12MEP·Secondary ConnectMEP·Secondary Connect

왜 진입점을 여럿 두는가

VPN 게이트웨이는 내부망으로 들어가는 단 하나의 진입점 역할을 합니다. 원격 컴퓨터 입장에서는 이 게이트웨이가 내부망을 "사용 가능"하게 만들어 주는 셈인데, 뒤집어 말하면 그 VPN 게이트웨이 하나가 죽으면 내부망 전체가 더는 닿을 수 없 게 됩니다. 단일 장애점(single point of failure)이 생기는 것입니다.

이 문제를 풀려면 같은 내부망을 위해 VPN 게이트웨이를 여럿(Multiple Entry Points, MEP) 구성 하면 됩니다. 진입점이 둘 이상이면 한 곳이 멈춰도 남은 게이트웨이로 원격 사용자가 계속 들어올 수 있습니다.

Check Point의 MEP 솔루션

MEP 환경에서는 보통 VPN 게이트웨이 두 대를 설치 해 내부망(들)으로의 원격 접속을 제공합니다. 그리고 원격 접속 클라이언트가 어느 VPN 게이트웨이를 고를지 를 관리자가 구성합니다.

MEP 방식 (MEP Methods)

원격 접속 클라이언트가 MEP VPN 게이트웨이에 연결하는 방식은 세 가지입니다.

Visitor Mode와 MEP

MEP 환경에서 게이트웨이를 찾아내는 탐색(discovery) 메커니즘은 UDP 위에서 동작하는 Check Point 고유 통신 입니다. 그런데 Visitor Mode 로 동작하는 클라이언트는 모든 트래픽을 일반 TCP 연결 하나로 터널링 하기 때문에 특별한 문제가 생깁니다. UDP 기반 탐색이 그대로 통하지 않는 것입니다. MEP 환경에서 Visitor Mode는 다음과 같이 처리됩니다.

반환 패킷(Return Packet) 경로 잡기

내부망에서 돌아오는 패킷이 원래 들어왔던 게이트웨이로 정확히 되돌아가도록 라우팅을 잡아야 합니다. 방법은 두 가지입니다.

IP Pool NAT의 원리

IP Pool NAT는 원격 VPN 도메인의 원본(Source) IP 주소를 등록된 IP 주소 풀(pool)의 한 주소로 매핑 합니다. MEP Security Gateway와의 세션을 대칭(symmetric)으로 유지 하기 위해, MEP Security Gateway는 그 게이트웨이 전용으로 할당된 IP 주소 범위 로 NAT를 수행하고, 이 범위는 내부망 안에서 원래의 Security Gateway로 라우팅 되도록 설정해야 합니다. 그러면 반환 패킷이 그 Security Gateway에 도착했을 때, Security Gateway가 원래의 원본 IP 주소를 복원해 원본으로 패킷을 전달 합니다.

MEP 구성하기 — 선택 방식 고르기

MEP를 구성하려면 먼저 MEP 선택 방식을 하나 고릅니다.

MEP 방식 정의 — Implicit vs Manual

MEP 구성은 다음 둘 중 하나로 정의합니다.

MEP 토폴로지를 정의하는 절차는 다음과 같습니다.

   :automatic_mep_topology (
   :gateway (
   :map (
   :true (true)
   :false (false)
   :client_decide (client_decide)
   )
   :default (true)
   )
   )
   

First-to-Respond 구성

둘 이상의 Security Gateway가 같은(겹치는) VPN 도메인 으로 이어질 때, 원격 피어는 이들을 MEP로 간주합니다. First-to-Respond 구성에서는 원격 피어가 탐색 프로토콜에 가장 먼저 응답하는 Security Gateway 를 고릅니다. 이를 구성하려면 모든 Security Gateway가 공유하는 네트워크 부분을 하나의 그룹으로 묶고, 그 그룹을 VPN 도메인으로 지정합니다.

SmartConsole에서 Implicit First-to-Respond 구성:

Manual First-to-Respond 구성:

예시:

Primary-Backup 구성

SmartConsole에서 Implicit Primary-Backup 활성화:

백업 Security Gateway 설정:

Manual Primary-Backup 구성:

예시:

Load Distribution 구성

이 옵션을 켜면 부하 분산이 동적으로 이뤄지고, 원격 클라이언트가 Security Gateway를 무작위로 선택 합니다.

SmartConsole에서 Implicit Load Distribution 구성:

Manual Load Distribution 구성:

예시:

반환 패킷 구성 (Configuring Return Packets)

Office Mode를 쓰지 않는 클라이언트 를 위한 반환 패킷 구성은 다음 두 가지입니다.

NAT 구성 (Configuring NAT)

NAT는 Virtual System 창의 NAT 페이지 에서 구성합니다. 이렇게 구성한 Hide 또는 Static NAT 주소는 그 Virtual System이 연결된 Virtual Router로 자동 전달 됩니다. 또는 Virtual Router 창의 Topology 페이지에서 NAT 경로를 직접 추가할 수도 있습니다.

VSX Gateway의 Virtual System에 NAT 구성:

6단계의 Translation method 는 다음 중에서 고릅니다.

VSX Cluster의 Virtual System에 NAT 구성:

3단계의 컨텍스트 전환:

[Expert@HostName:0]# vsenv <VSID>

10단계에서 만드는 NAT 규칙은 다음과 같이 구성합니다.

IP Pool NAT 구성 (Configuring IP Pool NAT)

각 Security Gateway마다 그 게이트웨이의 IP Pool NAT 주소를 나타내는 네트워크 객체 를 만듭니다.

SmartConsole에서 원격 접속 VPN용 IP Pool NAT 구성:

MEP 끄기 (Disabling MEP)

Secondary Connect란

Secondary Connect 를 쓰면 최종 사용자가 여러 VPN 게이트웨이 뒤의 자원에 동시에 접근 할 수 있습니다. 사용자는 선택한 사이트에 한 번만 로그인 하고도 서로 다른 VPN 게이트웨이 뒤의 자원에 닿을 수 있습니다. VPN 게이트웨이들은 트래픽의 목적지에 따라 필요할 때마다 동적으로 터널을 생성 합니다.

Secondary Connect는 기본으로 켜져(enabled by default) 있 습니다.

트래픽은 site-to-site 통신 없이, 최종 사용자 컴퓨터에서 VPN 게이트웨이로 직접 흐릅니다. 최종 사용자 컴퓨터와 VPN 게이트웨이는 네트워크 토폴로지의 라우팅 파라미터와 목적지 서버 IP 주소를 바탕으로 VPN 터널을 자동 생성 합니다.

최종 사용자는 같은 Management Server 또는 Domain의 Remote Access Community에 속한 모든 VPN 게이트웨이 에 접근할 수 있습니다.

Secondary Connect 환경에서 클라이언트는 먼저 Primary Security Gateway에 연결한 다음, 보조(secondary) VPN을 통해 Secondary Security Gateway 에 연결합니다. Secondary Connect는 레거시 SecureClient 설정과도 호환 됩니다. Secondary Connect를 위한 Security Gateway 요구 사항은 sk65312 를 참고하세요.

Secondary Connect 구성하기

전제 조건 (Prerequisites)

Secondary Connect 끄기

   :enable_secondary_connect (
   :gateway (
   :map (
   :true (true)
   :false (false)
   :client_decide (client_decide)
   )
   :default (true)
   )
   )
   

Secondary Connect 켜기

   :enable_secondary_connect (
   :gateway (
   :map (
   :true (true)
   :false (false)
   :client_decide (client_decide)
   )
   :default (false)
   )
   )