목차/04. SecureXL — 구성과 분석

04SecureXL — 구성과 분석SecureXL — 구성과 분석

SecureXL의 개념을 잡았으니, 이제 SecureXL을 실제로 설치·운영하는 방법 을 처음부터 끝까지 정리합니다. 다행히 손댈 일이 많지 않습니다. Gaia First Time Configuration Wizard 가 처음 게이트웨이(또는 Scalable Platform Security Group)를 셋업할 때 SecureXL을 자동으로 설치하고, 켜고, 구성 까지 마쳐 주기 때문입니다. 추가로 따로 해 줄 설정은 없습니다. 다만 어떤 모드(mode) 로 동작하는지, 모드를 어떻게 확인하고 바꾸는지, 디버그가 필요할 때 어떻게 잠깐 끄는지는 알아 두어야 합니다.

SecureXL이 동작하는 두 가지 모드

SecureXL은 두 가지 방식 중 하나로 동작합니다. 둘은 "어디에서 도는가"가 다릅니다.

모드	설명
User Mode (UPPAK)	SecureXL이 사용자 공간(user space)의 프로세스 로 돕니다. UPPAK은 "User Space Performance Pack"의 약자입니다. 이 모드는 성능을 더 끌어올리고, SecureXL의 더 고급 기능을 풀어 줍니다. 지원되는 Check Point 어플라이언스에서는 이쪽이 기본 모드 입니다.
Kernel Mode (KPPAK)	SecureXL이 커널 공간(kernel space)의 커널 모듈 로 돕니다. KPPAK은 "Kernel Space Performance Pack"의 약자입니다.

요약하면, User Mode를 지원하는 하드웨어라면 자동으로 UPPAK로 돌고, 지원하지 않는 게이트웨이는 Kernel Mode(KPPAK)로 동작합니다.

Kernel Mode (KPPAK)의 구성 요소

User Mode(UPPAK)를 지원하지 않는 게이트웨이에서는 SecureXL이 Kernel Mode로 동작합니다. 이때는 다음 커널 모듈 을 사용합니다(Kernel Parameter 소개 참고).

$PPKDIR/boot/modules/sim_kern_64_3_10_64_v6.o

파라미터를 담는 구성 파일 은 다음 하나입니다(SecureXL Kernel Parameters 참고).

$PPKDIR/conf/simkern.conf

User Mode (UPPAK)의 구성 요소

User Mode에서는 SecureXL이 사용자 공간의 여러 프로세스 로 나뉘어 돕니다. 각각의 역할과 로그 파일은 다음과 같습니다.

프로세스	로그 파일	설명
`$PPKDIR/bin/usim_x86`	`/var/log/usim_x86.elg`	SecureXL의 메인 프로세스 입니다.
`$PPKDIR/bin/usim_wd_agent`	해당 없음	메인 프로세스 usim_x86 을 감시하는 Watch Dog 프로세스 입니다. 메인 프로세스가 죽으면 이 Watch Dog이 다시 띄워 줍니다.
`$PPKDIR/bin/usim_launcher`	해당 없음	부팅 중에 메인 프로세스 usim_x86 을 시작하는 런처입니다.

파라미터를 담는 구성 파일 은 Kernel Mode와 마찬가지로 다음 하나입니다(SecureXL Kernel Parameters 참고).

$PPKDIR/conf/simkern.conf

또한 User Mode의 프로세스가 크래시(crash)하면 다음 코어 덤프(core dump) 파일 들이 만들어집니다.

/var/log/dump/usermode/lcore-worker<ID>.core
/var/log/dump/usermode/fwk_snd<ID>.core
/var/log/usim_crash/crash_list

현재 SecureXL 모드 확인하기

지금 게이트웨이가 어느 모드로 도는지는 SecureXL 상태와 모드를 함께 보여 주는 fwaccel stat 명령으로 확인합니다(fwaccel stat 참고). 절차는 다음과 같습니다.

게이트웨이(또는 각 Cluster Member)의 명령줄에 접속합니다.

게이트웨이(각 Cluster Member) — Gaia Clish 또는 Expert mode에서:

     fwaccel stat

Scalable Platform Security Group — Gaia gClish에서:

     fwaccel stat

Scalable Platform Security Group — Expert mode에서:

     g_fwaccel stat

출력에서 Name 열 을 확인합니다.
- KPPAK 이면 — Kernel Mode
- UPPAK 이면 — User Mode

SecureXL 모드 바꾸기

Kernel Mode(KPPAK)와 User Mode(UPPAK) 사이를 수동으로 전환 할 수 있습니다. 다만 바꾸기 전에 다음 사항을 꼭 알아 두어야 합니다.

참고

모드 전환 전에 반드시 기억할 것들입니다. > - 깨끗한 설치(clean installation) 중에는, 요구사항을 만족하는 게이트웨이에 대해 Gaia First Time Configuration Wizard 가 자동으로 User Mode(UPPAK)로 구성합니다. > - R81.10 이하 버전에서 업그레이드 한 경우에는 SecureXL이 Kernel Mode(KPPAK)로 동작합니다. > - 게이트웨이의 하드웨어 사양이 바뀌어 이제 요구사항을 만족하게 되더라도, SecureXL은 모드를 자동으로 바꾸지 않습니다. 직접 수동으로 바꿔야 합니다. 게이트웨이가 이제 USFW 를 지원한다면 먼저 USFW를 켜되 아직 재부팅하지 말고, SecureXL 모드를 User Mode(UPPAK)로 바꾼 다음 딱 한 번만 재부팅하세요. > - SecureXL이 User Mode(UPPAK)로 동작하는 동안에는, UPPAK이 지원하지 않는 기능은 켤 수 없 습니다.

전환 절차는 다음과 같습니다.

게이트웨이(또는 각 Cluster Member)의 명령줄에 접속합니다.

Check Point SecureXL 옵션의 번호를 입력합니다.
메뉴가 현재 SecureXL 모드 를 보여 줍니다.
Change SecureXL Mode 옵션의 번호를 입력합니다.
y 를 입력해 변경을 확인합니다.
cpconfig 메뉴에서 빠져나옵니다.
재부팅합니다.

다음 글에서는 디버그를 위해 SecureXL을 잠깐 끄는 방법과, 가속 트래픽을 캡처해 분석하는 방법을 이어서 다룹니다.

SecureXL 비활성화와 가속 트래픽 분석

SecureXL 구성에서 설치·모드 확인·모드 전환을 다뤘습니다. 이 글에서는 디버그를 위해 SecureXL을 잠깐 끄는 방법 과, 실제로 가속되는 트래픽을 캡처해 분석 하는 방법을 정리합니다.

SecureXL 비활성화 — 원칙은 "끄지 않는다"

먼저 분명히 해 둘 것이 있습니다. SecureXL을 끄는 것은 지원되지 않 습니다. Check Point Support가 디버그 목적으로 명시적으로 지시한 경우에만 SecureXL을 끌 수 있습니다.

그리고 R80.20부터는 일시적으로만(temporarily) 끌 수 있습니다. SecureXL은 Check Point 서비스를 시작하거나(cpstart), 게이트웨이(Scalable Platform Security Group Member)를 재부팅하면 자동으로 다시 켜 집니다.

비활성화의 성격을 정확히 알아 두어야 합니다.

켜고 끄는 명령은 IPv4용 fwaccel 과 IPv6용 fwaccel6 으로 나뉘며, 끄기 전후로 항상 상태를 확인 하는 것이 절차의 일부입니다.

IPv4용 SecureXL 일시 비활성화

게이트웨이(또는 각 Cluster Member)의 명령줄에 접속합니다.

     fwaccel off [-a]

Scalable Platform Security Group — Gaia gClish:

     fwaccel off [-a]

Scalable Platform Security Group — Expert mode:

     g_fwaccel off [-a]

fwaccel stat(Scalable Platform Expert mode에서는 g_fwaccel stat)로 상태를 다시 확인합니다.

IPv6용 SecureXL 일시 비활성화

절차는 IPv4와 똑같고, 명령만 fwaccel6(Scalable Platform Expert mode에서는 g_fwaccel6)으로 바뀝니다.

명령줄에 접속합니다(Scalable Platform에서는 해당 Security Group).
Gaia Clish 또는 Expert mode에 로그인합니다(Scalable Platform에서는 Gaia gClish 또는 Expert mode).
상태를 확인합니다 — fwaccel6 stat(Scalable Platform Expert mode에서는 g_fwaccel6 stat).
SecureXL을 끕니다.

   fwaccel6 off [-a]

Scalable Platform Expert mode에서는:

   g_fwaccel6 off [-a]

fwaccel6 stat(Scalable Platform Expert mode에서는 g_fwaccel6 stat)로 다시 확인합니다.

다시 켜기 — IPv4와 IPv6

다시 켤 때도 같은 흐름입니다. 켜기 전후로 상태를 확인 하고, IPv4는 fwaccel on [-a], IPv6는 fwaccel6 on [-a] 를 씁니다.

IPv4를 다시 켜려면:

fwaccel on [-a]

Scalable Platform Security Group의 Expert mode에서는:

g_fwaccel on [-a]

IPv6를 다시 켜려면:

fwaccel6 on [-a]

Scalable Platform Security Group의 Expert mode에서는:

g_fwaccel6 on [-a]

그리고 마지막으로 fwaccel stat / fwaccel6 stat(Scalable Platform Expert mode에서는 g_fwaccel stat / g_fwaccel6 stat)로 상태를 확인해 마무리합니다.

fwaccel 계열 명령을 더 자세히 보려면 fwaccel stat, fwaccel off, fwaccel on을 참고하세요.

가속 트래픽 분석

SecureXL이 실제로 어떤 트래픽을 가속하고 있는지 캡처해서 분석 하려면 fw monitor 명령을 씁니다(fw monitor 참고). 이 명령으로 패킷이 게이트웨이의 처리 경로를 지나는 모습을 직접 들여다보며, 어떤 트래픽이 가속 경로(fast path)로 가고 어떤 트래픽이 그렇지 않은지 확인할 수 있습니다.