검색

네트워킹 구성 및 관리

download PDF
Red Hat Enterprise Linux 9

네트워크 인터페이스 및 고급 네트워킹 기능 관리

Red Hat Customer Content Services

초록

RHEL(Red Hat Enterprise Linux)의 네트워킹 기능을 사용하여 조직의 네트워크 및 보안 요구 사항을 충족하도록 호스트를 구성할 수 있습니다. 예를 들면 다음과 같습니다.
  • 본딩, VLAN, 브리지, 터널 및 기타 네트워크 유형을 구성하여 호스트를 네트워크에 연결할 수 있습니다.
  • IPsec과 Wire>-<는 호스트와 네트워크간에 보안 VPN을 제공합니다.
  • RHEL은 정책 기반 라우팅 및 MPTCP(Multipath TCP)와 같은 고급 네트워킹 기능도 지원합니다.

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat은 코드, 문서, 웹 속성에서 문제가 있는 용어를 교체하기 위해 최선을 다하고 있습니다. 먼저 마스터(master), 슬레이브(slave), 블랙리스트(blacklist), 화이트리스트(whitelist) 등 네 가지 용어를 교체하고 있습니다. 이러한 변경 작업은 작업 범위가 크므로 향후 여러 릴리스에 걸쳐 점차 구현할 예정입니다. 자세한 내용은 CTO Chris Wright의 메시지를 참조하십시오.

Red Hat 문서에 관한 피드백 제공

문서 개선을 위한 의견에 감사드립니다. 어떻게 개선할 수 있는지 알려주십시오.

Jira를 통해 피드백 제출 (등록 필요)

  1. Jira 웹 사이트에 로그인합니다.
  2. 상단 탐색 모음에서 생성 을 클릭합니다.
  3. 요약 필드에 설명 제목을 입력합니다.
  4. 설명 필드에 개선을 위한 제안을 입력합니다. 문서의 관련 부분에 대한 링크를 포함합니다.
  5. 대화 상자 하단에서 생성 을 클릭합니다.

1장. 일관된 네트워크 인터페이스 이름 구현

udev 장치 관리자는 Red Hat Enterprise Linux에서 일관된 장치 이름을 구현합니다. 장치 관리자는 다양한 이름 지정 체계를 지원하며 기본적으로 펌웨어, 토폴로지 및 위치 정보를 기반으로 고정 이름을 할당합니다.

장치 이름을 일관되게 지정하지 않으면 Linux 커널은 고정 접두사와 인덱스를 결합하여 네트워크 인터페이스에 이름을 할당합니다. 커널이 네트워크 장치를 초기화할 때 인덱스가 증가합니다. 예를 들어 eth0 은 시작 시 프로브되는 첫 번째 이더넷 장치를 나타냅니다. 다른 네트워크 인터페이스 컨트롤러를 시스템에 추가하는 경우 재부팅 후 장치가 다른 순서로 초기화될 수 있으므로 커널 장치 이름 할당은 더 이상 수정되지 않습니다. 이 경우 커널은 장치의 이름을 다르게 지정할 수 있습니다.

이 문제를 해결하기 위해 udev 는 일관된 장치 이름을 할당합니다. 다음과 같은 이점이 있습니다.

  • 장치 이름은 재부팅 시 안정적입니다.
  • 하드웨어를 추가하거나 제거하는 경우에도 장치 이름은 고정됩니다.
  • 취약한 하드웨어는 원활하게 교체할 수 있습니다.
  • 네트워크 이름 지정은 상태 비저장이며 명시적 구성 파일이 필요하지 않습니다.
주의

일반적으로 Red Hat은 일관된 장치 이름이 비활성화된 시스템을 지원하지 않습니다. 예외에 대한 자세한 내용은 net.ifnames=0 솔루션을 설정하는 것이 안전합니다.

1.1. udev 장치 관리자의 네트워크 인터페이스 이름 변경 방법

네트워크 인터페이스에 대한 일관된 이름 지정 체계를 구현하기 위해 udev 장치 관리자는 다음 규칙 파일을 나열 순서대로 처리합니다.

  1. 선택 사항: /usr/lib/udev/rules.d/60-net.rules

    이 파일은 initscripts-rename-device 패키지를 설치하는 경우에만 존재합니다. /usr/lib/udev/rules.d/60-net.rules 파일은 더 이상 사용되지 않는 /usr/lib/udev/rename_device 도우미 유틸리티에서 /etc/sysconfig/network-scripts/ifcfg-* 파일에서 HWADDR 매개 변수를 검색하도록 정의합니다. 변수에 설정된 값이 인터페이스의 MAC 주소와 일치하는 경우 도우미 유틸리티는 인터페이스의 이름을 ifcfg 파일의 DEVICE 매개변수에 설정된 이름으로 바꿉니다.

    시스템이 NetworkManager 연결 프로필만 키 파일 형식으로 사용하는 경우 udev 는 이 단계를 건너뜁니다.

  2. Dell 시스템에서만: /usr/lib/udev/rules.d/71-biosdevname.rules

    이 파일은 biosdevname 패키지가 설치된 경우에만 존재하며 규칙 파일은 biosdevname 유틸리티에서 이전 단계에서 이름이 변경되지 않은 경우 이름 지정 정책에 따라 인터페이스 이름을 변경하도록 정의합니다.

    참고

    Dell 시스템에만 biosdevname 을 설치하고 사용합니다.

  3. /usr/lib/udev/rules.d/75-net-description.rules

    이 파일은 udev 가 네트워크 인터페이스를 검사하는 방법을 정의하고 udev-internal 변수에서 속성을 설정합니다. 그런 다음 이러한 변수는 /usr/lib/udev/rules.d/80-net-setup-link.rules 파일을 통해 다음 단계에서 처리됩니다. 일부 속성은 정의되지 않을 수 있습니다.

  4. /usr/lib/udev/rules.d/80-net-setup-link.rules

    이 파일은 udev 서비스의 빌드된 net_setup_link 를 호출하고 udev/usr/lib/systemd/network/99-default.link 파일의 NamePolicy 매개변수의 정책 순서에 따라 인터페이스의 이름을 바꿉니다. 자세한 내용은 네트워크 인터페이스 이름 지정 정책을 참조하십시오.

    정책이 적용되지 않으면 udev 는 인터페이스의 이름을 바꾸지 않습니다.

1.2. 네트워크 인터페이스 이름 지정 정책

기본적으로 udev 장치 관리자는 /usr/lib/systemd/network/99-default.link 파일을 사용하여 인터페이스 이름을 변경할 때 적용할 장치 이름 지정 정책을 결정합니다. 이 파일의 NamePolicy 매개변수는 udev 정책에서 사용하는 정책과 순서를 정의합니다.

NamePolicy=keep kernel database onboard slot path

다음 표에서는 NamePolicy 매개변수에서 지정한 대로 가장 먼저 일치하는 정책을 기반으로 udev 의 다양한 작업을 설명합니다.

정책설명이름 예

keep

장치에 이미 사용자 공간에 할당된 이름이 있는 경우 udev 는 이 장치의 이름을 바꾸지 않습니다. 예를 들어 장치 생성 중 또는 이름 변경 작업을 통해 이름이 할당된 경우입니다.

 

kernel

커널에서 장치 이름이 예측 가능함을 나타내는 경우 udev 는 이 장치의 이름을 바꾸지 않습니다.

lo

데이터베이스

이 정책은 udev 하드웨어 데이터베이스의 매핑에 따라 이름을 할당합니다. 자세한 내용은 hwdb(7) 도움말 페이지를 참조하십시오.

idrac

온보드

장치 이름은 온보드 장치에 대한 펌웨어 또는 BIOS 제공 인덱스 번호를 통합합니다.

eno1

slot

장치 이름은 펌웨어 또는 BIOS가 제공하는 PCI Express(PCIe) 핫 플러그 슬롯 인덱스 번호를 통합합니다.

ens1

path

장치 이름은 하드웨어의 커넥터의 물리적 위치를 통합합니다.

enp1s0

mac

장치 이름은 MAC 주소를 통합합니다. 기본적으로 Red Hat Enterprise Linux는 이 정책을 사용하지 않지만 관리자는 이를 활성화할 수 있습니다.

enx525400d5e0fb

1.3. 네트워크 인터페이스 이름 지정 체계

udev 장치 관리자는 장치 드라이버가 일관된 장치 이름을 생성하기 위해 제공하는 특정 안정적인 인터페이스 속성을 사용합니다.

새로운 udev 버전이 특정 인터페이스에 대한 이름을 생성하는 방법을 변경하는 경우 Red Hat은 새 스키마 버전을 추가하고 systemd.net-naming-scheme(7) 도움말 페이지의 세부 정보를 문서화합니다. 기본적으로 RHEL(Red Hat Enterprise Linux) 9는 RHEL의 최신 마이너 버전을 설치하거나 업데이트하더라도 rhel-9.0 이름 지정 체계를 사용합니다.

새 드라이버가 네트워크 인터페이스에 대한 추가 또는 기타 속성을 제공하지 못하도록 rhel-net-naming-sysattrs 패키지에서 /usr/lib/udev/hwdb.d/50-net-naming-sysattr-allowlist.hwdb 데이터베이스를 제공합니다. 이 데이터베이스는 udev 서비스가 네트워크 인터페이스 이름을 생성하는 데 사용할 수 있는 sysfs 값을 정의합니다. 데이터베이스의 항목도 버전이 지정되고 스키마 버전의 영향을 받습니다.

참고

RHEL 9.4 이상에서는 모든 rhel-8.* 이름 지정 스키마를 사용할 수도 있습니다.

기본값 이외의 스키마를 사용하려면 네트워크 인터페이스 이름 지정 스키마를 전환할 수 있습니다.

다양한 장치 유형 및 플랫폼의 이름 지정 체계에 대한 자세한 내용은 systemd.net-naming-scheme(7) 매뉴얼 페이지를 참조하십시오.

1.4. 다른 네트워크 인터페이스 이름 지정 체계로 전환

기본적으로 RHEL(Red Hat Enterprise Linux) 9는 RHEL의 최신 마이너 버전을 설치하거나 업데이트하더라도 rhel-9.0 이름 지정 체계를 사용합니다. 기본 이름 지정 스키마는 대부분의 시나리오에 적합하지만 다른 스키마 버전으로 전환해야 하는 이유가 있을 수 있습니다. 예를 들면 다음과 같습니다.

  • 새로운 체계는 슬롯 번호와 같은 추가 속성을 인터페이스 이름에 추가하는 경우 장치를 더 잘 식별하는 데 도움이 될 수 있습니다.
  • 새로운 체계는 udev 가 커널 할당 장치 이름(eth*)으로 대체되지 않도록 할 수 있습니다. 이는 드라이버에서 두 개 이상의 인터페이스에 고유한 특성을 제공하지 않는 경우 고유 이름을 생성하는 경우에 발생합니다.

사전 요구 사항

  • 서버의 콘솔에 액세스할 수 있습니다.

절차

  1. 네트워크 인터페이스를 나열합니다.

    # ip link show
    2: eno1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...

    인터페이스의 MAC 주소를 기록합니다.

  2. 선택 사항: 네트워크 인터페이스의 ID_NET_NAMING_SCHEME 속성을 표시하여 RHEL에서 현재 사용하는 이름 지정 스키마를 식별합니다.

    # udevadm info --query=property --property=ID_NET_NAMING_SCHEME /sys/class/net/eno1'
    ID_NET_NAMING_SCHEME=rhel-9.0

    이 속성은 lo 루프백 장치에서 사용할 수 없습니다.

  3. net.naming-scheme= <scheme > 옵션을 설치된 모든 커널의 명령줄에 추가합니다. 예를 들면 다음과 같습니다.

    # grubby --update-kernel=ALL --args=net.naming-scheme=rhel-9.4
  4. 시스템을 재부팅합니다.

    # reboot
  5. 기록한 MAC 주소에 따라 다른 이름 지정 체계로 인해 변경된 네트워크 인터페이스의 새 이름을 확인합니다.

    # ip link show
    2: eno1np0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...

    스키마를 전환한 후 이 예제의 udev 이름은 MAC 주소가 00:00:5e:00:53:1a eno1np0 인 장치이며 이전에 eno1 이라는 이름이 지정되었습니다.

  6. 이전 이름의 인터페이스를 사용하는 NetworkManager 연결 프로필을 식별합니다.

    # nmcli -f device,name connection show
    DEVICE  NAME
    eno1  example_profile
    ...
  7. 연결 프로필의 connection.interface-name 속성을 새 인터페이스 이름으로 설정합니다.

    # nmcli connection modify example_profile connection.interface-name "eno1np0"
  8. 연결 프로필을 다시 활성화합니다.

    # nmcli connection up example_profile

검증

  • 네트워크 인터페이스의 ID_NET_NAMING_SCHEME 속성을 표시하여 RHEL에서 사용하는 이름 지정 체계를 식별합니다.

    # udevadm info --query=property --property=ID_NET_NAMING_SCHEME /sys/class/net/eno1np0'
    ID_NET_NAMING_SCHEME=_rhel-9.4

1.5. 설치 중에 이더넷 인터페이스의 접두사 사용자 정의

이더넷 인터페이스에 기본 device-naming 정책을 사용하지 않으려면 RHEL(Red Hat Enterprise Linux) 설치 중에 사용자 지정 장치 접두사를 설정할 수 있습니다.

중요

Red Hat은 RHEL 설치 중에 접두사를 설정하는 경우에만 사용자 지정된 이더넷 접두사가 있는 시스템을 지원합니다. 이미 배포된 시스템에서 prefixdevname 유틸리티를 사용하는 것은 지원되지 않습니다.

설치 중에 장치 접두사를 설정하면 udev 서비스는 설치 후 이더넷 인터페이스에 < prefix><index > 형식을 사용합니다. 예를 들어 접두사 net 을 설정하면 서비스에서 net0 이름,net1 등을 이더넷 인터페이스에 할당합니다.

udev 서비스는 사용자 지정 접두사에 인덱스를 추가하고 알려진 이더넷 인터페이스의 인덱스 값을 유지합니다. 인터페이스를 추가하면 udev 에서 이전에 할당한 인덱스 값보다 큰 인덱스 값을 새 인터페이스에 할당합니다.

사전 요구 사항

  • 접두사는 ASCII 문자로 구성됩니다.
  • 접두사는 영숫자 문자열입니다.
  • 접두사는 16자보다 짧습니다.
  • 접두사는 eth,eno,ensem 과 같은 잘 알려진 다른 네트워크 인터페이스 접두사와 충돌하지 않습니다.

절차

  1. Red Hat Enterprise Linux 설치 미디어를 부팅합니다.
  2. 부팅 관리자에서 다음 단계를 수행합니다.

    1. Install Red Hat Enterprise Linux < version> 항목을 선택합니다.
    2. Tab 을 눌러 항목을 편집합니다.
    3. 커널 옵션에 net.ifnames.prefix= &lt;prefix >를 추가합니다.
    4. Enter 를 눌러 설치 프로그램을 시작합니다.
  3. Red Hat Enterprise Linux 설치.

검증

  • 인터페이스 이름을 확인하려면 네트워크 인터페이스를 표시합니다.

    # ip link show
    ...
    2: net0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...

추가 리소스

1.6. udev 규칙을 사용하여 사용자 정의 네트워크 인터페이스 이름 구성

udev 규칙을 사용하여 조직의 요구 사항을 반영하는 사용자 지정 네트워크 인터페이스 이름을 구현할 수 있습니다.

절차

  1. 이름을 변경할 네트워크 인터페이스를 확인합니다.

    # ip link show
    ...
    enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...

    인터페이스의 MAC 주소를 기록합니다.

  2. 인터페이스의 장치 유형 ID를 표시합니다.

    # cat /sys/class/net/enp1s0/type
    1
  3. /etc/udev/rules.d/70-persistent-net.rules 파일을 생성하고 이름을 변경할 각 인터페이스에 대한 규칙을 추가합니다.

    SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="<MAC_address>",ATTR{type}=="<device_type_id>",NAME="<new_interface_name>"
    중요

    부팅 프로세스 중에 일관된 장치 이름이 필요한 경우 70-persistent-net.rules 만 파일 이름으로 사용합니다. RAM 디스크 이미지를 다시 생성하는 경우 dracut 유틸리티는 이 이름의 파일을 initrd 이미지에 추가합니다.

    예를 들어 다음 규칙을 사용하여 MAC 주소 00:00:5e:53:1a로 인터페이스의 이름을 provider0 으로 변경합니다.

    SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="00:00:5e:00:53:1a",ATTR{type}=="1",NAME="provider0"
  4. 선택 사항: initrd RAM 디스크 이미지를 다시 생성합니다.

    # dracut -f

    이 단계는 RAM 디스크에 네트워킹 기능이 필요한 경우에만 필요합니다. 예를 들어 루트 파일 시스템이 iSCSI와 같은 네트워크 장치에 저장된 경우입니다.

  5. 이름을 바꿀 인터페이스를 사용하는 NetworkManager 연결 프로필을 식별합니다.

    # nmcli -f device,name connection show
    DEVICE  NAME
    enp1s0  example_profile
    ...
  6. 연결 프로필에서 connection.interface-name 속성을 설정 해제합니다.

    # nmcli connection modify example_profile connection.interface-name ""
  7. 임시로 새 인터페이스 이름과 이전 인터페이스 이름과 일치하도록 연결 프로필을 구성합니다.

    # nmcli connection modify example_profile match.interface-name "provider0 enp1s0"
  8. 시스템을 재부팅합니다.

    # reboot
  9. 링크 파일에 지정한 MAC 주소가 있는 장치의 이름이 provider0 으로 변경되었는지 확인합니다.

    # ip link show
    provider0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
        link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
    ...
  10. 새 인터페이스 이름만 일치하도록 연결 프로필을 구성합니다.

    # nmcli connection modify example_profile match.interface-name "provider0"

    이제 연결 프로필에서 이전 인터페이스 이름을 삭제했습니다.

  11. 연결 프로필을 다시 활성화합니다.

    # nmcli connection up example_profile

추가 리소스

  • udev(7) man page

2장. 이더넷 연결 구성

NetworkManager는 호스트에 설치된 각 이더넷 어댑터에 대한 연결 프로필을 생성합니다. 기본적으로 이 프로필은 IPv4 및 IPv6 연결에 DHCP를 사용합니다. 자동으로 생성된 이 프로필을 수정하거나 다음 경우 새 프로필을 추가합니다.

  • 네트워크에는 고정 IP 주소 구성과 같은 사용자 지정 설정이 필요합니다.
  • 서로 다른 네트워크 간에 호스트가 순환되므로 여러 프로필이 필요합니다.

Red Hat Enterprise Linux는 관리자에게 이더넷 연결을 구성하는 다양한 옵션을 제공합니다. 예를 들면 다음과 같습니다.

  • nmcli 를 사용하여 명령줄에서 연결을 구성합니다.
  • nmtui 를 사용하여 텍스트 기반 사용자 인터페이스에서 연결을 구성합니다.
  • GNOME 설정 메뉴 또는 nm-connection-editor 애플리케이션을 사용하여 그래픽 인터페이스에서 연결을 구성합니다.
  • nmstatectl 을 사용하여 Nmstate API를 통한 연결을 구성합니다.
  • RHEL 시스템 역할을 사용하여 하나 이상의 호스트에서 연결 구성을 자동화합니다.
참고

Microsoft Azure 클라우드에서 실행되는 호스트에서 이더넷 연결을 수동으로 구성하려면 cloud-init 서비스를 비활성화하거나 클라우드 환경에서 검색된 네트워크 설정을 무시하도록 구성합니다. 그렇지 않으면 cloud-init 가 수동으로 구성된 다음 네트워크 설정을 재부팅할 때 재정의됩니다.

2.1. nmcli를 사용하여 이더넷 연결 구성

이더넷을 통해 호스트를 네트워크에 연결하는 경우 nmcli 유틸리티를 사용하여 명령줄에서 연결의 설정을 관리할 수 있습니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 NIC(네트워크 인터페이스 컨트롤러)가 서버 구성에 있습니다.

절차

  1. NetworkManager 연결 프로필을 나열합니다.

    # nmcli connection show
    NAME                UUID                                  TYPE      DEVICE
    Wired connection 1  a5eb6490-cc20-3668-81f8-0314a27f3f75  ethernet  enp1s0

    기본적으로 NetworkManager는 호스트의 각 NIC에 대한 프로필을 생성합니다. 이 NIC를 특정 네트워크에만 연결하려는 경우 자동으로 생성된 프로필을 조정합니다. 이 NIC를 다른 설정으로 네트워크에 연결하려는 경우 각 네트워크에 대한 개별 프로필을 생성합니다.

  2. 추가 연결 프로필을 생성하려면 다음을 입력합니다.

    # nmcli connection add con-name <connection-name> ifname <device-name> type ethernet

    기존 프로필을 수정하려면 이 단계를 건너뜁니다.

  3. 선택 사항: 연결 프로필의 이름을 변경합니다.

    # nmcli connection modify "Wired connection 1" connection.id "Internal-LAN"

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

  4. 연결 프로필의 현재 설정을 표시합니다.

    # nmcli connection show Internal-LAN
    ...
    connection.interface-name:     enp1s0
    connection.autoconnect:        yes
    ipv4.method:                   auto
    ipv6.method:                   auto
    ...
  5. IPv4 설정을 구성합니다.

    • DHCP를 사용하려면 다음을 입력합니다.

      # nmcli connection modify Internal-LAN ipv4.method auto

      ipv4.method 가 이미 auto (기본값)로 설정된 경우 이 단계를 건너뜁니다.

    • 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 검색 도메인을 설정하려면 다음을 입력합니다.

      # nmcli connection modify Internal-LAN ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv4.gateway 192.0.2.254 ipv4.dns 192.0.2.200 ipv4.dns-search example.com
  6. IPv6 설정을 구성합니다.

    • SLAAC(상태 비저장 주소 자동 구성)를 사용하려면 다음을 입력합니다.

      # nmcli connection modify Internal-LAN ipv6.method auto

      ipv6.method 가 이미 auto (기본값)로 설정된 경우 이 단계를 건너뜁니다.

    • 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 검색 도메인을 설정하려면 다음을 입력합니다.

      # nmcli connection modify Internal-LAN ipv6.method manual ipv6.addresses 2001:db8:1::fffe/64 ipv6.gateway 2001:db8:1::fffe ipv6.dns 2001:db8:1::ffbb ipv6.dns-search example.com
  7. 프로필의 다른 설정을 사용자 지정하려면 다음 명령을 사용합니다.

    # nmcli connection modify <connection-name> <setting> <value>

    값을 따옴표로 묶거나 spaces로 묶습니다.

  8. 프로필을 활성화합니다.

    # nmcli connection up Internal-LAN

검증

  1. NIC의 IP 설정을 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. IPv4 기본 게이트웨이를 표시합니다.

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. IPv6 기본 게이트웨이를 표시합니다.

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. DNS 설정을 표시합니다.

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    여러 연결 프로필이 동시에 활성화된 경우 이름 서버 항목의 순서는 이러한 프로필의 DNS 우선 순위 값과 연결 유형에 따라 달라집니다.

  5. ping 유틸리티를 사용하여 이 호스트가 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    # ping <host-name-or-IP-address>

문제 해결

  • 네트워크 커넥터가 호스트와 스위치에 연결되어 있는지 확인합니다.
  • 링크 실패가 이 호스트에만 있는지 또는 동일한 스위치에 연결된 다른 호스트에 있는지 확인합니다.
  • 네트워크케이블 및 네트워크 인터페이스가 예상대로 작동하는지 확인합니다. 하드웨어 진단 단계를 수행하고 결함 variables 및 네트워크 인터페이스 카드를 교체합니다.
  • 디스크의 구성이 장치의 구성과 일치하지 않는 경우 NetworkManager를 시작하거나 다시 시작하면 장치의 구성을 반영하는 메모리 내 연결이 생성됩니다. 자세한 내용과 이 문제를 방지하는 방법은 NetworkManager 서비스 솔루션을 다시 시작한 후 NetworkManager 연결 중복을 참조하십시오.

추가 리소스

  • nm-settings(5) 도움말 페이지

2.2. nmcli 대화형 편집기를 사용하여 이더넷 연결 구성

이더넷을 통해 호스트를 네트워크에 연결하는 경우 nmcli 유틸리티를 사용하여 명령줄에서 연결의 설정을 관리할 수 있습니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 NIC(네트워크 인터페이스 컨트롤러)가 서버 구성에 있습니다.

절차

  1. NetworkManager 연결 프로필을 나열합니다.

    # nmcli connection show
    NAME                UUID                                  TYPE      DEVICE
    Wired connection 1  a5eb6490-cc20-3668-81f8-0314a27f3f75  ethernet  enp1s0

    기본적으로 NetworkManager는 호스트의 각 NIC에 대한 프로필을 생성합니다. 이 NIC를 특정 네트워크에만 연결하려는 경우 자동으로 생성된 프로필을 조정합니다. 이 NIC를 다른 설정으로 네트워크에 연결하려는 경우 각 네트워크에 대한 개별 프로필을 생성합니다.

  2. 대화형 모드에서 nmcli 를 시작합니다.

    • 추가 연결 프로필을 생성하려면 다음을 입력합니다.

      # nmcli connection edit type ethernet con-name "<connection-name>"
    • 기존 연결 프로필을 수정하려면 다음을 입력합니다.

      # nmcli connection edit con-name "<connection-name>"
  3. 선택 사항: 연결 프로필의 이름을 변경합니다.

    nmcli> set connection.id Internal-LAN

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

    nmcli 가 이름의 따옴표 부분을 만들지 않도록 공백이 포함된 ID를 설정하는 데 따옴표를 사용하지 마십시오. 예를 들어 예제 연결을 ID로 설정하려면 set connection.id Example Connection 을 입력합니다.

  4. 연결 프로필의 현재 설정을 표시합니다.

    nmcli> print
    ...
    connection.interface-name:     enp1s0
    connection.autoconnect:        yes
    ipv4.method:                   auto
    ipv6.method:                   auto
    ...
  5. 새 연결 프로필을 생성하는 경우 네트워크 인터페이스를 설정합니다.

    nmcli> set connection.interface-name enp1s0
  6. IPv4 설정을 구성합니다.

    • DHCP를 사용하려면 다음을 입력합니다.

      nmcli> set ipv4.method auto

      ipv4.method 가 이미 auto (기본값)로 설정된 경우 이 단계를 건너뜁니다.

    • 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 검색 도메인을 설정하려면 다음을 입력합니다.

      nmcli> ipv4.addresses 192.0.2.1/24
      Do you also want to set 'ipv4.method' to 'manual'? [yes]: yes
      nmcli> ipv4.gateway 192.0.2.254
      nmcli> ipv4.dns 192.0.2.200
      nmcli> ipv4.dns-search example.com
  7. IPv6 설정을 구성합니다.

    • SLAAC(상태 비저장 주소 자동 구성)를 사용하려면 다음을 입력합니다.

      nmcli> set ipv6.method auto

      ipv6.method 가 이미 auto (기본값)로 설정된 경우 이 단계를 건너뜁니다.

    • 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 검색 도메인을 설정하려면 다음을 입력합니다.

      nmcli> ipv6.addresses 2001:db8:1::fffe/64
      Do you also want to set 'ipv6.method' to 'manual'? [yes]: yes
      nmcli> ipv6.gateway 2001:db8:1::fffe
      nmcli> ipv6.dns 2001:db8:1::ffbb
      nmcli> ipv6.dns-search example.com
  8. 연결을 저장하고 활성화합니다.

    nmcli> save persistent
  9. 대화형 모드를 종료합니다.

    nmcli> quit

검증

  1. NIC의 IP 설정을 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. IPv4 기본 게이트웨이를 표시합니다.

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. IPv6 기본 게이트웨이를 표시합니다.

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. DNS 설정을 표시합니다.

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    여러 연결 프로필이 동시에 활성화된 경우 이름 서버 항목의 순서는 이러한 프로필의 DNS 우선 순위 값과 연결 유형에 따라 달라집니다.

  5. ping 유틸리티를 사용하여 이 호스트가 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    # ping <host-name-or-IP-address>

문제 해결

  • 네트워크 커넥터가 호스트와 스위치에 연결되어 있는지 확인합니다.
  • 링크 실패가 이 호스트에만 있는지 또는 동일한 스위치에 연결된 다른 호스트에 있는지 확인합니다.
  • 네트워크케이블 및 네트워크 인터페이스가 예상대로 작동하는지 확인합니다. 하드웨어 진단 단계를 수행하고 결함 variables 및 네트워크 인터페이스 카드를 교체합니다.
  • 디스크의 구성이 장치의 구성과 일치하지 않는 경우 NetworkManager를 시작하거나 다시 시작하면 장치의 구성을 반영하는 메모리 내 연결이 생성됩니다. 자세한 내용과 이 문제를 방지하는 방법은 NetworkManager 서비스 솔루션을 다시 시작한 후 NetworkManager 연결 중복을 참조하십시오.

추가 리소스

  • nm-settings(5) 도움말 페이지
  • nmcli(1) 도움말 페이지

2.3. nmtui를 사용하여 이더넷 연결 구성

이더넷을 통해 호스트를 네트워크에 연결하는 경우 nmtui 애플리케이션을 사용하여 텍스트 기반 사용자 인터페이스에서 연결의 설정을 관리할 수 있습니다. nmtui 를 사용하여 새 프로필을 만들고 그래픽 인터페이스 없이 호스트에서 기존 프로필을 업데이트합니다.

참고

nmtui 에서 :

  • 커서 키를 사용하여 이동합니다.
  • 버튼을 선택하고 Enter 를 누릅니다.
  • Space 를 사용하여 확인란을 선택하고 지웁니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 NIC(네트워크 인터페이스 컨트롤러)가 서버 구성에 있습니다.

절차

  1. 연결에 사용할 네트워크 장치 이름을 모르는 경우 사용 가능한 장치를 표시합니다.

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    enp1s0     ethernet  unavailable             --
    ...
  2. start nmtui:

    # nmtui
  3. Edit a connection 을 선택하고 Enter 를 누릅니다.
  4. 새 연결 프로필을 추가하거나 기존 프로필을 수정할지 선택합니다.

    • 새 프로필을 생성하려면 다음을 수행합니다.

      1. 추가를 누릅니다.
      2. 네트워크 유형 목록에서 이더넷 을 선택하고 Enter 키를 누릅니다.
    • 기존 프로필을 수정하려면 목록에서 프로필을 선택하고 Enter 키를 누릅니다.
  5. 선택 사항: 연결 프로필의 이름을 업데이트합니다.

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

  6. 새 연결 프로필을 생성하는 경우 장치 필드에 네트워크 장치 이름을 입력합니다.
  7. 환경에 따라 IPv4 구성 및 IPv6 구성 영역에서 IP 주소 설정을 적절하게 구성합니다. 이를 위해 다음 영역 옆에 있는 버튼을 누른 후 다음을 선택합니다.

    • 비활성화됨 (이 연결에 IP 주소가 필요하지 않은 경우).
    • 자동으로 DHCP 서버가 이 NIC에 IP 주소를 동적으로 할당하는 경우입니다.
    • 수동: 네트워크에 고정 IP 주소 설정이 필요한 경우입니다. 이 경우 추가 필드를 작성해야 합니다.

      1. 추가 필드를 표시하도록 구성할 프로토콜 옆에 Show 를 누릅니다.
      2. 주소 옆에 있는 추가 를 클릭하고 CIDR(Classless Inter-Domain Routing) 형식으로 IP 주소와 서브넷 마스크를 입력합니다.

        서브넷 마스크를 지정하지 않으면 NetworkManager는 IPv4 주소에 대해 /32 서브넷 마스크와 IPv6 주소에 대해 /64 를 설정합니다.

      3. 기본 게이트웨이의 주소를 입력합니다.
      4. DNS 서버 옆에 있는 추가 를 클릭하고 DNS 서버 주소를 입력합니다.
      5. 검색 도메인 옆에 있는 추가 를 클릭하고 DNS 검색 도메인을 입력합니다.

    그림 2.1. 고정 IP 주소 설정을 사용하는 이더넷 연결의 예

    nmtui ethernet static IP
  8. OK 를 눌러 새 연결을 만들고 자동으로 활성화합니다.
  9. 다시 키를 눌러 기본 메뉴로 돌아갑니다.
  10. Quit 를 선택하고 Enter 를 눌러 nmtui 애플리케이션을 종료합니다.

검증

  1. NIC의 IP 설정을 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. IPv4 기본 게이트웨이를 표시합니다.

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. IPv6 기본 게이트웨이를 표시합니다.

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. DNS 설정을 표시합니다.

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    여러 연결 프로필이 동시에 활성화된 경우 이름 서버 항목의 순서는 이러한 프로필의 DNS 우선 순위 값과 연결 유형에 따라 달라집니다.

  5. ping 유틸리티를 사용하여 이 호스트가 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    # ping <host-name-or-IP-address>

문제 해결

  • 네트워크 커넥터가 호스트와 스위치에 연결되어 있는지 확인합니다.
  • 링크 실패가 이 호스트에만 있는지 또는 동일한 스위치에 연결된 다른 호스트에 있는지 확인합니다.
  • 네트워크케이블 및 네트워크 인터페이스가 예상대로 작동하는지 확인합니다. 하드웨어 진단 단계를 수행하고 결함 variables 및 네트워크 인터페이스 카드를 교체합니다.
  • 디스크의 구성이 장치의 구성과 일치하지 않는 경우 NetworkManager를 시작하거나 다시 시작하면 장치의 구성을 반영하는 메모리 내 연결이 생성됩니다. 자세한 내용과 이 문제를 방지하는 방법은 NetworkManager 서비스 솔루션을 다시 시작한 후 NetworkManager 연결 중복을 참조하십시오.

2.4. control-center를 사용하여 이더넷 연결 구성

이더넷을 통해 호스트를 네트워크에 연결하는 경우 GNOME 설정 메뉴를 사용하여 그래픽 인터페이스로 연결의 설정을 관리할 수 있습니다.

control-centernm-connection-editor 애플리케이션 또는 nmcli 유틸리티만큼 많은 구성 옵션을 지원하지 않습니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 NIC(네트워크 인터페이스 컨트롤러)가 서버 구성에 있습니다.
  • GNOME이 설치되어 있어야 합니다.

절차

  1. Super 키를 눌러 Settings 을 입력하고 Enter 를 누릅니다.
  2. 왼쪽의 탐색에서 네트워크를 선택합니다.
  3. 새 연결 프로필을 추가하거나 기존 프로필을 수정할지 선택합니다.

    • 새 프로필을 생성하려면 이더넷 항목 옆에 있는 + 버튼을 클릭합니다.
    • 기존 프로필을 수정하려면 프로필 항목 옆에 있는 장비 아이콘을 클릭합니다.
  4. 선택 사항: ID 탭에서 연결 프로필의 이름을 업데이트합니다.

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

  5. 환경에 따라 그에 따라 IPv4IPv6 탭의 IP 주소 설정을 구성합니다.

    • DHCP 또는 IPv6 SLAAC(상태 비저장 주소 자동 구성)를 사용하려면 자동(DHCP)을 메서드(기본값) 로 선택합니다.
    • 고정 IP 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 검색 도메인을 설정하려면 Manual 을 메서드로 선택하고 탭의 필드를 작성합니다.

      IP 설정 gnome 설정
  6. 연결 프로필을 추가하거나 수정할지 여부에 따라 추가 또는 적용 버튼을 클릭하여 연결을 저장합니다.

    GNOME control-center 가 연결을 자동으로 활성화합니다.

검증

  1. NIC의 IP 설정을 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. IPv4 기본 게이트웨이를 표시합니다.

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. IPv6 기본 게이트웨이를 표시합니다.

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. DNS 설정을 표시합니다.

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    여러 연결 프로필이 동시에 활성화된 경우 이름 서버 항목의 순서는 이러한 프로필의 DNS 우선 순위 값과 연결 유형에 따라 달라집니다.

  5. ping 유틸리티를 사용하여 이 호스트가 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    # ping <host-name-or-IP-address>

문제 해결 단계

  • 네트워크 커넥터가 호스트와 스위치에 연결되어 있는지 확인합니다.
  • 링크 실패가 이 호스트에만 있는지 또는 동일한 스위치에 연결된 다른 호스트에 있는지 확인합니다.
  • 네트워크케이블 및 네트워크 인터페이스가 예상대로 작동하는지 확인합니다. 하드웨어 진단 단계를 수행하고 결함 variables 및 네트워크 인터페이스 카드를 교체합니다.
  • 디스크의 구성이 장치의 구성과 일치하지 않는 경우 NetworkManager를 시작하거나 다시 시작하면 장치의 구성을 반영하는 메모리 내 연결이 생성됩니다. 자세한 내용과 이 문제를 방지하는 방법은 NetworkManager 서비스 솔루션을 다시 시작한 후 NetworkManager 연결 중복을 참조하십시오.

2.5. nm-connection-editor를 사용하여 이더넷 연결 구성

이더넷을 통해 호스트를 네트워크에 연결하는 경우 nm-connection-editor 애플리케이션을 사용하여 그래픽 인터페이스로 연결의 설정을 관리할 수 있습니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 NIC(네트워크 인터페이스 컨트롤러)가 서버 구성에 있습니다.
  • GNOME이 설치되어 있어야 합니다.

절차

  1. 터미널을 열고 다음을 입력합니다.

    $ nm-connection-editor
  2. 새 연결 프로필을 추가하거나 기존 프로필을 수정할지 선택합니다.

    • 새 프로필을 생성하려면 다음을 수행합니다.

      1. + 버튼을 클릭합니다.
      2. 연결 유형으로 이더넷 을 선택하고 생성 을 클릭합니다.
    • 기존 프로필을 수정하려면 프로필 항목을 두 번 클릭합니다.
  3. 선택 사항: 연결 이름 필드에 있는 프로필 이름을 업데이트합니다.

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

  4. 새 프로필을 생성하는 경우 이더넷 탭에서 장치를 선택합니다.

    ethernet connection settings

  5. 환경에 따라 그에 따라 IPv4 설정 및 IPv6 설정 탭에서 IP 주소 설정을 구성합니다.

    • DHCP 또는 IPv6 SLAAC(상태 비저장 주소 자동 구성)를 사용하려면 자동(DHCP)을 메서드(기본값) 로 선택합니다.
    • 고정 IP 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 검색 도메인을 설정하려면 Manual 을 메서드로 선택하고 탭의 필드를 작성합니다.

      IP 설정 nm 연결 편집기
  6. 저장을 클릭합니다.
  7. nm-connection-editor 를 종료합니다.

검증

  1. NIC의 IP 설정을 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  2. IPv4 기본 게이트웨이를 표시합니다.

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  3. IPv6 기본 게이트웨이를 표시합니다.

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  4. DNS 설정을 표시합니다.

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    여러 연결 프로필이 동시에 활성화된 경우 이름 서버 항목의 순서는 이러한 프로필의 DNS 우선 순위 값과 연결 유형에 따라 달라집니다.

  5. ping 유틸리티를 사용하여 이 호스트가 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    # ping <host-name-or-IP-address>

문제 해결 단계

  • 네트워크 커넥터가 호스트와 스위치에 연결되어 있는지 확인합니다.
  • 링크 실패가 이 호스트에만 있는지 또는 동일한 스위치에 연결된 다른 호스트에 있는지 확인합니다.
  • 네트워크케이블 및 네트워크 인터페이스가 예상대로 작동하는지 확인합니다. 하드웨어 진단 단계를 수행하고 결함 variables 및 네트워크 인터페이스 카드를 교체합니다.
  • 디스크의 구성이 장치의 구성과 일치하지 않는 경우 NetworkManager를 시작하거나 다시 시작하면 장치의 구성을 반영하는 메모리 내 연결이 생성됩니다. 자세한 내용과 이 문제를 방지하는 방법은 NetworkManager 서비스 솔루션을 다시 시작한 후 NetworkManager 연결 중복을 참조하십시오.

2.6. nmstatectl을 사용하여 고정 IP 주소로 이더넷 연결 구성

nmstatectl 유틸리티를 사용하여 Nmstate API를 통해 이더넷 연결을 구성합니다. Nmstate API는 구성을 설정한 후 결과가 구성 파일과 일치하는지 확인합니다. 아무것도 실패하면 nmstatectl 에서 시스템을 잘못된 상태로 두지 않도록 변경 사항을 자동으로 롤백합니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 NIC(네트워크 인터페이스 컨트롤러)가 서버 구성에 있습니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-ethernet-profile.yml )을 만듭니다.

    ---
    interfaces:
    - name: enp1s0
      type: ethernet
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: enp1s0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: enp1s0
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb

    이러한 설정은 다음 설정을 사용하여 enp1s0 장치에 대한 이더넷 연결 프로필을 정의합니다.

    • /24 서브넷 마스크가 있는 정적 IPv4 주소 - 192.0.2.1
    • 정적 IPv6 주소 - 2001:db8:1::1 ( /64 서브넷 마스크 포함)
    • IPv4 기본 게이트웨이 - 192.0.2.254
    • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
    • IPv4 DNS 서버 - 192.0.2.200
    • IPv6 DNS 서버 2001:db8:1::ffbb
    • DNS 검색 도메인 - example.com
  2. 선택 사항: 인터페이스 속성의 mac-address 및 mac-address: < mac_address > 속성을 정의하여 이름 대신 MAC 주소로 네트워크 인터페이스 카드를 식별할 수 있습니다. 예를 들면 다음과 같습니다.

    ---
    interfaces:
    - name: <profile_name>
      type: ethernet
      identifier: mac-address
      mac-address: <mac_address>
      ...
  3. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-ethernet-profile.yml

검증

  1. 현재 상태를 YAML 형식으로 표시합니다.

    # nmstatectl show enp1s0
  2. NIC의 IP 설정을 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  3. IPv4 기본 게이트웨이를 표시합니다.

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  4. IPv6 기본 게이트웨이를 표시합니다.

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  5. DNS 설정을 표시합니다.

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    여러 연결 프로필이 동시에 활성화된 경우 이름 서버 항목의 순서는 이러한 프로필의 DNS 우선 순위 값과 연결 유형에 따라 달라집니다.

  6. ping 유틸리티를 사용하여 이 호스트가 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    # ping <host-name-or-IP-address>

추가 리소스

  • nmstatectl(8) man page
  • /usr/share/doc/nmstate/examples/ 디렉터리

2.7. 인터페이스 이름으로 네트워크 RHEL 시스템 역할을 사용하여 고정 IP 주소로 이더넷 연결 구성

네트워크 RHEL 시스템 역할을 사용하여 이더넷 연결을 원격으로 구성할 수 있습니다.

사전 요구 사항

  • 제어 노드와 관리형 노드가 준비되어 있습니다.
  • 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
  • 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
  • 물리적 또는 가상 이더넷 장치는 서버의 구성에 있습니다.
  • 관리형 노드는 NetworkManager를 사용하여 네트워크를 구성합니다.

절차

  1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with static IP
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: enp1s0
                interface_name: enp1s0
                type: ethernet
                autoconnect: yes
                ip:
                  address:
                    - 192.0.2.1/24
                    - 2001:db8:1::1/64
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                state: up

    이러한 설정은 다음 설정을 사용하여 enp1s0 장치에 대한 이더넷 연결 프로필을 정의합니다.

    • /24 서브넷 마스크가 있는 정적 IPv4 주소 - 192.0.2.1
    • 정적 IPv6 주소 - 2001:db8:1::1 ( /64 서브넷 마스크 포함)
    • IPv4 기본 게이트웨이 - 192.0.2.254
    • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
    • IPv4 DNS 서버 - 192.0.2.200
    • IPv6 DNS 서버 2001:db8:1::ffbb
    • DNS 검색 도메인 - example.com
  2. 플레이북 구문을 확인합니다.

    $ ansible-playbook --syntax-check ~/playbook.yml

    이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

  3. 플레이북을 실행합니다.

    $ ansible-playbook ~/playbook.yml

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/doc/rhel-system-roles/network/ 디렉터리

2.8. 장치 경로와 함께 네트워크 RHEL 시스템 역할을 사용하여 고정 IP 주소로 이더넷 연결 구성

네트워크 RHEL 시스템 역할을 사용하여 이더넷 연결을 원격으로 구성할 수 있습니다.

다음 명령을 사용하여 장치 경로를 식별할 수 있습니다.

# udevadm info /sys/class/net/<device_name> | grep ID_PATH=

사전 요구 사항

  • 제어 노드와 관리형 노드가 준비되어 있습니다.
  • 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
  • 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
  • 물리적 또는 가상 이더넷 장치는 서버의 구성에 있습니다.
  • 관리형 노드는 NetworkManager를 사용하여 네트워크를 구성합니다.

절차

  1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with static IP
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: example
                match:
                  path:
                    - pci-0000:00:0[1-3].0
                    - &!pci-0000:00:02.0
                type: ethernet
                autoconnect: yes
                ip:
                  address:
                    - 192.0.2.1/24
                    - 2001:db8:1::1/64
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                state: up

    이러한 설정은 다음 설정을 사용하여 이더넷 연결 프로필을 정의합니다.

    • /24 서브넷 마스크가 있는 정적 IPv4 주소 - 192.0.2.1
    • 정적 IPv6 주소 - 2001:db8:1::1 ( /64 서브넷 마스크 포함)
    • IPv4 기본 게이트웨이 - 192.0.2.254
    • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
    • IPv4 DNS 서버 - 192.0.2.200
    • IPv6 DNS 서버 2001:db8:1::ffbb
    • DNS 검색 도메인 - example.com

      이 예제의 match 매개변수는 Ansible이 PCI ID 0000 :0[1-3].0 과 일치하는 장치에 플레이를 적용하지만 0000:00:02.0 과 일치하지 않음을 정의합니다. 사용할 수 있는 특수 수정자 및 와일드카드에 대한 자세한 내용은 /usr/share/ansible/roles/rhel-system-roles.network/README.md 파일의 match 매개변수 설명을 참조하십시오.

  2. 플레이북 구문을 확인합니다.

    $ ansible-playbook --syntax-check ~/playbook.yml

    이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

  3. 플레이북을 실행합니다.

    $ ansible-playbook ~/playbook.yml

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/doc/rhel-system-roles/network/ 디렉터리

2.9. nmstatectl을 사용하여 동적 IP 주소로 이더넷 연결 구성

nmstatectl 유틸리티를 사용하여 Nmstate API를 통해 이더넷 연결을 구성합니다. Nmstate API는 구성을 설정한 후 결과가 구성 파일과 일치하는지 확인합니다. 아무것도 실패하면 nmstatectl 에서 시스템을 잘못된 상태로 두지 않도록 변경 사항을 자동으로 롤백합니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 NIC(네트워크 인터페이스 컨트롤러)가 서버 구성에 있습니다.
  • DHCP 서버는 네트워크에서 사용할 수 있습니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-ethernet-profile.yml )을 만듭니다.

    ---
    interfaces:
    - name: enp1s0
      type: ethernet
      state: up
      ipv4:
        enabled: true
        auto-dns: true
        auto-gateway: true
        auto-routes: true
        dhcp: true
      ipv6:
        enabled: true
        auto-dns: true
        auto-gateway: true
        auto-routes: true
        autoconf: true
        dhcp: true

    이러한 설정은 enp1s0 장치에 대한 이더넷 연결 프로필을 정의합니다. 연결은 DHCP 서버와 IPv6 상태 비저장 주소 자동 구성(SLAAC)에서 IPv4 주소, IPv6 주소, 기본 게이트웨이, 경로, DNS 서버 및 검색 도메인을 검색합니다.

  2. 선택 사항: 인터페이스 속성의 mac-address 및 mac-address: < mac_address > 속성을 정의하여 이름 대신 MAC 주소로 네트워크 인터페이스 카드를 식별할 수 있습니다. 예를 들면 다음과 같습니다.

    ---
    interfaces:
    - name: <profile_name>
      type: ethernet
      identifier: mac-address
      mac-address: <mac_address>
      ...
  3. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-ethernet-profile.yml

검증

  1. 현재 상태를 YAML 형식으로 표시합니다.

    # nmstatectl show enp1s0
  2. NIC의 IP 설정을 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::fffe/64 scope global noprefixroute
           valid_lft forever preferred_lft forever
  3. IPv4 기본 게이트웨이를 표시합니다.

    # ip route show default
    default via 192.0.2.254 dev enp1s0 proto static metric 102
  4. IPv6 기본 게이트웨이를 표시합니다.

    # ip -6 route show default
    default via 2001:db8:1::ffee dev enp1s0 proto static metric 102 pref medium
  5. DNS 설정을 표시합니다.

    # cat /etc/resolv.conf
    search example.com
    nameserver 192.0.2.200
    nameserver 2001:db8:1::ffbb

    여러 연결 프로필이 동시에 활성화된 경우 이름 서버 항목의 순서는 이러한 프로필의 DNS 우선 순위 값과 연결 유형에 따라 달라집니다.

  6. ping 유틸리티를 사용하여 이 호스트가 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    # ping <host-name-or-IP-address>

추가 리소스

  • nmstatectl(8) man page
  • /usr/share/doc/nmstate/examples/ 디렉터리

2.10. 인터페이스 이름으로 네트워크 RHEL 시스템 역할을 사용하여 동적 IP 주소로 이더넷 연결 구성

네트워크 RHEL 시스템 역할을 사용하여 이더넷 연결을 원격으로 구성할 수 있습니다. 동적 IP 주소 설정과의 연결의 경우 NetworkManager는 DHCP 서버에서 연결에 대한 IP 설정을 요청합니다.

사전 요구 사항

  • 제어 노드와 관리형 노드가 준비되어 있습니다.
  • 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
  • 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
  • 물리적 또는 가상 이더넷 장치는 서버의 구성에 있습니다.
  • DHCP 서버는 네트워크에서 사용 가능
  • 관리형 노드는 NetworkManager를 사용하여 네트워크를 구성합니다.

절차

  1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with dynamic IP
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: enp1s0
                interface_name: enp1s0
                type: ethernet
                autoconnect: yes
                ip:
                  dhcp4: yes
                  auto6: yes
                state: up

    이러한 설정은 enp1s0 장치에 대한 이더넷 연결 프로필을 정의합니다. 연결은 DHCP 서버와 IPv6 상태 비저장 주소 자동 구성(SLAAC)에서 IPv4 주소, IPv6 주소, 기본 게이트웨이, 경로, DNS 서버 및 검색 도메인을 검색합니다.

  2. 플레이북 구문을 확인합니다.

    $ ansible-playbook --syntax-check ~/playbook.yml

    이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

  3. 플레이북을 실행합니다.

    $ ansible-playbook ~/playbook.yml

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/doc/rhel-system-roles/network/ 디렉터리

2.11. 장치 경로에서 네트워크 RHEL 시스템 역할을 사용하여 동적 IP 주소로 이더넷 연결 구성

네트워크 RHEL 시스템 역할을 사용하여 이더넷 연결을 원격으로 구성할 수 있습니다. 동적 IP 주소 설정과의 연결의 경우 NetworkManager는 DHCP 서버에서 연결에 대한 IP 설정을 요청합니다.

다음 명령을 사용하여 장치 경로를 식별할 수 있습니다.

# udevadm info /sys/class/net/<device_name> | grep ID_PATH=

사전 요구 사항

  • 제어 노드와 관리형 노드가 준비되어 있습니다.
  • 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
  • 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
  • 물리적 또는 가상 이더넷 장치는 서버의 구성에 있습니다.
  • DHCP 서버는 네트워크에서 사용할 수 있습니다.
  • 관리 호스트는 NetworkManager를 사용하여 네트워크를 구성합니다.

절차

  1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure an Ethernet connection with dynamic IP
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: example
                match:
                  path:
                    - pci-0000:00:0[1-3].0
                    - &!pci-0000:00:02.0
                type: ethernet
                autoconnect: yes
                ip:
                  dhcp4: yes
                  auto6: yes
                state: up

    이러한 설정은 이더넷 연결 프로필을 정의합니다. 연결은 DHCP 서버와 IPv6 상태 비저장 주소 자동 구성(SLAAC)에서 IPv4 주소, IPv6 주소, 기본 게이트웨이, 경로, DNS 서버 및 검색 도메인을 검색합니다.

    match 매개 변수는 Ansible이 PCI ID 0000:00:0[1-3].0 과 일치하는 장치에 플레이를 적용하지만 0000:00:02.0 이 아닌 장치에 플레이를 적용하도록 정의합니다.

  2. 플레이북 구문을 확인합니다.

    $ ansible-playbook --syntax-check ~/playbook.yml

    이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

  3. 플레이북을 실행합니다.

    $ ansible-playbook ~/playbook.yml

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/doc/rhel-system-roles/network/ 디렉터리

2.12. 인터페이스 이름으로 단일 연결 프로필을 사용하여 여러 이더넷 인터페이스 구성

대부분의 경우 하나의 연결 프로필에는 하나의 네트워크 장치의 설정이 포함됩니다. 그러나 NetworkManager는 연결 프로필에서 인터페이스 이름을 설정할 때 와일드카드도 지원합니다. 동적 IP 주소 할당을 사용하는 이더넷 네트워크 간에 호스트가 로밍하는 경우 이 기능을 사용하여 여러 이더넷 인터페이스에 사용할 수 있는 단일 연결 프로필을 만들 수 있습니다.

사전 요구 사항

  • 서버 구성에 여러 개의 물리적 또는 가상 이더넷 장치가 있습니다.
  • DHCP 서버는 네트워크에서 사용할 수 있습니다.
  • 호스트에 연결 프로필이 없습니다.

절차

  1. enp: enp로 시작하는 모든 인터페이스 이름에 적용되는 연결 프로파일을 추가합니다.

    # nmcli connection add con-name "Wired connection 1" connection.multi-connect multiple match.interface-name enp* type ethernet

검증

  1. 단일 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show "Wired connection 1"
    connection.id:                      Wired connection 1
    ...
    connection.multi-connect:           3 (multiple)
    match.interface-name:               enp*
    ...

    3 은 연결 프로파일에서 동시에 활성 상태인 인터페이스의 수를 나타내며 연결 프로파일의 네트워크 인터페이스 수는 아닙니다. 연결 프로필은 match.interface-name 매개변수의 패턴과 일치하는 모든 장치를 사용하므로 연결 프로파일에 동일한 UBI(Universally Unique Identifier)가 있습니다.

  2. 연결 상태를 표시합니다.

    # nmcli connection show
    NAME                UUID                                  TYPE      DEVICE
    ...
    Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp7s0
    Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp8s0
    Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp9s0

추가 리소스

  • nmcli(1) 도움말 페이지
  • nm-settings(5) 도움말 페이지

2.13. PCI ID를 사용하여 여러 이더넷 인터페이스에 대해 단일 연결 프로필 구성

PCI ID는 시스템에 연결된 장치의 고유 식별자입니다. 연결 프로필은 PCI ID 목록에 따라 인터페이스를 일치시켜 여러 장치를 추가합니다. 이 절차를 사용하여 여러 장치 PCI ID를 단일 연결 프로필에 연결할 수 있습니다.

사전 요구 사항

  • 서버 구성에 여러 개의 물리적 또는 가상 이더넷 장치가 있습니다.
  • DHCP 서버는 네트워크에서 사용할 수 있습니다.
  • 호스트에 연결 프로필이 없습니다.

절차

  1. 장치 경로를 식별합니다. 예를 들어 enp 로 시작하는 모든 인터페이스의 장치 경로를 표시하려면 다음을 입력합니다.

    # udevadm info /sys/class/net/enp | grep ID_PATH=*
    ...
    E: ID_PATH=pci-0000:07:00.0
    E: ID_PATH=pci-0000:08:00.0
  2. 0000 :0[7-8].0 표현식과 일치하는 모든 PCI ID에 적용되는 연결 프로필을 추가합니다.

    # nmcli connection add type ethernet connection.multi-connect multiple match.path "pci-0000:07:00.0 pci-0000:08:00.0" con-name "Wired connection 1"

검증

  1. 연결 상태를 표시합니다.

    # nmcli connection show
    NAME                 UUID                                  TYPE      DEVICE
    Wired connection 1   9cee0958-512f-4203-9d3d-b57af1d88466  ethernet  enp7s0
    Wired connection 1   9cee0958-512f-4203-9d3d-b57af1d88466  ethernet  enp8s0
    ...
  2. 연결 프로필의 모든 설정을 표시하려면 다음을 수행합니다.

    # nmcli connection show "Wired connection 1"
    connection.id:               Wired connection 1
    ...
    connection.multi-connect:    3 (multiple)
    match.path:                  pci-0000:07:00.0,pci-0000:08:00.0
    ...

    이 연결 프로필은 match.path 매개변수의 패턴과 일치하는 PCI ID가 있는 모든 장치를 사용하므로 연결 프로파일에는 동일한 UUID(Universally Unique Identifier)가 있습니다.

추가 리소스

  • nmcli(1) 도움말 페이지
  • nm-settings(5) 도움말 페이지

3장. 네트워크 본딩 구성

네트워크 본딩은 물리적 및 가상 네트워크 인터페이스를 결합하거나 집계하여 처리량 또는 중복성이 높은 논리 인터페이스를 제공하는 방법입니다. 본딩에서 커널은 모든 작업을 독점적으로 처리합니다. 이더넷 장치 또는 VLAN과 같은 다양한 유형의 장치에 본딩을 생성할 수 있습니다.

Red Hat Enterprise Linux는 관리자에게 팀 장치를 구성하는 다양한 옵션을 제공합니다. 예를 들면 다음과 같습니다.

  • nmcli 를 사용하여 명령줄을 사용하여 본딩 연결을 구성합니다.
  • RHEL 웹 콘솔을 사용하여 웹 브라우저를 사용하여 본딩 연결을 구성합니다.
  • nmtui 를 사용하여 텍스트 기반 사용자 인터페이스에서 본딩 연결을 구성합니다.
  • nm-connection-editor 애플리케이션을 사용하여 그래픽 인터페이스에서 본딩 연결을 구성합니다.
  • nmstatectl 을 사용하여 Nmstate API를 통한 본딩 연결을 구성합니다.
  • RHEL 시스템 역할을 사용하여 하나 이상의 호스트에서 본딩 구성을 자동화합니다.

3.1. 컨트롤러 및 포트 인터페이스의 기본 동작 이해

NetworkManager 서비스를 사용하여 팀 또는 본딩 포트 인터페이스를 관리하거나 해결할 때 다음 기본 동작을 고려하십시오.

  • 컨트롤러 인터페이스를 시작하면 포트 인터페이스가 자동으로 시작되지 않습니다.
  • 포트 인터페이스를 시작하면 항상 컨트롤러 인터페이스가 시작됩니다.
  • 컨트롤러 인터페이스를 중지하면 포트 인터페이스도 중지됩니다.
  • 포트가 없는 컨트롤러는 고정 IP 연결을 시작할 수 있습니다.
  • 포트 없는 컨트롤러는 DHCP 연결을 시작할 때 포트를 대기합니다.
  • 포트를 기다리는 DHCP 연결이 있는 컨트롤러는 캐리어가 있는 포트를 추가할 때 완료됩니다.
  • 포트를 기다리는 DHCP 연결이 있는 컨트롤러는 캐리어 없이 포트를 추가할 때 계속 대기합니다.

3.2. 본딩 모드에 따른 업스트림 스위치 구성

사용하려는 본딩 모드에 따라 스위치에서 포트를 구성해야 합니다.

본딩 모드스위치의 구성

0 - balance-rr

LACP(Link Aggregation Control Protocol) 협상이 아닌 정적 EtherChannel이 활성화되어 있어야 합니다.

1 - active-backup

스위치에 구성이 필요하지 않습니다.

2 - balance-xor

LACP-negotiated가 아닌 정적 EtherChannel이 활성화되어 있어야 합니다.

3 - broadcast

LACP-negotiated가 아닌 정적 EtherChannel이 활성화되어 있어야 합니다.

4 - 802.3ad

LACP-negotiated EtherChannel이 활성화되어 있어야 합니다.

5 - balance-tlb

스위치에 구성이 필요하지 않습니다.

6 - balance-alb

스위치에 구성이 필요하지 않습니다.

스위치를 구성하는 방법에 대한 자세한 내용은 스위치 설명서를 참조하십시오.

중요

장애 조치 메커니즘과 같은 특정 네트워크 본딩 기능은 네트워크 스위치 없이 직접 유선 연결을 지원하지 않습니다. 자세한 내용은 크로스 오버 소켓을 사용하여 직접 연결과 함께 지원되는 Is 본딩을 참조하십시오. https://access.redhat.com/solutions/202583 KCS 솔루션.

3.3. nmcli를 사용하여 네트워크 본딩 구성

명령줄에서 네트워크 본딩을 구성하려면 nmcli 유틸리티를 사용합니다.

사전 요구 사항

절차

  1. 본딩 인터페이스를 생성합니다.

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup"

    이 명령은 active-backup 모드를 사용하는 bond0 이라는 본딩을 생성합니다.

    미디어 독립 인터페이스(MII) 모니터링 간격을 추가로 설정하려면 miimon=interval 옵션을 bond.options 속성에 추가합니다. 예를 들면 다음과 같습니다.

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup,miimon=1000"
  2. 네트워크 인터페이스를 표시하고 본딩에 추가할 인터페이스의 이름을 기록해 둡니다.

    # nmcli device status
    DEVICE   TYPE      STATE         CONNECTION
    enp7s0   ethernet  disconnected  --
    enp8s0   ethernet  disconnected  --
    bridge0  bridge    connected     bridge0
    bridge1  bridge    connected     bridge1
    ...

    이 예제에서는 다음을 수행합니다.

    • enp7s0enp8s0 은 구성되지 않습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 연결 프로필을 추가합니다.
    • bridge0bridge1 에는 기존 연결 프로필이 있습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 프로필을 수정합니다.
  3. 인터페이스를 본딩에 할당합니다.

    1. 본딩에 할당하려는 인터페이스가 구성되지 않은 경우 해당 인터페이스에 대한 새 연결 프로필을 생성합니다.

      # nmcli connection add type ethernet port-type bond con-name bond0-port1 ifname enp7s0 controller bond0
      # nmcli connection add type ethernet port-type bond con-name bond0-port2 ifname enp8s0 controller bond0

      이러한 명령은 enp7s0enp8s0 에 대한 프로필을 생성하여 bond0 연결에 추가합니다.

    2. 기존 연결 프로필을 본딩에 할당하려면 다음을 수행합니다.

      1. 이러한 연결의 컨트롤러 매개변수를 bond0 으로 설정합니다.

        # nmcli connection modify bridge0 controller bond0
        # nmcli connection modify bridge1 controller bond0

        이러한 명령은 bridge0bridge1 이라는 기존 연결 프로필을 bond0 연결에 할당합니다.

      2. 연결을 다시 활성화합니다.

        # nmcli connection up bridge0
        # nmcli connection up bridge1
  4. IPv4 설정을 구성합니다.

    • 이 본딩 장치를 다른 장치의 포트로 사용하려면 다음을 입력합니다.

      # nmcli connection modify bond0 ipv4.method disabled
    • DHCP를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 bond0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify bond0 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.dns-search 'example.com' ipv4.method manual
  5. IPv6 설정을 구성합니다.

    • 이 본딩 장치를 다른 장치의 포트로 사용하려면 다음을 입력합니다.

      # nmcli connection modify bond0 ipv6.method disabled
    • SLAAC(stateless address autoconfiguration)를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 bond0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify bond0 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual
  6. 선택 사항: 본딩 포트에서 매개변수를 설정하려면 다음 명령을 사용합니다.

    # nmcli connection modify bond0-port1 bond-port.<parameter> <value>
  7. 연결을 활성화합니다.

    # nmcli connection up bond0
  8. 포트가 연결되어 있고 CONNECTION 열에 포트의 연결 이름이 표시되는지 확인합니다.

    # nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    enp7s0   ethernet  connected  bond0-port1
    enp8s0   ethernet  connected  bond0-port2

    연결 포트를 활성화하면 NetworkManager는 본딩을 활성화하지만 다른 포트는 활성화하지 않습니다. 본딩이 활성화되면 Red Hat Enterprise Linux가 모든 포트를 자동으로 사용하도록 설정할 수 있습니다.

    1. 본딩 연결의 connection.autoconnect-ports 매개변수를 활성화합니다.

      # nmcli connection modify bond0 connection.autoconnect-ports 1
    2. 브리지를 다시 활성화합니다.

      # nmcli connection up bond0

검증

  1. 호스트에서 네트워크 케이블을 일시적으로 제거합니다.

    소프트웨어 유틸리티를 사용하여 오류 이벤트를 올바르게 연결하는 방법은 없습니다. nmcli 와 같은 연결을 비활성화하는 툴에는 포트 구성 변경 사항을 처리하는 본딩 드라이버 기능만 표시하고 실제 링크 실패 이벤트가 아닙니다.

  2. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0

3.4. RHEL 웹 콘솔을 사용하여 네트워크 본딩 구성

웹 브라우저 기반 인터페이스를 사용하여 네트워크 설정을 관리하려면 RHEL 웹 콘솔을 사용하여 네트워크 본딩을 구성합니다.

사전 요구 사항

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 인터페이스 섹션에서 본딩 추가 를 클릭합니다.
  3. 생성할 본딩 장치의 이름을 입력합니다.
  4. 본딩의 멤버여야 하는 인터페이스를 선택합니다.
  5. 본딩 모드를 선택합니다.

    활성 백업을 선택하면 웹 콘솔에 기본 활성화된 장치를 선택할 수 있는 추가 필드가 표시됩니다.

  6. 링크 모니터링 모드를 설정합니다. 예를 들어 Adaptive 로드 밸런싱 모드를 사용하는 경우 이를 ARP 로 설정합니다.
  7. 선택 사항: 모니터링 간격을 조정하고, 지연 링크를 연결하며, 지연 설정을 링크 다운합니다. 일반적으로 문제 해결 목적으로만 기본값을 변경합니다.

    본딩 설정
  8. Apply(적용)를 클릭합니다.
  9. 기본적으로 본딩에서는 동적 IP 주소를 사용합니다. 고정 IP 주소를 설정하려면 다음을 수행합니다.

    1. Interfaces 섹션에서 본딩 이름을 클릭합니다.
    2. 구성할 프로토콜 옆에 있는 편집을 클릭합니다.
    3. 주소 옆에 있는 수동 을 선택하고 IP 주소, 접두사 및 기본 게이트웨이를 입력합니다.
    4. DNS 섹션에서 + 버튼을 클릭하고 DNS 서버의 IP 주소를 입력합니다. 이 단계를 반복하여 여러 DNS 서버를 설정합니다.
    5. DNS 검색 도메인 섹션에서 + 버튼을 클릭하고 검색 도메인을 입력합니다.
    6. 인터페이스에 정적 경로가 필요한 경우 Routes 섹션에서 구성합니다.

      본딩 팀 브리지 vlan.ipv4
    7. 적용을클릭합니다.

검증

  1. 화면 왼쪽의 탐색에서 Networking 탭을 선택하고 인터페이스에 들어오고 나가는 트래픽이 있는지 확인합니다.

    본딩 검증
  2. 호스트에서 네트워크 케이블을 일시적으로 제거합니다.

    소프트웨어 유틸리티를 사용하여 오류 이벤트를 올바르게 연결하는 방법은 없습니다. 웹 콘솔과 같은 연결을 비활성화하는 툴에는 멤버 구성 변경 사항을 처리하는 본딩 드라이버 기능만 표시되고 실제 링크 실패 이벤트가 아님.

  3. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0

3.5. nmtui를 사용하여 네트워크 본딩 구성

nmtui 애플리케이션은 NetworkManager에 대한 텍스트 기반 사용자 인터페이스를 제공합니다. nmtui 를 사용하여 그래픽 인터페이스 없이 호스트에서 네트워크 본딩을 구성할 수 있습니다.

참고

nmtui 에서 :

  • 커서 키를 사용하여 이동합니다.
  • 버튼을 선택하고 Enter 를 누릅니다.
  • Space 를 사용하여 확인란을 선택하고 지웁니다.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 본딩의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.

절차

  1. 네트워크 본딩을 구성할 네트워크 장치 이름을 모르는 경우 사용 가능한 장치를 표시합니다.

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    enp7s0     ethernet  unavailable             --
    enp8s0     ethernet  unavailable             --
    ...
  2. start nmtui:

    # nmtui
  3. Edit a connection 을 선택하고 Enter 를 누릅니다.
  4. 추가를 누릅니다.
  5. 네트워크 유형 목록에서 Bond 를 선택하고 Enter 를 누릅니다.
  6. 선택 사항: 생성할 NetworkManager 프로필의 이름을 입력합니다.

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

  7. 장치 필드에 생성할 본딩 장치 이름을 입력합니다.
  8. 생성할 본딩에 포트를 추가합니다.

    1. Slaves 목록 옆에 있는 Add 를 누릅니다.
    2. 본딩에 포트로 추가할 인터페이스 유형을 선택합니다(예: 이더넷 ).
    3. 선택 사항: 이 본딩 포트에 대해 생성할 NetworkManager 프로필의 이름을 입력합니다.
    4. 장치의 장치 이름을 장치 필드에 입력합니다.
    5. OK 를 눌러 본딩 설정으로 창으로 돌아갑니다.

      그림 3.1. 이더넷 장치를 본딩에 포트로 추가

      nmtui 본딩에서 포트 추가
    6. 이 단계를 반복하여 더 많은 포트를 본딩에 추가합니다.
  9. 본딩 모드를 설정합니다. 설정한 값에 따라 nmtui 는 선택한 모드와 관련된 설정에 대한 추가 필드를 표시합니다.
  10. 환경에 따라 그에 따라 IPv4 구성 및 IPv6 구성 영역에서 IP 주소 설정을 구성합니다. 이를 위해 다음 영역 옆에 있는 버튼을 누른 후 다음을 선택합니다.

    • 본딩에 IP 주소가 필요하지 않은 경우 비활성화됨
    • DHCP 서버 또는 SLAAC(상태 비저장 주소 자동 구성)가 IP 주소를 본딩에 동적으로 할당하는 경우 자동입니다.
    • 네트워크에 고정 IP 주소 설정이 필요한 경우 수동. 이 경우 추가 필드를 작성해야 합니다.

      1. 추가 필드를 표시하도록 구성할 프로토콜 옆에 Show 를 누릅니다.
      2. 주소 옆에 있는 추가 를 클릭하고 CIDR(Classless Inter-Domain Routing) 형식으로 IP 주소와 서브넷 마스크를 입력합니다.

        서브넷 마스크를 지정하지 않으면 NetworkManager는 IPv4 주소에 대해 /32 서브넷 마스크와 IPv6 주소에 대해 /64 를 설정합니다.

      3. 기본 게이트웨이의 주소를 입력합니다.
      4. DNS 서버 옆에 있는 추가 를 클릭하고 DNS 서버 주소를 입력합니다.
      5. 검색 도메인 옆에 있는 추가 를 클릭하고 DNS 검색 도메인을 입력합니다.

    그림 3.2. 고정 IP 주소 설정을 사용한 본딩 연결 예

    nmtui 본딩 고정 IP
  11. OK 를 눌러 새 연결을 만들고 자동으로 활성화합니다.
  12. 다시 키를 눌러 기본 메뉴로 돌아갑니다.
  13. Quit 를 선택하고 Enter 를 눌러 nmtui 애플리케이션을 종료합니다.

검증

  1. 호스트에서 네트워크 케이블을 일시적으로 제거합니다.

    소프트웨어 유틸리티를 사용하여 오류 이벤트를 올바르게 연결하는 방법은 없습니다. nmcli 와 같은 연결을 비활성화하는 툴에는 포트 구성 변경 사항을 처리하는 본딩 드라이버 기능만 표시하고 실제 링크 실패 이벤트가 아닙니다.

  2. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0

3.6. nm-connection-editor를 사용하여 네트워크 본딩 구성

그래픽 인터페이스와 함께 Red Hat Enterprise Linux를 사용하는 경우 nm-connection-editor 애플리케이션을 사용하여 네트워크 본딩을 구성할 수 있습니다.

nm-connection-editor 는 새 포트만 본딩에 추가할 수 있습니다. 기존 연결 프로필을 포트로 사용하려면 nmcli 를 사용하여 네트워크 본딩 구성에 설명된 nmcli 유틸리티를 사용하여 본딩 을 생성합니다.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 본딩의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 본딩 또는 VLAN 장치를 본딩 포트로 사용하려면 이러한 장치가 아직 구성되어 있지 않은지 확인합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. 연결 유형을 선택하고 만들기 를 클릭합니다.
  4. 본딩 탭에서 다음을 수행합니다.

    1. 선택 사항: 인터페이스 이름 필드에 본딩 인터페이스의 이름을 설정합니다.
    2. Add (추가) 버튼을 클릭하여 네트워크 인터페이스를 본딩에 포트로 추가합니다.

      1. 인터페이스의 연결 유형을 선택합니다. 예를 들어 유선 연결로 이더넷 을 선택합니다.
      2. 선택 사항: 포트에 대한 연결 이름을 설정합니다.
      3. 이더넷 장치에 대한 연결 프로필을 생성하는 경우 이더넷 탭을 열고 장치 필드에서 본딩에 포트로 추가할 네트워크 인터페이스를 선택합니다. 다른 장치 유형을 선택한 경우 적절하게 구성합니다. 구성되지 않은 본딩의 이더넷 인터페이스만 사용할 수 있습니다.
      4. 저장을 클릭합니다.
    3. 본딩에 추가할 각 인터페이스에 대해 이전 단계를 반복합니다.

      add nic to bond in nm connection editor

    4. 선택 사항: MII(Media Independent Interface) 모니터링 간격과 같은 기타 옵션을 설정합니다.
  5. IPv4 설정 및 IPv6 설정 탭에서 IP 주소 설정을 구성합니다.

    • 이 브리지 장치를 다른 장치의 포트로 사용하려면 Method 필드를 Disabled 로 설정합니다.
    • DHCP를 사용하려면 Method 필드를 기본값인 Automatic(DHCP) 으로 둡니다.
    • 고정 IP 설정을 사용하려면 Method 필드를 Manual 로 설정하고 그에 따라 필드를 작성합니다.

      bond IP settings nm connection editor

  6. 저장을 클릭합니다.
  7. nm-connection-editor 를 종료합니다.

검증

  1. 호스트에서 네트워크 케이블을 일시적으로 제거합니다.

    소프트웨어 유틸리티를 사용하여 오류 이벤트를 올바르게 연결하는 방법은 없습니다. nmcli 와 같은 연결을 비활성화하는 툴에는 포트 구성 변경 사항을 처리하는 본딩 드라이버 기능만 표시하고 실제 링크 실패 이벤트가 아닙니다.

  2. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0

3.7. nmstatectl을 사용하여 네트워크 본딩 구성

nmstatectl 유틸리티를 사용하여 Nmstate API를 통해 네트워크 본딩을 구성합니다. Nmstate API는 구성을 설정한 후 결과가 구성 파일과 일치하는지 확인합니다. 아무것도 실패하면 nmstatectl 에서 시스템을 잘못된 상태로 두지 않도록 변경 사항을 자동으로 롤백합니다.

환경에 따라 적절하게 YAML 파일을 조정합니다. 예를 들어 본딩의 이더넷 어댑터와 다른 장치를 사용하려면 본딩에서 사용하는 포트의 base-iface 특성 및 유형 속성을 조정합니다.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 본딩의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 브리지 또는 VLAN 장치를 본딩에서 포트로 사용하려면 포트 목록에서 인터페이스 이름을 설정하고 해당 인터페이스를 정의합니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-bond.yml )을 생성합니다.

    ---
    interfaces:
    - name: bond0
      type: bond
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      link-aggregation:
        mode: active-backup
        port:
        - enp1s0
        - enp7s0
    - name: enp1s0
      type: ethernet
      state: up
    - name: enp7s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: bond0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: bond0
    
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb

    이러한 설정은 다음 설정으로 네트워크 본딩을 정의합니다.

    • 본딩의 네트워크 인터페이스 enp1s0enp7s0
    • 모드: active-backup
    • 정적 IPv4 주소: 192.0.2.1/24 서브넷 마스크
    • 정적 IPv6 주소: 2001:db8:1::1/64 서브넷 마스크
    • IPv4 기본 게이트웨이: 192.0.2.254
    • IPv6 기본 게이트웨이: 2001:db8:1::fffe
    • IPv4 DNS 서버: 192.0.2.200
    • IPv6 DNS 서버: 2001:db8:1::ffbb
    • DNS 검색 도메인: example.com
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-bond.yml

검증

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    bond0       bond      connected  bond0
  2. 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show bond0
    connection.id:              bond0
    connection.uuid:            79cbc3bd-302e-4b1f-ad89-f12533b818ee
    connection.stable-id:       --
    connection.type:            bond
    connection.interface-name:  bond0
    ...
  3. 연결 설정을 YAML 형식으로 표시합니다.

    # nmstatectl show bond0

추가 리소스

  • nmstatectl(8) man page
  • /usr/share/doc/nmstate/examples/ 디렉터리

3.8. 네트워크 RHEL 시스템 역할을 사용하여 네트워크 본딩 구성

네트워크 RHEL 시스템 역할을 사용하여 네트워크 본딩을 원격으로 구성할 수 있습니다.

사전 요구 사항

  • 제어 노드와 관리형 노드가 준비되어 있습니다.
  • 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
  • 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure a network bond that uses two Ethernet ports
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              # Define the bond profile
              - name: bond0
                type: bond
                interface_name: bond0
                ip:
                  address:
                    - "192.0.2.1/24"
                    - "2001:db8:1::1/64"
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                bond:
                  mode: active-backup
                state: up
    
              # Add an Ethernet profile to the bond
              - name: bond0-port1
                interface_name: enp7s0
                type: ethernet
                controller: bond0
                state: up
    
              # Add a second Ethernet profile to the bond
              - name: bond0-port2
                interface_name: enp8s0
                type: ethernet
                controller: bond0
                state: up

    이러한 설정은 다음 설정으로 네트워크 본딩을 정의합니다.

    • /24 서브넷 마스크가 있는 정적 IPv4 주소 - 192.0.2.1
    • 정적 IPv6 주소 - 2001:db8:1::1 ( /64 서브넷 마스크 포함)
    • IPv4 기본 게이트웨이 - 192.0.2.254
    • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
    • IPv4 DNS 서버 - 192.0.2.200
    • IPv6 DNS 서버 2001:db8:1::ffbb
    • DNS 검색 도메인 - example.com
    • 본딩 포트 - enp7s0enp8s0
    • 본딩 모드 - active-backup

      참고

      Linux 본딩 포트가 아닌 본딩에 IP 구성을 설정합니다.

  2. 플레이북 구문을 확인합니다.

    $ ansible-playbook --syntax-check ~/playbook.yml

    이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

  3. 플레이북을 실행합니다.

    $ ansible-playbook ~/playbook.yml

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/doc/rhel-system-roles/network/ 디렉터리

3.9. VPN을 중단하지 않고 이더넷과 무선 연결 간 전환을 가능하게 하는 네트워크 본딩 생성

회사의 네트워크에 워크스테이션을 연결하는 RHEL 사용자는 일반적으로 VPN을 사용하여 원격 리소스에 액세스합니다. 그러나 워크스테이션이 이더넷과 Wi-Fi 연결 간에 전환되면 예를 들어 이더넷 연결이 있는 도킹 스테이션에서 랩탑을 릴리스하는 경우 VPN 연결이 중단됩니다. 이 문제를 방지하려면 active-backup 모드에서 이더넷 및 plug-Fi 연결을 사용하는 네트워크 본딩을 생성할 수 있습니다.

사전 요구 사항

  • 호스트에는 이더넷과 Wi-Fi 장치가 포함되어 있습니다.
  • 이더넷 및 Wi-Fi NetworkManager 연결 프로필이 생성되어 두 연결 모두 독립적으로 작동합니다.

    이 절차에서는 다음 연결 프로필을 사용하여 bond0 이라는 네트워크 본딩을 생성합니다.

    • enp11s0u1 이더넷 장치와 관련된 Docking_station
    • wlp1s0 sha-Fi 장치와 연결된 hub-Fi

절차

  1. active-backup 모드로 본딩 인터페이스를 생성합니다.

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup"

    이 명령은 인터페이스 및 연결 프로필 bond0 의 이름을 모두 지정합니다.

  2. 본딩의 IPv4 설정을 구성합니다.

    • 네트워크의 DHCP 서버에서 IPv4 주소를 호스트에 할당하면 작업이 필요하지 않습니다.
    • 로컬 네트워크에 정적 IPv4 주소가 필요한 경우 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 bond0 연결로 설정합니다.

      # nmcli connection modify bond0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify bond0 ipv4.gateway '192.0.2.254'
      # nmcli connection modify bond0 ipv4.dns '192.0.2.253'
      # nmcli connection modify bond0 ipv4.dns-search 'example.com'
      # nmcli connection modify bond0 ipv4.method manual
  3. 본딩의 IPv6 설정을 구성합니다.

    • 네트워크의 라우터 또는 DHCP 서버가 호스트에 IPv6 주소를 할당하는 경우 작업이 필요하지 않습니다.
    • 로컬 네트워크에 정적 IPv6 주소가 필요한 경우 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 bond0 연결로 설정합니다.

      # nmcli connection modify bond0 ipv6.addresses '2001:db8:1::1/64'
      # nmcli connection modify bond0 ipv6.gateway '2001:db8:1::fffe'
      # nmcli connection modify bond0 ipv6.dns '2001:db8:1::fffd'
      # nmcli connection modify bond0 ipv6.dns-search 'example.com'
      # nmcli connection modify bond0 ipv6.method manual
  4. 연결 프로필을 표시합니다.

    # nmcli connection show
    NAME             UUID                                  TYPE      DEVICE
    Docking_station  256dd073-fecc-339d-91ae-9834a00407f9  ethernet  enp11s0u1
    Wi-Fi            1f1531c7-8737-4c60-91af-2d21164417e8  wifi      wlp1s0
    ...

    다음 단계에서 연결 프로필의 이름과 이더넷 장치 이름이 필요합니다.

  5. 이더넷 연결의 연결 프로필을 본딩에 할당합니다.

    # nmcli connection modify Docking_station controller bond0
  6. 본딩에 Wi-Fi 연결의 연결 프로필을 할당합니다.

    # nmcli connection modify Wi-Fi controller bond0
  7. Wi-Fi 네트워크에서 MAC 필터링을 사용하여 허용 목록의 MAC 주소만 네트워크에 액세스하는 경우 NetworkManager가 활성 포트의 MAC 주소를 본딩에 동적으로 할당하도록 구성합니다.

    # nmcli connection modify bond0 +bond.options fail_over_mac=1

    이 설정을 사용하면 이더넷 및 Wi-Fi 장치 둘 다의 MAC 주소 대신 Wi-Fi 장치의 MAC 주소만 허용 목록으로 설정해야 합니다.

  8. 이더넷 연결과 연결된 장치를 본딩의 기본 장치로 설정합니다.

    # nmcli con modify bond0 +bond.options "primary=enp11s0u1"

    이 설정을 사용하면 사용 가능한 경우 본딩은 항상 이더넷 연결을 사용합니다.

  9. bond0 장치가 활성화되면 NetworkManager가 포트를 자동으로 활성화하도록 구성합니다.

    # nmcli connection modify bond0 connection.autoconnect-ports 1
  10. bond0 연결을 활성화합니다.

    # nmcli connection up bond0

검증

  • 현재 활성화된 장치, 본딩의 상태 및 해당 포트를 표시합니다.

    # cat /proc/net/bonding/bond0
    Ethernet Channel Bonding Driver: v3.7.1 (April 27, 2011)
    
    Bonding Mode: fault-tolerance (active-backup) (fail_over_mac active)
    Primary Slave: enp11s0u1 (primary_reselect always)
    Currently Active Slave: enp11s0u1
    MII Status: up
    MII Polling Interval (ms): 1
    Up Delay (ms): 0
    Down Delay (ms): 0
    Peer Notification Delay (ms): 0
    
    Slave Interface: enp11s0u1
    MII Status: up
    Speed: 1000 Mbps
    Duplex: full
    Link Failure Count: 0
    Permanent HW addr: 00:53:00:59:da:b7
    Slave queue ID: 0
    
    Slave Interface: wlp1s0
    MII Status: up
    Speed: Unknown
    Duplex: Unknown
    Link Failure Count: 2
    Permanent HW addr: 00:53:00:b3:22:ba
    Slave queue ID: 0

3.10. 다양한 네트워크 본딩 모드

Linux 본딩 드라이버는 링크 집계를 제공합니다. 본딩은 단일 논리 본딩 인터페이스를 제공하기 위해 여러 네트워크 인터페이스를 병렬로 집계하는 프로세스입니다. 본딩된 인터페이스의 작업은 모드라고도 하는 본딩 정책에 따라 달라집니다. 다양한 모드는 로드 밸런싱 또는 핫란드 서비스를 제공합니다.

다음과 같은 모드가 있습니다.

balance-rr (Mode 0)

balance-rr 는 사용 가능한 첫 번째 포트에서 마지막 포트로 패킷을 순차적으로 전송하는 라운드 로빈 알고리즘을 사용합니다. 이 모드는 로드 밸런싱 및 내결함성을 제공합니다.

이 모드에서는 포트 집계 그룹(ECDHEChannel 또는 유사한 포트 그룹화)을 전환해야 합니다. Channel은 하나의 논리 이더넷 링크로 여러 개의 물리적 이더넷 링크를 그룹화하는 포트 링크 집계 기술입니다.

이 모드의 단점은 많은 워크로드에는 적합하지 않으며 TCP 처리량 또는 정렬된 패킷 전달이 필요한 경우입니다.

active-backup (Mode 1)

active-backup 에서는 본딩에서 하나의 포트만 활성 상태임을 결정하는 정책을 사용합니다. 이 모드는 내결함성을 제공하며 스위치 구성이 필요하지 않습니다.

활성 포트가 실패하면 대체 포트가 활성화됩니다. 본딩은 외부 주소 확인 프로토콜(ARP) 응답을 네트워크에 보냅니다. 무상 ARP는 ARP 프레임의 수신자가 전달 테이블을 업데이트하도록 강제 적용합니다. Active-backup 모드는 무차별 ARP를 전송하여 호스트의 연결을 유지하기 위한 새로운 경로를 발표합니다.

기본 옵션은 본딩 인터페이스의 기본 포트를 정의합니다.

balance-xor(Mode 2)

balance-xor 는 선택한 전송 해시 정책을 사용하여 패킷을 보냅니다. 이 모드는 로드 밸런싱, 내결함성을 제공하며, FlexVolume채널 또는 유사한 포트 그룹화를 설정하기 위해 스위치 구성이 필요합니다.

패킷 전송 및 밸런스 전송을 변경하려면 이 모드는 xmit_hash_policy 옵션을 사용합니다. 인터페이스의 트래픽 소스 또는 대상에 따라 인터페이스에 추가 로드 밸런싱 구성이 필요합니다. 설명 xmit_hash_policy bonding 매개변수를 참조하십시오.

브로드캐스트(Mode 3)

broadcast 는 모든 인터페이스에서 모든 패킷을 전송하는 정책을 사용합니다. 이 모드는 내결함성을 제공하며,ECDHEChannel 또는 유사한 포트 그룹화를 설정하기 위해 스위치 구성이 필요합니다.

이 모드의 단점은 많은 워크로드에는 적합하지 않으며 TCP 처리량 또는 정렬된 패킷 전달이 필요한 경우입니다.

802.3ad (Mode 4)

802.3ad 는 동일한 이름의 IEEE 표준 동적 링크 집계 정책을 사용합니다. 이 모드는 내결함성을 제공합니다. 이 모드에서는LACP(Link Aggregation Control Protocol) 포트 그룹화를 설정하려면 스위치 구성이 필요합니다.

이 모드에서는 동일한 속도와 모호한 설정을 공유하는 집계 그룹을 생성하고 활성 집계기의 모든 포트를 사용합니다. 인터페이스의 트래픽 소스 또는 대상에 따라 이 모드에는 추가 로드 밸런싱 구성이 필요합니다.

기본적으로 발신 트래픽에 대한 포트 선택 사항은 전송 해시 정책에 따라 다릅니다. 전송 해시 정책의 xmit_hash_policy 옵션을 사용하여 포트 선택 및 전송 밸런싱을 변경합니다.

802.3adBalance-xor 의 차이점은 규정 준수입니다. 802.3ad 정책은 포트 집계 그룹 간에 LACP를 협상합니다. 설명 xmit_hash_policy bonding 매개변수를참조하십시오.

balance-tlb (Mode 5)

balance-tlb 는 전송 로드 밸런싱 정책을 사용합니다. 이 모드에서는 스위치 지원이 필요하지 않은 내결함성, 로드 밸런싱 및 채널 본딩을 설정합니다.

활성 포트는 들어오는 트래픽을 수신합니다. 활성 포트가 실패하는 경우 다른 포트가 실패한 포트의 MAC 주소를 인수합니다. 발신 트래픽을 처리하는 인터페이스를 결정하려면 다음 모드 중 하나를 사용합니다.

  • 0: 해시 배포 정책을 사용하여 부하 분산 없이 트래픽을 분산합니다.
  • 값 1: 로드 밸런싱을 사용하여 각 포트에 트래픽 배포

    본딩 옵션 tlb_dynamic_lb=0 을 사용하면 이 본딩 모드에서는 xmit_hash_policy 본딩 옵션을 사용하여 전송의 균형을 조정합니다. 기본 옵션은 본딩 인터페이스의 기본 포트를 정의합니다.

설명 xmit_hash_policy bonding 매개변수를 참조하십시오.

balance-alb (Mode 6)

balance-alb 는 조정형 로드 밸런싱 정책을 사용합니다. 이 모드는 내결함성, 로드 밸런싱을 제공하며 특별한 스위치 지원이 필요하지 않습니다.

이 모드에는 IPv4 및 IPv6 트래픽에 대한 balance-transmit 부하 분산(balance-tlb) 및 수신 로드 밸런싱이 포함됩니다. 본딩은 로컬 시스템에서 보낸 ARP 응답을 가로채고 본딩에서 포트 중 하나의 소스 하드웨어 주소를 덮어씁니다. ARP 협상은 수신 부하 분산을 관리합니다. 따라서 다른 포트는 서버에 다른 하드웨어 주소를 사용합니다.

기본 옵션은 본딩 인터페이스의 기본 포트를 정의합니다. 본딩 옵션 tlb_dynamic_lb=0 을 사용하면 이 본딩 모드에서는 xmit_hash_policy 본딩 옵션을 사용하여 전송의 균형을 조정합니다. 설명 xmit_hash_policy bonding 매개변수를 참조하십시오.

추가 리소스

3.11. xmit_hash_policy bonding 매개변수

xmit_hash_policy 로드 밸런싱 매개변수는 balance-xor,802.3ad,balance-alb, balance-tlb 모드에서 노드 선택에 대한 전송 해시 정책을 선택합니다. tlb_dynamic_lb 매개변수가 0 인 경우에만 모드 5 및 6에 적용됩니다. 이 매개변수의 가능한 값은 layer2 , layer2 +3,layer3+4,encap2+3,encap3+4, vlan+srcmac 입니다.

자세한 내용은 표를 참조하십시오.

정책 또는 네트워크 계층

Layer2

Layer2+3

Layer3+4

encap2+3

encap3+4

VLAN+srcmac

사용

소스 및 대상 MAC 주소 및 이더넷 프로토콜 유형의 XOR

소스 및 대상 MAC 주소의 XOR

소스 및 대상 포트 및 IP 주소 XOR

지원되는 터널 내의 소스 및 대상 MAC 주소 및 IP 주소(예: VXLAN(Virtual Extensible LAN)) XOR. 이 모드는 skb_flow_dissect() 함수를 사용하여 헤더 필드를 가져옵니다.

지원되는 터널 내의 소스 및 대상 포트 및 IP 주소(예: VXLAN)의 XOR. 이 모드는 skb_flow_dissect() 함수를 사용하여 헤더 필드를 가져옵니다.

VLAN ID 및 소스 MAC 공급 업체 및 소스 MAC 장치의 XOR

트래픽 배치

동일한 기본 네트워크 인터페이스에서 특정 네트워크 피어로의 모든 트래픽

동일한 기본 네트워크 인터페이스의 특정 IP 주소로의 모든 트래픽

동일한 기본 네트워크 인터페이스의 특정 IP 주소 및 포트에 대한 모든 트래픽

   

기본 선택

동일한 브로드캐스트 도메인에 이 시스템과 여러 다른 시스템 간에 네트워크 트래픽이 있는 경우

이 시스템과 여러 다른 시스템 간의 네트워크 트래픽이 기본 게이트웨이를 통과하는 경우

이 시스템과 다른 시스템 간의 네트워크 트래픽이 동일한 IP 주소를 사용하지만 여러 포트를 통과하는 경우

캡슐화된 트래픽은 소스 시스템과 여러 IP 주소를 사용하는 여러 다른 시스템 간의 트래픽입니다.

캡슐화된 트래픽은 여러 포트 번호를 사용하는 소스 시스템과 기타 시스템 간 트래픽입니다.

본딩에서 여러 컨테이너 또는 VM(가상 머신)의 네트워크 트래픽을 브리지 네트워크와 같은 외부 네트워크에 직접 노출하고 모드 2 또는 모드 4의 스위치를 구성할 수 없습니다.

보조 선택

네트워크 트래픽이 대부분 이 시스템과 기본 게이트웨이 뒤의 여러 다른 시스템 사이인 경우

네트워크 트래픽이 이 시스템과 다른 시스템 사이에 있는 경우

    

compliant

802.3ad

802.3ad

802.3ad는 아닙니다.

   

기본 정책

구성이 제공되지 않는 경우 기본 정책입니다.

IP가 아닌 트래픽의 경우 수식이 layer2 전송 정책과 동일합니다.

IP가 아닌 트래픽의 경우 수식이 layer2 전송 정책과 동일합니다.

   

4장. 네트워크 티밍 구성

네트워크 팀은 물리적 및 가상 네트워크 인터페이스를 결합하거나 집계하여 처리량 또는 중복성이 높은 논리 인터페이스를 제공하는 방법입니다. 네트워크 티밍은 작은 커널 모듈을 사용하여 패킷 흐름에 대한 빠른 처리 및 기타 작업에 대한 사용자 공간 서비스를 구현합니다. 이를 통해 네트워크 팀은 로드 밸런싱 및 중복 요구 사항에 맞게 쉽게 확장 가능하고 확장 가능한 솔루션입니다.

Red Hat Enterprise Linux는 관리자에게 팀 장치를 구성하는 다양한 옵션을 제공합니다. 예를 들면 다음과 같습니다.

  • nmcli 를 사용하여 명령줄을 사용하여 팀 연결을 구성합니다.
  • RHEL 웹 콘솔을 사용하여 웹 브라우저를 사용하여 팀 연결을 구성합니다.
  • nm-connection-editor 애플리케이션을 사용하여 그래픽 인터페이스에서 팀 연결을 구성합니다.
중요

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 대안으로 네트워크 본딩 드라이버를 사용하는 것이 좋습니다. 자세한 내용은 네트워크 본딩 구성 을 참조하십시오.

4.1. 네트워크 팀 구성을 네트워크 본딩으로 마이그레이션

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 작업 중인 네트워크 팀이 이미 구성되어 있는 경우(예: 이전 RHEL 버전에서 업그레이드한 경우 NetworkManager에서 관리하는 네트워크 본딩으로 구성을 마이그레이션할 수 있습니다.

중요

team2bond 유틸리티는 네트워크 팀 구성을 본딩으로만 변환합니다. 이후 IP 주소 및 DNS 구성과 같은 본딩의 추가 설정을 수동으로 구성해야 합니다.

사전 요구 사항

  • team-team0 NetworkManager 연결 프로필이 team0 장치를 구성하고 관리합니다.
  • teamd 패키지가 설치되어 있습니다.

절차

  1. 선택 사항: team-team0 NetworkManager 연결의 IP 구성을 표시합니다.

    # nmcli connection show team-team0 | egrep "^ip"
    ...
    ipv4.method:                            manual
    ipv4.dns:                               192.0.2.253
    ipv4.dns-search:                        example.com
    ipv4.addresses:                         192.0.2.1/24
    ipv4.gateway:                           192.0.2.254
    ...
    ipv6.method:                            manual
    ipv6.dns:                               2001:db8:1::fffd
    ipv6.dns-search:                        example.com
    ipv6.addresses:                         2001:db8:1::1/64
    ipv6.gateway:                           2001:db8:1::fffe
    ...
  2. team0 장치의 구성을 JSON 파일로 내보냅니다.

    # teamdctl team0 config dump actual > /tmp/team0.json
  3. 네트워크 팀을 제거합니다. 예를 들어 NetworkManager에서 팀을 구성한 경우 team-team0 연결 프로필과 관련 포트의 프로필을 제거합니다.

    # nmcli connection delete team-team0
    # nmcli connection delete team-team0-port1
    # nmcli connection delete team-team0-port2
  4. 시험 실행 모드에서 team2bond 유틸리티를 실행하여 팀 장치와 유사한 설정으로 네트워크 본딩을 설정하는 nmcli 명령을 표시합니다.

    # team2bond --config=/tmp/team0.json --rename=bond0
    nmcli con add type bond ifname bond0 bond.options "mode=active-backup,num_grat_arp=1,num_unsol_na=1,resend_igmp=1,miimon=100,miimon=100"
    nmcli con add type ethernet ifname enp7s0 controller bond0
    nmcli con add type ethernet ifname enp8s0 controller bond0

    첫 번째 명령에는 팀 구성 파일에 두 개의 link_watch 항목이 포함되어 있었기 때문에 두 개의 miimon 옵션이 포함되어 있습니다. 이는 본딩 생성에는 영향을 미치지 않습니다.

    서비스를 팀의 장치 이름에 바인딩하고 이러한 서비스를 업데이트하거나 중단하지 않으려면 --rename=bond0 옵션을 생략합니다. 이 경우 team2bond 는 팀에 대해 본딩에 동일한 인터페이스 이름을 사용합니다.

  5. team2bond 유틸리티에 대한 옵션이 올바른지 확인합니다.
  6. 본딩을 만듭니다. 제안된 nmcli 명령을 실행하거나 --exec-cmd 옵션을 사용하여 team2bond 명령을 다시 실행할 수 있습니다.

    # team2bond --config=/tmp/team0.json --rename=bond0 --exec-cmd
    Connection 'bond-bond0' (0241a531-0c72-4202-80df-73eadfc126b5) successfully added.
    Connection 'bond-port-enp7s0' (38489729-b624-4606-a784-1ccf01e2f6d6) successfully added.
    Connection 'bond-port-enp8s0' (de97ec06-7daa-4298-9a71-9d4c7909daa1) successfully added.

    다음 단계에 본딩 연결 프로필의 이름(bond-bond0)이 필요합니다.

  7. team-team0 에서 이전에 구성된 IPv4 설정을 bond-bond0 연결로 설정합니다.

    # nmcli connection modify bond-bond0 ipv4.addresses '192.0.2.1/24'
    # nmcli connection modify bond-bond0 ipv4.gateway '192.0.2.254'
    # nmcli connection modify bond-bond0 ipv4.dns '192.0.2.253'
    # nmcli connection modify bond-bond0 ipv4.dns-search 'example.com'
    # nmcli connection modify bond-bond0 ipv4.method manual
  8. team-team0 에서 이전에 구성된 IPv6 설정을 bond-bond0 연결로 설정합니다.

    # nmcli connection modify bond-bond0 ipv6.addresses '2001:db8:1::1/64'
    # nmcli connection modify bond-bond0 ipv6.gateway '2001:db8:1::fffe'
    # nmcli connection modify bond-bond0 ipv6.dns '2001:db8:1::fffd'
    # nmcli connection modify bond-bond0 ipv6.dns-search 'example.com'
    # nmcli connection modify bond-bond0 ipv6.method manual
  9. 연결을 활성화합니다.

    # nmcli connection up bond-bond0

검증

  1. bond-bond0 NetworkManager 연결의 IP 구성을 표시합니다.

    # nmcli connection show bond-bond0 | egrep "^ip"
    ...
    ipv4.method:                            manual
    ipv4.dns:                               192.0.2.253
    ipv4.dns-search:                        example.com
    ipv4.addresses:                         192.0.2.1/24
    ipv4.gateway:                           192.0.2.254
    ...
    ipv6.method:                            manual
    ipv6.dns:                               2001:db8:1::fffd
    ipv6.dns-search:                        example.com
    ipv6.addresses:                         2001:db8:1::1/64
    ipv6.gateway:                           2001:db8:1::fffe
    ...
  2. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0
    Ethernet Channel Bonding Driver: v5.13.0-0.rc7.51.el9.x86_64
    
    Bonding Mode: fault-tolerance (active-backup)
    Primary Slave: None
    Currently Active Slave: enp7s0
    MII Status: up
    MII Polling Interval (ms): 100
    Up Delay (ms): 0
    Down Delay (ms): 0
    Peer Notification Delay (ms): 0
    
    Slave Interface: enp7s0
    MII Status: up
    Speed: Unknown
    Duplex: Unknown
    Link Failure Count: 0
    Permanent HW addr: 52:54:00:bf:b1:a9
    Slave queue ID: 0
    
    Slave Interface: enp8s0
    MII Status: up
    Speed: Unknown
    Duplex: Unknown
    Link Failure Count: 0
    Permanent HW addr: 52:54:00:04:36:0f
    Slave queue ID: 0

    이 예에서는 두 포트가 모두 유효합니다.

  3. 본딩 장애 조치가 작동하는지 확인하려면 다음을 수행합니다.

    1. 호스트에서 네트워크 케이블을 일시적으로 제거합니다. 명령줄을 사용하여 링크 실패 이벤트를 올바르게 테스트하는 방법이 없습니다.
    2. 본딩 상태를 표시합니다.

      # cat /proc/net/bonding/bond0

4.2. 컨트롤러 및 포트 인터페이스의 기본 동작 이해

NetworkManager 서비스를 사용하여 팀 또는 본딩 포트 인터페이스를 관리하거나 해결할 때 다음 기본 동작을 고려하십시오.

  • 컨트롤러 인터페이스를 시작하면 포트 인터페이스가 자동으로 시작되지 않습니다.
  • 포트 인터페이스를 시작하면 항상 컨트롤러 인터페이스가 시작됩니다.
  • 컨트롤러 인터페이스를 중지하면 포트 인터페이스도 중지됩니다.
  • 포트가 없는 컨트롤러는 고정 IP 연결을 시작할 수 있습니다.
  • 포트 없는 컨트롤러는 DHCP 연결을 시작할 때 포트를 대기합니다.
  • 포트를 기다리는 DHCP 연결이 있는 컨트롤러는 캐리어가 있는 포트를 추가할 때 완료됩니다.
  • 포트를 기다리는 DHCP 연결이 있는 컨트롤러는 캐리어 없이 포트를 추가할 때 계속 대기합니다.

4.4. nmcli를 사용하여 네트워크 팀 구성

명령줄에서 네트워크 팀을 구성하려면 nmcli 유틸리티를 사용합니다.

중요

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 대안으로 네트워크 본딩 드라이버를 사용하는 것이 좋습니다. 자세한 내용은 네트워크 본딩 구성 을 참조하십시오.

사전 요구 사항

절차

  1. 팀 인터페이스를 생성합니다.

    # nmcli connection add type team con-name team0 ifname team0 team.runner activebackup

    이 명령은 activebackup 실행기를 사용하는 team0 이라는 네트워크 팀을 생성합니다.

  2. 선택적으로 링크 감시자를 설정합니다. 예를 들어 team0 연결 프로필에서 ethtool 링크 감시자를 설정하려면 다음을 수행합니다.

    # nmcli connection modify team0 team.link-watchers "name=ethtool"

    링크 감시자는 서로 다른 매개 변수를 지원합니다. 링크 감시자의 매개변수를 설정하려면 name 속성에 공백을 지정합니다. name 속성은 따옴표로 묶어야 합니다. 예를 들어 ethtool 링크 감시자를 사용하여 delay-up 매개변수를 2500 밀리초(2.5초)로 설정하려면 다음을 수행합니다.

    # nmcli connection modify team0 team.link-watchers "name=ethtool delay-up=2500"

    여러 링크 감시자와 특정 매개 변수를 사용하여 각각을 설정하려면 링크 감시자를 쉼표로 구분해야 합니다. 다음 예제에서는 source-hosttarget-host 매개변수를 사용하여 delay-up 매개변수 및 arp_ping 링크 감시자를 사용하여 ethtool 링크 감시자를 설정합니다.

    # nmcli connection modify team0 team.link-watchers "name=ethtool delay-up=2, name=arp_ping source-host=192.0.2.1 target-host=192.0.2.2"
  3. 네트워크 인터페이스를 표시하고 팀에 추가하려는 인터페이스의 이름을 기록해 둡니다.

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp7s0  ethernet  disconnected  --
    enp8s0  ethernet  disconnected  --
    bond0   bond      connected  bond0
    bond1   bond      connected  bond1
    ...

    이 예제에서는 다음을 수행합니다.

    • enp7s0enp8s0 은 구성되지 않습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 연결 프로필을 추가합니다. 연결에 할당되지 않은 팀의 이더넷 인터페이스만 사용할 수 있습니다.
    • bond0bond1 에는 기존 연결 프로필이 있습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 프로필을 수정합니다.
  4. 팀에 포트 인터페이스를 할당합니다.

    1. 팀에 할당하려는 인터페이스가 구성되지 않은 경우 해당 인스턴스에 대한 새 연결 프로필을 생성합니다.

      # nmcli connection add type ethernet port-type team con-name team0-port1 ifname enp7s0 controller team0
      # nmcli connection add type ethernet port--type team con-name team0-port2 ifname enp8s0 controller team0

      이러한 명령은 enp7s0enp8s0 에 대한 프로필을 생성하여 team0 연결에 추가합니다.

    2. 기존 연결 프로필을 팀에 할당하려면 다음을 수행합니다.

      1. 이러한 연결의 controller 매개변수를 team0 으로 설정합니다.

        # nmcli connection modify bond0 controller team0
        # nmcli connection modify bond1 controller team0

        이러한 명령은 bond0bond1 이라는 기존 연결 프로필을 team0 연결에 할당합니다.

      2. 연결을 다시 활성화합니다.

        # nmcli connection up bond0
        # nmcli connection up bond1
  5. IPv4 설정을 구성합니다.

    • 이 팀 장치를 다른 장치의 포트로 사용하려면 다음을 입력합니다.

      # nmcli connection modify team0 ipv4.method disabled
    • DHCP를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 team0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify team0 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.dns-search 'example.com' ipv4.method manual
  6. IPv6 설정을 구성합니다.

    • 이 팀 장치를 다른 장치의 포트로 사용하려면 다음을 입력합니다.

      # nmcli connection modify team0 ipv6.method disabled
    • SLAAC(stateless address autoconfiguration)를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 team0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify team0 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual
  7. 연결을 활성화합니다.

    # nmcli connection up team0

검증

  • 팀 상태를 표시합니다.

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

    이 예에서는 두 포트가 모두 유효합니다.

4.5. RHEL 웹 콘솔을 사용하여 네트워크 팀 구성

웹 브라우저 기반 인터페이스를 사용하여 네트워크 설정을 관리하려면 RHEL 웹 콘솔을 사용하여 네트워크 팀을 구성합니다.

중요

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 대안으로 네트워크 본딩 드라이버를 사용하는 것이 좋습니다. 자세한 내용은 네트워크 본딩 구성 을 참조하십시오.

사전 요구 사항

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 인터페이스 섹션에서 팀 추가를 클릭합니다.
  3. 생성할 팀 장치의 이름을 입력합니다.
  4. 팀의 포트여야 하는 인터페이스를 선택합니다.
  5. 팀의 runner를 선택합니다.

    로드 밸런싱 또는 802.3ad LACP 를 선택하면 웹 콘솔에 추가 필드 밸런서 가 표시됩니다.

  6. 링크 감시자를 설정합니다.

    • Ethtool, additionally를 선택하면 링크를 설정하고 지연을 연결합니다.
    • ARP ping 또는 NSNA ping 을 추가로 설정하는 경우 ping 간격 및 ping 대상을 설정합니다.
    팀 설정
  7. Apply(적용)를 클릭합니다.
  8. 기본적으로 팀은 동적 IP 주소를 사용합니다. 고정 IP 주소를 설정하려면 다음을 수행합니다.

    1. Interfaces 섹션에서 팀 이름을 클릭합니다.
    2. 구성할 프로토콜 옆에 있는 편집 을 클릭합니다.
    3. 주소 옆에 있는 Manual 을 선택하고 IP 주소, 접두사 및 기본 게이트웨이를 입력합니다.
    4. DNS 섹션에서 + 버튼을 클릭하고 DNS 서버의 IP 주소를 입력합니다. 이 단계를 반복하여 여러 DNS 서버를 설정합니다.
    5. DNS 검색 도메인 섹션에서 + 버튼을 클릭하고 검색 도메인을 입력합니다.
    6. 인터페이스에 정적 경로가 필요한 경우 Routes 섹션에서 구성합니다.

      본딩 팀 브리지 vlan.ipv4
    7. 적용을클릭합니다.

검증

  1. 화면 왼쪽의 탐색에서 Networking 탭을 선택하고 인터페이스에서 들어오고 나가는 트래픽이 있는지 확인합니다.

    팀 검증
  2. 팀 상태를 표시합니다.

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

    이 예에서는 두 포트가 모두 유효합니다.

추가 리소스

4.6. nm-connection-editor를 사용하여 네트워크 팀 구성

그래픽 인터페이스와 함께 Red Hat Enterprise Linux를 사용하는 경우 nm-connection-editor 애플리케이션을 사용하여 네트워크 팀을 구성할 수 있습니다.

nm-connection-editor 는 팀에 새 포트만 추가할 수 있습니다. 기존 연결 프로필을 포트로 사용하려면 nmcli 를 사용하여 네트워크 팀 구성에 설명된 대로 nmcli 유틸리티를 사용하여 팀을 생성합니다.

중요

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 대안으로 네트워크 본딩 드라이버를 사용하는 것이 좋습니다. 자세한 내용은 네트워크 본딩 구성 을 참조하십시오.

사전 요구 사항

  • teamdNetworkManager-team 패키지가 설치됩니다.
  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 팀의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 본딩 또는 VLAN 장치를 팀의 포트로 사용하려면 이러한 장치가 아직 구성되어 있지 않은지 확인합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. 연결 유형을 선택하고 생성을 클릭합니다.
  4. 탭에서 다음을 수행합니다.

    1. 선택 사항: Interface name 필드에 팀 인터페이스의 이름을 설정합니다.
    2. Add 버튼을 클릭하여 네트워크 인터페이스의 새 연결 프로필을 추가하고 해당 프로필을 팀에 포트로 추가합니다.

      1. 인터페이스의 연결 유형을 선택합니다. 예를 들어 유선 연결로 이더넷 을 선택합니다.
      2. 선택 사항: 포트에 대한 연결 이름을 설정합니다.
      3. 이더넷 장치에 대한 연결 프로필을 생성하는 경우 이더넷 탭을 열고 장치 필드에서 팀에 포트로 추가할 네트워크 인터페이스를 선택합니다. 다른 장치 유형을 선택한 경우 적절하게 구성합니다. 연결에 할당되지 않은 팀의 이더넷 인터페이스만 사용할 수 있습니다.
      4. 저장을 클릭합니다.
    3. 팀에 추가할 각 인터페이스에 대해 이전 단계를 반복합니다.

      add nic to team in nm connection editor

    4. 고급 버튼을 클릭하여 고급 옵션을 팀 연결에 설정합니다.

      1. Runner 탭에서 러너를 선택합니다.
      2. Link Watcher 탭에서 link watcher 및 해당 설정의 선택적 설정을 설정합니다.
      3. OK를 클릭합니다.
  5. IPv4 설정 및 IPv6 설정 탭에서 IP 주소 설정을 구성합니다.

    • 이 브리지 장치를 다른 장치의 포트로 사용하려면 Method 필드를 Disabled 로 설정합니다.
    • DHCP를 사용하려면 Method 필드를 기본값인 Automatic(DHCP) 으로 둡니다.
    • 고정 IP 설정을 사용하려면 Method 필드를 Manual 로 설정하고 그에 따라 필드를 작성합니다.

      team IP settings nm connection editor

  6. 저장을 클릭합니다.
  7. nm-connection-editor 를 종료합니다.

검증

  • 팀 상태를 표시합니다.

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

5장. VLAN 태그 지정 구성

VLAN(Virtual Local Area Network)은 물리적 네트워크 내의 논리적 네트워크입니다. VLAN 인터페이스 태그 패킷에는 인터페이스를 통과할 때 VLAN ID가 있는 패킷을 태그하고 패킷 반환 태그를 제거합니다. 이더넷, 본딩, 팀 또는 브리지 장치와 같은 다른 인터페이스의 상단에 VLAN 인터페이스를 생성합니다. 이러한 인터페이스를 부모 인터페이스 라고 합니다.

Red Hat Enterprise Linux는 관리자가 VLAN 장치를 구성하는 다양한 옵션을 제공합니다. 예를 들면 다음과 같습니다.

  • nmcli 를 사용하여 명령줄을 사용하여 VLAN 태그 지정을 구성합니다.
  • RHEL 웹 콘솔을 사용하여 웹 브라우저를 사용하여 VLAN 태그를 구성합니다.
  • nmtui 를 사용하여 텍스트 기반 사용자 인터페이스에서 VLAN 태그를 구성합니다.
  • nm-connection-editor 애플리케이션을 사용하여 그래픽 인터페이스에서 연결을 구성합니다.
  • nmstatectl 을 사용하여 Nmstate API를 통한 연결을 구성합니다.
  • RHEL 시스템 역할을 사용하여 하나 이상의 호스트에서 VLAN 구성을 자동화합니다.

5.1. nmcli를 사용하여 VLAN 태그 구성

nmcli 유틸리티를 사용하여 명령줄에서 VLAN(Virtual Local Area Network) 태그를 구성할 수 있습니다.

사전 요구 사항

  • 가상 VLAN 인터페이스의 상위로 사용할 인터페이스는 VLAN 태그를 지원합니다.
  • 본딩 인터페이스 상단에 VLAN을 구성하는 경우:

    • 본딩의 포트가 작동합니다.
    • 본딩은 fail_over_mac=follow 옵션으로 구성되지 않습니다. VLAN 가상 장치는 상위의 새 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없습니다. 이러한 경우 트래픽이 잘못된 소스 MAC 주소로 전송됩니다.
    • 일반적으로 본딩은 DHCP 서버 또는 IPv6 자동 구성에서 IP 주소를 가져오지 않습니다. 본딩을 생성하는 동안 ipv4.method=disableipv6.method=ignore 옵션을 설정하여 확인합니다. 그렇지 않으면 잠시 후에 DHCP 또는 IPv6 자동 구성이 실패하면 인터페이스가 중단될 수 있습니다.
  • 호스트가 연결된 스위치는 VLAN 태그를 지원하도록 구성됩니다. 자세한 내용은 스위치 설명서를 참조하십시오.

절차

  1. 네트워크 인터페이스를 표시합니다.

    # nmcli device status
    DEVICE   TYPE      STATE         CONNECTION
    enp1s0   ethernet  disconnected  enp1s0
    bridge0  bridge    connected     bridge0
    bond0    bond      connected     bond0
    ...
  2. VLAN 인터페이스를 생성합니다. 예를 들어 enp1s0 을 상위 인터페이스로 사용하고 VLAN ID 10 을 사용하여 패킷 태그를 지정하는 vlan10 이라는 VLAN 인터페이스를 생성하려면 다음을 입력합니다.

    # nmcli connection add type vlan con-name vlan10 ifname vlan10 vlan.parent enp1s0 vlan.id 10

    VLAN은 0 에서 4094 사이의 범위 내에 있어야 합니다.

  3. 기본적으로 VLAN 연결은 상위 인터페이스의 최대 전송 단위(MTU)를 상속합니다. 선택적으로 다른 MTU 값을 설정합니다.

    # nmcli connection modify vlan10 ethernet.mtu 2000
  4. IPv4 설정을 구성합니다.

    • 이 VLAN 장치를 다른 장치의 포트로 사용하려면 다음을 입력합니다.

      # nmcli connection modify vlan10 ipv4.method disabled
    • DHCP를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 vlan10 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify vlan10 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.method manual
  5. IPv6 설정을 구성합니다.

    • 이 VLAN 장치를 다른 장치의 포트로 사용하려면 다음을 입력합니다.

      # nmcli connection modify vlan10 ipv6.method disabled
    • SLAAC(stateless address autoconfiguration)를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 vlan10 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify vlan10 ipv6.addresses '2001:db8:1::1/32' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.method manual
  6. 연결을 활성화합니다.

    # nmcli connection up vlan10

검증

  • 설정을 확인합니다.

    # ip -d addr show vlan10
    4: vlan10@enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:72:2f:6e brd ff:ff:ff:ff:ff:ff promiscuity 0
        vlan protocol 802.1Q id 10 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute vlan10
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::8dd7:9030:6f8e:89e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • nm-settings(5) 도움말 페이지

5.2. nmcli를 사용하여 중첩된 VLAN 구성

802.1ad는 VLAN(Virtual Local Area Network) 태그에 사용되는 프로토콜입니다. Q-in-Q 태깅이라고도 합니다. 이 기술을 사용하여 단일 이더넷 프레임 내에 여러 VLAN 태그를 생성하여 다음과 같은 이점을 얻을 수 있습니다.

  • VLAN 내에서 여러 개의 격리된 네트워크 세그먼트를 생성하여 네트워크 확장성이 향상됩니다. 이를 통해 대규모 네트워크를 작고 관리 가능한 단위로 분할하고 구성할 수 있습니다.
  • 다양한 유형의 네트워크 트래픽을 분리하고 제어하여 트래픽 관리 개선. 이를 통해 네트워크 성능을 개선하고 네트워크 정체를 줄일 수 있습니다.
  • 더 작고 대상 네트워크 세그먼트를 생성할 수 있으므로 리소스 사용률을 효율적으로 사용할 수 있습니다.
  • 네트워크 트래픽을 분리하고 중요한 데이터에 대한 무단 액세스 위험을 줄여 보안 강화.

사전 요구 사항

  • 가상 VLAN 인터페이스의 상위로 사용할 인터페이스는 VLAN 태그를 지원합니다.
  • 본딩 인터페이스 상단에 VLAN을 구성하는 경우:

    • 본딩의 포트가 작동합니다.
    • 본딩은 fail_over_mac=follow 옵션으로 구성되지 않습니다. VLAN 가상 장치는 상위의 새 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없습니다. 이러한 경우 트래픽이 잘못된 소스 MAC 주소로 전송됩니다.
    • 일반적으로 본딩은 DHCP 서버 또는 IPv6 자동 구성에서 IP 주소를 가져오지 않습니다. 본딩을 생성하는 동안 ipv4.method=disableipv6.method=ignore 옵션을 설정하여 확인합니다. 그렇지 않으면 잠시 후에 DHCP 또는 IPv6 자동 구성이 실패하면 인터페이스가 중단될 수 있습니다.
  • 호스트가 연결된 스위치는 VLAN 태그를 지원하도록 구성됩니다. 자세한 내용은 스위치 설명서를 참조하십시오.

절차

  1. 물리적 네트워크 장치를 표시합니다.

    # nmcli device status
    DEVICE   TYPE      STATE         CONNECTION
    enp1s0  ethernet  connected      enp1s0
    ...
  2. 기본 VLAN 인터페이스를 만듭니다. 예를 들어 enp1s0 을 상위 인터페이스로 사용하고 VLAN ID 10 을 사용하여 패킷을 태그하는 vlan10 이라는 기본 VLAN 인터페이스를 생성하려면 다음을 입력합니다.

    # nmcli connection add type vlan con-name vlan10 dev enp1s0 vlan.id 10

    VLAN은 0 에서 4094 사이의 범위 내에 있어야 합니다.

  3. 기본적으로 VLAN 연결은 상위 인터페이스의 최대 전송 단위(MTU)를 상속합니다. 선택적으로 다른 MTU 값을 설정합니다.

    # nmcli connection modify vlan10 ethernet.mtu 2000
  4. 기본 VLAN 인터페이스 상단에 중첩된 VLAN 인터페이스를 생성합니다.

    # nmcli connection add type vlan con-name vlan10.20 dev enp1s0.10 id 20 vlan.protocol 802.1ad

    이 명령은 이름이 vlan10.20 이고 상위 VLAN 연결 vlan10 에 VLAN ID가 20 인 새 VLAN 연결을 생성합니다. dev 옵션은 상위 네트워크 장치를 지정합니다. 이 경우 enp1s0.10 입니다. vlan.protocol 옵션은 VLAN 캡슐화 프로토콜을 지정합니다. 이 경우 802.1ad (Q-in-Q)입니다.

  5. 중첩된 VLAN 인터페이스의 IPv4 설정을 구성합니다.

    • DHCP를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 vlan10.20 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify vlan10.20 ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv4.gateway 192.0.2.254 ipv4.dns 192.0.2.200
  6. 중첩된 VLAN 인터페이스의 IPv6 설정을 구성합니다.

    • SLAAC(stateless address autoconfiguration)를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 vlan10 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify vlan10 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.method manual
  7. 프로필을 활성화합니다.

    # nmcli connection up vlan10.20

검증

  1. 중첩된 VLAN 인터페이스의 구성을 확인합니다.

    # ip -d addr show enp1s0.10.20
    10: enp1s0.10.20@enp1s0.10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:d2:74:3e brd ff:ff:ff:ff:ff:ff promiscuity 0 minmtu 0 maxmtu 65535
        vlan protocol 802.1ad id 20 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535 tso_max_size 65536 tso_max_segs 65535 gro_max_size 65536
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0.10.20
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::ce3b:84c5:9ef8:d0e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • nm-settings(5) 도움말 페이지

5.3. RHEL 웹 콘솔을 사용하여 VLAN 태그 지정 설정

웹 브라우저 기반 인터페이스를 사용하여 네트워크 설정을 관리하려면 RHEL 웹 콘솔을 사용하여 VLAN 태그를 구성합니다.

사전 요구 사항

  • 가상 VLAN 인터페이스의 상위로 사용할 인터페이스는 VLAN 태그를 지원합니다.
  • 본딩 인터페이스 상단에 VLAN을 구성하는 경우:

    • 본딩의 포트가 작동합니다.
    • 본딩은 fail_over_mac=follow 옵션으로 구성되지 않습니다. VLAN 가상 장치는 상위의 새 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없습니다. 이러한 경우 트래픽이 잘못된 소스 MAC 주소로 전송됩니다.
    • 일반적으로 본딩은 DHCP 서버 또는 IPv6 자동 구성에서 IP 주소를 가져오지 않습니다. IPv4 및 IPv6 프로토콜을 비활성화하여 본딩을 만듭니다. 그렇지 않으면 잠시 후에 DHCP 또는 IPv6 자동 구성이 실패하면 인터페이스가 중단될 수 있습니다.
  • 호스트가 연결된 스위치는 VLAN 태그를 지원하도록 구성됩니다. 자세한 내용은 스위치 설명서를 참조하십시오.

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 인터페이스 섹션에서 VLAN 추가 를 클릭합니다.
  3. 상위 장치를 선택합니다.
  4. VLAN ID를 입력합니다.
  5. VLAN 장치의 이름을 입력하거나 자동으로 생성된 이름을 유지합니다.

    VLAN 설정
  6. Apply(적용)를 클릭합니다.
  7. 기본적으로 VLAN 장치는 동적 IP 주소를 사용합니다. 고정 IP 주소를 설정하려면 다음을 수행합니다.

    1. Interfaces 섹션에서 VLAN 장치의 이름을 클릭합니다.
    2. 구성할 프로토콜 옆에 있는 편집 을 클릭합니다.
    3. 주소 옆에 있는 Manual 을 선택하고 IP 주소, 접두사 및 기본 게이트웨이를 입력합니다.
    4. DNS 섹션에서 + 버튼을 클릭하고 DNS 서버의 IP 주소를 입력합니다. 이 단계를 반복하여 여러 DNS 서버를 설정합니다.
    5. DNS 검색 도메인 섹션에서 + 버튼을 클릭하고 검색 도메인을 입력합니다.
    6. 인터페이스에 정적 경로가 필요한 경우 Routes 섹션에서 구성합니다.

      본딩 팀 브리지 vlan.ipv4
    7. 적용을클릭합니다.

검증

  • 화면 왼쪽의 탐색에서 Networking 탭을 선택하고 인터페이스에서 수신 및 발신 트래픽이 있는지 확인합니다.

    vlan verify

5.4. nmtui를 사용하여 VLAN 태그 지정 구성

nmtui 애플리케이션은 NetworkManager에 대한 텍스트 기반 사용자 인터페이스를 제공합니다. nmtui 를 사용하여 그래픽 인터페이스 없이 호스트에서 VLAN 태그를 구성할 수 있습니다.

참고

nmtui 에서 :

  • 커서 키를 사용하여 이동합니다.
  • 버튼을 선택하고 Enter 를 누릅니다.
  • Space 를 사용하여 확인란을 선택하고 지웁니다.

사전 요구 사항

  • 가상 VLAN 인터페이스의 상위로 사용할 인터페이스는 VLAN 태그를 지원합니다.
  • 본딩 인터페이스 상단에 VLAN을 구성하는 경우:

    • 본딩의 포트가 작동합니다.
    • 본딩은 fail_over_mac=follow 옵션으로 구성되지 않습니다. VLAN 가상 장치는 상위의 새 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없습니다. 이러한 경우 트래픽은 여전히 잘못된 소스 MAC 주소와 함께 전송됩니다.
    • 일반적으로 본딩은 DHCP 서버 또는 IPv6 자동 구성에서 IP 주소를 가져오지 않습니다. 본딩을 생성하는 동안 ipv4.method=disableipv6.method=ignore 옵션을 설정하여 확인합니다. 그렇지 않으면 잠시 후에 DHCP 또는 IPv6 자동 구성이 실패하면 인터페이스가 중단될 수 있습니다.
  • 호스트가 연결된 스위치는 VLAN 태그를 지원하도록 구성되어 있습니다. 자세한 내용은 스위치 설명서를 참조하십시오.

절차

  1. VLAN 태그를 구성할 네트워크 장치 이름을 모르는 경우 사용 가능한 장치를 표시합니다.

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    enp1s0     ethernet  unavailable             --
    ...
  2. start nmtui:

    # nmtui
  3. Edit a connection 을 선택하고 Enter 를 누릅니다.
  4. 추가를 누릅니다.
  5. 네트워크 유형 목록에서 VLAN 을 선택하고 Enter 키를 누릅니다.
  6. 선택 사항: 생성할 NetworkManager 프로필의 이름을 입력합니다.

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

  7. 장치 필드에 생성할 VLAN 장치 이름을 입력합니다.
  8. VLAN 태그를 부모 필드에 구성할 장치의 이름을 입력합니다.
  9. VLAN ID를 입력합니다. ID는 0 에서 4094 사이의 범위 내에 있어야 합니다.
  10. 환경에 따라 그에 따라 IPv4 구성 및 IPv6 구성 영역에서 IP 주소 설정을 구성합니다. 이를 위해 다음 영역 옆에 있는 버튼을 누른 후 다음을 선택합니다.

    • 비활성화됨 (이 VLAN 장치에 IP 주소가 필요하지 않거나 다른 장치의 포트로 사용하려는 경우).
    • DHCP 서버 또는 SLAAC(상태 비저장 주소 자동 구성)가 VLAN 장치에 IP 주소를 동적으로 할당하는 경우 자동입니다.
    • 네트워크에 고정 IP 주소 설정이 필요한 경우 수동. 이 경우 추가 필드를 작성해야 합니다.

      1. 추가 필드를 표시하도록 구성할 프로토콜 옆에 Show 를 누릅니다.
      2. 주소 옆에 있는 추가 를 클릭하고 CIDR(Classless Inter-Domain Routing) 형식으로 IP 주소와 서브넷 마스크를 입력합니다.

        서브넷 마스크를 지정하지 않으면 NetworkManager는 IPv4 주소에 대해 /32 서브넷 마스크와 IPv6 주소에 대해 /64 를 설정합니다.

      3. 기본 게이트웨이의 주소를 입력합니다.
      4. DNS 서버 옆에 있는 추가 를 클릭하고 DNS 서버 주소를 입력합니다.
      5. 검색 도메인 옆에 있는 추가 를 클릭하고 DNS 검색 도메인을 입력합니다.

    그림 5.1. 고정 IP 주소 설정을 사용한 VLAN 연결 예

    nmtui vlan static IP
  11. OK 를 눌러 새 연결을 만들고 자동으로 활성화합니다.
  12. 다시 키를 눌러 기본 메뉴로 돌아갑니다.
  13. Quit 를 선택하고 Enter 를 눌러 nmtui 애플리케이션을 종료합니다.

검증

  • 설정을 확인합니다.

    # ip -d addr show vlan10
    4: vlan10@enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:72:2f:6e brd ff:ff:ff:ff:ff:ff promiscuity 0
        vlan protocol 802.1Q id 10 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute vlan10
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::8dd7:9030:6f8e:89e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

5.5. nm-connection-editor를 사용하여 VLAN 태그 지정 설정

nm-connection-editor 애플리케이션을 사용하여 그래픽 인터페이스에서 VLAN(Virtual Local Area Network) 태그를 구성할 수 있습니다.

사전 요구 사항

  • 가상 VLAN 인터페이스의 상위로 사용할 인터페이스는 VLAN 태그를 지원합니다.
  • 본딩 인터페이스 상단에 VLAN을 구성하는 경우:

    • 본딩의 포트가 작동합니다.
    • 본딩은 fail_over_mac=follow 옵션으로 구성되지 않습니다. VLAN 가상 장치는 상위의 새 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없습니다. 이러한 경우 트래픽이 잘못된 소스 MAC 주소로 전송됩니다.
  • 호스트가 연결되어 VLAN 태그를 지원하도록 구성된 스위치입니다. 자세한 내용은 스위치 설명서를 참조하십시오.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. VLAN 연결 유형을 선택하고 생성을 클릭합니다.
  4. VLAN 탭에서 다음을 수행합니다.

    1. 상위 인터페이스를 선택합니다.
    2. VLAN ID를 선택합니다. VLAN은 0 에서 4094 사이의 범위 내에 있어야 합니다.
    3. 기본적으로 VLAN 연결은 상위 인터페이스의 최대 전송 단위(MTU)를 상속합니다. 선택적으로 다른 MTU 값을 설정합니다.
    4. 선택적으로 VLAN 인터페이스의 이름과 추가 VLAN 관련 옵션을 설정합니다.

      vlan settings nm connection editor

  5. IPv4 설정 및 IPv6 설정 탭에서 IP 주소 설정을 구성합니다.

    • 이 브리지 장치를 다른 장치의 포트로 사용하려면 Method 필드를 Disabled 로 설정합니다.
    • DHCP를 사용하려면 Method 필드를 기본값인 Automatic(DHCP) 으로 둡니다.
    • 고정 IP 설정을 사용하려면 Method 필드를 Manual 로 설정하고 그에 따라 필드를 작성합니다.

      vlan IP settings nm connection editor

  6. 저장을 클릭합니다.
  7. nm-connection-editor 를 종료합니다.

검증

  1. 설정을 확인합니다.

    # ip -d addr show vlan10
    4: vlan10@enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:d5:e0:fb brd ff:ff:ff:ff:ff:ff promiscuity 0
        vlan protocol 802.1Q id 10 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute vlan10
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::8dd7:9030:6f8e:89e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

5.6. nmstatectl을 사용하여 VLAN 태그 구성

nmstatectl 유틸리티를 사용하여 Nmstate API를 통해 Virtual Local Area Network VLAN을 구성합니다. Nmstate API는 구성을 설정한 후 결과가 구성 파일과 일치하는지 확인합니다. 아무것도 실패하면 nmstatectl 에서 시스템을 잘못된 상태로 두지 않도록 변경 사항을 자동으로 롤백합니다.

환경에 따라 적절하게 YAML 파일을 조정합니다. 예를 들어 VLAN에서 이더넷 어댑터와 다른 장치를 사용하려면 VLAN에서 사용하는 포트의 base-iface 특성 및 유형 속성을 조정합니다.

사전 요구 사항

  • 이더넷 장치를 VLAN의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-vlan.yml )을 만듭니다.

    ---
    interfaces:
    - name: vlan10
      type: vlan
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      vlan:
        base-iface: enp1s0
        id: 10
    - name: enp1s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: vlan10
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: vlan10
    
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb

    이러한 설정은 enp1s0 장치를 사용하는 ID 10이 있는 VLAN을 정의합니다. 하위 장치로 VLAN 연결에는 다음과 같은 설정이 있습니다.

    • /24 서브넷 마스크가 있는 정적 IPv4 주소 - 192.0.2.1
    • 정적 IPv6 주소 - 2001:db8:1::1 ( /64 서브넷 마스크 포함)
    • IPv4 기본 게이트웨이 - 192.0.2.254
    • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
    • IPv4 DNS 서버 - 192.0.2.200
    • IPv6 DNS 서버 2001:db8:1::ffbb
    • DNS 검색 도메인 - example.com
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-vlan.yml

검증

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    vlan10      vlan      connected  vlan10
  2. 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show vlan10
    connection.id:              vlan10
    connection.uuid:            1722970f-788e-4f81-bd7d-a86bf21c9df5
    connection.stable-id:       --
    connection.type:            vlan
    connection.interface-name:  vlan10
    ...
  3. 연결 설정을 YAML 형식으로 표시합니다.

    # nmstatectl show vlan0

추가 리소스

  • nmstatectl(8) man page
  • /usr/share/doc/nmstate/examples/ 디렉터리

5.7. 네트워크 RHEL 시스템 역할을 사용하여 VLAN 태그 구성

네트워크 RHEL 시스템 역할을 사용하여 VLAN 태그를 구성할 수 있습니다. 이 예제에서는 이더넷 연결과 이 이더넷 연결 위에 ID 10 이 있는 VLAN을 추가합니다. 하위 장치로 VLAN 연결에는 IP, 기본 게이트웨이 및 DNS 구성이 포함됩니다.

환경에 따라 적절하게 플레이를 조정합니다. 예를 들면 다음과 같습니다.

  • 본딩과 같은 다른 연결의 포트로 VLAN을 사용하려면 ip 특성을 생략하고 하위 구성의 IP 구성을 설정합니다.
  • VLAN에서 팀, 브리지 또는 본딩 장치를 사용하려면 VLAN에서 사용하는 포트의 interface_nametype 속성을 조정합니다.

사전 요구 사항

절차

  1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure a VLAN that uses an Ethernet connection
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              # Add an Ethernet profile for the underlying device of the VLAN
              - name: enp1s0
                type: ethernet
                interface_name: enp1s0
                autoconnect: yes
                state: up
                ip:
                  dhcp4: no
                  auto6: no
    
              # Define the VLAN profile
              - name: enp1s0.10
                type: vlan
                ip:
                  address:
                    - "192.0.2.1/24"
                    - "2001:db8:1::1/64"
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                vlan_id: 10
                parent: enp1s0
                state: up

    이러한 설정은 enp1s0 장치 상단에서 작동할 VLAN을 정의합니다. VLAN 인터페이스에는 다음과 같은 설정이 있습니다.

    • /24 서브넷 마스크가 있는 정적 IPv4 주소 - 192.0.2.1
    • 정적 IPv6 주소 - 2001:db8:1::1 ( /64 서브넷 마스크 포함)
    • IPv4 기본 게이트웨이 - 192.0.2.254
    • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
    • IPv4 DNS 서버 - 192.0.2.200
    • IPv6 DNS 서버 2001:db8:1::ffbb
    • DNS 검색 도메인 - example.com
    • VLAN ID - 10

      VLAN 프로필의 상위 속성은 VLAN이 enp1s0 장치 상단에서 작동하도록 구성합니다. 하위 장치로 VLAN 연결에는 IP, 기본 게이트웨이 및 DNS 구성이 포함됩니다.

  2. 플레이북 구문을 확인합니다.

    $ ansible-playbook --syntax-check ~/playbook.yml

    이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

  3. 플레이북을 실행합니다.

    $ ansible-playbook ~/playbook.yml

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/doc/rhel-system-roles/network/ 디렉터리

6장. 네트워크 브리지 구성

네트워크 브리지는 MAC 주소 테이블을 기반으로 네트워크 간에 트래픽을 전달하는 링크 계층 장치입니다. 브리지는 네트워크 트래픽을 수신 대기하여 MAC 주소 테이블을 빌드하여 각 네트워크에 연결된 호스트를 학습합니다. 예를 들어 Red Hat Enterprise Linux 호스트에서 소프트웨어 브릿지를 사용하여 하드웨어 브릿지 또는 가상화 환경을 에뮬레이션하여 가상 머신(VM)을 호스트와 동일한 네트워크에 통합할 수 있습니다.

브릿지에는 브리지가 연결해야 하는 각 네트워크에 네트워크 장치가 필요합니다. 브리지를 구성하면 브리지를 controller 라고 하며 포트를 사용하는 장치입니다.

다음과 같은 다양한 유형의 장치에서 브리지를 만들 수 있습니다.

  • 물리적 및 가상 이더넷 장치
  • 네트워크 본딩
  • 네트워크 팀
  • VLAN 장치

무선-Fi에서 효율적인 사용을 위해 유선-Fi에서 3개의 주소 프레임 사용을 지정하는 IEEE.16.0 표준으로 인해 Ad-Hoc 또는 인프라 모드에서 작동하는 Wi-Fi 네트워크를 통한 브릿지를 구성할 수 없습니다.

6.1. nmcli를 사용하여 네트워크 브리지 구성

명령줄에서 네트워크 브리지를 구성하려면 nmcli 유틸리티를 사용합니다.

사전 요구 사항

절차

  1. 브리지 인터페이스를 만듭니다.

    # nmcli connection add type bridge con-name bridge0 ifname bridge0

    이 명령은 bridge0 이라는 브릿지를 생성하고 다음을 입력합니다.

  2. 네트워크 인터페이스를 표시하고 브리지에 추가할 인터페이스의 이름을 기록해 둡니다.

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp7s0  ethernet  disconnected  --
    enp8s0  ethernet  disconnected  --
    bond0   bond      connected     bond0
    bond1   bond      connected     bond1
    ...

    이 예제에서는 다음을 수행합니다.

    • enp7s0enp8s0 은 구성되지 않습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 연결 프로필을 추가합니다.
    • bond0bond1 에는 기존 연결 프로필이 있습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 프로필을 수정합니다.
  3. 인터페이스를 브리지에 할당합니다.

    1. 브릿지에 할당하려는 인터페이스가 구성되지 않은 경우 해당 인터페이스에 대한 새 연결 프로필을 생성합니다.

      # nmcli connection add type ethernet port-type bridge con-name bridge0-port1 ifname enp7s0 controller bridge0
      # nmcli connection add type ethernet port-type bridge con-name bridge0-port2 ifname enp8s0 controller bridge0

      이러한 명령은 enp7s0enp8s0 에 대한 프로필을 생성하여 bridge0 연결에 추가합니다.

    2. 기존 연결 프로필을 브리지에 할당하려면 다음을 수행합니다.

      1. 이러한 연결의 컨트롤러 매개 변수를 bridge0 으로 설정합니다.

        # nmcli connection modify bond0 controller bridge0
        # nmcli connection modify bond1 controller bridge0

        이러한 명령은 bond0bond1 이라는 기존 연결 프로필을 bridge0 연결에 할당합니다.

      2. 연결을 다시 활성화합니다.

        # nmcli connection up bond0
        # nmcli connection up bond1
  4. IPv4 설정을 구성합니다.

    • 이 브리지 장치를 다른 장치의 포트로 사용하려면 다음을 입력합니다.

      # nmcli connection modify bridge0 ipv4.method disabled
    • DHCP를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 bridge0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.dns-search 'example.com' ipv4.method manual
  5. IPv6 설정을 구성합니다.

    • 이 브리지 장치를 다른 장치의 포트로 사용하려면 다음을 입력합니다.

      # nmcli connection modify bridge0 ipv6.method disabled
    • SLAAC(stateless address autoconfiguration)를 사용하려면 작업이 필요하지 않습니다.
    • 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 bridge0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify bridge0 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual
  6. 선택 사항: 브릿지의 추가 속성을 구성합니다. 예를 들어 bridge0 의 Spanning Tree Protocol(STP) 우선순위를 16384 로 설정하려면 다음을 입력합니다.

    # nmcli connection modify bridge0 bridge.priority '16384'

    기본적으로 STP는 활성화됩니다.

  7. 연결을 활성화합니다.

    # nmcli connection up bridge0
  8. 포트가 연결되어 있고 CONNECTION 열에 포트의 연결 이름이 표시되는지 확인합니다.

    # nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    enp7s0   ethernet  connected  bridge0-port1
    enp8s0   ethernet  connected  bridge0-port2

    연결 포트를 활성화하면 NetworkManager는 브리지를 활성화하지만 다른 포트는 활성화하지 않습니다. 브리지가 활성화되면 Red Hat Enterprise Linux가 모든 포트를 자동으로 사용하도록 설정할 수 있습니다.

    1. 브리지 연결의 connection.autoconnect-ports 매개변수를 활성화합니다.

      # nmcli connection modify bridge0 connection.autoconnect-ports 1
    2. 브리지를 다시 활성화합니다.

      # nmcli connection up bridge0

검증

  • ip 유틸리티를 사용하여 특정 브리지의 포트인 이더넷 장치의 링크 상태를 표시합니다.

    # ip link show master bridge0
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff
  • bridge 유틸리티를 사용하여 브리지 장치의 포트인 이더넷 장치의 상태를 표시합니다.

    # bridge link show
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
    5: enp9s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state forwarding priority 32 cost 100
    6: enp11s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state blocking priority 32 cost 100
    ...

    특정 이더넷 장치의 상태를 표시하려면 bridge link show dev < ethernet_device_name> 명령을 사용합니다.

6.2. RHEL 웹 콘솔을 사용하여 네트워크 브리지 구성

웹 브라우저 기반 인터페이스를 사용하여 네트워크 설정을 관리하려면 RHEL 웹 콘솔을 사용하여 네트워크 브리지를 구성합니다.

사전 요구 사항

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 인터페이스 섹션에서 Add bridge 를 클릭합니다.
  3. 생성할 브리지 장치의 이름을 입력합니다.
  4. 브리지의 포트여야 하는 인터페이스를 선택합니다.
  5. 선택 사항: STP(Sspanning tree Protocol) 기능을 활성화하여 브리지 루프 및 브로드캐스트 복사를 방지할 수 있습니다.

    브릿지 설정
  6. Apply(적용)를 클릭합니다.
  7. 기본적으로 브릿지는 동적 IP 주소를 사용합니다. 고정 IP 주소를 설정하려면 다음을 수행합니다.

    1. Interfaces 섹션에서 브리지 이름을 클릭합니다.
    2. 구성할 프로토콜 옆에 있는 편집을 클릭합니다.
    3. 주소 옆에 있는 수동 을 선택하고 IP 주소, 접두사 및 기본 게이트웨이를 입력합니다.
    4. DNS 섹션에서 + 버튼을 클릭하고 DNS 서버의 IP 주소를 입력합니다. 이 단계를 반복하여 여러 DNS 서버를 설정합니다.
    5. DNS 검색 도메인 섹션에서 + 버튼을 클릭하고 검색 도메인을 입력합니다.
    6. 인터페이스에 정적 경로가 필요한 경우 Routes 섹션에서 구성합니다.

      본딩 팀 브리지 vlan.ipv4
    7. 적용을클릭합니다.

검증

  1. 화면 왼쪽의 탐색에서 Networking 탭을 선택하고 인터페이스에 들어오고 나가는 트래픽이 있는지 확인합니다.

    브릿지 확인

6.3. nmtui를 사용하여 네트워크 브리지 구성

nmtui 애플리케이션은 NetworkManager에 대한 텍스트 기반 사용자 인터페이스를 제공합니다. nmtui 를 사용하여 그래픽 인터페이스 없이 호스트에서 네트워크 브릿지를 구성할 수 있습니다.

참고

nmtui 에서 :

  • 커서 키를 사용하여 이동합니다.
  • 버튼을 선택하고 Enter 를 누릅니다.
  • Space 를 사용하여 확인란을 선택하고 지웁니다.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 브리지의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.

절차

  1. 네트워크 브리지를 구성할 네트워크 장치 이름을 모르는 경우 사용 가능한 장치를 표시합니다.

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    enp7s0     ethernet  unavailable             --
    enp8s0     ethernet  unavailable             --
    ...
  2. start nmtui:

    # nmtui
  3. Edit a connection 을 선택하고 Enter 를 누릅니다.
  4. 추가를 누릅니다.
  5. 네트워크 유형 목록에서 Bridge 를 선택하고 Enter 를 누릅니다.
  6. 선택 사항: 생성할 NetworkManager 프로필의 이름을 입력합니다.

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

  7. 생성할 브리지 장치 이름을 장치 필드에 입력합니다.
  8. 생성할 브리지에 포트를 추가합니다.

    1. Slaves 목록 옆에 있는 Add 를 누릅니다.
    2. 브리지에 포트로 추가할 인터페이스 유형(예: 이더넷 )을 선택합니다.
    3. 선택 사항: 이 브리지 포트에 대해 생성할 NetworkManager 프로필의 이름을 입력합니다.
    4. 포트의 장치 이름을 장치 필드에 입력합니다.
    5. OK 를 눌러 브리지 설정을 사용하여 창으로 돌아갑니다.

      그림 6.1. 이더넷 장치를 브리지에 포트로 추가

      nmtui 브리지 추가 포트
    6. 이 단계를 반복하여 브리지에 더 많은 포트를 추가합니다.
  9. 환경에 따라 IPv4 구성 및 IPv6 구성 영역에서 IP 주소 설정을 적절하게 구성합니다. 이를 위해 다음 영역 옆에 있는 버튼을 누른 후 다음을 선택합니다.

    • 브리지에 IP 주소가 필요하지 않은 경우 비활성화됨
    • DHCP 서버 또는 SLAAC(상태 비저장 주소 자동 구성)가 브리지에 IP 주소를 동적으로 할당하는 경우 자동 입니다.
    • 네트워크에 고정 IP 주소 설정이 필요한 경우 수동. 이 경우 추가 필드를 작성해야 합니다.

      1. 추가 필드를 표시하도록 구성할 프로토콜 옆에 Show 를 누릅니다.
      2. 주소 옆에 있는 추가 를 클릭하고 CIDR(Classless Inter-Domain Routing) 형식으로 IP 주소와 서브넷 마스크를 입력합니다.

        서브넷 마스크를 지정하지 않으면 NetworkManager는 IPv4 주소에 대해 /32 서브넷 마스크와 IPv6 주소에 대해 /64 를 설정합니다.

      3. 기본 게이트웨이의 주소를 입력합니다.
      4. DNS 서버 옆에 있는 추가 를 클릭하고 DNS 서버 주소를 입력합니다.
      5. 검색 도메인 옆에 있는 추가 를 클릭하고 DNS 검색 도메인을 입력합니다.

    그림 6.2. IP 주소 설정이 없는 브리지 연결 예

    nmtui 브리지 no IP
  10. OK 를 눌러 새 연결을 만들고 자동으로 활성화합니다.
  11. 다시 키를 눌러 기본 메뉴로 돌아갑니다.
  12. Quit 을 선택하고 Enter 를 눌러 nmtui 애플리케이션을 종료합니다.

검증

  1. ip 유틸리티를 사용하여 특정 브리지의 포트인 이더넷 장치의 링크 상태를 표시합니다.

    # ip link show master bridge0
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff
  2. bridge 유틸리티를 사용하여 브리지 장치의 포트인 이더넷 장치의 상태를 표시합니다.

    # bridge link show
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
    ...

    특정 이더넷 장치의 상태를 표시하려면 bridge link show dev < ethernet_device_name> 명령을 사용합니다.

6.4. nm-connection-editor를 사용하여 네트워크 브리지 구성

그래픽 인터페이스와 함께 Red Hat Enterprise Linux를 사용하는 경우 nm-connection-editor 애플리케이션을 사용하여 네트워크 브리지를 구성할 수 있습니다.

nm-connection-editor 는 새 포트만 브리지에 추가할 수 있습니다. 기존 연결 프로필을 포트로 사용하려면 nmcli 를 사용하여 네트워크 브리지 구성에 설명된 대로 nmcli 유틸리티를 사용하여 브리지 를 생성합니다.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 브리지의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 본딩 또는 VLAN 장치를 브리지 포트로 사용하려면 이러한 장치가 아직 구성되어 있지 않은지 확인합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. 브리지 연결 유형을 선택하고 만들기 를 클릭합니다.
  4. 브리지 탭에서 다음을 수행합니다.

    1. 선택 사항: 인터페이스 이름 필드에 브리지 인터페이스의 이름을 설정합니다.
    2. Add (추가) 버튼을 클릭하여 네트워크 인터페이스의 새 연결 프로필을 생성하고 해당 프로필을 브리지에 포트로 추가합니다.

      1. 인터페이스의 연결 유형을 선택합니다. 예를 들어 유선 연결로 이더넷 을 선택합니다.
      2. 선택적으로 포트 장치의 연결 이름을 설정합니다.
      3. 이더넷 장치에 대한 연결 프로필을 생성하는 경우 이더넷 탭을 열고 장치 필드에서 브릿지에 포트로 추가할 네트워크 인터페이스를 선택합니다. 다른 장치 유형을 선택한 경우 적절하게 구성합니다.
      4. 저장을 클릭합니다.
    3. 브리지에 추가할 각 인터페이스에 대해 이전 단계를 반복합니다.

      add nic to bridge in nm connection editor

  5. 선택 사항: Spanning Tree Protocol(STP) 옵션과 같은 추가 브릿지 설정을 구성합니다.
  6. IPv4 설정 및 IPv6 설정 탭에서 IP 주소 설정을 구성합니다.

    • 이 브리지 장치를 다른 장치의 포트로 사용하려면 Method 필드를 Disabled 로 설정합니다.
    • DHCP를 사용하려면 Method 필드를 기본값인 Automatic(DHCP) 으로 둡니다.
    • 고정 IP 설정을 사용하려면 Method 필드를 Manual 로 설정하고 그에 따라 필드를 작성합니다.

      bridge IP settings nm connection editor

  7. 저장을 클릭합니다.
  8. nm-connection-editor 를 종료합니다.

검증

  • ip 유틸리티를 사용하여 특정 브리지의 포트인 이더넷 장치의 링크 상태를 표시합니다.

    # ip link show master bridge0
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff
  • bridge 유틸리티를 사용하여 모든 브리지 장치에 포트인 이더넷 장치의 상태를 표시합니다.

    # bridge link show
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
    5: enp9s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state forwarding priority 32 cost 100
    6: enp11s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state blocking priority 32 cost 100
    ...

    특정 이더넷 장치의 상태를 표시하려면 bridge link show dev ethernet_device_name 명령을 사용합니다.

6.5. nmstatectl을 사용하여 네트워크 브리지 구성

nmstatectl 유틸리티를 사용하여 Nmstate API를 통해 네트워크 브리지를 구성합니다. Nmstate API는 구성을 설정한 후 결과가 구성 파일과 일치하는지 확인합니다. 아무것도 실패하면 nmstatectl 에서 시스템을 잘못된 상태로 두지 않도록 변경 사항을 자동으로 롤백합니다.

환경에 따라 적절하게 YAML 파일을 조정합니다. 예를 들어 브리지에서 이더넷 어댑터와 다른 장치를 사용하려면 브릿지에서 사용하는 포트의 base-iface 특성 및 유형 속성을 조정합니다.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 브리지의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 본딩 또는 VLAN 장치를 브리지에서 포트로 사용하려면 포트 목록에서 인터페이스 이름을 설정하고 해당 인터페이스를 정의합니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-bridge.yml )을 만듭니다.

    ---
    interfaces:
    - name: bridge0
      type: linux-bridge
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      bridge:
        options:
          stp:
            enabled: true
        port:
          - name: enp1s0
          - name: enp7s0
    - name: enp1s0
      type: ethernet
      state: up
    - name: enp7s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: bridge0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: bridge0
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb

    이러한 설정은 다음 설정을 사용하여 네트워크 브리지를 정의합니다.

    • 브리지의 네트워크 인터페이스 enp1s0enp7s0
    • 스패닝 트리 프로토콜(STP) enabled
    • 정적 IPv4 주소: 192.0.2.1/24 서브넷 마스크
    • 정적 IPv6 주소: 2001:db8:1::1/64 서브넷 마스크
    • IPv4 기본 게이트웨이: 192.0.2.254
    • IPv6 기본 게이트웨이: 2001:db8:1::fffe
    • IPv4 DNS 서버: 192.0.2.200
    • IPv6 DNS 서버: 2001:db8:1::ffbb
    • DNS 검색 도메인: example.com
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-bridge.yml

검증

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    bridge0     bridge    connected  bridge0
  2. 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show bridge0
    connection.id:              bridge0_
    connection.uuid:            e2cc9206-75a2-4622-89cf-1252926060a9
    connection.stable-id:       --
    connection.type:            bridge
    connection.interface-name:  bridge0
    ...
  3. 연결 설정을 YAML 형식으로 표시합니다.

    # nmstatectl show bridge0

추가 리소스

6.6. 네트워크 RHEL 시스템 역할을 사용하여 네트워크 브릿지 구성

네트워크 RHEL 시스템 역할을 사용하여 네트워크 브릿지를 원격으로 구성할 수 있습니다.

사전 요구 사항

  • 제어 노드와 관리형 노드가 준비되어 있습니다.
  • 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
  • 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

    ---
    - name: Configure the network
      hosts: managed-node-01.example.com
      tasks:
        - name: Configure a network bridge that uses two Ethernet ports
          ansible.builtin.include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              # Define the bridge profile
              - name: bridge0
                type: bridge
                interface_name: bridge0
                ip:
                  address:
                    - "192.0.2.1/24"
                    - "2001:db8:1::1/64"
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                state: up
    
              # Add an Ethernet profile to the bridge
              - name: bridge0-port1
                interface_name: enp7s0
                type: ethernet
                controller: bridge0
                port_type: bridge
                state: up
    
              # Add a second Ethernet profile to the bridge
              - name: bridge0-port2
                interface_name: enp8s0
                type: ethernet
                controller: bridge0
                port_type: bridge
                state: up

    이러한 설정은 다음 설정을 사용하여 네트워크 브리지를 정의합니다.

    • /24 서브넷 마스크가 있는 정적 IPv4 주소 - 192.0.2.1
    • 정적 IPv6 주소 - 2001:db8:1::1 ( /64 서브넷 마스크 포함)
    • IPv4 기본 게이트웨이 - 192.0.2.254
    • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
    • IPv4 DNS 서버 - 192.0.2.200
    • IPv6 DNS 서버 2001:db8:1::ffbb
    • DNS 검색 도메인 - example.com
    • 브리지 포트 - enp7s0enp8s0

      참고

      Linux 브리지의 포트가 아닌 브리지에서 IP 구성을 설정합니다.

  2. 플레이북 구문을 확인합니다.

    $ ansible-playbook --syntax-check ~/playbook.yml

    이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

  3. 플레이북을 실행합니다.

    $ ansible-playbook ~/playbook.yml

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/doc/rhel-system-roles/network/ 디렉터리

7장. IPsec VPN 설정

VPN(가상 사설 네트워크)은 인터넷을 통해 로컬 네트워크에 연결하는 방법입니다. Libreswan 에서 제공하는 IPsec 은 VPN을 생성하는 기본 방법입니다. Libreswan 은 VPN을 위한 사용자 공간 IPsec 구현입니다. VPN은 인터넷과 같은 중간 네트워크에서 터널을 설정하여 LAN과 다른 LAN 간의 통신을 활성화합니다. 보안상의 이유로 VPN 터널은 항상 인증 및 암호화를 사용합니다. 암호화 작업의 경우 LibreswanNSS 라이브러리를 사용합니다.

7.1. 제어 센터를 사용하여 VPN 연결 구성

그래픽 인터페이스와 함께 Red Hat Enterprise Linux를 사용하는 경우 GNOME 제어 센터에서 VPN 연결을 구성할 수 있습니다.

사전 요구 사항

  • NetworkManager-libreswan-gnome 패키지가 설치되어 있습니다.

절차

  1. Super 키를 눌러 Settings 을 입력하고 Enter 를 눌러 control-center 애플리케이션을 엽니다.
  2. 왼쪽의 네트워크 항목을 선택합니다.
  3. + 아이콘을 클릭합니다.
  4. VPN 을 선택합니다.
  5. ID 메뉴 항목을 선택하여 기본 구성 옵션을 확인합니다.

    일반

    gateway - 원격 VPN 게이트웨이의 이름 또는 IP 주소입니다.

    인증

    유형

    • IKEv2(Certificate)- 클라이언트가 인증서로 인증되었습니다. 더 안전한 (기본값)입니다.
    • IKEv1(XAUTH) - 클라이언트는 사용자 이름 및 암호 또는 사전 공유 키(PSK)에 의해 인증됩니다.

      고급 섹션에서 다음 설정 설정을 사용할 수 있습니다.

      그림 7.1. VPN 연결의 고급 옵션

      네트워킹 vpn 고급 옵션
      주의

      gnome-control-center 애플리케이션을 사용하여 IPsec 기반 VPN 연결을 구성할 때 고급 대화 상자에 구성이 표시되지만 변경 사항은 허용하지 않습니다. 따라서 사용자는 고급 IPsec 옵션을 변경할 수 없습니다. 대신 nm-connection-editor 또는 nmcli 툴을 사용하여 고급 속성 구성을 수행합니다.

      identification

    • domain - 필요한 경우 Domain Name을 입력합니다.

      보안

    • Phase1 알고리즘 - ike Libre swan 매개변수에 해당합니다. - 암호화된 채널을 인증하고 설정하는 데 사용되는 알고리즘을 입력합니다.
    • 단계2 알고리즘 - esp Libreswan 매개변수에 해당 - IPsec 협상에 사용할 알고리즘을 입력합니다.

      PFS 비활성화 필드를 확인하여 PFS (PFS)를 지원하지 않는 이전 서버와의 호환성을 확인하려면 PFS(Perfect Forward Secrecy)를 끕니다.

    • Step1 Lifetime - ikelifetime Libreswan 매개 변수에 해당 - 트래픽을 암호화하는 데 사용된 키가 유효한 시간입니다.
    • Step2 Lifetime - salifetime Libreswan 매개변수에 해당합니다. - 만료하기 전에 특정 연결 인스턴스가 지속되는 기간입니다.

      보안상의 이유로 암호화 키를 때때로 변경해야 합니다.

    • 원격 네트워크 - 오른쪽subnet Libreswan 매개 변수 - VPN을 통해 도달해야 하는 대상 사설 원격 네트워크에 해당합니다.

      축소 할 수 있도록 좁은 필드를 확인합니다. 이는 IKEv2 협상에서만 유효합니다.

    • 조각화 활성화 - 조각화 Libreswan 매개 변수에 해당 -IKE 조각화 허용 여부를 나타냅니다. 유효한 값은 yes (기본값) 또는 no 입니다.
    • Enable Mobike - corresponds to the>-<ke Libreswan 매개 변수에 해당 - MO BIKE (MOBIKE, RFC 4555)를 허용하여 연결을 처음부터 다시 시작할 필요 없이 해당 끝점을 마이그레이션할 수 있습니다. 이는 유선, 무선 또는 모바일 데이터 연결 사이에서 전환하는 모바일 장치에서 사용됩니다. 값은 no (기본값) 또는 yes 입니다.
  6. IPv4 메뉴 항목을 선택합니다.

    IPv4 방법

    • Automatic (DHCP) - 연결 중인 네트워크에서 DHCP 서버를 사용하여 동적 IP 주소를 할당하는 경우 이 옵션을 사용합니다.
    • 링크-로컬 전용 - 연결하는 네트워크에 DHCP 서버가 없고 IP 주소를 수동으로 할당하지 않으려는 경우 이 옵션을 선택합니다. 접두사가 169.254/16RFC 3927 에 따라 임의 주소가 할당됩니다.
    • 수동 - IP 주소를 수동으로 할당하려면 이 옵션을 선택합니다.
    • disable - 이 연결에 대해 IPv4 가 비활성화되어 있습니다.

      DNS

      DNS 섹션에서 AutomaticON 인 경우 OFF 로 전환하여 IP를 쉼표로 분리하는 데 사용할 DNS 서버의 IP 주소를 입력합니다.

      라우트

      경로 섹션에서 AutomaticON 인 경우 DHCP의 경로가 사용되지만 정적 경로를 추가할 수도 있습니다. OFF 는 정적 경로만 사용합니다.

    • address - 원격 네트워크 또는 호스트의 IP 주소를 입력합니다.
    • netmask - 위에 입력한 IP 주소의 넷마스크 또는 접두사 길이입니다.
    • gateway - 원격 네트워크 또는 호스트를 위에서 입력한 게이트웨이의 IP 주소입니다.
    • 지표 - 네트워크 비용, 이 경로에 제공하는 기본 설정 값입니다. 더 낮은 값이 더 높은 값보다 우선합니다.

      이 연결을 네트워크의 리소스에만 사용합니다

      연결이 기본 경로가 되지 않도록 하려면 이 확인란을 선택합니다. 이 옵션을 선택하면 자동으로 연결을 통해 학습되거나 여기에서 수동으로 입력한 경로의 특정 경로만 연결을 통해 라우팅됩니다.

  7. VPN 연결에서 IPv6 설정을 구성하려면 IPv6 메뉴 항목을 선택합니다.

    IPv6 방법

    • 자동 - 이 옵션을 선택하여 IPv6 상태 비저장 주소 자동 구성(SLAAC)를 사용하여 하드웨어 주소 및 라우터 알림(RA)을 기반으로 자동 상태 비저장 구성을 생성합니다.
    • Automatic, DHCP only - RA를 사용하지 않도록 이 옵션을 선택하고 DHCPv6 의 정보를 직접 요청하여 상태 저장 구성을 생성합니다.
    • 링크-로컬 전용 - 연결하는 네트워크에 DHCP 서버가 없고 IP 주소를 수동으로 할당하지 않으려는 경우 이 옵션을 선택합니다. 접두사 FE80::0 이 있는 RFC 4862 에 따라 임의 주소가 할당됩니다.
    • 수동 - IP 주소를 수동으로 할당하려면 이 옵션을 선택합니다.
    • disable - 이 연결에 대해 IPv6 가 비활성화되어 있습니다.

      DNS,Routes,네트워크의 리소스에만 이 연결을 IPv4 설정에 공통적으로 사용합니다.

  8. VPN 연결 편집을 완료하면 추가 버튼을 클릭하여 구성 또는 적용 버튼을 클릭하여 기존 연결을 위해 저장합니다.
  9. 프로필을 ON 으로 VPN 연결을 활성 상태로 전환합니다.

추가 리소스

  • nm-settings-libreswan(5)

7.2. nm-connection-editor를 사용하여 VPN 연결 구성

그래픽 인터페이스와 함께 Red Hat Enterprise Linux를 사용하는 경우 nm-connection-editor 애플리케이션에서 VPN 연결을 구성할 수 있습니다.

사전 요구 사항

  • NetworkManager-libreswan-gnome 패키지가 설치되어 있습니다.
  • Internet Key Exchange 버전 2(IKEv2) 연결을 구성하는 경우:

    • 인증서를 IPsec 네트워크 보안 서비스(NSS) 데이터베이스로 가져옵니다.
    • NSS 데이터베이스에 있는 인증서의 닉네임은 알려져 있습니다.

절차

  1. 터미널을 열고 다음을 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. IPsec 기반 VPN 연결 유형을 선택하고 Create 를 클릭합니다.
  4. VPN 탭에서 다음을 수행합니다.

    1. VPN 게이트웨이의 호스트 이름 또는 IP 주소를 게이트웨이 필드에 입력하고 인증 유형을 선택합니다. 인증 유형에 따라 다른 추가 정보를 입력해야 합니다.

      • IKEv2 (Certifiate) 는 인증서를 사용하여 클라이언트를 인증하며 더 안전합니다. 이 설정을 사용하려면 IPsec NSS 데이터베이스의 인증서 닉네임이 필요합니다.
      • IKEv1(XAUTH) 은 사용자 이름과 암호(이전 공유 키)를 사용하여 사용자를 인증합니다. 이 설정을 사용하려면 다음 값을 입력해야 합니다.

        • 사용자 이름
        • 암호
        • 그룹 이름
        • Secret
    2. 원격 서버가 IKE 교환에 대한 로컬 식별자를 지정하는 경우 원격 ID 필드에 정확한 문자열을 입력합니다. 원격 서버에서 Libreswan을 실행하면 이 값은 서버의 leftid 매개변수에 설정됩니다.

      nm connection editor vpn tab

    3. 선택적으로 고급 버튼을 클릭하여 추가 설정을 구성합니다. 다음 설정을 구성할 수 있습니다.

      • identification

        • domain - 필요한 경우 도메인 이름을 입력합니다.
      • 보안

        • Phase1 알고리즘은 ike Libre swan 매개변수에 해당합니다. 암호화된 채널을 인증하고 설정하는 데 사용할 알고리즘을 입력합니다.
        • 단계2 알고리즘은 esp Libreswan 매개 변수에 해당합니다. IPsec 협상에 사용할 알고리즘을 입력하십시오.

          PFS 비활성화 필드를 확인하여 PFS (PFS)를 지원하지 않는 이전 서버와의 호환성을 확인하려면 PFS(Perfect Forward Secrecy)를 끕니다.

        • Step1 Lifetimeikelifetime Libreswan 매개변수에 해당합니다. 이 매개변수는 트래픽을 암호화하는 데 사용된 키가 유효한 기간을 정의합니다.
        • Step2 Lifetimesalifetime Libreswan 매개변수에 해당합니다. 이 매개 변수는 보안 연결이 유효한 기간을 정의합니다.
      • 연결

        • 원격 네트워크는 rightsubnet Libreswan 매개변수에 해당하며 VPN을 통해 도달해야 하는 대상 사설 원격 네트워크를 정의합니다.

          축소 할 수 있도록 좁은 필드를 확인합니다. IKEv2 협상에서만 효과가 있다는 점에 유의하십시오.

        • 조각화 를 사용할 수 있음 Libreswan 매개 변수에 해당하고 IKE 조각화 허용 여부를 정의합니다. 유효한 값은 yes (기본값) 또는 no 입니다.
        • Mobike 를 사용할 수 있습니다. 이 매개 변수는 bondke Libreswan 매개 변수에 해당합니다. 이 매개 변수는 MOBIKE(Multihoming Protocol)가 연결을 처음부터 다시 시작하지 않고도 끝점을 마이그레이션할 수 있도록 허용할지 여부를 정의합니다. 이는 유선, 무선 또는 모바일 데이터 연결 사이에서 전환하는 모바일 장치에서 사용됩니다. 값은 no (기본값) 또는 yes 입니다.
  5. IPv4 Settings 탭에서 IP 할당 방법을 선택하고 선택적으로 추가 고정 주소, DNS 서버, 검색 도메인 및 경로를 설정합니다.

    IPsec IPv4 tab

  6. 연결을 저장합니다.
  7. nm-connection-editor 를 종료합니다.
참고

+ 버튼을 클릭하여 새 연결을 추가하면 NetworkManager 에서 해당 연결에 사용할 새 구성 파일을 만든 다음 기존 연결을 편집하는 데 사용되는 것과 동일한 대화 상자를 엽니다. 이러한 대화 상자의 차이점은 기존 연결 프로필에 Details(세부 정보 ) 메뉴 항목이 있다는 것입니다.

추가 리소스

  • nm-settings-libreswan(5) 도움말 페이지

7.3. IPsec 연결 가속화를 위해 ESP 하드웨어 오프로드의 자동 감지 및 사용 구성

하드웨어로 ESP(Encap isolateing Security Payload)를 하드웨어로 오프로드하면 이더넷을 통한 IPsec 연결이 가속화됩니다. 기본적으로 Libreswan은 하드웨어에서 이 기능을 지원하는지 여부를 감지하고 결과적으로 ESP 하드웨어 오프로드를 활성화합니다. 기능을 비활성화하거나 명시적으로 활성화한 경우 자동 탐지로 다시 전환할 수 있습니다.

사전 요구 사항

  • 네트워크 카드는 ESP 하드웨어 오프로드를 지원합니다.
  • 네트워크 드라이버는 ESP 하드웨어 오프로드를 지원합니다.
  • IPsec 연결이 구성되고 작동합니다.

절차

  1. ESP 하드웨어 오프로드 지원의 자동 검색을 사용해야 하는 연결의 /etc/ipsec.d/ 디렉터리에서 Libreswan 구성 파일을 편집합니다.
  2. nic-offload 매개변수가 연결 설정에 설정되지 않았는지 확인합니다.
  3. nic-offload 를 제거한 경우 ipsec 서비스를 다시 시작합니다.

    # systemctl restart ipsec

검증

네트워크 카드가 ESP 하드웨어 오프로드 지원을 지원하는 경우 결과를 확인하려면 다음 단계를 따르십시오.

  1. IPsec 연결에 사용하는 이더넷 장치의 tx_ipsecrx_ipsec 카운터를 표시합니다.

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 10
         rx_ipsec: 10
  2. IPsec 터널을 통해 트래픽을 전송합니다. 예를 들어 원격 IP 주소를 ping합니다.

    # ping -c 5 remote_ip_address
  3. 이더넷 장치의 tx_ipsecrx_ipsec 카운터를 다시 표시합니다.

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 15
         rx_ipsec: 15

    카운터 값이 증가하면 ESP 하드웨어 오프로드가 작동합니다.

7.4. IPsec 연결 속도를 높이기 위해 본딩에서 ESP 하드웨어 오프로드 구성

하드웨어로 ESB(Security Payload)를 오프로드하면 IPsec 연결 속도가 빨라집니다. 장애 조치(failover) 이유로 네트워크 본딩을 사용하는 경우 ESP 하드웨어 오프로드 구성의 요구 사항과 절차는 일반 이더넷 장치를 사용하는 것과 다릅니다. 예를 들어, 이 시나리오에서는 본딩에서 오프로드 지원을 활성화하며 커널은 본딩 포트에 설정을 적용합니다.

사전 요구 사항

  • 본딩의 모든 네트워크 카드는 ESP 하드웨어 오프로드를 지원합니다.
  • 네트워크 드라이버는 본딩 장치에서 ESP 하드웨어 오프로드를 지원합니다. RHEL에서는 ixgbe 드라이버만 이 기능을 지원합니다.
  • 본딩이 구성되고 작동합니다.
  • 본딩에서는 active-backup 모드를 사용합니다. 본딩 드라이버는 이 기능에 대해 다른 모드를 지원하지 않습니다.
  • IPsec 연결이 구성되고 작동합니다.

절차

  1. 네트워크 본딩에서 ESP 하드웨어 오프로드 지원을 활성화합니다.

    # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

    이 명령을 사용하면 bond0 연결에서 ESP 하드웨어 오프로드를 지원할 수 있습니다.

  2. bond0 연결을 다시 활성화합니다.

    # nmcli connection up bond0
  3. ESP 하드웨어 오프로드를 사용해야 하는 연결의 /etc/ipsec.d/ 디렉터리에서 Libreswan 구성 파일을 편집하고 nic-offload=yes 문을 연결 항목에 추가합니다.

    conn example
        ...
        nic-offload=yes
  4. ipsec 서비스를 다시 시작하십시오.

    # systemctl restart ipsec

검증

  1. 본딩의 활성 포트를 표시합니다.

    # grep "Currently Active Slave" /proc/net/bonding/bond0
    Currently Active Slave: enp1s0
  2. 활성 포트의 tx_ipsecrx_ipsec 카운터를 표시합니다.

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 10
         rx_ipsec: 10
  3. IPsec 터널을 통해 트래픽을 전송합니다. 예를 들어 원격 IP 주소를 ping합니다.

    # ping -c 5 remote_ip_address
  4. 활성 포트의 tx_ipsecrx_ipsec 카운터를 다시 표시합니다.

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 15
         rx_ipsec: 15

    카운터 값이 증가하면 ESP 하드웨어 오프로드가 작동합니다.

추가 리소스

7.5. nmstatectl을 사용하여 IPsec 기반 VPN 연결 구성

IPsec (Internet Protocol Security)은 VPN 구현을 위해 Libreswan 에서 제공하는 보안 프로토콜 제품군입니다. IPsec에는 데이터 전송 중에 연결 설정 및 키를 관리하는 프로토콜이 포함됩니다. 애플리케이션이 네트워크에 배포하고 IP 프로토콜을 사용하여 통신할 때 IPsec은 데이터 통신을 보호할 수 있습니다.

VPN 연결을 인증하기 위한 IPsec 기반 구성을 관리하려면 nmstatectl 유틸리티를 사용할 수 있습니다. 이 유틸리티는 호스트 네트워크 관리를 위해 선언적 API에 대한 명령줄 액세스를 제공합니다. 다음은 host-to-subnethost-to-host 통신 모드에 대한 인증 유형입니다.

  • Host-to-subnet PKI 인증
  • host-to-subnet RSA 인증
  • Host-to-subnet PSK 인증
  • 호스트 간 터널 모드 인증
  • 호스트 간 전송 모드 인증

7.5.1. nmstatectl을 사용하여 PKI 인증 및 터널 모드를 사용하여 호스트 간 IPSec VPN 구성

IPsec의 신뢰할 수 있는 엔티티 인증을 기반으로 암호화를 사용하려는 경우 PKI(Public Key Infrastructure)는 두 호스트 간에 암호화 키를 사용하여 보안 통신을 제공합니다. 통신 호스트는 모두 공개 키를 신뢰할 수 있는 CA(인증 기관)와 공유하여 각 호스트가 개인 키를 유지 관리하는 개인 및 공개 키를 생성합니다. 인증 여부를 확인한 후 CA에서 디지털 인증서를 생성합니다. 암호화 및 암호 해독의 경우 호스트는 암호 해독에 암호화 및 공개 키에 개인 키를 사용합니다.

네트워크 관리를 위한 선언적 API인 Nmstate를 사용하면 PKI 인증 기반 IPsec 연결을 구성할 수 있습니다. 구성을 설정한 후 Nmstate API에서 결과가 구성 파일과 일치하는지 확인합니다. 문제가 발생하면 nmstate 가 시스템의 잘못된 상태를 방지하기 위해 변경 사항을 자동으로 롤백합니다.

host-to-subnet 구성에서 암호화된 통신을 설정하기 위해 원격 IPsec 엔드는 매개변수 dhcp: true 를 사용하여 호스트에 다른 IP를 제공합니다. nmstate에서 IPsec 에 대한 시스템을 정의하는 경우 왼쪽-named 시스템은 로컬 호스트이고 오른쪽이름이 원격 호스트입니다. 두 호스트 모두에서 다음 절차를 실행해야 합니다.

사전 요구 사항

  • 암호를 사용하면 인증서 및 암호화 키를 저장하는 PKCS #12 파일을 생성했습니다.

절차

  1. 필수 패키지를 설치합니다.

    # dnf install nmstate libreswan NetworkManager-libreswan
  2. NetworkManager 서비스를 다시 시작하십시오.

    # systemctl restart NetworkManager
  3. Libreswan 이 이미 설치되어 있으므로 이전 데이터베이스 파일을 제거하고 다시 생성합니다.

    # systemctl stop ipsec
    # rm /etc/ipsec.d/*db
    # ipsec initnss
  4. ipsec 서비스를 활성화하고 시작합니다.

    # systemctl enable --now ipsec
  5. PKCS#12 파일을 가져옵니다.

    # ipsec import node-example.p12

    PKCS#12 파일을 가져올 때 파일을 생성하는 데 사용된 암호를 입력합니다.

  6. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-pki-authentication.yml )을 만듭니다.

    ---
    interfaces:
    - name: 'example_ipsec_conn1'            1
      type: ipsec
      ipv4:
        enabled: true
        dhcp: true
      libreswan:
        ipsec-interface: 'yes'               2
        left: '192.0.2.250'                  3
        leftid: '%fromcert'                  4
        leftcert: 'local-host.example.com'   5
        right: '192.0.2.150'                 6
        rightid: '%fromcert'                 7
        ikev2: 'insist'                      8
        ikelifetime: '24h'                   9
        salifetime: '24h'                    10

    YAML 파일은 다음 설정을 정의합니다.

    1
    IPsec 연결 이름
    2
    yeslibreswan 이 IPsec xfrm 가상 인터페이스 ipsec<number >를 생성하고 다음 사용 가능한 번호를 자동으로 찾습니다
    3
    로컬 호스트에 대한 공용 네트워크 인터페이스의 정적 IPv4 주소
    4
    로컬 호스트에서 %fromcert 의 값은 로드된 인증서에서 가져온 ID를 고유 이름(DN)으로 설정합니다.
    5
    로컬 호스트의 공개 키의 고유 이름(DN)
    6
    원격 호스트에 대한 공용 네트워크 인터페이스의 정적 IPv4 주소
    7
    원격 호스트에서 %fromcert 의 값은 로드된 인증서에서 가져온 ID를 고유 이름(DN)으로 설정합니다.
    8
    insist 값은IKEv2(Internet Key Exchange) 프로토콜만 수락하고 수신합니다.
    9
    IKE 프로토콜의 기간
    10
    IPsec 보안 연관 (SA)의 기간
  7. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-pki-authentication.yml

검증

  1. IPsec 상태를 확인합니다.

    # ip xfrm status
  2. IPsec 정책을 확인합니다.

    # ip xfrm policy

추가 리소스

  • IPsec.conf(5) 도움말 페이지

7.5.2. nmstatectl을 사용하여 RSA 인증 및 터널 모드를 사용하여 호스트 간 IPSec VPN 구성

IPsec에서 비대칭 암호화 기반 키 인증을 사용하려는 경우 RSA 알고리즘은 두 호스트 간의 암호화 및 암호 해독에 대해 개인 키와 공개 키를 사용하여 보안 통신을 제공합니다. 이 방법은 암호화에 개인 키를 사용하고 암호 해독에 공개 키를 사용합니다.

네트워크 관리를 위한 선언적 API인 Nmstate를 사용하면 RSA 기반 IPsec 인증을 구성할 수 있습니다. 구성을 설정한 후 Nmstate API에서 결과가 구성 파일과 일치하는지 확인합니다. 문제가 발생하면 nmstate 가 시스템의 잘못된 상태를 방지하기 위해 변경 사항을 자동으로 롤백합니다.

host-to-subnet 구성에서 암호화된 통신을 설정하기 위해 원격 IPsec 엔드는 매개변수 dhcp: true 를 사용하여 호스트에 다른 IP를 제공합니다. nmstate에서 IPsec 에 대한 시스템을 정의하는 경우 왼쪽-named 시스템은 로컬 호스트이고 오른쪽이름이 원격 호스트입니다. 두 호스트 모두에서 다음 절차를 실행해야 합니다.

절차

  1. 필수 패키지를 설치합니다.

    # dnf install nmstate libreswan NetworkManager-libreswan
  2. NetworkManager 서비스를 다시 시작하십시오.

    # systemctl restart NetworkManager
  3. Libreswan 이 이미 설치된 경우 이전 데이터베이스 파일을 제거하고 다시 생성합니다.

    # systemctl stop ipsec
    # rm /etc/ipsec.d/*db
    # ipsec initnss
  4. 각 호스트에 RSA 키 쌍을 생성합니다.

    # ipsec newhostkey --output
  5. 공개 키를 표시합니다.

    # ipsec showhostkey --list
  6. 이전 단계에서 생성된 키 ckaid 를 반환했습니다. 왼쪽에서 다음 명령과 함께 해당 ckaid 를 사용합니다. 예를 들면 다음과 같습니다.

    # ipsec showhostkey --left --ckaid <0sAwEAAesFfVZqFzRA9F>
  7. 이전 명령의 출력에서 구성에 필요한 leftrsasigkey= 행을 생성했습니다. 두 번째 호스트에서 동일한 작업을 수행합니다(오른쪽).

    # ipsec showhostkey --right --ckaid <0sAwEAAesFfVZqFzRA9E>
  8. ipsec 서비스를 활성화하여 부팅 시 자동으로 시작합니다.

    # systemctl enable --now ipsec
  9. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-rsa-authentication.yml )을 만듭니다.

    ---
    interfaces:
    - name: 'example_ipsec_conn1'               1
      type: ipsec                               2
      ipv4:
        enabled: true
        dhcp: true
      libreswan:
        ipsec-interface: '99'                   3
        leftrsasigkey: '0sAwEAAesFfVZqFzRA9F'   4
        left: '192.0.2.250'                     5
        leftid: 'local-host-rsa.example.com'    6
        right: '192.0.2.150'                    7
        rightrsasigkey: '0sAwEAAesFfVZqFzRA9E'  8
        rightid: 'remote-host-rsa.example.com'  9
        ikev2: 'insist'                         10

    YAML 파일은 다음 설정을 정의합니다.

    1
    IPsec 연결 이름
    2
    인터페이스 이름
    3
    99libreswan 이 IPsec xfrm 가상 인터페이스 ipsec<number >를 생성하고 사용 가능한 다음 번호를 자동으로 찾습니다
    4
    로컬 호스트의 RSA 공개 키
    5
    로컬 호스트의 공용 네트워크 인터페이스의 정적 IPv4 주소
    6
    로컬 호스트의 고유 이름(DN)
    7
    원격 호스트의 RSA 공개 키
    8
    원격 호스트의 공용 네트워크 인터페이스의 정적 IPv4 주소
    9
    원격 호스트의 고유 이름(DN)
    10
    insist 값은IKEv2(Internet Key Exchange) 프로토콜만 수락하고 수신합니다.
  10. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-rsa-authentication.yml

검증

  1. 네트워크 인터페이스의 IP 설정을 표시합니다.

    # ip addr show example_ipsec_conn1
  2. IPsec 상태를 확인합니다.

    # ip xfrm status
  3. IPsec 정책을 확인합니다.

    # ip xfrm policy

추가 리소스

  • IPsec.conf(5) 도움말 페이지

7.5.3. nmstatectl을 사용하여 PSK 인증 및 터널 모드를 사용하여 호스트 간 IPSec VPN 구성

IPsec의 상호 인증을 기반으로 암호화를 사용하려면 PSK(Pre-Shared Key) 방법은 두 호스트 간에 시크릿 키를 사용하여 보안 통신을 제공합니다. 파일은 시크릿 키를 저장하고 동일한 키는 터널을 통과하는 데이터를 암호화합니다.

네트워크 관리를 위한 선언적 API인 Nmstate를 사용하면 PSK 기반 IPsec 인증을 구성할 수 있습니다. 구성을 설정한 후 Nmstate API에서 결과가 구성 파일과 일치하는지 확인합니다. 문제가 발생하면 nmstate 가 시스템의 잘못된 상태를 방지하기 위해 변경 사항을 자동으로 롤백합니다.

host-to-subnet 구성에서 암호화된 통신을 설정하기 위해 원격 IPsec 엔드는 매개변수 dhcp: true 를 사용하여 호스트에 다른 IP를 제공합니다. nmstate에서 IPsec 에 대한 시스템을 정의하는 경우 왼쪽-named 시스템은 로컬 호스트이고 오른쪽이름이 원격 호스트입니다. 두 호스트 모두에서 다음 절차를 실행해야 합니다.

참고

이 방법은 인증 및 암호화를 위해 정적 문자열을 사용하므로 테스트/개발 목적으로만 사용합니다.

절차

  1. 필수 패키지를 설치합니다.

    # dnf install nmstate libreswan NetworkManager-libreswan
  2. NetworkManager 서비스를 다시 시작하십시오.

    # systemctl restart NetworkManager
  3. Libreswan 이 이미 설치된 경우 이전 데이터베이스 파일을 제거하고 다시 생성합니다.

    # systemctl stop ipsec
    # rm /etc/ipsec.d/*db
    # ipsec initnss
  4. ipsec 서비스를 활성화하여 부팅 시 자동으로 시작합니다.

    # systemctl enable --now ipsec
  5. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-pks-authentication.yml )을 만듭니다.

    ---
    interfaces:
    - name: 'example_ipsec_conn1'           1
      type: ipsec
      ipv4:
        enabled: true
        dhcp: true
      libreswan:
        ipsec-interface: 'no'               2
        right: '192.0.2.250'                3
        rightid: 'remote-host.example.org'  4
        left: '192.0.2.150'                 5
        leftid: 'local-host.example.org'    6
        psk: "example_password"
        ikev2: 'insist'                     7

    YAML 파일은 다음 설정을 정의합니다.

    1
    IPsec 연결 이름
    2
    값을 설정하지 않으면 libreswan 이 가상 xfrm 인터페이스가 아닌 xfrm 정책만 생성됨을 나타냅니다.
    3
    원격 호스트의 공용 네트워크 인터페이스의 정적 IPv4 주소
    4
    원격 호스트의 고유 이름(DN)
    5
    로컬 호스트의 공용 네트워크 인터페이스의 정적 IPv4 주소
    6
    로컬 호스트의 고유 이름(DN)
    7
    insist 값은IKEv2(Internet Key Exchange) 프로토콜만 수락하고 수신합니다.
  6. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-pks-authentication.yml

검증

  1. 네트워크 인터페이스의 IP 설정을 표시합니다.

    # ip addr show example_ipsec_conn1
  2. IPsec 상태를 확인합니다.

    # ip xfrm status
  3. IPsec 정책을 확인합니다.

    # ip xfrm policy

7.5.4. nmstatectl을 사용하여 PKI 인증 및 터널 모드를 사용하여 호스트 간 IPsec VPN 구성

IPsec (Internet Protocol Security)은 네트워크 및 장치 내에서 IP 통신을 인증하고 암호화하기 위한 보안 프로토콜 제품군입니다. Libreswan 소프트웨어는 VPN에 대한 IPsec 구현을 제공합니다.

터널 모드에서는 통신의 소스 및 대상 IP 주소가 IPsec 터널에서 암호화됩니다. 외부 네트워크 스니퍼는 왼쪽 IP 및 오른쪽 IP만 가져올 수 있습니다. 일반적으로 터널 모드의 경우 host-to-host,host-to-subnet 및 subnet -to-subnet을 지원합니다. 이 모드에서 새 IP 패킷은 페이로드 및 헤더와 함께 기존 패킷을 캡슐화합니다. 이 모드에서 캡슐화는 비보안 네트워크를 통해 IP 데이터, 소스 및 대상 헤더를 보호합니다. 이 모드는 서브넷 간 데이터, 원격 액세스 연결 및 오픈 공용 Wi- Fi 네트워크와 같은 신뢰할 수 없는 네트워크에서 데이터를 전송하는 데 유용합니다. 기본적으로 IPsec은 터널 모드에서 두 사이트 간에 보안 채널을 설정합니다. 다음 구성을 사용하면 호스트 간 아키텍처로 VPN 연결을 설정할 수 있습니다.

네트워크 관리를 위한 선언적 API인 Nmstate를 사용하면 IPsec VPN 연결을 구성할 수 있습니다. 구성을 설정한 후 Nmstate API에서 결과가 구성 파일과 일치하는지 확인합니다. 문제가 발생하면 nmstate 가 시스템의 잘못된 상태를 방지하기 위해 변경 사항을 자동으로 롤백합니다.

host-to-host 구성에서 leftmodecfgclient: no 를 설정하여 서버에서 네트워크 구성을 수신할 수 없으므로 값이 no 입니다. nmstate에서 IPsec 에 대한 시스템을 정의하는 경우 왼쪽-named 시스템은 로컬 호스트이고 오른쪽이름이 원격 호스트입니다. 두 호스트 모두에서 다음 절차를 실행해야 합니다.

사전 요구 사항

  • 암호를 사용하면 인증서 및 암호화 키를 저장하는 PKCS #12 파일을 생성했습니다.

절차

  1. 필수 패키지를 설치합니다.

    # dnf install nmstate libreswan NetworkManager-libreswan
  2. NetworkManager 서비스를 다시 시작하십시오.

    # systemctl restart NetworkManager
  3. Libreswan 이 이미 설치되어 있으므로 이전 데이터베이스 파일을 제거하고 다시 생성합니다.

    # systemctl stop ipsec
    # rm /etc/ipsec.d/*db
    # ipsec initnss
  4. PKCS#12 파일을 가져옵니다.

    # ipsec import node-example.p12

    PKCS#12 파일을 가져올 때 파일을 생성하는 데 사용된 암호를 입력합니다.

  5. ipsec 서비스를 활성화하고 시작합니다.

    # systemctl enable --now ipsec
  6. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-p2p-vpn-authentication.yml )을 만듭니다.

    ---
    interfaces:
    - name: 'example_ipsec_conn1'             1
      type: ipsec
      libreswan:
        left: '192.0.2.250'                   2
        leftid:  'local-host.example.com'     3
        leftcert: 'local-host.example.com'    4
        leftmodecfgclient: 'no'               5
        right: '192.0.2.150'                  6
        rightid: 'remote-host.example.com'    7
        rightsubnet: '192.0.2.150/32'         8
        ikev2: 'insist'                       9

    YAML 파일은 다음 설정을 정의합니다.

    1
    IPsec 연결 이름
    2
    로컬 호스트에 대한 공용 네트워크 인터페이스의 정적 IPv4 주소
    3
    로컬 호스트의 고유 이름(DN)
    4
    로컬 호스트에 설치된 인증서 이름
    5
    원격 호스트에서 클라이언트 구성을 검색하지 않는 값
    6
    원격 호스트에 대한 공용 네트워크 인터페이스의 정적 IPv4 주소
    7
    원격 호스트의 고유 이름(DN)
    8
    32 IPv4 주소가 있는 원격 호스트 - 192.0.2.150 의 서브넷 범위
    9
    IKEv2(Internet Key Exchange) 프로토콜을 수락하고 받을 값
  7. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-p2p-vpn-authentication.yml

검증

  1. 생성된 P2P 정책을 표시합니다.

    # ip xfrm policy
  2. IPsec 상태를 확인합니다.

    # ip xfrm status

추가 리소스

  • IPsec.conf(5) 도움말 페이지

7.5.5. nmstatectl을 사용하여 PSK 인증 및 전송 모드를 사용하여 호스트 간 IPsec VPN 구성

IPsec (Internet Protocol Security)은 네트워크 및 장치 내에서 IP 통신을 인증하고 암호화하기 위한 보안 프로토콜 제품군입니다. Libreswan 유틸리티는 VPN에 대한 IPsec 기반 구현을 제공합니다.

전송 모드에서 암호화는 IP 패킷의 페이로드에만 작동합니다. 또한 원래 IP 헤더를 그대로 유지하여 새 IPsec 헤더가 IP 패킷에 추가됩니다. 전송 모드는 통신의 소스 및 대상 IP를 암호화하지 않지만 외부 IP 헤더에 복사합니다. 따라서 암호화는 네트워크에서 IP 데이터만 보호합니다. 이 모드는 네트워크의 호스트 간 연결에서 데이터를 전송하는 데 유용합니다. 이 모드는 종종 20바이트(IP 헤더)의 오버헤드를 저장하기 위해 GRE 터널과 함께 사용됩니다. 기본적으로 IPsec 유틸리티는 터널 모드를 사용합니다. 전송 모드를 사용하려면 호스트 간 연결 데이터 전송을 위한 type: transport 설정합니다.

네트워크 관리를 위한 선언적 API인 Nmstate를 사용하면 IPsec VPN 연결을 구성할 수 있습니다. 구성을 설정한 후 Nmstate API에서 결과가 구성 파일과 일치하는지 확인합니다. 문제가 발생하면 nmstate 가 시스템의 잘못된 상태를 방지하기 위해 변경 사항을 자동으로 롤백합니다. 기본 터널 모드를 재정의하려면 전송 모드를 지정합니다.

nmstate에서 IPsec 에 대한 시스템을 정의하는 경우 왼쪽-named 시스템은 로컬 호스트이고 오른쪽이름이 원격 호스트입니다. 두 호스트 모두에서 다음 절차를 실행해야 합니다.

사전 요구 사항

  • 암호를 사용하면 인증서 및 암호화 키를 저장하는 PKCS #12 파일을 생성했습니다.

절차

  1. 필수 패키지를 설치합니다.

    # dnf install nmstate libreswan NetworkManager-libreswan
  2. NetworkManager 서비스를 다시 시작하십시오.

    # systemctl restart NetworkManager
  3. Libreswan 이 이미 설치되어 있으므로 이전 데이터베이스 파일을 제거하고 다시 생성합니다.

    # systemctl stop ipsec
    # rm /etc/ipsec.d/*db
    # ipsec initnss
  4. PKCS#12 파일을 가져옵니다.

    # ipsec import node-example.p12

    PKCS#12 파일을 가져올 때 파일을 생성하는 데 사용된 암호를 입력합니다.

  5. ipsec 서비스를 활성화하고 시작합니다.

    # systemctl enable --now ipsec
  6. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-p2p-transport-authentication.yml )을 만듭니다.

    ---
    interfaces:
    - name: 'example_ipsec_conn1'           1
      type: ipsec
      libreswan:
        type: 'transport'                   2
        ipsec-interface: '99'               3
        left: '192.0.2.250'                 4
        leftid: '%fromcert'                 5
        leftcert: 'local-host.example.org'  6
        right: '192.0.2.150'                7
        prefix-length: '32'                 8
        rightid: '%fromcert'                9
        ikev2: 'insist'                     10
        ikelifetime: '24h'                  11
        salifetime: '24h'                   12

    YAML 파일은 다음 설정을 정의합니다.

    1
    IPsec 연결 이름
    2
    IPsec 모드
    3
    99libreswan 이 IPsec xfrm 가상 인터페이스 ipsec<number >를 생성하고 사용 가능한 다음 번호를 자동으로 찾습니다
    4
    로컬 호스트에 대한 공용 네트워크 인터페이스의 정적 IPv4 주소
    5
    로컬 호스트에서 %fromcert 의 값은 로드된 인증서에서 가져온 ID를 고유 이름(DN)으로 설정합니다.
    6
    로컬 호스트의 공개 키의 고유 이름(DN)
    7
    원격 호스트에 대한 공용 네트워크 인터페이스의 정적 IPv4 주소
    8
    로컬 호스트의 정적 IPv4 주소의 서브넷 마스크
    9
    원격 호스트에서 %fromcert 의 값은 로드된 인증서에서 가져온 ID를 고유 이름(DN)으로 설정합니다.
    10
    IKEv2(Internet Key Exchange) 프로토콜을 수락하고 받을 값
    11
    IKE 프로토콜의 기간
    12
    IPsec 보안 연관 (SA)의 기간
  7. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-p2p-transport-authentication.yml

검증

  1. IPsec 상태를 확인합니다.

    # ip xfrm status
  2. IPsec 정책을 확인합니다.

    # ip xfrm policy

추가 리소스

  • IPsec.conf(5) 도움말 페이지

8장. WireGuard VPN 설정

WireGuard는 Linux 커널에서 실행되는 고성능 VPN 솔루션입니다. 최신 암호화를 사용하며 다른 VPN 솔루션보다 구성하기가 더 쉽습니다. 또한 WireGuard의 소형 코드베이스는 공격 면적을 줄임으로써 보안이 향상됩니다. 인증 및 암호화의 경우 WireGuard는 SSH와 유사한 키를 사용합니다.

중요

WireGuard는 기술 프리뷰로만 제공됩니다. 기술 프리뷰 기능은 Red Hat 프로덕션 서비스 수준 계약(SLA)에서 지원되지 않을 수 있으며, 기능적으로 완전하지 않을 수 있으며 Red Hat은 프로덕션에 이러한 기능을 사용하지 않는 것이 좋습니다. 이러한 프리뷰를 통해 향후 제품 기능에 조기 액세스할 수 있어 개발 과정에서 고객이 기능을 테스트하고 피드백을 제공할 수 있습니다.

기술 프리뷰 기능의 지원 범위에 대한 자세한 내용은 Red Hat 고객 포털의 기술 프리뷰 기능 지원 범위를 참조하십시오.

WireGuard VPN에 참여하는 모든 호스트는 피어입니다. 이 문서에서는 클라이언트라는 용어를 사용하여 클라이언트 가 이 서버를 통해 모든 트래픽을 연결하고 선택적으로 라우팅하는 고정 호스트 이름 또는 IP 주소로 호스트를 설명하는 연결 및 서버를 설정하는 호스트를 설명합니다.

WireGuard VPN을 설정하려면 다음 단계를 완료해야 합니다. 다른 옵션을 사용하여 대부분의 단계를 수행할 수 있습니다.

  1. VPN의 모든 호스트에 대한 공개 및 개인 키를 만듭니다.
  2. nmcli,nmtui, RHEL 웹 콘솔,nm-connection-editor 또는 wg-quick 서비스를 사용하여 WireGuard 서버를 구성합니다.
  3. 명령줄, RHEL 웹 콘솔 또는 그래픽 인터페이스를 사용하여 WireGuard 서버에서 firewalld를 구성합니다.
  4. nmcli,nmtui, RHEL 웹 콘솔,nm-connection-editor 또는 wg-quick 서비스를 사용하여 WireGuard 클라이언트를 구성합니다.

FlexVolume은 네트워크 계층(레이어 3)에서 작동합니다. 따라서 DHCP를 사용할 수 없으며 서버와 클라이언트의 터널 장치에 고정 IP 주소 또는 IPv6 링크-로컬 주소를 할당해야 합니다.

중요

RHEL의 FIPS(Federal Information Processing Standard) 모드가 비활성화된 경우에만 WireGuard를 사용할 수 있습니다.

8.1. WireGuard에서 사용하는 프로토콜 및 기본 사항

WireGuard는 다음 프로토콜 및 기본 설정을 사용합니다.

  • RFC7539에 설명된 대로 AEAD(Associated Encryption with Associated Data) 제작을 사용하여 Poly1305로 인증된 대칭 암호화용 ChaCha20
  • Curve25519 for Elliptic-curve Diffie-Hellman (ECDH) 키 교환
  • RFC7693에 설명된 대로 해싱 및 키 해시를 위한 BLAKE2s
  • 해시 테이블 키의 경우 SipHash24
  • RFC5869에 설명된 대로 키 파생을 위한 HKDF

8.2. WireGuard에서 터널 IP 주소, 공용 키 및 원격 끝점을 사용하는 방법

WireGuard가 네트워크 패킷을 피어로 보내는 경우:

  1. WireGuard는 패킷에서 대상 IP를 읽고 로컬 구성에서 허용된 IP 주소 목록과 비교합니다. 피어를 찾을 수 없는 경우 WireGuard에서 패킷을 삭제합니다.
  2. 피어가 유효한 경우 WireGuard는 피어의 공개 키를 사용하여 패킷을 암호화합니다.
  3. 전송 호스트는 호스트의 최신 인터넷 IP 주소를 찾아 암호화된 패킷을 전송합니다.

WireGuard에서 패킷을 수신하면 다음을 수행합니다.

  1. WireGuard는 원격 호스트의 개인 키를 사용하여 패킷의 암호를 해독합니다.
  2. WireGuard는 패킷에서 내부 소스 주소를 읽고 로컬 호스트의 피어 설정에서 허용된 IP 주소 목록에 IP가 구성되어 있는지 여부를 조회합니다. 소스 IP가 허용 목록에 있으면 WireGuard에서 패킷을 수락합니다. IP 주소가 목록에 없으면 WireGuard에서 패킷을 삭제합니다.

공개 키 및 허용되는 IP 주소의 연관을 IRQ key 라우팅 테이블 이라고 합니다. 즉, IP 주소 목록은 패킷을 전송할 때 라우팅 테이블과 유사하게 작동하며 패킷을 수신할 때 일종의 액세스 제어 목록으로 작동합니다.

8.3. NAT 및 방화벽 뒤의 WireGuard 클라이언트 사용

WireGuard는 UDP 프로토콜을 사용하고 피어가 패킷을 전송할 때만 데이터를 전송합니다. 라우터의 상태 저장 방화벽 및 NAT(네트워크 주소 변환)는 연결을 추적하여 NAT 또는 방화벽의 피어가 패킷을 수신할 수 있도록 합니다.

연결을 활성 상태로 유지하기 위해 WireECDHE는 영구 keepalives 를 지원합니다. 즉, WireGuard에서 keepalive 패킷을 보내는 간격을 설정할 수 있습니다. 기본적으로 영구적인 keep-alive 기능은 네트워크 트래픽을 줄이기 위해 비활성화되어 있습니다. NAT가 있는 네트워크에서 클라이언트를 사용하거나 비활성 시간이 지나면 방화벽이 연결을 닫는 경우 클라이언트에서 이 기능을 활성화합니다.

참고

RHEL 웹 콘솔을 사용하여 WireGuard 연결에서는 keepalive 패킷을 구성할 수 없습니다. 이 기능을 구성하려면 nmcli 유틸리티를 사용하여 연결 프로필을 편집합니다.

8.4. WireGuard 연결에서 사용할 개인 및 공개 키 생성

WireGuard는 base64로 인코딩된 개인 키와 공개 키를 사용하여 서로 호스트를 인증합니다. 따라서 WireGuard VPN에 참여하는 각 호스트에서 키를 생성해야 합니다.

중요

보안 연결의 경우 각 호스트에 대해 서로 다른 키를 생성하고 원격 WireGuard 호스트와만 공개 키만 공유해야 합니다. 이 문서에 사용된 예제 키를 사용하지 마십시오.

RHEL 웹 콘솔을 사용하여 WireGuard VPN 연결을 만들려면 또는 웹 콘솔에서 공개 및 개인 키 쌍을 생성할 수 있습니다.

절차

  1. wireguard-tools 패키지를 설치합니다.

    # dnf install wireguard-tools
  2. 호스트에 대한 개인 키와 해당 공개 키를 생성합니다.

    # wg genkey | tee /etc/wireguard/$HOSTNAME.private.key | wg pubkey > /etc/wireguard/$HOSTNAME.public.key

    키 파일의 내용이 필요하지만 파일 자체는 필요하지 않습니다. 하지만 나중에 키를 기억해야 하는 경우 파일을 유지하는 것이 좋습니다.

  3. 키 파일에 보안 권한을 설정합니다.

    # chmod 600 /etc/wireguard/$HOSTNAME.private.key /etc/wireguard/$HOSTNAME.public.key
  4. 개인 키를 표시합니다.

    # cat /etc/wireguard/$HOSTNAME.private.key
    YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=

    로컬 호스트에서 WireGuard 연결을 구성하려면 개인 키가 필요합니다. 개인 키를 공유하지 마십시오.

  5. 공개 키를 표시합니다.

    # cat /etc/wireguard/$HOSTNAME.public.key
    UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=

    원격 호스트에서 WireGuard 연결을 구성하려면 공개 키가 필요합니다.

추가 리소스

  • wg(8) 매뉴얼 페이지

8.5. nmcli를 사용하여 Wire>-< 서버 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 서버:

    • 개인 키: YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32
  • 클라이언트:

    • Public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 서버의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. NetworkManager WireGuard 연결 프로필을 추가합니다.

    # nmcli connection add type wireguard con-name server-wg0 ifname wg0 autoconnect no

    이 명령은 server-wg0 이라는 프로필을 생성하고 wg0 에 가상 인터페이스를 할당합니다. 구성을 종료하지 않고 추가한 후 연결이 자동으로 시작되지 않도록 하려면 autoconnect 매개변수를 비활성화합니다.

  2. 서버의 터널 IPv4 주소 및 서브넷 마스크를 설정합니다.

    # nmcli connection modify server-wg0 ipv4.method manual ipv4.addresses 192.0.2.1/24
  3. 서버의 터널 IPv6 주소 및 서브넷 마스크를 설정합니다.

    # nmcli connection modify server-wg0 ipv6.method manual ipv6.addresses 2001:db8:1::1/32
  4. 연결 프로필에 서버의 개인 키를 추가합니다.

    # nmcli connection modify server-wg0 wireguard.private-key "YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg="
  5. 들어오는 WireGuard 연결의 포트를 설정합니다.

    # nmcli connection modify server-wg0 wireguard.listen-port 51820

    수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireECDHE는 wg0 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

  6. 이 서버와 통신할 수 있도록 허용할 각 클라이언트에 대해 피어 구성을 추가합니다. nmcli 유틸리티에서 해당 연결 속성 설정을 지원하지 않기 때문에 이러한 설정을 수동으로 추가해야 합니다.

    1. /etc/NetworkManager/system-connections/server-wg0.nmconnection 파일을 편집하고 다음을 추가합니다.

      [wireguard-peer.bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=]
      allowed-ips=192.0.2.2;2001:db8:1::2;
      • [wireguard-peer. <public_key_of_the_client>] 항목은 클라이언트의 피어 섹션을 정의하고 섹션 이름에 클라이언트의 공개 키가 포함되어 있습니다.
      • allowed-ips 매개변수는 이 서버로 데이터를 전송할 수 있는 클라이언트의 터널 IP 주소를 설정합니다.

        각 클라이언트에 대해 섹션을 추가합니다.

    2. server-wg0 연결 프로필을 다시 로드합니다.

      # nmcli connection load /etc/NetworkManager/system-connections/server-wg0.nmconnection
  7. 선택 사항: 자동으로 시작하도록 연결을 설정하고 다음을 입력합니다.

    # nmcli connection modify server-wg0 autoconnect yes
  8. server-wg0 연결을 다시 활성화합니다.

    # nmcli connection up server-wg0

검증

  1. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::3ef:8863:1ce2:844/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 매뉴얼 페이지
  • nm-settings(5) 매뉴얼 페이지의 Wire>-< 설정 섹션

8.6. nmtui를 사용하여 Wire>-< 서버 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 서버:

    • 개인 키: YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32
  • 클라이언트:

    • Public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 서버의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크
  • NetworkManager-tui 패키지를 설치하셨습니다.

절차

  1. nmtui 애플리케이션을 시작합니다.

    # nmtui
  2. Edit a connection 을 선택하고 Enter 를 누릅니다.
  3. 추가를 선택하고 Enter 를 누릅니다.
  4. 목록에서 FlexVolume 연결 유형을 선택하고 Enter 를 누릅니다.
  5. 연결 편집 창에서 다음을 수행합니다.

    1. 연결 이름과 가상 인터페이스(예: wg0 )를 입력하여 NetworkManager가 연결에 할당해야 합니다.
    2. 서버의 개인 키를 입력합니다.
    3. 들어오는 FlexVolume 연결에 대해 수신 대기 포트 번호(예: 51820)를 설정합니다.

      수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireGuard는 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

      nmtuiuiECDHE 서버 일반
    4. Peers 창 옆에 있는 추가를 클릭합니다.

      1. 클라이언트의 공개 키를 입력합니다.
      2. Allowed IPs 필드를 이 서버로 데이터를 보낼 수 있는 클라이언트의 터널 IP 주소로 설정합니다.
      3. 확인을 선택하고 Enter 를 누릅니다.

        nmtuiECDHE 서버 피어 구성
    5. IPv4 Configuration 옆에 있는 Show next를 선택하고 Enter 를 누릅니다.

      1. IPv4 구성 방법 Manual 을 선택합니다.
      2. 터널 IPv4 주소와 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
    6. IPv6 구성 옆에 있는 표시를 선택하고 Enter 를 누릅니다.

      1. IPv6 구성 방법 Manual 을 선택합니다.
      2. 터널 IPv6 주소와 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
    7. 확인 을 선택하고 Enter키를 누릅니다.

      nmtuiECDHE 서버 ip 구성
  6. 연결 목록이 있는 창에서 Back 을 선택하고 Enter 를 누릅니다.
  7. NetworkManager TUI 메인 창에서 Quit 를 선택하고 Enter 를 누릅니다.

검증

  1. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::3ef:8863:1ce2:844/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 매뉴얼 페이지

8.7. RHEL 웹 콘솔을 사용하여 WireGuard 서버 구성

브라우저 기반 RHEL 웹 콘솔을 사용하여 WireGuard 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

사전 요구 사항

  • RHEL 웹 콘솔에 로그인되어 있습니다.
  • 다음 정보를 알고 있습니다.

    • 서버와 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 인터페이스 섹션에서 VPN 추가 를 클릭합니다.
  3. wireguard-toolssystemd-resolved 패키지가 아직 설치되지 않은 경우 웹 콘솔에 해당 알림이 표시됩니다. 설치를 클릭하여 이러한 패키지를 설치합니다.
  4. 만들려는 WireGuard 장치의 이름을 입력합니다.
  5. 이 호스트의 키 쌍을 구성합니다.

    • 웹 콘솔에서 생성한 키를 사용하려면 다음을 수행합니다.

      1. 개인 키 영역에서 사전 선택한 Generated 옵션을 유지합니다.
      2. 공개 키 값을 기록합니다. 클라이언트를 구성할 때 이 정보가 필요합니다.
    • 기존 개인 키를 사용하려는 경우:

      1. 개인 키 영역에서 기존 키 입력을 선택합니다.
      2. 개인 키를 텍스트 필드에 붙여넣습니다. 웹 콘솔은 해당 공개 키를 자동으로 계산합니다.
  6. 들어오는 WireGuard 연결에 대해 51820 과 같은 수신 포트 번호를 설정합니다.

    수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireGuard는 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

  7. 서버의 터널 IPv4 주소 및 서브넷 마스크를 설정합니다.

    IPv6 주소도 설정하려면 연결을 생성한 후 편집해야 합니다.

  8. 이 서버와 통신할 수 있도록 허용할 각 클라이언트에 대해 피어 구성을 추가합니다.

    1. 피어 추가를 클릭합니다.
    2. 클라이언트의 공개 키를 입력합니다.
    3. Endpoint 필드를 비워 둡니다.
    4. Allowed IPs 필드를 이 서버에 데이터를 보낼 수 있는 클라이언트의 터널 IP 주소로 설정합니다.
    WireGuard 서버 설정
  9. 추가 를 클릭하여 WireGuard 연결을 만듭니다.
  10. 터널 IPv6 주소도 설정하려면 다음을 수행합니다.

    1. 인터페이스 섹션에서 WireGuard 연결의 이름을 클릭합니다.
    2. IPv6 옆에 있는 편집을 클릭합니다.
    3. Address 필드를 Manual 로 설정하고 터널 IPv6 주소 및 서버 접두사를 입력합니다.
    4. 저장을 클릭합니다.

검증

  1. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::3ef:8863:1ce2:844/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

8.8. nm-connection-editor를 사용하여 Wire>-< 서버 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 서버의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. 터미널을 열고 다음을 입력합니다.

    # nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. Wire>- < 연결 유형을 선택하고 만들기 를 클릭합니다.
  4. 선택 사항: 연결 이름을 업데이트합니다.
  5. 일반 탭에서 우선 순위로 자동 연결을 선택합니다. 선택적으로 우선순위 값을 설정합니다.
  6. Wire>-< 탭에서 다음을 수행합니다.

    1. wg0, 해당 NetworkManager가 연결에 할당해야 하는 가상 인터페이스의 이름을 입력합니다.
    2. 서버의 개인 키를 입력합니다.
    3. 들어오는 FlexVolume 연결에 대해 수신 대기 포트 번호(예: 51820)를 설정합니다.

      수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireGuard는 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

    4. Add(추가 )를 클릭하여 피어를 추가합니다.

      1. 클라이언트의 공개 키를 입력합니다.
      2. Allowed IPs 필드를 이 서버로 데이터를 보낼 수 있는 클라이언트의 터널 IP 주소로 설정합니다.
      3. Apply(적용)를 클릭합니다.
  7. IPv4 설정 탭에서 다음을 수행합니다.

    1. Method 목록에서 Manual 을 선택합니다.
    2. Add(추가 )를 클릭하여 터널 IPv4 주소 및 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
  8. IPv6 설정 탭에서 다음을 수행합니다.

    1. Method 목록에서 Manual 을 선택합니다.
    2. Add(추가 )를 클릭하여 터널 IPv6 주소와 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
  9. Save (저장)를 클릭하여 연결 프로필을 저장합니다.

검증

  1. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::3ef:8863:1ce2:844/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 매뉴얼 페이지

8.9. wg-quick 서비스를 사용하여 Wire>-< 서버 구성

/etc/wireguard/ 디렉토리에 구성 파일을 생성하여 Wire>-< 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager와 독립적으로 서비스를 구성합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 서버:

    • 개인 키: YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32
  • 클라이언트:

    • Public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 서버의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. wireguard-tools 패키지를 설치합니다.

    # dnf install wireguard-tools
  2. 다음 콘텐츠로 /etc/wireguard/wg0.conf 파일을 만듭니다.

    [Interface]
    Address = 192.0.2.1/24, 2001:db8:1::1/32
    ListenPort = 51820
    PrivateKey = YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=
    
    [Peer]
    PublicKey = bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
    AllowedIPs = 192.0.2.2, 2001:db8:1::2
    • [Interface] 섹션은 서버의 인터페이스의 WireECDHE 설정을 설명합니다.

      • address: 서버의 터널 IP 주소 쉼표로 구분된 목록입니다.
      • privateKey: 서버의 개인 키입니다.
      • ListenPort: WireGuard가 들어오는 UDP 연결을 수신 대기하는 포트입니다.

        수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireECDHE는 wg0 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

    • [Peer] 섹션은 하나의 클라이언트 설정을 설명합니다.

      • publickey: 클라이언트의 공개 키.
      • AllowedIPs: 이 서버에 데이터를 보낼 수 있는 클라이언트의 터널 IP 주소입니다.
  3. WireGuard 연결을 활성화하고 시작합니다.

    # systemctl enable --now wg-quick@wg0

    systemd 인스턴스 이름은 .conf 접미사가 없는 /etc/wireguard/ 디렉토리의 구성 파일 이름과 일치해야 합니다. 또한 서비스는 가상 네트워크 인터페이스에 이 이름을 사용합니다.

검증

  1. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 scope global wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 매뉴얼 페이지
  • wg-quick(8) 매뉴얼 페이지

8.10. 명령줄을 사용하여 Wire>-< 서버의 firewalld 구성

클라이언트에서 들어오는 연결을 허용하도록 WireECDHE 서버에서 firewalld 서비스를 구성해야 합니다. 또한 클라이언트가 WireGuard 서버를 기본 게이트웨이로 사용하고 터널을 통해 모든 트래픽을 라우팅할 수 있는 경우 마스커레이딩을 활성화해야 합니다.

절차

  1. firewalld 서비스에서 들어오는 연결에 대해 Wire>-< 포트를 엽니다.

    # firewall-cmd --permanent --add-port=51820/udp --zone=public
  2. 클라이언트가 모든 트래픽을 터널을 통해 라우팅하고 Wire>-< 서버를 기본 게이트웨이로 사용해야 하는 경우 퍼블릭 영역에 대해 마스커레이딩을 활성화합니다.

    # firewall-cmd --permanent --zone=public --add-masquerade
  3. firewalld 규칙을 다시 로드합니다.

    # firewall-cmd --reload

검증

  • 퍼블릭 영역의 구성을 표시합니다.

    # firewall-cmd --list-all
    public (active)
      ...
      ports: 51820/udp
      masquerade: yes
      ...

추가 리소스

  • firewall-cmd(1) 매뉴얼 페이지

8.11. RHEL 웹 콘솔을 사용하여 WireGuard 서버에서 firewalld 구성

클라이언트에서 들어오는 연결을 허용하도록 WireGuard 서버에서 firewalld 서비스를 구성해야 합니다. 또한 클라이언트가 WireGuard 서버를 기본 게이트웨이로 사용하고 터널을 통해 모든 트래픽을 라우팅할 수 있는 경우 마스커레이딩을 활성화해야 합니다.

사전 요구 사항

  • RHEL 웹 콘솔에 로그인되어 있습니다.

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 방화벽 섹션에서 규칙 및 영역 편집을 클릭합니다.
  3. Filter services (필터 서비스) 필드에 fr guard 를 입력합니다.
  4. 목록에서 wireguard 항목을 선택합니다.

    WireGuard 서버에 대한 firewalld 설정
  5. 서비스 추가를 클릭합니다.
  6. 클라이언트가 모든 트래픽을 터널을 통해 라우팅하고 Wire>-< 서버를 기본 게이트웨이로 사용해야 하는 경우 퍼블릭 영역에 대해 마스커레이딩을 활성화합니다.

    # firewall-cmd --permanent --zone=public --add-masquerade
    # firewall-cmd --reload

    웹 콘솔의 firewalld 영역에서 마스커레이딩을 활성화할 수 없습니다.

검증

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 방화벽 섹션에서 규칙 및 영역 편집을 클릭합니다.
  3. 목록에는 wireguard 서비스에 대한 항목이 포함되어 있으며 WireGuard 연결 프로필에서 구성한 UDP 포트를 표시합니다.
  4. firewalld 공용 영역에서 마스커레이딩이 활성화되었는지 확인하려면 다음을 입력합니다.

    # firewall-cmd --list-all --zone=public
    public (active)
      ...
      ports: 51820/udp
      masquerade: yes
      ...

8.12. 그래픽 인터페이스를 사용하여 Wire>-< 서버의 firewalld 구성

클라이언트에서 들어오는 연결을 허용하도록 WireECDHE 서버에서 firewalld 서비스를 구성해야 합니다. 또한 클라이언트가 WireGuard 서버를 기본 게이트웨이로 사용하고 터널을 통해 모든 트래픽을 라우팅할 수 있는 경우 마스커레이딩을 활성화해야 합니다.

절차

  1. Super 키를 눌러 방화벽 을 입력하고 결과에서 방화벽 애플리케이션을 선택합니다.
  2. 구성 목록에서 Permanent 를 선택합니다.
  3. 퍼블릭 영역을 선택합니다.
  4. WireGuard 포트에 대한 수신 연결을 허용합니다.

    1. 포트 탭에서 추가 를 클릭합니다.
    2. 들어오는 WireGuard 연결에 설정한 포트 번호를 입력합니다.
    3. 프로토콜 목록에서 udp 를 선택합니다.
    4. OK를 클릭합니다.
  5. 클라이언트가 터널을 통해 모든 트래픽을 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용해야 하는 경우:

    1. 퍼블릭 영역의 Masquerading 탭으로 이동합니다.
    2. Masquerade 영역을 선택합니다.
  6. OptionsReload Firewalld 를 선택합니다.

검증

  • 퍼블릭 영역의 구성을 표시합니다.

    # firewall-cmd --list-all
    public (active)
      ...
      ports: 51820/udp
      masquerade: yes
      ...

8.13. nmcli를 사용하여 Wire>-< 클라이언트 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 클라이언트:

    • Private key: aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32
  • 서버:

    • 공개 키: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 클라이언트의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. NetworkManager WireGuard 연결 프로필을 추가합니다.

    # nmcli connection add type wireguard con-name client-wg0 ifname wg0 autoconnect no

    이 명령은 client-wg0 이라는 프로필을 생성하고 wg0 에 가상 인터페이스를 할당합니다. 구성을 종료하지 않고 추가한 후 연결이 자동으로 시작되지 않도록 하려면 autoconnect 매개변수를 비활성화합니다.

  2. 선택 사항: client-wg 연결이 자동으로 시작되지 않도록 NetworkManager를 구성합니다.

    # nmcli connection modify client-wg0 autoconnect no
  3. 클라이언트의 터널 IPv4 주소 및 서브넷 마스크를 설정합니다.

    # nmcli connection modify client-wg0 ipv4.method manual ipv4.addresses 192.0.2.2/24
  4. 클라이언트의 터널 IPv6 주소 및 서브넷 마스크를 설정합니다.

    # nmcli connection modify client-wg0 ipv6.method manual ipv6.addresses 2001:db8:1::2/32
  5. 모든 트래픽을 터널을 통해 라우팅하려면 서버의 터널 IP 주소를 기본 게이트웨이로 설정합니다.

    # nmcli connection modify client-wg0 ipv4.gateway 192.0.2.1 ipv6.gateway 2001:db8:1::1

    터널을 통해 모든 트래픽을 라우팅하려면 이후 단계에서 이 클라이언트의 allowed-ips0.0.0.0/0;::/0 으로 설정해야 합니다.

    터널을 통해 모든 트래픽을 라우팅하면 서버 라우팅 및 방화벽 구성을 기반으로 다른 호스트에 대한 연결에 영향을 미칠 수 있습니다.

  6. 연결 프로필에 클라이언트의 개인 키를 추가합니다.

    # nmcli connection modify client-wg0 wireguard.private-key "aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A="
  7. 이 클라이언트와 통신할 수 있도록 허용할 각 서버에 대해 피어 구성을 추가합니다. nmcli 유틸리티에서 해당 연결 속성 설정을 지원하지 않기 때문에 이러한 설정을 수동으로 추가해야 합니다.

    1. /etc/NetworkManager/system-connections/client-wg0.nmconnection 파일을 편집하고 다음을 추가합니다.

      [wireguard-peer.UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=]
      endpoint=server.example.com:51820
      allowed-ips=192.0.2.1;2001:db8:1::1;
      persistent-keepalive=20
      • [wireguard-peer. <public_key_of_the_server>] 항목은 서버의 피어 섹션을 정의하고 섹션 이름에 서버의 공개 키가 있습니다.
      • endpoint 매개변수는 호스트 이름 또는 IP 주소와 서버의 포트를 설정합니다. 클라이언트는 이 정보를 사용하여 연결을 설정합니다.
      • allowed-ips 매개변수는 이 클라이언트에 데이터를 전송할 수 있는 IP 주소 목록을 설정합니다. 예를 들어 매개 변수를 다음과 같이 설정합니다.

        • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다. 위 예제의 값은 이 시나리오를 구성합니다.
        • 0.0.0.0/0;::/0; 에서 모든 원격 IPv4 및 IPv6 주소가 이 클라이언트와 통신할 수 있도록 합니다. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.
      • 선택적 persistent-keepalive 매개변수는 WireECDHE가 서버에 저장 활성 패킷을 보내는 간격(초)을 정의합니다. NAT(네트워크 주소 변환)가 있는 네트워크에서 클라이언트를 사용하거나 방화벽이 비활성 시간이 지난 후 UDP 연결을 닫는 경우 이 매개변수를 설정합니다.
    2. client-wg0 연결 프로필을 다시 로드합니다.

      # nmcli connection load /etc/NetworkManager/system-connections/client-wg0.nmconnection
  8. client-wg0 연결을 다시 활성화합니다.

    # nmcli connection up client-wg0

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1
    # ping6 2001:db8:1::1
  2. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 51820
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    이미 VPN 터널을 통해 트래픽을 보낸 경우 출력에는 최신 핸드셰이크전송 항목만 있습니다.

  3. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::73d9:6f51:ea6f:863e/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 매뉴얼 페이지
  • nm-settings(5) 매뉴얼 페이지의 Wire>-< 설정 섹션

8.14. nmtui를 사용하여 Wire>-< 클라이언트 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 클라이언트:

    • Private key: aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32
  • 서버:

    • 공개 키: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 클라이언트의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크
  • NetworkManager-tui 패키지를 설치하셨습니다.

절차

  1. nmtui 애플리케이션을 시작합니다.

    # nmtui
  2. Edit a connection 을 선택하고 Enter 를 누릅니다.
  3. 추가를 선택하고 Enter 를 누릅니다.
  4. 목록에서 FlexVolume 연결 유형을 선택하고 Enter 를 누릅니다.
  5. 연결 편집 창에서 다음을 수행합니다.

    1. 연결 이름과 가상 인터페이스(예: wg0 )를 입력하여 NetworkManager가 연결에 할당해야 합니다.
    2. 클라이언트의 개인 키를 입력합니다.

      nmtuiuiECDHE 클라이언트 일반
    3. Peers 창 옆에 있는 추가를 클릭합니다.

      1. 서버의 공개 키를 입력합니다.
      2. 허용된 IP 필드를 설정합니다. 예를 들어 다음과 같이 설정합니다.

        • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다.
        • 0.0.0.0/0,::/0 으로 원격 IPv4 및 IPv6 주소가 이 클라이언트와 통신할 수 있습니다. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.
      3. Red Hat Enterprise Linux Server의 호스트 이름 또는 IP 주소 및 포트를 Endpoint 필드에 입력합니다. hostname_or_IP:port_number형식 사용
      4. 선택 사항: NAT(네트워크 주소 변환)가 있는 네트워크에서 클라이언트를 사용하거나 방화벽이 비활성 시간 후에 UDP 연결을 닫는 경우 초 단위로 지속적인 간격을 설정합니다. 이 간격으로 클라이언트는 고정 패킷을 서버로 보냅니다.
      5. 확인을 선택하고 Enter 를 누릅니다.

        nmtuiECDHE 클라이언트 피어 구성
    4. IPv4 Configuration 옆에 있는 Show next를 선택하고 Enter 를 누릅니다.

      1. IPv4 구성 방법 Manual 을 선택합니다.
      2. 터널 IPv4 주소와 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
    5. IPv6 구성 옆에 있는 표시를 선택하고 Enter 를 누릅니다.

      1. IPv6 구성 방법 Manual 을 선택합니다.
      2. 터널 IPv6 주소와 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
    6. 선택 사항: 자동 연결을 선택합니다.
    7. 확인 을 선택하고 Enter키를 누릅니다.

      nmtuiECDHE 클라이언트 IP 구성
  6. 연결 목록이 있는 창에서 Back 을 선택하고 Enter 를 누릅니다.
  7. NetworkManager TUI 메인 창에서 Quit 를 선택하고 Enter 를 누릅니다.

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1
    # ping6 2001:db8:1::1
  2. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 51820
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    출력에는 이미 VPN 터널을 통해 트래픽을 보낸 경우 최신 핸드셰이크전송 항목만 포함됩니다.

  3. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::73d9:6f51:ea6f:863e/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 매뉴얼 페이지

8.15. RHEL 웹 콘솔을 사용하여 WireGuard 클라이언트 구성

브라우저 기반 RHEL 웹 콘솔을 사용하여 WireGuard 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

사전 요구 사항

  • RHEL 웹 콘솔에 로그인되어 있습니다.
  • 다음 정보를 알고 있습니다.

    • 서버와 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 인터페이스 섹션에서 VPN 추가 를 클릭합니다.
  3. wireguard-toolssystemd-resolved 패키지가 아직 설치되지 않은 경우 웹 콘솔에 해당 알림이 표시됩니다. 설치를 클릭하여 이러한 패키지를 설치합니다.
  4. 만들려는 WireGuard 장치의 이름을 입력합니다.
  5. 이 호스트의 키 쌍을 구성합니다.

    • 웹 콘솔에서 생성한 키를 사용하려면 다음을 수행합니다.

      1. 개인 키 영역에서 사전 선택한 Generated 옵션을 유지합니다.
      2. 공개 키 값을 기록합니다. 클라이언트를 구성할 때 이 정보가 필요합니다.
    • 기존 개인 키를 사용하려는 경우:

      1. 개인 키 영역에서 기존 키 입력을 선택합니다.
      2. 개인 키를 텍스트 필드에 붙여넣습니다. 웹 콘솔은 해당 공개 키를 자동으로 계산합니다.
  6. Listen port 필드에 0 값을 유지합니다.
  7. 클라이언트의 터널 IPv4 주소 및 서브넷 마스크를 설정합니다.

    IPv6 주소도 설정하려면 연결을 생성한 후 편집해야 합니다.

  8. 이 클라이언트와 통신할 수 있도록 허용할 서버의 피어 구성을 추가합니다.

    1. 피어 추가를 클릭합니다.
    2. 서버의 공개 키를 입력합니다.
    3. Endpoint 필드를 호스트 이름 또는 IP 주소 및 서버의 포트(예: server.example.com:51820 )로 설정합니다. 클라이언트는 이 정보를 사용하여 연결을 설정합니다.
    4. Allowed IPs 필드를 이 서버에 데이터를 보낼 수 있는 클라이언트의 터널 IP 주소로 설정합니다. 예를 들어 필드를 다음 중 하나로 설정합니다.

      • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다. 아래 화면 캡처의 값은 이 시나리오를 구성합니다.
      • 모든 원격 IPv4 주소가 이 클라이언트와 통신할 수 있도록 하는 0.0.0.0/0 입니다. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.
    WireGuard 클라이언트 설정
  9. 추가 를 클릭하여 WireGuard 연결을 만듭니다.
  10. 터널 IPv6 주소도 설정하려면 다음을 수행합니다.

    1. 인터페이스 섹션에서 WireGuard 연결의 이름을 클릭합니다.
    2. IPv6 옆에 있는 편집을 클릭합니다.
    3. Address 필드를 Manual 로 설정하고 터널 IPv6 주소 및 클라이언트 접두사를 입력합니다.
    4. 저장을 클릭합니다.

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1

    WireGuard는 터널을 통해 트래픽을 전송하려고 할 때 연결을 설정합니다.

  2. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 45513
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    이미 VPN 터널을 통해 트래픽을 보낸 경우 출력에는 최신 핸드셰이크전송 항목만 있습니다.

  3. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::73d9:6f51:ea6f:863e/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

8.16. nm-connection-editor를 사용하여 Wire>-< 클라이언트 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 클라이언트의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. 터미널을 열고 다음을 입력합니다.

    # nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. Wire>- < 연결 유형을 선택하고 만들기 를 클릭합니다.
  4. 선택 사항: 연결 이름을 업데이트합니다.
  5. 선택 사항: 일반 탭에서 우선 순위로 자동 연결을 선택합니다.
  6. Wire>-< 탭에서 다음을 수행합니다.

    1. wg0, 해당 NetworkManager가 연결에 할당해야 하는 가상 인터페이스의 이름을 입력합니다.
    2. 클라이언트의 개인 키를 입력합니다.
    3. Add(추가 )를 클릭하여 피어를 추가합니다.

      1. 서버의 공개 키를 입력합니다.
      2. 허용된 IP 필드를 설정합니다. 예를 들어 다음과 같이 설정합니다.

        • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다.
        • 0.0.0.0/0;::/0; 에서 모든 원격 IPv4 및 IPv6 주소가 이 클라이언트와 통신할 수 있도록 합니다. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.

          터널을 통해 모든 트래픽을 라우팅하면 서버 라우팅 및 방화벽 구성을 기반으로 다른 호스트에 대한 연결에 영향을 미칠 수 있습니다.

      3. 서버의 호스트 이름 또는 IP 주소와 포트를 Endpoint 필드에 입력합니다. hostname_or_IP:port_number형식 사용
      4. 선택 사항: NAT(네트워크 주소 변환)가 있는 네트워크에서 클라이언트를 사용하거나 방화벽이 비활성 시간 후에 UDP 연결을 닫는 경우 초 단위로 지속적인 간격을 설정합니다. 이 간격에서 클라이언트는 서버에 저장 활성 패킷을 보냅니다.
      5. Apply(적용)를 클릭합니다.
  7. IPv4 설정 탭에서 다음을 수행합니다.

    1. Method 목록에서 Manual 을 선택합니다.
    2. Add(추가 )를 클릭하여 터널 IPv4 주소 및 서브넷 마스크를 입력합니다.
    3. 터널을 통해 모든 트래픽을 라우팅하려면 Gateway 필드에 서버의 터널 IPv4 주소를 설정합니다. 그렇지 않으면 필드를 비워 둡니다.

      터널을 통해 모든 IPv4 트래픽을 라우팅하려면 이 클라이언트의 허용 IP 필드에 0.0.0.0/0 을 포함해야 합니다.

  8. IPv6 설정 탭에서 다음을 수행합니다.

    1. Method 목록에서 Manual 을 선택합니다.
    2. Add(추가 )를 클릭하여 터널 IPv6 주소와 서브넷 마스크를 입력합니다.
    3. 터널을 통해 모든 트래픽을 라우팅하려면 Gateway 필드에 서버의 터널 IPv6 주소를 설정합니다. 그렇지 않으면 필드를 비워 둡니다.

      터널을 통해 모든 IPv4 트래픽을 라우팅하려면 이 클라이언트의 허용 IP 필드에 ::/0 을 포함해야 합니다.

  9. Save (저장)를 클릭하여 연결 프로필을 저장합니다.

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1
    # ping6 2001:db8:1::1
  2. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 51820
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    이미 VPN 터널을 통해 트래픽을 보낸 경우 출력에는 최신 핸드셰이크전송 항목만 있습니다.

  3. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::73d9:6f51:ea6f:863e/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 매뉴얼 페이지

8.17. wg-quick 서비스를 사용하여 Wire>-< 클라이언트 구성

/etc/wireguard/ 디렉토리에 구성 파일을 생성하여 Wire>-< 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager와 독립적으로 서비스를 구성합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 클라이언트:

    • Private key: aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32
  • 서버:

    • 공개 키: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 클라이언트의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. wireguard-tools 패키지를 설치합니다.

    # dnf install wireguard-tools
  2. 다음 콘텐츠로 /etc/wireguard/wg0.conf 파일을 만듭니다.

    [Interface]
    Address = 192.0.2.2/24, 2001:db8:1::2/32
    PrivateKey = aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A=
    
    [Peer]
    PublicKey = UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
    AllowedIPs = 192.0.2.1, 2001:db8:1::1
    Endpoint = server.example.com:51820
    PersistentKeepalive = 20
    • [Interface] 섹션은 클라이언트의 인터페이스의 WireECDHE 설정에 대해 설명합니다.

      • address: 클라이언트의 터널 IP 주소 쉼표로 구분된 목록입니다.
      • privateKey: 클라이언트의 개인 키입니다.
    • [Peer] 섹션은 서버의 설정을 설명합니다.

      • publickey: 서버의 공개 키입니다.
      • AllowedIPs: 이 클라이언트에 데이터를 보낼 수 있는 IP 주소입니다. 예를 들어 매개 변수를 다음과 같이 설정합니다.

        • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다. 위 예제의 값은 이 시나리오를 구성합니다.
        • 0.0.0.0/0 ::/0 은 모든 원격 IPv4 및 IPv6 주소가 이 클라이언트와 통신할 수 있도록 허용합니다. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.
      • 끝점: 호스트 이름 또는 IP 주소와 서버의 포트를 설정합니다. 클라이언트는 이 정보를 사용하여 연결을 설정합니다.
      • 선택적 persistent-keepalive 매개변수는 WireECDHE가 서버에 keepalive 패킷을 보내는 간격(초)을 정의합니다. NAT(네트워크 주소 변환)가 있는 네트워크에서 클라이언트를 사용하거나 방화벽이 비활성 시간이 지난 후 UDP 연결을 닫는 경우 이 매개변수를 설정합니다.
  3. WireGuard 연결을 활성화하고 시작합니다.

    # systemctl enable --now wg-quick@wg0

    systemd 인스턴스 이름은 .conf 접미사가 없는 /etc/wireguard/ 디렉토리의 구성 파일 이름과 일치해야 합니다. 또한 서비스는 가상 네트워크 인터페이스에 이 이름을 사용합니다.

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1
    # ping6 2001:db8:1::1
  2. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 51820
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    출력에는 이미 VPN 터널을 통해 트래픽을 보낸 경우 최신 핸드셰이크전송 항목만 포함됩니다.

  3. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 scope global wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32__ scope global
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 매뉴얼 페이지
  • wg-quick(8) 매뉴얼 페이지

9장. IP 터널 구성

VPN과 유사하게 IP 터널은 인터넷과 같은 세 번째 네트워크를 통해 직접 연결합니다. 그러나 모든 터널 프로토콜이 암호화를 지원하는 것은 아닙니다.

터널을 설정하는 두 네트워크의 라우터에는 두 개 이상의 인터페이스가 필요합니다.

  • 로컬 네트워크에 연결된 인터페이스 1개
  • 터널이 설정된 네트워크를 통해 연결된 하나의 인터페이스입니다.

터널을 설정하려면 원격 서브넷에서 IP 주소를 사용하여 두 라우터 모두에서 가상 인터페이스를 만듭니다.

NetworkManager는 다음 IP 터널을 지원합니다.

  • GRE(Generic Routing Encapsulation)
  • IPv6를 통한 일반 라우팅 Encapsulation (IP6GRE)
  • 일반 라우팅 Encapsulation 터미널 액세스 포인트 (GRETAP)
  • 일반 라우팅 Encapsulation IPv6 (IP6GRETAP)을 통한 일반 라우팅 엔드 포인트 액세스
  • IPv4 over IPv4 (IPIP)
  • IPv4 over IPv6 (IPIP6)
  • IPv6 over IPv6 (IP6IP6)
  • 간단한 인터넷 전환 (SIT)

유형에 따라 이러한 터널은 OSI(Open Systems Interconnection) 모델의 계층 2 또는 3에서 작동합니다.

9.1. IPv4 패킷에서 IPv4 트래픽을 캡슐화하기 위해 nmcli 를 사용하여 IPIP 터널 구성

IP(IP over IP) 터널은 OSI 계층 3에서 작동하며 RFC 2003 에 설명된 대로 IPv4 패킷의 IPv4 트래픽을 캡슐화합니다.

중요

IPIP 터널을 통해 전송되는 데이터는 암호화되지 않습니다. 보안상의 이유로 이미 암호화된 데이터(예: HTTPS)에 의해서만 터널을 사용합니다.

IPIP 터널은 유니캐스트 패킷만 지원합니다. 멀티 캐스트를 지원하는 IPv4 터널이 필요한 경우 nmcli를 사용하여 IPv4 패킷에서 계층-3 트래픽을 캡슐화하는 GRE 터널 구성을 참조하십시오.

예를 들어 다음 다이어그램에 표시된 대로 두 RHEL 라우터 간에 IPIP 터널을 생성하여 인터넷을 통해 두 개의 내부 서브넷을 연결할 수 있습니다.

IPIP 터널

사전 요구 사항

  • 각 RHEL 라우터에는 로컬 서브넷에 연결된 네트워크 인터페이스가 있습니다.
  • 각 RHEL 라우터에는 인터넷에 연결된 네트워크 인터페이스가 있습니다.
  • 터널을 통해 전송하려는 트래픽은 IPv4 유니캐스트입니다.

절차

  1. 네트워크 A의 RHEL 라우터에서 다음을 수행합니다.

    1. 이름이 tun0 인 IPIP 터널 인터페이스를 만듭니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode ipip con-name tun0 ifname tun0 remote 198.51.100.5 local 203.0.113.10

      remotelocal 매개변수는 원격의 공용 IP 주소와 로컬 라우터를 설정합니다.

    2. IPv4 주소를 tun0 장치로 설정합니다.

      # nmcli connection modify tun0 ipv4.addresses '10.0.1.1/30'

      두 개의 IP 주소가 있는 /30 서브넷이면 터널에 충분합니다.

    3. 수동 IPv4 구성을 사용하도록 tun0 연결을 구성합니다.

      # nmcli connection modify tun0 ipv4.method manual
    4. 트래픽을 172.16.0.0/24 네트워크로 라우팅하는 정적 경로를 라우터 B의 터널 IP로 추가합니다.

      # nmcli connection modify tun0 +ipv4.routes "172.16.0.0/24 10.0.1.2"
    5. tun0 연결을 활성화합니다.

      # nmcli connection up tun0
    6. 패킷 전달을 활성화합니다.

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf
  2. 네트워크 B의 RHEL 라우터에서 다음을 수행합니다.

    1. 이름이 tun0 인 IPIP 터널 인터페이스를 만듭니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode ipip con-name tun0 ifname tun0 remote 203.0.113.10 local 198.51.100.5

      remotelocal 매개변수는 원격 및 로컬 라우터의 공용 IP 주소를 설정합니다.

    2. IPv4 주소를 tun0 장치로 설정합니다.

      # nmcli connection modify tun0 ipv4.addresses '10.0.1.2/30'
    3. 수동 IPv4 구성을 사용하도록 tun0 연결을 구성합니다.

      # nmcli connection modify tun0 ipv4.method manual
    4. 트래픽을 192.0.2.0/24 네트워크로 라우팅하는 정적 경로를 라우터 A의 터널 IP로 추가합니다.

      # nmcli connection modify tun0 +ipv4.routes "192.0.2.0/24 10.0.1.1"
    5. tun0 연결을 활성화합니다.

      # nmcli connection up tun0
    6. 패킷 전달을 활성화합니다.

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

검증

  • 각 RHEL 라우터에서 다른 라우터의 내부 인터페이스의 IP 주소를 ping합니다.

    1. 라우터 A에서 172.16.0.1 을 ping합니다.

      # ping 172.16.0.1
    2. 라우터 B에서 192.0.2.1 ping :

      # ping 192.0.2.1

추가 리소스

  • nmcli(1) 도움말 페이지
  • nm-settings(5) 도움말 페이지

9.2. nmcli 를 사용하여 IPv4 패킷에서 계층-3 트래픽을 캡슐화하도록 GRE 터널 구성

GRE(Generic Routing Encapsulation) 터널은 RFC 2784 에 설명된 대로 IPv4 패킷의 계층-3 트래픽을 캡슐화합니다. GRE 터널은 유효한 이더넷 유형으로 모든 계층 3 프로토콜을 캡슐화할 수 있습니다.

중요

GRE 터널을 통해 전송되는 데이터는 암호화되지 않습니다. 보안상의 이유로 이미 암호화된 데이터(예: HTTPS)에 의해서만 터널을 사용합니다.

예를 들어 다음 다이어그램에 표시된 대로 두 RHEL 라우터 간에 GRE 터널을 생성하여 인터넷을 통해 두 개의 내부 서브넷을 연결할 수 있습니다.

GRE 터널
참고

gre0 장치 이름이 예약되어 있습니다. gre1 또는 장치에 다른 이름을 사용합니다.

사전 요구 사항

  • 각 RHEL 라우터에는 로컬 서브넷에 연결된 네트워크 인터페이스가 있습니다.
  • 각 RHEL 라우터에는 인터넷에 연결된 네트워크 인터페이스가 있습니다.

절차

  1. 네트워크 A의 RHEL 라우터에서 다음을 수행합니다.

    1. gre1 이라는 GRE 터널 인터페이스를 만듭니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode gre con-name gre1 ifname gre1 remote 198.51.100.5 local 203.0.113.10

      remotelocal 매개변수는 원격의 공용 IP 주소와 로컬 라우터를 설정합니다.

    2. IPv4 주소를 gre1 장치로 설정합니다.

      # nmcli connection modify gre1 ipv4.addresses '10.0.1.1/30'

      두 개의 IP 주소가 있는 /30 서브넷이면 터널에 충분합니다.

    3. 수동 IPv4 구성을 사용하도록 gre1 연결을 구성합니다.

      # nmcli connection modify gre1 ipv4.method manual
    4. 트래픽을 172.16.0.0/24 네트워크로 라우팅하는 정적 경로를 라우터 B의 터널 IP로 추가합니다.

      # nmcli connection modify gre1 +ipv4.routes "172.16.0.0/24 10.0.1.2"
    5. gre1 연결을 활성화합니다.

      # nmcli connection up gre1
    6. 패킷 전달을 활성화합니다.

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf
  2. 네트워크 B의 RHEL 라우터에서 다음을 수행합니다.

    1. gre1 이라는 GRE 터널 인터페이스를 만듭니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode gre con-name gre1 ifname gre1 remote 203.0.113.10 local 198.51.100.5

      remotelocal 매개변수는 원격의 공용 IP 주소와 로컬 라우터를 설정합니다.

    2. IPv4 주소를 gre1 장치로 설정합니다.

      # nmcli connection modify gre1 ipv4.addresses '10.0.1.2/30'
    3. 수동 IPv4 구성을 사용하도록 gre1 연결을 구성합니다.

      # nmcli connection modify gre1 ipv4.method manual
    4. 트래픽을 192.0.2.0/24 네트워크로 라우팅하는 정적 경로를 라우터 A의 터널 IP로 추가합니다.

      # nmcli connection modify gre1 +ipv4.routes "192.0.2.0/24 10.0.1.1"
    5. gre1 연결을 활성화합니다.

      # nmcli connection up gre1
    6. 패킷 전달을 활성화합니다.

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

검증

  1. 각 RHEL 라우터에서 다른 라우터의 내부 인터페이스의 IP 주소를 ping합니다.

    1. 라우터 A에서 172.16.0.1 을 ping합니다.

      # ping 172.16.0.1
    2. 라우터 B에서 192.0.2.1 ping :

      # ping 192.0.2.1

추가 리소스

  • nmcli(1) 도움말 페이지
  • nm-settings(5) 도움말 페이지

9.3. IPv4를 통해 이더넷 프레임을 전송하도록 GRETAP 터널 구성

GRETAP(Generic Routing Encapsulation Terminal Access Point) 터널은 OSI 레벨 2에서 작동하며 RFC 2784 에 설명된 대로 IPv4 패킷에서 이더넷 트래픽을 캡슐화합니다.

중요

GRETAP 터널을 통해 전송되는 데이터는 암호화되지 않습니다. 보안상의 이유로 VPN을 통해 터널을 설정하거나 다른 암호화된 연결을 설정합니다.

예를 들어 다음 다이어그램에 표시된 대로 두 RHEL 라우터 간에 GRETAP 터널을 생성하여 브리지를 사용하여 두 개의 네트워크를 연결할 수 있습니다.

GRETAP 터널
참고

gretap0 장치 이름이 예약되어 있습니다. gretap1 또는 장치에 다른 이름을 사용합니다.

사전 요구 사항

  • 각 RHEL 라우터에는 로컬 네트워크에 연결된 네트워크 인터페이스가 있으며 인터페이스에 IP 구성이 할당되어 있지 않습니다.
  • 각 RHEL 라우터에는 인터넷에 연결된 네트워크 인터페이스가 있습니다.

절차

  1. 네트워크 A의 RHEL 라우터에서 다음을 수행합니다.

    1. bridge0 이라는 브리지 인터페이스를 만듭니다.

      # nmcli connection add type bridge con-name bridge0 ifname bridge0
    2. 브리지의 IP 설정을 구성합니다.

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify bridge0 ipv4.method manual
    3. 로컬 네트워크에 연결된 인터페이스에 대한 새 연결 프로필을 브리지에 추가합니다.

      # nmcli connection add type ethernet port-type bridge con-name bridge0-port1 ifname enp1s0 controller bridge0
    4. GRETAP 터널 인터페이스의 새 연결 프로필을 브리지에 추가합니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode gretap port-type bridge con-name bridge0-port2 ifname gretap1 remote 198.51.100.5 local 203.0.113.10 controller bridge0

      remotelocal 매개변수는 원격의 공용 IP 주소와 로컬 라우터를 설정합니다.

    5. 선택 사항: 필요하지 않은 경우 Spanning Tree Protocol (STP)을 비활성화합니다.

      # nmcli connection modify bridge0 bridge.stp no

      기본적으로 STP는 활성화되며 연결을 사용하기 전에 지연이 발생합니다.

    6. bridge0 연결을 활성화하면 브리지의 포트를 자동으로 활성화합니다.

      # nmcli connection modify bridge0 connection.autoconnect-ports 1
    7. bridge0 연결을 활성화합니다.

      # nmcli connection up bridge0
  2. 네트워크 B의 RHEL 라우터에서 다음을 수행합니다.

    1. bridge0 이라는 브리지 인터페이스를 만듭니다.

      # nmcli connection add type bridge con-name bridge0 ifname bridge0
    2. 브리지의 IP 설정을 구성합니다.

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.2/24'
      # nmcli connection modify bridge0 ipv4.method manual
    3. 로컬 네트워크에 연결된 인터페이스에 대한 새 연결 프로필을 브리지에 추가합니다.

      # nmcli connection add type ethernet port-type bridge con-name bridge0-port1 ifname enp1s0 controller bridge0
    4. GRETAP 터널 인터페이스의 새 연결 프로필을 브리지에 추가합니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode gretap port-type bridge con-name bridge0-port2 ifname gretap1 remote 203.0.113.10 local 198.51.100.5 controller bridge0

      remotelocal 매개변수는 원격의 공용 IP 주소와 로컬 라우터를 설정합니다.

    5. 선택 사항: 필요하지 않은 경우 Spanning Tree Protocol (STP)을 비활성화합니다.

      # nmcli connection modify bridge0 bridge.stp no
    6. bridge0 연결을 활성화하면 브리지의 포트를 자동으로 활성화합니다.

      # nmcli connection modify bridge0 connection.autoconnect-ports 1
    7. bridge0 연결을 활성화합니다.

      # nmcli connection up bridge0

검증

  1. 두 라우터 모두에서 enp1s0gretap1 연결이 연결되고 CONNECTION 열에 포트의 연결 이름이 표시되는지 확인합니다.

    # nmcli device
    nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    bridge0  bridge    connected  bridge0
    enp1s0   ethernet  connected  bridge0-port1
    gretap1  iptunnel  connected  bridge0-port2
  2. 각 RHEL 라우터에서 다른 라우터의 내부 인터페이스의 IP 주소를 ping합니다.

    1. 라우터 A에서 ping 192.0.2. 2:

      # ping 192.0.2.2
    2. 라우터 B에서 192.0.2.1 ping :

      # ping 192.0.2.1

추가 리소스

  • nmcli(1) 도움말 페이지
  • nm-settings(5) 도움말 페이지

9.4. 추가 리소스

  • ip-link(8) 도움말 페이지

10장. VXLAN을 사용하여 VM의 가상 계층 2 도메인 생성

VXLAN(가상 확장 가능한 LAN)은 UDP 프로토콜을 사용하여 IP 네트워크를 통해 계층 2 트래픽을 터널링하는 네트워킹 프로토콜입니다. 예를 들어 다른 호스트에서 실행되는 특정 VM(가상 머신)은 VXLAN 터널을 통해 통신할 수 있습니다. 호스트는 다른 서브넷에 있거나 전 세계 다른 데이터 센터에 있을 수 있습니다. VM의 관점에서 동일한 VXLAN의 다른 VM은 동일한 계층-2 도메인 내에 있습니다.

VXLAN 터널

이 예에서 RHEL-host-A 및 RHEL-host-B는 브리지 br0 을 사용하여 각 호스트의 가상 네트워크를 vxlan10 이라는 VXLAN으로 연결합니다. 이 구성으로 인해 VXLAN은 VM에 표시되지 않으며 VM에는 특별한 구성이 필요하지 않습니다. 나중에 더 많은 VM을 동일한 가상 네트워크에 연결하면 VM이 동일한 가상 계층-2 도메인의 멤버가 자동으로 됩니다.

중요

일반 계층 2 트래픽과 마찬가지로 VXLAN의 데이터는 암호화되지 않습니다. 보안상의 이유로 VPN 또는 기타 유형의 암호화된 연결을 통해 VXLAN을 사용하십시오.

10.1. VXLAN의 이점

VXLAN(가상 확장 가능 LAN)은 다음과 같은 주요 이점을 제공합니다.

  • VXLAN에서는 24비트 ID를 사용합니다. 따라서 최대 16,777,216개의 격리된 네트워크를 생성할 수 있습니다. 예를 들어 VLAN(가상 LAN)은 4,096 격리된 네트워크만 지원합니다.
  • VXLAN은 IP 프로토콜을 사용합니다. 이를 통해 동일한 계층-2 도메인 내의 서로 다른 네트워크 및 위치에서 트래픽을 라우팅하고 가상으로 시스템을 실행할 수 있습니다.
  • 대부분의 터널 프로토콜과 달리 VXLAN은 지점 간 네트워크뿐만 아니라 VXLAN은 다른 엔드포인트의 IP 주소를 동적으로 학습하거나 정적으로 구성된 전달 항목을 사용할 수 있습니다.
  • 특정 네트워크 카드는 UDP 터널 관련 오프로드 기능을 지원합니다.

추가 리소스

  • /usr/share/doc/kernel-doc- <kernel_version> /Documentation/networking/vxlan.rstkernel-doc 패키지에서 제공하는

10.2. 호스트에서 이더넷 인터페이스 구성

RHEL VM 호스트를 이더넷에 연결하려면 네트워크 연결 프로필을 생성하고, IP 설정을 구성하고, 프로필을 활성화합니다.

두 RHEL 호스트 모두에서 이 절차를 실행하고 그에 따라 IP 주소 구성을 조정합니다.

사전 요구 사항

  • 호스트는 이더넷에 연결되어 있습니다.

절차

  1. NetworkManager에 새 이더넷 연결 프로필을 추가합니다.

    # nmcli connection add con-name Example ifname enp1s0 type ethernet
  2. IPv4 설정을 구성합니다.

    # nmcli connection modify Example ipv4.addresses 198.51.100.2/24 ipv4.method manual ipv4.gateway 198.51.100.254 ipv4.dns 198.51.100.200 ipv4.dns-search example.com

    네트워크에서 DHCP를 사용하는 경우 이 단계를 건너뜁니다.

  3. 예제 연결을 활성화합니다.

    # nmcli connection up Example

검증

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp1s0      ethernet  connected  Example
  2. 원격 네트워크에서 호스트를 ping하여 IP 설정을 확인합니다.

    # ping RHEL-host-B.example.com

    해당 호스트에서 네트워크도 구성하기 전에 다른 VM 호스트를 ping할 수 없습니다.

추가 리소스

  • nm-settings(5) 도움말 페이지

10.3. VXLAN이 연결된 네트워크 브리지 만들기

VXLAN(가상 확장 가능한 LAN)을 VM(가상 머신)에 표시되지 않게 하려면 호스트에 브리지를 만들고 VXLAN을 브리지에 연결합니다. NetworkManager를 사용하여 브리지와 VXLAN을 모두 만듭니다. VM의 트래픽 액세스 포인트(TAP) 장치는 일반적으로 호스트의 vnet* 라는 장치를 브리지에 추가하지 않습니다. libvirtd 서비스는 VM이 시작될 때 동적으로 추가합니다.

두 RHEL 호스트 모두에서 이 절차를 실행하고 그에 따라 IP 주소를 조정합니다.

절차

  1. 브리지 br0 을 만듭니다.

    # nmcli connection add type bridge con-name br0 ifname br0 ipv4.method disabled ipv6.method disabled

    이 명령은 계층 2에서 작동하므로 브리지 장치에 IPv4 및 IPv6 주소를 설정하지 않습니다.

  2. VXLAN 인터페이스를 만들고 br0 에 연결합니다. :

    # nmcli connection add type vxlan port-type bridge con-name br0-vxlan10 ifname vxlan10 id 10 local 198.51.100.2 remote 203.0.113.1 controller br0

    이 명령은 다음 설정을 사용합니다.

    • id 10: VXLAN 식별자를 설정합니다.
    • 로컬 198.51.100.2: 발신 패킷의 소스 IP 주소를 설정합니다.
    • 원격 203.0.113.1: VXLAN 장치 전달 데이터베이스에서 대상 링크 계층 주소를 알 수 없는 경우 발신 패킷에서 사용할 유니캐스트 또는 멀티 캐스트 IP 주소를 설정합니다.
    • controller br0: br0 연결에서 이 VXLAN 연결을 포트로 생성하도록 설정합니다.
    • ipv4.method가 비활성화 되고 ipv6.method가 비활성화되었습니다. 브리지에서 IPv4 및 IPv6를 비활성화합니다.

    기본적으로 NetworkManager는 8472 를 대상 포트로 사용합니다. 대상 포트가 다르면 대상 포트 < port_number> 옵션을 명령에 전달합니다.

  3. br0 연결 프로필을 활성화합니다.

    # nmcli connection up br0
  4. 로컬 방화벽에서 들어오는 UDP 연결에 대해 포트 8472 를 엽니다.

    # firewall-cmd --permanent --add-port=8472/udp
    # firewall-cmd --reload

검증

  • 전달 테이블을 표시합니다.

    # bridge fdb show dev vxlan10
    2a:53:bd:d5:b3:0a master br0 permanent
    00:00:00:00:00:00 dst 203.0.113.1 self permanent
    ...

추가 리소스

  • nm-settings(5) 도움말 페이지

10.4. 기존 브리지를 사용하여 libvirt에 가상 네트워크 생성

VM(가상 머신)이 연결된 VXLAN(가상 확장 가능 LAN)과 함께 br0 브리지를 사용하도록 하려면 먼저 이 브리지를 사용하는 libvirtd 서비스에 가상 네트워크를 추가합니다.

사전 요구 사항

  • libvirt 패키지가 설치되어 있어야 합니다.
  • libvirtd 서비스를 시작하고 활성화했습니다.
  • RHEL에서 VXLAN을 사용하여 br0 장치를 구성하셨습니다.

절차

  1. 다음 콘텐츠를 사용하여 ~/vxlan10-bridge.xml 파일을 생성합니다.

    <network>
     <name>vxlan10-bridge</name>
     <forward mode="bridge" />
     <bridge name="br0" />
    </network>
  2. ~/vxlan10-bridge.xml 파일을 사용하여 libvirt 에 새 가상 네트워크를 생성합니다.

    # virsh net-define ~/vxlan10-bridge.xml
  3. ~/vxlan10-bridge.xml 파일을 제거합니다.

    # rm ~/vxlan10-bridge.xml
  4. vxlan10-bridge 가상 네트워크를 시작합니다.

    # virsh net-start vxlan10-bridge
  5. libvirtd 서비스가 시작될 때 vxlan10-bridge 가상 네트워크가 자동으로 시작되도록 구성합니다.

    # virsh net-autostart vxlan10-bridge

검증

  • 가상 네트워크 목록을 표시합니다.

    # virsh net-list
     Name              State    Autostart   Persistent
    ----------------------------------------------------
     vxlan10-bridge    active   yes         yes
     ...

추가 리소스

  • virsh(1) man page

10.5. VXLAN을 사용하도록 가상 머신 구성

호스트에서 연결된 VXLAN(가상 확장 가능 LAN)이 있는 브리지 장치를 사용하도록 VM을 구성하려면 vxlan10-bridge 가상 네트워크를 사용하는 새 VM을 생성하거나 이 네트워크를 사용하도록 기존 VM의 설정을 업데이트합니다.

RHEL 호스트에서 다음 절차를 수행합니다.

사전 요구 사항

  • libvirtd 에서 vxlan10-bridge 가상 네트워크를 구성하셨습니다.

절차

  • 새 VM을 생성하고 vxlan10-bridge 네트워크를 사용하도록 구성하려면 VM을 생성할 때 --network network:vxlan10-bridge 옵션을 virt-install 명령에 전달합니다.

    # virt-install ... --network network:vxlan10-bridge
  • 기존 VM의 네트워크 설정을 변경하려면 다음을 수행합니다.

    1. VM의 네트워크 인터페이스를 vxlan10-bridge 가상 네트워크에 연결합니다.

      # virt-xml VM_name --edit --network network=vxlan10-bridge
    2. VM을 종료하고 다시 시작합니다.

      # virsh shutdown VM_name
      # virsh start VM_name

검증

  1. 호스트에서 VM의 가상 네트워크 인터페이스를 표시합니다.

    # virsh domiflist VM_name
     Interface   Type     Source           Model    MAC
    -------------------------------------------------------------------
     vnet1       bridge   vxlan10-bridge   virtio   52:54:00:c5:98:1c
  2. vxlan10-bridge 브리지에 연결된 인터페이스를 표시합니다.

    # ip link show master vxlan10-bridge
    18: vxlan10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UNKNOWN mode DEFAULT group default qlen 1000
        link/ether 2a:53:bd:d5:b3:0a brd ff:ff:ff:ff:ff:ff
    19: vnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UNKNOWN mode DEFAULT group default qlen 1000
        link/ether 52:54:00:c5:98:1c brd ff:ff:ff:ff:ff:ff

    libvirtd 서비스는 브리지 구성을 동적으로 업데이트합니다. vxlan10-bridge 네트워크를 사용하는 VM을 시작하면 호스트의 해당 vnet* 장치가 브리지 포트로 표시됩니다.

  3. ARP(Address Resolution Protocol) 요청을 사용하여 VM이 동일한 VXLAN에 있는지 확인합니다.

    1. 동일한 VXLAN에서 두 개 이상의 VM을 시작합니다.
    2. 한 VM에서 다른 VM으로 ARP 요청을 보냅니다.

      # arping -c 1 192.0.2.2
      ARPING 192.0.2.2 from 192.0.2.1 enp1s0
      Unicast reply from 192.0.2.2 [52:54:00:c5:98:1c] 1.450ms
      Sent 1 probe(s) (0 broadcast(s))
      Received 1 response(s) (0 request(s), 0 broadcast(s))

      명령에서 응답을 표시하는 경우 VM은 동일한 계층-2 도메인에, 이 경우 동일한 VXLAN에 있습니다.

      iputils 패키지를 설치하여 arping 유틸리티를 사용합니다.

추가 리소스

  • virt-install(1) 매뉴얼 페이지
  • virt-xml(1) man page
  • virsh(1) man page
  • arping(8) 매뉴얼 페이지

11장. ECDHE 연결 관리

RHEL은 FlexVolume 네트워크를 구성하고 연결하는 여러 유틸리티 및 애플리케이션을 제공합니다. 예를 들면 다음과 같습니다.

  • nmcli 유틸리티를 사용하여 명령줄을 사용하여 연결을 구성합니다.
  • nmtui 애플리케이션을 사용하여 텍스트 기반 사용자 인터페이스에서 연결을 구성합니다.
  • GNOME 시스템 메뉴를 사용하여 구성이 필요하지 않은 10.0.0.1 네트워크에 신속하게 연결합니다.
  • GNOME 애플리케이션을 사용하여 연결을 구성하려면 GNOME Settings 애플리케이션을 사용합니다.
  • nm-connection-editor 애플리케이션을 사용하여 그래픽 사용자 인터페이스에서 연결을 구성합니다.
  • 네트워크 RHEL 시스템 역할을 사용하여 하나 이상의 호스트에서 연결 구성을 자동화합니다.

11.1. 지원되는ECDHE 보안 유형

ECDHE 네트워크 지원 보안 유형에 따라 데이터를 더 많이 또는 덜 안전하게 전송할 수 있습니다.

주의

암호화를 사용하지 않거나 안전하지 않은 WEP 또는ECDHE 표준만 지원하는ECDHE 네트워크에 연결하지 마십시오.

Red Hat Enterprise Linux 9는 다음과 같은ECDHE 보안 유형을 지원합니다.

  • 제공되지 않음: 암호화가 비활성화되어 있으며 네트워크를 통해 데이터가 일반 텍스트로 전송됩니다.
  • 향상된 Open: OWE(opportunistic 무선 암호화)를 사용하면 장치는 고유한 쌍의 PMK(마스터 키)를 협상하여 인증 없이 무선 네트워크에서 연결을 암호화합니다.
  • LEAP: Cisco에서 개발한 Lightweight Extensible Authentication Protocol은 확장 가능한 인증 프로토콜(EAP)의 독점 버전입니다.
  • WPA & WPA2 Personal: 개인 모드에서WPA(Wi-Fi Protected Access) 및-8-Fi 보호 액세스 2(WPA2) 인증 방법은 사전 공유 키를 사용합니다.
  • ECDHE &ECDHE2 Enterprise: 엔터프라이즈 모드에서ECDHE 및ECDHE2는 EAP 프레임워크를 사용하고 사용자를 RDIUS(원격 인증 서비스) 서버로 인증합니다.
  • WPA3 Personal: ovs-Fi Protected Access 3 (WPA3) 개인은 사전 공격을 방지하기 위해 PSK(Pre-shared keys) 대신 SAE(동시 인증)를 사용합니다. ECDHE3은 완전한 전달 기밀성(PFS)을 사용합니다.

11.2. nmcli를 사용하여 internet network에 연결

nmcli 유틸리티를 사용하여ECDHE 네트워크에 연결할 수 있습니다. 처음으로 네트워크에 연결하려고 하면 유틸리티에서 NetworkManager 연결 프로필을 자동으로 생성합니다. 네트워크에 고정 IP 주소와 같은 추가 설정이 필요한 경우 자동으로 생성된 후 프로필을 수정할 수 있습니다.

사전 요구 사항

  • host에ECDHE 장치가 설치되어 있어야 합니다.
  • 하드웨어 스위치가 있는 경우ECDHE 장치가 활성화됩니다.

절차

  1. NetworkManager에서 CoreDNS 무선이 비활성화된 경우 다음 기능을 활성화합니다.

    # nmcli radio wifi on
  2. 선택 사항: 사용 가능한ECDHE 네트워크를 표시합니다.

    # nmcli device wifi list
    IN-USE  BSSID              SSID          MODE   CHAN  RATE        SIGNAL  BARS  SECURITY
            00:53:00:2F:3B:08  Office        Infra  44    270 Mbit/s  57      ▂▄▆_  WPA2 WPA3
            00:53:00:15:03:BF  --            Infra  1     130 Mbit/s  48      ▂▄__  WPA2 WPA3

    SSID(서비스 세트 식별자) 열에는 네트워크 이름이 포함되어 있습니다. 열이 표시되는 경우 이 네트워크의 액세스 지점이 SSID를 브로드캐스트하지 않습니다.

  3. ECDHE 네트워크에 연결합니다.

    # nmcli device wifi connect Office --ask
    Password: wifi-password

    명령에 대화식으로 입력하는 대신 암호를 설정하려면 --ask 대신 암호ECDHE-password 옵션을 사용합니다.

    # nmcli device wifi connect Office wifi-password

    네트워크에 고정 IP 주소가 필요한 경우 NetworkManager는 이 시점에서 연결을 활성화하지 못합니다. 이후 단계에서 IP 주소를 구성할 수 있습니다.

  4. 네트워크에 고정 IP 주소가 필요한 경우:

    1. IPv4 주소 설정을 구성합니다. 예를 들면 다음과 같습니다.

      # nmcli connection modify Office ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv4.gateway 192.0.2.254 ipv4.dns 192.0.2.200 ipv4.dns-search example.com
    2. IPv6 주소 설정을 구성합니다. 예를 들면 다음과 같습니다.

      # nmcli connection modify Office ipv6.method manual ipv6.addresses 2001:db8:1::1/64 ipv6.gateway 2001:db8:1::fffe ipv6.dns 2001:db8:1::ffbb ipv6.dns-search example.com
  5. 연결을 다시 활성화합니다.

    # nmcli connection up Office

검증

  1. 활성 연결을 표시합니다.

    # nmcli connection show --active
    NAME    ID                                    TYPE  DEVICE
    Office  2501eb7e-7b16-4dc6-97ef-7cc460139a58  wifi  wlp0s20f3

    출력에 사용자가 생성한ECDHE 연결이 나열되면 연결이 활성화됩니다.

  2. 호스트 이름 또는 IP 주소를 ping합니다.

    # ping -c 3 example.com

추가 리소스

  • nm-settings-nmcli(5) man page

11.3. GNOME 시스템 메뉴를 사용하여 iPXE 네트워크에 연결

GNOME 시스템 메뉴를 사용하여ECDHE 네트워크에 연결할 수 있습니다. 네트워크에 처음 연결하면 GNOME에서 NetworkManager 연결 프로필을 만듭니다. 연결 프로필을 자동으로 연결하지 않도록 구성하는 경우 GNOME 시스템 메뉴를 사용하여 기존 NetworkManager 연결 프로필을 사용하여 BOOM 네트워크에 수동으로 연결할 수도 있습니다.

참고

GNOME 시스템 메뉴를 사용하여 처음으로ECDHE 네트워크에 대한 연결을 설정하는 데에는 몇 가지 제한 사항이 있습니다. 예를 들어 IP 주소 설정을 구성할 수 없습니다. 이 경우 먼저 연결을 구성합니다.

사전 요구 사항

  • host에ECDHE 장치가 설치되어 있어야 합니다.
  • 하드웨어 스위치가 있는 경우ECDHE 장치가 활성화됩니다.

절차

  1. 상단 표시줄 오른쪽에 있는 시스템 메뉴를 엽니다.
  2. hub -Fi Not Connected 항목을 확장합니다.
  3. 네트워크 선택을 클릭합니다.

    GNOME 선택ECDHE
  4. 연결하려는 networks를 선택합니다.
  5. 연결을 클릭합니다.
  6. 이 네트워크에 처음 연결하는 경우 네트워크의 암호를 입력하고 연결을 클릭합니다.

검증

  1. 상단 표시줄 오른쪽에 있는 시스템 메뉴를 열고ECDHE 네트워크가 연결되어 있는지 확인합니다.

    GNOMEECDHE 연결

    네트워크가 목록에 표시되면 연결된 것입니다.

  2. 호스트 이름 또는 IP 주소를 ping합니다.

    # ping -c 3 example.com

11.4. GNOME 설정 애플리케이션을 사용하여 10.0.0.1 네트워크에 연결

gnome-control-center 라고도 하는 GNOME 설정 애플리케이션을 사용하여ECDHE 네트워크에 연결하고 연결을 구성할 수 있습니다. 네트워크에 처음 연결하면 GNOME에서 NetworkManager 연결 프로필을 만듭니다.

GNOME 설정에서 RHEL에서 지원하는 모든ECDHE 네트워크 보안 유형에 대해ECDHE 연결을 구성할 수 있습니다.

사전 요구 사항

  • host에ECDHE 장치가 설치되어 있어야 합니다.
  • 하드웨어 스위치가 있는 경우ECDHE 장치가 활성화됩니다.

절차

  1. Super 키를 누르고-8- Fi 를 입력한 후 Enter 를 누릅니다.
  2. 연결하려는ECDHE 네트워크의 이름을 클릭합니다.
  3. 네트워크의 암호를 입력하고 연결을 클릭합니다.
  4. 네트워크에 고정 IP 주소 또는ECDHE2 개인 이외의 보안 유형과 같은 추가 설정이 필요한 경우:

    1. 네트워크 이름 옆에 있는 톱니바퀴 아이콘을 클릭합니다.
    2. 선택 사항: 세부 정보 탭에서 네트워크 프로필을 자동으로 연결하지 않도록 구성합니다.

      이 기능을 비활성화하는 경우 GNOME 설정 또는 GNOME 시스템 메뉴를 사용하여 항상 네트워크에 수동으로 연결해야 합니다.

    3. IPv4 탭에서 IPv4 설정을 구성하고 IPv6 탭의 IPv6 설정을 구성합니다.
    4. 보안 탭에서 네트워크 인증을 선택합니다(예:ECDHE 3 개인 )에서 암호를 입력합니다.

      선택한 보안에 따라 애플리케이션에 추가 필드가 표시됩니다. 이에 따라 채우십시오. 자세한 내용은 administrator of theECDHE network를 참조하십시오.

    5. 적용을 클릭합니다.

검증

  1. 상단 표시줄 오른쪽에 있는 시스템 메뉴를 열고ECDHE 네트워크가 연결되어 있는지 확인합니다.

    GNOMEECDHE 연결

    네트워크가 목록에 표시되면 연결된 것입니다.

  2. 호스트 이름 또는 IP 주소를 ping합니다.

    # ping -c 3 example.com

11.5. nmtui를 사용하여 skopeo 연결 구성

nmtui 애플리케이션은 NetworkManager에 대한 텍스트 기반 사용자 인터페이스를 제공합니다. nmtui 를 사용하여ECDHE 네트워크에 연결할 수 있습니다.

참고

nmtui 에서 :

  • 커서 키를 사용하여 이동합니다.
  • 버튼을 선택하고 Enter 를 누릅니다.
  • Space 를 사용하여 확인란을 선택하고 지웁니다.

절차

  1. 연결에 사용할 네트워크 장치 이름을 모르는 경우 사용 가능한 장치를 표시합니다.

    # nmcli device status
    DEVICE     TYPE      STATE                   CONNECTION
    wlp2s0    wifi      unavailable             --
    ...
  2. start nmtui:

    # nmtui
  3. Edit a connection 을 선택하고 Enter 를 누릅니다.
  4. 추가 버튼을 누릅니다.
  5. 네트워크 유형 목록에서 Wi-Fi 를 선택하고 Enter 를 누릅니다.
  6. 선택 사항: 생성할 NetworkManager 프로필의 이름을 입력합니다.

    프로필이 여러 개인 호스트에서 의미 있는 이름을 사용하면 프로필의 용도를 쉽게 식별할 수 있습니다.

  7. 네트워크 장치 이름을 장치 필드에 입력합니다.
  8. swi-Fi 네트워크의 이름, Service Set Identifier(SSID)를 SSID 필드에 입력합니다.
  9. Mode 필드를 기본값인 Client 로 설정된 상태로 둡니다.
  10. 보안 필드를 선택하고 Enter 를 누른 다음 목록에서 네트워크의 인증 유형을 설정합니다.

    선택한 인증 유형에 따라 nmtui 는 다른 필드를 표시합니다.

  11. 인증 유형 관련 필드를 작성합니다.
  12. hub-Fi 네트워크에 고정 IP 주소가 필요한 경우:

    1. 프로토콜 옆에 있는 자동 버튼을 눌러 표시된 목록에서 Manual 을 선택합니다.
    2. 추가 필드를 표시하고 작성하도록 구성할 프로토콜 옆에 있는 표시 버튼을 누릅니다.
  13. 확인 버튼을 눌러 새 연결을 생성하고 자동으로 활성화합니다.

    nmtui wi fi dynamic IP
  14. Back 버튼을 눌러 주 메뉴로 돌아갑니다.
  15. Quit 을 선택하고 Enter 를 눌러 nmtui 애플리케이션을 종료합니다.

검증

  1. 활성 연결을 표시합니다.

    # nmcli connection show --active
    NAME    ID                                    TYPE  DEVICE
    Office  2501eb7e-7b16-4dc6-97ef-7cc460139a58  wifi  wlp0s20f3

    출력에 사용자가 생성한ECDHE 연결이 나열되면 연결이 활성화됩니다.

  2. 호스트 이름 또는 IP 주소를 ping합니다.

    # ping -c 3 example.com

11.6. nm-connection-editor를 사용하여 10.0.0.1 연결 구성

nm-connection-editor 애플리케이션을 사용하여 무선 네트워크에 대한 연결 프로필을 생성할 수 있습니다. 이 애플리케이션에서는 RHEL에서 지원하는 모든ECDHE 네트워크 인증 유형을 구성할 수 있습니다.

기본적으로 NetworkManager는 연결 프로필에 자동 연결 기능을 활성화하고 사용 가능한 경우 저장된 네트워크에 자동으로 연결됩니다.

사전 요구 사항

  • host에ECDHE 장치가 설치되어 있어야 합니다.
  • 하드웨어 스위치가 있는 경우ECDHE 장치가 활성화됩니다.

절차

  1. 터미널을 열고 다음을 입력합니다.

    # nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. hub -Fi 연결 유형을 선택하고 Create 를 클릭합니다.
  4. 선택 사항: 연결 프로필의 이름을 설정합니다.
  5. 선택 사항: 일반 탭에서 자동으로 연결되지 않도록 네트워크 프로필을 구성합니다.

    이 기능을 비활성화하는 경우 GNOME 설정 또는 GNOME 시스템 메뉴를 사용하여 항상 네트워크에 수동으로 연결해야 합니다.

  6. hub -Fi 탭에서 SSID(서비스 세트 식별자)를 SSID 필드에 입력합니다.
  7. ovs -Fi Security 탭에서 network의 인증 유형 (예:ECDHE 3 Personal )을 선택하고 암호를 입력합니다.

    선택한 보안에 따라 애플리케이션에 추가 필드가 표시됩니다. 이에 따라 채우십시오. 자세한 내용은 administrator of theECDHE network를 참조하십시오.

  8. IPv4 탭에서 IPv4 설정을 구성하고 IPv6 탭의 IPv6 설정을 구성합니다.
  9. 저장을 클릭합니다.
  10. 네트워크 연결 창을 닫습니다.

검증

  1. 상단 표시줄 오른쪽에 있는 시스템 메뉴를 열고ECDHE 네트워크가 연결되어 있는지 확인합니다.

    GNOMEECDHE 연결

    네트워크가 목록에 표시되면 연결된 것입니다.

  2. 호스트 이름 또는 IP 주소를 ping합니다.

    # ping -c 3 example.com

11.7. 네트워크 RHEL 시스템 역할을 사용하여 802.1X 네트워크 인증으로 Cryo stat 연결 구성

RHEL 시스템 역할을 사용하여 Cryostat 연결 생성을 자동화할 수 있습니다. 예를 들어 Ansible 플레이북을 사용하여 wlp1s0 인터페이스에 대한 무선 연결 프로필을 원격으로 추가할 수 있습니다. 생성된 프로필은 802.1X 표준을 사용하여 client를ECDHE 네트워크로 인증합니다. 플레이북은 DHCP를 사용하도록 연결 프로필을 구성합니다. 고정 IP 설정을 구성하려면 그에 따라 ip 사전의 매개변수를 조정합니다.

사전 요구 사항

  • 제어 노드와 관리형 노드가 준비되어 있습니다.
  • 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
  • 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
  • 네트워크는 802.1X 네트워크 인증을 지원합니다.
  • 관리 노드에 wpa_supplicant 패키지를 설치했습니다.
  • DHCP는 관리 노드의 네트워크에서 사용할 수 있습니다.
  • TLS 인증에 필요한 다음 파일이 제어 노드에 있습니다.

    • 클라이언트 키는 /srv/data/client.key 파일에 저장됩니다.
    • 클라이언트 인증서는 /srv/data/client.crt 파일에 저장됩니다.
    • CA 인증서는 /srv/data/ca.crt 파일에 저장됩니다.

절차

  1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

    ---
    - name: Configure a wifi connection with 802.1X authentication
      hosts: managed-node-01.example.com
      tasks:
        - name: Copy client key for 802.1X authentication
          ansible.builtin.copy:
            src: "/srv/data/client.key"
            dest: "/etc/pki/tls/private/client.key"
            mode: 0400
    
        - name: Copy client certificate for 802.1X authentication
          ansible.builtin.copy:
            src: "/srv/data/client.crt"
            dest: "/etc/pki/tls/certs/client.crt"
    
        - name: Copy CA certificate for 802.1X authentication
          ansible.builtin.copy:
            src: "/srv/data/ca.crt"
            dest: "/etc/pki/ca-trust/source/anchors/ca.crt"
    
        - block:
            - ansible.builtin.import_role:
                name: rhel-system-roles.network
              vars:
                network_connections:
                  - name: Configure the Example-wifi profile
                    interface_name: wlp1s0
                    state: up
                    type: wireless
                    autoconnect: yes
                    ip:
                      dhcp4: true
                      auto6: true
                    wireless:
                      ssid: "Example-wifi"
                      key_mgmt: "wpa-eap"
                    ieee802_1x:
                      identity: "user_name"
                      eap: tls
                      private_key: "/etc/pki/tls/client.key"
                      private_key_password: "password"
                      private_key_password_flags: none
                      client_cert: "/etc/pki/tls/client.pem"
                      ca_cert: "/etc/pki/tls/cacert.pem"
                      domain_suffix_match: "example.com"

    이러한 설정은 wlp1s0 인터페이스에 대한 Cryostat 연결 프로필을 정의합니다. 프로필은 802.1X 표준을 사용하여 internet network에 대한 클라이언트를 인증합니다. 연결은 DHCP 서버와 IPv6 상태 비저장 주소 자동 구성(SLAAC)에서 IPv4 주소, IPv6 주소, 기본 게이트웨이, 경로, DNS 서버 및 검색 도메인을 검색합니다.

  2. 플레이북 구문을 확인합니다.

    $ ansible-playbook --syntax-check ~/playbook.yml

    이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

  3. 플레이북을 실행합니다.

    $ ansible-playbook ~/playbook.yml

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/doc/rhel-system-roles/network/ 디렉터리

11.8. nmcli를 사용하여 기존 프로필에서 802.1X 네트워크 인증으로 Cryostat 연결 구성

nmcli 유틸리티를 사용하여 네트워크에 자신을 인증하도록 클라이언트를 구성할 수 있습니다. 예를 들어, wlp1s0 이라는 기존 NetworkManagerECDHE 연결 프로필에서 Microsoft Challenge-Handshake Authentication Protocol 버전 2(MSCHAPv2)를 사용하여 PEAP(Protected Extensible Authentication Protocol) 인증을 구성할 수 있습니다.

사전 요구 사항

  • 네트워크에 802.1X 네트워크 인증이 있어야 합니다.
  • NetworkManager에 FlexVolume 연결 프로필이 존재하며 유효한 IP 구성이 있습니다.
  • 클라이언트가 인증 기관의 인증서를 확인해야 하는 경우 CA(인증 기관) 인증서는 /etc/pki/ca-trust/source/anchors/ 디렉터리에 저장해야 합니다.
  • wpa_supplicant 패키지가 설치되어 있어야 합니다.

절차

  1. 10.0.0.1 보안 모드를 wpa-eap 으로 설정하고, EAP(Extensible Authentication Protocol)를 peap 으로, 내부 인증 프로토콜을 mschapv2 로, 사용자 이름을 설정합니다.

    # nmcli connection modify wlp1s0 wireless-security.key-mgmt wpa-eap 802-1x.eap peap 802-1x.phase2-auth mschapv2 802-1x.identity user_name

    단일 명령으로 wireless-security.key-mgmt,802-1x.eap,802-1x.phase2-auth, 802-1x.identity 매개변수를 설정해야 합니다.

  2. 선택적으로 구성에 암호를 저장합니다.

    # nmcli connection modify wlp1s0 802-1x.password password
    중요

    기본적으로 NetworkManager는 루트 사용자만 읽을 수 있는 /etc/sysconfig/network-scripts/keys-connection_name 파일의 일반 텍스트에 암호를 저장합니다. 그러나 구성 파일의 일반 텍스트 암호는 보안 위험이 될 수 있습니다.

    보안을 늘리려면 802-1x.password-flags 매개변수를 0x1 로 설정합니다. 이 설정을 사용하여 GNOME 데스크탑 환경 또는 nm-ECDHEt 가 실행 중인 서버에서 NetworkManager는 이러한 서비스에서 암호를 검색합니다. 다른 경우에는 NetworkManager가 암호를 묻는 메시지를 표시합니다.

  3. 클라이언트가 authenticator의 인증서를 확인해야 하는 경우 연결 프로필의 802-1x.ca-cert 매개변수를 CA 인증서 경로로 설정합니다.

    # nmcli connection modify wlp1s0 802-1x.ca-cert /etc/pki/ca-trust/source/anchors/ca.crt
    참고

    보안상의 이유로 클라이언트가 인증 기관의 ID를 검증할 수 있도록 인증 기관 인증서를 권장합니다.

  4. 연결 프로필을 활성화합니다.

    # nmcli connection up wlp1s0

검증

  • 네트워크 인증이 필요한 네트워크의 리소스에 액세스합니다.

추가 리소스

11.9. 무선 규제 도메인 수동 설정

RHEL에서 udev 규칙은 setregdomain 유틸리티를 실행하여 무선 규제 도메인을 설정합니다. 그런 다음 유틸리티에서 이 정보를 커널에 제공합니다.

기본적으로 setregdomain 은 국가 코드를 자동으로 결정하려고 합니다. 이 경우 무선 규제 도메인 설정이 잘못될 수 있습니다. 이 문제를 해결하려면 국가 코드를 수동으로 설정할 수 있습니다.

중요

규제 도메인을 수동으로 설정하면 자동 탐지가 비활성화됩니다. 따라서 나중에 다른 국가에서 컴퓨터를 사용하는 경우 이전에 구성된 설정이 더 이상 올바르지 않을 수 있습니다. 이 경우 /etc/sysconfig/regdomain 파일을 제거하여 자동 탐지로 다시 전환하거나 이 절차를 사용하여 규제 도메인 설정을 수동으로 업데이트합니다.

절차

  1. 선택 사항: 현재 규제 도메인 설정을 표시합니다.

    # iw reg get
    global
    country US: DFS-FCC
    ...
  2. 다음 콘텐츠를 사용하여 /etc/sysconfig/regdomain 파일을 만듭니다.

    COUNTRY=<country_code>

    COUNTRY 변수를 미국 용 DE 또는 미국과 같은 ISO 3166-1 alpha2 국가 코드로 설정합니다.

  3. 규제 도메인 설정:

    # setregdomain

검증

  • 규제 도메인 설정을 표시합니다.

    # iw reg get
    global
    country DE: DFS-ETSI
    ...

추가 리소스

  • setregdomain(1) 도움말 페이지
  • IW(8) 도움말 페이지
  • regulatory.bin(5) 도움말 페이지
  • ISO 3166 Code

12장. RHEL을ECDHE2 또는ECDHE3 개인 액세스 포인트로 구성

ECDHE 장치가 있는 호스트에서 NetworkManager를 사용하여 이 호스트를 액세스 포인트로 구성할 수 있습니다. Wi-FiProtected Access 2 (WPA2) 및 Wi-FiProtected Access 3 (WPA3) 개인 인증 방법을 제공하며 무선 클라이언트는 사전 공유 키 (PSK)를 사용하여 액세스 포인트에 연결하고 RHEL 호스트 및 네트워크에서 서비스를 사용할 수 있습니다.

액세스 포인트를 구성하면 NetworkManager가 자동으로 다음을 수행합니다.

  • 클라이언트에 DHCP 및 DNS 서비스를 제공하도록 dnsmasq 서비스를 구성합니다.
  • IP 전달 활성화
  • nftables 방화벽 규칙을ECDHE 장치의 트래픽을 마스커레이드에 추가하고 IP 전달을 구성합니다.

사전 요구 사항

  • ECDHE 장치는 액세스 포인트 모드에서 실행을 지원합니다.
  • BOOM 장치는 사용 중이 아닙니다.
  • 호스트는 인터넷에 액세스할 수 있습니다.

절차

  1. CHAP 장치를 나열하여 액세스 포인트를 제공해야 하는 장치를 식별합니다.

    # nmcli device status | grep wifi
    wlp0s20f3    wifi   disconnected    --
  2. 장치가 액세스 포인트 모드를 지원하는지 확인합니다.

    # nmcli -f WIFI-PROPERTIES.AP device show wlp0s20f3
    WIFI-PROPERTIES.AP:     yes

    CHAP 장치를 액세스 포인트로 사용하려면 장치가 이 기능을 지원해야 합니다.

  3. dnsmasqNetworkManager-wifi 패키지를 설치합니다.

    # dnf install dnsmasq NetworkManager-wifi

    NetworkManager는 dnsmasq 서비스를 사용하여 액세스 포인트의 클라이언트에 DHCP 및 DNS 서비스를 제공합니다.

  4. 초기 액세스 포인트 구성을 생성합니다.

    # nmcli device wifi hotspot ifname wlp0s20f3 con-name Example-Hotspot ssid Example-Hotspot password "password"

    이 명령을 수행하면 wlp0s20f3 장치에서 액세스 포인트에 대한 연결 프로파일이 생성되어ECDHE2 및ECDHE3 개인 인증을 제공합니다. 무선 네트워크의 이름인 SSID(Service Set Identifier)는 Example-Hotspot 이며 사전 공유 키 암호 를 사용합니다.

  5. 선택 사항: improve3만 지원하도록 액세스 포인트를 구성합니다.

    # nmcli connection modify Example-Hotspot 802-11-wireless-security.key-mgmt sae
  6. 기본적으로 NetworkManager는ECDHE 장치에 IP 주소 10.42.0.1 을 사용하고 나머지 10.42.0.0/24 서브넷의 IP 주소를 클라이언트에 할당합니다. 다른 서브넷과 IP 주소를 구성하려면 다음을 입력합니다.

    # nmcli connection modify Example-Hotspot ipv4.addresses 192.0.2.254/24

    설정한 IP 주소(이 경우 192.0.2.254) 는 NetworkManager가ECDHE 장치에 할당하는 주소입니다. 클라이언트는 이 IP 주소를 기본 게이트웨이 및 DNS 서버로 사용합니다.

  7. 연결 프로필을 활성화합니다.

    # nmcli connection up Example-Hotspot

검증

  1. 서버에서 다음을 수행합니다.

    1. NetworkManager가 dnsmasq 서비스를 시작하고 서비스가 포트 67(DHCP) 및 53(DNS)에서 수신 대기하는지 확인합니다.

      # ss -tulpn | egrep ":53|:67"
      udp   UNCONN 0  0   10.42.0.1:53    0.0.0.0:*    users:(("dnsmasq",pid=55905,fd=6))
      udp   UNCONN 0  0     0.0.0.0:67    0.0.0.0:*    users:(("dnsmasq",pid=55905,fd=4))
      tcp   LISTEN 0  32  10.42.0.1:53    0.0.0.0:*    users:(("dnsmasq",pid=55905,fd=7))
    2. nftables 규칙 세트를 표시하여 NetworkManager가 10.42.0.0/24 서브넷의 트래픽에 대해 전달 및 마스커레이딩을 활성화했는지 확인합니다.

      # nft list ruleset
      table ip nm-shared-wlp0s20f3 {
          chain nat_postrouting {
              type nat hook postrouting priority srcnat; policy accept;
              ip saddr 10.42.0.0/24 ip daddr != 10.42.0.0/24 masquerade
          }
      
          chain filter_forward {
              type filter hook forward priority filter; policy accept;
              ip daddr 10.42.0.0/24 oifname "wlp0s20f3" ct state { established, related } accept
              ip saddr 10.42.0.0/24 iifname "wlp0s20f3" accept
              iifname "wlp0s20f3" oifname "wlp0s20f3" accept
              iifname "wlp0s20f3" reject
              oifname "wlp0s20f3" reject
          }
      }
  2. ECDHE 어댑터가 있는 클라이언트에서 다음을 수행합니다.

    1. 사용 가능한 네트워크 목록을 표시합니다.

      # nmcli device wifi
      IN-USE  BSSID              SSID             MODE   CHAN  RATE      SIGNAL  BARS  SECURITY
              00:53:00:88:29:04  Example-Hotspot  Infra  11    130 Mbit/s  62      ▂▄▆_  WPA3
      ...
    2. Example-Hotspot 무선 네트워크에 연결합니다. ManagingSync-Fi 연결 관리 단원을 참조하십시오.
    3. 원격 네트워크 또는 인터넷에서 호스트를 ping하여 연결이 작동하는지 확인합니다.

      # ping -c 3 www.redhat.com

추가 리소스

  • nm-settings(5) 도움말 페이지

13장. MACsec을 사용하여 동일한 물리적 네트워크에서 layer-2 트래픽 암호화

MACsec을 사용하여 두 장치 간 통신을 보호할 수 있습니다(포인트 간 통신). 예를 들어, 브랜치 사무실은 중앙 사무실과 Metro-Ethernet 연결을 통해 연결되어 있으며, 사무실을 연결하는 두 호스트에서 MACsec을 구성하여 보안을 강화할 수 있습니다.

Media Access Control Security (MACsec)는 다음을 포함하여 이더넷 링크를 통해 다양한 트래픽 유형을 보호하는 계층 2 프로토콜입니다.

  • DHCP(Dynamic Host Configuration Protocol)
  • ARP(Address resolution protocol)
  • 인터넷 프로토콜 버전 4 / 6 (IPv4 / IPv6)
  • TCP 또는 UDP와 같은 IP를 통한 모든 트래픽

MACsec은 APP-AES-128 알고리즘으로 기본적으로 LAN의 모든 트래픽을 암호화 및 인증하고 사전 공유 키를 사용하여 참가자 호스트 간의 연결을 설정합니다. 사전 공유 키를 변경하려면 MACsec을 사용하는 네트워크의 모든 호스트에서 NM 구성을 업데이트해야 합니다.

MACsec 연결은 이더넷 네트워크 카드, VLAN 또는 터널 장치와 같은 이더넷 장치를 상위로 사용합니다. MACsec 장치에서만 IP 구성을 설정하여 암호화된 연결만 사용하여 다른 호스트와 통신하거나 상위 장치에 IP 구성을 설정할 수도 있습니다. 후자의 경우 상위 장치를 사용하여 암호화되지 않은 연결 및 암호화된 연결에 MACsec 장치를 사용하여 다른 호스트와 통신할 수 있습니다.

MACsec은 특별한 하드웨어가 필요하지 않습니다. 예를 들어 호스트와 스위치 간에만 트래픽을 암호화하려는 경우를 제외하고 모든 스위치를 사용할 수 있습니다. 이 시나리오에서는 스위치가 MACsec도 지원해야 합니다.

즉, MACsec을 구성하는 두 가지 일반적인 방법이 있습니다.

  • 호스트 및 호스트
  • 호스트를 전환한 후 다른 호스트로 전환
중요

동일한 (물리적 또는 가상) LAN에 있는 호스트 간에만 MACsec을 사용할 수 있습니다.

13.1. nmcli를 사용하여 MACsec 연결 구성

nmcli 유틸리티를 사용하여 MACsec을 사용하도록 이더넷 인터페이스를 구성할 수 있습니다. 예를 들어 이더넷을 통해 연결된 두 호스트 간에 MACsec 연결을 생성할 수 있습니다.

절차

  1. MACsec을 구성하는 첫 번째 호스트에서 다음을 수행합니다.

    • 사전 공유 키에 대한 연결 키(CAK) 및 연결 연결 키 이름(CKN)을 만듭니다.

      1. 16바이트 16바이트 16진수 CAK를 생성합니다.

        # dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        50b71a8ef0bd5751ea76de6d6c98c03a
      2. 32바이트 16진수 CKN을 생성합니다.

        # dd if=/dev/urandom count=32 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550
  2. MACsec 연결을 통해 연결하려는 두 호스트 모두에서 다음을 수행합니다.
  3. MACsec 연결을 생성합니다.

    # nmcli connection add type macsec con-name macsec0 ifname macsec0 connection.autoconnect yes macsec.parent enp1s0 macsec.mode psk macsec.mka-cak 50b71a8ef0bd5751ea76de6d6c98c03a macsec.mka-ckn f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

    macsec.mka-cakmacsec.mka-ckn 매개변수의 이전 단계에서 생성된 CAK 및 CKN을 사용합니다. MACsec 보호 네트워크의 모든 호스트에서 값이 동일해야 합니다.

  4. MACsec 연결에서 IP 설정을 구성합니다.

    1. IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 macsec0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify macsec0 ipv4.method manual ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253'
    2. IPv6 설정을 구성합니다. 예를 들어 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 macsec0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify macsec0 ipv6.method manual ipv6.addresses '2001:db8:1::1/32' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd'
  5. 연결을 활성화합니다.

    # nmcli connection up macsec0

검증

  1. 트래픽이 암호화되었는지 확인합니다.

    # tcpdump -nn -i enp1s0
  2. 선택 사항: 암호화되지 않은 트래픽을 표시합니다.

    # tcpdump -nn -i macsec0
  3. MACsec 통계를 표시합니다.

    # ip macsec show
  4. 각 보호 유형에 대한 개별 카운터 표시: 무결성 전용(암호화 전용) 및 암호화(암호화)

    # ip -s macsec show

13.2. nmstatectl을 사용하여 MACsec 연결 구성

선언적 방식으로 nmstatectl 유틸리티를 통해 MACsec을 사용하도록 이더넷 인터페이스를 구성할 수 있습니다. 예를 들어 YAML 파일에서 이더넷을 통해 연결된 두 호스트 간에 MACsec 연결을 가정하는 네트워크의 원하는 상태를 설명합니다. nmstatectl 유틸리티는 YAML 파일을 해석하고 호스트 전체에서 지속적이고 일관된 네트워크 구성을 배포합니다.

OSI(Open Systems Interconnection) 모델의 계층 2라고도 하는 링크 계층에서 통신 보안을 위해 MACsec 보안 표준을 사용하면 다음과 같은 주요 이점이 있습니다.

  • 계층 2에서 암호화하면 계층 7에서 개별 서비스를 암호화할 필요가 없습니다. 이렇게 하면 각 호스트의 각 끝점에 대해 많은 수의 인증서를 관리하는 것과 관련된 오버헤드가 줄어듭니다.
  • 라우터 및 스위치와 같이 직접 연결된 네트워크 장치 간의 지점 간 보안입니다.
  • 애플리케이션 및 상위 계층 프로토콜에 필요한 변경 사항이 없습니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 NIC(네트워크 인터페이스 컨트롤러)가 서버 구성에 있습니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. MACsec을 구성하는 첫 번째 호스트에서 사전 공유 키에 대한 연결 연결 키(CAK) 및 연결 키 이름(CKN)을 생성합니다.

    1. 16바이트 16바이트 16진수 CAK를 생성합니다.

      # dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
      50b71a8ef0bd5751ea76de6d6c98c03a
    2. 32바이트 16진수 CKN을 생성합니다.

      # dd if=/dev/urandom count=32 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
      f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550
  2. MACsec 연결을 통해 연결하려는 두 호스트에서 다음 단계를 완료합니다.

    1. 다음 설정으로 YAML 파일(예: create-macsec-connection.yml )을 생성합니다.

      ---
      routes:
        config:
        - destination: 0.0.0.0/0
          next-hop-interface: macsec0
          next-hop-address: 192.0.2.2
          table-id: 254
        - destination: 192.0.2.2/32
          next-hop-interface: macsec0
          next-hop-address: 0.0.0.0
          table-id: 254
      dns-resolver:
        config:
          search:
          - example.com
          server:
          - 192.0.2.200
          - 2001:db8:1::ffbb
      interfaces:
      - name: macsec0
        type: macsec
        state: up
        ipv4:
          enabled: true
          address:
          - ip: 192.0.2.1
            prefix-length: 32
        ipv6:
          enabled: true
          address:
          - ip: 2001:db8:1::1
            prefix-length: 64
        macsec:
          encrypt: true
          base-iface: enp0s1
          mka-cak: 50b71a8ef0bd5751ea76de6d6c98c03a
          mka-ckn: f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550
          port: 0
          validation: strict
          send-sci: true
    2. mka-cakmka-ckn 매개변수의 이전 단계에서 생성된 CAK 및 CKN을 사용합니다. MACsec 보호 네트워크의 모든 호스트에서 값이 동일해야 합니다.
    3. 선택 사항: 동일한 YAML 구성 파일에서 다음 설정을 구성할 수도 있습니다.

      • /32 서브넷 마스크가 있는 정적 IPv4 주소 - 192.0.2.1
      • 정적 IPv6 주소 - 2001:db8:1::1 ( /64 서브넷 마스크 포함)
      • IPv4 기본 게이트웨이 - 192.0.2.2
      • IPv4 DNS 서버 - 192.0.2.200
      • IPv6 DNS 서버 2001:db8:1::ffbb
      • DNS 검색 도메인 - example.com
  3. 시스템에 설정을 적용합니다.

    # nmstatectl apply create-macsec-connection.yml

검증

  1. 현재 상태를 YAML 형식으로 표시합니다.

    # **nmstatectl show macsec0
  2. 트래픽이 암호화되었는지 확인합니다.

    # tcpdump -nn -i enp0s1
  3. 선택 사항: 암호화되지 않은 트래픽을 표시합니다.

    # tcpdump -nn -i macsec0
  4. MACsec 통계를 표시합니다.

    # ip macsec show
  5. 각 보호 유형에 대한 개별 카운터 표시: 무결성 전용(암호화 전용) 및 암호화(암호화)

    # ip -s macsec show

13.3. 추가 리소스

14장. IPVLAN 시작하기

IPVLAN은 컨테이너 환경에서 호스트 네트워크에 액세스하는 데 사용할 수 있는 가상 네트워크 장치의 드라이버입니다. IPVLAN은 호스트 네트워크 내에서 생성된 IPVLAN 장치 수에 관계없이 단일 MAC 주소를 외부 네트워크에 노출합니다. 즉, 사용자가 여러 컨테이너에 여러 개의 IPVLAN 장치를 가질 수 있으며 해당 스위치는 단일 MAC 주소를 읽습니다. IPVLAN 드라이버는 로컬 스위치에서 관리할 수 있는 총 MAC 주소 수에 제약 조건을 적용하는 경우 유용합니다.

14.1. IPVLAN 모드

IPVLAN에서 다음 모드를 사용할 수 있습니다.

  • L2 모드

    IPVLAN L2 모드에서 가상 장치는 ARP(Address Resolution Protocol) 요청을 수신하고 응답합니다. netfilter 프레임워크는 가상 장치를 소유한 컨테이너 내에서만 실행됩니다. 컨테이너화된 트래픽의 default 네임스페이스에서 netfilter 체인이 실행되지 않습니다. L2 모드를 사용하면 좋은 성능을 제공하지만 네트워크 트래픽에 대한 제어는 줄어듭니다.

  • L3 모드

    L3 모드에서 가상 장치는 L3 트래픽만 처리합니다. 가상 장치는 ARP 요청에 응답하지 않으며 사용자는 관련 피어의 IPVLAN IP 주소에 대한 주변 항목을 수동으로 구성해야 합니다. 수신 트래픽이 L2 모드 와 동일한 방식으로 스레드되는 반면 관련 컨테이너의 송신 트래픽은 기본 네임스페이스의 netfilter POSTROUTING 및 OUTPUT 체인에 배치됩니다. L3 모드를 사용하면 좋은 제어 기능을 제공하지만 네트워크 트래픽 성능이 저하됩니다.

  • L3S 모드

    L3S 모드에서 가상 장치는 관련 컨테이너의 송신 및 수신 트래픽이 기본 네임스페이스의 netfilter 체인에 배치된다는 점을 제외하고 L3 모드에서 와 동일한 방식으로 처리합니다. L3S 모드는 L3 모드 와 유사한 방식으로 작동하지만 네트워크를 더 잘 제어할 수 있습니다.

참고

L3 및 L3 S 모드의 경우 IPVLAN 가상 장치는 브로드캐스트 및 멀티 캐스트 트래픽을 수신하지 않습니다.

14.2. IPVLAN 및 MACVLAN 비교

다음 표에서는 MACVLAN과 IPVLAN의 주요 차이점을 보여줍니다.

MACVLANIPVLAN

MACVLAN 장치마다 MAC 주소를 사용합니다.

스위치가 MAC 테이블에 저장할 수 있는 최대 MAC 주소 수에 도달하면 연결이 끊어질 수 있습니다.

IPVLAN 장치 수를 제한하지 않는 단일 MAC 주소를 사용합니다.

글로벌 네임스페이스의 Netfilter 규칙은 하위 네임스페이스의 MACVLAN 장치 또는 MACVLAN 장치에 대한 트래픽에 영향을 미칠 수 없습니다.

L3 모드 및 L3S 모드에서 IPVLAN 장치에 대한 트래픽 또는 트래픽을 제어할 수 있습니다.

IPVLAN 및 MACVLAN 모두 수준의 캡슐화가 필요하지 않습니다.

14.3. iproute2를 사용하여 IPVLAN 장치 생성 및 구성

다음 절차에서는 iproute2 를 사용하여 IPVLAN 장치를 설정하는 방법을 보여줍니다.

절차

  1. IPVLAN 장치를 생성하려면 다음 명령을 입력합니다.

    # ip link add link real_NIC_device name IPVLAN_device type ipvlan mode l2

    NIC(네트워크 인터페이스 컨트롤러)는 컴퓨터를 네트워크에 연결하는 하드웨어 구성 요소입니다.

    예 14.1. IPVLAN 장치 생성

    # ip link add link enp0s31f6 name my_ipvlan type ipvlan mode l2
    # ip link
    47: my_ipvlan@enp0s31f6: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000 link/ether e8:6a:6e:8a:a2:44 brd ff:ff:ff:ff:ff:ff
  2. IPv4 또는 IPv6 주소를 인터페이스에 할당하려면 다음 명령을 입력합니다.

    # ip addr add dev IPVLAN_device IP_address/subnet_mask_prefix
  3. L3 모드 또는 L3S 모드에서 IPVLAN 장치를 구성하는 경우 다음과 같이 설정합니다.

    1. 원격 호스트에서 원격 피어에 대한 주변 설정을 구성합니다.

      # ip neigh add dev peer_device IPVLAN_device_IP_address lladdr MAC_address

      여기서 MAC_address 는 IPVLAN 장치를 기반으로 하는 실제 NIC의 MAC 주소입니다.

    2. 다음 명령을 사용하여 L3 모드 의 IPVLAN 장치를 구성합니다.

      # ip route add dev <real_NIC_device> <peer_IP_address/32>

      L3S 모드 의 경우:

      # ip route add dev real_NIC_device peer_IP_address/32

      여기서 IP-address는 원격 피어의 주소를 나타냅니다.

  4. IPVLAN 장치를 활성 상태로 설정하려면 다음 명령을 입력합니다.

    # ip link set dev IPVLAN_device up
  5. IPVLAN 장치가 활성화되어 있는지 확인하려면 원격 호스트에서 다음 명령을 실행합니다.

    # ping IP_address

    여기서 IP_address 는 IPVLAN 장치의 IP 주소를 사용합니다.

15장. 특정 장치를 무시하도록 NetworkManager 구성

기본적으로 NetworkManager는 모든 장치를 관리합니다. 특정 장치를 무시하려면 를 Unmanaged 로 설정하여 NetworkManager를 구성할 수 있습니다.

15.1. nmcli를 사용하여 루프백 인터페이스 구성

기본적으로 NetworkManager는 루프백(lo) 인터페이스를 관리하지 않습니다. lo 인터페이스에 대한 연결 프로필을 만든 후 NetworkManager를 사용하여 이 장치를 구성할 수 있습니다. 몇 가지 예는 다음과 같습니다.

  • lo 인터페이스에 추가 IP 주소 할당
  • DNS 주소 정의
  • lo 인터페이스의 최대 전송 단위(MTU) 크기를 변경합니다.

절차

  1. 루프백 유형의 새 연결을 생성합니다.

    # nmcli connection add con-name example-loopback type loopback
  2. 사용자 지정 연결 설정을 구성합니다. 예를 들면 다음과 같습니다.

    1. 인터페이스에 추가 IP 주소를 할당하려면 다음을 입력합니다.

      # nmcli connection modify example-loopback +ipv4.addresses 192.0.2.1/24
      참고

      NetworkManager는 재부팅 시 지속되는 IP 주소 127.0.0.1::1 을 항상 할당하여 lo 인터페이스를 관리합니다. 127.0.0.1::1 을 재정의할 수 없습니다. 그러나 인터페이스에 추가 IP 주소를 할당할 수 있습니다.

    2. 사용자 지정 최대 전송 단위(MTU)를 설정하려면 다음을 입력합니다.

      # nmcli con mod example-loopback loopback.mtu 16384
    3. IP 주소를 DNS 서버로 설정하려면 다음을 입력합니다.

      # nmcli connection modify example-loopback ipv4.dns 192.0.2.0

      루프백 연결 프로파일에 DNS 서버를 설정하면 이 항목은 /etc/resolv.conf 파일에서 항상 사용할 수 있습니다. DNS 서버 항목은 다른 네트워크 간에 호스트 로움의 여부와 관계없이 계속 독립적입니다.

  3. 연결을 활성화합니다.

    # nmcli connection up example-loopback

검증

  1. lo 인터페이스의 설정을 표시합니다.

    # ip address show lo
    
    1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16384 qdisc noqueue state UNKNOWN group default qlen 1000
    
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever preferred_lft forever inet 192.0.2.1/24 brd 192.0.2.255 scope global lo valid_lft forever preferred_lft forever
    
    inet6 ::1/128 scope host
    valid_lft forever preferred_lft forever
  2. DNS 주소를 확인합니다.

    # cat /etc/resolv.conf
    
    ...
    nameserver 192.0.2.0
    ...

15.2. NetworkManager에서 관리되지 않는 방식으로 장치를 영구적으로 구성

인터페이스 이름, MAC 주소 또는 장치 유형과 같은 여러 기준에 따라 장치를 관리되지 않음으로 영구적으로 구성할 수 있습니다.

네트워크 장치를 비관리 형으로 일시적으로 구성하려면 NetworkManager에서 장치를 Unmanaged로 구성하는 것을 참조하십시오.

절차

  1. 선택 사항: Unmanaged 로 설정하려는 장치 또는 MAC 주소를 식별하는 장치 목록을 표시합니다.

    # ip link show
    ...
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:74:79:56 brd ff:ff:ff:ff:ff:ff
    ...
  2. 다음 콘텐츠를 사용하여 /etc/NetworkManager/conf.d/99-unmanaged-devices.conf 파일을 만듭니다.

    • 특정 인터페이스를 Unmanaged로 구성하려면 다음을 추가합니다.

      [keyfile]
      unmanaged-devices=interface-name:enp1s0
    • 특정 MAC 주소를 Unmanaged로 사용하여 장치를 구성하려면 다음을 추가합니다.

      [keyfile]
      unmanaged-devices=mac:52:54:00:74:79:56
    • 특정 유형의 모든 장치를 관리되지 않음으로 구성하려면 다음을 추가합니다.

      [keyfile]
      unmanaged-devices=type:ethernet
    • 여러 장치를 Unmanaged로 설정하려면 unmanaged-devices 매개변수의 항목을 분리합니다. 예를 들면 다음과 같습니다.

      [keyfile]
      unmanaged-devices=interface-name:enp1s0;interface-name:enp7s0
  3. NetworkManager 서비스를 다시 로드합니다.

    # systemctl reload NetworkManager

검증

  • 장치 목록을 표시합니다.

    # nmcli device status
    DEVICE  TYPE      STATE      CONNECTION
    enp1s0  ethernet  unmanaged  --
    ...

    enp1s0 장치 옆에 있는 관리되지 않는 상태는 NetworkManager가 이 장치를 관리하지 않음을 나타냅니다.

문제 해결

  • 장치가 관리되지 않음으로 표시되지 않으면 NetworkManager 구성을 표시합니다.

    # NetworkManager --print-config
    ...
    [keyfile]
    unmanaged-devices=interface-name:enp1s0
    ...

    출력이 구성한 설정과 일치하지 않는 경우 우선 순위가 높은 구성 파일이 설정을 재정의하지 않아야 합니다. NetworkManager가 여러 구성 파일을 병합하는 방법에 대한 자세한 내용은 NetworkManager.conf(5) 도움말 페이지를 참조하십시오.

15.3. NetworkManager에서 일시적으로 관리되지 않는 장치로 구성

장치를 임시로 비관리 형으로 구성할 수 있습니다.

예를 들어 테스트 목적으로 이 방법을 사용합니다. 네트워크 장치를 관리되지 않은 상태로 영구적으로 구성하려면 NetworkManager에서 장치를 Unmanaged로 구성하는 것을 참조하십시오.

절차

  1. 선택 사항: Unmanaged 로 설정할 장치를 식별하는 장치 목록을 표시합니다.

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp1s0  ethernet  disconnected  --
    ...
  2. enp1s0 장치를 Unmanaged 상태로 설정합니다.

    # nmcli device set enp1s0 managed no

검증

  • 장치 목록을 표시합니다.

    # nmcli device status
    DEVICE  TYPE      STATE      CONNECTION
    enp1s0  ethernet  unmanaged  --
    ...

    enp1s0 장치 옆에 있는 관리되지 않는 상태는 NetworkManager가 이 장치를 관리하지 않음을 나타냅니다.

추가 리소스

  • NetworkManager.conf(5) 매뉴얼 페이지

16장. 더미 인터페이스 생성

Red Hat Enterprise Linux 사용자는 디버깅 및 테스트를 위해 더미 네트워크 인터페이스를 생성하고 사용할 수 있습니다. 더미 인터페이스는 실제로 전송하지 않고 패킷을 라우팅하는 장치를 제공합니다. NetworkManager에서 관리하는 추가 루프백 유사한 장치를 만들 수 있으며 비활성 SLIP(Serial Line Internet Protocol) 주소를 로컬 프로그램에 대한 실제 주소처럼 만들 수 있습니다.

16.1. nmcli를 사용하여 IPv4 및 IPv6 주소를 모두 사용하여 더미 인터페이스 만들기

IPv4 및 IPv6 주소와 같은 다양한 설정을 사용하여 더미 인터페이스를 만들 수 있습니다. 인터페이스를 생성한 후 NetworkManager는 기본 public firewalld 영역에 자동으로 할당합니다.

절차

  • 정적 IPv4 및 IPv6 주소를 사용하여 dummy0 이라는 더미 인터페이스를 만듭니다.

    # nmcli connection add type dummy ifname dummy0 ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv6.method manual ipv6.addresses 2001:db8:2::1/64
    참고

    IPv4 및 IPv6 주소 없이 더미 인터페이스를 구성하려면 ipv4.methodipv6.method 매개 변수를 모두 disabled 로 설정합니다. 그렇지 않으면 IP 자동 구성이 실패하고 NetworkManager는 연결을 비활성화하고 장치를 제거합니다.

검증

  • 연결 프로필을 나열합니다.

    # nmcli connection show
    NAME            UUID                                  TYPE     DEVICE
    dummy-dummy0    aaf6eb56-73e5-4746-9037-eed42caa8a65  dummy    dummy0

추가 리소스

  • nm-settings(5) 도움말 페이지

17장. NetworkManager를 사용하여 특정 연결의 IPv6 비활성화

NetworkManager를 사용하여 네트워크 인터페이스를 관리하는 시스템에서는 네트워크에서 IPv4만 사용하는 경우 IPv6 프로토콜을 비활성화할 수 있습니다. IPv6 를 비활성화하면 NetworkManager는 커널에서 해당 sysctl 값을 자동으로 설정합니다.

참고

커널 튜닝 가능 항목 또는 커널 부팅 매개변수를 사용하여 IPv6를 비활성화하면 시스템 구성에 추가로 고려해야 합니다. 자세한 내용은 How do I disable or enable the IPv6 protocol in RHEL? 에서 참조하십시오.

17.1. nmcli를 사용하여 연결에서 IPv6 비활성화

nmcli 유틸리티를 사용하여 명령줄에서 IPv6 프로토콜을 비활성화할 수 있습니다.

사전 요구 사항

  • 시스템은 NetworkManager를 사용하여 네트워크 인터페이스를 관리합니다.

절차

  1. 선택적으로 네트워크 연결 목록을 표시합니다.

    # nmcli connection show
    NAME    UUID                                  TYPE      DEVICE
    Example 7a7e0151-9c18-4e6f-89ee-65bb2d64d365  ethernet  enp1s0
    ...
  2. 연결의 ipv6.method 매개 변수를 disabled 로 설정합니다.

    # nmcli connection modify Example ipv6.method "disabled"
  3. 네트워크 연결을 다시 시작합니다.

    # nmcli connection up Example

검증

  1. 장치의 IP 설정을 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 52:54:00:6b:74:be brd ff:ff:ff:ff:ff:ff
        inet 192.0.2.1/24 brd 192.10.2.255 scope global noprefixroute enp1s0
           valid_lft forever preferred_lft forever

    inet6 항목이 표시되지 않으면 장치에서 IPv6 가 비활성화됩니다.

  2. /proc/sys/net/ipv6/conf/enp1s0/disable_ipv6 파일에 값 1 이 포함되어 있는지 확인합니다.

    # cat /proc/sys/net/ipv6/conf/enp1s0/disable_ipv6
    1

    1 은 장치에 대해 IPv6 가 비활성화되어 있음을 나타냅니다.

18장. 호스트 이름 변경

시스템의 호스트 이름은 시스템 자체의 이름입니다. RHEL을 설치할 때 이름을 설정할 수 있으며 나중에 변경할 수 있습니다.

18.1. nmcli를 사용하여 호스트 이름 변경

nmcli 유틸리티를 사용하여 시스템 호스트 이름을 업데이트할 수 있습니다. 다른 유틸리티에서는 정적 또는 영구 호스트 이름과 같은 다른 용어를 사용할 수 있습니다.

절차

  1. 선택 사항: 현재 호스트 이름 설정을 표시합니다.

    # nmcli general hostname
    old-hostname.example.com
  2. 새 호스트 이름을 설정합니다.

    # nmcli general hostname new-hostname.example.com
  3. NetworkManager는 systemd-hostnamed 를 자동으로 다시 시작하여 새 이름을 활성화합니다. 변경 사항을 적용하려면 호스트를 재부팅합니다.

    # reboot

    또는 호스트 이름을 사용하는 서비스를 알고 있는 경우 다음을 수행합니다.

    1. 서비스가 시작될 때만 호스트 이름을 읽는 모든 서비스를 다시 시작합니다.

      # systemctl restart <service_name>
    2. 변경 사항을 적용하려면 활성 쉘 사용자가 다시 로그인해야 합니다.

검증

  • hostname을 표시합니다.

    # nmcli general hostname
    new-hostname.example.com

18.2. hostnamectl을 사용하여 호스트 이름 변경

hostnamectl 유틸리티를 사용하여 호스트 이름을 업데이트할 수 있습니다. 기본적으로 이 유틸리티는 다음과 같은 호스트 이름 유형을 설정합니다.

  • 정적 호스트 이름: /etc/hostname 파일에 저장 일반적으로 서비스는 이 이름을 호스트 이름으로 사용합니다.
  • 호스트 이름: 데이터 센터 A의 Proxy 서버와 같은 설명적 이름입니다.
  • 일시적인 호스트 이름: 일반적으로 네트워크 구성에서 수신되는 대체 값입니다.

절차

  1. 선택 사항: 현재 호스트 이름 설정을 표시합니다.

    # hostnamectl status --static
    old-hostname.example.com
  2. 새 호스트 이름을 설정합니다.

    # hostnamectl set-hostname new-hostname.example.com

    이 명령은 정적, 매우, 일시적인 호스트 이름을 새 값으로 설정합니다. 특정 유형만 설정하려면 --static,--pretty 또는 --transient 옵션을 명령에 전달합니다.

  3. hostnamectl 유틸리티에서 systemd-hostnamed 를 자동으로 다시 시작하여 새 이름을 활성화합니다. 변경 사항을 적용하려면 호스트를 재부팅합니다.

    # reboot

    또는 호스트 이름을 사용하는 서비스를 알고 있는 경우 다음을 수행합니다.

    1. 서비스가 시작될 때만 호스트 이름을 읽는 모든 서비스를 다시 시작합니다.

      # systemctl restart <service_name>
    2. 변경 사항을 적용하려면 활성 쉘 사용자가 다시 로그인해야 합니다.

검증

  • hostname을 표시합니다.

    # hostnamectl status --static
    new-hostname.example.com

추가 리소스

  • hostnamectl(1)
  • systemd-hostnamed.service(8)

19장. NetworkManager DHCP 설정 구성

NetworkManager는 DHCP와 관련된 다양한 구성 옵션을 제공합니다. 예를 들어 build-in DHCP 클라이언트(기본값) 또는 외부 클라이언트를 사용하도록 NetworkManager를 구성하고 개별 프로필의 DHCP 설정에 영향을 줄 수 있습니다.

19.1. NetworkManager의 DHCP 클라이언트 변경

기본적으로 NetworkManager는 내부 DHCP 클라이언트를 사용합니다. 그러나 기본 제공 클라이언트에서 제공하지 않는 기능이 있는 DHCP 클라이언트가 필요한 경우 dhclient 를 사용하도록 NetworkManager를 구성할 수도 있습니다.

RHEL은 dhcpcd 를 제공하지 않으므로 NetworkManager는 이 클라이언트를 사용할 수 없습니다.

절차

  1. 다음 콘텐츠를 사용하여 /etc/NetworkManager/conf.d/dhcp-client.conf 파일을 생성합니다.

    [main]
    dhcp=dhclient

    dhcp 매개변수를 internal (기본값) 또는 dhclient 로 설정할 수 있습니다.

  2. dhcp 매개변수를 dhclient 로 설정하면 dhcp-client 패키지를 설치합니다.

    # dnf install dhcp-client
  3. NetworkManager를 다시 시작하십시오.

    # systemctl restart NetworkManager

    재시작 시 모든 네트워크 연결이 일시적으로 중단됩니다.

검증

  • /var/log/ log 파일에서 다음과 유사한 항목을 검색합니다.

    Apr 26 09:54:19 server NetworkManager[27748]: <info>  [1650959659.8483] dhcp-init: Using DHCP client 'dhclient'

    이 로그 항목은 NetworkManager가 dhclient 를 DHCP 클라이언트로 사용하는지 확인합니다.

추가 리소스

  • NetworkManager.conf(5) 매뉴얼 페이지

19.2. NetworkManager 연결의 DHCP 동작 구성

DHCP(Dynamic Host Configuration Protocol) 클라이언트는 클라이언트가 네트워크에 연결할 때마다 DHCP 서버에서 동적 IP 주소와 해당 구성 정보를 요청합니다.

DHCP 서버에서 IP 주소를 검색하도록 연결을 구성하면 NetworkManager는 DHCP 서버에서 IP 주소를 요청합니다. 기본적으로 클라이언트는 이 요청이 완료될 때까지 45초 동안 기다립니다. DHCP 연결이 시작되면 dhcp 클라이언트에서 DHCP 서버의 IP 주소를 요청합니다.

사전 요구 사항

  • DHCP를 사용하는 연결은 호스트에 구성됩니다.

절차

  1. ipv4.dhcp-timeoutipv6.dhcp-timeout 속성을 설정합니다. 예를 들어 두 옵션을 모두 30 초로 설정하려면 다음을 입력합니다.

    # nmcli connection modify connection_name ipv4.dhcp-timeout 30 ipv6.dhcp-timeout 30

    또는 매개 변수를 무한대 로 설정하여 NetworkManager가 성공할 때까지 IP 주소 요청 및 업데이트 시도를 중지하지 않도록 구성합니다.

  2. 선택 사항: NetworkManager가 시간 초과 전에 IPv4 주소를 수신하지 않는 경우 동작을 구성합니다.

    # nmcli connection modify connection_name ipv4.may-fail value

    ipv4.may-fail 옵션을 다음과 같이 설정하는 경우:

    • . 연결 상태는 IPv6 구성에 따라 다릅니다.

      • IPv6 구성이 활성화되고 성공하면 NetworkManager는 IPv6 연결을 활성화하고 더 이상 IPv4 연결을 활성화하지 않습니다.
      • IPv6 구성이 비활성화되거나 구성되지 않은 경우 연결이 실패합니다.
    • 아니요. 연결이 비활성화됩니다. 이 경우 다음을 수행합니다.

      • 연결의 autoconnect 속성이 활성화된 경우 NetworkManager는 autoconnect-retries 속성에 설정된 횟수만큼 연결을 다시 시도합니다. 기본값은 4 입니다.
      • 연결이 계속 DHCP 주소를 가져올 수 없는 경우 자동 비활성화가 실패합니다. 5분 후에 자동 연결 프로세스가 다시 시작하여 DHCP 서버에서 IP 주소를 가져옵니다.
  3. 선택 사항: NetworkManager가 시간 초과 전에 IPv6 주소를 수신하지 않는 경우 동작을 구성합니다.

    # nmcli connection modify connection_name ipv6.may-fail value

추가 리소스

  • nm-settings(5) 도움말 페이지

20장. NetworkManager를 사용하여 dhclient 종료 후크 실행

NetworkManager 디스패치 스크립트를 사용하여 dhclient 종료 후크를 실행할 수 있습니다.

20.1. NetworkManager 디스패처 스크립트의 개념

NetworkManager-dispatcher 서비스는 네트워크 이벤트가 발생할 때 알파벳순으로 사용자 제공 스크립트를 실행합니다. 이러한 스크립트는 일반적으로 쉘 스크립트이지만 실행 가능한 스크립트 또는 애플리케이션일 수 있습니다. 예를 들어 디스패치 스크립트를 사용하여 NetworkManager로 관리할 수 없는 네트워크 관련 설정을 조정할 수 있습니다.

디스패치 스크립트를 다음 디렉터리에 저장할 수 있습니다.

  • /etc/NetworkManager/dispatcher.d/: root 사용자가 편집할 수 있는 디스패치 스크립트의 일반 위치입니다.
  • /usr/lib/NetworkManager/dispatcher.d/: 사전 배포된 변경 불가능한 디스패처 스크립트의 경우

보안상의 이유로 NetworkManager-dispatcher 서비스는 다음 조건이 충족되는 경우에만 스크립트를 실행합니다.

  • 이 스크립트는 root 사용자가 소유합니다.
  • 이 스크립트는 루트 에서만 읽고 쓸 수 있습니다.
  • setuid 비트는 스크립트에 설정되지 않습니다.

NetworkManager-dispatcher 서비스는 두 개의 인수를 사용하여 각 스크립트를 실행합니다.

  1. 작업이 발생한 장치의 인터페이스 이름입니다.
  2. 인터페이스가 활성화된 경우 up 과 같은 작업입니다.

NetworkManager(8) 도움말 페이지의 Dispatcher scripts 섹션은 스크립트에서 사용할 수 있는 작업 및 환경 변수에 대한 개요를 제공합니다.

NetworkManager-dispatcher 서비스는 한 번에 하나의 스크립트를 실행하지만 기본 NetworkManager 프로세스에서 비동기식으로 실행합니다. 스크립트가 대기 중인 경우 이후 이벤트가 더 이상 사용되지 않는 경우에도 서비스가 항상 실행됩니다. 그러나 NetworkManager-dispatcher 서비스는 이전 스크립트가 종료될 때까지 기다리지 않고 즉시 /etc/NetworkManager/dispatcher.d/no-wait.d/ 의 파일을 참조하는 심볼릭 링크인 스크립트를 실행합니다.

추가 리소스

  • NetworkManager(8) 매뉴얼 페이지

20.2. dhclient 종료 후크를 실행하는 NetworkManager 디스패치 스크립트 생성

DHCP 서버가 IPv4 주소를 할당하거나 업데이트하면 NetworkManager는 /etc/dhcp/dhclient-exit-hooks.d/ 디렉터리에 저장된 디스패치 스크립트를 실행할 수 있습니다. 그러면 이 디스패치 스크립트는 예를 들어 dhclient 종료 후크를 실행할 수 있습니다.

사전 요구 사항

  • dhclient 종료 후크는 /etc/dhcp/dhclient-exit-hooks.d/ 디렉터리에 저장됩니다.

절차

  1. 다음 콘텐츠를 사용하여 /etc/NetworkManager/dispatcher.d/12-dhclient-down 파일을 만듭니다.

    #!/bin/bash
    # Run dhclient.exit-hooks.d scripts
    
    if [ -n "$DHCP4_DHCP_LEASE_TIME" ] ; then
      if [ "$2" = "dhcp4-change" ] || [ "$2" = "up" ] ; then
        if [ -d /etc/dhcp/dhclient-exit-hooks.d ] ; then
          for f in /etc/dhcp/dhclient-exit-hooks.d/*.sh ; do
            if [ -x "${f}" ]; then
              . "${f}"
            fi
          done
        fi
      fi
    fi
  2. root 사용자를 파일의 소유자로 설정합니다.

    # chown root:root /etc/NetworkManager/dispatcher.d/12-dhclient-down
  3. root 사용자만 실행할 수 있도록 권한을 설정합니다.

    # chmod 0700 /etc/NetworkManager/dispatcher.d/12-dhclient-down
  4. SELinux 컨텍스트를 복원하십시오.

    # restorecon /etc/NetworkManager/dispatcher.d/12-dhclient-down

추가 리소스

  • NetworkManager(8) 매뉴얼 페이지

21장. 수동으로 /etc/resolv.conf 파일 구성

기본적으로 NetworkManager는 활성 NetworkManager 연결 프로필의 DNS 설정으로 /etc/resolv.conf 파일을 동적으로 업데이트합니다. 그러나 이 동작을 비활성화하고 /etc/resolv.conf 에서 DNS 설정을 수동으로 구성할 수 있습니다.

참고

또는 /etc/resolv.conf 에 특정 DNS 서버 순서가 필요한 경우 DNS 서버 순서 구성을 참조하십시오.

21.1. NetworkManager 구성에서 DNS 처리 비활성화

기본적으로 NetworkManager는 /etc/resolv.conf 파일에서 DNS 설정을 관리하고 DNS 서버 순서를 구성할 수 있습니다. 또는 /etc/resolv.conf 에서 DNS 설정을 수동으로 구성하려는 경우 NetworkManager에서 DNS 처리를 비활성화할 수 있습니다.

절차

  1. root 사용자로 텍스트 편집기를 사용하여 다음 콘텐츠를 사용하여 /etc/NetworkManager/conf.d/90-dns-none.conf 파일을 만듭니다.

    [main]
    dns=none
  2. NetworkManager 서비스를 다시 로드합니다.

    # systemctl reload NetworkManager
    참고

    서비스를 다시 로드한 후 NetworkManager에서 더 이상 /etc/resolv.conf 파일을 업데이트하지 않습니다. 그러나 파일의 마지막 내용은 유지됩니다.

  3. 선택적으로 /etc/resolv.conf 에서 NetworkManager 주석에 의해 생성됨 을 제거하여 혼동을 방지합니다.

검증

  1. /etc/resolv.conf 파일을 편집하고 구성을 수동으로 업데이트합니다.
  2. NetworkManager 서비스를 다시 로드합니다.

    # systemctl reload NetworkManager
  3. /etc/resolv.conf 파일을 표시합니다.

    # cat /etc/resolv.conf

    DNS 처리를 성공적으로 비활성화한 경우 NetworkManager에서 수동으로 구성된 설정을 재정의하지 않았습니다.

문제 해결

  • 우선 순위가 높은 다른 구성 파일이 설정을 덮어쓰지 않도록 NetworkManager 구성을 표시합니다.

    # NetworkManager --print-config
    ...
    dns=none
    ...

추가 리소스

22장. DNS 서버의 순서 구성

대부분의 애플리케이션에서는 glibc 라이브러리의 getaddrinfo() 함수를 사용하여 DNS 요청을 확인합니다. 기본적으로 glibc 는 모든 DNS 요청을 /etc/resolv.conf 파일에 지정된 첫 번째 DNS 서버로 보냅니다. 이 서버에 응답하지 않는 경우 RHEL은 이 파일에서 다음 서버를 사용합니다. NetworkManager를 사용하면 etc/resolv.conf 에서 DNS 서버 순서에 영향을 미칠 수 있습니다.

22.1. NetworkManager가 /etc/resolv.conf에서 DNS 서버를 주문하는 방법

NetworkManager는 다음 규칙에 따라 /etc/resolv.conf 파일에서 DNS 서버를 주문합니다.

  • 하나의 연결 프로필만 있는 경우 NetworkManager는 해당 연결에 지정된 IPv4 및 IPv6 DNS 서버의 순서를 사용합니다.
  • 여러 연결 프로필이 활성화된 경우 NetworkManager는 DNS 우선 순위 값을 기반으로 DNS 서버를 주문합니다. DNS 우선순위를 설정하면 NetworkManager 동작이 dns 매개변수에 설정된 값에 따라 달라집니다. /etc/NetworkManager/NetworkManager.conf 파일의 [main] 섹션에서 이 매개변수를 설정할 수 있습니다.

    • DNS=default 또는 dns 매개변수가 설정되지 않은 경우:

      NetworkManager는 각 연결에서 ipv4.dns-priorityipv6.dns-priority 매개변수를 기반으로 다양한 연결에서 DNS 서버를 주문합니다.

      값을 설정하지 않거나 ipv4.dns-priorityipv6.dns-priority0 으로 설정한 경우 NetworkManager는 글로벌 기본값을 사용합니다. DNS 우선순위 매개변수의 기본값 을 참조하십시오.

    • dns=dnsmasq or dns=systemd-resolved:

      이러한 설정 중 하나를 사용하는 경우 NetworkManager는 dnsmasq 에 대한 127.0.0.1 또는 127.0.0.53/etc/resolv.conf 파일의 nameserver 항목으로 설정합니다.

      dnsmasqsystemd 확인 서비스 둘 다 NetworkManager 연결에 있는 검색 도메인 세트의 쿼리를 해당 연결에 지정된 DNS 서버로 전달하고 다른 도메인으로 쿼리를 기본 경로와 연결합니다. 여러 연결에 동일한 검색 도메인이 설정된 경우 dnsmasqsystemd-resolved forward 쿼리를 우선순위가 가장 낮은 연결에 설정된 DNS 서버로 설정합니다.

DNS 우선순위 매개변수의 기본값

NetworkManager는 연결에 다음 기본값을 사용합니다.

  • VPN 연결의 경우 50
  • 다른 연결의 경우 100

유효한 DNS 우선순위 값:

글로벌 기본값 및 연결별 ipv4.dns-priorityipv6.dns-priority 매개변수를 -21474836472147483647 사이의 값으로 설정할 수 있습니다.

  • 낮은 값이 우선 순위가 높습니다.
  • 음수 값은 다른 구성을 더 큰 값으로 제외하는 특수한 효과가 있습니다. 예를 들어 음수 우선 순위 값을 가진 하나 이상의 연결이 있는 경우 NetworkManager는 우선 순위가 가장 낮은 연결 프로필에 지정된 DNS 서버만 사용합니다.
  • 여러 연결에 동일한 DNS 우선 순위가 있는 경우 NetworkManager는 다음 순서로 DNS에 우선 순위를 지정합니다.

    1. VPN 연결
    2. 활성 기본 경로와 연결. 활성 기본 경로는 가장 낮은 메트릭이 있는 기본 경로입니다.

추가 리소스

22.2. NetworkManager 전체 기본 DNS 서버 우선 순위 값 설정

NetworkManager는 연결에 다음 DNS 우선 순위 기본값을 사용합니다.

  • VPN 연결의 경우 50
  • 다른 연결의 경우 100

이러한 시스템 전체 기본값을 IPv4 및 IPv6 연결의 사용자 지정 기본값으로 덮어쓸 수 있습니다.

절차

  1. /etc/NetworkManager/NetworkManager.conf 파일을 편집합니다.

    1. [connection] 섹션이 없는 경우 다음을 추가합니다.

      [connection]
    2. 사용자 지정 기본값을 [connection] 섹션에 추가합니다. 예를 들어 IPv4 및 IPv6의 새 기본값을 200 으로 설정하려면 다음을 추가합니다.

      ipv4.dns-priority=200
      ipv6.dns-priority=200

      매개변수를 -21474836472147483647 사이의 값으로 설정할 수 있습니다. 매개 변수를 0 으로 설정하면 기본 제공 기본값( VPN 연결의 경우50 개, 기타 연결의 경우 100 )이 활성화됩니다.

  2. NetworkManager 서비스를 다시 로드합니다.

    # systemctl reload NetworkManager

추가 리소스

  • NetworkManager.conf(5) 매뉴얼 페이지

22.3. NetworkManager 연결의 DNS 우선 순위 설정

특정 DNS 서버 순서가 필요한 경우 연결 프로필에서 우선순위 값을 설정할 수 있습니다. NetworkManager는 서비스가 /etc/resolv.conf 파일을 생성하거나 업데이트할 때 이러한 값을 사용하여 서버를 정렬합니다.

DNS 우선순위를 설정하는 것은 다른 DNS 서버가 구성된 여러 연결이 있는 경우에만 적합합니다. 여러 DNS 서버가 구성된 연결만 있는 경우 연결 프로필에서 DNS 서버를 수동으로 설정합니다.

사전 요구 사항

  • 시스템에는 여러 NetworkManager 연결이 구성되어 있습니다.
  • /etc/NetworkManager/NetworkManager.conf 파일에 dns 매개 변수가 설정되지 않았거나 매개 변수가 기본값으로 설정되어 있습니다.

절차

  1. 선택적으로 사용 가능한 연결을 표시합니다.

    # nmcli connection show
    NAME           UUID                                  TYPE      DEVICE
    Example_con_1  d17ee488-4665-4de2-b28a-48befab0cd43  ethernet  enp1s0
    Example_con_2  916e4f67-7145-3ffa-9f7b-e7cada8f6bf7  ethernet  enp7s0
    ...
  2. ipv4.dns-priorityipv6.dns-priority 매개변수를 설정합니다. 예를 들어 Example_con_1 연결에 대해 두 매개변수를 모두 10 으로 설정하려면 다음을 실행합니다.

    # nmcli connection modify Example_con_1 ipv4.dns-priority 10 ipv6.dns-priority 10
  3. 필요한 경우 다른 연결에 대해 이전 단계를 반복합니다.
  4. 업데이트한 연결을 다시 활성화합니다.

    # nmcli connection up Example_con_1

검증

  • /etc/resolv.conf 파일의 내용을 표시하여 DNS 서버 순서가 올바른지 확인합니다.

    # cat /etc/resolv.conf

23장. 다른 도메인에 다른 DNS 서버 사용

기본적으로 RHEL(Red Hat Enterprise Linux)은 모든 DNS 요청을 /etc/resolv.conf 파일에 지정된 첫 번째 DNS 서버로 보냅니다. 이 서버에 응답하지 않는 경우 RHEL은 이 파일에서 다음 서버를 사용합니다. 하나의 DNS 서버가 모든 도메인을 확인할 수 없는 환경에서는 관리자가 특정 도메인에 대한 DNS 요청을 선택한 DNS 서버로 보내도록 RHEL을 구성할 수 있습니다.

예를 들어 서버를 VPN(Virtual Private Network)에 연결하고 VPN의 호스트는 example.com 도메인을 사용합니다. 이 경우 다음과 같은 방식으로 DNS 쿼리를 처리하도록 RHEL을 구성할 수 있습니다.

  • example.com 에 대한 DNS 요청만 VPN 네트워크의 DNS 서버로 보냅니다.
  • 다른 모든 요청을 기본 게이트웨이를 사용하여 연결 프로필에 구성된 DNS 서버로 보냅니다.

23.1. NetworkManager에서 dnsmasq를 사용하여 특정 도메인에 대한 DNS 요청을 선택한 DNS 서버로 전송

dnsmasq 인스턴스를 시작하도록 NetworkManager를 구성할 수 있습니다. 그런 다음 이 DNS 캐싱 서버는 루프백 장치의 포트 53 에서 수신 대기합니다. 결과적으로 이 서비스는 네트워크가 아닌 로컬 시스템에서만 연결할 수 있습니다.

이 구성을 통해 NetworkManager는 nameserver 127.0.0.1 항목을 /etc/resolv.conf 파일에 추가하고 dnsmasq 는 DNS 요청을 NetworkManager 연결 프로필에 지정된 해당 DNS 서버로 동적으로 라우팅합니다.

사전 요구 사항

  • 시스템에는 여러 NetworkManager 연결이 구성되어 있습니다.
  • DNS 서버 및 검색 도메인은 특정 도메인을 확인하는 NetworkManager 연결 프로필에 구성됩니다.

    예를 들어 VPN 연결에 지정된 DNS 서버가 example.com 도메인에 대한 쿼리를 확인하도록 하려면 VPN 연결 프로필에 다음 설정이 포함되어야 합니다.

    • example.com을 확인할 수 있는 DNS 서버
    • ipv4.dns-searchipv6.dns-search 매개변수에서 example.com 으로 설정된 검색 도메인
  • dnsmasq 서비스는 다른 인터페이스에서 수신 대기하도록 구성되지 않은 다음 localhost 에서 수신 대기하도록 구성되어 있지 않습니다.

절차

  1. dnsmasq 패키지를 설치합니다.

    # dnf install dnsmasq
  2. /etc/NetworkManager/NetworkManager.conf 파일을 편집하고 [main] 섹션에 다음 항목을 설정합니다.

    dns=dnsmasq
  3. NetworkManager 서비스를 다시 로드합니다.

    # systemctl reload NetworkManager

검증

  1. 서비스에서 다른 DNS 서버를 사용하는 도메인의 NetworkManager 장치의 systemd 저널을 검색합니다.

    # journalctl -xeu NetworkManager
    ...
    Jun 02 13:30:17 client_hostname dnsmasq[5298]: using nameserver 198.51.100.7#53 for domain example.com
    ...
  2. tcpdump 패킷 스니퍼를 사용하여 DNS 요청의 올바른 경로를 확인합니다.

    1. tcpdump 패키지를 설치합니다.

      # dnf install tcpdump
    2. 한 터미널에서 tcpdump 를 시작하여 모든 인터페이스에서 DNS 트래픽을 캡처합니다.

      # tcpdump -i any port 53
    3. 다른 터미널에서 예외와 다른 도메인이 존재하는 도메인의 호스트 이름을 확인합니다. 예를 들면 다음과 같습니다.

      # host -t A www.example.com
      # host -t A www.redhat.com
    4. tcpdump 출력에서 Red Hat Enterprise Linux가 example.com 도메인에 대한 DNS 쿼리만 지정된 DNS 서버와 해당 인터페이스를 통해 전송하는지 확인합니다.

      ...
      13:52:42.234533 tun0   Out IP server.43534 > 198.51.100.7.domain: 50121+ A? www.example.com. (33)
      ...
      13:52:57.753235 enp1s0 Out IP server.40864 > 192.0.2.1.domain: 6906+ A? www.redhat.com. (33)
      ...

      Red Hat Enterprise Linux는 www.example.com 의 DNS 쿼리를 198.51.100.7 의 DNS 서버에 전송하고 www.redhat.com 에 대한 쿼리를 192.0.2.1 로 보냅니다.

문제 해결

  1. /etc/resolv.conf 파일의 nameserver 항목이 127.0.0.1:을 참조하는지 확인합니다.

    # cat /etc/resolv.conf
    nameserver 127.0.0.1

    항목이 없는 경우 /etc/NetworkManager/NetworkManager.conf 파일에서 dns 매개변수를 확인합니다.

  2. dnsmasq 서비스가 루프백 장치의 포트 53 에서 수신 대기하는지 확인합니다.

    # ss -tulpn | grep "127.0.0.1:53"
    udp  UNCONN 0  0    127.0.0.1:53   0.0.0.0:*    users:(("dnsmasq",pid=7340,fd=18))
    tcp  LISTEN 0  32   127.0.0.1:53   0.0.0.0:*    users:(("dnsmasq",pid=7340,fd=19))

    서비스가 127.0.0.1:53 에서 수신 대기하지 않으면 NetworkManager 장치의 저널 항목을 확인합니다.

    # journalctl -u NetworkManager

23.2. NetworkManager에서 systemd-resolved를 사용하여 특정 도메인에 대한 DNS 요청을 선택한 DNS 서버로 전송

systemd-resolved 인스턴스를 시작하도록 NetworkManager를 구성할 수 있습니다. 그런 다음 이 DNS 스텁 확인기에서 IP 주소 127.0.0. 53 의 포트 53에서 수신 대기합니다. 결과적으로 이 스텁 확인자는 네트워크가 아닌 로컬 시스템에서만 연결할 수 있습니다.

이 구성을 통해 NetworkManager는 이름 서버 127.0.0.53 항목을 /etc/resolv.conf 파일에 추가하고 systemd-resolved 는 DNS 요청을 NetworkManager 연결 프로필에 지정된 해당 DNS 서버로 동적으로 라우팅합니다.

중요

systemd-resolved 서비스는 기술 프리뷰로만 제공됩니다. 기술 프리뷰 기능은 Red Hat 프로덕션 서비스 수준 계약(SLA)에서 지원되지 않을 수 있으며, 기능적으로 완전하지 않을 수 있으며 Red Hat은 프로덕션에 이러한 기능을 사용하지 않는 것이 좋습니다. 이러한 프리뷰를 통해 향후 제품 기능에 조기 액세스할 수 있어 개발 과정에서 고객이 기능을 테스트하고 피드백을 제공할 수 있습니다.

기술 프리뷰 기능의 지원 범위에 대한 자세한 내용은 Red Hat 고객 포털의 기술 프리뷰 기능 지원 범위를 참조하십시오.

지원되는 솔루션은 NetworkManager에서 dnsmasq를 사용하여 특정 도메인에 대한 DNS 요청을 선택한 DNS 서버로 보내는 것을 참조하십시오.

사전 요구 사항

  • 시스템에는 여러 NetworkManager 연결이 구성되어 있습니다.
  • DNS 서버 및 검색 도메인은 특정 도메인을 확인하는 NetworkManager 연결 프로필에 구성됩니다.

    예를 들어 VPN 연결에 지정된 DNS 서버가 example.com 도메인에 대한 쿼리를 확인하도록 하려면 VPN 연결 프로필에 다음 설정이 포함되어야 합니다.

    • example.com을 확인할 수 있는 DNS 서버
    • ipv4.dns-searchipv6.dns-search 매개변수에서 example.com 으로 설정된 검색 도메인

절차

  1. systemd-resolved 서비스를 활성화하고 시작합니다.

    # systemctl --now enable systemd-resolved
  2. /etc/NetworkManager/NetworkManager.conf 파일을 편집하고 [main] 섹션에 다음 항목을 설정합니다.

    dns=systemd-resolved
  3. NetworkManager 서비스를 다시 로드합니다.

    # systemctl reload NetworkManager

검증

  1. 서비스에서 다른 DNS 서버를 사용하는 도메인과 systemd-resolved 의 사용을 표시합니다.

    # resolvectl
    ...
    Link 2 (enp1s0)
        Current Scopes: DNS
             Protocols: +DefaultRoute ...
    Current DNS Server: 192.0.2.1
           DNS Servers: 192.0.2.1
    
    Link 3 (tun0)
        Current Scopes: DNS
             Protocols: -DefaultRoute ...
    Current DNS Server: 198.51.100.7
           DNS Servers: 198.51.100.7 203.0.113.19
            DNS Domain: example.com

    systemd-resolvedexample.com 도메인에 다른 DNS 서버를 사용하는 것을 출력에서 확인합니다.

  2. tcpdump 패킷 스니퍼를 사용하여 DNS 요청의 올바른 경로를 확인합니다.

    1. tcpdump 패키지를 설치합니다.

      # dnf install tcpdump
    2. 한 터미널에서 tcpdump 를 시작하여 모든 인터페이스에서 DNS 트래픽을 캡처합니다.

      # tcpdump -i any port 53
    3. 다른 터미널에서 예외와 다른 도메인이 존재하는 도메인의 호스트 이름을 확인합니다. 예를 들면 다음과 같습니다.

      # host -t A www.example.com
      # host -t A www.redhat.com
    4. tcpdump 출력에서 Red Hat Enterprise Linux가 example.com 도메인에 대한 DNS 쿼리만 지정된 DNS 서버와 해당 인터페이스를 통해 전송하는지 확인합니다.

      ...
      13:52:42.234533 tun0   Out IP server.43534 > 198.51.100.7.domain: 50121+ A? www.example.com. (33)
      ...
      13:52:57.753235 enp1s0 Out IP server.40864 > 192.0.2.1.domain: 6906+ A? www.redhat.com. (33)
      ...

      Red Hat Enterprise Linux는 www.example.com 의 DNS 쿼리를 198.51.100.7 의 DNS 서버에 전송하고 www.redhat.com 에 대한 쿼리를 192.0.2.1 로 보냅니다.

문제 해결

  1. /etc/resolv.conf 파일의 nameserver 항목이 127.0.0.53 을 참조하는지 확인합니다.

    # cat /etc/resolv.conf
    nameserver 127.0.0.53

    항목이 없는 경우 /etc/NetworkManager/NetworkManager.conf 파일에서 dns 매개변수를 확인합니다.

  2. systemd-resolved 서비스가 로컬 IP 주소 127.0.0. 53 의 포트 53에서 수신 대기하는지 확인합니다.

    # ss -tulpn | grep "127.0.0.53"
    udp  UNCONN 0  0      127.0.0.53%lo:53   0.0.0.0:*    users:(("systemd-resolve",pid=1050,fd=12))
    tcp  LISTEN 0  4096   127.0.0.53%lo:53   0.0.0.0:*    users:(("systemd-resolve",pid=1050,fd=13))

    서비스가 127.0.0.53:53 에서 수신 대기하지 않으면 systemd-resolved 서비스가 실행 중인지 확인합니다.

24장. 기본 게이트웨이 설정 관리

기본 게이트웨이는 다른 경로가 패킷의 대상과 일치하지 않을 때 네트워크 패킷을 전달하는 라우터입니다. 로컬 네트워크에서 기본 게이트웨이는 일반적으로 인터넷에 더 가까운 호스트입니다.

24.1. nmcli를 사용하여 기존 연결에 기본 게이트웨이 설정

대부분의 경우 관리자는 연결을 만들 때 기본 게이트웨이를 설정합니다. 그러나 nmcli 유틸리티를 사용하여 이전에 생성된 연결에서 기본 게이트웨이 설정을 설정하거나 업데이트할 수도 있습니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.
  • 사용자가 물리 콘솔에 로그인한 경우 사용자 권한만으로 충분합니다. 그렇지 않으면 사용자에게 root 권한이 있어야 합니다.

절차

  1. 기본 게이트웨이의 IP 주소를 설정합니다.

    IPv4 기본 게이트웨이를 설정하려면 다음을 입력합니다.

    # nmcli connection modify <connection_name> ipv4.gateway "<IPv4_gateway_address>"

    IPv6 기본 게이트웨이를 설정하려면 다음을 입력합니다.

    # nmcli connection modify <connection_name> ipv6.gateway "<IPv6_gateway_address>"
  2. 변경 사항을 적용하려면 네트워크 연결을 다시 시작하십시오.

    # nmcli connection up <connection_name>
    주의

    이 네트워크 연결을 사용하는 현재 모든 연결이 재시작 중에 일시적으로 중단됩니다.

검증

  • 경로가 활성 상태인지 확인합니다.

    1. IPv4 기본 게이트웨이를 표시하려면 다음을 입력합니다.

      # ip -4 route
      default via 192.0.2.1 dev example proto static metric 100
    2. IPv6 기본 게이트웨이를 표시하려면 다음을 입력합니다.

      # ip -6 route
      default via 2001:db8:1::1 dev example proto static metric 100 pref medium

24.2. nmcli 대화형 모드를 사용하여 기존 연결에 기본 게이트웨이 설정

대부분의 경우 관리자는 연결을 만들 때 기본 게이트웨이를 설정합니다. 그러나 nmcli 유틸리티의 대화형 모드를 사용하여 이전에 생성된 연결에 기본 게이트웨이 설정을 설정하거나 업데이트할 수도 있습니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.
  • 사용자가 물리 콘솔에 로그인한 경우 사용자 권한만으로 충분합니다. 그렇지 않으면 사용자에게 root 권한이 있어야 합니다.

절차

  1. 필요한 연결에 대해 nmcli 대화형 모드를 엽니다.

    # nmcli connection edit <connection_name>
  2. 기본 게이트웨이 설정

    IPv4 기본 게이트웨이를 설정하려면 다음을 입력합니다.

    nmcli> set ipv4.gateway "<IPv4_gateway_address>"

    IPv6 기본 게이트웨이를 설정하려면 다음을 입력합니다.

    nmcli> set ipv6.gateway "<IPv6_gateway_address>"
  3. 선택적으로 기본 게이트웨이가 올바르게 설정되었는지 확인합니다.

    nmcli> print
    ...
    ipv4.gateway:            <IPv4_gateway_address>
    ...
    ipv6.gateway:            <IPv6_gateway_address>
    ...
  4. 설정을 저장합니다.

    nmcli> save persistent
  5. 변경 사항을 적용하려면 네트워크 연결을 다시 시작하십시오.

    nmcli> activate <connection_name>
    주의

    이 네트워크 연결을 사용하는 현재 모든 연결이 재시작 중에 일시적으로 중단됩니다.

  6. nmcli 대화형 모드를 종료합니다.

    nmcli> quit

검증

  • 경로가 활성 상태인지 확인합니다.

    1. IPv4 기본 게이트웨이를 표시하려면 다음을 입력합니다.

      # ip -4 route
      default via 192.0.2.1 dev example proto static metric 100
    2. IPv6 기본 게이트웨이를 표시하려면 다음을 입력합니다.

      # ip -6 route
      default via 2001:db8:1::1 dev example proto static metric 100 pref medium

24.3. nm-connection-editor를 사용하여 기존 연결에서 기본 게이트웨이 설정

대부분의 경우 관리자는 연결을 만들 때 기본 게이트웨이를 설정합니다. 그러나 nm-connection-editor 애플리케이션을 사용하여 이전에 생성한 연결에서 기본 게이트웨이 설정을 설정하거나 업데이트할 수도 있습니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    # nm-connection-editor
  2. 수정할 연결을 선택한 다음, 톱니바꿈 아이콘을 클릭하여 기존 연결을 편집합니다.
  3. IPv4 기본 게이트웨이를 설정합니다. 예를 들어 192.0.2.1 연결에서 기본 게이트웨이의 IPv4 주소를 설정하려면 다음을 수행합니다.

    1. IPv4 Settings 탭을 엽니다.
    2. 게이트웨이 주소가 속하는 IP 범위 옆에 있는 gateway 필드에 주소를 입력합니다.

      set default gw in nm connection editor ipv4

  4. IPv6 기본 게이트웨이를 설정합니다. 예를 들어 연결에서 기본 게이트웨이의 IPv6 주소를 2001:db8:1::1 로 설정하려면 다음을 실행합니다.

    1. IPv6 탭을 엽니다.
    2. 게이트웨이 주소가 속하는 IP 범위 옆에 있는 gateway 필드에 주소를 입력합니다.

      set default gw in nm connection editor ipv6

  5. OK를 클릭합니다.
  6. 저장을 클릭합니다.
  7. 변경 사항을 적용하려면 네트워크 연결을 다시 시작하십시오. 예를 들어 명령줄을 사용하여 예제 연결을 다시 시작하려면 다음을 수행합니다.

    # nmcli connection up example
    주의

    이 네트워크 연결을 사용하는 현재 모든 연결이 재시작 중에 일시적으로 중단됩니다.

  8. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    IPv4 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    # ip -4 route
    default via 192.0.2.1 dev example proto static metric 100

    IPv6 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    # ip -6 route
    default via 2001:db8:1::1 dev example proto static metric 100 pref medium

24.4. control-center를 사용하여 기존 연결에서 기본 게이트웨이 설정

대부분의 경우 관리자는 연결을 만들 때 기본 게이트웨이를 설정합니다. 그러나 control-center 애플리케이션을 사용하여 이전에 만든 연결에서 기본 게이트웨이 설정을 설정하거나 업데이트할 수도 있습니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.
  • 연결의 네트워크 구성은 control-center 애플리케이션에서 열려 있습니다.

절차

  1. IPv4 기본 게이트웨이를 설정합니다. 예를 들어 192.0.2.1 연결에서 기본 게이트웨이의 IPv4 주소를 설정하려면 다음을 수행합니다.

    1. IPv4 탭을 엽니다.
    2. 게이트웨이 주소가 속하는 IP 범위 옆에 있는 gateway 필드에 주소를 입력합니다.

      set default gw in control center ipv4

  2. IPv6 기본 게이트웨이를 설정합니다. 예를 들어 연결에서 기본 게이트웨이의 IPv6 주소를 2001:db8:1::1 로 설정하려면 다음을 실행합니다.

    1. IPv6 탭을 엽니다.
    2. 게이트웨이 주소가 속하는 IP 범위 옆에 있는 gateway 필드에 주소를 입력합니다.

      set default gw in control center ipv6

  3. Apply(적용)를 클릭합니다.
  4. 네트워크 창으로 돌아가 연결의 버튼을 전환하여 연결을 비활성화 및 다시 활성화한 후 변경 사항을 적용하려면 연결을 다시 시작합니다.

    주의

    이 네트워크 연결을 사용하는 현재 모든 연결이 재시작 중에 일시적으로 중단됩니다.

  5. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    IPv4 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -4 route
    default via 192.0.2.1 dev example proto static metric 100

    IPv6 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -6 route
    default via 2001:db8:1::1 dev example proto static metric 100 pref medium

24.5. nmstatectl을 사용하여 기존 연결에 기본 게이트웨이 설정

대부분의 경우 관리자는 연결을 만들 때 기본 게이트웨이를 설정합니다. 그러나 nmstatectl 유틸리티를 사용하여 이전에 생성된 연결에서 기본 게이트웨이 설정을 설정하거나 업데이트할 수도 있습니다.

nmstatectl 유틸리티를 사용하여 Nmstate API를 통해 기본 게이트웨이를 설정합니다. Nmstate API는 구성을 설정한 후 결과가 구성 파일과 일치