[EVE-NG] IP SLA를 활용하여 트래픽 우회시키기

JaehyoJJAng2024년 07월 10일

개요

IP SLA를 사용해서 방화벽의 Active 상태를 감지하고 트래픽을 우회시키는 방법을 다뤄보려고 합니다!

실습 환경

먼저 제가 구축한 환경을 간단히 소개할게요:

장비: 방화벽 2대(Active-Passive HA), L3 스위치 2대.
방화벽 HA: 두 방화벽은 heartbeat 링크로 연결되어 Active-Passive 모드로 동작. HA VIP는 192.168.10.1로 설정했고, 방화벽1(HQ)이 현재 Master 상태예요.
연결: 방화벽과 L3 스위치는 1:1 연결로 박스 형태로 구성.
- 방화벽1(HQ) ↔ L3 스위치1(SW1): 192.168.10.1 ↔ 192.168.10.2 (gi0/0)
- 방화벽2(Branch) ↔ L3 스위치2(SW2): 192.168.10.1 ↔ 192.168.10.3 (gi0/0)
L3 스위치 간 연결: 두 L3 스위치는 EtherChannel로 연결했고, IP 대역은 192.168.10.8/30으로 설정했어요(SW1: 192.168.10.9, SW2: 192.168.10.10).

목표는 IP SLA를 활용해서 L3 스위치가 마주보고 있는 방화벽의 상태를 체크하고,

Active 방화벽으로 트래픽을 우회시키는 거였어요. 과연 가능할까요? 당연하지 않겠어요? 😊

IP SLA로 트래픽 우회 설정하기

설정 원리

IP SLA는 네트워크 장치의 상태를 모니터링하는 강력한 도구예요.

여기서는 HA VIP(192.168.10.1)를 ICMP로 체크해서 방화벽의 Active 여부를 판단하고,

트랙 객체로 상태를 추적한 뒤, 라우팅을 조정하는 방식으로 구현했어요.

기본 설정

L3 Switch #1

ip sla 1
 icmp-echo 192.168.10.1 source-interface <코어 스위치 1의 방화벽 연결 인터페이스>
 frequency 5
 timeout 2000
ip sla schedule 1 life forever start-time now

track 1 ip sla 1 reachability

ip route 0.0.0.0 0.0.0.0 192.168.10.1 track 1
ip route 0.0.0.0 0.0.0.0 <코어 스위치2와 연결된 인터페이스의 next-hop> <metric (ex. 10)>

L3 Switch #2

ip sla 1
 icmp-echo 192.168.10.1 source-interface <코어 스위치 2의 방화벽 연결 인터페이스>
 frequency 5
 timeout 2000
ip sla schedule 1 life forever start-time now

track 1 ip sla 1 reachability

ip route 0.0.0.0 0.0.0.0 192.168.10.1 track 1
ip route 0.0.0.0 0.0.0.0 <코어 스위치11 연결된 인터페이스의 next-hop> <metric (ex. 10)>

동작 방식

정상 상태: SW1은 방화벽1(Active)을 기본 경로로 사용하고, SW2는 방화벽2(Passive)가 응답 안 하니까 SW1으로 트래픽을 보냄.
장애 상태: 방화벽1이 다운되면 SW1은 SW2로 트래픽을 우회하고, SW2는 방화벽2(새 Active)를 통해 처리.

옵션 설명

icmp-echo 192.168.10.1: 192.168.10.1로 ping을 보냄
frequency 5: 5초마다 체크
track 1: IP SLA의 상태를 추적 객체로 만듦. (reachable이면 Active, unreachable이면 Passive로 판단 가능)