Cisco Secure Firewall ASA Virtual 시작 가이드, 9.18

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

번역에 관하여

Cisco는 일부 지역에서 본 콘텐츠의 현지 언어 번역을 제공할 수 있습니다. 이러한 번역은 정보 제공의 목적으로만 제공되며, 불일치가 있는 경우 본 콘텐츠의 영어 버전이 우선합니다.

책 콘텐츠
이 책에서 일치하는 항목 찾기
제공되는 언어
Download Options

Book Title

Cisco Secure Firewall ASA Virtual 시작 가이드, 9.18

Chapter Title

Introduction to the Secure Firewall ASA Virtual

결과

업데이트:
2022년 10월 14일

장: Introduction to the Secure Firewall ASA Virtual

Secure Firewall ASA Virtual 소개

ASA 가상(Adaptive Security Appliance Virtual)은 전체 방화벽 기능을 가상화된 환경으로 가져와 데이터 센터 트래픽과 멀티테넌트 환경을 보호합니다.

ASDM 또는 CLI를 사용하여 ASA 가상를 관리하고 모니터링할 수 있습니다. 다른 관리 옵션을 사용할 수도 있습니다.

ASA 가상에 대한 라이선싱

ASA 가상에서는 Cisco Smart Software Licensing을 사용합니다. 자세한 내용은 Smart Software Licensing을 참조하십시오.


참고
ASA 가상에 스마트 라이센스를 설치해야 합니다. 라이센스를 설치할 때까지 예비 연결 테스트를 수행할 수 있도록 처리량이 100Kbps로 제한됩니다. 스마트 라이센스는 일반적인 운영에 필요합니다.

9.13(1)부터 모든 ASA 가상 라이선스는 지원되는 모든 ASA 가상 vCPU/메모리 구성에서 사용할 수 있습니다. 따라서 ASA 가상을 다양한 VM 리소스 사용 공간에서 구축할 수 있습니다. Secure Client 및 TLS 프록시에 대한 세션 제한은 모델 유형에 연결된 플랫폼 제한이 아니라 설치된 ASA 가상 플랫폼 엔타이틀먼트에 의해 결정됩니다.

지원되는 프라이빗 및 퍼블릭 구축 대상의 ASA 가상 라이선싱 엔타이틀먼트 및 리소스 사양에 대한 내용은 다음 섹션을 참조하십시오.

스마트 라이선스 엔타이틀먼트 정보

모든 ASA 가상 라이선스는 지원되는 ASA 가상 vCPU/메모리 설정에서 사용할 수 있습니다. 따라서 ASA 가상을 다양한 VM 리소스 사용 공간에서 실행할 수 있습니다. 또한 지원되는 AWS 및 Azure 인스턴스 유형의 수가 증가합니다. ASA 가상 머신을 구성할 때 지원되는 최대 vCPU 수는 16(ASAv100)이며, 지원되는 최대 메모리는 64GB RAM입니다.


중요사항

구축된 후에는 ASA 가상 인스턴스의 리소스 할당(메모리, CPU, 디스크 공간)을 변경할 수 없습니다. 어떤 이유로든 리소스 할당을 늘려야 한다면(예: 라이선스가 부여된 엔타이틀먼트를 ASAv30/2Gbps에서 ASAv50/10Gbps로 변경), 필요한 리소스를 이용해 새 인스턴스를 만들어야 합니다.

  • vCPUs - ASA 가상은 vCPU 1~16개를 지원합니다.

  • 메모리 - ASA 가상은 2GB~64GB의 RAM을 지원합니다.

  • 디스크 스토리지 - ASA 가상은 기본적으로 최대 8GB의 가상 디스크를 지원합니다. 디스크 크기를 8GB 이상으로 늘릴 수 없습니다. VM 리소스를 프로비저닝할 때는 이 사실을 유의하십시오.


중요사항

ASA 가상의 최소 메모리 요구 사항은 2GB입니다. 현재 ASA 가상이 2GB 미만의 메모리로 실행되는 경우에는 ASA 가상 머신의 메모리를 늘리지 않고는 이전 버전에서 9.13(1) 이상으로 업그레이드할 수 없습니다. 최신 버전의 새 ASA 가상 머신을 재구축할 수도 있습니다.

2개 이상의 vCPU로 ASA 가상을 구축할 경우 ASA 가상의 최소 메모리 요구 사항은 4GB입니다.

라이선스 기능에 대한 세션 제한

Secure Client 및 TLS Proxy의 세션 제한은 설치된 ASA 가상 플랫폼 엔타이틀먼트 계층에 따라 결정되고, 속도 제한기를 통해 적용됩니다. 다음 테이블에는 엔타이틀먼트 계층 및 속도 제한기에 따른 세션 제한이 요약되어 있습니다.

표 1. 엔타이틀먼트에 따른 ASA 가상 세션 제한

자격

Secure Client 프리미엄 피어

총 TLS 프록시 세션

레이트 리미터:

표준 계층, 100M

50

500

150 Mbps

표준 계층, 1G

250

500

1Gbps

표준 계층, 2G

750

1000

2Gbps

표준 계층, 10G

10,000

10,000

10Gbps

표준 계층, 20G

20,000

20,000

20Gbps

위 표에 나와 있는 것처럼, 엔타이틀먼트에 의해 부여된 세션 제한은 플랫폼의 세션 제한을 초과할 수 없습니다. 플랫폼 세션 제한은 ASA 가상에 프로비저닝된 메모리의 양을 기반으로 합니다. 최대 ASA 가상 머신 크기는 vCPU 8개와 64GB 메모리입니다.

표 2. 메모리 요구 사항에 따른 ASA 가상 세션 제한

프로비저닝된 메모리

Secure Client 프리미엄 피어

총 TLS 프록시 세션

2GB~7.9GB

250

500

8GB~15.9GB

750

1000

16GB~31.9 GB

10,000

10,000

32GB~64GB

20,000

20,000

플랫폼 제한

방화벽 연결, 동시 및 VLAN은 ASA 가상 메모리를 기반으로 하는 플랫폼 제한입니다.


참고

ASA 가상이 라이선스가 해제된 상태라면 방화벽 연결을 100으로 제한합니다. 엔타이틀먼트로 라이선스가 부여되면 연결에는 플랫폼 제한이 적용됩니다. ASA 가상의 최소 메모리 요구 사항은 2GB입니다.

표 3. 플랫폼 제한

ASA 가상 메모리

방화벽 연결, 동시

VLAN

2GB~7.9GB

100,000

50

8GB~15.9GB

500,000

200

16GB~31.9

2,000,000

1024

32GB~64GB

4,000,000

1024

ASA 가상 프라이빗 클라우드 엔타이틀먼트(VMware, KVM, Hyper-V)

지원되는 모든 ASA 가상 vCPU/메모리 구성에서 모든 ASA 가상 라이선스를 사용할 수 있으므로, 프라이빗 클라우드 환경(VMware, KVM, Hyper-V)에서 ASA 가상을 더 유연하게 구축할 수 있습니다.


참고

ASAv50 및 ASAv100은 HyperV에서 지원되지 않습니다.

Secure Client 및 TLS 프록시의 세션 제한은 설치된 ASA 가상 플랫폼 엔타이틀먼트 계층에 따라 결정되고, 속도 제한기를 통해 적용됩니다. 다음 표에는 적용된 속도 제한기를 이용해 프라이빗 클라우드 환경에 구축된 ASA 가상의 엔타이틀먼트를 기반으로 하는 세션 제한이 요약되어 있습니다.


참고

ASA 가상 세션 제한은 ASA 가상에 프로비저닝된 메모리의 양을 기반으로 합니다. 표 2를 참조하십시오.

표 4. VMware/KVM/HyperV 프라이빗 클라우드의 ASA 가상 - 엔타이틀먼트에 따른 라이선스 기능 제한

RAM(GB)

엔타이틀먼트 지원*

최소

최대

표준 계층, 100M

표준 계층, 1G

표준 계층, 2G

표준 계층, 10G

표준 계층, 20G

2

7.9

50/500/100M

250/500/1G

250/500/2G

250/500/10G

250/500/20G

8

15.9

50/500/100M

250/500/1G

750/1000/2G

750/1000/10G

750/1000/20G

16

31.9

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

10K/10K/20G

32

64

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

20K/20K/20G

*Secure Client 엔타이틀먼트/인스턴스당 세션/TLS 프록시 세션/속도 제한기

ASA 가상 퍼블릭 클라우드 엔타이틀먼트(AWS)

지원되는 모든 ASA 가상 vCPU/메모리 구성에서 모든 ASA 가상 라이선스를 사용할 수 있으므로, 다양한 AWS 인스턴스 유형에서 ASA 가상을 구축할 수 있습니다. Secure Client 및 TLS Proxy의 세션 제한은 설치된 ASA 가상 플랫폼 엔타이틀먼트 계층에 따라 결정되고, 속도 제한기를 통해 적용됩니다.

다음 표에는 AWS 인스턴스 유형을 위한 엔타이틀먼트 계층에 따른 세션 제한이 요약되어 있습니다. 지원되는 인스턴스의 AWS VM 차원(vCPU 및 메모리)에 대한 자세한 내용은 "AWS 클라우드에서의 ASA 가상 구축 정보"를 참조하십시오.

표 5. AWS의 ASA 가상 - 엔타이틀먼트 기준 라이선스 기능 제한

Instance

BYOL 엔타이틀먼트 지원*

PAYG**

표준 계층, 100M

표준 계층, 1G

표준 계층, 2G

표준 계층, 10G

c5.xlarge

50/500/100M

250/500/1G

750/1000/2G

750/1000/10G

750/1000

c5.2xlarge

50/500/100M

250/500/1G

750/1000/2G

10K/10K/10G

10K/10K

c4.large

50/500/100M

250/500/1G

250/500/2G

250/500/10G

250/500

c4.xlarge

50/500/100M

250/500/1G

250/500/2G

250/500/10G

250/500

c4.2xlarge

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

750/1000

c3.large

50/500/100M

250/500/1G

250/500/2G

250/500/10G

250/500

c3.xlarge

50/500/100M

250/500/1G

250/500/2G

250/500/10G

250/500

c3.2xlarge

50/500/100M

250/500/1G

750/1000/2G

10K/10K/10G

750/1000

m4.large

50/500/100M

250/500/1G

250/500/2G

250/500/10G

250/500

m4.xlarge

50/500/100M

250/500/1G

250/500/2G

250/500/10G

10K/10K

m4.2xlarge

50/500/100M

250/500/1G

750/1000/2G

10K/10K/10G

10,000/10,000

*Secure Client 엔타이틀먼트/인스턴스당 세션/TLS 프록시 세션/속도 제한기.

**Secure Client 세션 / TLS 프록시 세션. 속도 제한기는 PAYG 모드로는 사용하지 않습니다.

종량제(PAYG) 모드

다음 표에는 할당된 메모리를 기반으로 하는 시간당 청구(PAYG) 모드의 각 계층에 대한 Smart Licensing 엔타이틀먼트가 요약되어 있습니다.

표 6. AWS에서의 ASA 가상 - PAYG를 위한 스마트 라이선스 자격

RAM(GB)

시간당 청구 모드 엔타이틀먼트

2GB ~ 8GB 미만

표준 계층, 1G

8GB~16GB 미만

표준 계층, 2G

16GB~64GB

표준 계층, 10G

ASA 가상 퍼블릭 클라우드 엔타이틀먼트(Azure)

지원되는 모든 ASA 가상 vCPU/메모리 구성에서 모든 ASA 가상 라이선스를 사용할 수 있으므로, 다양한 Azure 인스턴스 유형에서 ASA 가상을 구축할 수 있습니다. Secure Client 및 TLS Proxy의 세션 제한은 설치된 ASA 가상 플랫폼 엔타이틀먼트 계층에 따라 결정되고, 속도 제한기를 통해 적용됩니다.

다음 표에는 Azure 인스턴스 유형을 위한 엔타이틀먼트 계층에 따른 세션 제한이 요약되어 있습니다. 지원되는 인스턴스의 Azure VM 차원(vCPU 및 메모리)에 대한 자세한 내용은 "Microsoft Azure Cloud 클라우드에서의 ASA 가상 구축 정보"를 참조하십시오.


참고

PAYG(종량과금제) 모드는 현재 Azure의 ASA 가상에서 지원되지 않습니다.

표 7. Azure의 ASA 가상 - 엔타이틀먼트 기준 라이선스 기능 제한

Instance

BYOL 엔타이틀먼트 지원*

표준 계층, 100M

표준 계층, 1G

표준 계층, 2G

표준 계층, 10G

표준 계층, 20G

D1, D1_v2DS1, DS1_v2

50/500/100M

250/500/1G

250/500/2G

250/500/10G

250/500/20G

D2, D2_v2, DS2, DS2_v2

50/500/100M

250/500/1G

250/500/2G

250/500/10G

250/500/20G

D3, D3_v2, DS3, DS3_v2

50/500/100M

250/500/1G

750/1000/2G

750/1000/10G

750/1000/20G

D4, D4_v2, DS4, DS4_v2

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

10K/10K/20G

D5, D5_v2, DS5, DS5_v2

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

10K/20K/20G

D2_v3

50/500/100M

250/500/1G

750/1000/2G

750/1000/10G

750/1000/20G

D4_v3

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

10K/10K/20G

D8_v3

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

10K/10K/20G

F4, F4s

50/500/100M

250/500/1G

750/1000/2G

750/1000/10G

750/1000/20G

F8, F8s

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

10K/20K/20G

F16, F16s

50/500/100M

250/500/1G

750/1000/2G

10,000/10,000/10G

10K/20K/20G

*Secure Client 엔타이틀먼트/인스턴스당 세션/TLS 프록시 세션/속도 제한기

지침 및 제한 사항

ASA 가상 방화벽 기능은 ASA 하드웨어 방화벽과 매우 유사하지만 다음과 같은 지침 및 제한 사항이 적용됩니다.

ASA 가상 (모든 엔타이틀먼트)에 대한 지침 및 제한 사항

Smart Licensing 지침

  • 지원되는 최대 vCPU 수는 8개입니다. 지원되는 최대 메모리는 64GB RAM입니다. 모든 ASA 가상 라이선스는 지원되는 ASA 가상 vCPU/메모리 설정에서 사용할 수 있습니다.

  • 라이선스 받은 기능 및 라이선스를 받지 않은 플랫폼 기능에 대한 세션 제한은 VM 메모리의 양을 기준으로 설정됩니다.

  • Secure Client 및 TLS 프록시의 세션 제한은 ASA 가상 플랫폼 엔타이틀먼트에 의해 결정됩니다. 세션 제한은 더 이상 ASA 가상 모델 유형(ASAv5/10/30/50/100)과 연관되지 않습니다.

  • 세션 제한에는 최소 메모리 요구 사항이 있습니다. VM 메모리가 최소 요구 사항보다 낮으면 세션 제한은 메모리 양에서 지원되는 최대 수를 기준으로 설정됩니다.

  • 기존 엔타이틀먼트는 변경되지 않습니다. 엔타이틀먼트 SKU 및 표시 이름에는 모델 번호(ASAv5/10/30/50/100)가 계속 포함됩니다.

  • 엔타이틀먼트는 속도 제한기를 통해 최대 처리량을 설정합니다.

  • 고객 주문 프로세스는 변경되지 않습니다.

디스크 스토리지

ASA 가상는 기본적으로 최대 8GB의 가상 디스크를 지원합니다. 디스크 크기를 8GB 이상으로 늘릴 수 없습니다. VM 리소스를 프로비저닝할 때는 이 사실을 유의하십시오.

컨텍스트 모드 지침

단일 컨텍스트 모드에서만 지원됩니다. 다중 상황 모드는 지원되지 않습니다.

고가용성을 위한 페일오버 지침

장애 조치 구축의 경우, 대기 유닛에 동일한 라이선스 엔타이틀먼트가 있는지 확인합니다. 예를 들어 두 유닛 모두 2Gbps 엔타이틀먼트가 있어야 합니다.


중요사항

ASA 가상을 이용해 고가용성 쌍을 만들 때는 동일한 순서로 각 ASA 가상에 데이터 인터페이스를 추가해야 합니다. 각 ASA 가상에 동일한 인터페이스를 추가했지만 순서가 다른 경우 ASA 가상 콘솔에서 오류가 나타날 수 있습니다. 페일오버 기능도 영향을 받을 수 있습니다.

지원되지 않는 ASA 기능

ASA 가상는 다음 ASA 기능을 지원하지 않습니다.

  • 클러스터링(KVM 및 VMware를 제외한 모든 엔타이틀먼트용)

  • 다중 컨텍스트 모드

  • 활성/활성 장애 조치

  • EtherChannel

  • AnyConnect Premium 라이센스 공유

제한 사항

  • ASA 가상은 x710 NIC용 1.9.5 i40en 호스트 드라이버와 호환되지 않습니다. 이전 또는 최신 드라이버 버전을 사용해야 합니다. (VMware만 해당)

1GB 엔타이틀먼트에 대한 지침 및 제한 사항

성능 지침

  • 9개 이상의 e1000 인터페이스가 구성된 1GB 플랫폼에서 점보 프레임을 예약하면 디바이스가 다시 로드될 수 있습니다. 점보 프레임 예약이 활성화된 상태라면 인터페이스 수를 8개 이하로 줄이십시오. 인터페이스의 정확한 수는 구성된 다른 기능의 작업에 필요한 메모리의 양에 따라 다르며, 8보다 적을 수 있습니다.

10GB 엔타이틀먼트에 대한 지침 및 제한 사항

성능 지침

제한 사항

  • 투명 모드는 지원되지 않습니다.

  • ASA 가상은 x710 NIC용 1.9.5 i40en 호스트 드라이버와 호환되지 않습니다. 이전 또는 최신 드라이버 버전을 사용해야 합니다. (VMware만 해당)

  • Hyper-V에서는 지원되지 않습니다.

20GB 엔타이틀먼트에 대한 지침 및 제한 사항

성능 지침

제한 사항

  • ASA 가상은 x710 NIC용 1.9.5 i40en 호스트 드라이버와 호환되지 않습니다. 이전 또는 최신 드라이버 버전을 사용해야 합니다. (VMware만 해당)

  • 투명 모드는 지원되지 않습니다.

  • AWS(Amazon Web Services) 및 Hyper-V에서는 지원되지 않습니다.

ASA 가상 인터페이스 및 가상 NIC

가상화 플랫폼의 게스트인 ASA 가상에서는 기본 물리적 플랫폼의 네트워크 인터페이스를 사용합니다. 각 ASA 가상 인터페이스는 가상 NIC(vNIC)에 매핑됩니다.

  • ASA 가상 인터페이스

  • 지원되는 vNIC

ASA 가상 인터페이스

ASA 가상에는 다음과 같은 기가비트 이더넷 인터페이스가 포함되어 있습니다.

  • 관리 0/0

    AWS 및 Azure의 경우 Management 0/0이 트래픽을 전달하는 "외부" 인터페이스일 수 있습니다.

  • GigabitEthernet 0/0에서 0/8까지 포함. GigabitEthernet 0/8은 ASA 가상를 장애 조치 쌍의 일부분으로 구축할 경우 장애 조치 링크에 사용됩니다.


    참고

    컨파그레이션 마이그레이션을 간소화하기 위해, VMXNET3 드라이버에서 사용할 수 있는 것과 같은 10 GigabitEthernet 인터페이스에는 GigabitEthernet이라는 레이블이 지정됩니다. 단순 식별 용도이며 실제 인터페이스 속도에는 영향을 주지 않습니다.

    ASA 가상에서는 E1000 드라이버를 1Gbps 링크로 사용하는 GigabitEthernet 인터페이스를 정의합니다. VMware는 더 이상 E1000 드라이버 사용을 권장하지 않습니다.

  • Hyper-V는 최대 8개의 인터페이스를 지원합니다. Management 0/0 및 GigabitEthernet 0/0 ~ 0/6입니다. GigabitEthernet 0/6를 장애 페일오버로 사용할 수 있습니다.

지원되는 vNIC

ASA 가상에서는 다음 vNIC를 지원합니다. 동일한 ASA 가상에서 e1000 및 vmxnet3 같은 vNIC를 혼합하는 것은 지원되지 않습니다.

표 8. 지원되는 vNic

vNIC 유형

Hypervisor 지원

ASA 가상 버전

참고

VMWare

KVM

vmxnet3

예

아니요

9.9(2) 이상

VMware 기본값

vmxnet3를 사용할 경우 LRO(Large Receive Offload)를 비활성화하여 TCP 성능 저하를 방지해야 합니다. VMware 및 VMXNET3에 대해 LRO 비활성화의 내용을 참조하십시오.

e1000

예

예

9.2(1) 이상

VMware에서는 권장하지 않습니다.

virtio

아니요

예

9.3(2.200) 이상

KVM 기본값

ixgbe-vf

예

예

9.8(1) 이상

AWS 기본값. SR-IOV 지원을 위한 ESXi 및 KVM.

i40e-vf

아니요

예

9.10(1) 이상

SR-IOV 지원을 위한 KVM.

VMware 및 VMXNET3에 대해 LRO 비활성화

LRO(Large Receive Offload)는 CPU 오버헤드를 줄여 고대역폭 네트워크 연결의 인바운드 처리량을 늘리는 기술입니다. 단일 스트림에서 여러 수신 패킷을 더 큰 버퍼로 집계한 다음 네트워킹 스택의 더 높은 곳으로 전달하기 때문에, 처리해야 하는 패킷 수가 줄어듭니다. 그러나 LRO는 네트워크 패킷 전달이 일관적이지 않고 혼잡한 네트워크에서 "버스트"되는 TCP 성능 문제을 유발할 수 있습니다.


중요사항

VMware는 기본적으로 LRO를 활성화하여 전체 처리량을 늘립니다. 따라서 이 플랫폼에서는 ASA 가상 구축에 대해 LRO를 비활성화해야 합니다.

ASA 가상 머신에서 LRO를 바로 비활성화할 수 있습니다. 컨피그레이션을 변경하기 전에 가상 머신의 전원을 끕니다.

  1. vSphere Web Client 인벤토리에서 ASA 가상 머신을 찾습니다.

    1. 가상 머신을 찾으려면 데이터 센터, 폴더, 클러스터, 리소스 풀 또는 호스트를 선택합니다.

    2. Related Objects(관련 개체) 탭을 클릭하고 Virtual Machines(가상 머신)를 클릭합니다.

  2. 가상 머신을 마우스 오른쪽 버튼으로 클릭하고 Edit Settings(설정 수정)를 선택합니다.

  3. VM Options(VM 옵션)를 클릭합니다.

  4. Advanced(고급)를 확장합니다.

  5. Configuration Parameters(컨피그레이션 매개변수) 아래에서 Edit Configuration(컨피그레이션 편집) 버튼을 클릭합니다.

  6. Add Parameter(매개변수 추가)를 클릭하고 LRO 매개변수의 이름과 값을 입력합니다.

    • Net.VmxnetSwLROSL | 0

    • Net.Vmxnet3SwLRO | 0

    • Net.Vmxnet3HwLRO | 0

    • Net.Vmxnet2SwLRO | 0

    • Net.Vmxnet2HwLRO | 0


    참고

    (선택 사항) LRO 매개변수가 있다면 값을 검사하고 필요에 따라 변경할 수 있습니다. 매개변수가 1이면 LRO가 활성화됩니다. 0이면 LRO가 비활성화됩니다.

  7. OK(확인)를 클릭하여 변경 사항을 저장하고 Configuration Parameters(컨피그레이션 매개변수) 대화상자를 닫습니다.

  8. Save(저장)를 클릭합니다.

자세한 내용은 다음 VMware 지원 문서를 참조하십시오.

ASA 가상 및 SR-IOV 인터페이스 프로비저닝

SR-IOV(단일 루트 I/O 가상화)를 사용하면 다양한 게스트 운영 체제를 실행하는 여러 VM이 호스트 서버 내에서 단일 PCIe 네트워크 어댑터를 공유할 수 있습니다. SR-IOV를 사용하면 VM이 네트워크 어댑터에서 또는 네트워크 어댑터로 직접 데이터를 이동할 수 있으며, 이때 하이버파이저를 우회하여 네트워크 처리량을 높이고 서버 CPU 부담을 낮춥니다. 최신 x86 서버 프로세서는 Intel VT-d 기술과 같은 칩셋 개선 사항이 포함되어 SR-IOV에서 요구하는 직접 메모리 전송 및 기타 작업을 용이하게 합니다.

SR-IOV 사양은 다음 두 가지 디바이스 유형을 정의합니다.

  • PF(물리적 기능) - 본질적으로 정적 NIC인 PF는 SR-IOV 기능을 포함하는 풀 PCIe 디바이스입니다. PF는 일반 PCIe 디바이스로 검색, 관리 및 구성됩니다. 단일 PF는 가상 기능(VF) 집합에 대한 관리 및 구성을 제공할 수 있습니다.

  • VF(가상 기능) - 동적 vNIC와 마찬가지로, VF는 데이터 이동에 필요한 리소스를 하나 이상 제공하는 풀 또는 경량 가상 PCIe 디바이스입니다. VF는 직접 관리되지는 않지만 PF에서 파생되어 관리됩니다. VM에 하나 이상의 VF를 할당할 수 있습니다.

SR-IOV는 PCI 표준을 개발하고 관리하기 위해 설립된 업계 조직인 PCI SIG(Peripheral Component Interconnect Special Interconnect Group)에서 정의하고 유지 관리합니다. SR-IOV에 대한 자세한 내용은 PCI-SIG SR-IOV 입문: SR-IOV 기술 소개를 참고하십시오.

ASA 가상에서 SR-IOV 인터페이스를 프로비저닝하려면 적절한 운영 체제 수준, 하드웨어 및 CPU, 어댑터 유형, 어댑터 설정 등을 계획해야 합니다.

SR-IOV 인터페이스에 대한 지침 및 제한 사항

ASA 가상 구축에 사용되는 구체적인 하드웨어는 크기 및 사용 요구 사항에 따라 달라질 수 있습니다. ASA 가상에 대한 라이선싱에서는 다양한 ASA 가상 플랫폼에 대한 라이선스 자격과 일치하는 규정 준수 리소스 시나리오에 대해 설명합니다. 또한 SR-IOV 가상 기능에는 특정 시스템 리소스가 필요합니다.

호스트 운영 체제 및 하이퍼바이저 지원

SR-IOV 지원 및 VF 드라이버는 다음에 사용할 수 있습니다.

  • Linux 2.6.30 커널 이상

SR-IOV 인터페이스를 이용하는 ASA 가상은 현재 다음 하이퍼바이저에서 지원됩니다.

  • VMware vSphere/ESXi

  • QEMU/KVM

  • AWS

하드웨어 플랫폼 지원


참고

지원되는 가상화 플랫폼을 실행할 수 있는 아무 서버 클래스 x86 CPU 디바이스에 ASA 가상을 구축해야 합니다.

이 섹션에서는 SR-IOV 인터페이스 관련 하드웨어 지침에 대해 설명합니다. 이러한 지침은 요구 사항이 아니라 지침이지만, 지침을 충족하지 않는 하드웨어를 사용하면 기능 문제가 발생하거나 성능이 저하될 수 있습니다.

SR-IOV를 지원하며 SR-IOV 지원 PCIe 어댑터를 장착한 서버가 필요합니다. 다음 하드웨어 고려 사항을 파악해야 합니다.

  • 사용 가능한 VF 수, 벤더 및 디바이스 간 차이를 포함한 SR-IOV NIC 기능.

  • 모든 PCIe 슬롯이 SR-IOV를 지원하지는 않습니다.

  • SR-IOV 지원 PCIe 슬롯에 다양한 기능이 있을 수 있습니다.


    참고
    시스템의 SR-IOV 지원 여부는 제조업체의 설명서를 참조하십시오.

  • VT-d 지원 칩셋, 마더보드 및 CPU의 경우, 가상화 지원 IOMMU 지원 하드웨어 페이지에서 정보를 찾을 수 있습니다. VT-d는 SR-IOV 시스템의 필수 BIOS 설정입니다.

  • VMware의 경우 온라인 호환성 가이드에서 SR-IOV 지원을 검색할 수 있습니다.

  • KVM의 경우에는 CPU 호환성을 확인할 수 있습니다. KVM의 ASA 가상에서는 x86 하드웨어만 지원합니다.


    참고
    Cisco에서는 ASA 가상을 UCS C-Series 랙 서버를 이용해 테스트했습니다. Cisco UCS-B 서버는 ixgbe-vf vNIC를 지원하지 않습니다.

지원되는 SR-IOV용 NIC

CPU

  • x86_64 멀티코어 CPU

    Intel 샌디브리지 이상(권장)


    참고
    ASA 가상은(는) Intel 브로드웰 CPU(E5-2699-v4) 2.3GHz에서 테스트를 완료했습니다.

  • 코어

    • CPU 소켓당 최소 8개의 물리적 코어

    • 8개 코어가 단일 소켓에 있어야 합니다.


    참고
    ASAv50 및 ASAv100에서 전체 처리량을 달성하려면 CPU 고정을 하는 것이 좋습니다. ESXi 컨피그레이션의 성능 향상 및 KVM 컨피그레이션의 성능 향상를 참조하십시오.

BIOS 설정

SR-IOV는 BIOS 및 하드웨어에서 실행 중인 운영 체제 인스턴스/하이퍼바이저에서의 지원을 필요로 합니다. 시스템 BIOS에서 다음 설정을 확인합니다.

  • SR-IOV가 활성화됨

  • VT-x(Virtualization Technology)가 활성화됨

  • VT-d가 활성화됨

  • (선택 사항) 하이퍼스레딩이 비활성화됨

시스템마다 BIOS 설정에 액세스하고 변경하는 방법이 다르므로, 벤더 설명서를 참조하여 프로세스를 확인하는 것이 좋습니다.

제한 사항

ixgbe-vf 인터페이스를 사용할 때는 다음 제한 사항에 유의해야 합니다.

  • 게스트 VM은 VF를 무차별 모드로 설정할 수 없습니다. 따라서 ixgbe-vf를 사용할 때는 투명 모드가 지원되지 않습니다.

  • 게스트 VM은 VF에서 MAC 주소를 설정할 수 없습니다. 따라서 MAC 주소는 다른 ASA 플랫폼에서나 다른 인터페이스 유형을 사용할 때처럼 HA 중에 전송되지는 않습니다. HA 페일오버는 IP 주소를 액티브에서 스탠바이로 전송하여 작동합니다.


    참고

    이 제한은 i40e-vf 인터페이스에도 적용됩니다.

  • Cisco UCS-B 서버는 ixgbe-vf vNIC를 지원하지 않습니다.

  • 페일오버 설정에서 페어링된 ASA 가상(기본 유닛)에 장애가 발생하면, 스탠바이 ASA 가상 유닛이 기본 유닛 역할을 수행하며 인터페이스 IP 주소는 스탠바이 ASA 가상 유닛의 새 MAC 주소로 업데이트됩니다. 그런 다음 ASA 가상은 동일한 네트워크의 다른 디바이스에 인터페이스 IP 주소의 MAC 주소 변경 사항을 알리기 위해 무료 ARP(Address Resolution Protocol) 업데이트를 전송합니다. 그러나 이러한 유형의 인터페이스와의 비호환성으로 인해, 인터페이스 IP 주소를 전역 IP 주소로 변환하기 위한 NAT 또는 PAT 명령문에 정의된 전역 IP 주소로 Gratuitous ARP 업데이트가 전송되지 않습니다.

이 문서가 도움이 되셨습니까?

Feedback피드백

지원 문의