07네트워크 관리 — 인터페이스와 라우팅네트워크 관리 — 인터페이스와 라우팅

Gaia는 다음과 같은 인터페이스 유형을 지원합니다. 일부는 Scalable Platform(ElasticXL·Maestro·Chassis)이나 VSX·ClusterXL에서 제한이 있으니 표의 비고를 꼭 확인하세요.

Gaia는 컴퓨터에 꽂힌 물리 인터페이스(NIC)를 자동으로 인식 합니다. 따라서 Gaia Portal이나 Gaia Clish에서 물리 인터페이스를 직접 추가·삭제할 수 없고, Gaia가 켜져 있는 동안에는 인터페이스 카드를 추가·교체·제거할 수 없습니다.

인터페이스 카드를 추가·제거하려면

Gaia Portal에서 물리 인터페이스 구성

Gaia Clish에서 물리 인터페이스 구성

set interface <Name of Physical Interface>
    auto-negotiation {on | off}
    comments "Text"
    ipv4-address <IPv4 Address> {subnet-mask <Mask> | mask-length <Mask Length>}
    ipv6-address <IPv6 Address> mask-length <Mask Length>
    ipv6-autoconfig {on | off}
    link-speed {10M/half | 10M/full | 100M/half | 100M/full | 1000M/full | 10000M/full}
    mac-addr <MAC Address>
    monitor-mode {on | off}
    mtu <68-16000 | 1280-16000>
    rx-ringsize <0-4096>
    state {on | off}
    tx-ringsize <0-4096>

설정을 확인하는 명령입니다.

show interfaces all                                  # 모든 인터페이스의 모든 설정
show interface <Name of Physical Interface>          # 특정 인터페이스의 모든 설정
show interface <Name of Physical Interface><SPACE><TAB>   # 특정 설정 항목

각 파라미터의 뜻은 다음과 같습니다.

예제입니다.

gaia> set interface eth2 ipv4-address 40.40.40.1 subnet-mask 255.255.255.0
gaia> set interface eth2 mtu 1400
gaia> set interface eth2 state on
gaia> set interface eth2 link-speed 100M/full

인터페이스 Alias는 물리/가상 인터페이스(Bond·Bridge·VLAN·Loopback)에 IPv4 주소를 하나 더 붙이는 기능입니다. 단, ClusterXL은 Alias를 지원하지 않고, 이미 만든 Alias의 설정은 바꿀 수 없습니다(지우고 새로 만들어야 합니다).

새 Alias 이름은 원래 인터페이스 이름에 일련번호를 붙여 자동 생성 됩니다 — eth1의 첫 Alias는 eth1:1, 두 번째는 eth1:2 식입니다.

Gaia Portal에서

추가하려면 Network Management > Network Interfaces 에서 Add > Alias 를 누르고, IPv4 탭에 주소·마스크, Alias 탭에서 대상 인터페이스를 골라 OK. 삭제하려면 Alias 인터페이스를 골라 Delete 후 확인합니다.

Gaia Clish에서

add interface <Name of Interface> alias <IPv4 Address>/<Mask Length>     # 추가
show interface <Name of Interface> aliases                               # 보기
delete interface <Name of Interface> alias <Name of Alias Interface>     # 삭제

gaia> add interface eth1 alias 10.10.99.1/24
gaia> show interface eth1 aliases
gaia> delete interface eth1 alias eth1:2

Scalable Platform에서 Alias

Scalable Platform에서는 커널 파라미터 fwha_arp_support_aliases를 1로 설정해야 Alias가 동작합니다(자세한 내용은 sk167073).

Alias는 해당 Security Group의 Gaia gClish에서만 구성하며, 기존 Alias 설정은 바꿀 수 없습니다(지우고 새로 추가).

Alias 추가 절차

   g_fw ctl set int fwha_arp_support_aliases 1                # 임시(재부팅 시 사라짐)
   g_fw ctl get int fwha_arp_support_aliases                  # 값 확인
   g_update_conf_file $FWDIR/boot/modules/fwkern.conf fwha_arp_support_aliases=1   # 영구(재부팅 필요)
   

   add interface <Name of Interface> alias <IPv4 Address>/<Mask Length>
   

추가 후 save config로 저장합니다. 3. SmartConsole에서 Security Gateway 객체의 토폴로지를 갱신합니다 — Network Management > Get Interfaces > Get Interfaces with Topology → Accept → OK. > Best Practice — Alias를 추가한 인터페이스의 Topology > Leads To 는 기본 토폴로지 설정을 그대로 두고 Override를 쓰지 마세요. Override를 쓰면 Alias 네트워크를 그 인터페이스에 연결할 수 없습니다. 4. 해당 Security Gateway 객체에 Access Control Policy를 설치합니다. 5. 모든 Security Group 멤버에서 구성이 일치하는지 확인합니다(Expert mode).

   config_verify -v
   

삭제도 같은 흐름입니다 — gClish에서 delete interface <Name> alias <Name of Alias Interface> 후 save config, 토폴로지 갱신, 정책 설치, config_verify -v. 보기는 show interface <Name of Interface> aliases.

[Global] HostName-ch01-01 > add interface eth1 alias 10.10.99.1/24
[Global] HostName-ch01-01 > show interface eth1 aliases
[Global] HostName-ch01-01 > delete interface eth1 alias eth1:2

이더넷 인터페이스 위에 가상 LAN(VLAN)을 올리면, 기존 토폴로지를 그대로 두고 케이블 하나로 여러 채널의 트래픽을 다중화 할 수 있습니다. Gaia에서 VLAN 인터페이스 이름은 <물리 인터페이스>.<VLAN ID> 형식입니다 — eth1에 VLAN ID 5면 eth1.5.

Gaia Portal에서

VLAN을 올릴 물리 인터페이스에 IP 주소가 없어야 합니다. Add > VLAN 으로 추가 창을 열고, Enable 로 UP, IPv4/IPv6 탭 설정, VLAN 탭에 VLAN ID(태그, 2~4094) 입력, Member Of 에서 물리 인터페이스 선택, OK.

Gaia Clish에서

add interface <Name of Physical Interface> vlan <VLAN ID>      # 새 VLAN 추가

set interface <Name of Physical Interface>.<VLAN ID>
    comments "Text"
    ipv4-address <IPv4 Address>
    subnet-mask <Mask>
    mask-length <Mask Length>
    ipv6-address <IPv6 Address> mask-length <Mask Length>
    ipv6-autoconfig {on | off}
    mtu <68-16000 | 1280-16000>
    state {on | off}

show interface <Name of VLAN Interface>                        # 보기
delete interface <Name of Physical Interface> vlan <VLAN ID>   # 삭제

gaia> add interface vlan eth1
gaia> set interface eth1.99 ipv4-address 99.99.99.1 subnet-mask 255.255.255.0
gaia> set interface eth1.99 ipv6-address 209:99:1 mask-length 64
gaia> delete interface eth1 vlan 99

Access Mode VLAN과 Trunk Mode VLAN

Bridge 인터페이스를 지나는 VLAN 트래픽은 두 가지 모드로 동작합니다.

VLAN 번역 토폴로지의 예입니다.

① Security Gateway ② 스위치 ③ Access mode bridge 1(VLAN 번역) ④ Access mode bridge 2(VLAN 번역) ⑤ VLAN 3(eth1.3) ⑥ VLAN 33(eth2.33) ⑦ VLAN 2(eth1.2) ⑧ VLAN 22(eth2.22)

VXLAN(Virtual Extensible LAN) 은 대규모 클라우드의 확장성 문제를 풀기 위한 네트워크 가상화 기술입니다. OSI L2 이더넷 프레임을 L4 UDP 데이터그램 안에 캡슐화 합니다(RFC 7348). Gaia에서 이름은 vxlan<VNI> 형식입니다(VNI 5면 vxlan5). 암호화하지 않으므로 터널 자체는 안전하지 않습니다(sk170014).

Gaia Portal에서

Add > VXLAN → Enable → IPv4 탭에 로컬 IPv4·마스크 → (선택) IPv6 탭 → VXLAN Tunnel 탭에서:

GW1·GW2가 VXLAN을 만드는 예의 설정값입니다.

Gaia Clish에서

add vxlan id <VXLAN VNI> dev <Name of local physical interface> remote <IPv4 address of physical interface on remote peer> dstport <Destination UDP port>

show configuration vxlan
show vxlan id <VXLAN ID>
delete vxlan id <VXLAN VNI>

gaia1> add vxlan id 33 dev eth1 remote 172.30.40.22 dstport 4789      # GW1
gaia2> add vxlan id 33 dev eth2 remote 10.10.10.11 dstport 4789       # GW2

클러스터에서 VXLAN(자세한 내용은 [ClusterXL 가이드](../cp-r82-clusterxl/01_Glossary.html))

Link Aggregation 은 여러 물리 인터페이스를 하나의 가상 인터페이스(Bond)로 묶는 기술입니다. 부하를 여러 인터페이스에 나눠 장애 내성과 처리량 을 함께 얻습니다. Check Point는 동적 묶음을 위한 IEEE 802.3ad LACP를 지원합니다. Bond는 Bond ID(예: bond1)로 식별하며 IP 주소는 Bond에 줍니다. Bond에 들어가는 물리 인터페이스를 하위(subordinate) 인터페이스 라 부르며, 이들에는 IP를 주지 않습니다.

① Security Gateway(1A 인터페이스 1 · 1B 인터페이스 2) ② Bond 인터페이스 ③ 라우터

Bond는 두 가지 전략 중 하나로 동작합니다.

Load Sharing은 다음 모드 중 하나를 씁니다.

HA·Load Sharing 모두, Bond 개수는 플랫폼이 지원하는 최대 인터페이스 수까지이고(R82 Release Notes 참고), 한 Bond에 물리 하위 인터페이스는 최대 8개 까지 넣을 수 있습니다.

Gaia Portal에서 Bond 구성

하위로 넣을 인터페이스에 IP가 없어야 합니다. Add > Bond(편집은 Edit) → IPv4/IPv6 탭 → Bond 탭에서:

Advanced 탭에서 MTU, Monitor Interval(하위 링크 장애 점검 간격, 1~5000ms, 기본 100), Down Delay(장애 후 내릴 때까지 대기, 1~5000ms, 기본 200), Up Delay(복구 후 올릴 때까지 대기, 1~5000ms, 기본 200)를 잡습니다.

모드에 따라 추가 설정이 생깁니다.

Gaia에서 Bond 이름은 bond<ID>이고, 하위의 MTU는 Bond에 설정한 MTU가 모든 하위에 적용 됩니다.

Gaia Clish에서 Bond 구성

Gaia Clish에서는 Bond를 bonding group 이라 부릅니다. 큰 흐름은 (1) 하위 인터페이스에 IP가 없게 → (2) 새 bonding group 추가 → (3) 하위 상태 UP → (4) 하위 추가 → (5) 모드 설정 → (6) primary·미디어 모니터링·딜레이 등 설정 → (7) 확인 → (8) save config 입니다. IP는 물리 인터페이스와 같은 방식으로 Bond에 부여합니다.

add bonding group <Bond Group ID>                                          # 새 그룹
add bonding group <Bond Group ID> interface <Name of Subordinate Interface>  # 하위 추가

하위는 IP·Alias가 없어야 하고, 한 Bond에 2~8개를 넣습니다.

기존 그룹 구성과 모드 설정입니다.

set bonding group <Bond Group ID>
    mode active-backup [primary <Name of Subordinate Interface>]
    mode round-robin
    mode 8023AD [lacp-rate {slow | fast}]
    mode xor xmit-hash-policy {layer2 | layer3+4}
    mode ABXOR xmit-hash-policy {layer2 | layer3+4} [abxor-threshold <min number of UP subordinate interfaces>]
    [up-delay <0-5000>]
    [down-delay <0-5000>]
    [mii-interval <1-5000>]
    [min-links <0-8>]

개별 항목 명령과 예제입니다.

gaia> set bonding group 1 mode active-backup primary eth2
gaia> set bonding group 2 mode xor xmit-hash-policy layer3+4
gaia> set bonding group 1 up-delay 100        # 기본 200ms
gaia> set bonding group 1 down-delay 100       # 기본 200ms
gaia> set bonding group 1 mii-interval 100     # 기본 100ms
gaia> set bonding group 1 min-links 2          # 기본 0 (802.3AD 모드, 0이면 카운트 안 함)

Bond에 IP를 주는 것은 물리 인터페이스와 동일합니다.

set interface <Bond Group ID>
    comments "Text"
    ipv4-address <IPv4 Address> {subnet-mask <Mask> | mask-length <Mask Length>}
    ipv6-address <IPv6 Address> mask-length <Mask Length>
    ipv6-autoconfig {on | off}
    link-speed {10M/half | 10M/full | 100M/half | 100M/full | 1000M/full | 10000M/full}
    mac-addr <MAC Address>

삭제와 보기입니다.

delete bonding group <Bond Group ID> [interface <Interface Name> | force-ignore-routes]   # 하위 삭제
delete bonding group <Bond Group ID>                                                        # 그룹 삭제
show bonding {group <Bond Group ID> | groups}                                               # 보기

주요 파라미터를 정리하면 다음과 같습니다.

예제 두 가지입니다.

# 예1 - Active-Backup (기본 설정)
gaia> add bonding group 1
gaia> add bonding group 1 interface eth2
gaia> add bonding group 1 interface eth3
gaia> set bonding group 1 mode active-backup primary eth2
gaia> show bonding group 1

# 예2 - XOR (기본 설정)
gaia> add bonding group 1
gaia> add bonding group 1 interface eth2
gaia> add bonding group 1 interface eth3
gaia> set bonding group 1 mode xor xmit-hash-policy layer3+4
gaia> show bonding group 1

Bond가 잘 동작하는지 확인하기

Expert mode에서 /proc/net/bonding/<Bond ID>를 들여다보면 됩니다.

[Expert@MyGaia:0]# cat /proc/net/bonding/bond1

모드에 따라 출력의 Bonding Mode 줄이 다릅니다 — Round Robin은 load balancing (round-robin), Active-Backup은 fault-tolerance (active-backup)(Primary/Currently Active Slave 표시), XOR은 load balancing (xor)(Transmit Hash Policy 표시), 802.3ad는 IEEE 802.3ad Dynamic link aggregation(LACP rate·Aggregator ID 표시). 각 Slave마다 MII Status·Link Failure Count·Permanent HW addr가 나옵니다.

VRRP 클러스터에서 Bond High Availability

R80.20부터 ClusterXL에서 개선된 Active/Backup Bond 메커니즘(Enhanced Bond)이 도입됐습니다. ClusterXL에서는 Enhanced Bond가 기본으로 켜져 있어 추가 설정이 필요 없습니다. 그러나 클러스터를 ClusterXL에서 VRRP(MCVR & VRRP)로 바꾸거나 VRRP를 새로 구성하면 기본으로 꺼져 있어 직접 켜야 합니다(VRRP→ClusterXL로 되돌릴 때는 수동으로 켜야 함). 자세한 클러스터 설정은 고가용성 — VRRP를 참고하세요.

켜려면 각 VRRP Cluster Member에서 커널 파라미터 fwha_bond_enhanced_enable을 1로 둡니다.

임시(재부팅 시 사라짐) — Expert mode에서:

fw ctl set int fwha_bond_enhanced_enable 1
fw ctl get int fwha_bond_enhanced_enable

영구 — $FWDIR/boot/modules/fwkern.conf를 백업한 뒤 편집해 fwha_bond_enhanced_enable=1 줄을 추가(공백·주석 금지)하고 저장, 재부팅 후 fw ctl get int fwha_bond_enhanced_enable로 확인합니다.

cp -v $FWDIR/boot/modules/fwkern.conf{,_BKP}
vi $FWDIR/boot/modules/fwkern.conf

MAGG(Management Aggregation) 는 Scalable Platform(Maestro·Chassis)의 관리 인터페이스를 위한 HA·Load Sharing 솔루션으로, 관리 포트(Management Ports)에 Bond를 만드는 것입니다. Gaia에서 이름은 magg<Bond Group ID>(ID 1이면 magg1)이며, 관리 bonding group에는 VLAN 인터페이스를 못 씁니다. MTU는 다른 Bond처럼 MAGG 인터페이스에 잡으면 모든 하위에 적용됩니다.

Gaia Portal에서

Interface Management > Network Interfaces 에서 Add > Magg → Comment, IPv4/IPv6 탭 → Magg 탭에서 Bond Group ID(0~1024)와 eth<X>-Mgmt<Y> 하위 선택 → Advanced 탭에서 Monitor Interval(1~5000ms, 기본 100)·Down Delay(기본 200)·Up Delay(기본 200)·Transmit Hash Policy(Layer 2 또는 Layer 3+4) → OK.

Gaia Clish에서

add bonding group <Bond Group ID> mgmt                                             # 관리 그룹 추가
add bonding group <Bond Group ID> mgmt interface <eth<X>-Mgmt<Y>>                  # 하위 추가
set bonding group <Bond Group ID>
    mode active-backup [primary <Name of Subordinate Interface>]
    mode xor xmit-hash-policy {layer2 | layer3+4}
    [up-delay <0-5000>] [down-delay <0-5000>] [mii-interval <1-5000>]

딜레이·모니터링 명령(up-delay·down-delay·mii-interval, 기본 각각 200·200·100ms)과 삭제·보기는 일반 Bond와 동일합니다.

delete bonding group <Bond Group ID> [interface <Interface Name> | force-ignore-routes]
delete bonding group <Bond Group ID>
show bonding {group <Bond Group ID> | groups}

파라미터 표는 일반 Bond와 같되, MAGG는 mode가 active-backup·xor만 지원하고 lacp-rate·min-links·abxor-threshold는 쓰지 않으며 xmit-hash-policy는 XOR 모드에만 적용됩니다. 예제입니다.

gaia> add bonding group 1 mgmt
gaia> add bonding group 1 mgmt interface eth1-Mgmt1
gaia> add bonding group 1 mgmt interface eth2-Mgmt1
gaia> set bonding group 1 mode active-backup primary eth1-Mgmt1
gaia> show bonding group 1

인터페이스를 Bridge 로 묶으면 IP 라우팅을 다시 짜지 않고도 보안 장비를 토폴로지에 끼워 넣을 수 있어, 크고 복잡한 환경에서 큰 장점입니다. Bridge는 서로 다른 두 인터페이스(브리지 포트)를 연결하며, 한 포트로 들어온 이더넷 프레임을 다른 포트로 그대로 보냅니다 — 즉 두 포트가 같은 브로드캐스트 도메인 에 속하고(라우터 포트와 다름), 그 프레임은 모두 보안 정책의 검사를 받습니다.

Gaia에서 이름은 br<Bridge Group ID>(ID 5면 br5)입니다. 알아둘 점들입니다.

같은 장비에서 일부는 Bridge로, 일부는 L3 인터페이스로 둘 수 있습니다. Bridge 간 트래픽은 L2, L3 인터페이스 간이나 Bridge↔L3 간은 L3에서 검사합니다.

Gaia Portal에서

하위로 넣을 인터페이스에 IP가 없어야 합니다. Add > Bridge(편집은 Edit) → Bridge 탭에서 Bridge Group ID(1~1024) 입력 → Available Interfaces 에서 인터페이스 선택해 Add → IPv4/IPv6 탭 → OK. 관리 인터페이스로 쓰는 인터페이스는 고르지 말고, Bridge에는 하위가 두 개만 들어갑니다.

Gaia Clish에서

Gaia Clish에서는 bridging group 이라 부릅니다. 절차는 (1) 하위에 IP 없는지 확인 → (2) 새 bridging group 추가 → (3) 하위 추가 → (4) Bridge에 IP 부여 → (5) save config 입니다.

show interface <Name of Subordinate Interface> ipv4-address   # 하위에 IP 없는지 확인
show interface <Name of Subordinate Interface> ipv6-address

add bridging group <Bridge Group ID 0 - 1024>                 # 새 그룹
add bridging group <Bridge Group ID> interface <Name of First Subordinate Interface>
add bridging group <Bridge Group ID> interface <Name of Second Subordinate Interface>
add bridging group <Bridge Group ID> fail-open-interfaces <Name of Subordinate Interface>   # fail-open 하위

IP는 물리 인터페이스와 같은 방식으로 줍니다(자동 받기도 가능).

set interface <Name of Bridging Group> ipv4-address <IPv4 Address> {subnet-mask <Mask> | mask-length <Mask Length>}
set interface <Name of Bridging Group> ipv6-address <IPv6 Address> mask-length <Mask Length>

기존 Bridge 구성에 쓸 수 있는 전체 set 구문입니다.

set interface <Name of Bridge Interface>
    comments "Text"
    ipv4-address <IPv4 Address>
    subnet-mask <Mask>
    mask-length <Mask Length>
    ipv6-address <IPv6 Address> mask-length <Mask Length>
    ipv6-autoconfig {on | off}
    mac-addr <MAC Address>
    mtu <68-16000 | 1280-16000>
    rx-ringsize <0-4096>
    tx-ringsize <0-4096>

삭제와 보기입니다(그룹을 지우기 전 모든 하위를 먼저 삭제).

delete bridging group <Bridge Group ID> interface <Name of Subordinate Interface>
delete bridging group <Bridge Group ID> fail-open-interfaces <Name of Subordinate Interface>
delete bridging group <Bridge Group ID>
show bridging group <Bridge Group ID>      # 하위 보기
show bridging groups                        # 전체 그룹 보기

파라미터는 다음과 같습니다.

gaia> add bridging group 56 interface eth1
gaia> set interface br1 ipv6-address 3000:40::1 mask-length 64
gaia> show bridging groups
gaia> delete bridging group 56 interface eth1
gaia> delete bridging group 56

특정 프로토콜의 이더넷 프레임 허용·차단

기본적으로 Bridge 모드는 IPv4(0x0800)·IPv6(0x86DD)·ARP(0x0806) 외의 프로토콜을 담은 프레임도 허용 합니다. 관리자는 특정 프로토콜 프레임을 허용·차단하도록 설정할 수 있습니다. Access Mode VLAN(VLAN 번역)을 쓸 때 BPDU 프레임이 잘못된 VLAN 번호로 스위치 포트에 도착하면 포트가 blocking 모드에 빠질 수 있는데, Active/Standby Bridge 모드에서만 BPDU 전달을 꺼서 이를 피할 수 있습니다.

절차는 Expert mode에서 /etc/rc.d/init.d/network를 백업·편집해 ./etc/init.d/functions 줄 다음에 /sbin/sysctl -w net.bridge.bpdu_forwarding=0을 넣고 저장, (Scalable Platform이면 멤버로 복사) 재부팅 후 확인하는 것입니다.

cp -v /etc/rc.d/init.d/network{,_BKP}              # 게이트웨이/멤버
g_cp -v /etc/rc.d/init.d/network{,_BKP}            # Security Group
vi /etc/rc.d/init.d/network
asg_cp2blades -b all /etc/rc.d/init.d/network       # Security Group: 멤버로 복사
reboot                                              # 게이트웨이/멤버
g_reboot -a                                         # Security Group
sysctl net.bridge.bpdu_forwarding                   # 확인 → net.bridge.bpdu_forwarding = 0
g_all sysctl net.bridge.bpdu_forwarding             # Security Group 확인

lo(local) 인터페이스에 IPv4·IPv6 주소를 주면 가상 Loopback 인터페이스 가 됩니다. 테스트용이나 unnumbered 인터페이스의 프록시 인터페이스로 유용합니다. 새 Loopback은 loop<XX> 이름으로 자동 생성 되며 XX는 00부터 시작합니다(첫 번째 loop00, 두 번째 loop01).

Gaia Portal에서

Add > Loopback → Enable(기본 선택)·Comment → IPv4 탭에 주소·마스크 → (선택) IPv6 탭 → OK. IPv4 주소로 다음은 쓸 수 없습니다.

편집은 IPv4·IPv6 주소만 바꿀 수 있고, 삭제는 인터페이스를 골라 Delete합니다.

Gaia Clish에서

add interface lo loopback <IPv4 Address>/<Mask Length>          # 추가
set interface <Name of Loopback Interface> {ipv4-address <options> | ipv6-address <options>}   # 주소 변경(주소만 가능)
show interface <Name of Loopback Interface>                     # 보기
delete interface lo loopback <Name of Loopback Interface>       # 삭제

gaia> add interface lo loopback 10.10.99.1/24
gaia> delete interface lo loopback loop01

VTI(Virtual Tunnel Interface) 는 Route-Based VPN 터널을 세우는 가상 인터페이스입니다. 두 피어 게이트웨이가 각각 하나의 VTI로 터널에 연결되며, 터널 속성은 두 게이트웨이를 담은 VPN 커뮤니티가 정합니다. VTI를 만들기 전에 VPN 커뮤니티와 멤버 게이트웨이를 먼저 구성 해야 합니다. 자세한 Route-Based VPN은 R82 Site to Site VPN Administration Guide를 참고하세요. Gaia에서 이름은 vpnt<Tunnel ID>(ID 5면 vpnt5)입니다.

전체 흐름은 다음과 같습니다.

Route Based VPN을 기본으로 만들기

Domain Based VPN과 Route Based VPN이 둘 다 구성되면 기본은 Domain Based 라, Route Based가 항상 동작하도록 두 가지를 합니다. (1) 빈 암호화 도메인 그룹 을 만듭니다 — Objects > More object types > Network Object > Group > New Network Group으로 이름만 주고 멤버는 넣지 않습니다(관리 서버마다 한 번). (2) 각 게이트웨이마다 Network Management > VPN Domain에서 Manually define 을 선택하고 방금 만든 빈 그룹을 고른 뒤 정책을 설치합니다.

Gaia Portal에서 VTI

Add > VPN Tunnel → 다음을 설정합니다.

Gaia Clish에서 VTI

add vpn tunnel <Tunnel ID> type
    numbered local <Local IP address> remote <Remote IP address> peer <Peer Name>
    unnumbered peer <Peer Name> dev <Name of Local Interface>

show vpn tunnel <Tunnel ID>     # 특정 VTI 보기
show vpn tunnels                # 전체 VTI 보기
delete vpn tunnel <Tunnel ID>   # 삭제

gaia> add vpn tunnel 20 type numbered local 10.10.10.1 remote 20.20.20.1 peer MyPeer1
gaia> add vpn tunnel 10 type unnumbered peer MyPeer2 dev eth1
gaia> show vpn tunnels
gaia> show vpn tunnel 20
gaia> delete vpn tunnel 20

Route Based VPN 규칙 구성

규칙이 Route Based VPN 트래픽과 제대로 맞게 하려면 방향 매칭(directional matching) 조건 을 넣고 OSPF 트래픽을 허용해야 합니다.

(A) 방향 매칭 규칙 — 규칙의 VPN 칸에 VPN 커뮤니티가 들어가면, 양방향 매칭이 없으면 규칙이 커뮤니티↔암호화 도메인 연결에만 적용됩니다(Domain Based Routing). 그래서 다음 세 조건을 넣습니다.

Community > Community
Community > Internal_Clear
Internal_Clear > Community

여기서 MyIntranet은 VPN 커뮤니티 이름, Internal_Clear는 해당 커뮤니티를 드나드는 모든 평문 트래픽을 뜻합니다. VPN 칸이 Any면 양방향 매칭 규칙이 필요 없습니다.

방향 매칭을 켜려면 SmartConsole의 Menu > Global properties > VPN > Advanced 에서 Enable VPN Directional Match in VPN Column 을 선택하고, 각 VPN 멤버 게이트웨이에서 Get Interfaces > Get Interfaces with Topology 로 새 VTI를 토폴로지에 반영합니다. 규칙은 정책의 VPN 셀을 우클릭해 Directional Match Condition 으로 출발(Traffic reaching from)·도착(Traffic leaving to)을 지정하고, 조건마다 반복한 뒤 Publish합니다.

(B) OSPF 트래픽 허용 — Route Based VPN의 장점은 동적 라우팅으로 게이트웨이 간 경로를 주고받는 것이며, VTI에는 OSPF 가 흔히 쓰입니다(구성은 Gaia Advanced Routing 가이드). Gaia Portal/Clish의 OSPF 설정에 VTI를 추가하고, SmartConsole에서 ospf 서비스로 해당 커뮤니티(또는 전체)로 가는 트래픽을 허용하는 Access Control 규칙을 만듭니다.

(7) 설치·테스트 — Publish → 게이트웨이에 Access Control 정책 설치 → VTI 터널로 트래픽이 잘 흐르는지 확인합니다.

6in4 는 기존 IPv4 망 위로 IPv6 트래픽을 투명하게 전달 하는 메커니즘입니다 — IPv6 패킷을 IPv4 패킷 안에 캡슐화하고, 6in4와 네이티브 IPv6 망 사이를 라우팅합니다. 먼저 IPv6 Support를 켜고 재부팅해야 하며, Gaia에서 이름은 sit_6in4_<Tunnel ID>(ID 5면 sit_6in4_5)입니다.

Gaia Portal에서

6in4를 올릴 물리 인터페이스에 IPv4 주소가 있어야 합니다. Add > 6in4 Tunnel → Enable → (선택) IPv6 탭 → 6in4 Tunnel 탭에서:

Gaia Clish에서

add interface <Name of Physical Interface> 6in4 <6in4 Tunnel ID> remote <IPv4 Address on Remote Peer> [ttl <0-255>]

set interface sit_6in4_<6in4 Tunnel ID>
    comments "Text"
    ipv6-address <IPv6 Address> mask-length <Mask Length>
    ipv6-autoconfig {on | off}
    mtu <1280-16000>
    state {on | off}

show interface sit_6in4_<6in4 Tunnel ID><SPACE><TAB>
delete interface sit_6in4_<6in4 Tunnel ID> 6in4 <6in4 Tunnel ID>

gaia> add interface eth0 6in4 55 remote 192.168.20.30 ttl 200
gaia> set interface comments "6in4 ID 55 with peer 192.168.20.30"
gaia> delete interface sit_6in4_55 6in4 55

PPPoE(PPP over Ethernet) 는 PPP 프레임을 이더넷 프레임 안에 캡슐화 하는 프로토콜로, 주로 DSL 서비스에서 씁니다. Gaia에서 이름은 pppoe<Tunnel ID>(ID 5면 pppoe5)입니다.

Gaia Portal에서

PPPoE를 올릴 물리 인터페이스에 IP가 없어야 합니다. Add > PPPoE → Enable → PPPoE 탭에서:

기존 PPPoE의 ID는 바꿀 수 없습니다(지우고 새로).

Gaia Clish에서

add pppoe client id <PPPoE ID> interface <Name of Physical Interface> user-name <PPPoE Username> {password <PPPoE Password> | password_hash <PPPoE Password Hash>} [use-peer-dns {on | off}] [use-peer-as-default-gateway {on | off}]

set pppoe client id <PPPoE ID>
    fake-peer-address <IPv4 Address>
    interface <Name of Physical Interface>
    password <PPPoE Password>
    use-fake-peer-address {on | off}
    use-peer-as-default-gateway {on | off}
    use-peer-dns {on | off}
    user-name <PPPoE Username>

show configuration pppoe
show pppoe client id <PPPoE ID>
delete pppoe client id <PPPoE ID>

gaia> add pppoe client id 1 interface eth0 user-name JohnDoe password 123456 use-peer-dns on

GRE(Generic Routing Encapsulation) 는 IP 패킷을 망 위로 실어 나르는 IP 캡슐화 프로토콜 로, 공용 IPv4 인터넷으로 갈린 사설 IPv4 망 사이에서 IP 패킷을 라우팅합니다. Gaia에서 이름은 gre<ID>(ID 5면 gre5)이며, 암호화하지 않아 안전하지 않습니다. Gaia는 기본으로 GRE 커널 드라이버를 로드하므로 gre0·gretap0·erspan0 인터페이스가 관리상 down 상태로 존재합니다(sk169794).

Gaia Portal에서

Add > GRE → IPv4 탭에 로컬 IPv4·마스크 → GRE Tunnel 탭에서 GRE Interface ID(1~1024), Peer Address(원격 GRE 인터페이스 IPv4), Local Address(로컬 물리 IPv4), Remote Address(원격 물리 IPv4), TTL(0~255, 피어끼리 같게). 기존 GRE는 편집 불가 라 지우고 새로 만듭니다.

GW1·GW2가 GRE 터널을 만드는 예입니다.

Gaia Clish에서

add gre id <GRE Tunnel ID> local <IPv4 address of local physical interface> remote <IPv4 address of physical interface on remote peer> ttl <TTL> ip <IPv4 address of local GRE interface> mask <IPv4 subnet mask of local GRE interface> peer <IPv4 address of GRE interface on remote peer>

show configuration gre
show gre id <GRE Tunnel ID>
delete gre id <GRE Tunnel ID>

gaia1> add gre id 33 remote 172.30.40.22 ttl <1-255> ip 192.168.10.11 mask 255.255.255.0 peer 192.168.10.22   # GW1
gaia2> add gre id 33 remote 10.10.10.11 ttl <1-255> ip 192.168.10.22 mask 255.255.255.0 peer 192.168.10.11   # GW2

클러스터에서 GRE(자세한 내용은 [ClusterXL 가이드](../cp-r82-clusterxl/01_Glossary.html))

VXLAN과 동일한 흐름입니다 — Virtual IP 클러스터 인터페이스로 쓰려면 모든 멤버에 같은 GRE Interface ID·Remote Address로 구성한 뒤 SmartConsole에서 Get Interfaces With Topology로 가져와 Network Type=Cluster, Virtual IP·멤버 IP 설정 후 정책 설치. 특정 멤버에만 쓰려면 한 멤버에 구성하고 Network Type=Private 로 두고 정책 설치합니다.

관리 인터페이스(Management Interface) 는 Gaia OS에 접속하는 주 인터페이스 로, First Time Configuration Wizard에서 골랐던 그 인터페이스입니다.

Gaia Portal에서는 Network Management > Network Interfaces 의 Management Interface 섹션에서 Set Management Interface 를 눌러 인터페이스를 고릅니다(버튼 위에 현재 관리 인터페이스 이름이 보입니다). Gaia Clish에서는:

show management interface                       # 현재 인터페이스 보기
set management interface <Name of Interface>    # 새 인터페이스 선택

R81부터 Gaia는 같은 직접 연결 망의 다른 장치가 Gaia 인터페이스의 IPv4 주소를 쓰면 충돌을 탐지합니다. 예를 들어 eth1이 10.1.1.1인데 eth1에 연결된 망의 다른 장치도 10.1.1.1을 쓰면 충돌입니다.

show ip-conflicts-monitor
    interfaces
    state

set ip-conflicts-monitor
    interface {all | <Name of Interface>}
    state {off | on}

delete ip-conflicts-monitor
    interface {all | <Name of Interface>}

gaia> set ip-conflicts-monitor interface eth2
gaia> set ip-conflicts-monitor on
gaia> show ip-conflicts-monitor state          # IP conflict monitoring Enabled
gaia> show ip-conflicts-monitor interfaces      # Monitored Interfaces: eth2

이 기능이 켜지면 /var/log/messages에 다음 메시지가 생깁니다.

로그는 Expert mode에서 grep "arpwatch:" /var/log/messages*로 봅니다. 이 기능은 Linux arpwatch 도구 기반으로, 켜면 /bin/arpwatch_launcher 데몬이 /etc/rc.d/init.d/arpwatch 서비스를 돌립니다. 설정은 Gaia DB와 자동 생성되는 /etc/sysconfig/arpwatch에 저장되고, MAC↔IP 바인딩은 /var/lib/arpwatch/arp.dat.<Name of Interface>에 저장됩니다(DB를 채우는 데 몇 분 걸릴 수 있음).

Gaia Portal에서는 Network Management > Network Interfaces 에서 인터페이스를 더블클릭해 봅니다.

Gaia Clish에서는 show interfaces all 또는 show interface <Name of Interface>로 봅니다. Scalable Platform에서는 해당 Security Group의 Gaia Portal/gClish를 씁니다.

Gaia Clish의 interface 명령은 인터페이스와 그 속성을 추가·구성·삭제합니다(일부 옵션은 Gaia Portal에서는 못 함). Scalable Platform에서는 gClish에서 실행하고, 작업 후 save config를 잊지 마세요.

add interface<ESC><ESC>        # 추가
set interface<ESC><ESC>        # 구성
show interface<SPACE><TAB>     # 보기
show interfaces all
delete interface<ESC><ESC>     # 삭제

show management interface      # 관리 인터페이스
set management interface <Name of Interface>

show ip-collisions-monitor     # IP 충돌 탐지
set ip-collisions-monitor
delete ip-collisions-monitor

ARP(Address Resolution Protocol) 는 같은 물리 망의 대상 호스트의 물리(MAC) 주소를 IP 주소만으로 찾는 저수준 프로토콜입니다. 물리 주소 체계를 감춰 어떤 IP든 임의 장비에 배정할 수 있게 하며, 인터넷 프로토콜의 일부가 아니라 물리 망 시스템의 일부로 봅니다.

Gaia Portal에서

Network Management > ARP 에서 — 동적 ARP 항목은 Monitoring 탭, 정적 ARP 항목은 Configuration 탭에서 봅니다. Configuration 탭의 ARP Table Settings 에서:

정적 ARP는 Static ARP Entries 에서 Add 로 IP·MAC을 넣어 추가하고, 선택 후 Remove 로 삭제합니다. 동적 항목 전체는 Monitoring 탭의 Flush All 로 비웁니다.

Gaia Clish에서

add arp static ipv4-address <IPv4 Address> macaddress <MAC Address>    # 정적 추가

delete arp
    dynamic all
    static ipv4-address <IPv4 Address>

set arp table
    validity-timeout <Seconds>
    cache-size <Number of Entries>

show arp
    dynamic all
    static all
    table validity-timeout
    table cache-size

Gaia를 DHCP 서버 로 만들면 망 호스트에 IP 주소와 네트워크 파라미터를 자동 배정 해 호스트마다 수동 설정할 필요가 없고 설정 오류도 줄입니다. Gaia 인터페이스에 DHCP 서브넷을 구성하면, 그 인터페이스 뒤의 호스트에 다음을 줍니다 — IPv4 주소, (선택)기본 게이트웨이, (선택)DNS 파라미터(도메인 이름, Primary/Secondary/Tertiary DNS 서버).

전체 흐름은 (1) Gaia 인터페이스에 DHCP 서브넷 정의 — DHCP 켜기 → 서브넷 IPv4 정의 → IPv4 주소 풀 정의 → (선택)라우팅·DNS 파라미터 → (2) 필요하면 다른 인터페이스에도 서브넷 추가 → (3) 모든 서브넷에 대해 DHCP 서버 프로세스 켜기 → (4) 호스트가 이 DHCP를 쓰도록 설정 입니다.

Gaia Portal에서

Network Management > DHCP Server 의 DHCP Server Subnet Configuration 에서 Add → Enable DHCP → Subnet 탭에서:

(선택) Routing & DNS 탭에서 Default Gateway, Domain Name, Primary/Secondary/Tertiary DNS Server 를 줍니다. 마지막으로 DHCP Server Configuration 에서 Enable DHCP Server 를 켜고 Apply 합니다. 모든 인터페이스에서 DHCP를 끄려면 이 체크를 해제, 서브넷 삭제는 해당 Subnet을 Delete합니다(마지막 서브넷을 지우기 전에 모든 인터페이스의 DHCP를 먼저 꺼야 함).

Gaia Clish에서

set dhcp server {enable | disable}       # 프로세스 켜기/끄기

add dhcp server subnet <Subnet IPv4 Address>
    netmask <IPv4 Subnet Mask Length>
    exclude-ip-pool start <First IPv4 Address> end <Last IPv4 Address>
    include-ip-pool start <First IPv4 Address> end <Last IPv4 Address>

set dhcp server subnet <Subnet IPv4 Address>
    {enable | disable}
    exclude-ip-pool <First IPv4 Address-Last IPv4 Address> {enable | disable}
    include-ip-pool <First IPv4 Address-Last IPv4 Address> {enable | disable}
    default-lease <Lease in Seconds>
    max-lease <Maximum Lease in Seconds>
    default-gateway <IPv4 Address of Default Gateway>
    dns "<DNS Server 1>, <DNS Server 2>, <DNS Server 3>"
    domain <Domain Name>

delete dhcp server subnet <Subnet IPv4 Address>
    exclude-ip-pool <First IPv4 Address-Last IPv4 Address>
    include-ip-pool <First IPv4 Address-Last IPv4 Address>

show dhcp server {all | status | subnet <Subnet IPv4 Address> [ip-pools] | subnets}

예제입니다.

gaia> add dhcp server subnet 192.168.2.0 netmask 24
gaia> add dhcp server subnet 192.168.2.0 include-ip-pool start 192.168.2.20 end 192.168.2.90
gaia> add dhcp server subnet 192.168.2.0 exclude-ip-pool start 192.168.2.155 end 192.168.2.254
gaia> set dhcp server subnet 192.168.2.0 include-ip-pool 192.168.2.20-192.168.2.90 enable
gaia> set dhcp server subnet 192.168.2.0 default-lease 43200
gaia> set dhcp server subnet 192.168.2.0 max-lease 86400
gaia> set dhcp server subnet 192.168.2.0 default-gateway 192.168.2.103
gaia> set dhcp server subnet 192.168.2.0 domain example.com
gaia> set dhcp server subnet 192.168.2.0 dns 192.168.2.101, 192.168.2.102, 192.168.2.103
gaia> set dhcp server subnet 192.168.2.0 enable
gaia> show dhcp server all

DHCPv6 는 IPv6 망에서 IPv6 주소와 통신 파라미터를 자동 배정 하는 프로토콜입니다. Gaia는 두 역할을 할 수 있습니다 — DHCPv6 서버(연결된 호스트에 IPv6 배정)와 DHCPv6 클라이언트(Prefix Delegation 포함, Gaia 인터페이스가 IPv6를 자동으로 받음).

Gaia Portal에서

Step 1 — DHCPv6 서버 설정 : Network Management > DHCPv6 의 DHCPv6 Server Subnet Configuration 에서 Add → Enable DHCPv6 Subnet → Subnet 탭에 IPv6 주소·마스크 길이(Get from interface 가능) → (선택) Address Pool(Type Include/Exclude, Status Enable/Disable, Start·End) → (선택) Lease Configuration(Default lease 기본 43,200초·Maximum lease 기본 86,400초) → (선택) DNS 탭(Domain Name, Primary/Secondary/Tertiary DNSv6) → OK. 그런 다음 DHCPv6 Server Configuration 에서 Enable DHCPv6 Server 를 켜고 Apply.

Step 2 — DHCPv6 클라이언트 설정 : DHCPv6 Client Configuration 에서 Normal(서버에서 IPv6와 구성 받기) 또는 Prefix-delegation(호환 서버에서 IPv6 프리픽스만 받기)을 골라 Apply(Router discovery는 자동 구성). Prefix-delegation을 골랐다면 DHCPv6 Prefix-Delegation Configuration 에서:

Gaia Clish에서

큰 흐름은 네 부분입니다. Part 1 서버 — IPv6 서브넷·풀 추가 → 서브넷 enable → set dhcp6 server enable. Part 2 클라이언트 — normal(기본) 또는 prefix-delegation 모드 선택 후 설정. Part 3 Prefix Delegation(클라이언트가 prefix-delegation일 때만) — delegation method → request-from 인터페이스 → assign-to 인터페이스 → (dhcpv6 방식이면) suffix-pools. Part 4 — save config 후 show dhcp6 ...로 확인.

add dhcp6
    prefix-delegation
        assign-to <Name of Interface>
        suffix-pools
            exclude-pool start <First IPv6 Address> end <Last IPv6 Address>
            include-pool start <First IPv6 Address> end <Last IPv6 Address>
    server subnet <Subnet IPv6 Address>
        exclude-ip-pool start <First IPv6 Address> end <Last IPv6 Address>
        include-ip-pool start <First IPv6 Address> end <Last IPv6 Address>
        prefix <IPv6 Subnet Mask Length>

set dhcp6
    client
        client-mode {normal | prefix-delegation}
        hostname <IPv6 Hostname>
        interface <Logical Name of Interface>
            leasetime <0-4294967295>
            reboot <0-4294967295>
            retry <0-4294967295>
            timeout <0-4294967295>
    prefix-delegation
        delegation-method {manual | rdisc6 | dhcpv6}
        request-from <Name of Interface>
    server {enable | disable}
    server subnet <Subnet IPv6 Address>
        {disable | enable}
        default-lease <Lease in Seconds>
        max-lease <Maximum Lease in Seconds>
        dns "<DNS Server 1>, <DNS Server 2>, <DNS Server 3>"
        domain <Domain Name>
        exclude-ip-pool <First IPv6 Address-Last IPv6 Address> {disable | enable}
        include-ip-pool <First IPv6 Address-Last IPv6 Address> {disable | enable}

delete dhcp6
    client interface <Logical Name of Interface>
    prefix-delegation
        assign-to <Name of Interface>
        request-from <Name of Interface>
        suffix-pools exclude-pool <First IPv6 Address>
        suffix-pools include-pool <First IPv6 Address>
    server subnet <Subnet IPv6 Address>
        exclude-ip-pool <First IPv6 Address>
        include-ip-pool <First IPv6 Address>

show dhcp6
    client {client-mode | interface <Name of Interface> | interfaces}
    prefix-delegation {all | assign-to | delegation-method | request-from | status | suffix-pools}
    server {all | status | subnet <Subnet IPv6 Address> [ip-pools] | subnets}

주요 파라미터입니다.

이 페이지에서 System Name(호스트 이름·도메인 이름), Hosts, DNS 를 구성합니다.

System Name (호스트 이름·도메인 이름)

호스트 이름(시스템 이름)은 초기 구성 때 정하지만 나중에 바꿀 수 있습니다. Gaia Portal에서는 Network Management > Host and DNS 의 System Name 에서 Host Name·Domain Name(예: example.com)을 넣고 Apply 합니다. Gaia Clish에서는:

set hostname <Name of Host>     # 호스트 이름 설정
show hostname
set domainname <Domain>          # 도메인 이름(선택)
show domainname

Hosts (정적 호스트 항목)

Gaia와 자주 통신하는 시스템 의 호스트 주소를 넣어 두는 것이 좋습니다. Gaia Portal에서는 Hosts 섹션에서 Add 로 추가합니다.

편집·삭제는 항목을 골라 Edit/Delete합니다. Gaia Clish에서는:

add host name <Name of Host> {ipv4-address <IPv4 Address of Host> | ipv6-address <IPv6 Address of Host>}
set host name <Name of Host> {ipv4-address <...> | ipv6-address <...>}
delete host name <Name of Host> {ipv4 | ipv6}
show host name <Name of Host> {ipv4 | ipv6}
show host names [ipv4 | ipv6]      # 모든 호스트의 IP 보기

DNS

Gaia는 DNS 로 호스트 이름을 IP 주소로 변환 합니다. DNS 조회를 켜려면 Primary DNS 서버를 반드시 입력 해야 하고, Secondary·Tertiary도 넣을 수 있습니다. 호스트 이름을 풀 때 Primary를 먼저 보고, 실패·타임아웃이면 Secondary, 다음 Tertiary를 봅니다. DNS Suffix 는 조회가 실패했을 때 이름 뒤에 붙여 다시 찾는 도메인입니다.

Gaia Portal에서는 Network Management > Hosts and DNS 의 DNS 섹션에서 DNS Suffix, Primary/Secondary/Tertiary DNS Server(IPv4 또는 IPv6)를 넣고 Apply 합니다. Gaia Clish에서는:

set dns
    primary <IPv4 or IPv6 Address>
    secondary <IPv4 or IPv6 Address>
    tertiary <IPv4 or IPv6 Address>
    timeout {<1-30> | default}
    suffix <Name for Local Domain>

show dns {primary | secondary | tertiary | timeout | suffix}
delete dns {primary | secondary | tertiary | suffix}

DNS Proxy Forwarding Domains

예전에는 모든 접미사(suffix)에 같은 DNS 서버 최대 3개만 쓸 수 있어, google.com과 amazon.com을 같은 DNS로 풀어야 했습니다. DNS Proxy Forwarding Domains 기능(Linux dnsmasq 기반)을 쓰면 접미사마다 다른 DNS 서버 를 지정할 수 있습니다 — 예컨대 google.com은 8.8.4.4(Google), amazon.com은 1.1.1.1(Cloudflare), 나머지는 로컬 DNS로. 함께 도입된 Listening Interfaces 는 dnsmasq가 DNS 질의를 어느 인터페이스에서 들을지를 정합니다(설정 안 한 인터페이스에서는 라우팅하지 않음).

Gaia Portal에서는 Network Management > Hosts and DNS 의 DNS Proxy Forwarding Domains 에서 Add → DNS Suffix, Primary/Secondary/Tertiary DNS Server(IPv4) → OK. 그리고 Listening Interfaces 에서 Listen on all interfaces 또는 특정 인터페이스를 골라 Apply 합니다(이 섹션은 모든 DNS Suffix에 적용). 편집·삭제는 해당 suffix를 골라 Edit/Delete합니다. Gaia Clish에서는:

add dns proxy
    forwarding-domain <FQDN>
    listening-interface {<Name of Interface> | all}

set dns proxy forwarding-domain <FQDN>
    primary <IPv4 Address of DNS Server>
    secondary <IPv4 Address of DNS Server>
    tertiary <IPv4 Address of DNS Server>

show dns proxy
    forwarding-domain <FQDN> {primary | secondary | tertiary}
    forwarding-domains
    listening-interfaces

delete dns proxy
    forwarding-domain <FQDN> [{primary | secondary | tertiary}]
    listening-interface {<Name of Interface> | all}

정적 경로는 목적지와 그곳으로 가는 하나 이상의 경로(next hop) 를 정합니다. Gaia Portal이나 Gaia Clish의 set static-route 명령으로 수동 정의하며, 동적 라우팅이 모르는 목적지로 가는 길을 더하거나 기본 경로(default route) 를 정할 때 유용합니다. 정의에는 다음이 들어갑니다.

Gaia Portal에서

한 번에 하나씩 — Network Management > IPv4 Static Routes 에서 Add → Destination·Subnet mask → Next Hop Type(Normal/Blackhole/Reject) → Rank(기본 60, 1~255) → 필요 시 Local Scope(클러스터 Virtual IPv4가 물리 인터페이스 IPv4와 다른 서브넷일 때 사용, sk92799) → Comment → Add Gateway 에서:

IP Address로 정했다면 Ping 을 켜서 next hop을 감시할 수 있습니다. Ping은 ICMP Echo Request로 next hop이 살아 있는지 확인하고, Gaia는 살아 있다고 확인된 next hop만 커널 전달 테이블에 넣습니다(최소 하나가 도달 가능해야 경로 추가). Save 후 Advanced Options 에서 Ping 동작을 바꿀 수 있습니다.

한 번에 여러 개(Batch Mode) — Add Multiple Static Routes 로 여러 경로를 한꺼번에 넣습니다(단, logical 인터페이스 next hop은 이 모드에서 못 씀). Next Hop Type을 고른 뒤 다음 구문으로 입력합니다.

<Destination IPv4 Address>/<Mask Length> <IPv4 Address of Next Hop Gateway> ["<Comment>"]

목적지에 IPv4 대신 default 키워드를 쓰면 기본 경로를 뜻합니다. 예:

default 192.0.2.100 192.0.2.1 "Default Route"
192.0.2.200/24 192.0.2.18 "My Backup Route"

Apply 후 오류가 있는 항목은 위에 메시지가 뜨므로 고쳐서 다시 로드하고, Monitoring 탭에서 경로가 맞게 들어갔는지 확인합니다.

Gaia Clish에서

set static-route default
    comment {"Text" | off}
    nexthop
        gateway
            address <IPv4 Address of Next Hop Gateway> [priority <Priority>] {on | off}
            logical <Name of Local Interface> [priority <Priority>] {on | off}
        blackhole
        reject
    ping {on | off}
    rank <Rank>
    scopelocal {on | off}

set static-route <Destination IPv4 Address>
    comment {"Text" | off}
    nexthop
        gateway
            address <IPv4 Address of Next Hop Gateway> {on | off}
                monitored-ip <Monitored IP Address> {on | off}
                monitored-ip-option {fail-all | fail-any | force-if-symmetry {on | off}}
                [priority <Priority>]
            logical <Name of Local Interface> {on | off} [priority <Priority>]
        blackhole
        reject
        off
    ping {on | off}
    rank <Rank>
    scopelocal {on | off}

show route static all                       # 전체 보기
set static-route default off                # 기본 경로 삭제
set static-route <Destination IPv4 Address> off   # 특정 경로 삭제
set static-route <Destination IPv4 Address> nexthop gateway <...> off   # 특정 경로만 삭제

gaia> set static-route 192.0.2.0/24 nexthop gateway address 192.0.2.155 on
gaia> set static-route 192.0.2.0/24 nexthop gateway logical eth0 on
gaia> set static-route 192.0.2.0/24 off
gaia> set static-route 192.0.2.100/32 nexthop blackhole
gaia> set static-route 192.0.2.100/32 rank 2
gaia> show route static

Gaia Portal에서

IPv6 정적 경로는 한 번에 하나씩만 만듭니다. Network Management > IPv6 Static Routes 에서 Add → Destination / Mask Length(기본 프리픽스 64) → Next Hop Type(Normal/Blackhole/Reject) → Rank(기본 60, 1~255) → Comment → Add Gateway 에서 Gateway Address(next hop IPv6)·Priority(없음 또는 1~8) → OK. 필요하면 Ping6 를 켜서(ICMPv6 Echo Request로 next hop 감시) Save, Advanced Options 에서 Ping6 동작 조정.

Gaia Clish에서

set ipv6 static-route default
    comment {"Text" | off}
    nexthop
        gateway {<IPv6 Address of Next Hop Gateway> | logical} [priority <Priority>] {on | off}
        interface <Name of Local Interface> [priority <Priority>] {on | off}
        blackhole
        reject
        off
    ping6 {on | off}
    rank <Rank>

set ipv6 static-route <Destination IPv6 Address>
    comment {"Text" | off}
    nexthop
        gateway {<IPv6 Address of Next Hop Gateway> | logical} [priority <Priority>] {on | off}
        interface <Name of Local Interface> [priority <Priority>] {on | off}
        blackhole
        reject
        off
    ping6 {on | off}
    rank <Rank>

show ipv6 route static all
set ipv6 static-route default off
set ipv6 static-route <Destination IPv6 Address> off
set ipv6 static-route <Destination IPv6 Address> nexthop gateway <...> off

gaia> set ipv6 static-route 3100:192::0/64 nexthop gateway 3900:172::1 on
gaia> set ipv6 static-route 3100:192::0/64 nexthop gateway 3900:172::1 priority 3 on
gaia> set ipv6 static-route 3100:192::0/64 nexthop reject
gaia> set ipv6 static-route 3100:192::0/64 off
gaia> show ipv6 route static

문제 해결 — VPN Blade를 켤 수 없을 때

SmartConsole에서 게이트웨이 객체의 VPN Software Blade를 켤 수 없고 다음 메시지가 뜨는 경우가 있습니다.

VPN blade demands gateway's IP address corresponding to the interface's IP addresses

원인은 게이트웨이에서 IPv6는 켜져 있는데 객체에 주 IPv6 주소가 설정되지 않은 것입니다. 해결은 Gateways & Servers 에서 게이트웨이 객체를 열어 General Properties 에서 주 IPv6 주소를 설정하고 OK한 뒤, Access Control 정책을 설치하는 것입니다.

Gaia IPv6 Neighbor 테이블에 항목을 추가·삭제할 수 있습니다.

add neighbor-entry ipv6-address <IPv6 Address of Neighbor> macaddress <MAC Address of Neighbor> interface <Name of Local Interface>
show neighbor TABLE
delete neighbor-entry ipv6-address <IPv6 Address of Neighbor> interface <Name of Local Interface>

NetFlow 는 Cisco가 만든 트래픽 모니터링 표준 으로, 네트워크 흐름 패턴과 양을 수집합니다. 한 호스트(NetFlow Exporter)가 자신의 흐름 정보를 다른 호스트(NetFlow Collector)로 보냅니다. 흐름(flow)이란 같은 특성 집합을 가진 단방향 패킷 스트림 입니다. 게이트웨이·Cluster Member를 지나가는 모든 트래픽에 대한 NetFlow 레코드의 Exporter 로 설정할 수 있습니다.

Collector는 별도의 외부 서버로 따로 구성합니다. NetFlow 설정은 레코드를 보낼 Collector 목록이며 — 최소 하나의 Collector를 구성하면 NetFlow가 켜지고, 모든 Collector를 제거하면 꺼집니다. 최대 3개 까지 둘 수 있고, 3개면 각 레코드를 3번 보냅니다.

export 형식과 무관하게 Gaia가 내보내는 필드는 다음과 같습니다 — 출발지/목적지 IP, 출발지/목적지 포트, 인그레스/이그레스 물리 인터페이스 인덱스(SNMP), 이 흐름의 패킷 수·바이트 수, 흐름 시작(FIRST_SWITCHED)·끝(LAST_SWITCHED) 타임스탬프, IP 프로토콜 번호, TCP 플래그(TCP만), VSX VSID.

구성 절차

1. Gaia에서 NetFlow Export 설정 — Gaia Portal 또는 Gaia Clish.

Gaia Portal에서는 Network Management > NetFlow Export 에서 (선택) Global Options 로 연결이 열린 뒤 데이터를 보내기 시작하는 시점을 정하고(진행 중 연결 수를 얼마나 자주 보낼지, 10~60초 또는 0=비활성) Apply, Collectors 에서 Add 로 다음을 입력합니다.

Advanced Options 의 NetFlow Fw rule 옵션은 어떤 트래픽에 NetFlow를 켤지 정합니다.

Gaia Clish에서는:

set netflow liveconn_interval {<10-60> | 0}                       # 연결 후 데이터 전송 시점(10~60초, 0=비활성)
add netflow collector ip <IPv4 Address of Collector> port <Destination Port on Collector> [srcaddr <Source IPv4 Address>] export-format {Netflow_V5 | Netflow_V9 | IPFIX} enable {yes | no}
set netflow fwrule {1 | 0}                                         # 어떤 트래픽에 export할지

set netflow fwrule의 의미는 — 기본(0)은 모든 규칙 허용 트래픽에 export, 1은 Track이 Log and Accounting인 규칙 허용 트래픽에만 export(R80.40 이하에서 업그레이드한 경우 0으로 두고 규칙을 구성).

2. SmartConsole에서 명시 Access Control 규칙 구성 — Gaia Portal에서 "NetFlow Fw rule"을 켰거나 Gaia Clish에서 set netflow fwrule을 1로 한 경우에 필요합니다. Security Policies > Access Control > Policy 에서 export할 트래픽의 명시 규칙을 추가하되 Track 칸을 Log and Accounting 으로 두고, Publish 후 게이트웨이/클러스터 객체에 정책을 설치합니다.

Gaia Clish의 NetFlow 명령

set netflow liveconn_interval {<10-60> | 0}

add netflow collector ip <IPv4 Address of Collector> port <Destination Port on Collector> [srcaddr <Source IPv4 Address>] export-format {Netflow_V5 | Netflow_V9 | IPFIX} enable {yes | no}

set netflow collector
    ip <IPv4 Address of Collector> port <Destination Port on Collector> export-format {Netflow_V5 | Netflow_V9 | IPFIX} [srcaddr <Source IPv4 Address>] enable {yes | no}
    for-ip <IPv4 Address of Collector> ip <...> port <...> export-format {...} [srcaddr <...>] enable {yes | no}
    for-port <Destination Port on Collector> ip <...> port <...> export-format {...} [srcaddr <...>] enable {yes | no}

set netflow fwrule {1 | 0}

show netflow
    all
    collector
    enable
    export-format
    ip
    port
    srcaddr
    for-ip <IPv4 Address of Collector> {enable | export-format | port | srcaddr}
    for-port <Destination Port on Collector> {enable | export-format | srcaddr}

show netflow liveconn_interval
show netflow fwrule

delete netflow collector for-ip <IPv4 Address of Collector> [for-port <Destination Port on Collector>]

동적 라우팅은 Gaia Portal과 Gaia Clish에 완전히 통합되어 있으며 BGP, OSPF, RIP 를 지원합니다. 또한 PIM(Sparse Mode·Dense Mode·Source-Specific Multicast)과 IGMP를 쓰는 동적 멀티캐스트 라우팅 도 지원합니다. 동적 라우팅의 구성과 자세한 내용은 별도 가이드인 Gaia Advanced Routing 가이드에서 다룹니다.