13명령줄·커널 참조명령줄·커널 참조

게이트웨이 운영 명령 전체는 R82 CLI Reference Guide 에 정리되어 있습니다. 앞 장들에서 본 fw isp_link(ISP 이중화), control_bootsec·fw unloadlocal(방화벽 활성화 전 보안) 같은 명령도 거기에서 자세히 다룹니다.

커널 파라미터(kernel parameter) 는 게이트웨이·Cluster Member·Security Group의 고급 동작을 바꾸는 설정값 입니다. 타입은 두 가지뿐입니다.

게이트웨이는 파라미터의 이름과 기본값을 다음 커널 모듈 파일에서 가져옵니다.

$FWDIR/boot/modules/fw_kern_64_v6.o
$PPKDIR/boot/modules/sim_kern_64.o
$PPKDIR/boot/modules/sim_kern_64_v6.o

Firewall 커널 파라미터

방화벽 동작의 내부 기본값을 바꾸거나 특수 설정을 할 때 Firewall 커널 파라미터 를 씁니다. 적용 방법은 세 갈래 입니다.

Firewall 커널 파라미터의 예시는 다음과 같습니다.

정수(Integer) 파라미터 다루기

사용 가능한 정수 파라미터 목록과 값 보기 — Expert mode에서, 먼저 오류 없이 조회되는지 확인하고 파일로 저장합니다.

modinfo -p $FWDIR/boot/modules/fw_kern*.o | sort -u | grep ':int param' | awk 'BEGIN {FS=":"} ; {print $1}' | xargs -n 1 fw ctl get int
modinfo -p $FWDIR/boot/modules/fw_kern*.o | sort -u | grep ':int param' | awk 'BEGIN {FS=":"} ; {print $1}' | xargs -n 1 fw ctl get int 1>> /var/log/fw_integer_kernel_parameters.txt 2>> /var/log/fw_integer_kernel_parameters.txt

현재 값 보기 — [-a] 옵션을 붙일 수 있습니다.

fw ctl get int <Name of Integer Kernel Parameter> [-a]

Scalable Platform의 Expert mode에서는 g_fw 를 씁니다.

g_fw ctl get int <Name of Integer Kernel Parameter> [-a]

[Expert@MyGW:0]# fw ctl get int send_buf_limit
send_buf_limit = 80

임시로 값 설정 (재부팅하면 사라짐).

fw ctl set int <Name of Integer Kernel Parameter> <Integer Value>

[Expert@MyGW:0]# fw ctl set int send_buf_limit 100
Set operation succeeded

영구로 값 설정 — fwkern.conf 짧은 절차. Expert mode에서 진행합니다.

cp -v $FWDIR/boot/modules/fwkern.conf{,_BKP}     # 백업
fw ctl set -f int <Name_of_Integer_Kernel_Parameter> <Integer_Value>
cat $FWDIR/boot/modules/fwkern.conf              # 확인
reboot                                            # 적용(클러스터는 failover 가능)

Scalable Platform에서는 g_cp·g_fw ctl set -f·g_cat·g_reboot -a 를 쓰거나, 다음처럼 파일을 직접 갱신할 수 있습니다.

g_update_conf_file fwkern.conf <Name_of_Integer_Kernel_Parameter>=<Integer_Value>

영구로 값 설정 — 긴 절차(fwkern.conf·vpnkern.conf 직접 편집). 자세한 내용은 sk26202를 참고합니다. ① 파일 존재 확인(ls -l) → ② 없으면 touch 로 생성 → ③ cp -v ...{,_BKP} 로 백업 → ④ vi 로 편집 → ⑤ 아래 형식으로 한 줄 추가 → ⑥ 저장·재부팅 → ⑦ fw ctl get int 로 확인.

ls -l $FWDIR/boot/modules/fwkern.conf
touch $FWDIR/boot/modules/fwkern.conf
vi $FWDIR/boot/modules/fwkern.conf
<Name_of_Integer_Kernel_Parameter>=<Integer_Value>

문자열(String) 파라미터 다루기

목록 보기 — 정수 때와 같되 :string param 으로 필터합니다.

modinfo -p $FWDIR/boot/modules/fw_kern*.o | sort -u | grep ':string param' | awk 'BEGIN {FS=":"} ; {print $1}' | xargs -n 1 fw ctl get str

현재 값 보기.

fw ctl get str <Name of String Kernel Parameter> [-a]

[Expert@MyGW:0]# fw ctl get str fileapp_default_encoding_charset
fileapp_default_encoding_charset = 'UTF-8'

임시로 값 설정 (재부팅하면 사라짐). 값은 반드시 작은따옴표나 큰따옴표로 감쌉니다.

fw ctl set str <Name of String Kernel Parameter> '<String Text>'
fw ctl set str <Name of String Kernel Parameter> "<String Text>"

[Expert@MyGW:0]# fw ctl set str debug_filter_saddr_ip '1.1.1.1'
Set operation succeeded

영구로 값 설정 — 정수와 같은 짧은/긴 절차를 따르되 문자열은 따옴표로 감쌉니다.

fw ctl set -f str <Name_of_String_Kernel_Parameter> '<String_Text>'

파일에 직접 적을 때의 형식은 다음과 같습니다.

<Name_of_String_Kernel_Parameter>="<String_Text>"

값을 비우기(임시) — 빈 값을 따옴표로 지정합니다(재부팅하면 사라짐).

fw ctl set str '<Name of String Kernel Parameter>'
fw ctl set str "<Name of String Kernel Parameter>"

[Expert@MyGW:0]# fw ctl set str debug_filter_saddr_ip ''
Set operation succeeded
[Expert@MyGW:0]# fw ctl get str debug_filter_saddr_ip
debug_filter_saddr_ip = ''

SecureXL 커널 파라미터

SecureXL의 내부 기본 동작을 바꾸거나 특수 설정을 할 때 SecureXL 커널 파라미터 를 씁니다. Firewall 파라미터와 비슷하지만 영구화하는 파일이 다릅니다.

SecureXL 커널 파라미터의 예시입니다.

목록 보기 — 모듈 파일이 sim_kern*.o 라는 점만 다릅니다(정수는 :int param, 문자열은 :string param).

modinfo -p $PPKDIR/boot/modules/sim_kern*.o | sort -u | grep ':int param' | awk 'BEGIN {FS=":"} ; {print $1}' | xargs -n 1 fw ctl get int

조회·임시 설정 은 Firewall과 동일한 fw ctl get/set int|str 구문을 씁니다.

[Expert@MyGW:0]# fw ctl get int sim_ipsec_dont_fragment
sim_ipsec_dont_fragment = 1
[Expert@MyGW:0]# fw ctl set int sim_ipsec_dont_fragment 0
Set operation succeeded

영구로 값 설정 — $PPKDIR/conf/simkern.conf 를 편집합니다. ① ls -l 로 확인 → ② 없으면 touch 생성 → ③ cp -v ...{,_BKP} 백업 → ④ vi 편집 → ⑤ 형식대로 추가 → ⑥ 재부팅 → ⑦ 확인.

vi $PPKDIR/conf/simkern.conf
<Name_of_SecureXL_Integer_Kernel_Parameter>=<Integer_Value>
<Name_of_SecureXL_String_Kernel_Parameter>='<String_Text>'

커널 디버그 는 게이트웨이가 특정 연결을 어떻게 처리하는지 보여 주는 특수 디버그 메시지를 수집 하는 작업입니다. 주로 Check Point 지원팀·R&D가 문제를 분석할 때 씁니다.

수집은 5단계 흐름 입니다. ① 기본 디버그 설정으로 초기화하고 디버그 버퍼 할당 → ② 필요한 디버그 모듈·플래그 설정 → ③ 출력 파일로 수집 시작 → ④ 디버그 중지 → ⑤ 기본 설정으로 복원.

72코어 이상 게이트웨이에서의 동작 차이 (New Kernel Debug)

커널 디버그를 켜면 모든 CoreXL Firewall 인스턴스가 메시지를 출력하고, 게이트웨이는 시간순 통합본을 만들려고 RAM에서 실시간 병합(merge) 을 합니다. 코어가 많을수록 이 병합이 CPU·RAM을 많이 먹습니다. 그래서 R82부터 72코어 이상 게이트웨이는 기본 동작이 달라집니다.

파일로 리다이렉트할 때도 비슷합니다. 기존 방식은 지정 파일과 함께 .header, .kernel, .<VS_ID>.<CoreXL_FW_ID>(UPPAK 모드는 .uppak) 임시 파일을 만들고, 신규 방식은 지정 파일에 바로 쓴 뒤 중지 시 병합합니다.

CLI 구문 — 초기화·버퍼·모듈/플래그

아래 구문은 Gaia Clish/gClish와 Expert mode에 모두 적용되며, Scalable Platform의 Expert mode에서는 fw ... 대신 g_fw ... 를 씁니다.

내장 도움말 보기.

fw ctl debug -h        # 신규·기존 공통
fw ctl ndebug -h       # 신규
fw ctl kdebug -h       # 기존

기본 설정으로 초기화.

fw ctl debug 0     # 모든 플래그 리셋, 기본 플래그만 활성화 (권장)
fw ctl debug -x    # 기본 플래그까지 모두 비활성화

디버그 버퍼 할당 — CoreXL Firewall 인스턴스마다 할당하며 최대 8192KB 입니다. 메모리 사용량은 sk160955 참고.

fw ctl debug -buf 8200 [-v {"<List of VSIDs>" | all} -k]

사용자 공간 버퍼 는 최소한 최대 커널 버퍼(8200)만큼 잡습니다. -b 파라미터로 지정합니다.

fw ctl ndebug -b 8200 <other required parameters>
fw ctl kdebug -b 8200 <other required parameters>

모듈·플래그 설정.

fw ctl debug -m                                  # 모든 모듈과 플래그 목록
fw ctl debug                                     # 현재 활성화된 플래그
fw ctl debug -m <module> all                     # 해당 모듈의 모든 플래그 켜기
fw ctl debug -m <module> + <List of Debug Flags> # 지정 플래그 켜기(+ 뒤 공백)
fw ctl debug -m <module> - <List of Debug Flags> # 지정 플래그 끄기(- 뒤 공백)

출력 수집 ('Gateway' 모드) — 신규는 -o 로 파일을 지정하고, 기존은 -f 로 리다이렉트합니다.

fw ctl ndebug [-b <Size>] [-p <Fields>] [-k] -T [-M] [-w] [-U] [-c <N>] [-I {"<List>" | all}] -o /<Path>/<Name of Output File>
fw ctl kdebug [-b <Size>] [-p <Fields>] [-k] -T -f -o /<Path>/<Name of Output File> [-m <Number of Cyclic Files> [-s <Size of Each Cyclic File in KB>]]

출력 수집 ('VSNext'/'Legacy VSX' 모드) — -v 로 Virtual System을 지정하며, 이때 반드시 -k 도 함께 씁니다.

fw ctl ndebug [-b <Size>] [-p <Fields>] [-k] -T [-v {"<List of VSIDs>" | all}] [-M] [-w] [-U] [-c <N>] [-I {"<List>" | all}] -o /<Path>/<Name of Output File>
fw ctl kdebug [-b <Size>] [-p <Fields>] -v {"<List of VSIDs>" | all} -k -T -f -o /<Path>/<Name of Output File> [-m <Number of Cyclic Files> [-s <Size>]]

CLI 파라미터

다음은 fw ctl debug·fw ctl ndebug·fw ctl kdebug 에서 쓰는 주요 파라미터입니다.

fw ctl ndebug(신규) 전용 파라미터입니다.

fw ctl kdebug(기존) 전용으로 -f(중지할 때까지 수집)와 순환 파일 옵션이 있습니다.

커널 디버그 필터

기본적으로 디버그는 모든 연결 정보를 담습니다. 필요한 연결만 모으려면 필터를 걸 며, 디버그 시작 전에 fw ctl set 으로 해당 커널 파라미터에 값을 임시로 지정합니다. 필터는 세 종류입니다.

연결 튜플(connection tuple) 필터 — 5-tuple(출발지 IP·포트, 목적지 IP·포트, 프로토콜 번호)로 거릅니다. <N> 은 1~5 인덱스입니다.

fw ctl set str simple_debug_filter_saddr_<N> "<IPv4 or IPv6 Address>"
fw ctl set int simple_debug_filter_sport_<N> <1-65535>
fw ctl set str simple_debug_filter_daddr_<N> "<IPv4 or IPv6 Address>"
fw ctl set int simple_debug_filter_dport_<N> <1-65535>
fw ctl set int simple_debug_filter_proto_<N> <0-254>

IP 주소 필터 — 출발지든 목적지든 그 IP가 나오면 매칭. <N> 은 1~3.

fw ctl set str simple_debug_filter_addr_<N> "<IPv4 or IPv6 Address>"

VPN Peer 필터 — VPN 피어 IP로 거름. <N> 은 1 또는 2.

fw ctl set str simple_debug_filter_vpn_<N> "<IPv4 or IPv6 Address>"

모든 필터 끄기.

fw ctl set int simple_debug_filter_off 1

사용 예: 192.168.20.30:<Any> --> 172.16.40.50:80 연결을 양방향으로 보려면, 디버그 시작 전에 다음을 실행합니다.

fw ctl set int simple_debug_filter_off 1
fw ctl set str simple_debug_filter_saddr_1 "192.168.20.30"
fw ctl set str simple_debug_filter_daddr_1 "172.16.40.50"
fw ctl set str simple_debug_filter_saddr_2 "172.16.40.50"
fw ctl set str simple_debug_filter_daddr_2 "192.168.20.30"
fw ctl set int simple_debug_filter_dport_1 80
fw ctl set int simple_debug_filter_sport_2 80

커널 디버그 절차 (기본)

Expert mode에서 다음 순서로 진행합니다.

fw ctl ndebug -T -o /var/log/kernel_debug.txt          # 신규 모드
fw ctl kdebug -T -f > /var/log/kernel_debug.txt        # 기존 모드

연결 수명주기(Connection Life Cycle) 절차

연결 수명주기 는 디버그 출력을 연결·패킷 단위로 계층화한 Ruby 형식 파일 로 만들어 주는 도구입니다. 첫 계층은 연결, 펼치면 그 연결의 모든 패킷이 보입니다. Expert mode에서 일반 커널 디버그 플래그와 함께 씁니다.

conn_life_cycle.sh -a start -o /<Path>/<Name of Raw Debug Output File> [{-t | -T}] [-f "<Filter1>"] ... [-f "<Filter5>"]
conn_life_cycle.sh -a stop -o /<Path>/<Name of Formatted Debug Output File>

Scalable Platform에서는 g_all conn_life_cycle.sh ... 를 씁니다. 주요 파라미터입니다.

필터 형식과 예시(IP 192.168.20.30 임의 포트 → IP 172.16.40.50 포트 22, TCP=6):

"<Source IP>,<Source Port>,<Destination IP>,<Destination Port>,<Protocol Number>"
-f "192.168.20.30,0,172.16.40.50,22,6"

절차는 ① 접속·Expert mode → ② 플래그 활성화·확인 → ③ conn_life_cycle.sh -a start ... → ④ 문제 재현 → ⑤ conn_life_cycle.sh -a stop ... → ⑥ 파일 전송 → ⑦ Notepad++ 등에서 Ruby 언어 뷰어로 분석 입니다.

커널 디버그 모듈과 플래그

활성화한 Software Blade에 따라 사용할 수 있는 디버그 모듈이 달라 집니다. 목록은 다음으로 봅니다.

fw ctl debug -m            # 게이트웨이/Cluster Member, gClish
g_fw ctl debug -m          # Scalable Platform Expert mode

모든 모듈의 플래그 설정 구문은 동일 합니다(+ {all | <flags>}). 예: fw ctl debug -m fw + conn drop. R82가 제공하는 모듈은 다음과 같습니다(알파벳 순).

각 모듈은 수십 개의 플래그를 가지며, 대부분 error(오류)·warning(경고)·info(일반 정보) 같은 공통 플래그 와 모듈 고유 플래그로 이뤄집니다. 자주 쓰는 모듈의 대표 플래그를 살펴봅니다.

fw(방화벽) 는 가장 핵심 모듈로, conn(연결), drop(드롭), packet(패킷), sync(동기화), log(로그) 등을 켭니다. 클러스터의 모든 동기화 작업을 보려면 fw 의 sync 와 CPAS 의 sync 를 함께 켭니다.

cluster(ClusterXL) 의 주요 플래그입니다.

CI(콘텐츠 검사) 는 av(Anti-Virus), crypto(암복호화), uf(URL 필터·캐시), policy, regexp, session 등을 제공하고, APPI(애플리케이션 컨트롤) 는 connection, policy, urlf_ssl(SSL용 App Control·URL 필터), observer(CLOB 데이터 분류) 등을 제공합니다.

여러 모듈에 공통으로 등장하는 보조 플래그도 알아 두면 좋습니다 — subject(메시지 주제 출력), timestamp(타임스탬프), vs(디버그 대상 Virtual System의 VSID), verbose(추가 정보), coverage(진입·차단·소요 시간), memory(메모리 할당). 어떤 모듈이든 전체 플래그·세부 의미는 fw ctl debug -m <module> 로 직접 확인 하는 것이 가장 정확합니다.