Daewon

RSTP는 기존 STP의 slow convergence time을 해결하고자 개발 됨기존 STP는 포트가 선출되고 나면 State가 Listen - Learn - Forward 로 변하는 시간이 Timer에 의존해 너무 오래걸림 ( 30~50초)그런 문제를 해결하여 빠른 convergence Time을 갖게 하는게 목적STP 의 결정과정과 동일하다RSTP 표준2001년 : 최초 802.1w 별도 표준2004년 : 802.1w를 IEEE 802.1D-2004에 통합모든 스위치가 RSTP를 기본 프로토콜로 이용기존 STP에 대한 하위 호환성 가지도록 설계2011년 : IEEE 802.1Q로 통합VLAN을 사용하는 환경에서는 스패닝 프로토콜이 필수적이여서, 관련된 기능을 하나의 통합된 표준에서 다룸기존 STP..

PVST는 기존 STP에서 발전한 형태로 각 VLAN 마다 STP를 수행하도록 할 수 있다.기존 STP의 단점인 링크의 가용성이 떨어지는 현상을 개선하기 위하여 개발 되었다.PVST , PVST+ : PVST는 Cisco전용으로 만들어져 ISL만 지원한다. PVST+는 호환성을 위해 802.1Q를 추가지원한 버전이다. 요즘은 PVST 라고하면 그냥 PVST+ 를 뜻한다고 한다.기존의 STP는 1개의 트리구조를 사용해서 항상 Block 되어있는 포트가 생겨 링크의 가용성이 떨어지게 된다.PVST를 사용하면 VLAN1에 대해서는 SW2-SW3의 링크를 Block 하고 VLAN2에대해서는 SW1-SW3의 링크를 Block 하는 방식으로 두개의 트리구조를 사용하여 링크의 가용성을 높일 수 있다. 설정 및 테..

스위치나 브리지에서 발생하는 루핑을 막아주기 위한 프로토콜스위치나 브리지 구성에서 출발지부터 목적지까지의 경로가 2개이상 존재할 때 1개의 경로만을 남겨두고 나머지는 모두 끊어두었다가 사용하던 경로에 문제가 발생하면 그 때 끊어 두었던 경로를 살린다. STP는 어떻게 동작할까?2가지 핵심 개념을 이해 할 필요가 있다.Bridge ID : 브리지나 스위치들이 통신 할 때 서로를 확인 하기 위해 하나씩 가지고 있는 번호16비트의 브리지 우선순위와 48비트의 맥주소로 구성되어있다.Bridge Prioirty 범위 : 0~65535 / default : 32768Path Cost : 장비와 장비가 연결되어 있는 링크 중 어느 링크가 가까운지, 빠른지 알아내기 위한 값STP 3가지 기본동작네트워크당 하나의 루트 ..

VLAN마다 STP를 수행할 수 있는 PVST를 공부하고 실제로 적용해보는 LAB 실습VLAN10 , VLAN20 두가지 VLAN을 만들고 각 PC들을 VLAN 설정 후 각 VLAN 마다 Root 브리지를 다르게 설정해서 실제로 어떻게 통신되는지 확인 하기 위함각 스위치 VLAN 설정 및 Port 설정SW1 ~SW3 (토폴로지 대로 설정)! VLAN 생성vlan 10exitvlan 20exit! VLAN 단말 멤버쉽int f0/11switchport mode accessswitchport access vlan 10exitint f0/12switchport mode accessswitchport access vlan 20exit! Trunk Mode 설정int range f0/1,f0/3switchport..

이전 시간에 이러한 상태로 VPN을통해 PC to PC 통신을 확인했음 (중간에 벽이 AXGATE장비)만약 여기서 왼쪽 pc와 오른쪽 pc가 10.1.200.101 로 IP가 똑같다면 어떻게 통신을할까 ? -> nat로 ip 변환10.1.200.101 을 192.168.200.100 (임의로 정한 IP) 로 바꿔서 나가는 prifile 추가이때 반대쪽은 IP 192.168.100.100 을 사용하도록 설정하기로 함기존에는 10.2.200.0/24 대역으로 가기위해 상대쪽 터널 ip주소인 100.100.100.101 로 라우팅을 했었는데 nat로 IP를 변환할 예정이라 192.168.100.0/24 대역으로 가기위해 라우팅 추가원래 있었던 trust to vpn 정책에 방금 만든 snat-profile을 ..

VPN을 설정하고 실제 통신하기 위한 정책을 설정해야함지난번엔 정책설정없이 ping이 왔다갔다 하는지만 test 했었음보안 정책 설정하기에 앞서 이전에 잠깐 공부했던 Stateful Inspection에 대해서 짚고 넘어가보자일반적인 trust untrust 간 통신은 Stateful Inspection으로 동작한다 ( 초기 세션을 허용하면 반대 방향의 응답 트래픽이 자동으로 허용됨)따라서 from trust to untrust 정책만 설정하면 반대로 오는 정책은 따로 설정하지 않아도 통신이 가능했음하지만 VPN은 단순한 세션 트래픽이 아니라, 터널을 통해 다른 네트워크와 연결되는 특수 트래픽이기 때문에 차이가 있음터널 내의 트래픽은 새로운 세션으로 인식이 됨 예를들어 trust -> vpn 에서만 p..

장애 대응이나 점검을 하기 위해 어떤 명령어를 통해서 어떤것을 확인해야 하는지 간단하게 정리물리적인 문제가 있는지 확인할 때show system infoPower Supply : 파워에 문제가 있는경우 여기서 확인 가능Uptime : 장비가 부팅 후에 얼마나 동작했는지 (현재 장비 기준 0일 2시간19초)Fan : colling fan이 있는 모델의경우 Fan에 문제가있는지도 확인가능 (현재 장비는 FAN이 없어서 안나옴)장비 내부 설정 상태 점검show ip interface brief : 현재 어떤 인터페이스가 작동중인지, 죽어있는지 확인 가능show interface : 세부 내용까지 확인 가능show interface | include : 인터페이스 상세정보중에 include를 통해 원하는 정보..

AXGATE 장비에서는 DCUBE 라는 기술을 사용하여 VPN 터널을 설정한다.Center 쪽 VPN은 이미 셋팅되어있는 상태에서 Branch 쪽에서 터널 셋팅하는 방법 위주로 실습우선 현재까지의 인터페이스 정보이다 여기서 eth1은 외부회선 bridge0(eth2~5)이 내부pc망이고 아직까지 터널에관한 인터페이스는 없는 상태Center쪽은 vpn 터널 설정이 이미 되어있고 Branch쪽 설정을 해보려고 한다interface dcb0 : dcube interface 생성ducbe proto udp port 7900 : protocol-udp, port-7900 / Center쪽의 설정과 똑같이 맞춰야함ducbe key : Center쪽과 똑같은 key를 사용해야함dcube transform encryp..

보안 정책 설정에서 특정 IP만 차단하는 것만 다뤘었는데 포트별로도 차단이 가능함.같은 IP주소에 포트가 여러개 열려있을때 포트별로 정책 설정이 가능destination 목적지 IP주소가 정해져있는상황에서 이전에 포트설정을 안했을 때 모든 포트에대해 전부 차단이 되었다.service proto tcp sport any dport multi 8088 8808 : 멀티포트 설정 2개이상 설정할때 사용service proto tcp sport any dport eq 8088 : 한개만 설정할때 명령어 protocol은 tcpsport 출발지 포트느 anydport는 8088 8808 / 2개설정action drop -> 1.209.145.32:8088 , 1.209.145:32:8808 두 포트로 진입시 연..

AXGATE 장비에서는 보안정책설정이 top-down으로 작동한다.priority가 낮은 순서부터 정책을 탄다는 소리아래 그림처럼 된다는 소리 이전 시간에 만들었던 security policy id5번 이외에 추가로 정책을 만들어서 테스트 해볼 예정이전 시간에 까먹고 정리 안했던 내용 중 trust -> untrust 정책만 만들었는데 그럼 외부 인터넷에서 다시 pc로 응답하는 정책이 없으면 통신이 안되나? untrust -> trust 도 똑같이 만들어줘야하나?AXGATE 방화벽의 Stateful Inspection 기능은 방화벽이 패킷 하나하나만 보는 것이 아니라, 세션 단위로 전체 통신 흐름을 추적하면 필터링하는 고급 보안 기술이다.Stateful Inspecion 이란 ? 패킷의 상태를 추적하여..