03VSX 아키텍처와 핵심 개념VSX Architecture and Concepts

VSX Gateway는 물리 장비 한 대입니다. 이 위에 Security Gateway·라우터·스위치 같은 물리 장비의 기능을 그대로 흉내 내는 가상 장치(Virtual Device)들을 올려 가상 네트워크를 구성합니다. VSX Gateway 자신이 직접 맡는 일은 두 가지입니다.

한 가지 용어상의 주의가 있습니다.

관리 서버(Security Management Server 또는 Multi-Domain Server)는 VSX Gateway에 연결해 그 위에 있는 가상 장치들에 프로비저닝과 설정 서비스를 제공합니다. 연결 방식은 로컬과 원격 두 가지가 있는데, 먼저 어느 경우든 공통으로 지켜야 할 제약부터 알아 두어야 합니다.

로컬 관리 연결 (Local Management Connection)

로컬 관리 연결은 관리 서버가 전용 VSX 관리 인터페이스를 통해 VSX Gateway에 직접 붙는 방식입니다. 로컬 관리 서버를 쓰면 모든 관리 트래픽이 VSX Gateway와 관리 서버를 잇는 Dedicated Management Interface(DMI) 로 처리되며, 이 전용 관리 인터페이스의 IP는 사설이든 공인이든 상관없습니다.

원격 관리 연결 (Remote Management Connection)

원격 관리 연결은 관리 서버가 VSX 관리 인터페이스에 연결된 라우터를 거쳐 붙는 방식으로, 관리 트래픽이 내부망이나 외부망을 통해 VSX Gateway의 관리 인터페이스에 도달합니다. 이 방식의 가장 큰 이점은 관리 트래픽이 게이트웨이를 지나는 다른 모든 트래픽과 분리 된다는 데 있습니다.

원격 관리에서도 몇 가지를 기억해야 합니다. 관리 트래픽이 Virtual Router나 Virtual Switch를 통과한다면, 그와 연결된 Warp Link의 IP가 원격 네트워크에서 출발하도록 해야 합니다. 또 원격 관리 연결이 인터넷을 통해 들어온다면 라우팅 가능한 공인 IP 를 배정해야 합니다.

관리 인터페이스는 두 갈래로 나뉘는데, 그중 하나는 이제 권장되지 않습니다.

전용 관리 인터페이스 (Dedicated Management Interface, DMI)

DMI는 VSX Gateway 또는 VSX Cluster 멤버에서 관리 트래픽 전용으로 따로 떼어 둔 인터페이스 입니다. 프로비저닝, 로깅, 모니터링 같은 관리 작업이 모두 이 인터페이스로만 흐릅니다.

비전용 관리 인터페이스 (Non-Dedicated Management Interface, Non-DMI)

VSX의 주인공은 세 가지 가상 장치입니다. 이 셋의 차이만 또렷이 잡으면 VSX의 절반은 이해한 셈입니다.

Virtual System(VS) — 가상 방화벽

여기서 각 VS가 모든 것을 자기 것으로 따로 갖는다는 점이 핵심입니다. 자기만의 Software Blade와 인터페이스와 IP를 갖는 것은 물론, 라우팅 테이블과 ARP 테이블과 동적 라우팅 설정까지 따로 가집니다. 더 들어가면 다음 네 가지도 모두 VS마다 별개입니다.

Virtual Router(VR) — L3 가상 라우터

Virtual Router가 수행하는 라우팅 기능은 구체적으로 이렇습니다.

물리 라우터가 그렇듯 각 Virtual Router는 알고 있는 네트워크와 그곳에 도달하는 경로를 담은 라우팅 테이블을 유지하며, 배치 요구에 따라 여러 개를 구성할 수도 있습니다. 한편 자신을 보호하기 위해, 자신에게 직접 오고 가는 트래픽(예컨대 VR의 IP로 보내는 ICMP ping)은 보안 정책으로 검사하지만, 자신을 거쳐 가기만 하는 트래픽 은 VR 정책으로 검사하지 않고 그대로 목적지로 넘깁니다.

Virtual Switch(VSW) — L2 가상 스위치

Virtual Router와 비교하면 차이가 분명한데, Virtual Switch로 물리 인터페이스를 공유하면 다음이 필요 없습니다.

가상 네트워크 토폴로지 안에 Virtual Switch를 여러 개 만들 수도 있습니다.

결국 VR과 VSW 사이의 선택은 트래픽을 라우팅으로 나눌 것인지(L3, Virtual Router), 아니면 같은 네트워크에 그냥 붙일 것인지(L2, Virtual Switch)의 문제로 정리됩니다.

VSX 구성에 쓰이는 인터페이스는 크게 세 가지입니다 — 물리 인터페이스, VLAN 인터페이스, 그리고 Warp Link(Unnumbered Interface 포함).

위 그림의 구성을 말로 풀면 이렇습니다. Warp Link가 Virtual Switch를 각 Virtual System에 잇고, 물리 인터페이스가 Virtual Switch를 인터넷으로 향하는 외부 라우터에 잇습니다. VLAN 인터페이스는 VLAN 트렁크를 통해 Virtual System들을 VLAN 스위치에 잇고, 그 VLAN 스위치가 보호 대상 네트워크에 연결됩니다.

물리 인터페이스

물리 인터페이스는 VSX Gateway를 관리 서버와 내부망·외부망에 연결합니다. 용도에 따라 종류가 나뉩니다.

필요하면 가상 장치에 물리 인터페이스를 더 설치·설정할 수 있으며, 이론적으로는 VSX Gateway 하드웨어와 메모리가 허용하는 한 얼마든지 둘 수 있습니다.

VLAN 인터페이스

실무의 핵심은 VLAN 인터페이스입니다. Virtual System은 보통 IEEE 802.1q 호환 VLAN 인터페이스로 보호 대상 VLAN 네트워크에 연결됩니다. 네트워크들을 802.1q 호환 스위치의 포트에 연결하면, 그 스위치가 모든 트래픽을 하나의 물리 인터페이스로 트렁킹 해 VSX Gateway에 넘깁니다. 그러면 VSX가 이더넷 프레임의 VLAN 태그를 보고 각 네트워크를 담당하는 VS로 분배하는데, 이때 물리 인터페이스의 VLAN 태그마다 가상 VLAN 인터페이스가 하나씩 배정됩니다. 예를 들어 eth3의 VLAN 태그 100은 eth3.100이라는 이름의 가상 인터페이스가 됩니다.

Warp Link

Warp Link는 Virtual System과 Virtual Router 또는 Virtual Switch 사이를 잇는 내부 가상 P2P 연결입니다. Warp Link의 양쪽 끝은 각각 해당 가상 장치 쪽의 가상 인터페이스가 되며, 관리자가 링크를 만들 때 VSX가 이름을 자동으로 붙입니다. VS 쪽 Warp 인터페이스에는 wrp 접두어가, Virtual Router/Virtual Switch 쪽에는 wrpj 접두어가 붙고, 두 경우 모두 접두어 뒤에 고유 번호 가 따라붙어 인터페이스 이름을 이룹니다. Virtual Switch에 연결될 때는 각 Warp Link에 고유 MAC 주소 도 함께 배정됩니다.

Unnumbered Interface

마지막은 Unnumbered Interface로, 하나 이상의 Virtual Router를 쓸 때 필요한 IP 주소 수를 줄이는 기법입니다. Virtual Router로 향하는 Warp Link에 전용 IP를 따로 주는 대신, 다른 인터페이스의 기존 IP를 "빌려" 쓰는 방식이며 이를 Unnumbered Interface라고 부릅니다.

위 예에서는 각 Virtual System의 외부 인터페이스가 Unnumbered여서 내부 인터페이스의 IP를 빌려 쓰며, 이 Unnumbered 인터페이스가 Virtual Router에서 본 next hop 역할을 합니다. 다만 다음 제약이 따릅니다.

VSX는 두 가지 Check Point 관리 모델을 지원합니다 — Security Management Server와 Multi-Domain Server입니다. 두 모델 모두 여러 VSX Gateway와 Virtual System에 대해 중앙 집중식 설정·관리·모니터링을 제공합니다. 어느 모델을 고를지는 다음 같은 요소에 달려 있습니다.

어느 모델이든 "물리" Security Gateway를 VSX Gateway 및 Virtual System과 함께 관리할 수 있고, VPN 커뮤니티와 원격 연결도 양쪽 모델에서 관리할 수 있습니다.

Security Management Server 모델

Security Management Server(SMS) 모델은 VS는 많지만 도메인은 하나인 기업 환경에 적합합니다. 이 경우 SmartConsole이 VS들을 담고 있는 VSX Gateway에 붙어 각 VS를 직접 관리합니다.

Multi-Domain Security Management 모델

Multi-Domain Server(MDS) 모델은 서로 다른 도메인이나 부서, 지사를 중앙에서 관리 할 때 씁니다. MDS가 각 네트워크의 정책 데이터베이스를 통제하는 중앙 노드가 되고, 각 도메인 네트워크는 Domain Management Server가 관리하는데, 이 Domain Management Server는 Security Management Server의 모든 기능을 제공하며 여러 VS와 가상·물리 장치를 담을 수 있습니다.

MDS 환경에서는 역할에 따라 이름이 나뉩니다. VSX Gateway나 VSX Cluster를 관리하는 Domain Management Server를 Main Domain Management Server라 하고, 그 안의 개별 VS나 Virtual Router를 관리하는 Domain Management Server를 Target Domain Management Server라 합니다. 한 VSX Gateway나 VSX Cluster 위의 VS들이 서로 다른 Domain Management Server의 관리를 받을 수도 있습니다.

운영 흐름으로 보면, MDS에 붙은 SmartConsole에서 Domain과 Domain Management Server를 프로비저닝·설정하고, 각 Domain Management Server는 자기만의 SmartConsole 인스턴스 로 자신의 VS와 가상 장치, 정책을 관리합니다.

관리 모델 비교

두 모델의 역량 차이를 표로 정리하면 다음과 같습니다. 여기서 Multi-Domain Server의 수치는 정상 조건에서 받아들일 만한 성능을 유지할 실용적(추정) 한계 이며, 실제 성능은 하드웨어, 네트워크 토폴로지, 트래픽 부하, 보안 요구 등 여러 요인에 좌우됩니다.

SIC — 관리 서버와의 안전한 통신

관리 서버와 VSX Gateway 사이의 모든 통신은 인증서 기반 보안 채널인 SIC(Secure Internal Communication) 로 이뤄집니다. 관리 서버는 가상 장치 프로비저닝, 정책 설치, 로깅, 상태 모니터링에 SIC를 씁니다. 최초의 신뢰는 VSX Gateway나 VSX Cluster 멤버를 설정할 때 일회용 비밀번호(one-time password) 로 맺으며, Multi-Domain Security Management 배치에서는 그 VSX Gateway/Cluster와 연결된 Domain Management Server(곧 Main Domain Management Server)와 SIC 신뢰가 맺힙니다.

가상 장치는 물리 장비와 다른 방식으로 신뢰를 맺습니다. 가상 장치를 만들면 VSX가 관리 서버와 게이트웨이 사이에 정의된 보안 채널을 통해 SIC 신뢰를 자동으로 설정 해 줍니다. VSX Gateway는 이때 자신의 관리 인터페이스를 써서 관리 서버와 모든 가상 장치 사이의 SIC를 처리합니다.

VSX Gateway는 트래픽을 세 단계로 처리합니다. 먼저 어느 컨텍스트로 보낼지 판별하고(Context Determination), 그 컨텍스트에서 보안 정책을 적용한 다음(Security Enforcement), 목적지로 전달합니다(Forwarding to destination).

컨텍스트 판별 (Context Determination)

트래픽이 도착하면 컨텍스트 판별 과정이 그 패킷을 알맞은 VS나 Virtual Router, Virtual Switch로 보냅니다. 어떻게 판별하는지는 가상 네트워크 토폴로지와 가상 장치의 연결 방식에 따라 다음 셋으로 갈립니다.

물리 인터페이스에 직접 연결된 경우

VS가 물리 인터페이스나 VLAN 인터페이스에 직접 연결돼 있으면, 그 연결(인터페이스) 자체가 컨텍스트를 결정 하고 트래픽이 그 인터페이스를 통해 바로 해당 VS로 넘어갑니다. 아래 그림으로 따라가 보면, 인터넷(①)에서 라우터(②)를 지나 VSX Gateway(③)에 도착한 트래픽이 eth1.200(⑦)으로 들어오면, 그 VLAN ID가 정의하는 컨텍스트에 따라 자동으로 Virtual System 2(⑧)로 향합니다. 같은 트렁크라도 eth1.100(⑥)으로 들어온 것은 Virtual System 1(⑤)로 갈립니다.

Virtual Switch를 거치는 경우

VS가 Virtual Switch를 거쳐 연결돼 있으면 목적지 MAC 주소 로 판별합니다. Virtual Switch의 포워딩 테이블에서 그 MAC을 찾아 해당 VS의 Warp Link로 트래픽을 보내고, 만약 테이블에 없는 MAC이면 정의된 모든 Warp Link로 브로드캐스트 합니다. 이 방식은 외부망이나 인터넷에서 들어오는 트래픽에서 흔히 볼 수 있습니다.

Virtual Router를 거치는 경우

VS가 Virtual Router를 거쳐 연결돼 있으면 Virtual Router의 라우팅 테이블 항목 으로 판별합니다. 이때 라우팅은 목적지 기반일 수도, 출발지 기반일 수도, 둘 다일 수도 있으며, 결정된 VS의 Warp Link로 트래픽이 도착합니다.

보안 적용 (Security Enforcement)

컨텍스트가 정해지면 그다음은 단순합니다. 각 VS는 독립된 Security Gateway이므로 자기만의 보안 정책으로 뒤의 네트워크를 보호 하며, 지정된 VS가 모든 트래픽을 검사해 정책 규칙대로 허용하거나 차단합니다.

목적지로 전달 (Forwarding to Destination)

검사를 통과한 트래픽은 각 VS가 가진 자기만의 설정과 규칙, 곧 NAT나 VPN 같은 고급 기능 처리를 거쳐 최종 목적지로 전달됩니다.

VSX의 라우팅은 물리 네트워크의 라우팅과 거의 똑같이 동작합니다. 이 절에서는 VSX 환경에 적용되는 라우팅 기능과 전략을 차례로 살펴봅니다.

Virtual System 사이의 라우팅

Virtual Router나 Virtual Switch를 통해 VS 뒤의 네트워크끼리 물리 장비에서와 똑같이 통신시킬 수 있습니다. 아래 그림은 Virtual Switch와 물리 VLAN 스위치에 연결된 VS들이 서로 통신하는 예로, VLAN 100의 호스트가 VLAN 200의 서버로 데이터를 보내는 상황입니다.

흐름을 단계로 따라가면 이렇습니다.

경로 전파 (Route Propagation)

VS가 Virtual Router나 Virtual Switch에 연결돼 있을 때, 그 VS의 정적 경로(static route)를 인접한 가상 장치로 전파 하도록 선택할 수 있습니다. 이렇게 하면 이웃한 VS 뒤의 네트워크 노드들이 정적 경로를 손수 설정하지 않고도 서로 통신할 수 있습니다. 경로 전파는 가상 장치의 라우팅 테이블에 해당 VS로 가는 정적 경로를 자동으로 추가 하는 식으로 동작합니다.

전파 방식은 연결 대상에 따라 다릅니다.

겹치는 IP 주소 공간 (Overlapping IP Address Space)

VSX의 가장 독특한 성질이 여기서 나옵니다. VSX는 여러 네트워크 세그먼트가 같은 IP 대역(IP 주소 공간)을 쓰더라도 연결을 가능하게 합니다. 한 VSX Gateway가 같은 IP 풀에서 주소를 나눠 주는 여러 독립 네트워크를 보호하는 경우에 이런 일이 생기는데, 서로 다른 VS 뒤에 있기만 하면 같은 IP를 가진 엔드포인트가 둘 이상 있어도 됩니다.

이것이 가능한 이유는 각 VS가 자기만의 상태 테이블과 라우팅 테이블을 갖기 때문입니다. 이 테이블들은 동일한 항목을 담을 수 있지만, 서로 다른 격리된 컨텍스트 안 에 있으므로 충돌하지 않습니다. 같은 10.0.0.0/24라도 VS1이 보는 것과 VS2가 보는 것이 전혀 다른 인터페이스와 연결을 가리키니, 마치 물리 방화벽 두 대를 따로 둔 것과 똑같은 격리가 이뤄집니다. VS는 이런 내부 IP를 하나 이상의 외부 IP로 매핑하기 위해 NAT 를 씁니다.

위 그림에서는 네트워크 1과 네트워크 2가 같은 주소 풀을 공유해 IP가 겹칠 수 있는데, 이를 막으려고 각 네트워크에서 나오거나 그곳으로 향하는 패킷을 각자의 VS가 NAT으로 처리 해 원래의/겹치는 주소를 고유한 라우팅 가능 주소로 바꿉니다.

Virtual Switch 경로 전파에서 더 알아 둘 점

토폴로지는 자동으로 정의되므로 손수 정의할 필요가 없지만, VSX 객체에서 반드시 해 주어야 하는 수동 단계 가 있습니다. 경로 전파를 켠 뒤 각 VS의 토폴로지 맵을 갱신하려면 다음과 같이 합니다.

NAT

Virtual System은 물리 Security Gateway와 거의 같은 방식으로 NAT(Network Address Translation)를 지원합니다. VS가 Static NAT이나 Hide NAT을 쓰면서 Virtual Router에 연결될 때는, 영향받는 경로를 Virtual Router로 전파 해 주어야 합니다. 그러려면 먼저 Virtual Router에 연결된 VS들의 NAT 주소를 정의해 두어야 합니다.

동적 라우팅 (Dynamic Routing)

가상 장치들은 동적 라우팅으로 경로를 주고받을 수 있으며, 각 가상 장치는 자기만의 라우팅 데몬 을 가집니다. 지원하는 프로토콜은 장치 종류에 따라 다릅니다.

이처럼 모든 것이 컨텍스트 단위로 분리돼 있기 때문에, 막상 운영에 들어가면 "지금 내가 어느 VS를 보고 있는가"가 늘 중요해집니다. 셸의 컨텍스트를 특정 VS로 바꾸는 vsenv 명령과, 컨텍스트를 혼동했을 때 생기는 운영상의 함정은 VSX 진단·트러블슈팅 챕터에서 자세히 다룹니다.

VSX Cluster 는 둘 이상의 동일한 VSX Gateway를 서로 연결해, 끊김 없는 데이터 동기화와 투명한 장애 조치(failover)를 제공하는 구성입니다. 그리고 VSLS(Virtual System Load Sharing) 는 Virtual System들을 그 트래픽 부하와 함께 여러 중복 장비에 나눠 배치해 처리량을 끌어올립니다. ClusterXL의 기능에 관한 자세한 내용은 R82 ClusterXL Administration Guide를 참고하세요.

High Availability

VSX는 VSX Gateway와 Virtual System 모두에 대해 High Availability와 투명한 장애 조치를 지원합니다. Active VSX Cluster 멤버가 죽으면 모든 세션이 끊김 없이, 안전하게 Standby 멤버로 계속 이어집니다. 사용자는 연결을 유지한 채 장애 조치를 알아채지 못하며, 장애 조치 때 다시 인증할 필요도 없습니다. Selective Sync 를 쓰면 VSX Cluster 멤버 동기화를 켜거나, 지연시키거나, 끌 수 있습니다.

Virtual System Load Sharing (VSLS)

Load Sharing은 개별 Virtual System에 장애 조치를 제공하면서도 상당한 성능 이점 을 줍니다. 게이트웨이 한 대 대신 여러 대를 쓰면 VPN, Security Server, Policy Server, Active Directory(LDAP)처럼 CPU를 많이 쓰는 작업의 성능이 크게 올라갑니다. Virtual System 인스턴스를 여러 VSX Cluster 멤버에 나눠 배치하므로 성능 부하가 멤버들 사이에 효율적으로 분산되는데, 예를 들어 Active Virtual System 1은 멤버 A에서, Active Virtual System 2는 멤버 B에서 돌아가는 식입니다. Standby·Backup VS 인스턴스도 마찬가지로 멤버들에 흩어 배치해 장애 조치 상황에서도 처리량을 최대로 유지합니다.

VSLS는 뛰어난 확장 해법이기도 합니다. 트래픽 부하와 성능 요구가 늘어나면 기존 VSLS 클러스터에 VSX Cluster 멤버를 추가 해 확장할 수 있어 Maestro 환경에서 주로 씁니다. 두 모드의 자세한 설정은 VSX 클러스터 구성 챕터에서 다룹니다.