가상 라우팅 및 포워딩을 사용하는 방화벽의 플로우 관리

SD-WAN 엔터프라이즈 네트워크는 아래 그림과 같이 여러 L3VPN 네트워크로 구성됩니다.

L3VPN 네트워크는 사이트(CPE 디바이스)에서 VRF 인스턴스 집합으로 식별됩니다. 사이트의 L3VPN 네트워크에 속한 사이트의 VRF 인스턴스는 애플리케이션 정책 기반 포워딩에 사용됩니다. 방화벽 플로우 세션 처리가 향상되어 애플리케이션 기반 조정 정책을 기반으로 이러한 VRF 인스턴스 간 미드스트림 트래픽 스위칭을 지원합니다. 논리적으로 주어진 L3VPN 네트워크의 일부인 VRF 인스턴스는 VRF 그룹으로 구성될 수 있습니다. 기존 방화벽, 네트워크 주소 변환(NAT) 구성 명령이 향상되어 VRF 그룹에 대한 작업을 지원할 수 있습니다.

아래 그림은 APBR 정책을 기반으로 여러 VRF에서 L3VPN 내의 트래픽 스티어링이 어떻게 수행되는지 설명합니다.

VRF 인스턴스를 사용하여 VRF 그룹을 구성하면 VRF 그룹 ID가 생성됩니다. 이러한 VRF 그룹은 SD-WAN L3VPN을 제어하기 위해 다음 모듈에서 사용됩니다.

• Security Policy - 정책 제어용.

• Flow - 소스 또는 대상 영역, 소스 또는 대상 IP 주소 및 프로토콜과 함께 VRF 그룹 이름을 기반으로 정책을 검색합니다. 따라서 세션은 VRF 그룹을 차별화 요소 중 하나로 사용하여 생성됩니다.

• NAT - VRF 그룹 이름을 기반으로 NAT 규칙을 지원합니다.

• ALG - VRF 그룹을 차별화 요소 중 하나로 사용하여 ALG 세션을 생성합니다.

VRF 그룹의 기능:

• 이를 통해 세션이 두 개의 MPLS VRF 사이를 전환할 수 있습니다.

• VRF 인스턴스가 동일한 VRF 그룹의 일부인 경우 플로우, 정책, NAT 또는 ALG 모듈과 같은 보안 기능은 VRF 인스턴스를 유사하게 처리합니다.

• VRF 인스턴스를 사용하여 VRF 그룹을 구성하면 VRF 그룹 ID가 생성됩니다. 이 그룹 ID는 특정 VRF 인스턴스의 VRF 그룹을 식별하기 위한 세션에 저장됩니다.

VRF 그룹은 SD-WAN 네트워크에서 L3VPN MPLS 기반 세션을 지원하기 위해 도입되었습니다. MPLS L3VPN 네트워크에 중첩되는 IP 네트워크 주소가 있거나 중첩되지 않을 때 정책, 플로우, NAT 및 ALG 모듈에서 MPLS L3VPN 트래픽을 제어하는 데 사용됩니다.

트래픽이 비 MPLS L3VPN 네트워크 사이를 통과하는 경우, VRF 그룹은 구성되지 않습니다. VRF 그룹이 구성되지 않은 경우, VRF group-ID는 0이 되거나 정책은 VRF 그룹에 대한 옵션을 any 사용합니다.

VRF 그룹의 목적은 다음과 같습니다.

• MPLS L3VPN 네트워크 간에 L3VPN 세션을 구분합니다.

• MPLS L3VPN 네트워크 간에 정책 및 NAT를 제어합니다.

L3VPN 네트워크에는 두 가지 중요한 VRF 그룹이 있습니다.

• Source-VRF 그룹

• Destination-VRF 그룹

원본-VRF 그룹 또는 대상-VRF 그룹에 대해 함께 그룹화할 수 있는 VRF 인스턴스를 이해하려면 다음 정보를 사용합니다.

• Source-VRF instances—동일한 인바운드 대상으로 서로 다른 MPLS 경로를 협상하는 VRF 인스턴스 목록입니다.

• Destination-VRF instances— 특정 L3VPN 트래픽에 대한 대상 경로를 포함하는 VRF 인스턴스 목록입니다.

참고:

트래픽이 반대 방향으로 시작되면 VRF 그룹은 트래픽 방향에 대한 역할을 전환합니다.

그림 3에서 세션 설정을 위한 초기 트래픽 플로우는 왼쪽에서 오른쪽으로 표시됩니다. 트래픽은 GRE-Zone1에 들어간 다음 Source-VRF 그룹(A)에 들어가 Destination-VRF 그룹(A')을 통과한 후 GRE_Zone2를 통해 종료됩니다.

마찬가지로, 소스 VRF 그룹(A) 및 대상-VRF 그룹(A)을 세션의 추가 키 값으로 사용하여 정책 검색이 시작 GRE_Zone1->Source-VRF group(A)->Destination-VRF group->(A’)->GRE_Zone2 되고 플로우 세션이 설정됩니다. 플로우 세션이 VRF 그룹을 사용하여 완료되면 트래픽은 그룹 내의 한 VRF에서 다른 VRF로 전환(재라우팅)할 수 있습니다.

VRF 그룹 ID를 저장하기 위해 세션 키 데이터 구조에서 16비트 숫자가 사용됩니다.

VRF 그룹을 구성하려면 다음 단계를 사용하십시오.

• 그룹화해야 하는 VRF 인스턴스를 나열합니다.

• VRF 그룹에 이름을 할당합니다.

• CLI 명령 set security l3vpn vrf-group group-name vrf vrf1 vrf vrf2 에 VRF 인스턴스 및 VRF 그룹 이름을 적용합니다

소스 및 대상 VRF 그룹은 서로 다른 컨텍스트에 따라 별도로 구성됩니다.

• Source VRF group—routing-instance의 소스 VRF 그룹은 MPLS 패킷과 연결되어 있습니다. 디바이스가 MPLS 패킷을 수신하면 패킷이 디코딩되어 LSI 인터페이스에 매핑됩니다. LSI 인터페이스에는 VRF 그룹 세부 정보를 식별하는 데 도움이 되는 라우팅 테이블 정보가 포함되어 있습니다.

• Destination VRF group- 새 세션에 대한 패킷의 첫 번째 경로 플로우 처리 중에 패킷을 다음 홉 또는 인터페이스로 라우팅하기 위해 목적지 경로 정보가 필요합니다. 플로우는 라우팅 테이블을 검색하여 경로 정보를 가져옵니다. 수신된 경로 정보가 다음 홉으로 MPLS를 가리키면 이 경로의 VRF를 사용하여 대상 VRF 그룹을 식별합니다.

참고:

L3VPN 네트워크에서 모든 관련 VRF를 제어하려는 경우 소스 및 대상 VRF 그룹이 동일합니다.

VRF 그룹이 구성되면 서로 다른 VRF 그룹에 대해 고유한 Group-ID가 생성됩니다. VRF 그룹에 VRF를 추가, 제거 또는 수정하는 등 다양한 작업을 수행할 수 있습니다.

• VRF 그룹에 VRF 추가
• VRF 그룹에서 VRF 제거
• VRF 그룹 수정
• VRF 그룹 제거

패킷을 처리하기 위해 첫 번째 경로 처리는 다음을 수행합니다.

• MPLS Decoder- 플로우가 MPLS 또는 비 MPLS 패킷을 수신하면 패킷이 처리되어 수신 패킷, 인터페이스 및 수신 인터페이스의 라우팅 인스턴스의 세부 정보를 검색합니다.

• FBF configuration- 수신 패킷을 다른 routing-instance로 리디렉션하도록 FBF 규칙을 구성할 때, FBF 규칙은 routing-instance 정보를 찾아 패킷 수신 인터페이스 routing-instance 대신 FBF routing-instance 정보를 전달합니다. 이 FBF VRF는 L3VPN 네트워크를 제어하기 위해 VRF 그룹의 일부여야 합니다.

• Initialize Routing-Table- 플로우가 패킷을 수신하면 패킷에 대한 초기 라우팅 테이블이 생성됩니다. FBF 구성이 방화벽 필터와 일치하는 경우 FBF의 라우팅 인스턴스 정보가 경로 조회에 사용됩니다. 그렇지 않으면 플로우는 경로 조회에 수신 인터페이스 라우팅 인스턴스 정보를 사용합니다.

• Finding Source VRF group- 수신 패킷이 MPLS 네트워크에서 온 패킷이면 패킷은 소스 VRF 그룹의 VRF 인스턴스에 매핑됩니다. 수신 패킷이 MPLS 패킷이 아닌 경우 소스 VRF 그룹 ID는 0입니다.

• Destination NAT using VRF group- 플로우는 대상 IP에 NAT 변환이 필요한지 확인합니다. 대상 NAT는 VRF에 대해 두 가지 유형의 일치 기준을 지원합니다.

  • VRF routing-group을 사용한 NAT 규칙 검색.

  • VRF 라우팅 인스턴스 및 NAT 정보를 사용하는 NAT 규칙 결과입니다.

• Destination Route—초기 경로 테이블에서 수행되는 경로 조회는 발신 인터페이스 및 대상 VRF 정보를 식별하는 데 사용됩니다. 이 정보는 정책 검색 및 세션 설치에 사용됩니다.

• Final next-hop- 목적지 경로를 찾는 첫 번째 단계는 포인트 경로의 다음 홉을 최종적으로 찾는 것입니다. 플로우는 이 다음 홉을 사용하여 다음 홉이 MPLS 네트워크를 가리키는지 여부를 확인합니다. MPLS 네트워크를 가리키지 않는 경우 대상 VRF 그룹은 0이 됩니다.

• Destination VRF group— 대상 VRF가 식별되면 대상 VRF Group-ID가 초기화됩니다. 대상 VRF가 그룹에 할당되지 않은 경우 0으로 설정됩니다.

• First Path Policy Search- 플로우는 정책 검색을 수행하여 패킷을 허용하거나 거부해야 하는지 확인합니다. 플로우는 5-튜플 정책 키 정보 및 VRF 정보를 수집하며, 이 정보는 정책 검색 모듈에서 적절한 VRF 정책을 찾는 데 사용됩니다.

• Source NAT using VRF group—플로우 세션은 소스 VRF 그룹 NAT 규칙 검색을 사용하여 소스 NAT를 수행합니다. Source-NAT는 두 가지 유형의 네트워크 주소 변환(NAT) 검색 기준을 지원합니다.

  • VRF 그룹을 사용한 Source-NAT 규칙 검색.

  • VRF 그룹 또는 VRF 인스턴스를 사용한 정적 NAT 규칙 검색.

• Static NAT using VRF group or VRF instance- 정적 NAT는 VRF 유형의 규칙에서 routing-group과 규칙에서 routing-instance를 지원합니다.

  • 정적 NAT가 지정된 IP 패킷에 대한 대상 NAT 변환과 일치하는 경우 VRF 라우팅 그룹은 일치 기준 중 하나가 되고 VRF 라우팅 인스턴스는 대상 라우팅 테이블로 사용됩니다.

  • 정적 네트워크 주소 변환(NAT)이 주어진 IP 패킷에 대한 소스 NAT 변환과 일치하는 경우 VRF 라우팅 인스턴스가 일치 기준 중 하나가 됩니다.

• Session Installation using VRF group- 세션 설치 프로세스 중에 소스 VRF group-ID는 윙이 MPLS 네트워크를 가리킨다는 것을 나타내는 포워드 윙에 저장됩니다. 경로 조회에서 찾은 대상 VRF group-ID는 날개가 MPLS 네트워크를 가리킴을 나타내는 역방향 날개에 저장됩니다.

• Re-routing using VRF group—VRF 그룹 정보를 사용하여 세션이 설정되면 인터페이스가 다운되거나 초기 경로를 사용할 수 없는 경우 재라우팅이 시작됩니다. 이렇게 변경된 경로는 세션이 처음에 양쪽에서 설정된 동일한 VRF 그룹(Source-VRF group/Destination-VRF group)의 일부여야 합니다. 그렇지 않으면 트래픽이 세션과 일치하지 않으며 향후 세션 트래픽이 삭제되거나 정책에 따라 새 세션이 생성될 수 있습니다.

빠른 경로 처리는 패킷을 처리하기 위해 다음 단계를 수행합니다.

• MPLS Decoder- 패킷 MPLS 또는 비 MPLS 패킷이 수신되면 패킷은 MPLS 처리를 거칩니다. 처리가 완료되면 플로우는 수신 패킷, 인터페이스 및 수신 인터페이스의 라우팅 인스턴스에 대한 세부 정보를 수신합니다.

• FBF configuration- 수신 패킷을 다른 routing-instance로 리디렉션하도록 FBF 규칙을 구성할 때, FBF 규칙은 routing-instance 정보를 찾아 패킷 수신 인터페이스 routing-instance 대신 FBF routing-instance 정보를 전달합니다. 이 FBF VRF는 L3VPN 네트워크를 제어하기 위해 VRF 그룹의 일부여야 합니다.

• Session look-up using VRF Group-ID- 세션 조회 프로세스 중에 플로우는 조회를 위해 세션 키에 VRF Group-ID를 전달할지 여부를 확인합니다. 수신 인터페이스가 MPLS인 경우, 플로우는 매핑된 VRF 라우팅 인스턴스의 VRF Group-ID 정보를 다른 키 튜플 정보와 함께 세션 키로 전달합니다. 수신 인터페이스가 MPLS가 아닌 경우 VRF Group-ID는 0이 됩니다.

• Session Route change- 중간 스트림의 세션에 대한 경로가 변경되면 플로우는 이 경로에 속하는 새 VRF를 확인합니다. 새로운 VRF Group-ID가 세션의 VRF Group-ID와 다른 경우, 경로가 처리되지 않고 향후 패킷이 삭제됩니다. 따라서 재라우팅을 위해 새 경로는 세션 VRF 그룹에 속하는 VRF에 속해야 합니다.

• VRF Group policy change- zone/interface/IP/Source-VRF group/Destination-VRF group과 같은 정책 속성으로 인해 VRF 그룹 세션 정책이 변경된 경우, 정책이 유효한지 여부를 확인하기 위해 소스 VRF 그룹 및 대상 VRF 그룹 값과 함께 정책 5-튜플을 제공하여 동일한 세션에 대해 정책이 다시 일치합니다. 재일치 시 정책이 세션 정보와 일치하지 않으면 세션이 종료됩니다.

• VRF session display- 소스-VRF 그룹과 대상-VRF 그룹이 세션 출력 디스플레이에 표시되어 동일한 튜플에 대해 서로 다른 VRF 그룹을 구별합니다.

• High Availability—추가 VRF group-ID 정보가 세션에서 다른 VRF 그룹을 구별하기 위해 HA 피어 노드에 동기화되면 동작 변경 없이 고가용성이 지원됩니다