03DHCP Relay와 IP Broadcast HelperDHCP Relay와 IP Broadcast Helper

이 장은 그 중계를 담당하는 세 가지 기능을 빠짐없이 풀어 둡니다. DHCP Relay(IPv4 BOOTP/DHCP Relay), IPv6 DHCP Relay, 그리고 더 일반적인 UDP 브로드캐스트를 다루는 IP Broadcast Helper 입니다. Gaia Portal과 Gaia Clish 양쪽의 설정 방법, 파라미터, 그리고 중계 트래픽을 통과시키기 위한 관리 서버·SmartConsole의 보안 정책까지 모두 다룹니다.

BOOTP/DHCP Relay 는 BOOTP(Bootstrap Protocol)와 DHCP(Dynamic Host Configuration Protocol) 동작을 라우팅된 네트워크의 여러 홉(hop)에 걸쳐 확장 하는 기능입니다. 표준 BOOTP에서는 한 LAN의 모든 인터페이스가 그 LAN 안의 단일 구성 서버 에서만 설정을 받습니다. BOOTP Relay는 구성 요청을 LAN 밖의 구성 서버로 전달(forward)해, 그 서버에서 응답을 받게 합니다.

이 방식이 표준 BOOTP/DHCP보다 나은 점은 세 가지입니다.

정리하면, DHCP 서버를 서브넷마다 둘 필요 없이 중앙 서버 몇 대로 전체를 감당 할 수 있다는 것이 핵심입니다.

Gaia의 BOOTP Relay 구현은 RFC 951, RFC 1542, RFC 2131 을 준수 합니다. 또한 Bootp htype=1(802.3, FDDI)을 지정하는 클라이언트 에 대해 canonical MAC 바이트 순서를 쓰는 Ethernet과 IEEE 802 LAN을 지원합니다.

동작 방식

BOOTP Relay용으로 설정된 인터페이스가 부트 요청(boot request)을 받으면, 자기 서버 목록에 있는 모든 서버로 그 요청을 전달 합니다. 다만 곧바로 전달하지는 않습니다.

먼저 로컬 서버가 응답할 수 있도록 지정된 시간(wait time)만큼 기다린 뒤에 전달합니다. 그리고 요청을 전달할 때 출발지 주소를 "도장 찍듯이(stamp)" 표시 하는데, 그 규칙은 이렇습니다.

Security Gateway에서 IPv4 DHCP Relay 설정하기

Security Gateway에서 DHCP Relay는 Gaia Portal 또는 Gaia Clish 어느 쪽으로든 설정할 수 있습니다. 인터페이스에 DHCP Relay를 켜면, 그 인터페이스가 BOOTP/DHCP 요청을 전달할 여러 대의 DHCP 서버 를 지정할 수 있습니다.

Gaia Portal에서 IPv4 DHCP Relay 켜기

인터페이스에 IPv4 BOOTP/DHCP Relay를 켜는 절차입니다.

   https://<IP address of Gaia Management Interface>
   

Gaia Portal의 기본 포트(443)를 바꿨다면 포트도 함께 입력합니다(https://<IP address>:<Port>). 2. 왼쪽 탐색 트리에서 Advanced Routing > DHCP Relay 를 클릭합니다. 3. Add 를 클릭합니다. 4. Enable 을 선택합니다. 5. Interface 필드에서 BOOTP/DHCP Relay를 켤 인터페이스를 고릅니다. 6. (선택) 다음 파라미터 중 하나 이상의 값을 입력합니다 — Primary Address, Wait Time, Maximum Hops.

각 파라미터의 뜻은 다음과 같습니다.

각 릴레이마다 Add 를 클릭하고, IPv4 address 필드에 릴레이 IPv4 주소를 입력한 뒤 OK 를 클릭합니다.

설정을 다시 끄거나 지울 때는 모두 Advanced Routing > DHCP Relay 에서 시작합니다.

Gaia Clish에서 IPv4 DHCP Relay 설정하기

쓸 수 있는 명령을 직접 둘러보려면 Gaia Clish에서 다음을 입력합니다. set 명령은 set bootp interface 뒤에 [Esc][Esc], show 명령은 show bootp interface 뒤에 [Esc][Esc] 를 누르면 가능한 형태가 펼쳐집니다.

전체 구문은 다음과 같습니다.

set bootp interface <Name of Interface>
      agent-info
            circuit-id {<Circuit-ID> | default | off}
            remote-id {<Remote-ID> | default | off}
            off
      maxhopcount {<1-16> | default}
      {off | on}
      primary {<IPv4 Address of Interface> | default}
      wait-time {<1-65535> | default}
      relay-to <Destination IPv4 Address> {off | on}

각 파라미터는 다음과 같습니다.

인터페이스에 IPv4 BOOTP/DHCP Relay를 켜는 전체 절차입니다.

   set bootp interface <Name of Interface> on
   

   set bootp interface <Name of Interface> relay-to <Destination IPv4 Address> on
   

   set bootp interface <Name of Interface> maxhopcount {<1-16> | default}
   set bootp interface <Name of Interface> primary {<IPv4 Address of Interface> | default}
   set bootp interface <Name of Interface> wait-time {<1-65535> | default} on
   

   set bootp interface <Name of Interface> agent-info circuit-id {<Circuit-ID> | default | off}
   set bootp interface <Name of Interface> agent-info remote-id {<Remote-ID> | default | off}
   

설정을 끄는 명령도 같은 요령입니다.

  set bootp interface <Name of Interface> relay-to <Destination IPv4 Address> off
  

  set bootp interface <Name of Interface> agent-info off
  

  set bootp interface <Name of Interface> off
  

각 작업 뒤에는 반드시 save config 로 저장합니다.

관리 서버에서 IPv4 DHCP Relay 보안 정책 설정하기

중계 자체를 켰다고 끝이 아닙니다. DHCP 중계 트래픽이 Security Gateway를 통과하도록 명시적인 보안 정책 을 만들어 줘야 합니다. 이 작업은 두 단계로 나뉩니다 — 관리 서버의 table.def 손질과, SmartConsole의 규칙 작성입니다.

관리 서버에서 IPv4 DHCP 서비스 손질하기

다음은 Security Management Server나 Multi-Domain Server에서 DHCP 서비스를 설정하는 절차입니다.

   mdsenv <Name or IP Address of Domain Management Server>
   

   egrep "no_hide_services_ports|no_fold_services_ports" /<Path>/<To>/<Applicable>/table.def
   

   vi /<Path>/<To>/<Applicable>/table.def
   

변경 전:

   no_hide_services_ports = { <4500,17>, <500,17>, <259,17>, <1701,17>, ..., <68,17>, <67,17> }
   no_fold_services_ports = { <4500,17>, <500,17>, <259,17>, <1701,17>, ..., <68,17>, <67,17> }
   

변경 후:

   no_hide_services_ports = { <4500,17>, <500,17>, <259,17>, <1701,17>, ... }
   no_fold_services_ports = { <4500,17>, <500,17>, <259,17>, <1701,17>, ... }
   

SmartConsole에서 보안 정책 작성하기

IPv4 DHCP 중계 트래픽을 허용하려면 DHCP relay 서비스를 쓰는 명시적인 보안 정책 규칙 을 만들어야 합니다. 이런 명시적 규칙이 필요한 이유는 다음과 같습니다.

IPv4 DHCP 서비스는 다음 포트를 씁니다.

R77.20 이상 Security Gateway에서 쓸 IPv4 DHCP 서비스는 새 DHCP 서비스인 dhcp-request와 dhcp-reply 입니다.

IPv4 DHCP 보안 정책 구성 절차는 이렇습니다.

IPv4 DHCP Relay 서비스를 쓴 Rule Base 예시는 다음과 같습니다.

IPv4 DHCP Relay 모니터링

Gaia Portal에서 모니터링하려면 Advanced Routing > DHCP Relay 로 가서, 오른쪽 위 모서리의 Monitoring 을 클릭합니다.

Gaia Clish에서는 다음을 입력해 쓸 수 있는 show 명령을 봅니다.

show bootp[Esc][Esc]

문제 해결(Troubleshooting)은 "Trace Options" 절을 참고하세요.

IPv6 DHCP Relay 는 같은 개념의 IPv6판으로, Security Gateway에서 DHCPv6 요청을 다른 서브넷의 DHCPv6 서버로 중계 합니다. DHCPv6 프로토콜과 IPv6 DHCP relay의 기술적 내용은 RFC 3315 를 참고하세요. 인터페이스마다 서로 다른 DHCPv6 서버 집합 으로 요청을 보내도록 설정할 수 있습니다.

Gaia Portal에서 IPv6 DHCP Relay 켜기

인터페이스에 IPv6 DHCP Relay를 켜는 절차입니다.

   https://<IP address of Gaia Management Interface>
   

기본 포트(443)를 바꿨다면 포트도 함께 입력합니다. 2. 왼쪽 탐색 트리에서 Advanced Routing > IPv6 DHCP Relay 를 클릭합니다. 3. Add 를 클릭합니다. 4. Enable 을 선택합니다. 5. Interface 필드에서 Relay를 켤 인터페이스를 고릅니다. 6. (선택) Send Interface-ID 를 선택하면 DHCPv6 Relay 요청에 Interface-ID 옵션 을 함께 보냅니다. 이 옵션은 DHCPv6 서버가 relay 요청의 인터페이스 ID를 relay 응답 메시지로 그대로 복사 하도록 지시합니다. relay 에이전트는 이 값으로 DHCPv6 요청이 원래 어느 인터페이스에서 수신됐는지 를 식별합니다.

각 릴레이마다 Add 를 클릭하고, Relay To 필드에 릴레이의 IPv6 주소를 입력한 뒤 OK 를 클릭합니다.

끄거나 지울 때도 Advanced Routing > IPv6 DHCP Relay 에서 시작합니다.

Gaia Clish에서 IPv6 DHCP Relay 설정하기

쓸 수 있는 명령을 보려면 Gaia Clish에서 set 은 set ipv6 dhcp6relay 뒤에 [Esc][Esc], show 는 show ipv6 dhcp6relay 뒤에 [Esc][Esc] 를 누릅니다.

전체 구문입니다.

set ipv6 dhcp6relay interface <Name of Interface>
      interface-id {off | on}
      {off | on}
      relay-to <Destination IPv6 Address> {off | on}
      wait-time {<1-65535> | default}

각 파라미터는 다음과 같습니다.

인터페이스에 IPv6 DHCP Relay를 켜는 전체 절차입니다.

   set ipv6 dhcp6relay interface <Name of Interface> on
   

   set ipv6 dhcp6relay interface <Name of Interface> relay-to <Destination IPv6 Address> on
   

   set ipv6 dhcp6relay interface <Name of Interface> interface-id on
   set ipv6 dhcp6relay interface <Name of Interface> wait-time {<1-65535> | default}
   

끄는 명령도 같은 요령입니다.

  set ipv6 dhcp6relay interface <Name of Interface> relay-to <Destination IPv6 Address> off
  

  set ipv6 dhcp6relay interface <Name of Interface> off
  

각 작업 뒤에는 반드시 save config 로 저장합니다.

관리 서버에서 IPv6 DHCP Relay 보안 정책 설정하기

관리 서버의 IPv6 DHCP 서비스

DHCPv6 클라이언트와 서버는 UDP로 메시지를 주고받 습니다. 클라이언트가 relay나 서버의 IPv6 주소를 모를 때는 특수한 link-scoped 멀티캐스트 주소 로 구성 정보를 요청합니다.

FF02::1:2

각 트래픽이 쓰는 포트와 보안 정책 서비스는 다음과 같습니다.

서버 주소는 여러 개 지정할 수 있고, 각각 IPv6 유니캐스트 주소 여야 하며, DHCPv6 서버 또는 하나 이상의 DHCPv6 relay 를 가리킬 수 있습니다.

SmartConsole에서 보안 정책 작성하기

IPv6 DHCP 보안 정책 구성 절차입니다.

IPv6 DHCP Relay 서비스를 쓴 Rule Base 예시입니다.

IPv6 DHCP Relay 모니터링

Gaia Portal에서는 Advanced Routing > IPv6 DHCP Relay 로 가서 오른쪽 위 Monitoring 을 클릭합니다.

Gaia Clish에서는 다음을 입력합니다.

show ipv6 dhcp6relay[Esc][Esc]

문제 해결은 "Trace Options" 절을 참고하세요.

UDP 브로드캐스트는 로컬 네트워크의 가장자리에서 멈춥 니다. 평소엔 괜찮지만, 어떤 상황에서는 이게 문제가 됩니다. 예를 들어 서버는 다른 네트워크로 옮겼는데, 옮기지 않은 클라이언트들이 보내는 UDP 브로드캐스트를 그 서버가 여전히 받아야 하는 경우입니다.

IP Broadcast Helper 는 UDP 브로드캐스트를 지정한 목적지 IPv4 주소 목록으로 전달(forward) 해 이 문제를 풉니다. 정적 주소 지정(static addressing)의 한 형태로, directed broadcast를 써서 로컬 브로드캐스트와 all-nets 브로드캐스트를 인터네트워크 안의 원하는 목적지로 보냅니다. DHCP Relay와 비슷하지만 더 일반적이어서, DHCP뿐 아니라 브로드캐스트에 의존하는 다른 UDP 서비스 의 요청도 라우터를 넘어 지정한 서버로 보낼 수 있습니다.

Gaia Portal에서 IP Broadcast Helper 설정하기

Gaia Clish에서 IP Broadcast Helper 설정하기

쓸 수 있는 명령을 보려면 set 은 set iphelper 뒤에 [Esc][Esc], show 는 show iphelper 뒤에 [Esc][Esc] 를 누릅니다.

전체 구문입니다.

set iphelper
      forward-nonlocal {off | on}
      interface <Name of Interface>
            off
            udp-port <1-65535>
                  off
                  relay-to <IP Address> {off | on}

각 파라미터는 다음과 같습니다.

설정 절차는 다음과 같습니다.

     set iphelper forward-nonlocal on
     

     set iphelper forward-nonlocal off
     

   set iphelper interface <Name of Interface> udp-port <1-65535> relay-to <Destination IPv4 Address> on
   

IP Broadcast Helper 모니터링

Gaia Portal에서는 Advanced Routing > IP Broadcast Helper 로 가서 오른쪽 위 Monitoring 을 클릭합니다.

Gaia Clish에서는 다음을 입력합니다.

show iphelper[Esc][Esc]

문제 해결은 "Trace Options" 절을 참고하세요.