전체 글

컨테이너란?컨테이너는 운영체제 수준의 가상화 기술로 리눅스 커널을 공유하면서 프로세스를 격리된 환경에서 실행하는 기술이다.커널을 공유하는 방식이기 때문에 VM에 비해서 실행 속도가 빠르고 성능상의 손실이 거의 없다.컨테이너를 통해 실행된 프로세스는 name space, cgroup, chroot등의 커널 기능을 이용해 격리된다. 컨테이너에서 사용하는 프로세스 격리 기능컨테이너 구현에는 리눅스 네임스페이스, 루트 디렉토리 격리, 컨트롤 그룹, 캐퍼빌리티, 유니온 마운트 같은 기술을 사용하여 프로세스를 격리한다. 네임스페이스네임스페이스는 특정 프로세스의 리눅스 리소스 접근을 제어하기 위해 사용되는 기능이다.네임스페이스의 종류는 다양하게 존재하며 이 기능을 이용해 프로세스 ID, 네트워크, 도메인 등을 격리..

Bidirectional Forwarding Detection란BFD는 링크 다운을 빠르게 네트워크상으로 전파하기 위한 프로토콜이다.모든 라우팅프로토콜은 링크다운을 파악하는 메커니즘이 존재하지만 조금 느리다.BFD는 라우팅 프로토콜과 독립적으로 실행되며 라우팅 프로토콜에 설정하여 링크 다운을 빠르게 전파하도록 할 수 있다. 라우터에 BFD가 설정되면 control packet을 주고받는다.링크가 다운되어 BFD가 control packet을 받지 못하면 OSPF와 같은 라우팅 프로토콜에 링크 다운 상태를 보고한다.상황을 인지한 라우팅프로토콜은 해당 링크를 토폴로지에서 제외하는 등의 추가적인 조치를 취한다. 간단한 토폴로지에서 BFD 설정을하고 링크를 다운시켜보자. # 50밀리초마다 패킷을 보낸다 min_..

Prefix List란Prefix list는 네트워크주소나 서브넷을 관리하는데 사용된다.비슷한 개념으로 ACL을 통해서도 네트워크 주소나 서브넷 주소를 관리할 수 있는데 ACL보다 훨씬 유연한 기능을 제공한다. EIGRP로 라우팅 정보를 교환하는 위와 같은 토폴로지에서 Prefix list 실습을 해보자. IOU1은 EIGRP를 통해서 총 4개의 라우팅 정보를 광고 받고 있다. ip prefix-list FILTERTHIS seq 5 deny 172.16.1.0/24ip prefix-list FILTERTHIS seq 10 permit 0.0.0.0/0 le 32router eigrp 1distribute-list prefix FILTERTHIS inip prefix-list라는 명령어를 통해서 프리픽스..

Policy Based Routing이란PBR은 특정 트래픽의 Next Hop IP를 바꿔주는 기술이다.라우팅테이블을 무시하고 특정 트래픽의 경로를 변경시킬 때 유용하다. 위와 같은 토폴로지에 OSPF를 설정했다.일반적으로 PC1에서 4.4.4.4로 가는 트래픽은 IOU1에서 로드밸런싱 될 것이다. trace를 찍어보면 트래픽이 IOU2와, IOU3을 번갈아가면서 지나가는 것을 확인 할 수 있다.이런상황에서 PBR을 이용하면 트래픽이 한 쪽으로만 흐르도록 설정 할 수 있다. # IOS1ip access-list extended ICMP_H1 # 특정 트래픽을 선택하기 위한 ACLpermit icmp host 192.168.1.100 host 4.4.4.4route-map PBR_H1 permit 10 #..

정적 라우팅이란?라우팅 프로토콜이란, 라우터 사이에서 라우팅 정보를 교환하기 위해서 사용하는 프로토콜이다.관리자가 직접 라우팅 정보를 넣어주는 방법을 정적 라우팅, 라우터간 정보를 교환하여 라우팅 정보를 채우는 방법을 동적 라우팅이라고 한다. 정적 라우팅 설정 방법PC1에서 PC2로 ping을 성공 시킬 수 있도록 라우팅을 구성할 것이다. 라우팅 정보를 추가하지 않으니 패킷이 192.168.1.254에 도달한 후 목적지를 찾을 수 없다고한다.IOU1의 라우팅 정보를 확인해보자. IOU1의 라우팅 정보에는 192.168.2.0 네트워크에 대한 정보가 없다.Static Routing 설정을 추가해주자. 설정 방법은 [네트워크 주소] [서브넷 마스크] [넥스트 홉 아이피] 형태로 설정을 넣어주면 된다. 라우팅..

Administrative Distance란?Administrative Distance는 동일 목적지로 가는 다른 라우팅 프로토콜로 부터 학습된 여러 경로가 존재할 때 경로를 선택하는 기준이 되는 값이다.위와 같은 그림에서 동일 경로로 이동할 때 EIGRP를 통해 받은경로, OSPF로부터 받은 경로가 있을 때 AD 값이 더 낮은 EIGRP의 경로를 선택한다. 위 표는 라우팅 프로토콜들의 기본 AD 값을 나타낸 것이며 정적 라우팅을 설정했을 때 AD 값이 1로 잘 잡혀있는 것을 볼 수 있다. 정리AD값은 2개이상의 라우팅 프로토콜이 목적지로 가는 경로를 라우터에 제공할 때, 라우터가 경로를 선택하는 기준이 되는 값이다.일반적으로 직접 연결되거나, 정적 라우팅의 AD 값이 낮아서 우선고려된다.AD 값을 조절..

이번 글에서는 라우팅의 기본적인 특징을 정리하려고한다.Summarization과 AD 수정같은 기능은 다른 글에서 다룬다. 스위칭과 라우팅의 차이스위치는 L2 계층에서 MAC 주소를 기반으로 패킷을 목적지로 전달하고, 라우터는 L3계층에서 IP 주소를 기반으로 패킷을 전달한다.MAC주소와 달리 IP 주소는 계층적 구조를 가지고 있기 때문에 적은 정보 만으로 데이터를 목적지로 전달할 수 있다. 라우팅 과정라우팅과정을 이해하기 위해서 PC1에서 PC2로 패킷을 전송하는 과정을 살펴보자. PC1은 출발지 IP에 192.168.1.1을 담고 목적지 IP에 PC2의 주소를 담아서 패킷을 만든다.출발지 주소와 목적지 주소가 같은 네트워크에 있는지 확인(서브넷 마스크 이용)같은 네트워크에 있으면 MAC 주소를 확인후..

VPC PeeringVPC 피어링은 서로 다른 두 VPC 간 트래픽을 라우팅할 수 있게 하기 위한 VPC 사이의 네트워크 연결이다.사용자는 자체 VPC 또는 다른 계정의 VPC와 피어링을 통해 서로 통신할 수 있는 상태로 만들 수 있다.추가적인 물리적 하드웨어에 의존하지 않기 때문에 통신 또는 대역폭에 단일 장애지점이 없다.VPC간 연결이므로 사설 IP 이용하여 통신할 수 있고 인터넷으로부터 보호된다.실제 설정을 할 때는 반드시 라우팅 테이블을 업데이트 해줘야한다.

AWS 네트워크에서 보안 기능을 담당하는 Security Group과 NACL에 대해서 알아보자. Security Group인스턴스레벨에서 동작하는 방화벽 같은 기능이다.NACL과 달리 Allow Rule만 적용할 수 있다. NACL이란?NACL은 subnet에서 사용하는 트래픽 흐름을 컨트롤 하는 방화벽 같은 기능이다.서브넷마다 하나의 NACL을 할당할 수 있으며 추가적으로 설정하지 않으면 기본 NACL이 설정된다.NACL룰은 직접 설정할 수 있으며 가장 상단에 있는 규칙이 우선 적용된다.(온프램 네트웍의 ACL과 동일함)

기본적으로 Private Subnet에 존재하는 인스턴스에는 AWS 네트워크 외부에서 접근이 불가능하다.하지만, 서버를 관리하기 위해서 Private Subnet에 존재하는 인스턴스에 접근하는 것은 필수적이다.이번 글에서는 Private Subnet에 존재하는 인스턴스에 접근하는 방법을 정리한다. Bastion Host바스티온 호스트는 퍼블릭 서브넷에 존재하는 EC2 인스턴스로 Private Subnet에 존재하는 EC2에 접근하기 위한 중간 다리 역할을 하는 인스턴스이다.외부 사용 자는 Bastion Host로 SSH 접속을 한 후 Bastion Host에서 Private Subnet의 EC2로 SSH 접근을 한다.Private Subnet의 보안 그룹이 Bastion Host의 접근을 허용하도록 설정..

VPC란?VPC(Virtual Private Cloud)를 사용하면 논리적인 가상의 네트워크에 AWS 리소스를 배치하고 사용할 수 있다.모든 AWS 계정은 default VPC를 가진다.새로운 EC2 인스턴스는 서브넷이 설정되지 않으면 default VPC 내부에서 시작된다.default VPC는 인터넷 연결을 가지며 모든 EC2 인스턴스는 공인 IPv4 주소를 가진다. VPC 특징AWS 리전내부에 여러개의 VPC를 운영할 수 있다.VPC의 CIDR은 /28 부터 /16까지 이용 가능하다.VPC는 사설네트워크이기 때문에 사설 네트워크 대역만 사용가능하다. 서브넷AWS에서는 VPC 내부에 직접 리소스를 배치하는 것이 아닌 VPC를 서브넷을 통해 여러개의 작은 네트워크로 나누고, 서브넷에 AWS 리소스를 배..

Etherchanneletherchannel은 물리적으로 여러개의 링크를 논리적으로 하나의 링크로 다루는 기술이다. 좌측의 2개의 PC에서 800, 600의 용량을 가지는 트래픽을 전송했다고 생각해보자.스위치 사이의 링크는 1000이고 트래픽의 용량은 1400이기 때문에 스위치 사이의 링크가 병목지점이 된다.병목 지점을 해소하기 위해서 스위치 사이의 링크가 더 높은 용량을 가지는 링크로 변경을 할 수 있고, 스위치 사이에 링크를 추가하는 방법을 생각해 볼 수 있다. 스위치 사이에 링크를 추가했다.이제는 STP때문에 하나의 포트가 Block 된다.원래의 의도와는 달리 2개의 링크를 사용 할 수 없게 되었다.Etherchannel은 이러한 문제를 해결해주는 기술로 여러개의 링크를 하나의 논리적인 링크로 보게..