Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
이 페이지의 내용
 

주니퍼 Secure Edge로 Secure Edge Connector 구성(수동)

이 주제에서는 Secure Edge Connector를 주니퍼 Secure Edge로 수동으로 프로®비저닝하는 워크플로우의 모든 단계에 대해 간략하게 설명합니다.

주니퍼 Mist 클라우드는 주니퍼 보안 에지(JSE)와 통합되어 WAN 에지 디바이스의 트래픽을 검사합니다. Mist의 Secure Edge Connector 구성을 사용하면 WAN 에지 디바이스로 구축된 Session Smart 라우터 및 SRX 시리즈 방화벽이 검사를 위해 트래픽의 일부를 JSE로 전송할 수 있습니다.

Secure Edge 기능은 단일 사용자 인터페이스(UI)에서 제공되는 주니퍼의 간단하고 원활한 관리 경험을 제공하는 Juniper Security Director Cloud에서 관리됩니다.

자세한 내용은 주니퍼 Secure Edge를 참조하십시오.

구성 개요

이 작업에서는 트래픽이 인터넷에 도달하기 전에 검사를 위해 스포크 또는 허브 디바이스의 LAN 측에서 Secure Edge로 인터넷 바운드 트래픽을 보냅니다.

다음 표의 주제는 Mist 클라우드를 JSE와 통합하여 Secure Edge Connector를 통해 WAN Edge 디바이스 트래픽을 검사하기 위해 완료해야 하는 작업을 보여줍니다. 작업이 나열되는 순서는 워크플로우를 완료하기 위해 따라야 하는 단계의 시퀀스를 나타냅니다.

표 1: Secure Edge 커넥터 구성 워크플로우
단계 작업 설명
1 액세스 Juniper Security Director 클라우드 및 활성 구독 확인 액세스 Juniper Security Director 클라우드에서 조직 계정으로 이동하여 Secure Edge 구독을 확인합니다. 구독을 통해 구축을 위한 Secure Edge 서비스를 구성할 수 있습니다.
2 Juniper Security Director 클라우드에서 서비스 위치 구성

서비스 위치를 생성합니다. 여기서 VPN 게이트웨이는 서로 다른 네트워크 간에 보안 연결을 생성합니다.
3 Juniper Security Director 클라우드에서 디바이스 인증서 생성 주니퍼 Secure Edge에 대한 디지털 인증서를 생성하여 Secure Edge와 사용자 엔드포인트 간의 보안 통신을 구축합니다.
4 Juniper Security Director Cloud에서 IPsec 프로필 생성 IPsec 프로필을 생성하여 Mist 클라우드 네트워크의 WAN Edge 디바이스와 Secure Edge 인스턴스 간의 통신을 위한 IPsec 터널을 설정합니다.
5 Juniper Security Director Cloud에서 사이트 생성 WAN 에지 디바이스를 호스트하는 사이트를 만듭니다. 디바이스의 트래픽은 검사를 위해 보안 터널을 통해 Secure Edge 인스턴스로 전달됩니다.
6 Juniper Security Director Cloud에서 보안 에지 정책 구축 사이트에서 시작되거나 사이트로 향하는 트래픽에 대한 보안 규칙 및 작업을 정의하는 정책을 구성합니다.
7 Juniper Security Director Cloud에 적용할 IPsec 터널 구성 매개 변수 가져오기 서비스 위치 IP 또는 호스트 이름, IPsec 프로필 이름 및 사전 공유 키와 같은 세부 정보를 기록해 둡니다. 주니퍼 Mist 측에서 IPsec 터널을 설정하려면 이러한 세부 정보가 필요합니다.
8 Juniper Mist Cloud 포털에서 Secure Edge 커넥터 생성 Mist 포털에서 Secure Edge 커넥터를 생성합니다. 이 작업은 Mist에서 관리하는 WAN Edge 디바이스와 Secure Edge 인스턴스 간에 IPsec 터널를 설정하는 Mist 클라우드 측에서 터널 구성을 완료합니다.
9 애플리케이션 정책 수정 새 애플리케이션 정책을 만들거나 편집하여 중앙 집중식 액세스를 위해 허브를 거치는 대신 WAN Edge 디바이스에서 Juniper Security Director 클라우드를 통해 인터넷으로 트래픽을 전송하도록 합니다.
10 Mist에서 주니퍼 Secure Edge로의 IPsec 터널 확인(수동) 다음에서 설정된 IPsec 터널을 확인하여 구성이 작동하는지 확인합니다.
  • Mist 포털의 WAN 인사이트
  • Security Director Cloud 대시보드
  • WAN 에지 디바이스 CLI의 터널 트래픽 플로우

시작하기 전에

액세스 Juniper Security Director 클라우드 및 활성 구독 확인

주니퍼 Secure Edge의 테넌트는 Juniper Security Director Cloud 포털에 액세스하고 Secure Edge 서비스를 관리하기 위해 생성하는 조직 계정입니다. 테넌트는 고유한 이메일 주소 및 구독 계획과 연결됩니다. 테넌트에는 여러 서비스 위치가 있을 수 있습니다.

테넌트에는 하나 이상의 서비스 위치가 있을 수 있습니다. 이것이 최종 사용자를 위한 연결 지점입니다. 테넌트를 생성하려면 Juniper Security Director Cloud에 계정이 있어야 합니다. 자세한 내용은 Secure Edge 테넌트 생성 을 참조하십시오.

SD-Cloud 포털에서 Secure Edge 테넌트를 생성한 후 포털에 액세스하여 구독을 확인합니다.

Juniper Security Director Cloud에 액세스하여 활성 구독을 확인하려면:

  1. Juniper Security Director Cloud의 URL을 엽니다. 이메일 주소와 비밀번호를 입력하여 포털에 로그인합니다.
  2. 포털의 오른쪽 위 모서리에서 필요한 테넌트를 선택하여 계속합니다.
  3. 관리 > 구독을 선택하여 Security Director Cloud 구독 페이지에 액세스합니다.
  4. Secure Edge 구독 섹션으로 스크롤하여 활성 구독이 있는지 확인합니다.
    참고: 주니퍼® SRX 시리즈 방화벽을 사용하는 경우에도 SRX 관리 구독 탭을 클릭할 필요가 없습니다. 이 작업에서는 WAN 에지 디바이스 관리에 Security Director Cloud를 사용하지 않습니다.

    자세한 내용은 구독 페이지 정보를 참조하십시오.

    활성 구독이 있다고 가정하고 다음 단계를 계속합니다.

서비스 위치 구성

Juniper Security Director Cloud 라이선스가 활성화되어 있는지 확인한 후 서비스 위치를 구성합니다. 이 작업은 WAN Edge 디바이스용 Secure Edge 커넥터를 설정하는 첫 번째 단계입니다.

Juniper Security Director Cloud의 서비스 위치는 POP(접속 위치)라고도 하며 클라우드 위치의 주니퍼® Secure Edge 인스턴스를 나타냅니다. 서비스 위치는 온프레미스 사용자와 로밍 사용자 모두의 연결(액세스) 지점입니다.

서비스 위치에서 구성하는 공용 IP 주소(테넌트 및 서비스 위치별로 고유)는 다음의 용도로 사용됩니다.

  • 브랜치 디바이스와 Juniper Security Director Cloud 간에 IPsec 터널을 설정합니다.

  • 대상이 인터넷에 있을 때 트래픽을 중앙에서 분산합니다.

Juniper Security Director Cloud에서 서비스 위치를 구성하려면 다음을 수행합니다.

  1. Juniper Security Director 클라우드 메뉴에서 Secure Edge >Service Locations를 선택합니다.

    서비스 위치 페이지가 나타납니다.

  2. 추가(+) 아이콘을 클릭하여 새 서비스 위치를 생성합니다.
    표 2: 서비스 위치 세부 정보
    필드 값
    이름 설명이 포함된 이름을 입력합니다.
    위치 1 Secure Edge의 위치(POP)를 선택합니다. 이 위치가 속한 지리적 지역은 POP가 속한 지역으로 자동으로 선택됩니다.
    위치 2 Secure Edge에 대한 두 번째 위치(POP)를 선택합니다. 이 위치가 속한 지리적 영역이 자동으로 선택됩니다.
    구독 +를 클릭하여 새 구독을 추가하거나 기존 구독에서 선택합니다.
    총 사용자 이 서비스 위치가 서비스를 제공해야 할 수 있는 총 사용자 수를 입력합니다. 선택한 구독에 따라 자동으로 설정됩니다.
  3. 확인을 클릭합니다.

    Security Director Cloud는 서비스 위치를 생성하여 서비스 위치 페이지에 나열합니다.

    Secure Edge 인스턴스가 완전히 배포될 때까지 서비스 위치의 상태가 진행 중 으로 표시됩니다. 완료하는 데 몇 분 정도 걸릴 수 있습니다.

    서비스 위치를 생성할 때 고객별로 고유합니다. 인스턴스는 다른 테넌트와 공유되지 않습니다.

Juniper Security Director 클라우드에서 디바이스 인증서 생성

이제 Juniper Security Director Cloud에서 서비스 위치를 구성했으므로 SSL 암호 해독을 위한 디바이스 인증서를 선택적으로 생성할 수 있습니다.

TLS/SSL(전송 레이어 보안/Secure Sockets Layer) 인증서를 사용하여 클라이언트와 Secure Edge 간에 보안 통신을 설정하도록 선택한 경우 주니퍼. 네트워크의 모든 클라이언트 브라우저는 SSL 프록시를 사용하려면 WAN 에지 디바이스에서 서명한 인증서를 신뢰해야 합니다.

Juniper Security Director Cloud에서는 인증서를 생성하기 위해 다음과 같은 옵션을 사용할 수 있습니다.

  • 새 인증서 서명 요청(CSR)을 만들면 자체 인증 기관(CA)에서 CSR을 사용하여 새 인증서를 생성할 수 있습니다.

  • 주니퍼 네트웍스에서 인증서를 생성하도록 하는 옵션을 선택합니다.

참고:

이 항목에서는 TLS/SSL 인증서를 생성하는 방법에 대해 설명합니다. 인증서를 가져오고 사용하는 방법은 회사의 클라이언트 관리 요구 사항에 따라 달라지며 이 항목의 범위를 벗어납니다.

Juniper Security Director 클라우드에서 디바이스 인증서를 생성하려면:

  1. Secure Edge > 인증서 관리를 선택합니다.

    인증서 관리 페이지가 나타납니다.

    생성 드롭다운 목록에서 새 인증서 서명 요청(CSR) 또는 주니퍼에서 발급한 인증서를 생성할 수 있습니다.

  2. 관련 옵션을 선택합니다.
    1. 회사에 자체 CA가 있고 CSR을 생성하려는 경우 인증서 서명 요청을 클릭합니다.

      주니퍼 Secure Edge가 CSR을 생성한 후 CSR을 다운로드하고 CA에 제출하여 새 인증서를 생성합니다. 생성되면 업로드를 클릭하여 인증서 관리 페이지에서 인증서를 업로드합니다.

    2. 회사에 자체 CA가 없는 경우 주니퍼 발급 인증서를 클릭한 후 생성을 클릭합니다. 주니퍼 네트웍스가 인증서를 생성하여 시스템에 보관합니다.
      이 작업에서 주니퍼 발급 인증서를 선택하고 다음 단계를 계속합니다.
  3. 인증서 세부 정보를 입력합니다. 일반 이름 필드에서 인증서의 FQDN(정규화된 도메인 이름)을 사용합니다.

    인증서 관리 페이지가 열리고 인증서가 성공적으로 생성되었음을 나타내는 메시지가 표시됩니다.

  4. 목록에서 인증서를 선택한 다음 다운로드를 클릭하여 생성된 인증서를 다운로드합니다.

    다음 샘플은 다운로드한 인증서를 보여줍니다.

    시스템에 인증서를 다운로드한 후 클라이언트 브라우저에 인증서를 추가합니다.

Juniper Security Director Cloud에서 IPsec 프로필 생성

인증서를 생성하여 주니퍼 보안 에지와 WAN 에지 디바이스 간에 보안 통신을 설정하면 IPsec 프로필을 생성할 준비가 된 것입니다.

IPsec 프로필은 Mist의 WAN Edge 디바이스가 Secure Edge 인스턴스와 통신을 시작할 때 IPsec 터널이 설정되는 매개 변수를 정의합니다.

Juniper Security Director 클라우드에서 IPsec 프로필을 생성하려면

  1. Juniper Security Director Cloud 포털에서 Secure Edge > IPsec 프로필을 선택합니다.
  2. 추가(+) 아이콘을 클릭하여 IPsec 프로필을 생성합니다.
    IPsec 프로필 생성 페이지가 나타납니다.
  3. 프로필 이름에는 를 사용합니다default-ipsec. IKE(Internet Key Exchange) 및 IPsec에 대한 모든 기본값을 유지합니다. 현재는 Mist 포털에서 구성할 수 없습니다.

    다음 작업에서 이 IPsec 프로필을 사용하여 사이트를 만듭니다. 사이트 생성 페이지의 트래픽 전달 탭에서 터널 유형으로 IPsec을 선택하면 IPsec 프로필을 연결합니다.

주니퍼 Secure Edge 클라우드에서 사이트 생성

이제 Mist 클라우드의 WAN Edge 디바이스와 Secure Edge 인스턴스 간의 IPsec 터널에 대한 매개 변수를 정의하는 IPsec 프로필을 생성했습니다.

이 시점에서 Juniper Security Director 클라우드에서 사이트를 만들어야 합니다. 사이트는 WAN 에지 디바이스를 호스트하는 위치를 나타냅니다. WAN 에지 디바이스의 트래픽은 보안 터널을 통해 보안 에지 인스턴스로 전달된 다음 보안 에지 클라우드 서비스에 의해 검사되고 적용됩니다.

이 구성에서는 사이트의 WAN 에지 디바이스에서 GRE(Generic Routing Encapsulation) 또는 IPsec 터널을 통해 고객 사이트의 인터넷 바운드 트래픽의 일부 또는 전부를 주니퍼 보안 에지 클라우드로 전달하도록 선택할 수 있습니다.

참고:

브랜치 위치에서 스테이트풀 방화벽을 사용하는 경우 Secure Edge 내의 동일한 POP에 중첩되는 브랜치 주소가 지원되지 않습니다. 이러한 중첩 IP에 대한 모든 역방향 경로 트래픽은 모든 연결에서 ECMP(equal-cost 다중 경로)를 사용하여 라우팅됩니다. 트래픽은 트래픽이 시작된 인터페이스로 세션별 라우팅이 아닌 ECMP를 사용하여 라우팅됩니다. 사이트에 대해 보호된 네트워크를 구성할 때 ECMP를 통한 역방향 경로 트래픽을 고려하십시오.

Juniper Security Director Cloud에서 사이트를 만들려면:

  1. Juniper Security Director Cloud 포털에서 Secure Edge > Service Sites를 선택합니다.
  2. 더하기(+) 아이콘을 클릭하여 사이트를 만듭니다.
  3. 설정을 입력합니다.
    표 3: 사이트 만들기 - 서비스 위치 세부 정보
    필드 값
    서비스 위치 A 온-프레미스 사이트를 연결할 기본 위치를 선택합니다. 이것은 이전에 서비스 위치 구성에서 설정한 위치 중 하나입니다.
    서비스 위치 B 온-프레미스 사이트를 연결할 보조 위치를 선택합니다. 이전에 설정한 위치 중 하나입니다.
    사용자 수 사이트에서 네트워크를 사용할 수 있는 사용자 수를 입력합니다.
    표 4: 사이트 만들기 - 사이트 세부 정보
    필드 값
    이름 고유한 사이트 이름을 입력합니다.
    설명 고유한 사이트 설명을 입력합니다.
    국가 사이트가 있는 목록에서 해당 국가를 선택합니다.
    우편번호(선택 사항) 고객 지점이 있는 우편번호를 입력합니다.
    사이트 주소(선택 사항) 사이트의 위치(도로 주소)를 입력합니다.
    보호된 네트워크 추가(+) 아이콘을 클릭하여 터널을 통과하는 트래픽 흐름에 사용할 인터페이스의 프라이빗 IP 주소 범위를 추가합니다(예: 10.99.99.0/24, LAN 네트워크 IP 주소).

  4. 다음을 클릭합니다.
  5. 트래픽 전달 페이지에서 설정을 입력합니다. 그런 다음 확인 표시를 클릭합니다.
    표 5: 트래픽 포워딩 정책에 대한 인터페이스 세부 정보
    필드 값
    CPE 이름 CPE 디바이스의 이름과 같은 설명이 포함된 이름을 입력합니다.
    인터페이스 이름 인터페이스의 이름을 선택합니다.
    터널 유형 IPsec
    IP 주소 유형 동적 IP 주소 또는 정적 IP 주소를 선택합니다.
    IKE(Internet Key Exchange) ID site1@example.com(이메일 주소와 유사하며 각 사이트에 고유한 값이어야 함)
    외부 인터페이스 외부 인터페이스 이름을 입력합니다. 외부 인터페이스는 장치를 인터넷/네트워크에 연결합니다. ge-0/0/0.0이 기본값입니다.

  6. IPsec 프로필 이름을 선택하고 사전 공유 키를 입력하여 원격 액세스 사용자를 인증합니다. 그런 다음 확인을 클릭합니다.
    표 6: 트래픽 포워딩 정책에 대한 추가 세부 정보
    필드 값
    IPsec 프로파일 이름 default-ipsec

    사전 구성된 IPsec 프로파일이 없는 경우 새로 만들기를 클릭하여 IPsec 프로파일을 생성합니다.
    사전 공유 키

    각 사이트에 대해 고유한 PSK를 정의합니다. 예: 주니퍼!1
  7. 다음을 클릭합니다.
  8. CPE 구성 페이지에서 이전 단계에서 생성한 CPE를 선택한 다음 오른쪽 상단의 연필을 클릭합니다. CPE 디바이스는 비 주니퍼 디바이스입니다.
    표 7: 트래픽 포워딩 정책에 대한 CPE 구성
    필드 값
    CPE 이름 이 기본값은 이전에 구성한 내용을 기반으로 설정됩니다.
    인터페이스 이 기본값은 이전에 구성한 내용을 기반으로 설정됩니다.
    IPsec 프로파일 이름 이 기본값은 이전에 구성한 내용을 기반으로 설정됩니다.
    사전 공유 키

    이 기본값은 이전에 구성한 내용을 기반으로 설정됩니다.
    기본 서비스 위치 사이트 CPE 디바이스에서 주니퍼 Secure Edge로 전송되는 트래픽을 주로 처리하는 서비스 위치를 목록에서 선택합니다.
    터널 시드 1-1000 사이의 터널 시드 번호를 입력합니다. 이 숫자는 Junos OS CLI 터널 인터페이스 식별자를 결정합니다. 기본값은 1입니다.
    터널 보안 영역 신뢰 또는 언트러스트의 터널 영역 유형을 입력합니다. 신뢰가 기본입니다.
    외부 인터페이스 영역 신뢰 또는 신뢰할 수 없는 외부 인터페이스의 영역 유형을 입력합니다. 신뢰하지 않는 것이 기본값입니다.
    터널 라우팅 인스턴스 터널 대상 주소가 포함된 라우팅 인스턴스를 입력합니다. 구성에 라우팅 인스턴스가 없는 경우 이 필드를 비워 둡니다.

  9. 확인 표시를 클릭한 후 다음을 클릭합니다.
  10. 요약 페이지에서 구성을 검토합니다.
  11. 뒤로를 클릭하여 필드를 편집합니다. 그렇지 않으면 마침을 클릭하여 새 사이트를 만듭니다.
  12. 동일한 절차를 사용하여 사이트를 두 개 더 추가합니다. 다음 표에서는 안내에 도움이 되는 예제 세부 정보를 제공합니다.
    1. 두 번째 사이트를 만듭니다.
      표 8: 두 번째 사이트에 대한 사이트 만들기(샘플)
      필드 값
      서비스 위치 A JSEC-오레곤
      서비스 위치 B JSEC-오레곤
      사용자 수 10
      이름 스포크2-사이트
      국가 독일
      보호된 네트워크 10.88.88.0/24(LAN 네트워크)
      표 9: 두 번째 사이트에 대한 트래픽 포워딩(샘플)
      필드 값
      터널 유형 IPsec
      IP 주소 유형 동적
      IKE(Internet Key Exchange) ID site2@example.com(이메일 주소와 유사하며 각 사이트에 고유한 값이어야 함)
    2. 세 번째 사이트를 만듭니다.
      표 10: 세 번째 사이트에 대한 사이트 만들기(샘플)
      필드 값
      서비스 위치 A JSEC-오레곤
      서비스 위치 B JSEC-오하이오
      사용자 수 10
      이름 스포크3-site
      국가 독일
      보호된 네트워크 10.77.77.0/24(LAN 네트워크)
      표 11: 세 번째 사이트에 대한 트래픽 포워딩(샘플)
      필드 값
      터널 유형 IPsec
      IP 주소 유형 동적 IP 주소
      IKE(Internet Key Exchange) ID site3@example.com(이메일 주소와 유사하며 각 사이트에 고유한 값이어야 함)
  13. 사용자가 만든 사이트 목록이 표시되는 요약 페이지를 검토합니다. 잘못된 항목을 수정합니다.

Juniper Security Director Cloud에서 보안 에지 정책 구축

이제 Juniper Security Director Cloud에서 사이트를 생성했으므로 이제 하나 이상의 주니퍼® Secure Edge 정책을 배포할 차례입니다.

Secure Edge 정책은 네트워크가 트래픽을 라우팅하는 방법을 지정합니다. 기본적으로 새 테넌트를 생성할 때 Security Director Cloud는 사전 정의된 규칙이 포함된 Secure Edge 정책 규칙 세트를 생성합니다.

참고:

기본 규칙 세트를 변경하지 않더라도 배치 옵션을 사용하여 서비스 위치의 규칙을 로드해야 합니다.

Juniper Security Director Cloud에서 Secure Edge 정책을 구축하려면:

  1. Juniper Security Director Cloud 포털에서 Secure Edge > Secure Edge 정책을 클릭합니다.

    Secure Edge Policy(보안 에지 정책) 페이지가 나타나고 기본 규칙이 포함됩니다. 더 나은 디버깅을 위해 기본 보안 정책 세트를 수정합니다. 기본 규칙 집합은 인터넷에 대한 ICMP 핑을 허용하지 않으므로 클라우드를 통해 핑할 수 없습니다.

  2. 추가(+) 아이콘을 클릭하여 규칙을 만들거나 기존 규칙을 선택하고 연필 아이콘을 클릭하여 편집합니다.
  3. 새 규칙에 규칙 이름 Allow-ICMP를 지정합니다.
  4. 추가(+)를 클릭하여 소스를 추가합니다.
    소스에서 다음 기본값을 사용합니다.

    • 주소—모든

    • 사용자 그룹—모든

  5. 추가(+)를 클릭하여 대상을 추가합니다.
    Destinations(대상)에서 Addresses(주소)에 기본값 Any를 사용합니다.
  6. 애플리케이션/서비스에서 다음 값을 구성합니다.

    • 애플리케이션 - 모든

    • 서비스—특정(검색을 통해)

    • 특정 서비스 - icmp-all

    오른쪽 화살표(>)를 사용하여 특정 service=icmp-all 을 오른쪽 창으로 이동하여 활성화한 다음 확인을 클릭합니다.

  7. 허용 작업을 구성하고 나머지 필드에 대한 기본값을 유지합니다.
  8. 확인 표시를 클릭합니다.

    시스템은 새 규칙을 규칙 목록의 맨 아래에 배치하고 이 규칙을 규칙 세트의 마지막 규칙으로 처리합니다. 규칙이 전역 규칙(모든 트래픽을 거부함) 뒤에 배치되면, 전역 규칙이 모든 추가 트래픽을 중지하기 때문에 적용되지 않습니다.

    필요한 경우 규칙을 선택하여 규칙의 위치를 변경할 수 있습니다. 그런 다음 추가 > 이동 > 맨 위로 이동 옵션을 사용하여 선택한 규칙을 규칙 집합의 맨 위로 이동합니다. 규칙을 규칙 집합의 맨 위로 이동하면 시스템에서 이 규칙을 먼저 적용합니다.

    참고:

    규칙 세트를 수정할 때 배포 단추를 사용하여 작업을 완료해야 합니다. 그렇지 않으면 서비스 위치에서 오래된 규칙 세트를 계속 사용합니다.

  9. 구축을 클릭합니다.
  10. 표시되는 배포 창에서 지금 실행 옵션을 선택한 다음 확인을 클릭합니다.

    서비스 위치는 몇 분 후에 업데이트된 규칙 세트를 수신합니다.

  11. 관리 > 작업을 선택하여 배포된 작업의 상태와 진행률을 확인합니다.

Juniper Security Director Cloud에 적용할 IPsec 터널 구성 매개 변수 수집

이전 작업에서는 주니퍼 Secure Edge에서 IPsec 터널을 설정하기 위한 몇 가지 작업을 완료하고 Juniper Security Director Cloud에서 Secure Edge 정책을 배포했습니다. Security Director Cloud의 마지막 단계는 각 사이트에 대한 구성 데이터를 수집하는 것입니다. 이 단계에서는 생성한 사이트의 세부 정보를 기록해 둡니다.

참고:

Juniper Security Director Cloud와 Mist 클라우드 동기화하는 자동화된 구성 푸시 옵션을 사용할 수 없습니다.

Juniper Security Director Cloud에 적용할 IPsec 터널 구성 매개 변수를 가져오려면 다음을 수행합니다.

  1. Juniper Security Director Cloud 포털에서 Secure Edge >Service Sites를 선택합니다. 사이트 페이지가 열리고 배포된 사이트 세부 정보가 표시됩니다.
  2. 각 스포크 사이트를 확장한 다음 터널 구성 아래에서 보기를 클릭합니다. 자세한 내용은 Configuration Summary(구성 요약) 탭을 확인합니다.

    다음 단계에서 주니퍼 Mist 포털에서 Secure Edge Connector를 생성할 때 사용할 다음 세부 정보를 기록해 둡니다.

    • 사전 공유 키

    • 로컬 ID

    • 각 서비스 위치 터널의 IP 주소 및 원격 ID

    다음 샘플은 주니퍼 Secure Edge Cloud에서 사이트 생성에서 생성한 세 사이트 모두에 대해 추출된 정보를 보여줍니다.

    다음 샘플은 site2에 대한 추출된 정보입니다.

    다음 샘플은 site3에 대한 추출된 정보입니다.

    Mist 클라우드 포털에서 터널을 구성할 때 이러한 사이트 세부 정보가 필요합니다.

주니퍼 Mist 포털에서 Secure Edge 커넥터 생성

이제 주니퍼 Mist™에 구축된 WAN Edge 디바이스를 위한 Secure Edge 커넥터를 설정하려는 궁극적인 목표의 절반 정도 완료되었습니다.

Mist 포털에서 Secure Edge Connector를 생성합니다. 이 작업은 Mist 클라우드 측에서 터널 구성을 완료하여 Mist와 Security Director Cloud에서 관리하는 WAN Edge 디바이스 간에 IPsec 터널 설정합니다. 커넥터를 만들기 전에 사이트에 배포된 WAN 에지 디바이스가 있는지 확인합니다.

Mist 포털에서 Secure Edge 커넥터를 생성하려면 다음을 수행합니다.

  1. 왼쪽 메뉴에서 WAN 가장자리(Edges) > WAN 가장자리(Edges)를 클릭합니다.

    WAN Edge( Edges) 페이지에 사이트 세부 정보가 표시됩니다.

  2. 디바이스를 클릭하고 Secure Edge Connectors(Secure Edge 커넥터)까지 아래로 스크롤합니다.
  3. Secure Edge 커넥터 창에서 공급자 추가를 클릭합니다.
  4. Secure Edge 커넥터 세부 정보를 입력합니다. 이는 Juniper Security Director Cloud에 적용할 IPsec 터널 구성 매개 변수 수집에서 수집한 세부 정보와 동일합니다
    표 12: Secure Edge 커넥터 세부 정보(샘플)
    필드 값
    이름 site1-SDcloud에
    프로바이더 주니퍼 Secure Edge
    로컬 ID site1@example.com
    사전 공유 키 주니퍼!1 (예)
    기본
    IP 또는 호스트 이름 이것은 Juniper Security Director 클라우드 터널 구성의 IP 주소입니다.
    프로브 IP 프로브 IP 값을 입력할 필요가 없습니다 . IPsec 터널은 GRE와 같은 추가 모니터링이 필요하지 않습니다.
    원격 ID Juniper Security Director Cloud 터널 구성의 원격 ID입니다(예: <UUID>.jsec-gen.juniper.net).
    WAN 인터페이스

    • WAN0=INET

    • WAN1=MPLS
    중고등 학년
    IP 또는 호스트 이름 <IP 주소> (Juniper Security Director 클라우드 터널 구성에서)
    프로브 IP 프로브 IP 값을 입력할 필요가 없습니다 . IPsec 터널은 GRE와 같은 추가 모니터링이 필요하지 않습니다.
    원격 ID <UUID>.jsec-gen.juniper.net(Juniper Security Director 클라우드 터널 구성에서)
    WAN 인터페이스

    • WAN0=INET

    • WAN1=MPLS
    모드 액티브-스탠바이

    참고:

    Session Smart 라우터 기반 보안 에지 구성에 대해 ICMP 프로브 IP를 사용하도록 설정하지 않습니다. ICMP 프로브는 라우팅할 수 없는 IP 주소에서 보안 에지로 소싱되며 정책으로 인해 삭제됩니다. 또한 소스 주소가 모든 브랜치에서 겹치는 경우, 프로브 IP 주소를 사용하여 둘 이상의 브랜치로의 라우팅은 지원되지 않습니다.
  5. Mist 포털에 방금 구성한 Secure Edge 커넥터가 표시되는지 확인합니다.

트래픽 스티어링 구성

트래픽 스티어링 규칙을 구성하여 애플리케이션 트래픽이 목적지에 도달하기 위해 취할 수 있는 경로를 정의합니다. 다음 단계에서 생성하는 애플리케이션 정책에 이 트래픽 스티어링 규칙을 적용합니다. 트래픽 스티어링 규칙을 참조하십시오.

  1. WAN 에지 템플릿 또는 WAN 에지 디바이스에 새 트래픽 스티어링 경로를 추가합니다.WAN 에지 디바이스.
    표 13: 트래픽 스티어링 경로 구성(샘플)
    필드 값
    이름 클라우드
    전략 주문됨
    경로 경로 추가
    유형 Secure Edge 커넥터
    프로바이더 주니퍼 Secure Edge(IPsec만 해당)
    이름 site1-SDcloud에
  2. 경로 추가 제목 표시줄에서 파란색 체크 표시를 클릭한 다음 추가를 클릭하여 트래픽 스티어링을 저장합니다.

애플리케이션 정책 수정

다음 단계는 브랜치 디바이스에서 애플리케이션 정책을 수정하는 것입니다. 예를 들어, 스포크 디바이스에서 허브 디바이스로의 트래픽을 허용할 수 있습니다. 또한 VPN 터널에서 스포크에서 스포크로 트래픽을 허용할 수 있습니다. 그러면 중앙 브레이크아웃을 위해 스포크에서 허브로 트래픽을 전송하는 대신 Juniper Security Director 클라우드를 통해 스포크에서 인터넷으로 트래픽을 보낼 수 있습니다.

  1. WAN Edge 템플릿 또는 WAN Edge 디바이스 페이지에서 애플리케이션 정책을 추가하거나 편집합니다. 애플리케이션 정책을 참조하십시오.
  2. 방금 생성한 트래픽 스티어링 정책을 추가합니다. 이 예에서는 마지막 규칙에서 트래픽 스티어링이 클라우드로 변경되었습니다.
    참고:

    WAN 에지 디바이스 페이지에서 애플리케이션 정책을 생성하는 경우 요구 사항에 따라 템플릿 설정 재정의 옵션을 선택해야 할 수 있습니다.
  3. 변경 사항을 저장합니다. 이제 Mist 클라우드가 Juniper Security Director 클라우드에 대한 새 터널을 구축합니다.
이전 단계에서 생성한 터널을 통해 트래픽이 예상대로 라우팅되고 있는지 확인하려면 다음 섹션을 참조하십시오. Mist 클라우드는 스포크에서 Juniper Security Director 클라우드로 인터넷 바운드 트래픽을 라우팅해야 합니다.

Mist에서 주니퍼 Secure Edge로의 IPsec 터널 확인(수동)

Secure Edge Connector를 통해 생성한 터널을 통해 트래픽이 Mist Cloud에서 주니퍼 Secure Edge(Juniper Security Director 클라우드)로 라우팅되고 있는지 확인하려면 다음 단계를 따르십시오.

Secure Edge를 사용하여 Secure Edge Connector 구성(수동)에 설명된 대로 모든 단계를 완료한 후에는 주니퍼Mist 클라우드가 중앙 브레이크아웃을 위해 허브로 라우팅하는 대신 스포크에서 주니퍼 Secure Edge(Juniper Security Director 클라우드)로 인터넷 바인딩 트래픽을 라우팅하는지 확인해야 합니다.
이 시점에서 Mist 포털에서 Secure Edge Connector를 이미 구성했으며, 이로 인해 Mist와 Security Director Cloud에서 관리하는 WAN Edge 디바이스 간에 IPsec 터널 설정하기 위해 Mist 클라우드 측에서 터널 구성이 완료됩니다.
다음 단계에서는 터널이 예상대로 작동하는지 확인하는 방법을 안내합니다.

CLI를 통한 IPsec 터널 확인

(선택 사항) 환경에 따라 CLI(명령줄 인터페이스)에서 클라우드를 향한 IPsec 터널의 통신Juniper Security Director 확인할 수 있습니다.

Mist 포털에서 터널 확인

Mist 포털에서 다양한 모니터링 도구를 사용하여 터널 세부 정보를 확인할 수 있습니다.

  1. 왼쪽 메뉴에서 WAN Edges(>WAN Edges)를 선택하여 설정된 터널 세부 정보를 확인한 다음 WAN Edge 디바이스를 클릭합니다. 마지막으로 WAN 에지 인사이트를 클릭합니다. WAN 에지 이벤트 아래에 WAN 에지 터널 업 이벤트가 나타나는지 확인합니다.

  2. WAN Edge> WAN Edge로 이동하여 터널 상태 및 기타 세부 정보를 확인합니다. WAN Edge 디바이스를 선택한 다음 Secure Edge Connector 세부 정보 섹션까지 아래로 스크롤합니다.

  3. WAN Edge> WAN Edge 이름 WAN>> WAN Edge Insights > Probe Stats로 이동하여 터널 통계를 봅니다. 이에 대한 예를 보려면 터널 통계를 참조하십시오

또한 Juniper Security Director Cloud 대시보드와 서비스 위치에서 설정된 터널을 확인할 수 있습니다.

VM 데스크톱을 사용하여 새 트래픽 흐름 확인

  1. 분기 디바이스에 연결된 VM 데스크톱을 사용하여 새 트래픽 흐름을 확인합니다. 인터넷에 대한 ping을 사용하여 트래픽 흐름을 확인할 수 있습니다.
    참고:

    WAN 에지 디바이스와 주니퍼 보안 에지 서비스 위치 사이의 물리적 거리에 따라 지연이 발생할 수 있습니다.
  2. VM 데스크톱에서 브라우저를 열고 https://whatismyipaddress.com/ 로 이동하여 주니퍼 Mist 네트워크 트래픽을 서비스 위치에서 인터넷으로 라우팅하는 데 사용되는 소스 IP 주소에 대한 세부 정보를 확인합니다.

    이 예는 기본 서비스 위치의 트래픽을 보여줍니다.

    이 예는 보조 서비스 위치의 트래픽을 보여줍니다.

    서비스 위치의 두 IP 주소 중 하나는 공용 IP 주소이며 다음 두 가지 용도로 사용됩니다.

    • IPsec 터널을 종료합니다.

    • Juniper Security Director 클라우드를 통해 브랜치 디바이스에서 인터넷으로 트래픽 라우팅

    Juniper Security Director Cloud를 사용하여 서비스 위치에 대한 설정된 터널을 보여주는 패킷 캡처에서 동일한 공용 IP 주소를 볼 수 있습니다.

    Juniper Security Director Cloud의 서비스 위치는 POP라고도 하며 클라우드 위치의 주니퍼® Secure Edge 인스턴스를 나타냅니다. 서비스 위치는 온프레미스 사용자와 로밍 사용자 모두의 연결(액세스) 지점입니다.