그룹 VPNv2 개요

그룹 VPNv2 이해하기

그룹 VPN은 포인트 투 포인트 터널 및 관련 오버레이 라우팅을 제거하는 신뢰할 수 있는 그룹입니다. 모든 그룹 구성원은 그룹 SA(GSA)라고 하는 공통 보안 연결(SA)을 공유합니다. GSA를 사용하면 그룹 멤버가 다른 그룹 멤버에 의해 암호화된 트래픽을 복호화할 수 있습니다. Junos OS 릴리스 18.2R1부터는 MX 라우터에서 실행되는 SRD[Service 중복 Protocol]으로 그룹 VPN 중복을 확인합니다. MX 라우터 간에 중복이 있는 MX 라우터는 그룹 VPN 멤버 역할을 합니다. 서비스 중복 프로토콜에 대한 자세한 내용은 서비스 중복 데몬 개요를 참조하십시오.

Junos OS 릴리스 15.1부터 Junos OS는 그룹 VPNv2를 지원합니다. 그룹 VPNv2는 메시 아키텍처에서 포인트 투 포인트 VPN 터널이 필요하지 않은 VPN 범주입니다. 라우터에서 시작하거나 라우터를 통해 흐르는 프라이빗 WAN을 통해 유니캐스트 트래픽을 보호하는 데 필요한 기능 집합입니다.

그룹 VPNv2는 포인트 투 포인트 터널 및 관련 오버레이 라우팅을 제거하기 위해 신뢰할 수 있는 그룹의 개념을 도입합니다. 모든 그룹 구성원은 그룹 SA라고도 하는 공통 보안 연결(SA)을 공유합니다. 이를 통해 그룹 구성원은 다른 그룹 구성원에 의해 암호화된 트래픽을 복호화할 수 있습니다.

그룹 VPNv2는 다음과 같은 이점을 제공합니다.

• 데이터 보안 및 전송 인증을 제공하여 모든 WAN 트래픽을 암호화하여 보안 규정 준수 및 내부 규정을 충족할 수 있도록 지원합니다.

• 대규모 네트워크 메시를 지원하고 그룹 암호화 키로 복잡한 피어 투 피어 키 관리를 제거합니다.

• 그룹 멤버 변경 또는 정책 변경으로 인해 수행해야 하는 엔드포인트 변경 수를 줄입니다.

• MPLS 네트워크에서 풀 메시 연결, 자연 라우팅 경로, QoS(Quality of Service)와 같은 네트워크 인텔리전스를 유지합니다.

• 중앙 집중식 키 서버를 사용하여 인증된 멤버십 제어를 부여합니다.

• 그룹 정책에 정의된 모든 그룹 구성원 간의 트래픽 암호화 및 복호화를 허용합니다.

• 중앙 허브를 통한 전송 없이 사이트 간 풀타임 직접 통신을 가능하게 하여 짧은 지연 시간과 지터를 보장합니다.

• 트래픽 복제에 코어 네트워크를 사용하여 고객 사내 장치(CPE) 및 프로바이더 에지(PE) 암호화 디바이스의 트래픽 부하를 줄이고 각 개별 피어 사이트에서 패킷 복제를 방지합니다.

그룹 VPNv2 및 표준 IPsec VPN

그룹 VPNv2는 네트워크에서 라우팅과 암호화를 함께 통합하는 표준 기반 기술을 기반으로 구축됩니다. IPsec 보안 SA는 인증 및 암호화 알고리즘, 키 교환 메커니즘, 보안 통신에 사용할 규칙을 정의하는 VPN 참여자 간의 단방향 계약입니다.

기존의 IPsec VPN 구축은 포인트 투 포인트 터널 사용을 기반으로 오버레이 네트워크를 생성하여 네트워크의 게이트웨이 간 트래픽 보안 문제를 해결합니다. 이러한 터널을 통해 전송되는 트래픽은 일반적으로 데이터 무결성과 기밀성을 제공하기 위해 암호화되고 인증됩니다. 보안 그룹 구성원은 GDOI(Group Domain of Interpretation 프로토콜)를 통해 관리됩니다. GDOI 솔루션은 암호화 및 인증 문제를 전송에서 분리하여 다른 접근 방식을 취합니다. 이를 통해 GDOI 기반 솔루션은 브랜치 간 터널을 구성할 필요 없이 브랜치 간 통신을 암호화하는 방법을 제공합니다.

현재 VPN 구현에서 SA는 두 엔드포인트 간의 지점 간 터널입니다. 그룹 VPNv2는 라우터 그룹이 공유하는 SA를 지원하도록 IPsec 아키텍처를 확장합니다( 그림 1 참조). 키 서버는 등록 및 인증된 모든 멤버 라우터에 키와 정책을 배포합니다. 중앙 집중식 지점에서 정책을 배포하고 인증된 그룹 구성원과 동일한 그룹 보안 연결(전체 그룹에 단일 2단계 SA가 있음)을 공유함으로써 키 배포 및 관리가 크게 간소화됩니다.

그룹 VPNv2는 클라이언트/서버 아키텍처입니다. 모든 멤버는 키 서버와 함께 고유한 1단계 IKE(Internet Key Exchange) SA를 갖습니다. 따라서 멤버가 있는 n 경우 총 1단계 IKE SA가 n 존재합니다. 그러나 전체 그룹은 단일 2단계 SA를 공유합니다.

기존 IPsec에서는 터널 엔드포인트 주소가 새로운 패킷 소스 및 대상으로 사용됩니다. 그런 다음 패킷은 암호화 엔드포인트 소스 IP 주소와 복호화 엔드포인트 대상 IP 주소를 사용하여 IP 인프라를 통해 라우팅됩니다. 그룹 VPN의 경우, IPsec으로 보호된 데이터 패킷은 IP 주소를 보존하기 위해 외부 IP 헤더에 있는 호스트의 원래 소스 및 대상 주소를 보존합니다. 이를 터널 헤더 보존이라고 합니다. 터널 헤더 보존의 가장 큰 장점은 기본 네트워크 라우팅 인프라를 사용하여 암호화된 패킷을 라우팅할 수 있다는 것입니다.

GDOI 프로토콜 이해하기

RFC 6407에 설명된 GDOI(Group Domain of Interpretation) 프로토콜은 일련의 암호화 키 및 정책을 디바이스 그룹에 배포하는 데 사용됩니다. GDOI는 그룹 키 관리를 위한 ISAKMP(Internet 보안 협회 키 관리 프로토콜) DOI(Domain of Interpretation)로 정의됩니다. 그룹 관리 모델에서 GDOI 프로토콜은 그룹 구성원과 그룹 컨트롤러 또는 키 서버(GC/KS) 간에 작동하며 보안 참가자 집합에 대한 그룹 보안 연결 및 그룹 키를 관리합니다. ISAKMP는 협상의 두 단계를 정의합니다. GDOI는 1단계 ISAKMP 보안 연결에 의해 보호되는 2단계 프로토콜입니다. IKEv1은 RFC 6407에서 1단계 프로토콜로 지정됩니다.

GDOI는 두 가지 다른 암호화 키를 도입합니다.

• 키 암호화 키(KEK) - 컨트롤 플레인을 보호하는 데 사용됩니다. KEK는 그룹 구성원이 GC/KS에서 키 재입력 메시지를 복호화하는 데 사용하는 키의 이름입니다. 이 키는 SAK(보안 연결 키 암호화 키)의 일부입니다.

• 트래픽 암호화 키(TEK) - 데이터 플레인을 보호하는 데 사용됩니다. TEK는 그룹 구성원이 다른 그룹 구성원 간의 통신을 암호화하거나 해독하기 위해 사용하는 키의 이름입니다. 이 키는 SA TEK(보안 연결 전송 암호화 키)의 일부입니다.

표준 IPsec과 마찬가지로 모든 키에는 수명이 있으며 키를 다시 입력해야 합니다. GDOI를 통해 배포되는 키는 그룹 키이며 전체 그룹에서 사용됩니다.

그룹 SA 및 키 관리는 두 가지 유형의 GDOI 교환을 통해 처리됩니다.

• groupkey-pull—이 교환을 통해 구성원은 서버에서 그룹이 공유하는 SA 및 키를 요청할 수 있습니다.

  pull 메서드에서 그룹 구성원은 키 서버에서 그룹 SA 및 정책을 요청합니다. 이 요청은 IKE(Internet Key Exchange) SA를 통해 보호됩니다.

  groupkey-pull GDOI 프로토콜의 첫 번째 교환이며 GC/KS에 그룹 회원 등록에 사용됩니다. 그룹 멤버는 등록하려는 그룹을 지정하고, GC/KS는 필요한 모든 그룹 SA와 키를 그룹 멤버에게 보냅니다. 전체 교환은 교환이 시작되기 전에 groupkey-pull IKEv1과 함께 설정된 1단계 SA(IKEv1 SA)에 의해 보호됩니다. 이는 groupkey-pull GDOI 프로토콜의 2단계에 속합니다.

• groupkey-push—이 교환은 기존 그룹 SA가 만료되기 전에 서버가 그룹 SA와 키를 구성원에게 보낼 수 있도록 하는 단일 키 재입력 메시지입니다. 키 재입력 메시지는 서버에서 구성원에게 전송되는 원치 않는 메시지입니다.

  groupkey-push 이는 GDOI 프로토콜의 두 번째 교환이며 GC/KS가 그룹의 등록된 모든 구성원에게 시작합니다. 표 2 는 MX 시리즈 그룹 멤버가 메시지로 groupkey-push 수신할 것으로 예상하는 페이로드를 보여줍니다.

  표 2: groupkey-push 메시지 페이로드

  페이로드	설명
  그룹 관련 정책(GAP)	GAP 페이로드를 사용하면 SA를 활성화 및 비활성화할 시기에 대한 지침과 같은 그룹 전체 정책을 배포할 수 있습니다. 이 페이로드에는 트래픽 암호화 키(TEK)에 대한 활성화 시간 지연(ATD) 및 비활성화 시간 지연(DTD)에 대한 값과 IPsec 트래픽에 대한 IP-Delivery 지연 탐지 프로토콜 창 유형 및 창 크기가 포함되어 있습니다.
  SA TEK(보안 연결 전송 암호화 키)	트래픽 선택기.
  보안 연결 키 암호화 키(SAK) (선택 사항)	키 암호화 키(KEK)에 대한 보안 연결(SA)입니다. SA KEK라고도 합니다. 참고: groupkey-push 선택적 페이로드를 포함하지 않는 메시지는 여전히 유효한 메시지입니다.
  트래픽 암호화 키(TEK) (옵션)	그룹 구성원 간의 데이터 트래픽을 암호화하기 위한 키입니다.
  키 암호화 키(KEK) (선택 사항)	TEK를 보호하는 데 사용됩니다.

  거래소는 groupkey-push 거래소 중에 설치되는 SA KEK(SAK)에 의해 보호됩니다. groupkey-pull 이는 groupkey-push GDOI 프로토콜의 2단계에 속합니다.

경우에 따라 GC/KS는 그룹 구성원으로부터 그룹 키 푸시 승인 메시지를 수신하기를 원할 수 있습니다. 그룹 구성원의 푸시 승인 메시지는 구성원이 메시지를 수신하고 정책에 대한 조치를 취했음을 확인합니다. 또한 GC/KS는 승인을 사용하여 현재 그룹 정책을 수신하고 있는 그룹 구성원과 더 이상 그룹에 참여하지 않는 그룹 구성원을 결정할 수 있습니다. Junos OS 19.2R1부터 Junos OS는 RFC 8263에 정의된 SA KEK 페이로드에서 표준 KEK_ACK_REQUESTED 값 9 또는 사용되는 KEK_ACK_REQUESTED 값 129가 오래된 키 서버인 그룹키 푸시 메시지를 수신할 때 SHA-256 체크섬과 함께 승인 메시지를 보냅니다.

GDOI 프로토콜 및 그룹 VPNv2

그룹 VPNv2는 주니퍼 네트웍스의 라우터 플랫폼에 구현된 보안 기술의 이름입니다. 그룹 VPNv2는 다른 기능 외에도 GDOI 프로토콜(RFC 6407)을 기반으로 사용합니다.

그룹 VPNv2 기술은 GDOI 프로토콜을 기반으로 하여 가장 중요한 기능을 처리합니다. 이 프로토콜은 RFC 6407에 명시되어 있으며 보안 참가자 그룹에 대한 그룹 SA 및 키를 관리하기 위해 ISAKMP DOI(Domain of Interpretation)를 정의합니다. 따라서 그룹의 모든 구성원은 동일한 정보를 공유하여 서로 간의 트래픽을 암호화하고 복호화합니다. 그룹 SA 및 그룹 키의 생성, 관리 및 배포는 중앙 집중화되어 GC/KS에 의해 수행됩니다. 그림 2 는 GDOI를 사용하는 그룹 VPNv2 기능에 대한 간략한 개요를 제공합니다.

그림 2: GDOI 를 사용하는 그룹 VPNv2

그룹 구성원은 터널 모드에서 ESP(Encapsulating 보안 페이로드) 프로토콜을 사용하여 트래픽을 보호합니다. 그러나 그룹 VPN에서는 터널 모드가 수정됩니다. 그룹 멤버 간에 직접적인 연관성이 없기 때문에 외부 IP 헤더에 특수 IP 주소(즉, IPsec 게이트웨이의 IP 주소)를 사용할 필요가 없습니다. 모든 그룹 구성원은 다른 모든 그룹 구성원의 트래픽을 복호화할 수 있습니다. 따라서 내부 IP 헤더는 외부 IP 헤더에 복사되며 기본 라우팅 인프라 및 QoS 인프라를 사용할 수 있습니다. 이 기능을 헤더 보존이라고 하며 그림 3에 나와 있습니다.

그림 3: 헤더 보존

그룹 SA 및 그룹 키를 얻으려면 그룹 구성원이 특정 그룹의 GC/KS에 등록해야 합니다. 결과는 등록 프로세스를 보호하는 데만 필요한 IKEv1 SA입니다. 등록 후 그룹 멤버는 다른 그룹 멤버(SA TEK)와 통신하기 위한 모든 정보는 물론 키 재입력 메시지(SAK)를 성공적으로 복호화하기 위한 정보를 갖게 됩니다. GC/KS는 SA TEK 또는 SAK 수명이 만료되기 전에 키 재입력 메시지를 보냅니다. 동일한 키 재입력 메시지에서 SA TEK 업데이트와 SAK 업데이트를 보낼 수도 있습니다. IKEv1 SA는 더 이상 필요하지 않으며 수명이 만료된 후에 삭제됩니다(IKEv1 키 재생성 없음).

그룹 VPNv2 트래픽

그룹 VPNv2 트래픽에는 다음이 포함됩니다.

• Control-plane-traffic—GDOI 프로토콜만 사용하는 그룹 VPNv2 구축에서 그룹 구성원에서 GC/KS로의 트래픽입니다.

• Data-plane-traffic—IPsec에서 이미 알려진 ESP 프로토콜만 사용하는 그룹 VPNv2 구축의 그룹 구성원 간 트래픽입니다.

그룹 보안 연결

기존의 IPsec 암호화 솔루션과 달리 그룹 VPN은 그룹 보안 연결 개념을 사용합니다. 그룹 SA는 기능 면에서 SA와 유사합니다. 그룹 SA는 공통 GDOI 그룹의 모든 그룹 구성원 간에 공유됩니다. 그룹 VPN 그룹의 모든 구성원은 공통 암호화 정책 및 공유 그룹 SA를 사용하여 서로 통신할 수 있습니다. 공통 암호화 정책과 공유 그룹 SA를 사용하면 그룹 구성원 간에 IPsec을 협상할 필요가 없습니다. 이렇게 하면 그룹 멤버의 리소스 부하가 줄어듭니다. 기존의 IPsec 확장성 문제(터널 및 관련 SA 수)는 그룹 VPN 그룹 멤버에게 적용되지 않습니다.

그룹 컨트롤러/키 서버

그룹 컨트롤러 또는 키 서버(GC/KS)는 그룹 VPNv2 컨트롤 플레인을 생성하고 유지 관리하는 데 사용되는 디바이스입니다. 그룹 SA 및 그룹 키의 생성 및 배포를 담당합니다. 그룹 구성원이 다른 그룹 구성원과 통신하는 데 필요한 모든 정보는 GC/KS에서 제공합니다. 관심 트래픽, 암호화 프로토콜, 보안 연결, 키 재입력 타이머 등과 같은 모든 암호화 정책은 GC/KS에서 중앙에서 정의되며 등록 시 모든 그룹 멤버에게 푸시됩니다. 그룹 구성원은 IKE(Internet Key Exchange) 1단계를 사용하여 GC/KS로 인증한 다음 그룹 VPN 작업에 필요한 암호화 정책과 키를 다운로드합니다. GC/KS는 또한 키 새로 고침 및 배포를 담당합니다.

그룹 회원

그룹 멤버는 트래픽 암호화 프로세스에 사용되는 IPsec 엔드포인트 디바이스이며 데이터 트래픽의 실제 암호화 및 복호화를 담당합니다. 그룹 멤버는 IKE(Internet Key Exchange) 1단계 매개 변수 및 GC/KS 정보로 구성됩니다. 암호화 정책은 GC/KS에서 중앙으로 정의되고 성공적으로 등록 시 그룹 구성원에게 다운로드됩니다. 그런 다음 각 그룹 구성원은 그룹 구성원을 기반으로 들어오고 나가는 트래픽을 암호 해독 또는 암호화(SA 사용)할지 여부를 결정합니다.

기능적인 관점에서 그룹 멤버는 IPsec 게이트웨이와 유사합니다. 그러나 일반 IPsec의 SA는 두 IPsec 게이트웨이 사이에 존재합니다. GDOI에서 그룹 구성원은 그룹 VPN에 참여하기 위해 GC/KS에 등록합니다. 등록하는 동안 그룹 구성원은 그룹 ID를 GC/KS에 제공하여 이 그룹에 필요한 해당 정책, SA 및 키를 가져옵니다. 키 재생성은 그룹 구성원이 메서드(재등록)를 통해 groupkey-pull 수행하거나 GC/KS가 메서드를 groupkey-push 통해 수행합니다.

그룹 VPNv2 트래픽에 대한 안티리플레이 보호

그룹 VPN 통신은 본질적으로 동일한 공유 보안 연결을 통한 애니-투-애니(any-to-any) 통신이므로, 안티리플레이 보호를 위해 시퀀스 번호를 사용하는 것은 작동하지 않습니다. 이 때문에 Junos OS는 시간 기반 안티 리플레이 메커니즘인 draft-weis-delay-detection-01에 대한 IETF 초안 사양을 지원합니다. http://tools.ietf.org/html/draft-weis-delay-detection-01 에서 사용할 수 있습니다.

이 기능을 구현하기 위해 MX 시리즈 멤버 라우터는 패킷 내에서 새로운 IP 전송 지연 감지 프로토콜 타임스탬프 헤더를 사용합니다. 자세한 내용은 IP 전송 지연 감지 프로토콜 구현(시간 기반 안티리플레이 보호)을 참조하십시오.

MX 시리즈 멤버 라우터의 부분 페일-오픈

그룹 VPN의 그룹 구성원은 GC/KS에 의존하여 공유 SA에 대한 키 자료를 생성합니다. 따라서 처음에 트래픽을 보호하고 키 재입력 이벤트에 대한 트래픽을 지속적으로 보호하기 위해서는 그룹 멤버와 GC/KS 간의 연결이 필요합니다. 그룹 멤버와 GC/KS 간의 통신 실패 경우, 그룹 멤버의 기본 동작은 트래픽 포워딩을 중지하는 것입니다. 이를 페일 클로즈(fail-closed)라고 합니다.

기본이 아닌 구성 옵션을 사용하여 멤버가 GC/KS에 연결하여 활성 SA를 검색할 수 있을 때까지 암호화되지 않고 특별히 정의된 일부 트래픽이 그룹 멤버를 통해 흐르도록 허용할 수 있습니다. 이를 부분 장애 개방이라고 합니다.

부분 페일-오픈 기능을 사용하려면 소스 및 대상 주소로 정의된 특정 그룹 VPNv2에 대한 해당 MX 시리즈 그룹 멤버에 대한 규칙을 생성하는 정책 구성 옵션이 필요합니다. 이 페일오픈 규칙은 키 서버와의 연결 실패로 인해 그룹 SA가 사용 불가능한 상태인 경우에만 활성화됩니다. 일반적으로 그룹 VPN을 통과하지만 페일 오픈 규칙과 일치하지 않는 트래픽은 삭제됩니다. 그룹 VPN 개체에 대해 하나 이상의 페일-오픈 규칙을 정의할 수 있습니다. 페일 오픈 규칙이 구성되지 않으면 페일 오픈 기능이 비활성화됩니다.

그룹 VPNv2 활성화

서비스 집합은 해당 MX 시리즈 라우터의 특정 인터페이스에서 그룹 VPNv2를 활성화하는 데 사용됩니다.

[edit services]
service-set service-set-name {
    interface-service {
        service-interface service-interface-name;
    }
}
ipsec-group-vpn vpn-name;

[edit interfaces]
interface-name {
    unit 0 {
        family inet {
            service {
                input {
                    service-set service-set-name;
                }
                output {
                    service-set service-set-name;
                }
            }
            address 10.0.30.2/30;
        }
    }
}

그룹 회원 등록

서버에 대한 그룹 멤버 등록은 명령문이 ipsec-group-vpn 서비스 집합에 대해 구성되고 서비스 인터페이스가 작동하면 시작됩니다. 서비스 인터페이스가 다운되면 이 인터페이스와 연관된 모든 그룹 SA가 지워지고 인터페이스가 업할 때까지 이러한 그룹 VPN에 대한 등록이 트리거되지 않습니다.

그룹 멤버 등록에는 GC/KS를 사용하여 IKE(Internet Key Exchange) SA를 설정한 후 groupkey-pull 지정된 그룹 식별자에 대한 트래픽 키와 SA를 다운로드하기 위한 교환이 포함됩니다.

그룹 구성원 키 재생성(groupkey-push 방법)

GC/KS는 다음을 위해 등록된 그룹 구성원에게 유니캐스트 groupkey-push 메시지를 보냅니다.

• 새 키 암호화 키(KEK) 또는 트래픽 암호화 키(TEK)를 보냅니다.

  푸시 메시지에는 표 2에 표시된 페이로드 요소의 전부 또는 일부만 포함될 수 있습니다. GAP 페이로드에 이전 SA와 새로운 교체 SA가 모두 포함되어 있으면 그룹 멤버 라우터는 푸시를 통해 ATD 및 DTD 값을 일반 키 재입력으로 적용합니다. 업데이트에 ATD 값이 없는 경우, 멤버 라우터는 즉시 새 SA를 설치합니다. DTD 값이 없는 경우 이전 SA는 만료될 때까지 그대로 유지됩니다.

• 기존 SA에 대한 그룹 관련 정책(GAP)을 업데이트합니다.

  GC/KS는 언제든지 유니캐스트 푸시 메시지를 보내 그룹 멤버에게 구성을 업데이트할 수 있습니다. GAP 페이로드에는 IP 전송 지연 감지 프로토콜, 암호화 알고리즘, 수명 등에 대한 구성 변경이 포함될 수 있습니다. 업데이트된 구성은 즉시 적용되거나 지연됩니다. ATD 및 DTD 값은 각각 새 TEK의 활성화 및 기존 TEK의 삭제 타이밍을 달성하는 데 사용됩니다. 기존 TEK 수명을 줄여야 하는 경우 푸시 메시지에서 DTD 값이 적절하게 설정됩니다. 푸시 메시지의 새로운 TEK는 페이로드의 ATD 값을 기반으로 활성화됩니다.

• TEK 또는 KEK에 대한 삭제 키 알림을 보냅니다.

  GC/KS는 멤버의 키 및 SA를 삭제하기 위한 푸시 메시지에서 선택적 삭제 알림 페이로드를 보낼 수 있습니다. 푸시 메시지에는 삭제 알림이 TEK에 대한 것인지 KEK에 대한 것인지를 나타내는 프로토콜 ID가 포함되어 있습니다. 그룹 멤버 라우터는 페이로드에 포함된 그룹 ID 및 SPI 값을 기반으로 키를 삭제합니다. 특정 TEK 또는 KEK의 삭제는 DTD 속성에 지정된 지연 값으로 수행할 수 있습니다. 지연 값이 0이고 페이로드에 특정 SPI가 포함되어 있으면 일치하는 TEK 또는 KEK가 즉시 삭제됩니다. 그룹에서 모든 TEK 또는 KEK(또는 둘 다)를 삭제해야 하는 경우, SPI 값은 페이로드의 해당 프로토콜 ID에 대해 0으로 설정됩니다.

• 그룹 VPNv2의 그룹 VPN에서 멤버 라우터를 제거합니다.

  푸시 메시지는 GC/KS가 그룹 VPN에서 멤버를 삭제할 수 있도록 하는 데 사용됩니다. 한 가지 경우, GC/KS는 이전 SA와 더 작은 DTD 값만 포함된 키 재입력 메시지를 보냅니다. 그룹 멤버 라우터가 새롭고 더 작은 DTD 값을 설치합니다. 새 SA 키를 수신하지 않았으므로 멤버 라우터는 이 메서드를 사용하여 재등록을 시도합니다. groupkey-pull 이 재등록 시도는 GC/KS에 의해 거부되므로 그룹 VPN에서 멤버가 삭제됩니다. 두 번째 경우, GC/KS는 이전 SA의 SPI에 대한 삭제 페이로드를 보냅니다. 그룹 멤버 라우터는 SA를 즉시 삭제하고 이 groupkey-pull 방법을 사용하여 재등록을 시도합니다. 이 재등록 시도는 GC/KS에 의해 거부되므로 그룹 VPN에서 멤버가 삭제됩니다.

등록된 MX 시리즈 그룹 구성원이 GC/KS에 유니캐스트 PUSH ACK 메시지를 다시 전송하여 원본 푸시 메시지 수신을 확인합니다.

그룹 멤버 키 재생성(groupkey-pull 방법)

그룹 멤버 키 재입력의 경우, 이 groupkey-pull 방법을 사용하여 그룹 멤버는 일반적으로 기존 TEK 또는 KEK 소프트 수명에 7%에서 5% 사이가 남을 때 GC/KS에 다시 등록합니다. 기존 IKE(Internet Key Exchange) SA를 사용할 수 있는 경우 풀 메시지에 사용됩니다. GC/KS가 새 키로 응답한 후 이전 키와 새 키 모두 복호화에 사용할 수 있습니다. 그러나 새 키는 이전 키의 수명이 30초가 남을 때까지 암호화에 사용되지 않습니다. 기존 IKE(Internet Key Exchange) SA를 사용할 수 없는 경우, 풀 메시지는 그룹 멤버와 GC/KS 간의 새로운 IKE 협상을 초래합니다.

그룹 멤버로부터 특정 그룹 VPN에 관한 풀 메시지를 받으면 GC/KS는 해당 그룹의 모든 TEK 및 KEK로 응답합니다.

기존 SA가 GC/KS의 응답에 포함되지 않은 경우 누락된 SA는 그룹 멤버에 의해 삭제됩니다.

예를 들어, GC/KS는 3600초의 수명으로 구성되며 재전송 없이 하나의 그룹 멤버에 연결됩니다. 서버 구성에 따라 GC/KS는 수명의 10%가 남았을 때 새 키를 생성합니다. 그러나 그룹 구성원은 수명의 5%에서 7%가 남았을 때 GC/KS에 다시 등록합니다.

그림 4는 GC/KS와 그룹 멤버 간의 키 재생성 프로세스를 나타냅니다.

그림 4: 그룹 멤버 키 재입력

그룹 구성원 인증

Junos OS는 그룹 VPNv2의 그룹 VPN에 대한 PKI(Public Key Infrastructure) 지원을 제공하지 않습니다. 결과적으로 사전 공유 키가 그룹 구성원 인증에 사용됩니다.

그룹 VPNv2 트래픽 단편화

헤더 보존 기능과 기본 라우팅 인프라의 사용으로 인해, 암호화가 발생하기 전에(방지할 수 없는 경우) 패킷을 단편화해야 합니다.

따라서 사전 단편화가 지원되며 모든 구축에 권장됩니다.

사후 단편화를 방지하려면 그룹 VPNv2 구성에서 DF 비트에 대해 , set및 옵션을 copy 설정합니다clear.

이 플래그 설정에 기반하여 IPsec 헤더는 df-bit 내부 패킷에서 , set또는 copy 로 설정됩니다.clear

[edit]
security {
    group-vpn {
        member {
            ipsec {
                vpn group-vpn-name {
                    df-bit clear;
                }
            }
        }
    }
}

그룹 VPNv2 트래픽 암호화

그룹 구성원은 GC/KS에서 제공하는 그룹 SA 및 키를 기반으로 트래픽을 암호화합니다. 그룹 VPNv2 암호화 경로는 다음과 같습니다.

1. 패킷 포워딩 엔진에서 수신한 패킷은 플로우 일치에 대해 확인됩니다. 일치하는 항목이 발견되면 패킷이 추가로 처리되어 전송됩니다.

2. 일치하는 항목이 없으면 규칙 조회가 수행됩니다. 일치하는 항목이 발견되면 플로우가 생성되고 패킷이 추가로 처리 및 전송됩니다.

3. 규칙 조회가 실패하면 패킷이 삭제됩니다.

그룹 VPNv2 트래픽 복호화

등록에 성공하고 그룹 VPN SA가 설치되면 ESP 세션이 생성됩니다. 그룹 VPNv2는 소스 및 대상 IP가 0인 ESP 세션을 생성합니다. ESP 세션은 SA 설치 시 이미 생성되었으므로 패킷은 기존 ESP 세션과 일치해야 합니다.

그룹 VPNv2 복호화 경로는 다음과 같습니다.

1. 패킷 포워딩 엔진이 수신한 패킷은 단편화 검사를 거칩니다. 패킷이 단편화되면 추가 처리를 위해 어셈블됩니다.

2. 패킷 어셈블 후 또는 패킷이 단편화되지 않은 경우, 5-튜플 복호화 플로우 조회에서 0개의 소스 및 대상 IP가 사용됩니다. 일치하는 항목이 발견되면 패킷이 추가로 처리되어 전송됩니다.

3. 복호화 플로우 조회가 실패하면 패킷이 소스 및 대상 IP가 없는 SPI 플로우에 대해 확인됩니다.

4. SPI 플로우 조회가 실패하면 패킷이 삭제됩니다.

5. SPI 플로우 일치가 발견되면 후속 패킷에 대한 SPI 플로우 조회를 피하기 위해 복호화 플로우가 생성됩니다.

그룹 VPNv2에 대한 라우팅 인스턴스 구성

라우팅 인스턴스는 제어 및 데이터 트래픽 모두에 대해 지원됩니다. 그룹 멤버가 주어진 VRF 라우팅 인스턴스에서 GC/KS에 도달할 수 있도록 컨트롤 플레인 트래픽에서 라우팅 인스턴스 지원을 활성화하려면 계층 수준에서 [edit security group-vpn member ike gateway gateway-name local-address address] 문을 추가합니다routing-instance.

서비스 집합이 적용되는 미디어 인터페이스에 따라 결정되므로 데이터 플레인 패킷에 대한 라우팅 인스턴스를 지원하는 데 추가 CLI가 필요하지 않습니다.

여러 그룹, 정책 및 SA 설정

Junos OS는 그룹 VPNv2에서 설정된 서비스당 하나의 그룹 VPN을 지원합니다. 그러나 라우팅 인스턴스에서 여러 그룹을 지원하기 위해 여러 서비스 집합을 만들 수 있습니다. 그룹당 여러 개의 SA를 구성할 수 있습니다. 그러나 동일한 트래픽 키/SPI에 대한 여러 정책은 지원되지 않습니다. 서버가 동일한 TEK에 대해 두 개의 정책을 전송하는 경우, 수락하려면 쌍으로 이루어져야 합니다(예: A-B 및 B-A, 여기서 A와 B는 IP 주소 또는 서브넷). 지정된 TEK에 대해 페어링되지 않은 여러 정책이 수신되면 등록이 실패하고 시스템 로그 메시지가 생성됩니다.

여러 협력 GC/KS와 연결

그룹 구성원이 협동 모드에서 GC/KS와 함께 작업하기 위해 구성이 확장되어 서버 목록에서 최대 4개의 서버를 허용합니다.

이 방법을 사용할 groupkey-pull 때 키 재입력하는 동안 그룹 구성원은 GC/KS에 연결을 시도합니다. GC/KS에 대한 연결이 실패하면 그룹 구성원은 GC/KS에 대한 재연결을 시도합니다. 10초 간격으로 3회 재시도한 후 GC/KS에 대한 연결이 복원되지 않으면 그룹 구성원은 서버 목록에서 사용 가능한 다음 서버와의 연결을 설정하려고 시도합니다. 이 프로세스는 그룹 멤버가 GC/KS에 연결할 때까지 반복됩니다. 이 기간 동안 그룹 멤버의 만료되지 않은 GDOI SA는 정리되지 않으므로 그룹 VPN 트래픽은 영향을 받지 않습니다. 이러한 경우 키 재생성과 하드 수명 만료 사이의 시간 격차는 그룹 구성원이 사용 가능한 다음 서버에 연결할 수 있는 충분한 시간을 제공합니다.

IP 전송 지연 감지 프로토콜 구현(시간 기반 안티리플레이 보호)

IP 전송 지연 감지 프로토콜을 구현하는 데 필요한 구성은 없습니다. MX 시리즈 그룹 구성원은 키 서버의 푸시 또는 풀 메시지에서 GAP 페이로드의 일부로 사용할 재생 창 크기를 가져옵니다. 수신된 창 크기가 0이면 시간 기반 안티리플레이 보호가 비활성화됩니다.

IP 전송 지연 감지 프로토콜이 활성화된 경우, 발신자는 현재 타임스탬프를 추가하고 패킷을 암호화합니다. 수신자는 패킷을 복호화하고 현재 시간과 패킷의 타임스탬프를 비교합니다. 창 크기를 벗어나는 패킷은 삭제됩니다. 이 때문에 모든 그룹 구성원은 NTP(Network Time Protocol)를 사용하여 클럭을 동기화해야 합니다.

IP 전송 지연 감지 프로토콜 시간은 초 단위로 측정됩니다. 자세한 내용은 IP 전송 지연 탐지 Protocol-draft-weis-delay-detection-01 을 참조하십시오.

그룹 VPNv2 구성 변경

대부분의 그룹 VPNv2 구성 변경은 기존 SA를 모두 삭제하고 재등록하는 결과를 초래합니다. 이렇게 하면 새 트래픽 키로 1단계 및 SA 다운로드가 모두 트리거됩니다.

그룹 VPNv2 구성 우회

라우팅 프로토콜과 같은 특정 트래픽이 그룹 VPNv2의 그룹 VPN을 우회해야 하는 경우, 서비스 집합이 적용되는 인터페이스에 서비스 필터를 구성해야 합니다. 서비스 필터와 일치하는 패킷은 서비스 처리를 위해 PIC로 오지 않고 라우팅 엔진으로 직접 전달됩니다.

[edit interfaces]
interface-name {
    unit 0 {
        family inet {
            service {
                input {
                    service-set service-set-name service-filter filter-name;
                }
                output {
                    service-set service-set-name service-filter filter-name;
                }
            }
        }
    }
}

MX 시리즈 멤버 라우터에서 부분 페일오픈 구현

기본적으로 그룹 구성원 라우터가 연결 손실로 인해 GC/KS에서 SA를 가져올 수 없는 경우 패킷이 삭제됩니다. 그룹 멤버와 GC/KS 간의 통신 실패 시 일부 트래픽이 암호화되지 않은 상태로 통과하도록 허용하려면 [edit security group-vpn member ipsec vpn vpn-name ] 계층 수준에서 규칙을 fail-open 구성해야 합니다.

페일 오픈 규칙은 서버 연결이 끊어진 경우에만 트래픽에 적용됩니다. 연결이 복원되고 GC/KS에서 키를 받으면 페일 오픈 규칙이 비활성화됩니다.

[edit security group-vpn member ipsec vpn vpn-name]
fail-open {
    rule rule-name{
        source-address source-ip-address
            destination-address destination-ip-address}
        }
    }

특정 그룹에 대해 최대 10개의 페일오픈 규칙을 구성할 수 있습니다.

지원되는 GDOI IPsec 매개 변수

모든 GDOI 그룹에는 고유한 ID가 있습니다. GC/KS와 그룹 멤버 간의 공통 기반으로 그룹 SA 및 그룹 키에 대해 통신합니다.

등록 프로세스 중에 GC/KS는 그룹 구성원에게 SA TEK(보안 연결 전송 암호화 키)를 보냅니다. 전체 그룹 보안 정책에 관한 모든 매개 변수는 GC/KS에서 구성됩니다. SA TEK는 그룹 멤버가 서로 교환하는 트래픽을 보호하는 데 사용됩니다. 표 3 은 SA TEK의 매개변수를 보여줍니다.

암호화 알고리즘 외에도 그룹 멤버가 암호화해야 하는 트래픽은 SA TEK 정책(트래픽 선택기)의 일부입니다.

다음 문은 주니퍼 네트웍스 그룹 구성원에게 사용할 수 있습니다. 따라서 주소는 IKE 계층 수준 아래에 지정되어야 합니다. 열거형의 우선 순위도 지정됩니다. 따라서 다음 예제 구성에서 KS1은 KS2보다 먼저 연결됩니다.

[edit security]
group-vpn {
    member {
        ike {
            gateway gateway-name {
                ike-policy policy-name;
                server-address <IP_KS1> <IP_KS2> <IP_KS3> <IP_KS4>;
                local-address <IP_GM> routing-instance routing-instance-name;
            }
        }
        ipsec {
            vpn vpn-group-name {
                ike-gateway gateway-name;
                fail-open {
                    rule rule-name {
                    source-address 198.51.100.1/24 
                    destination-address 192.0.2.1/24 
                    }
                }
                group group-ID;
                match-direction output;
            }
        }
    }
}

지원되는 GDOI IKEv1 매개 변수

위에서 언급한 IKEv1 표준은 다음과 같이 구성됩니다.

동적 정책 적용

문 아래의 input ipsec-group-vpn 및 output 옵션은 서비스 집합이 적용되는 인터페이스가 수신 또는 발신 인터페이스일 때 서버에서 수신한 동적 정책을 사용할지 여부를 지정합니다. 이는 들어오고 나가는 방향에서 서로 다른 규칙을 지정할 수 있는 유연성을 제공합니다.

TOS 및 DSCP 지원

TOS(Type of Service) 및 DSCP(DiffServ Code Points) 비트는 내부 패킷에서 ESP 패킷으로 복사됩니다.

그룹 구성원 상호 운용성

Cisco의 GDOI 구현을 GET(Group Encryption Transport) VPN이라고 합니다. Junos OS의 그룹 VPNv2와 Cisco의 GET VPN은 모두 RFC 6407, 해석의 그룹 도메인을 기반으로 하지만, 주니퍼 네트웍스 보안 및 라우팅 디바이스와 Cisco 라우터를 모두 포함하는 네트워킹 환경에서 GDOI를 구축할 때 알아야 할 몇 가지 구현 차이점이 있습니다. 자세한 정보는 최신 Junos OS 릴리스 노트를 참조하십시오.

그룹 VPNv2 상호 운용성은 다음과 같습니다.

• Junos OS는 Cisco IOS GC/KS 지원과의 상호 운용성 지원을 제공합니다.

• Junos OS는 SRX 시리즈 그룹 VPN 서버와의 그룹 VPNv2 상호 운용성을 지원하지 않습니다.

  표 5: 그룹 VPNv2 상호 운용성

  그룹 회원	SRX 그룹 회원	MX 그룹 VPNv2 회원	Cisco 그룹 회원	SRX GC	SRX KS	시스코 GC/KS
  MX 그룹 VPNv2 회원	아니요	예	예	아니요	예	예
  SRX 그룹 회원	예	아니요	아니요	예	예	예

Junos OS는 그룹 정책에 예외를 추가하기 위해 Cisco GC/SK 서버에서 사용되는 거부 정책을 지원하지 않습니다. 이 문제를 해결하려면 MX 시리즈 그룹 멤버에 방화벽 규칙을 구성하여 수행할 수 있습니다. 또한 Junos OS 그룹 구성원은 협상에 실패하지 않고 단순히 내용을 무시함으로써 거부 정책에 따라 작업할 수 있습니다. 이를 통해 시스템 관리자는 Cisco 그룹 멤버와 Junos OS 그룹 멤버가 공존하는 네트워크를 쉽게 관리할 수 있습니다.

그룹 VPNv2 제한 사항

Junos OS 그룹 VPNv2는 다음을 지원하지 않습니다.

• 멀티캐스트 푸시 메시지

• 멀티캐스트 트래픽

• GDOI SNMP 관리 정보 베이스(MIB)

• 서버에서 보낸 정책의 프로토콜 및 포트입니다. 그룹 멤버는 정책에 지정된 IP 주소/서브넷만 따릅니다.

• 동일한 트래픽 키/SPI에 대해 여러 개의 짝을 이루지 않은 정책

• IKE(Internet Key Exchange) 게이트웨이 구성의 라우팅 인스턴스 간 로컬 및 원격 IP 오버래핑

• SA가 일치하지 않을 수 있는 중복 그룹 VPNv2 정책

• 제어 및 데이터 트래픽을 위한 IPv6

• 동일한 서비스 집합에 IPsec과 그룹 VPN이 공존

• 동일한 서비스 세트에 NAT 및 ALG와 같은 서비스가 공존합니다. 네트워크 주소 변환(NAT) 및 그룹 VPN은 서로 다른 서비스 집합에서 공존할 수 있습니다. 그러나 동일한 서비스 집합에 공존할 수는 없습니다.

• 사이트 간(S2S) VPN 및 동적 엔드포인트(DEP) VPN은 서로 다른 서비스 집합에서 그룹 VPN과 공존할 수 있습니다. 그러나 동일한 서비스 집합에 공존할 수는 없습니다.

• 동일한 서비스 집합에 여러 그룹

• SRX 시리즈 GC/KS를 통한 그룹 멤버 지원

• SRX 시리즈 그룹 멤버를 통한 그룹 멤버 지원

• 논리적 키 계층(LKH)

• 그레이스풀 리스타트(Graceful Restart)

• 고가용성

• 통합 ISSU

• 인증을 위한 PKI 지원