목차/12. Bridge 모드

12Bridge 모드Bridge Mode

Bridge 모드는 IP 라우팅 대신 네이티브 L2 브리징을 그대로 수행하는 방식입니다. 가장 큰 장점은 기존 IP 구조를 건드리지 않고 Virtual System을 끼워 넣을 수 있다는 것입니다.

Bridge 모드에서는 Virtual System의 인터페이스에 IP 주소가 필요 없습니다. 다만 인터페이스가 아니라 Virtual System 자체에는 선택적으로 IP를 줄 수 있는데, 이렇게 하면 네트워크 장애를 감지하는 L3(Layer 3) 모니터링 기능을 쓸 수 있습니다.

VSX는 두 가지 Bridge 모드 모델을 지원합니다.

  • Active/Active Bridge 모드 — 중복 스위치 사이의 원치 않는 루프를 막으면서 이중화(redundancy)를 제공합니다.
  • Active/Standby Bridge 모드 — 경로 이중화와 루프 방지를 제공하면서, VSLS(Virtual System Load Sharing)를 매끄럽게 지원하고 STP의 여러 한계를 넘어섭니다.

Active/Active Bridge 모드 — STP 기반

Active/Active 모드는 고속 스위치 네트워크에서 루프를 막는 업계 표준 기술인 STP(Spanning Tree Protocol) 에 기댑니다. 따라서 이 모드를 쓰려면 네트워크에 STP가 배포되고 제대로 설정되어 있어야 합니다.

지원하는 STP 계열 L2 프로토콜은 다음과 같습니다.

  • 802.1d
  • 802.1q
  • 802.1s
  • 802.1w
  • PVST+

STP를 네트워크 하드웨어에 어떻게 배포·설정하는지는 해당 벤더의 문서를 참고하세요.

Active/Standby Bridge 모드

Active/Standby Bridge 모드는 다음 두 가지를 모두 크게 개선합니다.

  • High Availability — 가용성을 크게 끌어올립니다.
  • VSLS(Virtual System Load Sharing) — VSX Cluster 환경에서 처리량을 Virtual System들에 분산합니다.

구체적인 이점은 다음과 같습니다.

  • 즉각적인 페일오버(Instantaneous failover)
  • 브리지 페일오버에 대한 관리자 통제력 강화
  • VSLS 지원
  • VLAN 변환(VLAN translation)

반면 가장 큰 한계는 STP 트리 구조를 깬다는 점입니다.

3계층 계층 모델

대규모·고트래픽 네트워크 환경에서는 3계층 계층 모델(Three Layer Hierarchical Model) 을 씁니다.

  1. 코어 네트워크(core) — 인터넷·외부망과 트래픽을 주고받는 고속 백본 스위치로 이뤄집니다.
  2. 분배 계층(distribution layer) — 코어와 액세스 계층을 잇는 라우터들로 이뤄집니다.
  3. 액세스 계층(access layer) — 내부망과 트래픽을 주고받는 이중화 LAN 스위치로 이뤄집니다.

Active/Standby Bridge 모드의 VSX는 분배 계층에 들어가 보안 정책을 적용합니다. 라우터가 분리된(segregated) VLAN으로 외부 트래픽을 알맞은 Virtual System에 보내면, 검사된 트래픽은 또 다른 분리된 VLAN으로 빠져나가 라우터를 거쳐 내부 목적지로 향합니다.

VLAN 공유 인터페이스 배포

표준 STP Bridge 모드 설정으로는 동작하지 않는 VLAN 공유 인터페이스 배포(VLAN Shared Interface Deployment) 도 이 모드에서 가능합니다. 이 배포에서는 각 VSX Cluster Member가 VLAN 트렁크로 한 쌍의 이중화 스위치에 연결되고, 한 VSX Cluster Member 안의 모든 Virtual System이 같은 VLAN 트렁크를 공유합니다.

  • High Availability 모드 — 관리자가 정한 우선순위와 상태에 따라 VSX Cluster가 트래픽을 멤버로 보냅니다.
  • VSLS 배포 — VSLS 설정에 따라 부하가 멤버들 사이에 분산됩니다.
① 인터넷 ② 외부 이중화 스위치 ③ VSX Cluster ④ VSX Cluster Member 1 ⑤ VSX Cluster Member 2(Sync Network) ⑥ Bridge 모드 Virtual System들 ⑦ VS1 = Active ⑧ VS2 = Standby ⑨ VS3 = Backup ⑩ 내부 이중화 스위치 ⑪ VLAN 스위치 ⑫ 내부 네트워크
① 인터넷 ② 외부 이중화 스위치 ③ VSX Cluster ④ VSX Cluster Member 1 ⑤ VSX Cluster Member 2(Sync Network) ⑥ Bridge 모드 Virtual System들 ⑦ VS1 = Active ⑧ VS2 = Standby ⑨ VS3 = Backup ⑩ 내부 이중화 스위치 ⑪ VLAN 스위치 ⑫ 내부 네트워크

Bridge 모드의 Virtual System

코어 네트워크 보안

많은 기업 환경은 코어 네트워크 기반으로 구성됩니다. 코어 네트워크 백본 스위치 옆에 자리 잡은 VSX는 Layer 2, Layer 3, 또는 둘 다에서 보안을 제공해 내부망을 보호합니다. VSX는 기존 인프라를 그대로 써서 코어 네트워크와 통신하며, Bridge 모드의 Virtual System을 쓰면 네트워크 분할(segmentation) 없이 부서별 네트워크를 보호할 수 있습니다. 이 경우 스위치는 각 부서 네트워크의 입구에 놓입니다. VSX는 코어 네트워크와 인터넷·외부망 사이의 연결을 보장하면서 경계(perimeter) 보안을 제공하며, 보안은 VLAN 단위로 설정할 수 있습니다.

Active/Standby Bridge 모드로 Virtual System 설정하기

여기서 가장 중요한 제약은, Bridge 모드는 Virtual System을 처음 만들 때 정해야 한다는 점입니다.

설정 절차:

  1. 새 Virtual System 객체의 Virtual System General Properties 페이지에서 Bridge Mode를 선택합니다.
  2. Next를 클릭합니다. Virtual System Network Configuration 창이 열립니다.
  3. Virtual System의 외부·내부 인터페이스를 설정합니다.
  4. (선택) Enable Layer 3 Bridge Interface Monitoring을 선택합니다. 이때 주는 IP는 고유해야 하고, 보호 대상 네트워크와 같은 서브넷이어야 합니다.
  5. Next를 클릭합니다.
  6. Finish를 클릭합니다.

Multi Bridge 인터페이스 — 한 VS로 여러 VLAN 브리징

Multi Bridge 기능은 다음 환경에서 지원됩니다.

  • VSX Gateway
  • Active/Active Bridge 모드의 VSX Cluster
  • Active/Standby Bridge 모드의 VSX Cluster

Multi Bridge는 여러 VLAN의 트래픽을 하나의 Bridge 모드 Virtual System을 통해 흐르게 하는 기능입니다. Bridge 모드 Virtual System에는 물리 인터페이스와 VLAN 인터페이스를 추가할 수 있는데, VLAN 인터페이스를 두 개보다 많이 추가하면 Multi Bridge가 자동으로 켜집니다. 브리징하려는 두 인터페이스에는 같은 VLAN 태그를 설정하면 됩니다.

Multi Bridge 인터페이스의 요구 사항:

  • 모든 인터페이스가 VLAN이어야 합니다.
  • 브리지는 두 VLAN 트렁크 사이에서만 만들 수 있습니다.
  • 하나의 Multi Bridge에 최대 64쌍의 VLAN 인터페이스를 넣을 수 있습니다.
  • 그 두 VLAN 트렁크는 서로 짝으로만 함께 써야 하며, 다른 Bridge 모드 Virtual System이나 다른 Multi Bridge의 트렁크와 섞어 쓸 수 없습니다.

예를 들어 eth1.10, eth2.10, eth1.20, eth2.20을 정의하면, VLAN 트렁크 eth1과 eth2는 묶인 것이라 다른 Virtual System에서 다른 트렁크와 함께 쓸 수 없습니다. 즉 eth1.30을 eth3.30과 브리징할 수는 없습니다.

① VLAN 태그 10·20·30으로 브리지 3개를 가진 Bridge 모드 VS ② VLAN 태그 40·50·60으로 브리지 3개를 가진 Bridge 모드 VS ③·④ VLAN 트렁크(서로 짝으로만 사용, 다른 트렁크와 짝지을 수 없음)
① VLAN 태그 10·20·30으로 브리지 3개를 가진 Bridge 모드 VS ② VLAN 태그 40·50·60으로 브리지 3개를 가진 Bridge 모드 VS ③·④ VLAN 트렁크(서로 짝으로만 사용, 다른 트렁크와 짝지을 수 없음)

새 Multi Bridge 만들기

  1. 새 Virtual System을 관리하는 Security Management Server 또는 Target Domain Management Server에 SmartConsole로 접속합니다.
  2. 왼쪽 탐색 패널에서 Gateways & Servers를 클릭합니다.
  3. 다음 중 한 방법으로 새 Virtual System 객체를 만듭니다.
    • 상단 툴바에서 New > VSX > New Virtual System
    • 왼쪽 위 Objects 메뉴 > More object types > Network Object > Gateways and Servers > VSX > New Virtual System
    • 오른쪽 위 Objects Pane > New > More > Network Object > Gateways and Servers > VSX > Virtual System
  4. Name 필드에 새 Virtual System 이름을 입력합니다.
  5. VSX Gateway / Cluster 필드에서 해당 VSX Gateway 또는 VSX Cluster를 선택합니다.
  6. Bridge Mode를 선택합니다.
  7. Next를 클릭합니다.
  8. Interfaces 섹션에서 Add를 눌러 브리지의 첫 번째 VLAN 인터페이스를 추가합니다.
  9. Interfaces 섹션에서 다시 Add를 눌러 두 번째 VLAN 인터페이스를 추가합니다.
  10. 같은 방식으로 VLAN 인터페이스 쌍을 Multi Bridge에 더 추가합니다. 이때 각 쌍의 두 인터페이스는 서로 다른 인터페이스에서 온 같은 VLAN 태그여야 합니다. 예: eth2.50, eth2.51 / eth3.50, eth3.51. 같은 두 VLAN 트렁크를 써야 합니다.
  11. Next를 클릭합니다.
  12. Finish를 클릭합니다.
  13. 새 Virtual System 객체에 해당 Access Control 정책을 설치합니다.

기존 브리지를 Multi Bridge로 바꾸기

  1. Bridge 모드 Virtual System을 관리하는 Security Management Server 또는 Target Domain Management Server에 SmartConsole로 접속합니다.
  2. 왼쪽 탐색 패널에서 Gateways & Servers를 클릭합니다.
  3. Virtual System 객체를 더블 클릭합니다.
  4. 왼쪽 트리에서 Bridge Configuration > Topology를 클릭합니다.
  5. Interfaces 섹션에 물리 인터페이스가 있으면 제거합니다.
  6. VLAN 인터페이스 쌍을 Multi Bridge에 더 추가합니다.
  7. OK를 클릭합니다.
  8. Virtual System 객체에 해당 Access Control 정책을 설치합니다.

VSX Cluster를 Bridge 모드로 켜기

Bridge 모드 배포에 대한 추가 정보는 R82 Installation and Upgrade Guide의 "Special Scenarios for Security Gateways" 장, "Deploying a Security Gateway or a ClusterXL in Bridge Mode" 절을 참고하세요.

새 VSX Cluster에서 Active/Standby Bridge 모드 켜기

  1. 각 VSX Cluster Member의 Gaia 최초 설정 마법사(First Time Configuration Wizard) Products 페이지에서 ClusterXL을 선택합니다.
  2. 마법사를 마치고 재부팅한 뒤:
    • VSLS에 필요한 Per Virtual System State 기능을 켰다면 Active/Standby Bridge 모드가 자동으로 켜집니다.
    • VSLS를 켜지 않았다면 — 각 VSX Cluster Member의 명령줄에 접속해 cpconfig를 실행하고, Active/Standby Bridge 모드 활성화 옵션을 골라 y를 입력한 뒤 설정을 이어 갑니다.
  3. 이 VSX Cluster를 관리하는 Security Management Server 또는 Main Domain Management Server에 SmartConsole로 접속합니다.
  4. 왼쪽 탐색 패널에서 Gateways & Servers를 클릭합니다.
  5. VSX Cluster 객체를 더블 클릭합니다. VSX Cluster Properties 창이 열립니다.
  6. 왼쪽 트리에서 Other > VSX Bridge Configuration을 클릭합니다.
  7. Check Point ClusterXL을 선택합니다. 그러면 ClusterXL의 Active/Standby Bridge 모드 루프 감지 알고리즘이 켜집니다.
  8. OK를 클릭합니다.
  9. VSX Cluster 객체에 VSX 정책을 설치합니다. 정책 이름은 <VSX Cluster 객체 이름>_VSX입니다.

기존 VSX Cluster에서 Active/Standby Bridge 모드 켜기

  1. VSX Cluster를 관리하는 Security Management Server 또는 Main Domain Management Server에 SmartConsole로 접속합니다.
  2. 왼쪽 탐색 패널에서 Gateways & Servers를 클릭합니다.
  3. VSX Cluster 객체를 더블 클릭합니다. VSX Cluster Properties 창이 열립니다.
  4. 왼쪽 트리에서 Other > VSX Bridge Configuration을 클릭합니다.
  5. Check Point ClusterXL을 선택합니다(루프 감지 알고리즘이 켜집니다).
  6. OK를 클릭합니다.
  7. VSX Cluster 객체에 VSX 정책(<VSX Cluster 객체 이름>_VSX)을 설치합니다.
  8. 각 VSX Cluster Member에서:
    1. 명령줄에 접속합니다.
    2. Expert 모드로 로그인합니다.
    3. cpconfig를 실행합니다.
    4. Enable ClusterXL for Bridge Active/Standby를 선택합니다.
    5. cpconfig 메뉴에서 빠져나옵니다.
    6. 재부팅합니다.

기존 VSX Cluster에서 Active/Active Bridge 모드 켜기

  1. VSX Cluster를 관리하는 Security Management Server 또는 Main Domain Management Server에 SmartConsole로 접속합니다.
  2. 왼쪽 탐색 패널에서 Gateways & Servers를 클릭합니다.
  3. VSX Cluster 객체를 더블 클릭합니다. VSX Cluster Properties 창이 열립니다.
  4. 왼쪽 트리에서 Other > VSX Bridge Configuration을 클릭합니다.
  5. Standard Layer 2 Loop Detection Protocols를 선택합니다.
  6. OK를 클릭합니다.
  7. VSX Cluster 객체에 VSX 정책(<VSX Cluster 객체 이름>_VSX)을 설치합니다.
  8. 각 VSX Cluster Member에서:
    1. 명령줄에 접속합니다.
    2. Expert 모드로 로그인합니다.
    3. cpconfig를 실행합니다.
    4. Disable ClusterXL for Bridge Active/Standby를 선택합니다.
    5. cpconfig 메뉴에서 빠져나옵니다.
    6. 재부팅합니다.
cpconfig    # 멤버 CLI(Expert 모드)에서 Bridge Active/Standby 활성/비활성 선택 후 재부팅