소속별 접근 통제 랩같은 업무망, 소속마다 다른 문

체험 계정 6개는 모두 가짜 회사(항공 지상조업 시나리오)이며 실제 고객과 관계없습니다.

서버 5대의 이름과 주소는 «어떤 순서로 해 보나요?»의 표에 있습니다.

체험 계정 비밀번호는 메가존클라우드 담당 SE에게 요청하시면 드립니다.

랩 단말(팀원용): 늘 켜진 Windows와 Android 에뮬레이터 화면을 팀 로그인 뒤 noVNC?로 엽니다. 내 단말은 아래처럼 앱을 깝니다.

• Windows, macOS: Cloudflare One Client 설치 파일을 내려받아 설치
• Android: Google Play에서 «Cloudflare One Agent» 검색 후 설치
• iPhone: App Store에서 «Cloudflare One Agent» 검색 후 설치

팀 이름을 물으면: mzccfteam

다른 VPN이나 보안 에이전트가 깔린 회사 PC는 충돌할 수 있어, 개인 기기나 시험용 기기를 권합니다.

1. 앱에서 로그인을 누르고 팀 이름 mzccfteam을 넣습니다.
2. 소속 버튼을 고릅니다. 본사와 그룹 IT는 «사내 AD FS (랩)», 협력사와 고객사는 «협력사 IdP (랩)»입니다.
3. 체험 계정 이메일과 비밀번호를 넣습니다. 본사와 그룹 IT는 6자리 2단계 인증(MFA?)을 한 번 더 묻습니다.
4. 앱이 Connected(연결됨)로 바뀌면 아래 주소를 브라우저에서 하나씩 엽니다.
5. 소속을 바꾸려면 앱 설정에서 로그아웃(계정 해제)한 뒤 1번부터 다시 합니다.

앱이 꺼져 있으면(Disconnected) 어느 주소도 열리지 않습니다. 이름을 알아도 밖에서는 닿지 않는 것이 이 구조의 핵심입니다.

※ 정산·ERP는 소속이 맞아도 단말 기준(OS 버전, 방화벽)을 통과해야 열립니다.

고객사 X와 Y가 서로의 포털을 못 보는 것이 «고객별 통제», 협력사 A와 B가 다른 범위를 받는 것이 «협력사별 통제»입니다.

• 같은 것: 소속별로 열리고 막히는 서버, 차단 화면, 카카오톡 차단
• 다른 것: 휴대폰은 posture? 검사 항목이 적어 Android는 OS 버전과 앱 연결 여부 정도입니다. 백신과 루팅은 기기 관리(MDM) 연동으로 봅니다.

랩 Android는 OS 14라 «OS 13 이상» 기준을 통과합니다. 기준을 15로 올리면 같은 사람도 정산·ERP에서 막힙니다.

관리자는 Zero Trust? 로그에서 «누가, 어느 단말로, 무엇을, 왜 막혔나»를 한 줄씩 봅니다.

앱은 로그인한 사람을 기억해, 브라우저나 탭을 바꿔도 소속은 그대로입니다.

앱 설정 › 계정 › 로그아웃(또는 Re-authenticate) 뒤 다시 로그인합니다.

단말 하나를 여럿이 번갈아 쓰는 랩이라 생기는 일입니다. 실제 회사에서는 사람마다 자기 단말이 있습니다.

Zero Trust › Reusable components › Lists

• 이메일 리스트: 소속 6개와 «전체 페르소나» 1개(정책 적용 범위)
• IP 리스트: 서버마다 1개씩 5개

회사 IdP 밖 계정(협력사, 고객사)이 섞이면 IdP? 그룹보다 이메일 리스트가 단순합니다. IdP 그룹이 잘 관리되면 «User Group Names» 조건으로 바꿉니다.

Zero Trust › Traffic policies › Firewall policies

평문 HTTP(80)라 TLS 복호화 없이도 차단 화면이 뜹니다. HTTPS 서버면 복호화를 켜거나 네트워크 정책으로만 막습니다(화면 없이 연결 실패).

• 본사: 회사 보안 정책(메신저 차단, 위협 차단)을 인터넷 전체에 겁니다.
• 외부 계정: 자기 회사 인터넷은 두고 우리 업무 서버로 가는 길만 줍니다. 개인정보와 회선 간섭 민원이 줄어듭니다.

DNS 정책은 Include 모드에서도 걸립니다(앱의 DNS 프록시를 지나기 때문).

기본 Split Tunnel? 제외 목록에 사설 대역(10으로 시작하는 대역 등)이 통째로 있어, 업무 서버가 사설 대역이면 그 부분을 빼야 터널을 탑니다.

Zero Trust › Reusable components › Posture checks

외부 계정이 «단말 등록 허용» 정책에 없으면 앱 로그인이 «등록 권한 없음»으로 끝납니다. 이 랩은 체험 계정 6개를 등록 정책에 따로 넣었습니다.

Zero Trust › Team & Resources › Devices › Device enrollment permissions

# 네트워크 정책: 단일 값
net.dst.ip in $<IP 리스트 ID> and net.dst.port == 22
# HTTP 정책: 배열
any(http.conn.dst_ip[*] in $<IP 리스트 ID>)
# 신원: 리스트 참조
identity.email in $<이메일 리스트 ID>

리스트 참조는 $ 바로 뒤에 리스트 ID(하이픈 포함)를 씁니다. $가 빠지면 «expected literal {» 오류가 납니다.

문자열 치환으로 식을 만들면 $$가 $로 줄어드는 함정(JavaScript String.replace 등)에 이번에 실제로 걸렸습니다.

Install-WindowsFeature Wireless-Networking   # 재부팅 필요
Restart-Computer
msiexec /i <설치 파일>.msi /qn ORGANIZATION=<팀 이름>

설치 로그(/l*v)에 sc.exe config CloudflareWARP depend= "wlansvc" 줄이 보이면 확정입니다.

Windows Server는 공식 지원 OS가 아니라(공식: Windows 10, 11) 검증 결과에 이 단서를 붙입니다.

• 중첩 가상화(nested virtualization)는 인스턴스를 만들 때 CPU 옵션에서 켭니다.
• Play 스토어가 든 시스템 이미지를 씁니다(모바일 클라이언트 공식 배포가 Google Play뿐).
• 화면은 가상 디스플레이와 VNC, noVNC로 웹에 내보내고 그 앞에 Access를 둡니다.

Zero Trust › Access › Applications › Add an application › Self-hosted

셸 스크립트에서 set -o pipefail과 yes | sdkmanager --licenses를 함께 쓰면 yes의 SIGPIPE(141)로 멈춥니다.

화면: Zero Trust › Insights › Logs › Gateway

• DNS, Network, HTTP 탭이 따로 있습니다.
• 정책 이름에 랩 접두어를 붙이면 필터 한 번으로 랩 판정만 모입니다.
• 장기 보관과 외부 분석은 Logpush로 보냅니다.

Gateway 정책과 단말 프로필은 계정 단위라, 신원 조건 없는 실습 정책은 같은 계정의 다른 사용자도 막습니다.

이 랩은 모든 정책에 «전체 페르소나»나 소속 리스트 조건을 걸고, 대역 전체 차단은 랩 전용 사설 대역에만 겁니다.