06SecureXL — 명령과 디버그SecureXL — 명령과 디버그

이 가이드(와 Check Point 문서 전반)는 명령·파라미터·옵션을 가능하면 알파벳 순 으로 싣고, 구문을 다음 약속대로 표기합니다.

들여쓰기(TAB) 표기 예를 들어 다음과 같이 쓰여 있으면:

    config
        -a <options>
        -d <options>
        -p
        -r
    del <options>

실제로는 아래 중 하나의 명령 을 실행하라는 뜻입니다 — cpwd_admin config -a <options>, cpwd_admin config -d <options>, cpwd_admin config -p, cpwd_admin config -r, 또는 cpwd_admin del <options>.

cpview 는 Check Point 장비에 내장된 텍스트 기반 유틸리티로, CPU·메모리·디스크 같은 일반 시스템 정보와 각 Software Blade별 정보 를 한데 모아 계속 갱신 하며 보여 줍니다. Security Gateway / ClusterXL / Scalable Platform Security Group에서는 이 통계로 성능을 모니터할 수 있습니다(자세한 내용은 sk101878).

cpview --help

CPView 화면 구성

CPView 화면은 세 부분으로 나뉩니다.

CPView 사용법

화면을 옮겨 다니는 키:

화면 옵션을 바꾸는 키:

통계 저장·도움말·새로고침 키:

fwaccel 은 IPv4 트래픽 가속을, fwaccel6 은 IPv6 트래픽 가속을 제어하는 SecureXL의 중심 명령입니다.

구문

Security Gateway / ClusterXL(Gaia Clish·Expert 모드)에서 IPv4:

fwaccel help
fwaccel
      cfg <options>
      conns <options>
      dbg <options>
      dos <options>
            feature <options>
      off <options>
      on <options>
      ranges <options>
      stat <options>
      stats <options>
      synatk <options>
      tab <options>
      templates <options>
      ver

Scalable Platform Security Group의 Gaia gClish에서도 같은 fwaccel ... 구문을 쓰고, Expert 모드 에서는 g_fwaccel ... 을 씁니다. IPv6는 fwaccel6(또는 Expert 모드의 g_fwaccel6)을 같은 방식으로 쓰며, fwaccel6에는 cfg 하위 명령이 없습니다.

파라미터·옵션

fwaccel cfg 는 SecureXL 가속 파라미터를 제어합니다(IPv4 전용).

fwaccel cfg
      -h
      -a {<Number of Interface> | <Name of Interface> | reset}
      -b {on | off}
      -c <Number>
      -d <Number>
      -e <Number>
      -i {on | off}
      -l <Number>
      -m <Seconds>
      -p {on | off}
      -r <Number>
      -v <Seconds>
      -w {on | off}

fwaccel conns·fwaccel6 conns 는 로컬 Security Gateway 또는 Cluster Member의 SecureXL 연결 목록 을 보여 줍니다.

fwaccel conns
      -h
      -f <filter>
      -m <Number of Entries>
      -s
      -z

-z는 10/25/40/100G QSFP28 포트에서 LightSpeed 하드웨어 가속을 지원하는 Check Point 어플라이언스 에만 해당하며, 추가 정보는 CPView의 Advanced > SecureXL > LightSpeed2Host-Reasons에서 봅니다.

필터 플래그

기본 출력에는 Source·SPort·Destination·DPort·PR(프로토콜)·Flags·C2S i/f·S2C i/f·Inst(인스턴스)·Identity 열이 나오고, 마지막에 인터페이스 인덱스 표와 Total number of connections가 표시됩니다.

fwaccel dbg 는 SecureXL 디버그를 제어합니다(자세한 절차는 아래 SecureXL 디버그 절차 참고).

fwaccel dbg
      -h
      -m <Name of SecureXL Debug Module>
      all
      + <Debug Flags>
      - <Debug Flags>
      reset
      -f {"<5-Tuple Debug Filter>" | reset}
      list
      resetall

예를 들어 SSH 연결(192.168.20.30 → 172.16.40.50)에 필터를 거는 명령은 다음과 같습니다.

fwaccel dbg -f 192.168.20.30,*,172.16.40.50,22,6

부팅 중 디버그 플래그 켜기

R81.20부터 SecureXL 디버그를 부팅 중에 시작 하도록 설정할 수 있습니다(클러스터에서는 모든 멤버를 똑같이).

   default conn nat
   pkt drop nat
   

fwaccel dos·fwaccel6 dos 는 로컬 Security Gateway / Cluster Member의 DoS 완화용 Rate Limiting 을 제어합니다.

fwaccel dos
      allow <options>
      config <options>
      deny <options>
      pbox <options>
      rate <options>
      stats <options>

fwaccel dos allow — Penalty Box 허용 목록

fwaccel dos allow 는 SecureXL Penalty Box의 출발지 IP 허용 목록 을 설정합니다. 이 허용 목록은 Penalty Box가 어떤 패킷을 떨어뜨릴지를 덮어쓰며(차단 목록보다 우선), IPv4만 지원합니다.

fwaccel dos allow
      -a <IPv4 Address>[/<Subnet Prefix>]
      -d <IPv4 Address>[/<Subnet Prefix>]
      -F
      -l /<Path>/<Name of File>
      -L
      -s

fwaccel dos config — DoS 전역 설정

fwaccel dos config·fwaccel6 dos config 는 Rate Limiting의 전역 파라미터 를 제어하며, 설정한 모든 Rate Limiting 규칙에 적용됩니다.

fwaccel dos config
      get
      set
{--disable-blacklists | --enable-blacklists}
{--disable-drop-frags | --enable-drop-frags}
{--disable-drop-opts | --enable-drop-opts}
{--disable-internal | --enable-internal}
{--disable-log-drops | --enable-log-drops}
{--disable-log-pbox | --enable-log-pbox}
{--disable-monitor | --enable-monitor}
{--disable-pbox | --enable-pbox}
{--disable-rate-limit | --enable-rate-limit}
{--disable-rule-cache | --enable-rule-cache}
{-n <NOTIF_RATE> | --notif-rate <NOTIF_RATE>}
{-p <PBOX_RATE> | --pbox-rate <PBOX_RATE>}
{-t <PBOX_TMO> | --pbox-tmo <PBOX_TMO>}

설정을 재부팅 후에도 유지하기

fwaccel dos config set으로 정한 값은 재부팅하면 기본값으로 돌아갑니다. 유지하려면 설정 파일에 명령을 적습니다.

파일은 Expert 모드에서 만들고, VSX에서는 미리 vsenv <VSID>로 컨텍스트를 이동합니다. 파일은 #!/bin/bash로 시작하고 빈 새 줄로 끝나야 하며, 만든 뒤 chmod +x로 실행 권한을 줍니다. 예:

fwaccel dos config set --enable-internal
fwaccel dos config set --enable-pbox

fwaccel dos deny — IP 차단 목록

fwaccel dos deny·fwaccel6 dos deny 는 SecureXL의 IP 차단 목록 을 제어합니다. 지정한 IP에 오가는 모든 트래픽 을 막으며, Access Control 정책으로 막는 것보다 SecureXL에서 떨어뜨려 더 효율적 입니다. 차단 목록을 적용하려면 먼저 fwaccel dos config로 deny-list를 켜야 합니다.

fwaccel dos deny
      -a <IPv4 Address>
      -d <IPv4 Address>
      -F
      -M {on | off}
      -m
      -N "<Name of IP Deny-list>"
      -n
      -s

fwaccel dos pbox — Penalty Box 허용 목록

fwaccel dos pbox 는 SecureXL Penalty Box 의 허용 목록을 제어합니다(IPv4 전용). SecureXL Penalty Box는 의심스러운 출발지의 패킷을 일찍 떨어뜨리는 장치로, DoS/DDoS 공격 같은 고부하에서 Security Gateway가 잘 버티도록 돕습니다. Access Control 정책이 떨어뜨리는 패킷을 보내거나 IPS 보호를 위반하는 클라이언트 를 자주 탐지하면 그 클라이언트를 Penalty Box에 넣고, 그 출발지 IP의 모든 패킷을 떨어뜨립니다. 허용 목록은 Penalty Box가 절대 막지 않을 출발지 IP 를 정합니다.

fwaccel dos pbox
      allow
            -a <IPv4 Address>[/<Subnet Prefix>]
            -d <IPv4 Address>[/<Subnet Prefix>]
            -F
            -l /<Path>/<Name of File>
            -L
            -s
      flush

allow 하위 옵션(-a, -d, -F, -l, -L, -s)은 fwaccel dos allow와 동작·규칙이 같습니다(-L이 읽는 파일은 $FWDIR/conf/pbox-allow-list-v4.conf). 추가로 flush 는 Penalty Box의 모든 출발지 IP를 비웁니다.

fwaccel dos rate — Rate Limiting 정책 보기·설치

fwaccel dos rate·fwaccel6 dos rate 는 Rate Limiting 정책을 보고 설치합니다.

fwaccel dos rate
      get '<Rule UID>'
      install

규칙이 둘 이상인 새 정책을 설치하면 Rate Limiting 기능이 자동으로 켜집니다. 수동으로 끄려면 fwaccel dos config set --disable-rate-limit을, 현재 정책을 삭제하려면 규칙이 0개인 새 정책 을 설치합니다.

fwaccel dos stats — DoS 실시간 통계

fwaccel dos stats·fwaccel6 dos stats 는 SecureXL DoS 실시간 통계를 보고 지웁니다.

fwaccel dos stats
      clear
      get

get 출력에는 메모리 사용량, 활성 연결·신규 연결/초, 테이블 항목 수(Penalty Box 위반 IP, Rate Limit 추적), 드롭 사유(IP Fragment·IP Option·Penalty Box·Deny List·Rate Limit) 등이 나옵니다.

fwaccel feature·fwaccel6 feature 는 지정한 SecureXL 기능을 켜고 끕니다. 기능을 끄면 해당 트래픽을 더 이상 가속하지 않으며, 변경은 재부팅하면 사라집니다. VSX에서는 전역으로 모든 Virtual System 에 적용됩니다.

fwaccel feature <Name of Feature>
      get
      off
      on

sctp 기능을 영구적으로 끄려면 $FWDIR/boot/modules/fwkern.conf에 sim_sctp_disable_by_default=1을 추가하고 재부팅합니다(커널 파라미터 작업).

fwaccel ip_mr_cache 는 SecureXL이 User Mode 로 동작할 때 IPv4 멀티캐스트 라우팅 캐시 를 보여 줍니다.

fwaccel [-i <SecureXL ID>] ip_mr_cache

-i <SecureXL ID>로 SecureXL 인스턴스 ID를 지정합니다(IPv4 전용). 출력에는 Group·Origin·Iif·Wrong·Last Used·Flags·Refcount·Oifs 열이 나옵니다.

fwaccel off·fwaccel6 off 는 SecureXL을 즉석에서 멈춥니다. R80.20부터 일시적으로만 멈출 수 있어, cpstart로 Check Point 서비스를 시작하거나 재부팅하면 자동으로 다시 켜집니다.

fwaccel off [-a] [-q]

VSX에서 특정 Virtual System 만 멈추려면 그 컨텍스트로 들어갑니다(Gaia Clish set virtual-system <VSID>, Expert 모드 vsenv <VSID>). 클러스터에서는 모든 멤버를 똑같이 설정합니다.

가능한 반환 출력: SecureXL device disabled, SecureXL device is not active, Failed to disable SecureXL device, fwaccel_off: failed to set process context <VSID>.

fwaccel on·fwaccel6 on 은 fwaccel off로 멈춰 둔 가속을 즉석에서 다시 시작합니다.

fwaccel on [-a] [-q]

VSX에서 특정 Virtual System만 시작하려면 그 컨텍스트로 들어갑니다. 가능한 반환 출력에는 SecureXL device is enabled., Failed to start SecureXL., No license for SecureXL., SecureXL is disabled by the firewall. Please try again later., 버전 불일치·QoS express 모드·citrix printing 규칙·UAS 규칙·QoS blade 실행 중 같은 시작 불가 사유 들이 있습니다. 예를 들어 QoS가 express 모드면 "FloodGate-1 express 모드 또는 SecureXL을 끄라"는 메시지가 나옵니다.

fwaccel ranges·fwaccel6 ranges 는 SecureXL에 로드된 범위를 보여 줍니다 — Rule Base 출발지 IP 범위, 목적지 IP 범위, 목적지 포트·프로토콜 범위. Security Gateway가 정책 설치 때 이 범위를 만들며, Drop Templates용 Rulebase 범위, 인터페이스별 Anti-Spoofing 범위, NAT64·NAT46 범위 중 하나라도 켜지면 Firewall이 범위를 만들어 SecureXL로 오프로드합니다.

이 범위는 Drop Templates에 연결을 매칭 하는 것과 관련되며 Rule Base의 Source·Destination·Service 열을 나타냅니다. 단, Domain·Dynamic 객체처럼 실제 IP로 나타낼 수 없는 객체는 Any로 변환 되므로 Rule Base와 완전히 같지는 않습니다. 일부를 제외한 implied 규칙도 범위에 나타납니다. 문제 해결에 쓸 수 있습니다.

fwaccel ranges
      -h
      -a
      -l
      -p <Range ID>
      -s <Range ID>

fwaccel stat·fwaccel6 stat 는 Security Gateway / Cluster Member의 SecureXL 상태를 보여 줍니다.

fwaccel stat

출력 열:

여기에 더해 Accept Templates, Drop Templates, NAT Templates, LightSpeed Acceleration 각 기능의 enabled/disabled 상태를 보여 줍니다. KPPAK은 Kernel Mode, Crypto 항목에는 Tunnel·UDPEncap·MD5·SHA1·3DES·DES·AES-128/256·ESP·LinkSelection·DynamicVPN·NatTraversal·AES-XCBC·SHA256/384/512 등이 표시됩니다.

fwaccel stats·fwaccel6 stats 는 로컬 Security Gateway / Cluster Member의 가속 통계를 보여 줍니다.

fwaccel stats
[-c] [-d] [-l] [-m] [-n] [-o] [-p] [-q] [-r] [-s] [-x]

통계 카운터 설명

"Accelerated Path" 섹션

"Accelerated VPN Path" 섹션

"Medium Streaming Path" 섹션

"Inline Streaming Path" 섹션

"QoS General Information" 섹션

"FireWall QoS Path"·"Accelerated QoS Path" 섹션

두 섹션 모두 같은 카운터 형식을 씁니다(앞쪽은 Firewall QoS 큐, 뒤쪽은 SecureXL QoS 큐).

"Firewall Path" 섹션

"GTP" 섹션

"General" 섹션

`fwaccel stats` 출력 예

fwaccel stats -s(요약)는 다음처럼 가속 연결/전체, 가속 패킷/전체, F2Fed/F2V/CPASXL/PSLXL/QoS/Corrected 패킷 비율 을 보여 줍니다.

Accelerated conns/Total conns : 0/0 (0%)
Accelerated pkts/Total pkts   : 0/8 (0%)
F2Fed pkts/Total pkts         : 8/8 (100%)
F2V pkts/Total pkts           : 0/8 (0%)
CPASXL pkts/Total pkts        : 0/8 (0%)
PSLXL pkts/Total pkts         : 0/8 (0%)
QOS inbound pkts/Total pkts   : 0/8 (0%)
QOS outbound pkts/Total pkts  : 0/8 (0%)
Corrected pkts/Total pkts     : 0/8 (0%)

-d(장치 드롭)는 general reason, CPASXL/PSLXL decision, clr pkt on vpn, encrypt/decrypt failed, drop template, interface down, cluster error, XMT error, anti spoofing, local spoofing, sanity error, monitored spoofed, QOS decision, C2S/S2C violation, Loop prevention, DOS Fragments/IP Options/Blacklists/Penalty Box/Rate Limiting, Syn Attack, Reorder, Expired Fragments 사유별 패킷 수를 보여 줍니다. 출력 끝의 (*) Statistics marked with C refer to current value, others refer to total value 표시처럼 C가 붙은 값은 현재값, 나머지는 누적값입니다.

-m(멀티캐스트)·-n(NAC)·-o(Reorder, 애플리케이션별 큐 통계)·-c(Cluster Correction)는 각 영역에 맞는 카운터를 보여 줍니다.

fwaccel synatk·fwaccel6 synatk 는 로컬 Security Gateway / Cluster Member의 Accelerated SYN Defender 를 제어합니다(SmartConsole의 'SYN Attack' 보호는 sk120476 참고).

fwaccel synatk
      -a
      -c <options>
      -d
      -e
      -g
      -m
      -t <options>
      config
      monitor <options>
      state <options>
      whitelist <options>

fwaccel synatk -a / -c — 설정 파일 적용

-a 는 기본 파일 $FWDIR/conf/synatk.conf의 설정을, -c <Configuration File> 은 지정한 파일의 설정을 적용합니다. IPv4·IPv6가 같은 설정 파일 을 쓰며, 파일에 정의한 인터페이스별 state 설정이 -d·-e·-g·-m보다 우선 합니다. -c를 쓸 때는 반드시 구문의 첫 파라미터 여야 합니다.

fwaccel synatk -c <Configuration File>

fwaccel synatk -d / -e / -g / -m — 활성화 상태 설정

이 명령들은 기본(또는 -c로 지정한) 설정 파일을 수정한 뒤 로드 합니다. 적용 결과는 fwaccel synatk monitor·config 출력으로 확인합니다.

-d는 출력이 없습니다. Ready 상태는 SYN Defender가 탐지하는 내용에 따라 나중에 바뀔 수 있습니다.

fwaccel synatk -t — 임계값 설정

-t <Threshold> 는 SYN Defender를 발동시키는 half-open TCP 연결 임계값 을 설정합니다(설정 파일 수정 후 로드, IPv4·IPv6 독립적).

fwaccel synatk -t <Threshold>

지정한 <Threshold>로 세 임계값이 함께 정해집니다.

fwaccel synatk allow — SYN Defender 허용 목록

fwaccel synatk allow·fwaccel6 synatk allow 는 SYN Defender 허용 목록 을 제어하며, SYN Defender가 어떤 패킷을 떨어뜨릴지를 덮어씁니다. 3rd-party·자동 블랙리스트 전에 신뢰 네트워크·호스트를 먼저 넣으세요. 클러스터에서는 모든 멤버를 똑같이 설정합니다.

fwaccel synatk allow
      -a <IPv4 Address>[/<Subnet Prefix>]
      -d <IPv4 Address>[/<Subnet Prefix>]
      -F
      -l /<Path>/<Name of File>
      -L
      -s

파일 규칙(직접 생성, chmod +x, 한 줄에 하나, #·빈 줄 무시)은 다른 allow 명령과 같습니다.

fwaccel synatk config — 현재 설정 보기

fwaccel synatk config 는 현재 설정을 보여 줍니다.

fwaccel synatk config

fwaccel synatk monitor — 상태 보기

fwaccel synatk monitor 는 SYN Defender 상태를 보여 줍니다(Monitor 모드는 fwaccel synatk -m으로 켜야 함).

fwaccel synatk monitor
[-p]
[-p] -a
[-p] -s
[-p] -v

기본 출력에는 Configuration·Status·Non established connections·Global Threshold·Interface Threshold와, 인터페이스별 Topology·Enforce·State(sec)·Non-established conns(Peak·Current) 표가 나옵니다.

fwaccel synatk state — 상태 강제 전이

fwaccel synatk state 는 SYN Defender 상태를 제어합니다(IPv4·IPv6 독립).

fwaccel synatk state
      -h
      -a
      -d
      -g
      -i {all | external | internal | <Name of Interface>}
      -m
      -r

fwaccel tab·fwaccel6 tab 는 지정한 SecureXL 커널 테이블 내용을 보여 줍니다.

fwaccel tab [-f] [-m <Number of Rows>] -t <Name of Kernel Table>
fwaccel tab -s -t <Name of Kernel Table>

지원하는 커널 테이블(-t): connections, dos_ip_blacklists, dos_pbox, dos_pbox_violating_ips, dos_rate_matches, dos_rate_track_src, dos_rate_track_src_svc, drop_templates, frag_table, gtp_apns, gtp_tunnels, if_by_name, inbound_SAs, invalid_replay_counter, ipsec_mtu_icmp, mcast_drop_conns, outbound_SAs, PMTU_table, <Profile>, reset_table, vpn_link_selection, vpn_trusted_ifs.

fwaccel templates·fwaccel6 templates 는 Accept Templates, SecureXL Drop Templates, Firewall Drop Templates 테이블 내용을 보여 줍니다.

fwaccel [-i <SecureXL ID>] templates
[-h] [-c] [-d [{-R | -S}] [-m <Number of Rows>] [-r] [-R] [-s] [-S]

Accept Templates 플래그

출력에 다음 중 하나 이상이 나타납니다.

Drop Templates / Firewall Drop Templates 플래그

Firewall Drop Templates 플래그: M(Domain 객체 규칙), O(Dynamic 객체 규칙), U(Updatable 객체 규칙). 기본 출력에는 Source·SPort·Destination·DPort·PR·Flags·LCT·DLY·C2S i/f·S2C i/f 열이 나오고, -S 통계에는 C templates·conns from templates·nat templates·C CPASXL/PSLXL templates 등이 나옵니다.

fwaccel ver 는 Firewall 버전·빌드, Accelerator 버전, Firewall API 버전, Accelerator API 버전 을 보여 줍니다.

fwaccel ver

Firewall version: R82 - Build 123
Acceleration Device: Performance Pack
Accelerator Version 2.1
Firewall API version: 3.0NG (19/11/2015)
Accelerator API version: 3.0NG (19/11/2015)

fw monitor 는 Check Point의 트래픽 캡처 도구 입니다. Security Gateway에서 트래픽은 인바운드와 아웃바운드 방향으로 여러 검사 지점(Chain Module)을 지나는데(fw ctl chain 참고), FW Monitor는 각 Chain Module의 양방향 에서 트래픽을 캡처합니다. 캡처한 트래픽은 같은 FW Monitor나 Wireshark 같은 도구로 분석합니다.

fw monitor {-h | -help}
fw monitor [-d] [-D] [-ci <Number of Inbound Packets>] [-co <Number of Outbound Packets>]
  [-e <INSPECT Expression> | -f {<INSPECT Filter File> | -}]
  [-F "<Source IP>,<Source Port>,<Dest IP>,<Dest Port>,<Protocol Number>"]
  [-H "<IP Address>"] [-i] [-l <Length>] [-m {i,I,o,O,e,E}] [-o <Output File> [-w]]
  [[-pi <Position>] [-pI <Position>] [-po <Position>] [-pO <Position>] | -p all [-a]]
  [-T] [-u | -s] [-U] [-v <VSID>] [-x <Offset>[,<Length>] [-w]] [-b <Size of Buffer>]

IPv6는 같은 구문의 fw6 monitor 를 씁니다.

파라미터

캡처 마스크(검사 지점)

여러 마스크를 함께 쓸 수 있고(... -m o O ...), 위치 파라미터 -p{i|I|o|O}와도 함께 씁니다. 인바운드에서 FireWall Virtual Machine 모듈(fw VM inbound) 앞은 Pre-Inbound, 뒤는 Post-Inbound 이며, 아웃바운드도 같은 식입니다. 기본적으로는 FireWall VM 모듈에서만 캡처합니다. 방향은 연결이 아니라 각 패킷 을 기준으로 하며, 검사 지점 뒤의 q·Q는 그 인터페이스에 QoS 정책이 적용됨을 뜻합니다.

FW Monitor 출력의 검사 지점 표기

`-e`(INSPECT) 필터 예

가장 흔한 패턴들입니다.

# 전부 캡처
fw monitor -e "accept;" -o /var/log/fw_mon.cap

# 호스트 X·Y 사이
fw monitor -e "host(x.x.x.x) and host(y.y.y.y), accept;" -o /var/log/fw_mon.cap
fw monitor -e "((src=x.x.x.x , dst=y.y.y.y) or (src=y.y.y.y , dst=x.x.x.x)), accept;"

# 포트 X로/에서 (단, SSH 제외)
fw monitor -e "not tcpport(22), accept;" -o /var/log/fw_mon.cap

# 프로토콜 X
fw monitor -e "ip_p=X, accept;" -o /var/log/fw_mon.cap

# 네트워크로/에서
fw monitor -e "net(192.168.33.0, 24), accept;"
fw monitor -e "to_net(192.168.33.0, 24), accept;"
fw monitor -e "from_net(192.168.33.0, 24), accept;"

호스트는 host(<IP>)(출·목적지 둘 다) 또는 src=·dst=로, 포트는 port(<Port>)·sport=·dport=·tcpport(<Port>)·udpport(<Port>)로 지정합니다(포트는 10진수, /etc/services 참고). 프로토콜은 ip_p=<번호> 또는 accept [9:1]=<번호>로 지정합니다(10진수, /etc/protocols 참고).

자주 쓰는 프로토콜 단축 식: tcp/udp/icmp(또는 icmp4)/icmp6, http(TCP 80), https(443), proxy(8080), dns(UDP 53), ike(UDP 500), natt(UDP 4500), vpn(ESP+IKE), vpnall(VPN 관련 전체), multi(443·444), ssh(22), ftp(20·21), telnet(23), smtp(25), pop3(110).

프로토콜 옵션 식($FWDIR/lib/tcpip.def 참고)으로 IPv4(ip_src/ip_dst/ip_ttl/ip_len/ip_tos/ip_p), IPv6(ip_src6p/ip_dst6p/ip_len6/ip_ttl6/ip_p6), TCP(syn/ack/rst/fin/first/not_first/established/last/tcpdone/th_flags/th_sport/th_dport/th_seq/th_ack), UDP(uh_sport/uh_dport), ICMPv4(icmp_type/icmp_code/icmp_id/icmp_seq/echo_req/echo_reply/ping/traceroute/tracert/icmp_ip_len), ICMPv6(icmp6_type/icmp6_code)를 매칭할 수 있습니다. 예를 들어 th_flags = 0x2는 SYN, 0x12는 SYN+ACK, 0x18은 PSH+ACK입니다.

바이트 단위 캡처

fw monitor -e "accept [ <Offset> : <Length> , <Byte Order> ] <Relational-Operator> <Value>;"

IP 기반 프로토콜은 offset 9의 byte, L3 IP 주소는 offset 12(출발지)·16(목적지)의 dword, L4 포트는 offset 20(출발지)·22(목적지)의 word 에 있습니다. 예: fw monitor -e "accept [9:1]=6;"(TCP), fw monitor -e "accept [12:4,b]=x.x.x.x;"(출발지 IP).

`-F`(simple) 필터 예

fw monitor -F "0,0,0,0,0" -o /var/log/fw_mon.cap                 # 전부
fw monitor -F "x.x.x.x,0,y.y.y.y,0,0" -o /var/log/fw_mon.cap     # 출발 X → 목적 Y
fw monitor -F "0,x,0,y,0" -o /var/log/fw_mon.cap                  # 출발 포트 X → 목적 포트 Y
fw monitor -F "0,0,0,0,x" -o /var/log/fw_mon.cap                  # 프로토콜 X
# HTTP만(클라 1.1.1.1 ↔ 서버 2.2.2.2)
fw monitor -F "1.1.1.1,0,2.2.2.2,80,6" -F "2.2.2.2,80,1.1.1.1,0,6" -o /var/log/fw_mon.cap

fw sam_policy 는 Suspicious Activity Policy 편집기 로 두 종류의 규칙을 다룹니다 — Suspicious Activity Monitoring(SAM) 규칙(sk112061) 과 Rate Limiting 규칙(sk112454).

fw [-d] sam_policy
      add <options>
      batch
      del <options>
      get <options>

fw sam_policy add — 규칙 추가

fw sam_policy add 는 SAM 규칙 또는 Rate Limiting 규칙을 한 번에 하나 추가합니다. SAM 규칙은 ip <IP Filter Arguments>, Rate Limiting 규칙은 quota <Quota Filter Arguments> 를 씁니다.

fw [-d] sam_policy add [-u] -a {d|n|b} [-l {r|a}] [-t <Timeout>]
  [-f <Target>] [-n <"Rule Name">] [-c <"Rule Comment">]
  [-o <"Rule Originator">] [-z "<Zone>"] ip <IP Filter Arguments>
fw [-d] sam_policy add ... quota <Quota Filter Arguments>

SAM 규칙의 IP Filter Arguments

[-C] [-s <Source IP>] [-m <Source Mask>] [-d <Destination IP>]
[-M <Destination Mask>] [-p <Port>] [-r <Protocol>]

Rate Limiting 규칙의 Quota Filter Arguments

[flush true]
[source-negated {true | false}] source <Source>
[destination-negated {true | false}] destination <Destination>
[service-negated {true | false}] service <Protocol and Port numbers>
[<Limit Name> <Limit Value>] ...
[track <Track>]

source·destination 값: any, range:<IP>(또는 range:<시작>-<끝>), cidr:<IP>/<Prefix>(IPv4 0~32, IPv6 0~128), cc:<Country Code>(ISO 3166-1 alpha-2, Geo IP), asn:<AS번호>(ASnnnn). *-negated true면 지정 유형을 제외한 모든 것을 처리합니다(기본 false).

service 값: <Protocol>(1~255), <Protocol Start>-<Protocol End>, <Protocol>/<Port>, <Protocol>/<Port Start>-<Port End>.

quota limit 종류(공백으로 여러 개 구분):

예제:

# 출발지 범위에서 초당 신규 연결 5개로 제한, 1시간 후 만료, 즉시 적용
fw sam_policy add -a d -l r -t 3600 quota service any source range:172.16.7.11-172.16.7.13 new-conn-rate 5 flush true

# 지정 서비스를 제외한 모든 패킷 차단(byte-rate 0), 특정 국가 출발지
fw sam_policy add -a n -l r quota service 1,50-51,6/443,17/53 service-negated true source cc:QQ byte-rate 0

# ASN+IPv6 CIDR 출발지 전부 드롭
fw sam_policy -a d quota source asn:AS64500,cidr:[::FFFF:C0A8:1100]/120 service any pkt-rate 0

# 허용 목록(bypass) — 범위에서 TCP 80
fw sam_policy add -a b quota source range:172.16.8.17-172.16.9.121 service 6/80

# 추적과 함께
fw sam_policy add -a d quota service any source-negated true source cc:QQ concurrent-conns-ratio 655 track source

fw sam_policy batch — 여러 규칙 한꺼번에

fw sam_policy batch 는 여러 규칙을 한꺼번에 추가·삭제합니다.

fw samp batch <<EOF
add -a d -l r -t 3600 -c "Limit\ conn\ rate\ to\ 5\ conn/sec from\ these\ sources" quota service any source range:172.16.7.13-172.16.7.13 new-conn-rate 5
del <501f6ef0,00000000,cb38a8c0,0a0afffe>
add -a b quota source range:172.16.8.17-172.16.9.121 service 6/80
EOF

fw sam_policy del — 규칙 삭제

fw sam_policy del 은 설정한 규칙을 한 번에 하나 삭제합니다.

fw [-d] sam_policy del '<Rule UID>'

'<Rule UID>'는 삭제할 규칙의 UID이며 따옴표와 꺾쇠 '<...>' 는 필수 입니다. UID는 fw sam_policy get으로 확인합니다.

삭제 절차: ① fw sam_policy get으로 규칙을 나열해 UID를 확인하고(형식 예 uid=<5ac3965f,00000000,3403a8c0,0000264a>), ② fw samp del '<Rule UID>'로 삭제하고, ③ 곧바로 flush-only 규칙 을 추가합니다 — fw samp add -t 2 quota flush true.

fw sam_policy get — 규칙 보기

fw sam_policy get 은 설정한 모든 규칙을 보여 줍니다.

fw [-d] sam_policy get [-l] [-u '<Rule UID>'] [-k '<Key>' -t <Type> [+{-v '<Value>'}] [-n]]

예를 들어 fw samp get -k 'service' -t in -v '6/80'은 service가 6/80인 규칙만, fw samp get -k source -t in -v 'cc:QQ' -n은 source가 cc:QQ가 아닌 규칙만 출력합니다.

SecureXL은 Linux /proc 항목을 지원합니다. /proc/ppk/(IPv4)·/proc/ppk6/(IPv6)의 읽기 전용 항목 에 SecureXL에 관한 여러 데이터가 들어 있습니다.

ls -lR /proc/ppk/
cat /proc/ppk/<Name of File>
cat /proc/ppk/<SecureXL Instance ID>/<Name of File>

/proc/ppk/ifs 의 "F"·"SIM F" 플래그

ifs 출력에는 No·Interface·Address·IRQ·F·SIM F·Dev·Output Func·Features 열이 나옵니다. F는 Firewall이, SIM F는 SecureXL이 그 인터페이스에 설정한 내부 구성 플래그입니다(값은 여러 플래그의 합).

F 열 플래그(일부):

SIM F 열 플래그(일부): 0x0001(HitCount 알림), 0x0002(VSX Virtual System을 junction으로), 0x0004(인바운드 암호화 reply 카운터 비활성), 0x0008(MSS Clamping, sk101219), 0x0010/0x0020(NMR/NMT 템플릿 비활성, sk117755), 0x0040(Drop Templates 알림 안 보냄), 0x0080(IPsec VPN MultiCore, sk118097), 0x0100(CoreXL Dynamic Dispatcher, sk105261), 0x0800(멀티캐스트 PMTU 미적용), 0x1000(SIM drop_templates 비활성), 0x2000(Link Selection Load Sharing), 0x4000(비동기 알림 비활성), 0x8000(Firewall 연결 테이블 무제한). 예를 들어 0x039는 0x001+0x008+0x010+0x020의 합입니다.

SecureXL이 트래픽을 어떻게 처리하는지 이해하려면, 트래픽이 Security Gateway / ClusterXL / Scalable Platform Security Group을 지나는 동안 SecureXL 디버그를 켜서 확인합니다.

fwaccel dbg(디버그)

fwaccel dbg 명령의 구문·파라미터·부팅 중 활성화 절차는 앞의 fwaccel dbg 절과 같습니다(-m, all, +/-, reset, -f, list, resetall). fwaccel dbg(파라미터 없이)를 실행하면 사용법과 함께 사용 가능한 모든 모듈과 플래그 목록 이 나오며, 부팅 활성화 예시도 보여 줍니다(예: echo "pkt tcp_state routing" >> $FWDIR/conf/fwaccel_dbg_flags.cfg). fwaccel dbg list는 모듈별 활성 플래그(16진수 값 표시)와 디버그 필터 상태를 보여 줍니다.

SecureXL 디버그 절차

기본적으로 SecureXL은 디버그 출력을 /var/log/messages에 씁니다. 깔끔한 분석을 위해 아래 절차를 따릅니다(자세한 내용은 R82 Quantum Security Gateway Guide의 Kernel Debug 장).

SecureXL 디버그 모듈과 플래그

사용 가능한 모듈·플래그는 fwaccel dbg로 봅니다.

Module `default`

Module `pkt`(Packet)

Module `db`(Database)

Module `api`

Module `adp`(NVIDIA ConnectX 100G Cards)

ac_print(추가 정보), bond(Bond 인터페이스), bpl·bplinf·mbeinf·mbs(백플레인 패킷 처리), cpfifo(미사용), drop(백플레인 드롭), eth(카드 관점 포트), filter·packet(NIC·카드 패킷 처리), heth(Host 관점 포트), hw_expn·rte_api(카드 패킷 처리 정보), hw_offload(Host→SecureXL 오프로드), if·inf·ipsctl(인터페이스·슬롯·포트 정보), mcast(멀티캐스트), nh(next hop 라우팅), qcomm·qconf(통신 큐), rt(일반 라우팅), wrp(VSX WRP), xmode(known neighbors DB 이벤트).

그 밖의 모듈