Pmos programming records

NFV

c3epmos — Fri, 29 May 2020 20:40:49 +0900

NFV

개념

네트워크 서비스를 가상화하고, 이를 전용 하드웨어에서 추출
각 요소를 하드웨어 단위로 구분하던 기존 네트워크와는 달리 물리적 자원 최소화
전체 효율성을 향상시켜 시스템 복잡성을 감소

SDN과 NFV 비교표

Category	SDN	NFV
출범 동기	control plane과 data plane 분리, 중앙화된 관리 네트워크 프로그래밍	특정 장비에 귀속된 네트워크 기능을 일반 서버에 재배치
적용 위치	campus, data center/cloud	service provider network
사용 장비	commodity server, switches	commodity server, switches
applications	cloud orchestration, networking	router, firewall, gateway, CDN..
대표적 프로토콜	openflow	아직 제정 안됨
규격 제정	open networking forum(ONF)	ETSI NFV Working Group

기존 네트워크의 한계

c3epmos — Fri, 29 May 2020 20:33:07 +0900

현재 네트워크 구조의 한계

한 장비에 여러 Plane 구성
한 장비에 data plane, control plane, management plane이 모두 구성되어 패킷이 장비를 거쳐갈 때마다 각 장비에서 동일한 패킷 처리 절차를 수행하게 된다. 이러한 Black Box 구조는 출고 시부터 너무 많은 기능들이 탑재되기 때문에 사용자가 원하는 기능이 10개이더라도 이미 5,400개의 RFC가 탑재되어 자원을 낭비하게 된다.
운영 자동화와 중앙 관리의 어려움
현재 네트워크 구성에서는 변경이나 확장이 필요한 경우 관리자가 모든 라우터, 스위치, 방화벽 등을 일일이 변경된 정책과 설정을 입력해야 한다. 이럴 경우에 휴먼 에러 발생률 및 작업 시간도 매우 크게 증가한다. 또한, 다양한 벤더의 장비가 도입된 경우에는 장비별 구현 방식에 따른 특징들도 정확히 확인해야 한다.
효율과 비용 문제
네트워크 디자인 시 안정성 확보를 위해 장비를 이중화하고 STP를 적용한다. 그러나, STP는 장애 복구 시간이 오래 걸리고 한쪽 링크를 사용할 수 없어 비효율적 회선 사용이 문제가 된다.
개별 처리로 인한 네트워크 복잡성 증가
Dijkstra 알고리즘을 중앙 집중형 동작 방식 원리로 하면 4 페이지의 문서로 설명이 끝나는데, 분산 시스템으로 구현하려면 100 페이지가 넘어가 버린다.

용어 정리

Black Box
- 운영체제 및 각종 RFC가 탑재된 스위치
White Box
- 운영체제가 없는 깡통 스위치
North-South 트래픽
- 데이터 센터와 클라이언트, 네트워크 상의 데이터 센터 외부와 통신되는 트래픽
- 내부 트래픽을 제외한 나머지 트래픽
East-West 트래픽
- 데이터 센터 내부에서 발생되는 트래픽
- 서버 간의 트래픽
3 Tier 구조
- core switch
  - 고성능 라우터 장비들에 해당하는 레이어
  - 포트 수는 작더라도 대량의 패킷 처리
  - 소규모 네트워크에서는 생략
- distributed switch
  - 라우터와 스위치의 적절한 조합으로 기능 수행
- access switch
  - 포트 수가 많고 저렴한 스위치 장비 위주

CRON

c3epmos — Fri, 29 May 2020 16:44:43 +0900

CRON

유닉스 계열 운영체제의 시간 기반 Job scheduler이다. 작업을 고정된 시간, 날짜, 간격에 주기적으로 실행할 수 있도록 해준다.

구동 방법

cron 형식

 # ┌───────────── min (0 - 59)
 # │ ┌────────────── hour (0 - 23)
 # │ │ ┌─────────────── day of month (1 - 31)
 # │ │ │ ┌──────────────── month (1 - 12)
 # │ │ │ │ ┌───────────────── day of week (0 - 6) (0 to 6 are Sunday to Saturday, or use names; 7 is Sunday, the same as 0)
 # │ │ │ │ │
 # │ │ │ │ │
 # * * * * *  command to execute

Job 등록

crontab -e
# vi 편집기로 이동한다.

00 02 * * 7 /root/backup.sh

오전 2시 7분 마다 /root/backup.sh 스크립트를 실행한다.

NFS, Dynamic PAT 등을 활용한 실습

c3epmos — Fri, 29 May 2020 15:58:49 +0900

NFS, Dynamic PAT 등을 활용한 실습

웹서버 백업 및 본사를 통한 인터넷 통신

HQ

config t
# 초기 설정
int fa0/0
ip add 211.183.3.3 255.255.255.0
no sh
int fa1/0
ip add 192.168.0.26 255.255.255.0
no sh
int fa0/1
no sh
# sub-interface에서 VLAN 10 담당
int fa0/1.10
encap dot1Q 10
ip add 192.168.1.2 255.255.255.0
exit
# 정적 라우팅
ip route 192.168.2.0 255.255.255.0 192.168.0.22
ip route 192.168.3.0 255.255.255.0 192.168.0.22
# default routing
ip route 0.0.0.0 0.0.0.0 211.183.3.2
# ACL 생성
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 2 permit 192.168.2.0 0.0.0.255
access-list 3 permit 192.168.3.0 0.0.0.255
access-list 99 permit host 192.168.0.22
# telnet 설정
enable password test123
line vty 0 4
password test123
login
access-class 99 in
exit
# IP pool 생성
ip nat pool 1 211.183.3.11 211.183.3.11 prefix-length 24
ip nat pool 2 211.183.3.12 211.183.3.12 prefix-length 24
ip nat pool 3 211.183.3.13 211.183.3.13 prefix-length 24
# dynamic PAT
ip nat inside source list 1 pool 1 overload
ip nat inside source list 2 pool 2 overload
ip nat inside source list 3 pool 3 overload
# static NAT
ip nat inside source static 192.168.1.100 211.183.3.100
# outside 정의
int fa0/0
ip nat outside
# inside 정의
int range fa1/0 , fa0/1
ip nat inside

HQ_SW

erase flash
config t
vlan dat
vlan 10 name WEB
exit
int fa1/1
sw acc vlan 10
no sh
int fa1/10
sw mode trunk

Web server

yum -y install httpd nfs-utils
setenforce 0
systemctl stop firewalld
systemctl start httpd
mkdir /storage
mount -t nfs 192.168.2.100:/external /storage
vi /etc/cron.hourly/backup.sh

backup.sh

#!/bin/sh

FROM_DIR="/home"
TO_DIR="/storage"
DATE=`date +%H%M%S`
BACKUP_FILE=backup_${DATE}.tar.gz
tar zcfP ${TO_DIR}/${BACKUP_FILE} ${FROM_DIR}

결과

Subnetting

c3epmos — Thu, 28 May 2020 17:21:41 +0900

Subnetting

subnet mask

네트워크 ID와 호스트 ID를 구별하는 구분자이다.

IP : 192.168.1.100

Subnet mask : 255.255.255.0

-> 네트워크 ID : 192.168.1 , 호스트 ID : 1

점 단위로 나눈 숫자 4부분을 octet이라고 한다.

서브넷 마스크를 숫자로 표시하면 prefix라고한다.

subnet mask	# of network	# of host
0	1	256
128	2	128
192	4	64
224	8	32
240	16	16
248	32	8
252	64	4
254	128	2
255	256	1

subnetting 목적

IP 주소 낭비를 방지한다. 네트워크를 여러 개로 분리해서 할당할 수 있다.

예시1

우리 회사는 211.183.3.0/24 라는 공인 IP가 있다. 4개 부서가 나눠서 사용해야 하며, 각 부서당 호스트 수는 50개이다.

/24 -> 255.255.255.0 -> 11111111.11111111.11111111.00000000

-> N-.N-.N-.HHHHHHHH

if NNNN NNNH, then 호스트 ID 0개(2 - 1(네트워크 ID) - 1(브로드캐스트))

if NNNN NNHH, then 호스트 ID 2개

if NNNN HHH, then 호스트 ID 14개

if NNHH HHHH, then 호스트 ID 62개

-> /26으로 나눠야한다.

/26 -> 255.255.255.0 -> 11111111.11111111.11111111.00000000

/26 -> 255.255.255.64 -> 11111111.11111111.11111111.01000000

/26 -> 255.255.255.128 -> 11111111.11111111.11111111.10000000

/26 -> 255.255.255.192 -> 11111111.11111111.11111111.11000000

예시2

10.10.10.0/24

4개 부서 존재한다.

각 42개 호스트가 필요하다.

세 번째 네트워크의 기본 게이트웨이 주소는 무엇인가?

(추가적으로 게이트웨이 주소는 각 네트워크의 첫 번째 주소를 사용한다.)

/26 -> 10.10.10.0 -> 11111111.11111111.11111111.00000000

/26 -> 10.10.10.64 -> 11111111.11111111.11111111.01000000

/26 -> 10.10.10.128 -> 11111111.11111111.11111111.10000000

/26 -> 10.10.10.192 -> 11111111.11111111.11111111.11000000

10.10.10.128 : 네트워크 주소

10.10.10.129 : 기본 게이트웨이

10.10.10.191 : 브로드캐스트 주소

VPN

c3epmos — Thu, 28 May 2020 16:35:08 +0900

VPN

VPN 기능

기밀성(confidentiality) 유지

데이터를 제 3자가 볼 수 없도록 암호화하고, 수신측에서 복호화한다.
무결성(integrity) 확인

데이터가 제 3자에 의해 변조되지 않았음을 확인한다.
인증(authentication)

VPN을 통해 통신하는 상대방이 맞는지 확인한다.
재생 방지(anti-replay)

해커가 중간에서 데이터를 캡쳐했다가 전송하는 재생 공격을 차단하는 기능이다.

본사와 지사 또는 원거리에서 떨어져있는 네트워크 구간을 일직선으로 연결해 사설 주소를 이용한 통신이 가능하도록 하는 기술이다. 해당 통신 시에는 데이터를 ESP 헤더로 감싸 데이터에 대한 암호화, 해싱, 인증이 가능하도록 하는 기술로 인터넷을 통한 안전한 데이터 통신이 가능하도록 해 주는 기술이다.

해시 함수 : 단방향성 함수, 임의의 데이터 블록을 취하고 고정 길이 비트를 반환한다.

IPsec VPN

IETF에서 권고하는 IPsec 기술 기준을 준수해 만든 VPN이다. 주로 본사와 지사 간의 통신에 사용된다. VPN 게이트웨이는 내부에서 수신한 평문을 VPN 패킷으로 만들어서 상대 VPN 게이트웨이로 전송한다. VPN 패킷을 만들기 위해서는 주로 ESP(Encapsulating Security Payload)를 사용한다. 데이터의 인증, 무결성, 기밀성 및 재생 방지 기능을 제공한다. 데이터의 암호화는 DES, AES가 있다. 인증 방식은 PSK, RSA 등이 있으며, 무결성 확인 방식은 SHA-1, MD5가 있다.

SSL VPN

IEFT에서 이를 표준화하여 TLS라고 이름지었다. HTTPS는 SSL을 이용해 HTTP 트래픽을 보호하는 기술이다. 주로, 전자상거래 등 브라우저를 이용한 인터넷 통신에서 많이 사용한다.

HSRP

c3epmos — Thu, 28 May 2020 15:19:37 +0900

HSRP

라우팅 기능이 없는 장비들은 게이트웨이를 통해 자신과 다른 네트워크에 연결된 장비들과 통신한다. 이때 게이트웨이 역할을 하는 라우터나 L3 스위치를 복수 개로 구성하고, 하나가 다운되면 다른 하나가 그 역할을 계속 수행하게 하는 게이트웨이 이중화 프로토콜(FHRP)이다.

실습

INTERNET

config t
int fa1/0
ip add dhcp
no sh
int fa0/1
ip add 164.181.1.1 255.255.255.0
no sh
int fa0/0
ip add 211.183.3.1 255.255.255.0
router ospf 1
network 211.183.3.1 0.0.0.0 area 0
network 164.181.1.1 0.0.0.0 area 0
default-information originate

ACTIVE

config t
int fa0/0
ip add 211.183.3.2 255.255.255.0
no sh
int fa0/1
ip add 192.168.101.11 255.255.255.0
no sh
router ospf 1
network 0.0.0.0 255.255.255.255 area 0
int fa0/1
# 게이트웨이로 사용할 가상 IP 할당
standby 1 ip 192.168.101.2
# 우선순위 할당
standby 1 priority 110
# 우선순위 점수 올라가면 다시 선점할 수 있음
standby 1 preemmpt
# fa0/0을 감지하고 문제가 생기면 우선순위 점수 20 깎음
standby 1 track fastEthernet 0/0 20

STANDBY

config t
int fa0/0
ip add 164.181.1.2 255.255.255.0
no sh
int fa0/1
ip add 192.168.101.12 255.255.255.0
no sh
router ospf 1
network 0.0.0.0 255.255.255.255 area 0
int fa0/1
standby 1 ip 192.168.101.2
standby 1 preempt

결과

ACTIVE

sh

ACTIVE 라우터에 외부 통신이 끊어지자 아주 잠깐 Ping 이 실패하고 곧바로 복구하는 것을 볼 수 있다. tracert 명령어로 게이트웨이를 확인해보니, 11번에서 12번으로 바뀌었다.

GRE

c3epmos — Thu, 28 May 2020 12:05:56 +0900

GRE(Generic Routing Encapsulation)

라우팅이 불가능한 패킷을 라우팅 가능한 패킷의 내부에 넣어 전송할 때 사용하는 터널링 프로토콜이다.

A지점과 B지점의 네트워크 대역의 라우팅 정책이 없다고 가정하자. 이러한 경우 GRE 터널링을 이용하면 상단의 라우터에서 별도의 라우팅 정책 없이도 지점 간 통신이 가능하다.

그림과 같이 IP 헤더를 캡슐화해서 A 라우터와 B 라우터의 IP로 감싼 후 통신을 한다. GRE 헤더에는 사설 IP가 들어가있고, IP 헤더에는 라우터의 IP가 들어있다.

와이어샤크로 확인해본 결과, 다음과 같은 형태로 패킷이 생성된 것을 알 수 있다.

실습

SEOUL

config t
interface tunnel 0
# 터널의 IP
ip add 172.16.12.1 255.255.255.0
# 터널 source 지점
tunnel source fa0/0
# 터널 dest 지점
tunnel destination 23.23.23.3
# 패킷의 형태는 GRE IP ---> [Original Packet][IP(사설IP)][GRE][IP(공인IP)]
tunnel mode gre ip
exit
ip route 10.10.20.0 255.255.255.0 172.16.12.2

INTERNET

config t
int fa0/0
ip 12.12.12.2 255.255.255.0
no sh
int fa0/1
ip 23.23.23.2 255.255.255.0
no sh

JEJU

config t
interface tunnel 0
# 터널의 IP
ip add 172.16.12.2 255.255.255.0
# 터널 source 지점
tunnel source fa0/1
# 터널 dest 지점
tunnel destination 12.12.12.1
tunnel mode gre ip
exit
ip route 10.10.10.0 255.255.255.0 172.16.12.1

GRE 단점

보안, 암호화 기능이 없어서 보안에 취약하다. 그래서 VPN과 함께 사용한다.

ACL

c3epmos — Thu, 28 May 2020 09:08:41 +0900

ACL

ACL(Access-Control List)

이름이나 번호를 이용해서 정책을 설정하고, 설정된 정책에 의해 트래픽을 분류하거나 필터링 할 수 있는 기술이다. 패킷의 어느 부분을 확인해 필터링하느냐에 따라서 Standard/Extended로 구분한다.

Standard

패킷의 출발지 IP 주소만을 확인하고 그 외에 부분은 확인하지 않는다.

example

Standard: 출발지 IP(Source) 만 확인한다.

access-list 1 permit 192.168.101.0 0.0.0.255 : 와일드 카드로 설정 ( 설명 : https://gmldbd94.tistory.com/107)

Extended

Extended : 출발지 IP(Source), 도착지 IP(Destination) , SRC PORT , DST port...(L3, L4)
- access-list 11 permit ip any bost 1.1.1.1 :
  - 출발IP 가 누구든 1.1.1.1로 가능 패킷은 허용하겠다.
- access-list 111 permit tcp any host 2.2.2.2 eq 80 :
  - tcp : 패킷의 ip를 포함하여 TCP 포트까지 확인!
  - any : 출발지의 IP
  - host 2.2.2.2 : 목적지의 IP
  - eq 80 : 목적지의 포트번호
- access-list 111 deny icmp any host 2.2.2.2 echo
  - 출발IP가 누구든 2.2.2.2로 오는 icmp echo는 차단하겠다.

ACL Rules

top-down 방식
- ex. 모든 트래픽 차단하라. 단, 2.2.2.2는 허용한다.
  - access-list 1 deny any
  - access-list 1 permit host 2.2.2.2
ACL의 가장 아래에는 "나머지는 모두 차단된다"가 생략되어 있다.
작성된 ACL은 인터페이스, NAT 등에 적용해 주어야 활성화 된다.

ACL 시간 제한 설정

time-range PERWEB
periodic weekdays 09:00 to 18:00
access-list 199 per tcp any host 10.10.10.10 eq 80 time-range PERWEB

라우터 시간 설정하기

 clock set 16:49:00 30 MAY 2020

fa0/1.20 에는 일반 pc들이 위치하고 있으며 주소는 192.156.102.0/24

인터넷으로의 웹 접속(http, https)은 모두 가능하다. 단, 그외의 접속은 불가하다.
192.168.101.111 로의 접속은 오직 192.168.102.111만 가능하다. 나머지는 모두 차단된다.
단, 192.168.102.111 역시 192.168.101.111로 접속시 웹 접속만을 허용해야 한다.

그외 모든 접속은 차단한다.

NAT를 적용해서 지사에서 인터넷 사용하기

c3epmos — Tue, 26 May 2020 16:54:50 +0900

NAT를 적용해서 지사에서 인터넷 사용하기

NAT 종류

static NAT

항상 특정 아이피가 특정 아이피로 변경된다. (예, 지정된 사설 주소는 항상 지정된 공인 주소로 변경된다. 주로 인터넷에 서비스를 제공하는 웹 서버, FTP 서버, DNS 서버 등에 할당하는 방법)

dynamic NAT

공인 IP 주소는 pool 이라는 곳에 담아두고 사설 IP가 인터넷을 사용하고자 할 때 해당 공인 IP 주소 pool에 동적으로 하나의 공인 IP 주소를 부여받는다. 서버에는 적용하지 않는다. 현업에서는 잘 사용하지 않는 방법이지만 만약 사용한다면 PC와 같이 아무 주소나 사용해도 문제가 되지 않는 경우에 사용하는 방법이다.

PAT(Port Address Translation)

한 개의 공인 IP 주소를 여러 개의 사설 IP 주소가 공유하는 방법이다. IP 주소와 포트 번호를 사용해 나가는 트래픽과 들어오는 트래픽에 대해 올바른 역변환을 해준다.

실습

이 구조에서 모든 라우터가 외부 인터넷으로 나가기 위해 HQ로 정적 라우팅을 했고, HQ는 이더넷 게이트웨이로 정적 라우팅을 했다. 그러나, 라우터와 호스트들은 사설 IP를 사용하기 때문에 외부로 나갈 수 없다. 이를 해결하기 위해서 NAT 를 적용하자.

설정

HQ(PAT)

# access-list 1 : 누구나 허용 하겠다.
access-list 1 permit any
# 내부 출발지의 IP 주소(내부의 모든 사설 IP)는 access-list 1 적용.
# 모든 IP 주소는 fa0/0인 공인 IP로 overload된다.
# overload : PAT 활성화
ip nat inside source list 1 int fa0/0 overload
# 공인 IP로 변경하여 내보낼 인터페이스에 할당
int fa0/0
ip nat outside
# 사설 IP 주소가 있는 곳을 설정
int range fa0/1, fa1/0, fa2/0
ip nat inside

HQ(Static)

# 특정 IP와 특정 포트에 static NAT
ip nat inside source static tcp 192.168.101.111 80 int fa0/0 80

실제 회사들의 경우 서버는 Static NAT으로 부여하고, 부서별로 1개의 공인 IP 주소 부여할 수 있는 Dynamic PAT를 사용한다.

Static NAT와 Dynamic PAT를 함께 적용하는 실습

R1

config t
int fa0/0
ip add 192.168.108.3 255.255.255.0
no sh
exit
ip route 0.0.0.0 0.0.0.0 192.168.108.2
int fa0/1
ip add 192.168.101.2 255.255.255.0
no sh
exit
access-list 1 permit any
ip nat pool TEST 192.168.108.99 192.168.108.99 prefix-length 24
ip nat inside source list 1 pool TEST overload
int fa0/0
ip nat outside
int fa0/1
ip nat inside
exit
ip nat inside source static 192.168.101.111 192.168.108.111

NAT 설정 후, NAT table이다.

ping 통신 후에 ICMP 프로토콜을 사용한 기록이 담겨져있다.