WO2022235007A1 - 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 - Google Patents

컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 Download PDF

Info

Publication number
WO2022235007A1
WO2022235007A1 PCT/KR2022/006027 KR2022006027W WO2022235007A1 WO 2022235007 A1 WO2022235007 A1 WO 2022235007A1 KR 2022006027 W KR2022006027 W KR 2022006027W WO 2022235007 A1 WO2022235007 A1 WO 2022235007A1
Authority
WO
WIPO (PCT)
Prior art keywords
node
information
tunnel
gateway
access control
Prior art date
Application number
PCT/KR2022/006027
Other languages
English (en)
French (fr)
Inventor
김영랑
Original Assignee
프라이빗테크놀로지 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 프라이빗테크놀로지 주식회사 filed Critical 프라이빗테크놀로지 주식회사
Publication of WO2022235007A1 publication Critical patent/WO2022235007A1/ko
Priority to US18/503,786 priority Critical patent/US20240080299A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/32—Flow control; Congestion control by discarding or delaying data units, e.g. packets or frames
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • Embodiments disclosed herein relate to a system for controlling a controller-based network connection and a method therefor.
  • a smartphone may transmit or receive data with a server via the Internet.
  • the network may include a public network such as the Internet as well as a private network such as an intranet.
  • NAC network access controller
  • ARP spoofing address resolution protocol spoofing
  • a firewall is a method of determining whether to allow transmission of a data packet based on source IP, destination IP, and port information included in IP header information and a policy.
  • a virtual private network is a method of ensuring the integrity and confidentiality of data packets by using a tunnel to which encryption is applied over the TCP/IP protocol.
  • ARP spoofing places a load on the network, and technologies to bypass it have recently been developed. Since the firewall is for controlling the flow of data packets, it may not be directly involved in the process of creating a connection between two nodes. Also, VPN is vulnerable to the management of the flow of data packets after the tunnel is created. In addition, since the above technologies are based on TCP/IP, security of another layer (eg, an application layer) among open system interconnection (OSI) layers may be vulnerable.
  • Registered Patent Publication No. 10-2204705 proposes a method to solve the above problems, and specifically, by transmitting or dropping the data packet of the application through the tunnel authorized by the controller by the access control application stored in the node. It is intended to prevent malicious attacks at the application level.
  • the tunneling IP allocated to the node is arbitrarily allocated by DHCP (dynamic host configuration protocol) according to the tunneling IP band set in the gateway. Since this method cannot control access to a large number of unspecified nodes (or terminals) coming from the Internet band in detail, a network access control solution that controls data packets based on firewall or IP 5 tuple information can be partially utilized. . In this case, since the source IP can be specified, access control is possible only for nodes connected through an authorized tunnel.
  • the gateway of -2204705 performs a procedure for authenticating and identifying nodes, users, and applications, so it is necessary to control the source IP for each node and user.
  • DHCP provides a fixed IP based on the MAC address, but the terminal accessed by the user may change depending on the situation. Therefore, it is necessary to assign a fixed IP to each user and terminal.
  • a node comprises a communication circuit, a processor operatively coupled to the communication circuit, and a memory operatively coupled to the processor and storing a target application and a connection control application
  • the memory when executed by the processor, receives, from an external server, tunnel creation information necessary for the node to create a tunnel with a gateway through the access control application, based on the tunnel creation information through the access control application to request tunnel creation from the gateway, receive static IP information allocated to the node or each user of the node through the access control application from the gateway, and transmit the static IP information to the outside through the access control application You can store commands to be sent to the server.
  • a server includes a communication circuit, a memory for storing a database, and a processor operatively connected to the communication circuit and the memory, wherein the processor is configured to: Receiving a user authentication request, the received request includes identification information of a control flow generated between the server and the node, and when it is necessary to create a tunnel between the node and the gateway, generate tunnel creation information required for tunnel creation, , sets IP and DNS information to be assigned to the node or users of the node, transmits the tunnel creation information to the node and gateway, and tunnel creation notification indicating that a tunnel between the node and the gateway is created from the node is received, the tunnel creation notification includes IP information, it is checked whether the IP information included in the tunnel creation notification is the same as the set IP, and if the IP information and the IP are the same, a destination IP that can be transmitted to the IP and transmitting a data flow including port information to the gateway, and if the IP information and the IP are not the same, request the node and the gateway to remove
  • the gateway receives, from an external server, a data flow indicating a destination IP and port information transmittable to a static IP assigned to a node, and receives a data packet from an access control application of the node, , inspect the tunnel and data flow in which the data packet is received, and if the inspection is successful, check whether the source IP included in the data packet and the static IP included in the data flow are the same, and based on the verification result to drop or forward the data packet.
  • the method of operating a node includes the steps of: receiving tunnel creation information required to create a tunnel with a gateway from an external server; requesting the gateway to create a tunnel based on the tunnel creation information;
  • the method may include receiving static IP information allocated to the node or each user of the node from the gateway, and transmitting the static IP information to the external server.
  • the method of operating a server includes an operation of receiving a controller access request or a user authentication request from a node, the received request includes identification information of a control flow generated between the server and the node, , when it is necessary to create a tunnel between the node and the gateway, generating tunnel creation information required for tunnel creation, setting IP and DNS information for allocating to the node or a user of the node, and setting the tunnel creation information to the node and transmitting to the gateway and receiving, from the node, a tunnel creation notification indicating that a tunnel between the node and the gateway is created.
  • the tunnel creation notification includes IP information, the operation of checking whether the IP information included in the tunnel creation notification is the same as the set IP, and if the IP information and the IP are the same, the destination IP and port that can be transmitted to the IP transmitting a data flow including information to the gateway, and if the IP information and the IP are not the same, requesting the node and the gateway to remove the tunnel.
  • the method of operating a gateway includes the operation of receiving, from an external server, a data flow indicating a destination IP and port information transmittable to a static IP assigned to a node, data from an access control application of the node An operation of receiving a packet, an operation of inspecting a tunnel and a data flow in which the data packet is received, and an operation of, if the inspection is successful, an operation of confirming whether the source IP included in the data packet and the static IP included in the data flow are the same , and dropping or forwarding the data packet based on the check result.
  • the system for controlling network access may define in advance an access policy that can be accessed for each terminal and user to the firewall and network access control solution after the gateway existing at the network boundary, , even if the gateway fails or a security vulnerability occurs, access can be safely controlled through a technology such as a firewall.
  • the gateway since the gateway performs its own firewall function through a fixed IP, when an unauthorized application bypasses the access control application to access the unauthorized network and transmits a data packet You can also block this.
  • a system for controlling network access performs tunneling by providing DNS (Domain Name System) information for facilitating access to a cloud or an internal network together with a fixed IP. It can induce a terminal to be accessed through the DNS to be accessed.
  • DNS Domain Name System
  • FIG. 1 shows an environment including a plurality of networks.
  • FIG. 2 illustrates an architecture in a network environment according to various embodiments.
  • FIG. 3 is a functional block diagram illustrating a database stored in a controller according to various embodiments of the present disclosure
  • FIG. 4 is a functional block diagram of a node according to various embodiments.
  • 5 illustrates an operation of controlling reception of a data packet according to various embodiments.
  • FIG. 6 illustrates a signal flow diagram for controller connection according to various embodiments.
  • FIG. 7 illustrates a signal flow diagram for user authentication according to various embodiments.
  • FIG. 8 illustrates a signal flow diagram for tunnel creation according to various embodiments.
  • FIG. 9 is a flowchart illustrating a signal for notifying completion of tunnel creation according to various embodiments of the present disclosure.
  • FIG. 10 illustrates a signal flow diagram for controlling a network connection according to various embodiments.
  • FIG. 11 illustrates a signal flow diagram for releasing a network connection according to various embodiments of the present disclosure.
  • FIG. 12 is a flowchart illustrating an operation of a node for tunnel creation according to various embodiments of the present disclosure.
  • FIG. 13 is a flowchart illustrating an operation of a server for tunnel creation according to various embodiments of the present disclosure.
  • FIG. 14 is a flowchart illustrating an operation of a gateway for forwarding a data packet according to various embodiments.
  • a plurality of touch sensors may be disposed above the display 440 or below the display 440 .
  • a server (eg, a controller) may include a processor 410 , a memory 420 , and a communication circuit 430 .
  • the processor 410 , the memory 420 , and the communication circuit 430 included in the server may be substantially the same as the above-described processor 410 , the memory 420 , and the communication circuit 430 .
  • 5 illustrates an operation of controlling reception of a data packet according to various embodiments.
  • the access control application 211 detects a request for access to a destination network including the destination node 204 of the target application 221 , and the source node 201 or the target application 221 controls the controller ( 202) and whether it is in a connected state can be determined.
  • the access control application 211 may block reception of a data packet from a kernel or a network driver including the operating system. There is (act 510). Also, when a data packet is received or transmitted, the access control application 211 may inspect the data packet to secure the safety of the received or transmitted data packet.
  • the source node 201 may block access of a malicious application in an application layer of the OSI layer in advance.
  • an unauthorized data packet is transmitted from the source node 201 .
  • the gateway 203 existing at the boundary of the network blocks the data packet received through the unauthorized tunnel (operation 520)
  • the data packet transmitted from the source node 201 does not reach the destination node 204. it may not be In other words, the source node 201 may be isolated from the destination node 204 .
  • FIG. 6 illustrates a signal flow diagram for controller connection according to various embodiments.
  • the access control application 211 of the source node 201 requests the controller 202 to generate a control flow. An attempt may be made to access the controller of the source node 201 .
  • the source node 201 may detect a controller access event. For example, the source node 201 may detect that the access control application 211 is installed and executed in the source node 201 and that access to the controller 202 is requested through the access control application 211 . have. For example, when the access control application 211 is executed, the source node 201 may receive a user input for inputting an IP or domain of the controller 202 , a user ID, and/or a password. For another example, if user authentication of the source node 201 is not yet completed, the source node 201 may receive a button for accessing the controller of an unauthorized user (ie, a guest).
  • an unauthorized user ie, a guest
  • the source node 201 may request the controller 202 to access the controller.
  • the source node 201 may request a controller connection through the access control application 211 .
  • the access control application 211 identifies the source node 201 identification information (eg, terminal ID, IP address, MAC address), type, location, environment, and identification of the network to which the source node 201 belongs. information and/or identification information of the access control application 211 may be transmitted to the controller 202 .
  • the controller 202 may identify whether the source node 201 is accessible in response to the received request. According to an embodiment, the controller 202 may check whether the source node 201 is accessible based on a database included in a memory (eg, the memory 330 of FIG. 3 ). For example, the controller 202 determines whether the information received from the access control application 211 is included in the access policy database, and the source node 201 and/or identification information of the network to which the source node 201 belongs. It can be checked whether the source node 201 is accessible based on whether it is included in the blacklist database. If the source node 201 is reachable, the controller 202 may create a control flow between the source node 201 and the controller 202 .
  • a memory eg, the memory 330 of FIG. 3
  • the controller 202 may generate control flow identification information in the form of a random number, and store identification information of the source node 201 and/or the network to which the source node 201 belongs in the control flow table.
  • Information stored in the control flow table eg, control flow identification information and/or control flow information
  • control flow identification information and/or control flow information is a policy for user authentication of the source node 201 , information update of the source node 201 , and network access of the source node 201 . It may be used for validation, and/or validation.
  • the controller 202 when the access to the source node 201 is impossible or the source node 201 is included in the blacklist, the controller 202 notifies the source node 201 of the connection failure without performing the following operations.
  • the controller 202 may check whether a tunnel to be created by the source node 201 exists through the tunnel policy.
  • the controller 202 may generate tunnel creation information including TEP, TSP, tunnel type, method, tunnel identification information, and/or authentication information.
  • the TEP may include gateway IP and/or port information.
  • the controller 202 may set IP and DNS information to be allocated to the source node 201 and update the corresponding information in a database (eg, a tunnel table).
  • the controller 202 may transmit control flow identification information and tunnel creation information to the source node 201 in response to the controller access request.
  • the control flow identification information may be used for user authentication after access to the controller, update of the source node 201, or identification of a control flow upon network connection.
  • the controller 202 may transmit control flow identification information and tunnel creation information to the gateway 203 .
  • the tunnel creation information transmitted to the gateway 203 may include IP and DNS information to be allocated to the source node 201 .
  • the controller 202 may not perform operations 625 to 630 , and when transmission of control flow identification information and tunnel creation information to the gateway 203 fails The controller 202 may notify the source node 201 of the result of being unable to connect.
  • the source node 201 may process the result value according to the received response.
  • the access control application 211 may store the received control flow identification information and display a user interface screen indicating that the controller connection is complete to the user.
  • the network connection request of the source node 201 to the destination network may be controlled by the controller 202 .
  • the source node 201 may create a tunnel with the gateway 203 based on the tunnel creation information.
  • the access control application 211 may output a message indicating that the tunnel cannot be created and the reason through the display, and delete related information.
  • FIG. 7 illustrates a signal flow diagram for user authentication according to various embodiments.
  • the access control application 211 of the source node 201 may be authenticated by the controller 202 for the user of the source node 201 . .
  • the source node 201 may receive an input for user authentication.
  • the input for user authentication may be, for example, a user input inputting a user ID and password.
  • the input for user authentication may be a user input (eg, biometric information) for more enhanced authentication.
  • the source node 201 may request user authentication from the controller 202 .
  • the access control application 211 may transmit input information for user authentication to the controller 202 . If the control flow between the source node 201 and the controller 202 has already been created, the access control application 211 may transmit input information for user authentication together with the control flow identification information.
  • the controller 202 may authenticate the user based on the information received from the source node 201 .
  • the controller 202 may include a user ID, password, and/or enhanced authentication information included in the received information, and a database (eg, the access policy database of FIG. 3 ) included in the memory of the controller 202 . Based on 311 or the blacklist database 314), it is possible to determine whether the user can access according to the access policy and whether the user is included in the blacklist.
  • the controller 202 may add the user's identification information (eg, user ID) to the identification information of the control flow.
  • the added user identification information may be used for an authenticated user's controller access or network access.
  • the controller 202 when user authentication is impossible or the user is included in the blacklist, the controller 202 notifies the source node 201 of the connection failure and may not perform the following operations.
  • the controller 202 may check whether a tunnel to be created by the source node 201 exists through the tunnel policy.
  • the controller 202 may generate tunnel creation information including TEP, TSP, tunnel type, method, and/or authentication information.
  • the controller 202 may check whether IP and DNS information to be assigned to a user exist, and if they exist, update the database (eg, a tunnel table).
  • the controller 202 may transmit control flow identification information and tunnel creation information to the source node 201 in response to the controller access request.
  • the controller 202 may transmit control flow identification information and tunnel creation information to the gateway 203 .
  • the tunnel creation information transmitted to the gateway 203 may include IP and DNS information for allocating to a user.
  • the controller 202 may not perform operations 725 to 730 , and when transmission of control flow identification information and tunnel creation information to the gateway 203 fails The controller 202 may notify the source node 201 of the result of being unable to connect.
  • the source node 201 may process the result value according to the received response. For example, the source node 201 may output a user interface screen indicating that user authentication is completed to the user through the display.
  • the source node 201 may create a tunnel with the gateway 203 based on the tunnel creation information.
  • the access control application 211 may output a message indicating that the tunnel cannot be created and the reason through the display, and delete related information.
  • FIG. 8 illustrates a signal flow diagram for tunnel creation according to various embodiments.
  • the operations illustrated in FIG. 8 may be specific examples of operation 640 of FIG. 6 or operation 740 of FIG. 7 .
  • the source node 201 may request the gateway 203 to create a tunnel.
  • the access control application 211 may request the gateway 203 to create a tunnel according to the IP and port information indicated by the tunnel creation information.
  • the access control application 211 may transmit authentication information.
  • the source node 201 and the gateway 203 may perform a key negotiation procedure based on authentication information. If the key negotiation procedure fails, the tunnel creation request may be rejected.
  • the gateway 203 may check whether static IP and DNS information corresponding to at least one of identification information (eg, source node, user, or tunnel) included in the tunnel creation request or authentication information exists.
  • the static IP may mean a virtual IP assigned when a tunnel is created. DNS can be used to identify a host in the network to which a connection is attempted after the tunnel is created.
  • the gateway 203 may check static IP and DNS information corresponding to identification information or authentication information based on the tunnel creation information received from the controller 203 .
  • the gateway 203 may transmit the corresponding static IP and DNS information to the source node 201 .
  • the source node 201 may process the result value according to the response received from the gateway 203 .
  • the access control application 211 may store the received static IP and DNS information.
  • FIG. 9 is a flowchart illustrating a signal for notifying completion of tunnel creation according to various embodiments of the present disclosure. The operations shown in FIG. 9 may be performed after, for example, the tunnel creation procedure of FIG. 8 .
  • the source node 201 may notify the controller 202 of completion of tunnel creation.
  • the access control application 211 may transmit the static IP information provided from the gateway 203 to the controller 202 .
  • the controller 202 may check an access policy. Specifically, the controller 202 may check whether the static IP information received from the source node 201 is the same as the IP information stored (or updated) in the database. Additionally, the controller 202 may check whether the tunnel whose creation has been completed satisfies the tunnel policy. If the received static IP information is the same as the IP information stored in the database, the controller 202 may generate a data flow listing IP and port information of a destination network (or destination node) that can be transmitted to the corresponding IP.
  • the controller 201 may transmit the access policy check result to the source node 201 and the gateway 203 .
  • the controller 202 may transmit the generated data flow to the source node 201 and the gateway 203 .
  • the controller 202 may request the source node 201 and the gateway 203 to remove the tunnel.
  • the source node 201 may process the result value according to the information received from the controller 202 .
  • the source node 201 may store the received data flow or remove the gateway 203 and the created tunnel according to the request of the controller 202 .
  • FIG. 10 illustrates a signal flow diagram for controlling a network connection according to various embodiments.
  • the source node 201 After the source node 201 is authorized from the controller 202 , the source node 201 controls network access of other applications stored in the source node 201 through the access control application 211 of the source node 201 . This ensures reliable data transmission.
  • the access control application 211 may detect a network access event. For example, the access control application 211 may detect that a target application, such as a web browser, is attempting to connect to a destination network including the destination node 204, such as the Internet. For example, the user may launch a web browser and input and call a web address to access.
  • a target application such as a web browser
  • the access control application 211 may examine the data flow.
  • the access control application 211 identifies the target application requesting access, destination IP and port information, and checks whether a data flow corresponding to the identified information and a tunnel authorized to the data flow exist. have.
  • the access control application 211 may omit operations 1015 to 1025 and transmit the data packet of the target application to the gateway 203 in operation 1030 . If no authorized tunnel exists, the access control application 211 may drop the data packet.
  • the access control application 211 may check whether the data flow is valid even if the data flow exists. For example, the access control application 211 may determine that the data flow is invalid when the data packet cannot be transmitted or the data packet transmission is rejected by the controller 202 . If the data flow is not valid, the connection control application 211 may drop the data packet.
  • the access control application 211 may perform validation even if the data flow does not exist. For example, the access control application 211 performs an integrity and safety check (eg, application forgery, tampering, code signing check, fingerprint check) of the target application according to the validation policy, and the controller 202 It is possible to check whether access to the destination IP and port of the target application is possible according to the access policy received from the . If the validation check fails, the access control application 211 may drop the data packet and display the connection unavailable message and the reason on the display.
  • an integrity and safety check eg, application forgery, tampering, code signing check, fingerprint check
  • the access control application 211 may request the controller 202 to access the network of the target application in operation 1015 .
  • the access control application 211 generates identification information of the target application and identification information of the destination node 204 (eg, IP of the destination node, service port information) between the source node 201 and the controller 202 . It can be transmitted to the controller 202 together with the identification information of the control flow.
  • the controller 202 may check the access policy based on the request received from the access control application 211 and the database of the controller 202 . For example, the controller 202 may determine whether the target application is accessible based on whether the information received from the access control application 211 satisfies the access policy included in the database of the controller 202 . If the access of the target application is impossible, the controller 202 may transmit information indicating that the access is impossible to the source node 201 in operation 1025 . In this case, the access control application 211 may drop the data packet of the target application and output a user interface screen indicating that access to the network is impossible through the display.
  • the controller 202 may transmit a response to the network connection request of the access control application 211 .
  • the controller 202 may generate or update a data flow corresponding to the information received from the access control application 211 , and transmit the data flow to the access control application 211 .
  • the controller 202 may send the data flow to the gateway 203 . In this case, if the data flow transmission to the gateway 203 fails, the controller 202 may notify the access control application 211 that the connection is unavailable.
  • the access control application 211 may transmit a data packet to the gateway 203 in operation 1030 .
  • FIG. 11 illustrates a signal flow diagram for releasing a network connection according to various embodiments of the present disclosure
  • the source node 201 may request the controller 202 to release the network connection.
  • the source node 201 may transmit identification information of a control flow between the source node 201 and the controller 202 to the controller 202 together with information requesting release of the network connection.
  • the source node 201 may attempt to disconnect the network in response to a network connection disconnection event, such as a user's request, restart of the originating node 201, or a request of the access control application 211 .
  • a network connection disconnection event such as a user's request, restart of the originating node 201, or a request of the access control application 211 .
  • the source node 201 may receive a user input for selecting a connection termination button.
  • the controller 202 may remove (or release) a control flow corresponding to the received identification information in response to the request of the source node 201 .
  • the controller 202 may request the gateway 203 to remove a tunnel dependent on the removed control flow.
  • the gateway 203 may remove the tunnel in response to the request of the controller 202 .
  • the system including the destination node 204 can provide complete blocking and isolation in which data packets transmitted from the source node 201 can no longer be received.
  • FIG. 12 is a flowchart illustrating an operation of a node for tunnel creation according to various embodiments of the present disclosure.
  • the operations illustrated in FIG. 12 may be implemented by the source node 201 or a configuration (eg, a processor or access control application) included in the source node 201 .
  • the node may receive tunnel creation information from an external server (eg, the controller 202 ).
  • a node may receive tunnel creation information from an external server through a controller access procedure or a user authentication procedure.
  • the tunnel creation information may include, for example, at least one of TEP, TSP, tunnel type, method, tunnel identification information, and/or authentication information.
  • the node may request tunnel creation to the gateway (eg, the gateway 203 ) based on the tunnel creation information. For example, the node may transmit some of the tunnel creation information to the gateway.
  • the node may receive static IP information from the gateway. Additionally, the node may receive DNS information from the gateway along with IP information. The static IP information and DNS information may be allocated by the gateway for each node or user of the node.
  • the node may transmit static IP information to an external server.
  • FIG. 13 is a flowchart illustrating an operation of a server for tunnel creation according to various embodiments of the present disclosure.
  • the server may receive a controller access request or a user authentication request from a node.
  • the server If it is determined that the tunnel between the node and the gateway needs to be created during controller access or user authentication, in operation 1320, the server generates tunnel creation information required for tunnel creation, and provides IP and DNS information for allocating to the node. can be set. The server can update IP and DNS information in the database.
  • the server may transmit tunnel creation information to the node and the gateway.
  • the tunnel creation information transmitted to the gateway may include IP and DNS information for allocating to a node.
  • the server may receive a tunnel creation notification including IP information from the node.
  • the IP information received from the node may be allocated by the gateway in the tunnel creation procedure between the node and the gateway.
  • the server may check whether the received IP information is the same as the IP stored in the database. If the received IP information is the same as the stored IP, in operation 1360 , the server may transmit the data flow to the gateway. If the received IP information is not the same as the stored IP, the server may request the node and the gateway to remove the tunnel in operation 1370 .
  • FIG. 14 is a flowchart illustrating an operation of a gateway for forwarding a data packet according to various embodiments.
  • the gateway may receive a data flow from an external server.
  • the received data flow may indicate destination IP and port information that can be transmitted to a static IP.
  • the static IP may be the IP assigned to the node or the node's user when the gateway creates a tunnel with the node.
  • the gateway may receive a data packet from the node.
  • the gateway may check whether the data packet is received through an authorized tunnel between the gateway and the node, and whether there is a data flow corresponding to the source IP and destination IP and port information included in the data packet. .
  • the gateway may drop the data packet if the data packet is not received through an authorized tunnel or if there is no data flow.
  • the gateway may check whether the source IP included in the data packet and the static IP included in the data flow are the same. If so, in operation 1450 , the gateway may forward the data packet. If not, at operation 1460 , the gateway may drop the data packet.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 문서에 개시된 일 실시예에 따른 노드는, 통신 회로, 상기 통신 회로와 작동적으로 연결되는 프로세서, 및 상기 프로세서와 작동적으로 연결되고, 타겟 애플리케이션 및 접속 제어 애플리케이션을 저장하는 메모리를 포함하고, 상기 메모리는, 상기 프로세서에 의해서 실행될 때 상기 노드가, 상기 접속 제어 애플리케이션을 통해 게이트웨이와 터널을 생성하기 위하여 필요한 터널 생성 정보를 외부 서버로부터 수신하고, 상기 접속 제어 애플리케이션을 통해 상기 터널 생성 정보에 기반하여 상기 게이트웨이에게 터널 생성을 요청하고, 상기 접속 제어 애플리케이션을 통해 상기 노드 또는 상기 노드의 사용자 별로 할당되는 고정 IP 정보를 상기 게이트웨이로부터 수신하고, 및 상기 접속 제어 애플리케이션을 통해 상기 고정 IP 정보를 상기 외부 서버로 전송하도록 하는 명령어들을 저장할 수 있다.

Description

컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
관련출원과의 상호인용
본 발명은 2021.05.07.에 출원된 한국 특허 출원 제10-2021-0059273호에 기초한 우선권의 이익을 주장하며, 해당 한국 특허 출원의 문헌에 개시된 모든 내용을 본 명세서의 일부로 포함한다.
기술분야
본 문서에 개시된 실시예들은 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법에 관한 것이다.
다수의 장치들은 네트워크를 통해서 데이터를 통신할 수 있다. 예를 들어, 스마트폰은 인터넷을 통해 서버와 데이터를 송신하거나 수신할 수 있다. 네트워크는 인터넷과 같은 공용 네트워크(public network)뿐만 아니라 인트라넷과 같은 사설 네트워크(private network)를 포함할 수 있다.
네트워크에 대한 무분별한 접속을 통제하기 위하여 TCP(transmission control protocol)/IP(internet protocol)를 기반으로 네트워크로의 접속을 제한하는 기술이 적용되고 있다. 예를 들어, NAC(network access controller)는 인가된 단말이 인가된 IP 주소를 제공받음으로써 네트워크에 접속할 수 있도록 허용하고, 비인가된 단말이 비인가된 IP 주소를 사용하는 경우 ARP 스푸핑(address resolution protocol spoofing)을 이용하여 비인가된 단말을 차단하는 방식이다. 방화벽(firewall)은 IP 헤더 정보에 포함되는 출발지 IP, 목적지 IP, 및 포트 정보와, 정책에 기반하여 데이터 패킷의 전송을 허용할지 여부를 결정하는 방식이다. VPN(virtual private network)은 TCP/IP 프로토콜 상에서 암호화가 적용된 터널을 이용함으로써 데이터 패킷의 무결성 및 기밀성을 보장하는 방식이다.
ARP 스푸핑은 네트워크에 부하를 주며 최근에는 이를 우회하는 기술이 발달하고 있다. 방화벽은 데이터 패킷의 흐름을 제어하기 위한 것이므로 두 노드 간의 연결(connection) 생성 과정에서 직접적으로 관여하지 못할 수 있다. 또한, VPN은 터널이 생성된 이후 데이터 패킷의 흐름에 대한 관리에 취약하다. 뿐만 아니라, 상기 기술들은 TCP/IP에 기반하기 때문에 OSI(open system interconnection) 계층 중에서 다른 계층(예: 응용 계층)에 대한 보안에 취약할 수 있다. 등록특허공보 제10-2204705호는 위와 같은 문제점을 해결하기 위한 방안을 제시하며, 구체적으로 노드에 저장된 접속 제어 애플리케이션이 컨트롤러에 의하여 인가된 터널을 통해 애플리케이션의 데이터 패킷을 전송 또는 드랍(drop)함으로써 애플리케이션 단위의 악성 공격을 방지하고자 한다.
등록특허공보 제10-2204705호에서 노드에 할당되는 터널링 IP는 게이트웨이에 설정된 터널링 IP 대역에 따라서 DHCP(dynamic host configuration protocol)에 의해서 임의로 할당된다. 이러한 방식은 인터넷 대역으로부터 들어오는 불특정 다수의 노드(또는 단말)를 세밀하게 접속 제어할 수 없기 때문에 방화벽이나 IP의 5 Tuples 정보를 기반으로 데이터 패킷을 제어하는 네트워크 접속 제어 솔루션이 부분적으로 활용될 수 있다. 이 경우 출발지 IP가 특정될 수 있으므로 인가된 터널을 통해서 접속되는 노드에 한하여 접속 제어가 가능하지만, 출발지 IP와 도착지 IP 및 포트 정보로 데이터 패킷을 제어하는 네트워크 접속 제어 솔루션과 달리 등록특허공보 제10-2204705호의 게이트웨이는 노드 및 사용자와 애플리케이션을 인증하고 식별하는 절차를 수행하므로 노드와 사용자 별로 출발지 IP를 제어할 필요가 있다.
또한, DHCP는 MAC 주소 기반으로 고정된 IP를 제공하지만, 사용자가 접속하는 단말은 상황에 따라 변경될 수 있으며, 복수의 홉(hop)을 통과하는 인터넷에 연결된 단말은 MAC 주소가 특정되기 어렵기 때문에 사용자 및 단말 별로 고정된 IP를 부여할 필요가 있다.
본 문서에 개시되는 다양한 실시예들은 네트워크 환경에서 상술한 문제점을 해결하기 위한 시스템 및 그에 관한 방법을 제공하고자 한다.
본 문서에 개시된 일 실시예에 따른 노드는, 통신 회로, 상기 통신 회로와 작동적으로 연결되는 프로세서, 및 상기 프로세서와 작동적으로 연결되고, 타겟 애플리케이션 및 접속 제어 애플리케이션을 저장하는 메모리를 포함하고, 상기 메모리는, 상기 프로세서에 의해서 실행될 때 상기 노드가, 상기 접속 제어 애플리케이션을 통해 게이트웨이와 터널을 생성하기 위하여 필요한 터널 생성 정보를 외부 서버로부터 수신하고, 상기 접속 제어 애플리케이션을 통해 상기 터널 생성 정보에 기반하여 상기 게이트웨이에게 터널 생성을 요청하고, 상기 접속 제어 애플리케이션을 통해 상기 노드 또는 상기 노드의 사용자 별로 할당되는 고정 IP 정보를 상기 게이트웨이로부터 수신하고, 및 상기 접속 제어 애플리케이션을 통해 상기 고정 IP 정보를 상기 외부 서버로 전송하도록 하는 명령어들을 저장할 수 있다.
본 문서에 개시된 일 실시예에 따른 서버는, 통신 회로, 데이터 베이스를 저장하는 메모리, 및 상기 통신 회로 및 상기 메모리와 작동적으로 연결되는 프로세서를 포함하고, 상기 프로세서는, 노드로부터 컨트롤러 접속 요청 또는 사용자 인증 요청을 수신하고, 상기 수신된 요청은 상기 서버와 상기 노드 간 생성된 제어 플로우의 식별 정보를 포함하고, 상기 노드와 게이트웨이 간 터널의 생성이 필요하면, 터널 생성에 필요한 터널 생성 정보 생성하고, 상기 노드 또는 상기 노드의 사용자에게 할당하기 위한 IP 및 DNS 정보를 설정하고, 상기 터널 생성 정보를 상기 노드 및 게이트웨이에게 전송하고, 상기 노드로부터 상기 노드와 상기 게이트웨이 간 터널이 생성됨을 나타내는 터널 생성 알림을 수신하고, 상기 터널 생성 알림은 IP 정보를 포함하고, 상기 터널 생성 알림에 포함된 IP 정보와 상기 설정된 IP가 동일한지 확인하고, 상기 IP 정보와 상기 IP가 동일하면 상기 IP로 전송 가능한 도착지 IP 및 포트 정보를 포함하는 데이터 플로우를 상기 게이트웨이에게 전송하고, 및 상기 IP 정보와 상기 IP가 동일하지 않으면 상기 노드 및 상기 게이트웨이에게 상기 터널의 제거를 요청하도록 구성될 수 있다.
본 문서에 개시된 일 실시예에 따른 게이트웨이는, 외부 서버로부터, 노드에게 할당된 고정 IP로 전송 가능한 목적지 IP 및 포트 정보를 나타내는 데이터 플로우를 수신하고, 상기 노드의 접속 제어 애플리케이션으로부터 데이터 패킷을 수신하고, 상기 데이터 패킷이 수신된 터널 및 데이터 플로우를 검사하고, 상기 검사가 성공하면, 상기 데이터 패킷에 포함된 출발지 IP와 상기 데이터 플로우에 포함된 고정 IP가 동일한지를 확인하고, 및 상기 확인 결과에 기반하여 상기 데이터 패킷을 드롭 또는 포워딩하도록 구성될 수 있다.
본 문서에 개시된 일 실시예에 따른 노드의 동작 방법은 게이트웨이와 터널을 생성하기 위하여 필요한 터널 생성 정보를 외부 서버로부터 수신하는 동작, 상기 터널 생성 정보에 기반하여 상기 게이트웨이에게 터널 생성을 요청하는 동작, 상기 게이트웨이로부터 상기 노드 또는 상기 노드의 사용자 별로 할당되는 고정 IP 정보를 수신하는 동작, 및 상기 고정 IP 정보를 상기 외부 서버로 전송하는 동작을 포함할 수 있다.
본 문서에 개시된 일 실시예에 따른 서버의 동작 방법은, 노드로부터 컨트롤러 접속 요청 또는 사용자 인증 요청을 수신하는 동작, 상기 수신된 요청은 상기 서버와 상기 노드 간 생성된 제어 플로우의 식별 정보를 포함하고, 상기 노드와 게이트웨이 간 터널의 생성이 필요하면, 터널 생성에 필요한 터널 생성 정보 생성하고, 상기 노드 또는 상기 노드의 사용자에게 할당하기 위한 IP 및 DNS 정보를 설정하는 동작, 상기 터널 생성 정보를 상기 노드 및 게이트웨이에게 전송하는 동작, 상기 노드로부터 상기 노드와 상기 게이트웨이 간 터널이 생성됨을 나타내는 터널 생성 알림을 수신하는 동작; 상기 터널 생성 알림은 IP 정보를 포함하고, 상기 터널 생성 알림에 포함된 IP 정보와 상기 설정된 IP가 동일한지 확인하는 동작, 및 상기 IP 정보와 상기 IP가 동일하면 상기 IP로 전송 가능한 도착지 IP 및 포트 정보를 포함하는 데이터 플로우를 상기 게이트웨이에게 전송하고, 상기 IP 정보와 상기 IP가 동일하지 않으면 상기 노드 및 상기 게이트웨이에게 상기 터널의 제거를 요청하는 동작을 포함할 수 있다.
본 문서에 개시된 일 실시예에 따른 게이트웨이의 동작 방법은, 외부 서버로부터, 노드에게 할당된 고정 IP로 전송 가능한 목적지 IP 및 포트 정보를 나타내는 데이터 플로우를 수신하는 동작, 상기 노드의 접속 제어 애플리케이션으로부터 데이터 패킷을 수신하는 동작, 상기 데이터 패킷이 수신된 터널 및 데이터 플로우를 검사하는 동작, 상기 검사가 성공하면, 상기 데이터 패킷에 포함된 출발지 IP와 상기 데이터 플로우에 포함된 고정 IP가 동일한지를 확인하는 동작, 및 상기 확인 결과에 기반하여 상기 데이터 패킷을 드롭 또는 포워딩하는 동작을 포함할 수 있다.
본 문서에 개시되는 실시예들에 따르면, 네트워크 접속을 제어하기 위한 시스템은 네트워크 경계에 존재하는 게이트웨이 이후의 방화벽 및 네트워크 접속 제어 솔루션에 단말 및 사용자 별로 접속할 수 있는 접속 정책을 사전에 정의할 수 있으며, 게이트웨이에 장애가 발생하거나 보안 취약점이 발생하더라도 방화벽과 같은 기술을 통해 안전하게 접속을 통제할 수 있다.
또한, 본 문서에 개시되는 실시예들에 따르면, 게이트웨이는 고정된 IP를 통해 자체적인 방화벽 기능을 수행하므로 비인가된 애플리케이션이 비인가된 네트워크에 접속하기 위하여 접속 제어 애플리케이션을 우회하여 데이터 패킷을 전송하는 경우에도 이를 차단할 수 있다.
또한, 본 문서에 개시되는 실시예들에 따르면, 네트워크 접속을 제어하기 위한 시스템은 클라우드 또는 내부 네트워크에 대한 접근을 용이하게 하기 위한 DNS(Domain Name System) 정보를 고정된 IP와 함께 제공함으로써 터널링을 통해 접속되는 단말이 DNS에 의하여 접속될 수 있도록 유도할 수 있다.
이 외에, 본 문서를 통해 직접적 또는 간접적으로 파악되는 다양한 효과들이 제공될 수 있다.
도 1은 복수의 네트워크를 포함하는 환경을 나타낸다.
도 2는 다양한 실시 예들에 따른 네트워크 환경 내의 아키텍처를 나타낸다.
도 3은 다양한 실시 예들에 따라 컨트롤러에 저장된 데이터 베이스를 나타내는 기능적 블록도이다.
도 4는 다양한 실시 예들에 따른 노드의 기능적 블록도를 나타낸다.
도 5는 다양한 실시예들에 따라 데이터 패킷의 수신을 제어하는 동작을 설명한다.
도 6은 다양한 실시예들에 따른 컨트롤러 접속을 위한 신호 흐름도를 나타낸다.
도 7은 다양한 실시예들에 따른 사용자 인증을 위한 신호 흐름도를 나타낸다.
도 8은 다양한 실시예들에 따른 터널 생성을 위한 신호 흐름도를 나타낸다.
도 9는 다양한 실시예들에 따른 터널 생성 완료를 알리기 위한 신호 흐름도를 나타낸다.
도 10은 다양한 실시예들에 따른 네트워크 접속을 제어하기 위한 신호 흐름도를 나타낸다.
도 11은 다양한 실시예들에 따른 네트워크 접속 해제를 위한 신호 흐름도를 나타낸다.
도 12는 다양한 실시예들에 따른 터널 생성을 위한 노드의 동작 흐름도를 나타낸다.
도 13은 다양한 실시예들에 따른 터널 생성을 위한 서버의 동작 흐름도를 나타낸다.
도 14는 다양한 실시예들에 따른 데이터 패킷을 포워딩하기 위한 게이트웨이의 동작 흐름도를 나타낸다.
로 구성될(configured with) 수도 있다. 디스플레이(440)가 터치 스크린으로 구성되는 경우, 복수의 터치 센서들은, 디스플레이(440) 위에 배치되거나, 디스플레이(440) 아래에 배치될 수 있다.
한편, 일 실시예에 따른 서버(예: 컨트롤러)는 프로세서(410), 메모리(420), 및 통신 회로(430)를 포함할 수 있다. 서버에 포함되는 프로세서(410), 메모리(420) 및 통신 회로(430)는 상술한 프로세서(410), 메모리(420) 및 통신 회로(430)와 실질적으로 동일할 수 있다.
도 5는 다양한 실시예들에 따라 데이터 패킷의 수신을 제어하는 동작을 설명한다.
도 5를 참조하면, 접속 제어 애플리케이션(211)은 타겟 애플리케이션(221)의 도착지 노드(204)를 포함한 목적지 네트워크에 대한 접속 요청을 감지하고, 출발지 노드(201) 또는 타겟 애플리케이션(221)이 컨트롤러(202)와 접속된 상태인지 여부를 결정할 수 있다. 출발지 노드(201) 또는 타겟 애플리케이션(221)이 컨트롤러(202)와 접속된 상태가 아닌 경우, 접속 제어 애플리케이션(211)은 운영체제가 포함되는 커널(kernel)이나 네트워크 드라이버에서 데이터 패킷의 수신을 차단할 수 있다(동작 510). 또한, 접속 제어 애플리케이션(211)은 데이터 패킷이 수신 또는 전송되는 경우에, 데이터 패킷을 검사하여, 수신 또는 전송되는 데이터 패킷의 안전성을 확보할 수 있다. 접속 제어 애플리케이션(211)을 통해, 출발지 노드(201)는 OSI 계층 중 응용 계층에서 악의적인 애플리케이션의 접속을 사전에 차단할 수 있다.
다른 실시예에 따르면, 출발지 노드(201)에 접속 제어 애플리케이션(211)이 설치되지 않거나 악성 애플리케이션이 접속 제어 애플리케이션(211)의 제어를 우회하는 경우, 비인가된 데이터 패킷이 출발지 노드(201)로부터 전송될 수 있다. 이 경우, 네트워크의 경계에 존재하는 게이트웨이(203)는 인가되지 않은 터널로 수신되는 데이터 패킷을 차단하므로(동작 520), 출발지 노드(201)로부터 송신된 데이터 패킷은 도착지 노드(204)로 도달하지 않을 수 있다. 다시 말해, 출발지 노드(201)는 도착지 노드(204)로부터 격리될 수 있다.
도 6은 다양한 실시예들에 따른 컨트롤러 접속을 위한 신호 흐름도를 나타낸다.
출발지 노드(201)가 네트워크를 접속 또는 수신하기 위해서는 컨트롤러(202)에 의하여 인가될 필요가 있으므로, 출발지 노드(201)의 접속 제어 애플리케이션(211)은 컨트롤러(202)에게 제어 플로우의 생성을 요청함으로써 출발지 노드(201)의 컨트롤러 접속을 시도할 수 있다.
도 6을 참조하면, 동작 605에서, 출발지 노드(201)는 컨트롤러 접속 이벤트를 감지할 수 있다. 예를 들어, 출발지 노드(201)는 출발지 노드(201) 내에서 접속 제어 애플리케이션(211)이 설치 및 실행되고, 접속 제어 애플리케이션(211)을 통해 컨트롤러(202)에 대한 접속이 요청됨을 감지할 수 있다. 일 예로, 접속 제어 애플리케이션(211)이 실행되면 출발지 노드(201)는 컨트롤러(202)의 IP 또는 도메인, 사용자 ID, 및/또는 비밀번호를 입력하는 사용자 입력을 수신할 수 있다. 다른 예를 들어, 출발지 노드(201)의 사용자 인증이 아직 완료되지 않은 상태라면, 출발지 노드(201)는 비인가된 사용자(즉, 게스트)의 컨트롤러 접속을 위한 버튼을 수신할 수 있다.
동작 610에서, 출발지 노드(201)는 컨트롤러(202)에게 컨트롤러 접속을 요청할 수 있다. 출발지 노드(201)는 접속 제어 애플리케이션(211)을 통해 컨트롤러 접속을 요청할 수 있다. 일 실시예에 따르면, 접속 제어 애플리케이션(211)은 출발지 노드(201)의 식별 정보(예: 단말 ID, IP 주소, MAC 주소), 종류, 위치, 환경, 출발지 노드(201)가 속하는 네트워크의 식별 정보, 및/또는 접속 제어 애플리케이션(211)의 식별 정보를 컨트롤러(202)에게 전송할 수 있다.
동작 615에서, 컨트롤러(202)는 수신된 요청에 응답하여 출발지 노드(201)의 접속 가능 여부를 확인(identify)할 수 있다. 일 실시예에 따르면, 컨트롤러(202)는 메모리(예: 도 3의 메모리(330))에 포함된 데이터 베이스에 기반하여 출발지 노드(201)의 접속 가능 여부를 확인할 수 있다. 예를 들어, 컨트롤러(202)는 접속 제어 애플리케이션(211)으로부터 수신된 정보가 접속 정책 데이터 베이스에 포함되는지 여부와, 출발지 노드(201) 및/또는 출발지 노드(201)가 속한 네트워크의 식별 정보가 블랙리스트 데이터 베이스에 포함되는지 여부에 기반하여 출발지 노드(201)의 접속 가능 여부를 확인할 수 있다. 출발지 노드(201)가 접속 가능하다면, 컨트롤러(202)는 출발지 노드(201)와 컨트롤러(202) 간 제어 플로우를 생성할 수 있다. 이 경우, 컨트롤러(202)는 난수 형태로 제어 플로우 식별 정보를 생성하고, 출발지 노드(201) 및/또는 출발지 노드(201)가 속한 네트워크의 식별 정보를 제어 플로우 테이블에 저장할 수 있다. 제어 플로우 테이블에 저장된 정보(예: 제어 플로우 식별 정보 및/또는 제어 플로우 정보)는 출발지 노드(201)의 사용자 인증, 출발지 노드(201)의 정보 업데이트, 출발지 노드(201)의 네트워크 접속을 위한 정책 확인, 및/또는 유효성 검사에 이용될 수 있다.
실시예에 따라 출발지 노드(201)의 접속이 불가능하거나 출발지 노드(201)가 블랙리스트에 포함된 경우, 컨트롤러(202)는 이하의 동작들을 수행하지 않고 출발지 노드(201)에게 접속 불가를 통지할 수 있다.
동작 620에서, 컨트롤러(202)는 터널 정책을 통해 출발지 노드(201)가 생성해야 하는 터널이 존재하는지를 확인할 수 있다. 터널 생성이 필요한 경우, 컨트롤러(202)는 TEP, TSP, 터널 종류, 방식, 터널 식별 정보, 및/또는 인증 정보를 포함하는 터널 생성 정보를 생성할 수 있다. TEP는 게이트웨이 IP 및/또는 포트 정보를 포함할 수 있다. 또한, 터널 생성이 필요한 경우, 컨트롤러(202)는 출발지 노드(201)에게 할당하기 위한 IP 및 DNS 정보를 설정하고, 데이터 베이스(예: 터널 테이블)에 해당 정보를 업데이트할 수 있다.
동작 625에서, 컨트롤러(202)는 컨트롤러 접속 요청에 대한 응답으로 제어 플로우 식별 정보 및 터널 생성 정보를 출발지 노드(201)에게 전송할 수 있다. 제어 플로우 식별 정보는 컨트롤러 접속 이후 사용자 인증, 출발지 노드(201)의 업데이트, 또는 네트워크 접속시 제어 플로우의 식별을 위하여 이용될 수 있다.
동작 630에서, 컨트롤러(202)는 제어 플로우 식별 정보 및 터널 생성 정보를 게이트웨이(203)에게 전송할 수 있다. 게이트웨이(203)로 전송되는 터널 생성 정보는 출발지 노드(201)에게 할당하기 위한 IP 및 DNS 정보를 포함할 수 있다.
실시예에 따라 생성해야 하는 터널이 존재하지 않는 경우, 컨트롤러(202)는 동작 625 내지 630을 수행하지 않을 수 있으며, 게이트웨이(203)에 대한 제어 플로우 식별 정보 및 터널 생성 정보의 전송이 실패하는 경우 컨트롤러(202)는 출발지 노드(201)에게 접속 불가 결과를 통지할 수 있다.
동작 635에서, 출발지 노드(201)는 수신된 응답에 따라서 결과값을 처리할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 수신된 제어 플로우 식별 정보를 저장하고, 컨트롤러 접속이 완료됨을 나타내는 사용자 인터페이스 화면을 사용자에게 표시할 수 있다. 컨트롤러 접속이 완료되면, 출발지 노드(201)의 목적지 네트워크에 대한 네트워크 접속 요청은 컨트롤러(202)에 의하여 통제될 수 있다.
동작 640에서, 출발지 노드(201)는 터널 생성 정보에 기반하여 게이트웨이(203)와 터널을 생성할 수 있다. 터널 생성에 실패한 경우, 접속 제어 애플리케이션(211)은 터널 생상 불가 및 사유를 나타내는 메시지를 디스플레이를 통해 출력하고, 관련 정보를 삭제할 수 있다.
도 7은 다양한 실시예들에 따른 사용자 인증을 위한 신호 흐름도를 나타낸다.
출발지 노드(201)가 목적지 네트워크에 대한 상세한 접속 권한을 부여 받기 위해서, 출발지 노드(201)의 접속 제어 애플리케이션(211)은 컨트롤러(202)로부터 출발지 노드(201)의 사용자에 대한 인증을 받을 수 있다.
도 7을 참조하면, 동작 705에서, 출발지 노드(201)는 사용자 인증을 위한 입력을 수신할 수 있다. 사용자 인증을 위한 입력은 예를 들어, 사용자 ID 및 비밀번호를 입력하는 사용자 입력일 수 있다. 다른 예를 들어, 사용자 인증을 위한 입력은 보다 강화된 인증을 위한 사용자 입력(예: 생체 정보)일 수 있다.
동작 710에서, 출발지 노드(201)는 컨트롤러(202)에게 사용자 인증을 요청할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 사용자 인증을 위한 입력 정보를 컨트롤러(202)에게 전송할 수 있다. 출발지 노드(201)와 컨트롤러(202) 간 제어 플로우가 이미 생성된 상태이면, 접속 제어 애플리케이션(211)은 사용자 인증을 위한 입력 정보를 제어 플로우 식별 정보와 함께 전송할 수 있다.
동작 715에서, 컨트롤러(202)는 출발지 노드(201)로부터 수신된 정보에 기반하여 사용자를 인증할 수 있다. 예를 들어, 컨트롤러(202)는 수신된 정보에 포함된 사용자 ID, 비밀번호, 및/또는 강화된 인증 정보와, 컨트롤러(202)의 메모리에 포함된 데이터 베이스(예: 도 3의 접속 정책 데이터 베이스(311) 또는 블랙리스트 데이터 베이스(314))에 기반하여 사용자가 접속 정책에 따라 접속 가능한지 여부 및 사용자가 블랙리스트에 포함되는지 여부를 결정할 수 있다.
사용자가 인증되면, 컨트롤러(202)는 제어 플로우의 식별 정보에 사용자의 식별 정보(예: 사용자 ID)를 추가할 수 있다. 추가된 사용자 식별 정보는 인증된 사용자의 컨트롤러 접속 또는 네트워크 접속에 이용될 수 있다.
실시예에 따라 사용자 인증이 불가하거나 사용자가 블랙리스트에 포함되는 경우, 컨트롤러(202)는 출발지 노드(201)에게 접속 불가를 통지하고 이하의 동작들을 수행하지 않을 수 있다.
사용자가 인증되면, 동작 720에서, 컨트롤러(202)는 터널 정책을 통해 출발지 노드(201)가 생성해야 하는 터널이 존재하는지를 확인할 수 있다. 터널 생성이 필요한 경우, 컨트롤러(202)는 TEP, TSP, 터널 종류, 방식, 및/또는 인증 정보를 포함하는 터널 생성 정보를 생성할 수 있다. 또한, 터널 생성이 필요한 경우, 컨트롤러(202)는 사용자에게 할당하기 위한 IP 및 DNS 정보가 존재하는지 확인하고, 이들이 존재한다면 데이터 베이스(예: 터널 테이블)에 업데이트할 수 있다.
동작 725에서, 컨트롤러(202)는 컨트롤러 접속 요청에 대한 응답으로 제어 플로우 식별 정보 및 터널 생성 정보를 출발지 노드(201)에게 전송할 수 있다.
동작 730에서, 컨트롤러(202)는 제어 플로우 식별 정보 및 터널 생성 정보를 게이트웨이(203)에게 전송할 수 있다. 게이트웨이(203)로 전송되는 터널 생성 정보는 사용자에게 할당하기 위한 IP 및 DNS 정보를 포함할 수 있다.
실시예에 따라 생성해야 하는 터널이 존재하지 않는 경우, 컨트롤러(202)는 동작 725 내지 730을 수행하지 않을 수 있으며, 게이트웨이(203)에 대한 제어 플로우 식별 정보 및 터널 생성 정보의 전송이 실패하는 경우 컨트롤러(202)는 출발지 노드(201)에게 접속 불가 결과를 통지할 수 있다.
동작 735에서, 출발지 노드(201)는 수신된 응답에 따라서 결과값을 처리할 수 있다. 예를 들어, 출발지 노드(201)는 사용자 인증이 완료됨을 나타내는 사용자 인터페이스 화면을 디스플레이를 통해 사용자에게 출력할 수 있다.
동작 740에서, 출발지 노드(201)는 터널 생성 정보에 기반하여 게이트웨이(203)와 터널을 생성할 수 있다. 터널 생성에 실패한 경우, 접속 제어 애플리케이션(211)은 터널 생상 불가 및 사유를 나타내는 메시지를 디스플레이를 통해 출력하고, 관련 정보를 삭제할 수 있다.
도 8은 다양한 실시예들에 따른 터널 생성을 위한 신호 흐름도를 나타낸다. 도 8에 도시된 동작들은 도 6의 동작 640 또는 도 7의 동작 740의 구체적인 예일 수 있다.
도 8을 참조하면, 동작 805에서, 출발지 노드(201)는 게이트웨이(203)에게 터널 생성을 요청할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 터널 생성 정보가 나타내는 IP 및 포트 정보에 따라 게이트웨이(203)에게 터널 생성을 요청할 수 있다. 접속 제어 애플리케이션(211)은 인증 정보를 전송할 수 있다.
동작 810에서, 출발지 노드(201) 및 게이트웨이(203)는 인증 정보를 기반으로 키 협상 절차를 수행할 수 있다. 키 협상 절차가 실패하는 경우 터널 생성 요청은 거절될 수 있다.
동작 815에서, 게이트웨이(203)는 터널 생성 요청에 포함된 식별 정보(예: 출발지 노드, 사용자, 또는 터널), 또는 인증 정보 중 적어도 하나에 대응하는 고정 IP 및 DNS 정보가 존재하는지 확인할 수 있다. 고정 IP는 터널 생성시 부여되는 가상 IP를 의미할 수 있다. DNS는 터널이 생성된 후 접속을 시도하는 네트워크의 호스트를 식별하기 위하여 이용될 수 있다. 게이트웨이(203)는 컨트롤러(203)로부터 수신된 터널 생성 정보에 기반하여 식별 정보 또는 인증 정보에 대응하는 고정 IP 및 DNS 정보를 확인할 수 있다.
고정 IP 및 DNS 정보가 존재하면, 동작 820에서, 게이트웨이(203)는 해당 고정 IP 및 DNS 정보를 출발지 노드(201)에게 전송할 수 있다.
동작 825에서, 출발지 노드(201)는 게이트웨이(203)로부터 수신된 응답에 따라서 결과값을 처리할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 수신된 고정 IP 및 DNS 정보를 저장할 수 있다.
도 9는 다양한 실시예들에 따른 터널 생성 완료를 알리기 위한 신호 흐름도를 나타낸다. 도 9에 도시된 동작들은 예를 들어 도 8의 터널 생성 절차 이후 수행될 수 있다.
도 9를 참조하면, 동작 905에서, 출발지 노드(201)는 컨트롤러(202)에게 터널 생성 완료를 알릴 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 게이트웨이(203)로부터 제공받은 고정 IP 정보를 컨트롤러(202)에게 전송할 수 있다.
동작 910에서, 컨트롤러(202)는 접속 정책을 확인할 수 있다. 구체적으로, 컨트롤러(202)는 출발지 노드(201)로부터 수신된 고정 IP 정보가 데이터 베이스에 저장된(또는 업데이트된) IP 정보와 동일한지 확인할 수 있다. 추가적으로, 컨트롤러(202)는 생성이 완료된 터널이 터널 정책을 만족하는지 확인할 수 있다. 수신된 고정 IP 정보가 데이터 베이스에 저장된 IP 정보와 동일하면, 컨트롤러(202)는 해당 IP로 전송 가능한 목적지 네트워크(또는 도착지 노드)의 IP 및 포트 정보를 목록화한 데이터 플로우를 생성할 수 있다.
동작 915 내지 920에서, 컨트롤러(201)는 접속 정책 확인 결과를 출발지 노드(201) 및 게이트웨이(203)에게 전송할 수 있다. 예를 들어, 수신된 고정 IP 정보가 데이터 베이스에 저장된 IP 정보와 동일하면, 컨트롤러(202)는 생성된 데이터 플로우를 출발지 노드(201) 및 게이트웨이(203)에게 전송할 수 있다. 수신된 고정 IP 정보가 데이터 베이스에 저장된 IP 정보와 동일하지 않은 경우, 컨트롤러(202)는 출발지 노드(201) 및 게이트웨이(203)에게 터널의 제거를 요청할 수 있다.
동작 925에서, 출발지 노드(201)는 컨트롤러(202)로부터 수신된 정보에 따라서 결과값을 처리할 수 있다. 예를 들어, 출발지 노드(201)는 수신된 데이터 플로우를 저장하거나, 컨트롤러(202)의 요청에 따라서 게이트웨이(203)와 생성된 터널을 제거할 수 있다.
도 10은 다양한 실시예들에 따른 네트워크 접속을 제어하기 위한 신호 흐름도를 나타낸다.
출발지 노드(201)가 컨트롤러(202)로부터 인가된 이후에, 출발지 노드(201)는 출발지 노드(201)의 접속 제어 애플리케이션(211)을 통해 출발지 노드(201) 내에 저장된 다른 애플리케이션들의 네트워크 접속을 제어함으로서 신뢰된 데이터 전송을 보장할 수 있다.
도 10을 참조하면, 동작 1005에서, 접속 제어 애플리케이션(211)은 네트워크 접속 이벤트를 감지할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 웹 브라우저와 같은 타겟 애플리케이션이 인터넷과 같은 도착지 노드(204)를 포함하는 목적지 네트워크로의 접속을 시도함을 감지할 수 있다. 예를 들어, 사용자는 웹 브라우저를 실행하고 접속하고자 하는 웹 주소를 입력 및 호출할 수 있다.
동작 1010에서, 접속 제어 애플리케이션(211)은 데이터 플로우를 검사할 수 있다. 일 실시예에서, 접속 제어 애플리케이션(211)은 접속을 요청한 타겟 애플리케이션과 도착지 IP 및 포트 정보를 식별하고, 식별된 정보에 대응하는 데이터 플로우와 해당 데이터 플로우에 인가된 터널이 존재하는지 여부를 확인할 수 있다. 데이터 플로우 및 인가된 터널이 존재하는 경우, 접속 제어 애플리케이션(211)은 동작 1015 내지 1025를 생략하고 동작 1030에서 타겟 애플리케이션의 데이터 패킷을 게이트웨이(203)로 전송할 수 있다. 인가된 터널이 존재하지 않는 경우, 접속 제어 애플리케이션(211)은 데이터 패킷을 드롭할 수 있다.
추가적으로, 접속 제어 애플리케이션(211)은 데이터 플로우가 존재하더라도 해당 데이터 플로우가 유효한지 여부를 확인할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 데이터 패킷을 전송할 수 없는 상태이거나 또는 컨트롤러(202)에 의해서 데이터 패킷 전송이 거절된 상태인 경우에 데이터 플로우가 유효하지 않은 것으로 결정할 수 있다. 데이터 플로우가 유효하지 않으면, 접속 제어 애플리케이션(211)은 데이터 패킷을 드롭할 수 있다.
추가적으로, 접속 제어 애플리케이션(211)은 데이터 플로우가 존재하지 않더라도 유효성 검사를 수행할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 유효성 검사 정책에 따라서 타겟 애플리케이션의 무결성 및 안전성 검사(예: 애플리케이션의 위, 변조 여부, 코드 사이닝 검사, 핑거프린트 검사)를 수행하고 및 컨트롤러(202)로부터 수신된 접속 정책에 따라 타겟 애플리케이션의 도착지 IP 및 포트에 대한 접속 가능 여부를 확인할 수 있다. 유효성 검사가 실패하면, 접속 제어 애플리케이션(211)은 데이터 패킷을 드롭하고 접속 불가 메시지 및 그 사유를 디스플레이 상에 표시할 수 있다.
데이터 플로우가 존재하지 않지만 유효성 검사가 성공한 경우, 동작 1015에서 접속 제어 애플리케이션(211)은 컨트롤러(202)에게 타겟 애플리케이션의 네트워크 접속을 요청할 수 있다. 이 경우, 접속 제어 애플리케이션(211)은 타겟 애플리케이션의 식별 정보 및 도착지 노드(204)의 식별 정보(예: 도착지 노드의 IP, 서비스 포트 정보)를 출발지 노드(201)와 컨트롤러(202) 사이에 생성된 제어 플로우의 식별 정보와 함께 컨트롤러(202)에게 전송할 수 있다.
동작 1020에서, 컨트롤러(202)는 접속 제어 애플리케이션(211)으로부터 수신된 요청 및 컨트롤러(202)의 데이터 베이스에 기반하여 접속 정책을 확인할 수 있다. 예를 들어, 컨트롤러(202)는 접속 제어 애플리케이션(211)으로부터 수신된 정보가 컨트롤러(202)의 데이터 베이스에 포함된 접속 정책을 만족하는지 여부에 기반하여 타겟 애플리케이션의 접속 가능 여부를 결정할 수 있다. 타겟 애플리케이션의 접속이 불가능 하면, 컨트롤러(202)는 동작 1025에서 출발지 노드(201)에게 접속이 불가능함을 나타내는 정보를 전송할 수 있다. 이 경우, 접속 제어 애플리케이션(211)은 타겟 애플리케이션의 데이터 패킷을 드롭하고, 네트워크에 대한 접속이 불가능함을 나타내는 사용자 인터페이스 화면을 디스플레이를 통해 출력할 수 있다.
타겟 애플리케이션의 접속이 가능하면, 동작 1025에서, 컨트롤러(202)는 접속 제어 애플리케이션(211)의 네트워크 접속 요청에 대한 응답을 전송할 수 있다. 예를 들어, 컨트롤러(202)는 접속 제어 애플리케이션(211)으로터 수신된 정보에 대응하는 데이터 플로우를 생성 또는 갱신하고, 데이터 플로우를 접속 제어 애플리케이션(211)으로 전송할 수 있다. 추가적으로, 컨트롤러(202)는 데이터 플로우를 게이트웨이(203)로 전송할 수 있다. 이 경우, 게이트웨이(203)로의 데이터 플로우 전송이 실패하면, 컨트롤러(202)는 접속 제어 애플리케이션(211)에게 접속 불가를 통지할 수 있다.
타겟 애플리케이션의 접속이 가능함을 나타내는 정보 또는 유효한 데이터 플로우가 수신되면, 동작 1030에서 접속 제어 애플리케이션(211)은 데이터 패킷을 게이트웨이(203)로 전송할 수 있다.
도 11은 다양한 실시예들에 따른 네트워크 접속 해제를 위한 신호 흐름도를 나타낸다.
도 11을 참조하면, 동작 1105에서 출발지 노드(201)는 네트워크 접속 해제를 컨트롤러(202)에게 요청할 수 있다. 예를 들어, 출발지 노드(201)는 출발지 노드(201)와 컨트롤러(202) 간 제어 플로우의 식별 정보를 네트워크 접속 해제를 요청하는 정보와 함께 컨트롤러(202)에게 전송할 수 있다.
일 실시예에 따르면, 출발지 노드(201)는 사용자의 요청, 출발지 노드(201)의 재시작, 또는 접속 제어 애플리케이션(211)의 요청과 같은 네트워크 접속 해제 이벤트에 응답하여 네트워크 접속 해제를 시도할 수 있다. 예를 들어, 출발지 노드(201)는 접속 종료 버튼을 선택하는 사용자 입력을 수신할 수 있다.
동작 1110에서, 컨트롤러(202)는 출발지 노드(201)의 요청에 응답하여, 수신된 식별 정보에 대응하는 제어 플로우를 제거(또는 해제)할 수 있다.
동작 1115에서, 컨트롤러(202)는 게이트웨이(203)에게 제거된 제어 플로우에 종속되는 터널의 제거를 요청할 수 있다. 이때, 게이트웨이(203)는 컨트롤러(202)의 요청에 응답하여 터널을 제거할 수 있다.
상술한 동작을 통해, 도착지 노드(204)를 포함하는 시스템은, 출발지 노드(201)에서 전송되는 데이터 패킷을 더 이상 수신할 수 없는 완전한 차단 및 격리를 제공할 수 있다.
도 12는 다양한 실시예들에 따른 터널 생성을 위한 노드의 동작 흐름도를 나타낸다. 도 12에 도시된 동작들은 출발지 노드(201) 또는 출발지 노드(201)에 포함된 구성(예: 프로세서 또는 접속 제어 애플리케이션)에 의하여 구현될 수 있다.
도 12를 참조하면, 동작 1210에서, 노드는 외부 서버(예: 컨트롤러(202))로부터 터널 생성 정보를 수신할 수 있다. 예를 들어, 노드는 컨트롤러 접속 절차 또는 사용자 인증 절차를 통해 외부 서버로부터 터널 생성 정보를 수신할 수 있다. 터널 생성 정보는 예를 들어, TEP, TSP, 터널 종류, 방식, 터널 식별 정보, 및/또는 인증 정보 중 적어도 하나를 포함할 수 있다.
동작 1220에서, 노드는 터널 생성 정보에 기반하여 게이트웨이(예: 게이트웨이(203))로 터널 생성을 요청할 수 있다. 예를 들어, 노드는 터널 생성 정보 중 일부를 게이트웨이로 전송할 수 있다.
동작 1230에서, 노드는 게이트웨이로부터 고정 IP 정보를 수신할 수 있다. 추가적으로, 노드는 IP 정보와 함께 DNS 정보를 게이트웨이로부터 수신할 수 있다. 고정 IP 정보 및 DNS 정보는 노드 또는 노드의 사용자 별로 게이트웨이에 의하여 할당될 수 있다.
동작 1240에서, 노드는 고정 IP 정보를 외부 서버로 전송할 수 있다.
도 13은 다양한 실시예들에 따른 터널 생성을 위한 서버의 동작 흐름도를 나타낸다.
도 13을 참조하면, 동작 1310에서, 서버는 노드로부터 컨트롤러 접속 요청 또는 사용자 인증 요청을 수신할 수 있다.
컨트롤러 접속 또는 사용자 인증을 수행하는 동안에 노드와 게이트웨이 간 터널의 생성이 필요한 것으로 확인되면, 동작 1320에서, 서버는 터널의 생성에 필요한 터널 생성 정보를 생성하고, 노드에게 할당하기 위한 IP 및 DNS 정보를 설정할 수 있다. 서버는 IP 및 DNS 정보를 데이터 베이스에 업데이트할 수 있다.
동작 1330에서, 서버는 노드 및 게이트웨이에게 터널 생성 정보를 전송할 수 있다. 게이트웨이로 전송되는 터널 생성 정보는 노드에게 할당하기 위한 IP 및 DNS 정보를 포함할 수 있다.
동작 1340에서, 서버는 노드로부터 IP 정보를 포함하는 터널 생성 알림을 수신할 수 있다. 노드로부터 수신된 IP 정보는 노드와 게이트웨이 간 터널 생성 절차에서 게이트웨이에 의하여 할당될 수 있다.
동작 1350에서, 서버는 수신된 IP 정보가 데이터 베이스에 저장된 IP와 동일한지를 확인할 수 있다. 수신된 IP 정보가 저장된 IP와 동일하다면, 동작 1360에서, 서버는 데이터 플로우를 게이트웨이에게 전송할 수 있다. 수신된 IP 정보가 저장된 IP와 동일하지 않다면, 동작 1370에서 서버는 노드 및 게이트웨이에게 터널의 제거를 요청할 수 있다.
도 14는 다양한 실시예들에 따른 데이터 패킷을 포워딩하기 위한 게이트웨이의 동작 흐름도를 나타낸다.
도 14를 참조하면, 동작 1410에서, 게이트웨이는 외부 서버로부터 데이터 플로우를 수신할 수 있다. 수신된 데이터 플로우는 고정 IP로 전송 가능한 목적지 IP 및 포트 정보를 나타낼 수 있다. 고정 IP는 게이트웨이가 노드와 터널을 생성할 때 노드 또는 노드의 사용자에게 할당된 IP일 수 있다.
동작 1420에서, 게이트웨이는 노드로부터 데이터 패킷을 수신할 수 있다.
동작 1430에서, 게이트웨이는 데이터 패킷이 게이트웨이와 노드 간 인가된 터널을 통해 수신된 것인지 여부와, 데이터 패킷에 포함된 출발지 IP와 목적지 IP 및 포트 정보에 대응하는 데이터 플로우가 존재하는지 여부를 확인할 수 있다. 데이터 패킷이 인가된 터널을 통해 수신되지 않았거나 데이터 플로우가 존재하지 않는다면, 게이트웨이는 데이터 패킷을 드롭할 수 있다.
데이터 패킷이 인가된 터널을 통해 수신된 것이고 데이터 플로우가 존재한다면, 동작 1440에서, 게이트웨이는 데이터 패킷에 포함된 출발지 IP와 데이터 플로우에 포함된 고정 IP가 동일한지를 확인할 수 있다. 동일하다면, 동작 1450에서, 게이트웨이는 데이터 패킷을 포워딩할 수 있다. 동일하지 않는다면, 동작 1460에서, 게이트웨이는 데이터 패킷을 드롭할 수 있다.
이상의 설명은 본 문서에 개시된 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 문서에 개시된 실시예들이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 문서에 개시된 실시예들의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다.
따라서, 본 문서에 개시된 실시예들은 본 문서에 개시된 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 문서에 개시된 기술 사상의 범위가 한정되는 것은 아니다. 본 문서에 개시된 기술 사상의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 문서의 권리범위에 포함되는 것으로 해석되어야 할 것이다.

Claims (14)

  1. 노드에 있어서,
    통신 회로;
    상기 통신 회로와 작동적으로 연결되는 프로세서; 및
    상기 프로세서와 작동적으로 연결되고, 타겟 애플리케이션 및 접속 제어 애플리케이션을 저장하는 메모리를 포함하고, 상기 메모리는, 상기 프로세서에 의해서 실행될 때 상기 노드가,
    상기 접속 제어 애플리케이션을 통해, 게이트웨이와 터널을 생성하기 위하여 필요한 터널 생성 정보를 외부 서버로부터 수신하고,
    상기 접속 제어 애플리케이션을 통해, 상기 터널 생성 정보에 기반하여 상기 게이트웨이에게 터널 생성을 요청하고,
    상기 접속 제어 애플리케이션을 통해, 상기 노드 또는 상기 노드의 사용자 별로 할당되는 고정 IP 정보를 상기 게이트웨이로부터 수신하고, 및
    상기 접속 제어 애플리케이션을 통해, 상기 고정 IP 정보를 상기 외부 서버로 전송하도록 하는 명령어들을 저장하는, 노드.
  2. 청구항 1에 있어서, 상기 명령어들은 상기 노드가,
    상기 접속 제어 애플리케이션을 통해, 상기 게이트웨이로부터 상기 고정 IP 정보와 함께 DNS(domain name system) 정보를 수신하도록 하는, 노드.
  3. 청구항 1에 있어서, 상기 명령어들은 상기 노드가,
    상기 접속 제어 애플리케이션을 통해, 상기 외부 서버로부터 상기 고정 IP로 전송 가능한 목적지 IP 및 포트 정보를 나타내는 데이터 플로우를 수신하도록 하는, 노드.
  4. 청구항 3에 있어서, 상기 명령어들은 상기 노드가,
    상기 접속 제어 애플리케이션을 통해, 상기 타겟 애플리케이션의 네트워크 접속 이벤트를 감지하고,
    상기 접속 제어 애플리케이션을 통해, 상기 감지된 네트워크 접속 이벤트에 응답하여 상기 타겟 애플리케이션의 식별 정보와 목적지 IP 및 포트 정보에 기반하여 상기 데이터 플로우가 존재하는지 여부 및 유효한지 여부를 확인하고,
    상기 데이터 플로우가 존재하지 않으면, 상기 외부 서버에게 데이터 플로우를 요청하고,
    상기 데이터 플로우가 존재하면, 상기 타겟 애플리케이션의 데이터 패킷을 전송하고, 및
    상기 데이터 플로우가 존재하지만 유효하지 않으면, 상기 타겟 애플리케이션의 데이터 패킷을 드롭(drop)하도록 하는, 노드.
  5. 청구항 1에 있어서, 상기 명령어들은 상기 노드가,
    상기 접속 제어 애플리케이션을 통해, 상기 외부 서버에 대한 컨트롤러 접속 이벤트를 감지하고,
    상기 접속 제어 애플리케이션을 통해, 상기 감지된 컨트롤러 접속 이벤트에 응답하여 상기 외부 서버에게 컨트롤러 접속을 요청하고,
    상기 접속 제어 애플리케이션을 통해, 상기 외부 서버로부터 상기 컨트롤러 접속 요청에 대한 제1 응답을 수신하도록 하며,
    상기 제1 응답은 상기 접속 제어 애플리케이션과 상기 외부 서버간 생성된 제어 플로우의 식별 정보 및 상기 터널 생성 정보를 포함하는, 노드.
  6. 청구항 5에 있어서, 상기 명령어들은 상기 노드가,
    사용자 인증을 요청하는 제1 사용자 입력을 수신하고,
    상기 접속 제어 애플리케이션을 통해 상기 외부 서버에게 상기 노드의 사용자에 대한 사용자 인증을 요청하고, 상기 사용자 인증 요청은 상기 제1 사용자 입력에 대응하는 정보를 포함하고,
    상기 접속 제어 애플리케이션을 통해, 상기 외부 서버로부터 상기 사용자 인증 요청에 대한 제2 응답을 수신하도록 하며, 상기 제2 응답은 상기 사용자 인증 요청에 대한 결과, 상기 제어 플로우의 식별 정보, 및 상기 터널 생성 정보를 포함하는, 노드.
  7. 청구항 6에 있어서, 상기 명령어들은 상기 노드가,
    네트워크 접속의 해제를 요청하는 제2 사용자 입력을 수신하고,
    상기 제2 사용자 입력에 응답하여, 상기 외부 서버에게 네트워크 접속 해제를 요청하도록 하는, 노드.
  8. 서버에 있어서,
    통신 회로;
    데이터 베이스를 저장하는 메모리; 및
    상기 통신 회로 및 상기 메모리와 작동적으로 연결되는 프로세서를 포함하고, 상기 프로세서는,
    노드로부터 컨트롤러 접속 요청 또는 사용자 인증 요청을 수신하고, 상기 수신된 요청은 상기 서버와 상기 노드 간 생성된 제어 플로우의 식별 정보를 포함하고,
    상기 노드와 게이트웨이 간 터널의 생성이 필요하면, 터널 생성에 필요한 터널 생성 정보 생성하고, 상기 노드 또는 상기 노드의 사용자에게 할당하기 위한 IP 및 DNS 정보를 설정하고,
    상기 터널 생성 정보를 상기 노드 및 게이트웨이에게 전송하고,
    상기 노드로부터 상기 노드와 상기 게이트웨이 간 터널이 생성됨을 나타내는 터널 생성 알림을 수신하고, 상기 터널 생성 알림은 IP 정보를 포함하고,
    상기 터널 생성 알림에 포함된 IP 정보와 상기 설정된 IP가 동일한지 확인하고,
    상기 IP 정보와 상기 IP가 동일하면 상기 IP로 전송 가능한 도착지 IP 및 포트 정보를 포함하는 데이터 플로우를 상기 게이트웨이에게 전송하고, 및
    상기 IP 정보와 상기 IP가 동일하지 않으면 상기 노드 및 상기 게이트웨이에게 상기 터널의 제거를 요청하도록 구성된, 서버.
  9. 청구항 8에 있어서, 상기 프로세서는,
    상기 노드로부터, 네트워크 접속 해제 요청을 수신하고, 상기 네트워크 접속 해제 요청은 상기 제어 플로우의 식별 정보를 포함하고,
    네트워크 접속 해제 요청에 응답하여 상기 식별 정보에 대응되는 상기 제어 플로우를 제거하고,
    상기 제거된 제어 플로우에 종속된 터널을 제거하고, 상기 제거된 터널에 관한 정보를 상기 게이트웨이에 전달하도록 구성된, 서버.
  10. 게이트웨이에 있어서,
    외부 서버로부터, 노드에게 할당된 고정 IP로 전송 가능한 목적지 IP 및 포트 정보를 나타내는 데이터 플로우를 수신하고,
    상기 노드의 접속 제어 애플리케이션으로부터 데이터 패킷을 수신하고,
    상기 데이터 패킷이 수신된 터널 및 데이터 플로우를 검사하고,
    상기 검사가 성공하면, 상기 데이터 패킷에 포함된 출발지 IP와 상기 데이터 플로우에 포함된 고정 IP가 동일한지를 확인하고, 및
    상기 확인 결과에 기반하여 상기 데이터 패킷을 드롭 또는 포워딩하도록 구성된, 게이트웨이.
  11. 청구항 10에 있어서,
    상기 외부 서버로부터 터널 생성에 필요한 터널 생성 정보와 상기 노드에게 할당하기 위한 IP 및 DNS 정보를 수신하고,
    상기 노드로부터 터널 생성 요청을 수신하고,
    상기 외부 서버로부터 수신된 정보에 기반하여, 상기 노드에게 할당하기 위한 고정 IP 및 DNS 정보가 존재하는지를 확인하고, 및
    상기 고정 IP 및 DNS 정보가 존재하면, 상기 고정 IP 및 DNS 정보를 상기 노드에게 전송하도록 구성된, 게이트웨이.
  12. 노드의 동작 방법에 있어서,
    게이트웨이와 터널을 생성하기 위하여 필요한 터널 생성 정보를 외부 서버로부터 수신하는 동작;
    상기 터널 생성 정보에 기반하여 상기 게이트웨이에게 터널 생성을 요청하는 동작;
    상기 게이트웨이로부터 상기 노드 또는 상기 노드의 사용자 별로 할당되는 고정 IP 정보를 수신하는 동작; 및
    상기 고정 IP 정보를 상기 외부 서버로 전송하는 동작을 포함하는, 방법.
  13. 서버의 동작 방법에 있어서,
    노드로부터 컨트롤러 접속 요청 또는 사용자 인증 요청을 수신하는 동작, 상기 수신된 요청은 상기 서버와 상기 노드 간 생성된 제어 플로우의 식별 정보를 포함하고;
    상기 노드와 게이트웨이 간 터널의 생성이 필요하면, 터널 생성에 필요한 터널 생성 정보 생성하고, 상기 노드 또는 상기 노드의 사용자에게 할당하기 위한 IP 및 DNS 정보를 설정하는 동작;
    상기 터널 생성 정보를 상기 노드 및 게이트웨이에게 전송하는 동작;
    상기 노드로부터 상기 노드와 상기 게이트웨이 간 터널이 생성됨을 나타내는 터널 생성 알림을 수신하는 동작; 상기 터널 생성 알림은 IP 정보를 포함하고,
    상기 터널 생성 알림에 포함된 IP 정보와 상기 설정된 IP가 동일한지 확인하는 동작; 및
    상기 IP 정보와 상기 IP가 동일하면 상기 IP로 전송 가능한 도착지 IP 및 포트 정보를 포함하는 데이터 플로우를 상기 게이트웨이에게 전송하고, 상기 IP 정보와 상기 IP가 동일하지 않으면 상기 노드 및 상기 게이트웨이에게 상기 터널의 제거를 요청하는 동작;을 포함하는, 방법.
  14. 게이트웨이의 동작 방법에 있어서,
    외부 서버로부터, 노드에게 할당된 고정 IP로 전송 가능한 목적지 IP 및 포트 정보를 나타내는 데이터 플로우를 수신하는 동작;
    상기 노드의 접속 제어 애플리케이션으로부터 데이터 패킷을 수신하는 동작;
    상기 데이터 패킷이 수신된 터널 및 데이터 플로우를 검사하는 동작;
    상기 검사가 성공하면, 상기 데이터 패킷에 포함된 출발지 IP와 상기 데이터 플로우에 포함된 고정 IP가 동일한지를 확인하는 동작; 및
    상기 확인 결과에 기반하여 상기 데이터 패킷을 드롭 또는 포워딩하는 동작;을 포함하는, 방법.
PCT/KR2022/006027 2021-05-07 2022-04-27 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 WO2022235007A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US18/503,786 US20240080299A1 (en) 2021-05-07 2023-11-07 Controller-based network access control system, and method thereof

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2021-0059273 2021-05-07
KR1020210059273A KR102333555B1 (ko) 2021-05-07 2021-05-07 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/503,786 Continuation US20240080299A1 (en) 2021-05-07 2023-11-07 Controller-based network access control system, and method thereof

Publications (1)

Publication Number Publication Date
WO2022235007A1 true WO2022235007A1 (ko) 2022-11-10

Family

ID=78900083

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/006027 WO2022235007A1 (ko) 2021-05-07 2022-04-27 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Country Status (3)

Country Link
US (1) US20240080299A1 (ko)
KR (1) KR102333555B1 (ko)
WO (1) WO2022235007A1 (ko)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102333555B1 (ko) * 2021-05-07 2021-12-01 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102564418B1 (ko) * 2023-02-22 2023-08-08 프라이빗테크놀로지 주식회사 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102554200B1 (ko) * 2023-04-11 2023-07-12 프라이빗테크놀로지 주식회사 논리적 연결 식별 기반 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20100053691A (ko) * 2007-09-14 2010-05-20 다 탕 모바일 커뮤니케이션즈 이큅먼트 코포레이션 리미티드 사용자 고정 ｉｐ 어드레스를 어드레싱하는 것을 지원하기 위한 방법, 시스템 및 장치
KR101110979B1 (ko) * 2011-01-27 2012-02-15 가톨릭대학교 산학협력단 이동 아이피 통신망을 지원하기 위한 도메인네임 장치 및 방법
KR20160123069A (ko) * 2015-04-15 2016-10-25 한국전자통신연구원 단말의 통합 인증 방법 및 그 장치
KR20210045917A (ko) * 2019-09-24 2021-04-27 프라이빗테크놀로지 주식회사 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102333555B1 (ko) * 2021-05-07 2021-12-01 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20100053691A (ko) * 2007-09-14 2010-05-20 다 탕 모바일 커뮤니케이션즈 이큅먼트 코포레이션 리미티드 사용자 고정 ｉｐ 어드레스를 어드레싱하는 것을 지원하기 위한 방법, 시스템 및 장치
KR101110979B1 (ko) * 2011-01-27 2012-02-15 가톨릭대학교 산학협력단 이동 아이피 통신망을 지원하기 위한 도메인네임 장치 및 방법
KR20160123069A (ko) * 2015-04-15 2016-10-25 한국전자통신연구원 단말의 통합 인증 방법 및 그 장치
KR20210045917A (ko) * 2019-09-24 2021-04-27 프라이빗테크놀로지 주식회사 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102333555B1 (ko) * 2021-05-07 2021-12-01 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Also Published As

Publication number Publication date
US20240080299A1 (en) 2024-03-07
KR102333555B1 (ko) 2021-12-01

Similar Documents

Publication Publication Date Title
WO2022235007A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2021060853A1 (ko) 네트워크 접속 제어 시스템 및 그 방법
US6745333B1 (en) Method for detecting unauthorized network access by having a NIC monitor for packets purporting to be from itself
WO2012153913A1 (ko) 차단서버를 이용한 스푸핑 공격 방어방법
US7194004B1 (en) Method for managing network access
US20040213237A1 (en) Network authentication apparatus and network authentication system
WO2022231306A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023033586A1 (ko) Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2010128747A1 (ko) 지그비 무선 통신 프로토콜상에서의 보안성 강화 방법 및 장치
WO2023085791A1 (ko) 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023085793A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2013085217A1 (ko) 다수의 중계 서버를 갖는 보안관리 시스템 및 보안관리 방법
WO2023146308A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2015174100A1 (ja) パケット転送装置、パケット転送システム及びパケット転送方法
WO2023211104A1 (ko) 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023136658A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2017026840A1 (ko) 인터넷 연결 장치, 중앙 관리 서버 및 인터넷 연결 방법
WO2022231304A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2021060859A1 (ko) 단말의 네트워크 접속을 인증 및 제어하기 위한 시스템 및 그에 관한 방법
WO2024029658A1 (ko) 네트워크에서의 접근 통제 시스템 및 그 방법
WO2020009369A1 (ko) 종단 간 통신에 보안을 제공하기 위한 장치 및 방법
WO2023090756A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
JP4253520B2 (ja) ネットワーク認証装置及びネットワーク認証システム
WO2022235006A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2020067734A1 (ko) 넌어드레스 네트워크 장비 및 이를 이용한 통신 보안 시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22799050

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22799050

Country of ref document: EP

Kind code of ref document: A1