목표

• Virtual Router Appliance(VRA)에서 소스 네트워크 주소 변환(SNAT) 설정
• 인터넷 액세스를 위한 방화벽 규칙 설정

1. 필요한 인터넷 서비스를 기록합니다.
2. NAT을 설정합니다.
3. 인터넷 방화벽 구역 및 규칙을 작성합니다.

시작하기 전에

이 튜토리얼은 보안 사설 네트워크를 사용하여 워크로드 격리 튜토리얼에서 작성된 보안 사설 네트워크 격납장치의 호스트가 공용 인터넷 서비스에 액세스할 수 있도록 합니다. 이 튜토리얼을 먼저 완료해야 합니다.

필요한 인터넷 서비스 기록

첫 번째 단계는 공용 인터넷에서 액세스할 서비스를 식별하고 아웃바운드 트래픽과 이에 대응하는 인터넷으로부터의 인바운드 트래픽을 위해 사용으로 설정해야 하는 포트를 기록하는 것입니다. 이 포트 목록은 이후 단계의 방화벽 규칙에 필요합니다.

http 및 https 포트가 대부분의 요구사항을 만족시키므로, 이 예에서는 이들 포트만 사용으로 설정됩니다. DNS 및 NTP 서비스는 IBM Cloud 사설 네트워크로부터 제공됩니다. 이러한 서비스, 그리고 SMTP(포트 25) 또는 MySQL(포트 3306)과 같은 기타 서비스가 필요한 경우에는 추가 방화벽 규칙이 필요합니다. 두 기본 포트 규칙은 다음과 같습니다.

• 포트 80(http)
• 포트 443(https)

서드파티 서비스가 허용되는 소스 주소 목록의 정의를 지원하는지 확인하십시오. 지원하는 경우에는 서비스에 대한 액세스를 제한하도록 서드파티 서비스를 구성하는 데 VRA의 공인 IP 주소가 필요합니다.

인터넷에 대한 NAT 위장

NAT 위장을 사용하여 APP 구역에 있는 호스트의 외부 인터넷 액세스를 구성하려면 다음 지시사항을 따르십시오.

1. VRA에 SSH로 접속하여 [edit](구성)모드로 전환하십시오.

   SSH vyatta@<VRA Private IP Address>
   configure
   

2. 이전 VRA 프로비저닝 튜토리얼에서 앱 영역 서브넷/VLAN에 대해 결정한 것과 동일한 <서브넷 게이트웨이 IP>/ 을 지정하여 VRA에 SNAT 규칙을 생성합니다.

   set service nat source rule 1000 description 'pass traffic to the Internet'
   set service nat source rule 1000 outbound-interface 'dp0bond1'
   set service nat source rule 1000 source address <Subnet Gateway IP>/<CIDR>
   set service nat source rule 1000 translation address masquerade
   commit
   

방화벽 작성

1. APP-TO-OUTSIDE에 대한 방화벽 규칙을 작성하십시오.

   set security firewall name APP-TO-OUTSIDE default-action drop
   set security firewall name APP-TO-OUTSIDE description 'APP traffic to the Internet'
   set security firewall name APP-TO-OUTSIDE default-log
   
   set security firewall name APP-TO-OUTSIDE rule 90 protocol tcp
   set security firewall name APP-TO-OUTSIDE rule 90 action accept
   set security firewall name APP-TO-OUTSIDE rule 90 destination port 80
   
   set security firewall name APP-TO-OUTSIDE rule 100 protocol tcp
   set security firewall name APP-TO-OUTSIDE rule 100 action accept
   set security firewall name APP-TO-OUTSIDE rule 100 destination port 443
   
   set security firewall name APP-TO-OUTSIDE rule 200 protocol icmp
   set security firewall name APP-TO-OUTSIDE rule 200 icmp type 8
   set security firewall name APP-TO-OUTSIDE rule 200 action accept
   commit
   

2. 방화벽 규칙 OUTSIDE-TO-APP을 작성하십시오.

   set security firewall name OUTSIDE-TO-APP default-action drop
   set security firewall name OUTSIDE-TO-APP description 'Internet traffic to APP'
   set security firewall name OUTSIDE-TO-APP default-log
   
   set security firewall name OUTSIDE-TO-APP rule 100 protocol tcp
   set security firewall name OUTSIDE-TO-APP rule 100 action accept
   set security firewall name OUTSIDE-TO-APP rule 100 destination port 443
   
   set security firewall name OUTSIDE-TO-APP rule 90 protocol tcp
   set security firewall name OUTSIDE-TO-APP rule 90 action accept
   set security firewall name OUTSIDE-TO-APP rule 90 destination port 80
   
   set security firewall name OUTSIDE-TO-APP rule 200 protocol icmp
   set security firewall name OUTSIDE-TO-APP rule 200 icmp type 8
   set security firewall name OUTSIDE-TO-APP rule 200 action accept
   commit
   

구역 작성 및 규칙 적용

1. 외부 인터넷에 대한 액세스를 제어하는 데 필요한 구역인 OUTSIDE를 작성하십시오.

   set security zone-policy zone OUTSIDE default-action drop
   set security zone-policy zone OUTSIDE interface dp0bond1
   set security zone-policy zone OUTSIDE description 'External Internet'
   

2. 인터넷과의 트래픽을 제어하기 위한 방화벽을 지정하십시오.

   set security zone-policy zone APP to OUTSIDE firewall APP-TO-OUTSIDE
   set security zone-policy zone OUTSIDE to APP firewall OUTSIDE-TO-APP
   commit
   

3. APP 구역의 VSI가 이제 인터넷 상의 서비스에 액세스할 수 있는지 유효성 검증하십시오. SSH를 사용하여 로컬 VSI에 로그인하십시오.

   ssh root@<VSI Private IP>
   

   ping 및 curl을 사용하여 인터넷 사이트에 대한 ICMP 및 TCP 액세스를 유효성 검증하십시오.

   ping 8.8.8.8
   curl www.google.com
   

자원 제거

이 튜토리얼에서 작성된 리소스를 제거하기 위한 단계입니다.

VRA는 월별 유료 플랜을 기반으로 합니다. 취소해도 환불이 되지 않습니다. 다음 달에 이 VRA가 다시 필요하지 않은 경우에만 취소하는 것이 좋습니다. 이중 VRA 고가용성 클러스터가 필요한 경우 게이트웨이 세부사항 페이지에서 이 단일 VRA를 업그레이드할 수 있습니다.

1. 모든 Virtual Server 또는 Bare Metal Server를 취소하십시오.
2. VRA를 취소하십시오.
3. VLAN 취소

관련 컨텐츠

• VRA 네트워크 주소 변환
• NAT 위장
• 보충 VRA 문서