threat defense 라우팅 테이블은 정적으로 정의된 경로, 직접 연결된 경로, 그리고 동적 라우팅 프로토콜에서 검색한 경로로 채울 수 있습니다. threat defense 디바이스는 라우팅 테이블에 고정 경로와 연결 경로를 가지는 것 외에도 여러 라우팅 프로토콜을 실행할 수 있기 때문에 같은 경로가 하나 이상의 방법으로 다시 발견되거나 입력될 수 있습니다. 같은 목적지로의 두 경로를 라우팅 테이블에 넣으면 라우팅 테이블에 유지되는 항목은 다음과 같이 결정됩니다.

• 두 경로의 네트워크 접두사 길이(네트워크 마스크)가 다르면 두 경로 모두 고유한 것으로 간주되어 라우팅 테이블에 입력됩니다. 그런 다음 패킷 전달 로직에서 둘 중 어느 것을 사용할지 결정합니다.

  예를 들어 RIP 및 OSPF 프로세스에서 다음 경로를 검색한 경우

  • RIP: 192.168.32.0/24

  • OSPF: 192.168.32.0/19

  비록 OSPF 경로의 관리 영역이 더 낫지만, 접두사 길이(서브넷 마스크)가 다르기 때문에 두 경로 모두 라우팅 테이블에 설치됩니다. 이들은 다른 목적지로 간주되며 패킷 전달 로직에서 사용할 경로를 결정합니다.

• threat defense 디바이스가 RIP와 같이 단일 라우팅 프로토콜에서 같은 대상으로의 여러 경로를 학습하는 경우 메트릭이 더 나은 경로(라우팅 프로토콜이 결정)가 라우팅 테이블에 입력됩니다.

  메트릭은 특정 경로와 연결되는 값이며, 선호도가 가장 높은 것부터 순위를 지정합니다. 메트릭을 결정하는 데 사용되는 매개변수는 라우팅 프로토콜에 따라 다릅니다. 가장 낮은 메트릭을 갖는 경로가 최적의 경로로 선택되고 라우팅 테이블에 설치됩니다. 동일한 목적지의 다중 경로가 메트릭 값이 같을 경우 이 동일 비용 경로에 대한 로드 밸런싱이 수행됩니다.

• threat defense 디바이스가 두 개 이상이 라우팅 프로토콜로부터 대상에 대해 학습하는 경우 경로의 AD(Administrative Distance)를 비교하고 AD가 짧은 경로가 라우팅 테이블에 입력됩니다.

포워딩 결정은 다음과 같이 이루어집니다.

• 목적지가 라우팅 테이블 내의 항목과 일치하지 않으면 패킷이 기본 경로에 지정된 인터페이스를 통해 포워딩됩니다. 기본 경로가 구성되지 않은 경우 패킷이 폐기됩니다.

• 목적지가 라우팅 테이블의 단일 항목과 일치하는 경우 패킷이 해당 경로와 연결된 인터페이스를 통해 포워딩됩니다.

• 목적지가 라우팅 테이블에 있는 두 개 이상의 항목과 일치하면 패킷은 네트워크 접두사가 더 긴 경로와 연결된 인터페이스를 통해 전달됩니다.

예를 들어 목적지가 192.168.32.1인 패킷은 라우팅 테이블의 다음 경로를 통해 인터페이스에 도착합니다.

• 192.168.32.0/24 게이트웨이 10.1.1.2

• 192.168.32.0/19 게이트웨이 10.1.1.3

이 경우 192.168.32.1이 192.168.32.0/24 네트워크 범위에 해당되기 때문에 목적지가 192.168.32.1인 패킷은 10.1.1.2로 전달됩니다. 이 주소는 라우팅 테이블 내 다른 경로에도 포함되지만, 라우팅 테이블의 다른 경로 접두사는 19비트인 데 비해 192.168.32.0/24의 접두사는 24비트이므로 이 경로의 접두사가 가장 깁니다. 패킷을 전달할 때는 항상 더 긴 접두사가 우선합니다.

참고	새로운 유사한 연결이 경로 변경으로 인해 다른 동작을 유발하는 경우에도 기존의 연결은 계속해서 설정된 인터페이스를 사용합니다.

가장 간단한 옵션은 트래픽을 라우팅해주는 라우터에 의존하여 모든 트래픽을 업스트림 라우터로 보내는 기본 정적 경로를 컨피그레이션하는 것입니다. 기본 고정 경로는 위협 방지 디바이스가 학습 경로나 고정 경로를 가지고 있지 않은 모든 IP 패킷을 보낼 게이트웨이 IP 주소를 식별합니다. 기본 정적 경로는 대상 IP 주소가 0.0.0.0/0(IPv4) 또는 ::/0(IPv6)인 정적 경로일 뿐입니다.

항상 기본 경로를 정의해야 합니다.

threat defense 디바이스에서는 데이터 트래픽 및 관리 트래픽에 대해 별도의 라우팅 테이블을 사용하므로 선택적으로 데이터 트래픽에 대한 기본 경로를 구성하고 관리 트래픽에 대한 또 다른 기본 경로를 구성할 수 있습니다. 디바이스에서 시작되는 트래픽에서는 유형에 따라 기본적으로 관리 전용 또는 데이터 라우팅 테이블 중 하나를 사용합니다. 그러나 경로를 찾을 수 없는 경우 다른 라우팅 테이블로 폴백됩니다. 기본 경로는 항상 트래픽과 일치하며 다른 라우팅 테이블로 대체되는 것을 방지합니다. 이 경우, 해당 인터페이스가 기본 라우팅 테이블에 없다면 이그레스 트래픽에 사용할 인터페이스를 지정해야 합니다. 진단 인터페이스는 관리 전용 테이블에 포함되어 있습니다. 특수 관리 인터페이스는 별도의 Linux 라우팅 테이블을 사용하며, 자체 기본 경로가 있습니다.

다음과 같은 경우, 고정 경로를 사용할 수 있습니다.

• 네트워크에서 지원하지 않는 라우터 검색 프로토콜을 사용합니다.

• 네트워크 규모가 작고 고정 경로를 쉽게 관리할 수 있습니다.

• 트래픽이나 CPU 오버헤드를 라우팅 프로토콜과 연결하지 않는 것이 좋습니다.

• 기본 경로만으로 충분하지 않을 때도 있습니다. 기본 게이트웨이가 목적지 네트워크에 도달할 수 없는 경우가 있기 때문에 보다 구체적인 고정 경로도 구성해야 합니다. 예를 들어 기본 게이트웨이가 밖에 있는 경우 기본 경로는 위협 방지 디바이스에 직접 연결되지 않은 내부 네트워크로 트래픽을 안내할 수 없습니다.

• 동적 라우팅 프로토콜을 지원하지 않는 기능을 사용 중입니다.

고정 경로의 문제 중 하나는 경로가 정상인지 다운되었는지 확인할 수 있는 내재적인 메커니즘이 없다는 것입니다. 다음 홉 게이트웨이를 사용할 수 없게 된다 해도 고정 경로는 라우팅 테이블에 남아 있습니다. 고정 경로는 연결된 인터페이스가 다운되는 경우에만 라우팅 테이블에서 제거됩니다.

SLA(Service Level Agreement) 모니터를 사용해 경로 추적을 실행함으로써 고정 경로의 가용성을 추적하고 기본 경로가 실패할 경우 백업 경로를 자동으로 설치할 수 있습니다. 예를 들어 기본 ISP를 사용할 수 없는 경우에 대비하여 ISP 게이트웨이로의 기본 경로와 보조 ISP로의 보조 기본 경로를 정의할 수 있습니다.

경로 추적을 사용하는 경우, 추적된 경로에 대상 네트워크의 대상 IP 주소를 연결합니다. 그러면 시스템에서는 ICMP 에코 요청을 사용하여 주기적으로 주소 연결 가능 여부를 확인합니다. 지정한 시간 내에 시스템에 에코 응답이 수신되지 않으면 호스트는 연결할 수 없는 것으로 간주되고, 시스템에서는 연결된 경로를 라우팅 테이블에서 제거합니다. 그러면 시스템에서는 메트릭이 높은 비추적 백업 경로를 제거된 경로 대신 사용할 수 있습니다.

따라서 기본 경로를 포함한 특정 대상에 대한 백업 고정 경로를 사용하려면 다음 작업을 수행해야 합니다.

1. 게이트웨이 또는 상시 가동 서버(예: 웹 서버 또는 syslog 서버) 등 대상 네트워크에서 신뢰할 수 있는 IP 주소를 모니터링하는 SLA 모니터를 생성합니다. 대상 네트워크가 정상 상태이고 사용 가능한 동안에는 오프라인 상태로 전환될 수 있는 시스템의 IP 주소를 모니터링하지 마십시오. SLA 모니터 개체 컨피그레이션를 참조하십시오.

2. 대상으로 연결되는 기본 경로를 생성하고 이 경로에 대해 SLA 모니터를 선택합니다. 이 경로에 대한 메트릭은 일반적으로 1이어야 합니다. 고정 경로 구성를 참조하십시오.

3. 기본 경로가 실패할 경우 사용할 백업 정적 경로를 생성합니다. 이 경로의 메트릭은 기본 경로보다 커야 합니다. 예를 들어 기본 경로가 1이면 백업 경로는 10일 수 있습니다. 또한 일반적으로 백업 경로에 대해 다른 인터페이스를 선택합니다.