L4스위치와 방화벽의 역할의 차이가 무엇인가요?
글쓴이: ktlsu1231 / 작성시간: 화, 2004/06/01 - 5:57오후
안녕하세요.
L4스위치와 방화벽의 역할의 차이가 무엇인가요?
방화벽의 개념이 너무 포괄적이라 L4스위치에서 하는 역할도
들어가는 것 같거든요?
알려주세요. ^^;;
Forums:
안녕하세요.
L4스위치와 방화벽의 역할의 차이가 무엇인가요?
방화벽의 개념이 너무 포괄적이라 L4스위치에서 하는 역할도
들어가는 것 같거든요?
알려주세요. ^^;;
전혀 개념이 틀린데요 ^^스위치라는 것은 어떤 기준에 의하여 패킷
전혀 개념이 틀린데요 ^^
스위치라는 것은 어떤 기준에 의하여 패킷의 흐름을 결정해 주는 장치인데요
L2스위치라는 것은 layer2즉 이더넷부분만 보고 패킷흐름을 결정해주고요
L3는 IP에 따라서 - 즉 라우팅까지 되겠죠?
L4는 그 이상, 세션에 따라서 패킷의 흐름을 결정해주는 장치입니다.
예를 들어 /이런 경우는 사실 말도 안되지만/
ftp서버를 총 4대를 클러스터링을 하고 있는
이떄 L4스위치를 쓰빈다.
1번 서버에서 자료를 받던 넘이 갑자기 2번 서버로 패킷을 요청하면?
없는 세션에서 머가 날라오니 꼬이겠죠?
L4는 한번 자신을 거친 세션을 기억하고 있다가 그 방향으로 패킷을 항상 보내줍니다.
이제 더 나아가 L7은 패킷 내용까지 보고 패킷을 보낼것인지, 보낸다면 어디로 보내는지 볼 수 있습니다.
제가 알기론 L4는 서버 클러스터링 같은 경우에 쓴다고 알고 있는데
그 이외의 용도는? 잘 ^^ 알테온 메뉴얼을 잠깐 본적이 있는데
메뉴얼에서도 다루는 내용이 거의 그런 내용입니다.
방화벽은 말 그대로 원치 않는 네트워크의 접근을 일차적으로 걸러 줍니다.
방화벽도 L3~L7개념???이 있는 것 같습니다.
저위의 개념은 제가 임의로 만든 것이고
일차적으로 NAT로 방화벽 만드는 것은 L3죠.
더 나아가 L4 - Stateful packet inspection
그 이상 deep packet inspectio이라는 기술로 많이 알려졌죠
전혀 다른 개념이죠?
C++, 그리고 C++....
죽어도 C++
L4 라는건 OSI 7 계층 모델에서 4 계층을 의미하고요. 전송계층을
L4 라는건 OSI 7 계층 모델에서 4 계층을 의미하고요. 전송계층을 의미합니다. 전송계층은 TCP/UDP 이런 프로토콜이 있는 계층이죠. 그렇기 때문에 IP/PORT 정보를 확인하고 스위칭(전송)해줄수 있는 스위치장비입니다. 방화벽은 여러 종류가 있으며, 단순히 L4 레이어의 패킷필터방화벽은 패킷의 IP 헤드나 TCP헤드에 포함된 아이피주소나 포트정보를 확인하고 허용하거나 거부하는 필터방화벽입니다. 이외에도 여러종류의 방화벽이 있습니다. 방화벽이라고 통칭하는건.. 스위치랑은 용도가 다른거죠.
힘내세요.
..
외부망 - L4스위치 - 방화벽 - L4 스위치 - IDS - .....
이런식으로 들어가는데
방화벽에서도 IP/PORT 정보를 확인하고 패킷필터링 하고,
L4스위치에서도 IP/PORT정보를 확인하는 패킷필터링 하지 않나요?
방화벽과 같이 차단도 가능하고요.
이 말씀은 일반적으로 L4 방화벽을 L4 스위치라고 하는 걸까요?
이것이 궁금해요.. :oops:
위의 구성도를 보니 아마 방화벽 클러스터링을 하시는 군요!말씀드렸
위의 구성도를 보니 아마 방화벽 클러스터링을 하시는 군요!
말씀드렸지만 방화벽은 in 과 out이 단 하나입니다.
요넘이 하는 일은 그저 이 데이터가 옳은 녀석인지 옳지 않은 녀석이지
룰에 의해 판단만 하는 것입니다.
스위치는 이 데이터가 룰에 의해서 어떻게 가야할지 판단해 주는 것입니다.
위에서 한번 예를 들어봅죠.
우선 stateful packet inspection의 예로 ack공격을 이야기 합니다.
보통 syn패킷을 겁나게 보내는 dos공격은 방화벽에서 아주 수월하게
syn개수를 세서 막을 수 있습니다. 그러나 ack의 경우는 좀 다릅니다.
무조건 ack필드만 on해서 플루딩을 시도하면 멍청한 방화벽의 경우
그저 보냅니다.
그런데 spi의 기능을 가지고 있는 방화벽이라면 이 패킷이 우선
내가 가지고 있는 세션테이블에서 무엇에 해당하는 지 보고
말도 안되는 넘이면 바로 버립니다. 이것이 방화벽이 하는 일이죠
그럼 비싼 L4를 쓰는 이유는?
자 저기서 방화벽이 한 3개쯤 된다고 한다면
멍청한 L3로는 패킷을 어디로 보내야 할지 모릅니다.
1번 방화벽에 syn을 보내 세션을 저장해 두었는데
2번 방화벽에 (스위치가) ack를 보낸다면 2번 방화벽은 당연히
이넘은 잘못된 녀석이라고 보고 막습니다.
그럼 멍청한 L3가 라운드 로빙으로 하나씩 패킷을 골고루 준다면
절대로 tcp는 불가능 하겠죠?
그래서 L4스위치가 나와서
아 이 패킷은 전에 1번으로 간 세션으로갈 패킷이로구나! 저쪽으로 줘야지~
하는 것입니다.
물론 L4스위치도 필터링을 함으로 방화벽의 기능을 약간 포함할 수 있으나
가장 간단한 syn flooding조차 가진 L4스위치를 못 봤습니다 ^^
L4의 필터링과 비싼 방화벽의 필터링 기능을 함부로 비교하면 안되죠
방화벽의 경우 ip, port만을 헤아리는게 아니라 각 서비스별로 특화된 기능들이
많답니다.
C++, 그리고 C++....
죽어도 C++
장비를 만들때 제일 중점을 두는 부분이 방화벽은 단위시간당 필터링할수있는
장비를 만들때 제일 중점을 두는 부분이 방화벽은 단위시간당 필터링할수있는 패킷수, L4는 초당 스위칭 가능한 세션수, 라우터는 라우팅 가능한 패킷수 아닌가합니다.
특히 L4는 로드밸런싱과같은 TCP세션관리에 주로 사용하는것같습니다.
^^;;
댓글 달기