주니퍼 Secure Edge를 사용하여 Secure Edge Connector 설정(수동 프로비저닝)

주니퍼 Secure Edge의 테넌트는 Juniper Security Director Cloud 포털에 액세스하고 Secure Edge 서비스를 관리하기 위해 생성하는 조직 계정입니다. 테넌트는 고유한 이메일 주소 및 구독 계획과 연결됩니다. 테넌트는 조직의 퍼블릭 클라우드에서 호스팅되는 vSRX 기반 VPN 게이트웨이인 여러 서비스 위치를 가질 수 있습니다.

테넌트에는 최종 사용자의 연결 지점인 하나 이상의 서비스 위치가 있을 수 있습니다. 테넌트를 생성하려면 Juniper Security Director Cloud에 계정이 있어야 합니다. 자세한 내용은 Secure Edge 테넌트 생성 을 참조하십시오.

Juniper Security Director Cloud 포털에서 Secure Edge 테넌트를 생성한 후 포털에 액세스하여 구독을 확인합니다.

Juniper Security Director Cloud에 액세스하여 활성 구독을 확인하려면:

Juniper Security Director Cloud에 대한 활성 라이선스가 있는지 확인한 후 서비스 위치를 구성합니다. 이 단계는 Session Smart 라우터용 Secure Edge 커넥터를 설정하는 첫 번째 주요 작업입니다.

Juniper Security Director Cloud의 서비스 위치는 POP(접속 위치)라고도 하며 클라우드 위치의 주니퍼® Secure Edge 인스턴스를 나타냅니다. 서비스 위치는 온프레미스 사용자와 로밍 사용자 모두의 연결(액세스) 지점입니다.

서비스 위치는 vSRX가 퍼블릭 클라우드 서비스를 사용하여 서로 다른 네트워크 간에 보안 연결을 생성하는 장소입니다. 공용 IP 주소(테넌트 및 서비스 위치별로 고유)는 다음과 같은 용도로 사용됩니다.

• 브랜치 디바이스와 Juniper Security Director Cloud 간에 IPsec 터널을 설정합니다.

• 대상이 인터넷에 있을 때 트래픽을 중앙에서 분산합니다.

Juniper Security Director Cloud에서 서비스 위치를 구성하려면 다음을 수행합니다.

이제 Juniper Security Director Cloud에서 서비스 위치를 구성했으므로 네트워크 트래픽을 보호하기 위한 디바이스 인증서를 생성합니다.

TLS/SSL(전송 레이어 보안/Secure Sockets Layer) 인증서를 사용하여 Secure Edge와 WAN 에지 디바이스 간에 보안 통신을 설정할 수 있습니다. 네트워크의 모든 클라이언트 브라우저가 SSL 프록시를 사용하려면 주니퍼 네트웍스 및 SRX 시리즈 방화벽에서 서명한 인증서를 신뢰해야 합니다.

Juniper Security Director Cloud에서는 인증서를 생성하기 위해 다음과 같은 옵션을 사용할 수 있습니다.

• 새 인증서 서명 요청(CSR)을 만들면 자체 인증 기관(CA)에서 CSR을 사용하여 새 인증서를 생성할 수 있습니다.

• 주니퍼 네트웍스에서 인증서를 생성하도록 하는 옵션을 선택합니다.

참고:

이 항목에서는 TLS/SSL 인증서를 생성하는 방법에 대해 설명합니다. 인증서를 가져오고 사용하는 방법은 회사의 클라이언트 관리 요구 사항에 따라 달라지며 이 항목의 범위를 벗어납니다.

Juniper Security Director 클라우드에서 디바이스 인증서를 생성하려면:

Secure Edge와 WAN 에지 디바이스 간에 보안 통신을 설정하기 위한 인증서를 생성한 후에는 IPsec 프로필을 만들 준비가 된 것입니다.

IPsec 프로필은 주니퍼 Mist™ 클라우드 네트워크의 WAN 에지 디바이스가 Secure Edge 인스턴스와 통신을 시작할 때 IPsec 터널가 설정되는 매개 변수를 정의합니다.

Juniper Security Director 클라우드에서 IPsec 프로필을 생성하려면

이제 IPsec 프로필을 생성했습니다. 이러한 프로필은 주니퍼 Mist™ 클라우드 네트워크의 WAN 에지 디바이스와 Secure Edge 인스턴스 간의 IPsec 터널에 대한 매개 변수를 정의합니다.

이 시점에서 Juniper Security Director 클라우드에서 사이트를 만들어야 합니다. 사이트는 WAN 에지 디바이스를 호스트하는 위치를 나타냅니다. WAN 에지 디바이스의 트래픽은 보안 터널을 통해 Secure Edge 인스턴스로 전달된 다음 Secure Edge 클라우드 서비스에 의해 검사 및 적용됩니다.

사이트의 WAN 에지 디바이스에서 GRE(Generic Routing Encapsulation) 또는 IPsec 터널을 통해 고객 사이트에서 주니퍼 Secure Edge 클라우드로 인터넷 바운딩 트래픽의 일부 또는 전부를 전달하도록 구성할 수 있습니다.

참고:

브랜치 위치에서 스테이트풀 방화벽을 사용하는 경우 Secure Edge 내의 동일한 POP에 대해 겹치는 브랜치 주소가 지원되지 않습니다. 이러한 중첩 IP에 대한 역방향 경로 트래픽은 모든 연결에서 ECMP(equal-cost 다중 경로)를 사용하여 라우팅됩니다. 트래픽은 트래픽이 발생한 인터페이스에 세션별 라우팅이 아닌 ECMP를 사용하여 라우팅됩니다. 사이트에 대해 보호된 네트워크를 구성할 때 ECMP를 통한 역방향 경로 트래픽을 고려합니다.

Juniper Security Director Cloud에서 사이트를 만들려면:

이제 Juniper Security Director Cloud에서 사이트를 생성했으므로 이제 하나 이상의 주니퍼® Secure Edge 정책을 배포할 차례입니다.

Secure Edge 정책은 네트워크가 트래픽을 라우팅하는 방법을 지정합니다. 기본적으로 새 테넌트를 생성할 때 Security Director Cloud는 사전 정의된 규칙을 사용하여 Secure Edge 정책 규칙 세트를 생성합니다.

참고:

기본 규칙 세트를 변경하지 않더라도 배치 옵션을 사용하여 서비스 위치의 규칙을 로드해야 합니다.

Juniper Security Director Cloud에서 Secure Edge 정책을 구축하려면:

이전 작업에서는 주니퍼 Secure Edge에서 IPsec 터널을 설정하기 위한 몇 가지 작업을 완료하고 Juniper Security Director Cloud에서 Secure Edge 정책을 구축했습니다. Security Director Cloud의 마지막 단계는 각 사이트에 대한 구성 데이터를 수집하는 것입니다. IPsec 터널를 설정하기 위한 주니퍼 Mist™ 클라우드에서 Secure Edge 커넥터 구성(주니퍼 Mist 포털에서 Secure Edge 커넥터 만들기)을 완료하려면 이러한 세부 정보가 필요합니다. 이 단계에서는 생성한 사이트의 세부 정보를 기록해 둡니다.

참고:

Juniper Security Director 클라우드와 주니퍼 간의 동기화를 위한 자동화된 구성 푸시 Mist 클라우드 옵션을 사용할 수 없습니다.

Juniper Security Director Cloud에 적용할 IPsec 터널 구성 매개 변수를 가져오려면 다음을 수행합니다.

이제 주니퍼 Mist™에서 Session Smart 라우터 또는 SRX 시리즈 방화벽을 위한 Secure Edge 커넥터를 설정하려는 궁극적인 목표의 절반 정도 완료되었습니다.

Secure Edge 커넥터는 주니퍼 Mist 포털에서 생성합니다. 이 작업은 터널의 Mist 클라우드 측에서 구성을 완료하여 Mist와 Security Director Cloud에서 관리하는 WAN 에지 디바이스 간에 IPsec 터널 설정합니다. 커넥터를 만들기 전에 사이트에 배포된 WAN 에지 디바이스가 있는지 확인합니다.

주니퍼 Mist 포털에서 Secure Edge 커넥터를 생성하려면 다음을 수행합니다.

주니퍼 Mist™ 클라우드 포털에서 Secure Edge 커넥터를 생성한 후 다음 단계는 브랜치 디바이스에서 애플리케이션 정책을 수정하는 것입니다. 예를 들어, 스포크 디바이스에서 허브 디바이스로의 트래픽을 허용할 수 있습니다. 또한 스포크 디바이스에서 VPN 터널의 다른 스포크 디바이스로 트래픽을 허용할 수도 있습니다. 그런 다음 중앙 브레이크아웃을 위해 스포크에서 허브로 트래픽을 전송하는 대신 Juniper Security Director 클라우드를 통해 스포크에서 인터넷으로 트래픽을 전송할 수 있습니다.

다음 단계를 사용하여 구성이 작동하는지 확인합니다.

애플리케이션 정책을 수정한 후에는 이제 구성이 예상대로 작동하는지 확인할 차례입니다. 원하는 구성을 저장하면 주니퍼 Mist 클라우드이 중앙 브레이크아웃을 위해 허브로 라우팅하는 대신 스포크에서 Juniper Security Director 클라우드로 인터넷 바운드 트래픽을 라우팅하는지 확인할 수 있습니다.

구성을 확인하려면 다음을 수행합니다.