동적 경로 서버 기능

VPC용 동적 라우팅 서버에는 다음과 같은 기능이 포함되어 있습니다

동적 경로 교환

라우터, 방화벽, SD-WAN 장치, 트랜짓 게이트웨이 등 외부 피어와 ‘ eBGP ’ 세션을 설정하여 네트워크 경로를 동적으로 파악하고 알립니다.

정책 기반 라우팅

사용자가 정의한 라우팅 정책을 사용하여 경로가 학습, 반사, 알림 또는 VPC 라우팅 테이블에 추가되는 방식을 제어합니다.

다음과의 연동 Transit Gateway

eBGP, 를 통해 중복 GRE 터널을 사용하여 IBM Cloud® Transit Gateway 와 읽기 전용 스포크로 통합되며, 이를 통해 동적 경로 교환이 가능해집니다.

고가용성

가용성 영역 전반에 배포된 하나 이상의 구성원으로 서버 인스턴스를 백업합니다. 이 설계는 장애 발생 시 장비 수준의 중복성을 제공하고 경로 교환을 지속적으로 수행합니다.

정적 라우팅

VPC 라우팅 테이블에 정적 경로를 동적으로 추가합니다. 기존의 정적 경로와 달리, 이 정적 경로는 상태 정보를 반영하며, 다음 홉 피어 그룹의 상태에 따라 자동으로 추가되거나 제거됩니다.

사용 사례 1: 단일 방화벽을 다음 홉으로 지정하여 트래픽 라우팅하기

동적 경로 서버를 사용하면 VPC 트래픽의 다음 홉 장치 역할을 하는 단일 방화벽을 통해 경로를 알릴 수 있습니다. 동적 경로 서버는 BGP 피어로부터 경로를 학습하고, 상태 정보를 반영한 경로를 VPC 라우팅 테이블에 동적으로 추가하여 트래픽이 방화벽을 통과해 검사를 받도록 유도합니다. 방화벽을 사용할 수 없게 되면, 트래픽이 블랙홀 현상을 일으키는 것을 방지하기 위해 관련 경로가 철회됩니다.

이 예제에서 사용된 IP 주소, CIDR 범위, ASN 및 리소스 이름은 설명을 위한 예시일 뿐입니다. 사용자 환경에 맞는 값으로 대체하십시오. 이 구성을 설정하려면 다음 단계를 따르십시오:

1. VPC 인프라를 구축합니다.

   1. CIDR 10.240.0.0/16 을 사용하는 에지 VPC를 생성합니다.
   2. 동적 경로 서버 및 방화벽을 위해 에지 VPC 내에 서브넷을 생성합니다(예: 10.240.0.0/24).
   3. CIDR 172.16.0.0/16 을 사용하여 워크로드 VPC를 생성합니다.
   4. 워크로드 서브넷을 생성합니다(예: 172.16.0.0/24).
   5. BGP, BFD 및 라우팅 제어에 필요한 기타 특정 트래픽을 허용하도록 보안 그룹을 구성하십시오.

   자세한 내용은 ‘가상 사설 클라우드(VPC)시작하기’ 및 ‘ IBM Cloud 콘솔을 사용하여 VPC 리소스 생성하기’를 참조하십시오.

2. Direct Link 및 Transit Gateway 연결 설정하기

   1. 온프레미스 네트워크(10.0.0.0/16)와 IBM Cloud 간에 ‘ Direct Link ’ 연결을 신청하십시오.

      • 온프레미스 네트워크(10.0.0.0/16)를 Direct Link 에 연결합니다.
      • 에지 VPC(10.240.0.0/16)를 Direct Link 에 연결합니다.

   2. Transit Gateway 연결을 생성합니다.

      • 워크로드 VPC(172.16.0.0/16)를 Transit Gateway 에 연결하십시오.
      • 에지 VPC(10.240.0.0/16)를 Transit Gateway 에 연결합니다.
      • 엣지 VPC 연결에서 10.0.0.0/8 및 172.16.0.0/16 에 대한 거부 접두사 필터를 구성합니다.

   3. 다음 연결이 설정되어 있는지 확인하십시오:

      • 온프레미스 네트워크에서 Direct Link 로
      • Edge VPC에서 Direct Link
      • 워크로드 VPC에서 Transit Gateway
      • Edge VPC에서 Transit Gateway

   자세한 내용은 ‘ IBM Cloud Direct Link 시작하기’ 및 ‘트랜짓 게이트웨이 만들기’를 참조하세요.

3. 가상 서버 인스턴스 프로비저닝

   1. 방화벽( FW-1 )에 IP 주소 10.240.1.10 을 할당하십시오.
   2. 방화벽에서 IP 전달을 활성화하십시오.
   3. 온프레미스 네트워크(10.0.0.0/16)에 있는 호스트가 Direct Link 을 통해 트래픽을 전송할 수 있는지 확인하십시오.
   4. IP 주소가 172.16.0.10 인 워크로드 호스트를 워크로드 VPC에 배포합니다.

   자세한 내용은 ‘VPC용 가상 서버 생성’을 참조하십시오.

4. 동적 경로 서버 구성

   1. 엣지 VPC에 인그레스 라우팅 테이블을 생성합니다.
   2. 엣지 VPC 서브넷에 가상 네트워크 인터페이스(VNI)를 생성합니다.
   3. VNI에 IP 주소 10.240.0.4 을 할당합니다.
   4. VNI를 동적 경로 서버에 연결하고 ASN을 구성하십시오.
   5. 동적 라우트 서버 인스턴스를 프로비저닝합니다.

   자세한 내용은 “라우팅 테이블 및 경로에 대해”와 “동적 경로 서버 만들기”를 참조하십시오.

5. 동적 경로 서버를 다음 위치에 연결하십시오. Transit Gateway

   1. 동적 경로 서버와 Transit Gateway 사이에 GRE 터널이 설정되어 있는지 확인하십시오.
   2. BGP 피어링이 설정되었는지 확인하십시오.
   3. 동적 라우팅 서버가 트랜짓 게이트웨이로부터 워크로드 VPC 접두사 172.16.0.0/16 를 학습하는지 확인하십시오.

6. 방화벽 피어 그룹 및 경로 알림 구성

   1. 동적 경로 서버에서 방화벽 피어 그룹을 생성합니다.
   2. FW-1 (10.240.1.10)를 다음 홉 피어로 추가하고, 해당 피어에서 BFD를 활성화하십시오.
   3. 목적지 172.16.0.0/16, 다음 홉 10.240.1.10 인 VPC 라우팅 테이블 유형의 피어 그룹 정책을 생성합니다.
   4. 목적지 10.0.0.0/8, 다음 홉 10.240.1.10 인 VPC 라우팅 테이블 유형의 피어 그룹 정책을 생성합니다.
   5. 두 정책 모두를 구성하여 에지 VPC 인그레스 라우팅 테이블에 경로를 추가하도록 설정하십시오.

   자세한 내용은 ‘피어를 피어 그룹에 연결하기’ 및 ‘피어 그룹 정책 만들기’를 참조하십시오.

7. 경로 업데이트 확인

   1. 입력 라우팅 테이블에 다음 CIDR 범위가 포함되어 있는지 확인하십시오:
      • 172.16.0.0/16 - 10.240.1.10
      • 10.0.0.0/8 - 10.240.1.10
   2. 두 경로 모두 동적 경로 서버에 의해 알림이 전송되는지 확인하십시오.

8. 트래픽 흐름 및 장애 조치 검증

   1. 온프레미스 호스트에서 워크로드 호스트 172.16.0.10 로 트래픽을 전송합니다.
   2. 트래픽이 방화벽을 통과하는지 확인하십시오 FW-1.
   3. 172.16.0.0/16 에 대한 정책을 제거하고 연결이 끊어졌는지 확인하십시오.
   4. 정책을 다시 생성하고 연결이 복구되었는지 확인하십시오.
   5. 방화벽 FW-1 을 중지하고, 동적 경로 서버가 추가된 경로를 철회하는지 확인하십시오.
   6. 방화벽 FW-1 을 다시 시작한 후, 경로가 자동으로 복원되고 연결이 복구되었는지 확인하십시오.

이 구성은 동적 경로 서버가 단일 방화벽을 통해 트래픽을 동적으로 유도하는 동시에, 방화벽 장애 발생 시 경로를 자동으로 철회하여 트래픽이 블랙홀 현상을 일으키는 것을 방지합니다.

사용 사례 2: 우선순위 기반 장애 조치 기능을 통해 이중 방화벽을 경유하여 트래픽 라우팅하기

동일한 가용성 영역에 있는 두 대의 방화벽 어플라이언스와 함께 동적 라우팅 서버를 사용하여 활성 및 대기 트래픽 경로를 제공할 수 있습니다. 각 방화벽은 서로 다른 우선순위를 가지며, 동일한 피어 그룹 내에서 다음 홉 피어로 추가됩니다. 동적 경로 서버는 두 방화벽 모두에 대해 VPC 인그레스 라우팅 테이블에 경로를 동시에 추가하지만, VPC 라우팅 테이블은 숫자상 우선순위가 더 낮은 값을 활성 경로로 사용합니다. 주 방화벽을 사용할 수 없게 되면, 동적 경로 서버는 BFD를 통해 장애를 감지하고 주 경로 항목을 제거합니다. 그러면 VPC 라우팅 테이블은 이미 존재하던 대기 방화벽의 경로 항목을 자동으로 사용하여, 수동 개입 없이 트래픽을 재전송합니다. 주 방화벽이 복구되면 해당 경로 항목이 복원되고 트래픽은 주 경로로 다시 전환됩니다.

듀얼 방화벽을 구성하기 전에, ‘사용 사례 1’에 설명된 대로 VPC 인프라, 트랜짓 게이트웨이 및 동적 경로 서버 설정을 완료하십시오. 그런 다음, 동일한 피어 그룹에 우선순위 번호가 더 높은 두 번째 방화벽을 추가합니다.

사용 사례 3: 여러 가용 영역에 걸쳐 방화벽 배포

다중 존 아키텍처에서 동적 라우팅 서버를 사용하면, 가용성 존 전체가 사용 불가능한 상태가 되더라도 방화벽을 통한 트래픽 유도 기능을 유지할 수 있습니다. 이 토폴로지에서는 방화벽이 두 개 이상의 가용성 영역에 배포되며, 영역 인식 우선순위를 적용하여 동일한 다음 홉 피어 그룹에 추가됩니다. 주 영역에 있는 방화벽은 가장 낮은 우선순위 번호를 부여받으며, 데이터 전달 시 우선적으로 선택됩니다. 보조 영역의 방화벽에는 더 높은 우선순위 번호가 할당되며, 영역 간 대체 수단 역할을 합니다.

동적 라우트 서버는 모든 방화벽에 대한 라우트 항목을 VPC 인그레스 라우팅 테이블에 동시에 추가합니다. 주 영역의 방화벽이 정상적으로 작동하는 한, 모든 트래픽은 해당 영역의 방화벽을 통해 처리됩니다. 주(primary) 존에 있는 모든 방화벽이 장애를 일으키면, 동적 경로 서버는 해당 경로 항목을 제거하고, VPC 라우팅 테이블은 다른 존에 있는 방화벽에 속한 우선순위가 그 다음으로 낮은 항목을 자동으로 사용하기 시작합니다. 주 영역이 복구되면, 해당 영역의 방화벽이 다시 활성 경로로 전환됩니다.

사용 사례 2와의 주요 차이점은 구역 배치입니다. 사용 사례 2에서는 동일한 구역 내의 두 방화벽을 사용하여 구역 내 중복성을 확보합니다. 이 사용 사례에서는 존 간에 방화벽을 배치하여 존 수준의 내결함성을 확보함으로써, 전체 존이 중단되더라도 라우팅 구성이 정상적으로 유지되도록 합니다. 둘 다 동일한 우선순위 기반 메커니즘을 사용합니다.

사용 사례 4: 라우터 피어 그룹으로부터 경로 학습

동적 경로 서버를 사용하면 라우터 피어 그룹을 통해 하나 이상의 라우터와 BGP 피어링을 설정할 수 있으며, 정책을 활용하여 학습된 경로가 네트워크 전반에 어떻게 분배되는지 제어할 수 있습니다. 이 토폴로지에서 동적 경로 서버는 오버레이 네트워크 접두사를 알리는 워크로드 VPC 내의 라우터와 피어링을 형성합니다. 학습된 경로 정책은 해당 접두사를 다른 피어 그룹에 반영하며, VPC 라우팅 테이블 정책은 이를 방화벽을 다음 홉으로 지정하여 인그레스 라우팅 테이블에 추가합니다. 이 프로세스를 통해 동적 경로 서버가 라우팅 도메인 간의 경로 리플렉터 역할을 수행하므로, 온프레미스 호스트는 수동으로 경로를 업데이트할 필요 없이 오버레이 워크로드에 접속할 수 있습니다.

라우터 피어 그룹은 ‘라우터(Router)’ 역할로 구성되며, 이는 해당 피어가 BGP를 통해 경로 교환에 참여함을 의미합니다. 이 구성은 피어가 단순히 전달 대상일 뿐인 다음 홉 피어 그룹과는 다릅니다. 라우터 피어 그룹을 구성할 때는 해당 라우터 피어의 IP 주소와 ASN을 지정합니다. 동적 경로 서버는 라우터와 BGP 세션을 설정하고, 해당 라우터가 알리는 경로를 학습하기 시작합니다.

사용 사례 5: 단일 VPC 내의 활성 및 대기 방화벽을 통해 트래픽 라우팅하기

동적 라우팅 서버를 사용하면 단일 VPC 내의 모든 남북 및 동서 방향 트래픽을 방화벽이나 보안 어플라이언스 역할을 하는 활성 및 대기 가상 네트워크 기능(VNF) 한 쌍을 통해 라우팅할 수 있습니다. 경로 서버는 두 VNF의 노스바운드 및 사우스바운드 인터페이스와 BGP 피어링을 설정하고, 워크로드 및 기본 경로를 학습한 뒤, 상태 정보를 반영한 경로를 VPC 라우팅 테이블에 동적으로 추가합니다. BFD가 활성화된 상태에서 동적 라우팅 서버는 1초도 채 걸리지 않아 VNF 장애를 감지하고, 수동 개입 없이 트래픽을 대기용 VNF로 자동으로 재전송할 수 있습니다.

사용 사례 6: 정적 경로를 통해 온프레미스 내 고정 경로 광고하기

정적 경로는 학습된 경로와 작동 방식이 다릅니다. 목적지, 다음 홉 피어 그룹 및 대상 라우팅 테이블은 BGP 세션이 아닌 사용자의 구성에서 가져옵니다. 동적 경로 서버는 다음 홉 피어 그룹에 속한 피어들의 영역과 우선순위를 바탕으로 추가할 경로 항목을 결정합니다. 입력 및 출력 순위 지정 규칙은 동일하게 적용되지만, 피어로부터의 BGP 광고는 필요하지 않습니다.

이 설정은 목적지 접두사가 고정되어 있고 잘 알려져 있으며, BGP 피어가 이를 알리는 데 의존하고 싶지 않을 때 유용합니다. 흔한 예로 10.0.0.0/8 과 같은 안정적인 온프레미스 CIDR이 있습니다.

사용 사례 1과 동일한 토폴로지에서, 사용자 정의 경로 정책에 의존하지 않고 동적 경로 서버에 직접 정적 경로를 정의할 수 있습니다:

• 목적지: 10.0.0.0/8
• 다음 홉 피어 그룹: 방화벽 피어 그룹
• 대상 라우팅 테이블: 에지 VPC 인그레스 라우팅 테이블
• 광고: 활성화됨

동적 경로 서버는 방화벽을 다음 홉으로 지정하여 목적지 경로 10.0.0.0/8 를 인그레스 라우팅 테이블에 추가합니다. 이 프로세스에서는 경로를 알리기 위해 피어가 필요하지 않습니다. 정적 경로에서 광고가 활성화되면, 해당 경로는 에지 VPC 연결을 통해 트랜짓 게이트웨이로 전달되어 워크로드 VPC 내의 다른 연결들이 이를 인식할 수 있게 됩니다.

정적 경로의 건강 관리 행동은 학습된 경로의 경우와 동일합니다. 방화벽 피어 그룹의 상태가 비정상적으로 변하면, 고정 경로 항목이 철회됩니다. 동료 그룹이 복구되면 해당 항목이 다시 활성화됩니다. 이 메커니즘이 바로 이 기능을 일반적인 VPC 정적 경로와 구별 짓는 점입니다. 동적 경로 서버가 경로의 수명 주기를 관리하며, 이를 피어의 상태와 연동합니다.