Blank 2016-10

방화벽은 방화벽의 기능만 하게끔 놔두는 것이 좋을 듯 합니다. 방화벽 기종에 따라서 내부-내부 의 통신에도 정책을 넣어줘야 하는 경우가 있고 내부구간에서 다른 서브넷으로 이동시에 라우팅이 되기에 방화벽의 성능을 저하 시키는 경우가 있을 듯 합니다.
 Before의 디자인에서 L3로 서브네팅을 하는 것이 나을듯 합니다.

파닥파닥 2016-10

L3 스위치보단 방화벽이 정책 넣기는 쉬우니 FW으로 트래픽을 올리고 방화벽에서 모든 정책을 제어하는 방법도 좋습니다. (vlan 간 정책 제어를 해야 한다면)

단 고려해야 할것이

1. 보통 많은 방화벽 장비들이 '기능을 지원한다' 와 '잘 쓸수 있다가' 많이 다릅니다.
  - subnet 기능과 trunk 기능을 아주 잘 지원한다가... 레퍼런스가 있지 않는한은 저가형 장비에선 믿지 않습니다.
2. vlan 간의 (inside) 트래픽과 방화벽 바깥 (outside) 의 트래픽을 모두 방화벽이 처리해야 합니다.
  - 보통 방화벽 장비들의 Max Throughput 은 inside 1 port ---- outside 1 port 의 구간을 측정하는 경우가 많습니다.
  - After 와 같이 구성하게 되면 4개 inside 인터페이스 끼리 흘러가는 트래픽과 각 4개에서 바깥으로 나가는 outside 트래픽까지 해서 총 5종류 이상의 트래픽을 방화벽이 처리해야 합니다.

3. 보통 "2번" 경우 때문에 L3 을 밑에 두고, VLAN 간의 트래픽을 간단한 정책으로 제어하는 경우가 많습니다.
  - 앞에 "Blank" 님 말씀처럼 Before 구성에 L3 을 사용하여 subnet 구성을 하고, L3 - FW 간을 별도의 '조그마한' 네트워크를 만들어 장비간에 route 해서 넘겨주는 것을 권장합니다.

김돼훈 2016-11

blank님 파닥님 답변감사드립니다.
두분께서 말씀하신 방법으로 L3에서 서브넷을 나누어 진행하도록 해야겠습니다.
말씀중에 방화벽과 L3 장치에 '조그만한' 네트워크를 만들라고 하셨는데, 이 부분은 사설IP로 처리를 해야겠지요?
그리고 L3에서 서브넷을 나누어 그 아래에 있는 L2 스위치로 나눠진 IP 대역이 할당된다면 서로 다른 대역간의 통신이 불가능한지 궁금합니다.
요구사항은 '다른 대역끼리는 통신이 불가능해야한다' 이지만 어떠한 이유로 안되는건지, 또는 통신이 된다면 어떤 정책(프로토콜)을 사용해서 막아야하는건지 알고싶습니다.

감사합니다!

Blank 2016-11

방화벽-L3 사이는 사설 IP Address로 처리를 합니다.
서로 다른 IP 대역간 통신을 하려면 L3를 거쳐서 통신을 해야 합니다.
L3에서 VLAN/default routing 설정이 제대로 들어갔고, L3쪽에서 정책을 따로 넣지 않으면, 모든 대역간 통신이 가능 합니다.
그러기에, 다른 대역끼리는 통신이 불가능하게 하려면 정책을 따로 만들어줘야 할 것 같네요. 프로토콜은 any 로 하심 되구요.