사이버 거래
다음 시나리오를 고려하십시오. 브리지가 다음 옵션으로 구성되었습니다. 하드웨어 오프로드g는 RouterOS 장치에서 네트워크 성능을 최대화하기 위해 활성화되었습니다. 이러한 구성으로 인해 장치는 소프트웨어 수준에서 단순한 브리지가 아닌 스위치 역할을 합니다.
이는 장치의 CPU가 수행하도록 하는 대신 스위치 칩이 포트 간 패킷 전달을 처리하도록 함으로써 성능을 향상시킵니다.
구성
/interface bridge
add name=bridge1
/interface bridge port
add bridge=bridge1 hw=yes interface=ether1 learn=yes
add bridge=bridge1 hw=yes interface=ether2 learn=yes
문제
도구가 다음과 같을 때 손수건 o 토치 네트워크에서 패킷을 캡처하기 위해 예외적인 현상이 관찰됩니다. 즉, 일반적으로 브로드캐스트/멀티캐스트인 일부 패킷만 표시됩니다. 이는 다음과 같은 방식 때문입니다. 스위치 칩 다음을 사용하여 구성에서 트래픽을 처리합니다. 하드웨어 오프로딩.
MAC 학습 및 호스트 테이블
El 스위치 칩 MAC 주소 테이블과 "호스트 테이블"로 알려진 관련 포트를 유지 관리합니다. 패킷을 전달해야 할 때마다 스위치 칩은 이 표를 참조하여 패킷을 전달하는 데 사용할 포트를 결정합니다. 테이블에서 대상 MAC 주소를 찾을 수 없으면 패킷은 CPU 포트를 포함한 모든 포트로 플러딩됩니다.
따라서 목적지 MAC 주소가 이미 학습되어 테이블에 있으면 스위치 칩은 CPU를 거치지 않고 직접 패킷을 전달할 수 있습니다. 이는 해당 패키지가 다음과 같은 도구에 표시되지 않음을 의미합니다. 손수건 o 토치, CPU 수준에서 패킷을 캡처합니다.
조짐
- Sniffer 또는 Torch에서는 패키지가 표시되지 않습니다.
- 필터링 규칙이 예상대로 작동하지 않을 수 있습니다.
해결
이 문제를 해결하기 위해 다음의 규칙을 사용할 수 있습니다. ACL(액세스 제어 목록) 특정 패킷을 CPU로 복사하거나 리디렉션합니다. 예를 들어 분석을 위해 특정 MAC 주소로 향하는 패킷 복사본을 CPU로 보내는 규칙을 구성할 수 있습니다.
/interface ethernet switch rule
add copy-to-cpu=yes dst-mac-address=4C:5E:0C:4D:12:4B/FF:FF:FF:FF:FF:FF
ports=ether1 switch=switch1
처리를 위해 패킷을 CPU로 보내면 CPU의 로드가 증가하여 장치의 전체 성능에 영향을 미칠 수 있다는 점에 유의해야 합니다.
El 하드웨어 오프로딩 이는 네트워크 성능을 향상시키는 강력한 기술이지만 CPU 수준의 가시성 및 제어 측면에서 특정 제한이 따릅니다. 패킷 분석이나 필터링이 필요한 사용 사례의 경우 필요한 패킷이 CPU에서 처리되도록 ACL 규칙과 같은 추가 구성이 필요합니다.
추가 고려 사항
1. 트래픽 우선순위:
보다 복잡한 네트워크에서는 특정 유형의 트래픽에 우선순위를 부여하기 위해 QoS(서비스 품질)를 구현할 수 있습니다. 이를 위해서는 일반적으로 패킷이 CPU를 통과해야 하며, 이는 하드웨어 오프로딩 구성과 충돌할 수 있습니다.
2. 보안:
하드웨어 오프로딩은 패킷이 CPU를 통과하지 못하기 때문에 DPI(Deep Packet Inspection)와 같은 더 강력한 보안 조치를 구현하는 기능을 제한할 수 있습니다.
3. CPU 용량:
트래픽을 CPU로 리디렉션할 때 CPU의 처리 용량을 고려하는 것이 중요합니다. CPU 처리를 위해 전송된 패킷이 너무 많으면 CPU에 부담을 주어 전체 시스템 성능이 저하될 수 있습니다.
4. 호환성:
모든 장치와 스위치 칩이 하드웨어 오프로딩을 지원하거나 동일한 기능을 갖는 것은 아닙니다. 하드웨어가 사용하려는 기능을 지원하는지 확인하세요.
5. 펌웨어/소프트웨어 업데이트:
구현하려는 모든 기능을 지원하는 RouterOS 버전을 사용하고 있는지 확인하세요. 문제와 제한사항은 버전마다 다를 수 있습니다.
고급 솔루션
보다 복잡한 시나리오의 경우 API나 스크립트를 사용하여 특정 이벤트나 조건에 따라 ACL 규칙의 추가 및 제거를 자동화할 수 있습니다. 이는 대상 MAC 주소가 자주 변경될 수 있는 동적 환경에서 특히 유용할 수 있습니다.
개요
하드웨어 오프로딩은 네트워크 성능을 향상시키는 효과적인 기술이지만, 세부적인 트래픽 제어 및 진단에 있어서는 어려움이 있습니다.
많은 패킷이 스위치 칩 수준에서 전달되고 CPU에 도달하지 않기 때문에 Sniffer 또는 Torch와 같은 도구는 이 맥락에서 덜 효과적입니다.
그러나 신중하게 계획하고 ACL과 같은 기능을 사용하면 성능과 진단 및 보안 요구 사항의 균형을 맞출 수 있습니다.
간단한 지식 퀴즈
이 기사에 대해 어떻게 생각하시나요?
당신이 배운 지식을 감히 평가할 수 있습니까?
이 글에 추천도서
관련 기사
관련 기사
관심을 가질 만한 다른 주제
주제를 제안하고 싶으신가요?
매주 새로운 콘텐츠를 게시합니다. 구체적인 것에 대해 이야기하고 싶나요?
