이 페이지의 내용

1단계: SSH 키 쌍 생성
2단계: vSRX 가상 방화벽 인스턴스 시작
3단계: AWS 시스템 로그 보기
4단계: vSRX 가상 방화벽을 위한 네트워크 인터페이스 추가
5단계: 탄력적 IP 주소 할당
6단계: 경로 테이블에 vSRX 가상 방화벽 프라이빗 인터페이스 추가
7단계: vSRX 가상 방화벽 인스턴스 재부팅
8단계: vSRX 가상 방화벽 인스턴스에 로그인

Amazon Virtual Private Cloud에서 vSRX 가상 방화벽 인스턴스 시작

다음 절차에서는 Amazon Virtual Private Cloud(Amazon VPC)에서 vSRX 가상 방화벽 인스턴스를 시작하고 구성하는 방법을 설명합니다.

1단계: SSH 키 쌍 생성

AWS의 vSRX 가상 방화벽 인스턴스에 원격으로 액세스하려면 SSH 키 쌍이 필요합니다. Amazon EC2 대시보드에서 새 키 페어를 생성하거나 다른 도구에서 생성한 키 페어를 가져올 수 있습니다.

SSH 키 쌍을 생성하려면 다음을 수행합니다.

AWS Management Console에 로그인하고 EC2> 컴퓨팅 > 서비스를 선택합니다.
Amazon EC2 대시보드의 왼쪽 창에서 키 페어 를 선택합니다. 도구 모음에 표시된 리전 이름이 Amazon Virtual Private Cloud(Amazon VPC)를 생성한 리전과 동일한지 확인합니다.

그림 1: 지역 확인
Create Key Pair(키 페어 생성)를 클릭하고 키 페어 이름을 지정한 후 Create(생성)를 클릭합니다.
개인 키 파일(.pem)이 컴퓨터에 자동으로 다운로드됩니다. 다운로드한 개인 키 파일을 안전한 위치로 이동합니다.
Mac 또는 Linux 컴퓨터에서 SSH 클라이언트를 사용하여 vSRX 가상 방화벽 인스턴스에 연결하려면 다음 명령을 사용하여 사용자만 읽을 수 있도록 개인 키 파일의 권한을 설정합니다.
쉘 프롬프트에서 vSRX 가상 방화벽 인스턴스에 액세스하려면 다음 ssh -i <full path to your keyfile.pem>/<ssh-key-pair-name>.pem ec2-user@<public-ip-of-vsrx> 명령을 사용합니다. 키 파일이 현재 디렉토리에 있는 경우 전체 경로 대신 파일 이름을 사용할 수 있습니다.ssh -i <keyfile.pem>/<ssh-key-pair-name>.pem ec2-user@<public-ip-of-vsrx>

참고:

또는 키 쌍 가져오기 를 사용하여 타사 도구로 생성한 다른 키 쌍을 가져옵니다.

키 로테이션에 대한 자세한 내용은 https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html 를 참조하십시오.

2단계: vSRX 가상 방화벽 인스턴스 시작

vSRX 가상 방화벽에 지원되는 AWS 인스턴스 유형은 표 1에 나와 있습니다.

vSRX 가상 방화벽은 M 및 C3 인스턴스 유형을 지원하지 않습니다. 이러한 인스턴스 유형 중 하나를 사용하여 vSRX 가상 방화벽을 회전한 경우 인스턴스 유형을 C4 또는 C5 인스턴스 유형으로 변경해야 합니다.

표 1: vSRX 가상 방화벽에 지원되는 AWS 인스턴스 유형
인스턴스 유형	vSRX 가상 방화벽 유형	vCPU	메모리(GB)	RSS 유형
c5.large	vSRX 가상 방화벽-2CPU-3G 메모리	2	4	하드웨어 RSS
c5.xlarge	vSRX 가상 방화벽-4CPU-7G 메모리	4	8	하드웨어 RSS
c5.2xlarge	vSRX 가상 방화벽-8CPU-15G 메모리	8	16	하드웨어 RSS
c5.4xlarge	vSRX 가상 방화벽-16CPU-31G 메모리	16	32	SW RSS
c5.9x대형	vSRX 가상 방화벽-36CPU-69G 메모리	36	72	SW RSS
c5n.2xlarge	vSRX 가상 방화벽-8CPU-20G 메모리	8	21	하드웨어 RSS
c5n.4xlarge	vSRX 가상 방화벽-16CPU-41G 메모리	16	42	하드웨어 RSS
c5n.9xlarge	vSRX 가상 방화벽-36CPU-93G 메모리	36	96	하드웨어 RSS

AWS의 vSRX 가상 방화벽은 최대 8개의 네트워크 인터페이스를 지원하지만 vSRX 가상 방화벽 인스턴스에 연결할 수 있는 실제 최대 인터페이스 수는 실행된 AWS 인스턴스 유형에 따라 결정됩니다. 8개 이상의 인터페이스를 허용하는 AWS 인스턴스의 경우 vSRX 가상 방화벽은 최대 8개의 인터페이스만 지원합니다.

지원되는 C5 인스턴스 유형은 다음과 같습니다.

c5.large
c5.xlarge
c5.2xlarge
c5.4xlarge
c5.9x대형
c5n.2xlarge
c5n.4xlarge
c5n.9xlarge

지원되는 AMD 기반 AWS 인스턴스는 다음과 같습니다.

C5a.16xlarge
C5a.8xlarge
C5a.4xlarge
C5a.2xlarge
C5a.xlarge

vCPU, 메모리 등과 같은 인스턴스 세부 정보에 대한 자세한 내용은 요금 정보 단원을 참조하십시오

인스턴스 유형별 최대 네트워크 인터페이스에 대한 자세한 내용은 https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html 를 참조하십시오.

모범 사례:

Instance Type Selection—네트워크에 필요한 변경 사항에 따라 인스턴스가 과도하게 사용되거나(예: 인스턴스 유형이 너무 작음) 충분히 활용되지 않음(예: 인스턴스 유형이 너무 큼) 발견될 수 있습니다. 이 경우 인스턴스의 크기를 변경할 수 있습니다. 예를 들어 인스턴스가 워크로드에 비해 너무 작은 경우 워크로드에 적합한 다른 인스턴스 유형으로 변경할 수 있습니다. 일부 기능을 활용하기 위해 이전 세대 인스턴스 유형에서 현재 세대 인스턴스 유형으로 마이그레이션할 수도 있습니다. 예를 들어 IPv6에 대한 지원이 있습니다. 더 나은 성능과 처리량을 위해 인스턴스 변경을 고려하십시오.

Junos OS 릴리스 18.4R1부터는 c5.large vSRX 가상 방화벽 인스턴스가 지원됩니다. 비용 효율적이고 더 나은 성능과 처리량을 제공합니다.

Amazon VPC에서 vSRX 가상 방화벽 인스턴스를 시작하려면 다음을 수행합니다.

AWS 계정에 로그인합니다.
Amazon Market Place > 구독 관리로 이동하여 vSRX 가상 방화벽을 검색합니다.
vSRX 차세대 방화벽을 선택합니다.
vSRX 가상 방화벽 차세대 방화벽 Amazon 머신 이미지 페이지가 나타납니다.
새 인스턴스 시작을 클릭합니다.
배포할 제공 방법, 소프트웨어 버전 및 지역을 선택합니다. 계속을 클릭하여 EC2를 통해 시작합니다.
지원되는 인스턴스 유형을 선택합니다. 자세한 내용은 표 1을 참조하십시오.

Next: Configure Instance Details를 클릭하고 표 2의 필드를 지정합니다. 고급 세부 정보를 확장하여 모든 설정을 확인합니다.

표 2: AWS 인스턴스 세부 정보
필드	설정
네트워크	vSRX 가상 방화벽용으로 구성된 Amazon VPC를 선택합니다.
서브넷	vSRX 가상 방화벽 관리 인터페이스(fxp0)에 대한 공용 서브넷을 선택합니다.
퍼블릭 IP 자동 할당	Disable(비활성화)을 선택합니다(나중에 탄력적 IP 주소를 할당함).
배치 그룹	기본값을 사용합니다.
종료 동작	중지(기본값)를 선택합니다.
터미널 보호 활성화 모니터링	IT 정책을 사용하십시오.
네트워크 인터페이스	기본 IP 필드에 기본값을 사용하거나 공용 IP 주소를 할당합니다.
사용자 데이터	Junos OS 릴리스 17.4R1부터 클라우드 초기화 패키지(버전 0.7x)가 AWS용 vSRX 가상 방화벽 이미지에 사전 설치되어 지정된 사용자 데이터 파일에 따라 AWS에서 작동하는 새로운 vSRX 가상 방화벽 인스턴스를 단순화할 수 있습니다. 인스턴스 세부 정보 구성 페이지의 사용자 데이터 섹션에서 파일로 를 선택하고 사용자 데이터 파일을 첨부합니다. 선택한 파일은 인스턴스의 초기 시작에 사용됩니다. 초기 부팅 시퀀스 동안 vSRX 가상 방화벽 인스턴스는 클라우드 초기화 요청을 처리합니다. 사용자 데이터 파일을 생성하는 방법에 대한 자세한 내용은 Cloud-Init를 사용하여 AWS에서 vSRX 인스턴스 초기화 자동화 를 참조하십시오. 참고: 사용자 데이터로 전달되는 Junos OS 구성은 초기 실행 시에만 가져옵니다. 인스턴스가 중지되었다가 다시 시작되면 사용자 데이터 파일을 다시 가져오지 않습니다.

다음: 스토리지 추가를 클릭하고 기본 설정을 사용하거나 필요에 따라 볼륨 유형 및 IOPS를 변경합니다.
다음: 인스턴스 태그를 클릭하고 vSRX 가상 방화벽 인스턴스의 이름을 지정합니다.
다음: 보안 그룹 구성을 클릭하고 기존 보안 그룹 선택을 선택한 다음 vSRX 가상 방화벽 관리 인터페이스(fxp0)에 대해 생성된 보안 그룹을 선택합니다.
검토 및 실행을 클릭하고 vSRX 가상 방화벽 인스턴스에 대한 설정을 검토한 후 시작을 클릭합니다.
생성한 SSH 키 쌍을 선택하고 승인 확인란을 선택한 다음 인스턴스 시작을 클릭합니다.
[View Instances]를 클릭하여 Amazon EC2 대시보드에 [Instances] 목록을 표시합니다. vSRX 가상 방화벽 인스턴스를 시작하는 데 몇 분 정도 걸릴 수 있습니다.
인스턴스 이름과 Amazon Machine Image(AMI)를 선택합니다(Junos의 경우 - 사용 가능한 마켓플레이스 Junos AMI 선택).
인스턴스 유형(c5/c6.. 등) 문서에 이미 설명된 대로 1단계에서 생성한 키 쌍을 추가합니다.
네트워크 설정에서 이전 단계에서 생성한 VPC를 선택합니다. 생성된 퍼블릭 서브넷(또는 인스턴스의 관리 인터페이스가 표시될 서브넷)을 선택합니다. 필요한 경우 IP(공용)를 할당하거나 인스턴스가 시작된 후 5단계에 설명된 대로 탄력적 IP를 인터페이스에 연결할 수 있습니다. 보안 그룹을 만들거나 이전 단계에서 이미 만든 보안 그룹을 연결합니다. 적절한 인바운드 및 아웃바운드 규칙을 선택합니다.
요구 사항에 따라 스토리지와 볼륨을 구성합니다.
고급 세부 정보를 구성합니다. 생성된 IAM 프로필을 선택하고 요구 사항에 따라 표시된 옵션을 구성합니다.

CPU 옵션에서 - 기본값을 사용하거나 #코어 수 에서 CPU 코어당 특정 스레드 수를 선택할 수 있습니다.
사용자 데이터를 구성합니다. 이는 인스턴스가 메타데이터 서버에서 시작되자마자 액세스할 수 있는 초기 구성일 수 있습니다.

3단계: AWS 시스템 로그 보기

시작 시간 오류를 디버깅하려면 다음과 같이 AWS 시스템 로그를 확인할 수 있습니다.

Amazon EC2 대시보드에서 인스턴스를 선택합니다.
vSRX 가상 방화벽 인스턴스를 선택하고 작업 > 인스턴스 설정> 시스템 로그 가져오기를 선택합니다.

4단계: vSRX 가상 방화벽을 위한 네트워크 인터페이스 추가

AWS는 선택한 AWS 인스턴스 유형에 따라 인스턴스에 대해 최대 8개의 인터페이스를 지원합니다. vSRX 가상 방화벽에 추가하려는 각 수익 인터페이스(최대 7개)에 대해 다음 절차를 따르십시오. 첫 번째 수익 인터페이스는 ge-0/0/0이고 두 번째는 ge-0/0/1입니다( AWS의 vSRX 요구 사항 참조).

vSRX 가상 방화벽 수익 인터페이스를 추가하려면:

Amazon EC2 대시보드의 왼쪽 창에서 [Network Interfaces] 를 선택하고 [Create Network Interface]를 클릭합니다.

표 3과 같이 인터페이스 설정을 지정하고 Yes, Create를 클릭합니다.

표 3: 네트워크 인터페이스 설정
필드	설정
설명	각 수익 인터페이스에 대한 인터페이스 설명을 입력합니다.
서브넷	첫 번째 수익 인터페이스(ge-0/0/0)에 대해 생성된 퍼블릭 서브넷 또는 다른 모든 수익 인터페이스에 대해 생성된 프라이빗 서브넷을 선택합니다.
프라이빗 IP	선택한 서브넷의 IP 주소를 입력하거나 주소가 자동으로 할당되도록 허용합니다.
보안 그룹	vSRX 가상 방화벽 수익 인터페이스에 대해 생성된 보안 그룹을 선택합니다.

새 인터페이스를 선택하고 작업(Actions) > 소스/목적지 변경(Change Source/Dest)을 선택합니다. 선택하고 사용 안 함(Disabled)을 선택한 다음 저장(Save)을 클릭합니다.

그림 2: 소스/목적지 비활성화 확인
새 인터페이스를 선택하고 연결(Attach)을 선택한 다음 vSRX 가상 방화벽 인스턴스를 선택한 다음 연결(Attach)을 클릭합니다.
새 인터페이스 이름 열에서 연필 아이콘을 클릭하고 인터페이스에 이름을 지정합니다(예: ix-fxp0.0).

참고:

프라이빗 수익 인터페이스(ge-0/0/1에서 ge-0/0/7)의 경우 생성한 네트워크 이름 또는 네트워크 인터페이스 ID를 기록해 둡니다. 나중에 프라이빗 서브넷용으로 생성된 경로 테이블에 이름 또는 인터페이스 ID를 추가합니다.

5단계: 탄력적 IP 주소 할당

퍼블릭 인터페이스의 경우 AWS는 퍼블릭 IP 주소를 프라이빗 IP 주소로 NAT 변환합니다. 공용 IP 주소를 탄력적 IP 주소라고 합니다. 퍼블릭 vSRX 가상 방화벽 인터페이스(fxp0 및 ge-0/0/0)에 탄력적 IP 주소를 할당하는 것이 좋습니다. vSRX 가상 방화벽 인스턴스를 다시 시작하면 탄력적 IP는 유지되지만 공용 서브넷 IP는 해제됩니다.

탄력적 IP를 만들고 할당하려면 다음을 수행합니다.

Amazon EC2 대시보드의 왼쪽 창에서 [Elastic IPS] 를 선택하고 [Allocate New Address]를 클릭한 다음 [Yes, Allocate]를 클릭합니다. (계정이 EC2-Classic을 지원하는 경우 먼저 네트워크 플랫폼 목록에서 EC2-VPC 를 선택해야 합니다.)
새 탄력적 IP 주소를 선택하고 작업 > 주소 연결을 선택합니다.

표 4의 설정을 지정하고 할당을 클릭하십시오.

표 4: 탄력적 IP 설정
필드	설정
네트워크 인터페이스	vSRX 가상 방화벽 관리 인터페이스(fxp0) 또는 첫 번째 수익 인터페이스(ge-0/0/0)를 선택합니다.
프라이빗 IP 주소	탄력적 IP 주소와 연결할 프라이빗 IP 주소를 입력합니다.

6단계: 경로 테이블에 vSRX 가상 방화벽 프라이빗 인터페이스 추가

vSRX 가상 방화벽에 대해 생성한 각 프라이빗 수익 인터페이스에 대해 연결된 프라이빗 서브넷에 대해 생성한 경로 테이블에 인터페이스 ID를 추가해야 합니다.

라우팅 테이블에 프라이빗 인터페이스 ID를 추가하려면 다음을 수행합니다.

VPC 대시보드의 왼쪽 창에서 라우팅 테이블을 선택합니다.
프라이빗 서브넷에 대해 생성한 경로 테이블을 선택합니다.
라우팅 테이블 목록 아래에 있는 경로 탭을 선택합니다.
편집을 클릭하고 다른 경로 추가를 클릭합니다.

표 5의 설정을 지정하고 저장을 클릭하십시오.

표 5: 프라이빗 경로 설정
필드	설정
목적지	인터넷 트래픽의 경우 0.0.0.0/0을 입력합니다.
대상	연결된 프라이빗 서브넷의 네트워크 이름 또는 네트워크 인터페이스 ID를 입력합니다. 네트워크 인터페이스는 서브넷 연결 탭에 표시된 프라이빗 서브넷에 있어야 합니다. 참고: 인터넷 게이트웨이(igw-nnnnnnnn)를 선택하지 마십시오.

각 프라이빗 네트워크 인터페이스에 대해 이 절차를 반복합니다. 이 구성을 완료하려면 vSRX 가상 방화벽 인스턴스를 재부팅해야 합니다.

7단계: vSRX 가상 방화벽 인스턴스 재부팅

인터페이스 변경 사항을 통합하고 Amazon EC2 구성을 완료하려면 vSRX 가상 방화벽 인스턴스를 재부팅해야 합니다. vSRX 가상 방화벽 인스턴스가 실행되는 동안 연결된 인터페이스는 인스턴스가 재부팅될 때까지 적용되지 않습니다.

참고:

항상 AWS를 사용하여 vSRX 가상 방화벽 인스턴스를 재부팅합니다. 재부팅하는 데 vSRX 가상 방화벽 CLI를 사용하지 마십시오.

vSRX 가상 방화벽 인스턴스를 재부팅하려면 다음을 수행합니다.

Amazon EC2 대시보드의 왼쪽 창에서 인스턴스를 선택합니다.
vSRX 가상 방화벽 인스턴스를 선택하고 Actions > Instance State > Reboot를 선택합니다.

vSRX 가상 방화벽 인스턴스를 재부팅하는 데 몇 분 정도 걸릴 수 있습니다.

8단계: vSRX 가상 방화벽 인스턴스에 로그인

AWS 구축에서 vSRX 가상 방화벽 인스턴스는 기본적으로 보안을 강화하기 위해 다음과 같은 기능을 제공합니다.

SSH를 통해서만 로그인할 수 있습니다.
클라우드-init는 SSH 키 로그인을 설정하는 데 사용됩니다.
루트 계정에 대해 SSH 암호 로그인이 비활성화되어 있습니다.

Amazon의 AWS 클라우드 인프라에서 시작된 vSRX 가상 방화벽 인스턴스는 Amazon에서 제공하는 클라우드 초기화 서비스를 사용하여 인스턴스를 시작하는 데 사용되는 계정과 연결된 SSH 공개 키를 복사합니다. 그런 다음 해당 개인 키를 사용하여 인스턴스에 로그인할 수 있습니다.

참고:

SSH 암호를 사용하는 루트 로그인은 기본적으로 비활성화되어 있습니다.

SSH 클라이언트를 사용하여 처음으로 vSRX 가상 방화벽 인스턴스에 로그인합니다. 로그인하려면 사용자 계정에 대한 SSH 키 쌍 .pem 파일을 저장한 위치와 vSRX 가상 방화벽 관리 인터페이스(fxp0)에 할당된 탄력적 IP 주소를 지정합니다.

참고:

Junos OS 릴리스 17.4R1부터 기본 사용자 이름이 에서 로 ec2-user@변경 root@ 되었습니다.

참고:

Junos OS 암호를 사용하는 루트 로그인은 기본적으로 비활성화되어 있습니다. 초기 Junos OS 설정 단계 이후에 다른 사용자를 구성할 수 있습니다.

키 쌍 파일명과 탄력적 IP 주소가 없는 경우, 다음 단계를 사용하여 vSRX 가상 방화벽 인스턴스에 대한 키 쌍 이름과 탄력적 IP를 확인합니다.

Amazon EC2 대시보드에서 인스턴스를 선택합니다.
vSRX 가상 방화벽 인스턴스를 선택하고 설명 탭에서 eth0을 선택하여 fxp0 관리 인터페이스의 탄력적 IP 주소를 확인합니다.
인스턴스 목록 위의 연결을 클릭하여 SSH 키 쌍 파일 이름을 확인합니다.

vSRX 가상 방화벽 인스턴스에 대한 기본 설정을 구성하려면 CLI를 사용하여 vSRX 구성을 참조하십시오.

참고:

vSRX 가상 방화벽의 종량제 이미지에는 별도의 라이선스가 필요하지 않습니다.

변경 내역 표

기능 지원은 사용 중인 플랫폼과 릴리스에 따라 결정됩니다. 기능 탐색기를 사용하여 플랫폼에서 기능이 지원되는지 확인합니다.

출시

설명

17.4R1

Junos OS 릴리스 17.4R1부터 클라우드 초기화 패키지(버전 0.7x)가 AWS용 vSRX 가상 방화벽 이미지에 사전 설치되어 지정된 사용자 데이터 파일에 따라 AWS에서 작동하는 새로운 vSRX 가상 방화벽 인스턴스를 단순화할 수 있습니다.