Windows Server 2008이 나오면... (48) - NAP 클라이언트 설정

http://blogs.technet.com/koalra/archive/2007/10/08/windows-server-2008-48-nap.aspx

Microsoft 사이트에서 Step by Step 가이드를 다운로드 받으셔서, 실습하실 때 NAP과 관련해서는 한가지 빠진 사항이 있습니다. 바로 클라이언트쪽 셋팅입니다. 한번은 스크립트를 이용해서 NAP 클라이언트 설정하는 법에 대해 포스팅하였지만, 실제 클라이언트에 대한 이야기는 제가 무슨 생각으로 포스팅안했는지 모르겠습니다. :)

이는 서버쪽과는 조금 상관이 없다고 빼놓은 건지, 아니면 당연히 아신다고 빼놓은건지는 일단 모르겠지만, 꼭 필요한 사항이 있어서 포스팅해봅니다. - 사실 이 이슈때문에 매우 많은 메일을 받았습니다. :)

일단 NAP 클라이언트 설정은 크게 3가지 방법이 있습니다.

1. 액티브 디렉터리를 이용하여 그룹 정책 사용
2. 수동으로 개개별 클라이언트에서 MMC 관리 도구를 이용하는 방법
3. 수동으로 개개별 클라이언트 혹은 기타 방법론을 사용하여 스크립트를 이용하는 방법

3번 사항은 기존 포스팅을 참고해주시고, 오늘은 액티브 디렉터리와 개개별 관리 도구를 이용하는 방법을 한꺼번에 살펴봅니다. NAP과 관련된 설정은 Windows Vista에서부터 관리 도구를 제공합니다만, Windows Server 2003 도메인 환경에서도 Windows Vista에 그룹 정책 관리(GPMC) MMC를 설치하시면 사용할 수 있습니다.

그룹 정책을 이용하실 거라면, GPMC내에서 그룹 정책을 생성 후 그룹 정책 개체 편집, 개개별로 클라이언트 설정을 할 거라면 시작 - 실행 - NAPCLCFG.MSC를 입력합니다.

   

그림이 좀 복잡하게 올라갔죠? 잘 보시면 그룹 정책 개체내 NAP 설정과 실제 NAPCLCFG로 올린 NAP 관리 도구의 계층 구조가 일치합니다.

NAP은 서버 설정뿐만 아니라, 개개별 클라이언트에서 NAP 관련 정보를 연결 시도시 전달해 줄것이냐를 설정해줘야 합니다. 이를 적용 클라이언트라고 합니다. 다시 말해 DHCP 시나리오를 사용하실 것이라면, DHCP 적용 클라이언트를 켜주셔야 합니다. 이런 적용 클라이언트가 NAP 시나리오에서는 5가지를 제공합니다.

 

아무리 서버 설정을 잘해놓더라도, 클라이언트에서 아무런 정보를 안던져주면 말짱 도루묵입니다. ^^ 원격 액세스 격리는 VPN, EAP 격리가 802.1x입니다. 사용자 인터페이스 설정에 대한 포스팅은 여기를 클릭하시면 보실 수 있습니다.

상태 등록 설정의 의미는 IPSEC 시나리오에서 HRA 서버에 대한 정보를 설정해주는 곳입니다. HRA에 대한 이야기는 여기를 클릭하세요!

자 이제 중요한 사실 하나가 있습니다. 개개별 NAPCLCFG를 사용하시는 경우엔 해당되지 않지만, 그룹 정책을 사용하시는 경우에는 중요한 사실입니다. 그룹 정책 설정을 다 마친 후, 반드시 적용을 하셔야 합니다. 아래의 그림을 보시면 이해가 빠르실 것입니다. 제가 Windows Server 2008 Beta 2 시절에 적용을 안누르고, 그냥 일반 설정하듯이 그룹 정책 개체 편집기를 닫았다가, 설정이 하나도 안바뀌는 경험을 했습니다. 정확하게는 저장이 안된거라 보시면 됩니다.

그냥 닫으려고 시도 혹은 다른 노드를 클릭하면, 원래 아래와 같은 메시지 창이 올라옵니다. 그러나 해당 창이 간혹 백그라운드에 올라와서 창을 다 닫았을 때 보고, '이게 모야 하고 휙 닫거나', '못 보곘죠?'

NAP 클라이언트 설정은 이걸로 완료되었다고 90%는 생각하시면 됩니다. 이대로 닫으시면 여전히 안됩니다. 이유는... 바로 서비스 때문입니다. 그룹 정책을 쓰신다면 아래의 그룹 정책 설정에서 NAP Agent를 자동으로 설정하시면 됩니다.

개개별 클라이언트 설정을 하시는 분들께서는 관리 도구 - 서비스에서 하시면 되겠죠?

Windows Vista의 경우에는 MMC 기반의 NAP 관리 도구를 제공하므로, 손쉽게 GUI에서 설정이 가능하시지만, Windows XP의 NAP Agent 경우, 관리 도구를 제공하지 않으므로, NETSH을 이용하셔야 합니다. 이와 관련된 명령어도 포스팅하도록 하겠습니다.