범위 확장기로 EAP를 확장한 후 발생되는 포털 인증 실패에 대한 안내

문제 현상: 포털 인증을 EAP에 설정한 후, 범위 확장기를 사용하여 EAP 네트워크를 확장하면 처음으로 연결하려는 고객에 한해서 포털 인증이 요구되며, 그 이후 이미 범위 확장기에 연결되어 있는 고객은 별도 인증 없이 인터넷에 접근할 수 있습니다. 

관련 해석:

1. 포털 인증 원칙

다음 그림은 간단한 포털 인증 과정을 보여줍니다. 고객이 처음으로 EAP에 연결하려고 할 때 EAP는 컨트롤 서버에 고객의 MAC 주소를 연동합니다. 인증 후, 고객은 네트워크 리소스에 접근할 수 있습니다.

2.  WDS에서의 무선 데이터 프레임 전달 과정

WDS, 즉 무선 분산 시스템은 무선 네트워크 배포 확장 시스템입니다. 

짧게 말해, WDS는 두 개(또는 그 이상)의 무선 광대역 공유기/AP/RE를 사용하여 상호 연결을 통해 원거리 범위까지 무선신호를 확장하는 것입니다. AP와 WDS 간 데이터 통신은 서너 개의 주소통신으로 나뉠 수 있습니다. 

2.1 네 개의 주소통신(표준 WDS)

AP1과 AP2는 통신을 위해 4개의 주소를 사용합니다. 위 데이터 프레임 구조는 4개의 MAC 주소인 PC1, AP1, AP2 그리고 PC2를 포함합니다. 네트워크 구조는 투명하고 데이터 송수신이 동일합니다.

참고: 장치 간의 호환성을 줄이기 위해서는 4개의 주소 통신이 이루어지기 전에 2개의 APS가 4개의 주소를 지원해야 합니다.

2.2  세 개의 주소통신 (비표준 WDS)

이런 경우 RE는 클라이언트로 AP와 연결이 되어있고 후방 SSID로 전송되며 이는 AP에 연결된 다중의 IPS를 가진 클라이언트와 동일합니다 

이때 RE와 AP 사이 통신 데이터 프레임 구조는 3개의 주소입니다. RE가 모든 후방 장치의 MAC 주소를 RE 자체의 MAC주소로 대체하여 AP가 오직 한 개의 장치만 연결되었다고 간주하도록 합니다. RE는 IP와 MAC 간의 해당 테이블을 유지해야 하며 MAC의 소스와 목적지를 교체하는 주소 지정 및 전달 업무가 이루어져야 합니다.

세 개 주소의 데이터 전달은 IP 주소 지원하에 전달 효율성이 낮은 상태에서 이뤄져야 합니다. 하지만 이는 호환성이 좋으며 대부분 장치들에서 네트워크 시스템을 확장할 수 있습니다.

다음 그림은 일반적인 세 개의 통신 데이터 구조입니다. 이의 IP 소스는 다르지만 데이터 프레임의 MAC 주소는 정확하게 일치합니다.

3. 포털 인증이 적용되지 않는 이유

현재 RE가 EAP 네트워크를 확장하려고 할 때 3개의 주소가 통신을 위해 사용됩니다. 두 장치의 애플리케이션 시나리오는 다르지만 네 개의 주소와 호환되지 않기 때문입니다. RE의 백엔드에 얼마나 많은 장치가 있든 간에 EAP와 컨트롤러 서버 간 연동된 MAC 주소는 포털 인증 중인 RE의 MAC 주소입니다. 이때 서버는 오직 한 가지의 장치만 EAP에 연결할 수 있다고 간주하므로 RE에 연결된 장치들은 한 번만 인증을 받으면 다른 장치들은 인증받을 필요가 없습니다. 

4. 관련 해결책

프록시 모드에서 사용되는 RE는 장치에 연결된 MAC 주소를 가상화할 것입니다. RE는 이 가상 MAC 주소를 전면 AP와 통신하기 위해 사용하여 전면 AP가 상이한 MAC 주소를 인식하고, 따라서 포털 인증의 효과를 높입니다.

한편 몇몇의 장치들은 호환이 된다는 전제하에 모든 RE가 프록시모드를 지원하는 것은 아니며 아래 나와있는 프록시 모드 지원 불가 리스트를 참고하시길 바랍니다.

850RE v7; 855RE v5; 860RE v6; 854RE v4; RE550; RE505X; RE605X; RE200 v5; RE315 v1.0; RE230 v2.0; RE450 v2.0; RE450 v3.0

참고: RE=범위 확장기