11Policy Based Routing과 NAT PoolPolicy Based Routing과 NAT Pool

정적·동적 라우팅에 더해, 트래픽을 정책으로 제어하고 싶을 때 PBR 을 씁니다. 핵심은 우선순위입니다. PBR Policy Rule은 라우팅 테이블의 정적·동적 경로보다 우선 적용 됩니다.

패킷이 Gaia Security Gateway에 도착하면 게이트웨이는 다음 순서로 동작합니다.

추가 정보는 sk67135를 참고하세요.

PBR 구성은 큰 틀에서 두 가지를 만드는 일입니다.

Gaia Portal에서 PBR 구성하기

정적 경로를 담은 Action Table 추가

먼저 경로를 담을 테이블을 만듭니다.

Next Hop Type 은 세 가지 중 하나입니다.

Next Hop Type 이 "Normal" 이면, 다음 홉 게이트웨이를 정해야 합니다. 방법은 두 가지입니다.

다음 홉 게이트웨이를 IP 주소로 지정하기

다음 홉 게이트웨이를 인터페이스로 지정하기

몇 가지 알아 둘 점이 있습니다.

마지막으로 Save 를 클릭합니다.

정적 경로 Action Table 삭제

Policy Rule 추가

Priority는 주어진 패킷에 대해 규칙이 평가되는 순서 를 정합니다. 처음으로 매칭되는 규칙에서 평가가 멈추고, 그 규칙의 동작만 수행됩니다. Priority 1이 가장 높고 priority 2보다 먼저 평가되며, 그 식으로 이어집니다. Priority 32766·32767은 main 정적 라우팅 테이블용으로 예약 되어 있고, 32767보다 큰 우선순위의 규칙은 main 라우팅 테이블 이후 에 라우팅됩니다.

Policy Rule 삭제

고급 옵션 구성

Gaia Clish에서 PBR 구성하기

어떤 명령이 있는지 모를 때는 명령 뒤에 [Esc][Esc] 를 눌러 후보를 펼쳐 봅니다.

set pbr[Esc][Esc]      # PBR의 set 명령 보기
show pbr[Esc][Esc]     # PBR의 show 명령 보기

Portal과 마찬가지로, 먼저 Action Table 을, 그다음 Policy Rule 을 구성합니다.

정적 경로 Action Table 구성 — Syntax

set pbr table <Name of Table>
      off
      static-route {default | <Destination IPv4 Address/Mask>}
            nexthop
                  blackhole
                  gateway address <IPv4 Address>
                        monitored-ip <IPv4 Address> {off | on}
                        monitored-ip-option fail-all
                        monitored-ip-option fail-any
                        monitored-ip-option force-if-symmetry {off | on}
                        priority <1-8>
                  gateway logical <Name of Interface> {off | on}
                        priority <1-8>
                  reject
            off
            ping {off | on}

각 파라미터의 뜻은 다음과 같습니다.

예제 — PBRtable1 이라는 Action Table을 만들고, 192.0.2.0/24 네트워크는 인터페이스 eth0 으로, 192.0.3.0/24 네트워크는 다음 홉 게이트웨이 192.168.1.1 을 통해 가도록 구성합니다.

set pbr table PBRtable1 static-route 192.0.2.0/24 nexthop gateway logical eth0 on
set pbr table PBRtable1 static-route 192.0.3.0/24 nexthop gateway address 192.168.1.1 on

Policy Rule 구성 — Syntax

set pbr rule priority <1-4294967295>
      action
            main-table
            prohibit
            table <Name of Table>
            unreachable
      match
            [from {<IPv4 Address/Mask Length> | off}]
            [to {<IPv4 Address/Mask Length> | off}]
            [interface {<Name of Interface> | off}]
            [port {<1-65535> | off}]
            [protocol {1 | 6 | 17 | tcp | udp | icmp | off}]
      off

예제 — 인터페이스 eth2 로 들어오면서 목적지 주소가 192.0.2.1/32 인 모든 패킷을 PBR 테이블 PBRtable1 에 따라 전달하고, 우선순위 100을 부여합니다.

set pbr rule priority 100 match to 192.0.2.1/32 interface eth2
set pbr rule priority 100 action table PBRtable1

고급 옵션 구성 — PBR Route Lookup

PBR Route Lookup 옵션은 PBR 규칙 때문에 같은 패킷이 게이트웨이를 일부러 두 번 이상 통과하게 할지 를 제어합니다. 조건은 Policy Rule이 최소 하나 존재 하고 SecureXL이 켜져 있어야 한다는 것입니다(기본 켜짐).

set pbrroute sim flag {0 | 1}

PBR 모니터링

Gaia Portal에서 — Advanced Routing > Policy Based Routing 으로 가서, 오른쪽 위 모서리의 Monitoring 을 클릭합니다.

Gaia Clish에서 — VSX 모드라면 먼저 해당 가상 장치로 컨텍스트를 바꾼 뒤 PBR 정보를 조회합니다.

set virtual-system <VSID>

show pbr tables
show pbr rules
show pbr summary

Expert mode에서 — VSX 모드라면 먼저 vsenv로 컨텍스트를 바꾼 뒤 조회합니다.

vsenv <VSID>

ip table show <1-255>
ip route show table <1-255>
ip rule show

NAT Pool 은 네트워크의 라우터들이 어떤 IP 주소의 도달성 정보를 학습하도록 돕는 기능입니다. NAT Pool은 경로처럼 라우팅 프로토콜을 통해 export(내보내기)가 가능 하지만, 로컬 포워딩에는 쓰이지 않 습니다. 각 NAT Pool은 목적지 prefix 하나만 가지며, 선택적으로 주석(comment)을 둘 수 있습니다.

어떤 상황에 쓰나 (Use Case)

전형적인 시나리오는 이렇습니다.

Gaia Portal에서 NAT Pool 구성하기

새 NAT Pool 만들기

IPv4 NAT Pool 이면: - Destination 필드에 IPv4 주소를 입력합니다. - Subnet mask 필드에 IPv4 서브넷 마스크를 입력합니다. - Comment 필드에 주석 텍스트(최대 100자)를 입력합니다.

IPv6 NAT Pool 이면: - Destination / Mask Length 필드에 IPv6 주소와 Mask Length를 입력합니다. - Comment 필드에 주석 텍스트(최대 100자)를 입력합니다. 이 주석은 Gaia Portal과 show configuration 명령 출력 에 나타납니다.

기존 NAT Pool 편집

기존 NAT Pool 삭제

Gaia Clish에서 NAT Pool 구성하기

후보 명령과 현재 구성은 이렇게 확인합니다.

set nat-pool[Esc][Esc]          # NAT Pool의 set 명령 보기
show configuration nat-pool     # 구성된 NAT Pool 보기

작업은 세 단계 로 진행합니다(Action plan).

Syntax

set nat-pool <IP Address/Mask>
      comment "Text"
      off
      on

NAT Pool 모니터링

Gaia Portal에서 — Advanced Routing > NAT Pools 로 가서 NAT Pools 섹션을 확인합니다.

Gaia Clish에서 — 다음 명령으로 보고, 출력 맨 위의 Codes 섹션을 참고합니다.

show route