08ClusterXL·VSX·VRRP 클러스터 설치ClusterXL·VSX·VRRP 클러스터 설치

원문은 다음 다섯 가지 설치를 다룹니다.

종류는 달라도 큰 줄기는 단일 Security Gateway 설치의 연장입니다. 각 멤버에 Gaia를 깔고 첫 구성 마법사에서 클러스터 멤버로 지정한 뒤, SmartConsole에서 클러스터 객체를 만들어 멤버를 추가하고 SIC(Secure Internal Communication)를 세우고, 인터페이스마다 역할을 정한 다음 정책을 설치하고 상태를 검증하는 순서가 반복됩니다.

마법사에서 챙길 핵심도 거의 같습니다. Products 화면에서 Security Gateway only를 고른 뒤 Unit is a part of a cluster 를 켜고 클러스터 종류(ElasticXL·ClusterXL·VRRP Cluster)를 선택 하고, Secure Internal Communication 화면에서 4~127자 길이의 Activation Key 를 입력합니다. 그리고 어느 종류든 클러스터가 외부에 보이는 Cluster Virtual IP(VIP) 와 각 멤버의 고유 물리 IP를 구분 해 두어야 합니다.

SmartConsole에서 멤버를 추가했는데 Trust State 가 Trust established 로 바뀌지 않으면, 어느 절차든 해결법은 같습니다.

R82부터 VSX에는 두 모드가 있습니다 — 새로운 VSNext 와 기존 Legacy VSX(R81.20 이하에서 그냥 "VSX"라 부르던 방식, 아래 Legacy VSX Cluster 설치 참고) 입니다.

1단계 — 플랫폼 설치

먼저 필요한 플랫폼을 깝니다. ElasticXL Cluster 는 R82 Scalable Platforms Administration Guide의 "Working with ElasticXL Cluster" 장을, Maestro Security Group 은 Quantum Maestro Getting Started Guide를 따릅니다.

그다음 First Time Configuration Wizard 를 실행합니다.

ElasticXL Cluster 의 경우, 첫 appliance에서 다음을 설정하면 나중에 합류하는 다른 appliance들이 이 설정을 복사 합니다.

Maestro Security Group 의 경우, Orchestrator에서 새 Security Group을 만들 때 First Time Wizard 설정에서 hostname, admin 암호, SIC 암호를 넣고 Install as VSNext / VSX 를 선택합니다.

이어서 유효한 라이선스를 설치합니다(ElasticXL·Maestro 모두 R82 Scalable Platforms Administration Guide 참고).

2단계 — Virtual Switch·Virtual Gateway 구성

ElasticXL Cluster나 Maestro Security Group 위에서 필요한 Virtual Switch 와 Virtual Gateway 를 구성합니다(R82 VSX Administration Guide의 "VSNext" 장 참고).

3단계 — SmartConsole에서 Virtual Gateway마다 Security Gateway 객체 만들기

4단계 — Virtual Gateway마다 보안 정책 구성

해당 Virtual Gateway를 관리하는 서버에 SmartConsole로 접속해 Security Policies 로 들어간 뒤, + 탭(또는 CTRL+T)으로 새 정책을 만들고 레이어를 구성합니다. Access Control 규칙을 만들어 Virtual Gateway에 설치하고, Threat Prevention 규칙도 만들어 설치합니다. 자세한 내용은 R82 Security Management·VSX·Threat Prevention Administration Guide와 R82 Home Page의 관련 가이드를 참고하세요.

가장 일반적인 표준 클러스터가 ClusterXL 입니다.

1단계 — Cluster Member 설치

2단계 — SmartConsole에서 ClusterXL 객체 구성

ClusterXL 객체는 Wizard Mode 또는 Classic Mode 둘 중 한 방식으로 만들 수 있습니다. 두 방식은 처음 화면 구성만 다를 뿐 설정하는 내용은 사실상 같습니다.

Wizard Mode로 구성하기

Trust established 가 안 뜨면 위 공통 흐름의 cpconfig → Reset → Initialize 절차로 해결합니다. 7. Cluster Topology 페이지에서 인터페이스마다 역할을 정합니다. 상단의 IPv4 Network Address 를 확인한 뒤 — - 트래픽 인터페이스는 Representing a cluster interface 로 두고 Cluster Virtual IPv4와 Net Mask를 설정합니다. - 동기화 인터페이스는 Cluster Synchronization 의 Primary only 를 고릅니다. Check Point 클러스터는 동기화 네트워크를 하나만 지원 합니다. - 트래픽을 흘리지 않는 인터페이스는 Private use of each member (don't monitor members interfaces) 로 둡니다. 8. Cluster Definition Wizard Complete 페이지에서 요약을 확인하고 Edit Cluster's Properties 를 선택한 뒤 Finish 를 누르면 Gateway Cluster Properties 창이 열립니다. 9. General Properties > Machine 섹션에서 ClusterXL 객체 이름과 IPv4/IPv6 주소가 맞는지 확인합니다. 10. General Properties > Platform 섹션에서 — Hardware 는 Appliance면 해당 시리즈를, Open Server면 Open server 를 선택하고, Version 은 R82, OS 는 Gaia 를 고릅니다. 11. General Properties 의 Network Security 탭에서 ClusterXL Software Blade가 켜졌는지 확인하고, 필요한 Blade를 Network Security·Threat Prevention 탭에서 추가로 켭니다. 12. Cluster Members 페이지에서 다시 한 번 멤버를 추가합니다 — Add > New Cluster Member → 이름·물리 IP 입력 → Communication → One-time password·Confirm one-time password 에 같은 Activation Key 입력 → Initialize → Close → OK. 다음 멤버에 대해 반복합니다(Trust 미성립 시 위 cpconfig 절차). 13. ClusterXL and VRRP 페이지에서 모드와 세부 동작을 정합니다.

Select the cluster mode and configuration 에서 모드를 고릅니다.

Tracking 섹션에서 적절한 추적 옵션을 고른 뒤, Advanced Settings 섹션에서 모드별 세부를 정합니다.

High Availability 를 골랐다면 — - Use State Synchronization(선택) — 멤버들이 검사 중인 연결 정보를 동기화합니다.

Load Sharing > Multicast 또는 Unicast 를 골랐다면 — Use Sticky Decision Function(선택, R80.10 이하에서만, 자세히는 우상단 (?) 버튼), 위와 동일한 Start synchronizing … seconds 옵션, 그리고 멤버 간 연결 분배 방식(connection sharing method)을 정합니다. Unicast에서는 추가로 Use Virtual MAC 도 고를 수 있습니다.

연결 분배 방식 세 가지는 다음과 같습니다.

Member IPs 섹션에서 각 멤버의 IPv4 주소와 Net Mask가 맞는지 확인합니다.

Topology 섹션에서 Leads To·Security Zone 을 확인합니다. 클러스터 인터페이스에서는 Override > Network defined by routes(기본)와 Override > Specific > 해당 Network/Network Group 객체 만 지원 됩니다(Known Limitation PMTR-70260). 보안을 위해 Anti-Spoofing 을 켭니다. 15. OK → SmartConsole 세션을 Publish 합니다.

Classic Mode로 구성하기

Classic Mode는 마법사 대신 Gateway Cluster Properties 창에서 곧장 설정합니다. 1~3단계로 새 Cluster 객체를 만든 뒤 Classic Mode 를 클릭하면 창이 열리고, 다음 순서로 진행합니다.

3단계 — ClusterXL용 Access Control 정책 구성

이 ClusterXL을 관리하는 서버에 SmartConsole로 접속해 Security Policies 로 들어간 뒤, + 탭(또는 CTRL+T)으로 새 정책과 레이어를 만들고, ClusterXL 객체에 Access Control 정책과 Threat Prevention 정책을 구성·설치합니다.

4단계 — 클러스터 구성 검증

각 Cluster Member 명령줄에 접속해 상태와 인터페이스를 확인합니다.

# 클러스터 상태 — Gaia Clish
show cluster state
# 클러스터 상태 — Expert mode
cphaprob state

# 클러스터 인터페이스 — Gaia Clish
show cluster members interfaces all
# 클러스터 인터페이스 — Expert mode
cphaprob -a if

자세한 내용은 R82 Security Management·ClusterXL Administration Guide와 R82 Home Page의 관련 가이드를 참고하세요.

Legacy VSX Cluster 는 Legacy VSX Gateway를 클러스터로 묶은 것으로, R81.20 이하에서 그냥 "VSX"라 부르던 방식입니다. VSNext를 쓰지 않는 환경에서 여러 VSX Gateway를 묶을 때 씁니다.

1단계 — Legacy VSX Cluster Member 설치

Gaia를 설치하고(Gaia 설치) 첫 구성을 따른 뒤, First Time Configuration Wizard에서 ClusterXL 클러스터 멤버 설정(Security Gateway only + Unit is a part of a cluster + ClusterXL)을 하고 Activation Key를 입력합니다. 유효한 라이선스를 설치합니다.

2단계 — SmartConsole에서 Legacy VSX Cluster 객체 구성

    vsx stat -v
    

3단계 — Legacy Virtual Device와 정책 구성

각 Legacy Virtual Device를 관리할 서버(또는 Target Domain Management Server)에 SmartConsole로 접속해, 이 VSX Cluster에 필요한 Legacy Virtual Device들을 구성하고 Access Control·Threat Prevention 정책을 만들어 설치합니다.

VSX 구성·클러스터 상태 검증

각 Legacy VSX Cluster Member 명령줄에 접속해 다음을 확인합니다.

# VSX 구성 — Expert mode
vsx stat -v

클러스터 상태와 인터페이스는 VS0 컨텍스트 에서 봅니다.

# 클러스터 상태 — Gaia Clish
set virtual-system 0
show cluster state
# 클러스터 상태 — Expert mode
vsenv 0
cphaprob state

# 클러스터 인터페이스 — Gaia Clish
set virtual-system 0
show cluster members interfaces all
# 클러스터 인터페이스 — Expert mode
vsenv 0
cphaprob -a if

자세한 내용은 R82 Security Management·VSX·ClusterXL Administration Guide와 R82 Home Page의 관련 가이드를 참고하세요.

VRRP Cluster 는 ClusterXL 대신 업계 표준 VRRP(Virtual Router Redundancy Protocol) 로 가용성을 구현하는 Gaia 클러스터입니다. 멀티벤더 라우팅 환경처럼 VRRP가 더 맞는 곳에서 씁니다.

1단계 — VRRP Cluster Member 설치

Gaia를 설치하고(Gaia 설치) 첫 구성을 따른 뒤, First Time Configuration Wizard에서 Security Gateway only를 고르고 Clustering에서 Unit is a part of a cluster 와 VRRP Cluster 를 함께 켜며 Activation Key를 입력합니다. 유효한 라이선스를 설치합니다.

Gaia에서 VRRP는 ClusterXL을 켠 채로도, 끈 채로도 쓸 수 있습니다(R82 Gaia Administration Guide의 High Availability 장 참고). ClusterXL을 켜서 State synchronization을 쓰려면 —

2단계 — Gaia에서 VRRP 초기 구성

두 멤버 모두에서 Gaia의 VRRP를 구성합니다. R82 Gaia Administration Guide의 High Availability 장을 따르고, sk105170(Gaia VRRP 클러스터 구성 요건·고려사항·제약)과 sk92061(Gaia에서 VRRP 구성법)을 함께 참고합니다.

3단계 — SmartConsole에서 VRRP Cluster 객체 구성

VRRP Cluster 객체도 Wizard Mode 또는 Classic Mode 로 만들 수 있습니다.

Wizard Mode

흐름은 ClusterXL의 Wizard Mode와 거의 같되 클러스터 솔루션과 모드 선택만 VRRP용 입니다.

Classic Mode

1~3단계로 새 Cluster 객체를 만들고 Classic Mode 를 클릭하면 Gateway Cluster Properties 창이 열립니다. 이후 Machine / Platform(R82·Gaia) → General Properties(ClusterXL Blade) → Cluster Members(멤버 추가, Trust 미성립 시 cpconfig) → ClusterXL and VRRP(High Availability and VRRP + 위 세 선택 옵션) → Network Management(위와 동일) 순으로 진행하고 OK → Publish 합니다.

4단계 — VRRP Cluster용 보안 정책 구성

이 VRRP Cluster를 관리하는 서버에 SmartConsole로 접속해 Security Policies 에서 새 정책·레이어를 만듭니다. 그리고 VRRP Cluster 멤버가 VRRP·IGMP 트래픽을 주고받을 수 있도록 명시적 Access Control 규칙 을 반드시 정의해야 합니다.

VRRP Cluster 멤버가 OSPF·RIP 같은 동적 라우팅 프로토콜 을 쓰면 멀티캐스트 목적지 IP마다 규칙을 만들거나, 모든 멀티캐스트 목적지를 대표하는 Network 객체를 하나 만들어 씁니다(예 — Name: MCAST.NET, IP Address: 224.0.0.0, Net mask: 240.0.0.0). 그러면 받아들일 모든 멀티캐스트 프로토콜을 한 규칙으로 처리할 수 있습니다.

추가로 필요한 Access Control 규칙을 더 구성한 뒤 VRRP Cluster 객체에 Access Control 정책을 설치하고, Threat Prevention 정책도 구성·설치합니다.

5단계 — 클러스터 구성 검증

각 멤버 명령줄에서 상태·인터페이스에 더해 VRRP 구성 까지 확인합니다.

# 클러스터 상태 — Gaia Clish
show cluster state
# 클러스터 상태 — Expert mode
cphaprob state

# 클러스터 인터페이스 — Gaia Clish
show cluster members interfaces all
# 클러스터 인터페이스 — Expert mode
cphaprob -a if

# VRRP 구성 — Gaia Clish
show vrrp
# VRRP 구성 — Expert mode
clish -c "show vrrp"

자세한 내용은 R82 Security Management·ClusterXL·Gaia Administration Guide, sk105170, sk92061을 참고하세요.

가장 촘촘한 형태가 Full High Availability Cluster 입니다.

Full High Availability Cluster 이해하기

Check Point Appliance 두 대로 만드는 이 구성에서는 각 appliance가 ClusterXL Cluster Member이면서 동시에 Security Management Server 로, 둘 다 High Availability 모드로 돕니다. 그래서 게이트웨이의 가용성과 관리 서버의 가용성을 한꺼번에 얻고, 유지보수 부담이 줄어듭니다.

두 appliance는 직접 연결한 동기화 회선 으로 이어져 High Availability로 동작합니다 — 한쪽(예: 1번) appliance의 관리 서버가 Primary, 다른 쪽(3번)이 Secondary 로 돌고, ClusterXL은 한쪽(1번)이 Active, 다른 쪽(3번)이 Standby 로 돌며, 두 멤버가 동기화 회선(2번)으로 트래픽 정보를 주고받습니다.

ClusterXL 동작은 R82 ClusterXL Administration Guide를, 관리 서버는 R82 Security Management Administration Guide를 참고하세요.

1단계 — 첫 멤버(Primary 관리 서버) 설치

Gaia를 설치하고(Gaia 설치) 첫 구성을 따른 뒤, First Time Configuration Wizard에서 다음을 설정합니다.

이어서 유효한 라이선스를 설치하고, 웹 브라우저로 Gaia Portal(https://<Gaia Management Interface IP>, 포트를 443에서 바꿨다면 https://<IP>:<Port>)에 접속한 뒤 Network Management > Network Interfaces 에서 필요한 인터페이스에 고유 IP 를 모두 설정합니다.

2단계 — 둘째 멤버(Secondary 관리 서버) 설치

첫 멤버와 동일하게 설치하되, Products 의 Clustering에서 Define Security Management as 를 Secondary 로 고르고, Secure Internal Communication 에 Activation Key(4~127자)를 입력합니다. 라이선스 설치와 Gaia Portal 접속·인터페이스 IP 설정은 첫 멤버와 같습니다.

3단계 — 두 appliance의 동기화 인터페이스 연결

4단계 — R82 SmartConsole 설치

SmartConsole 설치를 따릅니다.

5단계 — SmartConsole에서 Full High Availability Cluster 객체 구성

모든 인터페이스에 대해 이 단계를 반복한 뒤 Finish → Publish 합니다. 6. 이 클러스터 객체에 Access Control Policy 를 설치합니다. 정책을 설치한 뒤에야 Primary가 Secondary와 동기화 할 수 있습니다. 이어서 Threat Prevention Policy 도 설치합니다.

자세한 내용은 R82 Gaia·ClusterXL Administration Guide를 참고하세요.

Full High Availability Cluster의 권장 로깅 옵션

클러스터에서는 두 멤버 사이에 로그 파일이 동기화되지 않 습니다.

클러스터까지 세웠다면, 더 작은 배포 형태와 설치 후 마무리로 넘어갑니다 — Standalone·Scalable Platform·설치 후 구성입니다.