AdminID.kr (어드민아이디) - 스위치

H514G 모뎀 대신 사용가능한 허브 iptime H5005-IGMP

JAESOO — Fri, 28 Aug 2015 09:51:33 +0000

이번에 iptime사에서 새로 출시한 허브인데요. 기존 SK기가라이트 인터넷을쓰시는 분들은

이렇게 생긴 H514G라는 모뎀을 달아주셨을 겁니다. 하지만 이모뎀에는 제한이 쫌 있죠. 그래서 이번에iptime이 저 모뎀을 대신하여쓸수있는 기가라이트 지원 허브를 출시하였습니다. iptime측에서도 소프트웨어적으로 해결해볼려 했지만 기술적인 문제로 새로 출시하였다고 합니다.

바로 이 H5005-IGMP라는 허브인데요. 사진을보시다시피 기가라이트를 지원한다고 되어있습니다. 보통은 4-wire로 100mbps의 인터넷을 지원하죠. 하지만 SK에서 새롭게서비스하는 기가라이트는 4-wire로 500mbps를 지원하기때문에 기존 공유기들의 지원하지못하는 점을 가만하여 H514G라는 모뎀을 달아준것 입니다.

이번에 출시한 허브는 4-wire로 500mbps의 속도를 사용할수 있기에 기존 SK모뎀을 빼시고 이허브를 끼우셔도 500mbps의 속도를 사용하실 수 있습니다. 또한 SK의 모뎀보다 기능도 많고 무상as도 2년으로 늘어서 괜찮은 제품 이라고 생각됩니다.

출처 : http://24abcd.tistory.com/12

케이블 교체 공사없이 제공되는 기가급 (300~500Mbps) 인터넷 서비스란?

JAESOO — Fri, 28 Aug 2015 09:47:53 +0000

올해 들어 아파트내 구내 배선 시스템에 변경없이 인터넷 속도를 100 Mbps에서 300~500 Mbps로 순식간에 올려주는 기술들이 국내에서 개발되어 연내 상용화한다는 이야기들이 많이 나오고 있습니다. 우리나라는 거의 10년에 가깝게 100 Mbps에 묶여 있었는 데, 오랜만에 들리는 낭보네요. 이 글에서는 이 서비스들이 무엇이고 어떤 구내 배선시스템 환경에서 적용되는 지 알아보도록 하겠습니다.

먼저 배경을 생각해 보지요.

현재 국내 통신 3사는 스타벅스같은 Hot-Spot에서 기가 와이파이 서비스(801.11ac)를 제공하고 있으며, 실제로 측정해보면 250~400 Mbps 정도의 속도가 나옵니다. 이를 위해 통신사들은 AP가 접속하는 유선 액세스망을 1Gbps로 증설했고요. 하지만 일반 가정은 유선 최고 속도가 100 Mbps이기 때문에 기가 와이파이 서비스가 제공되고 있지 않고 있습니다. 댁내 기가 와이파이 서비스를 제공하기 위해서는 유선 액세스 속도가 수백 Mbps는 나와야 하겠지요.

KT와 SKB가 올해 9월부터 개시하는 4K UHD IPTV 서비스도 품질에 걱정이 제기되고 있습니다. 인터넷 품질 측정 사이트인 벤치비에 따르면, 최대 속도가 100Mbps인 VDSL2의 경우 실제 평균 속도는 40~70 Mbps 정도 (KT)이며, 역시 최대 속도가 100 Mbps인 광랜과 FTTH의 경우도 40~80 Mbps (KT, SK Broadband, LG U+ 모두)입니다. 4K UHD 서비스가 15~30 Mbps의 대역폭을 필요로 하므로 한 집에 TV가 보통 복수대 있는 가정은 안정적인 품질 보장에 문제가 있을 수 있겠지요.

이러한 배경에서 우리나라의 통신 3사들은 아파트 거주 세대를 대상으로 기존의 전화선 기반 (VDSL2)과 UTP 기반 (Cat5/Cat5e)의 100 Mbps 인터넷 서비스의 속도를 300~500 Mbps로 향상시키는 작업을 진행하고 있습니다.

3사의 전략의 공통점은 기존 아파트에 설치된 케이블 선로의 교체 없이 새로운 액세스 기술을 사용하여 인터넷 속도를 3~5배로 빠르게 해준다는 것입니다 (KT 관계자분에 의하면, "건물내 케이블은 모두 건물주의 소유물이고, 주민들의 협상-동의를 걸쳐서 돈을 내고 깔아야 하는 매우 힘든 작업입니다. GiGA Wire 기술은 그러한 절차 없이 신속한 속도 업그레이드가 가능하다는 점이 장점입니다" 라고 하시네요).

♦ 먼저 KT의 GiGa Wire에 관해 알아보겠습니다.

그림 1. KT의 GiGA Wire 서비스 구성도 (제공: KT)

KT는 기존 전화선 (1 pair)상으로 300 Mbps이상의 다운로드 속도를 제공해주는 GiGA Wire 서비스를 준비하고 있습니다. 그러니까, 20~30년전에 지은 - 전화선만 각 세대에 인입되어 있는 - 오래된 아파트에 거주하고 있는 세대도 초초고속 인터넷 서비스를 누릴 수 있게 해준다는 것이지요.

GiGA Wire는 ITU-T G.hn 표준 (Line modulation: OFDM/DMT, Duplexing: TDD) 기반으로 KT의 특허 기술이 가미된 기술로 Marvell사가 칩을 개발하고 국내 ubiQuoss가 시스템 (GAM: G.hn Access Multiplexer ~ xDSL로 보면 DSLAM에 해당, GNT: G.hn Network Terminal ~ xDSL로 보면 모뎀에 해당)을 개발했습니다. 아래 Marvell사의 G.hn 성능 그래프를 보면 100m에서 대략 500 Mbps정도 나오네요.

KT는 Crosstalk, 노후화된 구내 배선망 등으로 인한 실환경에서의 속도 저하를 고려해 300 Mbps 정도로 서비스 컨셉을 잡은 것 같습니다. KT는 GiGA Wire 서비스를 올해 하반기에 출시할 예정이라고 합니다 (요금제를 어떻게 할 지 궁금하네요).

그림 2. 유비쿼스의 G.hn 장비와 거리에 따른 성능 (Source: Marvell and ubiQuoss)

♦ SK Broadband와 LG U+는?

SKB와 LG U+의 타켓은 KT와 좀 다른데요, 전화선 번들만 설치되어 있는 예전에 만들어진 아파트말고 그 이후에 만들어 졌거나 자신들이 돈을 들어 추가로 UTP 케이블링을 해놓은 아파트들이 대상입니다. 즉, CAT5 케이블이 설치되어 있는 아파트들입니다. 500만 세대가 넘는다고 하네요. 물론 Cat5e 케이블이 배선되어 있는 아파트도 적용할 수 있습니다.

1Gbps은 4-pair (Cat5e)가 필요하고 100 Mbps는 2-pair (Cat5)가 필요합니다. 우리가 흔히 광랜이라고 하는 서비스는 아파트 각 세대에 4-pair가 인입되고 이중에 1-pair는 전화 (POTS폰), 2-pair가 인터넷 (100Mbps)용으로 사용됩니다. 1Gbps를 쓰려면 4-pair를 다 사용해야 하고 케이블도 Cat5e이어야 해서 추가 케이블링이 요구됩니다.

SK Broadband와 LG U+는 추가 배선 공사없이 100 Mbps 이상의 인터넷 속도를 제공해주기 위해 기존처럼 Cat5 케이블 2-pair만을 이용해 500 Mbps의 속도를 제공해주는 기술을 개발한 것입니다 (100m거리에서 상하향 대칭형 500Mbps). 물론 표준은 아닙니다. SKB는 HFR이 장비를 개발했고 LG U+는 다산과 유비쿼스가 개발했습니다.

그림 3. 유선 액세스망의 혁신 - 2-pair로도 500 Mbps 속도 제공

KT는 전화선만 배선되어 있는 아파트들까지 기가급으로, SK Telecom과 LG U+는 UTP 배선이 되어 있는 아파트들만 대상으로 한다는 것은 다릅니다. 역시 유선은 KT가 큰 형님이네요.

거의 10년에 가깝도록 정체되어 있던 우리나라 초고속 인터넷이 조만간 기가급으로 진보하는 것이 확실해 보입니다. 물론 궁극적으로는 모든 집마다 광케이블을 인입해주는 FTTH으로 가겠지만 배선공사가 어려운 오래된 아파트들을 대상으로 배선 공사없이 수백Mbps의 속도를 제공하려는 우리 나라 통신 3사가 참 대단합니다.

출처 : http://osmanias.com/bbs/board.php?bo_table=newest&wr_id=2645

[네트워크 트러블 슈팅 ④] 네트워크 장비별 트러블 슈팅

JAESOO — Mon, 15 Jun 2015 20:23:56 +0000

이미 네트워크는 특정인만의 전유물이 아니기에 네트워크상에서 발생하는 수많은 장애는 고스란히 컴퓨터를 사용하는 모든 사람들에게 영향을 주게 마련이다. 네트워크로 인해 발생하는 장애는 업무처리를 방해하기도 하지만 이렇다 할 해결책을 찾기란 쉽지 않은 일이다. 특집 4부에서는 네트워크를 이루는 장비들 사이에서 발생하는 장애요인과 그 해결방법들에 대해 알아본다.

네트워크를 배제한 상태에서 단 한대의 컴퓨터만 사용한다 하더라도 여러 문제들 탓에 컴퓨터가 말썽을 부리게 마련. 하물며 오늘날처럼 지구상의 거의 모든 컴퓨터들이 복잡한 네트워크를 통해 연결되어 있고 서로 영향을 주는 상황에서 생길 수 있는 문제가 얼마나 많을지는 말하지 않아도 알 수 있을 것이다.

물론, 그 수 많은 문제들 중 보다 빈도가 높고 찾기 쉬운 문제들도 있다. 그것이 바로 이번 부에서 알아볼 물리적 장비들이 일으키는 문제들이다.

네트워크에서 문제를 일으키는 가장 대표적인 원인은 주로 케이블 불량이나 규격 이상, 전원문제처럼 물리적인 요소와 이상 패킷, 불량 프레임, 상이한 프로토콜이나 호환 문제 등이다.

이런 논리적 요소를 네트워크를 구성하는 일곱 개 레이어 중 가장 아랫단에 있는 레이어 1과 레이어 2라고 부른다. 여기에서는 레이어 1과 2를 구성하는 요소와 그것들이 일으키는 문제들에 대해 알아본다.

문제의 시작은 케이블

네트워크를 하기 위해서 가장 중요하고 또 많이 쓰이는 것이 바로 케이블이다. 한편 많이 사용되는 만큼 가장 쉽게 문제의 원인이 되기도 한다. 케이블은 단순히 PC와 PC를 연결하기만 하는 것이 아니다. 장비와 장비를 연결해 주는 중요한 역할도 수행한다. 인터넷 망도 어떻게 보면 장비와 케이블의 조화라고 할 수 있다.

만약 갑자기 네트워크 장애가 발생한다면 자신의 랜 카드 LED가 정상적으로 반짝이는지 확인하거나 윈도우의 네트워크 상태 창을 통해 랜 카드의 작동 상태를 확인해야 한다. 그 다음으로 확인해 보아야 할 것이 바로 대부분의 경우 의심하지 않는 케이블이다.

필자가 모 대학교의 전산망을 유지 보수하던 때의 일이다. 건물 한 동 전체가 인터넷이 안 된다고 신고가 들어와 현장에 나가 보았다. 도착해서 제일 먼저 장비를 확인해 보았다. 장비에서는 문제가 발생하면 가장 간단히 확인 할 수 있는 것이 LED(상태를 나타내는 램프)이다. LED는 정상적이었고 달리 무엇이 문제인지 알 수가 없었다.

당시만해도 필자 역시 경험이 많지 않아 설마 케이블이 불량일거라는 생각은 하지도 못했다. 아무리 장비들을 확인해봐도 이상이 없어서 지푸라기라도 잡는 심정으로 확인해 본 것이 케이블. 확인 결과 건물과 백본 스위치(Backbone Switch)를 연결하는 케이블이 불량이라는 사실을 알 수 있었다. 케이블이 얼마나 중요한지 새삼 깨달을 수 있는 경험이었다.

꼭 불량이 아니더라도 케이블 때문에 생길 수 있는 문제는 참 많다. 여기에서는 먼저 우리가 많이 사용하는 케이블의 종류와 불량케이블을 확인할 수 있는 방법에 대해서 알아보자. 일반적으로 PC와 장비를 연결할 때에는 대부분 TP(Twisted-pair) 케이블을 사용한다. 우리말로는 ‘꼬인 선’ 정도로 풀이 된다.

TP 케이블은 다시 UTP와 STP 케이블로 구분된다. STP케이블은 잘라보면 전선에 절연체가 덥혀 있어 전기적인 특성을 많이 타지 않는 것이 특징이지만 가격이 비싸서 많이 사용되지는 않는다.

UTP는 Unshielded Twisted-pair의 약어로 STP(Shielded Twisted-pair)케이블과는 다르게 케이블을 잘랐을 때 따로 절연체(은박지)로 덥혀 있지 않은 케이블이다. 흔히 사용되는 UTP는 다시 1에서 6까지의 카테고리로 나뉜다.

카테고리를 나누는 기준은 케이블의 전송속도와 형태이다. 현재 LAN 환경에서는 대부분이 카테고리 5이상 사용하고 있다. <표 1>은 UTP 케이블의 규격을 나타난 것이다.

만약 자신의 랜 카드가 1Gbps를 지원하는 랜 카드이고 스위치 가 1Gbps를 지원 한다면 케이블은 카테고리 5-e 이상의 규격을 사용하여야 정상적인 속도를 제공받을 수 있다.

TP 케이블

UTP케이블 다음으로 많이 사용되며 최근에 많은 주목을 받는 케이블은 광케이블이다. TP케이블은 100M 이상의 거리에서 사용하기 어렵다는 단점이 있지만 광케이블의 경우는 수 미터에서 수백 킬로미터까지 데이터전송에 제한이 없기 때문이다. 보통 백본 스위치, 워크그룹 스위치(Workgroup Switch)와 서버를 연결할 때는 광케이블을 사용한다. <표 2>는 케이블 커넥터의 일반적인 타입 종류들이다.

UTP 케이블 규격

광케이블은 거리에 따라 멀티모드 케이블과 싱글 모도 케이블로 나뉜다. 멀티모드 케이블은 최대전송거리 2Km, 싱글 모드 케이블은 기본적으로 장비의 종류에 따라 전송거리를 제공하므로 전송거리가 2Km 이상 일 때 구성되는 케이블이다.

컴퓨터간 통신 에러의 주범 케이블
컴퓨터와 장비(Switch나 Hub)를 연결할 때는 <그림 1>와 같은 모양의 다이렉트 케이블(Direct cable)을 사용한다. 그런데 이 다이렉트 케이블을 컴퓨터와 컴퓨터를 연결하는 데에 사용하여 문제가 발생하는 경우가 종종 있다. 컴퓨터와 컴퓨터를 연결할 때에 다이렉트 케이블을 사용하면 네트워크를 구성할 수 없다.

컴퓨터와 컴퓨터를 연결해야 할 때에는 <그림 2>와 같은 모양의 크로스 케이블(Cross cable)을 사용해야 한다. 다이렉트 케이블과 크로스 케이블을 구분하는 가장 확실한 방법은 케이블의 양쪽 끝 모양을 확인하는 것이다.

케이블 양 끝의 선 순서가 같으면 다이렉트 케이블이고 그렇지 않으면 크로스 케이블이다. 또, 양 끝의 선 순서가 다르다고 무조건 제대로 된 크로스케이블이 아니며 <그림 2>처럼 1, 2, 3, 6 번 선의 순서가 제대로 배열되어 있어야 한다.

광 커넥터의 종류

다이렉트 케이블 선 배열

간혹 네트워크가 느려지는 원인으로 케이블 불량을 의심하기도 하는데, 케이블 탓에 네트워크가 느려지는 경우는 흔치 않다. 케이블에 문제가 있다면 아예 네트워크 접속 자체가 안 되는 탓이다.

크로스 케이블 선 배열

만약, <그림 1> <그림 2>와 같이 적절한 케이블을 사용했는데도 네트워크 연결이 되지 않는다면 TP 케이블 테스터를 사용해서 케이블의 상태를 확인할 수 있다.

전파사 등에서 <화면 2>와 같은 모양의 TP 케이블 테스터(일명: 랜 테스터)를 구입한 뒤에 케이블 양 끝을 테스터에 꼽으면 케이블 상태를 확인할 수 있다. 테스트 결과 케이블의 상태가 좋지 않다면 케이블을 보수하는 대신 교체하는 편이 좋다.

광케이블을 사용하는데 접속이 불량일 때의 원인과 해결법
광케이블은 먼지나 구부러짐(bending)에 매우 민감하기 때문에 주로 이러한 원인이 트러블을 일으키게 된다. 광케이블의 가장 중요한 요소가 바로 빛의 세기(dB)인데 먼지나 구부러짐으로 인해 빛의 세기가 줄어들거나 단선을 유발하는 탓이다. 혹은 광케이블 연결에 사용하는 컨버터인 GBIC(GigaBit I/F Converter)의 불량이 비슷한 증상을 유발하기도 한다.

TP 케이블 테스터

물론, 케이블의 빛의 세기가 무조건 높다고 좋은 것이 아니기에 적당한 세기(-3dB ~ -19dB)로 맞춰 주어야 한다. 광케이블을 사용하고 있는데 접속이 불량하거나 속도가 느려진다면 옵티컬 파워 미터(Optical Power meter)를 이용해서 빛의 세기를 측정한다.

일반적으로 dB 값이 너무 높을 경우 광 소자가 문제를 일으키게 되고, 너무 낮으면 접속이 되지 않는다. 옵티컬 파워 미터로 빛의 세기를 측정한 결과 빛이 너무 강하면 감쇄기를 사용해서 적정 수준으로 맞춘다. 빛의 세기가 너무 약할 때에는 해당 모듈이나 장비를 교체해야 한다. 일반적으로 너무 낮을 경우에는 장비 불량도 일부 있지만, 지빅(GBIC)이나 FX모듈(100M 광 모듈) 불량일 때가 많다.

옵티컬 파워미터(Optical Power meter)

일반적으로 네트워크에서 가장 흔히 접하는 도구가 바로 NIC(Network Interface Card) 즉 랜 카드이다. 도스 시절이나 윈도우의 초기처럼 일일이 시스템 파일을 만지고 드라이브를 설치할 필요 없이 윈도우를 설치할 때 자동으로 인식되는 랜 카드.

본체에 연결만 해 두면 대부분 별다른 문제없이 잘 돌아가기 때문에 별로 신경이 가지 않는 랜 카드지만, 한번 골을 냈다 하면 대형 사고를 치는 도구이기도 하다. 랜 카드가 일으키는 장애와 해결방법에 대해 알아보자.

랜 카드도 장애요인?

랜 카드도 대형장애의 원인
몇 달 전 필자가 관리하는 네트워크 장비 중에 중요한 스위치가 다운된 적이 있다. 사실 네트워크 관리자라 하더라도 이렇게 느닷없이 스위치가 다운되는 원인을 찾기란 쉽지 않은 일이다. 많은 컴퓨터 사용자가 그러하듯 원인을 파악하기 어려운 문제가 발생할 경우 네트워크 관리자들도 빠른 복구를 위해 해당 장비를 리부팅하는 방법을 사용한다.

필자도 가장 빠르고 확실한 해결을 위해 이 방법을 택했지만 같은 문제가 일주일 동안 지속되니 뭔가 대책이 필요했다. 네트워크를 트래픽을 분석해 보니 서버의 랜 카드가 불량 트래픽을 발생시켜서 전체 스위치에 영향을 주고 있었다.

우선 해당 시간에 백본 라우터는 EIGRP(라우팅 프로토콜의 하나)로 구성되었는데 해당 시간에 EIGRP로 이웃(Neighbor)을 맺은 라우터와 단절현상이 발생되었다. 또 백본 라우터에서 다음과 같은 메시지를 나타내며 EIGIP를 재실행한다는 메시지를 보냈다.

<백본 라우터의 로그>
%DUAL-5-NBRCHANGE: IP-EIGRP 11: Neighbor 172.27.1.3 (FastEthernet0/0/0) is down: peer restarted
%DUAL-5-NBRCHANGE: IP-EIGRP 11: Neighbor 172.27.1.3 (FastEthernet0/0/0) is up: new adjacency

그리고 스위치에서는 특정 MAC에서 플래핑(flapping)이 발생하여 지속적으로 업/다운을 발생하며 다음 메시지를 로그서버로 보냈다.

<스위치의 로그>
%C4K_EBM-4-HOSTFLAPPING: Host 00:03:2E:05:00:00 in vlan 1 is flapping between port Gi2/15 and port Gi6/44
%C4K_EBM-4-HOSTFLAPPING: Host 00:03:2E:05:00:00 in vlan 1 is flapping between port Gi2/15 and port Gi6/44

해당 MAC을 확인해 본 결과 최근에 신규로 개발을 위해서 도입한 NT서버라는 것을 확인했다. 이후에 랜 카드를 변경하여 장애를 복구할 수 있었다. 좀 더 빨리 원인을 알았더라면 대형장애를 예방할 수 있었던 사례였다.

랜 카드

만약 자신의 랜 카드에 문제가 있다고 의심이 된다면 <화면 6>처럼 도스 모드에서 ‘netstat –e’ 라는 명령어를 사용하면 네트워크의 실시간으로 모니터링을 할 수 있다. 특히 빨간색 네모에서 error가 자주 발생한다면 랜 카드나 PC와 접속되어 있는 장비를 의심해 볼 만하다. 명령어 뒤쪽에 10은 10초마다 패킷 상태를 표시하라는 의미이다.

Unknown protocols는 윈도우에서 인식하지 못하는 프로토콜을 사용하는 패킷을 말한다. 정상적인 패킷이지만 윈도우에서 인식하지 못하는 경우도 있으니 이것만으로 컴퓨터나 랜 카드가 불량이라고 의심하기에는 부족하다.

바이러스나 스파이웨어의 경우 패킷을 유발할 가능성이 높은 만큼 백신프로그램이나, 스파이웨어 제거프로그램을 자주 실행해서 예방하는 것이 중요하다. 그리고 인터넷을 사용하다가 갑자기 속도가 느려지거나, 혹은 네트워크에 문제가 발생하면 가장 먼저 자신의 컴퓨터 상태를 점검해야 한다.

트래픽 분석 프로그램을 이용한 서버 응답시간

편지나 메일을 주고 받기 위해 주소가 필요하듯 서로 다른 네트워크 장비가 통신을 할 때에도 주소를 이용한다. 그 중 가장 대표적인 주소가 바로 MAC 주소와 IP 주소이다. 랜 카드를 포함해서 모든 통신장비들은 고유의 주소를 가지는데 이런 주소를 MAC(Media Access Control) 주소라고 부른다.

자신의 컴퓨터에서 커맨드 창을 하나 열고 ‘arp –a’ 라고 입력하면 현재 자신의 MAC 주소를 알 수 있다. <화면 7>은 arp –a를 실행했을 때 자신의 MAC 및 IP를 확인할 수 있다.

<화면 7>에 표시되어 있는 ‘00-16-9d-6f-00-00’이 MAC 주소 이다. MAC 주소는 총 48bit로 되어 있고 앞의 24bit (00-16-9d)는 제조회사 코드이고 나머지는 24bit(6f-00-00 )는 일련번호이다. 먼저 통신을 하기 위해서는 서로의 MAC 정보를 알아야 한다. 일반적으로 IP주소를 가지고 통신하고 있는 것으로 알고 있는데, IP주소(논리적 주소)로만 통신이 가능하지 않다.

netstat으로 체크한 랜 카드의 상태

보통 패킷은 레이어 3계층인 네트워크 계층에서 다룬다. 이 패킷들이 인캡슐레이션(encapsulation)과정을 거친 뒤에 레이어 2로 내려오는데 이렇게 내려온 패킷을 프레임이라고 부른다. L2 프레임의 포맷은 아래 <그림 3>과 같다.

MAC 주소와 IP 주소와의 관계

- Preamble: 수신 클럭을 추출하여 송수신 속도를 맞추는 동기를 제공함.
- SFD(Starting Frame Delimiter): 다음 바이트 열이 프레임의 시작을 알림.
- DA(Destination Address): 목적지 MAC주소
- SA(Source Address): 송신 측 MAC주소, - EtherType: MAC 프레임 다음의 데이터 부분에 상위 프로토콜의 종류를 표시함.
- Data: 상위 프로토콜이 위치. 최대 허용길이(MTU)는 1500바이트임. DA부터 FCS까지 전체길이가 64바이트 이상이어야 한다는 규정을 준수해야 함.
- 패딩: 최소길이 규정을 만족하지 못할 경우 '0'으로 채움.
- FCS: 프리앰블과 SFD를 제외한 MAC프레임의 비트열의 에러를 검사함.

<그림 4>에서도 알 수 있듯이 통신 해야 할 목적지인 MAC 주소를 바로 알 수 없다. 따라서 IP 주소를 MAC 주소로 변환해 주는 과정이 있으며 이를 ARP(Address Resolution Protocol)라고 한다. ARP는 주소를 변환해주는 프로토콜이다. 변환이라기 보다는 알아내는 프로토콜이라는 표현이 더 적당할 듯하다. <그림 4>를 통해서 ARP의 동작 과정을 이해해 보자.

① 호스트 A에서 호스트 B로 프레임을 보내려 한다.
- 호스트 A는 호스트 B의 L2 주소를 알기 위해서 같은 네트워크 내의 모든 노드에게 ARP 리퀘스트 패킷을 보낸다.
- 호스트 C와 D는 ARP 리퀘스트를 받았지만 자신의 IP주소에 관한 내용이 아니므로 무시한다.

② 호스트 B는 ARP 리퀘스트를 받고 자신의 IP주소에 맞는 내용이므로 호스트 A에게 자신의 MAC 주소를 담은 ARP 리스폰스를 보냄으로 응답한다.
- 호스트 A는 호스트 B로부터 온 ARP 리스폰스를 받고 호스트 B의 L2 주소를 알게 되고 ARP 테이블에 저장한다.
이제 호스트 A는 호스트 B로 L2(MAC) 주소를 사용해서 프레임을 전송한다.
- 다른 패킷을 보내는 경우 호스트 A는 자신에게 있는 ARP 테이블을 사용하기 때문에 ARP lookup(2단계~5단계)을 생략할 수 있다.

<화면 8>에서 일어나는 일련의 과정을 이더리얼(Ethereal)라는 패킷 분석 프로그램으로 캡처하면 <화면 8>과 같은 결과를 얻을 수 있다. 우선 자신을 제외한 모든 호스트의 MAC을 모르고 있기 때문에 ARP 리퀘스트 패킷을 모든 호스트로 보낸다.

이 패킷 형태는 브로드캐스트(Broadcast)라고 하는데 이런 브로드캐스트 패킷은 네트워크의 입장에서는 줄여야 하는 패킷이고, 가끔은 장애의 원인이 되기도 한다.

ARP 확인

<화면 9>의 패킷 예를 자세히 살펴보면 Target MAC address 라는 부분이 00:00:00:00:00:00 이라고 되어 있다. 이것은 모든 호스트로 보낸다는 의미이다. 이렇게 습득한 MAC 정보는 자신의 ARP 테이블에 저장하고 일정시간 동안 관리한다.

프레임의 구조

정리하자면 논리적 주소인 IP 주소는 사용하기 편리하지만 실제로 통신에 사용되는 주소는 물리적 주소인 MAC이다. 즉 ‘MAC 주소 = 부여한 IP주소’라는 식이 만들어지고 실제로는 MAC 주소가 통신에서 사용된다는 사실이다.

ARP 동작 과정

집에서 인터넷을 사용할 때 사용하는 공유기 역시 여기에서 설명할 허브의 한 종류이다. 이 허브는 랜의 중심에 해당하는 장비이다. 간단히 말하면 여러 대의 컴퓨터를 연결하고 싶은데 중간에 연결 시켜줄 수 있는 매개체가 필요할 때 사용하는 장비이다. 일반적으로 네트워크 토플로지(네트워크형태)에서 <그림 5>과 같은 스타형 토플로 방식으로 랜을 구성한다면 무조건 허브이나 스위치가 필요하다.

이더리얼을 이용한 패킷 캡처

스타형은 말 그대로 백본을 중심으로 한 가닥씩 라인을 뻗어 네트워크를 구성하는 것이다. 스타형은 한 에지 단에 장애가 발생하더라도 전체 네트워크에 영향을 덜 미친다는 장점이 있다. 반면에 백본에 장애가 발생하면 모든 네트워크가 중단된다.

허브는 매우 단순한 구조로 만들어져 있으며 그만큼 장애에도 취약하다. 우선 허브는 중앙에 집중되어 있는 장비지만, 연결되어 있는 호스트의 MAC을 관리하지 않는다.

패켓의 형태

<그림 6>에서 허브는 연결되어 있는 포트를 통해 모든 포트로 해당 패킷을 보내게 된다. 그렇게 되면 아래 호스트는 자신과 관련 없는 패킷이기 때문에 해당 패킷을 폐기(Drop)한다. 서버와 통신하는 컴퓨터는 자신에게 온 데이터라는 것을 알고 바로 처리한다. 그리고 각각의 컴퓨터에서 MAC 주소 테이블을 관리하게 된다.

일반적으로 이더넷(Ethernet) 환경에서 가장 큰 특징 중에는 CSMA/CD라는 액세스 메소드(Access Method)를 이용한다.

허브(Hub)에서 문제점

<그림 7>은 CSMA/CD방식을 나타낸 것이다. 이는 하나의 통로를 여러 패킷이 동시에 사용하면서 생길 수 있는 충돌을 예방하기 위한 통신방식이다. 패킷을 전송하기 전에 이미 통로를 사용하고 있는 패킷이 있는지 확인한 뒤에 먼저 사용중인 패킷의 전송이 끝난 뒤에 새 패킷을 전달하는 방식으로 패킷 간의 충돌을 예방한다.

그럼, 동시에 둘 이상의 곳에서 사용중인 패킷이 없음을 확인하고 동시에 패킷을 전송하면 어떻게 될까? 당연히 각 패킷이 충돌을 하게 되는데 이러한 현상을 콜리전(Collision)이라고 한다. 콜리전은 CSMA/CD 방식에서 필연적으로 발생하며 콜리전이 발생할 수 있는 범위를 콜리전 도메인이라고 부른다.

보통 허브는 하나의 콜리전 도메인이라서 한 순간에 한 호스트만 통신한다. 다른 PC들은 통신이 끝나기를 기다려야 한다. 허브를 사용하면 네트워크가 느려진다고 느껴지는 이유가 바로 여기에 있으며, 이는 허브가 가지고 있는 원천적인 한계이다.

일반적으로 허브는 셰어드(Shared)방식을 사용한다. 이 말은 <그림 8>처럼 100Mbps 허브면 100Mbps를 가지고 모든 연결된 컴퓨터가 나누어 사용하게 된다는 뜻이다. 예를 들어 그림에서 허브에 연결된 세 대의 컴퓨터와 한 대의 서버가 100Mbps 허브에 연결되어 있다면 일반적을 25Mbps정도의 속도를 나누어 쓰고 있다고 생각하면 된다.

그런데 이 네 대 중 먼저 서버와 컴퓨터간에 80Mbps를 점유하여 사용하던 컴퓨터가 있다면 이 컴퓨터의 네트워크가 끝날 때까지 남은 20Mbps로 나머지 컴퓨터들이 사용해야 한다. 그렇기 때문에 누군가 대용량의 파일을 다운로드 받고 있으면 다른 컴퓨터의 네트워크 속도가 저하되기도 하는 것이다.

허브의 콜리전 발생 상태 확인하기
사용중인 허브에 얼마나 많은 콜리전이 발생하는지 가장 빠르게 확인할 수 있는 방법은 허브에 달린 LED를 확인하는 것이다. 허브의 LED 중에는 콜리전 상태를 나타내는 LED가 있는데, 콜리전이 많으면 이 LED가 많이 깜박인다.

콜리전 발생으로 생기는 네트워크 속도 저하를 줄이기 위해 사용할 수 있는 방법이 바로 뒤에서 설명하게 될 스위치이다. 만약 자신의 회사에서 허브를 사용하고 있는데 속도 때문에 골치라면 허브를 스위치로 교체하여 문제를 줄일 수 있다.

Star형 토플로지

스위치와 허브의 모양은 거의 비슷하다. 실제로 보통 사람들이라면 겉모습만 보고 둘을 구분하기 조차 어려운 일이다. 스위치와 허브의 가장 큰 차이는 MAC 주소 관리 능력이다. 스위치는 MAC 주소 테이블을 가지고 있기 때문이다.

<그림 9>에서처럼 허브는 프레임을 전송하기 위해 브로드캐스트를 날리고 관련 ARP 테이블을 컴퓨터에서 관리를 하게 한다. 따라서 컴퓨터에서 통신할 상대편의 MAC 주소가 없다면 매번 날려서 상대편 MAC 주소를 인지하는 수 밖에 없다. 반면 스위치는 테이블에 MAC을 획득하기 위해 플로딩(Flooding)이라는 과정을 거친다. 이렇게 획득한 MAC 주소를 일정한 버퍼에 담아 두었다가 목적지의 MAC 주소가 없을 때 사용한다.

허브의 동작

따라서 이렇게 함으로써 CSMA/CD의 문제점인 프레임충돌(콜리전)을 줄일 수 있는 장점이 있다. 또한 불필요한 브로드캐스트를 감소시킬 수 있다. 더불어 스위치에서 VLAN을 이용하여 브로드캐스트 프레임으로 인한 성능저하도 줄일 수 있다.

IP 충돌 발생시 스위치에서 해당 포트를 알아내는 방법
센터에서 근무를 하다 보면 IP 충돌과 관련된 문제가 흔히 발생한다. 필자가 현재 일하고 있는 곳에서는 DHCP에 의해서 IP를 받아 오도록 되어 있는데, 간혹 외부인을 방문해서 임의로 IP를 설정하여 문제가 발생하는 경우가 있다(독자들 중에도 이런 경험이 있을 것이다). 이런 경우 임의로 IP를 설정한 유저를 찾으면 되는데 어떻게 찾을지는 난감하다.

시스코의 스위치를 기준으로 임의로 IP 주소를 설정한 포트를 찾는 방법에 대해 알아보자. 일반적으로 IP가 충돌하면 시스코 스위치가 다음과 같이 메시지를 표시한다. 시스코 스위치에서는 IP 충돌 발생 시 duplicate address라는 메시지를 보여준다.

%IP-4-DUPADDR: Duplicate address 192.168.0.1 on Ethernet1/0, sourced by 0000.5e00.0000

명령어 “sh arp”로 해당 IP를 확인한다.
Switch#show arp
Protocol Address Age (min) Hardware Addr Type Interface
Internet 192.168.0.2 34 0003.bab1.0000 ARPA Vlan1
Internet 192.168.0.1 163 0000.5e00.0000 ARPA Vlan1

이런 메시지가 표시되면 ‘192.168.0.1’이라는 IP를 사용하는 사람을 찾으면 된다. 그 MAC 주소가 0000.5e00.0000 이다.
여기까지 찾았다면 이 MAC이 어느 포트에서 올라오는지를 확인하면 된다. ‘sh mac-address-table’ 이라는 명령어를 이용하면 간단히 해당 포트를 찾을 수 있다.

Switch#sh mac-address-table
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
1 0000.0c07.ac34 DYNAMIC Fa0/1
1 0000.5e00.0101 DYNAMIC Fa0/2
1 0000.f091.cfac DYNAMIC Fa0/3
1 0000.5e00.0000 DYNAMIC Fa0/8

간단히 해당 MAC 포트에 올라오는 포트가 Fa0/8이라는 것을 알 수 있다. 관련하여 포트를 disable 하던지 아니면 IP변경을 요청하면 된다.

CSMA/CD방식

VLAN(Virtual LAN)이란 한마디로 논리적으로 브로드캐스트 도메인을 나누는 것이다. 하드디스크에서 파티션을 나누어 하나의 하드디스크를 둘 이상으로 나누어 사용하는 것과 비슷하다고 생각하면 쉽게 이해될 것이다. VLAN도 물리적으로 하나의 장비에서 통신을 해야 하는 여러 그룹으로 논리적으로 묶어서 나누는 것이다. 이렇게 나눠진 VLAN끼리는 서로 브로드캐스트를 보내지 않는다.

Hub의 트래픽 처리

왜 이렇게 복잡한 작업을 해야 할까? 앞에서 설명한 허브를 생각해보자. <그림 10>처럼 100 포트 허브가 있다고 생각해보자. A와 B가 통신하려면 서로의 MAC 주소를 확인하기 위해 브로드캐스트를 보내야 할 것이다. 그런데 연결된 컴퓨터가 많다 보니 A와 B가 통신하려면 100개의 브로드캐스트를 날려야 한다.

그러면 100개의 호스트에서 각각 브로트케스트를 날리면 어떻게 되겠는가? 각각 컴퓨터가 모두 통신한다고 생각하면 10,000개(100 대의 컴퓨터 × 100 개의 브로드캐스트)의 어머어머한 브로트케스트가 발생하는 셈이다. 그런데 호스트가 100개가 아니라 5,000개면 어떻게 될까? 호스트의 수가 늘면 늘수록 네트워크 자원의 소모가 많아져 네트워크의 속도를 저하시키는 원인이 될 것이다.

이런 문제를 해결하기 위해서 나온 것이 VLAN이다. <그림 11>를 보면 스위치는 물리적으로 한 대인데 VLAN1과 VLAN2로 나누어 Port1, 6, 5끼리 통신을 하고 Port2, 3, 4번끼리 통신을 한다. 이렇게 함으로 VLAN1에 포함되어 있는 패킷이 VLAN2로 넘어가지 않도록 한다. 그림처럼 몇 대 되지 않는 환경에서 VLAN을 나눌 필요가 없겠지만, 호스트의 수가 많을 경우 사용 그룹별로 묶어서 VLAN을 설정해 주는 것 만으로도 네트워크의 속도를 높일 수 있다.

이렇게 VLAN을 나누는 기준은 몇 가지가 있다. MAC이나 Port등으로 VLAN을 나눌 수 있지만, Port VLAN을 가장 많이 사용된다. 브로드캐스트 감소로 네트워크 트래픽 또한 감소되며 그 이외에도 VLAN은 보안 측면에서도 중요한 역할을 한다. 예전에 ‘모 아파트에 진출한 통신회사에서 기존의 xDSL방식이 아닌 이더넷 방식으로 서비스를 제공하였다’는 내용의 뉴스가 보도된 적이 있다.

그런데 이 아파트 사람들의 윈도우에서 ‘네트워크 환경’을 클릭하면 이웃집 컴퓨터까지 다 보여주어서 개인정보가 유출된다는 내용의 뉴스였다. 이를 해결할 수 있었던 것이 VLAN이다. 간혹 같은 장비에 PC나 서버를 연결하였는데 링크나 케이블은 정상인데도 불구하고 통신이 되지 않는다면 우선 장비에서 VLAN이 설정되었는지를 확인해야 한다. 앞서 설명한 것처럼 동일 VLAN에서는 통신이 가능하지만 서로 다른 장비에서 같은 VLAN끼리는 통신이 되지 않는다.

이처럼 VLAN은 브로트케스트를 감소시키는 것은 물론 보안에도 중요한 역할을 한다. VLAN 생성 및 삭제, 포트 할당하는 방법은 다음과(시스코 스위치 기준) 같다. 일반적으로 벤더(원천업체)마다 그 방법은 다르다.

- VLAN 생성
C6509(config)#vlan 2 <- VLAN 2 생성
- 해당 인터페이스 VLAN설정
C6509(config)#interface gi1/1
C6509(config-if)#switchport <- Switch Port로 변경
C6509(config-if)#switchport mode access <- access 포트로 지정
C6509(config-if)#switchport access vlan 2 <- vlan 2 에 할당 설정
C6509#sh vlan id 2 <- VLAN 확인방법
VLAN Name Status Ports
2 VLAN2 active Gi1/1
- VLAN 삭제
C6509(config)#no vlan 2 <- VLAN2 삭제 (삭제 시에는 해당 VLAN에 할당된 인터페이스가 없어야 함)

브로드캐스트 스톰(Broadcast Storm) 해결하기
브로드캐스트가 자주 일어나면 이를 처리하기 위해 장비에 부하가 발생한다. 또 각 노드(사용자)에서의 처리가 실행되지 않아 네트워크 전체가 다운되기도 하는데 이런 경우를 브로드캐스트 스톰(Broadcast storm)이라고 말한다. 브로드캐스트 스톰은 프로토콜의 버전 차이에 의해서 발생하는 경우가 많다.

TCP/IP에서는 4.3 BSD와 4.2 BSD의 혼재, Appletalk Phase I과 Phase II의 혼재 등이 그 예이다. 브로드캐스트의 패킷은 보낼 곳의 주소를 가지고 있다. 때문에 네트워크 장애가 브로드캐스트에 의한 것인지 아닌지는 보통 스니퍼와 같은 분석 툴을 이용하여 패킷의 어드레스를 조사해 보면 알 수 있다.

최근에 나오는 스위치들은 패킷을 분류하여 컨트롤할 수 있는 기능이 있으며, 액세스 단의 시스코 스위치는 ‘storm-control’ 이라는 명령을 이용해 포트에 과도한 브로드캐스트가 발생하면 자동 다운되도록 설정할 수 있다.

다음은 Strorm-control을 적용한 것으로 70%가 넘는 브로드캐스트가 해당포트에 발생하면 자동으로 포트가 다운되도록 설정한 예이다. 참고로 해당 포트 enable(활성화)은 자동으로 되지 않고, 관리자가 직접 입력 해야 한다. 옵션으로 포트를 다운시킬 수도 있지만, Trap을 보내어 로그 서버나 로그에서 확인할 수도 있다.

Switch(config-if)#storm-control broadcast (multicast, unicast) level 70 (퍼센트)
Switch(config-if)#storm-control action shutdown (trap)

네트워크에서 가장 빈번하게 발생하는 문제 중 하나는 프레임이나 패킷에서 에러가 발생하는 경우이다. 이때 발생한 에러를 스위치에서 확인하는 방법과 에러의 종류들에 대해 알아보자. 다음은 스위치에서 Show interface를 확인 하는 명령어를 실행 한 것이다.

Switch#show interface fa0/1
FastEthernet0/1 is up, line protocol is up (connected)
Hardware is Fast Ethernet, address is 000d.bdf0.8401 (bia 000d.bdf0.0000)
Full-duplex, 100Mb/s
----중략------
①3684426280 packets input, 488947651 bytes, 0 no buffer
Received 82551896 broadcasts (0 multicast)
0 runts, 0 giants, 0 throttles
0 input errors, 0 CRC, 0 frame, 0 overrun, 20 ignored
0 watchdog, 40251954 multicast, 0 pause input
0 input packets with dribble condition detected
②3120267351 packets output, 124174218 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 babbles, 0 late collision, 0 deferred
0 lost carrier, 0 no carrier, 0 PAUSE output
0 output buffer failures, 0 output buffers swapped out

Show Interface 명령은 간단한 명령어지만 많은 내용을 포함하고 있다. 아마도 하나의 명령어로 많은 부분을 파악할 수 있을 것이다. ①부분은 서버에서 스위치로 입력된 패킷을 나타내고, ②부분은 스위치에서 서버나 기타 접속되어 있는 장비로 나가는 패킷의 개수다. 일반적으로 서버나 장비가 정상적으로 연결되면 FastEthernet0/1 is up, line protocol is up 인터페이스와 라인프로토콜이 모두가 UP으로 되어 있다.

정상적인 패킷의 경우는 64k이상 ~ 1,518k미만이 정상적이다. 이 이외의 패킷이 들어오면 스위치에서는 해당 패킷을 파기하는데 runts 64k 미만의 패킷 수이고, giants는 1500k 이상 패킷을 말한다. 이런 패킷들은 대부분 폐기한다. Throttles는 처리범위 이상으로 유입되는 패킷의 개수를 말한다.

그리고 input error는 소스에서 만들어진 패킷이 불량인 경우인데, 이 경우에는 연결된 서버의 랜 카드나 장비가 불량인 경우가 많다. 그리고 CRC나 Frame은 프레임에서의 에러를 나타내고 위에서 설명한 Duplex나 회선에 문제가 발생할 때 관련 카운터가 증가한다.

장비는 버퍼를 가지고 있는데, 버퍼를 초과하는 패킷이 들어오면 Overrun의 카운터가 증가한다. Ignored는 버퍼에서 처리 못하는 패킷을 폐기할 때 발생한다.

Output error가 발생할 때는 해당 스위치가 에러가 발생할 경우가 많다. Duplex 모드 등 이상이 없는데도 에러가 증가한다면 해당장비를 교체하는 것이 현명하다. Collisions은 앞서 설명한 부분이라 생략하겠다. interface resets의 경우에는 해당 포트가 리셋 될 때 인데, 보통 과도한 패킷이 들어오거나 하드웨어가 불량일 경우 발생한다.

Babbles 1518 바이트 이상의 프레임이며 점보프레임과 같은 의미이다. late collision은 CSMA/CD에서 규정한 시간 내에 프레임을 전송하지 못하고 전송이 지연되는 것을 의미한다. 일반적으로 UTP케이블의 사용길이는 100m데, 이것보다 긴 케이블을 사용하거나, 다음에 설명할 듀플렉스가 안 맞을 경우 발생한다.

스위치와 서버를 연결한 뒤에 ping이 빠지거나, 속도가 느려질 경우
앞에서 ‘Full-duplex, 100Mb/s’ 부분은 듀플렉스 모드와 스피드를 나타낸다. 듀플렉스 모드가 mismatch일 때는 CRC 에러나 Runts 패킷이 많이 발생한다. 서버나 기타 통신장비가 스위치와 통신할 때 에러가 발생하는 원인 중 가장 큰 비중을 차지하는 것이 바로 이 듀플렉스 문제이다.

듀플렉스는 시스템이 서로 통신할 때 송신과 수신이 어떤 형식으로 이루어 지는 지에 대한 일종의 모드이다. 정보통신학개론 등의 책에 빠지지 않고 등장하는 메뉴인 듀플렉스는 단 방향 통신(Simplex), 반 이중방식(Half Duplex), 전 이중방식 (Full Duplex)의 세 가지 방식으로 나뉜다.

아주 오래된 장비라면 반 이중방식을 최근에 설비된 장비라면 대부분 전 이중방식이 적용되어 있다고 보면 된다. 전 이중방식으로 설비된 100M장비의 Throughput은 200Mbps가 된다.

듀플렉스는 통신하는 기기 즉 서버와 같은 시스템의 네트워크 인터페이스, 스위치 포트들 또는 스위치 포트와 라우터 인터페이스간에 서로 일치하도록 설정해야 한다. 100/10 랜 카드와 스위치의 경우 상호 오토네고네션(auto-negotiation)을 수행하여 속도와 듀플렉스 모드가 자동적으로 설정된다.

반면 장비간 오토네고네션 프로토콜의 차이로 인해 제대로 연결되지 않을 수 있다. 따라서, 100Mbps 속도를 지원하고 전 이중방식을 지원하는 장비들 간에는 오토네고네션 기능을 disable하고 100Mbps-Full Duplex로 fix하여 운영하는 것이 좋다. 듀플렉스 모드에는 auto, ull, half모드가 있으며, 속도는 지원하는 포트에 따라 10~1000M가 있다. 다음은 시스코 스위치에서 듀플렉스 및 스피드를 포트에 설정하는 방법이다.

Switch(config-if)#speed 100
Switch (config-if)#duplex full

이미 알아본 것처럼 VLAN이란 하나의 스위치를 둘 이상의 스위치인 것처럼 논리적으로 분할하여 사용하는 것이다. 그렇다면 둘 이상의 스위치에 서로 같은 VLAN을 설정하여 공유해야 할 때는 어떻게 하면 될까? 이번에는 서로 다른 스위치의 VLAN을 동일하게 설정하여 연결하는 방법에 대해 알아보자.

서로 다른 스위치의 VLAN이 통신하도록 설정하는 방법에는 두 가지가 있다. 하나는 라우팅이고 다른 하나가 트렁킹(Trunking)이다. 라우팅에 관해서는 3부에서 자세히 다루고 있기 때문에 여기에서는 생략한다. <그림 12>와 같은 네트워크가 있다면 스위치 1과 스위치 2에 각각 설정되어 있는 VLAN1을 링크하고 스위치 1과 2에 설정되어 있는 VLAN2를 링크로 연결해 주면 된다.

간단한 듯 보이지만 사실 이 방법은 아주 불편할 수도 있다. 예를 들어 서로 다른 두 개의 스위치에 설정되어 있는 VLAN의 종류가 100 가지라면 100 개의 링크가 필요한 탓이다. 이렇게 되면 링크의 수가 너무 많아지고 또 포트 낭비도 심해진다.

이런 문제를 해결하기 위해 착안된 것이 바로 링크를 통해 VLAN 정보를 주고 받는 VLAN 트렁킹이다. <그림 12>를 보면 스위치1과 2간에 링크는 하나지만 그 링크를 통해서 VLAN 정보가 넘어다니며 각각의 VLAN들이 통신할 수 있게 된다.

이처럼 VLAN 정보를 송수신할 수 있는 포트를 트렁크(Trunk)라고 부른다. 또 <그림 13>와 같이 트렁크 포트를 통해 통신하기 위해 VLAN 정보를 추가하는 것을 태깅(Tagging)이라고 한다.

태깅을 하기 위해 ISL(Inter Switch Link)와 IEEE 802.1q 방식을 주로 사용한다 있다. ISL는 시스코에서만 사용하는 것이고, IEEE 802.1q는 국제표준이다. IEEE 802.1Q는 tag-based VLAN이 Bridge를 거쳐가는 프레임의 vlan membership을 확인하기 위해 MAC header 내에 특별한 태그를 이용한다.

이 태그는 VLAN과 QoS priority의 식별에 사용된다. Vlan ID는 특정 VLAN과 프레임을 결합하여 네트워크를 거쳐가는 프레임에 대한 정보를 스위치에 제공한다.

태그드 프레임(Tagged frame)은 언태그드 프레임(Untagged frame)보다 4byte가 더 길고, 이는 2byte의 TPID(Tag Protocol Identifier)와 2byte의 TCI(Tag Control Information)을 포함한다. 이에 반해 ISL은 데이터 프레임의 양쪽 끝에 각각 26 octet의 ISL header와 4 octet의 CRC를 더한다. 이를 더블 태깅(double-tagging) 혹은 투 레벨 태깅 인캡슐레이션(two-level tagging encapsulation)이라고 한다. 다음은 시스코 스위치에서의 트렁크 설정에 대한 설명이다.

Switch(config)#interface Fa0/1
Switch(config-if)#switchport trunk encapsulation dot1q or isl <- Encapsulation방식 설정
Switch(config-if)#switchport mode trunk <- 해당포트 Trunk 포트로 설정
Switch(config-if)#switchport trunk allowed vlan 10,20 <- 트렁크포트로 허용할 VLAN

Switch#show interface trunk <- 트렁크포트 확인 시 명령어
Port Vlans allowed on trunk
Fa0/1 10,20

네이티브 VLAN이 서로 다를 경우에 문제점
모든 스위치에는 네이티브(Native) VLAN 이라는 것이 있다. 트렁크 포트나 액세스 포트를 제거 했을 때 돌아가는 VLAN을 네이티브 VLAN이라 한다. 일반적으로 시스코 스위치에서는 VLAN 1이 네이티브 VLAN이다. 제품을 구입해서 콘솔에 연결했을 때 최초 VLAN이 네이티브 VLAN인 것을 알 수 있다.

앞서 설명한 것처럼 802.1q의 경우 트렁크 구간이 기본적으로 VLAN 1로 인식되므로, 트렁크 구간으로 특정한 VLAN ID가 설정되어 있지 않은 데이터(Untagged Frame)가 들어오면 자동으로 VLAN 1로 인식된다. 이렇게 해서 두 스위치간의 트렁킹을 설정했을 때, 언태그드 프레임을 처리하기 위해 802.1에서는 네이티브 VLAN으로 처리하는 것이다.

반면에 ISL은 네이티브 VLAN이란 개념 자체를 가지지 않는다. 다시 말해 ISL에서는 네이티브 VLAN이 넘어가지 않는다.
앞에 설명한 것처럼 ISL은 네이티브 VLAN이 넘어가지 않는다. 802.1q에서만 네이티브 VLAN넘어간다.

일반적으로 VLAN1이 네이티브 VLAN인데 만약 한 스위치는 VLAN1이 네이티브이고, 다른 스위치는 VLAN2가 네이티브라고 가정해보자. 한마디로 네이티브 VLAN이 서로 다를 경우에는 어떻게 될까? 당연히 네이티브 VLAN이 넘어가지 않고 미스매치(mismatch)되기 때문에 해당 로그를 남긴다.

이럴 경우에는 네이티브 VLAN을 변경해 주어야 한다. CatOS에서는 트렁크를 설정하기 전에 set vlan으로 네이티브 VLAN을 설정한다. IOS에서는 switch port trunk native vlan 커맨드로 네이티브 VLAN을 설정한다.

스위치를 사용하면서 가장 흔하게 발생하는 문제 중 하나는 루프(loop)이다. 루프는 단일경로에서는 거의 발생하지 않으며 이중화 구성 등 복잡한 구조의 네트워크에서 주로 발생한다.

<그림 14>의 왼쪽 그림은 단일 경로로 연결된 네트워크이다. 사용자가 인터넷을 사용하면서 경유하는 경로는 ‘스위치 2->스위치1->인터넷’ 순으로 가는 방법뿐이다. 이처럼 단일 경로로 된 상태에서 길을 일어버릴 리 없다. 반면에 단일 경로는 각 장치를 연결하는 경로 중 하나가 단절되면 인터넷도 끊긴다는 치명적인 약점이 있다.

이런 문제를 해결하기 위해 고안된 것이 바로 그림의 오른쪽에 표시된 것과 같은 이중화 경로이다. 그림과 같이 연결되어 있는 경우라면 스위치 1과 3을 연결하는 경로가 단절될 경우 스위치 2와 3을 통해 인터넷에 접속할 수 있어 인터넷 고립의 문제를 해소할 수 있다.

하지만 이 방법에도 문제가 없는 것은 아니다. 같은 브로드캐스트 도메인 내에서 그림과 같은 형태의 이중화 경로로 구성하면 루핑이 발생하는 탓이다.

<그림 15>과 같은 구성에서 사용자가 만약 브로드캐스트 프레임을 스위치1과 2으로 보낼 경우 스위치2는 스위치1로, 스위치1은 다시 스위치2로 재전송하게 된다. 이런 동작이 계속 반복되면서 각 스위치들이 브로드캐스트를 계속 보내기만 하는 루프 현상이 발생하고 결국 브로드캐스트 스톰으로 이어지기까지 한다.

브로드캐스트 스톰이 발생하면 일반적으로 스위치가 다운되거나 시스템에 지나친 부하가 발생하여 스위치가 다운되는 것이다. 또한 잘못된 MAC 테이블이 생겨서 네트워크 상의 통신에도 오류가 발생한다. 이런 루핑과 관련한 일련의 문제들을 해결하기 위해 사용하는 것이 바로 지금부터 알아볼 스패닝 트리(Spanning-Tree)이다.

스패닝 트리란 <그림 16>처럼 이중화로 연결된 링크 중에 하나에는 트래픽이 흐르지 못하도록 막는 방법이다. 이처럼 두 경로 중 하나를 차단하여 루핑을 방지하고 트래픽이 흐르고 있던 경로에 문제가 생겼을 때 막았던 경로를 열어서 통신할 수 있도록 설계된 기술을 STP(Spanning Tree Protocol)이라고 부른다.

시스코 스위치에서 스패닝 트리를 Enable 하려면 다음과 같은 명령어를 입력한다.

Switch(config)#spanning-tree vlan <번호>
Switch(config)#spanning-tree vlan <번호> priority [0~61440] VLAN 우선순위 일반적으로 root는 mac으로 결정하나 priority를 주어 root port를 지정할 수 있다.

네트워크의 장애 유형은 장비의 전원불량, 네트워크 회선이나 케이블 문제, 장비 문제, 라우팅 문제 등 아주 다양하다. 하지만 필자의 경험을 바탕으로 생각해보면 대부분의 문제들 중 90% 정도는 UTP케이블이나 사용자 애플리케이션에서 발생한다. 당연히 괜찮을 것 같은 곳에서 문제가 발생할 수 있다는 이야기다. 약간의 주의를 기울이면 대형장애를 예방할 수 있음을 잊지 말자. @

도움주신 분 인네트 : 배원식님, 윤성업님, 최재혁님

참고자료
시스코 홈페이지 http://www.cisco.com
네이버 네트워크 전문가 따라잡기 http://cafe.naver.com/neteg
네이버 백과 사전 http://100.naver.com
차순태님 블로그 http://blog.naver.com/lemonaroma98

* 이 기사는 ZDNet Korea의 제휴매체인 마이크로소프트웨어에 게재된 내용입니다.

출처 : http://www.zdnet.co.kr/news/news_view.asp?artice_id=00000039160806

백본스위치(backbone switch)란?

JAESOO — Mon, 15 Jun 2015 20:09:40 +0000

구성도의 그림은 개념도이며, 이렇게 개념을 세우고 설계를 시작한다.

백본과 백본스위치는 의미상 같다고 볼수 있다.

백본스위치는 네트워크의 중심이므로 라우터는 아니고, 허브도 아니고, 주로 L3 스위치가 그런 역할을 한다.

그러나, 꼭 L3스위치가 백본스위치는 아니다.

백본과 백본스위치는 네트워크의 중심에 있으며, 모든 데이타가 거쳐서 지나가는 곳이기 때문에, 스위치를 선으로 표시하는 경향이 있다.

라우터도 전에는 백본역활을 하였는데, 현재는 거의 하지 않는다. 이유는 L3 스위치 때문이다. 처리속도도 빠르고, 데이터 변환(LAN -> WAN사용시)을 할 필요가 없기 때문이다.

개념도상의 네트워크 구조는,
맨 상위에 라우터,
그 다음에 백본스위치(주로 L3스위치)에 각종 허브나 L2스위치를 연결, 또는 서버도 연결한다.
그다음이 각종 허브나 L2스위치가 위치한다.
맨마지막이 PC, 프린터 등과 같은 단말이다.

네트워크 구조 개념도

백본스위치
백본이란 WAN으로 연결되기 위한 하나의 노드 또는 여러 노드들의 중심이다. 한 네트워크에서 중심에 위치하며 모든 패킷이 지나간다. 이와 같은 역할을 하는 장비를 백본스위치라 한다.
백본스위치는 많은 트래픽을 처리해야 하므로 기가급 장비를 많이 사용한다.

이중화
백본 스위치는 방화벽, 웍그룹 스위치 및 각종 서버가 접속되는 핵심 영역이므로 고가용, 고성능, 고확장성이 확보되는 기가급 백본 스위치를 도입하여 병목 구간의 대규모 트래픽을 처리할 수 있도록 구성한다. 또한 백본 스위치 이중화하여 안정성을 확보하여 무 중단 시스템 구축한다.

HSRP 프로토콜을 사용하여 장비 이중화 구성을 한다.

HSRP란 Active 기가비트 백본스위치의 장애시 Standby 기가비트 백본 스위치가 LAN상의 서비스 중단 없이 해당 라우팅을 자동 인계하는 라우팅 프로토콜이다.
HSRP는 하나의 백본스위치에서 다른 하나의 백본스위치를 모니터링하여 장비의 장애시 동일한 기능을 백업 받아 동작한다.
Hot Swap 기능에 의하여 On-Line상에서 모듈의 추가 및 교체가 가능하다.
장비의 주요부분 이중화로 운영 중 단일 장비의 교체 작업이나 장애로 인하여 전체 시스템의 가동이 중지되지 않는다.

VLAN
백본 스위치를 통해 구성된 각 층별 또는 건물별 등 LAN 노드간 논리적 세그먼트를 그룹화하여 주요 서버의 데이터 처리 요구량에 따라 논리적 W/G를 형성하도록 하고, 네트워크 트래픽 관리 및 튜닝을 통해 전체 네트워크의 성능을 향상시키도록 구성한다.

VLAN이란 현재의 네트워크 자원을 그대로 유지한 상태에서 물리적인 구성이 아닌 논리적 구성을 통하여 시스템 성능을 향상시키기 위한 개념이다.
이는 사용자별 또는 서버 성능별 그룹화를 하여 한 그룹에서 발생되는 트래픽은 타 그룹에 영향을 끼치지 않는 구조로 구현하여 불필요한 트래픽을 해소시킨다.
각 VLAN은 백본 스위치와 이중화 구성을 하여 한 장비의 장애시에도 원활한 통신이 되도록 설계한다.
건물별, 층별로 VLAN을 설정하여 네트워크 장애를 최소화한다.

장비선택
대용량 데이터의 증가에 따른 병목 구간 트래픽을 처리할 수 있도록 충분한 성능을 확보한 장비를 적절히 선택한다.

워크그룹 스위치
웍그룹은 소규모 작업그룹을 의미한다. 다시 말해 작은 회사 또는 한 학급 정도의 규모가 작고 허브나 스위치만으로도 통신이 가능한 그룹의 노드를 모아 놓은 장비가 웍그룹 스위치이고 다수의 웍그룹 스위치 노드가 모이는 곳이 백본 스위치이다.

※ 출처1 : http://www.mavericksys.co.kr/
※ 출처2 : http://blog.naver.com/nds239/10029215369

※ 참조자료
1. 백본 스위치 뭐가 좋은가? A: cisco > nortel (가격대 성능비 nortel > cisco)
http://kin.naver.com/detail/detail.php?d1id=1&dir_id=102&eid=GWlU+9p/OaXz+ptpYrNVvvL9TT5+UHyX&qb=uem6uyC9usCnxKE=&pid=fKRhNloi5T8sscLvkvwsss--264298&sid=ZiDe1OSsv0gAADSZiccAAAA6

출처 : http://willyoppa.tistory.com/1171684603

Cisco L3 이중화 - 2. 장애 시나리오 및 테스트

JAESOO — Mon, 15 Jun 2015 20:07:28 +0000

● L3 장애 시나리오 작성
- 본 문서는 장애 시나리오 발견시 지속적으로 업데이트 예정

● 시나리오 구성도
- L3에는 두개의 VLAN 설정(시리얼대역, 서비스대역)
- L2 스위치는 같은 VLAN으로 설정 (서비스대역)
- L3간에는 HA통신(VLAN1, VLAN10)을 위해 Trunk로 연결
- Loop 방지하기 위해 STP 설정(Active에 root Primary로 설정, Standby에 root Secondary 설정)
- VLAN1 : Active - 10.10.10.2, Standby - 10.10.10.3
- VLAN10 : Active - 172.16.1.2, Standby - 172.16.1.3

● 장애 시나리오
1. 1번 라인 장애
2. 2번 라인 장애
3. 3번 라인 장애
4. Active 장비 장애

● 장애 해결 방안
1. 장애1,2,3에 대해서는 한 라인이라도 장애 발생시 Active->Standby로 장비 이전
2. 장애4번은 Active->Standby로 장비 이전

● L3 Config 작성
1. HSRP
- Active Config
- interface Vlan1 -> 테스트에서는 fa1/0
- ip address 10.10.10.2 255.255.255.0
- standby 1 ip 10.10.10.1
- standby 1 priority 120
- standby 1 track FastEthernet1/0 20
- standby 1 track FastEthernet1/1 20
- standby 1 track FastEthernet1/2 20
- standby 1 authentication cloud

- interface Vlan10 -> 테스트에서는 fa1/1, fa1/2
- ip address 172.16.1.2 255.255.255.0
- standby 10 ip 172.16.1.1
- standby 10 priority 120
- standby 10 track FastEthernet1/0 20
- standby 10 track FastEthernet1/1 20
- standby 10 track FastEthernet1/2 20
- standby 10 authentication cloud

- Standby Config
- interface Vlan1 -> 테스트에서는 fa1/0
- ip address 10.10.10.3 255.255.255.0
- standby 1 ip 10.10.10.1
- standby 1 priority 110
- standby 1 authentication cloud

- interface Vlan10 -> 테스트에서는 fa1/1, fa1/2
- ip address 172.16.1.3 255.255.255.0
- standby 10 ip 172.16.1.1
- standby 10 priority 110
- standby 10 authentication cloud

2. STP
- Active Config
- spanning-tree vlan 1 root primary
- spanning-tree vlan 10 root primary

- Standby Config
- spanning-tree vlan 1 root secondary
- spanning-tree vlan 10 root secondary

3. HA 통신용 Trunk -> 테스트에서는 fa1/15
- Active, Standby Config
- interface fastEthernet 1/15
- switchport mode trunk
- switchport trunk encapsulation dot1q

● L2 Config
- SW01
- interface Vlan10 -> 모든포트 VLAN10
- Active Port : fa1/14
- Standby Port : fa1/15
- ip address 172.16.1.10 255.255.255.0
- ip default-gateway 172.16.1.1

- SW02
- interface Vlan10 -> 모든포트 VLAN10
- Active Port : fa1/14
- Standby Port : fa1/15
- ip address 172.16.1.20 255.255.255.0
- ip default-gateway 172.16.1.1

● HSRP 설정 정보
- Active

- Standby

● STP 설정 정보

- SW01 : Active가 살아있는 경우 fa1/15를 blocking

- SW02 : Active가 살아있는 경우 fa1/15를 blocking

● 장애 1,2,3 테스트
- Active에서 fa1/0, fa1/1, fa1/2 강제 셧다운
- 현재 Priority는 정상적으로 낮아지나 Active -> Standby로 넘어가지 않는 문제 확인 -> 버그인지 설정문제인지 확인 필요
- L2에서 STP설정 확인시 정상적으로 fa1/15가 blocking -> forwarding로 변경 확인
- L2에서 Gateway로 ping 가지 않음

● 장애4 테스트
- Active 장비 셧다운
- 동작 정상 -> STandby가 Active로 변경
- L2에서 Gateway로 ping 정상 -> port 올라오는 시간동안은 ping이 빠지는것 확인

● HSRP와 STP는 별도로 세팅되고 운영된다.
- HSRP에서 Active -> Standby로 넘어갈시 STP는 Active 장비가 셧다운되지 않는 이상 넘어가지 않는다.
- 1번 라인에 장애가 발생할 경우 HSRP의 Active -> Standby로 넘어가지만 STP는 문제가 없으므로 L2단에서는 기존 Active로 패킷이 넘어간뒤
다시 Standby로 패킷이 넘어가는 형태가 된다.

● 현재 GNS3로 테스트하는데에는 버그가 있을수있고 config가 정상적으로 작동안할수도 있기때문에
기본적인 테스트만 가능해보인다.
추후 장비가 입고된뒤 실제로 HSRP 테스트를 진행해야 할듯하다.

출처 : http://lovevirus133.tistory.com/147

[White Paper] 업무연속성과 해재복구 계획 수립

JAESOO — Mon, 15 Jun 2015 20:00:04 +0000

1. 서 론

재해복구(Disaster Recovery) 및 업무연속성계획(Business Continuity Plan) 수립이 새로운 주제는 아니다. 두 가지 모두 지난 수년 동안 인구에 회자된 것들이다. 그러나, 그만큼 널리 구현되지는 못했고, 기존의 재해복구나 업무연속성계획들이란 대부분 협의의 개념들이었다. 뉴욕의 어느 금융회사 관계자는 이렇게 말했다. “우리는 9·11 테러 이전에도 업무연속성계획을 세워두고 있었다. 그 계획에는 딜러들을 런던으로 보내 뉴욕에 있는 것처럼 일할 수 있게 하는 것도 있었다. 그러나, 모든 공항이 폐쇄될 줄 누가 알았겠는가?”
이 글에서 말하는 “비상계획”은 재해복구와 업무연속성계획이 결합된 것이다. 네트워크 관리자의 입장에서 보면, 효과적인 비상계획의 수립은 네트워크 기능이 비즈니스에 이익이 됨을 보여주는 대단히 훌륭한 방안이다. 이 글은 네트워크 관리자들이 성공적인 비상계획을 수립할 수 있도록 해주는 프레임워크를 제공하기 위한 것이다.
이 프레임워크는 비상계획에 필요한 정보기술(IT) 부문을 전반적으로 다루면서, 구체적으로는 비상계획의 네트워크 요소에 초점을 맞춘 것이다. 그리고 규모나 내용에 관계없이 모든 기업들에게 실질적으로 도움이 되는 프레임워크를 제공하려고 한다.
이 글에서는 “재해복구” 및 “업무연속성”이라는 용어가 갖는 일반적인 특징뿐만 아니라, 기업의 비상계획에 필요한 다양한 솔루션을 구성하는 주요 기술과 기능 및 프로세스에 대해서도 부분적으로 거론한다(원문에는 주요 기술과 기능 및 프로세스에 대한 논의가 포함되어 있으나, 본지에서는 지면 관계상 기술과 기능 부분은 생략하고 프로세스 부분만을 게재함 - 편집자주).
또한 자금 확보에 관해서도 다루면서 특히, IT 부서가 이 문제에 관해 비즈니스 결정권자와 어떻게 논의할 것인지에 대해 분석한다. 비상계획의 수립에는 반드시 충분한 자금이 IT에 지원되어야만 하고, 이를 제외한 비상계획이란 논의 자체가 무의미하기 때문이다.
이 글은 비상계획을 구현하는 방법을 다루는 추상적인 논문이 아니라, 이미 효과적인 비상계획을 구축했거나 현재 구축중인 여러 선도 업체들의 사례에서 발견한 사실들을 중심으로 기술하는 글이고자 한다. 일부 기업의 경우는 내부 정책상 이 글에서 회사 이름을 명시하지 않았음을 밝혀둔다.

2. 여러 가지 재해복구 방안

이 섹션에서는, 첫째 재해복구 솔루션 구현에 사용할 수 있는 여러 가지 방안을 살펴보고, 둘째 모든 비상계획의 핵심 내용인 ‘데이터 보호’에 대해 알아본다.
단, 데이터 보호에 관한 상세한 설명보다는 데이터 보호를 구현하는 좀더 통상적인 접근 방식의 일부를 설명하기로 한다.
그리고 아래 각각의 시나리오에서 열거한 장점들은 해당 비상 계획이 적절히 수립되었을 경우를 전제한 것이다. 예를 들면, 상시 대기 데이터센터(hot stand-by data center)를 구축하는 주요 목적은 재해 발생 시에도 회사가 자체 애플리케이션에 지속적으로 액세스할 수 있도록 하기 위한 것이다. 그러나, 적절한 비상계획이 수립되어 있지 않고 동일한 재해로 일차 및 백업 데이터센터가 오프라인화 된다면, 상시 대기 데이터센터란 무용지물이 되어 버린다.

◆ 시나리오 1 : 별도의 장소에 테이프 백업

이 경우는 회사가 주요 데이터베이스 컨텐츠를 정기적으로 테이프에 백업하는 것이다. 일일(daily) 백업이 일반적이며 백업 테이프는 차량으로 일정하게 떨어진 장소로 수송, 보존한다. 그리고 데이터센터에 재해가 발생한 경우, 이 백업 테이프를 다시 회사로 가져오는 것이다.
이 방식의 주된 장점은 간편하고 비용이 적게 든다는 것이다. 단점은 마지막 테이프 백업 이후에 생성된 데이터는 모두 손실되고, 또 경우에 따라서는 데이터센터가 수 일 동안 운영되지 못할 수도 있다는 것이다.

◆ 시나리오 2 : 일렉트로닉 볼팅(Vaulting)

이 시나리오는 차량을 사용하지 않는다는 점을 제외하고는 시나리오1과 유사하다. 이 시나리오에서는 회사가 WAN (Wide Area Network)을 사용하여 원격지로 주요 데이터베이스를 전송한다.
이 방식을 이용하는 회사는 대체로 시나리오1의 경우보다 데이터 백업을 더 자주 하며 매시간 업데이트가 일반적이다. 따라서, 시나리오1과 비교하여 시나리오2가 갖는 뚜렷한 장점은 손실되는 데이터가 훨씬 적다는 것이다. 그러나, 일반적으로 시나리오1보다 비용이 많이 들며, 재해의 영향을 받은 데이터센터의 비가동 시간도 줄이지 못한다는 단점이 있다.

◆ 시나리오 3 : 원격 디스크 미러링

이는 시나리오2와 유사하다. 그러나, 가장 큰 차이점은 이 방식을 이용하는 회사는 연속적으로 데이터를 업데이트 한다는 것이다. 따라서, 데이터 손실 가능성이 없다는 큰 장점이 있다. 그러나, 더 큰 용량의 WAN 링크가 요구되기 때문에 시나리오2보다 비용이 더 들고 데이터센터의 비가동 시간을 줄이지는 못한다는 단점은 마찬가지다.

◆ 시나리오 4 : 콜드 사이트(Cold Site) 구축

앞서 기술한 시나리오들에서는 재해에 영향을 받은 데이터센터가 무한 기간 동안 운영되지 않을 수도 있다. 그러나 이 시나리오는 데이터센터의 백업 용도로 콜드 사이트를 구축하는 것으로, 콜드 사이트는 비상계획이 발동된 후 장비를 설치하고 구성하는 곳이다.
이 시나리오는 앞의 다른 시나리오와 함께 사용할 수 있으며, 회사가 핵심 애플리케이션에 접근하지 못하는 시간을 최소화할 수 있는 것이 장점이다. 그러나, 추가 비용이 들고 복잡하다는 것이 단점이다.
제이디에드워즈(J.D. Edwards)사의 엔드리(Endry)는 이 방식과 관련한 복잡함에 대해 “콜드 사이트 방식을 선택하는 회사는 콜드 사이트의 장비에 관해 신중하게 계획을 수립해야 한다. 예를 들어 사양이 오래된 테이프 드라이브로 테이프를 백업한다면, 콜드 사이트에 테이프를 걸기 위해 동일한 종류의 드라이브를 급하게 구해야 하는 어려움을 겪게 될 수도 있을 것”이라고 말한다.

◆ 시나리오 5 : 완벽하게 이중화된 핫 사이트 (Hot-site)

이 시나리오는 업무연속성 솔루션으로 고려할 만한 좋은 방안이다. 이 시나리오는 적절한 애플리케이션 모두를 실행시킬 수 있는 메인프레임이나 서버가 원격지에 있다는 점에서 시나리오4와 다르다. 장점은 재해로 인해 데이터센터가 운영되지 못할 경우, 원격지의 핫 사이트가 아무런 영향을 받지 않고 운영 기능을 넘겨받을 수 있다는 점이다. 물론, 재해가 원격지의 핫 사이트에 영향을 미치지 않았다는 점을 전제로 한다. 단점은 비싸다는 것이다.

3. 비상계획의 핵심 요소

네트워크 전문가들이 적절한 비상계획 방안을 선택하기 위해서는 다음과 같은 질문을 고려할 필요가 있다.

질문 1

비즈니스에 매우 중요하면서, 재해로부터 보호해야 할 비즈니스 기능은
어떤 것들인가?

세계적인 회계법인 프라이스워터하우스쿠퍼스(Price-waterhouseCoopers)사의 브라운(Brown)은 간단히 답하기 어려운 질문이라고 한다. 그는 이렇게 부연 설명한다. “연속성을 유지해야 할 핵심 애플리케이션이 산업 부문별로 크게 다르다. 전문 서비스 부문에서는 원격 접속 및 이메일이 핵심 애플리케이션인데 반해, 제조 부문에서는 ERP시스템이 가장 핵심적인 애플리케이션이라 할 수 있다. 중요한 애플리케이션이 무엇인지에 대한 정보는 반드시 IT담당자가 아닌 해당 비즈니스 담당자로부터 얻어야 한다. 왜냐하면, 가치/비용이 애플리케이션의 잠재적 비가용성과 연관될 경우 비즈니스 담당자와 IT 담당자의 우선 순위는 달라지는 경우가 많기 때문이다.”
어바이어(Avaya)사의 미내시언(Minassian)은 단지 어떤 기능들이 비즈니스에 중요한 것인지를 아는 것만으로는 충분치 않다고 조언한다. 그는 “무엇이 비즈니스에 핵심적인지를 아는 것뿐만 아니라 그것이 재해 발생시 변경될 수도 있는지를 파악하는 것도 중요하다. 예를 들면, 예상 사용자들의 수나, 대응 시간 단축 여부 등이 그것이다. 이러한 것들을 알 수 있다면 BC/DR(Business Continuity / Disaster Recovery) 및 설계와 비용에 관한 접근 방식을 바꿀 수 있다”고 말한다.

질문 2

비즈니스의 각 요소별 보호 수준은 어떠한 것인가 예를 들면, 다음 날 바로 복
구해서 운영해야 하는 것인가?

아이서브(iSERV)사의 코커리(Corkery)는 질문 2와 관련된 문제들에 대해 이렇게 말한다. “1984년 나는 화재가 발생한 대형 통신 회사의 주요 데이터센터 복구에 참여했다. 건물은 물리적 피해를 입지 않았지만 전기 시스템을 다시 설치해야 했고 이 작업에 약 4주가 소요됐다. 우리는 모든 애플리케이션을 “핵심”과 “비핵심”으로 구분하고 핵심 애플리케이션만을 복구하기로 예정되어 있었지만, 4주가 흐르는 동안 모든 애플리케이션들이 비즈니스 사용자에게 중요해졌다. 결국, 우리는 분류 목록을 최대 허용 중단시간(Maximum Tolerable Outage) 기준으로 다시 작성했다. 그 일로 인해 우리는 무엇을 언제 해야 할 것인가 하는 필수 우선 순위 결정에 관해 배웠지만 결국 모든 것을 해야만 한다는 사실도 깨닫게 되었다.”

	질문 3	해당 솔루션은 어떤 유형의 재해에 대비하기 위한 것인가? (재해를 세 가지 유형으로 분류한 <표1> 참조)
	질문 4	어떤 솔루션이 사용 가능한가? 그 비용은 얼마인가?
	질문 5	비상계획 의사결정권이 누구에게 있는가? 보호 수준을 도입하기 위해 필요한 비용을 지불할 의사는 충분한가?

엔드리(Endry)는 자금에 대한 논의 없이 비상계획을 운운하는 것은 불가능하다고 생각한다. 그는 “많은 기업들이 이메일을 핵심적인 비즈니스 기능으로 파악하고 있다. 그렇다면 이메일 용량의 100%를 이중화할 것인지, 아니면 한동안은 용량을 줄여 운영할 것인지를 결정해야 한다. 그 결정에 따라 비용이 크게 달라질 수 있다”고 말한다.
일반적으로, 비상계획의 비용은 상기 질문들에 대한 답과 직접적인 연관이 있다. 특히, 보호를 위해 필요한 기능, 요구되는 보호 수준, 대처해야 할 재해 유형이 증가할수록 비상계획의 비용은 증가하게 된다. 앞서 언급한 바와 같이, 9·11사건으로 인해 비상계획이 뜨거운 이슈로 떠올랐다. 그리고 비상계획을 단순히 9·11 테러 공격과 같은 엄청난 사건에 대비하는 것이라고 생각하는 경향이 늘고 있다. 이는 근시안적인 생각이며, <표 1>에 기술한 것과 같이 재해 유형을 세 가지로 파악하는 것이 올바른 자세라고 할 수 있다.

재해유형	특징	예상가동중단시간
유형 1	하드웨어나 소프트웨어 장애, 잘못된 변경 사항 관리 등과 같은 요인으로 인한 시스템 또는 시스템 구성 요소의 통상적인 가동 중단	24 시간 이내
유형 2	화재, 정전, 사보타지 등 한 건물이나 캠퍼스에 영향을주는 불가항력의 재해	24시간에서 7일
유형 3	대규모 정전, 홍수, 허리케인, 테러등 한 지역에 영향을 주는 불가항력의 재해	8일 이상

분명 <표 1>의 내용은 각 기업들이 처한 특정한 상황에 맞도록 어느 정도 조정이 필요할 것이다.
한편 <표 1>과 같은 수단을 통해 IT 부서와 비즈니스 의사결정권자 간에 적절한 대화가 시작될 수 있다.
하지만, IT 부서와 비즈니스 의사결정권자들 간의 대화가 실질적인 의미를 가지기 위해서는 다양한 선택 방안에 대한 비용 문제도 논의에 포함되어야 한다.

4. 고가용성 네트워크 설계

비용 효율적인 고가용성 네트워크를 설계하려면 다양한 기술이 결합되어야 한다는 점을 염두에 두어야
한다. 장비 단계의 이중화는 장비 내의 단일장애점(SPoF: Single Points of Failure)을 없애주지만 링크 장애나 운영자 실수, 설정 오류, 소프트웨어 에러와 같은 ‘소프트’한 장애로부터 분산형 네트워크를 보호하지는 못한다. 분산형 네트워크를 모든 유형의 장애로부터 보호하는 가장 좋은 방법은 주요 종단 시스템(end system) 간에 다수의 병렬 경로를 제공하여 네트워크 수준에서 단일장애점을 제거할 수 있는 탄력적인 네트워크(resilient network)를 설계하는 것이다.
한편 탄력적인 네트워크에 장애가 발생하면 남아 있는 장비와 링크에 일시적으로 부하가 증가해, 장애가 발생하지 않은 경로에 트래픽 페일오버(failover)가 발생하는 것이 일반적이다. 장비 단계의 이중화 및 링크
이중화로 이러한 페일오버 발생 빈도를 줄일 수 있으며, 페일오버가 발생하면 QoS 메커니즘은 더 많은 네트워크 자원을 핵심 애플리케이션 트래픽에 자동으로 할당함으로써 높은 수준의 서비스를 유지할 수 있다.
비용 효율적인 고가용성 네트워크는 일반적으로 네트워크의 복잡성을 증가시킨다는 점도 염두에 두어야
한다. 어바이어(Avaya)의 미내시언은 네트워크 전문가들에게 이렇게 조언한다. “네트워크 설계의 복잡성과 유지관리상의 편리성 간의 균형을 맞추어야 한다. 유용하면서 자체 회복 기능을 갖춘 복잡한 네트워크를
설계할 수 있겠지만, 장애 발생 시에 이를 해결하고 지원할 수 있는 능력을 갖추고 있어야 한다는 점도 명심해야 한다.”

◆ 강력한 LAN 설계

몇 년 전부터 3계층의 계층적 설계로 대규모 캠퍼스 스위치 LAN을 구축하는 것이 일반화되고 있다. 이러한 설계는 <그림 2>에서 볼 수 있듯이 와이어링 클로짓(Wiring Closet)과 사이트 백본 그리고 캠퍼스 백본의 물리적 토폴로지와 일치한다.
네트워크의 각 계층은 해당 계층에서 요구되는 기능에 맞춰 최적화된, 다수의 이중화되고 장애에 강한(fault tolerant) 모듈로 구성된다. 소규모 기업의 네트워크는 하나 또는 그 이상의 와이어링 클로짓 모듈에 부합되는 단일 계층 LAN과 WAN 라우터로 구축할 수 있다. 반면, 중간 규모의 기업 네트워크는 와이어링 클로짓과 사이트 백본 모듈을 결합해 구축할 수 있다.
가장 일반적인 스위치 LAN 토폴로지는 와이어링 클로짓 계층에 Layer 2 스위칭과 사이트 및 캠퍼스 계층에 Layer 3 스위칭을 기반으로 한다.
이러한 방식을 L2/L3/L3 방식이라고도 하는데 LAN 설계의 초기 허브/라우터 모델에서 서브넷 구조를 차용하는 이점이 있다. 캠퍼스 계층은 또한 Layer 2 스위칭으로도 성공적으로 구축할 수 있지만, Layer 3 캠퍼스 백본은 훨씬 더 확장성이 높고 강력하다. Layer 3 스위칭은 신속한 페일오버를 가능하게 하며 이는 곧 더 높은 가용성으로 이어진다. Layer 3 캠퍼스 백본은 또한 그물형(meshed) OSPF(Open Shortest Path First) 백본을 통해 병렬적이며 비용이 동일한 경로로 완전한 링크 활용과 부하 공유를 가능하게 한다.
L2/L3/L3 모델의 단점은 클로짓 레벨로부터의 업링크가 Layer 2에서 스위칭 된다는 점이다. 특히, 스패닝 트리 알고리즘 사용으로 병렬 부하 공유(load-sharing) 연결이 각각의 와이어링 클로짓 스위치에서 이중화된 Layer 3 사이트 스위치로 구성되는 것이 불가능할 수 있다. 이러한 병렬 연결을 구성할 수 없다는 것은 해당 LAN 설계의 가용성을 떨어뜨린다.
스패닝 트리 알고리즘을 훼손하지 않고 가용성을 높일 수 있는 효과적인 방법은, <그림 2>와 같이 LAG(Link Aggregation)을 사용하여 와이어링 클로짓 스위치와 중심부의 경계선에 있는 첫번째 Layer 3 스위치 간에 point-to-point 링크를 만드는 것이다. 스패닝 트리 알고리즘은 각각의 LAG을 단일한 논리적 링크로 간주하며, LAG 내에서 부하는 MAG 주소와 포트 디노미네이션을 토대로 구성원 간에 균형 있게 분담된다.
L2/L3/L3모델에서 점차 보편화되고 있는 수정 사항은, 와이어링 클로짓 스위치의 업링크 포트를 포함시키기 위해 Layer 3의 경계를 더욱 확장하는 것으로 이는 백본에서 뿐만 아니라 라이저(riser)에서의 OSOF ECMP(Equal Cost Multi-Path) 부하 분담(load balancing)을 가능하게 한다. 라이저에서의 ECMP로 인해, 주경로가 장애로 작동되지 않을 경우에만 트래픽을 전송하는 예비용 이차 업링크의 비용/성능 부담 없이 단대단(end-to-end) 이중화 네트워크를 설계할 수 있다.
또한 <그림 2>는 와이어링 클로짓에서 서버팜(Server Farm)까지 완전 링크 및 장비 이중화를 갖추고 있는 3계층의 캠퍼스 네트워크 설계에 몇몇 네트워크 레벨 기능들이 어떻게 적용될 수 있는지를 보여주고 있다.
와이어링 클로짓 스위치 “A”의 Layer 2 스위칭으로, 링크 및 라우터 이중화에 LAG과 VRRP(Virtual Router Redundancy Protocol)를 적용할 수 있다.
일차 LAG(primary LAG) 또는 일차 사이트(primary site) Layer 3 스위치 “C”가 작동하지 않을 경우, 트래픽은 예비 LAG을 통해 이차 사이트(secondary site) 스위치 “D”로 전달된다. 반면, 와이어링 클로짓 스위치 “B”의 업링크에 있는 OSPF Layer 3 스위칭은 스위치 “C”와 “D”로의 동일비용경로(equal cost path )에 부하 분담(load balancing)을 가능하게 한다.
사이트 및 백본 계층에서는 ECMP OSPF가 완전 링크 및 장비 이중화를 지원한다. 서버 팜에서는 L2/L3 스위치 “E”와 “F”간의 OpenTrunk 802.1Q VLAN 트렁킹이 서버로 하여금 두 개의 서버 스위치를 연결하는 VLAN에 이중으로 장착될 수 있도록 한다.

◆ 그림 1 - 고가용성 LAN설계

◆ 강력한 WAN 설계

WAN에 네트워크 설계 이중화를 구현시키기 위해서는, 모든 주요 네트워크 사이트들이 이중화된 접속점(WAN에 부하가 균형 있게 분담되는 병렬의 연결을 제공하는 이중 라우터를 갖춘) 구축을 고려해야 한다.
한편 이러한 사이트들로부터 실질적으로 다양한 액세스가 가능하도록 하는 데는 지역교환 통신사업자(LEC: Local Exchange Carrier)와의 협조도 필요하다는 점에 유의해야 한다. 또한 이러한 다양한 접근을 가능케 할 경우 설계상의 비용이 높아진다는 점도 염두에 두어야 한다.

또 다른 기술은 ISDN을 백업 매체로 사용하는 것이다. 일반적으로, ISDN 회선은 일차 WAN 서비스(즉, 전용선이나 프레임 릴레이)가 작동하지 않는 경우 자동으로 활성화되며, 통상 두 개의 B 채널을 사용하거나
역다중화(inverse multiplexing) 및 압축을 사용한다.
그 결과 회선에서 256Kbps의 전송 속도를 기대할 수 있다. 그러나, 장애의 원인이 LEC 접속 회선의 단선인 경우에 이러한 기술은 무용지물이 된다. 이러한 상황이 발생해 지상 회선을 통해 다양하게 라우트된 접속이 용이하지 못하거나 비용상 사용이 불가할 경우, 서비스 공급자의 마이크로웨이브 접속이나 위성 링크 사용과 같은 대체 전략을 고려해야만 한다.

서비스 공급자로부터 서비스 수준 또는 가동시간에 대한 보장을 얻어 내는 것도 중요하다. 이러한 협상 및 네트워크 관리 문제가 중요한 것은 통상 서비스 공급자들이 서비스 수준을 보장하기는 하지만 불이행에 대한 보상액이 상대적으로 가볍기 때문이다. 따라서, 고가용성의 WAN 구축을 원하는 네트워크 관리자들은
서비스 수준의 보장에 관한 더욱 구체적인 협상을 할 필요가 생기는 것이다.
좀더 의미 있는 서비스 수준 보장에 관한 협상이 비상계획의 중요한 요소로 보이기도 하지만 어바이어(Avaya)사의 미내시언은 이렇게 말한다. “장애 발생 시에 서비스수준협약(SLA: Service Level Agreement)에 의존해서는 안 된다. 어바이어사는 회선의 마지막 구간을 네덜란드의 무선 서비스 공급업체에 하청을 준 적이 있다. 그런데, 네트워크에 장애가 발생했지만 노동법이 12시간 이상 근무를 금해 기술자를 파견하지 못했다. 이러한 법적 제약 때문에 SLA는 재해복구 면에서 아무런 도움이 되지 못했다.” 미내시언은 해당 WAN이 비즈니스에 중요한 부분이라면 경로를 다양화하고 이중화할 필요가 있다고 충고한다.
한편 고가용성 제공이 네트워크 관리의 문제가 된다고 한 이유는, 서비스 수준 보장을 모니터링 하는 데에 비교적 정교한 서비스 관리 도구와 프로세스를 구축해야 하기 때문이다. 서비스 공급자가 제공하는 SLA에 전적으로 의존할 수 없을 경우에는, 경쟁 인터넷 서비스 공급자와 WAN이 제공하는 이중화된 네트워크 서비스에 이중 네트워크 연결을 구축해야 한다. 이러한 예로는 많은 기업들이 자사의 콜 센터 트래픽을 여러
서비스 제공업체로 분산하고 있는 것을 들 수 있다.

◆ 그림 2 - 고가용성 WAM연결

< 그림 2>는 고가용성의 WAN 액세스 아키텍처를 보여준다. 이중화된 액세스 라우터가 서버 사이트 계층의 이중화된 Layer 3 스위치에 연결되어 캠퍼스 LAN과 WAN 사이의 모든 단일장애점(SpoF)을 제거한다.
아이서브(iSERV)사의 코커리는 “고가용성 네트워크 계획을 수립할 때 라우트를 다양화하는 것은 대단히 바람직하다. 그러나, 서비스 지역에 따라 추가 조사가 일부 필요하다. 우리는 서로 다른 통신사업자의 서비스를 사용했는데도 물리적 전송이 동일한 경우를 여러 번 경험했다. 이는 조사를 통해 단일장애점이 명확해질 때에야 알게 된다”고 말한다.
미내시언도 코커리와 같은 의견으로, “어바이어사도 서로 다른 통신사업자들의 이중 회선 서비스(동일한
파이버 백본을 통과하는)를 경험한 적이 있다. 이러한 경우는 많은 공급자들이 빌린 용량을 다시 빌려주는 대서양 횡단 및 태평양 횡단 링크에서 특히 두드러진다”고 말한다. 미내시언은 네트워크 전문가들에게 “서비스 공급자들에게 상세한 라우트 경로를 요구하여 그들이 직접 전송하는지 아니면 전대(轉貸)한 것인지를 구분, 파악해야 한다”고 충고한다.

5.비상계획 수립을 위한 프로세스

여기서는 비상계획에 포함되어야 하는 몇 가지 프로세스에 대해 살펴보고자 한다.

◆ 다른 주요 프로세스와의 링크

IT 비상계획이 실효성을 갖기 위해서는 다른 주요 프로세스와 연계되어야 한다. 예를 들면, 엔드리와 코커리가 강조한 바와 같이, 관련 비즈니스 프로세스와 긴밀하게 연계되어 있지 않은 비상계획으로 재해복구가 이루어질 경우, 시간과 돈을 낭비하게 된다.
또한, IT 업체의 비상계획은 자체 보안계획과 연계할 필요가 있다. 여기에는 두 가지 이유가 있는데, 첫째는 서비스 거부 공격(Denial of Service attack)과 같은 보안 사고로 인해 회사가 온전히 기능하지 못할 수 있기 때문이고, 둘째는 효과적인 보안계획 수립과 효과적인 비상계획 수립이 상당 부분 공통되기 때문이다. 따라서 이러한 두 가지 계획을 연계함으로써 비용을 최소화하고 각 계획의 효율성을 극대화할 수 있다.

? 정기적인 인벤토리 분석 수행
미내시언은 강력한 비상계획을 구축하기 위해서는 네트워크 전문가들이 이렇게 조언한다. “전체적인 설계에서부터 각각 장비에 설치되는 펌웨어의 최신 개정본에 이르기까지 설치와 관련된 모든 사항을 파악해야 한다. 많은 네트워크 팀들이 엔지니어의 PC에 설치된 비지오(Visio) 프로그램으로 작성된 다이어그램을 기반으로 네트워크를 설계하고 있는 실정이다.”

◆ 백업 장비 배비(配備)

뉴욕에 위치한 한 금융회사의 CTO는 9·11사건 이후 주식 시장이 다시 개장됐을 때 3000 명의 관련 직원들이 정상적으로 업무를 수행할 수 있었다고 한다. 그는 이것이 가능했던 이유 중 하나로 표준 데스크탑 환경을 갖추고 있었다는 점을 들었다. 표준 데스크탑 환경 덕분에 비교적 손쉽게 적절한 소프트웨어를 백업 데스트탑에 설치할 수 있었던 것이다. 그 과정에서 가장 까다로운 부분이 PC 3000대를 새로 구입하는 것이었다.

◆ IT 위기 관리팀 구성

재해에 신속히 대처하기 위해서는 재해 발생 이전에 IT 위기 관리팀과 대체 부서를 구성하고 업무 내용을 명확히 규정해 두어야 한다. 또한 위기 관리팀이 즉각 가동되도록 하려면 모든 사람들이 대체 관리팀, 위기 관리팀과 연락 가능하도록 최신 연락 정보를 작성하고 관리해야 한다.

◆ 효과적인 커뮤니케이션 방안 확립

위기 관리팀이 효과적으로 운영되기 위해서는 효과적인 커뮤니케이션 방안이 마련되어야 한다. “위기 발생시에는 효과적인 커뮤니케이션이 중요해지는데, 리서치인모션(Research-in-Motion)의 블랙베리(Blackberry) 제품군과 같은 신기술 제품의 사용이 매우 효율적인 것으로 밝혀졌다.
지난 봄, 도로변 변전실의 화재로 인해 우리 건물이 폐쇄되는 일이 발생했다. 당시, 상급 관리팀이 아침 출근길에 있을 때 우리가 이 문제에 대해 자문을 받게 되었다. 우리가 도착했을 때, 대체 사무실 공간을 사용하기 위한 정비가 이루어졌으며 고객지원센터의 전화선이 재정비되어 있었다. 비즈니스 사용자에게 이는 당연한 일이었지만 블랙베리의 문자 메시징이 없었다면 결코 해낼 수 없었던 일이었다.” 코커리의 말이다.

◆ 후임자 육성계획 수립

IT부서가 정상적으로 운영되기 위해서는 후임자 육성계획을 수립해야 한다. 이러한 계획의 필요성은 비상계획 수행 시에 더욱 돋보인다. IP 주소 체계와 같은 네트워크의 핵심 사항에 관한 모든 지식이 주로 한두 사람의 머리 속에만 있다는 것은 큰 취약점으로 나타날 수 있기 때문이다.
미내시언은 네트워크 전문가들에게 이렇게 조언한다. “회사 네트워크에 대해 알고 있는 사람이 두 명 이상이 되도록 해야 한다. 직원 한 명에게만 의존하다 해당 직원이 모든 지식을 가지고 떠나버리는 경우가 비일비재하므로, 공식적인 후임자 육성계획을 즉시 수립해야 한다.”

◆ 직원 교육

비상계획이 효율적으로 운영되기 위해서는 회사 직원들이 이를 깊이 있게 인식하고 있어야 한다. 신입사원 오리엔테이션이나 업무 수행 과정에서 공식적인 교육을 실시함으로써 이러한 인식을 높여야 한다. 이를 위해 여러 가지 다른 방법들도 활용할 수 있다. 예를 들면, 뉴욕의 많은 회사들이 비상 정보 카드를 활용하고 있는데, 이 카드는 셔츠 주머니에 넣고 다닐 수 있도록 만든 얇은 카드로 재해 발생시 취해야 할 행동 요령을 담고 있다.

◆ 비상계획 테스트
코커리는 “재해복구나 업무연속성계획은 테스트를 거쳐 보완되어야 개발이 완료된다. 우리는 재해복구 및 업무연속성계획을 연 4회(정규 테스트 3회와 ‘불시’ 테스트 1회) 테스트한다”고 말한다.
코커리는 불시 테스트를 시행할 때 사전에 직원이나 동료가 화재나 폭발물의 폭발 등으로 인해 업무를 볼 수 없게 되었다는 내용을 담은 쪽지를 직원의 책상에 남겨두곤 한다. 이런 방법으로 테스트는 더욱 실제 상황에 가까운 시뮬레이션이 되는 것이다.
코커리는 또한 최신 호출 번호로 꾸준히 업데이트해야 한다고 강조한다. 그는 경험을 통해 “통상 90일이 지나면 20%가 바뀐다는 것을 알게 됐다”고 말한다.
프라이스워터하우스쿠퍼스(PricewaterhouseCoopers)사의 브라운(Brown)은 “테스트는 재해복구 계획의 가장 중요한 요소 중 하나로, 여기에는 예비 하드웨어의 가용성에서부터 디젤 발전기에 연료가 채워져 있는지 또 제대로 작동하는지에 이르기까지 모든 것이 포함되어야 한다”고 말한다. 브라운은 예전에 “건물 배전이 바뀌어 결국 디젤 발전기가 작동하지 않았음을 알게 되었다. 이러한 사실은 통상적인 분기별 테스트를 통해 밝혀졌는데, 이는 정기적 테스트가 얼마나 중요한지를 단적으로 보여준다”고 말한다.
미내시언은 네트워크 전문가들이 또한 자사의 대역외(out of band) 관리 액세스를 정기적으로 점검해야
한다고 조언한다. 그는 “모뎀 사용을 위한 링크를 단선시킨 후 링크를 다시 연결하도록 기술자들에 지시하지 않는 경우가 많다.
뒤늦게 긴급 상황에 대처하기 위한 액세스가 필요할 때에야 이런 사실을 발견하게 된다”고 말한다.

◆ 복구

앞서 언급한 바와 같이 1984년에 아이서브(iSERV)사의 코커리는 화재가 발생한 대형 통신 회사의 주요 데이터센터 복구에 참여한 적이 있다. 그는 이를 통해, 재해 상황이 완료된 후에 어떤 작업이 비상계획에 포함되어야 하는지를 알게 됐다. “당시 화재 사건에서 배운 두 번째 교훈은, 비록 우리가 대체 데이터센터 가동 방안을 훌륭하게 수립했고 이를 거의 완벽하게 실행은 했지만, 원상 복구 방안에 대한 계획은 가지고 있지 않았다는 것이다. 모든 것을 원상 복구시키는 것은 또 다른 재해 상황이라 할 만한 것이었다. 결국 이 모든 것들을 천천히 조심스럽게 복구하는 데에 추가로 수개월이 소요되었다.” 코커리의 말이다.

6. 비즈니스 사안 분석

재해를 입은 회사의 40%가 수년 내에 문을 닫는다는 것이 IT 업계의 일반적인 인식이다. 이러한 통계는 기업들이 비상계획을 수립하도록 하는 자극제로는 충분하지만, 비상계획 구축에 막대한 자금을 투자할 수 있도록 경영진을 움직이는 데는 다소 역부족이다. 이를 위해서는 네트워크 관리자들이 회사 내의 의사결정권자들과 협의하여 자사의 환경에서 신뢰할 수 있는 비즈니스 사안 분석을 실시해야 한다. 이러한 비즈니스 사안 분석은 다운타임(down time) 비용을 파악하는 것에서 시작한다.
먼저, 대부분의 비즈니스 기능의 경우 그 기능이 수 시간 혹은 하루 동안 작동하지 않으면, 회사에 분명 손실이 발생할 수 있다는 사실이 아직 일반적인 인식으로 자리잡지 못했다는 점을 지적할 필요가 있다. 이는 해당 비즈니스 기능이 작동하지 않는데도 사람들이 무덤덤하다는 말이 아니다. 그보다는 그러한 기능의 장애발생 가능성을 줄이기 위해 추가로 비용을 지불할 의사가 없음을 지적하고자 하는 것이다.
그러나, 몇 가지 비즈니스 기능들에 대해서는 많은 회사들이 다운타임으로 인한 비용을 인정하고 있다. 그 기능들은 다음과 같다.

● 증권 거래
● 온라인 판매
● 적시(Just-in-Time) 생산
● 온라인 예약

이러한 기능들의 장애 비용을 산정하는 데 고려하는 여러 가지 요소들이 있으며, 이는 다음과 같다.

● 매출 감소
● 고객 감소
● 신뢰 상실

IT 부서는 비상계획 수립을 위한 비즈니스 사안 분석에서 <표 2>와 같은 표를 만들어 분석을 수행해야 한다. 이 표는 몇몇 주요 지점과 주요 기능 또는 전체 운영에 관한 것으로, 먼저 회사 내에서 장애로 인한 비용이 가장 클 것으로 보이는 비즈니스 상황부터 시작하는 것이 실질적인 접근 방법이다. 만약 비즈니스 담당자들이 그런 상황에 대비한 비상계획에 자금을 투자할 의사가 없다면, 더 이상의 작업은 시간 낭비일 것이다.
예를 들어, <표 2>가 대형 증권회사의 장내 거래에 관한 것이라고 가정해 보자. 또 분석할 특정 사안이, 회사 소속의 거래자들이 재해에도 불구하고 지속적으로 시장 데이터에 접근할 수 있도록 하는 비상계획 구축의 경제적 가능성이라고 가정해 보자.

이 경우 표를 작성하는 목적은, 비상계획에 대한 자금 지원 여부를 최종 결정하는 사람(또는 사람들)에게 IT부서가 대안을 제시하도록 하는 데 있다. 이런 맥락에서 보면, 하나의 솔루션은 여러 가지 기술과 기능 및 프로세스가 결합된 것이라 하겠다.

솔루션	보호수준	재해유형	비용
1	4시간 백업	유형1	100만 달러
2	4시간 백업	유형2	500만 달러
3	4시간 백업	유형3	2500백만 달러
4	상시 대기 (Hot stand-by)	유형4	500만 달러
5	상시 대기 (Hot stand-by)	유형5	2500만 달러
6	상시 대기 (Hot stand-by)	유형6	1억 2500만 달러

표를 작성하기 위해, IT 부서는 두 가지 핵심 요소를 기준으로 여러 가지 유망 솔루션을 검토해야 한다. 또한 그 과정에서 특정 솔루션 구축에 드는 비용을 추정 산출해야 하는 점에도 유의해야 한다. 이러한 유망 솔루션 비용도 <표 2>에서 매우 중요한 요소다.

표에 포함되어야 하는 두 가지 핵심 요소 중 하나는 비상계획이 제공하는 보호의 수준(Amount of Protection)이다. 보기에서는 두 가지로 살펴보았다. 하나는 거래자들이 거래 데이터에 지속적으로 접근할 수 있는 경우고, 다른 하나는 거래자들이 최대 4시간 동안 거래 데이터에 접근하지 못하는 경우다.
표에 포함되어야 하는 또 다른 핵심 요소는 비상계획이 대처해야 하는 재해의 강도(severity)다. 재해 유형 분류법은 <표 1>에 자세히 설명되어 있다. 보기에서는 세 가지 유형을 모두 고려했다.
< 표 2>와 같은 수단을 활용하면 다음과 같은 성과를 거둘 수 있다.

● IT 부서를 회사의 비즈니스 및 기능 관리자의 파트너로 확고하게 자리매김해준다. 이는 IT 부서가 비즈니스 의사결정권자들이 고려할 대안을 제시하고 있기 때문이다.
● 의사결정시 고려해야 할 비용 요소를 제시한다. 엔드리의 말을 빌리면, 비용 요소를 제시하지 못할 경우, 먼저 업무연속성계획의 필요에 의해 회사 이메일의 100%를 이중화해야 하는 상황이 벌어질 수도 있을 것이다. 그리고 회사 이메일의 100%를 이중화하는 데 소요되는 비용을 계량화한 후에야, 회사 이메일의 50%만을 이중화해도 괜찮은지를 비즈니스 관점에서 제대로 판단할 수 있을 것이다.

7. 요 약

재해복구 및 업무연속성이 뜨거운 이슈로 떠오르는 데는 9·11사건도 한몫 했다. 그런데 미국에 대한 공격이 초래한 여러 가지 영향들이 사람들의 뇌리에서 희미해지고 있는 반면, 재해복구 및 업무연속성은 여전히 수많은 기업에 중요한 문제로 인식될 것이다. 여기에는 두 가지 이유가 있다. 하나는 많은 회사에서, 9·11 공격의 영향이 사라지지 않은 것이고, 다른 하나는 재해복구와 업무연속성이 9·11과 같은 엄청난 사건에 대비해 단지 ‘보호’ 기능을 제공하는 것 이상의 의미가 있기 때문이다.
이 글은 이런 점들을 염두에 두고, 네트워크 담당자들이 IT 비상계획(회사의 특정한 상황과 요구를 반영하는)의 수립에 사용할 수 있는 프레임워크를 제시했다. 예를 들어, 어떤 회사들은 비교적 간단한 비상계획을 원할 것이고, 또 어떤 회사들은 좀더 포괄적인 비상계획을 원할 것이다. 어느 경우든, IT 비상계획의 효과를 극대화하기 위해서는 다른 두 가지 요소 즉, 회사의 보안 계획 및 IT 비상 계획에 대응하여 구현되고 있는 비즈니스 프로세스들과 긴밀하게 연계되어야 한다.
이 글에서 소개한 프레임워크는 비상계획 수립 시에 네트워크 전문가들이 <표 1>과 같이 재해를 세 가지로 분류해 볼 것을 제안하고 있다.
또한 이 글은 고가용성의 LAN과 WAN 인프라 구축의 가이드라인 몇 가지를 제시하고 있다. 그러나, 실제로 비상계획에 이러한 가이드라인이 적용될 경우 네트워킹 비용이 증가할 수도 있고, 네트워크 인프라가 복잡해질 수도 있다.
이 프레임워크는 비상 상황을 위한 솔루션에 여러 가지 기술과 기능 및 프로세스를 결합할 것을 제시하고 있다. 이 글에서 언급한 바와 같이 이러한 솔루션을 만드는 데 사용될 수 있는 기술들은 대단히 많다. 주로 백업 전력(backup power)과 전화의 재설정 등의 몇 가지 기술들이 비상계획 수립에 적용되고 있다. 그러나, VoIP와 컨텐츠 분산 네트워크(content distribution network) 등의 수많은 다른 기술들은 일반적으로 비상계획에 사용될 수 있음에도 불구하고 이러한 비상 계획과는 무관하게 구축되고 있다.
재해에 대한 취약성을 줄이기 위해 많은 회사들이 도입하고 있는 기능 몇 가지를 소개하면 다음과 같다.

● IT 인프라스트럭처의 단순화
● 회사의 부동산 보유의 다양화
● 호스트된 솔루션의 활용

또한, 비상계획 솔루션을 구성하는 데 부분적으로 사용될 수 있는 프로세스들도 다양하다. 이러한 프로세스 가운데 정기적인 인벤토리 분석 수행 등은 그 자체가 의미 있는 IT 관리 프로세스라고 할 수 있다. 그러나, 이러한 프로세스들의 핵심은 비상계획 지원에 있다. 따라서, 이러한 프로세스를 구현하는 것은 업무 및 비용의 증가를 의미한다.
집필에 도움을 준 수많은 고위 IT 담당 간부들은 적절한 자금 조달 방안에 관한 논의 없이는 비상계획에 대한 의미 있는 논의가 이루어질 수 없다는 점에 대해 모두 동의했다. 이 글은, 이제 막 비상계획을 준비하고 있는 IT 부서들이 다운타임으로 인해 엄청난 비용이 발생할 가능성이 가장 높은 비즈니스 상황부터 시작할 것을 제안하고 있다. 회사 내의 비즈니스 경영진들이 이러한 핵심 상황에 대비한 비상계획에 자금을 투입할 의사가 없다면 더 이상의 비상계획을 위한 작업은 시간 낭비가 될 것이기 때문이다.

출처 : http://www.his21.co.kr/advantage/advantage75/docu08.htm

Switch , VLAN , VTP

JAESOO — Mon, 15 Jun 2015 19:56:54 +0000

많이들어본 장비 스위치이다
오늘에서야 배우게되어서 궁금증이 많이 풀릴거같다.

## Switch ##

>> Layer2 Switch

- Collision Domain을 분리해서 Network 확장성을 갖는다.
   하지만 Broadcast Domain은 하나이기 때문에 많은 호스트를 Switch로
   연결하면 Broadcast Traffic이 증가해서 Network 성능이 떨어진다.

- MAC Address 학습 기능을 갖는다.

- 자신의 MAC Address Table에 목적지 MAC주소가 없는 경우 모든 포트로 플러딩 한다.

- 포워드 및 필터링 기능을 갖는다.

- Swich는 최대 300개 이상 포트를 하나에 스위치가 갖을 수 있다.
   Bridge는 최대 16개의 포트만 갖는다.

- ASIC Chip에 의한 Hardware Frame 전달을 하기 때문에 최대 100만개
   이상의 Frame을 처리하는 능력을 갖는다.
   Bridge는 CPU에 의해 OS 및 Frame 처리를 하기 때문에 스위치보다 느리다.

- Port Security 기능을 갖는다.

- VLAN(Virtual LAN) 기능을 통해 Switch의 Broadcast Domain을 분리한다.

- VTP(Virtual Trunk Protocol)은 VLAN Database를 스위치간 동기화 하는
   Protocol이다.

- STP(Spanning-tree Protocol) 기능으로 Link이중화 및 Loop 방지가 가능하다.

- EtherChannel은 두개 이상의 Link를 하나로 묶어서 대역폭을 확장한다.

>> 스위치 기능

> Address Learning(학습기능)

--> Switch에 들어오는 프레임의 MAC Address를 확인하여 각포트에 연결된
      장비들의 MAC address를 학습한다.
      이렇게 만들어진 MAC Address는 MAC Database에 저장된다.

> Forward / Filter(포워딩/필터링)

--> 프레임을 수신하고 나서 어떤 포트로 전송을 할지 MAC database를 확인
      하고 해당 포트로 전송한다.
      목적지 MAC Address가 MAC database에 없으면 들어온 포트를 제외한
      모든 포트로 플러딩한다.

> Loop Avoidance(루프 회피)

--> 링크 이중화를 위하여 Switch에 동일 경로에 대한 링크가 중복될때
      Switch는 여러 경로사이에 프레임이 계속 재전송 되는 것을 방지해야 한다.

      중복된 링크간 패킷이 지속적으로 재전송 되는 것을 Loop라고 한다.

      Loop가 있을 경우 프레임이 지속적으로 재전송되어 네트워크를 저하
      시키다 결국 다운된다.
      이러한 Loop를 막기 위한 방법으로 STP(Spanning-Tree Protocol)가 있다.

>> 프레임 처리방식

> Store and Forward

--> 프레임을 완전히 수신한 다음에 전송한다.
      수신지 Address와 송신지 Address를 확인 후 CRC검사를 수행 후 프레임을
      전달한다.
      CRC가 맞지 않으면 프레임을 삭제한다.

> Cut-through

--> 프레임이 수신되자 마자 헤더의 수신지 Address를 확인하고 바로 전송을
      시작한다.
      수신지 Address를 확인 후 바로 전송하기 때문에 프레임의 크기에 상관
      없이 지연 시간은 일정하다.
      단점은 충돌 프레임이나 잘못된 CRC값을 가진 프레임도 전송한다.

> Fragment-Free

--> 프레임을 전달하기 전에 프레임의 처음 64byte만 확인 후 전송한다.
      일반적으로 충돌은 64byte에서 발생하기 때문에 64byte만 확인하여
      충돌 프레임을 걸러 낼 수 있다.

>> EthernetⅡ Frame 구조

-------------------------------------------------------------------------------
| Freamble |    D.A    |    S.A    | Type |         DATA          |   FCS   |
|   8byte    |   6byte   |   6byte   | 2byte |      46 ~ 1500byte    |   4byte |
-------------------------------------------------------------------------------
               Cut-through                          Fragment-Free       Srore and forward

이것으로 CCNA 주말 한달간의 수업이 모두 끝났다.
2년걸리는 수업과정을 한달, 즉 8일만에 끝내려하니 정말 어렵고
빨리지나갔다.
따로 공부도 해야겠고, 자격증도 빨리 취득해야겠다
다음달부턴 자바공부를 하고, 틈틈히 CCNA 자격증 준비해야겠다^^

ps. 밑에 VLAN,VTP 설명

>> VTP(VLAN Trunk Protocol)

- Switch의 vlan.dat 파일에 정의된 VLAN Database를 VTP Domain으로 구성된
   모든 Switch에 복제해서 모든 Switch들이 동일한 vlan정보를 갖도록 한다.

- Switch간 "flash:vlan.dat" 파일을 다른 Switch와 동기화 하는 Protocol이다.

>> VTP Mode

> Server

--> Switch가 VLAN Database를 직접 생성 / 삭제 / 변경이 가능하고
      그 정보를 flash:vlan.dat로 저장하여 같은 VTP Domain에 있는
      다른 스위치에게 Replication을 수행하는 모드이다.
      Switch 초기 기본 모드이다.

> Client

--> Switch가 VLAN Database를 직접 만들지 않고 Server로 부터 동기화
      한 후 DRAM에 그 정보를 유지하는 모드이다.
      자체적으로 생성 / 삭제 / 변경이 불가능 하다.

> Transparent

--> Server 모드와 동일한 기능을 갖으나, 다른 Switch에게 그 정보를
      동기화 하지 않는 독립형 모드이다.
      하지만 자신에게 전달되어 온 VTP Summary 정보는 다른 Switch에게
      전달한다.

>> VTP 설정

1) VTP Domain을 설정한다.

   같은 vlan.dat 파일을 공유하고자 하는 모든 Switch는 모두 같은
   VTP Domain name을 사용해야 한다.
   같은 VTP Domain을 사용하는 Switch간 VALN 정보를 동기화 한다.

   Switch(config)# vtp domain <name>
   Switch(config)# vtp domain ccna

2) VTP Option 설정을 한다.

   보안을 위해 암호를 설정을 할 수 있다.
   모든 Switch간 Password가 동일해야 한다.

   Switch(config)# vtp password <암호>
   Switch(config)# vtp password cisco

3) VTP Mode를 선언한다.

   Switch(config)# vtp mode <Server | Client | Transparent>
   Switch(config)# vtp mode client

>> VTP 정보 확인

   Switch# show vtp status

=========================================================================================================
>> VLAN (Virtual Local Area Network)

- Switch는 Broadcast Traffic을 전달하는 장비이다.

- VLAN을 사용하여 Broadcast Domain(Traffic)을 분리할 수 있다.

- VLAN은 Switch Port 단위로 VLAN ID를 할당하여 다른 VLAN ID를 갖는
   Port간에는 traffic이 차단된다.

- Switch는 초기에는 모든 Port가 VLAN 1 번 ID를 설정되어 있다.
   그래서 초기에는 모든 Port간 통신이 가능하다.

- Frame Tagging을 이용한다. (ISL,802.1Q)

- VLAN을 사용하는 Switch는 Port Type이 구분된다.

- VLAN 정보는 스위치에 Flash:vlan.dat 파일에 저장된다.

- VLAN Port Mapping 정보는 Flash:config.text 파일에 저장된다.

>> Static VLAN

   --> 관리자가 직접 Switch에 VLAN Database를 구성하고 Port를 매핑한다.

>> Dynamic VLAN

   --> VMPS 서버를 만들어서 서버 Database에 VLAN정보와 MAC-Address를
       미리 매핑한 후에 Switch에 PC가 연결되면 Switch가 MAC Address를
       학습한 후 VMPS서버에 Query를 해서 해당 PC가 어떤 VLAN에 포함되어
       있는지 동적으로 알아내서 포트를 VLAN정보에 맞게 자동 변경한다.
       (사용자가 자주 바뀌는 회의실에서 유용하다.)

>> Switch Port Type

> Access-link

--> 하나에 VLAN에만 포함되는 포트이고, 해당 VLAN Traffic만 처리 한다.

      단일 VLAN Traffic을 전달하는 포트이고, 호스트 연결 포트가 된다.

      초기 모든 Port가 Access-link이다.

> Trunk-link

--> 어떠한 VLAN에도 포함되어 있지 않고, 모든 VLAN에 Traffic을 전달하는
      포트이다.

      다중 VLAN Traffic을 전달할 수 있는 포트이다.
      보통 Switch와 Switch를 연결하는 구간이다.
      Trunk는 Tagging된 Frame을 전달한다.(ISL or 802.1Q)

>> VLAN 생성

Switch(config)# vlan 10
Switch(config-vlan)# name VLAN10

>> VLAN 제거

Switch(config)# no vlan 10

>> VLAN 정보 확인

Switch# show vlan brief

>> 하나의 Port를 VLAN에 포함하기

Switch(config)#interface fastethernet 0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10

>> 여러개의 Port를 VLAN에 포함하기

Switch(config)# interface range fa0/10 - 15 , fa0/20 - 24
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 10

>> Trunk Link 구성

> FastEthernet 0/24 포트를 Trunk-Link로 설정

Switch(config)# interface fa0/24
Switch(config-if)# description "To SW2 Fa0/24 Trunk Connection"
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan all

>> VLAN 10, 20번만 전달하는 Trunk Link 설정

Switch(config-if)#switchport trunk allowed vlan none
Switch(config-if)#switchport trunk allowed vlan add 10
Switch(config-if)#switchport trunk allowed vlan add 20

>> Trunk Link에서 특정 VLAN Traffic 차단

Switch(config-if)# switchport trunk allowed vlan remove 10

>> Trunk Link 정보 확인

Switch# show interface trunk

>> Switch encapsulation 설정

Switch(config-if)# switchport trunk encapsulation <dot1q | isl>

--> Layer2 Switch는 지원안함, 802.1Q만 사용가능하다.
      Switch가 ISL, 802.1Q 둘다 지원하는 경우 encapsulation을 선언해야 한다.
      switchport mode trunk 선언하기 전에 먼저 설정한다.

>> Frame Tagging

- ISL    (cisco Only)
- 802.1Q (IEEE 표준)
- 802.10 (FDDI망연결)
- LANE   (ATM 연결)

>> Switch 초기화

- VLAN.dat , config.text 두개의 파일에 VLAN정보를 저장한다.
   이 두개의 파일을 삭제해야 VLAN 및 포트 매핑정보를 초기화 할 수 있다.

   Switch# delete vlan.dat
   Switch# erase startup-config or Switch# delete config.text
   Switch# clear vtp counters
   Switch# reload

출처 : http://smstudent.egloos.com/v/2645019

Switch의 Loop방지기술 - STP

JAESOO — Mon, 15 Jun 2015 19:55:47 +0000

Spanning-Tree Protocol

스위치 네트워크를 이중화 구성할 경우, 여러가지 장애가 발생할 수 있다.

그러한 장애의 원인은 바로 이중화 구성 때문이다. 그럼 장애를 없애려면 어떻게 해야할까?

너무나도 간단한 이야기지만 이중화 구성이 아니면 된다…

그럼.. 이미 구성해 둔 이중화 링크를 한군데 뽑아버리느냐?? 그건 아니다.

물리적으로 포트를 분리시키는 것이 아니라 논리적으로 하나의 포트를 일시적으로 막아서 사용하는 것이다.

이렇게 논리적으로 하나의 포트를 막아서 루프를 방지하는 기술이 바로 Spanning-Tree Protocol이다.

STP의 동작과정

STP를 동작시키면 서로 연결된 여러 개의 스위치들은 그들 중 하나의 반장을 뽑는다.

그 반장을 우리는 Root Bridge라고 부른다.

그리고 하나의 Root Bridge를 제외한 나머지 스위치들은 Non-Root Bridge라고 한다.

1. 한 네트워크 상에 있는 스위치들은 네트워크의 정보 및 각 스위치의 정보들이 담겨있는 프레임인 BPDU를 서로 주고 받는다.

BPDU : 네트워크의 정보와 각 스위치의 정보가 담긴 프레임이다.

2. BPDU안에 담겨있는 Bridge-ID를 비교하여 가장 낮은 Bridge-ID를 가진 스위치가 Root Bridge로 선출된다.

Bridge-ID = Bridge-Priority + MAC address

<STP에서의 Port 종류>

Designated Port : Root Bridge에서 보내는 정보를 다른 스위치들에게 전달하기 위해 지정된 포트

Root Port : Root Bridge로 가는 가장 좋은 길의 포트.

Nondesignated Port : Block 포트라고 해도 되며, 논리적으로 통신을 하지 못하게 막아두는 포트.

Port가 선정될 때 유의해 야 되는 점

- Root Bridge가 가진 포트는 모두 Designated Port가 된다.

- 하나의 세그먼트당 하나의 Designated Port만 가진다.

- Non-Root Bridge 당 하나의 Root Port를 가진다.

Port 선출 시 비교하는 기준

1. 낮은 Cost (대역폭에 따라 산출됨 - 대역폭이 클수록 Cost는 낮음)

2. 낮은 Sender Bridge-ID

3. 낮은 Sender Port number

STP의 상태변화

Disabled

포트가 고장나서 사용할 수 없거나, 관리자가 수동으로 shutdown 시킨 상태

- 데이터전송 x , Mac주소학습 x , BPDU 전달 x

Blocking

스위치를 처음 키거나, Disabled 포트를 살린경우 Blocking상태로 들어간다. 이 상태에서 다른 스위치들과 BPDU를 주고 받으며 Root Bridge를 선정하고 포트를 설정하는 등의 작업이 일어난다.

- 데이터전송 x , Mac주소학습 x , BPDU 전달 o

Listening

Blocking 상태에서 모든 선정작업이 끝나게 되면 Listening 상태로 넘어가며, 이 상태는 15초간 지속된다. 새로운 장비가 접속하게 되면 다시 구성정보들이 변경되며 다시 Blocking으로 돌아간다.

- 데이터전송 x , Mac주소학습 x , BPDU 전달 o

Learning

Listening의 15초가 지나면 Learning상태가 되는데, 이 상태에서는 맥주소의 학습을 하여 맥주소 테이블을 만든다. 이 상태는 15초간 지속된다.

- 데이터전송 x , Mac주소학습 o , BPDU 전달 o

Forwarding

스위치 포트가 Learning 상태에서 변동사항 없이 15초가 지나게 되면 Forwarding상태가 된다. 이 상태에서는 드디어 데이터전송이 가능해지게 된다.

- 데이터전송 o , Mac주소학습 o , BPDU 전달 o

Listening, Learning, Forwarding 상태에서 Root port 또는 D.P에서 탈락되게 되면 바로 Blocking 상태로 전환될 수 있다. 또한 스위치 포트가 어떤 상태에 있던지 관리자에 의해 shutdown 되거나 고장으로 인해 다운되면 Disabled 상태로 전환 된다.

출처 : http://bignet.tistory.com/17

Router 와 L3 Switch의 차이

JAESOO — Thu, 16 Apr 2015 14:33:16 +0000

Router는 L3 장비죠. 라우터는 IP Layer에서 동작한다고 생각하시면 됩니다.

보통 공부를 하시다보면 L2는 Switch, L3는 Router라고 죽어라 외우고 공부했더니, 실무가더니 L3 Switch가 있어서 당황하게 됩니다. 왜 라우터를 써야할 곳에 Switch가 들어가 있어니 말이죠...^^

사실은 몇년전까지만 해도 스위치는 L2장비이고, 또 오랫동안 사용을 했습니다. 또 라우터는 L3에서 동작하는 장비였죠. 네트워크가 분리되어 있는 환경이라면 당연히 라우터를 사용하여야합니다.

간단히 정리하자면 스위치는 MAC을 보고 포워딩하지만, 라우터는 IP Layer를 보고 포워딩합니다. 당연히 라우터에는 Routing table을 보고 경로를 결정합니다. 참고로 라우터의 이런기능들은 대부분 소프트웨어적으로 구현되어 있지요. 이유는 MAC의 경우는 보통 단순하지만 IP라는 녀석은 복잡해서 하드웨어로 구현하기가 무척 까다롭습니다. 여기까진 이해되시죠.

그런데 시대가 많이 흐르다보니 하드웨어 기술이 나날이 발전하였습니다.그러다보니 하드웨어적으로 IP를 분석해서 경로를 설정하고 포워딩할 수 있는 기술로 발전하게 되었죠.

이때부터 나온 제품들이 L3 Switch입니다. 사실 스위치는 Performance측면을 많이 강조하였다고 보시면 좀더 이해될뜻.

아래표는 차이점을 정리하였습니다.

주요 특징	Classical Router	Layer 3 Switch
주요 수행 OSI Layer	Layer 3	Layer 3
Routing 수행 방법	Software (CPU + Software)	Hardware (ASIC chip)
지원하는 Layer 2 MAC	Ethernet, TokerRing, FDDI ATM, WAN	FastEthernet Gigabit Ethernet
forwarding performance	Slow (CPU성능과 가격에 따라 다름)	Fast (near wire speed)
Latency	약 200 ms	< 10 ms (100 Mbps)
관리 및 program 가능성	매우 높음	적음
지원 Protocol	All	IP (일부 IPX)
Routing Protocol	All	RIP1,2 OSPF (일부 DVMRP)
WAN 지원	지원함	지원하지 않음
비용	높음	낮음

참고로 최근 나온 스위치들은 대부분 Routing Protocol을 지원합니다. 일부는 WAN 인터페이스까지 제공하는 경우도 있습니다. ^^

시대가 흘려가면서 점점 라우터와 스위치의 경계가 흐려지는뜻하군요..^^

그럼. 즐거운 하루 되세요...

스티븐과 함게하는 네떡이야기 발췌-

예를 들어 A에서 보낸 팻킷이 포트 1로 들어왔다고 합시다.

그러면 L2 스위치는 포트 1에 A가 붙어있다는 정보를 얻게 됩니다.

그래서 나중에 A로 보내져야할 팻킷이 들어오게 되면 포트 1로 내보내게 됩니다.

L3의 경우는 L2와 달리 매우 넓은 범위까지 다루게 됩니다.

그래서 오가는 팻킷을 관찰해서는 충분한 정보를 얻을 수가 없습니다.

그래서 L3 스위치끼리 통신을 하면서 정보를 축적하게 됩니다.

예를 들어 포트 1에 연결되어 있는 스위치가 여기에는 팻킷이 많이 몰린다는

내용을 보낸다면, 그 내용을 받은 스위치는 팻킷을 포트 1 대신 다른 포트로

보내게 됩니다.

L4스위치

여러대의 서버에 똑같은 컨텐츠를 탑재하는 경우는 L4에서 서버의 부하를 체크해서 가장

여유있다고 판단되는 쪽으로 보내게 됩니다.(정책이 여러개 있는데, 이방식을 가장 많이 사용합니다.)

일반 기업에서 ERP서버나 업무용서버를 운영할 때 많이 사용하는 방식입니다.

서버별로 컨텐츠가 다르다면, L4에서 정책을 세워서 해당 서비스에 대한 요청이 오면 등록된 서비스로

보내주어서 전체 부하를 분산시키는 방식을 사용합니다. 대형 포탈의 경우 이런 방식을 사용하겠죠.

그리고 대부분 DB서버는 L4를 거치지 않고 웹서버와 직접 연결시켜서 사용합니다. DB서버 분산하는게 쉽지 않기 때문에 DB를 L4에 물리는 경우는 드물죠.

세그먼트(segment)에 대해 설명드리면, 한 컴퓨터에서 발생한 신호가 수신자에 상관없이 전달되는 범위를 말합니다. 즉, 내 컴퓨터에서 자료를 보내려고 신호를 내보내면 이 신호가 일정 지역내의 모든 컴퓨터에게 전달이 되는데 그 범위를 말합니다. 그런데, 하나의 세그먼트에서는 동시에 2개의 신호가 전달될 수 없습니다. 예를 들면, 두사람이 동시에 자기 얘기만 하면 무슨소린지 모르고 충돌이 발생하듯이 하나의 세그먼트 내에서 동시에 2개 이상의 전기적인 신호가 발생하면 충돌이 발생합니다.
그럼, 여기서 한가지 생각해 보시면, 하나의 세그먼트가 컴퓨터 1000대로 구성이 되어 있다고 보면 1000대중에서 내 컴퓨터가 자료를 보내려고 하면 많은 시간을 기다려야 할 수도 있고, 충돌이 자주 발생할 수도 있습니다. 그래서~ 세그먼트를 분리시키고자 등장한 장비가 브리지(스위치는 브리지를 개량한 장비)입니다.
브리지(bridge)는 한마디로 요약하면 세그먼트를 분리시켜주는 장비입니다. 예를 들면 1000대의 컴퓨터를 100대씩 묶어서 10개의 세그먼트을 만들어 주는 장비 입니다. 이렇게 분리된 세그먼트에서 자료 교환을 중재하는 역할을 브리지가 하게 됩니다.
예를 들어 세그먼트1에 있는 컴퓨터가 세그먼트1에 있는 컴퓨터로(즉, 같은 세그먼트)데이터를 전송하면 이 신호가 다른 세그먼트에 전송이 되지 못하도록 신호를 차단하구요, 세그먼트1에서 세그먼트2로 데이터를 보내면 브리지가 이 신호를 받아서 세그먼트2로 보내줍니다. 이렇게 하면 세그먼트가 분리되어서 컴퓨터끼리 자료 교환하는데에 충돌이나 기다림(병목현상?)이 줄어들겠지요.
이제, 스위치와 라우터에 차이점을 설명 드리면.. 세그먼트를 분리시킨다는 의미에서는 같다고 보시면 됩니다. 차이점은.. 어떤걸 기준으로 분리를 시키느냐 입니다.
스위치에 여러가지 포트(하나의 포트를 하나의 세그먼트로 보셔도 될겁니다.)가 있는데, 각 포트에 어떤 컴퓨터가 연결이 되어 있는지 판단하는 것은 MAC(Media Access Control)주소 입니다. 간단히 말하면 LAN카드 번호 입니다. 이 번호는 공장에서 나올때부터 고유하게 지정된 번호로써 전세게 LAN카드가 다 다른 번호를 가지고 있습니다. 스위치는 이 번호를 가지고 스위치 장비 내부에 '표'를 하나 만들어 놓고, 포트1에는 어떤 MAC주소가 있으며, 포트2에는 어떤 MAC주소가 있는지 적어 놓습니다. 그래서, 이 표를 기준으로, 스위치로 들어오는 신호를 읽어 들여서 같은 포트의 MAC주소를 목적지로 하고 있으면 다른 포트로 데이터를 보내지 않고, 다른 포트의 MAC주소를 목적지 주소로 가지고 있으면 그곳으로 연결 시켜 줍니다.
라우터는 세그먼트를 구분하는 기준이 IP입니다. 라우터도 내부적으로 표를 만들어 놓는데 기준이 IP입니다. 따라서, 라우터로 들어오는 신호를 읽어들여서 목적지가 같은 포트(즉, 같은 세그먼트)의 IP이면 다른 포트로 신호를 보내지 않으며 다른 포트의 세그먼트의 컴퓨터가 목적지 IP이면 그 포트로 연결시켜 주는 역활을 합니다.
라우터의 역할을 보시면 알겠지만, IP를 기준으로 세그먼트를 나눕니다. 그래서, 인터넷과 독립적으로 LAN을 구축할 경우 라우터는 필요 없습니다. 하지만, 인터넷과 연결시켜서 LAN을 구축할 경우 반드시 필요한 장비가 라우터 입니다

[출처] L2,L3|작성자 새맘

1. L1 -> Flooding

2. L2 -> Swhtching

3. L3 -> Routing

4. L4 -> port number 이용 트래픽분산처리 (Load balancing)

5. L7 (cisco 6500이상 장비) -> S/W 를 장치에 올려서 Traffic filter , Security, VPN 를 할수 있다.

- 상위 계층 장비는 하위 계층 장비의 기능을 모두 가지고 있다.

- L5,L6 ? -> TCP/IP 기반이기때문에 L7이 L5~6 기능을 모두 포함하고 있다.

- TCP/IP 기반

-> L1 : Network Interface 계층

-> L2,L3 : Network (Internet) 계층

-> L4 : Transport 계층

-> L7 : Application 계층

[출처] L2,L3|작성자 새맘

한정된 IT 자원을 가지고 인터넷 트래픽을 얼마나 효율적으로 관리하는가는 IT 업계에 중요한 이슈입니다.

특히, 과거 `1ㆍ25 인터넷 대란'과 대규모 웜바이러스의 출현 이후, 네트워크 보안에 대한 관심이 늘어나면서 기존 네트워크 장비에 보안기능을 대폭 강화한 제품수요가 크게 늘어나고 있는 실정입니다.

최근 인터넷 트래픽관리 및 보안환경이 강조되고 있는 상황에서, 기존 L2/3/4 스위치에 비해 보안기능을 대폭 강화한 네트워크 장비가 L4/L7(Layer4/7) 스위치입니다.

과거에는 통상적으로 패킷의 MAC 주소나 IP 주소를 이용하여 패킷을 전달하는 역할을 수행하는 L2/L3 제품이 주류를 이뤘습니다. 그 이후 급속히 증가하고 있는 인터넷 트래픽을 효율적으로 처리하기 위하여 몇년전부터 L4 스위치가 등장해, 트래픽 부하를 분산하고 지능적인 트래픽 관리 기능을 제공하고 있습니다.

L4 스위치는 서버 및 네트워크 장비의 가용성과 확장성을 높이기 위한 수단으로 각광을 받고 있습니다. L7 스위치는 기존 L4 스위치가 제공하는 기본 기능 이외에 최근 사회적인 문제가 되고 있는 네트워크 보안문제(웜바이러스, 이메일 바이러스, DoS/DDoS 공격 등)를 어느 정도 해결해 줄 수 있는 차세대 제품입니다.

L7 스위치는 애플리케이션 스위치(Application Switch), 콘텐CM스위치(Content Switch), 다계층스위치(Multi-Layer Switch) 등 다양한 이름으로 불리는데, 이는 L7 정보가 주로 애플리케이션과 직접 연관이 있고 패킷의 내용을 분석하여 이를 바탕으로 패킷에 대한 부하분산, 리디렉션, 필터링 등을 수행하기 때문에 자연스럽게 붙여진 이름입니다.

L7 스위치는 통상적으로 L4 스위치의 연장선상에서 출발했지만 L4 스위치가 처리할 수 없는 일들을 수행합니다. L4 스위치의 경우 통상적으로 TCP/UDP 포트정보와 같은 레이어 4 정보를 이용해 패킷을 관리하는 기능을 수행하는 것을 비롯해 서버 및 네트워크 장비에 대한 부하분산 기능을 주로 제공합니다.

그러나 L4 스위치는 VoIP나 P2P와 같은 중요 애플리케이션과 같이 다양한 형태의 패킷 내용을 살펴보기 어렵고 또한 사용자의 IP가 수시로 바뀌는 경우 해당 사용자에 대한 연속적인 서비스를 제공하기 어렵다는 단점을 가지고 있습니다.

L7 스위치에서는 L4 가 갖고 있는 이러한 문제점들을 해결하기 위해 패킷의 IP/Port 정보뿐만 아니라 패킷의 URL 정보, 쿠키, 플레이로드 정보 등을 종합적으로 검사하여 사용자별로 연속적이고 차별화된 서비스를 제공해줄 수 있습니다.

L7 스위치가 기존의 L4 스위치와 가장 차별화되는 부문은 L4 스위치가 Layer4 정보(TCP/UDP port)를 바탕으로 패킷을 분류하고 원하는 서버나 장비로 전송하는 반면 L7 스위치는 패킷의 내용을 보고 이를 바탕으로 패킷을 전달한다는 것입니다. 패킷의 내용을 살펴보고 이를 바탕으로 적절한 서버를 선택할 수 있습니다.

L7 스위치 기능 중에 최근 큰 주목을 받고 있는 부문이 네트워크 보안분야입니다. L7 스위치는 기존의 L4 스위치가 갖고 있던 기능들을 모두 수용하면서 불필요한 트래픽에 대한 차단이나 네트워크에 대한 공격을 완화시켜줌으로써 서버와 네트워크의 가용성을 한층 향상시켜줍니다. 특히, L7 스위치는 웜이나, E-메일 바이러스와 같이 특정한 패턴을 갖고 있는 패킷으로서 서버나 네트워크에 불필요한 트래픽을 제어합니다.

최근에는 L7 스위치업체와 바이러스 차단업체들이 서로 제휴를 통해 새로운 바이러스 패턴이 나타날 경우 이를 빠르게 업데이트해 네트워크를 보호하고 있습니다.

또한, DoS/DDoS 와 같이 비정상적으로 트래픽이 과도하게 집중되어 서버가 정상적으로 서비스되지 못하게 만드는 부분도 해결해 줍니다.

이를 해결하기 위해서 L7 스위치에서는 트래픽의 유입수준을 일정정도로 제한하여 서버가 항상 정상적인 서비스를 할 수 있게끔 보호해 준다.

물론 L4스위치만이 L7 스위치로 발전할 수 있는 것은 아닙니다. 기존 파이어월, IPS, QoS 등 엔터프라이즈 네트워크에서 각각의 고유기능을 담당하고 있는 장비들도 패킷의 내용을 분석하는 기능을 갖고 있으며, 이를 바탕으로 여러가지 보안정책과 대역폭조절 정책을 수행해왔습니다. 따라서 이들 장비도 각각의 고유기능에 부하분산기능을 결합하고, 대용량의 트래픽을 빠르게 처리할 수 있는 스위치 구조를 도입한다면 얼마든지 L7 스위치 형태로 발전할 수 있습니다.

L7 스위치를 생산하고 있는 업체로는 시스코, 노텔, 라드웨어, 파운드리, F5 등이 있고 국내에서는 파이오링크가 L7 스위치시장에 진입해 대등하게 경쟁하고 있습니다. 한국IDC 자료에 따르면, 전 세계적으로 콘텐츠 네트워킹 시장의 46%를 L7 스위치가 점유하며 총 36억달러 이상의 매출을 보일 것으로 전망했습니다. 국내에서도 2005년도에 1000억원 규모를 훌쩍 뛰어넘는 시장으로 성장할 것으로 보고 있습니다.

[출처] L2,L3|작성자 새맘

출처 : http://egloos.zum.com/koreahojin/v/2341317

스위치 성능인 PPS(Packet per Sec, 초당 처리 가능한 최대 패킷 수) 계산법

JAESOO — Thu, 27 Nov 2014 09:58:09 +0000

지난번에 스위칭 패브릭 계산법에 대해 공부해 보았습니다.
이번에는 스위칭 패브릭과 항상 함께 얘기되는 Forwording Rate 계산법에 대해 공부해 보겠습니다.

스위치 성능(bps) : 스위칭 패브릭에 의한 최대 데이터 처리능력
단위 : bit

전송속도(pps) : 실질적인 데이터 처리능력(초당 몇 개의 패킷을 처리할 수있는가 ?)
단위 : packet

우선 최대 포워딩 대역폭과 pps가 어떻게 산출되는지를 설명하기에 앞서 쉽게 예를 들면 다음과 같습니다.

4차선 도로에는 차량이 4차선 도로에 해당하는 만큼 다닐 수 있습니다.
그런데 4차선 도로에 교통 경찰이 간섭해 교통 순경 때문에 4차선 도로에서 낼 수 있는 속력을 내지 못합니다.
여기서 말하고자 하는 것은 최대 포워딩 대역폭은 4차선 도로 그 자체를 논할 때 거론되는 것이고,
교통순경이 개입된다고 할 때는 pps라는 단어를 써서 스위치 처리 능력이라고 하면, 쉽게 이해할 수 있을 것입니다.

1개의 이더넷 포트가 있다고 가정해 봅시다. 이럴 경우 최대 포워딩 대역폭은 10Mbps가 나옵니다
(스위칭 패브릭은 이럴 경우 full이 된다고 가정하면 20Mbps가 됩니다).
말 그대로 물리적인 도로의 최대 전송 속도를 물어보는 겁니다.
그런데 교통 경찰이 개입해도 물리적인 도로의 최대 속력이 나올 수 있을지 다시 한번 계산을 해야 합니다.
이럴 때 쓰는 개념이 pps입니다.

< pps의 산출 공식 >

PPS(packet per second) = 1초 당 (Frame Time + Preamble Time + IFG)시간
- Frame Time - 64바이트 프레임(프레임의 최소 단위)을 처리하는데 걸리는 시간
- preamble Time - 프레임 앞에 들어가는 헤더와 같은 것을 처리하는 시간
- IFG(InterFrameGap) - 프레임 사이의 간격

- packet - OSI 7계층중 3계층인 Network Layer에서 취급하는 데이터단위
데이터(전송할데이터+포트넘버)와 IP주소가 포함된 데이터 단위
- Frame - OSI 7계층중 2계층인 Data Link Layer에서 취급하는 데이터 단위
패킷이 포함하고있는 데이터에 MAC주소가 포함된 데이터 단위

이더넷 패킷 최소 길이
1 Packet = 84 byte(= 64 byte + 8 byte 프레임블 + 12 byte 프레임 간격)
= 672 bits(=64byte*8 + 8byte*8 + 12byte*8)

이더넷에서 1비트 처리하는데 걸리는 시간 0.1㎳
0.1ms = 1 bit
1ms = 10 bits(=1.25 byte)
1sec = 10000 bits(=1250 byte)

1 Packet 처리하는데 걸리는 시간(= Frame Time + Preamble Time + IFG)
= 67.2ms(= 64byte*8*0.1ms + 8byte*8*0.1ms + 12byte*8*0.1ms)
= 67.2ms(= 512bits*0.1ms + 64bits*0.1ms + 96bits*0.1ms)
= 67.2ms(= 51.2ms + 6.4ms + 9.6ms)

672 bits/sec(=bps) = 1 packet/sec(=pps)
672 bps = 1 pps
1 bps = 1/672 pps = 0.001488 pps
1 Kbps = 1.488 pps
1 Mbps = 1488 pps = 1.48 Kpps
10 Mbps = 14880 pps = 14.8 Kpps
100 Mbps = 148800 pps = 148.8 Kpps = 0.1488 Mpps
1000 Mbps = 1488000 pps = 1.488 Mpps

다음은 시스코 스위치의 사양입니다.
Cisco Catalyst 3560-24TS: 24 Ethernet 10/100 ports and 2 SFP-based Gigabit Ethernet ports
Cisco Catalyst 3560-48TS: 48 Ethernet 10/100 ports and 4 SFP-based Gigabit Ethernet ports
Cisco Catalyst 3560G-24TS: 24 Ethernet 10/100/1000 ports and 4 SFP-based Gigabit Ethernet ports
Cisco Catalyst 3560G-48TS: 48 Ethernet 10/100/1000 ports and 4 SFP-based Gigabit Ethernet ports

38.7 Mpps (Cisco Catalyst 3560G-48TS, Catalyst 3560G-48PS, Catalyst 3560G-24TS, and Catalyst 3560G-24PS);
13.1 Mpps (Cisco Catalyst 3560-48TS and Catalyst 3560-48PS);
6.5 Mpps (Cisco Catalyst 3560-24TS and Catalyst 3560-24PS);

제조사에서 제시한 Forwading Rate이 이론과 맞는지 확인해 볼까요?
Forwarding Rate(포워딩 레이트)
C3560-24TS Forwarding Rate
= 24 port * 0.1488Mpps + 2 port * 1.488Mpps = 3.571Mpps + 2.976Mpps = 6.547Mpps
C3560-48TS Forwarding Rate
= 48 port * 0.1488Mpps + 2 port * 1.488Mpps = 7.142Mpps + 2.976Mpps = 10.118Mpps

C3560G-24TS Forwarding Rate
= 24 port * 1.488Mpps + 4 port * 1.488Mpps = 35.712Mpps + 5.952Mpps = 41.664Mpps

C3560G-48TS Forwarding Rate
= 48 port * 1.488Mpps + 4 port * 1.488Mpps = 71.424Mpps + 5.952Mpps = 77.376Mpps

그러므로 Cisco 스위치에서는
10/100Mbps 스위치는 제시된 Forwading Rate과 이론적 Forwading Rate이 거의 일치하지만
10/100/1000Mbps 스위치에서는 제시된 Forwading Rate이 이론적 Forwading Rate에 훨씬 못 미치네요

스위치 장비의 스펙을 이해하시는데 조금이나마 도움이 되었으면 합니다.

출처 : https://www.netbuysell.co.kr/global_asp/board/board_view.asp?K_no=365&page=1&Hit_Plus=85&Codeno=2&Pgtype=A&Html_change=

PPS(Packet per Sec, 초당 처리 가능한 최대 패킷 수) 계산법

JAESOO — Thu, 27 Nov 2014 09:54:19 +0000

- 출처 NRC와 함께 하는 LIVE 네트웍 -
와이어 속도는 구리선의 속도를 지원한다는 것인데.. UTP를 이용해 10Mbps로 사용한다면

스위치를 지나갈때도 이속도를 보장해준다는것이다.

여기에 나오는 개념이 PPS인데.. 1초당 몇 패킷을 보낸다는것은 알고 있겠지..

이더넷은 기본적으로 64~1518의 크기로 보내는데 64를 기준으로 발표한단다.. 왜냐면

이렇게 계산해야 큰값이 나온단다 ㅋ.

아 숫자만 나오면 짜증나.. ~ 일단.. 예를 들어서

- 책에 있는 내용이다 -

도로에 자동차 1대가 지나가는데 5초가 걸린다면 이 도로에는 평균 1초당 몇대의 차가 지나갈수 있을까? 라고는 했다.

그렇다면 1대 : 5초 = x : 1초다 그럼 x = 1/5 = 0.2

그렇다.~!! 우리는 64로 계산을 한다고 했다.

1초당 지나가는 패킷의 수를 구하려면 1/(64Byte 프레임이 지나가는데 소요되는 total 시간)

이렇게 계산하면 된다는 거죠~..

여기서 조금 이해가 안가는게 말이지..

토탈시간이라는게 제대로 된 패킷 한개가 지나가는 시간이라는데.. 64+ IFG + Preamble 까지 포함 되어야 한다는데.. IFG는 프래임간의 간격인걸 알겠다.. 그리고 Preamble 는 동기를 마쳐줘는 야 던진다 받아라 하는 말이라는것도.. 그리고 IEEE에서 정의된 타임은 IFG가 96bit time이고 Preamble는 8byte 란다..

그러니까 64바이트가 지나가는 시간은..

1/(9.6+6.4+51.2)us = 14,880 이란다...

근데.. 이게 여기서 설명된게..(아 숫자에 약해) 1bit time 가 1bit가 전송되는데 필요한 시간이

10Mbps(이건 1초당 10메가 비트를 보내는거자나??) 의 역수라는데 0.1 μs 이다.

그럼 계산을 해볼까.. 1 : 10485760 = x : 1bit ?? 이런식이 성립 되는거야?

그리고 계산식이

PPS = 1/(전체 시간 )

= 1/(IFG + Preamble +64byte)

= 1/(9.6 + 6.4 + 51.2)

- 이건 넷메모 출처요 -

Q.
업체 장비 사양에 나온 포워딩 률(forwarding rate)과 최대 포워딩 률에 대해 궁금합니다.
예를 들어서 시스코 카탈리스트 2950(2950T-24) 스위치의 장비 사양을 보면
스위칭 패브릭(switching fabric) = 13.6Gbps,
최대 포워딩 대역폭(maximum forwarding bandwidth) = 6.8Gbps라고 나옵니다.
왜 포워딩 대역폭이 pps가 아닌 bps로 나오는지 또한 6.8Gbps가 어떻게 계산된 것인지도 궁금합니다.
또한 그냥 포워딩 률=10.1Mpps라고 나오는데, 그 수치는 어떻게 산출됐는지 알려주세요.

A.
스위칭 패브릭 = 13.6Gbps라고 표현할 때는 스위칭 패브릭을 스위치 전체 처리 용량으로 여기는 것입니다.
쉽게 설명하면, 2개의 고속 이더넷 포트를 가진 스위치의 스위칭 패브릭은 400Mbps입니다.
왜냐면 풀 듀풀렉스(full duplex)로 처리할 것을 가정하기 때문에 원래 물리적인 전송 속도(2 고속 이더넷 = 200Mbps)의
2배인 400Mbps로 산출되는 것이지요.
예를 들어, 2950T-24 스위치로 스위칭 패브릭을 계산하면 24포트의 고속 이더넷은 2포트가 기가비트이므로,
4.8Gbps + 4Gpbs = 8.8Gbps가 나옵니다.
그런데 13.6Gbps는 어디서 나왔는지 궁금할 수 있습니다.
아마도 13.6Gbps는 2950T와 같은 섀시를 사용하는 제품인 2950G를 기준으로 산출한 것 같습니다.
그러므로 48포트 고속 이더넷 + 2포트 기가비트 = 9.6Gbps + 4Gbps = 13.6Gbps가 됩니다.
또한 최대 포워딩 률이라고 표현하신 것은 최대 포워딩 대역폭이라고 할 수 있습니다.
우선 최대 포워딩 대역폭과 pps가 어떻게 산출됐는지를 설명하기에 앞서 쉽게 예를 들면 다음과 같습니다.
4차선 도로에는 차량이 4차선 도로에 해당하는 만큼 다닐 수 있습니다.
그런데 4차선 도로에 교통 경찰이 간섭해 교통 순경 때문에 4차선 도로에서 낼 수 있는 속력을 내지 못합니다.
여기서 말하고자 하는 것은 최대 포워딩 대역폭은 4차선 도로 그 자체를 논할 때 거론되는 것이고,
교통순경이 개입된다고 할 때는 pps라는 단어를 써서 스위치 처리 능력이라고 하면, 쉽게 이해할 수 있을 것입니다.
1개의 이더넷 포트가 있다고 가정해 봅시다. 이럴 경우 최대 포워딩 대역폭은 10Mbps가 나옵니다
(스위칭 패브릭은 이럴 경우 full이 된다고 가정하면 20Mbps가 됩니다).
말 그대로 물리적인 도로의 최대 전송 속도를 물어보는 겁니다.
그런데 교통 경찰이 개입해도 물리적인 도로의 최대 속력이 나올 수 있을지 다시 한번 계산을 해야 합니다.
이럴 때 쓰는 개념이 pps입니다. pps의 산출 공식은 다음과 같습니다.

pps = 1초 / (IFG + Preamble Time + Frame Time)

10Mbps일 경우에 만약 최대 10Mbps 속력이 나온다고 가정을 했을 경우 pps값은 14880pps입니다.
IFG(InterFrameGap)으로 프레임 사이에 간격을 논의하고
preamble은 프레임 앞에 들어가는 헤더와 같은 것이라고 알고 있습니다.
14880pps는 10Mbps일 경우를 기준으로 IFG = 9.6㎳, Preamble time= 6.4㎳, frame time = 51.2㎳가 된다고 합니다.
프레임 타임은 보통 64바이트 프레임(프레임의 최소 단위)를 기준으로 하기 때문에
이더넷에서 1비트 처리하는데 0.1㎳가 걸리므로 64×8×0.1 = 51.2㎳가 됩니다.
10Mbps일 경우는 14880pps 이상이 돼야 회선 속도(wire speed)를 낸다고 이야기할 수 있습니다.
고속 이더넷 포트를 기준으로 하면 148800pps 이상이 돼야 어느 정도의 회선 속도를 낸다고 말할 수 있습니다.
따라서 2950T-24의 포워딩 률이 10.1Mpps가 아니라 2950G의 포워딩 률이 10.1Mpps입니다.
2950G 스위치의 경우 48포트 고속이더넷에 2개의 기가비트 포트가 있으므로,
포워딩 률을 포트별로 나눠보면, 10.1Mpps / (48+20) = 155744pps가 됩니다.
대략 155000pps가 나오므로 고속 이더넷일 경우 148800pps이상이 됩니다.
그러므로 회선 속도를 낼 수 있습니다. 2950T-24는 6.6Mpps입니다.
이것도 이와 같이 계산하면 157000pps정도 나옵니다.

스위칭 패브릭 구조에 사용되는 기술은
공유형 버스(shared bus) 방식, 크로스바(crossbar) 방식, 공유형 메모리(shared memory) 방식 등이 있습니다.
공유형 버스 방식은 버스에서의 패킷 처리에 한계가 있기 때문에 오버헤드가 발생하는 문제가 있고,
크로스바 방식은 패킷 처리 스케줄링 때문에 속도에 한계가 있을 수 있습니다.
공유형 메모리 방식은 메모리 액세스 시간에 의해 제약을 받지만 많은 개선을 통해 논-블로킹(non-blocking) 구조를
갖게 된 것입니다. 현재 많은 장비들에서 공유형 메모리 방식을 사용하고 있습니다.
하지만 스위칭 패브릭 구현에 일정한 기준은 없으면 패킷을 전송하는데 최선의 방법을 선택하는 것이 원칙입니다.
결국 스위칭 패브릭에 의한 최대 데이터 처리 능력을 흔히 스위칭 패브릭으로 표시한다고 보면 됩니다.
포워딩 레이트는 실제 처리 가능한 데이터 율을 의미하며, 보통 'Full wire speed' 제공이라고 표시합니다.
'Full wire speed'는 물리적인 인터페이스에 정의된 처리 속도를 100% 지원한다는 의미입니다.
경우에 따라 pps(Packet per Sec, 초당 처리 가능한 최대 패킷 수이며
이더넷의 최소 프레임인 64바이트 프레임을 기준으로 합니다) 단위로 나타내기도 하는데,
24개의 TX 포트와 2개의 기가비트 포트를 제공하는 스위치라면 최소한 9.6Mpps를 지원해야 합니다.
문의하신 경우도 장비가 제공하는 포트만 고려한다면 논-블로킹 스위칭을 위해 최소한
아래와 같은 정도의 스위칭 패브릭과 포워딩 레이트를 제공해야 할 것 같습니다.

·스위치 패브릭 용량(Full duplex 기준)
1기가비트 2포트×2Gbps = 4Gbps
10/100Mbps 48포트×200Mbps = 9.6Gbps
→ 총 13.6Gbps

·포워딩 레이트
1기가비트 2포트×1.488Mpps = 2.976Mpps
10/100Mbps 48포트×0.1488Mpps = 7.142Mpps
→ 총 10.118Mpps

포워딩 레이트는 초당 전송 가능한 64바이트 패킷 수를 기준으로 했으며,
'Full wire-speed'를 지원할 경우 1기가비트 포트는 1.488Mpps, 100Mbps는 0.1488Mpps를 지원합니다.
위의 수치는 현재 사용하고 있는 스위치의 성능 사양과 많은 차이가 있습니다.
이것은 장비의 성능이 일반적인 스위치에 비해 현저하게 떨어지는 경우라고 생각할 수 있습니다.
하지만 이런 경우 위에 제시된 성능이 다른 기준을 따르고 있을 가능성도 있습니다.

컴터에 사용하는 단위는 다음과 같습니다.

1 K (킬로) = 1024 입니다. -> 2의 10승
1 M (메가) = 1024 * 1024 입니다. ->2의 20승
1 G (기가) = 1024 * 1024 * 1024 입니다. ->2의 30승

1 Mbps 는 1,048,576 bps.
2,048,000 bps 는 약 2 Mbps!!

bps는 bit per second 의 약자이고
초당 전송되는 bit 의 수다.

BPS 는 Byte per second 의 약자이다.

BPS=CPS로도 쓰인다. 왜냐고? 헷깔리니깐.

1 byte 가 8 bit 이므로
2,048,000 bps는 8로 나누면 256,000 이니까

즉 초당 256,000 개의 문자를 보내는 속도다.

출처 : http://kjlim.egloos.com/viewer/10003823

[Switch 기능] STP, RSTP, MSTP에 관해서…

JAESOO — Tue, 21 Oct 2014 08:55:38 +0000

2009.03.10 admin

Switch 기능중에는 loop 방지를 위한 STP 기능이란게 있습니다.

이것이 어떤 기능을 하는지 알아볼까요?

STP (3개 루핑) 된 테이블 (#show spanning-tree)

VLAN0001
Spanning tree enabled protocol ieee
Root ID    Priority    32768
Address     0014.7c50.8ca0
Cost        200018
Port        1 (FastEthernet0/1)
Hello Time   2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority    32769 (priority 32768 sys-id-ext 1)
Address     0016.c8af.fe80
Hello Time   2 sec Max Age 20 sec Forward Delay 15 sec
Aging Time 15

Interface        Role Sts Cost      Prio.Nbr Type
—————- —- — ——— ——– ——————————–
Fa0/1            Root FWD 19        128.1    P2p
Fa0/16           Desg FWD 19        128.16   P2p
Fa0/17           Desg FWD 19        128.17   P2p
Fa0/23           Desg FWD 19        128.23   P2p
Fa0/24           Desg FWD 19        128.24   P2p   (FWD 통신가능상태 / BLK 통신불가상태 STP)

STP(강의)

Root Bridge(기준점생성)
Designated port / Root port

Root Bridge
1.1 BPDU (스위치 생성시 Frame 생성)

1.1.1 Root BID (Bridge ID)

BID(8byte) = Bridge priority(2byte) + Mac Address(6byte)

Bridge priority는 32768로 고정 (= 0x8000)

1.1.2 Path cost

예전에는 1000/대역폭 으로 계산하였으나 10Gbps 등장이후 쓰이질 않는다

IEEE에서 새로 지정

대역폭 / cost

10Mbps = 100

100Mbps = 19

1gbps = 4

10gbps = 2

1.1.3 Sender BID = 32768 + 스위치 MAC주소

1.1.4 Port ID = 스위치의 Port 숫자번호

※ BID 값이 작은쪽이 Root Bridge가 된다.

연산후에 Root Bridge와 Non-root Bridge로 나뉜다.

Designated port / Root port 비교법

Non – Root Bridge 중에서 Root와 가장 가까운 Port Path Cost를 가지고 비교한다
작은쪽값이 Root Port가 된다.
Designated port는 1segment에 무조건 하나를 가진다. (1segment = 스위치와 스위치 한구간)

STP 구성시 라인 단절 확인법.

Hello BPDU는 Root bridge가 Designated port를 통해 전송한다
Max age = Hello BPDU를 Non – root Bridge가 최대로 기다릴수 있는시간 (Default 20 sec)
Block port는 모든 패킷을 막지만 단 한가지 패킷 BPDU는 수신할수 있다.

STP(Spanning Tree Protocol)

일반적인 스위치 네트워크는 복수개의 링크로 연결하는 경우가 많다. 그 이유는 특정스위치에 장애가 생기거나, 링크가 다운되어도 전체 네트워크는 계속 동작할 수 있기 때문이다. 또, 특정 목적지로 가는 트래픽을 분산시켜 전체적인 속도를 더 빠르게 할 수 있다. 장거리 통신망도 이와 같이 백업 및 로드 밸런싱 (load balancing) 구조로 설계하지만 이를 유지하기 위한 비용이 비싸다. 그러나, 스위치 네트워크는 초기 투자비외에는 추가적으로 발생하는 비용이 크지 않기 때문에, 비교적 소규모라 해도 복수개의 링크로 구성하는 경향이 있다. 이처럼 스위치간을 루프 (loop) 구조로 구성하면 어떤 문제가 발생할 수 있는 지 살펴보자. 먼저 브로드캐스트 프레임의 루핑 (looping) 문제가 발생한다. 스위치는 브로드캐스트 프레임을 수신하면, 동일한 VLAN에 속한 모든 포트로 전송한다. 이를 플러딩 (flooding) 이라고 한다. 이를 수신한 인접 스위치는 또 브로드캐스트 프레임을 플러딩한다. 이외에도 MAC 어드레스 테이블이 불안정해지며, 특정 호스트가 동일한 프레임을 중복해서 수신할 수도 있다. 이와 같은 문제를 해결하기 위해 사용되는 것이 스패닝 트리 프로토콜 (STP, Spanning Tree Protocol)이다. 즉, 스패닝 트리 프로토콜이 동작하면 물리적으로는 루프가 형성된 네트워크를 논리적으로 루프가 없게 만든다. 결과적으로 앞서 설명한 문제를 모두 해결해준다.

즉 간단히 얘기해서, L2계층통신에서 발생하는 local loop를 방지하기 위한 프로토콜임. 스위치(브리지)간에 root bridge, designate Port, block Port를 선별하여 STP토폴로지를 구성, local loop를 막습니다. 이때 토폴로지 구성에 BPDU frame의 스위치(브리지)정보를 이용합니다.

- BPDU(Bridge Protocol Data Unit)

BPDU란 스위치(브리지)간 정보 교환을 위한 frame데이터이다. 이는 네트웍내에서 발생할 수 있는 네트웍루프를 장비하기위한 STP의 정보데이터가 된다. STP가 동작하면 스위치는 35 바이트의 고정된 길이를 가지는 컨피규레이션 BPDU(Bridge Protocol Data Unit)라는 프레임을 전송한다. BPDU는 다음과 같이 구성되어 있다.

-필드 크기(바이트) 내용
-프로토콜 (protocol) ID 2 항상 0
-버전 (version) 1 BPDU의 버전 표시. STP : 0, RSTP : 2, MST : 3
-타입 (type) 1 BPDU 종류 표시. 0x00 : 컨피규레이션 BPDU, 0x80 : TCN BPDU
-플래그 (flag) 1 토폴로지 변화 표시. 0x01 : TC, 0x80 : TCA
-루트 브리지 (root brigde) ID 8 루트 스위치의 ID
-패스 코스트 (path cost) 4 루트 스위치까지의 경로 값
-브리지 (bridge) ID 8 루트 스위치로 가는 경로상, 직전 스위치의 스위치 ID
-포트 (port) ID 2 포트 ID
-메시지 에이지 (message age) 2 루트 스위치가 현 BPDU를 만들고 경과된 시간
-맥스 에이지 (max age) 2 BPDU 정보를 저장하는 시간
-헬로 타임 (hello time) 2 BPDU 전송 주기
-포워드 딜레이 (forward delay) 2 리스닝 상태와 러닝 상태에 머무르는 기간

표 BPDU의 필드 및 내용

BPDU는 컨피규레이션 BPDU외에 TCN BPDU라는 두 종류가 있다.

BPDU는 3개의 시간을 갖으며, Hello 타임(Hello time), 전달 지연 시간(Forward delay time), 최대 수명 시간(Max age tiem)등이 있다. 우선 Hello 타임은 root bridge에 의해 보내지는 BPDU의 간격이라 보면 되고 간격은 2초이다. 전달 지연 시간은 라우터가 브릿지 테이블을 완성하는데 걸리는 시간으로 15초인데, 전달 지연 시간은 리스닝과 학습상태의 지속 시간으로 각각 15초이므로 총 시간은 30초가 된다. 마지막으로 Max age time은 BPDU가 업데이트되기전까지 저장되는 시간으로 20초이다. 그래서 총 50초의 시간이 소요되는데, 이 시간이 스위치간의 다이렉트로 연결이 되어있을시에는 Max age time이 제외된 30초가 소요된다는 점에 유의한다.

STP가 loop-free leaf 토폴로지를 구성하는데 필요한 정보가 되며, 이 BPDU는 2초간격으로 스위치(브리지)간 교환하게 된다.

[출처] STP, BPDU|작성자 youth3

RSTP

흠 간단하게 말하면 STP 보다 개선된 프로토콜이라 할수있습니다

IEEE 802.1W입니다. 흔히 이야기하는 Rapid Spanning Tree 혹은 RSTP로 불리는 넘 입니다.

이것도 IEEE 802.1D와 동일하게 Loop을 방지하는 프로토콜 입니다. 하지만 이름 그대로 빠릅니다.

Listening에서 Fowarding까지 2초밖에 안걸립니다. 45초에서 2초…죽이죠?

이것 역시 BPDU를 뿌립니다. 그렇다구 위에 언급한 꿍수(?)처럼 BPDU를 자주 뿌리는 것은 아닙니다.

BPDU방식이 다릅니다. 기존 IEEE 802.1D의 BPDU는 단순 자신의 MAC주소와 Bridge Priority값만을 가지고 있었습니다.

그리고 나중에 learning과정에서 Topology를 구성했죠..

하지만 IEEE 802.1W의 BPDU에는 그 이외에 자신의 Topology를 포함해서 보냅니다. reply하는 넘 역시 받은 Toplogy에 자신의 Toplogy를 업뎃 해서 보내기에 Learning이라는 과정이 없습니다. IEEE 802.1D를 대신해 IEEE 802.1W가 요즘 대세죠..

RSTP port의 종류
– Root Port
– Alternate Port : rp가 다운되었을 경우에 대신해 주는 port, 자신이 아닌 BPDU를 받는 Port
– Designated Port
– Backup port : dp가 문제가 발생했을 경우에 대신해주는 port, 자기 자신으로 부터 발행되는 BPDU를 받는 Port

이전의 stp의 블러킹 포트가 rstp로 넘어가면서 ap와 bp로 나누어 졌다
ap는 rp가 다운이 감지되었을 때 그 역할을 대신해 주고,
dp가 다운이 감지되었을 때 그 역할을 대신해 주는 port가 bp 이다.

RSTP Link Type의 종류
-Edge : Edge – 스위치와 일단 시스템에 연결되어 있는 링크(스위치-스위치 간의 연결은 아님)
point-to-point(full-duplex) – port 의 상태가 full-duplex인 경우

- edge의 경우 RSTP가 형성이 된다.
(half-duplex 의 경우 일반적인 CSMA/CD 환경)

-Shared Link : multipoing(half-duplex)
– 허브와 스위치는 일반적으로 half-duplex로 연결
– 허브에 여러대의 시스템이 물린 환경인 경우 RSTP 구현이 되지 않는다.
– 스위치와 스위치간에 half-duplex로 연결되어 있을경우 shared link 환경이 구현되지 않는다.

half-duplex로 되어 있을 경우에,
( -if)#span link-type point-to-point
shared link 상태를 강제로 point-to-point로 인식되게 하는 명령어.
#sh int status // interface의 상태가 나온다
-Auto : Auto negotioation > Speed : 서로간에 시그널을 교환후에 알맞는 대역을 설정, 둘다 지원해 줄 수 있는
> duplex : halp-auto => half-duplex
auto-auto => Full-duplex
*Full-auto => half, duplex mismatch!!
각각의 interface에서 수동조절이 필요.

(router의 설정은 half로, switch는 auto로 설정되어 있음)
( -if)#speed 100
10
auto
( -if)#duplex half
full
auto
라우터와 스위치의 처음 연결시 체크하고 되도록이면 메뉴얼로 설정할 것.

MSTP(Multiple Spanning Tree Protocol)

▣PVSTP는 각 vlan 마다 하나의 instance가 존재한다. 즉 vlan이 10개이면 10개의 vlan instance가 존재하고 이것은 스위치 cpu에 부하를 일으킨다. 따라서 몇몇 vlan을 묶어서 그녀석들 끼리는 같은 vlan instance를 지니게 해서 부하를 줄이는데 이것이 MSTP이다.
▣vlan instance 수가 줄어드므로 pvst+보다 빠른 convergence시간을 가지고 802.1d , 802.1w와도 호환이 가능하다.
▣vlan수가 그다지 많지않은 ECNM에선 꼭 필요한 것이 아니다.
▣같은 MSTP configuration을 돌리는 bridge들은 같은 MST region안에 있다고 한다.
▣1000개의 vlan을 가진 PVST를 5:5 비율로 인위적으로 나눠서 load balancing을 했다고 하더라도 1000개의 instance를 5:5비율로 서로 다른 토폴로지에 적용시킨것 밖에 되지 않는다.

2.MST regions
▣다음과 같은 경우를 생각해보자. 어떤 vlan이 어떤 instance에 속해있는지 어떻게 알 것인가? > BPDU를 태깅해서 instance와 그것을 어떤 vlan에 적용시킬지 구분한다. CST에는 한개의 vlan instance만 존재하고 PVST에는 각 vlan마다 각기 다른 BPDU를 보낸다고 한다.
▣동일한 MST region에 들어가려면 name,revision number,vlan association table이 일치해야한다.
▣각 region 마다 다른 digest값을 가지고 이것은 BPDU에 포함되어 전송되는데 다른 포트에서 들어온 BPDU에서 추출한 값과 자기 digest값과 비교해서 같으면 같은 region 다르면 다른 region이라 판단한다.

3.Extended system Id
▣Extended system Id(12bit길이)부분에 instance id가 기재된다.

4.MST region과 802.1Q와의 상호작용

▣MST와 802.1D가 섞여 있을때는 위와 같이 동작한다. MST region에는 최소한 하나의 IST(Internal Spanning Tree)가 존재해야한다.
▣전체의 MST region이 ISTP를 통해 마치 하나의 스위치처럼 보여지는 것이다. IST는 전체의 region을 마치 하나의 가상의 스위치처럼 보이게 한다. BPDU는 region 경계선을 이루는 스위치의 트렁크 포트의 native vlan를 통해서 마치 CST BPDU처럼 교환된다.
▣MST region은 한개의 큰 IST로 대표되어서 마치 하나의 큰 스위치인양 CST에서 인식되는데 큰 IST를 쪼개보면 그 안에 각 MST instance가 있다. 한개의 region당 16개의 MSTIs(MST Instances)가 존재할 수 있는데 IST는 항상 MSTI 0번에 지정된다. IST만이 BPDU를 주고 받는다. MSTI가 아무리 많아도 BPDU는 한종류만 생성 되는것이다.
▣MST region 안에서 스위치끼리는 RSTP를 돌리면서 loop를 방지하고 있다.
▣MST와 PVST+가 연결될 경우? : MSTP는 region을 대표하는 IST의 BPDU 한개만 존재,PVST+는 각 vlan마다 BPDU가 존재한다. MSTP가 PVST와 연결될 경우 MSTP는 PVST의 vlan 개수만큼 BPDU를 복사해서 뿌린다.
▣MST region안의 MSTIs은 IST와 같은 파라메터를 쓴다(ex.같은 hellotime,forward delay,max time을 가진다)
▣요약하면 한 MST region은 하나의 IST로 CST에게 하나의 가상 스위치로 보여지며 IST로만 보면 하나로 보이지만 실제로는 여러개의 MST Instance가 집합해 있는것이다. vlan들을 묶어서 하나의 instance로 돌려서 cpu부하를 줄이는데 이 instance들은 자체적으로는 RSTP를 돌린다. 이 instance들이 RSTP를 돌리는데는 MST instand 마다의 다르게 생성되는 BPDU의 M-record라는 서브 필드가 사용되고, Hellotime같은 공통파라메터는 IST의 파라메터로 통일된다.
5.MSTP command
▣(config)#spanning-tree mst configuration > MSTP configuration submode 들어가기
▣(config_mst)#show current > 현재 mstp 컨피그 보여주기
▣(config_mst)#name 이름 > region 이름 지정
▣(config_mst)#revision revision번호 > revision번호 지정, 그냥 구분자 역할만 한다 자동으로 증가하지 않음
▣(config_mst)#instance instance번호 vlan vlan번호 > vlan에다 instance 지정
▣(config_mst)#spanning-tree mst instace번호 root primary|secondary
▣(config)#spanning-tree extend system-id > Mac address reduction or extended system id 사용
▣(config)#spanning-tree mst pre-standard > MSTP prestandard 버전 사용

출처 : http://www.spkr.co.kr/switch-%EA%B8%B0%EB%8A%A5-stp%EC%97%90-%EA%B4%80%ED%95%B4%EC%84%9C/

네트워크 장비 L2 · L3 · L4 · L7

JAESOO — Mon, 20 Oct 2014 16:12:32 +0000

패킷이란 원래 우체국에서 취급하는 "소포"를 말하는데, 화물을 적당한 크기로 분할해서 행선지를 표시하는 꼬리표를 붙인 형태이다. 데이터 통신망에서 말하는 패킷이란, 데이터와 호 제어 신호가 포함된 2 진수, 즉 비트 그룹을 말하는데, 특히 패킷교환 방식에서 데이터를 전송할 때에는 패킷이라는 기본 전송 단위로 데이터를 분해하여 전송한 후, 다시 원래의 데이터로 재조립하여 처리한다.

전자우편이나 HTML 파일, GIF 파일, 기타 어떤 종류의 파일이라도, 이것을 인터넷을 통해 한 장소에서 다른 장소로 보내려 할때, TCP/IP의 TCP 계층은 이 파일을 전송하기에 효율적인 크기로 자르게 된다. 분할된 각 패킷들에는 각각 별도의 번호가 붙여지고 목적지의 인터넷 주소가 포함되며, 각 패킷들은 인터넷을 통해 서로 다른 경로를 통해 전송될 수 있다. 보내어진 패킷들이 모두 도착하면, TCP 계층의 수신부에서 패킷들을 원래의 파일로 다시 재조립한다.

이와 같이 패킷교환 방식은 인터넷과 같은 비연결형 네트웍에서 데이터 전송 처리를 하기 위한 효율적인 방법 중의 하나이다. 또 다른 방식의 하나인 회선교환 방식은 음성 전송을 위한 네트웍이다. 회선교환에서도 네트웍 내의 회선들을 많은 사용자들이 공유한다는 측면에서는 패킷교환 방식과 마찬가지지만, 일단 특정한 경로가 설정되면 각 연결은 일정기간 동안에는 거기에 전념하여 서비스를 한다는 측면이 다르다.

패킷이나 데이터그램은 비슷한 의미로 사용되는데, TCP와 비슷한 역할의 프로토콜인 UDP에서는 패킷이라는 용어 대신에 데이터그램이라고 부른다.

패킷은 일반적으로 128 바이트가 표준이지만 52, 64, 256 옥텟 등 편의에 따라 크기를 바꿀 수 있으며, 옥텟은 보통 8 비트로 구성되고 이를 1 문자로 간주한다. 64자를 1 세그먼트로 하고, 128자를 1 패킷으로 하는 표준 패킷에 있어 그 관계는 다음과 같다.

(1 packet = 2 segment = 128 octet = 1,024 bit)

socket이란? 네트워크상에서 서버와 클라이언트 두개의 프로그램이 특정 포트를 통해 양방향 통신이 가능하도록 만들어주는 소프트웨어 장치.

● 스위치의 분류

L2: OSI 레이어 2계층에 속하는 MAC 어드레스를 참조하여 스위칭하는 장비

L3: OSI 레이어 3계층에 속하는 IP 주소를 참조하여 스위칭하는 장비

L4: OSI 레이저 3~4계층에 속하는 IP 주소 및 TCP/UDP 포트 정보를 참조하여 스위칭하는 장비, 주로 로드밸런싱 역할을 함

L7: OSI 레이어 3~7계층에 속하는 IP 주소, TCP/UDP 포트 정보 및 패킷 내용까지 참조하여 스위칭함, 로드밸런싱 역할 및 품질보증이나 보안기능 추가

신입시절... L2/L3/L4/L7 스위치를 제대로 정의를 못하던 저에게 선배님이 간단히 설명해준 적이 있었습니다.

당시 L2는 그냥 단순한 스위치고 L3는 라우팅까지 해주는 스위치고, L4는 로드밸런싱을 해주는 스위치고,

L7은 무엇인지 모르지만 좀더 좋은 스위치로 알고 있던 저였습니다. 그런데 명확히 설명하라면 난감한 상태였었습니다.

선배왈...

"즉, 모든 스위치는 말그대로 'Switching ', 즉 패킷을 어느쪽으로 보내야 하는 역할을 해야돼...

문제는 그 어느쪽으로 보낼 때 어떠한 정보를 보고 판단을 하는 것인지에 따라 Layer가 구분되는거야.~"

" L2 스위치는 MAC 정보(MAC Table)를 보고 스위칭을 하는 것."

" L3 스위치는 IP 정보(Routing Table)를 보고 스위칭을 하는 것."

" L4 스위치는 IP+Port(Session or Connection)를 보고 스위칭을 하는 것."

" L7 스위치는 실제 App 데이터(Content)를 보고 스위칭을 하는 것."

"그리고 중요한 것은 상위 레이어 스위치는 하위 레이어 스위치의 기능을 기본적으로 다 할수 있다는것.!

다만, 실제 사이트 구성시에는 자신의 주력 기능만 수행하는 것이 일반적이라는...!"

-스위칭 (Switching) ㅇ 일반적으로 접점의 개폐, 회로의 도통 및 차단, 상태의 변환 등의 동작을 말함

[출처] Socket 이란?|작성자 오바나딩요

● 네트워크장비 내부구조

( CPU · DRAM · Flash Memory · NVRAM · ROM )

CPU: PC의 CPU와 마찬가지로 시스템 제어 및 연산 담당

DRAM: 현재 사용중인 OS의 코드 임시 저장, 각 포트에서 필요한 버퍼 제공, CAM 테이블 및 라우팅 테이블 등 저장

Flash Memory: PC 등의 하드 디스크에 해당, OS가 저장, 장비에 따라 설정 내용 저장

NVRAM: 장비의 동작에 필요한 IP, 라우팅/스위칭 정책 등 설정 파일 저장, 비 휘발성

ROM: OS를 구동시키기 위한 코드 및 장애발생 시 복구를 위한 최소한의 OS등 저장

< 스위칭 내부 구조>

●네트워크 장비 외부 구조

Serial port : wan장비와 연결되는 부분, 인터페이스 지정 시 interface serial 0/0 또는 interface s0/0과 같은 명령어 사용

(앞에 모듈(또는 슬롯) 번호를 의미, 뒤에 0은 포트의 번호를 의미)

Ethernet Port: Lan 장비와 연결되는 부분, interface fastethernet 0/0 또는 interface f0/0 과 같은 명령어 사용

(앞에 0은 슬롯 번호를 의미, 뒤에 0은 포트 번호를 의미)

Console port: pc 등을 이용하여 장비를 설정 및 동작 확인 시 사용하는 포트

AUX 포트: 콘솔 포트와 용도가 같지만, 관리자용 암호가 설정되어 있지 않으면 관리자 모드로 들어갈 수 없음

●L2 스위치 개요

흔히 말하는 스위치를 지칭

OSI 7계층 중 2계층에 해당

Input 포트를 통해 들어온 프레임을 목적지 MAC 주소를 기반으로 Output 포트를 통해 전송

Collision Domain 나눔 (collision domain:충돌 영역)

장점: 구조가 단순, 가격이 저렴

단점: broadcast패킷에 의해 저하 가능성

●L2 스위치 동작원리

Learning: MAC 정보를 배우는 과정

Flooding: MAC 정보가 없어 받은 받은 포트를 제외하고 모든 포트로 다 보내는 경우

Filtering: 목적지로 향하는 포트가 수신 받은 포토와 동일한 경우 그 프레임 차단

Aging: 타이머를 설정하여 설정된 시간 동안 MAC 주소에 대한 활동이 없으면 삭제

l2 스위치 패킷 전달방법: 출발지와 목적지의 MAC Address를 확인

l2 스위치는 패킷 전송 시 , 출발지로 부터 패킷을 전송 받아 mac address를 검사하여 목적지에 맞는 포트에 패킷을 전달한다.

l2 스위치의 VLAN은 논리적으로 네트워크를 분할 하여 패킷을 전송하기 때문에 브로드캐스트 패킷 제어에 효율적이며, 보안적으로도 유용하여 많이 쓰이고 있다.

-VLAN

논리적으로 분할된 스위치 네트워크

물리적 위치가 아닌, 접속포트, MAC 주소, 프로토콜 단위로 구성 가능

조직 내에서 작업 그룹 구성 시 용이

브로드캐스트 패킷 제어에 효율적

●L3 스위치

L3 스위치는 흔히 얘기하는 라우터와 경계가 모호하여 혼동되기 쉽다. 그러나 L3 장비는 L2 장비에 라우팅 기능이 추가되어, 라우터 보다는 라우팅 처리 능력이 우수하다.

-특징

포트간 패킷 스위칭을 위해 패킷의 IP나 IPX 주소를 읽어 스위칭

Broadcast domain 나눔

3계층에 위치

Switch 장비 플랫폼에 라우팅 기능 부가

트래픽 체크, 가상 랜 (VLAN) 등의 많은 부가 기능을 갖고 있음

· 장점: 브로드캐스트 트래픽으로 전체 성능 저하 방지

· 단점: 특정한 라우팅 프로토콜을 이용해야 스위칭이 가능

l3와 라우터의 차이: l3는 확장성이 좋은 반면 소프트웨어적인 기능이 적고, 라우팅 처리 기능이 우수하다 또한 하드웨어적인 처리방식이다. 라우터는 소프트웨어 지원이 많고, 라우팅 처리 기능이 l3에 비해 떨어진다.소프트웨어적인 처리방식이다.

라우팅이란: 패킷의 목적지 IP를 확인하여 해당 패킷을 목적지 까지 전달하는 것을 말한ㄴ다. 라우팅의 종류로는 static과 dynamic이 있다

@static routing : 관리자가 경로를 직접 입력

장점

:라우팅 정보가 다른 곳으로 나가지 않기 때문에 보안성이 좋음

:다이나믹 라우팅의 오버헤드를 줄 일 수 있다.

:노트에서 보았을 때 갈수 있는 길이 오직 하나빡에 없을 때 static 라우팅이 적합

@dynamic routing : 라우팅 프로토콜에 의한 경로 결정

장점

:다른 라우터들과의 통신에 의해 경로를 결정하기 때문에 적응성이 좋음

:라우터가 많을 시 관리가 용이

@static route

장점: cpu 소모율 적음, 대역폭 소비 없음, 보안성,신뢰성,예측 가능성 높음

단점: 설정을 유지하기 어려움, 관리자가 수동적으로 라우트 설정, 변화에 적응하기 어려움, 확장성 낮음

@dynamic route

장점: 높은 적응성, 구성유지가 쉬움, 프로토콜에 대한 정의만 해주면 더 이상 관리가 필요 없음

단점: cpu 소모율 높음, 대역폭 소비가 높음

L4/L7 스위치의 용도 :

일반적으로 서버들의 로드밸런싱을 위해 사용됨

복수개의 웹서버가 있을 때, 임의의 웹서버에 접속을 시도하면, 스위치가 각 서버의 부하를 고려하여

적당한 서버와 연결시켜준다.

설정에 따라 순차적 연결 또는 접속이 가장 적은 서버에 연결하는 방식 등이 있다.

L4 스위치 :

Layer 4에서 패킷을 확인하고 세션을 관리하며, 로드밸런싱을 제공하는 스위치

TCP/UDP 패킷 정보를 분석해서 해당 패킷이 사용하는 서비스 종류 별로 처리(HTTP, FTP, SMTP...)

세션관리, 서버/방화벽 로드밸런싱, 네트워크 서비스 품질 보장

L7 스위치 :

L4 스위치의 서비스 단위 로드밸런싱을 극복하기 위해 포트 + 데이터 페이로드 패턴을 이용한 패킷 스위치

(e-mail 내용/제목, URL ...)

connection pooling(시스템 부하 감소), Traffic Compression (컨텐츠 압축 전송), 보안 기능

출처 : http://defensecurity.tistory.com/9

STP보호기술 2 - BPDU Filtering 와 Loop Guard

JaeSoo — Mon, 24 Mar 2014 17:30:25 +0000

BPDU Filtering

BPDU를 송/수신 하지 않도록 설정하는 기능.
BPDU를 받지 않아도 될 장비에 보내서 부하가 걸리지 않도록 하는데 그 목적이 있다.

설정은 크게 두가지 방식을 취한다.

첫번째 방법은 전체 설정모드에서 설정하는 방식으로, 전체 설정모드에서 다음과 같이 입력한다.

SW(config)# spanning-tree portfast bpdufilter default

이렇게 하면, 더이상 해당 스위치에서는 BPDU를 송신하지 않는다.
다만 수신은 하며, 수신한 경우에는 그 포트에 대해서는 BPDU Filtering이 해제되고
정상적으로 BPDU를 송수신하게된다.

이 방식의 장점은 일괄적으로 한번에 설정할 수 있다는 점.

이렇게 설정된 경우, 일단은 해당 스위치에 존재하는 모든 포트에 일괄적으로 BPDU Filtering기능이 적용된다. 하지만 다른 장치에서 BPDU를 전송 받을 경우, 해당 포트는 BPDU Filtering이 해제된다. 이후는 일반적인 STP환경처럼 Root/Desg/Altn으로 설정된다.

결과적으로 BPDU를 보내지 않는 종단 장치와 연결된 포트들에는 BPDU Filtering이 유지되고, 그 외의 포트들은 BPDU Filtering이 자동적으로 해제된다.

단점은 그 기준이 BPDU 수신여부라는 점.

누군가가 악의적으로 BPDU를 조작해서 보낼 경우, STP구조가 엉망이 되는 상황이 발생 할 수 있다. 별도로 조정하지 않은 기본상태 기준으로 최대 50초간 네트워크가 마비될 수도 있다.

두번째 방법은 개별 인터페이스에서 직접 설정하는 방식으로, 개별 인터페이스에서 다음과 같이 입력한다.

SW(config-if)# spanning-tree bpdufilter enable

이 방식의 경우는 BPDU 송신만이 아닌, BPDU의 수신도 차단한다.

이 방식의 장점은 직접 설정을 해제하지 않는 한 해제되지 않는다는 점.

앞서 언급한 전체설정모드에서 하는 방법의 단점은, 이 방식에서는 발생하지 않는다.

단점은 STP구성에 포함된 포트에서 사용시, 루프가 발생할 수 있다는 것.

본래 Altn포트로 지정되서 블럭되야하는 포트가 BPDU Filtering설정이 되면, 강제적으로 Forwarding상태가 되어 버린다. 이렇게 되면 Loop구성이 되버려서 정상적인 통신을 하지 못하게 된다.

따라서, 종단포트에 대해서만 개별 인터페이스에서 설정하는 것이 좋다.

Loop Guard

STP상에서 이미 차단(Altn - BLK)된 포트가 상대 포트에게 일정시간 이상(기본값은 50초) BPDU를 받지 못하면, 차단상태에서 전송상태(Desg - FWD)로 변경된다. 이 경우, 루프가 발생하게 된다. Loop Guard는 이러한 현상을 방지하기 위한 기능으로, 이 기능이 설정된 경우에는 차단된 포트가 BPDU를 받지 못해서 전송포트로 변경되는걸 방지한다.

전체 설정 모드에서 설정하고자 하는 경우는 아래와 같이 한다.

SW(config)# spanning-tree loopguard default

개별 인터페이스에 대해서 설정하고자 하는 경우는 해당 인터페이스에 들어가서 아래와 같이 설정한다.

SW(config-if)# spanning-tree guard loop

관련 문서

Configuring Spanning Tree PortFast, BPDU Guard, BPDU Filter, UplinkFast, BackboneFast, and Loop Guard

Catalyst 2960-X Switch Layer 2 Configuration Guide, Cisco IOS Release 15.0(2)EX

Configuring Optional Spanning-Tree Features

출처 : http://swkim-linux.blogspot.kr/2013/07/stp-2-root-guard.html

STP보호기술 1 - BPDU Guard 와 Root Guard

JaeSoo — Mon, 24 Mar 2014 17:29:50 +0000

BPDU Guard

정상적인 경우, 종단장치가 연결된 포트에서는 BPDU가 송신될 필요가 없다. 같은 이유로 수신될 필요도 없고, 수신 될 일도 없는 것이 정상이다. 종단장치가 연결된 포트에서 BPDU가 수신된다는 것은, 승인되지 않은 개인의 스위치or허브 연결이나 해킹으로 인한 STP공격등이 있을 수 있다. 이를 방지하기 위한 기능이 BPDU Guard. 설정하게 되면, BPDU를 수신할 경우 해당 포트가 차단된다.

전체 설정모드에서는 아래와 같이 설정하면 된다.

SW(config)# spanning-tree portfast bpduguard default

이 방법을 사용하면 스위치에 존재하는 포트중 PortFast 설정이 적용된 포트에서 BPDU가 수신되면 해당 포트를 차단하게 된다.

개별 인터페이스에 대해서는 아래와 같이 설정하면 된다.

SW(config-if)# spanning-tree bpduguard enable

이 방법으로 설정한 포트에 BPDU가 수신되면 해당 포트를 차단한다.

Root Guard

STP를 구성할때 핵심이 되는 Root Switch는 브릿지ID가 가장 낮은 스위치가 담당하게 된다.
L2 네트워크의 중심이 되는 장비가 되므로, 대게는 전체를 관리하는 코어쪽(아래 이미지에서 오른쪽의 Service-Provider측)에 Root스위치를 설정해서 사용하게 된다. 문제는 코어에 연결된 개별 사용자측(아래 이미지에서 왼쪽의 Customer측)에서 별도의 장비(Switch)를 연결하고 내부적으로 설정하는 과정에서 Root Switch보다 더 낮은 브릿지ID를 가지게 설정한 경우가 발생할 수 있다. 이렇게 되면, Root Switch가 변경되면서 STP구조가 변경되는 등의 문제가 발생 할 수 있다.

이미지 출처 : Configuring Optional Spanning-Tree Features - Root Guard

Root Guard 기능은, 설정된 포트로 들어오는 BPDU중, 해당 스위치의 루트ID보다 브릿지ID가 더 낮은 BPDU가 들어오게 되면 해당 포트를 차단하는 기능이다.

이 기능은 개별 인터페이스에서 설정할 수 있다. (전체모드 미지원)

SW(config-if)# spanning-tree guard root

이 기능은 설정시 주의가 필요하다. 대놓고 매뉴얼 상에 장애 발생의 원인이 될 수 있다고 명시될 정도.

관련 문서

Configuring Spanning Tree PortFast, BPDU Guard, BPDU Filter, UplinkFast, BackboneFast, and Loop Guard

Spanning Tree PortFast BPDU Guard Enhancement

Catalyst 2960-X Switch Layer 2 Configuration Guide, Cisco IOS Release 15.0(2)EX

Configuring Optional Spanning-Tree Features

출처 : http://swkim-linux.blogspot.kr/2013/07/stp-1-bpdu-guard-bpdu-filtering-loop.html

loop방지 및 STP 보호기술 (Spanning tree)

JaeSoo — Mon, 24 Mar 2014 16:43:28 +0000

- BPDU Guard : 해당 Port에서 bpdu를 수신했을 때 port를 down 시키는 것, 이때 shutdown 된
Port를 살리기 위해서는 shutdown명령 후 no shut해줘야 한다.
[설정]
Rack01SW1(config-if)#spanning-tree bpduguard

- Loop Guard : BLK port로 상대의 BPDU를 수신하지 않게 되면 forward 모드로의 전환 하는 것을
막는 설정, switch가 down된 것이 아닌데도 어떠한 이유로 인해 단순히 BPDU를 전송하지 못했을 뿐인데도 BLK포트를 Forwarding port로 바꾸게 되면 Loop이 발생할 수 있다.
[설정]
Rack01SW1(config-if)#spanning-tree loopguard

- Root Guard : rootguard는 특정 포트에 접속된 스위치들이 root swtich가 되지 못하도록 하는
기능이다.
[설정]
Rack01SW1(config-if)#spanning-tree guard root

[확인]
---------------- ---- --- --------- -------- -----
Fa0/2 Desg FWD 100 128.2 Shr
Fa0/23 Desg BKN*19 128.23 P2p *ROOT_Inc
Fa0/24 Root LRN 19 128.24 P2p

출처 : http://blog.naver.com/a4ter/110021838243

CISCO 2960G 에 port mirroring 설정하기

JaeSoo — Fri, 21 Mar 2014 15:14:31 +0000

# CISCO 2960G 에 port mirroring 설정하기

- 물론 이러한 설정도 ena해서 configure로 들어 가서 설정 한다.

1. 기존의 monitoring 정보 삭제

mk_switch(config)# no monitor session all

2. 모니터링 소스 포트 할당 (1번 포트 부터 23번 포트까지 할당)

mk_switch(config)# monitor session 1 source interface GigabitEthernet 0/1 - 23

cf> port를 하나만 할당 하려면

.... GigabitEthernet 0/1 이렇게 주면 되고, 디폴트는 RX, TX 모두에 대해서 적용하지만

TX, RX에 대해서 별도 적용을 하려면

mk_switch(config)# monitor session 1 source interface GigabitEthernet 0/13 rx

이런식으로 지정해주면 된다.

3. 모니터링 목적 포트 할당 (24번 포트 할당)

mk_switch(config)#monitor session 1 destination interface GigabitEthernet 0/24

4. 마무리 및 확인

mk_switch(config)# end

mk_switch(config)# show monitor session 1

Switch#show monitor session 1

Session 1

---------

Type : Local Session

Source Ports :

Both : Gi0/1-23

Destination Ports : Gi0/24

Encapsulation : Native

Ingress : Disabled

mk_switch#

ps.1 전체의 트래픽을 두 포트로 RX, TX 나누어서 미러링 설정하기
- session 1과 session 2로 나누어 소스를 설정하면서 session 1은 rx, session 2는 tx를 받도록 설정한다.
가령, port 1~ 24번 까지 전체에 대해서 port 25 로 rx, port 26으로 tx를 받게 하려면 다음과 같이 설정한다.

# 소스 포트 설정
mk_switch(config)# monitor session 1 source interface GigabitEthernet 0/1 - 24 rx
mk_switch(config)# monitor session 2 source interface GigabitEthernet 0/1 - 24 tx

# 모니터링 포트 설정
mk_switch(config)#monitor session 1 destination interface GigabitEthernet 0/25
mk_switch(config)#monitor session 2 destination interface GigabitEthernet 0/26

이렇게 세팅하면 된다.

- 위를 작성 했더니 또 하나의 질문이 왔다. 2960G의 경우, fiber port와 copper port를 같이 가지고 있다.
이를 이용해 미디어 컨버터 등을 이용하지 않고도 광구간의 네트웍에서 copper로 미러링 받을 수 있게 해달라고 ...

ps.2 Fiber port로 유입되는 트래픽을 copper port로 미러링 하기

# 소스 포트 설정 (fiber port 지정)
mk_switch(config)# monitor session 1 source interface GigabitEthernet 0/25 - 28

# 모니터링 포트 설정 (copper port 지정)
mk_switch(config)#monitor session 1 destination interface GigabitEthernet 0/24

이렇게 세팅하면 된다.

나는 copy left를 따르므로 무한 배포를 하셔도 좋습니다. 출처 정도를 밝혀 주시면 더 고마울 따름이고...

출처 : http://nokia.egloos.com/viewer/3265695

인티게이트(IntiGate) QoS 스위치 제품 소개

JaeSoo — Thu, 20 Mar 2014 10:38:20 +0000

국내 여러 L3/L2 스위치 제조사들은 안정성을 기반으로 저가의 제품을 출시하여 많은 SP/ISP로부터 큰 호응을 얻고 있고 실제로 현장에 투입되어 많이 사용되어지고 있습니다.

하지만 국산 제품 중 QoS를 지원하는 L3 스위치 제품은 크게 많지 않을 것입니다.

QoS를 지원한다 치더라도 보안장비를 제외한 일반 스위치나 라우터 제품 중 안정성이 제공되는 저렴한 스위치 제품군은 크게 많지 않은 것으로 알고 있습니다.

Cisco 나 Juniper 등의 중고가 제품들이 주를 이루던 시대는 지나갔으며 국내 기술로 개발된 유비쿼스, 다산 등의 스위치가 보편화되어진 현 상황에서 데이터나 트래픽의 전송만을 제공해 주던 서비스는 QoS를 기반으로 하는 스위치 제품군으로 업그레이드되고 있는 현실입니다.

백본이나 연동망, 분배센터 등의 중대형 장비들은 현재까지 안정성과 성능 대비 해외 제품들을 주로 사용하고 있지만 이곳에도 점차 국내 스위치 제품들이 속속 침투하고 있습니다.

오늘 소개해 드릴 제품인 인티게이트(IntiGate) 제품은 백본이나 연동망 급의 스위치가 아닌 End단의 기업이나 PC방에서 주로 사용되어지는 QoS 스위치로 최근 각종 네트워크 보안 이슈로 발생하는 이상트래픽과 ARP Spoofing 공격 등에 최적화된 스위치가 되겠습니다.

실제로 저희 회사에서도 SOHO, 기업이나 대학교 학내망, PC방 등에 사용되어지고 있으며 torrnet 등의 P2P 프로그램등의 사용으로 인한 트래픽 포화 문제를 해결하는데 가장 적합한 모델이라고 생각됩니다.

QoS가 지원되지 않는 단순한 트래픽 전송 L2/L3스위치에서 벗어나 최근 발생되는 여러 보안문제와 트래픽 공격, 트래픽 Sharing 등이 필요로 되고 대두되고 있는 상황에서 없어서는 안될 중요한 기능이 탑재되어 있습니다.

예전 라오넷/모보 등에서 SER 시리즈를 출시하여 PC방 등에 대규모로 공급되어 사용했었지만 더 진화된 트래픽 폭탄의 제어, ip/port sharing, Gigabit Ethernet 지원 및 관리서 인터페이스 및 제어 등의 문제로 점차 사라지고 있는 실정입니다.

이에 국내에서 개발된 인티게이트 QoS 스위치 제품은 유연한 QoS를 제공하여 고객에게 큰 만족을 주고 있습니다.

인티게이트(IntiGate) 홈페이지

위 홈페이지를 방문해 보시면 아시겠지만 NP Series 제품을 주력으로 하여 기업 전용, PC방 전용 QoS 스위치 제품군을 주로 생산하고 있습니다.

NP2000, NP3008, NP4016F 의 3가지 QoS 스위치를 출시하였고 최근 Gigabit Interface를 제공하는 NP4016F 제품이 주로 사용되어지고 있습니다.

NP4016F 전면부 (출처 : 인티게이트)

이상 트래픽 제어를 통한 효율적 네트워크 관리, 유연한 QoS 정책 설정, Giga interface 지원 (Uplink/Downlink), 강화된 보안기능, 강력한 모니터링 리포팅 기능 제공, 비즈니스 응용 어플리케이션, VoIP/VoD/IPTV 어플리케이션, 캠퍼스 어플리케이션, 기업 어플리케이션을 필두로 강력한 성능과 기능을 자랑하고 있습니다.

트래픽 독점으로 인한 기타 유저의 업무용 트래픽 통신 두절 문제 해결, 3000개의 정책을 적용하여 보다 세밀화된 트래픽 관리의 제공, 공정한 Bandwidth Sharing을 제공하여 포트별, 사용자(ip)별 유연한 대처 가능, 총 16포트의 서비스 포트 (8port TX, 8port SFP) 제공, ARP Inspection을 제공하여 ARP SPoofing 방지, GUI 기반의 EMS로 강력한 모니터링 툴 제공, Voice over IP (VoD, IPTV) 서비스위 실시간 트래픽 처리 및 대역폭 보장 등의 Express 모드를 제공하여 더욱 더 빠르고 안정적이며 사용자 친화적인 보안 스위치로 거듭나게 되었습니다.

802.x 의 지원, 멀티캐스팅 IGMP, 포트 미러링, 스톰 컨트롤, MAC 필터링, 포트별 MAC 제어, static 라우팅 및 PIM 지원으로 Dynamic Routing을 제외한 L3스위치 기능을 수행할 수 있습니다.

무엇보다도 사용자 친화적인 console/telnet 컨트롤, GUI 모드에서 전체 설정 및 제어 가능한 점이 서비스 프로바이더로 하여금 큰 호응을 끌고 있는 상황입니다.

설치된 NP 스위치를 EMS 통합 NMS 툴로 관리하여 각 장소에서 일어나는 이벤트와 장애에 대하여 한 곳에서 관리 통합 가능하도록 제공해 주고 있습니다.

이 스위치를 판매하는 인티게이트 직원같아 보이겠지만 직접 운영해 본 입장에서 말씀해 드리는 것입니다.

QoS가 접목된 스위치 제품군 중 안정성 및 가격 대비 가장 우수한 제품이라고 말씀드리고 싶습니다.

무엇보다도 트래픽 제어가 가장 필요한 stub network PC방에 적합한 모델로 생각됩니다.

아침부터 부산 모 대학교에서 DDoS 공격 피해가 접수되어 보안장비에서 제어하다가 문득 생각이 나 잠시 끄적여 보았습니다.

NP 제품군의 운용 및 Console/GUI Configuration에 대해 궁금하신 내용 있으시면 댓글이나 e-mail 주시면 성심 성의껏 답변해 드리도록 하겠습니다.

-----

방문 감사합니다 (__)

출처 : http://cezacx2.tistory.com/1001

L4 ~ L7 스위치의 차이점

JaeSoo — Fri, 10 Aug 2012 23:40:28 +0000

L2스위치 : Mac Address
L3스위치 : IP Address 128.25.31.xxx

L2, L3스위치 => Address를 인식하여 해당장비로 Packet 전송

L4스위치 : TCP Port 80
L5~L7스위치 : Packet 내용 => "GET/image/xxx.jpg HTTP/1.1"
L4~L7스위치 : Port Number 또는 Packet내용을 인식/판단하여 Packet의 경로 설정, 변환,

필터링동작을 수행 => 다계층 스위치

L2/3스위치 : Address 정보(MAC Address, IP Address)를 통해 Packet을 처리

L4스위치와 L7스위치의 차이점

1. 구조적 차이점 - Intellingence
L4스위치 : TCP/UDP 포트 정보를 분석해 해당 패킷이 현재 사용하는 서비스 종류(HTTP, FTP, 텔넷, SMTP, POP3, SSL등)별로 PACKET을 처리

L7스위치 : 트래픽의 내용(e-mail제목/내용의 문자열, HTTP컨텐츠URL, FTP파일 제목, SSL ID, Cookie 정보, 특정 바이러스(e.g. CodeRed, Nimda)패턴등을 분석해 Packet을 처리

공통점 : 스위치로 들어온 Packet을 적절한 목적지(주로 네트워크 장비나 클라이언트, 때로는 불필요한 Packet을 Drop시키기도 함)로 전송해줌. 기본적인 기능과 역할은 동일하나 Packet을 분석해 성격과 중요도를 분류하는 Intelligence가 달라서 "적절한 목적지"를 찾아내 해당 Packet을 처리해 주는 능력에 차이가 발생함.

2. 기능적 차이점
* 보다 높은 수준의 Intelligence를 갖춘 스위치일수록 더 정교한 패킷의 부하분산(Load Ballancing)및 Qos기능 구현이 가능함.
* L7스위치는 다음과 같은 기능을 통해 네트워크 시스템의 보안성 강화가 가능함.
1) Dos/SYN Attack에 대한 방어
2) CodeRed/Nimda등 바이러스 감염 패킷의 필터링
3) 네트워크 자원의 독점 방지를 통한 네트워크 시스템의 보안성 강화가 가능함.

출처 : http://www.saybox.co.kr/bbs/board.php?bo_table=network&wr_id=7&sca=&sfl=&stx=&spt=0&page=2

시스코 장비 : Switch의 종류

JaeSoo — Fri, 10 Aug 2012 23:17:56 +0000

1. L2 L3 L4 L7

먼저 지금 네트웍을 배우시는 분들이나 초급이신 분들은 네트웍에서 사용하는 용어에 대한 정확한 정의를 가지고 접근하시길 권장합니다.

예를 들어 스위칭(브릿징)과 라우팅의 의미의 차이를 생각해보는 것이죠.

간단히 말하면 스위칭은 이미 나온 혹은 학습한 결과를 토대로 비교/대조 를 통해 바로 처리하는 반면, 라우팅이란 물론 라우팅 알고리즘이 있어서 이를 토대로 계산이라는 과정이 포함되어 있다는 부분을 기억하시면 됩니다.

그럼 스위칭에서 비교/대조의 대상이 문제인데, 이 때 비교 대상이 MAC-address 일 경우 L2, IP 일 경우 L3, 서비스포트(TCP or UDP)일경우는 L4, payload(or contents)가 될 경우는 L7 이라고 정리하시면 일차적인 분류는 되는 거죠..

이때 각 대상을 스위칭 하는 로직은 사실 그리 어렵지 않죠. 문제는 이런 로직을 어떤 용도로 활용하는가가 바로 문제죠/

L2의 경우 mac을 비교해서 해당 포트로 처리하는 경우는 단순히 이더넷 스위치에서의 프레임을 전송하는 기능을 제공할 뿐이죠/

L3의 경우는 이미 라우팅으로 얻어진 결과를 cache-memory에 넣어 이후 동일 목적지의 packet일 경우는 계산(라우팅)하지 않고 이를 바로 cache-memory 의 정보를 토대로 비교해서 바로 포워딩 시키는 것이죠. 이 메모리를 swtiching-table 이라하죠.

시스코의 경우 이 기술에 많은 시간과 기술을 투자해 CEF 라고 하는 고속의 처리 알고리즘을 모든 장비에 적용중입니다.

L4는 서비스 포트 번호 (즉 HTTP = TCP 80 , ftp = tcp 20 21) 등을 스위칭 대상으로 삼아요. 목적은 SLB, FLB, VPNLB 용도로 주로 사용됩니다. 첨부한 파일 참고하세요. 필드에 있을때 작성한 거니 편하게 보세요..

L7 스위치는 패킷의 구조에서 보면 Payload 에 들어가는 데이타 부분을 보고 스위칭을 진행합니다. 여러분들도 생각해보시면 알곘지만, 우리가 아는 예를 들어 네이버의 화면을 한번 보세요.. 화면에서 하루종일 가도 변하지 않는 부분도 있지만 실시간 변하는 뉴스영역도 있어요. 물론 이 모든 데이타는 TCP 80 인거죠. 그러나 뉴스를 제공하는 서버는 실시간 바쁘지만 단순그림이나 프레임 정보를 제공하는 서버는 한가하죠. 이를 구별해서 즉 TCP 80 으로 서비스 되는 내용중에 사용자 요구가 많은 컨텐츠는 많은 서버를 두고 로드밸런싱을 하게 합니다. 이 때 로드밸런싱을 위한 대상이 컨텐츠가 되는 것이죠. 컨텐츠는 바로 응용계층에서 만들어지므로 이를 L7 스위치라 불러요.

추가로. 많은 분들이 L7을 보안 장비인 바이러스월 등으로 보는 견해가 있는데 이는 한 부분을 침소봉대해서 나타난 결과가 됩니다. 물론 컨텐츠내부 데이타에 바이러스등이 존재하므로 컨텐츠 스위칭을 진행하는 시점에 바이러스 스캔을 위한 패턴 체크를 진행할 수 있기 때문에 그러한 생각이 가능했죠. L7은 기본적으로 컨텐츠 스위칭 장비이며 기능을 확대 혹은 분화시켜 다양한 장비로 개발이 가능합니다. 향후 L7 스위치는 시장에서 상당히 많은 영역에서 사용될 것입니다.

출처 : http://economad.tistory.com/?page=28