이(1120) 헤더 필드에 포함되는 헤더 정보는 해당 게이트웨이(1120)를 해당 네트워크 내에서 고유하게 식별하기 위한 고유 식별 정보일 수 있으나, 이는 하나의 실시 예에 불과하며, 임의의 난수 발생을 통해 생성되는 정보로써 컨트롤러(1130)에 의해 식별 가능한 모든 요소를 포함할 수 있다. 실시 예로, 컨트롤러(1130)는 난수 생성을 위한 소정 키 값을 게이트웨이(1120)에 전송할 수 있다. 컨트롤러(1130)는 상기 전송된 키 값에 기반하여 패킷에 포함된 게이트웨이 헤더 정보를 복호하여 게이트웨이를 식별할 수 있다.
3) 접속 요청 확인 단계(S1130)
컨트롤러(1130)는 수신된 제어 데이터 패킷에서 게이트웨이(1120)들이 추가한 게이트웨이 헤더를 식별하고 단말(1110)이 인가된 게이트웨이들을 통과하였는지 확인할 수 있다.
또한, 컨트롤러(1130)는 단말이 통신 경로 상에서 접속 제어를 필요로 하는 네트워크에 존재하거나, 정책에 의해서 지정된 네트워크에 기본적으로 접속할 수 있게 해야 하는 경우, 해당 네트워크 경계에 존재하는 게이트웨이와 터널을 생성할 수 있는 정보를 생성할 수 있다.
컨트롤러(1130)는 단말(1110)의 접속 제어 애플리케이션이 전송한 접속 요청 패킷에 포함된 정보 및 정책에 기초하여 해당 단말(1110)이 접속 가능한 상태인지 여부를 확일 수 있다. 여기서, 접속 요청 패킷에 포함된 정보는 해당 단말의 종류, 위치 정보, 환경 및 단말이 포함되어 있는 네트워크, 접속 제어 애플리케이션 정보 등을 포함할 수 있다.
컨트롤러(1130)는 단말(1110)의 네트워크상에의 식별 정보-예를 들면, 단말 ID, IP 주소 정보, MAC 주소 정보 등-이 블랙리스트에 포함되어 있는지를 검사하여 단말(1110)이 접속 가능한 상태인지 여부를 판단할 수 있다.
만약, 단말(1110)이 접속이 불가능한 상태이거나 블랙리스트에 포함된 경우, 컨트롤러(1130)는 하기와 같이, 접속 불가 정보가 포함된 제어 데이터 패킷-이하, 접속 불가 패킷이라 명함-을 단말(1110)의 접속 제어 애플리케이션에 전송할 수 있다.
Figure 112020076756816-pat00002
<암호화 및 캡슐화 이전의 접속 불가 패킷>
4) 제어 플로우 생성 단계(S1140)
만약, 단말(1110)이 접속 가능한 단말인 경우, 컨트롤러(1130)는 제어 플로우를 생성하고, 생성된 제어 플로우에 상응하는 난수 형태의 제어 플로우 ID를 생성할 수 있다. 또한, 컨트롤러(1130)는 제어 플로우 ID 및 제어 플로우 ID에 상응하는 단말 및 네트워크 식별 정보를 제어 플로우 테이블에 기록할 수 있다.
컨트롤러(1130)는 단말(1110)이 접속 가능한 단말인 경우 접속 완료 패킷을 생성하여 단말(1110)에 전송할 수 있다. 여기서, 접속 완료 패킷은 하기와 같이, 접속 요청에 대한 응답 코드가 정상으로 설정된 상태 정보 필드와 제어 플로우 생성 시 생성된 제어 플로우 ID 및 접속 정책 정보 및 터널 생성 정보가 포함된 데이터 필드를 포함하여 구성될 수 있다.
Figure 112020076756816-pat00003
Figure 112020076756816-pat00004
<암호화 및 캡슐화 이전의 접속 완료 패킷>
컨트롤러(1130)는 단말(1110)이 접속 가능한 단말인 경우 터널 정보 생성 패킷을 게이트웨이(1120)로 전송할 수 있다.
여기서, 터널 정보 생성 패킷은 터널 생성을 요청하는 액션 코드 정보가 기록되는 액션 코드 필드 및 새로 생성될 터널 생성 정보가 기록되는 데이터 필드를 포함하여 구성될 수 있다. 여기서, 터널 생성 정보는 터널 스타트 포인트(TSP)인 단말과 터널 종료 포인트(TEP) 대상인 게이트웨이 사이에 터널 생성에 필요한 정보로서, 터널 종류 정보, 터널 방식 정보, 유효성 검사에 필요한 인증 정보, TEP IP 주소 및 포트 정보를 포함할 수 있다.
Figure 112020076756816-pat00005
<암호화 및 캡슐화 이전의 터널 생성 정보 패킷>
5) 결과 값 처리 단계(S1150)
단말(1110)의 접속 제어 애플리케이션은 컨트롤러(1130)로부터 접속 요청에 대한 결과 값을 수신하여 처리할 수 있다.
접속 요청이 성공하여 기본 게이트웨이와 터널 생성이 필요한 경우, 접속 제어 애플리케이션은 해당 기본 게이트웨이로 터널 생성을 요청할 수 있다.
도 12는 본 발명의 실시 예에 따른 터널 기반 접속성 제어 네트워크에서의 컨트롤러 접속 갱신 절차를 설명하기 위한 흐름도이다.
도 12를 참조하면, 컨트롤러 접속 갱신 절차는 접속 갱신 요청 단계(S1210), 제어 데이터 패킷 포워딩 단계(S1220), 접속 갱신 요청 확인 단계(S1230), 터널 제거 정보 수신 단계(S1240), 결과 값 처리 단계(S1250), 터널 생성 여부 확인 단계(S1260), 터널 생성 요청 단계(S1270) 및 터널 생성 요청 처리 단계(S1280)을 포함하여 구성될 수 있다.
이하, 컨트롤러 접속 절차를 구성하는 각 단계를 상세히 설명하기로 한다.
1) 접속 갱신 요청 단계(S1210)
단말(1210)의 접속 제어 애플리케이션은 단말(1210)이 계속적으로 활성화되어 있음을 컨트롤러(1230)에게 알려주고, 단말(1210)에서 발생된 보안 이벤트 및 컨트롤러(1230)로부터 수신해야 할 정책 및 제어 정보가 있는지를 확인하기 위해 일정 시간 간격 또는 네트워크 접속 정보가 변경되는 경우와 같은 특정 이벤트 발생 시 수시로 단말(1230)의 상태 정보를 전송할 수 있다. 일 예로, 네트워크 접속 정보가 변경되는 경우는 와이파이(WIFI) 라우터 변경, 네트워크 IP 변경 등을 포함할 수 있다.
단말(1210)의 접속 제어 애플리케이션은 접속 갱신이 필요한 경우, 접속 갱신 요청 패킷을 제1 게이트웨이(1220)로 전송할 수 있다.
여기서, 접속 갱신 요청 패킷은 접속 갱신(refresh)을 컨트롤러(1230)에 요청하는 액션 코드 정보가 포함된 액션 코드 필드 및 컨트롤러 접속 갱신 요청 정보가 포함된 데이터 필드를 포함하여 구성될 수 있다. 일 예로, 컨트롤러 접속 갱신 요청 정보는 제어 플로우 ID를 포함할 수 있다.
Figure 112020076756816-pat00006
<암호화 및 캡슐화 이전의 접속 갱신 요청 패킷>
2) 제어 데이터 패킷 포워딩 단계(S1220)
제1 게이트웨이(1220)는 단말(1210)로부터 접속 갱신 요청 패킷을 수신하면 해당 패킷에 포함된 목적지 IP 주소 정보 및 식별 정보에 기반하여 해당 패킷이 컨트롤러(1230)로 전송되어야 하는 제어 데이터 패킷인지 결정할 수 있다. 또한, 제1 게이트웨이(1220)는 수신된 컨트롤러 접속 요청 패킷에 대한 유효성 검사를 수행할 수 있다. 제1 게이트웨이(1220)는 유효성 검사 결과에 기초하여 해당 패킷이 컨트롤러(1230)로 전송 가능한 제어 데이터 패킷인지 결정할 수 있다.
게이트웨이(1220)는 수신된 데이터 패킷이 컨트롤러(1230)로 전송할 제어 데이터 패킷으로 확인된 경우, 컨트롤러(1230)에 의해 사전 할당된 게이트웨이 식별 정보를 해당 패킷의 게이트웨이 헤더 영역에 추가한 후 해당 패킷을 컨트롤러(1230)로 전송할 수 있다.
이때, 게이트웨이 헤더 영역에 포함되는 헤더 정보는 해당 게이트웨이를 해당 네트워크 내에서 고유하게 식별하기 위한 고유 식별 정보일 수 있으나, 이는 하나의 실시 예에 불과하며, 임의의 난수 발생을 통해 생성되는 정보로써 컨트롤러(1230)에 의해 식별 가능한 모든 요소를 포함할 수 있다. 실시 예로, 컨트롤러(1230)는 난수 생성을 위한 소정 키 값을 게이트웨이에 전송할 수 있다. 컨트롤러(1230)는 상기 전송된 키 값에 기반하여 패킷에 포함된 게이트웨이 헤더 정보를 복호하여 게이트웨이를 식별할 수 있다.
3) 접속 갱신 요청 확인 단계(S1230)
컨트롤러(1230)는 제1 게이트웨이로(1220)부터 수신된 제어 데이터 패킷에서 제1 게이트웨이(1220)에 의해 추가된 헤더 정보를 식별하고, 식별된 헤더 정보에 기반하여 해당 단말(1210)로부터의 제어 데이터 패킷이 인가된 네트워크 경로를 통해서 수신되었는지 여부를 확인할 수 있다.
컨트롤러(1230)는 접속 갱신 요청 패킷에 포함된 제어 플로우 ID를 제어 플로우 테이블에서 탐색하여 해당 제어 플로우 존재하는지 확인할 수 있다.
만약, 해당 제어 플로우 ID 가 제어 플로우 테이블에 존재하지 않는 경우, 컨트롤러(1230)는 접속 갱신 불가 패킷을 단말(1210)의 접속 제어 애플리케이션으로 전송할 수 있다.
여기서, 접속 갱신 불가 패킷은 접속 갱신 요청에 대한 응답 코드인 상태 필드가 '비정상'에 상응하는 값-예를 들면, 1-로 설정되어 전송될 수 있다.
Figure 112020076756816-pat00007
<암호화 및 캡슐화 이전의 접속 갱신 불가 패킷>
만약, 제어 플로우 ID에 상응하는 제어 플로우가 제어 플로우 테이블에 존재하는 경우, 컨트롤러(1230)는 식별된 접속 제어 네트워크 경계의 게이트웨이 정보와 제어 플로우 상의 게이트웨이 정보가 동일한지 여부를 확인할 수 있다.
만약, 동일하지 않은 경우, 컨트롤러(1230)는 이전에 연결되었던 게이트웨이-즉, 제2 게이트웨이(1240)-로 터널 해제 요청 패킷을 전송할 수 있다.
컨트롤러(1230)는 식별된 접속 제어 네트워크 경계가 접속 정책에 따라 단말(1210)이 접속할 수 있는지 여부를 확인할 수 있다.
만약, 접속할 수 없는 단말인 경우, 컨트롤러(1230)는 접속 갱신 불가 패킷을 단말(1210)에 전송할 수 있다.
접속 갱신 불가 패킷은 접속 갱신 요청에 대한 응답 코드인 상태 필드가 단말 상태가'비정상'임을 지시하는 값으로 설정되어 전송될 수 있다.
Figure 112020076756816-pat00008
<암호화 및 캡슐화 이전의 접속 갱신 불가 패킷>
단말(1210)이 통신 경로상에서 접속 제어 필요한 네트워크에 존재하는지 여부를 확인할 수 있다.
만약, 접속 제어가 필요한 네트워크에 존재하는 경우, 컨트롤러(1230)는 갱신된 접속 정책 정보, 유효성 검사 정보, 터널 생성 정보를 반환할 수 있다.
컨트롤러(1230)는 접속 요청 신호에 대한 응답 코드인 상태 필드가 '정상'에 상응하는 값-예를 들면, 0-으로 설정되고, 접속 정책 정보 및 터널 생성 정보가 포함된 접속 갱신 요청 확인 패킷을 제1 게이트웨이(1220)를 통해 단말(1210)에 전송할 수 있다.
Figure 112020076756816-pat00009
<암호화 및 캡슐화 이전의 접속 갱신 요청 확인 패킷>
또한, 컨트롤러(1230)는 액션 코드 필드가 터널 생성(creattunnel)으로 설정되고, 데이터 필드에 새로 생성할 터널 생성 정보가 포함된 터널 생성 정보 패킷을 제1 게이트웨이(1220)로 전송할 수 있다.
Figure 112020076756816-pat00010
<암호화 및 캡슐화 이전의 터널 생성 정보 패킷>
만약, 생성에 필요로 하는 터널 정책이 존재하지 않는 경우, 컨트롤러(1230)는 접속 갱신 불가 패킷을 단말(1210)에 전송할 수 있다.
새로운 게이트웨이 연결을 필요로 하지 않는 경우, 컨트롤러(1230)는 제1 게이트웨이(1220)로 터널 생성 정보 패킷을 전송하지 않고, 접속 갱신 요청 완료 패킷을 단말(1210)에 전송할 수 있다.
4) 터널 제거 정보 수신 단계(S1240)
컨트롤러(1230)는 새로운 터널 생성이 필요한 것으로 확인된 경우, 단말(1210)의 기존 게이트웨이-즉, 제2 게이트웨이(1240)-로 터널 제거 요청 패킷을 전송할 수 있다.
제2 게이트웨이(1240)는 터널 제거 요청 패킷에 따라 해당 터널을 제거할 수 있다.
5) 결과 값 처리 단계(S1250)
단말(1210)의 접속 제어 애플리케이션은 컨트롤러(1230)로부터 접속 요청에 대한 응답-즉, 결과 값-에 기초하여 결과 값 처리를 수행할 수 있다.
확인 결과, 새로운 게이트웨이와의 터널 생성이 필요한 경우,
6) 터널 생성 여부 확인 단계(S1260)
단말(1210)은 접속 갱신 요청이 성공한 경우, 새로운 게이트웨이와 터널 생성이 필요한지 확인할 수 있다.
7) 터널 생성 요청 단계(S1270)
터널 생성 여부 확인 결과, 새로운 게이트웨이인 제1 게이트웨이(1220)와의 터널 생성이 필요한 경우, 접속 제어 애플리케이션은 터널 생성 요청 패킷을 제1 게이트웨이(1220)로 전송할 수 있다.
8) 터널 생성 요청 처리 단계(S1280)
제1 게이트웨이(1220)는 단말(1210)로부터 터널 생성 요청 패킷 수신 시 단말(1210)에 상응하여 기 수신된 터널 생성 정보를 이용하여 새로운 터널을 단말(1210)과 설정할 수 있다.
도 13는 상기 도 1 내지 도 12의 다양한 실시 예들에 따른 단말 또는 발신지 노드의 기능적 블록도를 나타낸다.
도 13을 참조하면, 단말(또는 발신지 노드)(1300)는 프로세서(1310), 메모리(1320), 및 통신 회로(1330)을 포함할 수 있다. 일 실시 예에 따르면, 단말(1300)은 사용자와 인터페이스를 수행하기 위하여 디스플레이(1340)를 더 포함할 수 있다.
프로세서(1310)는 단말의 전반적인 동작을 제어할 수 있다. 다양한 실시 예들에서, 프로세서(1310)는 하나의 프로세서 코어(single core)를 포함하거나, 복수의 프로세서 코어들을 포함할 수 있다. 예를 들면, 프로세서(1310)는 듀얼 코어(dual-core), 쿼드 코어(quad-core), 헥사 코어(hexa-core) 등의 멀티 코어(multi-core)를 포함할 수 있다. 실시 예들에 따라, 프로세서(1310)는 내부 또는 외부에 위치된 캐시 메모리(cache memory)를 더 포함할 수 있다. 실시 예들에 따라, 프로세서(1310)는 하나 이상의 프로세서들로 구성될(configured with) 수 있다. 예를들면, 프로세서(1310)는, 애플리케이션 프로세서(application processor), 통신 프로세서(communication processor), 또는 GPU(graphical processing unit) 중 적어도 하나를 포함할 수 있다.
프로세서(1310)의 전부 또는 일부는 단말 내의 다른 구성 요소(예를 들면, 메모리(1320), 통신 회로(1330), 또는 디스플레이(1340))와 전기적으로(electrically) 또는 작동적으로(operatively) 결합(coupled with)되거나 연결될(connected to) 수 있다. 프로세서(1310)는 단말의 다른 구성 요소들의 명령을 수신할 수 있고, 수신된 명령을 해석할 수 있으며, 해석된 명령에 따라 계산을 수행하거나 데이터를 처리할 수 있다.
프로세서(1310)는 메모리(1320), 통신 회로(1330), 또는 디스플레이(1340)로부터 수신되는 메시지, 데이터, 명령어, 또는 신호를 해석할 수 있고, 가공할 수 있다.
프로세서(1310)는 수신된 메시지, 데이터, 명령어, 또는 신호에 기반하여 새로운 메시지, 데이터, 명령어, 또는 신호를 생성할 수 있다. 프로세서(1310)는 가공되거나 생성된 메시지, 데이터, 명령어, 또는 신호를 메모리(1320), 통신 회로(1330), 또는 디스플레이(1340)에게 제공할 수 있다.
프로세서(1310)는 프로그램에서 생성되거나 발생되는 데이터 또는 신호를 처리할 수 있다. 예를 들면, 프로세서(1310)는 프로그램을 실행하거나 제어하기 위해 메모리(1320)에게 명령어, 데이터 또는 신호를 요청할 수 있다.
프로세서(1310)는 프로그램을 실행하거나 제어하기 위해 메모리(1320)에게 명령어, 데이터, 또는 신호를 기록(또는 저장)하거나 갱신할 수 있다.
메모리(1320)는 단말(1300)을 제어하는 명령어, 제어 명령어 코드, 제어 데이터, 또는 사용자 데이터를 저장할 수 있다. 예를 들면, 메모리(1320)는 애플리케이션(application) 프로그램, OS(operating system), 미들웨어(middleware), 또는 디바이스 드라이버(device driver) 중 적어도 하나를 포함할 수 있다.
메모리(1320)는 휘발성 메모리(volatile memory) 또는 불휘발성(non-volatile memory) 중 하나 이상을 포함할 수 있다. 휘발성 메모리는 DRAM(dynamic random access memory), SRAM(static RAM), SDRAM(synchronous DRAM), PRAM(phase-change RAM), MRAM(magnetic RAM), RRAM(resistive RAM), FeRAM(ferroelectric RAM) 등을 포함할 수 있다. 불휘발성 메모리는 ROM(read only memory), PROM(programmable ROM), EPROM(electrically programmable ROM), EEPROM(electrically erasable programmable ROM), 플래시 메모리(flash memory) 등을 포함할 수 있다.
메모리(1320)는 하드 디스크 드라이브(HDD, hard disk drive), 솔리드 스테이트 디스크(SSD, solid state disk), eMMC(embedded multimedia card), UFS(universal flash storage)와 같은 불휘발성 매체(medium)를 더 포함할 수 있다.
일 실시예에 따르면, 메모리(1320)는 컨트롤러의 메모리(미도시)에 포함된 정보 중 일부를 저장할 수도 있다. 예를 들어, 메모리(1320)는 터널 테이블 및 제어 플로우 테이블 등을 저장할 수 있다.
통신 회로(1330)는 단말과 외부 전자 장치(예: 컨트롤러 또는 게이트웨이)간의 유선 또는 무선 통신 연결의 수립, 및 수립된 연결을 통한 통신 수행을 지원할 수 있다. 일 실시 예에 따르면, 통신 회로(1330)는 무선 통신 회로(예: 셀룰러 통신 회로, 근거리 무선 통신 회로, 또는 GNSS(global navigation satellite system) 통신 회로) 또는 유선 통신 회로(예: LAN(local area network) 통신 회로, 또는 전력선 통신 회로)를 포함하고, 그 중 해당하는 통신 회로를 이용하여 블루투스, WiFi direct 또는 IrDA(infrared data association) 같은 근거리 통신 네트워크 또는 셀룰러 네트워크, 인터넷, 또는 컴퓨터 네트워크와 같은 원거리 통신 네트워크를 통하여 외부 전자 장치와 통신할 수 있다. 상술한 여러 종류의 통신 회로(1330)는 하나의 칩으로 구현되거나 또는 각각 별도의 칩으로 구현될 수 있다.
디스플레이(1340)는, 컨텐츠, 데이터, 또는 신호를 출력할 수 있다. 다양한 실시 예들에서, 디스플레이(1340)는 프로세서(1310)에 의해 가공된 이미지 데이터를 표시할 수 있다. 실시예들에 따라, 디스플레이(1340)는 터치 입력 등을 수신할 수 있는 복수의 터치 센서들(미도시)과 결합됨으로써, 일체형의 터치 스크린(touch screen)으로 구성될(configured with) 수도 있다. 디스플레이(1340)가 터치 스크린으로 구성되는 경우, 상기 복수의 터치 센서들은, 디스플레이(1340) 위에 배치되거나, 디스플레이(1340) 아래에 배치될 수 있다.
이상의 설명은 본 발명의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 따라서, 본 발명에 개시된 실시 예들은 본 발명의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시 예에 의하여 본 발명의 기술 사상의 범위가 한정되는 것은 아니다. 본 발명의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 할 것이다.

Claims (20)

  1. 네트워크 경계에서 컨트롤러 및 게이트웨이와 연동하는 단말에 있어서,
    통신 회로;
    상기 통신 회로와 작동적으로 연결되는 프로세서; 및
    상기 프로세서와 작동적으로 연결되고, 접속 제어 애플리케이션을 저장하는 메모리를 포함하고,
    상기 프로세서가,
    컨트롤러 접속 이벤트 감지에 따라 상기 접속 제어 애플리케이션을 실행하여 상기 통신 회로를 통해 상기 컨트롤러와의 제어 플로우를 생성하기 위한 컨트롤러 접속 요청 패킷을 전송하고, 상기 컨트롤러 접속 요청 패킷에 대한 응답 패킷에 기초하여 기본 게이트웨이로 터널 생성 요청 패킷을 전송하여 터널을 생성하고, 상기 생성된 터널을 이용하여 데이터 패킷을 전송하며,
    상기 제어 플로우는 상기 단말과 상기 컨트롤러 사이에 제어 데이터 패킷의 흐름을 관리하기 위한 세션을 의미하고,
    상기 터널은 상기 제어 플로우에 종속되는 것을 특징으로 하는 단말.
  2. 삭제
  3. 제1항에 있어서,
    상기 제어 데이터 패킷이 상기 기본 게이트웨이를 경유하여 상기 컨트롤러로 전송되는 경우, 상기 기본 게이트웨이에 상응하는 게이트웨이 식별 정보가 상기 제어 데이터 패킷의 헤더 일측에 추가된 후 상기 컨트롤러로 전송되는 것을 특징으로 하는 단말.
  4. 제3항에 있어서,
    상기 제어 데이터 패킷에 포함된 상기 게이트웨이 식별 정보에 기반하여 통신 경로가 식별되고,
    상기 제어 데이터 패킷이 인가된 통신 경로를 통해 수신되고 상기 단말이 미리 저장된 블랙리스트에 포함되지 않은 경우, 상기 단말과 상기 컨트롤러 사이에 상기 제어 플로우가 생성되는 것을 특징으로 하는 단말.
  5. 제3항에 있어서,
    상기 제어 데이터 패킷이 복수의 게이트웨이를 경유하는 경우, 경유 순서에 따라 순차적으로 해당 게이트웨이 식별 정보가 해당 제어 데이터 패킷의 헤더 일측에 추가되는 것을 특징으로 하는 단말.
  6. 제3항에 있어서,
    상기 응답 패킷이 상기 컨트롤러로의 접속 요청이 성공하였음을 지시하는 경우, 상기 응답 패킷은 제어 플로우 ID 정보, 접속 정책 정보, 유효성 검사 정보 및 터널 생성 정보 중 적어도 하나를 포함하고, 상기 단말이 접속 제어를 필요로 하는 네트워크에 존재하거나 미리 설정된 정책에 따라 지정된 네트워크를 통해 접속되어야 하는 경우, 상기 터널 생성 정보에 기초하여 상기 기본 게이트웨이와 터널을 생성하는 것을 특징으로 하는 단말.
  7. 제6항에 있어서,
    상기 터널 생성 정보는 터널 종료 정보, 터널 방식 정보, 인증 정보, 터널 종료 포인트 IP 주소 및 포트 정보 중 적어도 하나를 포함하는 것을 특징으로 하는 단말.
  8. 제1항에 있어서,
    상기 프로세서는 컨트롤러 접속 갱신 요청 패킷을 전송하고, 상기 컨트롤러 접속 갱신 요청 패킷에 대한 응답으로 수신된 터널 생성 정보에 기초하여 새로운 게이트웨이로 터널 생성을 요청하여 터널을 생성하고, 상기 기본 게이트웨이와 설정된 터널을 해제하는 것을 특징으로 하는 단말.
  9. 제8항에 있어서,
    상기 프로세서는 일정 시간 간격 또는 네트워크 접속 정보가 변경된 경우, 상기 컨트롤러 접속 갱신 요청 패킷을 전송하는 것을 특징으로 하는 단말.
  10. 컨트롤러 접속 이벤트 감지에 따라 탑재된 접속 제어 애플리케이션을 실행하여 컨트롤러와의 제어 플로우 생성을 위한 컨트롤러 접속 요청 패킷을 전송하는 단말;
    수신된 데이터 패킷의 헤더를 분석하여 해당 데이터 패킷이 인가된 통신 경로를 통해 수신되었는지 여부를 판단하여 상기 단말을 위한 제어 플로우를 생성하고, 제어 플로우 정책에 따라 해당 단말을 위해 사용될 기본 게이트웨이를 식별하고, 터널 정책에 따라 상기 단말과 상기 기본 게이트웨이 사이의 터널 생성에 필요한 터널 생성 정보를 생성하는 컨트롤러; 및
    수신된 데이터 패킷이 컨트롤러로 전송될 제어 데이터 패킷인 경우, 해당 제어 데이터 패킷의 헤더 일측에 자신의 식별 정보를 추가하고, 상기 컨트롤러부터 상기 터널 생성 정보를 수신한 후 상기 단말로부터 터널 생성 요청 패킷을 수신하면, 상기 단말과 터널을 생성하는 게이트웨이
    를 포함하고,
    상기 제어 플로우는 상기 단말과 상기 컨트롤러 사이에 제어 데이터 패킷의 흐름을 관리하기 위한 세션을 의미하고,
    상기 터널은 상기 제어 플로우에 종속되는 터널 기반 접속성 관리 시스템.
  11. 적어도 하나의 게이트웨이를 통해 컨트롤러와 연동되는 단말에서의 터널 기반 접속성 관리 방법에 있어서,
    컨트롤러 접속 이벤트 감지에 따라 탑재된 접속 제어 애플리케이션을 실행하여 상기 컨트롤러와의 제어 플로우 생성을 위한 컨트롤러 접속 요청 패킷을 전송하는 단계;
    상기 컨트롤러 접속 요청 패킷에 대한 응답 패킷을 수신하는 단계;
    상기 응답 패킷에 기초하여 기본 게이트웨이로 터널 생성 요청 패킷을 전송하는 단계; 및
    상기 기본 게이트웨이와 터널을 생성하는 단계; 및
    상기 생성된 터널을 이용하여 데이터 패킷을 전송하는 단계
    를 포함하고,
    상기 제어 플로우는 상기 단말과 상기 컨트롤러 사이에 제어 데이터 패킷의 흐름을 관리하기 위한 세션을 의미하고,
    상기 터널은 상기 제어 플로우에 종속되는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
  12. 삭제
  13. 제11항에 있어서,
    상기 제어 데이터 패킷이 상기 기본 게이트웨이를 경유하여 상기 컨트롤러로 전송되는 경우, 상기 기본 게이트웨이에 상응하는 게이트웨이 식별 정보가 상기 제어 데이터 패킷의 헤더 일측에 추가된 후 상기 컨트롤러로 전송되는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
  14. 제13항에 있어서,
    상기 제어 데이터 패킷에 포함된 상기 게이트웨이 식별 정보에 기반하여 통신 경로가 식별되며,
    상기 제어 데이터 패킷이 인가된 통신 경로를 통해 수신되고 상기 단말이 미리 저장된 블랙리스트에 포함되지 않은 경우 상기 단말과 상기 컨트롤러 사이에 상기 제어 플로우가 생성되는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
  15. 제13항에 있어서,
    상기 제어 데이터 패킷이 복수의 게이트웨이를 경유하는 경우, 경유 순서에 따라 순차적으로 해당 게이트웨이 식별 정보가 상기 제어 데이터 패킷의 헤더 일측에 추가되는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
  16. 제13항에 있어서,
    상기 응답 패킷이 상기 컨트롤러로의 접속 요청이 성공하였음을 지시하는 경우, 상기 응답 패킷은 제어 플로우 ID 정보, 접속 정책 정보, 유효성 검사 정보 및 터널 생성 정보 중 적어도 하나를 포함하고,
    상기 단말이 접속 제어를 필요로 하는 네트워크에 존재하거나 미리 설정된 정책에 따라 지정된 네트워크를 통해 접속되어야 하는 경우, 상기 터널 생성 정보에 기초하여 상기 기본 게이트웨이와 터널을 생성하는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
  17. 제16항에 있어서,
    상기 터널 생성 정보는 터널 종료 정보, 터널 방식 정보, 인증 정보, 터널 종료 포인트 IP 주소 및 포트 정보 중 적어도 하나를 포함하는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
  18. 제11항에 있어서,
    컨트롤러 접속 갱신 요청 패킷을 전송하는 단계;
    새로운 터널 생성 정보 및 새로운 게이트웨이 식별 정보가 포함된 접속 갱신 응답 패킷을 수신하는 단계; 및
    상기 새로운 터널 생성 정보에 기초하여 새로운 게이트웨이로 터널 생성을 요청하여 터널을 생성하는 단계
    를 더 포함하고, 상기 기본 게이트웨이와 설정된 터널은 해제되는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
  19. 제18항에 있어서,
    주기적 또는 네트워크 접속 정보가 변경된 경우, 상기 컨트롤러 접속 갱신 요청 패킷이 전송되는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
  20. 제18항에 있어서,
    상기 컨트롤러로의 접속에 실패한 경우, 네트워크 접속에 실패하였음을 지시하는 소정 알림 메시지를 화면에 출력하는 단계
    를 더 포함하는 것을 특징으로 하는 터널 기반 접속성 관리 방법.
KR1020200091275A 2019-09-24 2020-07-22 터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템 KR102204143B1 (ko)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
US16/580,974 2019-09-24
US16/580,866 2019-09-24
US16/580,974 US11381557B2 (en) 2019-09-24 2019-09-24 Secure data transmission using a controlled node flow
US16/580,866 US11190494B2 (en) 2019-09-24 2019-09-24 Application whitelist using a controlled node flow

Publications (1)

Publication Number Publication Date
KR102204143B1 true KR102204143B1 (ko) 2021-01-18

Family

ID=71136887

Family Applications (13)

Application Number Title Priority Date Filing Date
KR1020200030721A KR102119257B1 (ko) 2019-09-24 2020-03-12 터널에 기반하여 단말의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR1020200045525A KR102204705B1 (ko) 2019-09-24 2020-04-14 네트워크 접속 제어 시스템 및 그 방법
KR1020200045526A KR102146568B1 (ko) 2019-09-24 2020-04-14 네트워크 접속 제어 시스템 및 그 방법
KR1020200057169A KR102178003B1 (ko) 2019-09-24 2020-05-13 네트워크 접속 제어 시스템 및 그 방법
KR1020200057171A KR102137773B1 (ko) 2019-09-24 2020-05-13 보안 애플리케이션을 통해 안전한 데이터를 전송하기 위한 시스템 및 그에 관한 방법
KR1020200057168A KR102175772B1 (ko) 2019-09-24 2020-05-13 컨트롤러 기반 데이터 전송 시스템 및 방법
KR1020200057170A KR102152314B1 (ko) 2019-09-24 2020-05-13 데이터 플로우 제어 기반 데이터 전송 시스템 및 방법
KR1020200084912A KR102181185B1 (ko) 2019-09-24 2020-07-09 단말의 안전한 네트워크 접속을 위한 시스템 및 방법
KR1020200091275A KR102204143B1 (ko) 2019-09-24 2020-07-22 터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템
KR1020200098163A KR102206562B1 (ko) 2019-09-24 2020-08-05 원격 실행 코드 기반 노드의 제어 플로우 관리 시스템 및 그에 관한 방법
KR1020200100062A KR102223827B1 (ko) 2019-09-24 2020-08-10 단말의 네트워크 접속을 인증 및 제어하기 위한 시스템 및 그에 관한 방법
KR1020200105345A KR102250505B1 (ko) 2019-09-24 2020-08-21 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR1020200117543A KR102274617B1 (ko) 2019-09-24 2020-09-14 제어 데이터 패킷을 보호하기 위한 시스템 및 그에 관한 방법

Family Applications Before (8)

Application Number Title Priority Date Filing Date
KR1020200030721A KR102119257B1 (ko) 2019-09-24 2020-03-12 터널에 기반하여 단말의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR1020200045525A KR102204705B1 (ko) 2019-09-24 2020-04-14 네트워크 접속 제어 시스템 및 그 방법
KR1020200045526A KR102146568B1 (ko) 2019-09-24 2020-04-14 네트워크 접속 제어 시스템 및 그 방법
KR1020200057169A KR102178003B1 (ko) 2019-09-24 2020-05-13 네트워크 접속 제어 시스템 및 그 방법
KR1020200057171A KR102137773B1 (ko) 2019-09-24 2020-05-13 보안 애플리케이션을 통해 안전한 데이터를 전송하기 위한 시스템 및 그에 관한 방법
KR1020200057168A KR102175772B1 (ko) 2019-09-24 2020-05-13 컨트롤러 기반 데이터 전송 시스템 및 방법
KR1020200057170A KR102152314B1 (ko) 2019-09-24 2020-05-13 데이터 플로우 제어 기반 데이터 전송 시스템 및 방법
KR1020200084912A KR102181185B1 (ko) 2019-09-24 2020-07-09 단말의 안전한 네트워크 접속을 위한 시스템 및 방법

Family Applications After (4)

Application Number Title Priority Date Filing Date
KR1020200098163A KR102206562B1 (ko) 2019-09-24 2020-08-05 원격 실행 코드 기반 노드의 제어 플로우 관리 시스템 및 그에 관한 방법
KR1020200100062A KR102223827B1 (ko) 2019-09-24 2020-08-10 단말의 네트워크 접속을 인증 및 제어하기 위한 시스템 및 그에 관한 방법
KR1020200105345A KR102250505B1 (ko) 2019-09-24 2020-08-21 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR1020200117543A KR102274617B1 (ko) 2019-09-24 2020-09-14 제어 데이터 패킷을 보호하기 위한 시스템 및 그에 관한 방법

Country Status (4)

Country Link
EP (2) EP3879785A1 (ko)
JP (2) JP7148173B2 (ko)
KR (13) KR102119257B1 (ko)
WO (4) WO2021060853A1 (ko)

Families Citing this family (53)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11082256B2 (en) 2019-09-24 2021-08-03 Pribit Technology, Inc. System for controlling network access of terminal based on tunnel and method thereof
US11381557B2 (en) 2019-09-24 2022-07-05 Pribit Technology, Inc. Secure data transmission using a controlled node flow
US11271777B2 (en) 2019-09-24 2022-03-08 Pribit Technology, Inc. System for controlling network access of terminal based on tunnel and method thereof
KR102119257B1 (ko) * 2019-09-24 2020-06-26 프라이빗테크놀로지 주식회사 터널에 기반하여 단말의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
US11652801B2 (en) 2019-09-24 2023-05-16 Pribit Technology, Inc. Network access control system and method therefor
US11190494B2 (en) 2019-09-24 2021-11-30 Pribit Technology, Inc. Application whitelist using a controlled node flow
KR102364445B1 (ko) * 2021-04-28 2022-02-18 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102333554B1 (ko) * 2021-04-28 2021-12-01 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102333555B1 (ko) * 2021-05-07 2021-12-01 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102358595B1 (ko) * 2021-05-07 2022-02-08 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102333553B1 (ko) * 2021-05-07 2021-12-01 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102377245B1 (ko) * 2021-05-28 2022-03-23 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102377247B1 (ko) * 2021-06-09 2022-03-23 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102377246B1 (ko) * 2021-06-10 2022-03-23 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102377248B1 (ko) * 2021-06-10 2022-03-23 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102371181B1 (ko) * 2021-08-26 2022-03-07 주식회사 엠엘소프트 에이전트어플리케이션이 설치된 사용자단말 및 사용자단말과 통신을 수행하는 서버시스템에서 수행되는 통신 보안방법
KR102349039B1 (ko) * 2021-08-31 2022-01-11 프라이빗테크놀로지 주식회사 분산 게이트웨이 환경에 최적화된 제어 데이터 패킷 처리 시스템 및 그에 관한 방법
KR102349038B1 (ko) * 2021-09-02 2022-01-11 프라이빗테크놀로지 주식회사 분산 게이트웨이 환경에 최적화된 터널링 및 게이트웨이 접속 시스템 및 그에 관한 방법
KR102365775B1 (ko) * 2021-09-02 2022-02-23 프라이빗테크놀로지 주식회사 분산 게이트웨이 환경에서 과금 기준 경로 설정 처리 시스템 및 그에 관한 방법
KR102379720B1 (ko) * 2021-09-03 2022-03-29 프라이빗테크놀로지 주식회사 가상화 단말에서 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법
KR102379721B1 (ko) * 2021-09-03 2022-03-29 프라이빗테크놀로지 주식회사 Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102309116B1 (ko) * 2021-09-07 2021-10-08 프라이빗테크놀로지 주식회사 데이터 플로우 기반 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102309115B1 (ko) * 2021-09-07 2021-10-08 프라이빗테크놀로지 주식회사 데이터 플로우 기반 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102407135B1 (ko) * 2021-10-20 2022-06-10 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102407136B1 (ko) * 2021-11-15 2022-06-13 프라이빗테크놀로지 주식회사 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102460691B1 (ko) * 2021-11-15 2022-10-31 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102460692B1 (ko) * 2021-11-18 2022-10-31 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
CN114157472B (zh) * 2021-11-29 2024-02-23 深信服科技股份有限公司 一种网络访问控制方法、装置、设备及存储介质
CN113905109B (zh) * 2021-12-08 2022-03-22 深圳竹云科技有限公司 零信任网络数据传输方法、装置、设备及计算机存储介质
KR102430881B1 (ko) * 2021-12-13 2022-08-09 에스지에이솔루션즈 주식회사 서버 단말 연결 망의 보안위협과 보안 커널을 연계한 사용자의 경로 및 행위의 가시화 방법, 장치 및 컴퓨터-판독가능 기록매체
CN114301690B (zh) * 2021-12-29 2024-02-23 中国电信股份有限公司 动态网络隔离方法及装置、存储介质、终端设备
KR20230106427A (ko) 2022-01-06 2023-07-13 부산대학교 산학협력단 분기 태그 지정 확장을 위한 리스크 파이브 아키텍처 명령어 확장을 위한 장치 및 방법
KR102427663B1 (ko) * 2022-01-14 2022-08-02 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102396528B1 (ko) * 2022-01-14 2022-05-12 프라이빗테크놀로지 주식회사 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102410552B1 (ko) * 2022-01-26 2022-06-22 프라이빗테크놀로지 주식회사 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
KR102439880B1 (ko) * 2022-01-26 2022-09-05 프라이빗테크놀로지 주식회사 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
KR102439881B1 (ko) * 2022-01-27 2022-09-05 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102460693B1 (ko) * 2022-02-23 2022-10-31 프라이빗테크놀로지 주식회사 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
KR102460695B1 (ko) * 2022-02-24 2022-10-31 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102460694B1 (ko) * 2022-02-24 2022-10-31 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102502367B1 (ko) * 2022-03-17 2023-02-23 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102472554B1 (ko) * 2022-03-31 2022-12-01 프라이빗테크놀로지 주식회사 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102495369B1 (ko) * 2022-04-25 2023-02-06 프라이빗테크놀로지 주식회사 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102514618B1 (ko) * 2022-04-26 2023-03-29 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102495370B1 (ko) * 2022-04-28 2023-02-06 프라이빗테크놀로지 주식회사 프록시에 기반하여 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
KR102491627B1 (ko) * 2022-07-20 2023-01-27 주식회사 안랩 게이트웨이 장치와 그 접속 처리 방법
KR102584579B1 (ko) * 2022-09-29 2023-10-05 주식회사 신시웨이 SaaS 기반 데이터베이스 접근제어 게이트웨이 서비스 시스템 및 방법
KR102600442B1 (ko) * 2023-02-21 2023-11-10 프라이빗테크놀로지 주식회사 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102600443B1 (ko) * 2023-02-21 2023-11-10 프라이빗테크놀로지 주식회사 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102564418B1 (ko) * 2023-02-22 2023-08-08 프라이빗테크놀로지 주식회사 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102583604B1 (ko) * 2023-03-24 2023-10-06 프라이빗테크놀로지 주식회사 논리적 연결 식별 기반 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법
KR102554200B1 (ko) * 2023-04-11 2023-07-12 프라이빗테크놀로지 주식회사 논리적 연결 식별 기반 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법
CN116437349B (zh) * 2023-06-13 2023-09-05 武汉博易讯信息科技有限公司 对移动网络进行访问控制的方法、装置、设备及介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20150013453A (ko) * 2012-05-10 2015-02-05 삼성전자주식회사 데이터 패킷들의 업링크 및 다운링크 동안 비연결형 전송을 위한 방법 및 시스템
KR101561108B1 (ko) * 2014-05-07 2015-10-16 성균관대학교산학협력단 소프트웨어 정의 네트워크에 기반한 프록시 모바일 IPv6환경에서의 데이터 통신 방법 및 핸드오버 방법
KR20190036504A (ko) * 2017-09-27 2019-04-04 사이트릭스 시스템스, 인크. 클라이언트 애플리케이션들에 대한 보안 싱글 사인 온 및 조건부 액세스

Family Cites Families (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100415554B1 (ko) * 2001-05-21 2004-01-24 한국전자통신연구원 정보 보호 인터넷 프로토콜 패킷의 송수신 방법
KR20030075810A (ko) * 2002-03-20 2003-09-26 유디에스 주식회사 공인네트워크와 비공인네트워크 사이에서의 데이터 통신시스템 및 그 방법
US20050273853A1 (en) * 2004-05-24 2005-12-08 Toshiba America Research, Inc. Quarantine networking
KR20070037650A (ko) * 2004-07-23 2007-04-05 사이트릭스 시스템스, 인크. 종단에서 게이트웨이로 패킷을 라우팅하기 위한 방법 및시스템
US7280826B2 (en) * 2005-02-01 2007-10-09 Telefonaktiebolaget Lm Ericsson (Publ) Method, system and apparatus for providing security in an unlicensed mobile access network or a generic access network
KR100692653B1 (ko) * 2005-11-15 2007-03-13 주식회사 케이티프리텔 무선 인터넷 데이터 중계 방법 및 이를 이용한 무선 인터넷데이터를 위한 액세스 게이트웨이 시스템
JP4727460B2 (ja) * 2006-03-09 2011-07-20 株式会社エヌ・ティ・ティ・データ Ｖｐｎ管理装置、プログラム及びｖｐｎ管理方法
KR100748698B1 (ko) * 2006-03-17 2007-08-13 삼성전자주식회사 보안 통신 시스템의 패킷 처리 방법 및 그 장치
JP5239341B2 (ja) * 2008-01-08 2013-07-17 日本電気株式会社 ゲートウェイ、中継方法及びプログラム
JP2011015327A (ja) * 2009-07-06 2011-01-20 Fujitsu Ltd 通信管理装置および通信管理プログラム
TWI519098B (zh) * 2009-12-28 2016-01-21 內數位專利控股公司 機器對機器閘道架構
JP5413737B2 (ja) * 2010-02-15 2014-02-12 日本電気株式会社 ネットワークシステム、及び経路情報更新方法
US8504818B2 (en) * 2010-04-15 2013-08-06 Microsoft Corporation Method and system for reliable protocol tunneling over HTTP
RU2562438C2 (ru) * 2010-09-09 2015-09-10 Нек Корпорейшн Сетевая система и способ управления сетью
KR101730954B1 (ko) * 2010-11-01 2017-04-27 에스케이텔레콤 주식회사 애플리케이션을 통한 보안 서비스 제공 시스템 및 방법, 그리고 이에 적용되는 장치
US9529996B2 (en) * 2011-10-11 2016-12-27 Citrix Systems, Inc. Controlling mobile device access to enterprise resources
US9973501B2 (en) * 2012-10-09 2018-05-15 Cupp Computing As Transaction security systems and methods
EP3633954B1 (en) 2012-10-15 2022-08-10 Citrix Systems, Inc. Providing virtualized private network tunnels
KR20140055857A (ko) * 2012-11-01 2014-05-09 주식회사 케이티 이종망간 이동성 제공 시스템 및 방법
KR101481337B1 (ko) * 2013-11-25 2015-01-21 숭실대학교산학협력단 소프트웨어 정의 네트워크 기반 이동통신 시스템 및 이의 단말 접속 처리 방법
KR102245362B1 (ko) * 2014-01-24 2021-04-28 엘지전자 주식회사 서로 다른 통신 프로토콜을 사용하는 디바이스들 간 무선 네트워크 연결을 제어하기 위한 방법 및 이를 위한 프로그램이 기록된 컴퓨터로 읽을 수 있는 기록 매체
EP3142305A4 (en) * 2014-05-27 2017-06-07 Huawei Technologies Co. Ltd. Flow table management method and relevant device and system
KR101755829B1 (ko) * 2014-09-05 2017-07-07 주식회사 케이티 Ｓｄｎ 환경에서 ａｒｐ 처리 방법 및 장치
EP3770781B1 (en) 2014-09-30 2022-06-08 Citrix Systems, Inc. Fast smart card logon and federated full domain logon
US9148408B1 (en) * 2014-10-06 2015-09-29 Cryptzone North America, Inc. Systems and methods for protecting network devices
KR102272838B1 (ko) * 2014-11-11 2021-07-06 삼성전자주식회사 이동통신 네트워크를 통한 데이터 서비스 제공 방법 및 장치
KR101578193B1 (ko) * 2014-12-31 2015-12-16 (주)넷비젼텔레콤 소프트웨어 정의 네트워크 기술을 사용하는 엑세스 게이트웨이 제어시스템 및 그 제어방법
CN107210956A (zh) * 2015-02-05 2017-09-26 科里普特佐内北美股份有限公司 多隧道虚拟网络适配器
KR20160123069A (ko) * 2015-04-15 2016-10-25 한국전자통신연구원 단말의 통합 인증 방법 및 그 장치
US10432592B2 (en) 2015-05-10 2019-10-01 Citrix Systems, Inc. Password encryption for hybrid cloud services
WO2016190641A1 (ko) * 2015-05-22 2016-12-01 엘지전자(주) 무선 통신 시스템에서 데이터 송수신 방법 및 이를 위한 장치
US10362011B2 (en) * 2015-07-12 2019-07-23 Qualcomm Incorporated Network security architecture
US9906560B2 (en) * 2015-08-28 2018-02-27 Nicira, Inc. Distributing remote device management attributes to service nodes for service rule processing
US9560015B1 (en) * 2016-04-12 2017-01-31 Cryptzone North America, Inc. Systems and methods for protecting network devices by a firewall
KR101861201B1 (ko) * 2016-08-16 2018-05-25 아토리서치(주) 소프트웨어 정의 네트워킹에서의 서버 은닉 방법, 시스템 및 컴퓨터 프로그램
KR101743559B1 (ko) * 2016-09-20 2017-06-05 주식회사 아라드네트웍스 가상 사설 네트워크 시스템, 그를 이용하는 pc방 네트워크, 및 그를 위한 매니저 장치
KR20180032864A (ko) * 2016-09-23 2018-04-02 주식회사 윈스 사용자 인증을 통한 비정상 네트워크 트래픽 제어 장치 및 방법
KR102050089B1 (ko) * 2016-12-01 2019-11-28 엑사비스 주식회사 적응적 룰셋 세팅을 수행하는 네트워크 보안 시스템 및 그 방법
KR101924712B1 (ko) * 2017-01-24 2018-12-03 건국대학교 산학협력단 패킷 전송 방법 및 오픈플로우 스위치
KR101910605B1 (ko) * 2017-06-19 2018-10-23 주식회사 케이티 무선 단말의 네트워크 접속 제어 시스템 및 방법
KR20190052541A (ko) * 2017-11-08 2019-05-16 한국전자통신연구원 서비스 서버와 사용자 단말간의 네트워크 경로 제공 방법 및 장치
KR20190073114A (ko) * 2017-12-18 2019-06-26 주식회사 케이티 단말, 상기 단말의 동작 방법 및 다중경로 통신 시스템
KR102119257B1 (ko) * 2019-09-24 2020-06-26 프라이빗테크놀로지 주식회사 터널에 기반하여 단말의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20150013453A (ko) * 2012-05-10 2015-02-05 삼성전자주식회사 데이터 패킷들의 업링크 및 다운링크 동안 비연결형 전송을 위한 방법 및 시스템
KR101561108B1 (ko) * 2014-05-07 2015-10-16 성균관대학교산학협력단 소프트웨어 정의 네트워크에 기반한 프록시 모바일 IPv6환경에서의 데이터 통신 방법 및 핸드오버 방법
KR20190036504A (ko) * 2017-09-27 2019-04-04 사이트릭스 시스템스, 인크. 클라이언트 애플리케이션들에 대한 보안 싱글 사인 온 및 조건부 액세스

Also Published As

Publication number Publication date
KR102119257B1 (ko) 2020-06-26
JP2021145335A (ja) 2021-09-24
KR102175772B1 (ko) 2020-11-06
JP7148187B2 (ja) 2022-10-05
KR102181185B1 (ko) 2020-11-20
KR102204705B1 (ko) 2021-01-19
KR20210035742A (ko) 2021-04-01
WO2021060854A1 (ko) 2021-04-01
JP2022043329A (ja) 2022-03-15
WO2021060857A1 (ko) 2021-04-01
WO2021060856A1 (ko) 2021-04-01
JP7148173B2 (ja) 2022-10-05
KR102178003B1 (ko) 2020-11-13
EP4020941A1 (en) 2022-06-29
KR20210045917A (ko) 2021-04-27
KR102137773B1 (ko) 2020-07-24
KR102250505B1 (ko) 2021-05-12
KR102206562B1 (ko) 2021-01-22
KR102274617B1 (ko) 2021-07-08
WO2021060853A1 (ko) 2021-04-01
KR102146568B1 (ko) 2020-08-20
EP3879785A1 (en) 2021-09-15
KR102223827B1 (ko) 2021-03-08
KR102152314B1 (ko) 2020-09-04

Similar Documents

Publication Publication Date Title
KR102204143B1 (ko) 터널 기반 접속성 관리 방법 및 그를 위한 장치 및 시스템
KR102379721B1 (ko) Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102309116B1 (ko) 데이터 플로우 기반 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102309115B1 (ko) 데이터 플로우 기반 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102349038B1 (ko) 분산 게이트웨이 환경에 최적화된 터널링 및 게이트웨이 접속 시스템 및 그에 관한 방법
KR102377247B1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102407136B1 (ko) 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102460691B1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102379720B1 (ko) 가상화 단말에서 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법
KR102415567B1 (ko) 가상화 인스턴스의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102460696B1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102349039B1 (ko) 분산 게이트웨이 환경에 최적화된 제어 데이터 패킷 처리 시스템 및 그에 관한 방법
US11271777B2 (en) System for controlling network access of terminal based on tunnel and method thereof
JP7489147B2 (ja) 端末のネットワーク接続を認証及び制御するためのシステム及びそれに関する方法
KR102446934B1 (ko) 프록시에 기반하여 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
KR102502367B1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102427663B1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102410552B1 (ko) 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
KR102333554B1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102333553B1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
US20220247720A1 (en) System for Controlling Network Access of Node on Basis of Tunnel and Data Flow, and Method Therefor
EP4037278A1 (en) System for controlling network access of node on basis of tunnel and data flow, and method therefor
KR102578799B1 (ko) 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102609368B1 (ko) 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
US11652801B2 (en) Network access control system and method therefor

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant