CCNP Enterprise 따라잡기 12장

이번 장은 GRE와 IPsec을 CCNP 관점에서 다시 다룬다.

CCNA에서는 GRE와 IPsec을 큰 그림으로 봤다면, CCNP에서는 역할 분담과 검증 지점을 더 정확히 알아야 한다.

GRE는 tunnel과 routing 유연성을 제공한다.

IPsec은 암호화, 무결성, 인증을 제공한다.

둘을 함께 쓰면 routing protocol을 tunnel 위로 운반하면서 보안도 적용할 수 있다.

이번 장의 목표는 다음과 같다.

GRE tunnel interface의 동작을 이해한다.

IPsec이 GRE traffic을 보호하는 위치를 정리한다.

Tunnel 상태, routing, crypto 상태를 순서대로 검증한다.

GRE와 IPsec의 역할 분리

GRE는 packet을 tunnel로 감싼다.

GRE 자체는 암호화를 제공하지 않는다.

IPsec은 암호화와 무결성을 제공한다.

따라서 GRE over IPsec은 “GRE로 tunnel을 만들고, IPsec으로 보호한다”로 이해하면 된다.

Tunnel Interface

GRE tunnel은 논리 interface로 구성된다.

예시는 다음과 같다.

interface tunnel0 ip address 10.255.0.1 255.255.255.252 tunnel source 203.0.113.1 tunnel destination 198.51.100.1

Tunnel source와 destination은 underlay IP다.

Tunnel interface IP는 overlay routing에 사용된다.

Routing over Tunnel

Tunnel interface가 생기면 그 위에 static route나 dynamic routing protocol을 올릴 수 있다.

예를 들어 branch LAN으로 가는 static route를 tunnel next-hop으로 넣을 수 있다.

ip route 192.168.20.0 255.255.255.0 10.255.0.2

OSPF나 EIGRP를 tunnel interface 위에서 동작시키는 것도 가능하다.

IPsec이 보호하는 대상

GRE packet이 만들어진 뒤, IPsec이 그 GRE packet을 보호한다.

즉, routing protocol packet은 GRE 안에 들어가고, GRE packet은 IPsec으로 암호화된다.

이 구조를 이해하면 troubleshooting 순서가 명확해진다.

검증 순서

먼저 underlay reachability를 확인한다.

그다음 tunnel interface 상태를 본다.

그다음 tunnel을 통한 routing을 본다.

마지막으로 IPsec SA 상태를 본다.

사용할 명령은 다음과 같다.

show interface tunnel0 show ip route show crypto isakmp sa show crypto ipsec sa ping 10.255.0.2 traceroute 192.168.20.10

자주 나오는 장애

Tunnel source나 destination이 잘못되면 tunnel이 올라오지 않는다.

Underlay reachability가 없으면 tunnel도 의미가 없다.

Crypto ACL 또는 transform-set이 맞지 않으면 IPsec SA가 맺어지지 않는다.

Routing이 빠지면 tunnel은 up이어도 remote LAN으로 가지 못한다.

핵심 정리

GRE는 tunnel과 routing 유연성을 제공한다.

IPsec은 보안을 제공한다.

Underlay와 overlay를 분리해서 봐야 한다.

검증은 underlay, tunnel, routing, crypto 순서로 한다.

다음 장 예고

다음 장에서는 QoS 기본을 다룬다.

Traffic classification, marking, queuing, policing, shaping을 enterprise 관점에서 정리한다.

CCNP Enterprise 따라잡기 12장

댓글 0