13IP Reachability Detection·IPsec RoutingIP Reachability Detection·IPsec Routing

IP Reachability Detection 은 원격 IP 주소가 도달 가능한지(reachable)를 감지 하는 기능입니다. 감지 방식은 두 가지입니다 — BFD(Bidirectional Forwarding Detection) 프로토콜과 ICMP ping 입니다.

BFD(Bidirectional Forwarding Detection) 소개

R80.20부터 Gaia OS는 BFD를 지원 합니다. BFD는 두 라우터가 짧은 주기로 패킷을 주고받아 링크·경로 장애를 라우팅 프로토콜의 기본 타이머보다 훨씬 빠르게 감지하는 프로토콜입니다. 자세한 규격은 RFC 5880과 RFC 5881을 참고하세요.

클러스터 환경에서 BFD가 어느 멤버에서 동작하는지는 분명한 규칙이 있습니다.

또 R80.30부터는 Static Routes에서도 BFD를 지원 합니다. 정적 경로용 BFD는 BFD 프로토콜로 BFD 피어의 도달 가능성을 감시하고, 그 결과에 맞춰 연결된 정적 경로의 next hop 상태를 갱신합니다. 즉 BFD 피어가 도달 불가능하면 해당 정적 경로 next hop의 상태가 "down" 으로 바뀝니다.

이 빠른 감지가 중요한 이유는 장애를 빨리 알수록 대체 경로로 빨리 전환 되기 때문입니다. OSPF·BGP 같은 프로토콜이 자체 hello 타이머(수 초~수십 초)로 장애를 감지하는 것보다, BFD로 IP Reachability Detection을 켜면 훨씬 빠른 수렴을 얻습니다.

Gaia Portal에서 IP Reachability Detection 구성

기본 흐름은 다음과 같습니다.

Global Settings — 감지 시간(timeout)을 정하는 값

전역 설정의 핵심은 Detect Multiplier, Minimum RX Interval, Minimum TX Interval 세 값입니다. 양쪽(local·remote)의 이 설정이 합쳐져 BFD가 사용하는 감지 시간(timeout) 을 만듭니다. 구체적으로는 Detect Multiplier와 Minimum Interval을 곱한 값이 timeout 이 됩니다.

이 설정들은 Security Gateway 또는 VSX Virtual System의 모든 BFD 세션에 적용되는 전역(global) 값 입니다.

Static Sessions — 감지할 세션 추가

Type으로 고를 수 있는 세 가지는 다음과 같습니다.

BFD Multihop Control 패킷은 UDP 목적지 포트 4784 를 사용합니다. - Ping — ICMP ping으로 원격 IP의 도달 가능성을 감지합니다. ICMP Echo 패킷은 UDP 목적지 포트 3785 를 사용합니다.

BFD Authentication — 인증 설정

BFD는 지정한 주소 범위(address range)에 대해 Authentication Type, Key ID, Shared Secret 으로 인증할 수 있습니다. BFD 인증은 기본적으로 비활성 입니다. 이미 주소 범위에 인증이 켜져 있다면, 고유한 Key ID로 최대 10개까지 Key를 추가 하거나 기존 Key를 교체할 수 있습니다.

BFD 인증이 제대로 동작하려면 로컬·원격 BFD 피어를 다음과 같이 맞춰야 합니다.

구성 절차는 다음과 같습니다.

IPv4의 경우 Address 에 IPv4 주소를, Subnet mask 에 서브넷 마스크를 입력합니다(명시하지 않으면 최대값 32). IPv6의 경우 IPv6 Address / Mask Length 에 주소와 마스크 길이를 입력합니다(명시하지 않으면 최대값 128).

Gaia Clish에서 IP Reachability Detection 구성

사용할 수 있는 명령을 보려면 Gaia Clish에서 다음을 입력합니다([Esc][Esc] 로 가능한 전체 명령 형태를 펼침).

set ip-reachability-detection[Esc][Esc]
show ip-reachability-detection[Esc][Esc]

전체 구문은 다음과 같습니다.

set ip-reachability-detection
   bfd
      address <IP Address>
         authtype delete
         authtype none
         authtype {md5 | meticulous-md5 | sha1 | meticulous-sha1} key <0-255>
            hex-secret "<Hex Password>"
            off
            secret "<Password>"
         enable-bfd multihop local-address <IPv4 Address>
         enable-bfd off
         enable-bfd on
      detect-multiplier {<1-100> | default}
      min-rx-interval {<50-1000> | default}
      min-tx-interval {<50-1000> | default}
   ping
      address <IPv4 Address> enable-ping {off | on}
      count {<1-100> | default}
      interval {<1-100> | default}

각 파라미터의 뜻은 다음과 같습니다.

IP Reachability Detection 모니터링

기본 BFD 설정(구성값 또는 기본값)과, 피어 IP 주소·상태(reachable 여부) 표 를 볼 수 있습니다.

Gaia Portal 에서 — Advanced Routing > IP Reachability Detection 으로 간 뒤 오른쪽 위 Monitoring 을 클릭하고, IP Reachability Detection Monitor 영역에서 Information 범주를 클릭합니다.

Gaia Clish 에서 — 다음 명령으로 봅니다.

show ip-reachability-detection[Esc][Esc]

요약(summary) 수준 출력 예시는 다음과 같습니다 — 전역 간격·멀티플라이어 뒤에 원격 주소별 프로토콜·도달 여부가 나옵니다.

MyGW> show ip-reachability-detection summary
BFD Minimum TX Interval: 300 ms
BFD Minimum RX Interval: 300 ms
BFD Detect Multiplier: 10
Remote Address      Protocol   Reachable
10.1.3.13           BFD        No
10.1.254.1          BFD        Yes
13::1               BFD        Yes
34::4               BFD        Yes
fe80::a1 (bond212)  BFD        Yes
MyGW>

특정 주소의 최대 상세(maximum detail) 출력 은 다음처럼 봅니다.

MyGW> show ip-reachability-detection ip-address 10.1.1.13

이 상세 출력의 주요 필드는 다음과 같습니다.

Rx Drops by Reason 은 받았으나 거부된 BFD 패킷을 사유별로 센 값입니다(인터페이스가 받지 못한 패킷, 방화벽이 드롭한 패킷, 잘못된 BFD 패킷, 세션에 속하지 않은 것은 제외). 이 카운터는 부팅·BFD 세션 삭제·routed 재시작 시 초기화 됩니다. 인증 관련 사유는 다음과 같습니다.

IP Reachability Detection 문제 해결

문제 해결은 별도 절의 Trace Options 를 참고하세요.

IPsec Routing 은 정적 IPsec Security Association(SA)을 동적 라우팅 프로토콜과 결합 해 구성하는 기능입니다. 정적 SA를 동적 라우팅 프로토콜과 함께 구성하면, Gaia가 라우팅 프로토콜 헤더를 구성된 IPsec 프로토콜의 패킷으로 캡슐화 합니다. 즉 OSPF·BGP를 위한 Route-Based VPN의 VTI와는 다른 차원에서, 라우팅 프로토콜 패킷 자체를 IPsec으로 보호 하는 방식입니다.

IPsec Routing의 이점은 세 가지입니다.

R82가 지원하는 IPsec Routing 조합은 다음과 같습니다.

Gaia Portal에서 IPsec Routing 구성

새 Security Association(SA) 구성

자세한 내용은 Configuring IPv6 OSPFv3 Interfaces in Gaia Portal 절을 참고하세요.

기존 SA 편집 — Advanced Routing > IPsec Routing 의 Security Associations 에서 해당 SA를 선택하고 Edit 를 누른 뒤, 설정을 바꾸고 Save 합니다.

기존 SA 삭제 — 먼저 해당 인터페이스의 OSPFv3 설정에서 이 SA를 제거합니다(Configuring IPv6 OSPFv3 Interfaces in Gaia Portal 절 참고). 그런 다음 Advanced Routing > IPsec Routing 의 Security Associations 에서 해당 SA를 선택하고 Delete 를 클릭합니다.

Gaia Clish에서 IPsec Routing 구성

사용할 수 있는 명령을 보려면 다음을 입력합니다.

set ipsec-routing[Esc][Esc]
show ipsec-routing[Esc][Esc]

IPsec Routing을 구성한 뒤에는 해당 SA를 OSPFv3 인터페이스 설정에서 사용합니다(Configuring IPv6 OSPFv3 Interfaces in Gaia Clish 절 참고).

전체 구문은 다음과 같습니다.

set ipsec-routing
      spi <SPI> ah algorithm {md5 | sha1 | sha256 | sha384 | sha512} key <Key>
      off

각 파라미터의 뜻은 다음과 같습니다.

IPsec Routing 모니터링

Gaia Portal 에서 — Advanced Routing > IPsec Routing 으로 간 뒤 오른쪽 위 Monitoring 을 클릭합니다. Statistics 영역에 Authentication Header(AH) 데이터 가 표시됩니다.

Gaia Clish 에서 — 다음 명령으로 봅니다.

show ipsec-routing stats

특정 인터페이스의 OSPFv3 보안 설정을 보려면 다음을 실행하고 출력의 Security 절을 확인합니다.

show ipv6 ospf3 interface <Name of Interface> detailed