저희 가상화 서버가 데이터센터에 있습니다.
조만간 교체하려고 하는데요..
현재는 예를 들어, 공인 IP주소가 123.123.123.121 ~ 123까지 3개를 사용하고 있습니다.
물론, 하나의 물리 랜카드에 물려있지만, 3개의 공인 IP주소가 배정되어 있습니다.
(가상머신 호스트 1개, 가상머신 게스트 2개)
그런데, 이것이 각 서버가 직접적으로 인터넷에 물려 있는 것이다 보니, 썩 좋은 방법은 아닙니다.
이번에 서버를 교체하면서, PF Sense를 이용하거나, 별도 공유기를 장착하여 이용하려고 합니다.
Hyper-V 서버이고요, 게스트 머신 역시 모두 Windows 기반입니다.
첫 번째 구성은, PF sense를 가상머신으로 두는 겁니다. 그리고 모든 공인 IP주소(123.123.123.121 ~ 123)는 PF sense가 가지고 있는 것이죠.
PF sense 가상 머신: 192.168.1.1 + 123.123.123.121~123
물리 머신: 192.168.1.2
가상 게스트 머신1: 192.168.1.3
가상 게스트 머신2: 192.168.1.4
그런데, 예를 들어서 123.123.123.121:80 으로 들어오는 접속은 192.168.1.2로 보내주고..
123.123.123.122:80 으로 들어오는 접속은 192.168.1.3으로 보내주고..
123.123.123.123:80 으로 들어오는 접속은 192.168.1.4로 보내주고..
이런 구성을 하려고 하는 것입니다.
이것이 가능한 구성인가요? (공인 IP주소 1개를 쪼개는 것은 가능할 텐데, 공인 IP 여러 개를, 내부 IP 여러 개로 보내야 합니다.)
물리 서버의 랜카드는 4개의 포트가 있습니다.
두 번째 구성은, 이 물리 서버 앞단에 별도 공유기를 장착하는 방법입니다.
이것이 일반적인 방법이겠지만, 데이터센터 상면비를 1U만큼 더 지불해야 하는 문제가 있지요.
그런데, 공인 IP 주소 여러 개를, 내부 네트워크로 뿌려주는 공유기가 있나요?
없으면, 하드웨어 방화벽이나 라우터를 구입해야 하는 것인가요?
상면비 때문에, 첫 번째 구성을 하는 것이 낫지 않나.. 하는 생각입니다.
물론, 가상 머신은 계속 늘어날 수 있기 때문에 더욱 그러하기도 하고요.
개념 위주로 설명해 주시면, 힌트를 얻어 열심히 공부해 보겠습니다~
(31일날 혼자 출근하여 공부하고 테스트 해 볼 생각입니다.)
기본적인 방법이고 현실적인 방법 입니다.
앞단에 firewall의 기능과 라우터 기능을 가진
미크로틱이나 UBNT, 넷기어 등의 장비를 넣는 것도 가능하고
이런 경우에는 traffic 추가 없는 상황이므로 상면비용만 추가해 달라고 nego 하셔야 합니다.
장점은 서버 앞단에 장비가 들어가기 때문에 서버의 망 노출이 줄어드는 것 입니다.
상면비용과 보안비용의 사이에서 보안비용을 선택하시는 것을 추천 드립니다.
상면 비용만 추가해 달라고 nego도 되는군요.. 고맙습니다~
공격면이 하드웨어 장비냐, VM이냐 정도의 차이만 있습니다.
왜냐하면, 방화벽/라우터 VM을 올려둔 시스템이 죽으면 하단의 다른 서버에 대한 네트워크 접근도 불가능해지기 때문입니다.
물론 이 제한은 HA 구성에 의해 극복될 수 있습니다. 하지만 늘 그렇듯 비용이 문제가 되죠.
그렇지만, 지금처럼 1대의 시스템만 사용하는 경우에는 시스템이 죽으면 전체 서비스가 중단된다는 점에는 차이가 없기 때문에..
이 편이 비용면에서 보다 효율적입니다.
그리고 라우터에서 방화벽 기능을 하구요.
2, 라우터를 NAT 로 동작하게 합니다. PPS 가 모자라거나 세션문제가 생길수 있습니다.