작은 물방울이 바위를 뚫을 수 있을까?

350-601 DC CORE 요약 정리

Weeding — Fri, 13 Mar 2026 00:14:53 +0900

Cisco UCS Seires A,B,C

이 중에서도 B,C Series에 대한 문제가 많이 나온다.

** UCS B-Series (Blade Server)

CMC (Chassis Management Controller) 라는 관리 컨트롤러 사용 (CIMC랑 동일하다 봐도 무방)
CLI 계층 : scope chassic -> scope cmc
샷시 내부 Backplane 연결로 서버 개별 케이블 없음
FI가 필수로 필요하다

** UCS C-Series (RAC Mount Server)

연결 방식 1: Standalone (CIMC로 독립 관리)
연결 방식 2: UCS Manager 통합 (FI + Sideband/Dedicated)
연결 방식 3: Intersight 직접 관리

CIMC 컨트롤러 사용
CLI 계층 : scope server -> scope cimc
서버별 개별 케이블 필요

1. Fibre Channel(FC)

DC에서 사용하는 고속 Storage network와 서버 간 데이터 전송에 사용되는 프로토콜
정확히는 SCSI 명령을 SAN 인프라를 통해 FC 프레임을 전달하여 서버에서 Storage로 전송하는 기술
주로 SAN에서 사용되며, FC Switch, HBA(Host Bus Adaptor), Storage Array 장비들을 사용
스위치의 Ethernet으로 이해하면 된다. (Ethernet 위에서 동작)

[패킷 구조]

Ethernet Frame
└── FCoE Header
└── Fibre Channel Frame

2. FCNS

Fibre Channel Name Server
Fibre Channel Fabric 내부에서 모든 노드(HBA, Storage, Switch Port)의 정보를 저장하고 조회하는 중앙 디렉토리 역할을 하는 데이터베이스
스위치의 CAM table로 이해하면 된다.

3. Nexus Checkpoint

작업 전 시점에서 running-config 시점을 기록하여, 원복 필요시 Rollback으로 복구 하는 기능
atomic rollback : 오류가 발생하지 않는 경우에만 복원 진행
ex) rollback running-config checkpoint stable 1 atomic

4. show incompatibility-all system bootflash:[image] 실행 시 보여주는 문구는?

현재 컨피그 중 타깃 이미지와 호환되지 않는 기능/설정을 보여줌

5. VTEP 구성 시 반드시 필요한 최초 구성 요소

VTEP Source IP (Loopback으로 사용)
NVE Interface (vXLAN Tunnel Interface 역할)
ex)
feature nv overlay
interface looback0
Ip add 1.1.1.1/32
int nve1
source-interface loopback0
int eth1/1
ip unnumbered loopback0
물리 인터페이스에 ip 절약형 설정을 하는게 초기 VTEP 설정에 표준이다.

6. NX-OS install 구조 -> deactivate 동작 -> package feaures for the line card are disabled

install add	패키지 추가
install activate	패키지 활성화
install deactivate	패키지 기능 비활성화
install commit	변경 영구 적용
install remove	패키지 삭제
install abort	install process 중단

7. SPAN 구성 완성 예시 컨피그

configure terminal

interface fc2/1
  switchport speed 4000
  no shutdown

interface fc2/2
[switchport speed 4000]
[switchport mode SD] --> 해당 컨피그는 SPAN 전용 목적지 포트 모드, Span Destination
  no shutdown

monitor session 1
  source interface fc2/1
  destination interface fc2/2
  no shutdown

8. Cisco UCS에서 Private VLAN(PVLAN) secondary VLAN을 fabric A/B에 추가하는 방법

**조건

- primary VLAN already exists
- secondary VLAN must be added to both fabrics

Private VLAN은 하나의 Primary VLAN 아래 여러 Secondary VLAN을 두는 구조
Secondary VLAN 종류
1. Isolated : Gateway만 통신, 서버<->서버 통신 차단, 즉 같은 VLAN이여도 서로 통신 불가.
2. Community : 같은 Community 끼리 통신 (communiy vlan 10 안의 서버a,b는 서로 통신 가능이라는 뜻)
UCS Fabric 구조는 Fabric Interconnect 2개(A/B)로 구성됨
        +----------------------+
        |    Fabric A (FI-A)   |
        +----------+-----------+
                   |
               UCS Chassis
                   |
        +----------+-----------+
        |    Fabric B (FI-B)   |
        +----------------------+
UCS에서는 VLAN을 Fabric 단위로 생성
scope eth-uplink
scpoe fabrc a
create vlan

** 실제 구성 예시 (답안)

UCS-A# scope eth-uplink
UCS-A /eth-uplink# scope fabric a
UCS-A /eth-uplink/fabric# create vlan vlan1981 1981
UCS-A /eth-uplink/fabric/vlan# set sharing isolated
UCS-A /eth-uplink/fabric/vlan# commit

9. 포트보안 설정

switchport port-security violation restrict
- 기존 mac 영향 없이 허용되지 않은 MAC 주소 차단 및 로그 기록
switchport port-security violation protect
- 로그도 남기지 않고 조용히 차단만 하는 모드 (가장 낮은 수준 제한 방식)
- 문제에서 log/알림 요구가 없으면 protect로 하는게 맞을듯

10. UCS 기본 구조와 FI

Fabric Intercooncect(FI)는 UCS의 접선 장비

즉, 서버와 스토리지, 서버와 네트워크 연결을 해주는 장비이다.

Ethernet / FCoE 트래픽 처리 역할을하며, Up/down Link 역할을 수행한다.

** 구조 : 서버 -> FI -> Switch -> SAN

        FC SAN
          │
          │   (스토리지 네트워크)
          │
       Nexus 5K
          │
          │  FCoE / Ethernet uplink
          │
   ┌──────┴──────┐
   │             │
UCS FI-A     UCS FI-B
   │             │
   └──────┬──────┘
          │
      UCS Blade Server

11. nondisruptive upgrade for the ISSU process

1. Stateful Swtichover (SSO, Control Plane)

2. nonstop forwarding (NSF, ASIC, Data Plane)

** graceful restart

R1 - R2 - R3

R2에서 라우팅 프로세스가 재시작될 때 Data Plane(FIB)을 유지하여 R1->R3간 패킷 드롭 없이 데이터 전달

즉, OSPF 기준으로 보면 LSA와 adjacency를 유지해주는 기능. (Default 120초)

보통 위 3가지를 같이 사용해야 ISSU 중에도 트래픽 손실이 없다.

ex) SUP-A , SUP-B

actvie sup을 업그레이드를 하기 위해 swtichover를 진행하면 standby sup에 미리 RIB가 복제되어있어 라우팅 상태가 유지된다. 이 때, Control-plane이 순단이 날 수 있는데(또는 멈추거나), 하지만 NSF를 통해 FIB에서 패킷 forwarding은 계속 유지한다. 순단이 날 때 이웃 라우터가 세션을 끊어버리면 neighbor가 끊길 수 있는데 이 때 Graceful Restart가 neighbor를 유지시켜준다.

12. vPC 문제

엔지니어가 vPC가 적용된 VXLAN POD 환경을 운영하고 있다.
POD1 스위치 업그레이드 중 Leaf102가 vPC 페어에 다시 합류(rejoin) 하기 시작했다.
이때 Web Cluster로 가는/오는 트래픽이 5분 동안 간헐적(intermittent) 으로 끊긴다.
이 문제를 해결하기 위해 양쪽 스위치에 추가로 적용해야 하는 명령어는 무엇인가?

[구성도]

         Spine/상위망
           /      \
          /        \
      Leaf101====Leaf102
            vPC Peer-Link
                |
           Web Cluster

vpc domain 110
  peer-switch
  role priority 8192
  system-priority 8192
  peer-keepalive destination 10.0.0.1 source 10.0.0.2
  delay restore 120          ← vPC 멤버포트 복구 딜레이 (120초)
  peer-gateway
  auto-recovery
  ip arp synchronize

여기서 핵심 포인트는 아래와 같다.

delay restore 120 → vPC 멤버 포트(물리 포트) 복구만 지연
↑
SVI (interface-vlan) 복구는 별도 제어 없음!

따라서 타임라인을 살펴보면,

Leaf102 Rejoin 시작
     │
     ▼
Peer-link 복구
     │
     ▼
vPC 멤버포트 복구 (delay restore 120초 적용)
     │
     ▼
SVI (interface-vlan) 즉시 복구 시도
     │
     ▼
⚠️  VXLAN NVE/BGP EVPN 수렴 전에 SVI가 올라오면서
    트래픽 블랙홀/단속 발생 → 약 5분간 intermittent(간헐적 손실)

즉, 멤버포트가 복구되기 전 svi가 살아나면서 vpc가 안정화 되는 시간(120초) 전에 일부 트래픽이 Leaf102로 유입되면서 ARP/MAC/route/overlay 상태가 완전치 않은 상태이기 때문에 패킷이 간헐적 손실이 일어나게된다.

따라서, delay resotre interface-vlan 120 이상으로 컨피그를 설정하여 SVI가 delay restore가 vpc member port delay restore보다 더 늦은 시간에 복구되게 하여 단말 트래픽 안정을 보정하면 된다.

13. ARP Suppression

VXLAN/EVPN Fabirc에서 ARP 응답을 최적화하고, 불필요한 ARP 브로드캐스트를 줄이려할 때 사용
즉, EVPN Route Tyep2 (MAC/IP Advertisement)가 핵심역할을 하여 Control Plane이 미리 로컬 endpoint를 학습하여 직접 응답해주게 하는 기능. 한줄요약 = ARP를 BGP로 미리 배우는 기능.
Type 2 Route 구성 요소
[MAC Address] + [IP Address] + [VTEP IP] + [VNI]
ARP suppression은 NVE 인터페이스 VNI 멤버 설정에 적용
interface nve1
memver bni 10100
suppress-arp
즉, VTEP이 proxy 방식으로 응답이 가능한 구조이다.
Configrue suppress-arp within the VXLAN VNI configuration under the VTEP NVE interface.

14. Nexus Package

install add : 패키지 설치 준비 완료
install activate : 패키지 작동
install commit : 리붓후에도 변경 사항 유지

15. SAN Port channel 예시

          MDS / Nexus SAN Switch
                 │
        -----------------------
        |                     |

san-port-channel10   san-port-channel10
        |                     |
       FC1                   FC2
        \                    /
         \                  /
           Server / Storage

int san-port-channel 10

channel mode active

switchport trunk mode on

switchport trunk allowed vlan 10-20

16. shared LOM vs Dedicated

shared LOM : 기존 NIC 사용으로 케이블 연결을 줄이는 장점, inband
dedicated : 전용 oob 포트로 완전 분리된 네트웤, CIMC 전용 관리 포트

17. Cisco MDS Device Alias

SAN 환경에서 WWN 대신 alias 이름을 사용하능 기능
예시)
device-alias name DB-SERVER pwwn 50:00:00:00:00:01
device-alias name BACKUP-SERVER pwwn 50:00:00:00:00:02
1️⃣ database 수정
2️⃣ pending state
3️⃣ commit 실행 (confirm commit, prompt 제공 및 pending changes 표시 )
4️⃣ fabric에 배포

18. Pinning vs Port-channel (반대개념)

항목	Pinning 알고리즘	Port-channel Hash
Load balancing	서버 단위	Flow 단위
Hash	없음	있음
변경	uplink down 시	flow hash
사용 환경	UCS FEX	일반 스위치

** Unified ports

- 동일 FI에서 서로 다른 속도의 Uplink가 지원됨.

19. UCS Rack Server fan policy

chassis scope 아래에서 다룸
lower-power : 냉각보다 절전 우선
acoustic : 소음 감소 우선
balanced : 일반적인 권장값
high-power : 높은 냉각 필요시
- server with PCIe cards 키워드가 확인되면 해당 항목이 정답
- PCIe 카드는 일반적으로 발열이 더 커지고, 공기 흐름 요구사항이 올라가 보수적인 냉각 정책을 사용해야함.

20. chap 인증 방식

Challenge-response 방식
MD5 hashing 사용
identifier 증가

21. Storm-control

Storm-control thtreshold 초과 시 스위치는 traffic을 suppress 한다. (막는다)
drop X / Suppress O
interface Eth1/1
storm-control broadcast level 0

22. NX-OS Session Manager

설정을 바로 running-config에 적용하지 않고 staging area에 먼저 저장한 뒤 검증 후 적용하는 기능
1️⃣ configuration session 생성
2️⃣ 설정 변경
3️⃣ verify
4️⃣ commit

23. SAN Port Security

MDS SAN에서 Port Security는 FCID / WWN 기반 장칙 등록 DB를 관리
Port Security DB
        │
        ├── activate
        ├── learn mode (auto / manual)
        ├── distribute
        └── commit
initiate VSAN 4 port security database despite conflicts
--> port-security activate vsan 4 force
New devices must be statically added
--> no port-security auto-learn

24. IN Fibre Channel swich mode(FI) VSAN 생성

FI에서 FC Switch Mode일 때 VSAN 생성 구조
scope fc-storage
create vsan <name> <vsan-id> <fcoe-id>
포트 연결 구조
create member-port fcoe <fabric> <slot> <port>
마지막 입력
commit-buffer

25. Nexus 업그레이드 시 서비스 중단 최소화 기술

Redundancy / Gateway Failover / Multi-switch topology
vPC, HSRP

26. vPC 문제

Refer to the exhibit. During a vPC peer switch reload, there is packet loss between the server and the router.
Which action must be taken to prevent this behavior during future events?

Router
         /      \
OSPF      OSPF
       /          \

Nexus-1 = Nexus-2
vPC peer-link
|
Server

문제의 핵심.
1. vPC peer가 다시 올라옴
2. L3 routed uplink / OSPF adjacency가 아직 완전히 안정화되지 않음
3. 서버 쪽 vPC forwarding은 먼저 일부 복구됨
4. 일부 트래픽이 아직 미수렴 상태인 peer로 향함
5. packet loss 발생
따라서, vPC Member port 복구를 더 늦춰서 상단 라우팅이 살아나고 서버 트래픽을 받게 만들게 하면 된다.

27. Fibre Channel interface 설정 문제

The interface must be disabled when the bit errors threshold is exceeded.
-> no switchport ignore bit-errors
Buffer-to-buffer credits must be set to the maximum value.
-> switchport fcrxbbcredit xxx(보기의 최대값 숫자로)
-> FC buffer credit : credit은 한번에 보낼 수 있는 frame의 수를 뜻한다. 즉 high throughput
The interface must have full bandwidth allocated for its port group.
-> switchport rate-mode dedicated
-> shared : 포트 그룹 대역폭 공유 / dedicated : 해당 포트에 전체 대역폭 할당

28. ACI에서 같은 EPG 내부 통신(intra-EPG) 제어

조건 : 여러 EP들이 Web_EPG라는 같은 EPG에 있을 때, 오직 ICMP만 허용해야한다.
핵심 : 같은 EPG 내부 통신도 정책으로 통제하기
1. intra EPG isolation = enforced 적용
2. intra EPG contract 적용

오답

Add Taboo contract

- 특정 트래픽 차단 목적

29. MDS Multi-Role RBAC 동작 방식

** If a user is assigned to multiple roles, the user can perform any operation permitted by ANY role."

= Cisco MDS NX-OS Security Configuration Guide

즉, 단일 롤 내에서는 rule number가 높을수록 우선 적용되지만, 멀티롤 환경에서는 "어느 한 롤이라도 permit이면 허용" 하는 Union 방식. 따라서, tacacs+도 conifg가 허용 가능하며, hardware는 컨피그가 아니기 때문에 탈락.

30. Cisco imc(cimc) software

IMC는 서버의 Out-of-Band 관리 엔진으로, 서버가 꺼져있어도 동작하는 독립 펌웨어. Dell의 iDRAC, HP의 iLO에 해당하는 Cisco 고유 기술.
UCS Manager에서는 CIMC를 포함한 모든 서버 펌웨어를 하나의 Host Firmware Policy로 번들 관리

31. ACI Bare Metal Endpoint Deployment

An engineer is implementing multiple EPGs on a single access port in a large Cisco ACI fabric without using VMM integration. The relevant access policies and tenant policies have been created. A single AAEP is used to configure the access ports in the fabric. Which two additional steps must be taken to complete the configuration? (Choose two.)

A. The EPGs must be linked to the correct physical domain.
B. A contract must be defined between the EPGs.
C. The EPGs must be configured as static ports.
D. The corresponding bridge domains must be configured in legacy mode.
E. The EPGs must link directly to the corresponding AAEP.

핵심

without VMM integration = Bare Metal 방식
multple EPGs on a single access port = Static Path Binding 필요

** ACI <-> Bare Metal 서버 연결 시 기본 구조 (항상 운영망에서 서버 붙일 때의 구조랑 같음)

Domain (Physical Domain)
↓
AAEP
↓
Interface Policy Group
↓
Leaf Interface

↓

EPG

↓

LEAF Eth 1/1

↓

static path eth1/10 encap vlan 10

32. Auto-RP, Anycast RP

Mapping Agent라는 단어는 Auto-RP에서만 사용하는 용어

# Auto-RP 설정 (Nexus 9000)

# RP Candidate 스위치
feature pim
ip pim send-rp-announce loopback0 scope 16 group-list 224.0.0.0/4

# Mapping Agent 스위치
ip pim send-rp-discovery loopback0 scope 16

# 확인 명령어
show ip pim rp
show ip pim rp-hash 239.1.1.1 ← 그룹당 1개 RP 확인

33. UCS Firmware 및 번들 구조

Q. Install Infrastructure Firmware 기능을 사용할 때 업그레이드되는 Cisco UCS 구성 요소 두 가지는 무엇인가?

Infrastructure Firmware = Fabric 쪽 장비
1. FI
2. I/O Module (FEX)
3. UCS Manager
Server Firmware = Blade / Rack 서버 내부 장비
1. BIOS
2. CIMC (board controller)
3. HBA (Storage Adapter)
4. RAID Controller
5. NIC firmware

UCS Firmware 구조

Q. "Cisco UCS의 infra 번들 'A' 소프트웨어 업그레이드는 어떤 컴포넌트에 적용되는가?"

34. Sideband Management

** 예시

scope server 2 ← C-Series 정확한 시작점

/server# scope cimc ← C-Series 관리 컨트롤러

/server/cimc# scope mgmt-conn sideband ← 단일케이블 모드 진입

/server/cimc/mgmt-conn# set mgmt-conn-state enabled ← set 포함 ✅

commit-buffer ← 변경사항 저장

35. UCS <-> Switch 연결 간 트러블 슈팅

"엔지니어가 VLAN 10에서 실행 중인 VM(UCS B-Series 블레이드)의 연결 문제를 트러블슈팅하고 있다. Cisco UCS Manager는 Port Channel 10을 통해 Nexus 9000에 연결되어 있다. 현재 VM은 UCS 도메인 외부 어디에서도 도달 불가 상태다. VM을 외부에서 접근 가능하게 하려면 어떤 조치를 취해야 하는가?"

** 보기

[VM - VLAN 10]
     │
     │ Veth4173
     ▼
[UCS FI-A]  ← MAC Table에 0050.56b8.1014 존재 ✅
     │
     │ Port Channel (FI → Nexus)  ← ❓ 여기가 문제
     ▼
[Nexus9K-A]  ← VM MAC 없음 ❌
[Nexus9K-B]  ← VM MAC 없음 ❌
     │
     ▼
[External Network]  ← VM 도달 불가

** 문제해결

VM (VLAN 10)
    │
    ▼
[vNIC → Veth4173 on FI-A]
    │ ✅ VM MAC 학습됨
    ▼
[FI Uplink → Po10 to Nexus]
    │ ❌ VLAN 10 not allowed on trunk
    │    → 여기서 프레임 드롭
    ▼
[Nexus9K-A/B]
    │ ← VM MAC 미학습 (0050.56b8.1014 없음)
    ▼
[External] → 도달 불가

──────────────────────────────────────
해결:
FI Uplink (Port Channel) 트렁크에
VLAN 10 추가 허용

UCS Manager:
  LAN → VLANs → VLAN 10
  → Uplink Port / Port Channel에 Allow

Nexus 측:
  interface port-channel 10
    switchport trunk allowed vlan add 10

36. SNMP 핵심 개념

** 핵심 포인트

= "임계값 초과 시 즉각 알림"

= 이벤트 발생 시 장비가 먼저 통보
= Trap 또는 Inform

37. RBAC 권한 구조

An engineer must allow in-band Cisco IMC profile configuration and deploy local storage policies for disks and LUNs. Which set of permissions must be used for a user profile to permit these actions?

핵심 : 두 작업 모두 Server compute domain 권한 필요

Cisco IMC profile configuration

= compute domain

Local storage policies for disks / LUN

= compute service profile

정답

ext-lan-config
ls-compute

** RBAC 다른 문제

An administrator in UCS Manager must enable its users to reboot and decommission the servers and perform backup jobs. Which set of user privileges permits these activities?

서버 reboot
서버 decommission
backup job 수행

이 작업을 수행하려면 어떤 user privilege set이 필요한가?

ls-network
ext-lan-security

ls-server-oper
ls-security

ls-storage
ls-config

operations
maintenance

★ UCS RBAC 권한 구조

operations	runtime operations (reboot, power cycle 등)
maintenance	backup, restore, decommission
ls-network	network service profile
ls-storage	storage policy
ls-config	configuration
ls-server-oper	service profile operations

38. SAN,FC vs NAS

SAN (Storage Area Network)
- iSCSI : 블록 레벨, IP 기반
- FC
: 블록 레벨, 광케이블 기반
: 전용 FC 패브릭 구성
: 고성능, 저지연, 고확장성
: 구현 복잡, 비용 높음
NAS (Network Attached Storage)
- NFS
: 파일 레벨, Linux 표준, locally mapped, distributed file system
: direct file access , allows clients to access files stored on a remote server.
: 기존 IP/이더넷 사용
: 구현 간단, 비용 낮음
: 성능/지연시간이 FC보다 나쁘다.
: Client를 위한것이지 storage 장치를 위한이라는 표현은 부정확하다.

- CIFS : 파일 레벨, Windows 표준

39. Storm Control

이슈가 될 수 있는 BUM trafiic을 %로 트래픽 제한하는 기술
보통 멀티캐스트는 서비스 때문에 제한하지 않음
포트 bandwidth 대비 퍼센트로 트래픽을 제한, 정상 트래픽은 허용하고 폭주만 차단
예시)
1Gbps port
storm-control broadcast level 5
--> broadcast traffic > 5% (50Mbps) -> Drop
level 값
0 : 완전 차단
40 : 40% 초과분만 제한
loop prevention, STP replacement가 아닌 traffic rate limiter 인것이 핵심.

40. NDFC 설정 문제

** NDFC 기본 흐름

1. Fabric 생성
2. 스위치/라우터 추가
3. 정책/설정 생성
4. Save
5. Deploy

보기

장비: Core Router
Config Status: Out-Of-Sync
--> 정책/설정은 NDFC 쪽에 존재하지만 아직 장비에 실제 반영(deploy/push) 되지 않았거나, 장비와 컨트롤러 설정 상태가 일치하지 않았다는 뜻. 즉, 설정을 만들었지만 아직 장비에 배포하지 않았다는 상황.
Oper Status: Minor
Discovery Status: Ok

41. Dual Supervisor Switch Upgrade시 현상

Which event takes place when upgrading a Cisco Nexus MDS 9000 Series Switch with dual supervisor modules?

A. The new code is loaded on the standby supervisor then on the active.
B. The new code is loaded on the active supervisor then on the secondary.
C. The old code is removed from the backup supervisor then from the primary.
D. The old code is removed from the primary supervisor module then from the standby.

ISSU vs Non-ISSU 관점에서 문제를 분석해야함.

ISSU 관점에서 보면 A가 맞음. 정답은 A

42. ECN

explicit congestion notifications
N9k에서 네트워크 혼잡 시 IP 헤더의 특정 비트를 설정함으로써 호스트가 혼잡을 감지하고 전송 속도를 줄여 지연 시간과 재전송 횟수를 감소시킬 수 있게 하는 기술.
비트 마킹을 하고나서 송신자에게 혼잡 통보 패킷을 최종적으로 전송하는것.

43. ACI Python 통신 구조

44. UCS Firmware Auto Sync Server Policy

No Action
User Acknowledge

45. Intersight IMM 프로파일 계층 구조

46. UCSM vs IMM

관리 방식특징

UCSM Managed Mode	Fabric Interconnect에 관리 소프트웨어 포함
Intersight Managed Mode	관리 소프트웨어가 클라우드(Intersight)에 존재

주요 차이

- management plane 위치

Q. IMM이 UCSM과 구별되는 특징의 핵심.

It decouples the management software from the infrastructure.

47. MDS Director Switch epld upgrade

Dual Supervior가 장착된 Switch에서 epld upgrade시 ISSU 방식으로 하나씩 업그레이드 진행하여 무중단 가능.

Nondisruptive upgrades without traffic interruptions can be performed.

근데 이전에 install 문제보면 뭔가 좀... 기준이 애매한듯?

48. Cisco NX-OS streaming Telemetry

49. OSPF Stub Area 유형 문제

구성

R1 --EIGRP-- N9K1 -- OSPF Area 0 -- N9K2 -- OSPF Area 1 -- N9K3
10.1.1.15/32

조건

N9K3에서 10.1.1.15/32를 광고받지 않아야함.

즉 external LSA(Type 5)를 받지 않아야함.

풀이

N9K2가 ABR, N9K3가 inter router로서 stub area 조건을 만족해야함.

N9K2(config-router)# area 1 stub no-summary
N9K3(config-router)# area 1 stub

해당 조건은, area 1을 totally stub area로 동작시켜 Type3, 5 전부 차단하여 default route만 받게 됨.
따라서, 정상적인 ABR 중심 설계이지만 문제 요구보다 더 많이 차단하게됨. 즉, inter-area summary 까지 막아버림.
LAB으로 설정해본 결과 N9K2에서 내부 라우터가 외부로 나갈 수 있게 Type-3로 변환된 default route를 summary LSA(Type-3)로 주입한 database외에는 전부 안보이는걸 확인함.
2.2.2.2는 N9K2의 looback0으로 N9K3과 동일 area로 ospf 연결이 되어있으니 당연히 intra로 route에서 확인.
하지만 결국 제대로 된 정답은 정상적인 설계로 하는걸 판단하여 해당 답을 정답으로 택해야함.

N9K3(config-router)# area 1 stub no-summary
N9K2(config-router)# area 1 stub

해당 조건은, N9K2에서 단순 stub으로 external LSA는 area 1로 들어가지 않고 no-summary는 N9K3 입장에서 사실상 의미가없음. 그래서 stub area 자체는 성립함. 즉, Totally stub이 아닌 Regular stub으로 동작. summary LSA를 ABR에서 차단하지는 않는다고 봐야함. 따라서 정상적인 설계는 아니므로, 정답X

50. E Port vs N Port / E Port vs N Port

E Port : 동일 Fabric 스위치 간 ISL만 가능
ex) xE Port = 자동 협상, 스위치간
N Port : 단일 디바이스 연결
ex) Nx Port = 자동 협상, 스위치<->host간

다른 문제로는 E Port vs F Port 문제도 있다.

MDS <-> UCS Domain (FI) 와 연결 시 MDS 스위치에서는 switchport mode F를 선언해줘야한다.

51. RDMA

Which technology provides the capability to transfer data into the memory of another device without involving the CPU?

-> Remote Direct Memory Access , NIC이 직접 memory를 읽고 쓰기 때문에 cPU 사용이 필요가 없다.

52. Intersight 배포 옵션

An engineer must deploy a UCS-X platform to a customer that requires an air gap between their management systems and the internet. Which Intersight deployment option must be used to accomplish this goal?

중요 데이터를 외부 네트워크와 물리적으로 완전 분리해야함 (air gap)
이러한 배포에는 Private Appliance (완전 On-premise, 인터넷 Zero)가 사용됨.

53. Static Password의 문제점

탈취 시 즉시 악용 가능
재사용 위험
해결책 --> MFA (Multifactor Authentication)

54. SCP

파일 전송 시 암호화와 인증이 사용됨.
파일 크기 제한 없음
HTTPS도 동일하지만, CLI 전송 표준은 아님

55. 같은 External EPG 내부의 서로 다른 서브넷끼리의 통신 차단 방법

Q. A Cisco ACI fabric is created with a single L30ut with R1 and R2. The requirement is to prevent all received subnets from R1 and R2 from communicating. Which configuration accomplishes this goal?

A. Intra Ext-EPG isolation as Enforced.

--> 같은 External EPG 안의 subnet 간 통신 차단.

56. ACI Preferred Group

같은 VRF 안에 있는 EPG들 간 통신을 Contract 없이도 허용하는 기능.
VRF에서 설정하는 부분과, EPG에서 설정하는 부분이 있다. (사진 참고)

57. UCS QoS 구조

Priority	Drop Policy	사용 목적
Platinum	No-Drop ★	FcoE / Storage traffic
Gold	Drop	중요 애플리케이션
Silver	Drop	일반 트래픽
Bronze	Drop	저우선순위
Best Effort	Drop	기본 트래픽
FC	No-Drop	Native FC 전용

UCS에서는 Jumbo Frame을 9216 bytes로 설정(표준)
Fragmentation 방지를 위해서는 모든 구간 MTU 일치 필요

58. EPLD 문제

Q. What is a feature of EPLD upgrades on a Cisco Nexus 7000 Series Switch?

A. They are independent of the Cisco NX-OS ISSU process

ISSU 명령어

install all ~

EPLD 명령어

upgrade epld bootflash: ~

epld는 운영망에서도 경험해봣지만 보통 OS 업글 이후에 독립적으로 업그레이드하는 프로세스이다.

59. NFS version

60. ACI Microsegmentation

uSeg EPG (Microsegmenation)은 동일한 IP 서브넷 혹은 동일한 Base EPG 내에 있는 ep를 세분화된 속성 기반으로 더 작은 그룹으로 분리하는 기능

Q. Several production and development database servers exist in the same EPG and IP subnet. The IT security policy is to prevent connections between production and development. Which attribute must be used to assign the servers to different microsegments?

A. 동일 EPG, Subnet인 상황에서는 MAC이 유일한 L2 식별자

Microsegmentation에서 사용하는 Attribute

IP	Endpoint IP 기반
VM attribute	VM name / OS / tag
MAC	Endpoint MAC
Port	interface 기반

이런 화면을 만들어줫는데 실제 구성이 있는지는 운영망에서 확인해볼 예정.

61. SAN connectivity 구성

Storage connection policy
- storage array WWPN
- zonning type
- target 연결 방식
Fiber Channel adapter policy
- queue depth
- interrupt handling
- error recovery
- adapter tuning
- timeouts

62. Slow Drain Analysis

** Slow drain이란?

FC SAN 환경에서 특정 디바이스(HBA, Storage Port 등)가 프레임을 정상 속도로 소비하지 못할 때 발생하는 현상.
Buffer Credit이 고갈되면서 Upstream 전체로 Back-pressure 가 전파되어 latency가 급격히 증가
DCNM 접속 --> Monitor --> SAN --> Slow Drain Analysis

63. SingleConnect vs Direct Connect

Q. An engineer must migrate a Cisco UCS C-Series server from Cisco SingleConnect to direct connect integration mode. The Cisco UCS Manager Rack Server Discovery Policy and Rack Management Connection Policy are set to Immediate and 2. Which action accomplishes this task?

A. Disconnect the cables from the FEX Connect the cables to server ports on the fabric interconnect. Reacknowledge the server.

64. AAA 프로토콜 / 포트

RADIUS	1812 / 1813 , UDP, Password만 암호화
LDAP	389, TCP, TLS 필요
LDAPS	636
TACACS+	49, TCP, 전체 패킷 암호화

65. vHBA 템플릿 요구사항

1. logical addresses used by the vHBA

--> WWPN Pool : vHBA 포트의 고유 논리 주소 할당

2. path through which SAN traffic flows

--> Fabric ID : 트래픽이 Fabric A or B 어디로 흐를지 경로 지정

** UCS SAN 주소 체계 (WWNN vs WWPN)

** Fabric ID의 역할 (SAN 트래픽 경로 결정)

66. UCS Backup Type 및 전송 프로토콜 분석

Backup Type내용

Logical Configuration	정책 / 논리 설정(Policies, vNIC/vHBA), 서버관련 정책만 가져오고 인프라는 제외
System Configuration	시스템 설정(Hardware 관련), 보안/관리 설정 포함(AAA, RBAC), Human-readable username ,roles, service profiles
All Configuration	System + Logical
Full State	전체 시스템 snapshot, Snapshot of entire system, Enter the setup mode (Setup/restore) ? restore ★ System + Logical + Runtime state, 가장 많은 백업

프로토콜TCP/UDP암호화

프로토콜	TCP/UDP	암호화
FTP	TCP	❌ (insecure)
SCP	TCP	✔
SFTP	TCP	✔
TFTP	UDP	❌

67. vXLAN 관련 문제

Q. An engineer must implement a VXLAN-based data center interconnect. The long-distance transport provided by a service provider is IP-based, supports a maximum MTU of 1554 bytes, and does not support outbound traffic replication. Which action must be taken to build the data center interconnect?

A. Implement BGP EVPN ingress replication.
B. Announce host reachability over BGP.
(-> BGP EVPN Type-2/5 Route로 Unicast host 경로 광고 기능. BUM 트래픽 복제와 무관)
C. Create an IP access list and associate it with VNI to replicate traffic to remote VTEPs.
(-> Static Ingress Replication 구성 방식, 확장성 없으며 BGP EVPN 동적 학습 불가, DCI 환경에 부적합)
D. Configure a route map to associate the IPs of the remote VTEPs.
(-> VXLAN 표준 구성에 존재하지 않는 방식, Route Map은 BGP 경로 정책 조작 도구)

** SP가 제공하는 장거리 전송망은 조건들이 있기 때문에 DC 상호 연결 구축에 어떤 조치를 취해야하는지가 Point.

핵심 조건

MTU 1554 bytes
- Inner Ethernet Frame : 1514
- VXLAN Header : 8
- Outer UDP Header : 8
- Outer IP Header : 20
= 총 필요 MTU : 1550 bytes
Outbound Replication not supported
- 이 말은 즉, SP 네트워크에서 멀티캐스트 미지원
- BUM을 SP가 복제해서 뿌려줄 수 없음.
= 즉, VTEP 자신이 직접 복제해야함.
= Ingress Replication 필요
VXLAN EVPN Fabric에서 BUM 트래픽을 처리하는 2가지 방법
1. Ingress Replication
- underlay에서 multicast 없이 unicast에서 패킷을 복제하여 배포를 간소화
- 설정이 간편하고 underlay에 PIM이 필요없음, 소규모 Fabric에 적합하지만 확장성이 떨어짐.
2. Multicast
- Spine을 통해 트래픽을 분산
- 대규모 데이터센터에 적합, underlay에 PIM 필요
따라서, 이 문제에서는 Ingress Replication이 필요하기 때문에 로컬 VTEP이 모든 원격 VTEP에 Unicast를 복제하고, BGP EVPN으로 원격 VTEP 주소를 자동 학습해야함.

** 설정 예시

# BGP EVPN 기반 Ingress Replication 설정

feautre nv overlay

feature bgp

# VXLAN VNI에 Ingress Replication 프로토콜 지정

vlan 10

vn-segment 10000

int vlan nve1

no shut

source-interface loopback 0

member vni 10000

ingress-replication protocol bgp (BGP EVPN으로 원격 VTEP 자동 학습)

# BGP EVPN 설정

router bgp 65000

address-family l2vpn evpn

advertise-pip

neighbor x.x.x.x (원격 VTEP / Route Reflector)

address-family l2vpn evpn

send-community extended

68. ACI + VMware DVS 통합 Topology

69. ERSPAN 문제

vSphere Promiscuous Mode

무차별 모드
vSwitch 또는 포트 그룹 보안 정책으로 허용으로 설정 시 해당 network adaptor가 해당 vSwitch를 통과하는 모든 패킷을 읽을 수 있다.
기본적으로 deny되어있음
스니퍼 또는 보안 장치와 같이 트래픽을 모니터링하는 VM에 필요

Promiscuous Mode가 비활성화 되있을 시 ?

Mode Off
- 내 MAC 아닌 패킷은 Drop
- 즉, 일반 SPAN 수신 불가
Mode On
- MAC 상관없이 전부 수신
- 일반 SPAN 수신 가능하지만, 보안상 디폴트로 비활성화됨.
SPAN은 원본 패킷 그대로 복사하여 목적지로 던지는데 vSwitch 입장에서는 내거 mac이 아니면 drop
따라서, ERSAPN 필요 -> IP 목적지로 GRE 캡슐화로 전송, 새 IP로 직접 라우팅

configure terminal

monitor session 1 type erspan-source

# ↑ ERSPAN 소스 세션 선언 (GRE 캡슐화하여 원격 전송)

erspan-id 1

# ERSPAN 세션 식별자 (목적지와 매칭 필요)

destination ip 10.1.1.1

# 복사 트래픽을 전송할 목적지 IP (로드밸런서)

source interface ethernet 1/9 both

# ↑ # both = TX + RX 양방향 ✅

vrf default

# 목적지 IP 도달을 위한 VRF 지정

70. default-information originate / always

** default-information originate

1. default 출처는 외부 라우터로부터 어떠한 프로토콜이든 redib으로 전파된 경로만 asbr에 올라오면 type-5 lsa 생성

2. 또는 ASBR 자기 자신에 default route를 설정하면 해당 경로가 type5로 전파된다.

** default-information originate always

1. 앞에 조건들이 모두 없어도, 자동으로 type-5를 default 경로로 생성한다.

2. 따라서, default routing을 외부 라우터의 redib으로 받고 있는 경우에는 해당 라우터와 neigbor가 끊기게 되도 LSA가 계속 광고되어 Blackhole 발생 위험이 생기므로 안정성 부분에서 originate보다 떨어진다.

** default route는 외부 라우터에서 eigrp든, bgp든, static이든 redib으로 선언해줘야 ASBR에서 ospf type 5로 전파되게된다. 물론 당연히 ASBR에서 default-information originate 옵션이 선언되어야한다.

71. OSPF fast reconvergence 문제

Q. A network architect must redesign a data center network based on OSPFv2. The network must perform fast reconvergence between directly connected switches. Which two actions must be taken to meet the requirements? (Choose two.)

A. Implement a virtual link between the switches.
B. Configure all links on AREA 0.
C. Use OSPF point-to-point links only.
D. Set low OSPF hello and DEAD timers.
E. Enable BFD for failure detection.

A. C,E

해당 문제는 링크 장애를 얼마나 빨리 감지하고, 얼마나 빨리 SPF 재계산을 하냐의 문제
C가 정답인 이유는 broadcast type은 adjacency를 형성하는 과정에서 dr election을 할시 전체 토폴로지 re-adjacency와 SPF 재계산을 하기 때문에 P-to-P type처럼 Hello 교환 후 즉시 adjacency를 하고 SPF 재계산을 하는 방식이 장애 시 더 빠른 convergence를 제공한다.
Bidirectional Forwarding Detection은 두 장비 사이의 양방향 경로가 살아있는지 빠르게 확인하는 프로토콜이다. 특정 라우팅 프로토콜 자체가 아닌, OSPF/BGP/IS-IS 같은 상위 프로토콜에게 링크 단절을 빨리 알려주는 감시자 역할을 하는것. 따라서, OSPF에서는 물리 링크가 문제가 생긴걸 감지해야 ospf hello, dead time을 계산해서 이웃 생존을 확인하기 때문에 해당 문제에서는 E가 D보다 정답에 가깝다.
참고로, BFD가 설정되있고, BFD를 통해 Link down 통보를 받게되면 ospf는 neighbor down 처리를 한다. 이 때 hello/dead time은 BFD의 백업 역할을 하는거라 생각하면된다.

72. vPC Peer Switch 기능

구성&조건

- vPC Pair + Non-vPC Switch

- 스위치들 간 STP Bridge ID를 동일하게 해야한다.

솔루션

- vPC Pair 스위치간 BPDU를 확인해보면 Bridge ID가 당연히 다르기 때문에, 하나의 logical switch로 보이게 하려면 peer switch 명령어를 vpc 설정에 넣어줘야한다. 활성화 시 vPC Pair 스위치는 같은 Bridge ID로 BPDU를 보내게된다. 해당 Bridge ID는 virtual mac(=system mac)으로 생성된다.

73. Nexus Dashbord SSO 기능

switch between site controllers of Cisco ACI
여러 ACI 사이트의 APIC을 별도 로그인 없이 자유롭게 전환하는 기능

74. UCS Manager 백업 프로토콜 비교

Protocol	전송	암호화	인증방식
TFTP	UDP	없음	없음
FTP	TCP	없음	Username/Password
SFTP	TCP	SSH	Username/Password로 가능 사전 인증 불필요
SCP	TCP	SSH	SSH Host Key 기반 사전 인증 필요

75. NX-OS guest shell / VRF management / Linux ping 사용 방식

Q. An engineer installed a new Nexus switch with the mgm0 interface in vrf management. Connectivity to the rest of the network needs to be tested from the guest shell of the NX-OS. Which command tests connectivity from the guest shell of the NX-OS?

NX-OS guest shell에서 네트워크 연결 테스트에 사용할 명령어 적용 문제
guest shell = linux // mgmt0
--> Lunux shell에서 NX-OS vrf를 사용해서 ping
따라서, ping vrf management와 같은 NX-OS CLI 문법 사용 불가
chvrf
: bash에서 특정 vrf namespace로 command 실행
: ex) chvrf management ping 8.8.8.8

76. IP SLA

Answer.

event manager applet ROUTER-DOWN-SLA

event track 5 state down

action 1.0 event-default

action 2.0 cli command source routerdown.py

해당 EEM 동작 구조는 IP SLA 10 실패시 Trak 5를 트리거하여 action을 발동하게 하는것

77. MDS Switch epld upgrade

위 명령어 입력 시 각 모듈별 epld 업그레이드가 순차적으로 진행되고 power recycle도 순차적으로 진행된다.
Lincard -> Fan -> supervisor 순으로 처리됨

78. NFS vs iSCSI

둘 다 IP 네트워크를 사용하여 비용 우위는 비교할 수 없다.
NFS simplifies storage management by allwing file-based data sharding.

79. VXLAN 학습 방식 (DP/CP, BGP EVPN , BUM)

Q. Refer to the exhibit. Which command must be used to configure a VXLAN nve tunnel interface such that MAC and IP address information are learned in the control plane?

A. host-reachability protocol static
B. host-reachability protocol bgp
C. ingress-replication protocol bgp
D. ingress-replication protocol static

[조건]

interface nve1

no sh

source-interface loopback1

host-rachability protocol bgp --> CP 모드 활성화

member vni 500

mcast-group 239.0.0.140 --> BUM은 Multicast 처리

member vni 511

mcast-group 239.0.0.141

member vni 599 associate-vrf --> L3 VNI (VRF 연결)

Data Plane (DP)
- BUM Flooding으로 MAC 학습
- Muicast or Ingress Replication
Controle Plane (CP)
- BGP EVPN으로 MAC/IP 사전 배포
- 즉, MAC/IP를 BGP로 광고하며, flooding이 없고, ARP suppression이 가능하다.
- ★ host-reachability protocol bgp (ACI / EVPN VXLAN 환경에서는 무조건 기본값)

★ host-reachability protocol bgp 선언시 동작 원리

BGP EVPN Type-2 Route(MAC/IP Advertisement)
--> Flooding없이 MAC+IP를 사전 모든 VTEP에 배포
--> Spine이 RR 역할을 하여 연결된 모든 Leaf에 BGP Update를 하여 Host MAC/IP 정보를 사전에 등록
show nvc peers, show bgp l2vpn evpn

★ BGP EVPN이 있어도 BUM을 완전히 없앨 수는 없는 이유

첫 통신, 즉, BGP로 광고되기 "전" 상태 이므로 ARP Request와 같은 BUM 유형은 보통 Multicast Group으로 Flooding.
GARP, 미등록 Multicast group traffic
BGP EVPN은 BUM을 "최소화"하는 것이지 "제거"가 아님
단, Ingress Replication 방식 사용 시 Multicast 인프라 없이도 운용 가능

80. ECN과 PFC

ECN

explicit congestion notification
congestion 발생 전에 marking을 통해 sender가 속도를 줄임
Early Warning

PFC

Priority Flow Control
congestion이 심해지면 Sender에게 pause frame을 전송하여 패킷 포워딩을 멈추게 함.
일반 Pause처럼 링크 전체를 멈추는게 아닌, 특정 priority(trafiic)만 멈춤
Last Resort

81. VXLAN MP-BGP EVPN 구성 필수 Feature

[조건]

Underlay: OSPF
VTEP: VLAN 인터페이스(SVI) 기반의 Distributed Default Gateway 운용

feature nv overlay	VXLAN NVE Tunnel, VTEP
feature vn-segement-vlan-based	VLAN -> VNI 매핑, vlan10 <-> vn-sement 10100
feature bgp	BGP EVPN Control Plane, type2/3/5 Route 광고/수신
nv overlay-evpn	EVPN Overlay 활성화
feature ospf	Underlay Routing
feature interface-vlan	SVI 기반 분산 게이트웨이, Anycast IP 설정

82. NX-API Sandbox

83. ACI Debounce time 설정

Q. In a Cisco ACI fabric, the status of interface Eth1/1 changes frequently. Which set of actions configures the fabric to disable Eth1/1 when the port flaps more than 10 times within 1 minute?

A. From fabric policies, set link debounce interval to 60.
B. From access policies, set link debounce interval to 1.
C. From access policies, set the time allowed for max flaps to 60.
D. From fabric policies, set the time allowed for max flaps to 60.

해당 문제는 겉보기에는 flap 횟수 제어같지만, 본질은 ACI에서 flab을 어떻게 억제하는지에 대한 문제
ACI는 일반 IOS처럼 "n번 flab 시 shutdown"이 아닌 debounce 기반으로 flap을 억제
링크 상태 변화 발생
→ 일정 시간(debounce interval) 동안 상태를 무시
→ 안정되면 반영
위 문제 Eth1/1은 Spine<->Leaf 간의 Fabric port이다. Fabric port는 내부 패브릭 링크이므로 Disable시 Fabric 전체 영향이 가기 때문에, Error-Disable 보호 장치는 없고, DOM이나 Debounce Timer로 fault 모니터링 설계가 되어있다.

** 예시

[Leaf1 Eth1/1] ---- [상대 장비]

문제 상황:
UP ↓ UP ↓ UP ↓ UP (짧은 시간에 반복)

Debounce = 60초 설정 시 (ACI link level policy - Debounce interval - default 100ms)

→ 60초 동안 상태 변화를 확정하지 않음
→ flap이 지속되면 결국 disable 상태로 처리됨

84. ACI SPAN Type

3가지 포트 역할

1) Source → 트래픽을 가져오는 곳
2) Monitor port → 복사된 트래픽이 나가는 포트 (분석기 연결)
3) Uplink port → Fabric 내부 전달 경로

85. Link Group Preference

UCS에서는 LACP 설정을 Ling Group Preference를 통해 설정한다.

항목일반 스위치UCS

Aggregation	LACP 직접 설정	Link Group Preference
Control	CLI 중심	UCSM 정책 기반
구성 방식	Interface 단위	System-wide policy

86. UCS C-Server Configure

조건

1. VLAN ID 110

2. Priority value of 20

scope cimc

scope network

set vlan-enabled yes

set vlan-id 110

set vlan-priority 20

commit

87. POAP 동작 및 필요 구성 요소

1. DHCP server

2. TFTP Server for Python Script

3. SCP File Repository for nexus image and config

4. 만약 이미지,Config 다운에 UDP만 허용한다라는 문구가 나오면, FTP + 67번 조합이 정답

88. UCS Power redundancy policy

1. Grid

- 서로 다른 두 전원 소스를 기준으로 전력 분산

- two power sources being used to power the server

- ex) PSU 4개

PSU1, PSU2 → Power Source A
PSU3, PSU4 → Power Source B

scope org

scope psu-policy

set redundancy grid

commit-buffer

2. N+1 Redundancy

- 총 필요 전력을 공급하는 데 필요한 PSU 수(N)에 예비 PSU를 두는 방식

89. ISSU 중 LACP peer impact

LACP Timer

1. default : 30초/90초

2. Fast : 1초/3초 (운영 환경에서 권장하지않음, ISSU보다 빠르게 LACPDU를 미수신하게됨)

90. NX-OS Rollback 옵션

1. atomic

- 오류 발생 시 전체 롤백 중단 + 원복

2. stop-at-first-failure

- 첫 번째 오류 발생 즉시 중단

- 이미 적용된 설정은 유지됨 (부분 적용 상태로 중단)

3. verbose

- 상세 출력 모드 (오류 처리 방식 변경 없음)

4. best-effort

- 오류 스킵 + 완료 보장

91. NFS Version 및 RPC

RPC

NFS는 Server- Client 간 모든 요청/응답을 RPC로 처리
TCP/UDP 111 (Portmapper/rpcbind)

NFS

1. NFSv2 : UDP 기반 RPC

2. NFSv3 : UDP/TCP 모두 지원

3. NFSv4 : TCP 전용, Stateful RPC

4. NFSv4.1 : pNFS 확장, 병렬 RPC

92. NSSA , LSA Type 7

** 구성

[R1: 10.1.1.15/32]
        |

      [N9K1]        ← OSPF Area 0 (Backbone)

        |

      [N9K2]        ← ABR (Area 0 ↔ Area 1)

        |
      [N9K3]        ← OSPF Area 1 내부 라우터

R1으로부터 외부 경로를 받은 N9k1이 ASBR
area 0 에서 해당 경로는 Type 5 LSA로 플러딩됨
따라서, 외부 경로를 N9K3에 배포하려면 Area1을 NSSA로 설정해야하기 때문에 N9K2,3을 Area1로 설정
N9K2는 Area0에서 받은 Type5 LSA를 Type7 LSA로 변환하여 Area1로 플러딩
Type 7 LSA는 NSSA Area에서만 존재하기 때문에 N9K1에서는 Type5로 확인

93. NX-OS key-string 암호화 타입

key-string에서는 0, 7, 6 총 3가지가 존재. 1,5는 없음
1,5는 MD5/SHA 인증 알고리즘
type 7은 running-config에 평문 노출을 방지하며, 모든 Cisco 플랫폼에 호환된다.

94. RMON Alarm 구조

rmon alarm <id> <OID> <interval> {absolute | delta} rising-threshold <value> <event>

95. FCSP 인증방식

Q. A company provides applications and database hosting services to multiple customers using isolated infrastructure-as-a-service services within the same datacenter environment. The environment is based on Cisco MDS 9000 Series Switches. The requirement is to manage the environment by using Fibre Channel Security Protocol and to enable user authentication when the centralized AAA server is unreachable. All communication between the MDS switches and the remote servers must be encrypted. Which command set must be used to meet these requirements?

aaa group server tacacs+ TacacsServer1
aaa authentication dhchap default group TacacsServer1

96. vPC BUM 트래픽 처리 원칙

☆ vPC Split-Horizon Rule

vPC Member port로 수신한 BUM 트래픽은 필요의 경우 Peer-link로 전송이 가능하다.
Peer link로 수신한 BUM 트래픽은 vPC Member port로 재전송 X (Loop 방지)
두 peer 스위치 모두 vPC Member port에서 BUM 트래픽 수신 시, 각자 uplink로만 전달.
Peer Link 및 Port-channel로 전달 X

따라서, Access-2 host에서 브로드캐스트 패킷이 발생했다면, vPC Member port에서 브로드캐스트가 발생하였기 때문에 필요 시 peer-link로 Agg-2에서 Agg-1로도 패킷을 전달하지만, vPC member port로는 절대 BUM 트래픽을 내보내지 않는다.

97. Rolling Upgrade

Rolling EPLD는 한번에 하나씩, 즉 모듈 단위로 순차 업그레이드를 진행한다는 뜻.
EPLD는 disruptive한 특성으로 재시작이 필요.
따라서, Rolling 으로 진행하면 일부 영향을 받는 것으로 영향을 최소화
Only the modules that are being upgraded are disrupted

98. NETCONF

[조건]

① IETF RFC 6241 공식 표준
② SSH(포트 830) 기반 암호화 전송
③ XML 포맷 (human-readable)

99. FC vs iSCSI 식별자

FC = WWPN
iSCSI = IQN

100. PIM 문제

Q. A customer deploys a media server to distribute streaming videos to network clients. The requirement is to allow the video feed to reach only requesting clients. The shared trees must not propagate the video feed if no clients from that tree request it. To reduce configuration touchpoints, the solution must support the automatic discovery and announcement of RP-set information. Each router in the network is responsible for selecting the RP. Which configuration set meets these requirements?

비디오 피드는 요청한 클라이언트에게만 전달되어야 한다.
- 요청하지 않은 곳에도 뿌리는 Dense mode는 탈락
공유 트리(shared tree)는 해당 트리에서 수신자가 요청하지 않으면 비디오를 전파하면 안 된다.
- 수신자 쪽에 join이 있어야 shared tree가 형성되는 Sparse mode
설정 포인트를 줄이기 위해 RP-set 정보의 자동 발견 및 광고가 지원되어야 한다.
★ RP 정보를 자동으로 배포하는 방식 2가지
- Auto-RP : Cisco 방식 / Rp announce , mapping agent 사용
- BSR : 표준 방식 / 각 라우터가 RP-set(RP 후보들의 광고)을 받아 스스로 RP 선택
네트워크 내 각 라우터는 RP를 스스로 선택해야 한다.

101. Peer Link Down + Keepalive Up

Peer Link Down + Keepalive Up 시나리오

Peer-Link Down 시 secondary 장비, 즉 N9k-2는 Split-brain 방지를 위해 스스로를 suspend 시킴
즉, N9k-2에 연결된 포트들이 전부 down된다.
따라서, high availability를 위해서는 한쪽 스위치에만 단독 연결된 포트, 즉 ASA_2와 연결된 포트를 Orphan-Port Suspend 설정으로 해당 링크를 자동으로 Suspend시켜서 ASA_2 연결을 강제 차단하게하여 모든 트래픽이 N9K-1로 경유하게 한다.

102. ACI Preferred Group

103. UCS Manager Firmaware Upgrade

** UCS 구조

[UCS Manager (Control Plane)]
↓
[Fabric Interconnect]
↓
[Servers (Data Plane)]

** 영향도

UCSM 프로세스 재시작
→ 관리 세션 끊김
→ 로그인 세션 종료

104. UCS-X HA

UCS-X는 Dual fabric interconnects를 통해 HA 향상을 이룬다.
** Restful 을 통해 UCS-X를 manage한다.

105. InfiniBand

** 기본 구조

[Node] ── [Switch] ── [Node]
↘ [SM] ↙

Subnet Manager라는 핵심 컨트롤러가 존재
- 각 노드에 LID(주소) 할당
- End-to-End Path 계산
- 라우팅 테이블 설정
- Fabric 초기화 및 관리

** 동작 흐름

[Fabric Start]
      ↓
Subnet Manager 활성화
      ↓
LID 할당
      ↓
Topology 수집
      ↓
경로 계산
      ↓
Switch forwarding table 배포

106. OSPF Priority

OSPF Multi-Access Network에서 DR 역할믈 묻는 문장

Controls the LSA Floods
- LSA 교환 중심
advertises the network to the remaining nodes
- Type 2 Network LSA 생성
이말은 즉, 해당 문제 조건의 스위치를 DR로 만들라는 뜻.
추가 조건에 모든 스위치가 default OSPF Priority라고 하였고, (=1) 따라서 Priorty가 높게(예를들어 255) 셋팅된 보기를 고르면 된다.

107. ACI RR 문제

Q. Refer to the exhibit. An engineer configured an L3Out to exchange routes with the rest of the network, but the EIGRP routes are present only on the border leaf. As a result, the servers from Leaf1 fail to communicate with the external networks. The configuration of the L3Out was confirmed. Which action in the initial fabric setup must be taken to accomplish these goals?

A. Define the border leaf as BGP Route Reflector.
B. Change the ISIS metric for redistributed routes to 32.
C. Define spines as BGP Route Reflector.
D. Configure the redistribution between EIGRP and MP-BGP.

** 해설

외부경로는 border leaf까지 들어오지만 다른 leaf들로 포워딩 되지 않는다. 해당 문구가 핵심
ACI fabric 내부 control plane으로 외부 경로를 반영해서 다른 leaf에 전달 필요
내부 경로 배포 중심 역할 = MP-BGP RR
문제 조건에 초기 Fabric setup 단계에서 해야 할 작업을 묻고있는 것 역시 핵심
D는 이미 ACI의 내부 메커니즘에 아키텍처적으로 정해져있고, 이를 배포시키는게 RR이다.

108. NP 포트

FC에서 NP 포트는 N-Port Proxy로 스위치가 자기 자신을 Fabric처럼 동작하지 않고 상위 SAN 스위치에 종속된 구조이다.

NPV

- 스위치 동작 모드

NPIV

- 하나의 N-Port에서 여러 WWN을 사용하는 기능

109. bash 명령어

Question: An engineer upgrades the bash on the Cisco Nexus 9000 Series Switch. guestshell:~$ sudo [MISSING_COMMAND] /bootflash/bash-4.2_x86_64.rpm.rpm Preparing... ########################################## [100%] 1:bash ########################################## [100%] update-alternatives: Linking //bin/sh to /bin/bash

Which command must be used to complete the task?

A. update -vh
B. rpm -qa
C. upgrade –U
D. rpm -Uhv

** Guestshell은 NXOS Linux 컨테이너 환경으로 RPM 기반 패키지 사용

rpm -Uhv

-U : 업그레이드
-h : hash marks (진행률 #표시)
-v : Verbose (상세출력)

rpm -ivh : 신규 설치(i = install)

rpm -qa : 설치된 패키지 목록 조회

110. Checkpoint / NXOS Rollback 옵션

Question: Refer to the exhibit. Which command must be used to restore configuration changes made by disabling the PIM feature and skipping any errors?

A. rollback running-config checkpoint new-checkpoint verbose
B. rollback running-config checkpoint system-fm-pim best-effort
C. rollback running-config checkpoint system-fm-pim atomic
D. rollback running-config checkpoint new-checkpoint stop-at-first-failure

1. Pim-checkpoint

- admin이 수동 생성한 체크포인트

- Created by admin

2. system-fm-pim

- PIM Feature Manager가 자동 생성

- Created by Feature Manager

- PIM feature disable 시 자동 저장됨

** NXOS Rollback 옵션

best-effort
오류 발생 시 해당 명령 건너뛰고 진행
skipping any erros
atomic
오류 발생 시 전체 롤백 중단 후 원복
All-or-Nothing
stop-at-first-failure
첫번째 오류에서 즉시 중단

111. Peer-gateway / Peer-switch

112. NXOS Maintenance Mode

업그레이드 전 스위치를 안전하게 "격리"하는 기능
모든 인터페이스 shut
라우팅 프로토콜 Graceful 종료
업그레이드 후 Normal Mode 복귀

113. CPU C-State

On demand, 즉시 최대 성능을 원하면 C0/C1

114. Telemetry Process

1. Data Collection

2. Data Encoding

** Telemetry Agent는 총칭이지 component가 아니다.

115. CFS Distribution

Question: A network engineer must enable port security on all Cisco MDS Series Switches in the fabric. The requirement is to avoid the extensive manual configuration of the switch ports. Which action must be taken to meet these requirements?

A. Enable the auto-learning port security feature.
B. Activate CFS distribution and the auto-learning port security feature on a per-VSAN basis.
C. Enable the auto-learning port security feature on a per-VSAN basis.
D. Activate CFS distribution and the auto-learning port security feature.

** Per-VSAN basis

MDS Port Security는 구조적으로 Per-VSAN 단위로 동작하는 것이 기본 설계

따라서 정답은 B가 기술적으로 정확한 표현

116. Streaming telemetry 장점

periodic push-based subscription messages
A over B 는 A가 B에 대비하여~ 라는 뜻

로봇과 디지털 오아시스 #6

Weeding — Sat, 13 Apr 2024 17:25:20 +0900

6강

로봇과 디지털 오아시스

- 인간의 한계를 생각하는 로봇

1부 로봇의 소재(Material)를 찾아서

2부 로봇언어의 담을 넘어

3부 외골격 로봇

4부 서비스 로봇

1부

Semiconductors (반도체) --> 필수적인 에너지 체인의 요소

전력, 태양열과 같은 연료를 고품질로 사용해야하는 화두가 제기됨.

뇌 신경처럼 반도체 칩 하나에 천억개 이상의 스위치를 연결할 수 있는~ 기술의 발전

1. 최초의 트랜지스터 ->1956년 발명 (저마늄)

2. 실리콘밸리의 탄생 --> 트랜지스터 발명가 쇼클리 --> 저마늄 대신 실리콘 사용 연구 시작

3. 실리콘의 유일한 단점 --> 저마늄에 비해 더 높은 전압이 필요함.

그 외는 온도 안정성 , 역 누설 전류, 역 내압(PIV), 전방 전류, 가용성 및 비용 부분들의 장점이 많음.

4. 1959년 로버트 노이스는 실리콘을 사용한 집적회로(IC) 발명.

--> 이후 사람들은 샌프란시스코만 남부 지역을 실리콘 밸리로 지칭.

5. 1968년 노이스는 고든 무어와 함께 인텔 설립

--> 무어의 법칙 : 반도체 집적회로의 성능이 24개월마다 2배로 증가한다.

** 실리콘 - 낮은 출력과 낮은 스위칭 주파수에서 사용됨. 소비자 전자 제품에서 흔히 볼 수 있다.

** 실리콘 카바이드 - SIC영역에서 사용, 높은 출력과 낮은 스위칭 주파수에서 사용됨. 고전력 어플리케이션에 적합

** 갈륨 나이트라이드 - 높은 스위칭 주파수와 다양한 출력에서 사용됨. 충전기, 서버, 어댑터 등의 현대 전자 장치에 적합.

2부

로봇언어의 담을 넘어

- 로봇 활용 기술

로봇의 명령어는 ?

--> 주로 영어

** 2020년 인터넷 등록 정보의 60%가 영어 / 한국어 비중 0.6%

** 2023년 한국어 비중이 1.53%로 바뀜. (k팝등과 같은 전세계 문화에 영향을 미친 부분이 상승 요인)

로봇은 인터넷에 올라와있는 언어를 통해 학습.

따라서 온라인 언어의 인기와 사용빈도는 굉장히 중요함.

언어의 인기는 원어민 수, 경제 성장, IT 환경 및 각 문화의 인기와 같은 요인에 기인할 수 있음.

* 인공 신경망 기반 번역 서비스 딥엘 출시 (2017년)

CNN (Convolutional Neural Network)

- 데이터의 순서가 아닌 특징 자체를 추출, 이를 기반으로 패턴 파악.

- 영상에서 이미지 처리에 사용하는 기술을 텍스트 번역에 응용.

--> 문맥을 고려한 자연스러운 번역 제공.

cf. RNN -구글등에서 사용

3부

외골격 로봇

-영화 속 로봇을 응용하여

Army TIGER

아미타이거 4.0(Army Tiger 4.0)이란 국방개혁 2.0의 일환으로 육군을 뜻하는 ARMY와 Transformative Innovation of Ground forces Enhanced by the 4th industrial Revolution technology의 앞 철자를 딴 TIGER의 합성어다.

아미타이거는 대한민국 국군이 추진하는 미래 프로젝트로, AI 기술과 4차 산업혁명의 신기술을 적용해 국군을 기동화/네트워크화 하는 것이 핵심이다. 또한 아미타이거는 첨단 과학기술이 적용된 차세대 육군 전투체계로 고등화 된 4세대 이상 전투체계로 무장한 미래 지상군을 의미한다. 인공지능과 드론봇[1] 및 워리어 플랫폼이 적용된 보병 등으로 이루어져 있으며 전투원의 생존성과 효율성의 극대화를 추구하는 미래 전투체계다. 일각에서는 대한민국 제3공화국 시절인 1971년 실시된 '한국군 현대화 5개년 계획'이후 가장 도전적인 전력증강 사업이라고 평한다.

3단계 완전자율 -> 외골격 로봇 사용

전투로봇

--> 일부 자율적인 결정을 내릴 수 있는 인공지능 기술을 탑재.

ex) 지상/해상/자율 전투 로봇 , 무인 항공기(UAVs)

--------------> 무인 전쟁 시대 도립 , 기존에 사용하던 배, 탱크 등의 단어가 사라지고 로봇, 드론 등의 단어가 등장.

로봇이라는 단어를 생각해봐야한다 ---> '무인화'

4부

서비스 로봇

- 배달, 서빙, 추천

지능형 로봇에 대한 인류의 오랜 열망

**탈로스

- 고대 그리스 신화에 등장하는 청동인간

- 헤파이스토스(대장장이)가 제작

- 크레타 섬 수호

- 주변 감시 및 물체 정보 분석까지 가능

서비스 무인화의 진화

- 인력 대체 --> 인지 기술 발전

- 서비스 무인화 시대... 고객 서비스 경험 차별화 중요 ★

ex) 실버타운은 앞으로 어떻게 될까...?

고령화가 진행되며 실버타운의 앞날은 창창할 듯 보였지만, 실상 주변의 사람들이 계속해서 죽어나가는 현실로 오히려 실버타운의 인기는 떨어지고, 앞으로는 사람이 아닌 로봇이 고령화 인구들을 서비스하는 시대가 올 것.

실제로 미국의 몇몇 주는 실버타운 프로젝트를 중단.

** 아마존 스마트 쇼핑카트 (Dash Cart)

--> 오프라인 매장에서 고객이 카트에 상품을 담으면 자동으로 계산

--> '아마존 프레시' 에서 시범 서비스 실시

--> '홀푸드'에서 사용 중.

** 애질리티 로보틱스배송 로봇

--> Digit

--> 이족보행 자율주행 배송 로봇

--> 배송품 선별, 분류, 하차, 이동까지 스스로 수행 (AI 자율판단 기술 기반)

--> 최대 18kg 물건까지 배송, 다양한 지형 이동

** 완전 무인화 로봇식당

--> 치엔시 로봇식당

--> 주문, 조리, 서빙까지 완전 무인 식음 서비스 구축.

** 온디맨드 추천 서비스

--> 사이즈 측정 간소화를 통한 온디맨드 추천 서비스로 매장 무인화 실현

--> ' 나이키 핏' 앱에서 발을 촬영하면 길이, 너비 모양 등 을 예측해서 최적의 사이즈를 제공함.

--> 'YOOX' 앱에서 각자 체형을 감안한 아바타 제작, 개별 스타일링 추천 서비스 제공.

(체형, 구매 이력, 스타일 등을 조합하여 추천해준다.)

## 결국 서비스 무인화를 성공하려면?

1. 차별화된 로봇 서비스 및 고객 경험 제공

2. 인력을 활용해 고객 서비스 제고

---> 서비스 차별화를 고민해봐야함.

RHCSA 루트 패스워드 초기화

Weeding — Fri, 27 Jan 2023 14:32:20 +0900

1. 첫 부팅 화면에서는 e를 눌러 편집모드로 들어간다

2. 이러한 화면이 뜨면 rd.break를 빨간색 테두리 부분에 기입해준다.

(rhqb quiet 뒤에 아무 텍스트도 없으면 바로 뒤에 기입해준다)

그 뒤 ctrl+x 로 변경사항을 저장하여 재부팅한다.

3. /sysroot 를 read-write로 다시 mount 한다.

그리고 /sysroot가 파일 시스템 트리의 루트로 취급되도록 전환한다.

그 뒤 , 제시된 새 root 암호를 설정한다.

다음으로는 레이블이 없는 모든 파일(/etc/shadow 포함)이 부팅 중 다시 레이블이 지정되도록 한다.

그 뒤, exit 명령으로 choot 된 환경과 initramfs 디버그 쉘을 종료한다. (자동으로 다시 부팅이 된다.)

swtich_root:/# mount -o remount,rw /sysroot

swtich_root:/# chroot /sysroot

sh-4.4# passwd root

sh-4.4# touch /.autorelabel

sh-4.4# exit

swtich_root:/# exit

4. 부팅 모드를 변경할 수 있다. 아래의 명령어를 외워두자.

현재 부팅 모드 확인

systemctl get-default

GUI 모드

systemctl set-default graphical.target

CLI 모드

systemctl set-default multi-user.target

당장 재부팅

sudo shutdown -r now

당장 종료

shutdown -h now

OSPF 실습 LAB 정리 #1

Weeding — Fri, 13 Jan 2023 08:30:17 +0900

LAB #1

- OSPF에서 사용하는 Packet의 종류에 대해 확인 합니다.

- Ethernet 구간과, Serial에서 OSPF Packet이 사용하는 IP에 대해 확인 합니다.

- OSPF Neighbor가 성립되는 단계에 대해 Wireshark 또는 Debug로 확인 합니다

- debug ip ospf packet

- debug ip ospf adj

- clear ip ospf process

문제1.

구성도와 같이 R1, R2 사이에 IP를 설정하고, OSPF Area0을 설정하시오.

문제2.

R1, R2 간을 Wireshark로 capture한 후, R2에서 "clear ip ospf process(ospf 재시작)"로 neighbor를 down/up 한 후 OSPF 관련 Packet을 확인하세요.

- Ethernet 구간에서 OSPF관련 packet이 어떠한 IP를 사용하는지 확인하세요.

- Serial 구간에서 OSPF관련 packet이 어떠한 IP를 사용하는지 확인하세요.

224.0.0.5 멀티캐스트 주소를 사용한다.

문제3.

OSPF에서 사용하는 Packet의 종류 5가지를 확인 하고, 각각이 어떤 IP를 사용하는지 확인하세요.

Hello Packet
= 224.0.0.5 // 재시작시에는 10.1.21.1 / 10.1.21.2 가 SA/DA로 나오게 된다. (LS Update)
DBD (DB Description) Packet
= OSPF의 네트워크 정보인 LSA들의 요약된 정보를 알려줄 때 사용
= 10.1.21.1 / 10.1.21.2
LSR (LS Request) Packet
= Neighbor에게서 수신한 DBD에 자신이 모르는 네트워크가 있을 때 상세 요청 할 때 사용.
= 10.1.21.1
LSU (LS Update) Packet
= LSR을 받거나 자신이 알고있는 네트워크 상태가 변했을 때 해당 네트워크 정보를 전달할 때 사용.
= 224.0.0.5
LSAck (LS Acknowledge) Packet
= OSPF 패킷을 정상적으로 수신하였을 때 사용.
= 224.0.0.5

clear ip ospf process 로 ospf 재시작을 하면 뜨는 패킷들. 주소가 다시 업데이트 되는것을 확인할 수 있다.

문제4.

Debug ip ospf packet으로 OSPF 관련 Packet을 확인하세요.

LAB #2

학습 목표

- OSPF에서 Neighbor가 맺어지는 단계를 Wireshark로 확인 합니다.

- OSPF에서 Neighbor가 맺어지는 단계를 Debug로 확인 합니다.

- OSPF에서 Neighbor가 맺어지는 인자에 대해서 확인 하고 문제가 발생되는 경로 발생되는 log message를 확인 합니다.

- debug ip ospf adj

- show ip ospf neighbor

- show ip ospf interface e0/0

- (config-if)#mtu 1480

- (config-if)#ip ospf hello-interval 10

- (config-router)#router-id 2.2.2.2

◆ LAB OSPF OSPF Neighbor Discovery

문제1.

구성도와 같이. R1,R2 사이에 IP를 설정하고, OSPF AREA0를 설정하세요.

문제2.

R1,R2사이에, Neighbor가 맺어지는 단계를 확인하세요. (아래의 단계를 Wireshark를 통해 확인 하세요.)

(Down, Init, Two-way, Exstart, Exchange, Loading, Full)

우선, 한쪽 라우터에 router ospf 1 만 입력해놔도 hello packet이 와이어샤크에 보이게된다

연결이 되고나면 즉시 DBD패킷, LSR, LSU, LSA 패킷이 와이어샤크에 보이게 된다.

문제3.

R2의 S1/0의 Hello interval 10sec 8sec로 변경해 보세요. 변경 후 R4와의 Neighbor 관계를 확인하세요.

(show ip ospf neighbor) neighbor가 맺어지지 않는 이유를 확인 하고, R1의 S1/0의 Hello interval을 8sec 변경 후에 Neighbor가 다시 맺어지는 것을 확인하세요

명령어 = R2(config-if)#ip ospf hello-interval 8

헬로우 인터벌 조정 후 조정 된것 확인하고, 그 다음 약 20초 후? neighbor가 맺어지지 않는것을 확인함.

R1에서 hello interval을 맞춰주니 약2~3초만에 neighbor가 맺어지는 것 확인!

negibor가 맺어지며 바로 다시 DBD, LSR, LSU, LSAck Packet들이 교환되는걸 확인할 수 있다.

문제4.

R2의 S1/0의 AREA를 0에서 1으로 변경해 보세요. 변경 후, R1와의 Neighbor 관계를 확인하세요.

아래 그림처럼 Received invalid packet : mismatched area ID from backbone area from 10.1.12.1 e0/0이 뜨면서

라우팅 테이블에 연결이 사라지게 된다. 그리고 Neighbor도 끊어지게 된다.

하지만, 와이어샤크에서는 hello packet은 여전히 올라오고 있다. OSPF 설정이 사라진건 아니기 떄문.

다시 변경을 하니 OSPF가 바로 맺어지면서 DBD, LSR, LSU, LSAck Packet들이 교환되는걸 확인할 수 있다.

문제5.

R2의 S1/0의 MTU Size를 1500에서 1480으로 변경 해 보세요.

변경 후, R1과의 Neighbor 관계를 확인하세요. (show ip interface s1/0)

R2(config-if)# ip mtu 1480

아래와 같이 R2의 mtu size를 변경하고 꼭 clear ip ospf process 명령어를 통해 ospf 재구동을 해야한다!

(안그러면 남아 있는 데이터베이스 기록 때문에 정상적으로 표시가 나오질 않음)

R2 Mtu size 1480으로 조정 후 ospf 재시작, 그리고 바로 neighbor 상태 확인

R1도 재시작 후 상태 확인

시간이 지나면 아래처럼 neighbor가 Down으로 바뀐다.

하지만, R1, R2의 상태 변화를 지켜보면 Down, Exchange, Exstart 상태들이 지속적으로 바뀐다.

이는 헬로패킷이 전송은 되고 있지만 mtu size가 달라서 주고받고 있지는 않기 때문에 상태변화가 아래와 같은 내용으로 이루어지고 있는 것이다.

** OSPF 네이버간 상태는 항상 모든 상태를 거치면서 차례로 변화하는 것은 아니다.

각 상태에서 발생할 수 있는 상황에 따라 몇 단계를 건너 뛰기도 하고 다시 이전 상태로 돌아갈 수도 있다.

문제6.

R1의 Router ID를 2.2.2.2로 변경 후에, Neighbor의 상태를 확인하세요.

양쪽 다 neighbor가 맺어지지 않고, router-id가 충돌된다는 메시지가 나온다.

하지만 Hello Packet은 와이어샤크에 보이고 있다.

LAB #3

- OSPF에서 사용하는 Metric의 계산법을 확인 합니다.

- OSPF Unequal-Cost Loadbalancing을 적용하는 방법을 확인 합니다.

- OSPF에서 Auto-cost Reference-bandwidth의 사용법을 확인 합니다.

- OSPF경로의 AD값을 변경하는 방법을 확인 합니다.

- show ip ospf interface e0/0

- show ip ospf

- show ip route ospf

- interface e0/0

ip ospf cost 10

- router ospf 1

auto-cost reference-bandwidth 1000

distance 80 2.2.2.2 0.0.0.0 10

문제 조건에서 e0/1 -> e0/0 , e0/0 -> s1/0 으로 수정

문제1.

구성도와 같이, R3을 연결하고, Loopback을 광고하세요.

문제2, 3

R1에서 2.2.2.0/24로 가는 경로가, E0/0으로 선택된 이유는 무엇입니까?

R1에서 E0/0, S1/0의 bandwidth를 확인 하세요, OSPF 관점에서 Fa0/0, S1/0의 cost가 얼마 인지 확인하세요.

E0/0은 OSPF Cost가 10 (10^8/10Mbps)

S1/0은 OSPF Cost가 64 (10^8/1.54Mbps)

그렇기에 R1은 E 0/0으로 가는 경로를 선택하게 된다.

확인은 sh ip route ospf | in 2.2.2.로 확인하면 된다.

** ethernet

= 하나의 인터넷 회선에 다수의 시스템이 연결되어 통신이 가능.

= 보통 LAN 이라하며 가장 많이 사용하는 이더넷 표준

** Serial

= 하나 혹은 두 개의 전송 라인을 사용하여 데이터를 송수신하는 통신 방법

= P to P 를생각하면됨. 충돌 메커니즘을 줄일수는 있지만 단순함.

** bandwidth

1. serial = 1544 Kbit

2. ethrnet = 10000 Kbit

3. fastethernet = 100000 Kbit

우선 인터넷 전송 속도를 측정하는 단위로는 'bps'가 있다.

bps는 데이터 용량 단위처럼 1024가 아닌 항상 1000 단위이다.

근거리 값이라고 원거리보다 무조건 빠른게 아니다.

실제 bandwidth를 확인해보면 LAN / WAN 선의 대역폭 값이 1544로 실제 근거리가 빠른 것을 알 수 있다.

산출한 대역폭 값을 이용하여 Cost 값을 구하는 공식은 아래와 같다.

OSPF 메트릭을 cost라 부르며, 출발지로부터 목적지까지의 각 인터페이스에 기준 대역폭을 실제 대역폭으로 나눈 값의 합계이다. 시스코 IOS의 OSPF 기준 대역폭은 10⁸ (10^8)이다. 각 인터페이스들의 대역폭은 kbit(10^3) 단위이기 때문에 예를 들어 fastethernet 0/0은 100,000,000

패스트 이더넷(100,000,000bps)의 코스트는 10⁸/100,000,000 이므로 1입니다.

루프백 인터페이스(8,000,000,000 bps)의 코스트는 10⁸/8,000,000,000 (=0.0125) 이므로

계산시 소수점 이하는 버리므로 1입니다.

인터페이스 별로 Bandwidth 값과 cost 값을 계산한 표, 이를 통해 Cost 값을 보면 어떠한 케이블로 연결되어 있는지 유추가 가능하다.

문제4.

R1에서 2.2.2.0/24로 가는 경로의 Metric이 얼마인지 계산해 보세요.

R1 ---- E0/0 ---- Loopback0

(cost 10) (cost 1) = cost 11

OSPF Metric 정리

기준 Bandwidth = 10^8
Metric 값 = 기준 Metric / 회선Bandwidth
회선 Bandwidth가 100M 이상은 Metric이 동일하게 나오므로, 기준 값을 변경해서 사용
- Router(config-router)# auto-cost reference-bandwidth [ 1 - 4294967 Mbit ]
Interface Cost변경 : 다른 벤더의 장비 연결 시 주로 사용 (Metric 값의 계산 방법이 다를 경우)
- Router(config-if)# ip ospf cost [ 1 - 65535

문제5.

R1에서 2.2.2.0/24로 가는 경로가, Fa0/0, S1/0으로 Loadbalancing 되도록 설정하세요. (cost값을 변경하세요.)

OSPF는 Variance나 offset-list를 사용할 수 없기 때문에 interface의 cost를 변경하여, cost가 상이한 경로에 대해 loadbalancing 할 수 있다.

** offset-list란?

- 라우팅 테이블에 등록된 특정 네트워크의 Metric 값을 조정하여 최적 경로를 변경하는 기능.

- offset-listㅐ는 Metric의 증가만 가능하다. (기존 값을 감소 시킬 수 없다.)

R1의 e0/0 , s1/0 의 cost를 64로 변경해주고 나서 라우팅 테이블 확인

Cost값이 같음에 따라 경로가 2개씩 올라와 있는걸 확인할 수 있다.

int e 0/0의 cost 값을 10으로 바꿔주고 나서 경로 확인을 해보면 cost가 더 적은 e0/0 경로만 올라온걸 확인가능.

또한 와이어샤크에서 cost 변경시 LSU와 LSAck 가 올라온걸 확인할 수 있다!

문제6.

R1에서 OSPF Bandwidth를 이용한 COST의 계산이, 10^8이 아닌 10^9으로 계산되도록 변경하고, COST 값을 다시 확인

하세요.

10^8로 계산하게 되면, 1G의 경우 소수점이 나오게 됩니다.

그렇기 때문에 Giga interface가 있는 경우, 10^9로 계산해야 정확히 계산이 됩니다.

문제7.

R1은 R2가 광고하는 경로, 2.2.2.0/24에 대해서 AD를 110에서 80으로 변경하세요.

R1(config)#access-list 2 permit 2.2.2.0 0.0.0.255
R1(config)#router ospf 1
R1(config-router)#distance 80 0.0.0.0 255.255.255.255 2

문제8.

R2에서 1.1.1.1/32와, 1.1.3.1/32만 AD가 70으로 변경되도록 설정하세요.

기존 R2 라우팅 테이블

R2(config)#access-list 3 permit 1.1.1.0 0.0.2.255
R2(config)#router ospf 1
R2(config-router)#distan
R2(config-router)#distance 70 0.0.0.0 255.255.255.255 ?
  <1-99>       IP Standard access list number
  <1300-1999>  IP Standard expanded access list number
  WORD         Standard access-list name
  <cr>
R2(config-router)#distance 70 0.0.0.0 255.255.255.255 3

AD 70으로 변경 후 R2 라우팅 테이블

LAB #5

학습목표

- OSPF의 Router ID의 선택과정을 확인 합니다.

- OSPF의 Router ID의 Manual 설정법과 적용하는 방법에 대해 확인 합니다.

- Wireshark를 통해 Router ID를 확인 합니다

문제1. 구성도와 같이. R1,R2사이에 IP를 설정하고, OSPF AREA0를 설정 하세요.

문제2.

R2에서 show ip ospf neighbor로 보면, R1가 11.11.11.11로 보이는 이유는 무엇입니까?

* 라우터 ID를 임의로 설정하지 않을 경우 루프백 인터페이스에서 가장 높은 IP주소가 설정.

루프백 인터페이스가 없을 경우 물리적 인터페이스에서 가장 높은 IP주소가 설정 (관리용)

- R1이 OSPF에서 사용하는 Router ID는 무엇이며, 그 IP를 사용하는 이유는 무엇입니까?

* 라우터 ID를 임의로 설정하지 않을 경우 루프백 인터페이스에서 가장 높은 IP주소가 설정.

루프백 인터페이스가 없을 경우 물리적 인터페이스에서 가장 높은 IP주소가 설정 (관리용)

- R1의 Router ID를 1.1.1.1로 변경해 보세요, 확인은 R2에서 show ip ospf neighbor로 확인 하세요.

변경 후 바로 R2에서 neighbor를 확인해보면 FULL/BDR이 남아있다. 몇초 지나면 바로 1.1.1.1만 남게 된다.

문제3.

R1,R2간에 Packet Capture를 통해 Router ID부분을 확인 하세요.

문제4.

R2에서 “show ip ospf database”를 통해 상대방의 Router ID를 확인 하세요.

LAB #7

학습 목표

- Passive interface를 사용하는 환경에 대해 이해 합니다.

- Passive interface의 설정법과, 설정 후 동작 방식에 대해 확인 합니다

문제1.

구성도와 같이 AREA0를 구성하세요. (R1의 E0/1은 OSPF에 포함하지 마세요.)

문제2.

PC에서 R2의 Loopback0 (2.2.2.2/32)으로 통신이 되는 것을 확인하세요.

확인2.1

만약 R1에서 E0/1(1.1.1.0/24)를 OSPF로 광고하지 않는 경우, PC1에서는 PC>2.2.2.2로 통신이 되지 않는 것을 확인하세요.

통신안됨. R1에 있는 E0/0, S1/0 까지만 핑이 가는중.

확인2.2

R1에서 E0/1(1.1.1.0/24)를 OSPF로 광고하는 경우, PC1에서 PC>2.2.2.2로 통신이 되는 것을 확인하세요.

통신되는것 확인.

문제3.

R1,SW간에 Packet Capture를 통해, Hello message를 확인하고 Hello message가 불필요하게 전송되는 것을 차단하세요. (어떠한 경우에 Passive-interface를 사용해야 하는지 확인하세요.)

R1(config)#router ospf 1
R1(config-router)#passive-interface ethernet 0/1

확인3.1

R1,SW1간에 Packet Capture를 해보면, Hello message가 보이지 않는 것을 확인 할 수 있습니다.

- R1의 e0/1로는 neighbor가 없기 떄문에 hello message가 필요 없어집니다.

확인3.2

Passive-interface는 어떠한 경우에 사용되는지 확인하세요.

- Routing으로 광고는 해야하지만, Neighbor는 필요 없는 Network를 광고하는 경우 사용합니다.

(주로 Host들이 들어 있는 Network에 사용됩니다)

- OSPF neighbor가 없는 인터페이스에 대해서 passive-interface 명령어를 사용하면 간단하면서도 강력한 OSPF 보안 대책이 된다. 이 인터페이스로는 OSPF hello packet을 전송하지 않을 뿐만 아니라, 상대가 hello packet을 전송해도 무시한다.

int e 0/1 = Passive-interface 적용 전

int e 0/1 = passive-interface 적용 후

LAB # 8

학습 목표

- OSPF에서 L2 Protocol에 따른 Network Type을 확인 합니다.

- Broadcast 환경에서 OSPF의 동작 방식을 확인 합니다.

- Point-to-Point 환경에서 OSPF의 동작 방식을 확인 합니다.

문제1.

구성도와 같이 구성하고, 각각 Loopback을 광고하세요. OSPF AREA0로 설정하겠습니다.

문제2.

"show ip ospf interface e0/0“ "show ip ospf interface s1/0"의 command를 이용하여, OSPF가 각각의 interface를 어떠한 network type으로 인지하였는지 확인하세요.

= ethernet, e0/0은 broadcast

= serial, s1/0은 point to point

문제3.

ethernet의 경우, DR이 선출되는 것을 확인하고, 어떠한 Router가 DR이 되었는지 확인하세요.

Serial의 경우, DR이 선출되지 않는 것을 확인 하고, DR이 선출되지 않는 이유를 확인하세요.

= Ethernet이나 NBMA 같은 멀티 액세스 환경에서는 DR이 없는 경우 LSA를 교환할 떄 중복이 많이 발생한다.

고로, 중계 역할을 하는 DR을 만들어 사용하고, 당연히 중복이 많이 없는 PTP (serial)에서는 사용하지 않는다.

문제4.

E0/0, S1/0이 Neighbor를 맺는 단계가 서로 상이 한지 Wireshark로 확인하세요.

문제5.

E0/0, S1/0이 Neighbor를 맺는 단계가 서로 상이 한지 debug로 확인하세요.

LAB #9

학습 목표

- OSPF에서 DR, BDR을 선출하는 이유에 대해서 확인 합니다.

- OSPF에서 DR, BDR이 선출되는 조건에 대해서 확인 합니다.

- OSPF에서 DR, BDR이 사용하는 주소에 대해서 확인 합니다. (224.0.0.6, 224.0.0.5)

문제1.

구성도와 같이 OSPF AREA0를 구성하세요.

문제2.

R4가 DR, R2가 BDR이 되도록 설정 하세요.

R4(config)#int e 0/0
R4(config-if)#ip ospf priority 100

R2(config)#int e0/0
R2(config-if)#ip ospf priority 50

문제3.

DR(R4)/BDR(R2)를 확인하고, DROther간에는 Neighbor의 상태가 2-way상태에 머물러 있는 것을 확인 하세요.

** 2WAY 상태

neighbor와 쌍방향 통신이 이루어진 상태.

즉, R1, R3간에는 Hello만 주고받고 있는 상태.

문제4,

R4 Fa0/0을 Wireshark로 capture한 상황에서, R1에 Loopback100을 생성하고, OSPF로 광고 하세요.

IP 라우팅 공부기록 #4 (OSPF)

Weeding — Mon, 9 Jan 2023 16:52:14 +0900

OSPF의 등장 배경

인터넷의 전신인 ARPANET은 1969년에 만들어졌습니다.

그리고, 인터넷에서 사용하기 위해 만들어진 TCP/IP는 1982년 완성됬습니다.

그 이유는, 초기 ARPANET은 TCP/IP 환경이 아닌, NCP(Network Control Program) 기반의 IMP(Interface Message Processor, 1세대 게이트웨이) 장치에 의해 통신하도록 만들어졌기 때문입니다.

어쨋든, 1982년 TCP/IP가 등장하며 Best-Path를 찾는 라우팅 프로토콜이 필요했습니다.

이 때 RIP 라우팅 프로토콜이 표준 라우팅 프로토콜로 사용되었고, 발전을 해오다가 네트워크가 점점 커지면서 SPF 알고리즘을 이용한 Link-State 라우팅 프로콜을 개발하기 시작합니다.

이 때 ISO에서 OSI 7 Layer를 발표하며 Layer 3의 서비스를 CLNS(Connectionless Network Service)라고 정의하고, CLNS에서 사용하는 프로토콜로 CLNP(Connectionless Network Protocol)를 제안합니다. 그리고, CLNP를 기반으로 Best-Path를 계산하는 라우팅 프로콜이 나오는데 이게 IS-IS의 시초입니다.

그 이후, Link-State 라우팅 프로토콜 개발이 빠르게 이루어지며 1989년 OSPF version 1이 개발되었으며, 1991년 오늘날 우리가 사용하는 OSPF의 근간이 되는 OSPF version 2 가 표준화 되었습니다.

그래서, 기본적인 OSPF의 특징을 정리해보면

1. Link-state 라우팅 프로토콜이며,

2. Classless 라우팅 프로토콜(VLSM(variable Length Subnet Mask), CIDR(Classless Inter Domain Routing 지원)

3. Metric은 Cost를 사용합니다. (10^8/Bandwidth(bps))

4. AD값은 110

5. Multicast를 사용해서 정보를 전달합니다

--> 224.0.0.5 (DR이 BDR에게 전송할 때 사용)

--> 224.0.0.6 (BDR이 DR에게 전송할 때 사용)

6. SPF(Shortest Path First) 또는 Dijkstra 알고리즘을 이용해 각 목적지까지 최적 경로를 계산합니다.

★OSPF가 라우팅 테이블을 만들고 유지하는 과정은 대략적으로 아래와 같습니다.★

1. Hello packet을 주고 받아 neighbor 및 adjancent neighbor 관계를 구성한다.

다른 라우팅 프로토콜과 다르게 OSPF는 모든 neighbor간에 라우팅 정보를 교환하지 않습니다.

라우팅 정보를 교환하는 neighbor를 adjancent neighbor 라고 합니다.

2. adjancent neighbor끼리 라우팅 정보를 교환하며, OSPF에서는 라우팅 정보를 LSA(Link State Advertisement)라고 한다. 각 라우터들은 전송받은 LSA를 링크 상태 데이터베이스에 저장한다.

3. LSA 교환이 끝나면 이를 근거로 SPF(Shortest Path First) 또는 다익스트라 알고리즘을 이용해 각 목적지까지 최적 경로를 계산하고 이를 라우팅 테이블에 저장한다.

4. 주기적으로 헬로 패킷을 전송하고, 만약 네트워크 상태가 변화면 위 과정을 반복해 다시 라우팅 테이블을 만든다.

추가로 장점을 정리해보면

OSPF는 네트워크를 Area 단위로 구성해 특정 area에서 발생하는 이슈가 다른 Area에 전송되지 않아 큰 규모에서 안정되게 운영할 수 있습니다. 즉, Area 각각이 OSPF 데이터베이스를 동기화한다는 뜻이죠.

또한, Stub이라는 강력한 축약 기능이 있습니다.

Stub Area에서는 ABR이 내부 라우터에게 외부 경로에 대한 LSA를 차단하고 대신 디폴트 루트를 전달합니다.

결과적으로 라우팅 테이블 크기를 대폭 감소하고, 네트워크 안정성, 성능 향상과 장애처리가 쉬워지는 장점이 있죠.

이런 특징들 덕분에 Convergence time이 전반적으로 빠른편입니다.

Area의 중요성과 장점

Area를 구분함으로써 OSPF 라우팅 프로토콜이 SPF 알고리즘 수행에 따른 CPU 사용량을 낮출 수 있게 되며, 또한 데이터베이스에서 다른 Area의 Link 정보를 삭제함으로써 메모리의 사용량을 줄일 수 있게 됩니다. 그리고, Area간에 데이터베이스를 교환하면서 서로 다른 Area 간에는 데이터베이스를 동기화 할 필요가 없기 때문에 네트워크 Filter나 Summary가 가능해집니다. 그래서 필요한 경우 네트워크 Filter나 Summary 기술을 통해 업데이트 양을 줄일 수 있습니다.

여기서 단점을 정리해보면

네트워크 종류에 따라 동작하는 방식과 설정이 다릅니다. 종류로는 Broadcast Multi Access, ★Point-to-Point, Non Broadcast Multi Access 등이 있습니다. 또한, 정보 계산 및 유지를 위해 CPU, DRAM 같은 자원을 많이 사용하죠.

기본적인 OSPF 설정

OSPF 구성을 위한 물리적 구성

논리적으로 구성한 네트워크

위 그림과 같이 Area를 구분하고 R2,R3,R4의 loopback은 area 0에 포함시키도록 한다.

[외우기]

1. router ospf 1 명령어에서 1은 프로세스 ID이다.

라우터에서 다수의 OSPF 프로세스를 동작시킬 때 상호 구분하기 위한 목적으로 사용되지만, 일반적으로는 하나의 라우터에서 하나의 프로세스만 사용한다. 프로세스 ID는 라우터별로 다른 값을 가져도 상관없다.

2. 라우터 ID는 각 라우터를 구분하는 용도로 사용된다.

그러기 때문에 변동되지 않는 IP 주소 (보통 루프백주소)를 사용한다.

직접 지정하지 않는다면 동작중인 인터페이스 IP 중 높은걸로 자동 선택하기 때문에, 라우터 ID를 직접 지정하는 것이 안전하다

3. OSPF 라우터 ID는 한 번 결정되면 재부팅하거나 clear ip ospf process 명령어로 리셋을 하기 전에는 변경되지 않는다.

4. area가 2개 이상 있을 때는 하나는 반드시 백본 area , area 번호는 0(=0.0.0.0)이어야한다.

O - OSPF

IA - OSPF inter area

inter area는 다른 인터페이스에서 넘어온 ospf를 표시해주는거라 볼 수 있다.

>> O로 보여지는 경로는 LSA TYPE1(내부 area에서 작동)으로 광고를 받은 경로임
>> O IA로 보여지는 경로는 LSA TYPE3(외부 area에서 넘어온)으로 광고를 받은 경로임

루프백 인터페이스에 설정된 네트워크 서브넷 마스크는 32비트로 표시된다.

만약 원래의 서브넷 값으로 광고하게 하고 싶다면 인터페이스 설정 모드에서 아래 명령어를 사용하면 된다.

R1(config)#int loo 0
R1(config-if)#ip ospf network point-to-point

변경 전

point-to-point로 변경 후

OSFP 패킷

패킷 타입	패킷 이름	역할
1	hello	neighbor 구성 및 유지
2	Database Description	database 내용 요약
3	Link State Request	database 상세 내용 요청
4	Link State Update	database 업데이트
5	Link State Ack	ACK 전송

neighbor 라우터에서 일정 기간 헬로 패킷을 수신하지 못하면 해당 neighbor가 다운된것으로 간주해 해제한다.

hello 주기

- 브로드캐스트 네트워크 / 포인트 투 포인트 = 10초

- 논브로드캐스트 네트워크 = 30초

dead 주기

- 기본 값은 헬로 주기의 4배 = 40초 / 120초

DDP

OSPF의 네트워크 정보 = LSA (Link State Advertisement)

OSPF는 자신이 만든 LSA와 neighbor에게서 수신한 LSA 모두를 Link state database에 저장한다.

DDP(Database Description Packet)는 OSPF 라우터의 Link state database에 있는 LSA들을 요약한 정보를 알려주는 패킷이다.

OSPF neighbor 라우터 간에 LSA들을 교환하기 전에 자신의 링크 상태 데이터베이스에 있는 LSA 목록을 상대 라우터에게 알려주기 위해 사용한다. DDP를 DBA 패킷이라고도 한다.

LSA

OSPF의 네트워크 정보
Router는 자신의 Link 상태 정보를 LSA로 만들어 동일한 Area에 있는 모든 장비에게 Flooding하여 LSDB를 만든다.
각 LSA는 20byte 크기의 공통적인 헤더를 가지며, LS타입 / Link 상태 ID / LSA를 광고하는 라우터 ID등이 기록된다.

타입	이름	생성 라우터	내용	확인 명령어	전송범위
1	router	모든 라우터	인터페이스 상태	router	area
2	network	DR	DR과 연결된 라우터 ID	network	area
3	summary	ABR	타 area 네트워크	summary	are
4	summary	ABR	ASBR 라우터 ID	asbr-summary	area
5	AS-external	ASBR	외부 네트워크	external	AS
7	AS-external	NSSA ASBR	NSSA 외부 네트워크	nssa-external	AS

LSA Type 1 (Router LSA)

Type 1 LSA의 이름은 'Router Link' 이다.
모든 Router는 LSA 1을 다른 라우터에게 전달한다.
Router에 직접 연결된 Link의 상태 정보를 포함한다.
(네트워크 번호, 종류, 메트릭 값 등)
Flooding은 자신의 Area로 한정되어 있다.
sh ip ospf database router

LSA Type 2 (Network LSA)

Broadcast or NBMA 네트워크의 DR에서 발생한다.
고로 DR/BDR을 사용하는 네트워크가 없으면 Type 2 LSA가 없다.
DR의 Subnet Mask와 연결된 Router 목록을 나타낸다.
Flooding은 동일 Area로 한정되어 있다.
sh ip ospf database network

** LSA Type 1,2은 동일 Area 안에서 주고받는 Packet이다.

** ABR은 최소 2개 이상의 Area에 소속되어 있는 라우터를 의미한다

** ASBR은 OSPF와 다른 다이나믹 프로토콜이 동시에 동작하는 라우터를 의미한다.

LSA Type 3 (Summary LSA)

ABR이 다른 영역으로 자신이 소유한 네트워크 정보를 광고한다.
Link State ID는 다른 Area에 소속된 네트워크 주소를 의미한다.
Flooding은 해당 Area에 한정되어 있다.
sh ip ospf database summary

LSA Type 4 (Summary LSA)

ABR이 ABRP의 정보를 LSA Type 1번으로 수신하고 다른 영역으로 전달할 때 LSA Type 4번으로 전달한다.
즉, 다른 Area에 소속된 ASBR의 라우터와 그 ASBR까지의 코스트를 현재의 Area에 소속된 라우터들에게 알리기 위하여 사용된다.
ASBR이 영역 안에 존재할 경우에만 만들어 진다.
sh ip ospf database asbr-summary

LSA Type 5 (External LSA)

Type3,4 처럼 ASBR이 만들며, 전체 AS로 Flooding 한다.
OSPF AS의 외부 영역으로 향하는 경로 정보를 표현한다.
즉, OSPF 도메인 외부 네트워크를 OSPF 도메인 내부의 라우터들에게 알리기 위해 사용된다.
링크 상태 ID는 OSPF 도메인 외부 네트워크를 의미한다.
경로 정보를 요약하지 않으면 문제가 될 수 있다.
sh ip ospf database external

대규모 네트워크에서는 OSPF가 네트워크를 나눈다?

네트워크는 보통 스위치, 라우터를 통해 네트워크를 분할해 Broadcast와 Collision Domain을 나누지만, 프로토콜의 한 종류인 OSPF는 Area라는 영역을 통해 네트워크를 계층적으로 나눌 수 있으며 이를 권장한다.

Area가 단일 영역이고 네트워크 규모가 커지면 변화가 많을수록 LSA의 Flooding이 많아지고,

그 때마다 SPF 알고리즘에 의해 재계산이 이루어지면 LSA가 필요이상으로 많아진다.

그러면 LSDB 또한 커지면서 Memory 자원 낭비가 심해진다.

또한, Link의 사용량도 많아지고 반복되 계산으로 CPU 자원 또한 낭비하게 된다.

이것이 Area를 계층적으로 나누는 이유이다!

LSA Packet 확산 범위를 조절하고, 그로 인해 LSDB의 규모를 안정적으로 운영 및 관리할 수 있게 되는 것이다.

** OSPF Router의 종류

1. Internal Router

= 특정 Area에만 속한 Router

2. ABR (Area Border Router)

= 두 개 이상의 Area에 속한 Router

3. ASBR (Automous System Boundary Router)

= 외부 네트워크와 연결되는 Router

OSPF 동작방식

1. hello packet을 이용해 인접한 라우터와 neighbor 관계를 구성한다.

2. 물리적으로 직접 연결되는 라우터 중에서 hello packet을 수신하고, hello packet에 포함된 neighbor list에 자신의 라우터 ID가 포함되어 있으면 그 라우터를 neighbor라고 간주한다. 이 때, 헬로 패킷에 기록된 area ID, 암호, 서브넷길이, hello/dead 주기, stub area 표시가 서로 동일해야한다.

3. multi access, point-to-point 같은 브로드캐스트가 지원되는 곳에선 224.0.0.0를 헬로 패킷의 목적지 주소로 사용!

그러나, 논브로드캐스트 네트워크에서는 상대 IP 주소인 유니캐스트 주소를 사용한다.

DR과 BDR

이더넷, NBMA 등의 멀티 액세스 네트워크에 접속된 모든 OSPF 라우터끼리 N:N으로 LSA를 교환하면 동일 네트워크에서 중복된 LSA 및 ACK가 많이 발생하게 된다. 이를 방지하기 위해 LSA를 하나의 대표 라우터에게만 보내고, 이 라우터가 나머지 라우터에게 중계하면 훨씬 효과적이다.

DR이 없는 경우

DR을 사용하는 경우

R3 e0/2와 R4 e0/2 간을 ptp로 바꿔주고 확인해보니 DR/BDR 선출을 하지 않는다.

DR은 동일한 서브넷으로 연결된 다른 라우터들과 반드시 물리적으로 직접 연결되어야 한다.

OSPF 어드제이션시

OSPF 라우팅 정보(LSA)를 주고 받는 neighbor를 adjacent neighbor라고 합니다.

DR과 다른 라우터들
BDR과 다른 라우터들
Point to Point network로 연결된 두 라우터
Point to Multi-point network로 연결된 라우터들
virtual link로 연결된 두 라우터

OSPF Neighbor 상태

Two-way 상태에서는 DR/BDR 선출을 공정하게 하기 위해 dead 주기와 동일한 시간을 기다린다. (=wait 시간)

브로드캐스트 = 40초

논브로드캐스트 = 120초

따라서, OSPF 네트워크 타입을 PTP나 PTM으로 설정하여 DR/BDR 선출을 하지 않게 해야 기다림없이 바로 교환!

** OSPF 네이버간 상태는 항상 모든 상태를 거치면서 차례로 변화하는 것은 아니다.

각 상태에서 발생할 수 있는 상황에 따라 몇 단계를 건너 뛰기도 하고 다시 이전 상태로 돌아갈 수도 있다.

** OSPF 어드제이션시(adj) 과정 디버깅

Point-to-Point 네트워크에서 neighbor 관계 맺기

1. 링크 계층 프로토콜이 HDLC이므로 P2P 네트워크라는 것을 감지.

2. point-to-point 네트워크라서 DR/BDR을 사용하지 않으므로 two-way 상태에서 기다리지 않고 즉시 EXstart 상태로 들어가서 Master와 Slave를 선출한다.

3. EXchange 상태에서 DBD와 LSU를 주고 받는다.

4. 수신한 LSU로 인해 R3와 동일한 라우팅 정보를 가지게 되어 Full 상태가 된다.

이처럼 DR/BDR을 뽑지 앟는 PTP 네트워크 타입같은것4은 인터페이스가 살아난 다음 거의 바로 라우팅 정보를 수신한다. OSPF는 neighbor 라우터와 라우팅 정보 교환을 끝낸 다음 5초를 더 기다린 후 라우팅 알고리즘 계산을 하고 라우팅 테이블에 기록한다.

OSPF 메트릭

OSPF 메트릭을 cost라 부르며, 출발지로부터 목적지까지의 각 인터페이스에 기준 대역폭을 실제 대역폭으로 나눈 값의 합계이다. 시스코 IOS의 OSPF 기준 대역폭은 10⁸이다.

R1 -> R5 1.1.5.0/24 네트워크에 대한 OSPF 목적지까지는 가는 경로상의 OSPF 코스트 값들을 합친것이다.

패스트 이더넷(100,000,000bps)의 코스트는 10⁸/100,000,000 이므로 1입니다.

루프백 인터페이스(8,000,000,000 bps)의 코스트는 10⁸/8,000,000,000 (=0.0125) 이므로

계산시 소수점 이하는 버리므로 1입니다.

결과적으로 R1에서 1.1.5.0/24까지의 cost 값은 4 (1+1+1+1) 입니다.

OSPF Stub area

다른 IGP들에 비해 OSPF가 가진 장점 중 하나가 stub area를 구성할 수 있다는 것이다.

ABR이 내부 라우터에게 외부 경로에 대한 LSA를 차단하고 대신 default route를 전달해 결과적으로 라우팅 테이블 크기를 대폭 감소하고 안정성이 향상되며 라우팅 성능도 좋아지고 장애처리도 쉬워진다.

1. stub area

2. 완전 스텁 area

3. NSSA (not-so-stubby area)

OSPF 네트워크 축약

임의의 인터페이스에서 축약이 가능한 Rip v2나 EIGRP와 달리 OSPF는 축약을 할 수 있는 위치가 정해져 있다.

자신의 area에 소속된 네트워크를 축약하여 다른 area로 전송시키려면 ABR에서,

외부 도메인에서 재분배된 네트워크를 축약하려면 ASBR에서 축약해야 한다.

내부 네트워크 축약

R2의 기존 라우팅 테이블

R4(config-router)#area 45 range 1.1.50.0 255.255.254.0

R4에서 ABR 축약 후 R2의 라우팅 테이블. 1.1.50.0 축약이 되있는것 확인.

R4의 라우팅 테이이블에 축약된 네트워크의 게이트웨이가 null 0 으로 지정되어 있다.

이것은 EIGRP와 마찬가지로 축약에 포함되는 상세 네트워크가 다운되었을 때 라우팅 루프를 방지하기 위함이다.

외부 네트워크 축약

OSPF로 재분배된 네트워크는 그 네트워크를 재분배한 ASBR에서만 축약이 가능하다.

이 네트워크는 R5에서 만들었고, OSPF 외부 네트워크이므로 축약하려면 반드시 ASBR인 R5에서만 가능하다.

ASBR에서 축약

확인해보면 5.5.50.0/23 네트워크가 저장된다.

OSPF 네트워크 보안

OSPF는 neighbor 인증 외에 특정 area 전체를 인증할 수 있다.

인증 범위	인증 방식	사용 명령어
neighbor 인증	평문 (clear text)	interface xxx ip ospf authentication ip ospf authentication-key xxx
neighbor 인증	MD5	interface xxx ip ospf authentication message-digest ip ospf message-digest-key 1 md5 xxx
area 인증 동일한 area에 소속된 모든 라우터 인증방식은 동일해야한다. 인증키는 neighbor간에만 일치하면 된다.	평문 (clear text)	router ospf 1 area xxx authentication interface xxx ip ospf authentication-key xxx
	MD5	router ospf 1 area xxx authentication message-digest interface xxx ip ospf message-digest-key 1 md5 xxx

Type 0 = 인증을 하지 않는 것

Type 1 = 평문 인증

Type 2 = MD5 방식

Area 1 MD5 인증

R1에 MD5로 area 1을 인증하고 debug를 하면 다음과 같이 인증 타입이 다르다는 메시지가 나오게 된다.

R2, R3에도 각각 MD5로 area 인증을 해주고 나면 같은 area는 정상적으로 Full 상태가 된걸 확인할 수 있다.

Area 0 평문 인증

같은 area에서 처음에 인증을 하는 라우터에서는 당연히 인증 타입이 맞지 않기 때문에 Down이 된다.

R3와 R4도 인증 타입을 맞춰주니 정상적으로 Full 상태로 변화한 것을 확인할 수 있다.

이렇게 설정하게 되면 area 0에 소속된 라우터들이 상호 OSPF 패킷을 전송할 때 'cisco'라는 인증키를 함께 보내게된다.

neighbor 인증

R4, R5 간에 e0/0.45 인터페이스를 통해 OSPF 메시지를 주고 받을 때 평문으로 인증을 하기 위한 설정

디버깅을 해보면 위와 같이 수신하는 패킷의 인증 타입이 표시된다. 또, MD5 인증시 키 번호까지 표시해준다.

인증 키 변경은 하나의 인터페이스에 인증 키를 두 개 정의하면 두개의 인증 키를 모두 전송하게된다.

수신측에서는 수신한 인증 키 중에서 자신의 인터페이스에 설정된 키 중에서 가장 높은 키 번호와 일치하는 것을 선택하여 인증한다.

단, 평문 인증방식에서는 동일 인터페이스에서 동시에 두개의 인증 키를 사용할 수 없다.

MD5 인증을 사용해도 라우터에 저장시 인증 키가 암호화되지 않는다.

따라서, show running-config 명령을 사용하면 인증 키가 노출된다.

이를 방지하려면 다음과 같이 service password-encryption 명령어를 사용하면 된다.

R5(config)#service password-encryption

OSPF 패시브 인터페이스

OSPF neighbor가 없는 인터페이스에 대해서 passive-interface 명령어를 사용하면 간단하면서도 강력한 OSPF 보안 대책이 된다. 이 인터페이스로는 OSPF hello packet을 전송하지 않을 뿐만 아니라, 상대가 hello packet을 전송해도 무시한다.

IP라우팅 공부 기록#3

Weeding — Wed, 4 Jan 2023 16:13:25 +0900

브로드캐스트 멀티액세스 네트워크

하나의 브로드캐스트 패킷을 전송하면 동일 네트워크 내에 있는 모든 장비에게 도달할 수 있는 네트워크를 '브로드캐스트' 라고 하며, 하나의 인터페이스를 통하여 다수의 장비와 연결되는 네트워크를 '멀티액세스' 라고 한다. 이 두가지를 다 지원하는 네트워크를 "브로드캐스트 멀티액세스 네트워크" 라고 한다.

대표적으로 ethernet이 브로드캐스트 멀티액세스이다. 이더넷 스위치 특성상 한 포트에서 수신한 브로드캐스트/멀티캐스트 프레임을 동일한 VLAN에 소속된 모든 포트로 전송한다.

따라서, 이더넷에 접속된 라우터는 동일 이더넷의 다른 라우터에게 라우팅 정보를 보낼 때 브로드캐스팅이나 멀티캐스팅 방식을 사용하여 하나의 패킷만 보내면 된다.

NBMA 네트워크

non-broadcast multi-access

대표적으로 frame relay, ATM 네트워크가 있다.

내부에서 가상회로(virtual circuit) 방식을 사용해 멀티액세스를 구현한다.

따라서, 라우터가 하나의 가상회로당 하나씩의 브로드캐스트 패킷을 별도로 복사하여 전송한다.

frame relay에서는 DLCI라는 인캡슐레이션 방식의 번호를 붙인다.

Point-to-Point 네트워크

하나의 인터페이스 또는 서브 인터페이스와 연결되는 상대 장비가 하나뿐인 네트워크를 뜻합니다.

대표적으로 Layer 2 프로토콜의 HDLC, PPP 등이 있습니다.

어차피 받는 라우터는 하나 뿐이기 때문에 목적지 주소를 브로드캐스트, 멀티캐스트, 유니 어떤걸 사용해도 상관없습니다.

동적경로와 정적경로

Dynamic route는 static route에 비해 부하가 많다. 끊임없이 정보를 주고받아야 라우팅 테이블을 유지하기 때문이다.
static은 경로를 정밀하게 제어할 수 있다.
하지만 네트워크 변화를 제대로 반영하지 못한다. 직접 접속되있는 Link의 변화는 감지할 수 있지만 인터넷, 이더넷 스위치 등에서 직접 연결된 링크가 아닌 것이 다운되면 이를 감지하지 못합니다.
또한 static은 네트워크의 규모가 커질수록 관리가 어렵습니다.

킹오브랜스위칭 공부기록#7 (포트보안/ACL)

Weeding — Wed, 4 Jan 2023 15:14:42 +0900

포트 보안

스위치의 특정 포트에 특정 MAC 주소를 가진 장비만 접속할 수 있게 하는 것.

기본 설정

1. 기본 정적 포트 보안 설정하기

SW1 e0/1 port에는 MAC 주소가 0000.0000.0001인 장비만 접속할 수 있도록 설정.

SW1

interface Ethernet0/1
switchport mode access
switchport port-security mac-address 0000.0000.0001
switchport port-security

R1의 mac주소를 변경하면 R3와 통신되지 않는다. R2는 R3와 통신이 되지 않는다.

아래와 같이 특정 포트에는 특정 MAC 주소를 가진 Frame만 접속하게 합니다.

switchport port-security mac-address 0000.0000.0001

위 명령어는 "MAC 주소 0000.0000.0001"은 SW1의 F0/1 포트에만 접속할 수 있고, 다른 포트에는 접속할 수 없다" 라는 의미도 가집니다.

위와 같이 포트 보안을 제거하고 인터페이스를 확인하면 포트 보안 침해로 인해 e0/1 부분이 비활성화 되있는 것을 확인할 수 있습니다. (실습 처음에 e0/0이 아닌 e0/1로 설정해서 이 부분 헷갈리지말것, 다시 수정했음)

그러면 그냥 no shut으로만 하면 안되고 !! shut하고 다시 활성화 시켜야 인터페이스가 살아납니다.

동적인 포트 보안용 MAC 주소 지정

포트 보안은 정적(static)인 access port, trunk port 및 터널 포트에만 설정할 수 있습니다. 그러나, etherchannel, Routed Port 및 SVI 등에는 설정할 수 없습니다. 포트 보안용 MAC 주소를 지정하는 방법은 3가지가 있습니다.

1. 동적인 MAC 주소 지정

2. 정적인 MAC 주소 지정

3. 포트 스티키

동적으로 지정하려면 해당 포트에 switchport port-security 명령어만 사용하면 됩니다.

설정 시 MAC 주소 테이블에 있거나, 이 후 이 포트를 통하여 수신하는 Frame의 MAC 주소가 포트 보안용 MAC 주소가 됩니다. 포트 보안이 설정된 포트에는 기본적으로 하나의 MAC 주소만 허용됩니다.

포트 보안 설정 확인

이러한 동적인 포트 보안은 출발지 MAC 주소를 변경하여 수많은 프레임을 전송하는 MAC Flooding 공격 등을 방어하는데 유리합니다.

정적인 포트 보안용 MAC 주소 지정

포트 보안용 MAC 주소를 정적으로 직접 지정하려면 해당 포트에 switchport port-security address 명령어를 사용합니다.

포트 스티키

동적인 포트 보안 MAC 주소를 정적인 주소로 변경시키는 것을 말합니다. 동적인 포트 보안 MAC 주소는 스위치의 전원을 다시 켜면 다 삭제됩니다. 그러나, 포트 스티키 방식을 사용하면 설정 파일을 저장할 때 포트 보안 MAC주소도 함께 저장되어 전원을 꺼도 삭제되지 않습니다.

포트 스트키는 트렁크포트나 다른 스위치와 연결되는 액세스 포트에서 동시에 다수개의 포트 보안 MAC 주소를 설정할 때 편리합니다.

interface Ethernet0/2
switchport trunk encapsulation dot1q
switchport mode trunk
switchport port-security maximum 3
switchport port-security mac-address sticky

포트 스티키 설정. 이제 각 PC에서 서버로 접속하면 각 PC의 MAC 주소가 자동으로 포트 스티키 MAC주소가 됩니다.
switchport port-security

설정 뒤 트래픽을 발생시켜 SW2에서 MAC 주소를 확인해보기.

(R1,R2 -> R3 ping)

확인 해보면 R1,R2의 MAC 주소가 포트 보안 MAC 주소로 등록되는걸 확인할 수 있습니다.

그리고 copy run start로 포트 스트키 MAC 주소를 저장하고 전원 리셋 후 확인을 해보면 그대로 PC들의 MAC 주소가 포트 보안 MAC 주소로 지정되어 있는걸 확인할 수 있습니다.

포트 스티키 MAC 주소 확인하기

포트 보안 침해시 동작 설정

포트 보안용 MAC 주소가 아닌 프레임을 수신했을 때 (앞의 실습 참고) 기본적으로 해당 포트를 shutdown 시킵니다.

이 경우에는 해당 포트를 한 번 더 shutdown시킨후에 다시 no shut을 해야합니다.

포트 보안 침해시 동작을 다른 것으로 변경하려면 다음과 같이 합니다.

SW2(config)#int e 0/2
SW2(config-if)#switchport port-security violation ?
protect Security violation protect mode

restrict Security violation restrict mode
shutdown Security violation shutdown mode

protect는 보안 침해 시 해당 장비의 접속만 차단하고, 접속이 허용된 장비들은 계속 포트를 사용할 수 있게 합니다.

restrict는 protect와 옵션이 같으나, 추가적으로 로그 메시지를 발생시키고 보안 침해 카운터를 증가시킵니다.

shutdown은 기본 설정입니다.

restrict로 실습을 해보겠습니다.

SW2(config-if)#switchport port-security violation restrict

테스트를 위해 SW1 e0/0 포트를 초기화 하겠습니다.

SW1(config)#default int e 0/0
Interface Ethernet0/0 set to default configuration

R1의 MAC 주소를 0000.0000.0011로 변경하겠습니다.

그 뒤, R1 -> R3로 ping을 해봅니다.

위 실습에서는 스티키 설정 시 포트에 설정할 수 있는 최대 포트 보안 MAC 주소 수량을 3개로 해놨기 때문에 처음에 핑이 되지 않으면서 MAC주소가 저장되지 않았습니다. 고로, SW2에서 maximum 수량을 4로 바꿔주고 실습을 진행했습니다.

R1 -> R3로 ping도 가고 SW2에 0011 mac 주소도 저장되있는것 확인.

다시 R1의 e0/0 포트의 MAC주소를 0000.0000.0012로 변경해보고 핑을 해봤습니다.

그러니 SW2에서 0012에 의한 보암침해가 발생했다는 로그를 확인할 수 있습니다.

(restrict 설정 옵션 작동, 로그메시지, 보안침해가 일어난것 역시 확인.)

restrict로 설정하였기 떄문에 보안침해가 일어나도 해당 포트를 셧다운 시키지 않아 다른 장비들은 통신이 가능합니다.

R2->R3 ping을 확인해보겠습니다.

ACL 보안

포트 ACL LAB

포트 ACL

Layer 2 포트에 access list를 적용하는 것을 port ACL이라 하며, 포트 ACL은 MAC ACL과 IP ACL을 모두 사용할 수 있다.

제약사항

- in 옵션만 사용 가능 (스위치가 포트에서 프레임을 수신할 때에만 적용 가능)

- 특정 스위치에 VLAN 맵이나 inbound 라우터 ACL이 설정되어 있으면 포트 ACL을 사용할 수 없다.

위 랩에서 SW1의 포트e0/0에 접속된 R1에서 R2로 가는 프레임을 포트 ACL을 이용해 차단해보겠습니다.

우선, 기본 설정을 하겠습니다.

R3(config)#ipv6 unicast-routing
R3(config)#ipx routing
R3(config)#int e 0/0
R3(config-if)#ip add 1.1.1.3 255.255.255.0
R3(config-if)#mac-address 0000.0000.0003
R3(config-if)#no sh
R3(config-if)#ipv6 address 3000:1:1:1::3/64
R3(config-if)#ipx network 1

SW1에서 다음과 같이 R1->R2로 가는 프레임을 차단하는 MAC access list를 만듭니다.

1. SW1(config)#mac access-list extended mac-r1r2
2. SW1(config-ext-macl)#deny host 0000.0000.0001 host 0000.0000.0002
3. SW1(config-ext-macl)#permit any any
4. SW1(config-ext-macl)#exit
5. SW1(config)#int e 0/0
6. SW1(config-if)#mac access-group mac-r1r2 in

1. 적당한 이름을 만들어 확장 mac access list 설정 모드로 들어가고

2. 출발지가 0001 // 목적지가 0002 인 이더넷 프레임을 거부하는 MAC access list를 만듭니다.

3. 나머지 프레임은 모두 허용.

6. 인터페이스에 MAC access list를 지정합니다. 포트 ACL은 switch 입장에서 수신(in) 방향에만 적용할 수 있다.

즉, PC에서 스위치로 전송되는 프레임만 제어가 가능하다.

의도한데로 R1->R2 비 IP(non-IP) 프레임인 IPX 프레임은 의도했던 것처럼 포트 e0/0에서 차단되어 핑이 되지 않습니다.

IP access-list를 이용한 포트 ACL

SW1(config)#ip access-list extended ip-r1r2
SW1(config-ext-nacl)#deny ip host 1.1.1.1 host 1.1.1.2
SW1(config-ext-nacl)#permit ip any any
SW1(config)#int e 0/0
SW1(config-if)#ip access-group ip-r1r2 in

IP access-list를 이용한 포트 ACL에서는 IP 패킷도 차단된다.

라우터 ACL

routed port나 SVI와 같은 layer 3 포트에 access-list를 적용하는 것을 라우터 ACL이라 합니다.

라우터 ACL에는 IP ACL만 사용할 수 있으며, 즉 MAC ACL은 사용할 수 없습니다.

위의 실습에서 R1 -> R2로 가는 패킷을 라우터 ACL을 이용해 차단하는 테스트를 해보기 위해 설정을 해보자.

SW1

interface Ethernet0/0
switchport access vlan 10
switchport mode access
!
interface Ethernet0/1
switchport access vlan 20
switchport mode access
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Vlan10
ip address 1.1.10.3 255.255.255.0
ip access-group racl-r1r2 in
!
interface Vlan20
ip address 1.1.20.3 255.255.255.0

ip access-list extended ip-r1r2
deny ip host 1.1.1.1 host 1.1.1.2
permit ip any any
ip access-list extended racl-r1r2
deny ip host 1.1.10.1 host 1.1.20.2
permit ip any any

R1

ip address 1.1.10.1 255.255.255.0

ip route 0.0.0.0 0.0.0.0 1.1.10.3

R2

ip address 1.1.20.2 255.255.255.0

ip route 0.0.0.0 0.0.0.0 1.1.20.3

access-list를 설정하기 전에는 다음처럼 R1과 R2 사이에 통신이 됩니다.

스위치에 인바운드 라우터 ACL과 포트 ACL을 동시에 사용할 수 없습니다.

따라서, 포트 ACL을 제거하고 SVI 인터페이스에 IP access-list를 적용하니 R1->R2 패킷이 차단되었습니다.

R1(config)#do ping 1.1.20.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 1.1.20.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

SW1(config-if)#no ip acc
SW1(config-if)#no ip access-group ip-r1r2 in
SW1(config-if)#no mac ac
SW1(config-if)#no mac access-group mac-r1r2 in

SW1(config)#ip access-list extended racl-r1r2
SW1(config-ext-nacl)#deny ip host 1.1.10.1 host 1.1.20.2
SW1(config-ext-nacl)#permit ip any any
SW1(config)#int vlan 10
SW1(config-if)#ip access-group racl-r1r2 in

R1(config)#do ping 1.1.20.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 1.1.20.2, timeout is 2 seconds:
U.U.U

이렇게 SVI에 라우터 ACL을 적용시켜 보았습니다.

이제 SW1이 Routed port일 때 라우터 ACL을 사용해 R1 -> R2 IP 패킷을 차단해보겠습니다

Routed Interface에 IP access-list 적용하기

SW1(config)#ip access-list extended racl-r1r2
SW1(config-ext-nacl)#deny ip host 1.1.10.1 host 1.1.20.2
SW1(config-ext-nacl)#permit ip any any
SW1(config)#int e 0/0
SW1(config-if)#ip access-group racl-r1r2 in

패킷이 차단되어 R1 -> R2로 통신이 되지 않는다.

VLAN ACL

VLAN 맵은 MAC ACL과 IP ACL 모두 사용할 수 있습니다. (매우 유용함)

VLAN간의 트래픽뿐만 아니라 VLAN 내부에 있는 장비간의 트래픽도 제어할 수 있죠.

SW(config)#access-list 100 permit tcp host 1.1.10.1 host 1.1.10.3 eq telnet
SW(config)#access-list 100 permit tcp host 1.1.20.2 host 1.1.10.3 eq telnet
SW(config)#access-list 101 permit ip any any
SW(config)#vlan access-map no-r1r2
SW(config-access-map)#match ip address 100
SW(config-access-map)#action drop
SW(config-access-map)#exit
SW(config)#vlan access-map no-r1r2
SW(config-access-map)#match ip address 101
SW(config-access-map)#action forward
SW(config-access-map)#exit
SW(config)#vlan filter no-r1r2 vlan-list 10,20

Access List (ACL) 정리

특정 IP(라우터acl/L3) 혹은 Port(포트acl/L2/In만 가능)를 지정하여 차단하거나 허용한다.
Wildcard-mask를 이용해 출발지 혹은 목적지 IP 주소, Port번호를 이용해 프로토콜을 지정하고 해당되는 객체를 permit 혹은 deny 하기 위한 정책이다.
ACL만으로는 필터링이 작동하지 않는다!
이 말은 즉, ACL 정책 설정 명령어만으로는 필터링이 되지 않기 때문에, 적용을 하는 (ip access-group 1 in) 명령어가 들어가야 필터링이 작동한다는 뜻이다.
일반적으로 라우터의 인터페이스의 보안 수립과 라우팅 프로토콜의 경로를 조정하기 위한 용도로 사용된다.
포트 정책 적용 시 Inbound와 Outbound의 방향은 라우터의 관점에서 따지게 된다.
ACL 생성 시 기본적으로 마지막줄에 모든 대상에 대한 차단 정책이 수립된다.
필터링시 ACL 정책의 위에서 부터 비교를 하게 된다.

ACL 종류

Numbered ACL
1. Standard acl : 1~99 // 출발지 IP만 고려 ★
2. Extend acl : 100~199 // 출발지,목적지 IP, Port 를 고려한다. ★
Named ACL
1. 영문(Text)로 ACL 이름 지정
2. ACL의 중간 첨삭이 가능하다.
3. Standard, Extend 모두 사용 가능하다.

◆ LAB: ACL (Standard)

문제1

구성도와 같이 적절한 IP설정 후, 모든 HOST간에 통신이 이루어 지도록 설정 하세요. (Routing은 STATIC를 사용하세요)

문제2

PC1에서 PC4으로의 Traffic을 차단하세요. R1에서 Fa0/0에서 설정 하세요 !

R1(config)#access-list 1 deny host 1.1.1.1
R1(config)#int e 0/0
R1(config-if)#ip access-group 1 in

PC1 -> 4뿐만 아니라 5,6 으로 다 통신이 되질 않는다.

문제3

문제2번에 의해, PC1이 차단된것은 확인 하였지만, PC2,PC3에서 PC4으로도 통신이 되지 않는 이유는 무엇입니까?

- ACL에는 Deny all이 숨어 있기 떄문. access-list permit any를 넣어주고 통신 해봄.

- PC2, 3 --> PC4로 통신완료

문제4 PC2번도 PC4으로의 통신을 차단하세요. (PC2번을 위한 deny ACL추가)

access-list 1 deny 1.1.1.1
access-list 1 deny 1.1.1.2
access-list 1 permit any

interface Ethernet0/0
ip access-group 1 in

** 중간에 수정을 하려면 named로 설정해야 가능함. 따라서, 처음에 기존 설정에 deny 1.1.1.2를 끼워넣는데 덮어써지는 현상이 발생해 우선 이 랩에서는 named 설정은 하지 않고 acl을 초기화 한 후 다시 설정하였음.

** access-list standard 번호를 다른걸로 해서 e0/1포트에 out으로 넣어도 되지만, 현재 랩에서는 정책이 3개이상으로 늘어나게 되면 필터링을 걸어줄 포트 갯수에 한계가 있다.

문제5 현재 PC1,PC2는 PC4로 통신이 되지 않고, PC3은 PC4로 통신이 됩니다.

문제6. 현재 R1에 설정되어 있는 ACL을 모두 삭제하세요.

문제7.

PC1,PC3을 PC4,PC5,PC6과 통신이되지 않도록 설정하고, PC2은 PC4,PC5,PC6과 통신이 되도록 만드세요.

단 ACL은 2줄만 사용할 수 있습니다.

access-list 1 deny host 1.1.1.1
access-list 1 deny host 1.1.1.3
access-list 1 permit 1.1.1.2

interface Ethernet0/0
ip access-group 1 in

이런식으로 설정해도 되지만,

access-list 1 deny 1.1.1.1 0.0.0.2
access-list 1 permit any

ip access-group 1 in

wildmask를 사용해서 설정하는게 훨씬 더 깔끔하다.

◆ LAB: ACL (Extended / Named)

문제1:

구성도와 같이, IP를 설정 후, 모든 PC간의 통신을 확인 하세요

문제2:

PC1(1.1.1.1)에서 PC4로 가는 ICMP message만을 차단하세요. (PC1에서 다른 PC로 가는 모든 ICMP는 허용돼야 하며,

PC1에서 PC4로 ICMP이외에 다른 Traffic이 허용돼야 합니다) R1의 Fa0/0에서 설정 하세요.

access-list 100 deny icmp host 1.1.1.1 host 2.2.2.1
access-list 100 permit icmp any any

interface Ethernet0/0
ip access-group 100 in

문제3:

PC1에서 PC5으로 가는 WEB(80) traffic도 차단하세요.

access-list 100 deny icmp host 1.1.1.1 host 2.2.2.1
access-list 100 deny 80 host 1.1.1.1 host 2.2.2.2

= access-list 100 deny tcp host 1.1.1.1 host 2.2.2.2 eq 80
access-list 100 permit icmp any any
access-list 100 permit 80 any any

= access-list 100 permit ip any any

문제4:

위 ACL 100을 삭제하고, Named ACL로 만들어 적용해 주세요.

R1(config)#no access-list 100

R1(config)#ip access-list extended ACL

R1(config-ext-nacl)#10 deny icmp host 1.1.1.1 host 2.2.2.1
R1(config-ext-nacl)#20 deny tcp host 1.1.1.1 host 2.2.2.2 eq 80
R1(config-ext-nacl)#30 permit ip any any
R1(config-ext-nacl)#exit
R1(config-if)#no ip access-group 100 in
R1(config-if)#ip access-group ACL in

문제5:

현재의 상황에서, PC2에서 PC4로 가는 ICMP도 차단 하세요.

R1(config)#ip access-list extended ACL

R1(config-ext-nacl)#15 deny ip host 1.1.1.2 host 2.2.2.1

문제6:

현재 적용되어 있는 ACL을 R1의 S0/0/0에 적용하세요.

R1(config)#int e 0/0
R1(config-if)#no ip access-group ACL in
R1(config)#int e 0/1
R1(config-if)#ip access-group ACL out

문제7:

현재 적용되어 있는 ACL을 R1의 S0/0/0에 inbound로 적용하세요.

[기존 ACL 삭제 후 거꾸로 적용]

R1(config)#no ip access-list extended ACL

R1(config)#ip access-list extended INACL
R1(config-ext-nacl)#10 deny ip host 2.2.2.1 host 1.1.1.1
R1(config-ext-nacl)#20 deny tcp host 2.2.2.2 host 1.1.1.1 eq 80
R1(config-ext-nacl)#30 deny ip host 2.2.2.1 host 1.1.1.2
R1(config-ext-nacl)#40 permit ip any any
R1(config)#int e 0/1
R1(config-if)#no ip access-group ACL out
R1(config-if)#ip access-group INACL in

문제8:

PC3에서 R2로의 Telnet(TCP 23) 접속이 되지 않도록 설정하세요. R2의 S0/0/0에서 설정 하세요 !!!

line vty 0 4
password cisco
login local
transport input all

R2(config)#username cisco secret cisco
R2(config)#enable secret cisco

R2(config)#ip access-list extended R2ACL
R2(config-ext-nacl)#10 deny tcp host 1.1.1.3 host 10.1.12.2 eq 23
R2(config-ext-nacl)#20 permit ip any any

interface Ethernet0/1
ip access-group R2ACL in

문제9:

문제8번에 의해, PC3에서 telnet 10.1.12.2로 접속이 안 되는 것은 확인 하였지만, PC3에서 telnet 2.2.2.254로 접속해 보며

Telnet 접속되는 것을 확인 할 수 있습니다. 이 문제를 해결 하기 위해 모든 interface에 ACL을 적용하지 말고 해결 하세요.

access-list 1 deny host 1.1.1.3

access-list 1 permit any

line vty 0 4

access-class 1 in

확인 PC3 Telnet 2.2.2.254 접속안됨

PC1 Telnet 2.2.2.254 접속 됨 !!!!

킹오브랜스위칭 공부기록 #8 (STP 공격차단)

Weeding — Wed, 4 Jan 2023 08:13:21 +0900

STP 공격차단

1. BPDU Guard

위 그림에서 (선이 연결되있다 가정) SW3에 접속된 공격자가 SW1의 PC와 SW2의 서버간의 통신을 해킹하려고 하는 경우를 가정하겠습니다.

SW1이 root 스위치이므로 PC와 서버간의 트래픽을 공격자가 접속되어 있는 SW3을 거치지 않습니다.

따라서, 해커가 트래픽을 끌고와서 트래픽이 SW3을 통과하게 하려면 공격자 PC가 root스위치 처럼 동작하면 됩니다.

그러면, STP가 SW1과 SW2간의 링크를 차단하고 트래픽은 모두 SW3을 통과하게 되죠.

이를 위해 공격자는 자신의 PC를 root 스위치인 것처럼 위장한 BPDU를 전송하는 공격도구를 사용하면 됩니다.

우선순위가 0이고 MAC주소의 번호가 아주 낮은 BPDU를 전송하면 모든 스위치들은 이를 수신하여 공격자 PC를 root 스위치로 인식하게 되죠.

공격자가 SW3의 MAC 주소 테이블을 채우는 MAC 플러딩 공격을 추가적으로 사용하면 PC와 서버간의 트래픽은 공격자의 PC로 넘어옵니다.

이처럼, PC와 같은 종단장치가 접속된 포트에서 BPDU를 수신하지 못하게 하는 것이 BPDU guard입니다.

기본적으로 BPDU guard는 포트를 통해 BPDU를 수신했을 때 해당 포트를 자동으로 셧다운시키고, 인터페이스에 shut 명령어를 사용한 후 다시 no shut 명령어를 사용해야만 포트가 살아납니다.

전체 설정모드

spanning-tree portfast bpduguard default

특정 포트에 설정

spanning-tree bpduguard enable

죽은 인터페이스를 다시 한번 셧다운 시키고 활성화 시킨 뒤에,

BPDU guard 등에 의해 비활성화된 인터페이스를 원인 제거후 자동으로 활성화시키려면 아래 명령어를 사용합니다.

errdisable recovery cause bpduguard

명령어 적용 후 300초후에 자동으로 셧다운된 포트가 살아나지만, 시간을 조정하고 싶다면 아래 명령어를 사용합니다.

errdisable recovery interval 30

2. root guard

SW1과 SW2가 통신회사 소속이고, SW3이 고객의 스위치라면 통신회사에서는 SW3을 제어하기 어렵습니다.

이 경우, SW3에서 수신하는 BPDU를 차단하면 경우에 따라 스위치간의 통신이 되지 않으므로 곤란합니다.

이 때 루트 가드 기능을 사용하면 됩니다.

루트 가드란 특정 포트에 접속된 네트워크에 있는 스위치들은 루트 스위치가 될 수 없도록 하는 기능입니다.

루트 가드가 설정된 포트에서 현재의 루트 스위치 ID보다 더 우선하는 루트 스위치 ID를 가진 BPDU를 수신하면 해당 포트를 다운시킵니다.

즉, 이미 구성되어 있는 망에, 추가로 스위치가 붙었을 경우에 STP 토폴로지의 변화를 막는 기술인것입니다.

SW1(config-if)#spanning-tree guard root
*Jan 3 08:21:01.496: %SPANTREE-2-ROOTGUARD_CONFIG_CHANGE: Root guard enabled on port Ethernet0/0.

SW1 - SW2 에서 SW2를 루트 스위치로 변경시 (priority 값 조정)

SW1에서 다음과 같이 e0/0 포트를 루트가드가 차단했다는 메시지가 표시됩니다.

SW1#
*Jan 3 08:21:24.237: %SPANTREE-2-ROOTGUARD_BLOCK: Root guard blocking port Ethernet0/0 on VLAN0001.

SW2에서 다시 STP 우선순위를 조정해주면 (SW1을 root 스위치로 변경)

아래와 같이 루트 가드가 해제하는 메시지가 뜬다.

이후 STP의 각 상태변화를 거친후 전송상태로 변경된다.

SW1#
*Jan 3 08:25:20.682: %SPANTREE-2-ROOTGUARD_UNBLOCK: Root guard unblocking port Ethernet0/0 on VLAN0001.

3. Loop Guard

위의 그림과 같이 회선의 과부하나, 잘못된 BPDU 필터링, ACL 장애 및 적용 등으로 인해 C가 BPDU를 B로부터 받지 못한 경우, 문제가 있다고 판단하여 차단 포트(AP)를 전송 포트(DP)로 변경하고 BPDU를 전송하게 됩니다.

그렇게 되면 브로드캐스트 프레임이 나갈 경로가 양 방향으로 생겨 양쪽으로 프레임을 다 뿌려주기 때문에 루프가 발생하게 됩니다. 따라서, 이를 방지하기 위해서 차단포트(AP), 즉 Block되있는 링크에 BPDU가 들어오지 않더라도, DP 상태로 바꾸어 포워딩 하지 않는 기능을 Loop Guard라고 합니다.

전체 설정 모드

spanning-tree loopguard default

인터페이스 모드

spanning-tree guard loop

확인 명령어

sh spanning-tree summary

킹오브랜스위칭 공부기록#4

Weeding — Wed, 28 Dec 2022 07:31:03 +0900

RSTP

STP의 단점인 컨버전스 시간을 획기적으로 단축시켜주는 프로토콜입니다.

STP의 컨버전스 시간이 30초(Listening, Learning) 또는 50초(Blocking,Listening,Learning)인 반면 RSTP는 거의 순간적으로 Forwarding 상태로 변경됩니다.

포트 역할을 결정하는 기준은 동일하지만 (Bridge-ID, Cost, Port-ID) 절차는 완전히 다릅니다. STP가 50초를 기다리는 이유는 바로 전송상태로 변경 시 프레임 루프가 발생할 수 있기 때문이죠.

RSTP는 자신의 BPDU 정보가 우세하면 바로 자신이 지정포트임을 주장하는 "proposal BPDU"를 전송합니다.

그리고 이것을 수신한 상대 포트는 이에 동의하여 자신이 루트포트가 되겠다는 "agrrement BPDU"를 보내고 해당 포트를 전송상태로 바로 변경해버리죠.

SW4는 hub로 사용하기 위해 포트들에 duplex half를 적용해주고, no spanning-tree vlan 1을 적용.

비트번호	0	1	2	3	4	5	6	7
기능	TC	Proposal	포트 역할		learning	forwarding	agreement	TCA

** STP 설정 BPDU의 길이는 35byte이지만 RSTP BPDU는 마지막 version 1 길이 필드가 추가되어 36byte입니다

** RSTP 자체는 STP가 토폴로지 변화시 사용하는 TCN BPDU를 사용하지 않습니다.

하지만, TCN BPDU를 수신했음을 알릴 때는 STP가 동작하는 스위치와의 호환성을 위해 TCA를 사용합니다.

** Segmet란 스위치에 의해서 분리되지 않은 구간을 뜻한다.

매 2초마다 RSTP가 활성화된 모든 포트로 BPDU를 전송함.

RSTP 포트 역할

1. 지정포트 (Deginated port)

루트 스위치 방향으로 데이터 프레임이 전송되는 포트

2. 루트포트 (root port)

루트 스위치 방향으로 데이터 프레임이 전송되는 유일한 포트

3. 대체포트 (alternate port)

4. 백업포트 (backup port)

지정포트가 다운되면 그 역할을 이어받습니다. (이더채널이라 가정하면 후순위 포트가 백업포트로 결정됨)

즉, 동일한 세그먼트에 하나의 스위치에서 두 개 이상의 링크가 접속되어 있을 때 백업포트가 만들어집니다.

5. 비활성포트 (disabled port)

RSTP에서 역할이 없는 포트입니다. 예를 들어 셧다운된 포트 등이 여기에 해당됩니다.

RSTP는 포트의 상태를 폐기(discarding), learning, forwarding 상태로 구분합니다. RSTP의 폐기(discarding)상태는 STP의 차단(blocking) 상태와 동일합니다. 즉, 데이터 프레임과 BPDU를 전송하지 않습니다. 하지만 BPDU는 수신합니다.

RSTP 링크 종류

point to point link	full duplex로 동작하는 포트
shared link	half duplex로 동작하는 포트
edge	PC, server와 같이 stp가 동작하지 않는 종단 장치와 연결된 포트 Portfast를 설정해야만 edge 링크로 동작함.
peer	STP와 같이 RSTP가 아닌 프로토콜로 동작하는 스위치와 연결된 포트

shared link도 link-type 명령어를 사용해 point-to-point로 변경할 수 있다.

MSTP

Mutilple Spanning Tree Protocol

복수개의 VLAN을 묶어서 그룹별로 스패닝트리를 동작시키는 프로토콜입니다.

VLAN들을 instance라고 하는 그룹으로 묶고, instance당 하나의 STP를 동작시킵니다.

MSTP에는 2가지 종류의 스패닝 트리가 사용됩니다.

1. CIST (Common and Internal Spanning Tree)

- 전체 스위치 루프없이 연결시키기 위해 사용

- 전체 네트워크에서 하나의 CIST 루트 스위치를 선택하고, 각 영역별로 CIST 영역루트 스위치를 하나씩 선택합니다.

- 결과적으로 CIST 루트 스위치는 전체 스위치 네트워크에서 하나만 존재합니다.

2. MSTI (Multiple Spanning Tree Instance)

- 각 영역내에서 인스턴스별로 동작

- 각 영역 내 MST 인스턴스별로 하나의 루트 스위치를 선택합니다.

- MSTI 루트 스위치는 각 영역별로 인스턴스 수만큼 존재합니다.

MSTP의 BID Field

Test_LAB

SW1

SW1(config)#spanning-tree mode ?
  mst         Multiple spanning tree mode
  pvst        Per-Vlan spanning tree mode
  rapid-pvst  Per-Vlan rapid spanning tree mode

SW1(config)#spanning-tree mode mst
SW1(config)#spanning-tree mst ?
  WORD           MST instance range, example: 0-3,5,7-9
  configuration  Enter MST configuration submode
  forward-time   Set the forward delay for the spanning tree
  hello-time     Set the hello interval for the spanning tree
  max-age        Set the max age interval for the spanning tree
  max-hops       Set the max hops value for the spanning tree

SW1(config)#spanning-tree mst configuration
SW1(config-mst)#name A
SW1(config-mst)#instance 1 vlan 101-102
SW1(config-mst)#instance 2 vlan 201-202
SW1(config-mst)#revision 1

(설정번호 부여 =영역이름, 인스턴스 매핑 및 설정 번호가 동일하면 하나의 MST 영역으로 동작한다.)
SW1(config-mst)#exit

MSTP BPDU

MSTP는 하나의 BPDU를 사용하여 CIST 및 MSTI 스패닝트리를 계산하기 때문에, 두가지 스패닝 트리에 대한 정보를 모두 포함하고 있습니다. 버전값이 3이고 타입 필드값이 0000 0010이면 MSTP BPDU임을 나타냅니다. 즉, MSTP가 동작하는 스위치끼리 송수신되는 BPDU임을 표시합니다.

CIST 플래그는 RSTP와 동일한 값을 가집니다.

RSTP, MSTP 자체는 TCN BPDU와 TCA 비트를 사용하지 않으나, STP가 동작하는 스위치와의 호환성을 위해서 TCA(TCN BPDU를 수신했음을 알릴 때 사용)를 사용합니다.

MSTP 경로값

MSTP 동작 방식

CIST 스패닝트리

전체 스위치 네트워크를 루프없이 하나로 연결

주 용도는 MSTP 각 영역, STP 및 RSTP 스위치를 망라하여 전체 스위치 네트워크의 통신 경로를 설정하는 것

MSTI 스패닝트리

각 영역 내부에서 인스턴스별로 동작

영역 내부에서의 인스턴스별 통신 경로를 설정하는 것.

** 두 종류의 스패닝 트리가 별개의 BPDU를 사용하지 않고 MSTP BPDU를 사용하여 각각의 활성 토폴로지를 계산한다.

** 영역 경계의 스위치는 MSTI 정보는 수신하지 않습니다. 영역간의 MSTI 정보가 서로 다르기 떄문입니다.

** BPDU는 루트 스위치에서만 전송하고, SW1이 CIST 루트, CIST 영역루트 및 MSTI 1,2에 대한 루트 스위치이므로 SW1이 수신하는 BPDU는 없다.

** MSTI 루트 스위치도 BPDU를 전송한다.

순수 MSTP 네트워크 설정 과정

전체 스위치를 하나의 MSTP 영역으로 동작시키는 경우 조정이 쉽다.

[모든 포트는 트렁크]

[ R1-SW1 e0/0 구간만 액세스, portfast]

SW1

interface Ethernet0/0
switchport mode access
duplex auto
spanning-tree portfast

!
interface Ethernet0/1
switchport trunk encapsulation dot1q
switchport mode trunk
duplex auto
!
interface Ethernet0/2
switchport trunk encapsulation dot1q
switchport mode trunk
duplex auto
!
interface Ethernet0/3
shutdown
duplex auto

spanning-tree mode mst
spanning-tree mst configuration
name A
revision 1
instance 1 vlan 1-500
instance 2 vlan 501-1000
spanning-tree mst 1-2 priority 4096

SW2

spanning-tree mode mst
spanning-tree extend system-id
!
spanning-tree mst configuration
name A
revision 1
instance 1 vlan 1-500
instance 2 vlan 501-1000
!
spanning-tree mst 1 priority 4096

SW3

SW4

spanning-tree mode mst
spanning-tree extend system-id
!
spanning-tree mst configuration
name A
revision 1
instance 1 vlan 1-500
instance 2 vlan 501-1000

인스턴스별 트래픽 분산 확인

경로값 조정하기

위와 다르게 경로값을 조정하여 반대로 부하를 분산 시켜 보기. 즉, SW4의 인스턴스1은 SW3으로, 인스턴스2는 SW2로 스위칭.

default cost값은 4000000

SW4

SW4(config)#int e 0/0
SW4(config-if)#spanning-tree mst 1 cost 200001
SW4(config-if)#spanning-tree mst 2 cost 199999

복수 영역 MSTP 네트워크

MSTP 우선순위 조정하기

SW1(config)#spanning-tree mst 0 priority 0
SW1(config)#spanning-tree mst 1 priority 0

SW2(config)#spanning-tree mst 2 priority 0

SW3(config)#spanning-tree mst 0 priority 4096
SW3(config)#spanning-tree mst 1 priority 0

SW4(config)#spanning-tree mst 2 priority 0

SW4가 외부 영역과 연결되고, e0/0 포트가 CIST 대체포트여서 차단상태에 있습니다.

따라서, 모든 MSTI도 외부와 연결될때는 CIST 포트상태를 따르므로 대체포트로 동작하고, 차단상태가 됩니다.

결과적으로 두 영역간의 통신은 부하분산 되지 않고, SW1, SW3 간의 링크를 통해서만 이루어집니다.

이종 스패닝 트리 네트워크

킹오브랜스위칭 공부기록 #3

Weeding — Mon, 26 Dec 2022 17:19:33 +0900

VLAN

VLAN은 불필요한 브로드캐스트를 차단하고, 보안성 강화를 위해 논리적으로 LAN을 분할한것입니다.
또한, 부하분산을 위해서 사용합니다. VLAN을 사용하지 않으면, STP에 의해서 한쪽으로만 트래픽이 송수신되기 때문입니다. 고로, VLAN은 Layer 2 Load balancing을 가능하게 해줍니다.

VLAN 번호들은 아래와 같습니다.

1~1001 = 이더넷에서 사용합니다.
1006~4094 = 확장(extended) VLAN이라고합니다.

"사용 가능한 VLAN의 수량은 스위치 모델에 따라 다릅니다"
그러나, VLAN 당 하나씩의 스패닝 트리가 지원되는 수량은 128개입니다.
이처럼, VLAN 별로 다른 STP를 사용하는 것을 PVST라고 합니다.
129번째부터 설정하는 VLAN은 스패닝 트리가 지원되지 않습니다.

VLAN 수량이 많아지면 MSTP(Multiple Spanning Tree Protocol)을 사용하거나, 루프가 없는 네트워크를 구성하면 되기 때문에 STP를 128개만 설정할 수 있는 것은 별 제약사항이 되지 않습니다.

VLAN이 다르면 ARP 요청이 전송되지 않습니다.

고로, 하나의 VLAN당 하나의 서브넷을 할당하는 것이 가장 바람직한 방법입니다.

★ trunk port (cisco) = tagged port

트렁크 프로토콜 동작 방식

1. 액세스 포트를 통해 프레임을 수신하면 스위치(1)는 해당 프레임이 소속된 VLAN 번호를 알 수 있다.

2. 스위치(1)가 트렁크 포트롤 통해 해당 프레임을 전송하면서 VLAN 번호를 목적지 MAC 주소 뒤에 붙입니다.

트렁크 포트를 통해 프레임을 수신한 스위치(2)는 VLAN 표시를 확인하고, 이 프레임이 소속된 VLAN 번호를 알게 됩니다.

3. 스위치(2)는 VLAN 1에 소속된 모든 포트로 프레임을 전송합니다(플러딩)

802.1Q 트렁킹

802.1Q tag

type/lengh

data+padding

FCS

↓

이더타입(16 bits)
항상 값이 0x8100

우선순위(3 bits)

CFI(1 bit)

VLAN번호(12 bits)
4096개 VLAN이 지원됨.

Native VLAN

네이티브 vlan은 802.1Q 방식의 트렁킹에서만 사용됩니다.

인캡슐레이션 되지 않은 프레임도 송수신하기 때문에, VLAN 번호를 표시하지 않는 VLAN이라고 합니다.

VTP

VLAN13 / trunk / trunk / VLAN13  ---> 이 경우에는 R7과 R8이 통신이 되지 않음.

sw9에서 VLAN 13을 생성하면 자동으로 SW10,11에 이 VLAN 정보를 전달해 위와 같이 특정 스위치에 VLAN이 없어 통신이 불가능한 상황이 초래되지 않게 하는 것이 "VTP(Vlan Trunking Protocol)" 입니다.

STP

종단 VLAN & 지역 VLAN

하나의 VLAN이 전체 스위치 네트워크에 걸쳐 있는 것을 종단 VLAN 네트워크라하며, 하나의 VLAN이 스위치 네트워크중 일부분에만 존재하는 것을 "지역 VLAN 네트워크" 라 합니다.

지역 VLAN이 설정 및 조정이 편하고 유지보수 및 장애처리도 간단합니다.

왜냐면 루트 스위치를 조정할 필요가 없기 때문입니다. 루트 스위치 조정이 필요한 경우는 동일한 VLAN에 의해 물리적인 루프가 만들어지는 경우입니다. 보통 게이트웨이 이중화 프로토콜의 부하분산이나 Routed port와 SVI를 활용해 STP를 조정할 필요가 없이 만듭니다.

컨버전스 시간 조정

Convergence 시간이란 토폴로지 변화가 일어났을 때, 이를 반영하여 네트워크가 재구성될 때 까지의 소요 시간입니다.

별도의 조정이 없을 시 STP는 30초 또는 50초동안 스위치 네트워크의 다운 상태가 지속됩니다.

컨버전스 시간을 줄이는 방법(포트 상태 단계를 SKIP 하여, 빠른 Forwarding을 가져가는 기술들)

1. portfast

- 포트가 활성화되면 바로 전송상태(Forwarding)가 되게 하는 것입니다. (30초 절약)

- 기본적으로 portfast는 access 포트에서만 동작하지만, 트렁크에도 동작시킬 수 있음.

- 전체 설정 (권장 x, 일시적인 프레임 루프가 발생할 수 있음)

SW3(config)#spanning-tree portfast default

- 인터페이스에 포트 설정

SW3(config)#int e0/0

SW3(config-if)#spanning-tree portfast

%Warning: portfast should only be enabled on ports connected to a single
host. Connecting hubs, concentrators, switches, bridges, etc... to this
interface when portfast is enabled, can cause temporary bridging loops.
Use with CAUTION

- 트렁크 포트에 포트패스트 동작시키기

SW3(config)#spanning-tree portfast trunk

2. uplinkfast

- 직접 연결된 링크가 다운되었을 때 차단상태(Block)에 있는 포트를 즉시 전송상태(Forwarding)로 변경시키는 역할을 합니다. (30초 절약)

SW3(config)#spanning-tree uplinkfast
SW3(config)#
*Dec 26 05:58:57.706: setting bridge id (which=1) prio 49153 prio cfg 49152 sysid 1 (on) id C001.aabb.cc00.a000

SW3(config)#int e 0/1
SW3(config-if)#no sh
SW3(config-if)#sh
SW3(config-if)#
*Dec 26 06:01:44.436: STP: VLAN0001 new root port Et0/2, cost 3200
*Dec 26 06:01:44.436: %SPANTREE_FAST-7-PORT_FWD_UPLINK: VLAN0001 Ethernet0/2 moved to Forwarding (UplinkFast).

SW3(config-if)#no sh
SW3(config-if)#
*Dec 26 06:01:55.655: set portid: VLAN0001 Et0/1: new port id 8002
*Dec 26 06:01:55.655: STP: VLAN0001 Et0/1 -> listening
*Dec 26 06:01:56.442: STP: VLAN0001 Et0/1: root port delay timer active
*Dec 26 06:01:56.442: STP: VLAN0001 Et0/1 -> blocking

3. backbonefast

- 직접 접속되어 있지 않은 간접 링크가 다운되었을 때, 차단상태의 포트에서 맥스 에이지(기본 20초)를 생략하고 청취상태로 변경 시킵니다. 결과적으로 간접 링크 다운시의 기본적인 스패닝 트리 컨버전스 시간 50초를 30초로 단축시킵니다.

- 백본패스트가 설정되지 않았을 때의 동작 확인.

SW3은 SW2에서 후순위 BPDU를 10번 수신한다. (20초)

- 백본패스트 설정 후 동작 확인

SW3이 SW2에서 후순위 BPDU를 수신하는 즉시 SW2와 연결되는 포트를 Blocking에서 listening으로 변경함.

모드	설정 위치	명령어	효과
포트패스트	인터페이스	spanning-tree portfast	즉시 전송상태, 30초 절약
업링크패스트	액세스 스위치	spanning-tree uplinkfast	즉시 전송상태, 30초 절약
백본패스트	모든 스위치	spanning-tree backbonefast	맥스 에이지 생략, 20초 절약

4. Hello 주기, Max age 및 전송 지연시간 직접 조정

SW1(config)#spanning-tree vlan 1 hello-time ?
<1-10> number of seconds between generation of config BPDUs
SW1(config)#spanning-tree vlan 1 hello-time 1

SW1(config)#spanning-tree vlan 1 max-age ?
<6-40> maximum number of seconds the information in a BPDU is valid
SW1(config)#spanning-tree vlan 1 max-age 15

SW1(config)#spanning-tree vlan 1 forward-time 10

5. RSTP

6. MSTP

STP 네트워크 보호 기술

1. BPDU 가드

포트를 통해서 BPDU를 수신했을 때 해당 포트를 자동으로 셧다운 시키는 기능입니다. 관리자가 인터페이스에서 no sh을 해야만 포트가 살아나게 됩니다.

보통 BPDU가드는 PC나 서버 등 종단장치가 접속된 포트가 BPDU를 수신했을 때 해당 포트를 차단합니다. 왜냐면 종단장치가 접속된 포트가 BPDU를 수신한다는 것은 무단으로 침입당하거나 해킹 공격을 받는다는 의미가 많기 때문입니다.

2. BPDU 필터링

특정 포트로 BPDU를 보내거나 받지 않게 하는 기능을 말합니다. 종단 장치에 불필요한 부하가 걸리는 것을 방지할 수 있습니다. (비권장)

3. 루프 가드

차단상태에 있는 포트가 상태 포트에서 BPDU를 받지 못했을 때 전송상태로 변경되는 것을 방지하는 기능입니다.

즉, 대체포트가 BPDU를 수신하지 못해도 차단상태를 전송상태로 변경하지 못하게 하면 되고, 이런 기능을 하는 것이 루프가드입니다.

4. 루트 가드

- 이미 구성되어 있는 망에, 추가로 스위치가 붙었을 경우에 STP 토폴로지의 변화를 막는 기술입니다.

- Root Guard를 enable한 포트에 새로운 스위치가 붙었을 때 새로운 스위치가 Root Bridge-ID 보다 좋은 BID을 가지고 있으면, 해당 포트를 shutdown을 실시 한다.
- 차후, 기존의 Root Bridge-ID보다 안 좋은 조건의 BPDU를 수신하면, 해당 포트를 다시 활성화를 실시 한다.

- spanning-tree guard root

VLAN 부하분산

load balancing이란 복수개의 경로로 트래픽을 분산시키는 것을 말합니다.

VLAN 부하분산을 구현하려면 반드시 VLAN이 2개 이상이어야하고, 스위치가 물리적으로 루프 구조를 가져야 합니다.

**네트워크가 모두 레이어 3스위치로 구성되어 있다면 레이어 2 부하분산 기능은 신경 쓸 필요가 없습니다.

왜냐하면 레이어 3 부하분산이 훨씬 더 정교하고 효율적이기 때문입니다.

VLAN 부하분산에 영향을 미치는 네가지 요소

(루트ID, 경로값, 브리지ID, 포트ID)

1. 경로값을 이용한 부하분산

- 경로값을 기본값인 19보다 더 줄여주면 됨.

- 직접 조정할 수 있어 직관적이고 편리함.

SW4(config-if)#spanning-tree vlan 20 cost 5

2. 브리지 ID를 이용한 부하분산

SW2(config)#spanning-tree vlan 10 prioirty 4096

3. 포트 ID를 이용한 부하분산

- 포트 우선순위를 기본값인 128보다 낮추면 됨.

SW1(config-if)#spanning-tree vlan 20 port-priority 16

** 두 대의 스위치가 복수개의 링크로 연결되어 있는 경우에는 포트 ID를 이용한 부하분산보다는 이더채널로 구성하는 것이 효율적입니다.

이더채널

두 스위치간에 연결된 복수개의 포트를 하나의 포트처럼 동작시키는것입니다.

시스코가 아닌 다른 벤더에서는 트렁크라고 부르기도 합니다. 종류에 따라 패스트 이더채널, 기가비트 이더채널, 10G 이더채널이라고도 합니다. 이더채널 포트 종류를 물리적인 인터페이스에서 지정하는 것이 편리하기 때문에 라우티드 포트로 동작시키는게 좋습니다.

**PAgP(Port AGgregation Protocol) : 최대 8개 포트까지 구성

**LACP(Link Aggregation Control Protocol) : 최대 16개 구성(8개사용/8개백업)

active	무조건 LACP를 사용
auto	PAgP를 사용할 경우에만 PAgP를 활성화
desirable	무조건 PAgP를 사용
on	협상 없이 이더채널 멤버 포트를 모두 활성화 (상대 스위치 설정을 확인하지 않아 패킷손실발생 위험)
passive	LACP를 사용할 경우에만 LACP 사용