단계 1

영업 가상 라우터에 할당할 디바이스의 내부 인터페이스(Gi0/1)를 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. Gi0/1 인터페이스를 수정합니다:

   • 이름 - 이 예의 경우 VR-Sales입니다.

   • 활성화 확인란을 선택합니다.

   • IPV4에서 IP 유형의 경우 Use Static IP(정적 IP 사용)를 선택합니다.

   • IP 주소 - 10.30.0.1/24를 입력합니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 2

창고 가상 라우터에 할당할 디바이스의 내부 인터페이스(Gi0/2)를 구성합니다:

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. Gi0/2 인터페이스를 수정합니다:

   • 이름 - 이 예의 경우 VR-Warehouse입니다.

   • 활성화 확인란을 선택합니다.

   • IPV4에서 IP 유형의 경우 Use Static IP(정적 IP 사용)를 선택합니다.

   • IP 주소 - 공백으로 둡니다. 아직 사용자 정의 가상 라우터를 생성하지 않았으므로 동일한 IP 주소(10.30.0.1/24)의 인터페이스를 구성할 수 없습니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 3

영업 및 창고 가상 라우터를 생성하고 해당 인터페이스를 할당합니다:

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택하고 threat defense 디바이스를 편집합니다.

2. Routing(라우팅) > Manage Virtual Routers(가상 라우터 관리)를 선택합니다.

3. Add Virtual Router(가상 라우터 추가)를 클릭하고 Sales(영업)를 생성합니다.

4. Add Virtual Router(가상 라우터 추가)를 클릭하고 Warehouse(창고)를 생성합니다.

5. Virtual Router Properties(가상 라우터 속성)의 가상 라우터 드롭다운에서 Sales(영업)를 선택하고 VR-Sales를 Selected Interface(선택된 인터페이스)로 추가하고 저장합니다.

6. Virtual Router Properties(가상 라우터 속성)의 가상 라우터 드롭다운에서 Warehouse(창고)를 선택하고 VR-Warehouse를 Selected Interface(선택된 인터페이스)로 추가하고 저장합니다.

단계 4

VR-Warehouse 인터페이스 컨피그레이션을 다시 확인합니다:

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. VR-Warehouse 인터페이스에 대해 Edit(편집)를 클릭합니다. IP 주소를 10.30.0.1/24로 지정합니다. 이제 시스템에서 VR-Sales의 동일한 IP 주소로 구성할 수 있습니다. 왜냐하면 인터페이스는 두 개의 서로 다른 가상 라우터에 별도로 할당되기 때문입니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 5

창고 서버용 네트워크 개체 생성-10.50.0.0/24 및 창고 게이트웨이에 대한 네트워크 개체 생성-10.40.0.2/30:

1. Objects(개체) > Object Management(개체 관리)를 선택합니다.

2. Add Network(네트워크 추가) > Add Object(개체 추가)를 선택합니다.

   • 이름-이 예시로는 Warehouse-Server가 있습니다.

   • 네트워크-Network(네트워크)를 클릭하고 10.50.0.0/24를 입력합니다.

3. Save(저장)를 클릭합니다.

4. Add Network(네트워크 추가) > Add Object(개체 추가)를 선택합니다.

   • 이름-이 예시로는 Warehouse-Gateway가 있습니다.

   • 네트워크)-Host를 클릭하고 10.40.0.2를 입력합니다.

5. Save(저장)를 클릭합니다.

단계 6

VR-Warehouse 인터페이스를 가리키는 영업의 경로 유출을 정의합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택하고 threat defense 디바이스를 편집합니다.

2. Routing(라우팅)을 선택합니다.

3. 드롭다운에서 영업 가상 라우터를 선택한 다음 Static Route(정적 경로)를 클릭합니다.

4. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • 인터페이스-VR-Warehouse를 선택합니다.

   • 네트워크 — Warehouse-Server 개체를 선택합니다.

   • 게이트웨이 — 이 항목은 비워둡니다. 다른 가상 라우터로 경로를 유출할 경우에는 게이트웨이를 선택하지 마십시오.

     

5. Ok(확인)를 클릭합니다.

6. Save(저장)를 클릭합니다.

단계 7

창고 가상 라우터에서 창고 라우터 2 게이트웨이를 가리키는 경로를 정의합니다:

1. 드롭다운에서 창고 가상 라우터를 선택한 다음 Static Route(정적 경로)를 클릭합니다.

2. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • 인터페이스-VR-Warehouse를 선택합니다.

   • 네트워크 — Warehouse-Server 개체를 선택합니다.

   • 게이트웨이 — Warehouse-Gateway 개체를 선택합니다.

     

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 8

창고 서버에 대한 액세스를 허용하는 액세스 컨트롤 규칙을 구성합니다. 액세스 컨트롤 규칙을 생성하려면 보안 영역을 생성해야 합니다. Object(개체) > Object Management(개체 관리) > Interface(인터페이스)를 사용합니다. Add(추가) > Security Zone(보안 영역)을 선택하고 VR-Sales와 VR-Warehouse에 대한 보안 영역을 생성합니다. Warehouse-Server 네트워크 개체의 경우, Warehouse-Server 인터페이스 그룹(Add(추가) > Interface Group(인터페이스 그룹) 선택)을 생성합니다.

단계 9

정책 > 액세스 컨트롤을 선택하고 액세스 컨트롤 규칙을 구성하여 영업 가상 라우터에 있는 소스 인터페이스의 트래픽을 대상 Warehouse-Server 네트워크 개체에 대한 창고 가상 라우터에 있는 대상 인터페이스로 전송할 수 있습니다.

예를 들어 영업 가상 라우터에 있는 인터페이스가 Sales-Zone 보안 영역에 있을 경우, 창고 가상 라우터에 있는 해당 인터페이스는 Warehouse-Zone 보안 영역에 존재하며 액세스 제어 규칙은 다음과 유사합니다.

단계 1

VR1에 대한 디바이스의 내부 인터페이스를 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. VR1에 할당할 인터페이스를 수정합니다.

   • Name(이름) - 이 예에서는 vr1-inside입니다.

   • 활성화 확인란을 선택합니다.

   • IPV4에서 IP 유형의 경우 Use Static IP(정적 IP 사용)를 선택합니다.

   • IP Address(IP 주소)-192.168.1.1/24를 입력합니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 2

VR2에 대한 디바이스의 내부 인터페이스를 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. VR2에 할당할 인터페이스를 수정합니다.

   • Name(이름) - 이 예에서는 vr2-inside입니다.

   • 활성화 확인란을 선택합니다.

   • IPV4에서 IP 유형의 경우 Use Static IP(정적 IP 사용)를 선택합니다.

   • IP 주소 - 공백으로 둡니다. 아직 사용자 정의 가상 라우터를 생성하지 않았으므로 동일한 IP 주소의 인터페이스를 구성할 수 없습니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 3

외부 인터페이스에 대한 정적 기본 경로 유출과 VR1을 구성합니다.

1. Device(디바이스) > Device Management(디바이스 관리)를 선택하고 FTD 디바이스를 수정합니다.

2. Routing(라우팅) > Manage Virtual Routers(가상 라우터 관리)를 선택합니다. Add Virtual Router(가상 라우터 추가)를 클릭하고 VR1을 생성합니다.

3. VR1의 경우 Virtual Router Properties(가상 라우터 속성)에서 vr1-inside를 할당하고 저장합니다.

4. Static Route(정적 경로)를 클릭합니다.

5. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - 전역 라우터의 외부 인터페이스를 선택합니다.

   • Networks(네트워크) — any-ipv4 개체를 선택합니다. 이 네트워크가 VR1 내에서 라우팅될 수 없는 모든 트래픽에 대한 기본 경로가 됩니다.

   • Gateway(게이트웨이) — 이 항목은 비워둡니다. 다른 가상 라우터로 경로를 유출할 경우에는 게이트웨이를 제공하지 마십시오.

     

6. Ok(확인)를 클릭합니다.

7. Save(저장)를 클릭합니다.

단계 4

외부 인터페이스에 대한 정적 기본 경로 유출과 VR2을 구성합니다.

1. Device(디바이스) > Device Management(디바이스 관리)를 선택하고 FTD 디바이스를 수정합니다.

2. Routing(라우팅) > Manage Virtual Routers(가상 라우터 관리)를 선택합니다. Add Virtual Router(가상 라우터 추가)를 클릭하고 VR2를 생성합니다.

3. VR2의 경우 Virtual Router Properties(가상 라우터 속성)에서 vr2-inside를 할당하고 저장합니다.

4. Static Route(정적 경로)를 클릭합니다.

5. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - 전역 라우터의 외부 인터페이스를 선택합니다.

   • Networks(네트워크) — any-ipv4 개체를 선택합니다. 이 네트워크가 VR2 내에서 라우팅될 수 없는 모든 트래픽에 대한 기본 경로가 됩니다.

   • Gateway(게이트웨이) — 이 항목은 비워둡니다. 다른 가상 라우터로 경로를 유출할 경우에는 게이트웨이를 선택하지 마십시오.

     

6. Ok(확인)를 클릭합니다.

7. Save(저장)를 클릭합니다.

단계 5

전역 라우터의 외부 인터페이스에서 IPv4 고정 기본 경로(즉, 172.16.1.2)를 구성합니다.

1. Device(디바이스) > Device Management(디바이스 관리)를 선택하고 FTD 디바이스를 수정합니다.

2. Routing(라우팅)을 선택하고 전역 라우터 속성을 수정합니다.

3. Static Route(정적 경로)를 클릭합니다.

4. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - 전역 라우터의 외부 인터페이스를 선택합니다.

   • Networks(네트워크) — any-ipv4 개체를 선택합니다. 이 경로가 모든 IPv4 트래픽에 대한 기본 경로가 됩니다.

   • Gateway(게이트웨이)-이미 생성된 경우 드롭 다운에서 호스트 이름을 선택합니다. 개체가 아직 생성되지 않았다면 Add(추가)를 클릭한 다음 외부 인터페이스에서 네트워크 링크의 다른 끝에 있는 게이트웨이의 IP 주소(이 예에서는 172.16.1.2)에 대한 호스트 개체를 정의합니다. 개체를 생성한 후 게이트웨이 필드에서 해당 개체를 선택합니다.

     

5. Ok(확인)를 클릭합니다.

6. Save(저장)를 클릭합니다.

단계 6

vr2-inside 인터페이스 구성을 다시 확인합니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. vr2-inside 인터페이스에 대해 Edit(편집)를 클릭합니다. IP 주소를 192.168.1.1/24로 지정합니다. 이제 시스템에서 vr1-inside의 동일한 IP 주소로 구성할 수 있습니다. 왜냐하면 인터페이스는 두 개의 서로 다른 가상 라우터에 별도로 할당되기 때문입니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 7

VR1의 외부 트래픽이 10.100.10.1로 향하도록 PAT inside에 대한 NAT 규칙을 생성합니다.

1. Devices(디바이스) > NAT를 선택합니다.

2. New Policy(새 정책) > Threat Defense NAT를 클릭합니다.

3. NAT 정책 이름으로 InsideOutsideNATRule을 입력하고 FTD 디바이스를 선택합니다. Save(저장)를 클릭합니다.

4. InsideOutsideNATRule 페이지에서 Add Rule(규칙 추가)을 클릭하고 다음을 정의합니다.

   • NAT Rule(NAT 규칙) - Manual NAT Rule(수동 NAT 규칙)을 선택합니다.

   • Type(유형) - Dynamic(동적)을 선택합니다.

   • Insert(삽입)-동적 NAT 규칙이 있는 경우 위의 내용을 입력합니다.

   • Enable(활성화)을 클릭합니다.

   • Interface Objects(인터페이스 개체)에서 vr1-interface object(vr1-인터페이스 개체)를 선택하고 Add to Source(소스에 추가) 를 클릭합니다(개체를 사용할 수없는 경우, Object(개체) > Object Management(개체 관리) > Interface(인터페이스)에서 하나를 생성). outside(외부)를 Add to Destination(대상에 추가)로 선택합니다.

   • Translation(변환)에서 Original Source(원본 소스)로 any-ipv4를 선택합니다. Translated Source(변환된 소스)에서 Add(추가)를 클릭하고 호스트 개체 VR1-PAT-Pool을 10.100.10.1로 정의합니다. 아래 그림과 같이 VR1-PAT-Pool을 선택합니다.

     

5. Ok(확인)를 클릭합니다.

6. Save(저장)를 클릭합니다.

단계 8

VR2의 외부 트래픽이 10.100.10.2로 향하도록 PAT inside에 대한 NAT 규칙을 추가합니다.

1. Devices(디바이스) > NAT를 선택합니다.

2. InsideOutsideNATRule을 수정하여 VR2 NAT 규칙을 정의합니다.

   • NAT Rule(NAT 규칙) - Manual NAT Rule(수동 NAT 규칙)을 선택합니다.

   • Type(유형) - Dynamic(동적)을 선택합니다.

   • Insert(삽입)-동적 NAT 규칙이 있는 경우 위의 내용을 입력합니다.

   • Enable(활성화)을 클릭합니다.

   • Interface Objects(인터페이스 개체)에서 vr2-interface object(vr2-인터페이스 개체)를 선택하고 Add to Source(소스에 추가)를 클릭합니다(개체를 사용할 수없는 경우, Object(개체) > Object Management(개체 관리) > Interface(인터페이스)에서 하나를 생성). outside(외부)를 Add to Destination(대상에 추가)로 선택합니다.

   • Translation(변환)에서 Original Source(원본 소스)로 any-ipv4를 선택합니다. Translated Source(변환된 소스)에서 Add(추가)를 클릭하고 호스트 개체 VR2-PAT-Pool을 10.100.10.2로 정의합니다. 아래 그림과 같이 VR2-PAT-Pool을 선택합니다.

     

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 9

vr1-inside 및 vr2-inside 인터페이스에서 외부 인터페이스로 향하는 트래픽을 허용하는 액세스 제어 정책을 구성하려면 보안 영역을 생성해야 합니다. Object(개체) > Object Management(개체 관리) > Interface(인터페이스)를 사용합니다. Add(추가) > Security Zone(보안 영역)을 선택하고 vr1-inside, vr2-inside 및 외부 인터페이스에 대한 보안 영역을 생성합니다.

단계 10

Policies(정책) > Access Control(액세스 제어)을 선택하고, 트래픽이 vr1-inside-zone 및 vr2- inside-zone에서 outside_zone으로 향하도록 허용하는 액세스 제어 규칙을 구성합니다.

인터페이스의 이름을 딴 영역을 생성한다고 가정할 경우, 모든 트래픽이 인터넷으로 흐르도록 허용하는 기본 규칙은 다음과 같습니다. 이 액세스 제어 정책에 다른 매개 변수를 적용할 수 있습니다.

단계 1

전역 가상 라우터에서 사용자 정의 VR1으로의 경로 유출을 설정합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택하고 threat defense 디바이스를 편집합니다.

2. Routing(라우팅)을 클릭합니다. 기본적으로 Global routing properties(전역 라우팅 속성) 페이지가 나타납니다.

3. Static Route(정적 경로)를 클릭합니다.

4. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - VR1 내부 인터페이스를 선택합니다.

   • Network(네트워크) - VR1 가상 라우터 네트워크 개체를 선택합니다. Add Object(개체 추가) 옵션을 사용하여 생성할 수 있습니다.

   • 게이트웨이 — 이 항목은 비워둡니다. 다른 가상 라우터로 경로를 유출할 경우에는 게이트웨이를 선택하지 마십시오.

     

   경로 누출을 사용하면 VPN 풀에서 Secure Client 할당 IP 주소로 VR1 가상 라우터에서 192.168.1.0/24 네트워크에 액세스할 수 있습니다.

5. Ok(확인)를 클릭합니다.

단계 2

VR1에서 전역 가상 라우터로의 경로 유출을 설정합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택하고 threat defense 디바이스를 편집합니다.

2. Routing(라우팅)을 클릭하고 드롭다운에서 VR1을 선택합니다.

3. Static Route(정적 경로)를 클릭합니다.

4. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - 전역 라우터의 외부 인터페이스를 선택합니다.

   • Network(네트워크) - 전역 가상 라우터 네트워크 개체를 선택합니다.

   • 게이트웨이 — 이 항목은 비워둡니다. 다른 가상 라우터로 경로를 유출할 경우에는 게이트웨이를 선택하지 마십시오.

     

   구성된 정적 경로를 사용하면 192.168.1.0/24 네트워크(VR1)의 엔드포인트가 VPN 풀에서 Secure Client 할당 IP 주소에 대한 연결을 시작할 수 있습니다.

5. Ok(확인)를 클릭합니다.

단계 1

전역 가상 라우터에서 사용자 정의 VR1으로의 경로 유출을 설정합니다.

1. Device(디바이스) > Device Management(디바이스 관리)를 선택하고 FTD 디바이스를 수정합니다.

2. Routing(라우팅)을 클릭합니다. 기본적으로 Global routing properties(전역 라우팅 속성) 페이지가 나타납니다.

3. Static Route(정적 경로)를 클릭합니다.

4. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - VR1 내부 인터페이스를 선택합니다.

   • Network(네트워크) - VR1 가상 라우터 네트워크 개체를 선택합니다. Add Object(개체 추가) 옵션을 사용하여 생성할 수 있습니다.

   • 게이트웨이 — 이 항목은 비워둡니다. 다른 가상 라우터로 경로를 유출할 경우에는 게이트웨이를 선택하지 마십시오.

     

   이 경로 유출은 사이트 간 VPN의 외부(원격) 끝에서 보호하는 엔드포인트를 VR1 가상 라우터의 192.168.1.0/24 네트워크에 액세스하는 데 사용할 수 있습니다.

5. Ok(확인)를 클릭합니다.

단계 2

VR1에서 전역 가상 라우터로의 경로 유출을 설정합니다.

1. Device(디바이스) > Device Management(디바이스 관리)를 선택하고 FTD 디바이스를 수정합니다.

2. Routing(라우팅)을 클릭하고 드롭다운에서 VR1을 선택합니다.

3. Static Route(정적 경로)를 클릭합니다.

4. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - 전역 라우터의 외부 인터페이스를 선택합니다.

   • Network(네트워크) - 전역 가상 라우터 네트워크 개체를 선택합니다.

   • 게이트웨이 — 이 항목은 비워둡니다. 다른 가상 라우터로 경로를 유출할 경우에는 게이트웨이를 선택하지 마십시오.

     

   이 정적 경로를 사용하면 192.168.1.0/24 네트워크(VR1)의 엔드포인트에서 사이트 간 VPN 터널을 통과하는 연결을 시작할 수 있습니다. 이 예에서는 원격 엔드포인트에서 172.16.20.0/24 네트워크를 보호하고 있습니다.

5. Ok(확인)를 클릭합니다.

단계 3

사이트 간 VPN 연결 프로파일에 192.168.1.0/24 네트워크를 추가합니다.

1. Devices(디바이스) > VPN > Site To Site(사이트 간)를 선택하고 VPN 토폴로지를 편집합니다.

2. Endpoints(엔드포인트)에서 노드 A 엔드포인트를 편집합니다.

3. Edit Endpoint(엔드포인트 편집)의 Protected Networks(보호되는 네트워크) 필드에서 Add New Network Object(새 네트워크 개체 추가)를 클릭합니다.

4. 192.168.1.0 네트워크로 VR1 네트워크 개체를 추가합니다.

   

5. OK(확인)를 클릭하여 설정을 저장합니다.

단계 1

허브에서 동적 VTI 인터페이스를 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택하고 위협 방어 디바이스를 편집합니다.

2. Add Interfaces(인터페이스 추가) > Virtual Tunnel Interface(가상 터널 인터페이스)를 선택합니다.

3. Tunnel Type(터널 유형)을 Dynamic(동적)으로 선택합니다.

4. 인터페이스 이름을 DVTI1로 지정하고 동적 VTI에 대한 모든 매개변수를 구성합니다.

5. Save(저장)를 클릭합니다.

6. 1a ~ e 단계를 반복하여 허브, DVTI2에서 두 번째 동적 VTI를 구성합니다.

단계 2

스포크 1에서 정적 VTI를 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택하고 위협 방어 디바이스를 편집합니다.

2. Add Interfaces(인터페이스 추가) > Virtual Tunnel Interface(가상 터널 인터페이스)를 선택합니다.

3. Tunnel Type(터널 유형)을 Static(정적)으로 선택합니다.

4. 인터페이스 이름을 SVTI 스포크-1로 지정하고 정적 VTI에 대 한 모든 매개변수를 구성합니다.

5. Save(저장)를 클릭합니다.

6. 2a ~ e 단계를 반복하여 스포크 2: SVTI 스포크-2에서 정적 VTI를 구성합니다.

단계 3

허브와 SVTI 스포크 1 간에 경로 기반 사이트 간 VPN을 구성합니다.

1. Devices(디바이스) > Site To Site(사이트 간)를 선택하고 + Site To Site VPN(+ 사이트 간 VPN)을 클릭합니다.

2. Topology Name(토폴로지 이름) 필드에 VPN 토폴로지의 이름을 입력합니다.

3. Route Based (VTI)(경로 기반(VTI))를 선택하고 네트워크 토폴로지로 Hub and Spoke(허브 및 스포크)를 선택합니다.

4. Endpoint(엔드포인트) 탭을 클릭합니다.

5. 허브 및 스포크 (DVTI1 및 SVTI 스포크-1) 및 해당 라우팅 정책을 구성합니다.

6. 필요한 경우 VPN에 대한 IKE, IPsec 및 Advanced(고급) 옵션을 구성합니다.

7. Save(저장)를 클릭합니다.

8. 3a-g 단계를 반복하여 허브(DVTI2)와 SVTI 스포크 2 간에 두 번째 경로 기반 사이트 간 VPN 토폴로지를 구성합니다.

단계 4

가상 라우터 2개를 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택하고 위협 방어 디바이스를 편집합니다.

2. Routing(라우팅)을 클릭합니다.

3. Manage Virtual Routers(가상 라우터 관리)를 클릭합니다.

4. Add Virtual Router(가상 라우터 추가)를 클릭합니다.

   이름을 VRF 녹색으로 지정하고 가상 라우터에 대한 설명을 제공합니다.

5. 4a ~ d단계를 반복하여 VRF 빨간색을 구성합니다.

단계 5

가상 라우터에 모든 인터페이스를 할당합니다. 

1. 드롭다운 목록에서 가상 라우터를 선택합니다.

2. Virtual Router Properties(가상 라우터 속성) 페이지에서 Available Interfaces(사용 가능한 인터페이스) 상자 아래에 나열된 인터페이스를 선택합니다.

   다른 인터페이스와 함께 동적 VTI 인터페이스를 할당합니다.

3. Add(추가)를 클릭합니다.

단계 6

VRF 빨간색에 대해 5a~c단계를 반복합니다.

단계 7

가상 라우터에 대한 라우팅 정책을 구성합니다. 

1. 드롭다운 목록에서 가상 라우터를 선택합니다.

2. Static Route(정적 경로) 또는 동적 라우팅 프로토콜 중 하나를 클릭합니다.

3. 라우팅 매개변수를 구성합니다.

4. Save(저장)를 클릭합니다.

단계 1

호스트 A에서 호스트 B로의 트래픽을 처리할 NAT 규칙을 생성합니다. Devices(디바이스) > NAT를 선택합니다.

단계 2

New Policy(새 정책) > Threat Defense NAT를 클릭합니다.

단계 3

NAT 정책 이름을 입력하고 threat defense 디바이스를 선택합니다. Save(저장)를 클릭합니다.

단계 4

NAT 페이지에서 Add Rule(규칙 추가)을 클릭하고 다음을 정의합니다.

firepower(config-service-object-group)# show nat detail
Manual NAT Policies (Section 1)
1 (2001) to (3001) source static vrg-inside VRG-MAPPED-HOST destination static VRB-MAPPED-HOST vrb-inside
translate_hits = 0, untranslate_hits = 0
Source - Origin: 10.1.1.1/24, Translated: 20.1.1.1/24
Destination - Origin: 30.1.1.1/24, Translated: 10.1.1.1/24

단계 5

Ok(확인)를 클릭합니다.

단계 6

Save(저장)를 클릭합니다.

NAT 규칙은 다음과 같습니다.

구성을 구축할 때 경고 메시지가 나타납니다.

단계 1

Devices(디바이스) > Device Management(디바이스 관리)를 선택합니다. 필요한 디바이스를 편집합니다.

단계 2

Interfaces(인터페이스)에서 Add Interfaces(인터페이스 추가) > Bridge Group Interface(브리지 그룹 인터페이스)를 선택합니다.

1. 다음 BVI-G 세부 사항을 입력합니다.

   • Name(이름) - 이 예에서는 BVI-G입니다.

   • Bridge Group ID(브리지 그룹 ID) - 이 예에서는 1입니다.

   • Available Interface(사용 가능한 인터페이스) - 인터페이스를 선택합니다.

   • IPV4에서 IP 유형의 경우 Use Static IP(정적 IP 사용)를 선택합니다.

   • IP Address(IP 주소) - 10.10.10.5/24를 입력합니다.

   

2. Ok(확인)를 클릭합니다.

3. Save(저장)를 클릭합니다.

1. 다음 BVI-B 세부 정보를 입력합니다.

   • Name(이름) - 이 예에서는 BVI-B입니다.

   • Bridge Group ID(브리지 그룹 ID) - 이 예에서는 2입니다.

   • Available Interface(사용 가능한 인터페이스) - 하위 인터페이스를 선택합니다.

   • IPV4에서 IP 유형의 경우 Use Static IP(정적 IP 사용)를 선택합니다.

   • IP Address(IP 주소) - 시스템에서 두 인터페이스의 IP 주소 중복을 허용하지 않으므로 이 필드를 비워 두십시오. 브리지 그룹을 다시 방문하여 가상 라우터 아래에 정렬한 후 동일한 IP 주소를 제공할 수 있습니다.

   

2. Ok(확인)를 클릭합니다.

3. Save(저장)를 클릭합니다.

단계 3

VRG라고 하는 가상 라우터를 생성하고 네트워크로 BVI-G를 선택합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택합니다.

2. 디바이스를 편집하고 Routing(라우팅) > Manage Virtual Routers(가상 라우터 관리)를 선택합니다.

3. Add Virtual Router(가상 라우터 추가)를 클릭합니다. 가상 라우터의 이름을 입력하고 Ok(확인)를 클릭합니다.

4. Virtual Routing Properties(가상 라우터 속성)에서 BVI-G를 선택하고 Add(추가)를 클릭합니다.

   

5. Save(저장)를 클릭합니다.

단계 4

가상 라우터를 생성하고(VRB라고 함) 네트워크로 BVI-B를 선택합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택합니다.

2. 디바이스를 편집하고 Routing(라우팅) > Manage Virtual Routers(가상 라우터 관리)를 선택합니다.

3. Add Virtual Router(가상 라우터 추가)를 클릭합니다. 가상 라우터의 이름을 입력하고 Ok(확인)를 클릭합니다.

4. Virtual Routing Properties(가상 라우터 속성)에서 BVI-B를 선택하고 Add(추가)를 클릭합니다.

   

5. Save(저장)를 클릭합니다.

단계 5

BVI-B 설정을 다시 살펴봅니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. BVI-B 인터페이스에 대해 Edit(편집)을 클릭합니다. IP 주소를 10.10.10.5/24로 지정합니다. 인터페이스가 두 개의 서로 다른 가상 라우터에 별도로 할당되므로 이제 시스템에서 동일한 BVI-G IP 주소로 설정할 수 있습니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 1

VRG에 대해 디바이스의 내부 인터페이스를 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. VRG에 할당할 인터페이스를 편집합니다.

   • Name(이름) - 이 예에서는 VRG-inside입니다.

   • 활성화 확인란을 선택합니다.

   • IPV4에서 IP 유형의 경우 Use Static IP(정적 IP 사용)를 선택합니다.

   • IP Address(IP 주소)-192.168.1.1/24를 입력합니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 2

VRB에 대해 디바이스의 내부 인터페이스를 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. VRB에 할당할 인터페이스를 편집합니다.

   • Name(이름) - 이 예에서는 VRB-inside입니다.

   • 활성화 확인란을 선택합니다.

   • IPV4에서 IP 유형의 경우 Use Static IP(정적 IP 사용)를 선택합니다.

   • IP 주소 - 공백으로 둡니다. 아직 사용자 정의 가상 라우터를 생성하지 않았으므로 동일한 IP 주소(10.30.0.1/24)의 인터페이스를 구성하는 것을 시스템에서 허용하지 않습니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 3

VRG 사용자가 공통 서버 172.16.10.1에 액세스할 수 있도록 전역 라우터의 내부 인터페이스에 대한 VRG 및 고정 기본 경로 유출을 구성합니다.

1. Device(디바이스) > Device Management(디바이스 관리)를 선택하고 FTD 디바이스를 수정합니다.

2. Routing(라우팅) > Manage Virtual Routers(가상 라우터 관리)를 선택합니다. Add Virtual Router(가상 라우터 추가)를 클릭하고 VRG를 생성합니다.

3. VRG의 경우 Virtual Router Properties(가상 라우터 속성)에서 VRG-inside를 할당하고 저장합니다.

   

4. Static Route(정적 경로)를 클릭합니다.

5. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - 전역 라우터의 내부 인터페이스를 선택합니다.

   • Networks(네트워크) — any-ipv4 개체를 선택합니다.

   • Gateway(게이트웨이) — 이 항목은 비워둡니다. 다른 가상 라우터로 라우트를 유출할 경우에는 게이트웨이를 선택하지 마십시오.

6. Ok(확인)를 클릭합니다.

7. Save(저장)를 클릭합니다.

단계 4

VRB 사용자가 공유 서버 172.16.10.x에 액세스할 수 있도록 전역 라우터의 내부 인터페이스에 대한 고정 기본 경로 유출을 구성합니다.

1. Device(디바이스) > Device Management(디바이스 관리)를 선택하고 FTD 디바이스를 수정합니다.

2. Routing(라우팅) > Manage Virtual Routers(가상 라우터 관리)를 선택합니다. Add Virtual Router(가상 라우터 추가)를 클릭하고 VRB를 생성합니다.

3. VRB의 경우 Virtual Router Properties(가상 라우터 속성)에서 VRB-inside를 할당하고 저장합니다.

   

4. Static Route(정적 경로)를 클릭합니다.

5. Add Route(경로 추가)를 클릭합니다. Add Static Route Configuration(정적 경로 구성 추가)에서 다음을 지정합니다.

   • Interface(인터페이스) - 전역 라우터의 내부 인터페이스를 선택합니다.

   • Networks(네트워크) — any-ipv4 개체를 선택합니다.

   • Gateway(게이트웨이) — 이 항목은 비워둡니다. 다른 가상 라우터로 라우트를 유출할 경우에는 게이트웨이를 선택하지 마십시오.

6. Ok(확인)를 클릭합니다.

7. Save(저장)를 클릭합니다.

단계 5

VRB-inside 인터페이스 구성을 다시 확인합니다:

1. Devices(디바이스) > Device Management(디바이스 관리) > Interfaces(인터페이스)를 선택합니다.

2. VRB-inside 인터페이스에 대해 Edit(편집)를 클릭합니다. IP 주소를 192.168.1.1/24로 지정합니다. 이제 시스템에서 VRG-inside의 동일한 IP 주소로 구성할 수 있습니다. 왜냐하면 인터페이스는 두 개의 서로 다른 가상 라우터에 별도로 할당되기 때문입니다.

3. Ok(확인)를 클릭합니다.

4. Save(저장)를 클릭합니다.

단계 6

소스 개체 VRG 및 VRB에 대한 NAT 규칙을 추가합니다. Devices(디바이스) > NAT를 클릭합니다.

단계 7

New Policy(새 정책) > Threat Defense NAT를 클릭합니다.

단계 8

NAT 정책 이름을 입력하고 FTD 디바이스를 선택합니다. Save(저장)를 클릭합니다.

단계 9

NAT 페이지에서 Add Rule(규칙 추가)을 클릭하고 VRG에 대해 다음 소스 NAT를 정의합니다.

단계 10

Ok(확인)를 클릭합니다.

단계 11

NAT 페이지에서 Add Rule(규칙 추가)을 클릭하고 VRB에 대해 다음 소스 NAT를 정의합니다.

단계 12

Save(저장)를 클릭합니다.

NAT 규칙은 다음과 같습니다.

단계 13

각 VRG 및 VRB 사용자에 대해 FMC에 고유한 AD 서버 2개를 추가합니다. System(시스템) > Integration(통합) > Realms(영역)을 선택합니다.

단계 14

New Realm(새 영역)을 클릭하고 필드를 완료합니다. 필드에 대한 자세한 내용은 영역 필드의 내용을 참조하십시오.

단계 15

VRG 및 VRB 사용자의 액세스를 제어하려면 활성 디렉토리 2개를 정의합니다. 영역 디렉터리 및 동기화 필드 및 LDAP 영역 또는 Active Directory 영역 및 영역 디렉터리 생성의 내용을 참조하십시오.

단계 16

FMC에 ISE 추가—System(시스템) > Integration(통합) > Identity Sources(ID 소스)를 선택합니다.

단계 17

Identity Services Engine(ID 서비스 엔진)을 클릭하고 필드를 완료합니다. 필드에 대한 자세한 내용은 영역을 사용해 사용자 제어에 대한 ISE/ISE-PIC를 설정하는 방법의 내용을 참조하십시오.

단계 18

ID 정책 및 규칙을 생성한 다음 VRG 및 VRB에서 중복되는 사용자의 액세스를 제어하기 위한 액세스 제어 정책을 정의합니다.

단계 1

VR-W가 경로 대상으로 태그가 지정된 경로를 VR-S로 내보내도록 구성합니다.

1. Devices(디바이스) > Device Management(디바이스 관리)를 선택하고 디바이스를 편집한 다음 Routing(라우팅) 탭을 클릭합니다.

2. 가상 라우터 드롭다운에서 VR-W를 선택합니다.

3. BGP > IPv4 > Route Import/Export(경로 가져오기 내보내기)를 클릭합니다.

4. VR-W 경로를 VR-S로 유출하려면 경로 대상을 사용하여 경로에 태그를 지정하여 VR-W 경로를 경로 대상이 표시된 BGP 테이블로 내보내도록 합니다. Route Targets Export(경로 대상 내보내기) 필드에 200:200과 같은 값을 입력합니다. Add(추가)를 클릭합니다.

   

5. 가상 라우터 드롭다운에서 VR-S를 선택합니다.

6. BGP > IPv4 > Route Import/Export(경로 가져오기 내보내기)를 클릭합니다.

7. VR-W에서 유출된 경로를 수신하려면 (피어 또는 재배포된) BGP 테이블의 경로 대상으로 표시된 VR-W 경로를 가져오도록 Import Route Target (경로 대상 가져오기)을 구성합니다. Route Targets Import(경로 대상 가져오기) 필드에 VR-W, 200:200에 대해 구성한 것과 동일한 경로 대상 값을 입력합니다. Add(추가)를 클릭합니다.

   

단계 2

전역 가상 라우터로 경로를 내보내도록 VR-W를 구성합니다.

1. VR-W 경로를 전역 라우팅 테이블로 내보낼 수 있는 경로 맵을 생성해야 합니다. Objects(개체) > Object Management(개체 관리) > Route Map(경로 맵)을 선택합니다.

2. Add Route Map(경로 맵 추가)을 클릭하고 이름을 지정한 다음 Export-to-Global(글로벌로 내보내기)을 지정한 다음 Add(추가)를 클릭합니다.

3. Sequence Number(시퀀스 번호)(예: 1)를 지정하고 Redistribution(재배포) 드롭다운 목록에서 Allow(허용)를 선택합니다.

   

4. Save(저장)를 클릭합니다.

   이 예에서는 모든 VR-W 경로가 전역 라우팅 테이블로 유출됩니다. 따라서 경로 맵에 대해 일치 기준이 구성되지 않습니다.

5. 디바이스의 Routing(라우팅) 탭으로 이동하여 VR-W를 선택합니다. BGP > IPv4 > Route Import/Export(BGP IPv4 경로 가져오기/내보내기)를 클릭합니다.

6. Global Virtual Router Export Route Map(전역 가상 라우터 내보내기 경로 맵) 드롭다운 목록에서 Export-to-Global(전역으로 내보내기)을 선택합니다.

   

단계 3

VR-S의 Outside1 경로만 VR-W로 유출하려면 다음을 수행합니다.

1. 가상 라우터 드롭다운에서 VR-S를 선택합니다.

2. BGP > IPv4 > Route Import/Export(경로 가져오기 내보내기)를 클릭합니다.

3. VR-S 경로를 VR-W로 유출하려면 경로 대상을 사용하여 경로에 태그를 지정하여 VR-S 경로를 경로 대상이 표시된 BGP 테이블로 내보내도록 합니다. Route Targets Export(경로 대상 내보내기) 필드에 100:100과 같은 값을 입력합니다. Add(추가)를 클릭합니다.

4. 가상 라우터 드롭다운에서 VR-W를 선택하고 BGP > IPv4 > Route Import/Export(BGP IPv4 경로 가져오기/내보내기)를 선택합니다.

5. VR-S에서 유출된 경로를 수신하려면 (피어 또는 재배포된) BGP 테이블의 경로 대상으로 표시된 VR-S 경로를 가져오도록 Import Route Target (경로 대상 가져오기)을 구성합니다. Route Targets Import(경로 대상 가져오기) 필드에 VR-S 경로 대상 값 100:100을 입력합니다. Add(추가)를 클릭합니다.

6. 이제 VR-S의 Outside1 경로만 VR-W로 유출되도록 조건을 설정해야 합니다. Objects(개체) > Object Management(개체 관리) > Prefix List(접두사 목록) > IPv4 Prefix List(IPv4 접두사 목록)를 선택합니다.

7. Add IPv4 Prefix List(IPv4 접두사 목록 추가)를 클릭하고 이름을 VRS-Outside1-Only로 지정한 후 Add(추가)를 클릭합니다.

8. Sequence Number(시퀀스 번호)(예: 1)를 지정하고 Redistribution(재배포) 드롭다운 목록에서 Allow(허용)를 선택합니다.

9. VR-S Outside1 인터페이스의 IP 주소(처음 2개의 옥텟)를 입력합니다.

10. Save(저장)를 클릭합니다.

11. 접두사 목록이 있는 match 절을 사용하여 경로 맵을 생성합니다. Route Map(경로 맵)을 클릭합니다. Add Route Map(경로 맵 추가)을 클릭하고 Import-from-VRS라는 이름을 지정한 다음 Add(추가)를 클릭합니다.

12. Sequence Number(시퀀스 번호)(예: 1)를 지정하고 Redistribution(재배포) 드롭다운 목록에서 Allow(허용)를 선택합니다.

13. Match Clause(일치 절) 탭에서 IPv4를 클릭합니다. Address(주소) 탭에서 Prefix List(접두사 목록)를 클릭합니다.

14. Available IPv4 Prefix List(사용 가능한 IPv4 접두사 목록)에서 VRS-Outside1-Only를 선택하고 Add(추가)를 클릭합니다.

15. Save(저장)를 클릭합니다.

16. 디바이스의 Routing(라우팅) 탭으로 이동하여 VR-W를 선택합니다. BGP > IPv4 > Route Import/Export(BGP IPv4 경로 가져오기/내보내기)를 클릭합니다.

17. Global Virtual Router Import Route Map(전역 가상 라우터 경로 맵 가져오기) 드롭다운 목록에서 Import-from-VRS를 선택합니다.

    

단계 4

전역 가상 라우터의 외부 경로를 가져오도록 VR-S를 구성합니다.

1. Objects(개체) > Object Management(개체 관리) > Prefix List(접두사 목록) > IPv4 Prefix List(IPv4 접두사 목록)를 선택합니다.

2. Add IPv4 Prefix List(IPv4 접두사 목록 추가)를 클릭하고 이름을 Global-Outside-Only로 지정한 다음 Add(추가)를 클릭합니다.

3. Sequence Number(시퀀스 번호)(예: 1)를 지정하고 Redistribution(재배포) 드롭다운 목록에서 Allow(허용)를 선택합니다.

4. Global Outside 인터페이스의 IP 주소(처음 두 옥텟)를 입력합니다.

   

5. Save(저장)를 클릭합니다.

6. Route Map(경로 맵)을 클릭합니다. Add Route Map(경로 맵 추가)을 클릭하고 이름을 Import-from-Global로 지정한 다음 Add(추가)를 클릭합니다.

7. Sequence Number(시퀀스 번호)(예: 1)를 지정하고 Redistribution(재배포) 드롭다운 목록에서 Allow(허용)를 선택합니다.

8. Match Clause(일치 절) 탭에서 IPv4를 클릭합니다. Address(주소) 탭에서 Prefix List(접두사 목록)를 클릭합니다.

9. Available IPv4 Prefix List(사용 가능한 IPv4 접두사 목록) 아래에서 Global-Outside-Only를 선택하고 Add(추가)를 클릭합니다.

   

10. Save(저장)를 클릭합니다.

11. 디바이스의 Routing(라우팅) 탭으로 이동하여 VR-S를 선택합니다. BGP > IPv4 > Route Import/Export(BGP IPv4 경로 가져오기/내보내기)를 클릭합니다.

12. Global Virtual Router Import Route Map(전역 가상 라우터 경로 맵 가져오기) 드롭다운 목록에서 Import-from-Global을 선택합니다.

    

단계 5

Save(저장)하고 Deploy(구축)합니다.