Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

보안 디바이스의 레이어 2 인터페이스

보안 디바이스의 레이어 2 인터페이스 이해

레이어 2 논리적 인터페이스는 패밀리 주소 유형이 있는 물리적 인터페이스에서 하나 이상의 논리적 단위를 정의하여 ethernet-switching 생성됩니다. 물리적 인터페이스에 가족 논리적 인터페이스가 있는 경우 논리적 인터페이스에 다른 패밀리 유형을 ethernet-switching 가지고 할 수 없습니다. 논리적 인터페이스는 다음 모드 중 하나에서 구성할 수 있습니다.

  • 액세스 모드—인터페이스는 언타그드 패킷을 허용하고, 지정된 VLAN 식별자를 패킷에 할당하고, 일치하는 VLAN 식별자로 구성된 VLAN 내에서 패킷을 전달합니다.

  • 트렁크 모드—인터페이스는 지정된 VLAN 식별자 목록에 일치하는 VLAN 식별자가 있는 태그의 모든 패킷을 허용합니다. 트렁크 모드 인터페이스는 일반적으로 스위치를 상호 연결하기 위해 사용됩니다. 물리적 인터페이스에서 수신된 받지 않은 패킷에 대한 VLAN 식별자를 구성하기 위해 이 옵션을 native-vlan-id 사용합니다. 옵션이 구성되지 않은 경우, 연결되지 않은 native-vlan-id 패킷은 삭제됩니다.

주:

트렁크 인터페이스의 VLAN 식별자가 다른 트렁크 인터페이스의 인터페이스와 중복되지 않는 한 여러 트렁크 모드의 논리적 인터페이스를 정의할 수 있습니다. 트렁크 인터페이스에 대해 구성된 native-vlan-id VLAN 식별자 목록에 속해야 합니다.

예를 들면 다음과 같습니다. 보안 디바이스에서 레이어 2 논리적 인터페이스 구성

다음 예제에서는 수신 패킷을 방화벽 또는 기타 보안 장비로 선택적으로 리디렉션할 수 있도록 레이어 2 논리적 인터페이스를 트렁크 포트로 구성하는 방법을 보여줍니다.

요구 사항

시작하기 전에 VLA를 구성합니다. 예제를 참조합니다. 보안 디바이스에서 VLA 구성

개요

이 예에서는 논리적 인터페이스 ge-3/0/0.0을 VLAN 식별자 1 ~10으로 태그된 패킷에 대한 트래픽을 전송하는 트렁크 포트로 구성합니다. 이 인터페이스는 이전에 구성된 VLAN vlan-a 및 vlan-b에 암시적으로 할당됩니다. 그런 다음, 물리적 인터페이스 ge-3/0/0에서 수신되는 미가공 패킷에 10의 VLAN ID를 할당합니다.

구성

CLI 빠른 구성

이 예제를 신속하게 구성하려면 다음 명령을 복사하여 텍스트 파일에 붙여넣기하고, 라인 끊기를 제거하고, 네트워크 구성과 일치하는 데 필요한 세부 정보를 변경하고, 계층 수준에서 명령어를 CLI 입력한 다음 구성 모드에서 [edit]commit 입력합니다.

절차

단계별 절차

다음 예제에서는 구성 계층의 다양한 수준을 탐색해야 합니다. 이를 위한 지침은 에서 Configuration Mode의 CLI 편집자 사용 CLI 참조하십시오.

레이어 2 논리적 인터페이스를 트렁크 포트로 구성하는 경우:

  1. 논리적 인터페이스를 구성합니다.

  2. 언태그드 패킷에 대해 VLAN ID를 지정합니다.

  3. 디바이스 구성이 완료되면 구성을 커밋합니다.

확인

구성이 제대로 작동하고 있는지 확인하려면 show interfaces ge-3/0/0show interfaces ge-3/0/0.0 명령어를 입력합니다.

보안 장비의 혼합 모드(Transparent 및 Route 모드) 이해

혼합 모드는 Transparent 모드(Layer 2)와 Route 모드(Layer 3)를 모두 지원하며, 기본 모드입니다. 별도의 보안 존을 사용하여 Layer 2와 Layer 3 인터페이스 모두를 동시에 구성할 수 있습니다.

주:

혼합 모드 구성의 경우 변경을 커밋한 후에 디바이스를 재부팅해야 합니다. 하지만 SRX5000 라인 디바이스의 경우 재부팅이 필요하지 않습니다.

SRX4100 및 SRX4200 디바이스는 투명 모드에서 논리적 시스템을 지원합니다.

SRX4600 디바이스는 Route 모드에서만 논리적 시스템을 지원

혼합 모드(Transparent 및 Route 모드):

  • IRB 인터페이스 간에, IRB 인터페이스와 레이어 3 인터페이스 간에 라우팅이 없습니다.

디바이스는 그림 1 2개의 개별 디바이스처럼 보입니다. 한 디바이스가 Layer 2 투명 모드에서 실행되고 다른 디바이스는 Layer 3 라우팅 모드에서 실행됩니다. 그러나 두 장치 모두 독립적으로 실행됩니다. IRB 인터페이스 간에, IRB 인터페이스와 Layer 3 인터페이스 간에 라우팅이 있기 때문에 패킷은 Layer 2와 Layer 3 인터페이스 간에 전송될 수 없습니다.

그림 1: 혼합 투명 및 Route 모드의 아키텍처혼합 투명 및 Route 모드의 아키텍처

혼합 모드에서는 이더넷 물리적 인터페이스가 Layer 2 인터페이스 또는 Layer 3 인터페이스가 될 수 있지만 이더넷 물리적 인터페이스가 동시에 될 수는 없습니다. 그러나 레이어 2 및 레이어 3 패밀리는 동일한 디바이스의 별도의 물리적 인터페이스에 존재할 수 있습니다.

표 1 이더넷 물리적 인터페이스 유형과 지원되는 패밀리 유형을 나열합니다.

표 1: 이더넷 물리적 인터페이스 및 지원되는 패밀리 유형

이더넷 물리적 인터페이스 유형

지원되는 패밀리 유형

레이어 2 인터페이스

ethernet-switching

레이어 3 인터페이스

inet 지원되는 inet6

주:

여러 라우팅 인스턴스가 지원됩니다.

기본 라우팅 인스턴스 또는 사용자 정의 라우팅 인스턴스를 사용하여 동일한 기본 라우팅 인스턴스에서 의사 인터페이스와 Layer 3 인터페이스를 구성할 irb.x 수 있습니다. 을 그림 2 참조합니다.

그림 2: 혼합 투명 및 Route 모드혼합 투명 및 Route 모드

Layer 2 인터페이스의 패킷은 동일한 VLAN 내에서 스위칭되거나 IRB 인터페이스를 통해 호스트에 연결됩니다. 패킷은 자체 IRB 인터페이스를 통해 다른 IRB 인터페이스 또는 Layer 3 인터페이스로 라우팅될 수 없습니다.

Layer 3 인터페이스의 패킷은 다른 Layer 3 인터페이스로 라우팅됩니다. IRB 인터페이스를 통해 패킷을 Layer 2 인터페이스로 라우팅할 수 없습니다.

표 2 혼합 모드로 지원되는 보안 기능과 함께 사용 시 transparent 모드에서 지원되지 레이어 2 스위칭.

표 2: 혼합 모드(Transparent 및 Route 모드)에서 지원되는 보안 기능

모드 유형

지원

지원되지 않습니다.

혼합 모드

  • 애플리케이션 레이어 ALG(애플리케이션 레이어 Gateways)

  • 방화벽 사용자 인증(FWAUTH)

  • Intrusion Detection and Prevention (IDP)

  • 스크린

  • AppSecure

  • Unified Threat Management (UTM)

Route 모드(레이어 3 인터페이스)

  • 네트워크 주소 변환(NAT)

  • VPN

투명 모드(레이어 2 인터페이스)

  • Unified Threat Management (UTM)

  • 네트워크 주소 변환(NAT)

  • VPN

릴리스 릴리스 Junos OS 릴리스 12.3X48-D10 Junos OS 릴리스 17.3R1 일부 조건이 혼합 모드 작동에 적용됩니다. 여기에서 조건을 유의하십시오.

  • SRX300, SRX320, SRX340, SRX380, SRX550, SRX550HM 및 SRX1500 디바이스에서 혼합 모드(레이어 2 및 레이어 3)를 사용하여 이더넷 스위칭 및 VPLS(Virtual Private LAN Service)를 구성할 수 없습니다.

  • VLAN SRX5400, SRX5600 및 SRX5800 디바이스를 재부팅할 하지 않습니다.

예를 들면 다음과 같습니다. 혼합 모드(Transparent 및 Route 모드)를 사용하여 SRX 시리즈 디바이스를 구성하여 보안 서비스 향상

Transparent 모드(Layer 2) 및 Route 모드(Layer 3)를 동시에 사용해 SRX 시리즈 디바이스를 구성하여 구축을 간소화하고 보안 서비스를 개선할 수 있습니다.

인터페이스 ge-0/0/1.0에서 인터페이스 ge-0/0/0.0 및 Layer 3 트래픽을 인터페이스 ge-0/0/2.0에서 인터페이스 ge-0/0/3.0으로 전달하는 방법을 보여줍니다.

요구 사항

이 예에서는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 활용합니다.

  • SRX 시리즈 디바이스

  • 4대의 PC

시작하기 전에 다음을 할 수 있습니다.

  • 레이어 2 및 레이어 3 인터페이스를 위한 별도의 보안 존을 생성합니다. 을 레이어 2 보안 존 이해 참조합니다.

개요

서로 다른 비즈니스 그룹이 단일 혼합 모드 구성을 사용하여 Layer 2 또는 Layer 3 기반 보안 솔루션을 구축하는 경우 구축이 간소화됩니다. 혼합 모드 구성에서는 통합 스위칭 및 라우팅이 있는 보안 서비스를 제공할 수 있습니다.

또한, 혼합 모드를 사용하여 독립형 및 섀시 클러스터 모드 모두에서 SRX 시리즈 디바이스를 구성할 수 있습니다.

혼합 모드(기본 모드)에서는 별도의 보안 존을 사용하여 Layer 2 및 Layer 3 인터페이스 모두를 동시에 구성할 수 있습니다.

주:

혼합 모드 구성의 경우 변경을 커밋한 후에 디바이스를 재부팅해야 합니다. 하지만 SRX5000 라인 디바이스의 경우 재부팅이 필요하지 않습니다.

이 예제에서 먼저 이더넷 스위칭이라고 하는 Layer 2 패밀리 유형을 구성하여 레이어 2 인터페이스를 식별합니다. IP 주소 10.10.10.1/24를 IRB 인터페이스로 설정합니다. 그런 다음 존 L2를 생성하고 레이어 2 인터페이스를 ge-0/0/1.0 및 ge-0/0/0.0에 추가합니다.

그런 다음 레이어 3 인터페이스를 식별하기 위해 Layer 3 family type inet을 구성합니다. IP address 192.0.2.1/24를 인터페이스 ge-0/0/2.0에, IP 주소 192.0.0.2.3/24를 인터페이스 ge-0/0/3에 설정할 수 있습니다. 그런 다음 존 L3를 생성하고 레이어 3 인터페이스를 ge-0/0/2.0 및 ge-0/0/3.0에 추가합니다.

토폴로지

그림 3 혼합 모드 토폴로지가 표시됩니다.

그림 3: 혼합 모드 토폴로지혼합 모드 토폴로지

표 3 이 예제에서 구성된 매개 변수를 보여줍니다.

표 3: 레이어 2 및 레이어 3 매개변수

매개 변수

설명

L2

레이어 2 존.

ge-0/0/1.0 및 ge-0/0/0.0

레이어 2 존에 추가된 레이어 2 인터페이스.

L3

레이어 3 존.

ge-0/0/2.0 및 ge-0/0/3.0

레이어 3 존에 추가된 레이어 3 인터페이스.

10.10.10.1/24

IRB 인터페이스의 IP 주소입니다.

192.0.2.1/24 및 192.0.2.3/24

레이어 3 인터페이스를 위한 IP 주소.

구성

절차

CLI 빠른 구성

이 예제를 신속하게 구성하려면 다음 명령을 복사하여 텍스트 파일에 붙여넣기하고, 라인 끊기를 제거하고, 네트워크 구성과 일치하는 데 필요한 세부 정보를 변경하고, 계층 수준에서 명령어를 CLI 입력한 다음 구성 모드에서 [edit]commit 입력합니다.

단계별 절차

다음 예제에서는 구성 계층의 다양한 수준을 탐색해야 합니다. 이를 위한 지침은 에서 Configuration Mode의 CLI 편집자 사용 CLI 참조하십시오.

레이어 2 및 레이어 3 인터페이스를 구성하는 경우:

  1. 레이어 2 패밀리 유형을 생성하여 레이어 2 인터페이스를 구성합니다.

  2. 투명 브리지 모드에서 작동하도록 레이어 2 인터페이스를 구성합니다.

  3. IRB 인터페이스를 위해 IP 주소를 구성합니다.

  4. 레이어 2 인터페이스를 구성합니다.

  5. VLAN을 구성합니다.

  6. 레이어 3 인터페이스를 위해 IP 주소를 구성합니다.

  7. 트래픽을 허용하도록 정책을 구성합니다.

  8. 레이어 3 인터페이스를 구성합니다.

결과

구성 모드에서 , 및 명령어를 입력하여 show interfacesshow security policiesshow vlansshow security zones 구성을 확인 출력이 의도한 구성을 표시하지 않는 경우 이 예제의 지침을 반복하여 구성을 수정합니다.

디바이스 구성이 완료되면 commit 구성 모드에서 입력합니다.

확인

구성이 제대로 작동하고 있는지 확인합니다.

레이어 2 및 레이어 3 인터페이스 및 영역 검증

목적

레이어 2 및 레이어 3 인터페이스와 레이어 2 및 레이어 3 존이 생성되는지 검증합니다.

실행

작동 모드에서 명령어를 show security zones 입력합니다.

의미

출력에는 레이어 2(L2) 및 레이어 3(L3) 존 이름과 L2 및 L3 존에 속하는 Layer 2 및 Layer 3 인터페이스의 수와 이름이 표시됩니다.

Layer 2 및 Layer 3 세션 검증

목적

장비에서 Layer 2 및 Layer 3 세션이 설정된지 확인합니다.

실행

작동 모드에서 명령어를 show security flow session 입력합니다.

의미

출력은 디바이스에서 활성 세션과 각 세션의 관련 보안 정책을 보여줍니다.

  • Session ID 1—레이어 2 세션을 식별하는 번호. 이 ID를 사용하여 정책 이름이나 수신 및 수신 패킷 수와 같은 Layer 2 세션에 대한 자세한 정보를 얻을 수 있습니다.

  • default-policy-logical-system-00/2—Layer 2 트래픽을 허용하는 기본 정책 이름.

  • In—수신 플로우(해당 소스 및 대상 포트 번호를 사용하는 소스 및 대상 Layer 2 IP 주소, 세션은 ICMP, 이 세션의 소스 인터페이스는 ge-0/0/0.0)

  • Out—리버스 플로우(해당 소스 및 대상 포트 번호를 사용하는 소스 및 대상 Layer 2 IP 주소, 세션은 ICMP, 이 세션의 대상 인터페이스는 ge-0/0/1.0)입니다.

  • Session ID 2—레이어 2 세션을 식별하는 번호. 이 ID를 사용하여 정책 이름이나 수신 및 수신 패킷 수와 같은 Layer 2 세션에 대한 자세한 정보를 얻을 수 있습니다.

  • default-policy-logical-system-00/2—Layer 2 트래픽을 허용하는 기본 정책 이름.

  • In—수신 플로우(해당 소스 및 대상 포트 번호를 사용하는 소스 및 대상 Layer 2 IP 주소, 세션은 ICMP, 이 세션의 소스 인터페이스는 ge-0/0/0.0,).

  • Out—리버스 플로우(해당 소스 및 대상 포트 번호를 사용하는 소스 및 대상 Layer 2 IP 주소, 세션은 ICMP, 이 세션의 대상 인터페이스는 ge-0/0/1.0)입니다.

출시 내역 표
릴리스
설명
12.3X48-D10
릴리스 릴리스 Junos OS 릴리스 12.3X48-D10 Junos OS 릴리스 17.3R1 일부 조건이 혼합 모드 작동에 적용됩니다.