Network Firewall을 생성하기 위한 절차와 생성 이후 콘솔을 사용하는 방법을 설명합니다.
Network Firewall을 사용하기 위해서는 가장 먼저 Network Firewall 인스턴스를 먼저 생성합니다.
Network Firewall 생성에 필요한 최소 네트워크 서비스 자원은 아래와 같습니다.
[참고] 위의 서비스 자원은 [Network] 카테고리에서 생성 가능합니다.
[참고] * 서브넷, NAT, 외부 전송에 사용하는 서브넷은 모두 다른 서브넷으로 선택해야 합니다. * 가급적 NHN Cloud 콘솔에서 생성할 수 있는 최소 단위(28비트)로 생성할 것을 권장합니다. * Network Firewall 인스턴스는 가용 영역을 분리하여 이중화를 기본으로 제공합니다. * Security Groups와는 별개의 서비스이므로 Network Firewall을 사용하면 두 서비스를 모두 허용해야 인스턴스에 접근할 수 있습니다. * Network Firewall이 소유하고 있는 CIDR 대역과 연결이 필요한 CIDR 대역은 중복되지 않아야 합니다. * Network > Network Interface에서 Virtual_IP 타입으로 생성되어 있는 IP는 Network Firewall에서 이중화 용도로 사용 중이므로 삭제할 경우 통신이 차단될 수 있습니다.
Network Firewall과 연동하기 위해 피어링 게이트웨이 생성 및 라우팅을 설정합니다.
[예시] Network Firewall이 사용하는 VPC(Hub)는 10.0.0.0/24이고, Network Firewall과 연결이 필요한 VPC(Spoke)는 172.16.0.0/24일 때
위의 라우팅 설정이 완료되면 Spoke VPC에 있는 인스턴스가 Network Firewall을 경유하여 공인 통신이 가능합니다. (Network Firewall > NAT 탭에서 NAT 추가 필요)
만약 Spoke VPC의 서브넷이 2개 이상이고, Network Firewall을 통해 서브넷 간 트래픽 제어가 필요한 경우 아래의 라우팅을 추가합니다.
[예시] Spoke VPC(172.16.0.0/24)의 서브넷이 172.16.0.0/25와 172.16.0.128/25일 때 * Network > Routing으로 이동하여 Spoke VPC를 선택한 후 아래의 라우팅 2개를 추가합니다. * 대상 CIDR: 172.16.0.0/25과 172.16.0.128/25 * 게이트웨이: 피어링 연결 후 추가된 피어링 타입의 게이트웨이
위의 라우팅 설정이 완료되면 Spoke VPC 안에 있는 서브넷 간 통신이 Network Firewall을 경유하여 사설 통신이 가능합니다. (Network Firewall > 정책 탭에서 정책 추가 필요)
만약 Spoke VPC가 2개 이상이라면 아래의 라우팅을 추가합니다.
[예시] Spoke VPC1(172.16.0.0/24)과 Spoke VPC2(192.168.0.0/24)일 때 * Network > Routing으로 이동하여 Hub VPC를 선택한 후 아래의 라우팅 2개를 추가합니다. * Spoke VPC 1 * 대상 CIDR: 172.16.0.0/24 * 게이트웨이: Hub VPC와 Spoke VPC1 사이에 추가된 피어링 타입의 게이트웨이 * Spoke VPC 2 * 대상 CIDR: 192.168.0.0/24 * 게이트웨이: Hub VPC와 Spoke VPC2 사이에 추가된 피어링 타입의 게이트웨이
위의 라우팅 설정이 완료되면 서로 다른 Spoke VPC 간 통신이 Network Firewall을 경유하여 사설 통신이 가능합니다. (Network Firewall > 정책 탭에서 정책 추가 필요) Network Firewall 서비스 구성도를 참고하여 고객의 환경에 맞게 연결을 설정하시기 바랍니다.
Network Firewall 생성과 연결 설정을 완료하면 Network Firewall의 여러 기능을 활용하여 접근 제어를 구성할 수 있습니다.
Network Firewall 인스턴스를 생성하게 되면 정책 초기 페이지로 이동합니다.
정책 탭에서는 Network Firewall 인스턴스와 연결된 VPC 간 트래픽과 인바운드/아웃바운드 트래픽을 제어할 수 있는 정책을 관리할 수 있습니다.
[참고] default-deny 정책을 통해 차단된 로그는 옵션 탭의 기본 차단 정책 로그 설정을 사용으로 변경한 후 로그 탭에서 확인 가능합니다.
[주의] 한번 삭제한 정책은 복구할 수 없으며, default-deny 정책은 삭제할 수 없습니다.
객체 탭에서는 정책을 생성할 때 사용할 IP와 포트를 생성하고 관리합니다.
필수 항목을 입력하여 객체를 생성합니다. IP와 포트는 아래의 타입과 프로토콜을 추가할 수 있습니다.
삭제를 클릭해 객체를 삭제할 수 있습니다.
[주의] 정책에서 사용 중인 객체는 삭제 후 ALL 객체로 변경됩니다.
NAT(네트워크 주소 변환) 탭에서는 외부에서 접속할 인스턴스를 지정하여 전용 공인 IP를 생성합니다. * NAT는 목적지 기반 및 1:1 방식만 제공합니다. * 포트 기반의 NAT는 제공하지 않습니다. * 생성된 공인 IP는 Network > Floating IP에서 확인 가능합니다.
[참고] NAT를 생성한 뒤 허용 정책을 추가해야만 공인 통신이 가능합니다.
로그 탭에서는 Network Firewall에서 생성된 로그를 검색할 수 있습니다.
모니터 탭에서는 Network Firewall 인스턴스의 상태를 실시간으로 확인할 수 있습니다. 검색은 최대 24시간(1일) 내에서만 가능합니다.
옵션 탭에서는 Network Firewall 운영에 필요한 옵션을 설정할 수 있습니다.
[주의] NAT 사용 중 사용 안 함으로 변경할 경우 NAT 탭에서 설정한 정보는 모두 삭제됩니다.