10고가용성 — VRRP고가용성 — VRRP

VRRP(Virtual Routing Redundancy Protocol)는 두 대의 Gaia Security Gateway가 서로의 백업이 되어 주는 고가용성 솔루션입니다. 장애가 났을 때 IP 주소를 한 라우터에서 다른 라우터로 동적으로 넘겨(failover), IP 네트워크에서 게이트웨이를 골라 라우팅 경로의 가용성과 신뢰성을 높입니다.

각 VRRP 라우터에는 VRID(Virtual Router Identifier)라는 고유 식별자가 있고, 여기에는 적어도 하나의 VIP(Virtual IP Address)가 연결됩니다. 이웃한 네트워크 노드는 이 VIP를 경로의 다음 홉(next hop)이나 최종 목적지로 삼아 접속 합니다. Gaia는 RFC 3768 에 정의된 대로 VRRP를 지원합니다.

Gaia에서 VRRP를 구성하는 길은 두 가지입니다.

VRRP 용어

이 장의 개념 설명과 절차는 표준 VRRP 용어를 그대로 씁니다. 다음 표는 기본 VRRP 용어와 그에 대응하는 Check Point ClusterXL 용어를 함께 정리한 것입니다(ClusterXL 가이드도 참고하세요).

Gaia OS에서의 VRRP

Gaia에서 VRRP는 ClusterXL을 켠 채로도, 끈 채로도 쓸 수 있는데, 두 경우의 동작이 다릅니다.

VRRP 구성 방법

VRRP 인터페이스 감시

모든 VRID가 모든 VRRP 인터페이스를 감시하는 것 은 비대칭 경로(asymmetric route)로 생기는 연결 문제를 막기 위해 매우 중요합니다.

예를 들어 외부 인터페이스가 죽으면, VRRP Master는 외부 Virtual Router에 대해서만 failover합니다. 내부 Virtual Router의 Master는 그대로라서, 내부 Virtual Router가 트래픽을 받아도 새로 바뀐 외부 Master로 연결하지 못해 통신 장애가 생길 수 있습니다.

전환 중 비대칭 문제를 막는 또 다른 도구가 VRRP interface delay(인터페이스 지연) 설정입니다. 이것은 VRRP의 Preempt Mode 를 꺼 두었을 때 구성합니다. 우선순위가 더 높은 VRRP 노드가 재부팅되었지만, 우선순위가 낮은 채로 트래픽을 처리 중인 기존 Master를 빼앗으면 안 될 때 유용한 전역 설정입니다. 가끔 막 올라온 인터페이스가 들어오는 VRRP Hello 패킷을 처리하는 데 VRRP 타임아웃보다 오래 걸리는데, interface delay는 기존 Master로부터 Hello 패킷을 받기까지 VRRP가 기다리는 시간을 늘려 줍니다.

VRRP Failover가 동작하는 방식

각 Virtual Router(VRRP 그룹)는 고유한 VRID 로 식별됩니다. 하나의 Virtual Router 안에는 하나의 VRRP Master Security Gateway와 적어도 하나의 VRRP Backup 이 있습니다.

Master는 Backup들에게 주기적으로 VRRP advertisement(VRRP Hello 메시지라고도 함)를 보냅니다. 이 광고는 Master의 동작 상태를 Backup에게 알리는 역할을 합니다. Gaia는 동적 라우팅 프로토콜로 Virtual Router의 VIP(Virtual IP 주소, 즉 Backup IP 주소)를 광고합니다.

Master가 죽거나 그 VRRP 인터페이스가 죽으면, VRRP는 우선순위 알고리즘으로 백업으로의 failover가 필요한지를 판단 합니다. 처음에는 설정된 우선순위 값이 가장 높은 게이트웨이가 Master입니다. 우선순위는 Virtual Router를 만들거나 설정을 바꿀 때 게이트웨이마다 지정합니다. 두 게이트웨이의 우선순위가 같으면, 먼저 온라인이 되어 VRRP advertisement를 먼저 뿌린 쪽이 Master가 됩니다.

Gaia는 failover 시 백업 게이트웨이를 고를 때(쓸 수 있는 백업이 둘 이상일 때)도 우선순위를 씁니다. failover가 일어나면 Virtual Router의 우선순위 값에서 미리 정한 Priority Delta 값을 빼서 Effective Priority(유효 우선순위)를 계산합니다. 유효 우선순위가 가장 높은 Virtual Router가 새 Master 가 됩니다. Priority Delta는 Virtual Router를 구성할 때 지정하는 Check Point 고유 파라미터입니다. 시스템을 올바로 구성하면, 문제가 생긴 Master의 유효 우선순위가 다른 Virtual Router들에 있는 백업 게이트웨이의 우선순위보다 낮아져, 문제의 Master가 다른 Virtual Router에서도 함께 failover 하게 됩니다.

대표적인 VRRP 사용 사례

다음은 몇 가지 VRRP 환경의 예입니다.

사용 사례 1 — 내부 네트워크 고가용성

가장 단순한 사례입니다. Security Gateway 1이 Master, Security Gateway 2가 Backup입니다. 내부 네트워크를 오가는 연결에만 이중화가 적용되고, 외부 네트워크 트래픽에는 이중화가 없습니다.

내부 네트워크 고가용성 구성 — Master와 Backup, VRID 5의 Virtual Router

사용 사례 2 — 내부·외부 네트워크 고가용성

내부와 외부 연결 모두에 이중화가 있는 환경의 예입니다. 두 Security Gateway에 대해 내부용·외부용으로 Virtual Router를 쓸 수 있습니다. 내부 인터페이스와 외부 인터페이스는 서로 다른 서브넷에 있어야 합니다. 한 게이트웨이를 Master로, 다른 한 게이트웨이를 Backup으로 구성합니다.

내부·외부 양쪽 이중화 구성 — 외부 VIP 192.168.2.5, 내부 VIP 192.168.3.5

사용 사례 3 — 내부 네트워크 부하 분산

내부 네트워크 트래픽에 대한 Active/Active 부하 분산(Load Sharing) 환경의 예입니다. 부하 분산과 완전한 이중화를 동시에 제공합니다.

Active/Active 부하 분산 — 두 게이트웨이가 VRID 5와 VRID 7로 서로를 백업

본격적인 Virtual Router 구성에 앞서, 네트워크 스위치를 손보고, 클러스터 멤버를 준비하고, 전역 설정을 잡는 세 단계를 거칩니다.

네트워크 스위치 구성

다른 벤더의 스위치라면 그에 대응하는 기능을 쓰세요. PortFast(또는 동등 기능) 없이 Spanning Tree를 쓰면 VRRP failover 동안 지연 이 보일 수 있습니다.

VRRP 클러스터 멤버 준비

VRRP 전역 설정 구성

이어서 Virtual Router를 활성화하고 전역 설정을 잡습니다.

전역 설정은 모든 Virtual Router에 공통으로 적용됩니다. 탐색 트리에서 High Availability > VRRP 또는 High Availability > Advanced VRRP 를 연 다음 VRRP Global Settings 영역에서 다음을 설정하고 Apply Global Settings 를 클릭합니다.

Gaia는 cold start delay가 끝난 뒤부터 Firewall 감시를 시작하는데, 이 때문에 몇 가지 문제가 생길 수 있습니다.

이 방법은 Gaia Portal, Gaia Clish, SmartConsole에서 구성할 수 있습니다.

Gaia Portal에서 구성

4단계 Add Virtual Router 창의 파라미터는 다음과 같습니다.

5단계 Add Backup Address 창의 파라미터입니다.

VMAC 모드는 네 가지입니다.

설정한 VMAC 모드는 Backup Address 표에 표시되며, 마치면 OK 를 클릭합니다.

Gaia Clish에서 구성

1. 우선순위 추가·구성

add mcvr vrid VALUE priority VALUE priority-delta VALUE
[authtype {none | simple VALUE} hello-interval VALUE

2. Backup 주소 추가

add mcvr vrid VALUE backup-address VALUE vmac-mode VALUE

Monitored Circuit/Simplified VRRP 설정 변경

set mcvr vrid VALUE
authtype {none | simple VALUE}
auto-deactivation {on | off}
backup-address VALUE vmac-mode VALUE [static-mac VALUE]
hello-interval VALUE
preempt-mode {on | off}
priority VALUE
priority-delta VALUE

구성 조회

show mcvr
vrid VALUE
all
authtype
backup-address VALUE
backup-addresses
hello-interval
priority
priority-delta
vrids

삭제

delete mcvr vrid VALUE [backup-address VALUE]

파라미터

SmartConsole에서 Simplified VRRP 클러스터 구성

R82 Installation and Upgrade Guide 의 "Installing a ClusterXL, VSX Cluster, VRRP Cluster" 장 > "Installing a VRRP Cluster" 절을 따르세요.

Advanced VRRP는 인터페이스 수준에서 Virtual Router를 구성 하게 해 줍니다. 이 절은 Advanced VRRP에만 직접 관련된 절차만 담으며, 클러스터 구성의 일반 절차는 위 「Monitored Circuit/Simplified VRRP 구성」을 따릅니다. Advanced VRRP에서는 모든 Virtual Router가 구성된 모든 VRRP 인터페이스를 감시 하도록 설정해야 합니다.

Advanced에서 Monitored Circuit/Simplified로 바꾸기

Security Gateway가 Master인 동안에는 Backup Address를 한 인터페이스에서 다른 인터페이스로 옮길 수 없습니다. 필요한 IP 주소로 인터페이스를 지우고 새로 추가하려면 다음을 수행합니다.

Gaia Portal에서 구성

4단계 Add New Virtual Router 창의 파라미터입니다.

Gaia Clish에서 구성

Advanced VRRP 전역 구성

set vrrp
accept-connections {on | off}
coldstart-delay VALUE
disable-all-virtual-routers {on | off}
monitor-firewall {on | off}
interface-delay VALUE

Advanced VRRP 인터페이스 구성

set vrrp interface VALUE
authtype
none
simple VALUE
monitored-circuit vrid VALUE
auto-deactivation {on | off}
backup-address VALUE {on | off}
hello-interval VALUE
monitored-interface VALUE
on
off
priority-delta <default | 1 - 254>}
off
on
preempt-mode {on | off}
priority VALUE
vmac-mode
default-vmac
extended-vmac
interface-vmac
static-vmac VALUE
off
virtual-router legacy off

구성 조회

show vrrp
[interface VALUE]
[interfaces]
[stats]
[summary]

파라미터

SmartConsole에서 Advanced VRRP 클러스터 구성

R82 Installation and Upgrade Guide 의 "Installing a ClusterXL, VSX Cluster, VRRP Cluster" 장 > "Installing a VRRP Cluster" 절을 따르세요.

이 절은 알려진 VRRP 구성 문제와 해결책을 보여 줍니다. Check Point Support에 연락하기 전에 먼저 읽어 보세요.

VRRP 추적(Debug)

문제 해결을 위해 VRRP의 오류·이벤트 정보를 기록할 수 있습니다.

추적 켜기

추적 끄기

일반 구성 시 점검 사항

VRRP failover가 기대대로 일어나지 않으면 다음을 확인하세요.

Firewall 정책

Gaia 플랫폼을 오가는 VRRP 패킷을 받아들이도록 Access Control Policy를 구성 하세요. IANA가 VRRP에 할당한 멀티캐스트 목적지는 224.0.0.18 입니다. 정책이 이 주소로 가는 패킷을 받지 않으면, 한 Virtual Router의 게이트웨이들이 모두 Master 상태 가 됩니다.

스위치 환경에서의 Monitored-Circuit VRRP

Monitored-Circuit VRRP에서는 일부 이더넷 스위치가 Master→Backup 전환 후 VRRP MAC 주소를 인식하지 못할 수 있습니다. 많은 스위치가 포트에 붙은 장치의 MAC을 캐시하기 때문인데, failover로 Virtual Router MAC이 다른 포트에 연결되어도 캐시된 MAC을 새 포트로 바꾸지 못하는 것입니다. 다음 중 하나로 해결합니다.

캐싱을 끌 수 없으면 address aging 값을 충분히 낮춰 MAC이 1~2초 만에 만료되게 합니다. 다만 이는 스위치 부하를 늘리므로, 사용 중인 스위치 모델에서 현실적인 방법인지 확인하세요.

STP(Spanning Tree Protocol)는 여러 브리지에 걸친 L2 루프를 막습니다. VRRP 클러스터 양쪽에 연결된 포트에서 STP가 켜져 있으면, 두 포트에서 같은 MAC의 멀티캐스트 VRRP Hello 패킷 이 보일 수 있습니다. STP는 이를 루프로 의심해 한 포트의 트래픽을 차단하는데, 포트가 막히면 멤버들이 서로의 Hello 패킷을 못 받아 둘 다 Master 가 됩니다. 가능하면 스위치에서 STP를 끄세요(브리징 루프가 있는 스위치라면 해로울 수 있음). STP를 끌 수 없으면 멤버가 연결된 포트에서 PortFast 를 켜세요 — PortFast는 listening·learning 상태를 건너뛰고 곧바로 forwarding 상태 로 들어가게 합니다.