부록 B   Directory Proxy Server FAQ, 기능 및 문제 해결

이 부록에는 Sun ONE Directory Proxy Server에 관한 유용한 정보가 포함되어 있습니다. 이 부록에는 자주 묻는 질문(FAQ)에 대한 대답, 특정 Directory Proxy Server 기능 설명 및 문제 해결 정보가 포함되어 있습니다.

부록은 다음 내용으로 구성되어 있습니다.

• Directory Proxy Server FAQ
• Directory Proxy Server 기능
• 문제 해결

Directory Proxy Server FAQ

---

Directory Proxy Server란 무엇입니까?

Directory Proxy Server는 LDAP 클라이언트 및 LDAP 서버를 위한 LDAP 프록시입니다. LDAP 클라이언트의 요청을 Directory Proxy Server 구성에 정의된 규칙에 따라 LDAP 서버에 전달합니다. 그런 다음 서버의 결과를 해당 규칙에 따라 클라이언트에게 다시 전달합니다. 이 프로세스는 클라이언트에 대해 완전히 투명하므로 클라이언트가 LDAP 서버에 연결하기만 하면 Directory Proxy Server에 연결됩니다.

LDAP Proxy Server가 필요한 이유는 무엇입니까?

많은 기업에서는 디렉토리 정보의 일부에 대해서는 내부적으로 보안을 유지하면서 일부만 외부에 공개하기를 원합니다. Directory Proxy Server를 사용하면 외부 클라이언트에 디렉토리 비밀번호를 할당하지 않고도 이러한 목표를 쉽게 달성할 수 있습니다. 로드 균형 조정 및 페일오버 기능을 통해 Directory Proxy Server를 엔터프라이즈 디렉토리 서비스에 대한 고가용성 솔루션으로 사용할 수도 있습니다.

또한 서비스 공격(DoS) 거부 방지, 검색 제한 등과 같은 추가 보안 기능을 제공합니다.

Directory Proxy Server에서 지원하는 LDAP 프로토콜 버전은 무엇입니까?

Directory Proxy Server는 LDAPv2 또는 LDAPv3 프로토콜을 지원하는 LDAP 클라이언트 또는 체인 LDAP 서버를 지원합니다.

Directory Proxy Server는 보안 인증과 암호화를 지원합니까?

Directory Proxy Server는 인증서를 통한 공개 키 기반 데이터 암호화를 위한 SSLv3 서비스를 지원합니다. LDAP 클라이언트에 사용할 수 있는 보안 인증 및 암호화에서는 Diffie-Hellman, DSA (Digital Signature Standard) 및 Triple-DES 알고리즘을 사용하는 LDAP 포트 또는 인터넷 TLS (Transport Layer Security) 모델을 사용합니다.

Directory Proxy Server는 LDAP 사용 디렉토리 서버에서 작동합니까?

Directory Proxy Server는 LDAP 호환 디렉토리 서버에서 작동합니다. 일부 디렉토리 제품 공급업체에서 자사 마케팅 환경에 맞게 LDAP를 구현해 달라고 요구하지만 실제로는 그렇지를 못합니다. Directory Proxy Server는 Sun ONE Directory Server에서 철저하게 테스트를 거쳤습니다.

Directory Proxy Server 5.0 Console을 사용할 경우 지원되는 구성 디포지토리는 Sun ONE Directory Server 5.0입니다.

Directory Proxy Server를 구성할 수 있는 구성 유틸리티가 있습니까?

Directory Proxy Server 5.0에는 Directory Proxy Server를 구성하는 데 사용할 수 있는 Java 기반 GUI (콘솔)가 포함되어 있습니다. 콘솔은 Sun ONE Directory Server를 사용하여 생성된 구성을 저장합니다.

Directory Proxy Server 기능

---

Directory Proxy Server를 사용하여 서비스 거부(DoS) 공격을 방지할 수 있습니까?

그렇습니다. 연결 당 처리되는 동시 작업 수, 연결 당 허용되는 작업 수, 총 동시 연결 수, 정의된 그룹(네트워크, 하위 네트워크 또는 바인드 DN 기반) 당 최대 동시 연결 수, 단일 IP 주소에 대한 최대 동시 연결 수 등을 제한할 수 있습니다.

Directory Proxy Server는 "역방향" 프록싱을 지원합니까?

엄격한 의미에서 Directory Proxy Server는 역방향 프록시이지만 LDAP 프로토콜은 역방향 프록싱 개념을 지원하지 않습니다.

Directory Proxy Server를 사용하여 LDAP 디렉토리의 "트롤링"을 방지할 수 있습니까?

그렇습니다. 트롤링은 디렉토리의 많은 부분을 다운로드하도록 설계된 매우 광범위한 쿼리이며, 많은 사이트에서는 금지하는 기능입니다. Directory Proxy Server는 다음과 같은 여러 방법으로 트롤링을 금지하거나 제한합니다.

• 검색 범위를 디렉토리 트리의 단일 수준으로 제한하고, 전체 하위 트리를 숨기고, 쿼리에 대한 응답으로 반환되는 항목 수에 대한 하드 한계를 설정할 수 있습니다.
• 부등호 검색을 금지하여 길이를 제한할 수 있는 제외 및 하위 문자열 검색을 기반으로 많은 결과를 반환하는 검색을 허용하지 않습니다(예: 성이 문자 A-Z로 시작하는 모든 항목에 대한 검색 금지).
• 또한 색인화되지 않은 검색을 거부하도록 Directory Proxy Server를 구성할 수 있습니다. 색인화되지 않은 검색은 비효율적이며 성능에 부정적인 영향을 미칠 수 있습니다.

Directory Proxy Server는 쿼리에 대한 자동 로드 균형 조정을 수행합니까?

Directory Proxy Server는 백엔드 LDAP 서버 간의 자동 서버 로드 균형 조정을 지원합니다. 또한 Directory Proxy Server는 주 LDAP 서버가 종료될 경우 보조 LDAP 서버에 자동 페일오버를 지원합니다.

Directory Proxy Server 서버 한 대가 로드 균형 조정할 수 있는 LDAP 서버 수는 얼마입니까?

디렉토리 서버의 성능 요구 사항 및 Directory Proxy Server에서 수행되는 작업의 복잡도에 따라 Directory Proxy Server가 로드 균형 조정해야 하는 최적의 디렉토리 서버 수가 결정됩니다. 예를 들어, Directory Proxy Server에서 속성 이름 바꾸기와 같은 복잡한 작업을 수행할 경우에는 Directory Proxy Server에서 로드 균형을 조정하도록 구성되는 디렉토리 서버 수를 줄여야 합니다. 이 경우 Directory Proxy Server 장치를 더 추가하여 복잡한 Directory Proxy Server 구성으로 인한 성능의 효과를 보완하는 것이 좋습니다.

검색 요청을 필터링할 수 있습니까?

그렇습니다. 특정 속성을 찾으려고 시도하는 검색을 거부하도록 Directory Proxy Server를 구성할 수 있습니다. 또한 수신하는 검색 요청을 지정된 최소 검색 기준, 검색 범위 및 시간 제한에 맞게 수정하도록 Directory Proxy Server를 구성할 수 있습니다.

검색 결과를 필터링할 수 있습니까?

그렇습니다. 반환되는 항목 수 및 결과 집합에 포함되는 속성을 조건으로 결과를 필터링할 수 있습니다. 항목 DN 또는 내용을 기반으로 검색 결과 항목을 필터링할 수도 있습니다.

정의된 그룹에 액세스하는 방법은 무엇입니까?

클라이언트는 클라이언트의 네트워크 주소에 따라 디렉토리에 다양한 수준으로 액세스할 수 있습니다. 따라서, 회사 방화벽 외부, 방화벽 내부, 실무용 하위 네트워크, 개인 시스템 등에 위치하는 각 클라이언트에게 서로 다른 수준의 액세스를 허용할 수 있습니다. 또한 클라이언트가 LDAP 바인드 작업을 성공적으로 완료했을 때, SSL 세션이 구성될 때 등에 대한 액세스 수준을 변경할 수 있습니다.

Directory Proxy Server는 보호된 비밀번호 인증을 지원합니까?

그렇습니다. SASL 메커니즘을 사용하여 다양한 보호된 비밀번호 인증 스키마를 구현할 수 있습니다. 이러한 메커니즘은 백엔드 디렉토리 서버에서 지원해야 합니다. Directory Proxy Server는 연결 보호 및 SASL EXTERNAL 메커니즘과 함께 SASL 메커니즘을 지원하지 않습니다.

Directory Proxy Server는 참조를 자동으로 따릅니까?

액세스 그룹을 기반으로 다음과 같은 참조를 구성할 수 있습니다. 자동으로 참조를 따르거나, 참조를 반환하거나, 참조를 무시하도록 다양한 액세스 그룹을 구성할 수 있습니다.

Directory Proxy Server는 검색 결과 정보를 캐싱합니까?

Directory Proxy Server 버전 5.0 SP1는 검색 결과 캐싱을 지원하지 않습니다.

Directory Proxy Server에서 속성 이름 바꾸기를 수행할 수 있습니까?

Directory Proxy Server는 클라이언트와 서버 사이에서 속성 이름을 투명하게 바꿀 수 있습니다.

문제 해결

---

연결 시도 로그를 분석하는 방법은 무엇입니까?

syslog를 사용하거나 지정된 로그 파일에 기록하도록 Directory Proxy Server를 구성할 수 있습니다. Stanford University의 ftp(ftp://ftp.stanford.edu/general/security-tools/swatch)에서 swatch라는 잘 알려진 UNIX 유틸리티를 다운로드하여 사용할 수 있습니다. Swatch를 사용하면 Directory Proxy Server에서 생성된 로그 파일을 모니터링하고 거부된 이벤트가 발생할 경우 관리자에게 알릴 수 있습니다.

참조를 따르도록 Directory Proxy Server를 구성했지만, LDAPv2 클라이언트에서 검색을 수행하면 오류 32(No such object) 또는 일부 다른 오류가 표시됩니다.

Directory Proxy Server는 백엔드 서버로부터 참조를 받으려면 LDAPv3을 사용해야 합니다. 각 LDAP 서버 등록 정보에서 "LDAP 버전 3 전용"을 선택했는지 확인하십시오.

로그 파일에 모든 백엔드 서버가 실행 중인 동안에도 일부 유휴 클라이언트 연결이 실패한다는 메시지가 있습니다.

백엔드 디렉토리 서버가 유휴 연결에 시간 초과를 적용하여 닫습니다. 이러한 닫힌 연결에 대해서는 Directory Proxy Server가 실패합니다. Directory Proxy Server에 대해서도 유휴 연결 시간 초과를 설정해야 합니다. 그렇게 하면 유휴 및 누출 클라이언트 연결이 정리되고 단일 형식 서비스 거부(DoS) 공격으로부터 보호됩니다.

존재하는 필터를 포함하는 검색 요청을 제한하는 방법이 있습니까?

Directory Proxy Server 버전 5.0 SP1에는 클라이언트가 존재하는 필터를 사용하지 못하도록 제한하는 직접 메커니즘이 없습니다. 이 문제를 해결하는 두 가지 간접 방식이 있습니다.

ids-proxy-con-forbidden-compare를 비교하지 않을 속성의 이름으로 설정할 수 있습니다. 이 방법은 지나치게 제한적이라서 (mail=*) 필터와 (mail=Andy*) 필터를 모두 포함하는 검색을 거부하게 됩니다.

또한 존재하는 필터(attrName=*)가 항상 동일한 결과(데이터가 변경되지 않는다고 가정)를 생성하기 때문에 ids-proxy-con-size-limit 속성과 ids-proxy-sch-SizeLimitProperty를 사용하여 피해를 제한할 수 있습니다. LDAP는 항목을 지정된 순서로 반환할 필요는 없지만, 대부분(모든) 구현에서 결과 집합은 항상 정렬된 순서 또는 정렬되지 않은 순서로 반환됩니다. 따라서, 크기 제한(크기 제한 속성 또는 SizeLimitProperty 사용)을 사용하여 Directory Proxy Server를 구성할 경우 항상 해당 집합 중 처음 'n'개만 반환됩니다. 이러한 'n'개 항목 집합이 두 개만 존재할 수 있기 때문에 디렉토리 트롤링 위험이 크게 감소됩니다.

Directory Proxy Server는 가능할 경우 요청 자체에 이 크기 제한을 설정하려고 시도하기 때문에 디렉토리 서버에는 모든 항목을 보내야 하는 부담이 없습니다.

크기 제한 등록 정보에는 필요할 경우 크기 제한에 예외를 적용할 수 있는 옵션이 있습니다. 예를 들어, o=A이라는 항목이 있고 그 아래에 400개의 조직 단위가 있다고 가정합니다. 각각의 'U' 아래에는 사용자가 있습니다. 클라이언트가 모든 'U'를 볼 수 있지만 한 번에 5명의 사용자만 볼 수 있게 하려면 기준 o=A 및 한 수준 범위 검색에는 제한을 적용하지 않도록 SizeLimitProperty를 설정할 수 있습니다. 모든 다른 검색에 대해서는 제한값 5를 적용합니다.

작업을 실행하거나 일부 콘솔 기능을 수행하면 Administration Server가 제대로 실행되고 있고 이 호스트가 Administration Server에 대한 연결 권한이 있는지 확인하라는 오류 메시지가 표시됩니다.

해당 콘솔이 오류 메시지를 생성한 Directory Proxy Server를 관리하는 Administration Server에 로그인합니다. Administration Server의 호스트 시스템에서 Sun ONE Console을 시작해야 할 수 있습니다. 작업을 호출하지 못한 Directory Proxy Server를 관리하는 Administration Server의 서버 콘솔을 엽니다. 구성 탭을 누른 다음 네트워크 탭을 누릅니다. 연결 제한 하에서 Directory Proxy Server를 관리하지 못하는 Sun ONE Console의 호스트 시스템에 대해 Administration Server에 대한 액세스가 제한되지 않도록 확인해야 합니다. 자세한 내용은 Sun ONE Console Server Management Guide를 참조하십시오.