전역 보안 액세스에 대한 알려진 제한 사항

Windows용 Global Secure Access 클라이언트에 대한 알려진 제한 사항은 다음과 같습니다.

DNS(보안 도메인 이름 시스템)

글로벌 보안 액세스 클라이언트는 현재 다른 버전(예: DNS over HTTPS(DoH), TLS를 통한 DNS(DoT) 또는 DNSSEC(DNS 보안 확장))에서 보안 DNS를 지원하지 않습니다. 네트워크 트래픽을 가져올 수 있도록 클라이언트를 구성하려면 보안 DNS를 사용하지 않도록 설정해야 합니다. 브라우저에서 DNS를 사용하지 않도록 설정하려면 브라우저사용하지 않도록 설정된 보안 DNS를 참조하세요.

TCP를 통해 DNS

DNS는 이름 확인을 위해 포트 53 UDP를 사용합니다. 일부 브라우저에는 포트 53 TCP도 지원하는 자체 DNS 클라이언트가 있습니다. 현재 전역 보안 액세스 클라이언트는 DNS 포트 53 TCP를 지원하지 않습니다. 완화를 위해 다음 레지스트리 값을 설정하여 브라우저의 DNS 클라이언트를 사용하지 않도록 설정합니다.

• Microsoft Edge
  [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
• 크롬
  [HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
  또한 검색 chrome://flags 추가하고 Async DNS resolver사용하지 않도록 설정하세요.

그룹 정책의 이름 확인 정책 테이블 규칙이 지원되지 않음

Windows용 전역 보안 액세스 클라이언트는 그룹 정책의 NRPT(이름 확인 정책 테이블) 규칙을 지원하지 않습니다. 프라이빗 DNS를 지원하기 위해 클라이언트는 디바이스에서 로컬 NRPT 규칙을 구성합니다. 이러한 규칙은 관련 DNS 쿼리를 프라이빗 DNS로 리디렉션합니다. NRPT 규칙이 그룹 정책에 구성된 경우 클라이언트에서 구성한 로컬 NRPT 규칙을 재정의하고 프라이빗 DNS는 작동하지 않습니다.

또한 이전 버전의 Windows에서 구성되고 삭제된 NRPT 규칙은 registry.pol 파일에 빈 NRPT 규칙 목록을 만들었습니다. 이 GPO(그룹 정책 개체)가 디바이스에 적용되는 경우 빈 목록은 로컬 NRPT 규칙을 재정의하고 프라이빗 DNS는 작동하지 않습니다.

완화 방법:

1. 레지스트리 키 HKLM\Software\Policies\Microsoft\Windows NT\DNSClient\DnsPolicyConfig 최종 사용자 디바이스에 있는 경우 NRPT 규칙을 적용하도록 GPO를 구성합니다.
2. NRPT 규칙을 사용하여 구성된 GPO를 찾으려면 다음을 수행합니다.
   1. 최종 사용자 디바이스에서 gpresult /h GPReport.html 실행하고 NRPT 구성을 찾습니다.
   2. NRPT 규칙을 포함하는 sysvol 모든 registry.pol 파일의 경로를 검색하는 다음 스크립트를 실행합니다.

# =========================================================================
# THIS CODE-SAMPLE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND, EITHER 
# EXPRESSED OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE IMPLIED WARRANTIES 
# OF MERCHANTABILITY AND/OR FITNESS FOR A PARTICULAR PURPOSE.
#
# This sample is not supported under any Microsoft standard support program 
# or service. The code sample is provided AS IS without warranty of any kind. 
# Microsoft further disclaims all implied warranties including, without 
# limitation, any implied warranties of merchantability or of fitness for a 
# particular purpose. The entire risk arising out of the use or performance
# of the sample and documentation remains with you. In no event shall 
# Microsoft, its authors, or anyone else involved in the creation, 
# production, or delivery of the script be liable for any damages whatsoever 
# (including, without limitation, damages for loss of business profits, 
# business interruption, loss of business information, or other pecuniary 
# loss) arising out of  the use of or inability to use the sample or 
# documentation, even if Microsoft has been advised of the possibility of 
# such damages.
#========================================================================= 

# Define the sysvol share path.
# Change the sysvol path per your organization, for example: 
# $sysvolPath = "\\dc1.contoso.com\sysvol\contoso.com\Policies"
$sysvolPath = "\\<DC FQDN>\sysvol\<domain FQDN>\Policies"  ## Edit

# Define the search string.
$searchString = "dnspolicyconfig"

# Define the name of the file to search.
$fileName = "registry.pol"

# Get all the registry.pol files under the sysvol share.
$files = Get-ChildItem -Path $sysvolPath -Recurse -Filter $fileName -File

# Array to store paths of files that contain the search string.
$matchingFiles = @()

# Loop through each file and check if it contains the search string.
foreach ($file in $files) {
    try {
        # Read the content of the file.
        $content = Get-Content -Path $file.FullName -Encoding Unicode
        
        # Check if the content contains the search string.
        if ($content -like "*$searchString*") {
            $matchingFiles += $file.FullName
        }
    } catch {
        Write-Host "Failed to read file $($file.FullName): $_"
    }
}

# Output the matching file paths.
if ($matchingFiles.Count -eq 0) {
    Write-Host "No files containing '$searchString' were found."
} else {
    Write-Host "Files containing '$searchString':"
    $matchingFiles | ForEach-Object { Write-Host $_ }
}

3. 이전 섹션에서 찾은 각 GPO를 편집합니다.
   1. NRPT 섹션이 비어 있는 경우 새 가상 규칙을 만들고, 정책을 업데이트하고, 가상 규칙을 삭제하고, 정책을 다시 업데이트합니다. 이러한 단계는 registry.pol 파일(레거시 버전의 Windows에서 만든)에서 DnsPolicyConfig 제거합니다.
   2. NRPT 섹션이 비어 있지 않고 규칙이 포함된 경우 이러한 규칙이 여전히 필요한지 확인합니다. 규칙이 필요하지 경우 삭제합니다. 규칙이 필요하고 Global Secure Access 클라이언트가 있는 디바이스에서 GPO를 적용할 있는 경우 프라이빗 DNS 옵션이 작동하지 않습니다.

연결 대체

클라우드 서비스에 대한 연결 오류가 있는 경우 클라이언트는 전달 프로필에서 일치하는 규칙의 강화 값에 따라 직접 인터넷 연결 또는 연결 차단으로 대체됩니다.

지리적 위치

클라우드 서비스로 터널된 네트워크 트래픽의 경우 애플리케이션 서버(웹 사이트)는 연결의 원본 IP를 에지의 IP 주소(사용자 디바이스의 IP 주소가 아님)로 검색합니다. 이 시나리오는 지리적 위치를 사용하는 서비스에 영향을 줄 수 있습니다.

가상화 지원

가상 머신을 호스트하는 디바이스에는 Global Secure Access 클라이언트를 설치할 수 없습니다. 그러나 클라이언트가 호스트 머신에 설치되지 않는 한 가상 머신에 Global Secure Access 클라이언트를 설치할 수 있습니다. 같은 이유로 WSL(Linux용 Windows 하위 시스템)은 호스트 컴퓨터에 설치된 클라이언트에서 트래픽을 획득하지 않습니다.

Hyper-V 지원:

1. 외부 가상 스위치: Global Secure Access Windows 클라이언트는 현재 Hyper-V 외부 가상 스위치가 있는 호스트 컴퓨터를 지원하지 않습니다. 그러나 클라이언트를 가상 머신에 설치하여 트래픽을 Global Secure Access로 터널할 수 있습니다.
2. 내부 가상 스위치: 호스트 및 게스트 컴퓨터에 전역 보안 액세스 Windows 클라이언트를 설치할 수 있습니다. 클라이언트는 설치된 컴퓨터의 네트워크 트래픽만 터널합니다. 즉, 호스트 컴퓨터에 설치된 클라이언트는 게스트 머신의 네트워크 트래픽을 터널하지 않습니다.

글로벌 보안 액세스 Windows 클라이언트는 Azure Virtual Machines 및 AVD(Azure Virtual Desktop)를 지원합니다.

대리

프록시가 애플리케이션 수준(예: 브라우저) 또는 OS 수준에서 구성된 경우 클라이언트가 터널로 예상하는 모든 FQDN 및 IP를 제외하도록 PAC(프록시 자동 구성) 파일을 구성합니다.

특정 FQDN/IP에 대한 HTTP 요청이 프록시로 터널링되지 않도록 하려면 FQDN/IP를 PAC 파일에 예외로 추가합니다. (이러한 FQDN/IP는 터널링을 위한 전역 보안 액세스의 전달 프로필에 있습니다). 예를 들어:

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

직접 인터넷 연결이 불가능한 경우 프록시를 통해 글로벌 보안 액세스 서비스에 연결하도록 클라이언트를 구성합니다. 예를 들어 http://proxy:8080같은 프록시 값과 일치하도록 grpc_proxy 시스템 변수를 설정합니다.

구성 변경 내용을 적용하려면 전역 보안 액세스 클라이언트 Windows 서비스를 다시 시작합니다.

패킷 주입

클라이언트는 소켓을 사용하여 전송된 트래픽만 터널합니다. 드라이버를 사용하여 네트워크 스택에 주입된 트래픽을 터널하지 않습니다(예: Nmap(네트워크 매퍼)에서 생성된 트래픽 중 일부). 삽입된 패킷은 네트워크로 직접 이동합니다.

다중 세션

Global Secure Access 클라이언트는 동일한 컴퓨터에서 동시 세션을 지원하지 않습니다. 이 제한은 RDP(원격 데스크톱 프로토콜) 서버 및 다중 세션용으로 구성된 AVD(Azure Virtual Desktop)와 같은 VDI(가상 데스크톱 인프라) 솔루션에 적용됩니다.

Arm64

전역 보안 액세스 클라이언트는 Arm64 아키텍처를 지원하지 않습니다.

인터넷 액세스에 대해 QUIC가 지원되지 않음

QUIC는 인터넷 액세스에 대해 아직 지원되지 않으므로 포트 80 UDP 및 443 UDP로의 트래픽을 터널화할 수 없습니다.

관리자는 인터넷 액세스에서 완전히 지원되는 TCP를 통해 HTTPS로 대체하도록 클라이언트를 트리거하는 QUIC 프로토콜을 사용하지 않도록 설정할 수 있습니다. 자세한 내용은 인터넷 액세스지원되지 않는 QUIC를 참조하세요.

WSL 2 연결

호스트 컴퓨터에서 Windows용 Global Secure Access 클라이언트를 사용하도록 설정하면 WSL(Linux용 Windows 하위 시스템) 2 환경에서 나가는 연결이 차단될 수 있습니다. 이 문제를 완화하려면 dnsTunneling을 false설정하는 파일을 만듭니다. 이렇게 하면 WSL의 모든 트래픽이 전역 보안 액세스를 우회하고 네트워크로 직접 이동합니다. 자세한 내용은 WSL고급 설정 구성을 참조하세요.

macOS용 Global Secure Access 클라이언트에 대한 알려진 제한 사항은 다음과 같습니다.

DNS(보안 도메인 이름 시스템)

브라우저 또는 macOS에서 보안 DNS를 사용하도록 설정하고 DNS 서버가 보안 DNS를 지원하는 경우 클라이언트는 FQDN에서 획득하도록 설정된 트래픽을 터널하지 않습니다. (IP에서 획득한 네트워크 트래픽은 영향을 받지 않으며 전달 프로필에 따라 터널링됩니다.) 보안 DNS 문제를 완화하려면 보안 DNS를 사용하지 않도록 설정하거나, 보안 DNS를 지원하지 않는 DNS 서버를 설정하거나, IP를 기반으로 규칙을 만듭니다.

연결 대체

클라우드 서비스에 대한 연결 오류가 있는 경우 클라이언트는 전달 프로필에서 일치하는 규칙의 강화 값에 따라 직접 인터넷 연결 또는 연결 차단으로 대체됩니다.

원본 IP 주소의 지리적 위치

클라우드 서비스로 터널된 네트워크 트래픽의 경우 애플리케이션 서버(웹 사이트)는 연결의 원본 IP를 에지의 IP 주소(사용자 디바이스의 IP 주소가 아님)로 검색합니다. 이 시나리오는 지리적 위치를 사용하는 서비스에 영향을 줄 수 있습니다.

UTM을 사용하는 가상화 지원

• 네트워크가 브리지된 모드이고 전역 보안 액세스 클라이언트가 호스트 컴퓨터에 설치된 경우:
  • 전역 보안 액세스 클라이언트가 가상 머신에 설치된 경우 가상 머신의 네트워크 트래픽에는 로컬 정책이 적용됩니다. 호스트 머신의 정책은 가상 머신의 전달 프로필에 영향을 주지 않습니다.
  • 전역 보안 액세스 클라이언트 가상 머신에 설치되지 않은 경우 가상 머신의 네트워크 트래픽이 무시됩니다.
• Global Secure Access 클라이언트는 가상 머신의 네트워크 트래픽을 차단할 수 있으므로 네트워크 공유 모드를 지원하지 않습니다.
• 네트워크가 공유 모드인 경우 클라이언트가 호스트 컴퓨터에 설치되지 않는 한 macOS를 실행하는 가상 머신에 Global Secure Access 클라이언트를 설치할 수 있습니다.

인터넷 액세스에 대해 QUIC가 지원되지 않음

QUIC는 인터넷 액세스에 대해 아직 지원되지 않으므로 포트 80 UDP 및 443 UDP로의 트래픽을 터널화할 수 없습니다.

Android용 Global Secure Access 클라이언트에 대한 알려진 제한 사항은 다음과 같습니다.

• Android(Go Edition) 실행하는 모바일 디바이스는 현재 지원되지 않습니다.
• 공유 디바이스의 Android 엔드포인트용 Microsoft Defender는 현재 지원되지.
• 디바이스에서 DNS(Private Domain Name System)를 사용하지 않도록 설정해야 합니다. 이 설정은 종종 시스템 > 네트워크 및 인터넷 옵션에서 찾을 수 있습니다.
• 엔드포인트용 Microsoft Defender와 함께 비 Microsoft 엔드포인트 보호 제품을 실행하면 성능 문제와 예측할 수 없는 시스템 오류가 발생할 수 있습니다.
• Microsoft Tunnel과 글로벌 보안 액세스 공존은 현재 지원되지 않습니다. 자세한 내용은 IntuneMicrosoft Tunnel에 대한 필수 구성 요소를 참조하세요.

Android용 Global Secure Access 클라이언트에 대한 알려진 제한 사항은 다음과 같습니다.

• UDP(빠른 사용자 데이터그램 프로토콜) QUIC(인터넷 연결) 트래픽 터널링(Exchange Online 제외)은 지원되지 않습니다.
• Microsoft Tunnel과 글로벌 보안 액세스 공존은 현재 지원되지 않습니다. 자세한 내용은 IntuneMicrosoft Tunnel에 대한 필수 구성 요소를 참조하세요.