Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

보안 디바이스의 레이어 2 인터페이스

보안 디바이스의 레이어 2 인터페이스 이해

Layer 2 논리적 인터페이스는 패밀리 주소 유형 ethernet-switching과 물리적 인터페이스에서 하나 이상의 논리적 단위를 정의함으로써 생성됩니다. 물리적 인터페이스에 패밀리 논리적 인터페이스ethernet-switching 있는 경우, 논리적 인터페이스에 다른 패밀리 유형을 가질 수 없습니다. 논리적 인터페이스는 다음 모드 중 하나로 구성할 수 있습니다.

  • 액세스 모드—인터페이스는 태그가 없는 패킷을 허용하고, 지정된 VLAN 식별자를 패킷에 할당하며, 일치하는 VLAN 식별자와 함께 구성된 VLAN 내에서 패킷을 전달합니다.

  • 트렁크 모드—인터페이스는 지정된 VLAN 식별자 목록과 일치하는 VLAN 식별자가 포함된 모든 패킷 태깅을 허용합니다. 트렁크 모드 인터페이스는 일반적으로 스위치를 상호 연결하는 데 사용됩니다. 물리적 인터페이스에서 수신된 태그가 없는 패킷에 대해 VLAN 식별자를 구성하려면 이 native-vlan-id 옵션을 사용합니다. native-vlan-id 옵션이 구성되지 않으면 태그가 지정되지 않은 패킷은 삭제됩니다.

주:

트렁크 인터페이스의 VLAN 식별자가 다른 트렁크 인터페이스와 겹치지 않는 한 여러 트렁크 모드 논리적 인터페이스를 정의할 수 있습니다. 트 native-vlan-id 렁크 인터페이스에 대해 구성된 VLAN 식별자 목록에 속해야 합니다.

예를 들면 다음과 같습니다. 보안 디바이스에서 레이어 2 논리적 인터페이스 구성

이 예에서는 수신 패킷을 방화벽 또는 기타 보안 장비로 선택적으로 리디렉션할 수 있도록 Layer 2 논리적 인터페이스를 트렁크 포트로 구성하는 방법을 보여줍니다.

요구 사항

시작하기 전에 VLAN을 구성합니다. 예제 보기 : 보안 디바이스에서 VLAN 구성.

개요

이 예에서는 논리적 인터페이스 ge-3/0/0.0을 VLAN 식별자 1에서 10으로 태그된 패킷의 트래픽을 전송하는 트렁크 포트로 구성합니다. 이 인터페이스는 이전에 구성된 VLAN vlan-a 및 vlan-b에 내재적으로 할당됩니다. 그런 다음 물리적 인터페이스 ge-3/0/0에서 수신되는 태그가 없는 패킷에 10의 VLAN ID를 할당합니다.

구성

CLI 빠른 구성

이 예제를 신속하게 구성하려면 다음 명령을 복사하여 텍스트 파일에 붙여넣고, 줄 바꿈을 제거하고, 네트워크 구성에 필요한 세부 정보를 변경하고, 명령을 계층 수준에서 CLI [edit] 에 복사 및 붙여넣은 다음 구성 모드에서 입력 commit 합니다.

절차

단계별 절차

다음 예제에서는 구성 계층에서 다양한 레벨을 탐색해야 합니다. 그 방법에 대한 지침은 CLI 사용자 가이드의 Configuration 모드에서 CLI Editor를 사용하는 것을 참조하십시오.

Layer 2 논리적 인터페이스를 트렁크 포트로 구성하려면 다음을 수행합니다.

  1. 논리적 인터페이스를 구성합니다.

  2. 태그가 지정되지 않은 패킷에 대한 VLAN ID를 지정합니다.

  3. 디바이스 구성을 완료한 경우 구성을 커밋합니다.

확인

구성이 올바르게 작동하는지 확인하려면 명령과 show interfaces ge-3/0/0.0 명령을 show interfaces ge-3/0/0 입력합니다.

보안 장치의 혼합 모드(Transparent 모드 및 Route 모드) 이해

혼합 모드는 Transparent 모드(Layer 2)와 Route 모드(Layer 3)를 모두 지원합니다. 기본 모드입니다. 별도의 보안 존을 사용하여 동시에 Layer 2 및 Layer 3 인터페이스를 구성할 수 있습니다.

주:

혼합 모드 구성의 경우 변경 사항을 커밋한 후 디바이스를 재부팅해야 합니다. 그러나 SRX5000 라인 디바이스의 경우 재부팅이 필요하지 않습니다.

SRX4100 및 SRX4200 디바이스는 투명 및 라우트 모드 모두에서 논리적 시스템을 지원합니다.

SRX4600 디바이스는 Route 모드에서만 논리적 시스템을 지원합니다.

혼합 모드(Transparent 및 Route 모드):

  • IRB 인터페이스 간에는 라우팅이 없으며 IRB 인터페이스와 레이어 3 인터페이스 간에는 라우팅이 없습니다.

그림 1 장치는 2개의 개별 디바이스처럼 보입니다. 한 디바이스는 Layer 2 Transparent 모드에서 실행되고 다른 디바이스는 Layer 3 라우팅 모드에서 실행됩니다. 그러나 두 디바이스 모두 독립적으로 실행됩니다. IRB 인터페이스 간에 그리고 IRB 인터페이스와 레이어 3 인터페이스 간에 라우팅이 없기 때문에 패킷은 Layer 2와 Layer 3 인터페이스 간에 전송될 수 없습니다.

그림 1: 혼합 Transparent 및 Route 모드 아키텍처혼합 Transparent 및 Route 모드 아키텍처

혼합 모드에서 Ethernet 물리적 인터페이스는 Layer 2 인터페이스 또는 Layer 3 인터페이스일 수 있지만 이더넷 물리적 인터페이스를 동시에 사용할 수는 없습니다. 그러나 Layer 2 및 Layer 3 제품군은 동일한 디바이스의 개별 물리적 인터페이스에 존재할 수 있습니다.

표 1 이더넷 물리적 인터페이스 유형과 지원되는 제품군 유형을 나열합니다.

표 1: 이더넷 물리적 인터페이스 및 지원되는 제품군

이더넷 물리적 인터페이스 유형

지원되는 제품군 유형

레이어 2 인터페이스

ethernet-switching

레이어 3 인터페이스

inetinet6에 대한 보다 자세한 내용 보기

주:

여러 라우팅 인스턴스가 지원됩니다.

기본 라우팅 인스턴스 또는 사용자 정의 라우팅 인스턴스를 사용하여 동일한 기본 라우팅 인스턴스에서 의사 irb.x 인터페이스와 레이어 3 인터페이스를 모두 구성할 수 있습니다. 를 참조하십시오 그림 2.

그림 2: 혼합 Transparent 및 Route 모드혼합 Transparent 및 Route 모드

Layer 2 인터페이스의 패킷은 동일한 VLAN 내에서 전환되거나 IRB 인터페이스를 통해 호스트에 연결됩니다. 패킷은 고유 IRB 인터페이스를 통해 다른 IRB 인터페이스 또는 Layer 3 인터페이스로 라우팅할 수 없습니다.

Layer 3 인터페이스의 패킷은 다른 Layer 3 인터페이스로 라우팅됩니다. IRB 인터페이스를 통해 패킷을 Layer 2 인터페이스로 라우팅할 수 없습니다.

표 2 혼합 모드에서 지원되는 보안 기능과 Layer 2 스위칭을 위한 Transparent 모드에서 지원되지 않는 기능을 나열합니다.

표 2: 혼합 모드(Transparent 및 Route 모드)에서 지원되는 보안 기능

모드 유형

지원

지원되지 않음

혼합 모드

  • ALG(Application Layer Gateways)

  • 방화벽 사용자 인증(FWAUTH)

  • Intrusion Detection and Prevention (IDP)

  • 스크린

  • AppSecure

  • Unified Threat Management (UTM)

Route 모드(레이어 3 인터페이스)

  • 네트워크 주소 변환(NAT)

  • VPN

투명 모드(레이어 2 인터페이스)

  • Unified Threat Management (UTM)

  • 네트워크 주소 변환(NAT)

  • VPN

Junos OS 릴리스 12.3X48-D10 및 Junos OS Release 17.3R1부터 일부 조건이 혼합 모드 작동에 적용됩니다. 조건을 확인해 주십시오.

  • SRX300, SRX320, SRX340, SRX345, SRX380, SRX550, SRX550HM, SRX1500 디바이스에서는 혼합 모드(레이어 2 및 레이어 3)를 사용하여 이더넷 스위칭 및 VPLS(Virtual Private LAN Service)를 구성할 수 없습니다.

  • SRX5400, SRX5600 및 SRX5800 디바이스에서는 VLAN을 구성할 때 디바이스를 재부팅할 필요가 없습니다.

예를 들면 다음과 같습니다. 혼합 모드(Transparent 모드 및 Route 모드)를 사용하여 SRX 시리즈 디바이스를 구성하여 보안 서비스 개선

Transparent 모드(Layer 2)와 Route 모드(Layer 3)를 동시에 사용하여 SRX 시리즈 디바이스를 구성하여 구축을 간소화하고 보안 서비스를 개선할 수 있습니다.

이 예에서는 인터페이스 ge-0/0/0/1.0에서 인터페이스 ge-0/0/0.0으로 Layer 2 트래픽을 전달하고 인터페이스 ge-0/0/0/3.0으로 Layer 3 트래픽을 전달하는 방법을 보여줍니다.

요구 사항

이 예에서는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.

  • SRX 시리즈 디바이스

  • 4개의 PC

시작하기 전:

개요

여러 비즈니스 그룹이 Layer 2 또는 Layer 3 기반 보안 솔루션을 보유하고 있는 엔터프라이즈에서 단일 혼합 모드 구성을 사용하면 구축이 간소화됩니다. 혼합 모드 구성에서는 통합 스위칭 및 라우팅과 함께 보안 서비스를 제공할 수도 있습니다.

또한, 혼합 모드를 사용하여 독립형 및 섀시 클러스터 모드 모두에서 SRX 시리즈 디바이스를 구성할 수 있습니다.

혼합 모드(기본 모드)에서는 별도의 보안 존을 사용하여 동시에 Layer 2 및 Layer 3 인터페이스를 구성할 수 있습니다.

주:

혼합 모드 구성의 경우 변경 사항을 커밋한 후 디바이스를 재부팅해야 합니다. 그러나 SRX5000 라인 디바이스의 경우 재부팅이 필요하지 않습니다.

이 예에서는 먼저 이더넷 스위칭이라는 Layer 2 제품군 유형을 구성하여 레이어 2 인터페이스를 식별합니다. IP 주소 10.10.10.1/24를 IRB 인터페이스로 설정합니다. 그런 다음 존 L2를 생성하고 Layer 2 인터페이스 ge-0/0/1.0 및 ge-0/0/0.0을 추가합니다.

다음으로 레이어 3 제품군 유형 inet을 구성하여 레이어 3 인터페이스를 식별합니다. GE-0/0/2.0과 IP address 192.0.2.3/24를 인터페이스하도록 IP 주소 192.0.2.1/24를 인터페이스 ge-0/0/3으로 설정합니다. 그런 다음 존 L3를 생성하고 Layer 3 인터페이스 ge-0/0/2.0 및 ge-0/0/3.0을 추가합니다.

토폴로지

그림 3 혼합 모드 토폴로지 표시

그림 3: 혼합 모드 토폴로지혼합 모드 토폴로지

표 3 이 예에서 구성된 파라미터를 보여 주십시오.

표 3: 레이어 2 및 레이어 3 매개변수

매개 변수

설명

L2

레이어 2 존.

ge-0/0/1.0 및 ge-0/0/0.0

레이어 2 존에 추가된 레이어 2 인터페이스.

L3

레이어 3 존.

ge-0/0/2.0 및 ge-0/0/3.0

레이어 3 존에 추가된 레이어 3 인터페이스.

10.10.10.1/24

IRB 인터페이스를 위한 IP 주소.

192.0.2.1/24 및 192.0.2.3/24

레이어 3 인터페이스를 위한 IP 주소.

구성

절차

CLI 빠른 구성

이 예제를 신속하게 구성하려면 다음 명령을 복사하여 텍스트 파일에 붙여넣고, 줄 바꿈을 제거하고, 네트워크 구성에 필요한 세부 정보를 변경하고, 명령을 계층 수준에서 CLI [edit] 에 복사 및 붙여넣은 다음 구성 모드에서 입력 commit 합니다.

단계별 절차

다음 예제에서는 구성 계층에서 다양한 레벨을 탐색해야 합니다. 그 방법에 대한 지침은 CLI 사용자 가이드의 Configuration 모드에서 CLI Editor를 사용하는 것을 참조하십시오.

레이어 2 및 레이어 3 인터페이스를 구성하려면 다음을 수행합니다.

  1. 레이어 2 제품군 유형을 생성하여 레이어 2 인터페이스를 구성합니다.

  2. Transparent-Bridge 모드에서 작동하도록 레이어 2 인터페이스를 구성합니다.

  3. IRB 인터페이스를 위한 IP 주소를 구성합니다.

  4. 레이어 2 인터페이스를 구성합니다.

  5. VLAN을 구성합니다.

  6. 레이어 3 인터페이스에 대한 IP 주소를 구성합니다.

  7. 트래픽을 허용하도록 정책을 구성합니다.

  8. 레이어 3 인터페이스를 구성합니다.

결과

구성 모드에서 , show security policiesshow vlansshow security zones 명령을 입력show interfaces하여 구성을 확인합니다. 출력이 의도한 구성을 표시하지 않는 경우 이 예제의 지침을 반복하여 구성을 수정합니다.

디바이스 구성을 완료한 경우 구성 모드에서 입력 commit 합니다.

확인

구성이 올바르게 작동하는지 확인합니다.

Layer 2 및 Layer 3 인터페이스 및 존 검증

목적

Layer 2 및 Layer 3 인터페이스와 Layer 2 및 Layer 3 존이 생성되었는지 확인합니다.

실행

운영 모드에서 명령을 입력합니다 show security zones .

의미

출력에는 L2(L2) 및 Layer 3(L3) 존 이름과 L2 및 L3 존에 바인딩된 레이어 2 및 레이어 3 인터페이스의 번호와 이름이 표시됩니다.

레이어 2 및 레이어 3 세션 검증

목적

장비에서 레이어 2 및 레이어 3 세션이 설정되는지 확인합니다.

실행

운영 모드에서 명령을 입력합니다 show security flow session .

의미

출력은 디바이스의 활성 세션과 각 세션의 관련 보안 정책을 보여줍니다.

  • Session ID 1—레이어 2 세션을 식별하는 번호입니다. 이 ID를 사용하여 정책 이름 또는 안팎의 패킷 개수와 같은 Layer 2 세션에 대한 자세한 정보를 얻을 수 있습니다.

  • default-policy-logical-system-00/2—Layer 2 트래픽을 허용한 기본 정책 이름입니다.

  • In—수신 플로우(각 소스 및 대상 포트 번호가 있는 소스 및 대상 레이어 2 IP 주소, 세션은 ICMP이고 이 세션의 소스 인터페이스는 ge-0/0/0.0)입니다.

  • Out—리버스 플로우(소스 및 대상 레이어 2 IP 주소와 해당 소스 및 대상 포트 번호, 세션은 ICMP, 이 세션의 대상 인터페이스는 ge-0/0/1.0)입니다.

  • Session ID 2—레이어 2 세션을 식별하는 번호입니다. 이 ID를 사용하여 정책 이름 또는 안팎의 패킷 개수와 같은 Layer 2 세션에 대한 자세한 정보를 얻을 수 있습니다.

  • default-policy-logical-system-00/2—Layer 2 트래픽을 허용한 기본 정책 이름입니다.

  • In—수신 플로우(각 소스 및 대상 포트 번호가 있는 소스 및 대상 레이어 2 IP 주소, 세션은 ICMP이고 이 세션의 소스 인터페이스는 ge-0/0/0.0)입니다.

  • Out—리버스 플로우(각 소스 및 대상 포트 번호가 있는 소스 및 대상 레이어 2 IP 주소, 세션은 ICMP, 이 세션의 대상 인터페이스는 ge-0/0/1.0)입니다.

출시 내역 표
릴리스
설명
12.3X48-D10
Junos OS 릴리스 12.3X48-D10 및 Junos OS Release 17.3R1부터 일부 조건이 혼합 모드 작동에 적용됩니다.