안녕하세요.
이번에 서브넷을 나누어 IP 대역대를 줄여보려고합니다.
기존 네트워크는 (보안상 사설IP) 192.168.10.0/24 대역을 가지고 있었으며, 방화벽에 지정된 룰 이외에 any IP는 차단된 상태였습니다.
그런데 점점 any IP를 요구하는 서비스가 많아져 오픈을 하려고 했으나 모든 IP(서버)가 하나의 네트워크로 연결되어 있다보니 보안상 꺼려지는 부분이였습니다.
따라서 서브넷팅을 하여 192.168.10.0/27 32개씩 4개의 네트워크 대역으로 나누어 외부 접속이 필요한 서버는 한곳에 몰아두고 나머지는 접근을 차단하려고 합니다.
막상 하려고보니 스위치가 아닌 최상위 방화벽에서 나누는 방법밖에 떠오르지 않습니다.
방화벽에서 서브넷팅하여 중간의 L3 스위치를 제거하고 각각의 스위치로 연결하고자 하는데 방화벽이 버텨줄까요?
또한 주의해야할 부분이 있으면 알려주시면 고맙겠습니다.
(p.s: 방화벽 제품은 서브넷팅 기능을 지원하는것으로 확인되었습니다.)
Before의 디자인에서 L3로 서브네팅을 하는 것이 나을듯 합니다.
단 고려해야 할것이
1. 보통 많은 방화벽 장비들이 '기능을 지원한다' 와 '잘 쓸수 있다가' 많이 다릅니다.
- subnet 기능과 trunk 기능을 아주 잘 지원한다가... 레퍼런스가 있지 않는한은 저가형 장비에선 믿지 않습니다.
2. vlan 간의 (inside) 트래픽과 방화벽 바깥 (outside) 의 트래픽을 모두 방화벽이 처리해야 합니다.
- 보통 방화벽 장비들의 Max Throughput 은 inside 1 port ---- outside 1 port 의 구간을 측정하는 경우가 많습니다.
- After 와 같이 구성하게 되면 4개 inside 인터페이스 끼리 흘러가는 트래픽과 각 4개에서 바깥으로 나가는 outside 트래픽까지 해서 총 5종류 이상의 트래픽을 방화벽이 처리해야 합니다.
3. 보통 "2번" 경우 때문에 L3 을 밑에 두고, VLAN 간의 트래픽을 간단한 정책으로 제어하는 경우가 많습니다.
- 앞에 "Blank" 님 말씀처럼 Before 구성에 L3 을 사용하여 subnet 구성을 하고, L3 - FW 간을 별도의 '조그마한' 네트워크를 만들어 장비간에 route 해서 넘겨주는 것을 권장합니다.
두분께서 말씀하신 방법으로 L3에서 서브넷을 나누어 진행하도록 해야겠습니다.
말씀중에 방화벽과 L3 장치에 '조그만한' 네트워크를 만들라고 하셨는데, 이 부분은 사설IP로 처리를 해야겠지요?
그리고 L3에서 서브넷을 나누어 그 아래에 있는 L2 스위치로 나눠진 IP 대역이 할당된다면 서로 다른 대역간의 통신이 불가능한지 궁금합니다.
요구사항은 '다른 대역끼리는 통신이 불가능해야한다' 이지만 어떠한 이유로 안되는건지, 또는 통신이 된다면 어떤 정책(프로토콜)을 사용해서 막아야하는건지 알고싶습니다.
감사합니다!
서로 다른 IP 대역간 통신을 하려면 L3를 거쳐서 통신을 해야 합니다.
L3에서 VLAN/default routing 설정이 제대로 들어갔고, L3쪽에서 정책을 따로 넣지 않으면, 모든 대역간 통신이 가능 합니다.
그러기에, 다른 대역끼리는 통신이 불가능하게 하려면 정책을 따로 만들어줘야 할 것 같네요. 프로토콜은 any 로 하심 되구요.