10터널 관리·Route Injection터널 관리·Route Injection

Tunnel Management 한눈에 보기

VPN 터널은 데이터를 안전하게 전송합니다. Tunnel Management 로는 터널의 종류와 개수를 두 가지 기능으로 다룹니다.

모든 VPN 터널의 상태는 SmartView Monitor 에서 봅니다. 자세한 내용은 R82 Logging and Monitoring Administration Guide의 Monitoring Tunnels 를 참고하세요.

Permanent Tunnels(상시 터널)

기업이 다른 사이트와의 통신을 VPN에 점점 더 의존하면서 끊김 없는 연결 이 그 어느 때보다 중요해졌습니다. 그래서 VPN 터널을 항상 살아 있게 유지하는 일이 필수가 되었습니다. Permanent Tunnel 은 끊임없이 활성 상태로 유지 되므로, 그 결과 장애와 연결 문제를 더 쉽게 알아챌 수 있습니다. 관리자는 VPN 터널의 양쪽을 모니터링하며 문제를 지체 없이 식별할 수 있습니다.

커뮤니티 안의 각 VPN 터널을 개별적으로 Permanent Tunnel로 설정 할 수 있습니다. Permanent Tunnel은 끊임없이 감시되므로, 터널이 down되면 로그·경고(alert)·사용자 정의 동작 을 발생시킬 수 있습니다. 터널 감시는 주기적으로 "tunnel test" 패킷 을 보내는 방식입니다. 패킷에 대한 응답이 계속 오는 동안에는 터널을 "up" 으로 보고, 정해진 시간 안에 응답이 없으면 "down" 으로 판정합니다.

Permanent Tunnel 구성은 커뮤니티 수준 에서 이루어지며, 적용 범위를 세 가지로 지정할 수 있습니다.

MEP 환경에서의 Permanent Tunnel

Multiple Entry Point(MEP) 환경에서는, 활성 상태인 VPN 터널이 미리 정한 기본(primary) 게이트웨이가 사용 불가가 되면 백업(backup) 게이트웨이로 재경로(reroute) 됩니다. MEP 환경에서 RIM이 켜진 상태로 Security Gateway 사이에 Permanent Tunnel이 구성되면, 위성(satellite) 게이트웨이는 중심(center) 게이트웨이들을 "하나로 통합된(unified)" 대상으로 인식 합니다. 그 결과 연결은 실패하지 않고, 새로 만들어진 상시 터널을 통해 다른 중심 게이트웨이로 페일오버(fail over) 됩니다. MEP에 대한 자세한 내용은 MEP VPN을 참고하세요.

Permanent Tunnel을 위한 Tunnel Testing

Check Point는 VPN 터널이 활성인지 확인하기 위해 독자 프로토콜 을 사용하며, 모든 site-to-site VPN 구성을 지원합니다. Tunnel testing에는 Security Gateway 두 대가 필요 하고 UDP 포트 18234 를 씁니다. Check Point의 tunnel testing 프로토콜은 3rd-party Security Gateway를 지원하지 않 습니다.

Permanent Tunnel 종료하기

상시 터널이 더 이상 필요 없어지면 터널을 내릴 수 있습니다. 상시 터널을 활성으로 만들었던 구성 옵션의 선택을 해제하고 정책을 다시 설치(re-install) 하면 종료됩니다.

Dead Peer Detection(DPD)

Tunnel Testing 외에, Dead Peer Detection(DPD) 은 VPN 터널이 활성인지 확인하는 또 다른 방법 입니다. DPD는 3rd party Security Gateway를 지원 하고, IKEv1/IKEv2 DPD를 기반으로 상호운용 장비와의 상시 터널도 지원합니다(IKEv1 DPD는 RFC 3706 기반). DPD는 IPsec 트래픽 패턴을 이용 해 피어의 가용성 확인에 필요한 메시지 수를 최소화합니다.

DPD에는 두 가지 모드가 있습니다.

Dead Peer Detection Responder Mode

이 모드에서 Check Point 게이트웨이는 IKEv1 DPD Vendor ID를 받은 피어에게 그 DPD Vendor ID를 보냅니다.

DPD Responder Mode를 켜려면:

   ckp_regedit -a SOFTWARE/CheckPoint/VPN1 forceSendDPDPayload -n 1
   

DPD Responder Mode를 끄려면: 각 Security Gateway에서 다음 명령을 실행합니다.

ckp_regedit -d SOFTWARE/CheckPoint/VPN1 forceSendDPDPayload

Permanent Tunnel Mode Based on Dead Peer Detection

DPD는 상시 터널 기능으로 원격 피어를 감시 할 수 있으며, 상시 터널의 관련 동작과 구성이 모두 지원됩니다.

DPD를 상시 터널에 구성하려면 먼저 그 상시 터널이 VPN 커뮤니티 안에 있어야 합니다. 상시 터널을 구성한 다음, DPD 기반 Permanent Tunnel 모드를 설정합니다. 상시 터널 모드에는 다음 가능성이 있습니다.

DPD 감시를 켜려면: VPN 커뮤니티의 각 VPN 게이트웨이에서 tunnel_keepalive_method 속성을 Database Tool(GuiDBEdit Tool) 또는 dbedit 으로 구성합니다(sk13301 참고). 이 작업은 3rd Party 게이트웨이도 포함합니다. 같은 게이트웨이에 서로 다른 감시 메커니즘을 동시에 구성할 수는 없 습니다.

선택적 구성(Optional Configuration):

    DPD_DONT_DEL_SA=0 ; export DPD_DONT_DEL_SA
    

VPN Tunnel Sharing

VPN 커뮤니티의 경우, VPN tunnel sharing 구성은 Community Properties 창의 Tunnel Management 페이지 에서 설정합니다. 특정 Security Gateway의 경우에는 Security Gateway 속성 창의 VPN Advanced 페이지 에서 설정합니다.

앞서 설명했듯 Tunnel test 는 VPN 터널이 활성인지 확인하는 Check Point 독자 프로토콜로, Security Gateway 두 대가 필요 하고 UDP 포트 18234 를 쓰며, 3rd party 게이트웨이는 지원하지 않습니다.

VPN Tunnel Sharing 은 피어 Security Gateway 사이에 만들어지는 VPN 터널 개수를 제어 해 상호운용성과 확장성을 제공합니다. 세 가지 설정이 있습니다.

Tunnel 기능 구성하기

Tunnel Management 옵션을 구성하려면:

Permanent Tunnels 구성

Star Community 또는 Meshed community 객체의 Tunnel Management 페이지에서 Set Permanent Tunnels 를 선택합니다. 적용 범위 옵션은 다음과 같습니다.

특정 게이트웨이의 모든 터널에 구성하려면:

커뮤니티 안의 특정 터널에 구성하려면:

고급 Permanent Tunnel 구성

고급 VPN 설정은 전역(global)으로 구성할 수 있고, 또한 DPD 임계값은 커뮤니티별로 구성할 수 있습니다.

전역 고급 VPN 설정을 구성하려면:

커뮤니티별 DPD 임계값을 구성하려면: life_sign_timeout 과 life_sign_transmitter 임계값을 VPN 커뮤니티마다 구성할 수 있습니다.

Tracking Options

상시 VPN 터널의 상태를 계속 파악할 수 있도록 경고(alert)를 구성 할 수 있습니다.

VPN 터널 상태에 대한 로그·경고를 구성하려면:

터널 상태 모니터링하기

모든 VPN 터널의 상태는 SmartView Monitor 에서 봅니다.

SmartView Monitor를 열려면:

자세한 내용은 R82 Logging and Monitoring Administration Guide의 Monitoring Tunnels 를 참고하세요.

Network Probe로 Site to Site VPN 터널 상태 감시

R82부터 Site to Site VPN 터널의 향상된 모니터링을 위해 전용 Network Probe 객체 를 구성할 수 있습니다. Site to Site VPN으로 구성된 Security Gateway는 Network Probe 객체를 사용해 지정한 목적지의 가용성을 주기적으로 테스트 할 수 있고, 그 결과로 VPN 피어에 도달 가능한지 를 판단합니다. 자세한 내용은 sk181994를 참고하세요.

Site to Site VPN 터널 상태는 다음 방법으로 감시합니다.

Route Injection 한눈에 보기

Route Injection Mechanism(RIM) 은 Security Gateway가 동적 라우팅 프로토콜을 사용해 VPN 피어 Security Gateway의 암호화 도메인(encryption domain)을 내부망에 전파 하도록 해 줍니다. VPN 터널이 만들어지면, RIM은 게이트웨이의 로컬 라우팅 테이블에 VPN 피어의 암호화 도메인을 추가 합니다.

RIM은 커뮤니티에 Permanent Tunnel이 구성되어 있을 때만 켤 수 있습니다. 상시 터널은 tunnel test 패킷으로 살아 있게 유지되는데, Security Gateway가 응답하지 못하면 터널이 "down"으로 간주 됩니다. 그 결과 RIM이 로컬 라우팅 테이블에서 실패한 링크의 경로를 삭제 하고, 이는 이웃의 동적 라우팅 장비들이 자기 라우팅 정보를 갱신하도록 촉발합니다. 결국 VPN 터널로 가던 모든 트래픽이 미리 정한 대체 경로로 우회(redirection) 됩니다.

RIM을 구성하는 방법은 두 가지입니다.

Route injection은 MEP 기능과 통합되어 반환 패킷을 같은 MEP Security Gateway로 되돌려 보낼 수 있습니다. MEP에 대한 자세한 내용은 MEP VPN을 참고하세요.

Automatic RIM

아래 시나리오로 동작을 설명합니다.

아래는 위 그림에 따른 게이트웨이·라우터의 라우팅 테이블입니다. 굵은(bold) 항목이 RIM이 로컬 라우팅 테이블에 주입한 경로 입니다.

Security Gateway 1:

Security Gateway 2:

Router 1 (Security Gateway 1 뒤):

Router 2 (Security Gateway 2 뒤):

Custom Scripts

Custom script 는 커뮤니티의 어느 Security Gateway에서나 실행 할 수 있으며, 터널이 상태를 바꿀 때마다(예: "up" 또는 "down"이 될 때) 실행 됩니다. 예를 들어 이런 이벤트가 dial-up 연결을 시작하는 트리거가 될 수 있습니다.

$FWDIR/scripts/ 디렉터리에는 스크립트 템플릿 custom_rim 이 있습니다(운영체제에 따라 .sh 또는 .bat 확장자).

다음은 사용자 정의 스크립트 예시입니다.

# This script is invoked each time a tunnel is configured with the RIM option
# and the tunnel changed state.
#
# You may add your custom commands to be invoked here.
# Parameters read from command line.
RIM_PEER_GW=$1
RIM_NEW_STATE=$2
RIM_HA_STATE=$3
RIM_FIRST_TIME=$4
RIM_PEER_ENC_NET=$5
case "${RIM_NEW_STATE}" in
up)
# Place your action for tunnels that came up
;;
down)
# Place your action for tunnel that went down
;;
esac

각 파라미터의 의미는 다음과 같습니다.

피어 Security Gateway 인터페이스 주입하기

Security Gateway 뒤의 네트워크뿐 아니라, 피어 Security Gateway의 IP 주소 자체를 라우팅 테이블에 주입 할 수 있습니다.

예를 들어 VPN 터널이 만들어지면 RIM은 양쪽 게이트웨이의 로컬 라우팅 테이블에 피어의 암호화 도메인을 주입합니다. 그런데 RIM이 켜진 Security Gateway가 Hide NAT가 켜진 Security Gateway와 통신할 때는, 피어의 인터페이스를 주입해 주어야 합니다.

다음 시나리오를 봅니다.

패킷을 되돌려 보내려면:

RIM 구성하기

Star VPN Community에서 RIM 구성

Meshed VPN Community에서 RIM 구성

RIM_inject_peer_interfaces 플래그 켜기

Gaia에서 RIM 구성

RIM은 Security Gateway의 Gaia OS 커널에 피어 암호화 도메인으로 가는 경로를 자동 구성 합니다.

VPN 터널 상태가 "DOWN" 에서 다시 "UP" 으로 바뀌면, 피어 암호화 도메인 경로가 라우팅 테이블에 다시 나타나기까지 시간이 걸릴 수 있습니다. 터널이 down일 때도 이 경로를 유지하도록 Gaia OS 커널을 구성할 수 있습니다. 다음 설정을 각 Security Gateway에서 Gaia Portal 또는 Gaia Clish로 적용합니다.

  set kernel-routes on
  save config
  

Star VPN Community의 Gaia 게이트웨이

Gaia Security Gateway가 경로를 게시(publish)하게 하려면, VPN Community의 모든 Center Security Gateway에서 다음 Gaia Clish 명령을 실행합니다. 자세한 내용은 R82 Gaia Advanced Routing Administration Guide를 참고하세요.

   set routemap <Routemap Name> id <ID Number>
   

예:

   set routemap RIM id 5
   

   set routemap <Routemap Name> id <ID Number> match protocol kernel
   

예:

   set routemap RIM id 5 match protocol kernel
   

   set ospf export-routemap <Routemap Name> preference 1 on
   

예:

   set ospf export-routemap RIM preference 1 on
   

   set routemap <Routemap Name> id <ID Number> allow
   

예:

   set routemap RIM id 5 allow
   

   set routemap <Routemap Name> id <ID Number> on
   

예:

   set routemap RIM2 id 10 on
   

   set routemap <Routemap Name> id <ID Number> match nexthop <IP Address of OSPF Interface of the other RIM GW> on
   

예:

   set routemap RIM2 id 10 match nexthop <10.16.50.3> on
   

   set routemap <Routemap Name> id <ID Number> restrict
   

예:

   set routemap RIM2 id 10 restrict
   

   set ospf import-routemap <Routemap Name> preference 1 on
   

예:

   set ospf import-routemap RIM2 preference 1 on
   

   save config