FortiOS CLI를 사용하여 HA 클러스터용 VLAN 구성하기

vFSA,의 HA 클러스터의 경우 프로비저닝 중에 4개의 집계 인터페이스가 구성됩니다:

• Agg0 은 외부 사설 WAN 인터페이스입니다.
• Agg1 은 외부 공용 WAN 인터페이스입니다.
• Agg2 은 내부 비공개 인터페이스입니다.
• Agg3 은 내부 공개 인터페이스입니다.

agg2 을 부모 인터페이스로 사용하여 비공개 VLAN을 구성해야 합니다. 또한 부모 인터페이스로 정의된 agg3 를 사용하여 공용 VLAN을 구성하세요.

다음 예는 서브넷이 10.37.22.0/26 인 사설 VLAN 798의 CLI 구성에 대한 설명입니다. 해당 서브넷의 서브넷 게이트웨이는 10.37.22.1 이고 서브넷 마스크는 255.255.255.192 입니다. 다음 예제에서는 백엔드(비공개)의 경우 b, 내부 VLAN으로 정의하는 inside 라는 VLAN 번호를 사용하여 인터페이스에 레이블을 지정합니다. set allowaccess 명령은 제어 플레인 보호를 허용하고 10.37.22.1/32에서 FortiGate가 사용할 수 있는 제어/관리 플레인 레벨 서비스를 지정합니다. 또한 서브넷 게이트웨이 IP는 FortiGate에 대한 관리 액세스에 거의 사용되지 않으므로 ping 만 설정됩니다. 그러나 해당 IP를 사용하여 FortiGate 에 액세스하려면 각각 원격 CLI 및 웹 GUI 액세스를 위한 서비스(예: SSH 또는 HTTPS )를 추가할 수 있습니다.

config system interface
edit "v798-b-inside"
set vdom "root"
set ip 10.37.22.1 255.255.255.192
set allowaccess ping
set role lan
set interface "agg2"
set vlanid 798
end

VLAN에 추가 서브넷이 있는 경우 인터페이스에 서브넷 게이트웨이와 마스크를 보조 IP로 추가합니다. 예를 들어 VLAN 798에 다른 서브넷(10.37.23.0/24)이 있는 경우 다음 명령을 사용할 수 있습니다:

config system interface
edit v798-b-inside
set secondary-IP enable
config secondaryip
edit 0
set ip 10.37.23.1 255.255.255.0
set allowaccess ping
end

다음 예는 서브넷 67.228.192.0/28 에서 공용 VLAN(803)을 구성하는 예제입니다. 해당 서브넷의 서브넷 게이트웨이는 67.228.192.1 이고 서브넷 마스크는 255.255.255.240 입니다. 다음 예제에서는 프런트엔드(공용)의 경우 f, 내부 VLAN으로 정의하는 inside 라는 VLAN 번호를 사용하여 인터페이스에 레이블을 지정합니다.

config system interface
edit "v803-f-inside"
set vdom "root"
set ip 67.228.192.1 255.255.255.240
set allowaccess ping
set role lan
set interface "agg3"
set vlanid 803
end

VLAN에 추가 서브넷이 있는 경우 인터페이스에 서브넷 게이트웨이와 마스크를 보조 IP로 추가합니다. 예를 들어 VLAN 803에 다른 서브넷(67.228.225.128/26)이 있는 경우 다음 명령을 사용할 수 있습니다:

config system interface
edit v803-f-inside
set secondary-IP enable
config secondaryip
edit 0
set ip 67.228.225.129 255.255.255.192
set allowaccess ping
end

독립 실행형 FortiOS CLI를 사용하여 구성하기 vFSA

이 방법으로 독립 실행형 버전을 구성할 수 있습니다:

config system interface
edit "v798-b-inside"
set vdom "root"
set ip 10.37.22.1 255.255.255.192
set allowaccess ping
set role lan
set interface "agg0"
set vlanid 798
end

동일한 VLAN 인터페이스에 추가 서브넷 게이트웨이가 있는 경우, HA 구성 샘플과 동일합니다:

config system interface
edit v798-b-inside
set secondary-IP enable
config secondaryip
edit 0
set ip 10.37.23.1 255.255.255.0
set allowaccess ping
end

이 방법으로 독립 실행형 버전을 구성할 수 있습니다:

config system interface
edit "v803-f-inside"
set vdom "root"
set ip 67.228.192.1 255.255.255.240
set allowaccess ping
set role lan
set interface "agg1"
set vlanid 803
end

독립형 vFSA 구성은 동일한 VLAN에 있는 추가 서브넷 게이트웨이에 대한 HA 구성과 일치합니다:

config system interface
edit v803-f-inside
set secondary-IP enable
config secondaryip
edit 0
set ip 67.228.225.129 255.255.255.192
set allowaccess ping
end