[RE] 두 개의 L4 Switch를 연결하는 방식에 대한 문의
Reg. Date: April 17, 2002 By 신현섭
예, 제가 background 를 좀 더 자세히 말씀드리지요.
[초기]
사실 원래는 DMZ내에 하나의 L4 Switch만 있었습니다. 이 L4를 load balancing switch로 사용하고 있었고요. 여기에 웹서버가 여러대 붙어 있었습니다.
[현재]
여기에 웹서버를 추가로 더 증설하는데 비용문제등 여러가지 이유로 인해서 용량이 큰 L7 Switch를 두지 않고 기존에 있던 L4 Switch에 추가로 하나의 L4를 더 붙이게 되었습니다. 여기서 이슈가 이 두개의 L4를 어떤 방식으로 연결하는 것이 더 낫겠는가입니다. 현재 직렬로 연결을 하였는데, 이럴때에 문제점이 없을 지 모르겠군요.
그럼, 이정도로 충분한 배경설명이 되었는지 모르겠군요. 또 조언 주시면 정말 감사하겠습니다.
>DMZ를 구성하기 위해서는 DMZ부분만을 떼놓지 마시고 귀하께서 좀더 구체적이고 전체적인 구성도를 알려주셔야 합니다.
>또한 각 소요장비들이 무엇인지도 알아야 하구여...
>사실 DMZ를 구성하는데는 두개의 F/W을 연결하는 L4 스위치가 하나만 있어도 됩니다. DMZ에 대한 구성안은 아래 저의 구성도 3번을 참고하시면 됩니다.
> 그러나 DMZ만을 , 구성하는 것인지아니면 FLB를 하고 있는 곳에 따로 DMZ를 추가하는 것인지가 귀하의 설명에서 빠졌기 때문에 정확한 답변을 드리기 힘든 점이 있습니다. 따라서 귀하께서 정확한 구성을 알려주셔야만 정확한 구성에 대한 안이 나올수 있는 것입니다. 텍스트로 표현하기가 뭐하시면 PPT등으로 그려서 메일로 보내주시면 정확한 답변을 드리도록 하겠습니다... 그럼 수고하십시오
>
>
>>답변 감사드립니다. 그러나, 두개의 L4 Switch는 반드시 DMZ내에 두어야 합니다. 따라서 양쪽의 Firewall 사이에 L4 Switch를 연결을 해야하는 것은 기본 전제로 두고, 이럴 경우 두 개의 L4 Switch를 어떤 식으로 연결하는 것이 가장 좋을지가 고민이거든요. 다시 답변을 주실 수 있을런지요?
>>
>>>아마도 F/W에 대해 Load Balancing과 더불어 Web Server를 Load balancing 하시려고 하는 것 같은데여... 다음과 같이 하시면 될 것 같습니다.
>>><구성도 1>
>>>Router - L4_up(with 2 groups with web svrs)-+- FW 1 -+- L4_down
>>> l l
>>> +- FW 2 -+
>>>어느 vendor의 L4를 사용하시는 지는 모르겠으나, 일반적으로 L4 스위치에서 여러 그룹의 load balancing을 지원하므로, 위에 도시한 L4_up(상단 L4)에서 FLB(Firewall Load balancing)와 SLB(server load balancing)을 지원합니다.
>>>그러나, 위의 구성에서 SLB와 FLB를 구현함에 있어 큰 문제점은 없으나, Service Zone이 F/W 바깥단에 위치하게 되어 보안의 취약성을 갖게 되는 문제점이 있으므로 바람직한 구성은 아닙니다.
>>>따라서 위의 구성도는 다음과 같이 바뀌어야 합니다.
>>><구성도 2>
>>>Router- L4_up-+- FW 1 -+- L4_down (with 2 groups with web svrs)
>>> l l
>>> +- FW 2 -+
>>>
>>>위의 구성을 살펴보면 상단 L4와 하단 L4가 FLB를 구성하고, 하단 L4에서 SLB를 구현하는 것입니다. 이 방법의 장점은 SLB를 하는 Server 그룹이 F/W 내부에 있기 때문에 외부의 악의적인 접근으로부터 보호받을 수 있는 것입니다. 내부의 악의적인 접근을 고려하지 않는다면 이정도의 구성으로 충분할 것입니다. 물론 F/W의 외부는 공인 network으로 구성하고, 내부는 비공인으로 구성하며, F/W에서 웹서버로 Static NAT를 사용하여 공인IP와 비공인 IP를 mapping 해주어야 서비스가 가능하겠죠...
>>>
>>>마지막 방법은 외부와 내부의 악의적인 접근으로부터 모두 보호할 수 있는 구성인데여, L4 스위치가 하나더 필요하고 FW의 interface card가 하나씩 더 필요하게 됩니다. 지면 관계상 표현하기가 힘들어 말씀만 드리면, 구성도 2에서 각각의 F/W에서 각각 하나씩 link가 나와 총 2개의 Link가 또다른 L4로 연결되고, 이 또다른 L4에서 Sever Load Balancing을 구현하고, 나머니 L4_up과 L4_down은 FLB만을 수행하게 되는 것입니다. 아마 노트에 그리시면서 보시면 빨리 이해하실 겁니다.
>>>이 방식의 장점은 우선 보안의 철저를 기할 수 있고, 각각의 L4의 역할이 나누어 지므로 퍼포먼스가 향상된다는 것입니다. 사실 하나의 L4에서 FLB와 SLB를 동시에 사용하게 되면 약간의 성능저하를 감수하셔야 합니다.
>>>
>>>좀더 자세한 정보를 알고 싶으시면 메일을 보내주시면 정성껏 답변드리도록 하겠습니다. 그럼 이만...
>>>
>>>
>>>
>>>
>>>
>>>>L4 Switch 각각에는 웹서버들이 붙어 있지요. 다시말해 두개의 웹서버 그룹이 각각 두개의 L4 Switch에 연결되어 있다고 보시면 됩니다.
>>>>
>>>>>L4를 어떠한 용도로 사용하시는건지 그것먼저 설명해주세요
>>>>>
>>>>>
>>>>>>현재 진행중인 프로젝트에 관해 발생한 이슈에 대해 질문을 드리고 싶습니다.
>>>>>>
>>>>>>현재, 두개의 Firewall 이 있으며(외부 FW, 내부 FW), 이 두 개의 Firewall에 두 개의 L4 Switch을 직렬로 연결을 시키려고 합니다. 두 개의 L4 Switch를
>>>>>>Firewall 간에 직렬로 연결을 시키는 것과 병렬로 연결을 시키는 것중 어느것이 더 좋은 방식인지 궁금합니다.
>>>>>>
>>>>>>다시 말해, 아래 두 가지 방법중 어느것이 더 좋은지 의견을 구합니다. 급한 이슈이므로 아시는 분은 빨리 답장 주시면 정말 정말 감사하겠습니다.
>>>>>>
>>>>>>(방법1) 외부Firewall -- L4 - L4 -- 내부Firewall
>>>>>>
>>>>>>(방법2) 외부Firewall -+- L4 -+- 내부Firewall
>>>>>> |_ L4 _|
>>>>>>