05내부 네트워크 배포 전략Deploying VSX - Internal Network Deployment Strategies
VSX 환경에서 Virtual System은 내부 네트워크를 보호합니다. 이 챕터는 그 내부망을 보호하는 대표적인 VSX 배포 사례들을 보여 주는데, 각 사례마다 VSX의 서로 다른 특징을 부각합니다. 여기서는 방식들을 하나씩 따로 설명하지만, 실제 현장에서는 이 특징들을 자유롭게 조합해 복잡한 기업 환경에 맞는 강력한 사이버 보안 솔루션을 만듭니다.
Security Gateway의 물리 네트워크 배포
비교의 출발점으로 물리 네트워크를 먼저 떠올려 봅니다. 큰 물리 네트워크 배포에서는 Security Gateway 같은 여러 개의 Check Point 보안 제품을 두어 네트워크 구간들을 보호합니다. 각 Security Gateway는 자신이 보호하는 내부망에 물리적으로 직접 연결되고, 동시에 다른 내부망과 인터넷에 접근하기 위한 라우터에도 연결됩니다.
| 번호 | 구성 요소 |
|---|---|
| 1 | Internet |
| 2 | Router |
| 3 | Security Gateways |
| 4 | Network 1 |
| 5 | Network 2 |
VSX는 바로 이 그림을 게이트웨이 한 대 안으로 옮기는 것이고, 옮기는 방법이 아래 네 가지입니다. 이 챕터에서 보여 주는 것은 내부망을 보호하는 샘플 VSX 배포들이며, 각 예제는 서로 다른 기능을 강조합니다.
방식 1 — VS마다 전용 물리 인터페이스
가장 기본적인 VSX 구성입니다. 각 Virtual System이 VSX Gateway의 물리 인터페이스를 통해 보호 대상 내부망에 직접 연결되고, 내부망들 사이와 인터넷 쪽은 Virtual Switch가 이어 줍니다. 구조가 단순해서 적고 고정된 수의 내부망을 보호할 때 적합합니다.
| 번호 | 구성 요소 | 번호 | 구성 요소 |
|---|---|---|---|
| 1 | Internet | 6 | Virtual System 2 |
| 2 | Router | 7 | Switch(스위치) |
| 3 | Virtual Switch | 8 | Network 1 |
| 4 | VSX Gateway | 9 | Network 2 |
| 5 | Virtual System 1 | — | Warp Link(VS와 Virtual Switch를 잇는 가상 케이블) |
다만 이 배포에는 분명한 단점이 있습니다. 보호할 네트워크마다 VSX Gateway에 전용 물리 인터페이스가 하나씩 필요하다는 점입니다. 물리 포트 수는 한정돼 있으니, 분명히 많은 Virtual System이 필요한 환경에는 맞지 않습니다.
방식 2 — 내부 VLAN 인터페이스 (가장 일반적)
이 배포 예시에서는 Virtual System들이 VLAN 인터페이스를 통해 내부 보호망에 연결됩니다. VSX Gateway는 802.1q VLAN 트렁크 하나로 VLAN 스위치에 연결되는데, 이 트렁크는 그 위를 지나는 모든 VLAN을 한데 묶은 집합체(aggregate)입니다.
| 번호 | 구성 요소 | 번호 | 구성 요소 |
|---|---|---|---|
| 1 | Internet | 8 | Management Server(관리 서버) |
| 2 | Router | 9 | Virtual Switch |
| 3 | Physical interface(물리 인터페이스) | 10 | Warp interface(Warp 인터페이스) |
| 4 | VLAN Switch(VLAN 스위치) | 11 | Virtual System 1 |
| 5 | Network 1 | 12 | Virtual System 2 |
| 6 | Network 2 | 13 | VLAN Interface(VLAN 인터페이스) |
| 7 | VSX Gateway | 14 | VLAN Trunk(VLAN 트렁크) |
이 구성은 하나의 VSX Gateway나 클러스터로 많은 Virtual System이 많은 내부망을 보호하는 환경에 알맞습니다. VLAN이 확장성(scalability)과 세분성(granularity)을 주기 때문에, 기존 IP 주소 구조를 바꾸지 않고도 Virtual System과 보호망을 빠르게 추가·프로비저닝할 수 있습니다. 실무에서 가장 흔히 쓰는 방식이 바로 이것입니다.
방식 3 — 내부 Virtual Router + 출발지 기반 라우팅
이 시나리오는 VLAN 기술 없이 단일 물리 인터페이스만으로 Virtual System들을 보호망에 연결합니다. 핵심은 Virtual Router가 출발지 IP 주소를 보고 알맞은 Virtual System으로 트래픽을 보내는 출발지 기반 라우팅(source-based routing) 규칙을 쓴다는 점입니다. 각 Virtual System이 하나의 Virtual Router에 연결된 구성에서, 그 Virtual Router에 출발지 기반 라우팅 규칙을 설정해 출발지 IP에 따라 트래픽을 알맞은 VS로 분배합니다.
| 번호 | 구성 요소 | 번호 | 구성 요소 |
|---|---|---|---|
| 1 | Internet | 7 | Virtual Router |
| 2 | Router | 8 | Router |
| 3 | Virtual Switch | 9 | Network 1 |
| 4 | VSX Gateway | 10 | Network 2 |
| 5 | VS 1 | — | Warp link |
| 6 | VS 2 |
이 시나리오에는 다음 같은 전제와 특징이 있습니다.
- 각 Virtual System은 공인 IP 주소로 Virtual Switch에 연결됩니다.
- Virtual Router에 연결된 각 로컬 네트워크는 사설 IP 주소를 씁니다.
- 이 배포는 IP 주소 중복(overlapping IP addresses)을 지원하지 않습니다.
- 공유 내부 인터페이스에서 나온 패킷에 대해서는 Anti-Spoofing 보호가 동작합니다.
방식 4 — Bridge 모드의 Virtual System
마지막은 Bridge 모드입니다. Bridge 모드의 Virtual System은 IP 라우팅 대신 네이티브 L2 브리징을 그대로 수행하며, 같은 VSX Gateway 위에서 L3 Virtual System과 공존할 수 있습니다.
이 방식의 가장 큰 장점은 기존 IP 라우팅 구조를 다시 손보지 않고도 기존 네트워크 토폴로지에 Virtual System을 쉽고 투명하게(transparently) 끼워 넣을 수 있다는 것입니다. 특히 대규모 클러스터 환경에 잘 맞습니다. Bridge 모드의 자세한 동작과 설정은 Bridge 모드 챕터에서 다룹니다.