02VSNextVSNext

핵심 이점은 세 가지입니다.

용어도 바뀌어서, Legacy VSX의 Virtual System에 해당하는 것을 VSNext에서는 Virtual Gateway(VGW) 라고 부릅니다.

여기에 중요한 전제가 있습니다. VSNext 모드는 ElasticXL Cluster 또는 Maestro Security Group에서만 켤 수 있습니다. 단독 게이트웨이에서는 쓸 수 없으며, 어떤 환경이 지원되는지는 R82 Release Notes에서 확인합니다.

VSNext에서 필요한 가상 게이트웨이와 Virtual Switch는 Gaia Portal, Gaia Clish, Gaia REST API 중 어느 것으로도 설정할 수 있습니다. 물리 게이트웨이와 같은 경험을 준다는 말이 여기서 드러나는데, SmartConsole이 아니라 Gaia 쪽 도구로 객체를 만든다는 점이 Legacy VSX와의 큰 차이입니다.

Gaia Portal 방식의 흐름

Gaia Portal에서는 다음 순서로 작업합니다.

Gaia Clish 명령

Gaia Clish에서는 add vsnext ... 계열 명령으로 객체를 만들고 set vsnext ...로 설정하며 show vsnext ...로 확인하고 delete vsnext ...로 지웁니다.

1) 객체 추가 — 가상 게이트웨이를 추가할 때는 인터페이스·ID·SIC 활성화 키·CoreXL 인스턴스 수를 함께 지정하고, Virtual Switch를 만든 뒤 둘을 잇는 virtual-link를 만듭니다.

# 가상 게이트웨이 추가
add vsnext virtual-gateway interfaces <인터페이스 이름> id {auto | <1-511>} \
    one-time-password <SIC 활성화 키> \
    instances <IPv4 CoreXL Firewall 인스턴스 수> \
    instances6 <IPv6 CoreXL Firewall 인스턴스 수> \
    wait-for-task {true | false}

# Virtual Switch 추가
add vsnext virtual-switch name <Virtual Switch 이름> id <Virtual Switch ID> \
    wait-for-task {true | false}

# 가상 게이트웨이와 Virtual Switch를 잇는 virtual-link 추가
add vsnext virtual-link virtual-gateway <VGW ID> virtual-switch <VSW ID> wrp-id <0-63>

2) 설정 변경 — 인터페이스를 특정 가상 게이트웨이에 배정하거나, 가상 게이트웨이의 IPv4/IPv6 CoreXL Firewall 인스턴스 수를 조정합니다.

# 인터페이스를 가상 게이트웨이(Virtual System)에 배정
set vsnext interfaces <인터페이스 이름> virtual-system <VGW ID>

# IPv4 인스턴스 수만 변경
set vsnext corexl-instances virtual-gateway <VGW ID> \
    ipv4-instances <IPv4 CoreXL Firewall 인스턴스 수> wait-for-task {true | false}

# IPv6 인스턴스 수만 변경
set vsnext corexl-instances virtual-gateway <VGW ID> \
    ipv6-instances <IPv6 CoreXL Firewall 인스턴스 수> wait-for-task {true | false}

# IPv4·IPv6 인스턴스 수를 한 번에 변경
set vsnext corexl-instances virtual-gateway <VGW ID> \
    ipv4-instances <IPv4 수> ipv6-instances <IPv6 수> wait-for-task {true | false}

3) 설정 확인 / 작업 추적 — 만든 객체의 상태와 진행 중인 작업을 살펴봅니다.

show vsnext overview virtual-system <VS ID>   # 특정 가상 게이트웨이 개요
show vsnext overview virtual-systems          # 모든 가상 게이트웨이 개요
show vsnext recent-tasks limit <개수>          # 최근 작업 목록(개수 지정)
show vsnext running-task <Tab으로 Task ID 선택> # 특정 진행 중 작업
show vsnext running-tasks                      # 진행 중 작업 전체
show vsnext state                              # VSNext 전체 상태

4) 삭제 — virtual-link를 먼저 끊고 가상 게이트웨이·Virtual Switch를 지웁니다.

# virtual-link 삭제
delete vsnext virtual-link virtual-gateway <VGW ID> virtual-switch <VSW ID>

# 가상 게이트웨이 삭제
delete vsnext virtual-gateway <VGW ID> \
    options {skip_cpstop_on_delete | none} wait-for-task {true | false}

# Virtual Switch 삭제
delete vsnext virtual-switch <VSW ID> \
    options {skip_cpstop_on_delete | none} wait-for-task {true | false}

Gaia REST API 명령

Gaia REST API에서는 add-...로 만들고 set-...로 설정하며 show-...로 조회하고 delete-...로 지웁니다. 자세한 명세는 Check Point Gaia API Reference 또는 로컬 Gaia REST API Reference(https://<Gaia 관리 인터페이스 IP>/gaia_docs/#introduction)의 "VSNext" 챕터에 있습니다.

1단계 — 클린 설치와 First Time Configuration Wizard

지원 플랫폼을 클린 설치하고 First Time Configuration Wizard에서 VSNext로 설정합니다.

이후 유효한 라이선스를 설치합니다. 자세한 내용은 R82 Release Notes의 "Supported Environments > VSNext and Legacy VSX" 절과 R82 Installation and Upgrade Guide를 참고합니다.

2단계 — Gaia Portal 접속

설치가 끝나면 ElasticXL Cluster / Maestro Security Group의 Gaia Portal에 접속합니다. 이때 반드시 First Time Configuration Wizard에서 지정한 동일한 메인 IP 주소로 접속해야 합니다.

3단계 — (필요 시) IPv6 지원 켜기

인터페이스에 IPv6 주소를 쓰거나 IPv6 CoreXL 설정을 하려면 먼저 Gaia OS에서 IPv6 지원을 켜야 합니다.

4단계 — 잠금 풀기

상단 도구막대의 Virtual System 필드 옆에 자물쇠(padlock) 아이콘이 보이면 클릭하고, Yes를 눌러 잠금을 override(강제 획득)합니다. 자물쇠 아이콘이 연필(pencil) 아이콘으로 바뀌어야 합니다.

5단계 — 기본 객체 확인

좌측 패널에서 Virtual Systems를 클릭합니다. 이 페이지에는 미리 정의된 기본 객체 두 개가 보입니다.

6단계 — (선택) 기본 Virtual Gateway 설정

ID 0 기본 Virtual Gateway는 다른 가상 게이트웨이를 설정하려고 접속하는 관리 컨텍스트(management context)를 보호하는 역할입니다. 이 기본 게이트웨이의 메인 IP는 First Time Configuration Wizard에서 Management Interface에 지정한 IP 주소입니다. 설정 순서는 다음과 같습니다.

7단계 — 업무용 가상 게이트웨이와 Virtual Switch 만들기

이제 실제 업무용 가상 게이트웨이와 Virtual Switch를 만듭니다. 아래에 두 가지 구성 예제가 있습니다.

구성 예제 1 — 기본 Virtual Switch로 가상 게이트웨이 하나 관리하기

기본 Virtual Switch 하나로 여러 가상 게이트웨이를 관리할 수 있는데, 이때 그 가상 게이트웨이들의 IP는 모두 ElasticXL Cluster의 MGMT 포트(또는 Maestro Security Group에 배정된 관리 포트)와 같은 서브넷이어야 합니다.

예제 토폴로지는 다음과 같습니다.

인터페이스와 IP 주소는 다음과 같습니다.

설정 순서:

구성 예제 2 — 두 가상 게이트웨이를 Virtual Switch로 잇고 서로 다른 관리 서버로 관리하기

여러 가상 게이트웨이를 만들고 각각을 서로 다른 Security Management Server / Domain Management Server로 관리할 수 있습니다. 이때 각 가상 게이트웨이는 고유한 IP 주소를 받습니다.

예제 토폴로지:

인터페이스와 IP 주소:

1부 — Virtual Switch 만들기:

2부 — Virtual Gateway #1 만들기:

3부 — Virtual Gateway #2 만들기: 2부와 같은 방식으로 진행하되, 값만 다릅니다.

8단계 — SmartConsole에서 VSNext Gateway 객체 만들기

Gaia 쪽에서 가상 게이트웨이를 만들었으면, 이제 SmartConsole에서 이를 관리할 객체를 만듭니다.

9단계 — 보안 정책 구성과 설치

10단계 — 각 가상 게이트웨이의 추가 Gaia OS 설정

ElasticXL Cluster / Maestro Security Group에서, 각 가상 게이트웨이의 컨텍스트로 들어가 인터페이스·DNS·Hosts·Static Routes·Dynamic Routing 같은 추가 Gaia OS 설정을 합니다. 각 가상 게이트웨이는 일반 Security Gateway처럼 동작합니다.

     set virtual-system <ID>
     

11단계 — 어플라이언스 추가

이 ElasticXL Cluster / Maestro Security Group에 필요한 어플라이언스를 추가합니다. 새로 합류한 Security Group 멤버는 필요한 설정을 자동으로 복사해 옵니다.