VMware vSAN은 스토리지 리소스를 가상화하여 VMware Cloud Foundation 내에서 효율적인 스토리지 관리를 가능하게 합니다.

Broadcom Fibre Channel HBA는 VMware 환경에서 고속 SAN 연결과 데이터 중복성을 제공합니다.

TSO, RSS, LSO 및 적절한 대역폭은 VMware 네트워크 효율성을 높입니다.

VMware vRealize Automation과 vRealize Operations는 VMware Cloud Foundation에서 클라우드 비용 효율성을 관리하고 최적화하는 데 필수적입니다.

이 시나리오는 L2 비균일 연결을 갖춘 VMware Cloud Foundation(VCF) 확장 클러스터를 설계하고, 네트워킹에 NSX(VCF의 핵심 구성 요소)를 활용하는 것을 포함합니다. 공격자가 동적 글로벌 라우팅 테이블에 잘못된 경로를 삽입한 고객의 과거 사고는 라우팅 프로토콜의 보안 취약점을 시사합니다. NSX의 Tier-0 게이트웨이는 외부 연결 및 라우팅을 처리하며, 일반적으로 BGP(Border Gateway Protocol) 또는 OSPF(Open Shortest Path First)와 같은 동적 라우팅 프로토콜을 사용하여 외부 라우터와 경로를 교환합니다. 설계 결정은 무단 경로 삽입을 방지하여 라우팅 테이블의 무결성을 보장해야 합니다.
맥락 분석:
L2 비균일 연결성을 갖춘 확장 클러스터: VCF 5.2에서 확장 클러스터는 워크로드 VM에 대한 L2 연결을 통해 여러 가용 영역(AZ)에 걸쳐 있지만, Tier-0 게이트웨이 업링크는 외부 네트워크로의 L3 라우팅을 사용할 수 있습니다. "비균일"은 사이트 간 지연 시간이나 대역폭이 다를 수 있음을 의미하지만, 라우팅 보안 문제에 직접적인 영향을 미치지는 않습니다.
거짓 경로 주입: 이는 공격자가 라우팅 프로토콜의 인증이나 필터링 부족을 악용하여 승인되지 않은 경로 광고가 Tier-0 게이트웨이의 라우팅 테이블에 허용되도록 허용했다는 것을 의미합니다.
Tier-0 게이트웨이: NSX에서 Tier-0 게이트웨이는 외부 라우터(예: 랙 상단 스위치 또는 업스트림 라우터)와 피어링하고 BGP 및 OSPF와 같은 동적 라우팅 프로토콜을 지원하는 에지 구성 요소입니다.
NSX의 라우팅 보안:
NSX Tier-0 게이트웨이는 확장 클러스터와 같은 다중 사이트 구축 환경에서 확장성과 유연성을 제공하기 때문에 외부 연결에 일반적으로 BGP를 사용합니다. OSPF도 지원되지만 VCF 설계에서는 외부 피어링에 덜 일반적으로 사용됩니다.
경로 주입 공격은 인증 메커니즘이 누락된 경우가 많아, 승인되지 않은 장치가 검증 없이 경로를 광고할 때 발생합니다.
옵션 분석:
A). OSPF MD5 인증:
OSPF는 이웃 간 라우팅 업데이트 보안을 위해 MD5 인증을 지원합니다. 각 OSPF 메시지는 공유 비밀 키로 해시되어 신뢰할 수 있는 피어만 경로를 교환할 수 있도록 합니다. 이는 OSPF 프로토콜을 사용하는 경우 잘못된 경로 삽입을 방지합니다. 그러나 VCF 확장 클러스터 설계에서는 VMware Cloud Foundation 설계 가이드에 따라 BGP가 외부 네트워크로의 Tier-0 게이트웨이 업링크에 대한 기본 및 권장 프로토콜입니다. OSPF는 일반적으로 외부 피어링보다는 내부 NSX 라우팅(예: Tier-0 및 Tier-1 게이트웨이 간)에 사용됩니다. OSPF가 여기에 사용된다는 증거가 없고, 이러한 시나리오에서 BGP가 널리 사용된다는 점을 고려할 때, 이 옵션은 적용 가능성이 낮습니다.
B). ECMP를 사용한 게이트웨이 방화벽:
Tier-0 게이트웨이의 게이트웨이 방화벽은 경로가 아닌 트래픽을 필터링합니다. ECMP(Equal-Cost Multi-Path)는 여러 업링크에 걸쳐 부하 분산을 통해 대역폭을 향상시키지만, 라우팅 테이블 자체의 보안은 제공하지 않습니다. 방화벽은 악의적인 출처의 트래픽을 차단할 수 있지만, Tier-0 게이트웨이가 제어 플레인(라우팅 프로토콜)에서 잘못된 경로 알림을 수신하는 것을 막을 수는 없습니다. 경로 삽입은 데이터 플레인이 아닌 라우팅 프로토콜 수준에서 발생하므로 이 옵션은 근본적인 문제를 해결하지 못합니다. NSX 관리 가이드에서는 방화벽 규칙이 경로 검증이 아닌 패킷 전달에 적용된다고 명시하고 있으므로, 이는 잘못된 설명입니다.
C). 모든 트래픽에 대한 암묵적 거부:
게이트웨이 방화벽의 암묵적 거부 규칙은 명시적으로 허용되지 않은 모든 트래픽을 차단하여 데이터 플레인 트래픽의 보안을 강화합니다. 그러나 이 규칙은 제어 플레인, 특히 동적 라우팅 프로토콜이 잘못된 경로를 허용하지 못하도록 보호하지는 않습니다. 라우팅 테이블이 패킷 전송 위치를 결정하기 때문에 경로 삽입은 트래픽 필터링보다 먼저 발생합니다. VMware Cloud Foundation 5.2 설명서에서는 라우팅 보안을 위해서는 방화벽 규칙뿐만 아니라 프로토콜별 조치가 필요하다고 강조합니다. 이 옵션은 설명된 공격을 차단하지 못하며, 이는 잘못된 설명입니다.
D). BGP 피어 비밀번호:
BGP는 피어 비밀번호(NSX에서는 MD5 기반)를 통한 인증을 지원합니다. Tier-0 게이트웨이와 외부 피어(예: 물리적 라우터) 간의 각 BGP 세션은 공유 비밀번호를 사용합니다. 이를 통해 인증된 피어만 경로를 알릴 수 있으므로, 권한이 없는 장치가 동적 라우팅 테이블에 잘못된 경로를 삽입하는 것을 방지할 수 있습니다. VCF 5.2 확장 클러스터 구축에서 BGP는 다중 사이트 연결과 중복성을 위한 ECMP(ECMP)를 지원하므로 Tier-0 업링크의 표준 프로토콜입니다. NSX-T 데이터 센터 설계 가이드와 VCF 문서는 이러한 환경에서 라우팅 보안을 위해 BGP 인증을 권장하며, 고객의 과거 사고를 직접적으로 다루고 있습니다. 이는 가장 관련성 높고 효과적인 설계 결정입니다.
결론:
설계자는 Tier-0 게이트웨이의 설계 결정으로 BGP 피어 비밀번호(D)를 선택해야 합니다. 이렇게 하면 VCF 확장 클러스터에서 널리 사용되는 BGP 라우팅 프로토콜을 인증을 요구함으로써 잘못된 경로 삽입으로부터 보호할 수 있으며, 이는 시나리오의 보안 요구 사항 및 NSX 모범 사례에 부합합니다.
참고: VMware Cloud Foundation 5.2 설계 가이드(섹션: 확장 클러스터용 NSX 설계) VMware NSX-T Data Center 3.2 관리 가이드(섹션: Tier-0 게이트웨이 라우팅) VMware Cloud Foundation 5.2 계획 및 준비 워크북(섹션: 네트워킹 보안) 확장 클러스터용 VMware 검증 설계(섹션: 라우팅 보안)