IPsec IKEv2 사이트 설정

이 기사에서는 IPsec IKEv2 연결 유형을 사용하는 사이트를 생성하고 구성하는 방법에 대해 설명합니다. 새 사이트 생성에 대한 자세한 내용은 사이트 추가를 위한 CMA 사용을 참조하십시오.

참고: 최근 개선 사항으로 IPsec 사이트에 다수의 활성 터널을 도입하였지만 고객들은 잘못된 연결 해제 및 재연결 이벤트와 관련된 알림을 받을 수 있습니다. 이것은 업데이트 프로세스 중에 한 번 발생하는 일로, 이러한 이벤트와 알림은 안전하게 무시 가능합니다. 이벤트와 알림은 잘못된 타임스탬프를 포함할 수 있으며 실제 서비스 중단을 반영하지 않습니다. IPsec 터널은 이 프로세스 동안 완전히 운영 상태를 유지합니다.

개요

IPsec 터널을 사용하여 사이트와 내부 네트워크를 Cato Cloud 및 원격 네트워크에 연결할 수 있습니다. IPsec 연결이 있는 사이트는 다음의 용도로 사용됩니다:

• AWS나 Azure 같은 공공 클라우드에 있는 사이트

• 서로 다른 위치에 있는 지사 사이트들이 타사 방화벽 뒤에 위치한 경우

IPsec IKEv2 사이트를 구성할 때 다음의 옵션 중 하나를 사용하여 연결을 시작할 수 있습니다:

• 응답자만 - 방화벽 초기화. 사이트의 장치가 Cato PoP와의 연결을 시작합니다.

• 양방향 – 연결은 방화벽이나 Cato에 의해 초기화될 수 있습니다.

응답자만 연결 모드

Cato의 IKEv2 응답자만 설정은 NAT 장치 뒤에 있는 동적 IP 주소를 가진 에지 장치에 대한 솔루션입니다. (즉, 방화벽이나 라우터) 이 솔루션은 원격 측의 에지 장비가 IKEv2 연결을 시작하고 관리할 수 있도록 허용합니다.

또한, 응답자만 사용할 때 Cato를 구성하여 정규화된 도메인 이름(FQDN)을 Cato 식별자로 사용할 수 있습니다. 이렇게 하면 Cato는 해시 값을 생성하고 이를 IP 주소로 변환하여 각 터널에 대한 최상의 PoP 위치를 제공합니다.

예를 들어, 연결 모드를 응답자만으로 구성하고 대상 유형을 FQDN으로 설정합니다. Cato는 somevalue.ipsec.dev.catonetworks.org의 해시 값을 생성합니다. 이 값은 원격 사이트에서 구성되며 FQDN 값을 사용하는 DNS 요청의 해결자로 작동합니다. PoP는 지리적 위치, RTT 등 여러 매개변수를 기반으로 선택됩니다.

이 시나리오에서 지정된 FQDN에 대해 원래 지정된 PoP가 사용 불가능하면 새로운 PoP가 자동으로 선택됩니다. 또한, Cato 모범 사례에 따라 FQDN 사용 시 기본 및 보조 터널을 정의하면, Cato는 이상적인 HA를 위해 다양한 PoP 위치를 자동으로 선택합니다.

또는, 일부 방화벽 판매자는 FQDN을 사용하는 것을 지원하지 않으며 이 경우 IPv4를 대상으로 선택할 수 있습니다. 이 경우, 정적 PoP 위치를 선택해야 하며, 특정 이유로 그 PoP가 사용 불가하면 터널도 사용할 수 없습니다. 정적 IP 주소 정의에 대한 자세한 정보는 원격 사용자에 대한 IP 할당 정책을 참조하세요.

양방향 연결 모드

양방향 연결 모드에서는 장치 또는 Cato가 선택한 PoP에서 사이트 및/또는 클라우드 데이터 센터로 IPsec 터널을 시작하고 유지할 수 있습니다.

터널이 사용 불가할 경우, 장치가 연결을 시작할 필요 없이 터널이 빠르게 재설정됩니다.

IPsec 사이트와 여러 활성 터널

Cato는 기본 및 보조 HA 역할 모두에 대해 여러 활성 터널을 구성할 수 있습니다. 다음 작업을 수행할 수 있도록 여러 활성 터널을 사용합니다:

• 마지막 마일 활용 - 여러 활성 터널을 통해 서로 다른 경로 간에 네트워크 트래픽을 분산하여 로드를 균형 있게 조정하고 네트워크 성능을 향상시킵니다.

• 재정복 - 여러 활성 터널은 재정복을 제공합니다. 하나의 터널이 실패하면 트래픽은 다른 활성 터널을 통해 다시 라우팅되어 끊김 없는 연결성을 보장합니다.

• 타사 통합 - SSE 서비스를 위해 타사 SD-WAN CPE와 통합합니다.

• 트래픽 분리 - 서로 다른 유형의 트래픽을 분리하기 위해 서로 다른 터널을 사용할 수 있습니다. 예를 들어, 하나의 터널은 음성 트래픽에 사용될 수 있고 다른 터널은 데이터 트래픽에 사용될 수 있습니다.

각 HA 역할에 대해 최대 6개의 활성 터널을 구성할 수 있으며, 모두 동일한 Cato PoP에 연결됩니다. 즉, 모든 기본 터널은 하나의 PoP에 연결되고, 모든 보조 터널은 다른 PoP에 연결됩니다. 각 터널은 로컬 ID인 FQDN 또는 공용 IP 주소와 같은 고유한 식별자를 가져야 합니다.

여러 활성 터널의 HA

기본적으로, HA 역할의 모든 활성 터널이 다운되면 Cato는 자동으로 다른 HA 역할로 복구됩니다. 즉, 기본 HA 역할의 모든 터널이 다운되면 HA가 트리거되며, Cato는 다음 모든 사이트 경로의 다음 홉으로 보조 터널을 사용합니다. 하지만 기본 HA 역할이 두 개의 터널을 가지고 있고 하나의 터널이 연결된 상태라면 장애 전환은 발생하지 않습니다.

스토리 워크벤치에서 링크가 끊겼다는 이야기를 통해 터널을 모니터링할 수 있습니다.

참고: Cato가 터널이 끊어졌음을 결정하는 데 최대 30초가 소요됩니다.

대역폭 관리

IPsec 사이트에 대한 하향 및 상향 대역폭을 관리하도록 선택할 수 있습니다. Cato Cloud가 하향 대역폭을 제한하도록 하려면, 필요한 제한을 입력합니다. 그렇지 않으면 ISP 링크의 실제 연결 속도에 따라 값을 입력하세요. ISP 연결 속도를 모를 경우, 이 사이트의 라이센스에 따라 하향 대역폭을 설정하십시오. 상향 대역폭에 대해 Cato Cloud는 상향 트래픽을 제어하지 않으며, 이를 강제로 제한할 수 없습니다. 대신에 업스트림 대역폭 설정은 Cato Cloud의 최선의 노력으로 이루어진 설정입니다.

참고: 업스트림/다운스트림 값을 ISP의 실제 연결 속도보다 높게 입력하면 Socket QoS 엔진이 효과적이지 않습니다.

Cato 내 QoS에 대한 자세한 내용은 Cato 대역폭 관리 프로필이란 무엇인가요?를 참조하세요．

QoS를 위한 다중 활성 터널에 대해 아래 다중 활성 터널에 대한 라우팅 QoS를 참조하세요.

사전 준비사항

• 네트워크 트래픽의 일부만을 Cato Cloud를 통해 보내는 경우, 네트워크 장비가 다음 IP 주소를 라우팅 테이블에 포함하도록 구성합니다:

  • 10.254.254.1

  • 10.254.254.5

  • 10.254.254.253

  • 네트워크의 자체 VPN 사용자 IP 주소 범위를 구성하지 않은 경우 10.41.0.0/16을 사용하십시오

• 대역폭이 100Mbps 이상인 IPsec 사이트의 경우 AES 128 GCM-16 또는 AES 256 GCM-16 알고리즘만 사용하십시오. AES CBC 알고리즘은 100Mbps 미만의 대역폭을 가진 사이트에서만 사용됩니다.

  GCM 암호화가 CBC보다 더 효율적이고 확장 가능하기 때문에, Cato Cloud에서 고처리량 암호화된 트래픽에 대해 더 나은 성능과 신뢰성을 제공합니다.

• Cato IPsec IKEv2 사이트는 최대 256비트의 넌스 길이를 지원합니다.

• FTP 트래픽의 경우, Cato는 FTP 서버를 30초 이상의 연결 타임아웃으로 구성할 것을 권고합니다.

• IPSec 공유 비밀(PSK)을 최대 64자로 설정할 수 있습니다.

• Zscaler 환경에 연결되는 사이트의 경우, Phase2에서 암호화 선택을 활성화하려면 업그레이드된 Zscaler 라이센스가 필요합니다.

IKEv2 사이트 추가

새로운 IPsec IKEv2 사이트를 생성한 다음, IKEv2 설정에 맞춰 구성하고 기본 및 보조 터널 용도로 카토 할당 IP 주소를 지정하십시오. 자세한 내용은 계정에 대한 IP 주소 할당을 참고하십시오.

새로운 IPsec 사이트를 생성하려면:

1. 탐색 메뉴에서 네트워크 > 사이트를 클릭한 후 새로 만들기를 클릭합니다.

   사이트 추가 패널이 열립니다.

2. 사이트의 설정을 구성합니다：

   • 이름: 사이트의 이름

   • 유형: 토폴로지 페이지에서 사이트에 표시되는 애플리케이션 아이콘

   • 연결 유형: IPsec IKEv2를 선택합니다.

   • 국가: 사이트가 위치한 국가

   • 주: 사이트가 위치한 주(해당하는 경우)

   • 라이센스: 사이트에 적합한 대역폭 라이센스를 선택하십시오.

   • 기본 범위: IPsec 사이트의 LAN 서브넷

3. 새로운을 클릭하십시오.

IPsec IKEv2 설정 구성

Cato Cloud에 연결하기 위해 IPsec IKEv2를 사용하는 새로운 사이트를 생성한 후, 사이트를 편집하고 IPsec 설정을 구성합니다.

중요:

고가용성을 위해 다른 Cato 공용 IP를 사용하는 보조 터널을 구성할 것을 강력히 권장합니다. 그렇지 않으면, 사이트가 Cato Cloud와의 연결을 잃을 위험이 있습니다．

연결 모드 설정을 사용하여 Cato PoP가 원격 사이트에서 오는 연결에만 응답할지(응답자 전용), 아니면 연결을 시작할 수도 있는지(양방향)를 정의합니다.

동적 IP를 사용하는 사이트의 경우, Cato 관리 애플리케이션에서 사이트에 대한 로컬 ID를 생성하여 선택한 인증 식별자에 사용됩니다. 타사 장치에서 필요한 인증 식별자: FQDN, 이메일, 또는 KEY_ID를 사용하고, 타사 장치의 IKE 설정에 로컬 ID를 입력하십시오.

로컬 ID 외에도 인증을 위해 사전 공유 키 (PSK)를 구성하십시오. 장치에 BGP를 통해 기본 및 보조 IPsec 터널을 정의하여 고가용성을 제공합니다. 이렇게 하면 Cato Cloud는 BGP 라우트 메트릭스를 자동으로 조정하여 기본 터널을 우선하고, 연결이 끊어지면 사이트는 자동으로 보조 터널로 이동합니다．

IPsec IKEv2 사이트의 설정을 구성하려면:

1. 네비게이션 메뉴에서 네트워크 > 사이트를 클릭하고 사이트를 선택하십시오．

2. 탐색 메뉴에서 사이트 설정 > IPsec을 클릭합니다.

3. 일반 섹션을 확장하여 사이트가 PoP에 연결하고 인증하는 방법을 정의하십시오.

   1. 사이트의 연결 모드를 선택하십시오:

      • 응답자만 - 방화벽 init. 사이트의 방화벽이 연결을 시작하고, Cato가 응답합니다.

      • 양방향 - Cato PoP는 들어오는 연결에 대한 협상에 응답하고 나가는 협상을 시작합니다.

   2. 인증 식별자를 선택하십시오.

      • IPv4 - 사이트의 주 및 보조 섹션에서 구성된 정적 IP 주소를 사용합니다.

        IPv6은 현재 Cato PoP를 통해 IPSec과 지원되지 않습니다.

      • FQDN, 이메일, KEY_ID - 이러한 형식 중 하나로 로컬 ID를 생성합니다.

4. 주 섹션을 확장하고, 주 IPsec 터널의 다음 설정을 구성하십시오:

   • 목적지 유형에서 FQDN 또는 IPv4를 선택합니다. 모든 활성 터널의 목적지는 HA 역할(기본 또는 보조)에 대해 동일해야 합니다.

     • FQDN - Cato가 생성한 해시된 FQDN 값이 생성됩니다. 이 값은 특정 터널에 고유합니다. 이 값을 방화벽에 제공해야 합니다.

       선택하면, PoP 위치도 정의해야 합니다. Cato는 최적의 PoP가 선택되도록 자동을 사용할 것을 권장합니다. 특정 위치를 선택하고 부수적인 사이트도 구성하는 경우, 다른 위치를 선택하는지 확인하십시오.

     • IPv4 - Cato IP (송신) 드롭다운에서 정적 IP 주소를 선택하십시오.

5. 새로운을 클릭하십시오. 터널 추가 페이지가 표시됩니다.

   1. 논리적 WAN 인터페이스를 이 터널에 사용할 것인지 역할에서 선택하십시오. WAN 역할은 네트워크 규칙 정책에서 우선순위 기반 라우팅에 사용됩니다.

   2. 이름에서 설명이 담긴 이름을 입력하십시오

   3. 공인 IP 아래에서 이 터널의 공인 IP 주소를 입력하십시오. 각 터널은 다른 공인 IP 주소를 사용해야 합니다.

   4. 개인 IP를 구성하십시오:

      • 카토 - IPSec 터널을 시작하는 Cato PoP와 IP 주소를 입력하십시오.

      • 사이트 - BGP 피어의 개인 IP 주소를 입력하십시오.

   5. 마지막 마일 대역폭에서 사이트에 사용할 수 있는 최대 하향 및 상향 대역폭(Mbps)을 구성하십시오.

   6. PSK에서 비밀번호 편집을 클릭하여 기본 IPsec 터널의 공유 비밀을 입력하십시오.

6. 적용을 클릭하십시오. 터널이 기본 테이블에 추가됩니다.

   

7. 보조 IPsec 터널을 사용하는 사이트의 경우, 보조 섹션을 확장하고 이전 단계에서 설정을 구성한 다음 저장을 클릭하십시오.

8. 여러 활성 터널을 사용하는 사이트의 경우 5-7단계를 반복하십시오.

9. (선택 사항) 초기 메시지 매개변수 섹션을 확장하고 설정을 구성하십시오. 유효한 매개 변수는 아래 초기 및 인증 매개 변수를 참조하십시오.

   대부분의 IPsec IKEv2 지원 솔루션은 다음 초기 및 인증 매개변수의 자동 협상을 구현합니다. 방화벽 벤더에 의해 특별히 지시되지 않는 한, 이들을 자동으로 설정하는 것이 좋습니다.

10. (선택 사항) 인증 매개변수 섹션을 확장하고 설정을 구성하십시오. 유효한 매개 변수는 아래 초기 및 인증 매개 변수를 참조하십시오.

11. 라우팅 섹션을 확장하고 사이트의 라우팅 옵션을 정의하십시오:

    

    • 원격 측이 이 터널에 대한 SA (보안 연결 정보를 정의한 경우)와 IPSec 연결에 대해 네트워크 범위에 원격 IP 범위를 입력합니다(주로 다른 사이트의 네트워크). 이 형식 을 사용하고 장치 추가를 클릭하십시오.

    • SA를 위한 로컬 IP 범위는 사이트 설정 > 네트워크 페이지에서 로컬 트래픽 선택자와 피어 트래픽 선택자를 포함하여 구성됩니다.

      

      로컬 네트워크가 IPsec 피어에 설정한 것과 일치하는지 확인하십시오.

      참고: IPsec IKEv2 사이트에 대한 네트워크 범위가 설정되지 않았다면, VPN 행동은 피어 장치에서 설정한 트래픽 선택기에 따라 달라집니다.

      • 피어 장치가 0.0.0.0/0 <> 0.0.0.0/0를 사용하는 경우, 터널은 경로 기반 VPN으로 작동합니다.

      • 피어 장치가 특정 트래픽 선택기를 사용하는 경우, 터널은 정책 기반 VPN으로 작동합니다.

12. 저장을 클릭하십시오.

    최적의 PoP 위치를 확인할 수 있도록 방화벽에 주 및 부수적 FQDN 값을 입력하기 전에 최소 3분을 기다립니다.

13. 이 사이트에 대한 연결 세부 정보와 IPsec 터널의 상태를 표시하려면 연결 상태를 클릭하십시오.

다중 활성 터널용 라우팅 QoS

기본적으로 카토는 하향 트래픽만 제어할 수 있습니다. 트래픽은 건강 지표, 링크 선호도, 각 링크에 대해 설정된 대역폭의 비례 비율에 따라 터널(WAN 링크)에 분산됩니다. 상태 메트릭은 매초마다 재계산되며, 트래픽은 매 10초마다 가장 성능이 좋은 링크로 재분배됩니다.

상향 트래픽은 원격 IPsec 피어에 의해 제어되며, 피어가 사용하는 정책 기반 라우팅에 따라 결정됩니다.

네트워크 규칙을 사용하여 하향 트래픽의 WAN 링크 선택을 무시할 수 있습니다. 특정 트래픽 튜플에 대해 어떤 WAN 링크가 사용될지를 결정하는 규칙을 구성할 수 있으며, 이 경우 트래픽은 도착한 터널이 아니라 규칙에서 설정된 WAN 링크를 통해 전송됩니다.

초기 및 인증 매개 변수

초기 및 인증 매개 변수를 정의할 때 다음 매개 변수를 사용할 수 있습니다. 방화벽 벤더에서 달리 지시하지 않는 한, 이러한 매개변수를 자동으로 설정할 것을 Cato는 권장합니다.

사이트의 기본 IKEv2 매개 변수

다음은 IKEv2 매개변수의 기본값 목록입니다. 사용자 지정 값이 필요한 경우, 지원에 문의하십시오.

IKEv2 사이트에 대한 단일 트래픽 선택기 보내기

Child SA를 만들 때, Cato는 RFC 7295에 따라 동일한 TS 페이로드에서 여러 트래픽 선택기(TS)를 보냅니다. Cisco ASA와 같은 일부 서드파티 솔루션은 각 CHILD SA마다 단일 TS만을 지원합니다. Cisco ASA는 여러 TS가 있는 CHILD SA를 위한 Cato의 제안에 대한 응답으로 TS_UNACCEPTABLE 메시지를 보냅니다.

설정을 통해 계정 또는 특정 IPsec IKEv2 사이트를 설정하여 이 구성을 사이트 구성 > 고급 구성 아래에서 각 TS를 별도의 패킷으로 보내 서드파티 솔루션과의 상호 운용성을 지원할 수 있습니다.

AWS VPC에 두 터널 연결하기 (HA를 위한)

카토는 두 개의 IPsec 터널을 통해 BGP를 사용하여 AWS VPC를 카토 클라우드에 연결하여 고가용성(HA) 구성을 할 수 있습니다. AWS 이중 터널은 두 개의 고객 게이트웨이를 정의하고, 각각 다른 카토 공인 IP 주소를 나타낼 때만 지원됩니다. 다음은 요구 사항입니다:

• 두 개의 Cato 공용 IP 주소

• 같은 VPC에 있는 두 개의 고객 게이트웨이, 각각 Cato 공용 IP 주소에 할당됨

• AWS에서 사이트 간 연결 두 개

서비스 제한

• 다중 테넌트 계정(예: Cato 파트너)은 각 계정이 IPsec 터널에 대해 다른 PoP 위치에서 할당된 IP 주소를 사용해야 합니다. 예를 들어, account1은 프랑크푸르트에서 할당된 IP를 사용하고, account2는 뮌헨 PoP 위치에서 할당된 IP를 사용해야 합니다.