Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
이 페이지의 내용
 

VMware 기반 vSRX 가상 방화벽에 대한 요구 사항

소프트웨어 사양

아래 표에는 VMware에 vSRX 가상 방화벽을 구축할 때의 시스템 소프트웨어 요구 사항 사양이 나와 있습니다. 이 표에는 VMware에 vSRX 가상 방화벽을 구축하기 위한 특정 소프트웨어 사양이 도입된 Junos OS 릴리스가 간략하게 나와 있습니다. 특정 기능을 활용하려면 특정 Junos OS 릴리스를 다운로드해야 합니다.

표 1: vSRX 가상 방화벽의 기능 지원
특징 사양 Junos OS 릴리스 소개
vCPU/메모리

vCPU 2개/RAM 4GB

Junos OS 릴리스 15.1X49-D15 및 Junos OS 릴리스 17.3R1(vSRX 가상 방화벽)

vCPU 5개 / RAM 8개

Junos OS 릴리스 15.1X49-D70 및 Junos OS 릴리스 17.3R1(vSRX 가상 방화벽)

vCPU 9개 / 16GB RAM

Junos OS 릴리스 18.4R1(vSRX 가상 방화벽)

Junos OS 릴리스 19.1R1(vSRX 가상 방화벽 3.0)

vCPU 17개 / RAM 32GB

Junos OS 릴리스 18.4R1(vSRX 가상 방화벽)

Junos OS 릴리스 19.1R1(vSRX 가상 방화벽 3.0)

추가 vRAM을 통한 유연한 플로우 세션 용량 확장

 NA

Junos OS 릴리스 19.1R1(vSRX 가상 방화벽)

Junos OS 릴리스 19.2R1(vSRX 가상 방화벽 3.0)

멀티코어 확장 지원(소프트웨어 RSS)

 NA Junos OS 릴리스 19.3R1(vSRX 가상 방화벽 3.0만 해당)

라우팅 엔진을 위한 추가 vCPU 코어 예약(vSRX 가상 방화벽 및 vSRX 가상 방화벽 3.0)

 NA  

Virtio(virtio-net, vhost-net)(vSRX 가상 방화벽 및 vSRX 가상 방화벽 3.0)

 NA  
지원되는 하이퍼바이저

하이퍼바이저 지원

VMware ESXi 5.1, 5.5, 6.0 및 6.5(vSRX 가상 방화벽 및 vSRX 가상 방화벽 3.0)

 Junos OS 릴리스 18.4R1
VMware ESXi 6.7 및 7.0(vSRX 가상 방화벽 3.0만 해당) Junos OS 릴리스 19.3R1 이후
VMware ESXi 8.0(vSRX 가상 방화벽 3.0만 해당) Junos OS 릴리스 24.2R2 이후
다른 기능

클라우드 초기화

 NA  

PMI(Powermode IPSec)

 NA  

섀시 클러스터

 NA  

소프트웨어 RSS를 이용한 GTP TEID 기반 세션 배포

 NA Junos OS 릴리스 19.3R1 이후

온디바이스 바이러스 백신 검사 엔진(Avira)

 NA Junos OS 릴리스 19.4R1 이후

LLDP

 NA Junos OS 릴리스 21.1R1 이후

Junos 텔레메트리 인터페이스

 NA Junos OS 릴리스 20.3R1 이후
시스템 요구 사항

하이퍼바이저의 하드웨어 가속/활성화된 VMX CPU 플래그(vSRX 가상 방화벽만 해당)

 NA  

디스크 공간

16GB(IDE 또는 SCSI 드라이브)(vSRX 가상 방화벽)

Junos OS 릴리스 15.1X49-D15 및 Junos OS 릴리스 17.3R1

18GB(vSRX 가상 방화벽 3.0)

  
표 2: vSRX 가상 방화벽에서 vNIC 지원
vNIC Junos OS 릴리스 소개
VMXNET3 SA 및 HA  
Intel X710/XL710/XXV710 시리즈(vSRX 가상 방화벽 3.0)를 통한 SR-IOV SA 및 HA

Junos OS 릴리스 20.4R2 이후
I40E(X710,X740,X722 등)의 SR-IOV HA(vSRX 가상 방화벽 3.0) 지원되지 않음
Intel E810 시리즈(vSRX 가상 방화벽 3.0)를 통한 SR-IOV SA 및 HA Junos 릴리스 21.2R1 이후
Mellanox ConnectX-3을 통한 SR-IOV SA 및 HA 지원되지 않음
Mellanox ConnectX-4/5/6을 통한 SR-IOV SA 및 HA(MLX5 드라이버만 해당)

(Junos OS 릴리스 21.2R1부터의 SA)

(Junos OS 릴리스 21.2R2부터 HA)

인텔 NIC 물리적 기능(PF) PCI 패스스루 지원

PF PCI 패스스루는 전체 물리적 NIC 포트를 커널 기반 가상 머신(KVM) 및 VMware ESXi 하이퍼바이저의 vSRX3.0 가상 머신(VM)에 직접 할당합니다. PF 패스스루를 사용하면 vSRX3.0 데이터 플레인이 하이퍼바이저의 가상 스위칭 스택을 우회하여 NIC 하드웨어에 직접 액세스합니다. PF 패스스루 NIC가 있는 VM은 실시간 마이그레이션을 지원하지 않습니다. PF 패스스루를 통해 할당된 NIC는 단일 VM 전용이며 공유할 수 없습니다.

이 구축 모델은 반가상화된 NIC 및 SR-IOV 가상 기능(VF) 패스스루에 비해 성능 특성과 운영 동작을 변화시킵니다. PF 패스스루는 하이퍼바이저, NIC 및 드라이버의 적격 조합에만 사용하십시오.

지원되는 NIC 범주는 DPDK PF 드라이버에 매핑되며 범주당 하나의 대표 NIC가 선택됩니다.

표 2: DPDK PF 드라이버에 매핑된 지원되는 NIC
PF 드라이버 NIC
얼음 E810
i40e XL710
ixgbe 82599
IGC* I225
IGB/E1000* I350
표 3: 플랫폼 지원
하이퍼바이저 얼음 i40e ixgbe IGC IGB/E1000
VMware Y Y Y N N
Junos OS 릴리스 26.2R1

DPDK 버전은 Mellanox 제품군 어댑터를 지원하기 위해 17.02에서 17.11.2로 업그레이드되었습니다.

 Junos OS 릴리스 18.4R1

DPDK(데이터 플레인 개발 키트) 버전 18.11

DPDK 버전 18.11은 vSRX 가상 방화벽에서 지원됩니다. 이 기능을 통해 vSRX 가상 방화벽의 Mellanox Connect 네트워크 인터페이스 카드(NIC)는 이제 OSPF 멀티캐스트 및 VLAN을 지원합니다.

 Junos OS 릴리스 19.4R1

vSRX 가상 방화벽 성능 향상을 위한 모범 사례

다음 사례를 검토하여 vSRX 가상 방화벽 성능을 개선하십시오.

NUMA 노드

x86 서버 아키텍처는 소켓 내의 여러 소켓과 여러 코어로 구성됩니다. 또한 각 소켓에는 NIC에서 호스트로 I/O 전송 중에 패킷을 저장하는 데 사용되는 메모리가 있습니다. 메모리에서 패킷을 효율적으로 읽으려면 게스트 애플리케이션 및 관련 주변 장치(예: NIC)가 단일 소켓 내에 있어야 합니다. 페널티는 메모리 액세스를 위한 CPU 소켓 확장과 관련이 있으며, 이로 인해 성능이 불확정적일 수 있습니다. vSRX 가상 방화벽의 경우, 최적의 성능을 위해 vSRX 가상 방화벽 VM의 모든 vCPU를 동일한 물리적 NUMA(Non-Uniform Memory Access) 노드에 두는 것이 좋습니다.

주의:

인스턴스의 vCPU를 여러 호스트 NUMA 노드에 분산시키도록 하이퍼바이저에 NUMA 노드 토폴로지가 구성된 경우 vSRX 가상 방화벽의 패킷 포워딩 엔진(PFE)이 응답하지 않습니다. vSRX 가상 방화벽을 사용하려면 모든 vCPU가 동일한 NUMA 노드에 있는지 확인해야 합니다.

NUMA 노드 선호도를 설정하여 vSRX 가상 방화벽 인스턴스를 특정 NUMA 노드와 바인딩하는 것이 좋습니다. NUMA 노드 선호도는 지정된 NUMA 노드로만 vSRX 가상 방화벽 VM 리소스 스케줄링을 제한합니다.

PCI NIC-VM 매핑

vSRX 가상 방화벽이 실행 중인 노드가 인텔 PCI NIC가 연결된 노드와 다른 경우 패킷은 QPI 링크의 추가 홉을 통과해야 하며 이로 인해 전체 처리량이 감소합니다. 이 명령을 사용하여 esxtop 상대적인 물리적 NIC 위치에 대한 정보를 볼 수 있습니다. 이 정보를 사용할 수 없는 일부 서버에서는 슬롯-NUMA 노드 토폴로지에 대한 하드웨어 설명서를 참조하십시오.

VMware 기반 vSRX 가상 방화벽에 대한 인터페이스 매핑

vSRX 가상 방화벽에 대해 정의된 각 네트워크 어댑터는 vSRX 가상 방화벽 인스턴스가 독립형 VM인지 아니면 고가용성을 위한 클러스터 쌍 중 하나인지에 따라 특정 인터페이스에 매핑됩니다. vSRX 가상 방화벽의 인터페이스 이름과 매핑은 표 5 와 표 6에 나와 있습니다.

다음 사항에 유의하십시오.

  • 독립형 모드:

    • fxp0은 대역 외 관리 인터페이스입니다.

    • ge-0/0/0은 첫 번째 트래픽(수익) 인터페이스입니다.

  • 클러스터 모드에서:

    • fxp0은 대역 외 관리 인터페이스입니다.

    • em0은 두 노드에 대한 클러스터 제어 링크입니다.

    • 노드 0의 fab0에 대한 ge-0/0/0 및 노드 1의 fab1에 대한 ge-7/0/0과 같은 모든 트래픽 인터페이스를 패브릭 링크로 지정할 수 있습니다.

표 5 에는 독립형 vSRX 가상 방화벽 VM에 대한 인터페이스 이름과 매핑이 나와 있습니다.

표 5: 독립형 vSRX 가상 방화벽 VM의 인터페이스 이름

네트워크 어댑터

Junos OS의 인터페이스 이름

1

fxp0

2

ge-0/0/0

3

ge-0/0/1

4

ge-0/0/2

5

ge-0/0/3

6

ge-0/0/4

7

ge-0/0/5

8

ge-0/0/6

표 6 은 클러스터(노드 0 및 노드 1)에 있는 한 쌍의 vSRX 가상 방화벽 VM에 대한 인터페이스 이름과 매핑을 보여줍니다.

표 6: vSRX 가상 방화벽 클러스터 쌍의 인터페이스 이름

네트워크 어댑터

Junos OS의 인터페이스 이름

1

fxp0(노드 0 및 1)

2

em0(노드 0 및 1)

3

ge-0/0/0(노드 0)ge-7/0/0(노드 1)

4

ge-0/0/1(노드 0)ge-7/0/1(노드 1)

5

ge-0/0/2(노드 0)ge-7/0/2(노드 1)

6

ge-0/0/3(노드 0)ge-7/0/3(노드 1)

7

ge-0/0/4(노드 0)ge-7/0/4(노드 1)

8

ge-0/0/5(노드 0)ge-7/0/5(노드 1)

VMware의 vSRX 가상 방화벽 기본 설정

vSRX 가상 방화벽에는 다음과 같은 기본 구성 설정이 필요합니다.

  • 인터페이스에는 IP 주소가 할당되어야 합니다.

  • 인터페이스는 영역에 바인딩되어야 합니다.

  • 트래픽을 허용하거나 거부하려면 영역 간에 정책을 구성해야 합니다.

참고:

vSRX 가상 방화벽 플랫폼에서 VMware는 VMXNET 3 vNIC를 사용하며 관리 인터페이스인 fxp0을 위해 vSwitch에서 무차별 모드가 필요합니다.

표 7 에는 vSRX 가상 방화벽 보안 정책에 대한 공장 기본 설정이 나와 있습니다.

표 7: 보안 정책에 대한 공장 기본 설정

소스 영역

대상 영역

정책 작업

신뢰

언트러스트(untrust)

허가

신뢰

신뢰

허가

언트러스트(untrust)

신뢰

거부

관련 설명서