09VSX 클러스터 구성Configuring VSX Clusters

VSX 클러스터는 Virtual System과 그 밖의 가상 장치들에 이중화와 부하 분산을 제공합니다. 둘 이상의 동일하고 서로 연결된 VSX Gateway로 구성되며, 멤버 사이에 데이터를 끊임없이 동기화합니다. VSX 환경에서 클러스터를 쓰는 이점은 다음과 같습니다.

VSX 클러스터의 모드는 두 가지입니다.

VSLS를 High Availability로 변환할 수도 있습니다(아래 클러스터 타입 바꾸기 참고).

VSX 클러스터를 이해하려면 물리 클러스터를 먼저 떠올리는 게 좋습니다. VSX 클러스터는 Check Point ClusterXL 개념을 바탕으로 하므로, 그 원리가 VSX 가상화에 어떻게 적용되는지 보면 됩니다.

일반적인 Security Gateway 배포에서 클러스터는 둘 이상의 동일하고 서로 연결된 물리 Security Gateway로 이뤄져 이중화·부하 분산을 제공하고, 하나의 Security Gateway처럼 동작합니다. 이 클러스터는 자체 IP를 가지는데, 이를 Cluster IP(또는 Virtual IP) 라고 부릅니다. 이 IP는 멤버들의 물리 IP와는 별개이며, 멤버의 물리 IP는 클러스터에 연결된 네트워크에서는 보이지 않습니다.

외부 네트워크나 인터넷에서 내부 네트워크로 향하는 트래픽은 외부 Cluster IP로 도착합니다. 클러스터 모드(High Availability 또는 Load Sharing)에 따라 지정된 멤버가 트래픽을 받아 필요한 검사를 수행한 뒤, 목적지인 내부 네트워크로 보내거나 버립니다. 반대로 내부 네트워크가 인터넷·외부로 보내는 트래픽도 Cluster IP로 향하고, 지정된 멤버가 이를 처리·검사한 뒤 외부 목적지로 전달합니다.

각 멤버 인터페이스에는 고유한 물리 IP가 있습니다. 이 IP는 물리 네트워크에 보이지 않으며, 멤버 간 그리고 멤버와 관리 서버 사이의 내부 통신 에만 쓰입니다. 보안 정책 다운로드, 로그 전송, 개별 멤버 상태 점검 같은 작업이 여기에 해당합니다.

VSX 클러스터도 물리 클러스터처럼 동기화된 게이트웨이 둘 이상을 묶어, 하나가 죽으면 다른 하나가 즉시 자리를 대신합니다. VSX 클러스터는 두 수준에서 정의되며, VSX는 Virtual System·Virtual Router·Virtual Switch와 그 인터페이스가 모든 멤버에 동일하게 프로비저닝·설정되도록 보장합니다. 각 멤버에 들어 있는 동일한 가상 장치 인스턴스를 서로 peer(피어) 라고 부릅니다.

VSX는 네트워크·보안 가상화를 뒷받침하는 관리 기능을 제공하는데, 그중 핵심은 다음과 같습니다.

물리 네트워크처럼 사전 계획이 동작하는 네트워크를 만드는 열쇠이며, 특히 IP 주소 할당에 각별한 주의가 필요합니다. VSX 클러스터 구성 선택에 따라 필요한 공인·사설 IP 개수가 달라집니다.

VSX 클러스터 아키텍처

VSX의 IP 주소 할당은 물리 네트워크와 비슷합니다. 내부·외부 연결, 관리, 상태 동기화를 위해 실제 IP와 가상 IP가 모두 필요합니다. 다만 VSX가 가상 장치 사이의 Warp Link IP는 자동으로 배정해 주므로 관리 부담이 줄어듭니다. 예를 들어 Virtual Router와 그에 연결된 Virtual System 사이의 Warp Link는 사용자가 개입하지 않아도 자동으로 만들어지고 IP가 배정됩니다.

VSX 클러스터 네트워크는 세 가지 요소로 이뤄집니다 — 동기화 네트워크(Synchronization Network), 내부 통신 네트워크(Internal Communication Network), 가상 IP 주소(Virtual IP).

동기화 네트워크

동기화 네트워크 는 멤버 간 상태 동기화 데이터를 나르는 물리 네트워크입니다. 클러스터를 처음 정의할 때 설정하며, 멤버를 추가·제거할 때 필요에 따라 바꿀 수 있습니다. 상태 동기화는 ClusterXL 배포뿐 아니라 다른 OPSEC 인증 VSX 솔루션에서도 쓸 수 있습니다. 동기화 네트워크에는 기업 네트워크 어디에서도 쓰지 않는 고유한 IP 를 반드시 써야 합니다.

내부 통신 네트워크

내부 통신 네트워크 는 ClusterXL 환경에서 동기화 네트워크에 더해 필요한 가상 네트워크로, 외부 네트워크에는 보이지 않으며 멤버들이 환경의 상태를 인식하고 서로 통신하게 해 줍니다. VSX가 클러스터 생성 과정에서 IP를 자동 배정하므로 각 멤버에 수동으로 IP를 줄 필요가 없습니다. 기본값은 다음과 같습니다.

이 기본 IP는 VSX 클러스터 객체의 Gateway Cluster Properties > Cluster Members 페이지에서 바꿀 수 있지만, Virtual System을 만들기 전에만 가능합니다. 일단 Virtual System을 만들면 내부 통신 네트워크의 IP 범위는 변경할 수 없습니다.

가상 IP 주소

가상 IP 주소(Cluster Virtual IP) 는 외부 네트워크에 보이는 유일한 IP 입니다. 배정하는 Cluster IP는 직접 연결된 서브넷에 대응해야 하고, 유효한 next hop 역할을 해야 합니다. 이는 전통적인 클러스터 구성에서 쓰는 가상 주소와 비슷합니다.

기본 클러스터 구성은 대부분 SmartConsole에서 하지만, 많은 클러스터 관리 절차는 명령줄이 필요합니다. 예를 들어 VSX 클러스터 정의를 바꾸려면 CLI(vsx_util)를 써야 합니다. 멤버에서 상태를 들여다보는 cphaprob state 같은 명령은 현재 VS 컨텍스트 기준으로 동작하므로, 진단할 때는 vsenv로 대상 VS에 들어간 상태인지 늘 확인하세요.

새 클러스터는 SmartConsole의 VSX Cluster Wizard 로 만듭니다. 마법사를 마친 뒤에는 대부분의 클러스터·멤버 속성을 SmartConsole에서 바로 수정할 수 있습니다.

General Properties — 클러스터 일반 속성

Cluster General Properties 페이지에는 VSX 클러스터의 기본 속성이 들어 있습니다.

멤버 추가

VSX Cluster Members 창에서 새 클러스터의 멤버를 정의합니다. 멤버는 최소 두 개 를 정의해야 하며, 나중에 더 추가할 수 있습니다.

클러스터 인터페이스 정의

VSX Cluster Interfaces 창에서는 물리 인터페이스를 VLAN Trunk 로 정의할 수 있습니다. 목록에는 VSX Gateway나 클러스터 객체에 현재 정의된 모든 인터페이스가 표시됩니다. VLAN Trunk로 만들려면 인터페이스를 하나 이상 선택하고, 할당을 해제하려면 선택을 풉니다.

멤버별 동기화 IP 구성

사용자 지정 구성 옵션을 선택했다면 VSX Cluster Members 창이 나타나, 각 멤버의 동기화 IP를 정의하게 됩니다.

VLAN을 동기화 인터페이스로 쓰려면 다음과 같이 합니다.

클러스터 관리(보안 정책)

VSX Gateway Management 페이지에서는 클러스터 자체를 보호하는 보안 정책 규칙 몇 가지를 정의합니다. 이 정책은 새 VSX 클러스터에 자동으로 설치됩니다.

이 보안 정책은 다음 서비스를 다루는 사전 정의 규칙으로 이뤄집니다 — UDP: SNMP 요청, TCP: SSH 트래픽, ICMP: Echo-request(ping), TCP: HTTPS(보안 HTTP) 트래픽.

클러스터 보안 정책은 다음과 같이 구성합니다.

마법사 마무리

마법사로 클러스터를 만든 뒤에는 Cluster Members Properties 창에서 토폴로지와 그 밖의 파라미터를 바꿀 수 있습니다. 이 창에서는 마법사로는 다룰 수 없던 고급 기능도 구성할 수 있습니다. 클러스터 정의를 다루려면 SmartConsole에서 클러스터 객체를 더블클릭해 VSX Cluster Properties 창을 엽니다. 대부분의 객체는 SmartConsole에서 정의할 수 있지만, 일부 기능·속성은 CLI 명령으로만 구성할 수 있습니다. VSX에 특화되지 않은 기능(NAT·IPS·VPN 등)의 자세한 설명은 온라인 도움말이나 해당 제품 문서를 참고하세요.

General Properties

General Properties 페이지에서 일반 속성을 보고, 이 클러스터에 쓸 Software Blade를 활성화합니다. 다음 속성을 바꿀 수 있습니다.

VSX Cluster Members

Cluster Members 페이지에서는 개별 멤버의 여러 속성(멤버 IP, 내부 통신 네트워크 IP 등)을 보고 수정할 수 있습니다. 이 페이지에는 모든 멤버가 표시되며, 멤버를 선택하고 Edit 를 누르면 Cluster Member Properties 창이 열립니다. 편집할 수 있는 설정은 다음과 같습니다.

Where used 를 클릭하면 객체 데이터베이스에서 선택한 멤버가 어디에 쓰이는지 알 수 있습니다 — 이름(Name), 객체가 등록된 데이터베이스 테이블(Table), 제거 가능 여부(Is removable), 새로 고침(Refresh), 사용 위치(Context).

내부 IP 주소와 넷마스크

VSX는 내부 통신 네트워크를 만들고 사전 정의된 풀에서 IP·넷마스크를 자동 배정합니다. 아직 Virtual System을 만들지 않았다면 여기서 이 IP를 바꿀 수 있습니다. 이 주소에서 나가는 트래픽이 어떤 네트워크로도 보내지지는 않지만, 이 IP가 정의한 네트워크 어디에서도 쓰이지 않는 고유한 값 인지 반드시 확인해야 합니다.

ClusterXL

상태 동기화를 관리하려면 ClusterXL 창을 열거나 관리 서버에서 vsx_util 명령을 실행합니다.

나머지 ClusterXL 구성 속성은 비활성화됩니다.

Physical Interfaces

Physical Interfaces 페이지에서는 VSX Gateway에 물리 인터페이스를 추가·삭제하고, VLAN Trunk로 쓸 인터페이스를 정의합니다.

Synchronization

Synchronization 창은 상태 동기화 네트워크를 표시합니다. 여기에는 구성 가능한 속성이 없습니다.

Topology

Topology 페이지에서는 인터페이스와 라우팅 정의를 보고 구성합니다.

인터페이스

Interfaces 영역에서 인터페이스와 장치로의 링크를 정의합니다. 새 인터페이스를 추가하고, 기존 인터페이스를 삭제·수정할 수 있습니다.

인터페이스를 추가하려면:

인터페이스를 변경하려면 인터페이스를 더블클릭해 Interface Properties 창에서 파라미터를 바꾸고 OK 를 누릅니다. 삭제하려면 인터페이스를 선택하고 Delete, 그리고 OK 를 누릅니다.

라우트

Topology 창의 Routes 영역에서는 네트워크 장치·네트워크 주소·가상 장치 사이의 라우트를 정의합니다. 일부 라우트는 인터페이스 정의를 바탕으로 자동으로 만들어지며, 사용자가 라우트를 추가·변경·삭제할 수 있습니다.

기본 라우트를 추가하려면:

새 라우트를 추가하려면:

라우트를 변경하려면 라우트를 선택하고 Edit 로 Route Configuration 창을 열어 설정을 바꾸고 OK 를 누릅니다. 삭제하려면 라우트를 선택하고 Remove 를 누른 뒤 확인 창에서 OK 를 누릅니다.

라우팅 정보로 토폴로지 자동 계산

이 옵션을 켜면 VSX가 인터페이스·라우팅 정의를 바탕으로 네트워크 토폴로지를 자동 계산하며, 기존 내부·외부 네트워크에 연결된 자동 링크나 연결 클라우드 객체를 만듭니다(기본으로 켜져 있음).

VPN Domain

Topology 페이지의 VPN Domain 영역에서는 피어 Virtual System과 VPN 터널로 통신하는 호스트 집합을 정의합니다. 가상 장치를 VPN 연결의 일부로 포함하려면 VPN Domain을 정의하며, 이 도메인이 VPN에 포함되는 Virtual System 인터페이스를 규정합니다. 정의 방식은 다음과 같습니다.

VPN 도메인을 지정하려면 Set domain for Remote Access Community 를 클릭해 창을 열고, Remote Access Community를 더블클릭한 뒤 도메인을 선택하거나 New 로 새 도메인을 정의하고 OK 를 누릅니다.

NAT

NAT > Advanced 페이지에서는 Virtual System에서 나오는 패킷에 NAT 규칙을 구성합니다.

VSX Bridge Configuration

VSX Bridge Configuration 페이지에서는 Bridge 모드에서 쓸 루프 감지 알고리즘을 지정합니다. Check Point ClusterXL 옵션을 켜면 ClusterXL의 Active/Standby Bridge 모드 루프 감지 알고리즘을 쓰고, Standard Layer 2 Loop Detection Protocols 를 켜면 STP·PVST+ 같은 표준 루프 감지 프로토콜을 씁니다. 자세한 내용은 Bridge 모드 장을 참고하세요.

관리 IP·서브넷, 내부 통신 네트워크 IP 바꾸기

클러스터 관리 IP나 서브넷을 추가·변경·삭제하려면 관리 서버에서 vsx_util change_mgmt_ip·vsx_util change_mgmt_subnet 명령을 실행합니다. 내부 통신 네트워크 IP를 바꾸려면 vsx_util change_private_net 명령을 씁니다(vsx_util의 모든 하위 명령은 명령어 레퍼런스 장에 정리돼 있습니다).

vsx_util change_mgmt_ip       # 클러스터 관리 IP 변경
vsx_util change_mgmt_subnet   # 클러스터 관리 서브넷 변경
vsx_util change_private_net   # 내부 통신 네트워크 IP 변경

새 멤버 추가

   vsx_util add_member
   

a. Security Management Server 또는 Main Domain Management Server의 IP를 입력합니다. b. 관리 서버 관리자 사용자 이름과 암호를 입력합니다. c. 화면 안내를 따릅니다. 6. add member operation finished successfully 메시지가 나타날 때까지 기다립니다. DB가 갱신·저장되었다는 뜻입니다. > 참고 — Multi-Domain Server 환경에서는 관리자가 잠근 Domain Management Server를 이 작업이 건너뜁니다. 그런 경우, 해당 Domain Management Server가 풀린 뒤 명령을 다시 실행하세요. 7. Do you wish to reconfigure the new VSX gateway/VSX cluster member 프롬프트가 나타납니다. - 지금 재구성(권장) — y 를 입력합니다. Reconfigure module operation completed successfully 요약이 나타나면 새 멤버를 재부팅합니다. - 나중에 재구성 — n 을 입력한 뒤, 나중에 반드시 다음 단계를 따릅니다. 모든 SmartConsole을 닫고, 관리 서버 명령줄에 Expert mode로 접속해 vsx_util reconfigure 를 실행하고, 완료 요약이 나타나면 새 멤버를 재부팅합니다.

   vsx_util reconfigure
   

   cphaprob state
   

   vsx_util vsls
   

멤버 제거

   vsx_util remove_member
   

a. Security Management Server 또는 Main Domain Management Server의 IP를 입력합니다. b. 관리 서버 관리자 사용자 이름과 암호를 입력합니다. c. 멤버에서 라이선스를 분리했음을 확인하는 y 를 입력합니다. d. VSX 클러스터를 선택합니다. e. 제거할 멤버를 선택합니다. f. 제거할 멤버가 연결 해제되었음을 확인하는 y 를 입력합니다. 7. remove member operation finished successfully 메시지가 나타날 때까지 기다립니다. (Multi-Domain Server 환경에서는 잠긴 Domain Management Server를 건너뛰므로, 풀린 뒤 다시 실행하세요.) DB가 갱신·저장됩니다. 8. SmartConsole로 관리 서버에 접속해 Gateways & Servers 에서 클러스터 객체를 더블클릭합니다. 9. 왼쪽 트리에서 Cluster Members 를 클릭해, 제거한 멤버를 나타내는 객체가 사라졌는지 확인합니다.

vsx_util add_member        # 새 멤버 추가
vsx_util reconfigure       # 새 멤버 구성 (이후 재부팅)
cphaprob state             # 각 멤버에서 상태 확인
vsx_util vsls              # VSLS 모드: VS 재분배
vsx_util remove_member     # 멤버 제거 (먼저 라이선스 분리)

클러스터 모드를 바꿀 때는 관리 서버의 vsx_util convert_cluster 명령을 씁니다(vsx_util의 모든 하위 명령은 명령어 레퍼런스 장 참고).

VSLS → High Availability 변환

1단계 — 모든 Active Virtual System을 한 멤버에 모읍니다.

2단계 — 각 멤버에서 VSLS 옵션을 끕니다.

각 멤버에서 명령줄에 Expert mode로 접속해 cpconfig 를 실행하고, Per Virtual System State 와 ClusterXL for Bridge Active/Standby 를 끈 뒤 서비스를 재시작합니다(페일오버가 일어날 수 있음).

cpconfig            # Per Virtual System State, Bridge Active/Standby 비활성화
cpstop ; cpstart    # 서비스 재시작 (페일오버 유발 가능)

3단계 — 클러스터를 High Availability로 변환합니다.

vsx_util convert_cluster   # VSLS → HA (메뉴에서 HA 입력)
vsx stat -v                # 각 멤버: VSX 구성 점검
cphaprob state             # 각 멤버: 클러스터 상태 점검

변환이 끝나면, 모든 Virtual System이 Active인 멤버 하나와 모두 Standby인 멤버 하나 만 남아야 합니다. 그 밖의 멤버는 Standby 상태이고, 그 위의 Virtual System은 Down 상태가 됩니다.

High Availability → VSLS 변환

   cpconfig            # Per Virtual System State, Bridge Active/Standby 활성화
   cpstop ; cpstart    # 서비스 재시작
   

vsx_util convert_cluster   # HA → VSLS (메뉴에서 LS 입력)

여기서부터는 VSLS의 동작 원리를 좀 더 깊이 들여다봅니다.

소개

VSLS는 Virtual System 트래픽을 서로 다른 Active 멤버에 배정하는 클러스터 기술로, 다음과 같은 이점을 줍니다.

예를 들어 멤버 3대에 각각 Virtual System이 3개인 배포라면, 균등한 부하 분산 구성에서는 각 멤버가 서로 다른 Active Virtual System을 하나씩 맡습니다.

Requirements

모든 멤버의 모든 Virtual System은 서로 직접 연결돼 있어야 합니다. 연결은 스위치나 VLAN으로 이뤄져야 하며, 이는 VSLS가 Virtual System의 상태를 감지·배정하는 데 필요합니다.

Virtual System 우선순위(Priority)

우선순위는 어느 멤버가 그 Virtual System의 Active·Standby·Backup 상태를 맡을지에 대한 선호 를 정수로 나타냅니다.

우선순위는 관리 서버의 vsx_util vsls 명령으로 바꿉니다.

Virtual System 가중치(Weight)

모든 Virtual System이 트래픽·부하 면에서 똑같지는 않으므로, VSLS는 개별 Virtual System에 가중치(weight) 를 부여하게 해 줍니다. 가중치는 다른 Virtual System들이 멤버 사이에 흩어지는 분산 패턴에 영향을 줍니다. 어떤 Virtual System에 더 무거운 가중치를 주면 그 VS는 특정 멤버에서 더 많은 자원을 차지하고, 나머지 VS는 다른 멤버로 분산됩니다. 기본적으로 모든 Virtual System에는 동일한 가중치 10 이 배정됩니다. 가중치도 관리 서버의 vsx_util vsls 명령으로 바꿉니다.

Virtual System 상태와 세 가지 상태

VSLS는 기존의 Active·Standby 에 Backup 상태를 더합니다. 핵심은 Backup 상태는 각 Virtual System의 최신 구성 설정은 갖지만 상태 테이블 동기화는 받지 않는다 는 점입니다.

VSLS 클러스터에서 각 Virtual System 피어는 모든 멤버에 복제되고, 각 복사본은 서로 다른 상태에 있습니다. Active와 Standby 상태만 동기화 되므로, Active VS나 멤버가 죽으면 Standby 피어가 즉시 Active가 될 수 있습니다. 이때 Backup 피어가 Standby가 되어 새 Active와 곧바로 동기화합니다. VSLS는 이렇게 페일오버 전까지 Backup의 상태 테이블을 동기화하지 않음 으로써 동기화 네트워크의 부하를 줄입니다.

정상 배포 시나리오

예를 들어 멤버 3대에 각각 Virtual System이 3개라면, 균등한 부하 분산 구성에서는 각 멤버가 서로 다른 VS의 Active를 하나씩 맡아 부하가 멤버들 사이에 고르게 퍼집니다. Virtual System을 만들면 시스템이 자동으로 Standby와 Backup 상태를 만들어 다른 멤버들에 분배합니다.

멤버 장애 시나리오

멤버 하나가 죽거나 연결 문제를 겪으면, VSLS가 이를 감지해 영향받는 Virtual System들의 트래픽을 각자의 Standby Virtual System으로 보냅니다. Active 피어와 완전히 동기화돼 있던 Standby는 즉시 Active로 바뀌어 기존 연결을 그대로 유지하고, 동시에 Backup Virtual System이 Standby로 올라와 새 Active와 완전히 동기화합니다.

이 시나리오에서 멤버 1이 죽으면 그 위의 Active·Standby Virtual System이 멤버 2와 멤버 3으로 페일오버합니다. Active Virtual System(VS1)은 멤버 2로 옮겨가 모든 VS1 트래픽을 직접 받고, 멤버 3에 있던 VS1의 Backup 피어가 새 Active와 동기화해 Standby가 됩니다. 멤버 2의 VS2는 Standby가 되어 멤버 3의 Active 피어와 동기화하고, VS3의 Active·Standby 피어는 그대로 유지됩니다.

개별 Virtual System 장애 시나리오

한 멤버에서 Active Virtual System 하나만 죽고 Standby·Backup은 살아 있는 경우, 그 Active Virtual System은 자기 Standby 피어로 페일오버하고 Backup이 새 Standby가 됩니다. 새 Standby는 새 Active 멤버와 동기화하며, 나머지 Virtual System들은 영향 없이 평소대로 동작 하고 페일오버가 일어나지 않습니다.

장애 복구

죽었던 멤버나 Virtual System이 다시 살아나면, 시스템은 원래의 부하 분산 구성으로 되돌아갑니다.

VSLS 모드로 클러스터 구성하기

   cpconfig    # Enable Check Point Per Virtual System State → 재부팅
   

   vsx_util vsls
   

vsx_util vsls 는 VSLS 설정의 만능 도구입니다. 다음 작업을 모두 이 명령으로 합니다 — 현재 VSLS 구성 보기, VS를 멤버에 균등 분배, 모든 VS를 한 멤버에 Active로 모으기, 개별 VS의 우선순위·가중치 수동 지정, Active Up ↔ Primary Up 모드 전환, VSLS 구성을 CSV로 import/export. 절차는 관리 서버 명령줄에 Expert mode로 접속해 vsx_util vsls 를 실행하고 관리 서버 IP·관리자 이름·암호를 입력한 뒤, VSLS 메뉴에서 알맞은 옵션을 고르는 것입니다.

[Expert@MGMT:0]# vsx_util vsls
Enter Security Management Server/main Domain Management Server IP address (Hit 'ENTER' for 'localhost'): 172.16.16.240
Enter Administrator Name: admin
Enter Administrator Password: ****
Select VSX gateway/cluster object name:
1) VSX_Cluster_1
2) VSX_Cluster_2
3) VSX_GW_1
4) VSX_GW_2
Select: 1
VS Load Sharing - Menu
________________________________
1. Display current VS Load sharing configuration
2. Distribute all Virtual Systems so that each cluster member is equally loaded
3. Set all VSes active on one member
4. Manually set priority and weight
5. Toggle VSLS mode between Active Up and Primary Up
6. Import configuration from a file
7. Export configuration to a file
8. Exit
Enter redistribution option (1-8) [1]:

VSLS 상태 보기

현재 VSLS 상태와 멤버 간 Virtual System 분배를 보려면 VSLS 메뉴에서 Display current VS Load Sharing configuration 을 고릅니다. 출력 예시는 다음과 같습니다.

VSID| VS name | gw150 | gw151 | gw152 | Weight |
----+---------+-------+-------+-------+--------+
 2  | vs1     |   0   |   1   |   2   |   10   |
 3  | vs2     |   2   |   0   |   1   |   10   |
 4  | vs3     |   1   |   2   |   0   |   10   |
 5  | vs5     |   0   |   2   |   1   |   10   |
 6  | vs4     |   1   |   0   |   2   |   10   |
----+---------+-------+-------+-------+--------+
Total weight |  20   |  20   |  10   |   50   |
----+---------+-------+-------+-------+--------+
Legend:
0 - Highest priority
1 - Next priority
2 - Lowest priority

각 행은 한 Virtual System을 나타내며, 각 멤버 열의 숫자는 그 멤버가 맡은 우선순위(0 이 Active, 1 이 Standby, 2 이상이 Backup)입니다. Weight 열은 가중치이고, Total weight 행은 멤버별 가중치 합계입니다.

멤버 간 Virtual System 분배하기

VSLS의 가장 큰 이점은 Active·Standby·Backup Virtual System을 멤버 사이에 분배해 처리량과 사용자 응답 시간을 최대화한다는 것입니다. 분배 방법은 다음과 같습니다.

Active Virtual System을 멤버에 자동 균등 분배 — 배정된 가중치와 기존·기본 우선순위 정의를 바탕으로, 모든 멤버가 균등하게 부하를 지도록 자동 분배합니다.

모든 Active Virtual System을 같은 멤버에 배정

각 Virtual System의 우선순위·가중치를 수동 구성

모든 Virtual System에 가중치를 자동 배정하려면:

개별 Virtual System에 우선순위·가중치를 수동 배정하려면:

VSLS 구성 내보내기·들여오기

Virtual System과 멤버가 많은 대규모 VSLS 배포에서는, 관리 서버에서 vsx_util 로 일일이 구성하는 것이 꽤 오래 걸립니다. 그래서 VSX는 모든 Virtual System의 구성 정보를 담은 VSLS 구성 파일을 업로드 하는 기능을 지원합니다. 이를 통해 대규모 배포의 빠른 구성, 복잡한 배포의 효율적 이전·확장, VSLS 구성의 외부 백업이 가능해집니다.

VSLS 구성 파일은 텍스트 편집기나 Microsoft Excel 같은 도구로 편집할 수 있는 CSV 파일로, 목록의 각 Virtual System에 대해 가중치와 멤버 우선순위를 빠르게 바꿀 수 있습니다.

VSLS 구성 파일 형식

VSLS 구성 파일은 한 관리 서버가 제어하는 모든 Virtual System의 구성을 담은 CSV 텍스트 파일입니다. # 로 시작하는 줄은 주석 이며 관리 DB로 들여오지 않습니다.

# Check Point VSX - VS Load Sharing configuration file
#
# Administrator : aa
# SmartCenter/Main Domain Management Server : 192.168.50.160
# Generated on : Thu Jul 23 13:08:42 2009
#
# VSID, Weight, Active member, Standby member, Backup member #1
# Virtual System name: vs1
2,10,gw150,gw151,gw152
# Virtual System name: vs2
3,10,gw151,gw152,gw150
# Virtual System name: vs3
4,10,gw152,gw150,gw151
# Virtual System name: vs4
6,10,gw151,gw150,gw152
# Virtual System name: vs5
5,10,gw150,gw152,gw151

각 줄은 한 Virtual System을 나타내며 VSID, 가중치, Primary 멤버 하나, Standby 멤버 하나 로 이뤄지고, Backup 멤버들은 Standby 멤버 뒤에 나열됩니다.

VSLS 구성 내보내기

가장 흔한 방식은 먼저 SmartConsole로 클러스터 환경과 Virtual System을 정의한 뒤 구성을 내보내는 것입니다.

처리 옵션(Processing Options)

VSLS 구성 파일 안에 다음 명령을 넣어, 데이터를 검증·처리하는 동안 감사 정보를 보여 줄 수 있습니다. 각 명령은 토글 처럼 동작해, 처음 나오면 켜지고 다음에 또 나오면 꺼집니다. 매우 긴 구성 파일을 디버깅할 때 의심스러운 구간만 표시·기록하는 데 유용합니다.

VSLS 구성 들여오기

들여오는 동안 파서가 구성 파일을 읽고 내용을 검증합니다. 오류가 있으면 문제 줄 번호와 함께 화면에 표시되고, !comments 나 !verbose 옵션이 켜져 있으면 해당 정보가 화면에 나타납니다. 갱신은 VS·Domain Management Server·멤버 수에 따라 몇 분 이상 걸릴 수 있습니다.

VSLS 모드에서의 Virtual Router

R81부터 VSLS 모드에서 Virtual Router를 구성할 수 있습니다.

Virtual Router Group 설명

관리 서버에서 Virtual Router Group 보기

   vsx_util vsls
   

VS name 열에서, Virtual Router 이름 뒤 괄호에는 Virtual Router Group 번호와 글자 M(그 그룹의 관리자) 이 표시되고, Virtual System 이름 뒤 괄호에는 그 VS가 속한 그룹 번호가 표시됩니다. 각 Virtual Router Group에는 순서대로 번호가 매겨집니다 — 첫 Virtual Router에는 그룹 #1, 두 번째에는 그룹 #2, 이런 식입니다. 출력 예시는 다음과 같습니다.

[Expert@MGMT:0]# vsx_util vsls
...
Enter redistribution option (1-8) [1]: 1
VSLS is in Primary Up mode.
----+----------------+----------+----------+--------+
VSID| VS name        | Member_1 | Member_2 | Weight |
----+----------------+----------+----------+--------+
 1  | VR (1M)        |    0     |    1     |   10   |
 2  | vs1 (1)        |    0     |    1     |    0   |
 3  | vs2            |    1     |    0     |   10   |
 4  | vs3            |    0     |    1     |   10   |
 5  | vs4            |    0     |    1     |   10   |
----+----------------+----------+----------+--------+
Total weight        |    20    |    20    |   40   |
----+----------------+----------+----------+--------+
Legend:
0 - Highest priority
1 - Lowest priority
Note: Virtual devices that are on the same group are marked with the same number '(group #)'.
Virtual device that is marked with (<group #> L) is defined as manager of <group #>.
Only a group manager has weight greater than 0, which is the sum of weights of all group members.
Virtual devices, that are not part of any group, show their own weight.

멤버에서 Virtual Router Group 보기

   cphaprob show_vsls_groups
   

이 명령은 어떤 VS 컨텍스트에서도 실행할 수 있습니다. Virtual Router 컨텍스트에서 실행하면 그 그룹에 속한 Virtual System들의 이름과 VSID를 볼 수 있고, Virtual Router에 연결된 Virtual System 컨텍스트에서 실행하면 그 그룹을 관리하는 Virtual Router의 VSID를 볼 수 있습니다.

# Virtual Router "VR" 컨텍스트
[Expert@VSX_Member_1:1]# cphaprob show_vsls_groups
VR vsid 1 is a VSLS group manager.
Group members are:
vs1 vsid 2
vs2 vsid 3

# Virtual System "VS1" 컨텍스트
[Expert@VSX_Member_1:2]# cphaprob show_vsls_groups
vs1 vsid 2 is a VSLS group member.
VSLS Group manager is VR vsid 1

Virtual Router Group에서의 VSLS 가중치

Virtual System들이 Virtual Router에 연결되면, 그 그룹에서 Virtual Router의 가중치는 모든 Virtual System 가중치의 합 이 됩니다. 그래서 그룹에 속한 Virtual System들의 가중치는 여러 명령 출력에서 0 으로 표시되고, 그룹에 속하지 않은 Virtual System은 자기 실제 가중치(기본 10)를 보여 줍니다. 예를 들어 가중치 20 인 vs1 과 가중치 30 인 vs2 가 Virtual Router vr 에 연결되면, 여러 명령은 vr 의 가중치를 50 으로 표시합니다.

그룹에 속한 Virtual System의 분배

Virtual Router에 연결된 Virtual System들을 멤버 간에 수동으로 분배해야 한다면, 해당 Virtual Router만 분배(우선순위·가중치를 그 Virtual Router에만 배정) 하면 됩니다. 그러면 관리 서버가 같은 그룹의 모든 Virtual System을 자동으로 분배합니다.

High Availability 클러스터의 Virtual Switch

VSX 클러스터에서 Virtual Switch도 이중화를 위해 클러스터화되며 Active/Active 로 정의됩니다. Virtual Switch에 연결된 물리 인터페이스는 Cluster Control Protocol(CCP) 로 감시됩니다. 페일오버가 일어나면 Standby 멤버의 모든 Virtual System이 Active가 되고, Virtual System과 Virtual Switch 사이의 warp 인터페이스에서 Gratuitous ARP Request 를 보냅니다.

위 그림은 High Availability 모드의 멤버 2대(하나는 Active, 하나는 Standby)로 이뤄진 단순화된 VSX 클러스터를 보여 줍니다. 각 클러스터 안의 Virtual Switch는 Active/Active이며, 어느 Virtual Switch에 연결된 물리 인터페이스가 응답하지 못하면 페일오버가 일어납니다.

이 절에서는 몇 가지 고급 클러스터 시나리오와 그 구성 절차를 다룹니다.

VSX 클러스터에서 모든 VLAN 감시하기

기본적으로 ClusterXL은 장애 감지·페일오버를 위해 두 개의 VLAN만 감시 합니다 — 한 인터페이스에 정의된 최고·최저 VLAN 태그 입니다. 예를 들어 인터페이스 eth1 의 토폴로지에 eth1.10 부터 eth1.50 까지 여러 VLAN 태그가 있으면, ClusterXL은 eth1.10 과 eth1.50 만 장애를 감시하고 나머지 VLAN의 장애는 기본 구성에서 감지하지 않습니다.

최고·최저 VLAN이 둘 다 죽으면 모든 VLAN이 다운으로 간주되어 페일오버가 일어납니다. 바꿔 말하면, 최고·최저가 아닌 VLAN이 다운되면 VLAN Trunk는 여전히 "up"으로 간주되어 페일오버가 일어나지 않습니다.

트렁크의 모든 VLAN을 감시해 어느 하나라도 다운되면 페일오버를 시작하는 것이 유리한 경우가 있습니다. 모든 VLAN 감시를 켜려면 $FWDIR/boot/modules/fwkern.conf 파일에서 커널 파라미터 fwha_monitor_all_vlan 값을 1 로 설정합니다. 자세한 내용은 sk92826과 커널 파라미터 작업 설명을 참고하세요.

VSLS VSX 클러스터에서 CoreXL 구성하기

R80.10 이상의 VSLS VSX 클러스터에서는, VS0 컨텍스트에서 CoreXL 구성을 바꾸거나 cphastop 명령을 실행하면 그 멤버의 모든 Active Virtual System이 페일오버 합니다. 이는 의도된 동작이며, 다른 멤버의 Active Virtual System은 페일오버하지 않습니다.