12방화벽 활성화 전 보안방화벽 활성화 전 보안

기준 보안은 두 겹 으로 되어 있습니다.

이 장에서 다루는 명령들의 자세한 사용법은 명령줄·커널 참조에서 가리키는 R82 CLI Reference Guide에 있습니다. 핵심만 미리 정리하면 다음과 같습니다.

Boot Security 는 부팅 동안 게이트웨이와 그 네트워크를 보호하기 위해 두 가지 일을 합니다.

Default Filter Policy

Default Filter Policy(defaultfilter) 는 게이트웨이가 켜지는 순간부터, 사용자 정의 Security Policy가 설치될 때까지 게이트웨이를 보호합니다. 앞서 말했듯 Boot Security가 IP Forwarding을 끄고 이 Default Filter Policy를 로드하는 식으로 동작합니다.

게이트웨이에는 세 가지 Default Filter 템플릿 이 준비되어 있습니다.

Default Filter Policy 선택하기

원하는 Default Filter를 고르는 절차입니다. 큰 줄기는 기존 파일 백업 → 템플릿 복사 → 컴파일 → 부팅 경로에 복사 → 시리얼 콘솔 연결 후 재부팅 입니다.

4단계 — 현재 파일 백업

cp -v $FWDIR/conf/defaultfilter.pf{,_BKP}

5단계 — 새 Default Filter Policy 파일 만들기. 세 모드 중 하나를 골라 해당 템플릿을 $FWDIR/conf/defaultfilter.pf로 복사합니다.

# Boot Filter를 쓰려면
cp -v $FWDIR/lib/defaultfilter.boot $FWDIR/conf/defaultfilter.pf

# Drop Filter를 쓰려면
cp -v $FWDIR/lib/defaultfilter.drop $FWDIR/conf/defaultfilter.pf

# DAG Filter를 쓰려면
cp -v $FWDIR/lib/defaultfilter.dag $FWDIR/conf/defaultfilter.pf

6단계 — 컴파일. fw defaultgen 을 실행하면 컴파일된 파일이 만들어집니다.

fw defaultgen

7단계 — Default Filter Policy 파일의 경로 확인

$FWDIR/boot/fwboot bootconf get_def

예시:

[Expert@MyGW:0]# $FWDIR/boot/fwboot bootconf get_def
/etc/fw.boot/default.bin
[Expert@MyGW:0]#

8단계 — 컴파일된 파일을 그 경로로 복사

# IPv4 트래픽용
cp -v $FWDIR/state/default.bin /etc/fw.boot/default.bin

# IPv6 트래픽용
cp -v $FWDIR/state/default.bin6 /etc/fw.boot/default.bin6

커스텀 Default Filter 만들기

Check Point INSPECT 언어를 아는 관리자는 템플릿을 바탕으로 자신만의 Default Filter 를 정의할 수 있습니다.

절차는 표준 선택 절차와 거의 같고, 중간에 INSPECT 코드를 직접 편집하는 단계 가 추가됩니다.

4·5단계의 명령은 앞 절과 동일합니다(백업: cp -v $FWDIR/conf/defaultfilter.pf{,_BKP}, 템플릿 복사: defaultfilter.boot/.drop/.dag 중 하나를 $FWDIR/conf/defaultfilter.pf로).

7단계 컴파일(fw defaultgen → $FWDIR/state/default.bin, default.bin6), 8단계 경로 확인($FWDIR/boot/fwboot bootconf get_def), 9단계 복사(/etc/fw.boot/default.bin, default.bin6)는 모두 표준 절차와 같습니다.

유지보수에 Default Filter 활용하기

유지보수를 위해 게이트웨이를 잠시 멈춰야 할 때가 있습니다. 그렇다고 게이트웨이를 네트워크에서 떼어 내는 것이 항상 현실적이지는 않 습니다(예: 원격 사이트에 있는 게이트웨이). 이때는 보안을 유지한 채 멈추도록 다음 두 가지 cpstop 변형을 쓸 수 있습니다.

게이트웨이 관리자가 Security Policy를 처음으로 설치하기 전까지 의 보안은 Initial Policy 가 집행합니다.

Initial Policy는 Default Filter Policy에 미리 정의된 implied rule(암시적 규칙)을 더해 동작합니다. 이 implied rule들은 대부분의 통신은 금지하되, Security Policy 설치에 필요한 통신만 허용 합니다.

Initial Policy는 Check Point 제품 업그레이드 중 , 게이트웨이에서 SIC 인증서를 재설정할 때 , 또는 Check Point 제품 라이선스가 만료된 경우 에도 게이트웨이를 보호합니다.

부팅부터 Security Policy가 처음 로드될 때까지의 동작 순서는 다음과 같습니다.

게이트웨이는 관리자가 사용자 정의 정책을 설치할 때까지 Initial Policy를 집행 합니다. 그 뒤의 재부팅부터는 Default Filter Policy 다음에 사용자 정의 정책이 곧바로 로드 됩니다.

Standalone과 Distributed에서의 차이

구성 방식에 따라 Initial Policy가 허용하는 통신 범위가 다릅니다.

일부 구성에서는 Default Filter Policy가 부팅에 필요한 트래픽까지 막아 설치 후 재부팅이 끝나지 않 는 경우가 있습니다.

먼저 Default Filter를 살펴보세요 — 부팅 절차에 필요한 트래픽을 그 Default Filter가 허용하고 있나요? 그래도 부팅이 정상적으로 끝나지 않으면, 다음 절차로 Default Filter를 제거합니다.

6단계 — Default Filter가 다시 로드되지 않도록 설정

cd /opt/CPsuite-<VERSION>/fw1/
./fwboot bootconf set_def

7단계 — boot.conf의 DEFAULT_FILTER_PATH 값 확인

cd /opt/CPsuite-<VERSION>/fw1/
grep DEFAULT_FILTER_PATH boot/boot.conf

이 장에 나온 control_bootsec, comp_init_policy, fw unloadlocal, cpstat -f policy fw, fwboot 등의 명령에 대한 자세한 설명은 명령줄·커널 참조에서 가리키는 R82 CLI Reference Guide를 참고하세요.