개요
프로토콜 모듈은 WiKID Strong Authentication Server가 다양한 네트워크 클라이언트에 인증 서비스를 제공하도록 합니다. Community Edition은 현재 LDAP, TACACS+ 및 wAuth를 지원합니다. wAuth는 WiKID의 기본 네이티브 인터페이스로, SSL과 인증서를 사용해 안전하지 않은 네트워크 위에서 분산(또는 로컬) 클라이언트와 인증 데이터를 교환합니다.
예시 등록 시스템은 /opt/WiKID/tomcat/webapps/WiKIDAdmin/example.jsp 또는 https://servername/WiKIDAdmin/exmample.jsp 에서 확인할 수 있으며, Java bean(wClient)을 사용해 사용자 인증 정보를 검증합니다.
중요: wAuth는 다른 프로토콜이 동작하려면 자동으로 활성화됩니다. 따라서 별도로 활성화하지 않아도 wAuth는 기본적으로 사용 가능합니다.
프로토콜 모듈 초기화 시작
관리 UI에서 [Protocol Modules] 헤더 옵션을 선택하여 초기화를 시작합니다. 서버에 사용 가능한 프로토콜 모듈 목록이 표시됩니다.
LDAP 프로토콜 활성화 절차
Enable Protocols 페이지에서 LDAP 프로토콜을 클릭하면 Enable LDAP 페이지가 열립니다. LDAP 모듈에 필요한 매개변수는 다음과 같습니다:
- LDAP_wauth_host: LDAP 바인드 요청을 검증할 WiKID 서버의 IP 주소 (항상 127.0.0.1)
- LDAP_wauth_kfile: WiKID 서버에 대한 LDAP 접근용 네트워크 클라이언트 인증서 위치 (일반적으로 /opt/WiKID/private/localhost.p12)
- LDAP_wauth_pass: 위 네트워크 클라이언트 인증서의 암호 구문
- LDAP_wauth_port: WiKID 서버가 수신하는 포트 (일반적으로 8388). 참고: LDAP 자체는 실제로 10389 포트를 사용합니다.
- LDAP_wauth_server: LDAP가 바인드 요청을 확인할 도메인의 12자리 코드
입력 완료 후 Update를 클릭하여 저장합니다.
중요: LDAP_wauth_host는 로컬호스트(127.0.0.1)로 고정되어야 합니다. 원격 호스트로 설정하면 바인드 검증이 실패합니다.
네트워크 클라이언트 생성
네트워크 클라이언트는 WiKID Strong Authentication Server에 일회성 비밀번호(OTP) 검증을 요청하는 시스템입니다. 이들은 수신한 사용자 정보를 프록시로 받아 WiKID 서버에 검증을 요청합니다. 네트워크 클라이언트는 설치된 프로토콜 모듈 중 하나를 사용합니다. 따라서 해당 프로토콜 모듈이 설치, 초기화, 활성화되어야 네트워크 클라이언트를 추가할 수 있습니다.
각 네트워크 클라이언트는 WiKID Strong Authentication Server에 구성되어야만 검증 요청을 할 수 있습니다. wAuth 클라이언트의 경우 네트워크 클라이언트용 인증서를 생성해야 합니다. 예외는 기본으로 사전 설치된 localhost 클라이언트로, 필요 시 재생성하는 것이 권장됩니다(정기 재생성 권장).
초기 네트워크 클라이언트 화면 예시는 다음과 같습니다.
“Create new Network Client”를 선택하여 네트워크 클라이언트 추가를 시작합니다. 그러면 다음과 유사한 화면이 표시됩니다.
네트워크 클라이언트 일반 속성
아래 값들은 프로토콜과 상관없이 모든 네트워크 클라이언트 설정에 필요합니다.
- Name – 서버의 설명 이름. 관리 UI, 로그, 리포트에 표시됩니다. 호스트명과 WiKID 도메인 조합 사용 권장.
- IP Address – 네트워크 클라이언트의 IP 주소.
- Protocol – 해당 클라이언트가 사용할 통신 프로토콜. 이미 활성화된 프로토콜만 선택 가능.
- Domain – 이 클라이언트가 자격 증명 검증을 요청할 WiKID 인증 도메인.
wAuth 네트워크 클라이언트를 생성하는 경우, 네트워크 클라이언트의 인증서를 만들어야 합니다. 네트워크의 이름은 반드시 전역에서 라우팅 가능한 FQDN일 필요는 없습니다. “vpn.wikidsystems.com” 대신 “www”, “extranet” 같은 컴퓨터 이름이나 별칭도 허용됩니다.
인증서 생성 및 관리 지침
- 네트워크 클라이언트에 대한 인증서는 PKCS#12(.p12) 형태로 생성합니다. 위치는 보통 /opt/WiKID/private/localhost.p12 입니다.
- 인증서 생성 시 강력한 암호 구문을 설정하고 LDAP_wauth_pass 등에 동일한 암호를 입력합니다.
- 인증서 유효 기간 만료 전에 주기적으로(예: 조직 정책에 따라 60~365일 사이) 인증서를 교체하십시오.
- localhost 클라이언트 인증서는 기본 제공되지만, 보안상 정기적으로 재생성하는 것을 권장합니다.
수행 절차(요약): 클라이언트 생성 → 이름/IP/프로토콜/도메인 입력 → 인증서 생성(또는 업로드) → 암호 구문 입력 → 저장(Update)
운영 전 확인 체크리스트
- 해당 프로토콜 모듈이 서버에서 설치되고 초기화되었는가?
- wAuth가 활성화되어 있는가? (필수)
- LDAP_wauth_host가 127.0.0.1로 설정되어 있는가?
- 인증서 파일 경로와 권한(/opt/WiKID/private/…)이 올바른가?
- 인증서 암호 구문이 정확히 입력되었는가?
- 네트워크 클라이언트의 IP 주소가 허용 목록에 포함되어 있는가?
- 테스트 사용자로 검증 프로세스를 성공적으로 통과했는가?
역할별 체크리스트
관리자(Admin)
- 프로토콜 모듈 활성화 및 초기화
- 도메인 코드(LDAP_wauth_server) 확인
- 로그 및 감사 레벨 설정
네트워크 엔지니어
- 방화벽에서 포트(예: 8388, 10389 등) 열기
- 클라이언트 네트워크 라우팅 및 NAT 확인
보안 담당자
- 인증서 교체 주기 정책 적용
- 인증서 암호 관리 및 비밀 보관소 연동
트러블슈팅: 흔한 문제와 해결 방법
문제: LDAP 바인드 실패
- 점검: LDAP_wauth_host가 127.0.0.1로 설정되어 있는지 확인
- 점검: LDAP_wauth_kfile 경로와 파일 권한 확인
- 점검: LDAP_wauth_pass 암호가 올바른지 확인
문제: 인증서 파싱 또는 형식 오류
- 점검: .p12 파일이 손상되지 않았는지, 올바른 PKCS#12 형식인지 확인
- 점검: 인증서의 공개키/비공개키 쌍이 포함되어 있는지 확인
문제: 포트 충돌 또는 수신 불가
- 점검: WiKID가 리스닝하는 포트(예: 8388)와 LDAP 실제 포트(10389)를 혼동하지 않았는지 확인
- 점검: OS 레벨에서 해당 포트가 이미 사용 중인지 확인(netstat/ss)
문제: 원격 네트워크 클라이언트가 연결되지 않음
- 점검: 클라이언트 IP가 서버에서 허용되어 있는지 확인
- 점검: NAT/프록시 환경에서 IP 변경 시 올바른 원격 IP가 전달되는지 확인
수용 기준
- 프로토콜 모듈이 활성화되어 있어야 하고, wAuth는 항상 활성 상태여야 합니다.
- LDAP를 활성화할 때 요구되는 모든 필드(LDAP_wauth_host, LDAP_wauth_kfile, LDAP_wauth_pass, LDAP_wauth_port, LDAP_wauth_server)가 올바르게 입력되어야 합니다.
- 네트워크 클라이언트는 서버에 등록되어 있어야 하며, wAuth 클라이언트는 유효한 .p12 인증서를 소유해야 합니다.
- 테스트 사용자로의 검증 시 2단계(클라이언트→WiKID 서버→응답) 검증 플로우가 성공적으로 완료되어야 합니다.
미니 SOP: wAuth 네트워크 클라이언트 추가 (요약 단계)
- 관리 UI에서 Create new Network Client 선택
- Name, IP Address 입력
- Protocol에서 wAuth 선택
- Domain 선택
- 인증서 생성(또는 업로드): .p12 파일 생성 및 경로 설정
- LDAP_wauth_pass(또는 해당 필드)에 인증서 암호 입력
- Update/저장
- 테스트 계정으로 로그인/검증 시나리오 실행
의사결정 흐름(단순화)
flowchart TD
A[프로토콜 선택 필요] --> B{이미 wAuth 활성화?}
B -- 예 --> C[다른 프로토콜 사용 가능]
B -- 아니오 --> D[wAuth 자동 활성화 필요]
C --> E{프로토콜: LDAP인가?}
E -- 예 --> F[LDAP 설정: 호스트=127.0.0.1, kfile, pass 입력]
E -- 아니오 --> G[TACACS+ 또는 기타 설정]
F --> H[네트워크 클라이언트 생성 및 인증서 관리]
G --> H용어 1줄 요약
- wAuth: WiKID의 네이티브 SSL 인증서 기반 프로토콜
- LDAP_wauth_kfile: LDAP가 WiKID에 접근할 때 사용하는 네트워크 클라이언트 인증서(.p12)
- LDAP_wauth_server: LDAP 바인드 검증을 위한 도메인 코드
팁 및 모범 사례
- 인증서 파일은 안전한 디렉터리에 보관하고 최소 권한으로 접근을 제한하세요.
- 인증서 교체 주기를 조직 정책에 반영해 자동화하세요.
- 테스트 환경에서 먼저 프로토콜을 활성화하고 로그를 관찰한 다음 운영 환경에 적용하세요.
요약
프로토콜 모듈 활성화와 네트워크 클라이언트 생성은 WiKID 인증 환경을 구성하는 핵심 작업입니다. wAuth는 기본 요구 사항이며, LDAP 사용 시에는 반드시 로컬 호스트(127.0.0.1)를 지정하고 올바른 .p12 인증서와 암호를 제공해야 합니다. 본 문서의 체크리스트, SOP, 트러블슈팅을 따라 단계별로 진행하면 안정적으로 모듈을 초기화하고 클라이언트를 등록할 수 있습니다.
