쫑콩아빠의 지금 이 순간...

Alteon L4 FWLB Sample 입니다.

# EXT L4

>> Main# /c/dump
script start "Alteon AD3" 4  /**** DO NOT EDIT THIS LINE!
/* Configuration dump taken 20:01:29 Thu Apr 19, 2012
/* Version 10.0.28,  Base MAC address 00:60:cf:49:ea:d0
/c/port 1
        pvid 10
/c/port 2
        pvid 20
/c/port 8
        pvid 30
/c/vlan 1
        def 3 4 5 6 7 9
/c/vlan 10
        ena
        name "VLAN 10"
        def 1
/c/vlan 20
        ena
        name "VLAN 20"
        def 2
/c/vlan 30
        ena
        name "VLAN 30"
        def 8
/c/stp 1/off
/c/stp 1/clear
/c/stp 1/add 1 10 20 30
/c/ip/if 1
        ena
        addr 10.10.10.254
        mask 255.255.255.0
        broad 10.10.10.255
        vlan 10
/c/ip/if 2
        ena
        addr 10.10.11.254
        mask 255.255.255.0
        broad 10.10.11.255
        vlan 20
/c/ip/if 8
        ena
        addr 192.168.1.60
        vlan 30
/c/ip/gw 1
        ena
        addr 192.168.1.1
/c/ip/route
        add 10.10.12.0 255.255.255.0 10.10.10.1 1
        add 10.10.13.0 255.255.255.0 10.10.11.1 2
/c/slb
        on
/c/slb/adv
        submac ena
/c/slb/real 1
        ena
        rip 10.10.12.254
/c/slb/real 2
        ena
        rip 10.10.13.254
/c/slb/group 1
        metric hash
        health icmp
        add 1
        add 2
/c/slb/filt 10
        ena
        action allow
        dip 192.168.1.0
        dmask 255.255.255.0
/c/slb/filt 11
        ena
        action allow
        dip 10.10.10.0
        dmask 255.255.255.0
/c/slb/filt 12
        ena
        action allow
        dip 10.10.11.0
        dmask 255.255.255.0
/c/slb/filt 20
        ena
        action redir
        dip 10.10.14.0
        dmask 255.255.255.0
/c/slb/filt 20/adv
        fwlb ena
/c/slb/filt 224
        ena
        action redir
/c/slb/filt 224/adv
        fwlb ena
/c/slb/port 8
        filt ena
        add 10-12
        add 20
        add 224
/
script end  /**** DO NOT EDIT THIS LINE!

# INT L4

>> Main# /c/dump
script start "Alteon 180e" 4  /**** DO NOT EDIT THIS LINE!
/* Configuration dump taken 19:59:56 Thu Apr 19, 2012
/* Version 10.0.28,  Base MAC address 00:60:cf:42:d4:10
/c/port 1
        pvid 10
/c/port 2
        pvid 20
/c/port 8
        pvid 30
/c/vlan 1
        def 3 4 5 6 7 9
/c/vlan 10
        ena
        name "VLAN 10"
        def 1
/c/vlan 20
        ena
        name "VLAN 20"
        def 2
/c/vlan 30
        ena
        name "VLAN 30"
        def 8
/c/stp 1/off
/c/stp 1/clear
/c/stp 1/add 1 10 20 30
/c/ip/if 1
        ena
        addr 10.10.12.254
        mask 255.255.255.0
        broad 10.10.12.255
        vlan 10
/c/ip/if 2
        ena
        addr 10.10.13.254
        mask 255.255.255.0
        broad 10.10.13.255
        vlan 20
/c/ip/if 8
        ena
        addr 10.10.14.254
        mask 255.255.255.0
        broad 10.10.14.255
        vlan 30
/c/ip/route
        add 10.10.10.0 255.255.255.0 10.10.12.1 1
        add 10.10.11.0 255.255.255.0 10.10.13.1 2
/c/slb
        on
/c/slb/real 1
        ena
        rip 10.10.10.254
/c/slb/real 2
        ena
        rip 10.10.11.254
/c/slb/group 1
        metric hash
        health icmp
        add 1
        add 2
/c/slb/filt 10
        ena
        action redir
        dip 192.168.1.0
        dmask 255.255.255.0
/c/slb/filt 10/adv
        fwlb ena
/c/slb/filt 13
        ena
        action allow
        dip 10.10.12.0
        dmask 255.255.255.0
/c/slb/filt 14
        ena
        action allow
        dip 10.10.13.0
        dmask 255.255.255.0
/c/slb/filt 20
        ena
        action allow
        dip 10.10.14.0
        dmask 255.255.255.0
/c/slb/filt 224
        ena
        action redir
/c/slb/filt 224/adv
        fwlb ena
/c/slb/port 8
        filt ena
        add 10
        add 13-14
        add 20
        add 224
/
script end  /**** DO NOT EDIT THIS LINE!

1. Power off the device by pressing the power button on the front panel and reboot the device.
2. Turn on the power to the management device.
3. Power on the device by pressing the power button on the front panel. Verify that the POWER LED on the front panel turns green.The terminal emulation screen on your management device displays the device’s boot sequence.
4. When the autoboot is completed, press the spacebar a few times to access the bootstrap loader prompt.
5. At the following prompt, enter boot -s to start up the system in single-user mode.
   loader>boot -s
6. At the following prompt, enter recovery to start the root password recovery procedure.
7. Enter full pathname of shell or 'recovery' for root password recovery or RETURN for /bin/sh: recovery
8. Enter configuration mode in the CLI.
9. Set the root password. For example:
   user@host# set system root-authentication plain-text-password
   For more information about configuring the root password, see the Junos System Basics Configuration Guide.
10. At the following prompt, enter the new root password. For example:
    New password: juniper1

    Retype new password:

11. At the second prompt, reenter the new root password.
12. If you are finished configuring the network, commit the configuration.
    root@host# commit

    commit complete

13. Exit configuration mode in the CLI.
14. Exit operational mode in the CLI.
15. At the prompt, enter y to reboot the device.
    Reboot the system? [y/n] y

ScreenOS divides its routing component into two virtual routers—untrust-VR and trust-VR. If you have obtained and loaded a virtual router (VR) software key, you can create a new VR. Multiple VRs can exist, but trust-VR is the default.

Additionally, you can set basic parameters for the untrust-VR and trust-VR and for user-defined VRs. When you set parameters for a VR, you can also configure dynamic routing protocols.

If you configure AutoConnect virtual private network (AC-VPN), you must enable Next-Hop Resolution Protocol (NHRP) on the VR.

To Create or Modify a Virtual Router

*ALG(Application Layer Gateway)란?

NetScreen에서 V5.0에서 특정한 프로토콜(SIP, FTP, H.323 등)을 지원하는 신규 기능으로 ALG는 특정한 트래픽을 분석하여 NetScreen 방화벽을 통과하여 서비스가 가능하도록 resource 할당, 유동적인 방화벽 정책(ex: dynamic port을 요청하는 경우 편리하게 지원가능)을 설정할 수 있도록 지원할 수 있는 기능으로 Protocol Convert 역할을 할 수 있음, 알려진 포트를 사용하는 경우 및 정책에서 지정하는 경우 ALG기능을 사용할 수 있으며 ALG는 해당 프로토콜의 Payload 내용을 감지 또는 변경할 수 있습니다.

Summary:

Problem or Goal:

Solution:

Alteon config 기본 설정

>> Main# /cfg/stp off

             •Spanning Tree protocol 을 사용하겠냐는 명령어 입니다.

             •기본 값이 enable되어 있기에, 작업환경에 따라 설정하면 된다.

             •설정 후 반듯이 reboot 이 필요하다.

-- Interface 설정하기

>> Main# /cfg/ip/if 1/mask 255.255.255.0/addr 61.33.250.x/br 61.33.250.255/ena

             •장비의 Interface를 넣어주는 명령어 입니다.

             •interface number를 확인 후 IP address, mask, broad 를 정확히 넣어주면 된다.

             •최대 256개까지 만들 수 있다.

-- Gate way 설정하기

>> Main# /cfg/ip/gw 1/addr 61.33.250.x/ena

             •Gateway를 설정해 주는 명령어 입니다.

             •최대 4개까지 만들 수 있다.

             •/cfg/ip/gw 1/intr 2 è 2sec 마다 ping Test

             •/cfg/ip/gw 1/retry 8  è 8번 try후 응답이 없으면 fail로 선언.

             •/cfg/ip/gw 1/arp disable  è gw에 대한 health check 를 arp를 이용하여 할 것 인지 아닌지를 선택.

             èarp disable 시 ICMP를 이용하여 health check를 하지만, Router에서 ping(ICMP)을 막았을 경우에는 arp option을 enable 하여 arp table을 이용하여 health check를 한다.

-- Port link 100 Fix 설정하기

>> Main# /cfg/port ⓝ/fast/speed 100/mode full/fctl none/auto off

             •link 100M Fix 시켜 준다.

             •fctl (flow control) 각각의 연결된 장비가(Alteon ó 타장비) 다를 경우 buffer size의 차이로 인하여 흐름이 원활하지 못하는 경우가 있다. 이때에 fctl을 이용하여 흐름을 원활하게 해줄 수가 있는데 이 option을 설정을 해준다. 이는 Alteon의 buffer 가 타 장비보다 적기에 발생할 수 있다. 이 현상의 발생시 overflow가 발생할수 있기 때문이다. 그러나 일반적인 경우에는 장비간의 차이가 없기에 fctl을 none으로 설정하여 사용을 한다.

-- localnetwork 설정하기

>> Main# /cfg/ip/frwd/local/add xxx.xxx.xxx.xxx

             •local network 를 만드는 명령어 입니다. 반듯이 필요한 사항은 아닙니다.

             •Alteon 장비는 4096개의 arp를 갖고 있을 수 있는데 이 수치를 arp table full날 경우를 대비하여

local-network를 설정을 해줍니다.

-- telnet 허용하기

>> Main# /cfg/sys/tnet ena

             •telnet 접속여부 판단.

-- Password 변경하기

>> Main# /cfg/sys/user/admpw

             •admin password 변경여부.

             •Password를 분실시 remote에서 recovery하기가 어려우니 주의 하시기 바랍니다.

SLB 만들기

-- Real server 설정하기

>> Main# /cfg/slb/real ⓝ/ena

             •real server를 설정한다.

             •~real 1/rip 61.33.250.x  è real server의 IP address 를 지정한다.

            •~real 1/weight 1  è leastcon/roundrobin 이용시 해당 group안의 real server에 대한 portion을 정해준다. 기본값은 1 이다.

             •~real 1/backup none  è real server fail 시 backup server가 이를 대신할수 있게 지정. 기본값은 none이다.

             •~real 1/maxcon 200000  è real server에 처리할수 있는 session을 지정할 수 있다.

             •~real 1/inter 3  è 3sec 마다 health check

             •~real 1/retry 5  è health check 를 5번 시도 후 무응답시 fail 처리 한다.

             •~real 1/tmout 10  è 한번 맺은 session이 10min 간 무응답(또는 서비스를 안 할 때) 시 자동적으로 session을 clear 한다.

-- Real server를 group로 설정하기

>> Main# /cfg/slb/group ⓝ/add ⓝ ... /add ⓝ

             •group ⓝ에 생성한 real server를 포함시켜준다.

             •group 에서 real server 제거시 ... /rem ⓝ 을 이용한다.

-- Virtaul IP 설정하기

>>Main#/cfg/slb/virt ⓝ/vip 61.33.250.xx/ena

             •virt number ⓝ에 vip 를 설정해주고 enable 해 줍니다.

>>Main#/cfg/slb/virt ⓝ/service http/group ⓝ

             •Vip 에 해당하는 적절한 서비스를 지정해 주고(서비스가 http라면 http로..) 이 서비스에 적용할 group를 지정해 줍니다. 

-- Server, Client physical port 지정.

>>Main#/cfg/slb/port ⓝ/server ena

>>Main#/cfg/slb/port ⓝ/client ena

             •Server가 연결되어있는 downlink 쪽 port 에 Server enable를 해 줍니다.

             •Client 즉, 인터넷상에서 Vip로 서비스를 받고자 하는 물리적인 port에 client enable 를 해 줍니다.

--SLB enable

>> Main# /cfg/slb/on

             •SLB enable

-- 현재 서비스중인 session을 clear 하기

>> Main# /op/slb/clear

             •현재의 session clear.

 모니터링 방법

Information

>> Main# /info/slb/dump

             •slb가 진행중인 real server, virtual server, Filter state, Port state 전체를 한눈으로 볼 수가 있습니다.

             •그 외에 ~/real , ~/virt , ~/filt , ~/port 는 개별적으로 해당 번호를 알면 부분적으로 상세한 정보를

볼 수 있다.

>> Main# /info/slb/sess/dump

             •slb를 통하는 Session Table 전체를 볼 수가 있다. 

             •~/sess/find : 특정 Source IP를 잡아서 볼 수 있다. 

•~/sess/Port : 특정 Port에 들어오는 session을 볼 수가 있다.

>> Main# /info/arp/dump

             •이는 Alteon switch에 관련된 arp table을 전체를 볼 수 있다.

             •IP address, MAC address, VLAN, Port 등의 정보를 알 수 있다.

             •그 외에 ~/find, ~/port, ~/vlan, ~/refpt, ~/addr 로 세부적인 정보를 얻을 수 있다.  

>> Main# /info/sys

             •간단한 System Information 알 수 있다.

             •Alteon switch 장비명, MAC address, IP address, OS version 등을 알 수 있다.

>> Main# /info/log

             • 시간대별로 log를 생성하므로 장비의 상태를 알 수 있다.

             • 단, Alteon switch에서 보여주는 log는 10여줄 밖에 볼 수가 없으므로 log host 지정하여 host에서 관리가 가능하다. ==> /cfg/sys/syslog 에서 host를 지정하여 주면 된다. 또한 log를 받는 서버에서는 syslog 데몬이 있어야 한다.

>> Main# /info/link

             •Port , Speed , Duplex , Flow ctrl , Link 의 상태를 알 수 있다.

             •강제로 fix 가 되어 있는지의 여부도 파악하기 쉽다.

>> Main# /info/ip

             •기본적인 IP, gateway, local network 의 상태를 알 수가 있다.

>> Main# /info/dump

             •information에 있는 모든 정보를 나열한다.

             •이 정보는 작업자가 설정된 값 기준으로 표시 되기에

Statistics

>> Main# /stats/port ⓝ/brg

             •대표적으로 해당 Port 에서 PortInFrames, PortOutFrames 등의 값을 알 수 가 있다.

             •Discards 관련 값을 알 수가 있다.

>> Main# /stats/port ⓝ/ether

             •대표적으로 해당 Port 에서 StatsSingleCollisionFrames 등의 값을 알 수 가 있다.

             •CollisionFrames 관련 값을 알 수가 있다.

>> Main# /stats/port ⓝ/maint

             •대표적으로 해당 Port 에서 CRC, Ovflo 등의 값을 알 수 가 있다.

>> Main# /stats/slb/

             •~/Port ⓝ, ~/real ⓝ, ~/group ⓝ, ~/virt ⓝ, ~/filt ⓝ 등의 값을 알 수 있다.

             •Current Sessions 수를 알 수 있기에 작동 중인 값을 정확하게 이해할 수 있다.

             • 그 외에 각 옵션 별루 정확한 Sessions 수를 알 수 있다..

Maintenance

>> Main# /maint/tsdmp

             •장비의 전체적인 dump를 받는 내용입니다. 

발췌 :