Menu Close

네트워킹 구성 및 관리

Red Hat Enterprise Linux 9

Red Hat Enterprise Linux 9에서 네트워킹 구성 및 관리 가이드

초록

이 문서에서는 Red Hat Enterprise Linux 9에서 네트워킹을 관리하는 방법을 설명합니다.

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat은 코드, 문서, 웹 속성에서 문제가 있는 용어를 교체하기 위해 최선을 다하고 있습니다. 먼저 마스터(master), 슬레이브(slave), 블랙리스트(blacklist), 화이트리스트(whitelist) 등 네 가지 용어를 교체하고 있습니다. 이러한 변경 작업은 작업 범위가 크므로 향후 여러 릴리스에 걸쳐 점차 구현할 예정입니다. 자세한 내용은 CTO Chris Wright의 메시지를 참조하십시오.

Red Hat 문서에 관한 피드백 제공

문서 개선을 위한 의견을 보내 주십시오. 문서를 개선할 수 있는 방법에 관해 알려주십시오.

  • 특정 문구에 대한 간단한 의견 작성 방법은 다음과 같습니다.

    1. 문서가 Multi-page HTML 형식으로 표시되는지 확인합니다. 또한 문서 오른쪽 상단에 피드백 버튼이 있는지 확인합니다.
    2. 마우스 커서를 사용하여 주석 처리하려는 텍스트 부분을 강조 표시합니다.
    3. 강조 표시된 텍스트 아래에 표시되는 피드백 추가 팝업을 클릭합니다.
    4. 표시된 지침을 따릅니다.
  • Bugzilla를 통해 피드백을 제출하려면 새 티켓을 생성하십시오.

    1. Bugzilla 웹 사이트로 이동하십시오.
    2. 구성 요소로 문서를 사용합니다.
    3. 설명 필드에 문서 개선을 위한 제안 사항을 기입하십시오. 관련된 문서의 해당 부분 링크를 알려주십시오.
    4. 버그 제출을 클릭합니다.

1장. 일관된 네트워크 인터페이스 장치 이름 지정

Red Hat Enterprise Linux는 네트워크 인터페이스에 대한 일관되고 예측 가능한 장치 이름 지정 방법을 제공합니다. 이러한 기능은 네트워크 인터페이스를 식별하고 구별하는 데 도움이 됩니다.

커널은 고정 접두사와 커널이 네트워크 장치를 초기화할 때 증가하는 번호를 연결하여 네트워크 인터페이스에 이름을 할당합니다. 예를 들어 eth0 은 시작 시 프로브되는 첫 번째 장치를 나타냅니다. 그러나 이러한 이름은 섀시의 레이블과 반드시 일치하지는 않습니다. 다중 네트워크 어댑터가 있는 최신 서버 플랫폼은 이러한 인터페이스를 결정적이지 않고 반감적인 명명에 직면할 수 있습니다. 이는 시스템 보드와 추가 어댑터에 포함된 네트워크 어댑터 모두에 영향을 미칩니다.

Red Hat Enterprise Linux에서 udev 장치 관리자는 다양한 이름 지정 체계를 지원합니다. 기본적으로 udev 는 펌웨어, 토폴로지 및 위치 정보를 기반으로 고정 이름을 할당합니다. 다음과 같은 이점이 있습니다.

  • 장치 이름은 완전히 예측할 수 있습니다.
  • 하드웨어를 추가하거나 제거하는 경우에도 장치 이름은 고정된 상태로 유지됩니다. 재조정이 발생하지 않기 때문입니다.
  • 취약한 하드웨어는 원활하게 교체할 수 있습니다.

1.1. 네트워크 인터페이스 장치 이름 지정 계층

Red Hat Enterprise Linux의 기본 장치 이름 지정이 일관된 경우 udev 장치 관리자는 다음 체계를 기반으로 장치 이름을 생성합니다.

스키마설명예제

1

장치 이름은 온보드 장치에 대한 펌웨어 또는 BIOS 제공 인덱스 번호를 통합합니다. 이 정보를 사용할 수 없거나 적용할 수 없는 경우 udev 는 스키마 2를 사용합니다.

eno1

2

장치 이름은 펌웨어 또는 BIOS 제공 PCI Express(PCIe) 핫 플러그 슬롯 인덱스 번호를 통합합니다. 이 정보를 사용할 수 없거나 적용할 수 없는 경우 udev 는 스키마 3을 사용합니다.

ens1

3

장치 이름은 하드웨어의 커넥터의 물리적 위치를 통합합니다. 이 정보를 사용할 수 없거나 적용할 수 없는 경우 udev 는 스키마 5를 사용합니다.

enp2s0

4

장치 이름은 MAC 주소를 통합합니다. Red Hat Enterprise Linux는 기본적으로 이 스키마를 사용하지 않지만 관리자가 선택적으로 사용할 수 있습니다.

enx525400d5e0fb

5

예측할 수 없는 기존의 커널 이름 지정 체계입니다. udev 가 다른 체계를 적용할 수 없는 경우, 장치 관리자는 이 체계를 사용합니다.

eth0

기본적으로 Red Hat Enterprise Linux는 /usr/lib/systemd/network/99-default.link 파일의 NamePolicy 설정을 기반으로 장치 이름을 선택합니다. NamePolicy 의 값 순서는 중요합니다. Red Hat Enterprise Linux는 파일에 지정된 첫 번째 장치 이름과 udev 를 생성합니다.

커널 장치의 이름을 변경하기 위해 udev 규칙을 수동으로 구성한 경우 해당 규칙이 우선합니다.

1.2. 네트워크 장치 이름 변경의 작동 방식

기본적으로 Red Hat Enterprise Linux에서는 일관된 장치 이름 지정이 활성화됩니다. udev 장치 관리자는 장치의 이름을 변경하기 위해 다른 규칙을 처리합니다. 다음 목록에서는 이러한 규칙을 처리하는 udev 순서와 해당 규칙이 담당하는 작업을 설명합니다.

  1. /usr/lib/udev/rules.d/60-net.rules 파일은 / etc/sysconfig/network-scripts/IKE-* 파일에서 /lib/udev/ rename_device 도우미에서 HWADDR 매개변수를 검색하는 것을 정의합니다. 변수에 설정된 값이 인터페이스의 MAC 주소와 일치하면 도우미 유틸리티에서 파일의 DEVICE 매개변수에 설정된 이름으로 인터페이스의 이름을 변경합니다. 이 파일은 initscripts 패키지를 설치한 후에만 존재합니다.
  2. /usr/lib/udev/rules.d/71-biosdevname.rules 파일은 biosdevname 유틸리티에서 이전 단계에서 이름이 변경되지 않은 경우 이름 지정 정책에 따라 인터페이스 이름을 변경한다는 것을 정의합니다.
  3. /usr/lib/udev/rules.d/75-net-description.rules 파일은 udev 가 네트워크 인터페이스 장치를 검사함을 정의하고 다음 단계에서 처리할 udev-internal 변수의 속성을 설정합니다. 이러한 속성 중 일부는 정의되지 않을 수 있습니다.
  4. /usr/lib/udev/rules.d/80-net-setup-link.rules 파일에서 net_setup_link udev 를 호출한 다음 정책을 적용합니다. 다음은 /usr/lib/systemd/network/99-default.link 파일에 저장된 기본 정책입니다.

    [Link]
    NamePolicy=kernel database onboard slot path
    MACAddressPolicy=persistent

    이 정책에서 커널이 영구 이름을 사용하는 경우 udev 는 인터페이스의 이름을 바꾸지 않습니다. 커널이 영구 이름을 사용하지 않는 경우 udev 는 인터페이스의 이름을 udev 의 하드웨어 데이터베이스에서 제공한 이름으로 변경합니다. 이 데이터베이스를 사용할 수 없는 경우 Red Hat Enterprise Linux는 위에서 설명한 메커니즘으로 돌아갑니다.

    또는 MAC(Media Access Control) 주소 기반 인터페이스 이름의 경우 이 파일의 NamePolicy 매개변수를 mac 로 설정합니다.

  5. /usr/lib/udev/rules.d/80-net-setup-link.rules 파일은 udev -internal 매개변수에 따라 다음 순서로 인터페이스 이름을 변경함을 정의합니다.

    1. ID_NET_NAME_ONBOARD
    2. ID_NET_NAME_SLOT
    3. ID_NET_NAME_PATH

    하나의 매개 변수가 설정되지 않은 경우 udev 는 다음 매개 변수를 사용합니다. 매개 변수가 설정되지 않은 경우 인터페이스의 이름이 변경되지 않습니다.

단계 3 및 4는 네트워크 인터페이스 장치 이름 지정 계층 구조에 설명된 이름 지정 체계 1~4를 구현합니다.

추가 리소스

1.3. x86_64 플랫폼의 예측 가능한 네트워크 인터페이스 장치 이름

일관된 네트워크 장치 이름 기능이 활성화되면 udev 장치 관리자는 다른 기준에 따라 장치 이름을 생성합니다. 이 섹션에서는 Red Hat Enterprise Linux가 x86_64 플랫폼에 설치될 때의 이름 지정 체계에 대해 설명합니다.

인터페이스 이름은 인터페이스 유형에 따라 2자 접두사로 시작합니다.

  • 이더넷용 EN
  • 무선 LAN(WLAN)
  • 무선 WW( WW for wireless wide area network)

또한 다음 중 하나가 udev 장치 관리자가 적용하는 스키마를 기반으로 위에서 언급한 접두사 중 하나에 추가됩니다.

  • o<on-board_index_number>
  • s<hot_plug_slot_index_number>[f<function>][d<device_id>]

    모든 다중 기능 PCI 장치에는 함수 0 장치를 포함하여 장치 이름에 [f <function> ] 번호가 있습니다.

  • x<MAC_address>
  • [P<domain_number>]p<bus>s<slot>[f<function>][d<device_id>]

    [P <domain_number&gt;] 부분은 PCI 지리적 위치를 정의합니다. 이 부분은 도메인 번호가 0 이 아닌 경우에만 설정됩니다.

  • [P<domain_number>]p<bus>s<slot>[f<function>][u<usb_port>][…​][c<config>][i<interface>]

    USB 장치의 경우 허브의 포트 번호 전체 체인이 구성됩니다. 이름이 최대(15자)보다 긴 경우 이름은 내보내지지 않습니다. 체인에 USB 장치가 여러 개 있는 경우 udev 는 USB 구성 설명자(c1) 및 USB 인터페이스 설명자(i0)의 기본값을 표시하지 않습니다.

1.4. System z 플랫폼의 예측 가능한 네트워크 인터페이스 장치 이름

일관된 네트워크 장치 이름 기능이 활성화되면 System z 플랫폼의 udev 장치 관리자는 버스 ID를 기반으로 장치의 이름을 생성합니다. 버스 ID는 s390 채널 하위 시스템에서 장치를 식별합니다.

채널 명령 단어(CCW) 장치의 경우 버스 ID는 선행 0.n 접두사가 있는 장치 번호입니다. 여기서 n 은 하위 채널 세트 ID입니다.

이더넷 인터페이스의 이름은 (예: enccw0.0.1234)입니다. 직렬 라인 인터넷 프로토콜 (SLIP) 채널-토 채널 (CTC) 네트워크 장치 (예: slccw0.0.1234).

사용 가능한 네트워크 장치 및 버스 ID를 표시하려면 znetconf -c 또는 lscss -a 명령을 사용합니다.

1.5. 설치하는 동안 일관된 인터페이스 장치 이름 지정 비활성화

이 섹션에서는 설치하는 동안 일관된 인터페이스 장치 이름 지정을 비활성화하는 방법에 대해 설명합니다.

주의

Red Hat은 일관된 장치 이름을 비활성화하지 않을 것을 권장하며 네트워크 인터페이스가 두 개 이상인 호스트에서 이 기능을 지원하지 않습니다. 일관된 장치 이름 지정을 비활성화하면 다른 종류의 문제가 발생할 수 있습니다. 예를 들어 시스템에 다른 네트워크 인터페이스 카드를 추가하면 eth0 과 같은 커널 장치 이름 할당이 더 이상 수정되지 않습니다. 결과적으로 재부팅 후 커널에서 장치의 이름을 다르게 지정할 수 있습니다.

절차

  1. Red Hat Enterprise Linux 9 설치 미디어를 부팅합니다.
  2. 부팅 관리자에서 Install Red Hat Enterprise Linux 9 을 선택하고 Tab 키를 눌러 항목을 편집합니다.
  3. net.ifnames=0 매개변수를 커널 명령줄에 추가합니다.

    vmlinuz... net.ifnames=0
  4. Enter를 눌러 설치를 시작합니다.

1.6. 설치된 시스템에서 일관된 인터페이스 장치 이름 지정 비활성화

이 섹션에서는 이미 설치된 RHEL 시스템에서 일관된 인터페이스 장치 이름 지정을 비활성화하는 방법을 설명합니다.

주의

Red Hat은 일관된 장치 이름을 비활성화하지 않을 것을 권장하며 네트워크 인터페이스가 두 개 이상인 호스트에서 이 기능을 지원하지 않습니다. 일관된 장치 명명을 비활성화하면 다른 종류의 문제가 발생할 수 있습니다. 예를 들어 시스템에 다른 네트워크 인터페이스 카드를 추가하면 eth0 과 같은 커널 장치 이름 할당이 더 이상 수정되지 않습니다. 결과적으로 재부팅 후 커널에서 장치의 이름을 다르게 지정할 수 있습니다.

사전 요구 사항

  • 시스템은 일관된 인터페이스 장치 이름 지정을 사용하며, 이는 기본값입니다.

절차

  1. /etc/default/grub 파일을 편집하고 net.ifnames=0 매개 변수를 GRUB_CMDLINE_LINUX 변수에 추가합니다.

    GRUB_CMDLINE_LINUX="... net.ifnames=0"
  2. grub.cfg 파일을 다시 빌드합니다.

    • UEFI 부팅 모드가 있는 시스템에서 다음을 수행합니다.

      # grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg
    • 레거시 부팅 모드가 있는 시스템에서 다음을 수행합니다.

      # grub2-mkconfig -o /boot/grub2/grub.cfg
  3. 현재 프로필 이름과 관련 장치 이름을 표시합니다.

    # nmcli -f NAME,DEVICE,FILENAME connection show
    NAME           DEVICE  FILENAME
    System enp1s0  enp1s0  /etc/sysconfig/network-scripts/ifcfg-enp1s0
    System enp7s0  enp7s0  /etc/NetworkManager/system-connections/enp7s0.nmconnection

    각 장치와 연결된 프로필 이름 및 구성 파일을 확인합니다.

  4. 모든 연결 프로필에서 HWADDR 매개변수를 제거합니다.

    # sed -i '/^HWADDR=/d' /etc/sysconfig/network-scripts/ifcfg-enp1s0 /etc/NetworkManager/system-connections/enp7s0.nmconnection
  5. 이더넷 장치와 연결된 MAC 주소를 표시합니다.

    # ip link show
    ...
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:53:00:c5:98:1c brd ff:ff:ff:ff:ff:ff
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:53:00:b6:87:c6 brd ff:ff:ff:ff:ff:ff
  6. 호스트를 재부팅합니다.

    # reboot
  7. 재부팅 후 이더넷 장치를 표시하고 MAC 주소를 기반으로 새 인터페이스 이름을 식별합니다.

    # ip link show
    ...
    2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:53:00:b6:87:c6 brd ff:ff:ff:ff:ff:ff
    3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:53:00:c5:98:1c brd ff:ff:ff:ff:ff:ff

    현재 출력을 이전 출력과 비교하면 다음을 수행하십시오.

    • 인터페이스 enp7s0 (MAC 주소 00:53:b6:87:c6)은 이제 eth0 로 이름이 지정됩니다.
    • 인터페이스 enp1s0 (MAC 주소 00:53:00:c5:98:1c)은 이제 eth1 로 이름이 지정됩니다.
  8. 구성 파일의 이름을 변경합니다.

    # mv /etc/NetworkManager/system-connections/enp7s0.nmconnection /etc/NetworkManager/system-connections/eth0.nmconnection
    # mv /etc/sysconfig/network-scripts/ifcfg-enp1s0 /etc/sysconfig/network-scripts/ifcfg-eth1
  9. NetworkManager를 다시 로드합니다.

    # nmcli connection reload
  10. 구성 파일에 프로필 이름이 설정되지 않은 경우 NetworkManager는 기본값을 사용합니다. 연결 이름을 변경하고 다시 로드한 후 현재 프로필 이름을 확인하려면 다음을 입력합니다.

    # nmcli -f NAME,DEVICE,FILENAME connection show
    NAME           FILENAME
    System enp7s0  /etc/NetworkManager/system-connections/eth0.nmconnection
    System enp1s0  /etc/sysconfig/network-scripts/ifcfg-eth1

    다음 단계에서 프로필 이름이 필요합니다.

  11. NetworkManager 연결 프로필의 이름을 변경하고 각 프로필의 인터페이스 이름을 업데이트합니다.

    # nmcli connection modify "System enp7s0" connection.id eth0 connection.interface-name eth0
    # nmcli connection modify "System enp1s0" connection.id eth1 connection.interface-name eth1
  12. NetworkManager 연결을 다시 활성화합니다.

    # nmcli connection up eth0
    # nmcli connection up eth1

1.7. 이더넷 인터페이스의 접두사 사용자 지정

Red Hat Enterprise Linux를 설치하는 동안 이더넷 인터페이스 이름의 접두사를 사용자 지정할 수 있습니다.

중요

Red Hat은 이미 배포된 시스템에서 prefixdevname 유틸리티를 사용하여 접두사 사용자 지정을 지원하지 않습니다.

RHEL 설치 후 udev 서비스는 이더넷 장치 < prefix > . <index> . <index > . 예를 들어 접두사 네트워크 , RHEL 이름 이더넷 인터페이스 net 0,net1 등을 선택하는 경우.

사전 요구 사항

  • 설정할 접두사는 다음 요구 사항을 충족합니다.

    • ASCII 문자로 구성됩니다.
    • 영숫자 문자열입니다.
    • 이 문자는 16자보다 짧습니다.
    • eth,eno,ens, em 과 같이 네트워크 인터페이스 이름 지정에 사용되는 다른 잘 알려진 접두사와 충돌하지 않습니다.

절차

  1. Red Hat Enterprise Linux 설치 미디어를 부팅합니다.
  2. 부팅 관리자에서 다음을 수행합니다.

    1. Install Red Hat Enterprise Linux &lt ;version& gt; 항목을 선택하고 Tab 을 눌러 항목을 편집합니다.
    2. 커널 옵션에 net.ifnames.prefix= &lt;prefix >를 추가합니다.
    3. Enter 를 눌러 설치 프로그램을 시작합니다.
  3. Red Hat Enterprise Linux 설치.

검증

  • 설치 후 이더넷 인터페이스를 표시합니다.

    # ip link show
    ...
    2: net0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:53:00:c5:98:1c brd ff:ff:ff:ff:ff:ff
    3: net1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:53:00:c2:39:9e brd ff:ff:ff:ff:ff:ff
    ...

1.8. udev 규칙을 사용하여 사용자 정의 네트워크 인터페이스 이름 할당

udev 장치 관리자는 인터페이스 이름을 사용자 지정하는 일련의 규칙을 지원합니다.

절차

  1. 모든 네트워크 인터페이스 및 MAC 주소를 표시합니다.

    # ip link list
    
    enp6s0f0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether b4:96:91:14:ae:58 brd ff:ff:ff:ff:ff:ff
    enp6s0f1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether b4:96:91:14:ae:5a brd ff:ff:ff:ff:ff:ff
    enp4s0f0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
        link/ether 00:90:fa:6a:7d:90 brd ff:ff:ff:ff:ff:ff
  2. 다음 콘텐츠를 사용하여 /etc/udev/rules.d/70-custom-ifnames.rules 를 만듭니다.

    SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="b4:96:91:14:ae:58",ATTR{type}=="1",NAME="provider0"
    SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="b4:96:91:14:ae:5a",ATTR{type}=="1",NAME="provider1"
    SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="00:90:fa:6a:7d:90",ATTR{type}=="1",NAME="dmz"

    이러한 규칙은 네트워크 인터페이스의 MAC 주소와 일치하고 NAME 속성에 지정된 이름으로 이름을 바꿉니다. 이 예에서 ATTR{type} 매개변수 값 1 은 인터페이스가 이더넷 유형임을 정의합니다.

검증

  1. 시스템을 재부팅합니다.

    # reboot
  2. 각 MAC 주소의 인터페이스 이름이 규칙 파일의 NAME 매개변수에 설정된 값과 일치하는지 확인합니다.

    # ip link show
    
    provider0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
        link/ether b4:96:91:14:ae:58 brd ff:ff:ff:ff:ff:ff
       altname enp6s0f0
    provider1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
        link/ether b4:96:91:14:ae:5a brd ff:ff:ff:ff:ff:ff
        altname enp6s0f1
    dmz: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
        link/ether 00:90:fa:6a:7d:90 brd ff:ff:ff:ff:ff:ff
        altname enp4s0f0

추가 리소스

  • udev(7) 도움말 페이지
  • udevadm(8) 도움말 페이지
  • kernel-doc 패키지에서 제공하는 /usr/src/kernels/ <kernel_version> /include/uapi/linux/if_arp.h

1.10. 추가 리소스

  • udev 장치 관리자에 대한 자세한 내용은 udev(7) 도움말 페이지를 참조하십시오.

2장. NetworkManager 시작하기

기본적으로 RHEL은 NetworkManager를 사용하여 네트워크 구성 및 연결을 관리합니다.

2.1. NetworkManager 사용의 이점

NetworkManager를 사용할 때의 주요 이점은 다음과 같습니다.

  • 네트워크 구성 및 상태를 쿼리하고 제어할 수 있는 D-Bus를 통해 API 제공. 이러한 방식으로 여러 애플리케이션에서 네트워킹을 확인하고 구성하여 동기화된 최신 네트워킹 상태를 확인할 수 있습니다. 예를 들어 웹 브라우저를 통해 서버를 모니터링하고 구성하는 RHEL 웹 콘솔은 NetworkManager D-BUS 인터페이스를 사용하여 네트워킹 및 Gnome GUI, nmclinm-connection-editor 툴을 구성합니다. 이러한 툴 중 하나에서 생성된 각 변경 사항은 다른 모든 도구에서 탐지됩니다.
  • 네트워크 관리의 용이성: NetworkManager 는 네트워크 연결이 작동하는지 확인합니다. 시스템에 네트워크 구성이 없지만 네트워크 장치가 있음을 감지하면 NetworkManager 는 연결을 제공하기 위해 임시 연결을 만듭니다.
  • 사용자에게 손쉬운 연결 설정 제공: NetworkManagerGUI, nmtui, nmcli.
  • 구성 유연성 지원. 예를 들어, WiFi 인터페이스, NetworkManager 스캔 및 사용 가능한Upgrade 네트워크를 보여줍니다. 인터페이스를 선택할 수 있으며 NetworkManager 는 재부팅 프로세스 후 자동 연결을 제공하는 필요한 자격 증명을 표시합니다. NetworkManager 는 네트워크 별칭, IP 주소, 정적 경로, DNS 정보 및 VPN 연결을 구성하고 많은 연결별 매개 변수를 구성할 수 있습니다. 요구 사항을 반영하도록 구성 옵션을 수정할 수 있습니다.
  • 재부팅 프로세스 후 장치 상태를 유지하고 다시 시작하는 동안 관리 모드로 설정된 인터페이스를 인수합니다.
  • 명시적으로 설정되지 않지만 사용자 또는 다른 네트워크 서비스에 의해 수동으로 제어되는 장치 처리.

2.2. NetworkManager 연결을 관리하는 데 사용할 수 있는 유틸리티 및 애플리케이션의 개요

다음 유틸리티 및 애플리케이션을 사용하여 NetworkManager 연결을 관리할 수 있습니다.

  • nmcli: 연결을 관리하는 명령줄 유틸리티입니다.
  • nmtui: (TUI) 텍스트 기반 사용자 인터페이스(TUI)입니다. 이 애플리케이션을 사용하려면 NetworkManager-tui 패키지를 설치합니다.
  • nm-connection-editor: NetworkManager 관련 작업을 위한 GUI(그래픽 사용자 인터페이스) 이 애플리케이션을 시작하려면 GNOME 세션의 터미널에 nm-connection-editor 를 입력합니다.
  • control-center: 데스크탑 사용자를 위해 GNOME 쉘에서 제공하는 GUI입니다. 이 애플리케이션은 nm-connection-editor 보다 적은 기능을 지원합니다.
  • GNOME 쉘의 네트워크 연결 아이콘: 이 아이콘은 네트워크 연결 상태를 나타내며 사용 중인 연결 유형에 대한 시각적 지표로 사용됩니다.

3장. 특정 장치를 무시하도록 NetworkManager 구성

기본적으로 NetworkManager는 lo (loopback) 장치를 제외한 모든 장치를 관리합니다. 그러나 NetworkManager가 이러한 장치를 무시하는 것을 구성하기 위해 관리되지 않는 특정 장치를 설정할 수 있습니다. 이 설정을 사용하면 예를 들어 스크립트를 사용하여 이러한 장치를 수동으로 관리할 수 있습니다.

3.1. NetworkManager에서 관리되지 않는 방식으로 장치를 영구적으로 구성

인터페이스 이름, MAC 주소 또는 장치 유형과 같은 여러 기준에 따라 장치를 관리되지 않은 상태로 구성할 수 있습니다. 이 절차에서는 NetworkManager에서 enp1s0 인터페이스를 Unmanaged 로 설정하는 방법을 설명합니다.

네트워크 장치를 임시로 비관리형으로 구성하려면 NetworkManager에서 수동으로 장치를 비관리형으로 구성을 참조하십시오.

절차

  1. 선택 사항: 비관리 로 설정하려는 장치를 식별하는 장치 목록을 표시합니다.

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp1s0  ethernet  disconnected  --
    ...
  2. 다음 콘텐츠를 사용하여 /etc/NetworkManager/conf.d/99-unmanaged-devices.conf 파일을 생성합니다.

    [keyfile]
    unmanaged-devices=interface-name:enp1s0

    여러 장치를 관리되지 않음으로 설정하려면 unmanaged-devices 매개변수의 항목을 Semic로 분리합니다.

    [keyfile]
    unmanaged-devices=interface-name:interface_1;interface-name:interface_2;...
  3. NetworkManager 서비스를 다시 로드합니다.

    # systemctl reload NetworkManager

검증 단계

  • 장치 목록을 표시합니다.

    # nmcli device status
    DEVICE  TYPE      STATE      CONNECTION
    enp1s0  ethernet  unmanaged  --
    ...

    enp1s0 장치 옆에 관리되지 않는 상태는 NetworkManager가 이 장치를 관리하지 않음을 나타냅니다.

추가 리소스

  • NetworkManager.conf(5) 도움말 페이지의 장치 목록 형식 섹션입니다.

3.2. NetworkManager에서 일시적으로 관리되지 않는 장치로 구성

인터페이스 이름, MAC 주소 또는 장치 유형과 같은 여러 기준에 따라 장치를 관리되지 않은 상태로 구성할 수 있습니다. 이 절차에서는 NetworkManager에서 enp1s0 인터페이스를 Unmanaged 로 일시적으로 설정하는 방법을 설명합니다.

예를 들어 테스트 목적으로 이 방법을 사용합니다. 네트워크 장치를 관리되지 않음으로 영구적으로 구성하려면 NetworkManager에서 영구적으로 장치를 비관리형으로 구성을 참조하십시오.

절차

  1. 선택 사항: 비관리 로 설정하려는 장치를 식별하는 장치 목록을 표시합니다.

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp1s0  ethernet  disconnected  --
    ...
  2. enp1s0 장치를 Unmanaged 상태로 설정합니다.

    # nmcli device set enp1s0 managed no

검증 단계

  • 장치 목록을 표시합니다.

    # nmcli device status
    DEVICE  TYPE      STATE      CONNECTION
    enp1s0  ethernet  unmanaged  --
    ...

    enp1s0 장치 옆에 관리되지 않는 상태는 NetworkManager가 이 장치를 관리하지 않음을 나타냅니다.

추가 리소스

  • NetworkManager.conf(5) 도움말 페이지의 장치 목록 형식 섹션

4장. 텍스트 기반 인터페이스를 사용하여 네트워크 연결을 관리하려면 nmtui를 사용합니다.

nmtui 애플리케이션은 NetworkManager 의 텍스트 사용자 인터페이스(TUI)입니다. 다음 섹션에서는 nmtui 를 사용하여 네트워크 인터페이스를 구성하는 방법을 설명합니다.

참고

nmtui 애플리케이션에서는 모든 연결 유형을 지원하지 않습니다. 특히 802.1X 인증이 필요한 VPN 연결 또는 이더넷 연결을 추가하거나 수정할 수 없습니다.

4.1. nmtui 유틸리티 시작

이 절차에서는 NetworkManager 텍스트 사용자 인터페이스인 nmtui 를 시작하는 방법을 설명합니다.

사전 요구 사항

  • NetworkManager-tui 패키지가 설치됩니다.

절차

  1. nmtui 를 시작하려면 다음을 입력합니다.

    # nmtui
    nmtui 옵션 선택
  2. 탐색하려면 다음을 수행합니다.

    • 커서를 사용하거나 Tab 을 눌러 단계별로 이동하고 Shift+탭을 눌러 옵션을 단계별로 이동합니다.
    • Enter 를 사용하여 옵션을 선택합니다.
    • 스페이스 표시줄을 사용하여 확인란을 전환합니다.

4.2. nmtui를 사용하여 연결 프로필 추가

nmtui 애플리케이션은 NetworkManager에 텍스트 사용자 인터페이스를 제공합니다. 다음 절차에서는 새 연결 프로필을 추가하는 방법을 설명합니다.

사전 요구 사항

  • NetworkManager-tui 패키지가 설치됩니다.

절차

  1. NetworkManager 텍스트 사용자 인터페이스 유틸리티를 시작합니다.

    # nmtui
  2. Edit a connection 메뉴 항목을 선택하고 Enter 키를 누릅니다.
  3. 추가 버튼을 선택하고 Enter 를 누릅니다.
  4. 이더넷 을 선택하고 Enter 를 누릅니다.
  5. 연결 세부 정보를 사용하여 필드를 채웁니다.

    nmtui에 연결 추가
  6. 확인 을 선택하여 변경 내용을 저장합니다.Select OK to save the changes.
  7. Back (뒤로)을 선택하여 메인 메뉴로 돌아갑니다.
  8. connecting a connection 을 선택하고 Enter 키를 누릅니다.
  9. 새 연결 항목을 선택하고 Enter 를 눌러 연결을 활성화합니다.
  10. 메인 메뉴로 돌아가려면 Back 을 선택합니다.
  11. Quit 을 선택합니다.

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp1s0      ethernet  connected  Example-Connection
  2. 연결 프로필의 모든 설정을 표시하려면 다음을 수행합니다.

    # nmcli connection show Example-Connection
    connection.id:              Example-Connection
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp1s0
    ...

    디스크의 구성이 장치의 구성과 일치하지 않는 경우 NetworkManager를 시작하거나 다시 시작하면 장치의 구성을 반영하는 메모리 내 연결이 생성됩니다. 자세한 내용과 이 문제를 방지하는 방법에 대한 자세한 내용은 NetworkManager 서비스를 다시 시작한 후 NetworkManager 서비스를 다시 시작한 후 연결 중복 을 참조하십시오.

    추가 리소스

4.3. nmtui를 사용하여 수정된 연결에 변경 사항 적용

nmtui 연결을 수정한 후 연결을 다시 활성화해야 합니다. nmtui 의 연결을 반응하면 일시적으로 연결을 비활성화합니다.

사전 요구 사항

  • 연결 프로필에 자동 연결 설정이 활성화되지 않았습니다.

절차

  1. 메인 메뉴에서 upgrade a connection 메뉴 항목을 선택합니다.

    nmtuiivate a Connection
  2. 수정된 연결을 선택합니다.
  3. 오른쪽에서 비활성화 버튼을 선택하고 Enter 키를 누릅니다.

    nmtui Modified 연결을 비활성화
  4. 연결을 다시 선택합니다.
  5. 오른쪽에서Vault 버튼을 선택하고 Enter 키를 누릅니다.

    nmtuiivate a Modified Connection

5장. nmcli 시작하기

이 섹션에서는 nmcli 유틸리티에 대한 일반 정보를 설명합니다.

5.1. nmcli의 다양한 출력 형식

nmcli 유틸리티는 nmcli 명령의 출력을 수정하기 위해 다양한 옵션을 지원합니다. 이러한 옵션을 사용하면 필요한 정보만 표시할 수 있습니다. 이렇게 하면 스크립트의 출력을 간단하게 처리할 수 있습니다.

기본적으로 nmcli 유틸리티는 표와 같은 형식으로 출력을 표시합니다.

# nmcli device
DEVICE  TYPE      STATE      CONNECTION
enp1s0  ethernet  connected  enp1s0
lo      loopback  unmanaged  --

f 옵션을 사용하면 특정 열을 사용자 지정 순서로 표시할 수 있습니다. 예를 들어 DEVICESTATE 열만 표시하려면 다음을 입력합니다.

# nmcli -f DEVICE,STATE device
DEVICE  STATE
enp1s0  connected
lo      unmanaged

t 옵션을 사용하면 콜론으로 구분된 형식으로 출력의 개별 필드를 표시할 수 있습니다.

# nmcli -t device
enp1s0:ethernet:connected:enp1s0
lo:loopback:unmanaged:

스크립트의 출력을 처리할 때 -f-t 를 결합하여 콜론으로 구분된 형식으로 특정 필드만 표시할 수 있습니다.

# nmcli -f DEVICE,STATE -t device
enp1s0:connected
lo:unmanaged

5.2. nmcli에서 탭 완료 사용

bash-completion 패키지가 호스트에 설치된 경우 nmcli 유틸리티는 탭 완료를 지원합니다. 이를 통해 자동 완성 옵션 이름을 지정하고 가능한 옵션과 값을 식별할 수 있습니다.

예를 들어 nmcli con 를 입력하고 Tab 을 누른 경우 쉘은 nmcli 연결 로 명령을 자동으로 완료합니다.

완료 시 입력한 옵션 또는 값은 고유해야 합니다. 고유하지 않은 경우 nmcli 는 모든 가능성을 표시합니다. 예를 들어 nmcli connection d 를 입력하고 Tab 을 누른 경우 명령은 가능한 옵션으로 command deletedown 명령을 표시합니다.

탭 완료를 사용하여 연결 프로필에서 설정할 수 있는 모든 속성을 표시할 수도 있습니다. 예를 들어 nmcli connection modify connection_name 을 입력하고 Tab 을 눌러 사용 가능한 속성의 전체 목록을 표시합니다.

5.3. 자주 nmcli 명령

다음은 자주 사용되는 nmcli 명령에 대한 개요입니다.

  • 목록 연결 프로필을 표시하려면 다음을 입력합니다.

    # nmcli connection show
    NAME    UUID                                  TYPE      DEVICE
    enp1s0  45224a39-606f-4bf7-b3dc-d088236c15ee  ethernet  enp1s0
  • 특정 연결 프로필의 설정을 표시하려면 다음을 입력합니다.

    # nmcli connection show connection_name
    connection.id:             enp1s0
    connection.uuid:           45224a39-606f-4bf7-b3dc-d088236c15ee
    connection.stable-id:      --
    connection.type:           802-3-ethernet
    ...
  • 연결 속성을 수정하려면 다음을 입력합니다.

    # nmcli connection modify connection_name property value

    여러 속성 조합을 명령에 전달하는 경우 단일 명령을 사용하여 여러속성 을 수정할 수 있습니다.

  • 네트워크 장치 목록, 해당 상태 및 장치를 사용하는 연결 프로필을 표시하려면 다음을 입력합니다.

    # nmcli device
    DEVICE  TYPE      STATE         CONNECTION
    enp1s0  ethernet  connected     enp1s0
    enp8s0  ethernet  disconnected  --
    enp7s0  ethernet  unmanaged     --
    ...
  • 연결을 활성화하려면 다음을 입력합니다.

    # nmcli connection up connection_name
  • 연결을 비활성화하려면 다음을 입력합니다.

    # nmcli connection down connection_name

6장. 이더넷 연결 구성

이 섹션에서는 고정 및 동적 IP 주소로 이더넷 연결을 구성하는 방법에 대해 설명합니다.

6.1. nmcli를 사용하여 정적 이더넷 연결 구성

다음 절차에서는 nmcli 유틸리티를 사용하여 다음 설정으로 이더넷 연결을 추가하는 방법을 설명합니다.

  • 정적 IPv4 주소 - 192.0.2.1/24 서브넷 마스크
  • 정적 IPv6 주소 - 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이 - 192.0.2.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 - 192.0.2.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com

절차

  1. 이더넷 연결을 위해 새 NetworkManager 연결 프로필을 추가합니다.

    # nmcli connection add con-name Example-Connection ifname enp7s0 type ethernet

    추가 단계는 생성한 Example-Connection 연결 프로필을 수정합니다.

  2. IPv4 주소를 설정합니다.

    # nmcli connection modify Example-Connection ipv4.addresses 192.0.2.1/24
  3. IPv6 주소를 설정합니다.

    # nmcli connection modify Example-Connection ipv6.addresses 2001:db8:1::1/64
  4. IPv4 및 IPv6 연결 방법을 manual 로 설정합니다.

    # nmcli connection modify Example-Connection ipv4.method manual
    # nmcli connection modify Example-Connection ipv6.method manual
  5. IPv4 및 IPv6 기본 게이트웨이를 설정합니다.

    # nmcli connection modify Example-Connection ipv4.gateway 192.0.2.254
    # nmcli connection modify Example-Connection ipv6.gateway 2001:db8:1::fffe
  6. IPv4 및 IPv6 DNS 서버 주소를 설정합니다.

    # nmcli connection modify Example-Connection ipv4.dns "192.0.2.200"
    # nmcli connection modify Example-Connection ipv6.dns "2001:db8:1::ffbb"

    여러 DNS 서버를 설정하려면 공백으로 구분하여 따옴표로 묶습니다.

  7. IPv4 및 IPv6 연결에 대한 DNS 검색 도메인을 설정합니다.

    # nmcli connection modify Example-Connection ipv4.dns-search example.com
    # nmcli connection modify Example-Connection ipv6.dns-search example.com
  8. 연결 프로필을 활성화합니다.

    # nmcli connection up Example-Connection
    Connection successfully activated (D-Bus active path: /org/freedesktop/NetworkManager/ActiveConnection/13)

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp7s0      ethernet  connected  Example-Connection
  2. 연결 프로필의 모든 설정을 표시하려면 다음을 수행합니다.

    # nmcli connection show Example-Connection
    connection.id:              Example-Connection
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp7s0
    ...
  3. ping 유틸리티를 사용하여 이 호스트에서 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    • 동일한 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 192.0.2.3

      IPv6의 경우:

      # ping 2001:db8:1::2

      명령이 실패하면 IP 및 서브넷 설정을 확인합니다.

    • 원격 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 198.162.3.1

      IPv6의 경우:

      # ping 2001:db8:2::1
      • 명령이 실패하면 기본 게이트웨이를 ping하여 설정을 확인합니다.

        IPv4의 경우:

        # ping 192.0.2.254

        IPv6의 경우:

        # ping 2001:db8:1::fff3
  4. 호스트 유틸리티를 사용하여 이름 확인이 작동하는지 확인합니다. 예를 들면 다음과 같습니다.

    # host client.example.com

    명령이 연결 시간이 초과 되거나 서버에 도달할 수 없는 것과 같은 오류를 반환하는 경우 DNS 설정을 확인합니다.

문제 해결 단계

  1. 연결에 실패하거나 네트워크 인터페이스가 up 및 down 상태 간에 전환되는 경우:

    • 네트워크 케이블이 호스트와 스위치에 연결되어 있는지 확인합니다.
    • 이 호스트에만 링크 오류가 있는지 또는 서버가 연결된 동일한 스위치에 연결된 다른 호스트에도 연결 실패가 있는지 확인합니다.
    • 네트워크케이블 및 네트워크 인터페이스가 예상대로 작동하는지 확인합니다. 하드웨어 진단 단계를 수행하고 결함 variables 및 네트워크 인터페이스 카드를 교체합니다.
    • 디스크의 구성이 장치의 구성과 일치하지 않는 경우 NetworkManager를 시작하거나 다시 시작하면 장치의 구성을 반영하는 메모리 내 연결이 생성됩니다. 자세한 내용과 이 문제를 방지하는 방법에 대한 자세한 내용은 NetworkManager 서비스를 다시 시작한 후 NetworkManager 서비스를 다시 시작한 후 연결 중복을참조하십시오.

6.2. nmcli 대화형 편집기를 사용하여 정적 이더넷 연결 구성

다음 절차에서는 nmcli 대화형 모드를 사용하여 다음 설정으로 이더넷 연결을 추가하는 방법을 설명합니다.

  • 정적 IPv4 주소 - 192.0.2.1/24 서브넷 마스크
  • 정적 IPv6 주소 - 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이 - 192.0.2.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 - 192.0.2.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com

절차

  1. 이더넷 연결을 위한 새 NetworkManager 연결 프로필을 추가하고 대화형 모드를 시작하려면 다음을 입력합니다.

    # nmcli connection edit type ethernet con-name Example-Connection
  2. 네트워크 인터페이스를 설정합니다.

    nmcli> set connection.interface-name enp7s0
  3. IPv4 주소를 설정합니다.

    nmcli> set ipv4.addresses 192.0.2.1/24
  4. IPv6 주소를 설정합니다.

    nmcli> set ipv6.addresses 2001:db8:1::1/64
  5. IPv4 및 IPv6 연결 방법을 manual 로 설정합니다.

    nmcli> set ipv4.method manual
    nmcli> set ipv6.method manual
  6. IPv4 및 IPv6 기본 게이트웨이를 설정합니다.

    nmcli> set ipv4.gateway 192.0.2.254
    nmcli> set ipv6.gateway 2001:db8:1::fffe
  7. IPv4 및 IPv6 DNS 서버 주소를 설정합니다.

    nmcli> set ipv4.dns 192.0.2.200
    nmcli> set ipv6.dns 2001:db8:1::ffbb

    여러 DNS 서버를 설정하려면 공백으로 구분하여 따옴표로 묶습니다.

  8. IPv4 및 IPv6 연결에 대한 DNS 검색 도메인을 설정합니다.

    nmcli> set ipv4.dns-search example.com
    nmcli> set ipv6.dns-search example.com
  9. 연결을 저장하고 활성화합니다.

    nmcli> save persistent
    Saving the connection with 'autoconnect=yes'. That might result in an immediate activation of the connection.
    Do you still want to save? (yes/no) [yes] yes
  10. 대화형 모드를 종료합니다.

    nmcli> quit

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp7s0      ethernet  connected  Example-Connection
  2. 연결 프로필의 모든 설정을 표시하려면 다음을 수행합니다.

    # nmcli connection show Example-Connection
    connection.id:              Example-Connection
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp7s0
    ...
  3. ping 유틸리티를 사용하여 이 호스트에서 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    • 동일한 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 192.0.2.3

      IPv6의 경우:

      # ping 2001:db8:1::2

      명령이 실패하면 IP 및 서브넷 설정을 확인합니다.

    • 원격 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 198.162.3.1

      IPv6의 경우:

      # ping 2001:db8:2::1
      • 명령이 실패하면 기본 게이트웨이를 ping하여 설정을 확인합니다.

        IPv4의 경우:

        # ping 192.0.2.254

        IPv6의 경우:

        # ping 2001:db8:1::fff3
  4. 호스트 유틸리티를 사용하여 이름 확인이 작동하는지 확인합니다. 예를 들면 다음과 같습니다.

    # host client.example.com

    명령이 연결 시간이 초과 되거나 서버에 도달할 수 없는 것과 같은 오류를 반환하는 경우 DNS 설정을 확인합니다.

문제 해결 단계

  1. 연결에 실패하거나 네트워크 인터페이스가 up 및 down 상태 간에 전환되는 경우:

    • 네트워크 케이블이 호스트와 스위치에 연결되어 있는지 확인합니다.
    • 이 호스트에만 링크 오류가 있는지 또는 서버가 연결된 동일한 스위치에 연결된 다른 호스트에도 연결 실패가 있는지 확인합니다.
    • 네트워크케이블 및 네트워크 인터페이스가 예상대로 작동하는지 확인합니다. 하드웨어 진단 단계를 수행하고 결함 variables 및 네트워크 인터페이스 카드를 교체합니다.

디스크의 구성이 장치의 구성과 일치하지 않는 경우 NetworkManager를 시작하거나 다시 시작하면 장치의 구성을 반영하는 메모리 내 연결이 생성됩니다. 자세한 내용과 이 문제를 방지하는 방법에 대한 자세한 내용은 NetworkManager 서비스를 다시 시작한 후 NetworkManager 서비스를 다시 시작한 후 연결 중복을참조하십시오.

추가 리소스

6.3. nmstatectl을 사용하여 정적 이더넷 연결 구성

이 절차에서는 nmstatectl 유틸리티를 사용하여 다음 설정으로 enp7s0 장치에 대한 이더넷 연결을 구성하는 방법을 설명합니다.

  • 정적 IPv4 주소 - 192.0.2.1/24 서브넷 마스크
  • /64 서브넷 마스크가 포함된 정적 IPv6 주소 - 2001:db8:1::1
  • IPv4 기본 게이트웨이 - 192.0.2.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 - 192.0.2.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com

nmstatectl 유틸리티를 사용하면 구성을 설정한 후 구성 파일과 결과가 일치합니다. 문제가 발생하면 nmstatectl 에서 변경 사항을 자동으로 롤백하여 시스템을 잘못된 상태로 유지하지 않습니다.

이 절차에서는 YAML 형식으로 인터페이스 구성을 정의합니다. 또는 JSON 형식으로 구성을 지정할 수도 있습니다.

사전 요구 사항

  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-ethernet-profile.yml )을 만듭니다.

    ---
    interfaces:
    - name: enp7s0
      type: ethernet
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: enp7s0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: enp7s0
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-ethernet-profile.yml

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp7s0      ethernet  connected  enp7s0
  2. 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show enp7s0
    connection.id:              enp7s0
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp7s0
    ...
  3. 연결 설정을 YAML 형식으로 표시합니다.

    # nmstatectl show enp7s0

추가 리소스

  • nmstatectl(8) 도움말 페이지
  • /usr/share/doc/nmstate/examples/

6.4. 인터페이스 이름으로 RHEL 시스템 역할을 사용하여 정적 이더넷 연결 구성

이 절차에서는 Ansible 플레이북을 실행하여 다음 설정으로 enp7s0 인터페이스에 대한 이더넷 연결을 원격으로 추가하는 데 네트워킹 RHEL 시스템 역할을 사용하는 방법을 설명합니다.

  • 정적 IPv4 주소 - 192.0.2.1/24 서브넷 마스크
  • 정적 IPv6 주소 - 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이 - 192.0.2.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 - 192.0.2.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com

Ansible 제어 노드에서 다음 절차를 실행합니다.

사전 요구 사항

  • ansible-corerhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 이 사용자는 관리 노드에 대한 적절한 sudo 권한이 있습니다.
  • 호스트는 NetworkManager를 사용하여 네트워크를 구성합니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/ethernet-static-IP.yml 플레이북을 생성합니다.

    ---
    - name: Configure an Ethernet connection with static IP
      hosts: node.example.com
      become: true
      tasks:
      - include_role:
          name: rhel-system-roles.network
    
        vars:
          network_connections:
            - name: enp7s0
              interface_name: enp7s0
              type: ethernet
              autoconnect: yes
              ip:
                address:
                  - 192.0.2.1/24
                  - 2001:db8:1::1/64
                gateway4: 192.0.2.254
                gateway6: 2001:db8:1::fffe
                dns:
                  - 192.0.2.200
                  - 2001:db8:1::ffbb
                dns_search:
                  - example.com
              state: up
  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/ethernet-static-IP.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/ethernet-static-IP.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md
  • ansible-playbook(1) 도움말 페이지

6.5. 장치 경로가 있는 RHEL 시스템 역할을 사용하여 정적 이더넷 연결 구성

이 절차에서는 Ansible 플레이북을 실행하여 특정 장치 경로와 일치하는 장치의 고정 IP 주소와 함께 이더넷 연결을 원격으로 추가하는 데 RHEL 시스템 역할을 사용하는 방법을 설명합니다.

다음 명령을 사용하여 장치 경로를 식별할 수 있습니다.

# udevadm info /sys/class/net/<device_name> | grep ID_PATH=

이 절차에서는 PCI ID 0000:00:0[1-3].0 표현식과 일치하는 장치로 다음 설정을 설정하지만 0000:00:02.0 은 아닙니다.

  • 정적 IPv4 주소 - 192.0.2.1/24 서브넷 마스크
  • 정적 IPv6 주소 - 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이 - 192.0.2.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 - 192.0.2.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com

Ansible 제어 노드에서 다음 절차를 실행합니다.

사전 요구 사항

  • ansible-corerhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 이 사용자는 관리 노드에 대한 적절한 sudo 권한이 있습니다.
  • 호스트는 NetworkManager를 사용하여 네트워크를 구성합니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/ethernet-dynamic-IP.yml 플레이북을 만듭니다.

    ---
    - name: Configure an Ethernet connection with dynamic IP
      hosts: node.example.com
      become: true
      tasks:
      - include_role:
          name: rhel-system-roles.network
    
        vars:
          network_connections:
            - name: example
              match:
                path:
                  - pci-0000:00:0[1-3].0
                  - &!pci-0000:00:02.0
              type: ethernet
              autoconnect: yes
              ip:
                address:
                  - 192.0.2.1/24
                  - 2001:db8:1::1/64
                gateway4: 192.0.2.254
                gateway6: 2001:db8:1::fffe
                dns:
                  - 192.0.2.200
                  - 2001:db8:1::ffbb
                dns_search:
                  - example.com
              state: up

    이 예제의 match 매개 변수는 Ansible이 PCI ID 0000:00:0[1-3].0 과 일치하는 장치에 플레이를 적용하지만 0000:00:00 :02.0이 아닌 장치에 플레이를 적용하도록 정의합니다. 사용할 수 있는 특수 수정자 및 와일드카드에 대한 자세한 내용은 /usr/share/ansible/roles/rhel-system-roles.network/README.md 파일에서 일치하는 매개변수 설명을 참조하십시오.

  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/ethernet-dynamic-IP.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/ethernet-dynamic-IP.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • ansible-playbook(1) 도움말 페이지

6.6. nmcli를 사용하여 동적 이더넷 연결 구성

이 절차에서는 nmcli 유틸리티를 사용하여 동적 이더넷 연결을 추가하는 방법을 설명합니다. 이 설정을 통해 NetworkManager는 DHCP 서버에서 이 연결에 대한 IP 설정을 요청합니다.

사전 요구 사항

  • DHCP 서버는 네트워크에서 사용할 수 있습니다.

절차

  1. 이더넷 연결을 위해 새 NetworkManager 연결 프로필을 추가합니다.

    # nmcli connection add con-name Example-Connection ifname enp7s0 type ethernet
  2. 필요한 경우 Example-Connection 프로필을 사용할 때 호스트 이름 NetworkManager가 DHCP 서버로 보냅니다.

    # nmcli connection modify Example-Connection ipv4.dhcp-hostname Example ipv6.dhcp-hostname Example
  3. 필요한 경우 Example-Connection 프로필을 사용할 때 클라이언트 ID NetworkManager가 IPv4 DHCP 서버로 보냅니다.

    # nmcli connection modify Example-Connection ipv4.dhcp-client-id client-ID

    IPv6에 대해 dhcp-client-id 매개 변수가 없습니다. IPv6에 대한 식별자를 생성하려면 dhclient 서비스를 구성합니다.

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp7s0      ethernet  connected  Example-Connection
  2. 연결 프로필의 모든 설정을 표시하려면 다음을 수행합니다.

    # nmcli connection show Example-Connection
    connection.id:              Example-Connection
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp7s0
    ...
  3. ping 유틸리티를 사용하여 이 호스트에서 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    • 동일한 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 192.0.2.3

      IPv6의 경우:

      # ping 2001:db8:1::2

      명령이 실패하면 IP 및 서브넷 설정을 확인합니다.

    • 원격 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 198.162.3.1

      IPv6의 경우:

      # ping 2001:db8:2::1
      • 명령이 실패하면 기본 게이트웨이를 ping하여 설정을 확인합니다.

        IPv4의 경우:

        # ping 192.0.2.254

        IPv6의 경우:

        # ping 2001:db8:1::fff3
  4. 호스트 유틸리티를 사용하여 이름 확인이 작동하는지 확인합니다. 예를 들면 다음과 같습니다.

    # host client.example.com

    명령이 연결 시간이 초과 되거나 서버에 도달할 수 없는 것과 같은 오류를 반환하는 경우 DNS 설정을 확인합니다.

추가 리소스

6.7. nmcli 대화형 편집기를 사용하여 동적 이더넷 연결 구성

이 절차에서는 nmcli 유틸리티의 대화형 편집기를 사용하여 동적 이더넷 연결을 추가하는 방법을 설명합니다. 이 설정을 통해 NetworkManager는 DHCP 서버에서 이 연결에 대한 IP 설정을 요청합니다.

사전 요구 사항

  • DHCP 서버는 네트워크에서 사용할 수 있습니다.

절차

  1. 이더넷 연결을 위한 새 NetworkManager 연결 프로필을 추가하고 대화형 모드를 시작하려면 다음을 입력합니다.

    # nmcli connection edit type ethernet con-name Example-Connection
  2. 네트워크 인터페이스를 설정합니다.

    nmcli> set connection.interface-name enp7s0
  3. 필요한 경우 Example-Connection 프로필을 사용할 때 호스트 이름 NetworkManager가 DHCP 서버로 보냅니다.

    nmcli> set ipv4.dhcp-hostname Example
    nmcli> set ipv6.dhcp-hostname Example
  4. 필요한 경우 Example-Connection 프로필을 사용할 때 클라이언트 ID NetworkManager가 IPv4 DHCP 서버로 보냅니다.

    nmcli> set ipv4.dhcp-client-id client-ID

    IPv6에 대해 dhcp-client-id 매개 변수가 없습니다. IPv6에 대한 식별자를 생성하려면 dhclient 서비스를 구성합니다.

  5. 연결을 저장하고 활성화합니다.

    nmcli> save persistent
    Saving the connection with 'autoconnect=yes'. That might result in an immediate activation of the connection.
    Do you still want to save? (yes/no) [yes] yes
  6. 대화형 모드를 종료합니다.

    nmcli> quit

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp7s0      ethernet  connected  Example-Connection
  2. 연결 프로필의 모든 설정을 표시하려면 다음을 수행합니다.

    # nmcli connection show Example-Connection
    connection.id:              Example-Connection
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp7s0
    ...
  3. ping 유틸리티를 사용하여 이 호스트에서 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    • 동일한 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 192.0.2.3

      IPv6의 경우:

      # ping 2001:db8:1::2

      명령이 실패하면 IP 및 서브넷 설정을 확인합니다.

    • 원격 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 198.162.3.1

      IPv6의 경우:

      # ping 2001:db8:2::1
      • 명령이 실패하면 기본 게이트웨이를 ping하여 설정을 확인합니다.

        IPv4의 경우:

        # ping 192.0.2.254

        IPv6의 경우:

        # ping 2001:db8:1::fff3
  4. 호스트 유틸리티를 사용하여 이름 확인이 작동하는지 확인합니다. 예를 들면 다음과 같습니다.

    # host client.example.com

    명령이 연결 시간이 초과 되거나 서버에 도달할 수 없는 것과 같은 오류를 반환하는 경우 DNS 설정을 확인합니다.

추가 리소스

6.8. nmstatectl을 사용하여 동적 이더넷 연결 구성

이 절차에서는 nmstatectl 유틸리티를 사용하여 enp7s0 장치에 동적 이더넷을 추가하는 방법을 설명합니다. 이 절차의 설정을 통해 NetworkManager는 DHCP 서버에서 이 연결에 대한 IP 설정을 요청합니다.

nmstatectl 유틸리티를 사용하면 구성을 설정한 후 구성 파일과 결과가 일치합니다. 문제가 발생하면 nmstatectl 에서 변경 사항을 자동으로 롤백하여 시스템을 잘못된 상태로 유지하지 않습니다.

이 절차에서는 YAML 형식으로 인터페이스 구성을 정의합니다. 또는 JSON 형식으로 구성을 지정할 수도 있습니다.

사전 요구 사항

  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-ethernet-profile.yml )을 만듭니다.

    ---
    interfaces:
    - name: enp7s0
      type: ethernet
      state: up
      ipv4:
        enabled: true
        auto-dns: true
        auto-gateway: true
        auto-routes: true
        dhcp: true
      ipv6:
        enabled: true
        auto-dns: true
        auto-gateway: true
        auto-routes: true
        autoconf: true
        dhcp: true
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-ethernet-profile.yml

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp7s0      ethernet  connected  enp7s0
  2. 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show enp7s0
    connection.id:              enp7s0_
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp7s0
    ...
  3. 연결 설정을 YAML 형식으로 표시합니다.

    # nmstatectl show enp7s0

추가 리소스

  • nmstatectl(8) 도움말 페이지
  • /usr/share/doc/nmstate/examples/

6.9. 인터페이스 이름으로 RHEL 시스템 역할을 사용하여 동적 이더넷 연결 구성

이 절차에서는 Ansible 플레이북을 실행하여 enp7s0 인터페이스에 대해 동적 이더넷 연결을 원격으로 추가하는 데 RHEL 시스템 역할을 사용하는 방법을 설명합니다. 이 설정을 사용하면 네트워크 연결에서 DHCP 서버에서 이 연결에 대한 IP 설정을 요청합니다. Ansible 제어 노드에서 다음 절차를 실행합니다.

사전 요구 사항

  • DHCP 서버는 네트워크에서 사용할 수 있습니다.
  • ansible-corerhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 이 사용자는 관리 노드에 대한 적절한 sudo 권한이 있습니다.
  • 호스트는 NetworkManager를 사용하여 네트워크를 구성합니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/ethernet-dynamic-IP.yml 플레이북을 만듭니다.

    ---
    - name: Configure an Ethernet connection with dynamic IP
      hosts: node.example.com
      become: true
      tasks:
      - include_role:
          name: rhel-system-roles.network
    
        vars:
          network_connections:
            - name: enp7s0
              interface_name: enp7s0
              type: ethernet
              autoconnect: yes
              ip:
                dhcp4: yes
                auto6: yes
              state: up
  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/ethernet-dynamic-IP.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/ethernet-dynamic-IP.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • ansible-playbook(1) 도움말 페이지

6.10. 장치 경로가 있는 RHEL 시스템 역할을 사용하여 동적 이더넷 연결 구성

이 절차에서는 Ansible 플레이북을 실행하여 특정 장치 경로와 일치하는 장치에 대한 동적 이더넷 연결을 원격으로 추가하는 데 RHEL 시스템 역할을 사용하는 방법을 설명합니다. 동적 IP 설정을 사용하면 네트워크 연결이 DHCP 서버에서 이 연결에 대한 IP 설정을 요청합니다. Ansible 제어 노드에서 다음 절차를 실행합니다.

다음 명령을 사용하여 장치 경로를 식별할 수 있습니다.

# udevadm info /sys/class/net/<device_name> | grep ID_PATH=

사전 요구 사항

  • DHCP 서버는 네트워크에서 사용할 수 있습니다.
  • ansible-corerhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 이 사용자는 관리 노드에 대한 적절한 sudo 권한이 있습니다.
  • 호스트는 NetworkManager를 사용하여 네트워크를 구성합니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/ethernet-dynamic-IP.yml 플레이북을 만듭니다.

    ---
    - name: Configure an Ethernet connection with dynamic IP
      hosts: node.example.com
      become: true
      tasks:
      - include_role:
          name: rhel-system-roles.network
    
        vars:
          network_connections:
            - name: example
              match:
                path:
                  - pci-0000:00:0[1-3].0
                  - &!pci-0000:00:02.0
              type: ethernet
              autoconnect: yes
              ip:
                dhcp4: yes
                auto6: yes
              state: up

    이 예제의 match 매개 변수는 Ansible이 PCI ID 0000:00:0[1-3].0 과 일치하는 장치에 플레이를 적용하지만 0000:00:00 :02.0이 아닌 장치에 플레이를 적용하도록 정의합니다. 사용할 수 있는 특수 수정자 및 와일드카드에 대한 자세한 내용은 /usr/share/ansible/roles/rhel-system-roles.network/README.md 파일에서 일치하는 매개변수 설명을 참조하십시오.

  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/ethernet-dynamic-IP.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/ethernet-dynamic-IP.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • ansible-playbook(1) 도움말 페이지

6.11. Control-center를 사용하여 이더넷 연결 구성

이더넷 연결은 실제 또는 가상 머신에서 가장 자주 사용되는 연결 유형입니다. 이 섹션에서는 GNOME control-center 에서 이 연결 유형을 구성하는 방법을 설명합니다.

control-centernm-connection-editor 애플리케이션 또는 nmcli 유틸리티만큼 많은 구성 옵션을 지원하지 않습니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 장치는 서버의 구성에 있습니다.
  • GNOME이 설치되어 있어야 합니다.

절차

  1. 슈퍼 키를 누르고 설정 을 입력한 후 Enter 키를 누릅니다.
  2. 왼쪽 탐색에서 Network 를 선택합니다.
  3. Wired 항목 옆에 있는 + 버튼을 클릭하여 새 프로필을 생성합니다.
  4. 선택 사항: Identity (ID) 탭에서 연결의 이름을 설정합니다.
  5. IPv4 탭에서 IPv4 설정을 구성합니다. 예를 들어 수동 방법을 선택하고 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 설정합니다.

    IPv4 설정 제어 센터 RHEL9
  6. IPv6 탭에서 IPv6 설정을 구성합니다. 예를 들어 수동 방법을 선택하고 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 설정합니다.

    IPv6 설정 제어 센터 RHEL9
  7. 추가 버튼을 클릭하여 연결을 저장합니다. GNOME control-center 는 연결을 자동으로 활성화합니다.

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp7s0      ethernet  connected  Example-Connection
  2. 연결 프로필의 모든 설정을 표시하려면 다음을 수행합니다.

    # nmcli connection show Example-Connection
    connection.id:              Example-Connection
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp7s0
    ...
  3. ping 유틸리티를 사용하여 이 호스트에서 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    • 동일한 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 192.0.2.3

      IPv6의 경우:

      # ping 2001:db8:1::2

      명령이 실패하면 IP 및 서브넷 설정을 확인합니다.

    • 원격 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 198.162.3.1

      IPv6의 경우:

      # ping 2001:db8:2::1
      • 명령이 실패하면 기본 게이트웨이를 ping하여 설정을 확인합니다.

        IPv4의 경우:

        # ping 192.0.2.254

        IPv6의 경우:

        # ping 2001:db8:1::fffe
  4. 호스트 유틸리티를 사용하여 이름 확인이 작동하는지 확인합니다. 예를 들면 다음과 같습니다.

    # host client.example.com

    명령이 연결 시간이 초과 되거나 서버에 도달할 수 없는 것과 같은 오류를 반환하는 경우 DNS 설정을 확인합니다.

문제 해결 단계

  1. 연결에 실패하거나 네트워크 인터페이스가 up 및 down 상태 간에 전환되는 경우:

    • 네트워크 케이블이 호스트와 스위치에 연결되어 있는지 확인합니다.
    • 이 호스트에만 링크 오류가 있는지 또는 서버가 연결된 동일한 스위치에 연결된 다른 호스트에도 연결 실패가 있는지 확인합니다.
    • 네트워크케이블 및 네트워크 인터페이스가 예상대로 작동하는지 확인합니다. 하드웨어 진단 단계를 수행하고 결함 variables 및 네트워크 인터페이스 카드를 교체합니다.

추가 리소스

6.12. nm-connection-editor를 사용하여 이더넷 연결 구성

이더넷 연결은 실제 또는 가상 서버에서 가장 자주 사용되는 연결 유형입니다. 이 섹션에서는 nm-connection-editor 애플리케이션을 사용하여 이 연결 유형을 구성하는 방법을 설명합니다.

사전 요구 사항

  • 물리적 또는 가상 이더넷 장치는 서버의 구성에 있습니다.
  • GNOME이 설치되어 있어야 합니다.

절차

  1. 터미널을 열고 다음을 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. 이더넷 연결 유형을 선택하고 생성을 클릭합니다.
  4. 일반 탭에서 다음을 수행합니다.

    1. 시스템이 부팅되거나 NetworkManager 서비스를 다시 시작할 때 이 연결을 자동으로 활성화하려면 다음을 수행합니다.

      1. 우선 순위가 지정된 연결을 자동으로 선택합니다.
      2. 선택 사항: 우선순위를 사용하여 자동으로 Connect 옆에 있는 우선순위 값을 변경합니다.

        동일한 장치에 여러 연결 프로필이 있는 경우 NetworkManager는 프로필을 하나만 활성화합니다. 기본적으로 NetworkManager는 자동 연결이 활성화된 마지막 사용된 프로필을 활성화합니다. 그러나 프로필에서 우선순위 값을 설정하면 NetworkManager는 우선 순위가 가장 높은 프로필을 활성화합니다.

    2. 연결 프로필을 생성한 사용자만 프로필을 사용할 수 있어야 하는 경우 모든 사용자가 이 네트워크에 연결할 수 있는 확인란을 선택합니다.

    ethernet connection general tab

  5. 이더넷 탭에서 장치를 선택하고 선택적으로 이더넷 관련 설정을 추가로 선택합니다. ethernet connection settings
  6. IPv4 Settings 탭에서 IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 설정합니다. IPv4 settings nm connection editor
  7. IPv6 Settings 탭에서 IPv6 설정을 구성합니다. 예를 들어 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 설정합니다. IPv6 settings nm connection editor
  8. 연결을 저장합니다.
  9. nm-connection-editor 를 닫습니다.

검증 단계

  1. ping 유틸리티를 사용하여 이 호스트에서 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    • 동일한 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 192.0.2.3

      IPv6의 경우:

      # ping 2001:db8:1::2

      명령이 실패하면 IP 및 서브넷 설정을 확인합니다.

    • 원격 서브넷의 IP 주소를 ping합니다.

      IPv4의 경우:

      # ping 198.162.3.1

      IPv6의 경우:

      # ping 2001:db8:2::1
      • 명령이 실패하면 기본 게이트웨이를 ping하여 설정을 확인합니다.

        IPv4의 경우:

        # ping 192.0.2.254

        IPv6의 경우:

        # ping 2001:db8:1::fff3
    • 호스트 유틸리티를 사용하여 이름 확인이 작동하는지 확인합니다. 예를 들면 다음과 같습니다.

      # host client.example.com

      명령이 연결 시간이 초과 되거나 서버에 도달할 수 없는 것과 같은 오류를 반환하는 경우 DNS 설정을 확인합니다.

추가 리소스

6.13. NetworkManager의 DHCP 클라이언트 변경

기본적으로 NetworkManager는 내부 DHCP 클라이언트를 사용합니다. 그러나 기본 제공 클라이언트에서 제공하지 않는 기능이 있는 DHCP 클라이언트가 필요한 경우 dhclient 를 사용하도록 NetworkManager를 구성할 수도 있습니다.

RHEL은 dhcpcd 를 제공하지 않으므로 NetworkManager는 이 클라이언트를 사용할 수 없습니다.

절차

  1. 다음 콘텐츠를 사용하여 /etc/NetworkManager/conf.d/dhcp-client.conf 파일을 생성합니다.

    [main]
    dhcp=dhclient

    dhcp 매개변수를 internal (기본값) 또는 dhclient 로 설정할 수 있습니다.

  2. dhcp 매개변수를 dhclient 로 설정하면 dhcp-client 패키지를 설치합니다.

    # dnf install dhcp-client
  3. NetworkManager를 다시 시작합니다.

    # systemctl restart NetworkManager

    restart는 임시로 모든 네트워크 연결을 중단합니다.

검증

  • /var/log/messages 로그 파일에서 다음과 유사한 항목을 검색합니다.

    Apr 26 09:54:19 server NetworkManager[27748]: <info>  [1650959659.8483] dhcp-init: Using DHCP client 'dhclient'

    이 로그 항목은 NetworkManager가 dhclient 를 DHCP 클라이언트로 사용하는지 확인합니다.

추가 리소스

  • NetworkManager.conf(5) 매뉴얼 페이지

6.14. NetworkManager 연결의 DHCP 동작 구성

DHCP(Dynamic Host Configuration Protocol) 클라이언트는 클라이언트가 네트워크에 연결할 때마다 DHCP 서버에서 동적 IP 주소와 해당 구성 정보를 요청합니다.

DHCP 서버에서 IP 주소를 검색하도록 연결을 구성하면 NetworkManager는 DHCP 서버에서 IP 주소를 요청합니다. 기본적으로 클라이언트는 이 요청이 완료될 때까지 45초 동안 기다립니다. DHCP 연결이 시작되면 dhcp 클라이언트에서 DHCP 서버의 IP 주소를 요청합니다.

사전 요구 사항

  • DHCP를 사용하는 연결은 호스트에 구성됩니다.

절차

  1. ipv4.dhcp-timeoutipv6.dhcp-timeout 속성을 설정합니다. 예를 들어 두 옵션을 모두 30 초로 설정하려면 다음을 입력합니다.

    # nmcli connection modify connection_name ipv4.dhcp-timeout 30 ipv6.dhcp-timeout 30

    또는 성공할 때까지 IP 주소 요청 및 갱신을 중지하지 않도록 NetworkManager가 중단되도록 매개 변수를 infinity 로 설정합니다.

  2. 선택 사항: NetworkManager가 시간 초과 전에 IPv4 주소를 수신하지 않는 경우 동작을 구성합니다.

    # nmcli connection modify connection_name ipv4.may-fail value

    ipv4.may-fail 옵션을 다음과 같이 설정하는 경우 다음을 수행합니다.

    • , 연결 상태는 IPv6 구성에 따라 다릅니다.

      • IPv6 구성이 활성화되고 성공하면 NetworkManager는 IPv6 연결을 활성화하고 더 이상 IPv4 연결을 활성화하지 않습니다.
      • IPv6 구성이 비활성화되거나 구성되지 않은 경우 연결이 실패합니다.
    • 아니요, 연결이 비활성화됩니다. 이 경우 다음을 수행합니다.

      • 연결의 자동 연결 속성이 활성화된 경우 NetworkManager는 autoconnect -retries 속성에 설정된 대로 연결을 여러 번 다시 활성화합니다. 기본값은 4 입니다.
      • 연결이 계속 DHCP 주소를 가져올 수 없는 경우 자동 비활성화가 실패합니다. 5분 후에 자동 연결 프로세스가 다시 시작하여 DHCP 서버에서 IP 주소를 가져옵니다.
  3. 선택 사항: NetworkManager가 시간 초과 전에 IPv6 주소를 수신하지 않는 경우 동작을 구성합니다.

    # nmcli connection modify connection_name ipv6.may-fail value

추가 리소스

  • nm-settings(5) 도움말 페이지

6.15. 인터페이스 이름별로 단일 연결 프로필을 사용하여 여러 이더넷 인터페이스 구성

대부분의 경우 하나의 연결 프로필에는 하나의 네트워크 장치 설정이 포함됩니다. 그러나 연결 프로필에서 인터페이스 이름을 설정할 때 NetworkManager는 와일드카드도 지원합니다. 동적 IP 주소 할당이 있는 이더넷 네트워크 간에 호스트 로밍하는 경우 이 기능을 사용하여 여러 이더넷 인터페이스에 사용할 수 있는 단일 연결 프로필을 만들 수 있습니다.

사전 요구 사항

  • 네트워크에서 DHCP 사용 가능
  • 호스트에 여러 이더넷 어댑터가 있습니다.
  • 호스트에 연결 프로필이 없습니다.

절차

  1. enp 로 시작하는 모든 인터페이스 이름에 적용되는 연결 프로필을 추가합니다.

    #nmcli connection add con-name Example connection.multi-connect multiple match.interface-name enp* type ethernet

검증 단계

  1. 단일 연결 프로필의 모든 설정을 표시합니다.

    #nmcli connection show Example
    connection.id:                      Example
    ...
    connection.multi-connect:           3 (multiple)
    match.interface-name:               `enp*`
    ...

    3연결 프로필의 네트워크 인터페이스 수가 아니라 연결 프로필에서 활성 상태인 인터페이스 수를 나타냅니다. 연결 프로필은 match.interface-name 매개변수의 패턴과 일치하는 모든 장치를 사용하므로 연결 프로필에는 동일한 UUID(Universally Unique Identifier)가 있습니다.

  2. 연결 상태를 표시합니다.

    #nmcli connection show
    NAME                    UUID                    TYPE     DEVICE
    ...
    Example  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp7s0
    Example  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp8s0
    Example  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp9s0

추가 리소스

  • nmcli(1) 도움말 페이지
  • nm-settings(5) 도움말 페이지

6.16. PCI ID를 사용하여 여러 이더넷 인터페이스에 대한 단일 연결 프로파일 구성

PCI ID는 시스템에 연결된 장치의 고유 식별자입니다. 연결 프로필은 PCI ID 목록을 기반으로 일치하는 인터페이스를 통해 여러 장치를 추가합니다. 이 절차를 사용하여 여러 장치 PCI ID를 단일 연결 프로필에 연결할 수 있습니다.

사전 요구 사항

  • 네트워크에서 DHCP 서버를 사용할 수 있습니다.
  • 호스트에 여러 이더넷 어댑터가 있습니다.
  • 시스템에 연결 프로필이 없습니다.

절차

  1. 장치 경로를 식별합니다. 예를 들어 enp 으로 시작하는 모든 인터페이스의 장치 경로를 표시하려면 다음을 입력합니다.

    #udevadm info /sys/class/net/enp* | grep ID_PATH=
    
    ...
    E: ID_PATH=pci-0000:07:00.0
    E: ID_PATH=pci-0000:08:00.0
  2. 0000:00:0[7-8].0 표현식과 일치하는 모든 PCI ID에 적용되는 연결 프로필을 추가합니다.

    #nmcli connection add type ethernet connection.multi-connect multiple match.path "pci-0000:07:00.0 pci-0000:08:00.0" con-name Example

검증 단계

  1. 연결 상태를 표시합니다.

    #nmcli connection show
    
    NAME   UUID     TYPE        DEVICE
    ...
    Example      9cee0958-512f-4203-9d3d-b57af1d88466  ethernet  enp7s0
    Example      9cee0958-512f-4203-9d3d-b57af1d88466  ethernet  enp8s0
    ...
  2. 연결 프로필의 모든 설정을 표시하려면 다음을 수행합니다.

    #nmcli connection show Example
    
    connection.id:               Example
    ...
    connection.multi-connect:    3 (multiple)
    match.path:                  pci-0000:07:00.0,pci-0000:08:00.0
    ...

이 연결 프로필은 match.path 매개변수의 패턴과 일치하는 PCI ID가 있는 모든 장치를 사용하므로 연결 프로필의 UUID(Universally Unique Identifier)가 동일합니다.

추가 리소스

  • nmcli(1) 도움말 페이지
  • nm-settings(5) 도움말 페이지

7장. Wi-Fi 연결 관리

이 섹션에서는 Wi-Fi 연결을 설정 및 관리하는 방법에 대해 설명합니다.

7.1. 무선 규제 도메인 설정

Red Hat Enterprise Linux에서 crda 패키지에는 지정된 관할 지역에 대한 무선 규제 규칙을 커널에 제공하는 중앙 규제 도메인 에이전트가 포함되어 있습니다. 특정 udev 스크립트에서 사용하며 udev 스크립트를 디버깅하지 않는 한 수동으로 실행하면 안 됩니다. 커널은 새로운 규제 도메인 변경에 대해 udev 이벤트를 전송하여 crda 를 실행합니다. 규제 도메인 변경은 Linux 무선 하위 시스템(IEEE-802.11)에 의해 트리거됩니다. 이 하위 시스템은 regulatory.bin 파일을 사용하여 규제 데이터베이스 정보를 유지합니다.

setregdomain 유틸리티는 시스템의 규제 도메인을 설정합니다. Setregdomain 은 인수를 사용하지 않으며 일반적으로 관리자가 수동으로 수행하는 대신 udev 와 같은 시스템 스크립트를 통해 호출됩니다. 국가 코드 조회가 실패하면 시스템 관리자가 /etc/sysconfig/regdomain 파일에서 COUNTRY 환경 변수를 정의할 수 있습니다.

추가 리소스

  • setregdomain(1) 도움말 페이지
  • CRDA(8) 도움말 페이지
  • regulatory.bin(5) 도움말 페이지
  • IW(8) 도움말 페이지

7.2. nmcli를 사용하여 Wi-Fi 연결 구성

다음 절차에서는 nmcli를 사용하여 Wi-fi 연결 프로필을 구성하는 방법을 설명합니다.

사전 요구 사항

  • 설치할 nmcli 유틸리티입니다.
  • WiFi 라디오가 켜져 있는지 확인하십시오 (기본값:

    $ nmcli radio wifi on

절차

  1. 고정 IP 구성으로 Wi-Fi 연결 프로필을 만들려면 다음을 수행합니다.

    $ nmcli con add con-name MyCafe ifname wlan0 type wifi ssid MyCafe ip4 192.0.2.101/24 gw4 192.0.2.1
  2. DNS 서버를 설정합니다. 예를 들어 192.0.2.1 을 DNS 서버로 설정하려면 다음을 수행합니다.

    $ nmcli con modify con-name MyCafe ipv4.dns "192.0.2.1"
  3. 선택적으로 DNS 검색 도메인을 설정합니다. 예를 들어 검색 도메인을 example.com 으로 설정하려면 다음을 수행합니다.

    $ nmcli con modify con-name MyCafe ipv4.dns-search "example.com"
  4. 특정 속성을 확인하려면 mtu:

    $ nmcli connection show id MyCafe | grep mtu
    802-11-wireless.mtu:                     auto
  5. 설정 속성을 변경하려면 다음을 수행합니다.

    $ nmcli connection modify id MyCafe wireless.mtu 1350
  6. 변경 사항을 확인하려면 다음을 수행합니다.

    $ nmcli connection show id MyCafe | grep mtu
    802-11-wireless.mtu:                     1350

검증 단계

  1. ping 유틸리티를 사용하여 이 호스트에서 다른 호스트에 패킷을 보낼 수 있는지 확인합니다.

    • 동일한 서브넷의 IP 주소를 ping합니다. 예를 들면 다음과 같습니다.

      # ping 192.0.2.103

      명령이 실패하면 IP 및 서브넷 설정을 확인합니다.

    • 원격 서브넷의 IP 주소를 ping합니다. 예를 들면 다음과 같습니다.

      # ping 198.51.16.3
      • 명령이 실패하면 기본 게이트웨이를 ping하여 설정을 확인합니다.

        # ping 192.0.2.1
  2. 호스트 유틸리티를 사용하여 이름 확인이 작동하는지 확인합니다. 예를 들면 다음과 같습니다.

    # host client.example.com

    명령이 연결 시간이 초과 되거나 서버에 도달할 수 없는 것과 같은 오류를 반환하는 경우 DNS 설정을 확인합니다.

추가 리소스

7.3. Control-center를 사용하여 Wi-Fi 연결 구성

Wi-Fi 에 연결하면 현재 네트워크 연결에 따라 네트워크 설정이 미리 채워집니다. 즉, 인터페이스가 네트워크에 연결되면 설정이 자동으로 감지됩니다.

다음 절차에서는 control-center 를 사용하여 Wi-Fi 설정을 수동으로 구성하는 방법을 설명합니다.

절차

  1. Super 키를 눌러 activities Overview 를 입력하고 Wi-Fi 를 입력한 후 Enter 를 누릅니다. 왼쪽 메뉴 항목에 사용 가능한 네트워크 목록이 표시됩니다.
  2. 편집하려는 Wi-Fi 연결 이름 오른쪽에 있는 톱니어 아이콘을 선택하면 편집 연결 대화 상자가 나타납니다. 세부 정보 메뉴 창에는 추가 구성을 수행할 수 있는 연결 세부 정보가 표시됩니다.

    옵션

    1. 자동으로 연결을 선택하면NetworkManager 가 사용 가능한 것을 탐지할 때마다 NetworkManager 가 이 연결에 자동으로 연결됩니다. NetworkManager 가 자동으로 연결되지 않으려면 확인란을 지웁니다. 확인란을 선택 취소하면 네트워크 연결 아이콘 메뉴에서 수동으로 해당 연결을 선택하여 연결하도록 해야 합니다.
    2. 다른 사용자가 연결할 수 있도록 하려면 Make available to other users 확인란을 선택합니다.
    3. 배경 데이터 사용 제한 옵션을 변경하여 백그라운드 데이터 사용을 제어할 수도 있습니다.You can also control the background data usage by changing the Restrict background data usage option.

      참고

      Wi-Fi 연결을 삭제하려면 Forget Connection 빨간색 상자를 클릭합니다.

  3. Identity (ID) 메뉴 항목을 선택하여 기본 구성 옵션을 확인합니다.

    SSID - 액세스 포인트 (AP)의 SSID ( Service Set Identifier )입니다.

    RuntimeClassID - BSSID ( 기본 서비스 세트 식별자 )는 인프라 모드에서 연결 중인 특정 무선 액세스 포인트의 하드웨어 주소 라고도 하는 MAC 주소입니다. 이 필드는 기본적으로 비어 있으며 BSSID 를 지정하지 않고도 무선 액세스 지점에 SSID 로 연결할 수 있습니다. BSSID를 지정하면 시스템이 특정 액세스 지점에만 연결되도록 강제 적용합니다. Ad-hoc 네트워크의 경우 ad-hoc 네트워크가 생성될 때 mac80211 하위 시스템에 의해 LoadBalancerID가 무작위로 생성됩니다. NetworkManager 에 의해 표시되지 않습니다.

    MAC 주소 - MAC 주소를 사용하여 특정 무선 어댑터를 특정 연결(또는 연결)과 연결할 수 있습니다.

    복제된 주소 - 실제 하드웨어 주소 대신 사용할 복제된 MAC 주소입니다. 필요하지 않은 경우 비워 두십시오.

  4. 추가 IP 주소 구성의 경우 IPv4IPv6 메뉴 항목을 선택합니다.

    기본적으로 IPv4IPv6 모두 현재 네트워크 설정에 따라 자동 구성으로 설정됩니다. 즉, 인터페이스가 네트워크에 연결될 때 로컬 IP 주소, DNS 주소 및 기타 설정과 같은 주소가 자동으로 감지됩니다. DHCP 서버에서 이 네트워크의 IP 구성을 할당하는 경우 이 방법은 충분하지만 IPv4IPv6 설정에서 정적 구성을 제공할 수도 있습니다. IPv4IPv6 메뉴 항목에서 다음 설정을 볼 수 있습니다.

    • IPv4 방법

      • Automatic (DHCP) - 연결하는 네트워크에서 라우터 알림 (RA) 또는 DHCP 서버를 사용하여 동적 IP 주소를 할당하는 경우 이 옵션을 선택합니다. 세부 정보 메뉴 항목에서 할당된 IP 주소를 확인할 수 있습니다.
      • 링크-로컬 전용 - 연결된 네트워크에 DHCP 서버가 없고 IP 주소를 수동으로 할당하지 않으려는 경우 이 옵션을 선택합니다. 접두사가 169.254/16RFC 3927 에 따라 임의 주소가 할당됩니다.
      • 수동 - IP 주소를 수동으로 할당하려는 경우 이 옵션을 선택합니다.
      • disable - 이 연결에 대해 IPv4 가 비활성화되어 있습니다.
    • DNS

      AutomaticON 이고 이 연결에 DNS 서버를 할당하는 DHCP 서버를 사용할 수 없는 경우 OFF 로 전환하여 IP를 쉼표로 구분합니다.

    • 라우트

      경로 섹션에서 자동ON 인 경우, 라우터 알림(RA) 또는 DHCP의 경로가 사용되지만 정적 경로를 추가할 수도 있습니다. OFF 는 정적 경로만 사용합니다.

      • address - 원격 네트워크, sub-net 또는 호스트의 IP 주소를 입력합니다.
      • 넷마스크 - 위에 입력한 IP 주소의 넷마스크 또는 접두사 길이입니다.
      • gateway - 원격 네트워크, 하위 네트워크 또는 호스트를 위에서 입력한 게이트웨이 의 IP 주소입니다.
      • 지표 - 네트워크 비용, 이 경로에 제공하는 기본 설정 값입니다. 더 낮은 값이 더 높은 값보다 우선합니다.
    • 이 연결을 네트워크의 리소스에만 사용합니다

      연결이 기본 경로가 되지 않도록 하려면 이 확인란을 선택합니다.

    또는 Wi-Fi 연결에서 IPv6 설정을 구성하려면 IPv6 메뉴 항목을 선택합니다.

    • IPv6 방법

      • 자동 - 이 옵션을 선택하여 IPv6 상태 비저장 주소 자동 구성(SLAAC)를 사용하여 하드웨어 주소 및 라우터 알림(RA)을 기반으로 자동 상태 비저장 구성을 생성합니다.
      • Automatic, DHCP only - RA를 사용하지 않도록 이 옵션을 선택하고 DHCPv6 의 정보를 직접 요청하여 상태 저장 구성을 생성합니다.
      • 링크-로컬 전용 - 연결된 네트워크에 DHCP 서버가 없고 IP 주소를 수동으로 할당하지 않으려는 경우 이 옵션을 선택합니다. 접두사 FE80::0 이 있는 RFC 4862 에 따라 임의 주소가 할당됩니다.
      • 수동 - IP 주소를 수동으로 할당하려는 경우 이 옵션을 선택합니다.
      • disable - 이 연결에 대해 IPv6 가 비활성화되어 있습니다.
    • DNS,Routes,네트워크 필드의 리소스에만 이 연결을 사용하면 IPv4 설정에 공통됩니다.
  5. Wi-Fi 연결에서 보안 설정을 구성하려면 보안 메뉴 항목을 선택합니다.

    주의

    암호화 없이 또는 안전하지 않은 WEP 또는 WPA 표준만 지원하는 Wi-Fi 네트워크에 연결하지 마십시오.

    다음 구성 옵션을 사용할 수 있습니다.

    • 보안

      • none - 암호화가 비활성화되어 있으며 데이터는 네트워크를 통해 일반 텍스트로 전송됩니다.
      • WEP 40/128-bit Key - IEEEruntime 표준의 WEP( Wired Equivalent Privacy)입니다. 단일 사전 공유 키(PSK)를 사용합니다.
      • WEP 128-bit Passphrase - 암호의 MD5 해시로 WEP 키를 도출합니다.
      • 동적 WEP(802.1X) - WEP 키가 동적으로 변경됩니다.
      • LEAP - Cisco 시스템의 경량 확장 인증 프로토콜.
      • WPA 및 WPA2 개인용 - IEEE IEEEi 표준 의 Wi-Fi 보호 액세스(WPA). WPA2(WPA2) Wi-Fi Protected Access 2(WPA2). 개인 모드는 사전 공유 키(WPA-PSK)를 사용합니다.
      • WPA 및 WPA2 Enterprise - IEEE 802.1X 네트워크 액세스 제어를 제공하기 위해 RADIUS 인증 서버와 함께 사용하기 위한 WPA 및 WPA 2.
      • WPA3 개인용 - Wi-Fi 보호 액세스 3(WPA3) 개인은 사전 공유 키(PSK) 대신 Simultaneous Authentication of Equals(SAE)를 사용하여 사전 공격을 방지합니다. WPA3는 완벽한 전달 보안을 사용합니다.
    • password - 인증 프로세스에서 사용할 암호를 입력합니다.
  6. 구성을 완료한 후에는 적용 버튼을 클릭하여 저장합니다.
참고

더하기 버튼을 클릭하여 새 연결을 추가하면 NetworkManager 가 해당 연결에 사용할 새 구성 파일을 만든 다음 기존 연결을 편집하는 데 사용되는 것과 동일한 대화 상자를 엽니다. 이러한 대화 상자의 차이점은 기존 연결 프로필에 Details(세부 정보 ) 메뉴 항목이 있다는 것입니다.

7.4. nmcli를 사용하여 Wi-Fi 네트워크에 연결

다음 절차에서는 nmcli 유틸리티를 사용하여 무선 연결에 연결하는 방법을 설명합니다.

사전 요구 사항

  • 설치할 nmcli 유틸리티입니다.
  • WiFi 라디오가 켜져 있는지 확인하십시오 (기본값:

    $ nmcli radio wifi on

절차

  1. 사용 가능한 Wi-Fi 연결 목록을 새로 고치려면 다음을 수행합니다.

    $ nmcli device wifi rescan
  2. 사용 가능한 Wi-Fi 액세스 포인트를 보려면 다음을 수행하십시오.

    $ nmcli dev wifi list
    
    IN-USE  SSID      MODE   CHAN  RATE        SIGNAL  BARS  SECURITY
    ...
            MyCafe    Infra  3     405 Mbit/s  85      ▂▄▆█  WPA1 WPA2
  3. nmcli 를 사용하여 Wi-Fi 연결에 연결하려면 다음을 수행합니다.

    $ nmcli dev wifi connect SSID-Name password wireless-password

    예를 들면 다음과 같습니다.

    $ nmcli dev wifi connect MyCafe password wireless-password

    Wi-Fi 상태를 비활성화하려면 다음을 수행하십시오.

    $ nmcli radio wifi off

7.5. nmcli를 사용하여 숨겨진 Wi-Fi 네트워크에 연결

모든 액세스 포인트에는 이를 식별하는 SSID(Service Set Identifier)가 있습니다. 그러나 액세스 포인트는 SSID를 브로드캐스트하지 않도록 구성될 수 있으며 이 경우 숨겨져 있으며 NetworkManager의 사용 가능한 네트워크 목록에 표시되지 않습니다.

다음 절차에서는 nmcli 툴을 사용하여 숨겨진 네트워크에 연결하는 방법을 설명합니다.

사전 요구 사항

  • 설치할 nmcli 유틸리티입니다.
  • Wi-Fi 연결의 SSID 및 암호를 알고 있어야 합니다.
  • WiFi 라디오가 켜져 있는지 확인하십시오 (기본값:

    $ nmcli radio wifi on

절차

  • 숨겨진 SSID에 연결합니다.

    $ nmcli dev wifi connect SSID_Name password wireless_password hidden yes

7.6. GNOME GUI를 사용하여 Wi-Fi 네트워크에 연결

이 절차에서는 인터넷에 액세스하기 위해 무선 네트워크에 연결하는 방법을 설명합니다.

절차

  1. 화면 오른쪽 상단에 있는 GNOME Shell 네트워크 연결 아이콘 메뉴를 엽니다.
  2. 연결된 Wi-Fi 를 선택합니다.
  3. 네트워크 선택 옵션을 클릭합니다.
  4. 연결할 네트워크의 이름을 클릭한 다음 연결을 클릭합니다.

    네트워크가 표시되지 않으면 네트워크가 숨겨져 있을 수 있습니다.

  5. 네트워크가 암호 또는 암호화 키로 보호되는 경우 암호를 입력하고 연결을 클릭합니다.

    암호를 모르는 경우 Wi-Fi 네트워크의 관리자에게 문의하십시오.

  6. 연결에 성공하면 네트워크 이름이 연결 아이콘 메뉴에 표시되고 무선 표시기는 화면의 오른쪽 상단에 표시됩니다.

7.7. nmcli를 사용하여 기존 Wi-Fi 연결에서 802.1X 네트워크 인증 구성

nmcli 유틸리티를 사용하여 네트워크에 자체적으로 인증하도록 클라이언트를 구성할 수 있습니다. 이 절차에서는 wlp1s0 이라는 기존 NetworkManager Wi-Fi 연결 프로필에서 MSCHAPv2(Microsoft Challenge-Handshake Authentication Protocol) 버전을 사용하여 PEAP(Protected Extensible Authentication Protocol) 인증을 구성하는 방법을 설명합니다.

사전 요구 사항

  1. 네트워크에 802.1X 네트워크 인증이 있어야 합니다.
  2. Wi-Fi 연결 프로필은 NetworkManager에 존재하며 유효한 IP 구성이 있습니다.
  3. 클라이언트가 인증자의 인증서를 확인해야 하는 경우 인증 기관(CA) 인증서를 /etc/pki/ca-trust/source/anchors/ 디렉터리에 저장해야 합니다.
  4. wpa_supplicant 패키지가 설치되어 있습니다.

절차

  1. Wi-Fi 보안 모드를 wpa-eap, 확장 가능 인증 프로토콜(EAP)을 peap 으로, 내부 인증 프로토콜을 mschapv2 로, 사용자 이름으로 설정합니다.

    # nmcli connection modify wlp1s0 wireless-security.key-mgmt wpa-eap 802-1x.eap peap 802-1x.phase2-auth mschapv2 802-1x.identity user_name

    단일 명령에서 wireless-security.key- backend ,802-1x.eap,802-1x.phase2-auth .identity 매개변수를 설정해야 합니다.

  2. 선택적으로 구성에 암호를 저장합니다.

    # nmcli connection modify wlp1s0 802-1x.password password
    중요

    기본적으로 NetworkManager는 root 사용자만 읽을 수 있는 /etc/sysconfig/network-scripts/keys-connection_name 파일에 암호를 일반 텍스트로 저장합니다. 그러나 구성 파일에서 텍스트 암호를 지우는 것은 보안상의 위험이 될 수 있습니다.

    보안을 강화하려면 802-1x.password-flags 매개 변수를 0x1 로 설정합니다. 이 설정을 사용하면 GNOME 데스크탑 환경 또는 nm-applet 이 실행 중인 서버에서 NetworkManager가 이러한 서비스에서 암호를 검색합니다. 다른 경우에는 NetworkManager가 암호를 묻는 메시지를 표시합니다.

  3. 클라이언트가 인증자 인증서를 확인해야 하는 경우 연결 프로필의 802-1x.ca-cert 매개변수를 CA 인증서 경로로 설정합니다.

    # nmcli connection modify wlp1s0 802-1x.ca-cert /etc/pki/ca-trust/source/anchors/ca.crt
    참고

    보안상의 이유로 Red Hat은 인증자의 인증서를 사용하여 클라이언트가 인증자의 ID를 검증할 것을 권장합니다.

  4. 연결 프로필을 활성화합니다.

    # nmcli connection up wlp1s0

검증 단계

  • 네트워크 인증이 필요한 네트워크의 리소스에 액세스합니다.

추가 리소스

  • Wi-Fi 연결 관리
  • nm- settings(5) 매뉴얼 페이지의 802-1x 설정 섹션
  • nmcli(1) 도움말 페이지

8장. VLAN 태그 지정 구성

이 섹션에서는 VLAN(Virtual Local Area Network)을 구성하는 방법을 설명합니다. VLAN은 물리적 네트워크 내의 논리적 네트워크입니다. VLAN 인터페이스 태그 패킷에는 인터페이스를 통과할 때 VLAN ID가 있는 패킷을 태그하고 패킷 반환 태그를 제거합니다.

이더넷, 본딩, 팀 또는 브리지 장치와 같은 다른 인터페이스 상단에 VLAN 인터페이스를 만듭니다. 이 인터페이스를 상위 인터페이스 라고 합니다.

8.1. nmcli 명령을 사용하여 VLAN 태그 구성

이 섹션에서는 nmcli 유틸리티를 사용하여 VLAN(Virtual Local Area Network) 태그를 구성하는 방법을 설명합니다.

사전 요구 사항

  • 가상 VLAN 인터페이스의 상위로 사용할 인터페이스는 VLAN 태그를 지원합니다.
  • 본딩 인터페이스 상단에 VLAN을 구성하는 경우:

    • 본딩의 포트가 작동합니다.
    • 본딩이 fail_over_mac=follow 옵션으로 구성되지 않았습니다. VLAN 가상 장치는 상위의 새 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없습니다. 이러한 경우 트래픽은 여전히 잘못된 소스 MAC 주소로 전송됩니다.
    • 본딩은 일반적으로 DHCP 서버 또는 IPv6 자동 구성에서 IP 주소를 가져올 것으로 예상되지 않습니다. 본딩을 생성하는 동안 ipv4.method=disableipv6.method=ignore 옵션을 설정하여 확인합니다. 그렇지 않으면 일정 시간 후에 DHCP 또는 IPv6 자동 구성이 실패하면 인터페이스가 중단될 수 있습니다.
  • 호스트가 연결된 스위치는 VLAN 태그를 지원하도록 구성됩니다. 자세한 내용은 스위치 설명서를 참조하십시오.

절차

  1. 네트워크 인터페이스를 표시합니다.

    # nmcli device status
    DEVICE   TYPE      STATE         CONNECTION
    enp1s0   ethernet  disconnected  enp1s0
    bridge0  bridge    connected     bridge0
    bond0    bond      connected     bond0
    ...
  2. VLAN 인터페이스를 생성합니다. 예를 들어 enp1s0 을 상위 인터페이스로 사용하고 VLAN ID 10 으로 패킷을 태그하는 vlan10 이라는 VLAN 인터페이스를 생성하려면 다음을 입력합니다.

    # nmcli connection add type vlan con-name vlan10 ifname vlan10 vlan.parent enp1s0 vlan.id 10

    VLAN은 0 에서 4094 사이의 범위 내에 있어야 합니다.

  3. 기본적으로 VLAN 연결은 상위 인터페이스의 최대 전송 단위(MTU)를 상속합니다. 선택적으로 다른 MTU 값을 설정합니다.

    # nmcli connection modify vlan10 ethernet.mtu 2000
  4. VLAN 장치의 IP 설정을 구성합니다. 이 VLAN 장치를 다른 장치의 포트로 사용하려면 이 단계를 건너뜁니다.

    1. IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 vlan10 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify vlan10 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify vlan10 ipv4.gateway '192.0.2.254'
      # nmcli connection modify vlan10 ipv4.dns '192.0.2.253'
      # nmcli connection modify vlan10 ipv4.method manual
    2. IPv6 설정을 구성합니다. 예를 들어 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 vlan10 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify vlan10 ipv6.addresses '2001:db8:1::1/32'
      # nmcli connection modify vlan10 ipv6.gateway '2001:db8:1::fffe'
      # nmcli connection modify vlan10 ipv6.dns '2001:db8:1::fffd'
      # nmcli connection modify vlan10 ipv6.method manual
  5. 연결을 활성화합니다.

    # nmcli connection up vlan10

검증 단계

  • 설정을 확인합니다.

    # ip -d addr show vlan10
    4: vlan10@enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:72:2f:6e brd ff:ff:ff:ff:ff:ff promiscuity 0
        vlan protocol 802.1Q id 10 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute vlan10
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::8dd7:9030:6f8e:89e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

8.2. RHEL 웹 콘솔을 사용하여 VLAN 태그 지정 구성

이 섹션에서는 RHEL 웹 콘솔을 사용하여 네트워크 브릿지를 구성하는 방법을 설명합니다.

사전 요구 사항

  • 가상 VLAN 인터페이스의 상위로 사용할 인터페이스는 VLAN 태그를 지원합니다.
  • 본딩 인터페이스 상단에 VLAN을 구성하는 경우:

    • 본딩의 포트가 작동합니다.
    • 본딩이 fail_over_mac=follow 옵션으로 구성되지 않았습니다. VLAN 가상 장치는 상위의 새 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없습니다. 이러한 경우 트래픽은 여전히 잘못된 소스 MAC 주소로 전송됩니다.
    • 본딩은 일반적으로 DHCP 서버 또는 IPv6 자동 구성에서 IP 주소를 가져올 것으로 예상되지 않습니다. 본딩을 생성하여 IPv4 및 IPv6 프로토콜을 비활성화하여 확인합니다. 그렇지 않으면 일정 시간 후에 DHCP 또는 IPv6 자동 구성이 실패하면 인터페이스가 중단될 수 있습니다.
  • 호스트가 연결된 스위치는 VLAN 태그를 지원하도록 구성됩니다. 자세한 내용은 스위치 설명서를 참조하십시오.

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. Interfaces (interface) 섹션에서 Add VLAN 을 클릭합니다.
  3. 상위 장치를 선택합니다.
  4. VLAN ID를 입력합니다.
  5. VLAN 장치 이름을 입력하거나 자동으로 생성된 이름을 유지합니다.

    VLAN 설정
  6. Apply(적용)를 클릭합니다.
  7. 기본적으로 VLAN 장치는 동적 IP 주소를 사용합니다. 고정 IP 주소를 설정하려면 다음을 수행합니다.

    1. Interfaces (interface) 섹션에서 VLAN 장치의 이름을 클릭합니다.
    2. 구성할 프로토콜 옆에 있는 편집 을 클릭합니다.
    3. 주소 옆에 있는 Manual 을 선택하고 IP 주소, 접두사 및 기본 게이트웨이를 입력합니다.
    4. DNS 섹션에서 + 버튼을 클릭하고 DNS 서버의 IP 주소를 입력합니다. 이 단계를 반복하여 여러 DNS 서버를 설정합니다.
    5. DNS 검색 도메인 섹션에서 + 버튼을 클릭하고 검색 도메인을 입력합니다.
    6. 인터페이스에 정적 경로가 필요한 경우 Routes 섹션에서 해당 경로를 구성합니다.

      bond team bridge vlan.ipv4
    7. 적용을클릭합니다.

검증

  • 화면 왼쪽의 탐색에서 Networking 탭을 선택하고 인터페이스에 들어오고 나가는 트래픽이 있는지 확인합니다.

    VLAN 확인

8.3. nm-connection-editor를 사용하여 VLAN 태그 지정

이 섹션에서는 nm-connection-editor 애플리케이션을 사용하여 VLAN(Virtual Local Area Network) 태그를 구성하는 방법을 설명합니다.

사전 요구 사항

  • 가상 VLAN 인터페이스의 상위로 사용할 인터페이스는 VLAN 태그를 지원합니다.
  • 본딩 인터페이스 상단에 VLAN을 구성하는 경우:

    • 본딩의 포트가 작동합니다.
    • 본딩이 fail_over_mac=follow 옵션으로 구성되지 않았습니다. VLAN 가상 장치는 상위의 새 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없습니다. 이러한 경우 트래픽은 여전히 잘못된 소스 MAC 주소로 전송됩니다.
  • 호스트가 연결되어 VLAN 태그를 지원하도록 구성되어 있습니다. 자세한 내용은 스위치 설명서를 참조하십시오.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. VLAN 연결 유형을 선택하고 생성을 클릭합니다.
  4. VLAN 탭에서:

    1. 상위 인터페이스를 선택합니다.
    2. VLAN ID를 선택합니다. VLAN은 0 에서 4094 사이의 범위 내에 있어야 합니다.
    3. 기본적으로 VLAN 연결은 상위 인터페이스의 최대 전송 단위(MTU)를 상속합니다. 선택적으로 다른 MTU 값을 설정합니다.
    4. 선택적으로 VLAN 인터페이스의 이름과 추가 VLAN 관련 옵션을 설정합니다.

      vlan settings nm connection editor

  5. VLAN 장치의 IP 설정을 구성합니다. 이 VLAN 장치를 다른 장치의 포트로 사용하려면 이 단계를 건너뜁니다.

    1. IPv4 Settings 탭에서 IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 설정합니다. vlan IPv4 settings nm connection editor
    2. IPv6 Settings 탭에서 IPv6 설정을 구성합니다. 예를 들어 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이 및 DNS 서버를 설정합니다. vlan IPv6 settings nm connection editor
  6. 저장을 클릭하여 VLAN 연결을 저장합니다.
  7. nm-connection-editor 를 닫습니다.

검증 단계

  1. 설정을 확인합니다.

    # ip -d addr show vlan10
    4: vlan10@enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
        link/ether 52:54:00:d5:e0:fb brd ff:ff:ff:ff:ff:ff promiscuity 0
        vlan protocol 802.1Q id 10 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute vlan10
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::8dd7:9030:6f8e:89e6/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

8.4. nmstatectl을 사용하여 VLAN 태그 지정

이 섹션에서는 nmstatectl 유틸리티를 사용하여 이더넷 연결을 사용하는 ID 10으로 VLAN을 구성하는 방법을 설명합니다. 하위 장치로 VLAN 연결에는 IP, 기본 게이트웨이 및 DNS 구성이 포함됩니다.

환경에 따라 적절하게 YAML 파일을 조정합니다. 예를 들어 VLAN에서 브리지 또는 본딩 장치를 사용하려면 VLAN에서 사용하는 포트의 base-iface 속성 및 type 속성을 조정하십시오.

사전 요구 사항

  • 이더넷 장치를 VLAN의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-vlan.yml )을 생성합니다.

    ---
    interfaces:
    - name: vlan10
      type: vlan
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      vlan:
        base-iface: enp1s0
        id: 10
    - name: enp1s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: vlan10
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: vlan10
    
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-vlan.yml

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    vlan10      vlan      connected  vlan10
  2. 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show vlan10
    connection.id:              vlan10
    connection.uuid:            1722970f-788e-4f81-bd7d-a86bf21c9df5
    connection.stable-id:       --
    connection.type:            vlan
    connection.interface-name:  vlan10
    ...
  3. 연결 설정을 YAML 형식으로 표시합니다.

    # nmstatectl show vlan0

추가 리소스

  • nmstatectl(8) 도움말 페이지
  • /usr/share/doc/nmstate/examples/

8.5. RHEL 시스템 역할을 사용하여 VLAN 태그 지정 구성

Networking RHEL 시스템 역할을 사용하여 VLAN 태그를 구성할 수 있습니다. 이 절차에서는 이 이더넷 연결 상단에 ID가 10 인 VLAN과 이더넷 연결을 추가하는 방법을 설명합니다. 하위 장치로 VLAN 연결에는 IP, 기본 게이트웨이 및 DNS 구성이 포함됩니다.

환경에 따라 적절하게 플레이를 조정합니다. 예를 들면 다음과 같습니다.

  • 본딩과 같은 다른 연결의 포트로 VLAN을 사용하려면 ip 속성을 생략하고 하위 구성에서 IP 구성을 설정합니다.
  • VLAN에서 팀, 브리지 또는 본딩 장치를 사용하려면 VLAN에서 사용하는 포트의 interface_nametype 속성을 조정합니다.

사전 요구 사항

  • ansible-corerhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 이 사용자는 관리 노드에 대한 적절한 sudo 권한이 있습니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/vlan-ethernet.yml 플레이북을 생성합니다.

    ---
    - name: Configure a VLAN that uses an Ethernet connection
      hosts: node.example.com
      become: true
      tasks:
      - include_role:
          name: rhel-system-roles.network
    
        vars:
          network_connections:
            # Add an Ethernet profile for the underlying device of the VLAN
            - name: enp1s0
              type: ethernet
              interface_name: enp1s0
              autoconnect: yes
              state: up
              ip:
                dhcp4: no
                auto6: no
    
            # Define the VLAN profile
            - name: enp1s0.10
              type: vlan
              ip:
                address:
                  - "192.0.2.1/24"
                  - "2001:db8:1::1/64"
                gateway4: 192.0.2.254
                gateway6: 2001:db8:1::fffe
                dns:
                  - 192.0.2.200
                  - 2001:db8:1::ffbb
                dns_search:
                  - example.com
              vlan_id: 10
              parent: enp1s0
              state: up

    VLAN 프로필의 상위 속성은 enp1s0 장치 상단에서 작동하도록 VLAN을 구성합니다.

  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/vlan-ethernet.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/vlan-ethernet.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • ansible-playbook(1) 도움말 페이지

9장. VXLAN을 사용하여 VM의 가상 계층 2 도메인 만들기

VXLAN(Virtual extensible LAN)은 UDP 프로토콜을 사용하여 IP 네트워크를 통해 계층 2 트래픽을 터널링하는 네트워킹 프로토콜입니다. 예를 들어 다른 호스트에서 실행 중인 특정 VM(가상 머신)은 VXLAN 터널을 통해 통신할 수 있습니다. 호스트는 다른 서브넷에 있거나 전 세계 다른 데이터 센터에 있을 수 있습니다. VM의 관점에서 동일한 VXLAN의 다른 VM은 동일한 계층 2 도메인 내에 있습니다.

이 문서에서는 VM에 표시되지 않는 RHEL 호스트에서 VXLAN을 구성하는 방법을 설명합니다.

VXLAN 터널

이 예에서 RHEL-host-A 및 RHEL-host-B는 브리지 br0 을 사용하여 각 호스트에서 VM의 가상 네트워크를 MTU 10 이라는 VXLAN으로 연결합니다. 이 구성으로 인해 VXLAN은 VM에 표시되지 않으며 VM에는 특별한 구성이 필요하지 않습니다. 나중에 더 많은 VM을 동일한 가상 네트워크에 연결하면 VM이 동일한 가상 계층 2 도메인의 자동으로 멤버가 됩니다.

중요

일반 계층-2 트래픽과 마찬가지로 VXLAN의 데이터는 암호화되지 않습니다. 보안상의 이유로 VPN 또는 다른 유형의 암호화된 연결을 통해 VXLAN을 사용하십시오.

9.1. VXLAN의 이점

VXLAN(가상 확장 가능 LAN)은 다음과 같은 주요 이점을 제공합니다.

  • VXLAN은 24비트 ID를 사용합니다. 따라서 최대 16,777,216개의 격리된 네트워크를 생성할 수 있습니다. 예를 들어 VLAN(가상 LAN)은 4,096개의 격리된 네트워크만 지원합니다.
  • VXLAN은 IP 프로토콜을 사용합니다. 이를 통해 트래픽을 라우팅하고 사실상 동일한 계층 2 도메인 내의 다른 네트워크 및 위치에서 시스템을 실행할 수 있습니다.
  • 대부분의 터널 프로토콜과 달리 VXLAN은 지점 간 네트워크일 뿐만 아니라 지점 간 네트워크일 뿐입니다. VXLAN은 다른 끝점의 IP 주소를 동적으로 배우거나 정적으로 구성된 전달 항목을 사용할 수 있습니다.
  • 특정 네트워크 카드에서는 UDP 터널 관련 오프로드 기능을 지원합니다.

추가 리소스

  • /usr/share/doc/ kernel-doc - <kernel_version> /Documentation/networking/vxlan.rst

9.2. 호스트에서 이더넷 인터페이스 구성

RHEL VM 호스트를 이더넷에 연결하려면 네트워크 연결 프로필을 만들고, IP 설정을 구성하고, 프로필을 활성화합니다.

RHEL 호스트 둘 다에서 이 절차를 실행하고 그에 따라 IP 주소 구성을 조정합니다.

사전 요구 사항

  • 호스트가 이더넷 호스트에 연결되어 있습니다.

절차

  1. NetworkManager에 새 이더넷 연결 프로필을 추가합니다.

    # nmcli connection add con-name Example ifname enp1s0 type ethernet
  2. IPv4 설정을 구성합니다.

    # nmcli connection modify Example ipv4.addresses 198.51.100.2/24 ipv4.method manual ipv4.gateway 198.51.100.254 ipv4.dns 198.51.100.200 ipv4.dns-search example.com

    네트워크에서 DHCP를 사용하는 경우 이 단계를 건너뜁니다.

  3. 예제 연결을 활성화합니다.

    # nmcli connection up Example

검증

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp1s0      ethernet  connected  Example
  2. 원격 네트워크에서 호스트를 ping하여 IP 설정을 확인합니다.

    # ping RHEL-host-B.example.com

    해당 호스트에 네트워크를 구성하기 전에 다른 VM 호스트를 ping할 수 없습니다.

추가 리소스

  • nm-settings(5)

9.3. VXLAN이 연결된 네트워크 브리지 만들기

VM(가상 머신)에서 볼 수 없는 VXLAN(가상 확장 가능 LAN)을 만들려면 호스트에서 브리지를 만들고 VXLAN을 브리지에 연결합니다. NetworkManager를 사용하여 브리지와 VXLAN을 둘 다 만듭니다. 일반적으로 호스트에서 vnet* 라는 VM의 트래픽 액세스 포인트(TAP) 장치를 브리지에 추가하지 않습니다. libvirtd 서비스는 VM이 시작될 때 동적으로 추가합니다.

RHEL 호스트 모두에서 이 절차를 실행하고 그에 따라 IP 주소를 조정합니다.

절차

  1. 브리지 br0 을 만듭니다.

    # nmcli connection add type bridge con-name br0 ifname br0 ipv4.method disabled ipv6.method disabled

    이 명령은 계층 2에서 작동하므로 브리지 장치에 IPv4 및 IPv6 주소를 설정하지 않습니다.

  2. VXLAN 인터페이스를 만들고 br0 에 연결합니다.

    # nmcli connection add type vxlan slave-type bridge con-name br0-vxlan10 ifname vxlan10 id 10 local 198.51.100.2 remote 203.0.113.1 master br0

    이 명령은 다음 설정을 사용합니다.

    • id 10: VXLAN 식별자를 설정합니다.
    • local 198.51.100.2: 발신 패킷의 소스 IP 주소를 설정합니다.
    • remote 203.0.113.1: VXLAN 장치 전달 데이터베이스에서 대상 링크 계층 주소를 알 수 없는 경우 나가는 패킷에 사용할 유니캐스트 또는 멀티캐스트 IP 주소를 설정합니다.
    • 마스터 br0: 이 VXLAN 연결을 br0 연결에서 포트로 만들도록 설정합니다.
    • ipv4.method 비활성화ipv6.method: 브리지에서 IPv4 및 IPv6를 비활성화합니다.

    기본적으로 NetworkManager는 8472 를 대상 포트로 사용합니다. 대상 포트가 다른 경우 destination-port < port_number> 옵션을 명령에 전달합니다.

  3. br0 연결 프로필을 활성화합니다.

    # nmcli connection up br0
  4. 로컬 방화벽에서 들어오는 UDP 연결에 대해 포트 8472 를 엽니다.

    # firewall-cmd --permanent --add-port=8472/udp
    # firewall-cmd --reload

검증

  • 전달 테이블을 표시합니다.

    # bridge fdb show dev vxlan10
    2a:53:bd:d5:b3:0a master br0 permanent
    00:00:00:00:00:00 dst 203.0.113.1 self permanent
    ...

추가 리소스

  • nm-settings(5)

9.4. 기존 브리지를 사용하여 libvirt에서 가상 네트워크 만들기

VM(가상 머신)에서 연결된 VXLAN(가상 확장 가능 LAN)이 있는 br0 브릿지를 사용하려면 먼저 이 브리지를 사용하는 libvirtd 서비스에 가상 네트워크를 추가합니다.

사전 요구 사항

  • libvirt 패키지를 설치했습니다.
  • libvirtd 서비스를 시작하고 활성화했습니다.
  • RHEL에서 VXLAN을 사용하여 br0 장치를 구성했습니다.

절차

  1. 다음 콘텐츠를 사용하여 ~/vxlan10-bridge.xml 파일을 만듭니다.

    <network>
     <name>vxlan10-bridge</name>
     <forward mode="bridge" />
     <bridge name="br0" />
    </network>
  2. ~/vxlan10-bridge.xml 파일을 사용하여 libvirt 에 새 가상 네트워크를 만듭니다.

    # virsh net-define ~/vxlan10-bridge.xml
  3. ~/vxlan10-bridge.xml 파일을 제거합니다.

    # rm ~/vxlan10-bridge.xml
  4. rhcos 10-bridge 가상 네트워크를 시작합니다.

    # virsh net-start vxlan10-bridge
  5. libvirtd 서비스가 시작될 때 자동으로 시작하도록 644310- bridge 가상 네트워크를 구성합니다.

    # virsh net-autostart vxlan10-bridge

검증

  • 가상 네트워크 목록을 표시합니다.

    # virsh net-list
     Name              State    Autostart   Persistent
    ----------------------------------------------------
     vxlan10-bridge    active   yes         yes
     ...

추가 리소스

  • virsh(1) 도움말 페이지

9.5. VXLAN을 사용하도록 가상 머신 구성

호스트의 VXLAN(가상 확장 가능 LAN)이 연결된 브릿지 장치를 사용하도록 VM을 구성하려면 해당 네트워크를 사용하도록 기존 VM을 사용하여 새 VM을 만들거나 기존 VM의 설정을 업데이트합니다.

RHEL 호스트에서 다음 절차를 수행하십시오.

사전 요구 사항

  • libvirtd 에서 644 310-bridge 가상 네트워크를 구성했습니다.

절차

  • 새 VM을 생성하고 KnativeServing 10-bridge 네트워크를 사용하도록 구성하려면 VM을 생성할 때 --network network:octets10-bridge 옵션을 virt-install 명령에 전달합니다.

    # virt-install ... --network network:vxlan10-bridge
  • 기존 VM의 네트워크 설정을 변경하려면 다음을 수행합니다.

    1. VM의 네트워크 인터페이스를#161 10-bridge 가상 네트워크에 연결합니다.

      # virt-xml VM_name --edit --network network=vxlan10-bridge
    2. VM을 종료하고 다시 시작합니다.

      # virsh shutdown VM_name
      # virsh start VM_name

검증

  1. 호스트에 VM의 가상 네트워크 인터페이스를 표시합니다.

    # virsh domiflist VM_name
     Interface   Type     Source           Model    MAC
    -------------------------------------------------------------------
     vnet1       bridge   vxlan10-bridge   virtio   52:54:00:c5:98:1c
  2. dhcp 10-bridge 브리지에 연결된 인터페이스를 표시합니다.

    # ip link show master vxlan10-bridge
    18: vxlan10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UNKNOWN mode DEFAULT group default qlen 1000
        link/ether 2a:53:bd:d5:b3:0a brd ff:ff:ff:ff:ff:ff
    19: vnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UNKNOWN mode DEFAULT group default qlen 1000
        link/ether 52:54:00:c5:98:1c brd ff:ff:ff:ff:ff:ff

    libvirtd 서비스는 브리지 구성을 동적으로 업데이트합니다. KnativeServing 10-bridge 네트워크를 사용하는 VM을 시작하면 호스트의 해당 vnet* 장치가 브리지 포트로 표시됩니다.

  3. ARP(Address resolution protocol) 요청을 사용하여 VM이 동일한 VXLAN에 있는지 확인합니다.

    1. 동일한 VXLAN에서 두 개 이상의 VM을 시작합니다.
    2. 하나의 VM에서 ARP 요청을 다른 VM으로 보냅니다.

      # arping -c 1 192.0.2.2
      ARPING 192.0.2.2 from 192.0.2.1 enp1s0
      Unicast reply from 192.0.2.2 [52:54:00:c5:98:1c] 1.450ms
      Sent 1 probe(s) (0 broadcast(s))
      Received 1 response(s) (0 request(s), 0 broadcast(s))

      명령에 회신이 표시되면 VM이 동일한 계층 2 도메인에 있고, 이 경우 VXLAN입니다.

      arping 유틸리티를 사용하도록 iputils 패키지를 설치합니다.

추가 리소스

  • virt-install(1) 도움말 페이지
  • virt-xml(1) 도움말 페이지
  • virsh(1) 도움말 페이지
  • arping(8) 도움말 페이지

10장. 네트워크 브리지 구성

네트워크 브리지는 MAC 주소 테이블을 기반으로 네트워크 간에 트래픽을 전달하는 링크 계층 장치입니다. 브리지는 네트워크 트래픽을 수신 대기하여 MAC 주소 테이블을 빌드하여 각 네트워크에 연결된 호스트를 학습합니다. 예를 들어 Red Hat Enterprise Linux 호스트에서 소프트웨어 브릿지를 사용하여 하드웨어 브릿지 또는 가상화 환경을 에뮬레이션하여 가상 머신(VM)을 호스트와 동일한 네트워크에 통합할 수 있습니다.

브릿지에는 브리지가 연결해야 하는 각 네트워크에 네트워크 장치가 필요합니다. 브리지를 구성하면 브리지를 controller 라고 하며 포트를 사용하는 장치입니다.

다음과 같은 다양한 유형의 장치에서 브리지를 만들 수 있습니다.

  • 물리적 및 가상 이더넷 장치
  • 네트워크 본딩
  • 네트워크 팀
  • VLAN 장치

무선-Fi에서 효율적인 사용을 위해 유선-Fi에서 3개의 주소 프레임 사용을 지정하는 IEEE.16.0 표준으로 인해 Ad-Hoc 또는 인프라 모드에서 작동하는 Wi-Fi 네트워크를 통한 브릿지를 구성할 수 없습니다.

10.1. nmcli 명령을 사용하여 네트워크 브리지 구성

이 섹션에서는 nmcli 유틸리티를 사용하여 네트워크 브리지를 구성하는 방법을 설명합니다.

사전 요구 사항

절차

  1. 브리지 인터페이스를 만듭니다.

    # nmcli connection add type bridge con-name bridge0 ifname bridge0

    이 명령은 bridge0 이라는 브릿지를 생성하고 다음을 입력합니다.

  2. 네트워크 인터페이스를 표시하고 브리지에 추가할 인터페이스의 이름을 기록해 둡니다.

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp7s0  ethernet  disconnected  --
    enp8s0  ethernet  disconnected  --
    bond0   bond      connected     bond0
    bond1   bond      connected     bond1
    ...

    이 예제에서는 다음을 수행합니다.

    • enp7s0enp8s0 은 구성되지 않습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 연결 프로필을 추가합니다.
    • bond0bond1 에는 기존 연결 프로필이 있습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 프로필을 수정합니다.
  3. 인터페이스를 브리지에 할당합니다.

    1. 브릿지에 할당하려는 인터페이스가 구성되지 않은 경우 해당 인터페이스에 대한 새 연결 프로필을 생성합니다.

      # nmcli connection add type ethernet slave-type bridge con-name bridge0-port1 ifname enp7s0 master bridge0
      # nmcli connection add type ethernet slave-type bridge con-name bridge0-port2 ifname enp8s0 master bridge0

      이 명령은 enp7s0enp8s0 에 대한 프로필을 생성하여 bridge0 연결에 추가합니다.

    2. 기존 연결 프로필을 브리지에 할당하려면 bridge0 에 이러한 연결의 master 매개변수를 설정합니다.

      # nmcli connection modify bond0 master bridge0
      # nmcli connection modify bond1 master bridge0

      이러한 명령은 bond0bond1 이라는 기존 연결 프로필을 bridge0 연결에 할당합니다.

  4. 브리지의 IP 설정을 구성합니다. 이 브릿지를 다른 장치의 포트로 사용하려면 이 단계를 건너뜁니다.

    1. IPv4 설정을 구성합니다. 예를 들어 bridge0 연결의 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정하려면 다음을 입력합니다.

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify bridge0 ipv4.gateway '192.0.2.254'
      # nmcli connection modify bridge0 ipv4.dns '192.0.2.253'
      # nmcli connection modify bridge0 ipv4.dns-search 'example.com'
      # nmcli connection modify bridge0 ipv4.method manual
    2. IPv6 설정을 구성합니다. 예를 들어 bridge0 연결의 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정하려면 다음을 입력합니다.

      # nmcli connection modify bridge0 ipv6.addresses '2001:db8:1::1/64'
      # nmcli connection modify bridge0 ipv6.gateway '2001:db8:1::fffe'
      # nmcli connection modify bridge0 ipv6.dns '2001:db8:1::fffd'
      # nmcli connection modify bridge0 ipv6.dns-search 'example.com'
      # nmcli connection modify bridge0 ipv6.method manual
  5. 선택 사항: 브릿지의 추가 속성을 구성합니다. 예를 들어 bridge0 의 스파nning Tree Protocol(STP) 우선 순위를 16384 로 설정하려면 다음을 입력합니다.

    # nmcli connection modify bridge0 bridge.priority '16384'

    기본적으로 STP는 활성화됩니다.

  6. 연결을 활성화합니다.

    # nmcli connection up bridge0
  7. 포트가 연결되어 있고 CONNECTION 열에 포트의 연결 이름이 표시되는지 확인합니다.

    # nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    enp7s0   ethernet  connected  bridge0-port1
    enp8s0   ethernet  connected  bridge0-port2

    연결 포트를 활성화하면 NetworkManager도 브리지를 활성화하지만 다른 포트도 활성화되지 않습니다. 브리지가 활성화된 경우 Red Hat Enterprise Linux가 모든 포트를 자동으로 활성화하도록 구성할 수 있습니다.

    1. 브리지 연결의 connection.autoconnect-slaves 매개변수를 활성화합니다.

      # nmcli connection modify bridge0 connection.autoconnect-slaves 1
    2. 브리지를 다시 활성화합니다.

      # nmcli connection up bridge0

검증 단계

  • ip 유틸리티를 사용하여 특정 브릿지의 포트인 이더넷 장치의 링크 상태를 표시합니다.

    # ip link show master bridge0
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff
  • 브리지 유틸리티를 사용하여 모든 브리지 장치의 포트인 이더넷 장치의 상태를 표시합니다.

    # bridge link show
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
    5: enp9s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state forwarding priority 32 cost 100
    6: enp11s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state blocking priority 32 cost 100
    ...

    특정 이더넷 장치의 상태를 표시하려면 bridge link show dev ethernet_device_name 명령을 사용합니다.

추가 리소스

10.2. RHEL 웹 콘솔을 사용하여 네트워크 브리지 구성

이 섹션에서는 RHEL 웹 콘솔을 사용하여 네트워크 브릿지를 구성하는 방법을 설명합니다.

사전 요구 사항

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. Interfaces (interface) 섹션에서 Add bridge ( 브리지 추가)를 클릭합니다.
  3. 만들 브릿지 장치의 이름을 입력합니다.
  4. 브리지의 포트여야 하는 인터페이스를 선택합니다.
  5. 선택 사항: Spanning 트리 프로토콜(STP) 기능을 활성화하여 브리지 루프 및 브로드캐스트 방사능을 방지합니다.

    브릿지 설정
  6. Apply(적용)를 클릭합니다.
  7. 기본적으로 브리지는 동적 IP 주소를 사용합니다. 고정 IP 주소를 설정하려면 다음을 수행합니다.

    1. Interfaces (interface) 섹션에서 브리지 이름을 클릭합니다.
    2. 구성할 프로토콜 옆에 있는 편집 을 클릭합니다.
    3. 주소 옆에 있는 Manual 을 선택하고 IP 주소, 접두사 및 기본 게이트웨이를 입력합니다.
    4. DNS 섹션에서 + 버튼을 클릭하고 DNS 서버의 IP 주소를 입력합니다. 이 단계를 반복하여 여러 DNS 서버를 설정합니다.
    5. DNS 검색 도메인 섹션에서 + 버튼을 클릭하고 검색 도메인을 입력합니다.
    6. 인터페이스에 정적 경로가 필요한 경우 Routes 섹션에서 해당 경로를 구성합니다.

      bond team bridge vlan.ipv4
    7. 적용을클릭합니다.

검증

  1. 화면 왼쪽의 탐색에서 Networking 탭을 선택하고 인터페이스에 들어오고 나가는 트래픽이 있는지 확인합니다.

    bridge verify

10.3. nm-connection-editor를 사용하여 네트워크 브리지 구성

이 섹션에서는 nm-connection-editor 애플리케이션을 사용하여 네트워크 브리지를 구성하는 방법을 설명합니다.

nm-connection-editor 는 브리지에 새 포트만 추가할 수 있습니다. 기존 연결 프로필을 포트로 사용하려면 nmcli 명령을 사용하여 네트워크 브릿지 구성에 설명된 대로 nmcli 유틸리티를 사용하여 브리지를 생성합니다.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 브리지의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 본딩 또는 VLAN 장치를 브리지 포트로 사용하려면 이러한 장치가 아직 구성되어 있지 않은지 확인합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. 브리지 연결 유형을 선택하고 만들기 를 클릭합니다.
  4. 브리지 탭에서 다음을 수행합니다.

    1. 선택 사항: 인터페이스 이름 필드에 브리지 인터페이스의 이름을 설정합니다.
    2. Add (추가) 버튼을 클릭하여 네트워크 인터페이스의 새 연결 프로필을 생성하고 해당 프로필을 브리지에 포트로 추가합니다.

      1. 인터페이스의 연결 유형을 선택합니다. 예를 들어 유선 연결을 위해 이더넷 을 선택합니다.
      2. 선택적으로 포트 장치의 연결 이름을 설정합니다.
      3. 이더넷 장치에 대한 연결 프로필을 생성하는 경우 이더넷 탭을 열고 Device (장치) 필드에서 선택하고, 브릿지에 포트로 추가할 네트워크 인터페이스를 선택합니다. 다른 장치 유형을 선택한 경우 적절하게 구성합니다.
      4. 저장을 클릭합니다.
    3. 브리지에 추가할 각 인터페이스에 대해 이전 단계를 반복합니다.

      add nic to bridge in nm connection editor

  5. 선택 사항: Spanning Tree Protocol(STP) 옵션과 같은 추가 브릿지 설정을 구성합니다.
  6. 브리지의 IP 설정을 구성합니다. 이 브릿지를 다른 장치의 포트로 사용하려면 이 단계를 건너뜁니다.

    1. IPv4 Settings 탭에서 IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정합니다.

      bridge IPv4 settings nm connection editor

    2. IPv6 Settings 탭에서 IPv6 설정을 구성합니다. 예를 들어 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정합니다.

      bridge IPv6 settings nm connection editor

  7. 브리지 연결을 저장합니다.
  8. nm-connection-editor 를 닫습니다.

검증 단계

  • ip 유틸리티를 사용하여 특정 브리지의 포트인 이더넷 장치의 링크 상태를 표시합니다.

    # ip link show master bridge0
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff
  • 브리지 유틸리티를 사용하여 모든 브리지 장치에 포트인 이더넷 장치의 상태를 표시합니다.

    # bridge link show
    3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
    4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
    5: enp9s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state forwarding priority 32 cost 100
    6: enp11s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge1 state blocking priority 32 cost 100
    ...

    특정 이더넷 장치의 상태를 표시하려면 bridge link show dev ethernet_device_name 명령을 사용합니다.

10.4. nmstatectl을 사용하여 네트워크 브리지 구성

이 섹션에서는 nmstatectl 유틸리티를 사용하여 다음 설정으로 Linux 네트워크 브리지 bridge0 을 구성하는 방법을 설명합니다.

  • 브리지의 네트워크 인터페이스인 enp1s0enp7s0
  • 스패닝 트리 프로토콜(STP) enabled
  • 정적 IPv4 주소: /24 서브넷 마스크가 있는 192.0.2.1
  • 정적 IPv6 주소: 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이: 192.0.2.254
  • IPv6 기본 게이트웨이: 2001:db8:1::fffe
  • IPv4 DNS 서버: 192.0.2.200
  • IPv6 DNS 서버: 2001:db8:1::ffbb
  • DNS 검색 도메인: example.com

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 브리지의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 본딩 또는 VLAN 장치를 브리지에서 포트로 사용하려면 포트 목록에서 인터페이스 이름을 설정하고 해당 인터페이스를 정의합니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-bridge.yml )을 만듭니다.

    ---
    interfaces:
    - name: bridge0
      type: linux-bridge
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      bridge:
        options:
          stp:
            enabled: true
        port:
          - name: enp1s0
          - name: enp7s0
    - name: enp1s0
      type: ethernet
      state: up
    - name: enp7s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: bridge0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: bridge0
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-bridge.yml

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    bridge0     bridge    connected  bridge0
  2. 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show bridge0
    connection.id:              bridge0
    connection.uuid:            e2cc9206-75a2-4622-89cf-1252926060a9
    connection.stable-id:       --
    connection.type:            bridge
    connection.interface-name:  bridge0
    ...
  3. 연결 설정을 YAML 형식으로 표시합니다.

    # nmstatectl show bridge0

추가 리소스

11장. 네트워크 티밍 구성

이 섹션에서는 네트워크 티밍의 기본 사항, 본딩과 팀 간의 차이점, Red Hat Enterprise Linux에서 네트워크 팀을 구성하는 방법에 대해 설명합니다.

중요

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 대안으로 네트워크 본딩 드라이버를 사용하는 것이 좋습니다. 자세한 내용은 네트워크 본딩 구성 을 참조하십시오.

다음과 같은 다양한 유형의 장치에서 네트워크 팀을 생성할 수 있습니다.

  • 물리적 및 가상 이더넷 장치
  • 네트워크 본딩
  • 네트워크 브리지
  • VLAN 장치

11.1. 네트워크 팀 구성을 네트워크 본딩으로 마이그레이션

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 작업 중인 네트워크 팀이 이미 구성되어 있는 경우(예: 이전 RHEL 버전에서 업그레이드한 경우 NetworkManager에서 관리하는 네트워크 본딩으로 구성을 마이그레이션할 수 있습니다.

중요

team2bond 유틸리티는 네트워크 팀 구성만 본딩으로 변환합니다. 이후 IP 주소 및 DNS 구성과 같은 본딩의 추가 설정을 수동으로 구성해야 합니다.

사전 요구 사항

  • team-team0 NetworkManager 연결 프로필이 구성되어 team0 장치를 관리합니다.
  • teamd 패키지가 설치되어 있습니다.

절차

  1. 선택 사항: team-team0 NetworkManager 연결의 IP 구성을 표시합니다.

    # nmcli connection show team-team0 | egrep "^ip"
    ...
    ipv4.method:                            manual
    ipv4.dns:                               192.0.2.253
    ipv4.dns-search:                        example.com
    ipv4.addresses:                         192.0.2.1/24
    ipv4.gateway:                           192.0.2.254
    ...
    ipv6.method:                            manual
    ipv6.dns:                               2001:db8:1::fffd
    ipv6.dns-search:                        example.com
    ipv6.addresses:                         2001:db8:1::1/64
    ipv6.gateway:                           2001:db8:1::fffe
    ...
  2. team0 장치의 구성을 JSON 파일로 내보냅니다.

    # teamdctl team0 config dump actual > /tmp/team0.json
  3. 네트워크 팀을 제거합니다. 예를 들어 NetworkManager에서 팀을 구성한 경우 team-team0 연결 프로필과 연결된 포트의 프로필을 제거합니다.

    # nmcli connection delete team-team0
    # nmcli connection delete team-team0-port1
    # nmcli connection delete team-team0-port2
  4. 시험 실행 모드에서 team2bond 유틸리티를 실행하여 팀 장치와 유사한 설정으로 네트워크 본딩을 설정하는 nmcli 명령을 표시합니다.

    # team2bond --config=/tmp/team0.json --rename=bond0
    nmcli con add type bond ifname bond0 bond.options "mode=active-backup,num_grat_arp=1,num_unsol_na=1,resend_igmp=1,miimon=100,miimon=100"
    nmcli con add type ethernet ifname enp7s0 master bond0
    nmcli con add type ethernet ifname enp8s0 master bond0

    첫 번째 명령에는 팀 구성 파일에 두 개의 link_watch 항목이 포함되어 있기 때문에 두 개의 miimon 옵션이 포함되어 있습니다. 이는 본딩 생성에는 영향을 미치지 않습니다.

    팀의 장치 이름에 서비스를 바인딩하고 이러한 서비스를 업데이트하거나 중단하지 않으려면 --rename=bond0 옵션을 생략합니다. 이 경우 team2bond 는 본딩에 대해 팀과 동일한 인터페이스 이름을 사용합니다.

  5. team2bond 유틸리티에서 권장하는 본딩 옵션이 올바른지 확인합니다.
  6. 본딩을 만듭니다. 제안된 nmcli 명령을 실행하거나 --exec-cmd 옵션을 사용하여 team2bond 명령을 다시 실행할 수 있습니다.

    # team2bond --config=/tmp/team0.json --rename=bond0 --exec-cmd
    Connection 'bond-bond0' (0241a531-0c72-4202-80df-73eadfc126b5) successfully added.
    Connection 'bond-slave-enp7s0' (38489729-b624-4606-a784-1ccf01e2f6d6) successfully added.
    Connection 'bond-slave-enp8s0' (de97ec06-7daa-4298-9a71-9d4c7909daa1) successfully added.

    다음 단계에서 본딩 연결 프로필(bond-bond0)의 이름이 필요합니다.

  7. 이전에 team-team0 에 구성된 IPv4 설정을 bond-bond0 연결로 설정합니다.

    # nmcli connection modify bond-bond0 ipv4.addresses '192.0.2.1/24'
    # nmcli connection modify bond-bond0 ipv4.gateway '192.0.2.254'
    # nmcli connection modify bond-bond0 ipv4.dns '192.0.2.253'
    # nmcli connection modify bond-bond0 ipv4.dns-search 'example.com'
    # nmcli connection modify bond-bond0 ipv4.method manual
  8. team-team0 에 이전에 구성된 IPv6 설정을 bond-bond0 연결로 설정합니다.

    # nmcli connection modify bond-bond0 ipv6.addresses '2001:db8:1::1/64'
    # nmcli connection modify bond-bond0 ipv6.gateway '2001:db8:1::fffe'
    # nmcli connection modify bond-bond0 ipv6.dns '2001:db8:1::fffd'
    # nmcli connection modify bond-bond0 ipv6.dns-search 'example.com'
    # nmcli connection modify bond-bond0 ipv6.method manual
  9. 연결을 활성화합니다.

    # nmcli connection up bond-bond0

검증

  1. bond-bond0 NetworkManager 연결의 IP 구성을 표시합니다.

    # nmcli connection show bond-bond0 | egrep "^ip"
    ...
    ipv4.method:                            manual
    ipv4.dns:                               192.0.2.253
    ipv4.dns-search:                        example.com
    ipv4.addresses:                         192.0.2.1/24
    ipv4.gateway:                           192.0.2.254
    ...
    ipv6.method:                            manual
    ipv6.dns:                               2001:db8:1::fffd
    ipv6.dns-search:                        example.com
    ipv6.addresses:                         2001:db8:1::1/64
    ipv6.gateway:                           2001:db8:1::fffe
    ...
  2. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0
    Ethernet Channel Bonding Driver: v5.13.0-0.rc7.51.el9.x86_64
    
    Bonding Mode: fault-tolerance (active-backup)
    Primary Slave: None
    Currently Active Slave: enp7s0
    MII Status: up
    MII Polling Interval (ms): 100
    Up Delay (ms): 0
    Down Delay (ms): 0
    Peer Notification Delay (ms): 0
    
    Slave Interface: enp7s0
    MII Status: up
    Speed: Unknown
    Duplex: Unknown
    Link Failure Count: 0
    Permanent HW addr: 52:54:00:bf:b1:a9
    Slave queue ID: 0
    
    Slave Interface: enp8s0
    MII Status: up
    Speed: Unknown
    Duplex: Unknown
    Link Failure Count: 0
    Permanent HW addr: 52:54:00:04:36:0f
    Slave queue ID: 0

    이 예에서는 두 포트가 모두 유효합니다.

  3. 본딩 장애 조치가 작동하는지 확인하려면 다음을 수행합니다.

    1. 호스트에서 네트워크 케이블을 일시적으로 제거합니다. 명령줄을 사용하여 링크 실패 이벤트를 올바르게 테스트하는 방법이 없습니다.
    2. 본딩 상태를 표시합니다.

      # cat /proc/net/bonding/bond0

11.2. 네트워크 팀 구성 이해

네트워크 팀은 네트워크 인터페이스를 결합하거나 집계하여 처리량 또는 중복성이 높은 논리 인터페이스를 제공하는 기능입니다.

네트워크 팀은 커널 드라이버를 사용하여 패킷 흐름을 빠르게 처리하고 다른 작업에 대한 사용자 공간 라이브러리 및 서비스를 구현합니다. 이를 통해 네트워크 팀은 로드 밸런싱 및 중복 요구 사항에 맞게 쉽게 확장 가능하고 확장 가능한 솔루션입니다.

중요

장애 조치 메커니즘과 같은 특정 네트워크 팀 지정 기능은 네트워크 스위치 없이 직접 유선 연결을 지원하지 않습니다. 자세한 내용은 Is bonding supported with direct connection using crossover addresses를 참조하십시오. https://access.redhat.com/solutions/202583

11.3. 컨트롤러 및 포트 인터페이스의 기본 동작 이해

NetworkManager 서비스를 사용하여 팀 또는 본딩 포트 인터페이스를 관리하거나 해결할 때 다음과 같은 기본 동작을 고려하십시오.

  • 컨트롤러 인터페이스를 시작하면 포트 인터페이스가 자동으로 시작되지 않습니다.
  • 포트 인터페이스를 시작하면 항상 컨트롤러 인터페이스가 시작됩니다.
  • 컨트롤러 인터페이스를 중지하면 포트 인터페이스도 중지됩니다.
  • 포트가 없는 컨트롤러는 고정 IP 연결을 시작할 수 있습니다.
  • 포트 없는 컨트롤러는 DHCP 연결을 시작할 때 포트를 대기합니다.
  • 포트를 기다리는 DHCP 연결이 있는 컨트롤러는 캐리어가 있는 포트를 추가할 때 완료됩니다.
  • 포트를 기다리는 DHCP 연결이 있는 컨트롤러는 캐리어 없이 포트를 추가할 때 계속 대기합니다.

11.5. teamd 서비스 설치

NetworkManager 에서 네트워크 팀을 구성하려면 NetworkManagerteamd 서비스 및 팀 플러그인이 필요합니다. 둘 다 기본적으로 Red Hat Enterprise Linux에 설치됩니다. 이 섹션에서는 해당 패키지를 제거하는 경우 필요한 패키지를 설치하는 방법을 설명합니다.

사전 요구 사항

  • 활성 Red Hat 서브스크립션이 호스트에 할당됩니다.

절차

  • teamdNetworkManager-team 패키지를 설치합니다.

    # dnf install teamd NetworkManager-team

11.6. nmcli 명령을 사용하여 네트워크 팀 구성

이 섹션에서는 nmcli 유틸리티를 사용하여 네트워크 팀을 구성하는 방법을 설명합니다.

중요

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 대안으로 네트워크 본딩 드라이버를 사용하는 것이 좋습니다. 자세한 내용은 네트워크 본딩 구성 을 참조하십시오.

사전 요구 사항

절차

  1. 팀 인터페이스를 생성합니다.

    # nmcli connection add type team con-name team0 ifname team0 team.runner activebackup

    이 명령은 activebackup 러너를 사용하는 team0 이라는 네트워크 팀을 생성합니다.

  2. 선택적으로 링크 감시자를 설정합니다. 예를 들어 team0 연결 프로필에서 ethtool 링크 감시자를 설정하려면 다음을 수행합니다.

    # nmcli connection modify team0 team.link-watchers "name=ethtool"

    링크 감시자는 서로 다른 매개 변수를 지원합니다. 링크 감시자의 매개변수를 설정하려면 이름 속성에 공백을 구분하여 지정합니다. name 속성은 따옴표로 묶어야 합니다. 예를 들어 ethtool 링크 감시자를 사용하고 delay-up 매개 변수를 2500 밀리초 (2.5 초)로 설정하려면 다음을 수행하십시오.

    # nmcli connection modify team0 team.link-watchers "name=ethtool delay-up=2500"

    여러 링크 감시자와 특정 매개 변수를 사용하여 각각을 설정하려면 링크 감시자를 쉼표로 구분해야 합니다. 다음 예제에서는 delay-up 매개변수와 source-hosttarget-host 매개변수를 사용하여 arp_ping 링크 감시자를 사용하여 ethtool 링크 감시자를 설정합니다.

    # nmcli connection modify team0 team.link-watchers "name=ethtool delay-up=2, name=arp_ping source-host=192.0.2.1 target-host=192.0.2.2"
  3. 네트워크 인터페이스를 표시하고 팀에 추가하려는 인터페이스의 이름을 기록해 둡니다.

    # nmcli device status
    DEVICE  TYPE      STATE         CONNECTION
    enp7s0  ethernet  disconnected  --
    enp8s0  ethernet  disconnected  --
    bond0   bond      connected  bond0
    bond1   bond      connected  bond1
    ...

    이 예제에서는 다음을 수행합니다.

    • enp7s0enp8s0 은 구성되지 않습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 연결 프로필을 추가합니다. 연결에 할당되지 않은 팀의 이더넷 인터페이스만 사용할 수 있습니다.
    • bond0bond1 에는 기존 연결 프로필이 있습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 프로필을 수정합니다.
  4. 팀에 포트 인터페이스를 할당합니다.

    1. 팀에 할당하려는 인터페이스가 구성되지 않은 경우 해당 인스턴스에 대한 새 연결 프로필을 생성합니다.

      # nmcli connection add type ethernet slave-type team con-name team0-port1 ifname enp7s0 master team0
      # nmcli connection add type ethernet slave-type team con-name team0-port2 ifname enp8s0 master team0

      . 이러한 명령은 enp7s0enp8s0 에 대한 프로필을 생성하여 team0 연결에 추가합니다.

    2. 팀에 기존 연결 프로필을 할당하려면 team0 에 이러한 연결의 master 매개변수를 설정합니다.

      # nmcli connection modify bond0 master team0
      # nmcli connection modify bond1 master team0

      이러한 명령은 bond0bond1 이라는 기존 연결 프로필을 team0 연결에 할당합니다.

  5. 팀의 IP 설정을 구성합니다. 이 팀을 다른 장치의 포트로 사용하려면 이 단계를 건너뜁니다.

    1. IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 team0 연결에 설정하려면 다음을 입력합니다.

      # nmcli connection modify team0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify team0 ipv4.gateway '192.0.2.254'
      # nmcli connection modify team0 ipv4.dns '192.0.2.253'
      # nmcli connection modify team0 ipv4.dns-search 'example.com'
      # nmcli connection modify team0 ipv4.method manual
    2. IPv6 설정을 구성합니다. 예를 들어 team0 연결의 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정하려면 다음을 입력합니다.

      # nmcli connection modify team0 ipv6.addresses '2001:db8:1::1/64'
      # nmcli connection modify team0 ipv6.gateway '2001:db8:1::fffe'
      # nmcli connection modify team0 ipv6.dns '2001:db8:1::fffd'
      # nmcli connection modify team0 ipv6.dns-search 'example.com'
      # nmcli connection modify team0 ipv6.method manual
  6. 연결을 활성화합니다.

    # nmcli connection up team0

검증 단계

  • 팀 상태를 표시합니다.

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

    이 예에서는 두 포트가 모두 유효합니다.

추가 리소스

11.7. RHEL 웹 콘솔을 사용하여 네트워크 팀 구성

이 섹션에서는 RHEL 웹 콘솔을 사용하여 네트워크 팀을 구성하는 방법을 설명합니다.

중요

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 대안으로 네트워크 본딩 드라이버를 사용하는 것이 좋습니다. 자세한 내용은 네트워크 본딩 구성 을 참조하십시오.

사전 요구 사항

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. 인터페이스 섹션에서 팀 추가를 클릭합니다.
  3. 생성할 팀 장치의 이름을 입력합니다.
  4. 팀의 포트여야 하는 인터페이스를 선택합니다.
  5. 팀의 러너를 선택합니다.

    로드 밸런싱 또는 802.3ad LACP 를 선택하면 웹 콘솔에 추가 필드 밸런서 가 표시됩니다.

  6. 링크 감시자를 설정합니다.

    • Ethtool 을 선택하는 경우 링크를 설정하고 지연을 연결하십시오.
    • ARP ping 또는 NSNA ping 을 설정하는 경우 ping 간격 및 ping 대상을 설정합니다.
    팀 설정
  7. Apply(적용)를 클릭합니다.
  8. 기본적으로 팀은 동적 IP 주소를 사용합니다. 고정 IP 주소를 설정하려면 다음을 수행합니다.

    1. Interfaces (interface) 섹션에서 팀의 이름을 클릭합니다.
    2. 구성할 프로토콜 옆에 있는 편집 을 클릭합니다.
    3. 주소 옆에 있는 Manual 을 선택하고 IP 주소, 접두사 및 기본 게이트웨이를 입력합니다.
    4. DNS 섹션에서 + 버튼을 클릭하고 DNS 서버의 IP 주소를 입력합니다. 이 단계를 반복하여 여러 DNS 서버를 설정합니다.
    5. DNS 검색 도메인 섹션에서 + 버튼을 클릭하고 검색 도메인을 입력합니다.
    6. 인터페이스에 정적 경로가 필요한 경우 Routes 섹션에서 해당 경로를 구성합니다.

      bond team bridge vlan.ipv4
    7. 적용을클릭합니다.

검증

  1. 화면 왼쪽의 탐색에서 Networking 탭을 선택하고 인터페이스에 들어오고 나가는 트래픽이 있는지 확인합니다.

    팀 확인
  2. 팀 상태를 표시합니다.

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

    이 예에서는 두 포트가 모두 유효합니다.

추가 리소스

11.8. nm-connection-editor를 사용하여 네트워크 팀 구성

이 섹션에서는 nm-connection-editor 애플리케이션을 사용하여 네트워크 팀을 구성하는 방법을 설명합니다.

nm-connection-editor 는 팀에 새 포트만 추가할 수 있습니다. 기존 연결 프로필을 포트로 사용하려면 nmcli 명령을 사용하여 네트워크 팀 구성에 설명된 대로 nmcli 유틸리티를 사용하여 팀을 생성합니다.

중요

네트워크 티밍은 Red Hat Enterprise Linux 9에서 더 이상 사용되지 않습니다. 대안으로 네트워크 본딩 드라이버를 사용하는 것이 좋습니다. 자세한 내용은 네트워크 본딩 구성 을 참조하십시오.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 팀의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 본딩 또는 VLAN 장치를 팀의 포트로 사용하려면 이러한 장치가 아직 구성되어 있지 않은지 확인합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. 연결 유형을 선택하고 생성을 클릭합니다.
  4. 탭에서 다음을 수행합니다.

    1. 선택 사항: 인터페이스 이름 필드에 팀 인터페이스의 이름을 설정합니다.
    2. Add 버튼을 클릭하여 네트워크 인터페이스의 새 연결 프로필을 추가하고 해당 프로필을 팀에 포트로 추가합니다.

      1. 인터페이스의 연결 유형을 선택합니다. 예를 들어 유선 연결을 위해 이더넷 을 선택합니다.
      2. 선택 사항: 포트에 대한 연결 이름을 설정합니다.
      3. 이더넷 장치에 대한 연결 프로필을 생성하는 경우 이더넷 탭을 열고 장치 필드에서 팀에 포트로 추가할 네트워크 인터페이스를 선택합니다. 다른 장치 유형을 선택한 경우 적절하게 구성합니다. 연결에 할당되지 않은 팀의 이더넷 인터페이스만 사용할 수 있습니다.
      4. 저장을 클릭합니다.
    3. 팀에 추가할 각 인터페이스에 대해 이전 단계를 반복합니다.

      add nic to team in nm connection editor

    4. 고급 버튼을 클릭하여 고급 옵션을 팀 연결에 설정합니다.

      1. Runner 탭에서 러너를 선택합니다.
      2. Link Watcher 탭에서 링크 감시자 및 선택적 설정을 설정합니다.
      3. OK를 클릭합니다.
  5. 팀의 IP 설정을 구성합니다. 이 팀을 다른 장치의 포트로 사용하려면 이 단계를 건너뜁니다.

    1. IPv4 Settings 탭에서 IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정합니다. team IPv4 settings nm connection editor
    2. IPv6 Settings 탭에서 IPv6 설정을 구성합니다. 예를 들어 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정합니다. team IPv6 settings nm connection editor
  6. 팀 연결을 저장합니다.
  7. nm-connection-editor 를 닫습니다.

검증 단계

  • 팀 상태를 표시합니다.

    # teamdctl team0 state
    setup:
      runner: activebackup
    ports:
      enp7s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
      enp8s0
        link watches:
          link summary: up
          instance[link_watch_0]:
            name: ethtool
            link: up
            down count: 0
    runner:
      active port: enp7s0

12장. 네트워크 본딩 구성

이 섹션에서는 네트워크 결합, 본딩과 팀 간의 차이점, Red Hat Enterprise Linux에서 네트워크 본딩 구성 방법에 대해 설명합니다.

다음과 같은 다양한 유형의 장치에서 본딩을 생성할 수 있습니다.

  • 물리적 및 가상 이더넷 장치
  • 네트워크 브리지
  • 네트워크 팀
  • VLAN 장치

12.1. 네트워크 본딩 이해

네트워크 본딩은 네트워크 인터페이스를 결합하거나 집계하여 처리량 또는 중복성이 높은 논리 인터페이스를 제공하는 방법입니다.

active-backup,balance-tlbbalance-alb 모드에는 네트워크 스위치의 특정 구성이 필요하지 않습니다. 그러나 다른 본딩 모드에서는 링크를 집계하도록 스위치를 구성해야 합니다. 예를 들어, Cisco 스위치는 0, 2 및 3 모드의 경우, 4 모드인 경우 LACP(Link Aggregation Control Protocol) 및 InstallPlan Channel 이 필요합니다.

자세한 내용은 스위치 및 Linux 이더넷 본딩 드라이버 HOWTO 설명서를 참조하십시오.

중요

장애 조치 메커니즘과 같은 특정 네트워크 본딩 기능은 네트워크 스위치 없이 직접 유선 연결을 지원하지 않습니다. 자세한 내용은 크로스 오버 소켓을 사용하여 직접 연결과 함께 지원되는 Is 본딩을 참조하십시오. https://access.redhat.com/solutions/202583 KCS 솔루션.

12.2. 컨트롤러 및 포트 인터페이스의 기본 동작 이해

NetworkManager 서비스를 사용하여 팀 또는 본딩 포트 인터페이스를 관리하거나 해결할 때 다음과 같은 기본 동작을 고려하십시오.

  • 컨트롤러 인터페이스를 시작하면 포트 인터페이스가 자동으로 시작되지 않습니다.
  • 포트 인터페이스를 시작하면 항상 컨트롤러 인터페이스가 시작됩니다.
  • 컨트롤러 인터페이스를 중지하면 포트 인터페이스도 중지됩니다.
  • 포트가 없는 컨트롤러는 고정 IP 연결을 시작할 수 있습니다.
  • 포트 없는 컨트롤러는 DHCP 연결을 시작할 때 포트를 대기합니다.
  • 포트를 기다리는 DHCP 연결이 있는 컨트롤러는 캐리어가 있는 포트를 추가할 때 완료됩니다.
  • 포트를 기다리는 DHCP 연결이 있는 컨트롤러는 캐리어 없이 포트를 추가할 때 계속 대기합니다.

12.3. Bonding 모드에 따라 업스트림 Switch 구성

다음 표에서는 본딩 모드에 따라 업스트림 스위치에 적용해야 하는 설정을 설명합니다.

본딩 모드스위치의 구성

0 - balance-rr

정적 Etherchannel 활성화 필요 (LACP 협상 안 함)

1 - active-backup

자율 포트 필요

2 - balance-xor

정적 Etherchannel 활성화 필요 (LACP 협상 안 함)

3 - broadcast

정적 Etherchannel 활성화 필요 (LACP 협상 안 함)

4 - 802.3ad

LACP 협상 Etherchannel 사용 필요

5 - balance-tlb

자율 포트 필요

6 - balance-alb

자율 포트 필요

스위치에서 이러한 설정을 구성하려면 스위치 설명서를 참조하십시오.

12.4. nmcli 명령을 사용하여 네트워크 본딩 구성

이 섹션에서는 nmcli 명령을 사용하여 네트워크 본딩을 구성하는 방법을 설명합니다.

사전 요구 사항

절차

  1. 본딩 인터페이스를 생성합니다.

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup"

    이 명령은 active-backup 모드를 사용하는 bond0 이라는 본딩을 생성합니다.

    모니터링 간격을 추가로 설정하려면 miimon=간격 옵션을 bond.options 속성에 추가합니다. 예를 들어 동일한 명령을 사용하지만, MII 모니터링 간격을 1000 밀리초(1초)로 설정하려면 다음을 입력합니다.

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup,miimon=1000"
  2. 네트워크 인터페이스를 표시하고 본딩에 추가할 인터페이스의 이름을 기록해 둡니다.

    # nmcli device status
    DEVICE   TYPE      STATE         CONNECTION
    enp7s0   ethernet  disconnected  --
    enp8s0   ethernet  disconnected  --
    bridge0  bridge    connected     bridge0
    bridge1  bridge    connected     bridge1
    ...

    이 예제에서는 다음을 수행합니다.

    • enp7s0enp8s0 은 구성되지 않습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 연결 프로필을 추가합니다.
    • bridge0bridge1 에는 기존 연결 프로필이 있습니다. 이러한 장치를 포트로 사용하려면 다음 단계에서 프로필을 수정합니다.
  3. 인터페이스를 본딩에 할당합니다.

    1. 본딩에 할당하려는 인터페이스가 구성되지 않은 경우 해당 인터페이스에 대한 새 연결 프로필을 생성합니다.

      # nmcli connection add type ethernet slave-type bond con-name bond0-port1 ifname enp7s0 master bond0
      # nmcli connection add type ethernet slave-type bond con-name bond0-port2 ifname enp8s0 master bond0

      이 명령은 enp7s0enp8s0 에 대한 프로필을 생성하여 bond0 연결에 추가합니다.

    2. 본딩에 기존 연결 프로필을 할당하려면 bond0 에 이러한 연결의 master 매개변수를 설정합니다.

      # nmcli connection modify bridge0 master bond0
      # nmcli connection modify bridge1 master bond0

      이러한 명령은 bridge0bridge1 이라는 기존 연결 프로필을 bond0 연결에 할당합니다.

  4. 본딩의 IP 설정을 구성합니다. 이 본딩을 다른 장치의 포트로 사용하려면 이 단계를 건너뜁니다.

    1. IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 bond0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify bond0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify bond0 ipv4.gateway '192.0.2.254'
      # nmcli connection modify bond0 ipv4.dns '192.0.2.253'
      # nmcli connection modify bond0 ipv4.dns-search 'example.com'
      # nmcli connection modify bond0 ipv4.method manual
    2. IPv6 설정을 구성합니다. 예를 들어 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 bond0 연결로 설정하려면 다음을 입력합니다.

      # nmcli connection modify bond0 ipv6.addresses '2001:db8:1::1/64'
      # nmcli connection modify bond0 ipv6.gateway '2001:db8:1::fffe'
      # nmcli connection modify bond0 ipv6.dns '2001:db8:1::fffd'
      # nmcli connection modify bond0 ipv6.dns-search 'example.com'
      # nmcli connection modify bond0 ipv6.method manual
  5. 연결을 활성화합니다.

    # nmcli connection up bond0
  6. 포트가 연결되어 있고 CONNECTION 열에 포트의 연결 이름이 표시되는지 확인합니다.

    # nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    enp7s0   ethernet  connected  bond0-port1
    enp8s0   ethernet  connected  bond0-port2

    연결 포트를 활성화하면 NetworkManager는 본딩을 활성화하지만 다른 포트도 활성화되지 않습니다. 본딩이 활성화된 경우 Red Hat Enterprise Linux가 모든 포트를 자동으로 활성화하도록 구성할 수 있습니다.

    1. 본딩 연결의 connection.autoconnect-slaves 매개변수를 활성화합니다.

      # nmcli connection modify bond0 connection.autoconnect-slaves 1
    2. 브리지를 다시 활성화합니다.

      # nmcli connection up bond0

검증 단계

  1. 호스트에서 네트워크 케이블을 일시적으로 제거합니다.

    소프트웨어 유틸리티를 사용하여 오류 이벤트를 올바르게 연결하는 방법은 없습니다. nmcli 와 같은 연결을 비활성화하는 툴은 포트 구성 변경 사항을 처리하고 실제 링크 실패 이벤트가 아닌 본딩 드라이버의 기능만 표시합니다.

  2. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0

12.5. RHEL 웹 콘솔을 사용하여 네트워크 본딩 구성

이 섹션에서는 RHEL 웹 콘솔을 사용하여 네트워크 본딩을 구성하는 방법을 설명합니다.

사전 요구 사항

절차

  1. 화면 왼쪽의 탐색에서 네트워킹 탭을 선택합니다.
  2. Interfaces (interface) 섹션에서 Add bond 를 클릭합니다.
  3. 생성할 본딩 장치의 이름을 입력합니다.
  4. 본딩의 멤버여야 하는 인터페이스를 선택합니다.
  5. 본딩의 모드를 선택합니다.

    Active backup 을 선택하면 웹 콘솔에 원하는 활성 장치를 선택할 수 있는 추가 기본 필드가 표시됩니다.

  6. 링크 모니터링 모드를 설정합니다. 예를 들어, Adaptive 로드 밸런싱 모드를 사용하는 경우 ARP 로 설정합니다.
  7. 선택 사항: 모니터링 간격, 링크 up 지연, 링크 다운 지연 설정을 조정합니다. 일반적으로 문제 해결 목적으로만 기본값을 변경합니다.

    본딩 설정
  8. Apply(적용)를 클릭합니다.
  9. 기본적으로 본딩은 동적 IP 주소를 사용합니다. 고정 IP 주소를 설정하려면 다음을 수행합니다.

    1. Interfaces (interface) 섹션에서 본딩 이름을 클릭합니다.
    2. 구성할 프로토콜 옆에 있는 편집 을 클릭합니다.
    3. 주소 옆에 있는 Manual 을 선택하고 IP 주소, 접두사 및 기본 게이트웨이를 입력합니다.
    4. DNS 섹션에서 + 버튼을 클릭하고 DNS 서버의 IP 주소를 입력합니다. 이 단계를 반복하여 여러 DNS 서버를 설정합니다.
    5. DNS 검색 도메인 섹션에서 + 버튼을 클릭하고 검색 도메인을 입력합니다.
    6. 인터페이스에 정적 경로가 필요한 경우 Routes 섹션에서 해당 경로를 구성합니다.

      bond team bridge vlan.ipv4
    7. 적용을클릭합니다.

검증

  1. 화면 왼쪽의 탐색에서 Networking 탭을 선택하고 인터페이스에 들어오고 나가는 트래픽이 있는지 확인합니다.

    본딩 검증
  2. 호스트에서 네트워크 케이블을 일시적으로 제거합니다.

    소프트웨어 유틸리티를 사용하여 오류 이벤트를 올바르게 연결하는 방법은 없습니다. 웹 콘솔과 같은 연결을 비활성화하는 툴은 본딩 드라이버만 사용하여 멤버 구성 변경 사항을 처리하고 실제 링크 실패 이벤트가 아닌 멤버 구성 변경 사항을 처리하는 기능을 보여줍니다.

  3. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0

12.6. nm-connection-editor를 사용하여 네트워크 본딩 구성

이 섹션에서는 nm-connection-editor 애플리케이션을 사용하여 네트워크 본딩을 구성하는 방법을 설명합니다.

nm-connection-editor 는 본딩에 새 포트만 추가할 수 있습니다. 기존 연결 프로필을 포트로 사용하려면 nmcli 명령을 사용하여 네트워크 본딩 구성에 설명된 대로 nmcli 유틸리티를 사용하여 본딩을 생성합니다.

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 본딩의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 본딩 또는 VLAN 장치를 본딩 포트로 사용하려면 이러한 장치가 아직 구성되어 있지 않은지 확인합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. Bond 연결 유형을 선택하고 만들기 를 클릭합니다.
  4. Bond 탭에서:

    1. 선택 사항: 인터페이스 이름 필드에 본딩 인터페이스의 이름을 설정합니다.
    2. Add (추가) 버튼을 클릭하여 네트워크 인터페이스를 본딩에 포트로 추가합니다.

      1. 인터페이스의 연결 유형을 선택합니다. 예를 들어 유선 연결을 위해 이더넷 을 선택합니다.
      2. 선택 사항: 포트에 대한 연결 이름을 설정합니다.
      3. 이더넷 장치에 대한 연결 프로필을 만드는 경우 이더넷 탭을 열고 Device (장치) 필드에서 선택하고, 본딩에 포트로 추가할 네트워크 인터페이스를 선택합니다. 다른 장치 유형을 선택한 경우 적절하게 구성합니다. 구성되지 않은 본딩의 이더넷 인터페이스만 사용할 수 있습니다.
      4. 저장을 클릭합니다.
    3. 본딩에 추가할 각 인터페이스에 대해 이전 단계를 반복합니다.

      add nic to bond in nm connection editor

    4. 선택 사항: MII(Media Independent Interface) 모니터링 간격과 같은 기타 옵션을 설정합니다.
  5. 본딩의 IP 설정을 구성합니다. 이 본딩을 다른 장치의 포트로 사용하려면 이 단계를 건너뜁니다.

    1. IPv4 Settings 탭에서 IPv4 설정을 구성합니다. 예를 들어 정적 IPv4 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정합니다.

      bond IPv4 settings nm connection editor

    2. IPv6 Settings 탭에서 IPv6 설정을 구성합니다. 예를 들어 정적 IPv6 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 설정합니다.

      bond IPv6 settings nm connection editor

  6. 저장을 클릭하여 본딩 연결을 저장합니다.
  7. nm-connection-editor 를 닫습니다.

검증 단계

  1. 호스트에서 네트워크 케이블을 일시적으로 제거합니다.

    소프트웨어 유틸리티를 사용하여 오류 이벤트를 올바르게 연결하는 방법은 없습니다. nmcli 와 같은 연결을 비활성화하는 툴은 포트 구성 변경 사항을 처리하고 실제 링크 실패 이벤트가 아닌 본딩 드라이버의 기능만 표시합니다.

  2. 본딩 상태를 표시합니다.

    # cat /proc/net/bonding/bond0

12.7. nmstatectl을 사용하여 네트워크 본딩 구성

이 섹션에서는 nmstatectl 유틸리티를 사용하여 다음 설정으로 네트워크 bond0 을 구성하는 방법을 설명합니다.

  • 본딩의 네트워크 인터페이스인 enp1s0enp7s0
  • 모드: active-backup
  • 정적 IPv4 주소: /24 서브넷 마스크가 있는 192.0.2.1
  • 정적 IPv6 주소: 2001:db8:1::1 with a /64 subnet mask
  • IPv4 기본 게이트웨이: 192.0.2.254
  • IPv6 기본 게이트웨이: 2001:db8:1::fffe
  • IPv4 DNS 서버: 192.0.2.200
  • IPv6 DNS 서버: 2001:db8:1::ffbb
  • DNS 검색 도메인: example.com

사전 요구 사항

  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.
  • 이더넷 장치를 본딩의 포트로 사용하려면 물리적 또는 가상 이더넷 장치를 서버에 설치해야 합니다.
  • 팀, 브리지 또는 VLAN 장치를 본딩에서 포트로 사용하려면 포트 목록에서 인터페이스 이름을 설정하고 해당 인터페이스를 정의합니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-bond.yml )을 생성합니다.

    ---
    interfaces:
    - name: bond0
      type: bond
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      link-aggregation:
        mode: active-backup
        port:
        - enp1s0
        - enp7s0
    - name: enp1s0
      type: ethernet
      state: up
    - name: enp7s0
      type: ethernet
      state: up
    
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: bond0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: bond0
    
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-bond.yml

검증 단계

  1. 장치 및 연결의 상태를 표시합니다.

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    bond0       bond      connected  bond0
  2. 연결 프로필의 모든 설정을 표시합니다.

    # nmcli connection show bond0
    connection.id:              bond0
    connection.uuid:            79cbc3bd-302e-4b1f-ad89-f12533b818ee
    connection.stable-id:       --
    connection.type:            bond
    connection.interface-name:  bond0
    ...
  3. 연결 설정을 YAML 형식으로 표시합니다.

    # nmstatectl show bond0

추가 리소스

  • nmstatectl(8) 도움말 페이지
  • /usr/share/doc/nmstate/examples/

12.8. RHEL 시스템 역할을 사용하여 네트워크 본딩 구성

Networking RHEL 시스템 역할을 사용하여 네트워크 본딩을 구성할 수 있습니다. 이 절차에서는 두 개의 이더넷 장치를 사용하는 active-backup 모드로 본딩을 구성하는 방법을 설명하고 IPv4 및 IPv6 주소, 기본 게이트웨이 및 DNS 구성을 설정합니다.

참고

Linux 본딩 포트에가 아니라 본딩에서 IP 구성을 설정합니다.

사전 요구 사항

  • ansible-core 패키지 및 rhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 이 사용자는 관리 노드에 대한 적절한 sudo 권한이 있습니다.
  • 서버에 두 개 이상의 물리적 또는 가상 네트워크 장치가 설치되어 있습니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/bond-ethernet.yml 플레이북을 생성합니다.

    ---
    - name: Configure a network bond that uses two Ethernet ports
      hosts: node.example.com
      become: true
      tasks:
      - include_role:
          name: rhel-system-roles.network
    
        vars:
          network_connections:
            # Define the bond profile
            - name: bond0
              type: bond
              interface_name: bond0
              ip:
                address:
                  - "192.0.2.1/24"
                  - "2001:db8:1::1/64"
                gateway4: 192.0.2.254
                gateway6: 2001:db8:1::fffe
                dns:
                  - 192.0.2.200
                  - 2001:db8:1::ffbb
                dns_search:
                  - example.com
              bond:
                mode: active-backup
              state: up
    
            # Add an Ethernet profile to the bond
            - name: bond0-port1
              interface_name: enp7s0
              type: ethernet
              controller: bond0
              state: up
    
            # Add a second Ethernet profile to the bond
            - name: bond0-port2
              interface_name: enp8s0
              type: ethernet
              controller: bond0
              state: up
  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/bond-ethernet.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/bond-ethernet.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • ansible-playbook(1) 도움말 페이지

12.9. VPN을 중단하지 않고 이더넷과 무선 연결 간 전환을 가능하게 하는 네트워크 본딩 생성

회사의 네트워크에 워크스테이션을 연결하는 RHEL 사용자는 일반적으로 VPN을 사용하여 원격 리소스에 액세스합니다. 그러나 워크스테이션이 이더넷과 Wi-Fi 연결 간에 전환되면 예를 들어 이더넷 연결이 있는 도킹 스테이션에서 랩탑을 릴리스하는 경우 VPN 연결이 중단됩니다. 이 문제를 방지하려면 active-backup 모드에서 이더넷 및 Wi-Fi 연결을 사용하는 네트워크 본딩을 만들 수 있습니다.

사전 요구 사항

  • 호스트에는 이더넷과 Wi-Fi 장치가 포함되어 있습니다.
  • 이더넷 및 Wi-Fi NetworkManager 연결 프로필이 생성되어 두 연결 모두 독립적으로 작동합니다.

    이 절차에서는 다음 연결 프로필을 사용하여 bond0 이라는 네트워크 본딩을 생성합니다.

    • enp11s0u1 이더넷 장치와 관련된 Docking_station
    • wlp1s0 Wi-Fi 장치와 연결된 Wi-Fi

절차

  1. active-backup 모드로 본딩 인터페이스를 만듭니다.

    # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup"

    이 명령은 인터페이스 및 연결 프로필 bond0 의 이름을 모두 지정합니다.

  2. 본딩의 IPv4 설정을 구성합니다.

    • 네트워크의 DHCP 서버에서 IPv4 주소를 호스트에 할당하면 작업이 필요하지 않습니다.
    • 로컬 네트워크에 정적 IPv4 주소가 필요한 경우 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 bond0 연결로 설정합니다.

      # nmcli connection modify bond0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify bond0 ipv4.gateway '192.0.2.254'
      # nmcli connection modify bond0 ipv4.dns '192.0.2.253'
      # nmcli connection modify bond0 ipv4.dns-search 'example.com'
      # nmcli connection modify bond0 ipv4.method manual
  3. 본딩의 IPv6 설정을 구성합니다.

    • 네트워크의 라우터 또는 DHCP 서버가 호스트에 IPv6 주소를 할당하는 경우 작업이 필요하지 않습니다.
    • 로컬 네트워크에 정적 IPv6 주소가 필요한 경우 주소, 네트워크 마스크, 기본 게이트웨이, DNS 서버 및 DNS 검색 도메인을 bond0 연결로 설정합니다.

      # nmcli connection modify bond0 ipv6.addresses '2001:db8:1::1/64'
      # nmcli connection modify bond0 ipv6.gateway '2001:db8:1::fffe'
      # nmcli connection modify bond0 ipv6.dns '2001:db8:1::fffd'
      # nmcli connection modify bond0 ipv6.dns-search 'example.com'
      # nmcli connection modify bond0 ipv6.method manual
  4. 연결 프로필을 표시합니다.

    # nmcli connection show
    NAME             UUID                                  TYPE      DEVICE
    Docking_station  256dd073-fecc-339d-91ae-9834a00407f9  ethernet  enp11s0u1
    Wi-Fi            1f1531c7-8737-4c60-91af-2d21164417e8  wifi      wlp1s0
    ...

    다음 단계에서 연결 프로필의 이름과 이더넷 장치 이름이 필요합니다.

  5. 이더넷 연결의 연결 프로필을 본딩에 할당합니다.

    # nmcli connection modify Docking_station master bond0
  6. 본딩에 Wi-Fi 연결의 연결 프로필을 할당합니다.

    # nmcli connection modify Wi-Fi master bond0
  7. Wi-Fi 네트워크에서 MAC 필터링을 사용하여 허용 목록의 MAC 주소만 네트워크에 액세스하는 경우 NetworkManager가 활성 포트의 MAC 주소를 본딩에 동적으로 할당하도록 구성합니다.

    # nmcli connection modify bond0 +bond.options fail_over_mac=1

    이 설정을 사용하면 이더넷 및 Wi-Fi 장치 둘 다의 MAC 주소 대신 Wi-Fi 장치의 MAC 주소만 허용 목록으로 설정해야 합니다.

  8. 이더넷 연결과 연결된 장치를 본딩의 기본 장치로 설정합니다.

    # nmcli con modify bond0 +bond.options "primary=enp11s0u1"

    이 설정을 사용하면 사용 가능한 경우 본딩은 항상 이더넷 연결을 사용합니다.

  9. bond0 장치가 활성화되면 NetworkManager가 포트를 자동으로 활성화하도록 설정합니다.

    # nmcli connection modify bond0 connection.autoconnect-slaves 1
  10. bond0 연결을 활성화합니다.

    # nmcli connection up bond0

검증 단계

  • 현재 활성화된 장치, 본딩의 상태 및 해당 포트를 표시합니다.

    # cat /proc/net/bonding/bond0
    Ethernet Channel Bonding Driver: v3.7.1 (April 27, 2011)
    
    Bonding Mode: fault-tolerance (active-backup) (fail_over_mac active)
    Primary Slave: enp11s0u1 (primary_reselect always)
    Currently Active Slave: enp11s0u1
    MII Status: up
    MII Polling Interval (ms): 1
    Up Delay (ms): 0
    Down Delay (ms): 0
    Peer Notification Delay (ms): 0
    
    Slave Interface: enp11s0u1
    MII Status: up
    Speed: 1000 Mbps
    Duplex: full
    Link Failure Count: 0
    Permanent HW addr: 00:53:00:59:da:b7
    Slave queue ID: 0
    
    Slave Interface: wlp1s0
    MII Status: up
    Speed: Unknown
    Duplex: Unknown
    Link Failure Count: 2
    Permanent HW addr: 00:53:00:b3:22:ba
    Slave queue ID: 0

13장. WireGuard VPN 설정

WireGuard는 Linux 커널에서 실행되는 고성능 VPN 솔루션입니다. 최신 암호화를 사용하며 다른 VPN 솔루션보다 구성하기가 더 쉽습니다. 또한 WireGuard의 소형 코드베이스는 공격 면적을 줄임으로써 보안이 향상됩니다. 인증 및 암호화의 경우 WireGuard는 SSH와 유사한 키를 사용합니다.

중요

WireGuard는 기술 프리뷰로만 제공됩니다. 기술 프리뷰 기능은 Red Hat 프로덕션 서비스 수준 계약(SLA)에서 지원되지 않을 수 있으며, 기능적으로 완전하지 않을 수 있으며 Red Hat은 프로덕션에 이러한 기능을 사용하지 않는 것이 좋습니다. 이러한 프리뷰를 통해 향후 제품 기능에 조기 액세스할 수 있어 개발 과정에서 고객이 기능을 테스트하고 피드백을 제공할 수 있습니다.

기술 프리뷰 기능의 지원 범위에 대한 자세한 내용은 Red Hat 고객 포털의 기술 프리뷰 기능 지원 범위를 참조하십시오.

WireGuard VPN을 설정하려면 다음 단계를 완료해야 합니다. 다른 옵션을 사용하여 각 단계를 수행할 수 있습니다.

  1. VPN의 모든 호스트에 대한 공개 및 개인 키를 만듭니다.
  2. nmcli,nmtui,nm-connection-editor 또는 wg-quick 서비스를 사용하여 Wireguard 서버를 구성합니다.
  3. 명령줄 또는 그래픽 인터페이스를 사용하여 WireGuard 서버에서 firewalld를 구성합니다.
  4. nmcli,nm-connection-editor 또는 the wg- quick 서비스를 사용하여 WireGuard 클라이언트를 구성합니다.

Wireguard는 네트워크 계층(layer 3)에서 작동합니다. 따라서 DHCP를 사용할 수 없으며 서버와 클라이언트의 터널 장치에 고정 IP 주소 또는 IPv6 링크-로컬 주소를 할당해야 합니다.

중요

RHEL의 FIPS(Federal Information Processing Standard) 모드가 비활성화된 경우에만 WireGuard를 사용할 수 있습니다.

WireGuard VPN에 참여하는 모든 호스트는 피어입니다. 이 문서에서는 클라이언트 라는 용어를 사용하여 클라이언트가 연결하는 고정 호스트 이름 또는 IP 주소가 있는 호스트를 설명하고 선택적으로 이 서버를 통해 모든 트래픽을 라우팅하도록 연결 및 서버를 설정하는 호스트를 설명합니다.

13.1. WireGuard에서 사용하는 프로토콜 및 기본 사항

WireGuard는 다음 프로토콜 및 기본 설정을 사용합니다.

  • RFC7539에 설명된 대로 AEAD(Associated Encryption with Associated Data) 제작을 사용하여 Poly1305로 인증된 대칭 암호화용 ChaCha20
  • Curve25519 for Elliptic-curve Diffie-Hellman (ECDH) 키 교환
  • RFC7693에 설명된 대로 해싱 및 키 해시를 위한 BLAKE2s
  • 해시 테이블 키의 경우 SipHash24
  • RFC5869에 설명된 대로 키 파생을 위한 HKDF

13.2. WireGuard에서 터널 IP 주소, 공용 키 및 원격 끝점을 사용하는 방법

WireGuard가 네트워크 패킷을 피어로 보내는 경우:

  1. WireGuard는 패킷에서 대상 IP를 읽고 로컬 구성에서 허용된 IP 주소 목록과 비교합니다. 피어를 찾을 수 없는 경우 WireGuard에서 패킷을 삭제합니다.
  2. 피어가 유효한 경우 WireGuard는 피어의 공개 키를 사용하여 패킷을 암호화합니다.
  3. 전송 호스트는 호스트의 최신 인터넷 IP 주소를 찾아 암호화된 패킷을 전송합니다.

WireGuard에서 패킷을 수신하면 다음을 수행합니다.

  1. WireGuard는 원격 호스트의 개인 키를 사용하여 패킷을 암호 해독합니다.
  2. WireGuard는 패킷에서 내부 소스 주소를 읽고 로컬 호스트의 피어 설정에서 허용된 IP 주소 목록에 IP가 구성되어 있는지 여부를 조회합니다. 소스 IP가 허용 목록에 있으면 WireGuard에서 패킷을 수락합니다. IP 주소가 목록에 없으면 WireGuard에서 패킷을 삭제합니다.

공개 키와 허용된 IP 주소의 연관을 해당 키 라우팅 테이블 이라고 합니다. 즉, IP 주소 목록은 패킷을 전송할 때 라우팅 테이블과 유사하게 작동하며 패킷을 수신할 때 일종의 액세스 제어 목록으로 작동합니다.

13.3. NAT 및 방화벽 뒤의 WireGuard 클라이언트 사용

WireGuard는 UDP 프로토콜을 사용하고 피어가 패킷을 전송할 때만 데이터를 전송합니다. 라우터의 상태 저장 방화벽 및 NAT(네트워크 주소 변환)는 연결을 추적하여 NAT 또는 방화벽의 피어가 패킷을 수신할 수 있도록 합니다.

연결을 활성 상태로 유지하기 위해 WireGuard는 영구적 keepalive를 지원합니다. 즉, WireGuard에서 keepalive 패킷을 보내는 간격을 설정할 수 있습니다. 기본적으로 영구적인 keep-alive 기능은 네트워크 트래픽을 줄이기 위해 비활성화되어 있습니다. NAT가 있는 네트워크에서 클라이언트를 사용하거나 비활성 시간이 지나면 방화벽이 연결을 닫는 경우 클라이언트에서 이 기능을 활성화합니다.

13.4. WireGuard 연결에서 사용할 개인 및 공개 키 생성

WireGuard는 base64로 인코딩된 개인 키와 공개 키를 사용하여 서로 호스트를 인증합니다. 따라서 WireGuard VPN에 참여하는 각 호스트에서 키를 생성해야 합니다.

중요

보안 연결의 경우 각 호스트에 대해 서로 다른 키를 생성하고 원격 WireGuard 호스트와만 공개 키만 공유해야 합니다. 이 문서에 사용된 예제 키를 사용하지 마십시오.

절차

  1. wireguard-tools 패키지를 설치합니다.

    # dnf install wireguard-tools
  2. 호스트에 대한 개인 키와 해당 공개 키를 생성합니다.

    # wg genkey | tee /etc/wireguard/$HOSTNAME.private.key | wg pubkey > /etc/wireguard/$HOSTNAME.public.key

    키 파일의 내용이 필요하지만 파일 자체는 필요하지 않습니다. 하지만 나중에 키를 기억해야 하는 경우 파일을 유지하는 것이 좋습니다.

  3. 키 파일에 보안 권한을 설정합니다.

    # chmod 600 /etc/wireguard/$HOSTNAME.private.key /etc/wireguard/$HOSTNAME.public.key
  4. 개인 키를 표시합니다.

    # cat /etc/wireguard/$HOSTNAME.private.key
    YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=

    로컬 호스트에서 WireGuard 연결을 구성하려면 개인 키가 필요합니다. 개인 키를 공유하지 마십시오.

  5. 공개 키를 표시합니다.

    # cat /etc/wireguard/$HOSTNAME.public.key
    UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=

    원격 호스트에서 WireGuard 연결을 구성하려면 공개 키가 필요합니다.

추가 리소스

  • The wg(8) 도움말 페이지

13.5. nmcli를 사용하여 WireGuard 서버 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 서버:

    • 개인 키: YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32
  • 클라이언트:

    • Public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 서버의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. NetworkManager WireGuard 연결 프로필을 추가합니다.

    # nmcli connection add type wireguard con-name server-wg0 ifname wg0 autoconnect no

    이 명령은 server-wg0 이라는 프로필을 생성하고 가상 interface wg0 을 할당합니다. 구성을 완료하지 않고 추가한 후 연결이 자동으로 시작되지 않도록 하려면 자동 연결 매개 변수를 비활성화합니다.

  2. 서버의 터널 IPv4 주소 및 서브넷 마스크를 설정합니다.

    # nmcli connection modify server-wg0 ipv4.method manual ipv4.addresses 192.0.2.1/24
  3. 서버의 터널 IPv6 주소 및 서브넷 마스크를 설정합니다.

    # nmcli connection modify server-wg0 ipv6.method manual ipv6.addresses 2001:db8:1::1/32
  4. 연결 프로필에 서버의 개인 키를 추가합니다.

    # nmcli connection modify server-wg0 wireguard.private-key "YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg="
  5. 들어오는 WireGuard 연결의 포트를 설정합니다.

    # nmcli connection modify server-wg0 wireguard.listen-port 51820

    수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireGuard는 the wg0 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

  6. 이 서버와 통신할 수 있도록 허용할 각 클라이언트에 대해 피어 구성을 추가합니다. nmcli 유틸리티에서 해당 연결 속성 설정을 지원하지 않으므로 이러한 설정을 수동으로 추가해야 합니다.

    1. /etc/NetworkManager/system-connections/server-wg0.nmconnection 파일을 편집하고 다음을 추가합니다.

      [wireguard-peer.bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=]
      allowed-ips=192.0.2.2;2001:db8:1::2;
      • [wireguard-peer.<public_key_of_the_client>] 항목은 클라이언트의 피어 섹션을 정의하며, 섹션 이름에 클라이언트의 공개 키가 포함되어 있습니다.
      • allowed-ips 매개 변수는 이 서버로 데이터를 보낼 수 있는 클라이언트의 터널 IP 주소를 설정합니다.

        각 클라이언트에 대해 섹션을 추가합니다.

    2. server-wg0 연결 프로필을 다시 로드합니다.

      # nmcli connection load /etc/NetworkManager/system-connections/server-wg0.nmconnection
  7. 선택 사항: 자동으로 시작하도록 연결을 설정하고 다음을 입력합니다.

    # nmcli connection modify server-wg0 autoconnect yes
  8. server-wg0 연결을 다시 활성화합니다.

    # nmcli connection up server-wg0

검증

  1. the wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. the wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::3ef:8863:1ce2:844/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • The wg(8) 도움말 페이지
  • nm-settings(5) 도움말 페이지의 WireGuard 설정 섹션

13.6. nmtui를 사용하여 Wireguard 서버 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 서버:

    • 개인 키: YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32
  • 클라이언트:

    • Public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 서버의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크
  • NetworkManager-tui 패키지를 설치했습니다.

절차

  1. nmtui 애플리케이션을 시작합니다.

    # nmtui
  2. Edit a connection 을 선택하고 Enter 키를 누릅니다.
  3. 추가를 선택하고 Enter 키를 누릅니다.
  4. 목록에서 Wireguard 연결 유형을 선택하고 Enter 키를 누릅니다.
  5. 연결 편집 창에서 다음을 수행합니다.

    1. NetworkManager에서 연결에 할당해야 하는 연결 이름과 가상 인터페이스(예: wg0 )를 입력합니다.
    2. 서버의 개인 키를 입력합니다.
    3. 들어오는 Wireguard 연결에 대해 수신 포트 번호 (예: 51820 )를 설정합니다.

      수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireGuard는 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

      nmtui Wireguard 서버 일반
    4. Peers 창 옆에 있는 추가 를 클릭합니다.

      1. 클라이언트의 공개 키를 입력합니다.
      2. 허용된 IP 필드를 이 서버로 전송할 수 있는 클라이언트의 터널 IP 주소로 설정합니다.
      3. 확인을 선택하고 Enter 키를 누릅니다.

        nmtui Wireguard 서버 피어 구성
    5. IPv4 구성 옆에 있는 Show 를 선택하고 Enter 를 누릅니다.

      1. IPv4 구성 방법 Manual 을 선택합니다.
      2. 터널 IPv4 주소 및 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
    6. IPv6 구성 옆에 있는 Show 를 선택하고 Enter 를 누릅니다.

      1. IPv6 구성 방법 Manual 을 선택합니다.
      2. 터널 IPv6 주소 및 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
    7. 확인을 선택하고 Enter키를 누릅니다.

      nmtui Wireguard 서버 ip config
  6. 연결 목록이 있는 창에서 뒤로 을 선택하고 Enter 키를 누릅니다.
  7. NetworkManager TUI 메인 창에서 Quit 을 선택하고 Enter 를 누릅니다.

검증

  1. the wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력의 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::3ef:8863:1ce2:844/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 도움말 페이지

13.7. nm-connection-editor를 사용하여 WireGuard 서버 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 서버의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. 터미널을 열고 다음을 입력합니다.

    # nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. WireGuard 연결 유형을 선택하고 Create(만들기 )를 클릭합니다.
  4. 선택 사항: 연결 이름을 업데이트합니다.
  5. General(일반 ) 탭에서 Connect automatically with priority(우선 순위와 함께 자동으로 연결 )를 선택합니다. 선택적으로 우선순위 값을 설정합니다.
  6. WireGuard 탭에서 다음을 수행합니다.

    1. NetworkManager가 연결에 할당해야 하는 가상 인터페이스의 이름 (예:wg 0)을 입력합니다.
    2. 서버의 개인 키를 입력합니다.
    3. 수신되는 WireGuard 연결에 대해 수신 포트 번호( 예: 51820)를 설정합니다.

      수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireGuard는 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

    4. Add(추가 )를 클릭하여 피어를 추가합니다.

      1. 클라이언트의 공개 키를 입력합니다.
      2. Allowed IPs (허용된 IP) 필드를 이 서버로 데이터를 보낼 수 있는 클라이언트의 터널 IP 주소로 설정합니다.
      3. Apply(적용)를 클릭합니다.
  7. IPv4 Settings(IPv4 설정 ) 탭에서 다음을 수행합니다.

    1. Method (메서드) 목록에서 Manual(수동 )을 선택합니다.
    2. Add(추가 )를 클릭하여 터널 IPv4 주소 및 서브넷 마스크를 입력합니다. Gateway (게이트웨이) 필드를 비워 둡니다.
  8. IPv6 Settings(IPv6 설정 ) 탭에서 다음을 수행합니다.

    1. Method (메서드) 목록에서 Manual(수동 )을 선택합니다.
    2. Add(추가 )를 클릭하여 터널 IPv6 주소와 서브넷 마스크를 입력합니다. Gateway (게이트웨이) 필드를 비워 둡니다.
  9. Save (저장)를 클릭하여 연결 프로필을 저장합니다.

검증

  1. the wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. the wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::3ef:8863:1ce2:844/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • The wg(8) 도움말 페이지

13.8. wg-quick 서비스를 사용하여 WireGuard 서버 구성

/etc/ wireguard/ 디렉토리에 구성 파일을 만들어 WireGuard 서버를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager와 독립적으로 서비스를 구성합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 서버:

    • 개인 키: YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32
  • 클라이언트:

    • Public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 서버의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 클라이언트의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. wireguard-tools 패키지를 설치합니다.

    # dnf install wireguard-tools
  2. 다음 내용으로 /etc/ wireguard/wg0.conf 파일을 만듭니다.

    [Interface]
    Address = 192.0.2.1/24, 2001:db8:1::1/32
    ListenPort = 51820
    PrivateKey = YFAnE0psgIdiAF7XR4abxiwVRnlMfeltxu10s/c4JXg=
    
    [Peer]
    PublicKey = bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
    AllowedIPs = 192.0.2.2, 2001:db8:1::2
    • [Interface] 섹션은 서버에 있는 인터페이스의 WireGuard 설정을 설명합니다.

      • 주소: 서버의 터널 IP 주소 쉼표로 구분된 목록입니다.
      • PrivateKey: 서버의 개인 키입니다.
      • ListenPort: WireGuard가 들어오는 UDP 연결을 수신 대기하는 포트입니다.

        수신되는 WireGuard 연결을 수신하는 호스트에 항상 고정 포트 번호를 설정합니다. 포트를 설정하지 않으면 WireGuard는 the wg0 인터페이스를 활성화할 때마다 임의의 무료 포트를 사용합니다.

    • [Peer] 섹션은 하나의 클라이언트 설정을 설명합니다.

      • 공개 키: 클라이언트의 공개 키.
      • AllowedIPs: 이 서버에 데이터를 보낼 수 있는 클라이언트의 터널 IP 주소입니다.
  3. WireGuard 연결을 활성화하고 시작합니다.

    # systemctl enable --now wg-quick@wg0

    systemd 인스턴스 이름은 .conf 접미사가 없는 /etc/ wireguard/ 디렉토리 의 구성 파일 이름과 일치해야 합니다. 또한 서비스는 가상 네트워크 인터페이스에 이 이름을 사용합니다.

검증

  1. the wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      private key: (hidden)
      listening port: 51820
    
    peer: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      allowed ips: 192.0.2.2/32, 2001:db8:1::2/128

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

  2. the wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    20: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.1/24 scope global wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::1/32 scope global
           valid_lft forever preferred_lft forever

추가 리소스

  • The wg(8) 도움말 페이지
  • the wg-quick(8) 도움말 페이지

13.9. 명령줄을 사용하여 WireGuard 서버에서 firewalld 구성

클라이언트에서 들어오는 연결을 허용하도록 WireGuard 서버에서 firewalld 서비스를 구성해야 합니다. 또한 클라이언트가 WireGuard 서버를 기본 게이트웨이로 사용하고 터널을 통해 모든 트래픽을 라우팅할 수 있는 경우 마스커레이딩을 활성화해야 합니다.

절차

  1. firewalld 서비스에서 들어오는 연결에 대한 WireGuard 포트를 엽니다.

    # firewall-cmd --permanent --add-port=51820/udp --zone=public
  2. 클라이언트가 터널을 통해 모든 트래픽을 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용해야 하는 경우 공용 영역에 대해 마스커레이딩을 활성화합니다.

    # firewall-cmd --permanent --zone=public --add-masquerade
  3. firewalld 규칙을 다시 로드합니다.

    # firewall-cmd --reload

검증

  • 퍼블릭 영역의 구성을 표시합니다.

    # firewall-cmd --list-all
    public (active)
      ...
      ports: 51820/udp
      masquerade: yes
      ...

추가 리소스

  • firewall-cmd(1) 도움말 페이지

13.10. 그래픽 인터페이스를 사용하여 WireGuard 서버에서 firewalld 구성

클라이언트에서 들어오는 연결을 허용하도록 WireGuard 서버에서 firewalld 서비스를 구성해야 합니다. 또한 클라이언트가 WireGuard 서버를 기본 게이트웨이로 사용하고 터널을 통해 모든 트래픽을 라우팅할 수 있는 경우 마스커레이딩을 활성화해야 합니다.

절차

  1. Super 키를 누르고 firewall 을 입력하고 결과에서 Firewall 애플리케이션을 선택합니다.
  2. Configuration(구성) 목록에서 Permanent (영구)를 선택합니다.
  3. public(공개 ) 영역을 선택합니다.
  4. WireGuard 포트에 대한 수신 연결을 허용합니다.

    1. Ports(포트 ) 탭에서 Add(추가 )를 클릭합니다.
    2. 들어오는 WireGuard 연결에 설정한 포트 번호를 입력합니다.
    3. Protocol(프로토콜) 목록에서 udp 를 선택합니다.
    4. OK를 클릭합니다.
  5. 클라이언트가 터널을 통해 모든 트래픽을 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용해야 하는 경우:

    1. 공용 영역의 Masquerad ing (마스커레이드) 탭으로 이동합니다.
    2. Masquerade zone(마스커레이드 영역 )을 선택합니다.
  6. OptionsReload Firewalld 를 선택합니다.

검증

  • 퍼블릭 영역의 구성을 표시합니다.

    # firewall-cmd --list-all
    public (active)
      ...
      ports: 51820/udp
      masquerade: yes
      ...

13.11. nmcli를 사용하여 WireGuard 클라이언트 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 클라이언트:

    • Private key: aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32
  • 서버:

    • 공개 키: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 클라이언트의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. NetworkManager WireGuard 연결 프로필을 추가합니다.

    # nmcli connection add type wireguard con-name client-wg0 ifname wg0 autoconnect no

    이 명령은 client-wg0 이라는 프로필을 생성하고 가상 interface wg0 을 할당합니다. 구성을 완료하지 않고 추가한 후 연결이 자동으로 시작되지 않도록 하려면 자동 연결 매개 변수를 비활성화합니다.

  2. 선택 사항: client-wg 연결을 자동으로 시작하지 않도록 NetworkManager를 구성합니다.

    # nmcli connection modify client-wg0 autoconnect no
  3. 클라이언트의 터널 IPv4 주소 및 서브넷 마스크를 설정합니다.

    # nmcli connection modify client-wg0 ipv4.method manual ipv4.addresses 192.0.2.2/24
  4. 클라이언트의 터널 IPv6 주소 및 서브넷 마스크를 설정합니다.

    # nmcli connection modify client-wg0 ipv6.method manual ipv6.addresses 2001:db8:1::2/32
  5. 모든 트래픽을 터널을 통해 라우팅하려면 서버의 터널 IP 주소를 기본 게이트웨이로 설정합니다.

    # nmcli connection modify client-wg0 ipv4.gateway 192.0.2.1 ipv6.gateway 2001:db8:1::1
  6. 연결 프로필에 서버의 개인 키를 추가합니다.

    # nmcli connection modify client-wg0 wireguard.private-key "aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A="
    1. /etc/NetworkManager/system-connections/client-wg0.nmconnection 파일을 편집하고 다음을 추가합니다.

      [wireguard-peer.UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=]
      endpoint=server.example.com:51820
      allowed-ips=192.0.2.1;2001:db8:1::1;
      persistent-keepalive=20
      • [wireguard-peer.<public_key_of_the_server>] 항목은 서버의 피어 섹션을 정의하며, 섹션 이름에 서버의 공개 키가 포함되어 있습니다.
      • endpoint 매개 변수는 호스트 이름 또는 IP 주소와 서버의 포트를 설정합니다. 클라이언트는 이 정보를 사용하여 연결을 설정합니다.
      • allowed-ips 매개변수는 이 클라이언트에 데이터를 보낼 수 있는 IP 주소 목록을 설정합니다. 예를 들어 매개 변수를 다음과 같이 설정합니다.

        • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다. 위 예제의 값은 이 시나리오를 구성합니다.
        • 0.0.0.0/0;::/0; 모든 원격 IPv4 및 IPv6 주소가 이 클라이언트와 통신하도록 허용. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.
      • 선택적 persistent-keepalive 매개 변수는 WireGuard가 서버에 유지 패킷을 보내는 간격(초)을 정의합니다. NAT(네트워크 주소 변환)가 있는 네트워크에서 클라이언트를 사용하거나 방화벽이 비활성 시간이 지난 후 UDP 연결을 닫는 경우 이 매개변수를 설정합니다.
    2. client-wg0 연결 프로필을 다시 로드합니다.

      # nmcli connection load /etc/NetworkManager/system-connections/client-wg0.nmconnection
  7. client-wg0 연결을 다시 활성화합니다.

    # nmcli connection up client-wg0

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1
    # ping6 2001:db8:1::1
  2. the wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 51820
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    VPN 터널을 통해 트래픽을 이미 보낸 경우 출력에 최신 핸드셰이크전송 항목만 포함되어 있습니다.

  3. the wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::73d9:6f51:ea6f:863e/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • The wg(8) 도움말 페이지
  • nm-settings(5) 도움말 페이지의 WireGuard 설정 섹션

13.12. nmtui를 사용하여 Wireguard 클라이언트 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 클라이언트:

    • Private key: aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32
  • 서버:

    • 공개 키: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 클라이언트의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크
  • NetworkManager-tui 패키지를 설치했습니다.

절차

  1. nmtui 애플리케이션을 시작합니다.

    # nmtui
  2. Edit a connection 을 선택하고 Enter 키를 누릅니다.
  3. 추가를 선택하고 Enter 키를 누릅니다.
  4. 목록에서 Wireguard 연결 유형을 선택하고 Enter 키를 누릅니다.
  5. 연결 편집 창에서 다음을 수행합니다.

    1. NetworkManager에서 연결에 할당해야 하는 연결 이름과 가상 인터페이스(예: wg0 )를 입력합니다.
    2. 클라이언트의 개인 키를 입력합니다.

      nmtui Wireguard 클라이언트 일반
    3. Peers 창 옆에 있는 추가 를 클릭합니다.

      1. 서버의 공개 키를 입력합니다.
      2. 허용된 IP 필드를 설정합니다. 예를 들어 다음과 같이 설정합니다.

        • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다.
        • 0.0.0.0/0,::/0: 모든 원격 IPv4 및 IPv6 주소가 이 클라이언트와 통신할 수 있도록 합니다. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.
      3. Wireguard 서버의 호스트 이름 또는 IP 주소 및 포트를 Endpoint 필드에 입력합니다. hostname_or_IP:port_number형식을 사용합니다.
      4. 선택 사항: NAT(네트워크 주소 변환)가 있는 네트워크에서 클라이언트를 사용하거나 방화벽이 비활성 시간 후에 UDP 연결을 닫는 경우 초 단위로 지속적인 간격을 설정합니다. 이 간격으로 클라이언트는 고정 패킷을 서버로 보냅니다.
      5. 확인을 선택하고 Enter 키를 누릅니다.

        nmtui Wireguard 클라이언트 피어 구성
    4. IPv4 구성 옆에 있는 Show 를 선택하고 Enter 를 누릅니다.

      1. IPv4 구성 방법 Manual 을 선택합니다.
      2. 터널 IPv4 주소 및 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
    5. IPv6 구성 옆에 있는 Show 를 선택하고 Enter 를 누릅니다.

      1. IPv6 구성 방법 Manual 을 선택합니다.
      2. 터널 IPv6 주소 및 서브넷 마스크를 입력합니다. Gateway 필드를 비워 둡니다.
    6. 선택 사항: 자동으로 연결을 선택합니다.
    7. 확인을 선택하고 Enter키를 누릅니다.

      nmtui Wireguard 클라이언트 ip config
  6. 연결 목록이 있는 창에서 뒤로 을 선택하고 Enter 키를 누릅니다.
  7. NetworkManager TUI 메인 창에서 Quit 을 선택하고 Enter 를 누릅니다.

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1
    # ping6 2001:db8:1::1
  2. wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 51820
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력의 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    VPN 터널을 통해 트래픽을 이미 보낸 경우 출력에는 최신 핸드셰이크전송 항목만 포함됩니다.

  3. wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::73d9:6f51:ea6f:863e/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • wg(8) 도움말 페이지

13.13. nm-connection-editor를 사용하여 WireGuard 클라이언트 구성

NetworkManager에 연결 프로필을 생성하여 WireGuard 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager에서 WireGuard 연결을 관리하도록 합니다.

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 클라이언트의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. 터미널을 열고 다음을 입력합니다.

    # nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. WireGuard 연결 유형을 선택하고 Create(만들기 )를 클릭합니다.
  4. 선택 사항: 연결 이름을 업데이트합니다.
  5. 선택 사항: General(일반 ) 탭에서 Connect automatically with priority(우선 순위와 함께 자동으로 연결 )를 선택합니다.
  6. WireGuard 탭에서 다음을 수행합니다.

    1. NetworkManager가 연결에 할당해야 하는 가상 인터페이스의 이름 (예:wg 0)을 입력합니다.
    2. 클라이언트의 개인 키를 입력합니다.
    3. Add(추가 )를 클릭하여 피어를 추가합니다.

      1. 서버의 공개 키를 입력합니다.
      2. Allowed IPs(허용 IP ) 필드를 설정합니다. 예를 들어 다음과 같이 설정합니다.

        • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다.
        • 0.0.0.0/0;::/0; 모든 원격 IPv4 및 IPv6 주소가 이 클라이언트와 통신하도록 허용. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.
      3. WireGuard 서버의 호스트 이름 또는 IP 주소와 포트를 Endpoint 필드에 입력합니다. hostname_or_IP :port_number 형식을 사용하십시오.
      4. 선택 사항: NAT(네트워크 주소 변환)가 있는 네트워크에서 클라이언트를 사용하거나 방화벽이 비활성 시간 후에 UDP 연결을 닫는 경우 초 단위로 지속적인 간격을 설정합니다. 이 간격으로 클라이언트는 고정 패킷을 서버로 보냅니다.
      5. Apply(적용)를 클릭합니다.
  7. IPv4 Settings(IPv4 설정 ) 탭에서 다음을 수행합니다.

    1. Method (메서드) 목록에서 Manual(수동 )을 선택합니다.
    2. Add(추가 )를 클릭하여 터널 IPv4 주소 및 서브넷 마스크를 입력합니다.
    3. 터널을 통해 모든 트래픽을 라우팅하려면 Gateway(게이트웨이 ) 필드에 서버의 터널 IPv4 주소를 설정합니다. 그렇지 않으면 필드를 비워 둡니다.
  8. IPv6 Settings(IPv6 설정 ) 탭에서 다음을 수행합니다.

    1. Method (메서드) 목록에서 Manual(수동 )을 선택합니다.
    2. Add(추가 )를 클릭하여 터널 IPv6 주소와 서브넷 마스크를 입력합니다.
    3. 터널을 통해 모든 트래픽을 라우팅하려면 Gateway(게이트웨이 ) 필드에 서버의 터널 IPv6 주소를 설정합니다. 그렇지 않으면 필드를 비워 둡니다.
  9. Save (저장)를 클릭하여 연결 프로필을 저장합니다.

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1
    # ping6 2001:db8:1::1
  2. the wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 51820
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    VPN 터널을 통해 트래픽을 이미 보낸 경우 출력에 최신 핸드셰이크전송 항목만 포함됩니다.

  3. the wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 brd 192.0.2.255 scope global noprefixroute wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32 scope global noprefixroute
           valid_lft forever preferred_lft forever
        inet6 fe80::73d9:6f51:ea6f:863e/64 scope link noprefixroute
           valid_lft forever preferred_lft forever

추가 리소스

  • The wg(8) 도움말 페이지

13.14. wg-quick 서비스를 사용하여 WireGuard 클라이언트 구성

/etc/ wireguard/ 디렉토리에 구성 파일을 만들어 WireGuard 클라이언트를 구성할 수 있습니다. 이 방법을 사용하여 NetworkManager와 독립적으로 서비스를 구성합니다.

이 절차에서는 다음 설정을 가정합니다.

  • 클라이언트:

    • Private key: aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A=
    • 터널 IPv4 주소: 192.0.2.2/24
    • 터널 IPv6 주소: 2001:db8:1::2/32
  • 서버:

    • 공개 키: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
    • 터널 IPv4 주소: 192.0.2.1/24
    • 터널 IPv6 주소: 2001:db8:1::1/32

사전 요구 사항

  • 서버와 클라이언트 모두에 대해 공개 및 개인 키를 생성했습니다.
  • 다음 정보를 알고 있습니다.

    • 클라이언트의 개인 키
    • 클라이언트의 고정 터널 IP 주소 및 서브넷 마스크
    • 서버의 공개 키
    • 서버의 고정 터널 IP 주소 및 서브넷 마스크

절차

  1. wireguard-tools 패키지를 설치합니다.

    # dnf install wireguard-tools
  2. 다음 내용으로 /etc/ wireguard/wg0.conf 파일을 만듭니다.

    [Interface]
    Address = 192.0.2.2/24, 2001:db8:1::2/32
    PrivateKey = aPUcp5vHz8yMLrzk8SsDyYnV33IhE/k20e52iKJFV0A=
    
    [Peer]
    PublicKey = UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
    AllowedIPs = 192.0.2.1, 2001:db8:1::1
    Endpoint = server.example.com:51820
    PersistentKeepalive = 20
    • [Interface] 섹션은 클라이언트 인터페이스의 WireGuard 설정을 설명합니다.

      • 주소: 클라이언트의 터널 IP 주소 쉼표로 구분된 목록입니다.
      • PrivateKey: 클라이언트의 개인 키입니다.
    • [Peer] 섹션은 서버 설정을 설명합니다.

      • 공개 키: 서버의 공개 키입니다.
      • AllowedIPs: 이 클라이언트에 데이터를 보낼 수 있는 IP 주소입니다. 예를 들어 매개 변수를 다음과 같이 설정합니다.

        • 서버만 이 클라이언트와 통신할 수 있도록 하는 서버의 IP 주소입니다. 위 예제의 값은 이 시나리오를 구성합니다.
        • 0.0.0.0/0, ::/0 은 모든 원격 IPv4 및 IPv6 주소가 이 클라이언트와 통신할 수 있도록 합니다. 이 설정을 사용하여 모든 트래픽을 터널을 통해 라우팅하고 WireGuard 서버를 기본 게이트웨이로 사용합니다.
      • 엔드포인트: 호스트 이름 또는 IP 주소와 서버의 포트를 설정합니다. 클라이언트는 이 정보를 사용하여 연결을 설정합니다.
      • 선택적 persistent-keepalive 매개 변수는 WireGuard가 서버에 유지 패킷을 보내는 간격(초)을 정의합니다. NAT(네트워크 주소 변환)가 있는 네트워크에서 클라이언트를 사용하거나 방화벽이 비활성 시간이 지난 후 UDP 연결을 닫는 경우 이 매개변수를 설정합니다.
  3. WireGuard 연결을 활성화하고 시작합니다.

    # systemctl enable --now wg-quick@wg0

    systemd 인스턴스 이름은 .conf 접미사가 없는 /etc/ wireguard/ 디렉토리 의 구성 파일 이름과 일치해야 합니다. 또한 서비스는 가상 네트워크 인터페이스에 이 이름을 사용합니다.

검증

  1. 서버의 IP 주소를 ping합니다.

    # ping 192.0.2.1
    # ping6 2001:db8:1::1
  2. the wg0 장치의 인터페이스 구성을 표시합니다.

    # wg show wg0
    interface: wg0
      public key: bnwfQcC8/g2i4vvEqcRUM2e6Hi3Nskk6G9t4r26nFVM=
      private key: (hidden)
      listening port: 51820
    
    peer: UtjqCJ57DeAscYKRfp7cFGiQqdONRn69u249Fa4O6BE=
      endpoint: server.example.com:51820
      allowed ips: 192.0.2.1/32, 2001:db8:1::1/128
      latest handshake: 1 minute, 41 seconds ago
      transfer: 824 B received, 1.01 KiB sent
      persistent keepalive: every 20 seconds

    출력에 개인 키를 표시하려면 WG_HIDE_KEYS=never wg show wg0 명령을 사용합니다.

    VPN 터널을 통해 트래픽을 이미 보낸 경우 출력에 최신 핸드셰이크전송 항목만 포함되어 있습니다.

  3. the wg0 장치의 IP 구성을 표시합니다.

    # ip address show wg0
    10: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
        link/none
        inet 192.0.2.2/24 scope global wg0
           valid_lft forever preferred_lft forever
        inet6 2001:db8:1::2/32__ scope global
           valid_lft forever preferred_lft forever

추가 리소스

  • The wg(8) 도움말 페이지
  • the wg-quick(8) 도움말 페이지

14장. VPN 연결 구성

이 섹션에서는 VPN(Virtual Private Network) 연결을 구성하는 방법을 설명합니다.

VPN은 인터넷을 통해 로컬 네트워크에 연결하는 방법입니다. Libreswan 에서 제공하는 IPsec 은 VPN을 만드는 데 선호되는 방법입니다. Libreswan 은 VPN을 위한 사용자 공간 IPsec 구현입니다. VPN은 인터넷과 같은 중간 네트워크에서 터널을 설정하여 LAN과 다른 원격 LAN 간의 통신을 가능하게 합니다. 보안상의 이유로 VPN 터널은 항상 인증 및 암호화를 사용합니다. 암호화 작업의 경우 LibreswanNSS 라이브러리를 사용합니다.

14.1. 제어 센터를 사용하여 VPN 연결 구성

다음 절차에서는 control-center 를 사용하여 VPN 연결을 구성하는 방법을 설명합니다.

사전 요구 사항

  • NetworkManager-libreswan-gnome 패키지가 설치되어 있습니다.

절차

  1. Super 키를 눌러 Settings 을 입력하고 Enter 를 눌러 control-center 애플리케이션을 엽니다.
  2. 왼쪽에서 네트워크 항목을 선택합니다.
  3. + 아이콘을 클릭합니다.
  4. VPN 을 선택합니다.
  5. ID 메뉴 항목을 선택하여 기본 구성 옵션을 확인합니다.

    일반

    gateway - 원격 VPN 게이트웨이의 이름 또는 IP 주소입니다.

    인증

    유형

    • IKEv2(Certificate)- 클라이언트가 인증서로 인증되었습니다. 더 안전한 (기본값)입니다.
    • IKEv1(XAUTH) - 클라이언트는 사용자 이름 및 암호 또는 사전 공유 키(PSK)에 의해 인증됩니다.

      다음 구성 설정은 고급 섹션에서 사용할 수 있습니다.

      그림 14.1. VPN 연결의 고급 옵션

      네트워킹 vpn 고급 옵션
      주의

      gnome-control-center 애플리케이션을 사용하여 IPsec 기반 VPN 연결을 구성할 때 고급 대화 상자에 구성이 표시되지만 변경 사항은 허용하지 않습니다. 따라서 사용자는 고급 IPsec 옵션을 변경할 수 없습니다. 대신 nm-connection-editor 또는 nmcli 툴을 사용하여 고급 속성 구성을 수행합니다.

      identification

    • domain - 필요한 경우 Domain Name을 입력합니다.

      보안

    • Phase1 알고리즘 - ike Libre swan 매개변수에 해당합니다. - 암호화된 채널을 인증하고 설정하는 데 사용되는 알고리즘을 입력합니다.
    • 단계2 알고리즘 - esp Libreswan 매개변수에 해당 - IPsec 협상에 사용할 알고리즘을 입력합니다.

      PFS 비활성화 필드를 확인하여 PFS (PFS)를 지원하지 않는 이전 서버와의 호환성을 확인하려면 PFS(Perfect Forward Secrecy)를 끕니다.

    • Step1 Lifetime - ikelifetime Libreswan 매개 변수에 해당 - 트래픽을 암호화하는 데 사용된 키가 유효한 시간입니다.
    • Step2 Lifetime - salifetime Libreswan 매개변수에 해당합니다. - 만료하기 전에 특정 연결 인스턴스가 지속되는 기간입니다.

      보안상의 이유로 암호화 키를 때때로 변경해야 합니다.

    • 원격 네트워크 - 오른쪽subnet Libreswan 매개 변수 - VPN을 통해 도달해야 하는 대상 사설 원격 네트워크에 해당합니다.

      축소 할 수 있도록 좁은 필드를 확인합니다. 이는 IKEv2 협상에서만 유효합니다.

    • 조각화 활성화 - 조각화 Libreswan 매개 변수에 해당 -IKE 조각화 허용 여부를 나타냅니다. 유효한 값은 yes (기본값) 또는 no 입니다.
    • Enable Mobike - corresponds to the>-<ke Libreswan 매개 변수에 해당 - MO BIKE (MOBIKE, RFC 4555)를 허용하여 연결을 처음부터 다시 시작할 필요 없이 해당 끝점을 마이그레이션할 수 있습니다. 이는 유선, 무선 또는 모바일 데이터 연결 사이에서 전환하는 모바일 장치에서 사용됩니다. 값은 no (기본값) 또는 yes 입니다.
  6. IPv4 메뉴 항목을 선택합니다.

    IPv4 방법

    • Automatic (DHCP) - 연결하는 네트워크가 DHCP 서버를 사용하여 동적 IP 주소를 할당하는 경우 이 옵션을 선택합니다.
    • 링크-로컬 전용 - 연결하는 네트워크에 DHCP 서버가 없고 IP 주소를 수동으로 할당하지 않으려는 경우 이 옵션을 선택합니다. 접두사가 169.254/16RFC 3927 에 따라 임의 주소가 할당됩니다.
    • 수동 - IP 주소를 수동으로 할당하려면 이 옵션을 선택합니다.
    • disable - 이 연결에 대해 IPv4 가 비활성화되어 있습니다.

      DNS

      DNS 섹션에서 AutomaticON 인 경우 OFF 로 전환하여 IP를 쉼표로 분리하는 데 사용할 DNS 서버의 IP 주소를 입력합니다.

      라우트

      경로 섹션에서 AutomaticON 인 경우 DHCP의 경로가 사용되지만 정적 경로를 추가할 수도 있습니다. OFF 는 정적 경로만 사용합니다.

    • address - 원격 네트워크 또는 호스트의 IP 주소를 입력합니다.
    • netmask - 위에 입력한 IP 주소의 넷마스크 또는 접두사 길이입니다.
    • gateway - 원격 네트워크 또는 호스트를 위에서 입력한 게이트웨이의 IP 주소입니다.
    • 지표 - 네트워크 비용, 이 경로에 제공하는 기본 설정 값입니다. 더 낮은 값이 더 높은 값보다 우선합니다.

      이 연결을 네트워크의 리소스에만 사용합니다

      연결이 기본 경로가 되지 않도록 하려면 이 확인란을 선택합니다. 이 옵션을 선택하면 자동으로 연결을 통해 학습되거나 여기에서 수동으로 입력한 경로의 특정 경로만 연결을 통해 라우팅됩니다.

  7. VPN 연결에서 IPv6 설정을 구성하려면 IPv6 메뉴 항목을 선택합니다.

    IPv6 방법

    • 자동 - 이 옵션을 선택하여 IPv6 상태 비저장 주소 자동 구성(SLAAC)를 사용하여 하드웨어 주소 및 라우터 알림(RA)을 기반으로 자동 상태 비저장 구성을 생성합니다.
    • Automatic, DHCP only - RA를 사용하지 않도록 이 옵션을 선택하고 DHCPv6 의 정보를 직접 요청하여 상태 저장 구성을 생성합니다.
    • 링크-로컬 전용 - 연결하는 네트워크에 DHCP 서버가 없고 IP 주소를 수동으로 할당하지 않으려는 경우 이 옵션을 선택합니다. 접두사 FE80::0 이 있는 RFC 4862 에 따라 임의 주소가 할당됩니다.
    • 수동 - IP 주소를 수동으로 할당하려면 이 옵션을 선택합니다.
    • disable - 이 연결에 대해 IPv6 가 비활성화되어 있습니다.

      DNS,Routes,네트워크의 리소스에만 이 연결을 IPv4 설정에 공통적으로 사용합니다.

  8. VPN 연결 편집을 완료하면 추가 버튼을 클릭하여 구성 또는 적용 버튼을 클릭하여 기존 연결을 위해 저장합니다.
  9. 프로필을 ON 으로 VPN 연결을 활성 상태로 전환합니다.

추가 리소스

  • nm-settings-libreswan(5)

14.2. nm-connection-editor를 사용하여 VPN 연결 구성

다음 절차에서는 nm-connection-editor 를 사용하여 VPN 연결을 구성하는 방법을 설명합니다.

사전 요구 사항

  • NetworkManager-libreswan-gnome 패키지가 설치되어 있습니다.
  • Internet Key Exchange 버전 2(IKEv2) 연결을 구성하는 경우:

    • 인증서를 IPsec 네트워크 보안 서비스(NSS) 데이터베이스로 가져옵니다.
    • NSS 데이터베이스에 있는 인증서의 닉네임은 알려져 있습니다.

절차

  1. 터미널을 열고 다음을 입력합니다.

    $ nm-connection-editor
  2. + 버튼을 클릭하여 새 연결을 추가합니다.
  3. IPsec 기반 VPN 연결 유형을 선택하고 생성을 클릭합니다.
  4. VPN 탭에서:

    1. VPN 게이트웨이의 호스트 이름 또는 IP 주소를 게이트웨이 필드에 입력하고 인증 유형을 선택합니다. 인증 유형에 따라 다른 추가 정보를 입력해야 합니다.

      • IKEv2(Certifiate) 는 더 안전한 인증서를 사용하여 클라이언트를 인증합니다. 이 설정을 사용하려면 IPsec NSS 데이터베이스의 인증서 닉네임이 필요합니다.
      • IKEv1(XAUTH) 은 사용자 이름 및 암호(사전 공유 키)를 사용하여 사용자를 인증합니다. 이 설정을 사용하려면 다음 값을 입력해야 합니다.

        • 사용자 이름
        • 암호
        • 그룹 이름
        • Secret
    2. 원격 서버가 IKE 교환에 대한 로컬 식별자를 지정하는 경우 원격 ID 필드에 정확한 문자열을 입력합니다. 원격 서버에서 Libreswan을 실행하면 이 값은 서버의 leftid 매개 변수에 설정됩니다.

      nm connection editor vpn tab

    3. 선택적으로 고급 버튼을 클릭하여 추가 설정을 구성합니다. 다음 설정을 구성할 수 있습니다.

      • identification

        • domain - 필요한 경우 도메인 이름을 입력합니다.
      • 보안

        • Phase1 알고리즘은 ike Libre swan 매개변수에 해당합니다. 암호화된 채널을 인증하고 설정하는 데 사용할 알고리즘을 입력합니다.
        • 단계2 알고리즘은 esp Libreswan 매개 변수에 해당합니다. IPsec 협상에 사용할 알고리즘을 입력하십시오.

          PFS 비활성화 필드를 확인하여 PFS (PFS)를 지원하지 않는 이전 서버와의 호환성을 확인하려면 PFS(Perfect Forward Secrecy)를 끕니다.

        • Step1 Lifetimeikelifetime Libreswan 매개변수에 해당합니다. 이 매개변수는 트래픽을 암호화하는 데 사용된 키가 유효한 기간을 정의합니다.
        • Step2 Lifetimesalifetime Libreswan 매개변수에 해당합니다. 이 매개 변수는 보안 연결이 유효한 기간을 정의합니다.
      • 연결

        • 원격 네트워크는 rightsubnet Libreswan 매개변수에 해당하며 VPN을 통해 도달해야 하는 대상 사설 원격 네트워크를 정의합니다.

          축소 할 수 있도록 좁은 필드를 확인합니다. IKEv2 협상에서만 효과가 있다는 점에 유의하십시오.

        • 조각화 를 사용할 수 있음 Libreswan 매개 변수에 해당하고 IKE 조각화 허용 여부를 정의합니다. 유효한 값은 yes (기본값) 또는 no 입니다.
        • Mobike 를 사용할 수 있습니다. 이 매개 변수는 bondke Libreswan 매개 변수에 해당합니다. 이 매개 변수는 MOBIKE(Multihoming Protocol)가 연결을 처음부터 다시 시작하지 않고도 끝점을 마이그레이션할 수 있도록 허용할지 여부를 정의합니다. 이는 유선, 무선 또는 모바일 데이터 연결 사이에서 전환하는 모바일 장치에서 사용됩니다. 값은 no (기본값) 또는 yes 입니다.
  5. IPv4 Settings 탭에서 IP 할당 방법을 선택하고 선택적으로 추가 정적 주소, DNS 서버, 검색 도메인 및 경로를 설정합니다.

    IPsec IPv4 tab

  6. 연결을 저장합니다.
  7. nm-connection-editor 를 닫습니다.
참고

+ 버튼을 클릭하여 새 연결을 추가하면 NetworkManager 에서 해당 연결에 사용할 새 구성 파일을 만든 다음 기존 연결을 편집하는 데 사용되는 것과 동일한 대화 상자를 엽니다. 이러한 대화 상자의 차이점은 기존 연결 프로필에 Details(세부 정보 ) 메뉴 항목이 있다는 것입니다.

추가 리소스

  • nm-settings-libreswan(5) 도움말 페이지

14.3. IPsec 연결 속도를 높이기 위해 ESP 하드웨어 오프로드 자동 감지 및 사용 구성

하드웨어로 캡슐화된 보안 페이로드(ESP)를 오프로드하면 이더넷을 통해 IPsec 연결을 가속화할 수 있습니다. 기본적으로 Libreswan은 하드웨어가 이 기능을 지원하는지 감지하여 ESP 하드웨어 오프로드를 활성화합니다. 이 절차에서는 기능을 비활성화하거나 명시적으로 사용하도록 설정한 경우 자동 탐지를 활성화하는 방법을 설명합니다.

사전 요구 사항

  • 네트워크 카드는 ESP 하드웨어 오프로드를 지원합니다.
  • 네트워크 드라이버는 ESP 하드웨어 오프로드를 지원합니다.
  • IPsec 연결이 구성되고 작동합니다.

절차

  1. ESP 하드웨어 오프로드 지원의 자동 탐지를 사용해야 하는 연결의 /etc/ipsec.d/ 디렉토리에서 Libreswan 구성 파일을 편집합니다.
  2. 연결 설정에 nic-offload 매개변수가 설정되어 있지 않은지 확인합니다.
  3. nic-offload 를 제거한 경우 ipsec 서비스를 다시 시작합니다.

    # systemctl restart ipsec

검증

네트워크 카드가 ESP 하드웨어 오프로드 지원을 지원하는 경우 다음 단계에 따라 결과를 확인하십시오.

  1. IPsec 연결에 사용하는 이더넷 장치의 tx_ipsecrx_ipsec 카운터를 표시합니다.

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 10
         rx_ipsec: 10
  2. IPsec 터널을 통해 트래픽을 전송합니다. 예를 들어 원격 IP 주소를 ping합니다.

    # ping -c 5 remote_ip_address
  3. 이더넷 장치의 tx_ipsecrx_ipsec 카운터를 다시 표시합니다.

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 15
         rx_ipsec: 15

    카운터 값이 증가하면 ESP 하드웨어 오프로드가 작동합니다.

14.4. IPsec 연결 속도를 높이기 위해 본딩에서 ESP 하드웨어 오프로드 구성

하드웨어로 ESB(Security Payload)를 오프로드하면 IPsec 연결 속도가 빨라집니다. 장애 조치(failover) 이유로 네트워크 본딩을 사용하는 경우 ESP 하드웨어 오프로드 구성의 요구 사항과 절차는 일반 이더넷 장치를 사용하는 것과 다릅니다. 예를 들어, 이 시나리오에서는 본딩에서 오프로드 지원을 활성화하며 커널은 본딩 포트에 설정을 적용합니다.

사전 요구 사항

  • 본딩의 모든 네트워크 카드는 ESP 하드웨어 오프로드를 지원합니다.
  • 네트워크 드라이버는 본딩 장치에서 ESP 하드웨어 오프로드를 지원합니다. RHEL에서는 ixgbe 드라이버만 이 기능을 지원합니다.
  • 본딩이 구성되고 작동합니다.
  • 본딩에서는 active-backup 모드를 사용합니다. 본딩 드라이버는 이 기능에 대해 다른 모드를 지원하지 않습니다.
  • IPsec 연결이 구성되고 작동합니다.

절차

  1. 네트워크 본딩에서 ESP 하드웨어 오프로드 지원을 활성화합니다.

    # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

    이 명령을 사용하면 bond0 연결에서 ESP 하드웨어 오프로드를 지원할 수 있습니다.

  2. bond0 연결을 다시 활성화합니다.

    # nmcli connection up bond0
  3. ESP 하드웨어 오프로드를 사용해야 하는 연결의 /etc/ipsec.d/ 디렉터리에서 Libreswan 구성 파일을 편집하고 연결 항목에 nic-offload=yes 문을 추가합니다.

    conn example
        ...
        nic-offload=yes
  4. ipsec 서비스를 다시 시작하십시오.

    # systemctl restart ipsec

검증

  1. 본딩의 활성 포트를 표시합니다.

    # grep "Currently Active Slave" /proc/net/bonding/bond0
    Currently Active Slave: enp1s0
  2. 활성 포트의 tx_ipsecrx_ipsec 카운터를 표시합니다.

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 10
         rx_ipsec: 10
  3. IPsec 터널을 통해 트래픽을 전송합니다. 예를 들어 원격 IP 주소를 ping합니다.

    # ping -c 5 remote_ip_address
  4. 활성 포트의 tx_ipsecrx_ipsec 카운터를 다시 표시합니다.

    # ethtool -S enp1s0 | egrep "_ipsec"
         tx_ipsec: 15
         rx_ipsec: 15

    카운터 값이 증가하면 ESP 하드웨어 오프로드가 작동합니다.

추가 리소스

15장. IP 터널 구성

VPN과 유사하게 IP 터널은 인터넷과 같은 세 번째 네트워크에 두 개의 네트워크를 직접 연결합니다. 그러나 모든 터널 프로토콜이 암호화를 지원하는 것은 아닙니다.

터널을 설정하는 두 네트워크의 라우터에는 두 개 이상의 인터페이스가 필요합니다.

  • 로컬 네트워크에 연결된 인터페이스 1개
  • 터널이 설정된 네트워크를 통해 연결된 하나의 인터페이스입니다.

터널을 설정하려면 원격 서브넷에서 IP 주소를 사용하여 두 라우터 모두에서 가상 인터페이스를 만듭니다.

NetworkManager는 다음 IP 터널을 지원합니다.

  • GRE(Generic Routing Encapsulation)
  • IPv6를 통한 일반 라우팅 Encapsulation (IP6GRE)
  • 일반 라우팅 Encapsulation 터미널 액세스 포인트 (GRETAP)
  • 일반 라우팅 Encapsulation IPv6 (IP6GRETAP)을 통한 일반 라우팅 엔드 포인트 액세스
  • IPv4 over IPv4 (IPIP)
  • IPv4 over IPv6 (IPIP6)
  • IPv6 over IPv6 (IP6IP6)
  • 간단한 인터넷 전환 (SIT)

유형에 따라 이러한 터널은 OSI(Open Systems Interconnection) 모델의 계층 2 또는 3에서 작동합니다.

15.1. IPv4 패킷에서 IPv4 트래픽을 캡슐화하도록 nmcli를 사용하여 IPIP 터널 구성

IP(IP over IP) 터널은 OSI 계층 3에서 작동하며 RFC 2003 에 설명된 대로 IPv4 패킷의 IPv4 트래픽을 캡슐화합니다.

중요

IPIP 터널을 통해 전송되는 데이터는 암호화되지 않습니다. 보안상의 이유로 이미 암호화된 데이터(예: HTTPS)에 의해서만 터널을 사용합니다.

IPIP 터널은 유니캐스트 패킷만 지원합니다. 멀티 캐스트를 지원하는 IPv4 터널이 필요한 경우 nmcli를 사용하여 IPv4 패킷에서 계층-3 트래픽을 캡슐화하는 GRE 터널 구성을 참조하십시오.

이 절차에서는 다음 다이어그램에 표시된 대로 두 RHEL 라우터 간에 IPIP 터널을 생성하여 인터넷에 두 개의 내부 서브넷을 연결하는 방법을 설명합니다.

IPIP 터널

사전 요구 사항

  • 각 RHEL 라우터에는 로컬 서브넷에 연결된 네트워크 인터페이스가 있습니다.
  • 각 RHEL 라우터에는 인터넷에 연결된 네트워크 인터페이스가 있습니다.
  • 터널을 통해 전송하려는 트래픽은 IPv4 유니캐스트입니다.

절차

  1. 네트워크 A의 RHEL 라우터에서 다음을 수행합니다.

    1. tun0 이라는 IPIP 터널 인터페이스를 만듭니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode ipip con-name tun0 ifname tun0 remote 198.51.100.5 local 203.0.113.10

      원격로컬 매개 변수는 원격 및 로컬 라우터의 공용 IP 주소를 설정합니다.

    2. IPv4 주소를 tun0 장치로 설정합니다.

      # nmcli connection modify tun0 ipv4.addresses '10.0.1.1/30'

      두 개의 사용 가능한 IP 주소가 있는 /30 서브넷은 터널에 충분합니다.

    3. 수동 IPv4 구성을 사용하도록 tun0 연결을 구성합니다.

      # nmcli connection modify tun0 ipv4.method manual
    4. 트래픽을 172.16.0.0/24 네트워크로 라우팅하는 고정 경로를 라우터 B 라우터의 터널 IP로 추가합니다.

      # nmcli connection modify tun0 +ipv4.routes "172.16.0.0/24 10.0.1.2"
    5. tun0 연결을 활성화합니다.

      # nmcli connection up tun0
    6. 패킷 전달을 활성화합니다.

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf
  2. 네트워크 B의 RHEL 라우터에서 다음을 수행합니다.

    1. tun0 이라는 IPIP 터널 인터페이스를 만듭니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode ipip con-name tun0 ifname tun0 remote 203.0.113.10 local 198.51.100.5

      원격로컬 매개 변수는 원격 및 로컬 라우터의 공용 IP 주소를 설정합니다.

    2. IPv4 주소를 tun0 장치로 설정합니다.

      # nmcli connection modify tun0 ipv4.addresses '10.0.1.2/30'
    3. 수동 IPv4 구성을 사용하도록 tun0 연결을 구성합니다.

      # nmcli connection modify tun0 ipv4.method manual
    4. 192.0.2.0/24 네트워크로 트래픽을 라우팅하는 정적 경로를 라우터 A 라우터의 터널 IP로 추가합니다.

      # nmcli connection modify tun0 +ipv4.routes "192.0.2.0/24 10.0.1.1"
    5. tun0 연결을 활성화합니다.

      # nmcli connection up tun0
    6. 패킷 전달을 활성화합니다.

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

검증 단계

  • 각 RHEL 라우터에서 다른 라우터의 내부 인터페이스의 IP 주소를 ping합니다.

    1. 라우터 A에서 ping 172.16.0.1:

      # ping 172.16.0.1
    2. 라우터 B에서 192.0.2.1 ping:

      # ping 192.0.2.1

추가 리소스

  • nmcli man 페이지
  • nm -settings(5) 매뉴얼 페이지의 ip-tunnel 설정 섹션

15.2. IPv4 패킷의 계층-3 트래픽을 캡슐화하도록 nmcli를 사용하여 GRE 터널 구성

GRE(Generic Routing Encapsulation) 터널은 RFC 2784 에 설명된 대로 IPv4 패킷의 계층-3 트래픽을 캡슐화합니다. GRE 터널은 유효한 이더넷 유형으로 모든 계층 3 프로토콜을 캡슐화할 수 있습니다.

중요

GRE 터널을 통해 전송되는 데이터는 암호화되지 않습니다. 보안상의 이유로 이미 암호화된 데이터(예: HTTPS)에 의해서만 터널을 사용합니다.

이 절차에서는 다음 다이어그램에 표시된 대로 인터넷에 두 개의 내부 서브넷을 연결하기 위해 두 RHEL 라우터 간에 GRE 터널을 만드는 방법을 설명합니다.

GRE 터널
참고

gre0 장치 이름은 예약되어 있습니다. 장치에 gre1 또는 다른 이름을 사용합니다.

사전 요구 사항

  • 각 RHEL 라우터에는 로컬 서브넷에 연결된 네트워크 인터페이스가 있습니다.
  • 각 RHEL 라우터에는 인터넷에 연결된 네트워크 인터페이스가 있습니다.

절차

  1. 네트워크 A의 RHEL 라우터에서 다음을 수행합니다.

    1. gre1 이라는 GRE 터널 인터페이스를 만듭니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode gre con-name gre1 ifname gre1 remote 198.51.100.5 local 203.0.113.10

      원격로컬 매개 변수는 원격 및 로컬 라우터의 공용 IP 주소를 설정합니다.

    2. IPv4 주소를 gre1 장치로 설정합니다.

      # nmcli connection modify gre1 ipv4.addresses '10.0.1.1/30'

      두 개의 사용 가능한 IP 주소가 있는 /30 서브넷은 터널에 충분합니다.

    3. 수동 IPv4 구성을 사용하도록 gre1 연결을 구성합니다.

      # nmcli connection modify gre1 ipv4.method manual
    4. 트래픽을 172.16.0.0/24 네트워크로 라우팅하는 고정 경로를 라우터 B 라우터의 터널 IP로 추가합니다.

      # nmcli connection modify gre1 +ipv4.routes "172.16.0.0/24 10.0.1.2"
    5. gre1 연결을 활성화합니다.

      # nmcli connection up gre1
    6. 패킷 전달을 활성화합니다.

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf
  2. 네트워크 B의 RHEL 라우터에서 다음을 수행합니다.

    1. gre1 이라는 GRE 터널 인터페이스를 만듭니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode gre con-name gre1 ifname gre1 remote 203.0.113.10 local 198.51.100.5

      원격로컬 매개 변수는 원격 및 로컬 라우터의 공용 IP 주소를 설정합니다.

    2. IPv4 주소를 gre1 장치로 설정합니다.

      # nmcli connection modify gre1 ipv4.addresses '10.0.1.2/30'
    3. 수동 IPv4 구성을 사용하도록 gre1 연결을 구성합니다.

      # nmcli connection modify gre1 ipv4.method manual
    4. 192.0.2.0/24 네트워크로 트래픽을 라우팅하는 정적 경로를 라우터 A 라우터의 터널 IP로 추가합니다.

      # nmcli connection modify gre1 +ipv4.routes "192.0.2.0/24 10.0.1.1"
    5. gre1 연결을 활성화합니다.

      # nmcli connection up gre1
    6. 패킷 전달을 활성화합니다.

      # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
      # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

검증 단계

  1. 각 RHEL 라우터에서 다른 라우터의 내부 인터페이스의 IP 주소를 ping합니다.

    1. 라우터 A에서 ping 172.16.0.1:

      # ping 172.16.0.1
    2. 라우터 B에서 192.0.2.1 ping:

      # ping 192.0.2.1

추가 리소스

  • nmcli man 페이지
  • nm -settings(5) 매뉴얼 페이지의 ip-tunnel 설정 섹션

15.3. IPv4를 통해 이더넷 프레임을 전송하도록 GRETAP 터널 구성

GRETAP(Generic Routing Encapsulation Terminal Access Point) 터널은 OSI 레벨 2에서 작동하며 RFC 2784 에 설명된 대로 IPv4 패킷에서 이더넷 트래픽을 캡슐화합니다.

중요

GRETAP 터널을 통해 전송되는 데이터는 암호화되지 않습니다. 보안상의 이유로 VPN을 통해 터널을 설정하거나 다른 암호화된 연결을 설정합니다.

이 절차에서는 다음 다이어그램에 표시된 대로 브리지를 사용하여 두 개의 RHEL 라우터 간에 GRETAP 터널을 만드는 방법을 설명합니다.

GRETAP 터널
참고

gretap0 장치 이름은 예약되어 있습니다. gretap1 또는 장치에 다른 이름을 사용합니다.

사전 요구 사항

  • 각 RHEL 라우터에는 로컬 네트워크에 연결된 네트워크 인터페이스가 있으며 인터페이스에 IP 구성이 할당되어 있지 않습니다.
  • 각 RHEL 라우터에는 인터넷에 연결된 네트워크 인터페이스가 있습니다.

절차

  1. 네트워크 A의 RHEL 라우터에서 다음을 수행합니다.

    1. bridge0 이라는 브리지 인터페이스를 만듭니다.

      # nmcli connection add type bridge con-name bridge0 ifname bridge0
    2. 브리지의 IP 설정을 구성합니다.

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.1/24'
      # nmcli connection modify bridge0 ipv4.method manual
    3. 로컬 네트워크에 연결된 인터페이스에 대한 새 연결 프로필을 브리지에 추가합니다.

      # nmcli connection add type ethernet slave-type bridge con-name bridge0-port1 ifname enp1s0 master bridge0
    4. GRETAP 터널 인터페이스의 새 연결 프로필을 브리지에 추가합니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode gretap slave-type bridge con-name bridge0-port2 ifname gretap1 remote 198.51.100.5 local 203.0.113.10 master bridge0

      원격로컬 매개 변수는 원격 및 로컬 라우터의 공용 IP 주소를 설정합니다.

    5. 선택 사항: 필요하지 않은 경우 Spanning Tree Protocol (STP)을 비활성화합니다.

      # nmcli connection modify bridge0 bridge.stp no

      기본적으로 STP는 활성화되며 연결을 사용하기 전에 지연이 발생합니다.

    6. bridge0 연결을 활성화하면 브리지의 포트를 자동으로 활성화하도록 설정합니다.

      # nmcli connection modify bridge0 connection.autoconnect-slaves 1
    7. bridge0 연결을 활성화합니다.

      # nmcli connection up bridge0
  2. 네트워크 B의 RHEL 라우터에서 다음을 수행합니다.

    1. bridge0 이라는 브리지 인터페이스를 만듭니다.

      # nmcli connection add type bridge con-name bridge0 ifname bridge0
    2. 브리지의 IP 설정을 구성합니다.

      # nmcli connection modify bridge0 ipv4.addresses '192.0.2.2/24'
      # nmcli connection modify bridge0 ipv4.method manual
    3. 로컬 네트워크에 연결된 인터페이스에 대한 새 연결 프로필을 브리지에 추가합니다.

      # nmcli connection add type ethernet slave-type bridge con-name bridge0-port1 ifname enp1s0 master bridge0
    4. GRETAP 터널 인터페이스의 새 연결 프로필을 브리지에 추가합니다.

      # nmcli connection add type ip-tunnel ip-tunnel.mode gretap slave-type bridge con-name bridge0-port2 ifname gretap1 remote 203.0.113.10 local 198.51.100.5 master bridge0

      원격로컬 매개 변수는 원격 및 로컬 라우터의 공용 IP 주소를 설정합니다.

    5. 선택 사항: 필요하지 않은 경우 Spanning Tree Protocol (STP)을 비활성화합니다.

      # nmcli connection modify bridge0 bridge.stp no
    6. bridge0 연결을 활성화하면 브리지의 포트를 자동으로 활성화하도록 설정합니다.

      # nmcli connection modify bridge0 connection.autoconnect-slaves 1
    7. bridge0 연결을 활성화합니다.

      # nmcli connection up bridge0

검증 단계

  1. 두 라우터 모두에서 enp1s0gretap1 연결이 연결되어 있고 CONNECTION 열에 포트의 연결 이름이 표시되는지 확인합니다.

    # nmcli device
    nmcli device
    DEVICE   TYPE      STATE      CONNECTION
    ...
    bridge0  bridge    connected  bridge0
    enp1s0   ethernet  connected  bridge0-port1
    gretap1  iptunnel  connected  bridge0-port2
  2. 각 RHEL 라우터에서 다른 라우터의 내부 인터페이스의 IP 주소를 ping합니다.

    1. A 라우터에서 ping 192.0.2.2:

      # ping 192.0.2.2
    2. 라우터 B에서 192.0.2.1 ping:

      # ping 192.0.2.1

추가 리소스

  • nmcli man 페이지
  • nm -settings(5) 매뉴얼 페이지의 ip-tunnel 설정 섹션

15.4. 추가 리소스

  • ip-link(8) 도움말 페이지

16장. 포트 미러링

네트워크 관리자는 포트 미러링을 사용하여 한 네트워크 장치에서 다른 네트워크 장치로 전송되는 인바운드 및 아웃바운드 네트워크 트래픽을 복제할 수 있습니다. 관리자는 포트 미러링을 사용하여 네트워크 트래픽을 모니터링하고 네트워크 데이터를 수집합니다.

  • 네트워킹 문제를 디버그하고 네트워크 흐름을 튜닝합니다.
  • 네트워크 트래픽을 검사하고 분석하여 네트워킹 문제를 해결합니다.
  • 침입 감지

16.1. nmcli를 사용하여 네트워크 인터페이스 미러링

NetworkManager를 사용하여 포트 미러링을 구성할 수 있습니다. 다음 절차에서는 트래픽 제어(tc) 규칙을 추가하고 enp1s0 네트워크 인터페이스에 필터링하여 enp1s0에서 enp7s0 에 네트워크 트래픽을 미러링합니다.

사전 요구 사항

  • 네트워크 트래픽을 미러링하는 네트워크 인터페이스입니다.

절차

  1. 네트워크 트래픽을 미러링할 네트워크 연결 프로필을 추가합니다.

    # nmcli connection add type ethernet ifname enp1s0 con-name enp1s0 autoconnect no
  2. 10: handle을 사용하여 송신(outgoing) 트래픽에 대해 prio qdiscenp1s0 에 연결합니다.

    # nmcli connection modify enp1s0 +tc.qdisc "root prio handle 10:"

    자식 없이 prio qdisc 를 연결하면 필터를 첨부할 수 있습니다.

  3. ffff: handle를 사용하여 Ingress 트래픽에 qdisc 를 추가합니다.

    # nmcli connection modify enp1s0 +tc.qdisc "ingress handle ffff:"
  4. 수신 및 송신 qdiscs 의 패킷과 일치하고 enp7s0 에 미러링하려면 다음 필터를 추가합니다.

    # nmcli connection modify enp1s0 +tc.tfilter "parent ffff: matchall action mirred egress mirror dev enp7s0"
    
    # nmcli connection modify enp1s0 +tc.tfilter "parent 10: matchall action mirred egress mirror dev enp7s0"

    matchall 필터는 모든 패킷과 일치하며 mirred 작업은 패킷을 대상으로 리디렉션합니다.

  5. 연결을 활성화합니다.

    # nmcli connection up enp1s0

검증 단계

  1. tcpdump 유틸리티를 설치합니다.

    # dnf install tcpdump
  2. 대상 장치에 미러링된 트래픽을 표시합니다(enp7s0).

    # tcpdump -i enp7s0

17장. 모든 MAC 주소에서 트래픽을 허용하도록 네트워크 장치 구성

네트워크 장치는 일반적으로 컨트롤러가 수신하도록 프로그래밍된 패킷을 가로채고 읽습니다. 가상 스위치 또는 포트 그룹 수준에서 모든 MAC 주소의 트래픽을 수락하도록 네트워크 장치를 구성할 수 있습니다.

이 네트워크 모드를 사용하여 다음을 수행할 수 있습니다.

  • 네트워크 연결 문제 진단
  • 보안상의 이유로 네트워크 활동을 모니터링합니다.
  • 네트워크의 개인 데이터 전송 또는 침입을 가로챕니다.

이 섹션에서는 iproute2,nmcli 또는 nmstatectl 유틸리티를 사용하여 모든 MAC 주소의 트래픽을 수락하도록 네트워크 장치를 구성하는 방법을 설명합니다. InfiniBand 를 제외한 모든 종류의 네트워크 장치에 대해 이 모드를 활성화할 수 있습니다.

17.1. iproute2를 사용하여 모든 트래픽을 허용하도록 네트워크 장치 임시 구성

다음 절차에서는 MAC 주소와 관계없이 모든 트래픽을 허용하도록 네트워크 장치를 구성하는 방법을 설명합니다. iproute2 유틸리티를 사용하여 변경한 사항은 시스템이 재부팅된 후 일시적으로 손실됩니다.

절차

  1. 선택 사항: 모든 트래픽을 수신하려는 네트워크 인터페이스를 표시합니다.

    # ip a
    1: enp1s0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc fq_codel state DOWN group default qlen 1000
        link/ether 98:fa:9b:a4:34:09 brd ff:ff:ff:ff:ff:ff
    2: bond0: <NO-CARRIER,BROADCAST,MULTICAST,MASTER,UP> mtu 1500 qdisc noqueue state DOWN group default qlen 1000
        link/ether 6a:fd:16:b0:83:5c brd ff:ff:ff:ff:ff:ff
    3: wlp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ...
  2. 이 속성을 활성화하거나 비활성화하려면 장치를 수정합니다.

    • enp1s0 에 대해 accept-all-mac-addresses 모드를 활성화하려면 다음을 수행합니다.

      # ip link set enp1s0 promisc on
    • enp1s0 에 대해 accept-all-mac-addresses 모드를 비활성화하려면 다음을 수행합니다.

      # ip link set enp1s0 promisc off

검증 단계

  • accept-all-mac-addresses 모드가 활성화되어 있는지 확인하려면 다음을 수행하십시오.

    # ip link show enp1s0
    1: enp1s0: <NO-CARRIER,BROADCAST,MULTICAST,PROMISC,UP> mtu 1500 qdisc fq_codel state DOWN mode DEFAULT group default qlen 1000
        link/ether 98:fa:9b:a4:34:09 brd ff:ff:ff:ff:ff:ff

장치 설명의 PROMISC 플래그는 모드가 활성화되었음을 나타냅니다.

17.2. nmcli를 사용하여 모든 트래픽을 수락하도록 네트워크 장치를 영구적으로 설정

다음 절차에서는 nmcli 명령을 사용하여 MAC 주소와 관계없이 트래픽을 수락하도록 네트워크 장치를 구성하는 방법을 설명합니다.

절차

  1. 선택 사항: 모든 트래픽을 수신하려는 네트워크 인터페이스를 표시합니다.

    # ip a
    1: enp1s0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc fq_codel state DOWN group default qlen 1000
        link/ether 98:fa:9b:a4:34:09 brd ff:ff:ff:ff:ff:ff
    2: bond0: <NO-CARRIER,BROADCAST,MULTICAST,MASTER,UP> mtu 1500 qdisc noqueue state DOWN group default qlen 1000
        link/ether 6a:fd:16:b0:83:5c brd ff:ff:ff:ff:ff:ff
    3: wlp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ...

    없는 경우 새 연결을 만들 수 있습니다.

  2. 이 속성을 활성화 또는 비활성화하려면 네트워크 장치를 수정합니다.

    • enp1s0 에 대해 ethernet.accept-all-mac-addresses 모드를 활성화하려면 다음을 수행합니다.

      # nmcli connection modify enp1s0 ethernet.accept-all-mac-addresses yes
    • enp1s0 에 대해 accept-all-mac-addresses 모드를 비활성화하려면 다음을 수행합니다.

      # nmcli connection modify enp1s0 ethernet.accept-all-mac-addresses no
  3. 변경 사항을 적용하려면 연결을 다시 활성화합니다.

    # nmcli connection up enp1s0

검증 단계

  • ethernet.accept-all-mac-addresses 모드가 활성화되어 있는지 확인하려면 다음을 수행하십시오.

    # nmcli connection show enp1s0
    ...
    802-3-ethernet.accept-all-mac-addresses:1     (true)

802-3-ethernet.accept-all-mac-addresses: true 는 모드가 활성화되었음을 나타냅니다.

17.3. nmstatectl을 사용하여 모든 트래픽을 수락하도록 네트워크 네트워크 장치를 영구적으로 구성

다음 절차에서는 nmstatectl 유틸리티를 사용하여 MAC 주소에 관계없이 모든 트래픽을 수락하도록 네트워크 장치를 구성하는 방법을 설명합니다.

사전 요구 사항

  • nmstate 패키지가 설치되어 있습니다.
  • 장치를 구성하는 데 사용한 .yml 파일을 사용할 수 있습니다.

절차

  1. enp1s0 연결의 기존 enp1s0.yml 파일을 편집하고 다음 콘텐츠를 추가합니다.

    ---
    interfaces:
      - name: enp1s0
        type: ethernet
        state: up
        accept -all-mac-address: true
  2. 네트워크 설정을 적용합니다.

    # nmstatectl apply ~/enp1s0.yml

검증 단계

  • 802-3-ethernet.accept-all-mac-addresses 모드가 활성화되어 있는지 확인하려면 다음을 수행하십시오.

    # nmstatectl show enp1s0
    interfaces:
      - name: enp1s0
        type: ethernet
        state: up
        accept-all-mac-addresses:     true
    ...

802-3-ethernet.accept-all-mac-addresses: true 는 모드가 활성화되었음을 나타냅니다.

추가 리소스

  • nmstatectl 에 대한 자세한 내용은 nmstatectl(8) 매뉴얼 페이지를 참조하십시오.
  • 자세한 구성 예제는 /usr/share/doc/nmstate/examples/ 디렉토리를 참조하십시오.

18장. FreeRADIUS 백엔드와 함께 hostapd를 사용하여 LAN 클라이언트에 대한 802.1x 네트워크 인증 서비스 설정

IEEE 802.1X 표준은 무단 클라이언트로부터 네트워크를 보호하는 보안 인증 및 권한 부여 방법을 정의합니다. hostapd 서비스 및 FreeRADIUS를 사용하면 네트워크에서 네트워크 액세스 제어(NAC)를 제공할 수 있습니다.

이 설명서에서 RHEL 호스트는 다른 클라이언트를 기존 네트워크와 연결하는 브리지 역할을 합니다. 그러나 RHEL 호스트는 인증된 클라이언트만 네트워크에 대한 액세스 권한을 부여합니다.

RHEL 인증기 802 1x

18.1. 사전 요구 사항

  • FreeRADIUS의 깔끔한 설치.

    freeradius 패키지가 이미 설치된 경우 /etc/raddb/ 디렉토리를 제거한 다음 패키지를 다시 설치합니다. /etc/raddb/ 디렉토리의 권한과 심볼릭 링크가 다르므로 dnf reinstall 명령을 사용하여 패키지를 다시 설치하지 마십시오.

18.2. 인증기에서 브리지 설정

네트워크 브리지는 MAC 주소 테이블에 따라 호스트와 네트워크 간에 트래픽을 전달하는 링크 계층 장치입니다. RHEL을 802.1X 인증기로 설정하는 경우 인증 및 LAN 인터페이스를 브리지에 수행할 인터페이스를 모두 추가합니다.

사전 요구 사항

  • 서버에는 여러 이더넷 인터페이스가 있습니다.

절차

  1. 브리지 인터페이스를 만듭니다.

    # nmcli connection add type bridge con-name br0 ifname br0
  2. 이더넷 인터페이스를 브리지에 할당합니다.

    # nmcli connection add type ethernet slave-type bridge con-name br0-port1 ifname enp1s0 master br0
    # nmcli connection add type ethernet slave-type bridge con-name br0-port2 ifname enp7s0 master br0
    # nmcli connection add type ethernet slave-type bridge con-name br0-port3 ifname enp8s0 master br0
    # nmcli connection add type ethernet slave-type bridge con-name br0-port4 ifname enp9s0 master br0
  3. 브리지를 활성화하여 LAN(EAPOL) 패킷을 통해 확장 가능한 인증 프로토콜을 전달합니다.

    # nmcli connection modify br0 group-forward-mask 8
  4. 포트를 자동으로 활성화하도록 연결을 구성합니다.

    # nmcli connection modify br0 connection.autoconnect-slaves 1
  5. 연결을 활성화합니다.

    # nmcli connection up br0

검증

  1. 특정 브릿지의 포트에 해당하는 이더넷 장치의 링크 상태를 표시합니다.

    # ip link show master br0
    3: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master br0 state UP mode DEFAULT group default qlen 1000
        link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
    ...
  2. br0 장치에서 EAPOL 패킷 전달이 활성화되어 있는지 확인합니다.

    # cat /sys/class/net/br0/bridge/group_fwd_mask
    0x8

    명령이 0x8 을 반환하면 전달이 활성화됩니다.

추가 리소스

  • nm-settings(5) 도움말 페이지

18.3. FreeRADIUS의 인증서 요구 사항

안전한 FreeRADIUS 서비스의 경우 다른 목적으로 TLS 인증서가 필요합니다.

  • 서버에 대한 암호화된 연결을 위한 TLS 서버 인증서입니다. 신뢰할 수 있는 CA(인증 기관)를 사용하여 인증서를 발행합니다.

    서버 인증서를 사용하려면 EKU(Extended Key usage) 필드를 TLS 웹 서버 인증으로 설정해야 합니다.

  • 확장된 인증 프로토콜 전송 계층 보안(EAP-TLS)에 대해 동일한 CA에서 발행한 클라이언트 인증서. EAP-TLS는 인증서 기반 인증을 제공하며 기본적으로 활성화됩니다.

    클라이언트 인증서를 사용하려면 EKU 필드를 TLS 웹 클라이언트 인증으로 설정해야 합니다.

주의

연결을 보호하려면 회사의 CA를 사용하거나 고유한 CA를 생성하여 FreeRADIUS에 대한 인증서를 발행하십시오. 공용 CA를 사용하는 경우 이를 통해 사용자를 인증하고 EAP-TLS에 대한 클라이언트 인증서를 발행할 수 있습니다.

18.4. 테스트 목적으로 FreeRADIUS 서버에 인증서 세트 생성

테스트 목적으로 freeradius 패키지는 /etc/raddb/certs/ 디렉터리에 스크립트 및 구성 파일을 설치하여 고유한 CA(인증 기관) 및 발급 인증서를 생성합니다.

중요

기본 구성을 사용하는 경우 이러한 스크립트에서 생성된 인증서는 60일 후에 만료되고 키는 안전하지 않은 암호("whatever")를 사용합니다. 그러나 CA, 서버 및 클라이언트 구성을 사용자 지정할 수 있습니다.

절차를 수행한 후 이 문서의 뒷부분에 필요한 다음 파일이 생성됩니다.

  • /etc/raddb/certs/ca.pem: CA 인증서
  • /etc/raddb/certs/server.key: 서버 인증서의 개인 키
  • /etc/raddb/certs/server.pem: 서버 인증서
  • /etc/raddb/certs/client.key: 클라이언트 인증서의 개인 키
  • /etc/raddb/certs/client.pem: 클라이언트 인증서

사전 요구 사항

  • freeradius 패키지를 설치했습니다.

절차

  1. /etc/raddb/certs/ 디렉터리로 변경합니다.

    # cd /etc/raddb/certs/
  2. 선택 사항: CA 구성을 사용자 지정합니다.

    ...
    [ req ]
    default_bits            = 2048
    input_password          = ca_password
    output_password         = ca_password
    ...
    [certificate_authority]
    countryName             = US
    stateOrProvinceName     = North Carolina
    localityName            = Raleigh
    organizationName        = Example Inc.
    emailAddress            = admin@example.org
    commonName              = "Example Certificate Authority"
    ...
  3. 선택 사항: 서버 구성을 사용자 지정합니다.

    ...
    [ CA_default ]
    default_days            = 730
    ...
    [ req ]
    distinguished_name      = server
    default_bits            = 2048
    input_password          = key_password
    output_password         = key_password
    ...
    [server]
    countryName             = US
    stateOrProvinceName     = North Carolina
    localityName            = Raleigh
    organizationName        = Example Inc.
    emailAddress            = admin@example.org
    commonName              = "Example Server Certificate"
    ...
  4. 선택 사항: 클라이언트 구성을 사용자 지정합니다.

    ...
    [ CA_default ]
    default_days            = 365
    ...
    [ req ]
    distinguished_name      = client
    default_bits            = 2048
    input_password          = password_on_private_key
    output_password         = password_on_private_key
    ...
    [client]
    countryName             = US
    stateOrProvinceName     = North Carolina
    localityName            = Raleigh
    organizationName        = Example Inc.
    emailAddress            = user@example.org
    commonName              = user@example.org
    ...
  5. 인증서를 생성합니다.

    # make all
  6. /etc/raddb/certs/server.pem 파일의 그룹을 radiusd 로 변경합니다.

    # chgrp radiusd /etc/raddb/certs/server.pem*

추가 리소스

  • /etc/raddb/certs/README.md

18.5. EAP를 사용하여 네트워크 클라이언트를 안전하게 인증하도록 FreeRADIUS 구성

freeradius는 확장 가능한 인증 프로토콜(EAP)의 다양한 방법을 지원합니다. 그러나 보안 네트워크의 경우 이 문서에서는 다음과 같은 보안 EAP 인증 방법만 지원하도록 FreeRADIUS를 구성하는 방법을 설명합니다.

  • EAP-TLS(전송 계층 보안)는 보안 TLS 연결을 사용하여 인증서를 사용하여 클라이언트를 인증합니다. EAP-TLS를 사용하려면 각 네트워크 클라이언트에 대해 TLS 클라이언트 인증서와 서버의 서버 인증서가 필요합니다. 동일한 CA(인증 기관)에서 인증서를 발급해야 합니다. 사용하는 모든 클라이언트 인증서가 FreeRADIUS 서버에 대해 인증할 수 있으므로 항상 자체 CA를 사용하여 인증서를 생성합니다.
  • EAP-TTLS(터널링된 전송 계층 보안)는 보안 TLS 연결을 사용하고 암호 인증 프로토콜(PAP) 또는 챌린지 핸드셰이크 인증 프로토콜(CHAP)과 같은 메커니즘을 사용하여 클라이언트를 인증합니다. EAP-TTLS를 사용하려면 TLS 서버 인증서가 필요합니다.
  • EAP-PEAP(보안 확장 가능 인증 프로토콜)는 보안 TLS 연결을 외부 인증 프로토콜로 사용하여 터널을 설정합니다. 인증자는 RADIUS 서버의 인증서를 인증합니다. 그런 다음 공급자는 Microsoft challenge 핸드셰이크 인증 프로토콜 버전 2 (MS-CHAPv2) 또는 기타 방법을 사용하여 암호화된 터널을 통해 인증합니다.
참고

기본 FreeRADIUS 구성 파일은 문서 역할을 하며 모든 매개변수와 지시문을 설명합니다. 특정 기능을 비활성화하려면 구성 파일에서 해당 부분을 제거하는 대신 주석 처리하십시오. 이를 통해 구성 파일 및 포함된 문서의 구조를 유지할 수 있습니다.

사전 요구 사항

  • freeradius 패키지를 설치했습니다.
  • /etc/raddb/ 디렉토리의 구성 파일은 변경되지 않으며 freeradius 패키지에서 제공하는 것과 같습니다.
  • 서버에 다음 파일이 있습니다.

    • FreeRADIUS 호스트의 TLS 개인 키: /etc/raddb/certs/server.key
    • FreeRADIUS 호스트의 TLS 서버 인증서: /etc/raddb/certs/server.pem
    • TLS CA 인증서: /etc/raddb/certs/ca.pem

    파일을 다른 위치에 저장하거나 이름이 다른 경우 /etc/raddb/mods-available/eap 파일의 private_key_file,certificate_fileca_file 매개변수를 설정합니다.

절차

  1. Diffie-Hellman (DH) 매개 변수가 있는 /etc/raddb/certs/dh 가 없으면 새로 만듭니다. 예를 들어 2048비트 소수로 DH 파일을 만들려면 다음을 입력합니다.

    # openssl dhparam -out /etc/raddb/certs/dh 2048

    보안상의 이유로 2048비트 소수보다 작은 DH 파일을 사용하지 마십시오. 비트 수에 따라 파일 작성에 몇 분이 걸릴 수 있습니다.

  2. TLS 개인 키, 서버 인증서, CA 인증서 및 DH 매개변수로 파일에 대한 보안 권한을 설정합니다.

    # chmod 640 /etc/raddb/certs/server.key /etc/raddb/certs/server.pem /etc/raddb/certs/ca.pem /etc/raddb/certs/dh
    # chown root:radiusd /etc/raddb/certs/server.key /etc/raddb/certs/server.pem /etc/raddb/certs/ca.pem /etc/raddb/certs/dh
  3. /etc/raddb/mods-available/eap 파일을 편집합니다.

    1. private_key_password 매개변수에 개인 키의 암호를 설정합니다.

      eap {
          ...
          tls-config tls-common {
              ...
              private_key_password = key_password
              ...
          }
      }
    2. 환경에 따라 eap 지시문의 default_eap_type 매개변수를 사용하는 기본 EAP 유형으로 설정합니다.

      eap {
          ...
          default_eap_type = ttls
          ...
      }

      보안 환경의 경우 ttls,tls 또는 peap 만 사용하십시오.

    3. md5 지시문을 주석 처리하여 안전하지 않은 EAP-MD5 인증 방법을 비활성화합니다.

      eap {
          ...
          # md5 {
          # }
          ...
      }

      기본 구성 파일에서 기타 비보안 EAP 인증 방법은 기본적으로 주석 처리됩니다.

  4. /etc/raddb/sites-available/default 파일을 편집하고 eap 이외의 모든 인증 방법을 주석 처리합니다.

    authenticate {
        ...
        # Auth-Type PAP {
        #     pap
        # }
    
        # Auth-Type CHAP {
        #     chap
        # }
    
        # Auth-Type MS-CHAP {
        #     mschap
        # }
    
        # mschap
    
        # digest
        ...
    }

    이렇게 하면 EAP만 활성화되며 일반 텍스트 인증 방법을 비활성화합니다.

  5. /etc/raddb/clients.conf 파일을 편집합니다.

    1. localhostlocalhost_ipv6 클라이언트 지시문에서 보안 암호를 설정합니다.

      client localhost {
          ipaddr = 127.0.0.1
          ...
          secret = client_password
          ...
      }
      
      client localhost_ipv6 {
          ipv6addr = ::1
          secret = client_password
      }
    2. 네트워크 인증기와 같은 RADIUS 클라이언트가 원격 호스트의 FreeRADIUS 서비스에 액세스할 수 있어야 하는 경우 이에 대해 해당 클라이언트 지시문을 추가합니다.

      client hostapd.example.org {
          ipaddr = 192.0.2.2/32
          secret = client_password
      }

      ipaddr 매개변수는 IPv4 및 IPv6 주소를 허용하고 선택적 CIDR(Classless inter-domain routing) 표기법을 사용하여 범위를 지정할 수 있습니다. 그러나 이 매개 변수에는 하나의 값만 설정할 수 있습니다. 예를 들어 IPv4 및 IPv6 주소에 대한 액세스 권한을 부여하려면 두 개의 클라이언트 지시문을 추가합니다.

      클라이언트 지시문에 대해 설명적인 이름(예: hostname) 또는 IP 범위 사용 위치를 설명하는 단어를 사용합니다.

  6. EAP-TTLS 또는 EAP-PEAP를 사용하려면 사용자를 /etc/raddb/users 파일에 추가하십시오.

    example_user        Cleartext-Password := "user_password"

    인증서 기반 인증(EAP-TLS)을 사용해야 하는 사용자의 경우 항목을 추가하지 마십시오.

  7. 구성 파일을 확인합니다.

    # radiusd -XC
    ...
    Configuration appears to be OK
  8. radiusd 서비스를 활성화하고 시작합니다.

    # systemctl enable --now radiusd

문제 해결

  1. radiusd 서비스를 중지합니다.

    # systemctl stop radiusd
  2. 디버그 모드에서 서비스를 시작합니다.

    # radiusd -X
    ...
    Ready to process requests
  3. 확인 섹션에서 참조하는 FreeRADIUS 호스트에서 인증 테스트를 수행합니다.

다음 단계

  • 사용하지 않는 인증 방법 및 기타 기능을 비활성화합니다.

18.6. 유선 네트워크에서 hostapd를 인증자로 구성

호스트 액세스 포인트 데몬(hostapd) 서비스는 802.1X 인증을 제공하기 위해 유선 네트워크에서 인증자 역할을 할 수 있습니다. 이를 위해 hostapd 서비스에는 클라이언트를 인증하는 RADIUS 서버가 필요합니다.

hostapd 서비스는 통합 RADIUS 서버를 제공합니다. 그러나 테스트 목적으로만 통합 RADIUS 서버를 사용하십시오. 프로덕션 환경의 경우 다양한 인증 방법 및 액세스 제어와 같은 추가 기능을 지원하는 FreeRADIUS 서버를 사용하십시오.

중요

hostapd 서비스가 트래픽 플레인과 상호 작용하지 않습니다. 서비스는 인증자 역할을 합니다. 예를 들어 hostapd 제어 인터페이스를 사용하여 인증 이벤트 결과에 따라 트래픽을 허용하거나 거부하는 스크립트 또는 서비스를 사용합니다.

사전 요구 사항

  • hostapd 패키지가 설치되어 있어야 합니다.
  • FreeRADIUS 서버가 구성되었으며 클라이언트를 인증할 준비가 되었습니다.

절차

  1. 다음 콘텐츠를 사용하여 /etc/hostapd/hostapd.conf 파일을 생성합니다.

    # General settings of hostapd
    # ===========================
    
    # Control interface settings
    ctrl_interface=/var/run/hostapd
    ctrl_interface_group=wheel
    
    # Enable logging for all modules
    logger_syslog=-1
    logger_stdout=-1
    
    # Log level
    logger_syslog_level=2
    logger_stdout_level=2
    
    
    # Wired 802.1X authentication
    # ===========================
    
    # Driver interface type
    driver=wired
    
    # Enable IEEE 802.1X authorization
    ieee8021x=1
    
    # Use port access entry (PAE) group address
    # (01:80:c2:00:00:03) when sending EAPOL frames
    use_pae_group_addr=1
    
    
    # Network interface for authentication requests
    interface=br0
    
    
    # RADIUS client configuration
    # ===========================
    
    # Local IP address used as NAS-IP-Address
    own_ip_addr=192.0.2.2
    
    # Unique NAS-Identifier within scope of RADIUS server
    nas_identifier=hostapd.example.org
    
    # RADIUS authentication server
    auth_server_addr=192.0.2.1
    auth_server_port=1812
    auth_server_shared_secret=client_password
    
    # RADIUS accounting server
    acct_server_addr=192.0.2.1
    acct_server_port=1813
    acct_server_shared_secret=client_password

    이 구성에 사용된 매개변수에 대한 자세한 내용은 /usr/share/doc/hostapd/hostapd.conf 예제 설정 파일에서 해당 설명을 참조하십시오.

  2. hostapd 서비스를 활성화하고 시작합니다.

    # systemctl enable --now hostapd

문제 해결

  1. hostapd 서비스를 중지합니다.

    # systemctl stop hostapd
  2. 디버그 모드에서 서비스를 시작합니다.

    # hostapd -d /etc/hostapd/hostapd.conf
  3. 확인 섹션에서 참조하는 FreeRADIUS 호스트에서 인증 테스트를 수행합니다.

추가 리소스

  • hostapd.conf(5) 매뉴얼 페이지
  • /usr/share/doc/hostapd/hostapd.conf

18.7. FreeRADIUS 서버 또는 인증자를 대상으로 EAP-TTLS 인증 테스트

터널링된 전송 계층 보안(EAP-TTLS)을 통한 확장 가능한 인증 프로토콜(EAP)을 사용하여 인증이 예상대로 작동하는지 테스트하려면 다음 절차를 실행하십시오.

  • FreeRADIUS 서버를 설정한 후
  • hostapd 서비스를 802.1X 네트워크 인증에 대한 인증 도구로 설정한 후.

이 프로세스에서 사용된 테스트 유틸리티의 출력은 EAP 통신에 대한 추가 정보를 제공하고 문제를 디버깅하는 데 도움이 됩니다.

사전 요구 사항

  • 인증하려는 경우 다음을 수행합니다.

    • FreeRADIUS 서버:

      • hostapd 패키지에서 제공하는 Multus ol_test 유틸리티가 설치됩니다.
      • 이 절차를 실행하는 클라이언트는 FreeRADIUS 서버의 클라이언트 데이터베이스에 권한이 있습니다.
    • 동일한 이름의 패키지에서 제공하는 wpa_supplicant 유틸리티인 인증자가 설치됩니다.
  • /etc/pki/tls/certs/ca.pem 파일에 CA(인증 기관) 인증서를 저장하셨습니다.

절차

  1. 다음 콘텐츠를 사용하여 /etc/wpa_supplicant/wpa_supplicant-TTLS.conf 파일을 생성합니다.

    ap_scan=0
    
    network={
        eap=TTLS
        eapol_flags=0
        key_mgmt=IEEE8021X
    
        # Anonymous identity (sent in unencrypted phase 1)
        # Can be any string
        anonymous_identity="anonymous"
    
        # Inner authentication (sent in TLS-encrypted phase 2)
        phase2="auth=PAP"
        identity="example_user"
        password="user_password"
    
        # CA certificate to validate the RADIUS server's identity
        ca_cert="/etc/pki/tls/certs/ca.pem"
    }
  2. 인증하려면 다음을 수행합니다.

    • FreeRADIUS 서버는 다음을 입력합니다.

      # eapol_test -c /etc/wpa_supplicant/wpa_supplicant-TTLS.conf -a 192.0.2.1 -s client_password
      ...
      EAP: Status notification: remote certificate verification (param=success)
      ...
      CTRL-EVENT-EAP-SUCCESS EAP authentication completed successfully
      ...
      SUCCESS

      a 옵션은 FreeRADIUS 서버의 IP 주소를 정의하고, -s 옵션은 FreeRADIUS 서버의 클라이언트 구성에서 명령을 실행하는 호스트의 암호를 지정합니다.

    • 인증자가 다음과 같이 입력합니다.

      # wpa_supplicant -c /etc/wpa_supplicant/wpa_supplicant-TTLS.conf -D wired -i enp0s31f6
      ...
      enp0s31f6: CTRL-EVENT-EAP-SUCCESS EAP authentication completed successfully
      ...

      i 옵션은 wpa_supplicant 가 LAN(EAPOL) 패킷을 통해 확장된 인증 프로토콜을 전송하는 네트워크 인터페이스 이름을 지정합니다.

      자세한 디버깅 정보를 보려면 명령에 -d 옵션을 전달합니다.

추가 리소스

  • /usr/share/doc/wpa_supplicant/wpa_supplicant.conf

18.8. FreeRADIUS 서버 또는 인증자를 대상으로 EAP-TLS 인증 테스트

EAP(xtensible authentication protocol) 전송 계층 보안(EAP-TLS)을 사용하여 인증이 예상대로 작동하는지 테스트하려면 다음 절차를 실행하십시오.

  • FreeRADIUS 서버를 설정한 후
  • hostapd 서비스를 802.1X 네트워크 인증에 대한 인증 도구로 설정한 후.

이 프로세스에서 사용된 테스트 유틸리티의 출력은 EAP 통신에 대한 추가 정보를 제공하고 문제를 디버깅하는 데 도움이 됩니다.

사전 요구 사항

  • 인증하려는 경우 다음을 수행합니다.

    • FreeRADIUS 서버:

      • hostapd 패키지에서 제공하는 Multus ol_test 유틸리티가 설치됩니다.
      • 이 절차를 실행하는 클라이언트는 FreeRADIUS 서버의 클라이언트 데이터베이스에 권한이 있습니다.
    • 동일한 이름의 패키지에서 제공하는 wpa_supplicant 유틸리티인 인증자가 설치됩니다.
  • /etc/pki/tls/certs/ca.pem 파일에 CA(인증 기관) 인증서를 저장하셨습니다.
  • 클라이언트 인증서를 발급한 CA는 FreeRADIUS 서버의 서버 인증서를 발급한 것과 동일합니다.
  • 클라이언트 인증서를 /etc/pki/tls/certs/client.pem 파일에 저장했습니다.
  • 클라이언트의 개인 키를 /etc/pki/tls/private/client.key에 저장했습니다.

절차

  1. 다음 콘텐츠를 사용하여 /etc/wpa_supplicant/wpa_supplicant-TLS.conf 파일을 생성합니다.

    ap_scan=0
    
    network={
        eap=TLS
        eapol_flags=0
        key_mgmt=IEEE8021X
    
        identity="user@example.org"
        client_cert="/etc/pki/tls/certs/client.pem"
        private_key="/etc/pki/tls/private/client.key"
        private_key_passwd="password_on_private_key"
    
        # CA certificate to validate the RADIUS server's identity
        ca_cert="/etc/pki/tls/certs/ca.pem"
    }
  2. 인증하려면 다음을 수행합니다.

    • FreeRADIUS 서버는 다음을 입력합니다.

      # eapol_test -c /etc/wpa_supplicant/wpa_supplicant-TLS.conf -a 192.0.2.1 -s client_password
      ...
      EAP: Status notification: remote certificate verification (param=success)
      ...
      CTRL-EVENT-EAP-SUCCESS EAP authentication completed successfully
      ...
      SUCCESS

      a 옵션은 FreeRADIUS 서버의 IP 주소를 정의하고, -s 옵션은 FreeRADIUS 서버의 클라이언트 구성에서 명령을 실행하는 호스트의 암호를 지정합니다.

    • 인증자가 다음과 같이 입력합니다.

      # wpa_supplicant -c /etc/wpa_supplicant/wpa_supplicant-TLS.conf -D wired -i enp0s31f6
      ...
      enp0s31f6: CTRL-EVENT-EAP-SUCCESS EAP authentication completed successfully
      ...

      i 옵션은 wpa_supplicant 가 LAN(EAPOL) 패킷을 통해 확장된 인증 프로토콜을 전송하는 네트워크 인터페이스 이름을 지정합니다.

      자세한 디버깅 정보를 보려면 명령에 -d 옵션을 전달합니다.

추가 리소스

  • /usr/share/doc/wpa_supplicant/wpa_supplicant.conf

18.9. hostapd 인증 이벤트를 기반으로 트래픽 차단 및 허용

hostapd 서비스가 트래픽 플레인과 상호 작용하지 않습니다. 서비스는 인증자 역할을 합니다. 그러나 인증 이벤트 결과에 따라 트래픽을 허용하고 거부하는 스크립트를 작성할 수 있습니다.

중요

이 절차는 지원되지 않으며 엔터프라이즈급 솔루션이 아닙니다. hostapd_cli 에서 검색한 이벤트를 평가하여 트래픽을 차단하거나 허용하는 방법만 보여줍니다.

802-1x-tr- backend systemd 서비스가 시작되면 RHEL은 LAN (EAPOL) 패킷에 대해 수신 대기 중인 포트의 모든 트래픽을 차단하고 hostapd _cli 유틸리티를 사용하여 hostapd 제어 인터페이스에 연결합니다. /usr/local/bin/802-1x-tr-backend 스크립트는 이벤트를 평가합니다. hostapd_cli 에서 수신한 다양한 이벤트에 따라 스크립트에서 MAC 주소에 대한 트래픽을 허용하거나 차단합니다. 802-1x-tr-backend 서비스가 중지되면 모든 트래픽이 자동으로 다시 허용됩니다.

hostapd 서버에서 다음 절차를 수행합니다.

사전 요구 사항

  • hostapd 서비스가 구성되어 있으며 서비스는 클라이언트를 인증할 준비가 되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 /usr/local/bin/802-1x-tr- management 파일을 만듭니다.

    #!/bin/sh
    
    if [ "x$1" == "xblock_all" ]
    then
    
        nft delete table bridge tr-mgmt-br0 2>/dev/null || true
        nft -f - << EOF
    table bridge tr-mgmt-br0 {
            set allowed_macs {
                    type ether_addr
            }
    
            chain accesscontrol {
                    ether saddr @allowed_macs accept
                    ether daddr @allowed_macs accept
                    drop
            }
    
            chain forward {
                    type filter hook forward priority 0; policy accept;
                    meta ibrname "br0" jump accesscontrol
            }
    }
    EOF
        echo "802-1x-tr-mgmt Blocking all traffic through br0. Traffic for given host will be allowed after 802.1x authentication"
    
    elif [ "x$1" == "xallow_all" ]
    then
    
        nft delete table bridge tr-mgmt-br0
        echo "802-1x-tr-mgmt Allowed all forwarding again"
    
    fi
    
    case ${2:-NOTANEVENT} in
    
        AP-STA-CONNECTED | CTRL-EVENT-EAP-SUCCESS | CTRL-EVENT-EAP-SUCCESS2)
            nft add element bridge tr-mgmt-br0 allowed_macs { $3 }
            echo "$1: Allowed traffic from $3"
            ;;
    
        AP-STA-DISCONNECTED | CTRL-EVENT-EAP-FAILURE)
            nft delete element bridge tr-mgmt-br0 allowed_macs { $3 }
            echo "802-1x-tr-mgmt $1: Denied traffic from $3"
            ;;
    
    esac
  2. 다음 콘텐츠를 사용하여 /etc/systemd/system/802-1x-tr-backend@.service systemd 서비스 파일을 만듭니다.

    [Unit]
    Description=Example 802.1x traffic management for hostapd
    After=hostapd.service
    After=sys-devices-virtual-net-%i.device
    
    [Service]
    Type=simple
    ExecStartPre=-/bin/sh -c '/usr/sbin/tc qdisc del dev %i ingress > /dev/null 2>&1'
    ExecStartPre=-/bin/sh -c '/usr/sbin/tc qdisc del dev %i clsact > /dev/null 2>&1'
    ExecStartPre=/usr/sbin/tc qdisc add dev %i clsact
    ExecStartPre=/usr/sbin/tc filter add dev %i ingress pref 10000 protocol 0x888e matchall action ok index 100
    ExecStartPre=/usr/sbin/tc filter add dev %i ingress pref 10001 protocol all matchall action drop index 101
    ExecStart=/usr/sbin/hostapd_cli -i %i -a /usr/local/bin/802-1x-tr-mgmt
    ExecStopPost=-/usr/sbin/tc qdisc del dev %i clsact
    
    [Install]
    WantedBy=multi-user.target
  3. systemd를 다시 로드합니다.

    # systemctl daemon-reload
  4. hostapd 인터페이스 이름이 수신 대기 상태로 802-1x-tr- backend 서비스를 활성화하고 시작합니다.

    # systemctl enable --now 802-1x-tr-mgmt@br0.service

추가 리소스

  • systemd.service(5) 도움말 페이지

19장. 802.1X 표준을 사용하여 파일 시스템에 저장된 인증서로 RHEL 클라이언트를 네트워크에 인증

관리자는 IEEE 802.1X 표준을 기반으로 포트 기반 네트워크 액세스 제어(Network Access Control)를 자주 사용하여 무단 LAN 및 Wi-Fi 클라이언트로부터 네트워크를 보호합니다. 이 섹션의 절차에서는 네트워크 인증을 구성하는 다양한 옵션에 대해 설명합니다.

19.1. nmcli를 사용하여 기존 이더넷 연결에서 802.1X 네트워크 인증 구성

nmcli 유틸리티를 사용하여 네트워크에 자체적으로 인증하도록 클라이언트를 구성할 수 있습니다. 이 절차에서는 네트워크에 인증하기 위해 enp1s0 이라는 기존 NetworkManager 이더넷 연결 프로필에서 TLS 인증을 구성하는 방법을 설명합니다.

사전 요구 사항

  • 네트워크는 802.1X 네트워크 인증을 지원합니다.
  • 이더넷 연결 프로필은 NetworkManager에 존재하며 유효한 IP 구성이 있습니다.
  • 클라이언트에는 TLS 인증에 필요한 다음 파일이 있습니다.

    • 저장된 클라이언트 키는 /etc/pki/tls/private/client.key 파일에 있으며 파일은 소유이며 root 사용자만 읽을 수 있습니다.
    • 클라이언트 인증서는 /etc/pki/tls/certs/client.crt 파일에 저장됩니다.
    • CA(인증 기관) 인증서는 /etc/pki/tls/certs/ca.crt 파일에 저장됩니다.
  • wpa_supplicant 패키지가 설치되어 있습니다.

절차

  1. 확장 가능 인증 프로토콜(EAP)을 tls 로 설정하고 클라이언트 인증서 및 키 파일에 대한 경로를 설정합니다.

    # nmcli connection modify enp1s0 802-1x.eap tls 802-1x.client-cert /etc/pki/tls/certs/client.crt 802-1x.private-key /etc/pki/tls/certs/certs/client.key

    단일 명령에서 802-1x.eap,802-1x.client-cert802-1x.private-key 매개변수를 설정해야 합니다.

  2. CA 인증서의 경로를 설정합니다.

    # nmcli connection modify enp1s0 802-1x.ca-cert /etc/pki/tls/certs/ca.crt
  3. 인증서에 사용된 사용자의 ID를 설정합니다.

    # nmcli connection modify enp1s0 802-1x.identity user@example.com
  4. 선택적으로 구성에 암호를 저장합니다.

    # nmcli connection modify enp1s0 802-1x.private-key-password password
    중요

    기본적으로 NetworkManager는 root 사용자만 읽을 수 있는 /etc/sysconfig/network-scripts/keys-connection_name 파일에 암호를 일반 텍스트로 저장합니다. 그러나 구성 파일에서 텍스트 암호를 지우는 것은 보안상의 위험이 될 수 있습니다.

    보안을 강화하려면 802-1x.password-flags 매개 변수를 0x1 로 설정합니다. 이 설정을 사용하면 GNOME 데스크탑 환경 또는 nm-applet 이 실행 중인 서버에서 NetworkManager가 이러한 서비스에서 암호를 검색합니다. 다른 경우에는 NetworkManager가 암호를 묻는 메시지를 표시합니다.

  5. 연결 프로필을 활성화합니다.

    # nmcli connection up enp1s0

검증 단계

  • 네트워크 인증이 필요한 네트워크의 리소스에 액세스합니다.

추가 리소스

19.2. nmstatectl을 사용하여 802.1X 네트워크 인증으로 정적 이더넷 연결 구성

nmstate 유틸리티를 사용하여 802.1X 표준을 사용하여 클라이언트를 인증하는 이더넷 연결을 만들 수 있습니다. 이 절차에서는 다음 설정으로 enp1s0 인터페이스에 이더넷 연결을 추가하는 방법을 설명합니다.

  • 정적 IPv4 주소 - 192.0.2.1/24 서브넷 마스크
  • 정적 IPv6 주소 - 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이 - 192.0.2.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 - 192.0.2.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com
  • TLS EAP(Extensible Authentication Protocol)를 사용한 802.1x 네트워크 인증
참고

nmstate 라이브러리는 TLS EAP 메서드만 지원합니다.

사전 요구 사항

  • 네트워크는 802.1X 네트워크 인증을 지원합니다.
  • 관리형 노드는 NetworkManager를 사용합니다.
  • 클라이언트에는 TLS 인증에 필요한 다음 파일이 있습니다.

    • 저장된 클라이언트 키는 /etc/pki/tls/private/client.key 파일에 있으며, root 사용자만 파일을 소유하고 읽을 수 있습니다.
    • 클라이언트 인증서는 /etc/pki/tls/certs/client.crt 파일에 저장됩니다.
    • CA(인증 기관) 인증서는 /etc/pki/tls/certs/ca.crt 파일에 저장됩니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/create-ethernet-profile.yml )을 만듭니다.

    ---
    interfaces:
    - name: enp1s0
      type: ethernet
      state: up
      ipv4:
        enabled: true
        address:
        - ip: 192.0.2.1
          prefix-length: 24
        dhcp: false
      ipv6:
        enabled: true
        address:
        - ip: 2001:db8:1::1
          prefix-length: 64
        autoconf: false
        dhcp: false
      802.1x:
        ca-cert: /etc/pki/tls/certs/ca.crt
        client-cert: /etc/pki/tls/certs/client.crt
        eap-methods:
          - tls
        identity: client.example.org
        private-key: /etc/pki/tls/private/client.key
        private-key-password: password
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.254
        next-hop-interface: enp1s0
      - destination: ::/0
        next-hop-address: 2001:db8:1::fffe
        next-hop-interface: enp1s0
    dns-resolver:
      config:
        search:
        - example.com
        server:
        - 192.0.2.200
        - 2001:db8:1::ffbb
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/create-ethernet-profile.yml

검증

  • 네트워크 인증이 필요한 네트워크의 리소스에 액세스합니다.

19.3. RHEL 시스템 역할을 사용하여 802.1X 네트워크 인증으로 정적 이더넷 연결 구성

네트워킹 RHEL 시스템 역할을 사용하면 802.1X 표준을 사용하여 클라이언트를 인증하는 이더넷 연결 생성을 자동화할 수 있습니다. 이 절차에서는 Ansible 플레이북을 실행하여 다음 설정으로 enp1s0 인터페이스에 대한 이더넷 연결을 원격으로 추가하는 방법을 설명합니다.

  • 정적 IPv4 주소 - 192.0.2.1/24 서브넷 마스크
  • 정적 IPv6 주소 - 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이 - 192.0.2.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 - 192.0.2.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com
  • TLS EAP(Extensible Authentication Protocol)를 사용한 802.1x 네트워크 인증

Ansible 제어 노드에서 다음 절차를 실행합니다.

사전 요구 사항

  • ansible-corerhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 관리 노드에 대한 적절한 sudo 권한이 있어야 합니다.
  • 네트워크는 802.1X 네트워크 인증을 지원합니다.
  • 관리형 노드는 NetworkManager를 사용합니다.
  • TLS 인증에 필요한 다음 파일이 제어 노드에 있습니다.

    • 클라이언트 키는 /srv/data/client.key 파일에 저장됩니다.
    • 클라이언트 인증서는 /srv/data/client.crt 파일에 저장됩니다.
    • CA(인증 기관) 인증서는 /srv/data/ca.crt 파일에 저장됩니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/enable-802.1x.yml 플레이북을 생성합니다.

    ---
    - name: Configure an Ethernet connection with 802.1X authentication
      hosts: node.example.com
      become: true
      tasks:
        - name: Copy client key for 802.1X authentication
          copy:
            src: "/srv/data/client.key"
            dest: "/etc/pki/tls/private/client.key"
            mode: 0600
    
        - name: Copy client certificate for 802.1X authentication
          copy:
            src: "/srv/data/client.crt"
            dest: "/etc/pki/tls/certs/client.crt"
    
        - name: Copy CA certificate for 802.1X authentication
          copy:
            src: "/srv/data/ca.crt"
            dest: "/etc/pki/ca-trust/source/anchors/ca.crt"
    
        - include_role:
            name: rhel-system-roles.network
          vars:
            network_connections:
              - name: enp1s0
                type: ethernet
                autoconnect: yes
                ip:
                  address:
                    - 192.0.2.1/24
                    - 2001:db8:1::1/64
                  gateway4: 192.0.2.254
                  gateway6: 2001:db8:1::fffe
                  dns:
                    - 192.0.2.200
                    - 2001:db8:1::ffbb
                  dns_search:
                    - example.com
                ieee802_1x:
                  identity: user_name
                  eap: tls
                  private_key: "/etc/pki/tls/private/client.key"
                  private_key_password: "password"
                  client_cert: "/etc/pki/tls/certs/client.crt"
                  ca_cert: "/etc/pki/ca-trust/source/anchors/ca.crt"
                  domain_suffix_match: example.com
                state: up
  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/enable-802.1x.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/ethernet-static-IP.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • ansible-playbook(1) 도움말 페이지

19.4. RHEL 시스템 역할을 사용하여 802.1X 네트워크 인증으로 Wi-Fi 연결 구성

RHEL 시스템 역할을 사용하면 Wi-Fi 연결 생성을 자동화할 수 있습니다. 이 절차에서는 Ansible 플레이북을 사용하여 wlp1s0 인터페이스에 대한 무선 연결 프로필을 원격으로 추가하는 방법을 설명합니다. 생성된 프로필은 802.1X 표준을 사용하여 클라이언트를 Wi-Fi 네트워크에 인증합니다. 플레이북은 DHCP를 사용하도록 연결 프로필을 구성합니다. 고정 IP 설정을 구성하려면 ip 사전의 매개 변수를 적절하게 조정합니다.

사전 요구 사항

  • 제어 노드에 ansible 및 rhel-system-roles 패키지를 설치했습니다.
  • 네트워크는 802.1X 네트워크 인증을 지원합니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 관리 노드에 적절한 sudo 권한이 있어야 합니다.
  • wpa_supplicant 패키지를 관리 노드에 설치했습니다.
  • DHCP는 관리 노드의 네트워크에서 사용할 수 있습니다.
  • TLS 인증에 필요한 다음 파일이 제어 노드에 있습니다.

    • 클라이언트 키는 /srv/data/client.key 파일에 저장됩니다.
    • 클라이언트 인증서는 /srv/data/client.crt 파일에 저장됩니다.
    • CA 인증서는 /srv/data/ca.crt 파일에 저장됩니다.

Ansible 제어 노드에서 다음 절차를 수행합니다.

절차

  1. 플레이북에서 지침을 실행하려는 호스트가 아직 고안되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/enable-802.1x.yml 플레이북을 생성합니다.

    ---
    - name: Configure a Wi-Fi connection with 802.1X authentication
      hosts: "node.example.com"
      become: true
      tasks:
        - name: Copy client key for 802.1X authentication
          copy:
            src: "/srv/data/client.key"
            dest: "/etc/pki/tls/private/client.key"
            mode: 0400
    
        - name: Copy client certificate for 802.1X authentication
          copy:
            src: "/srv/data/client.crt"
            dest: "/etc/pki/tls/certs/client.crt"
    
        - name: Copy CA certificate for 802.1X authentication
          copy:
            src: "/srv/data/ca.crt"
            dest: "/etc/pki/ca-trust/source/anchors/ca.crt"
    
        - block:
            - import_role:
                name: linux-system-roles.network
              vars:
                network_connections:
                  - name: Configure the Example-Wi-Fi profile
                    interface_name: wlp1s0
                    state: up
                    type: wireless
                    autoconnect: yes
                    ip:
                      dhcp4: true
                      auto6: true
                    wireless:
                      ssid: "Example-Wi-Fi"
                      key_mgmt: "wpa-eap"
                    ieee802_1x:
                      identity: "user_name"
                      eap: tls
                      private_key: "/etc/pki/tls/client.key"
                      private_key_password: "password"
                      private_key_password_flags: none
                      client_cert: "/etc/pki/tls/client.pem"
                      ca_cert: "/etc/pki/tls/cacert.pem"
                      domain_suffix_match: "example.com"
  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/enable-802.1x.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/ethernet-static-IP.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령이 -u user_name 옵션에 정의된 사용자의 sudo 암호를 묻는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • ansible-playbook(1) 도움말 페이지

20장. 기본 게이트웨이 설정 관리

기본 게이트웨이는 다른 경로가 패킷의 대상과 일치하지 않을 때 네트워크 패킷을 전달하는 라우터입니다. 로컬 네트워크에서 기본 게이트웨이는 일반적으로 인터넷에 더 가까운 호스트입니다.

20.1. nmcli를 사용하여 기존 연결에 대한 기본 게이트웨이 설정

대부분의 경우 관리자는 연결 생성 시 기본 게이트웨이를 설정합니다(예: nmcli를 사용하여 정적 이더넷 연결 구성 ).

이 섹션에서는 nmcli 유틸리티를 사용하여 이전에 생성된 연결에서 기본 게이트웨이를 설정하거나 업데이트하는 방법을 설명합니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.
  • 사용자가 물리 콘솔에 로그인한 경우 사용자 권한만으로 충분합니다. 그렇지 않으면 사용자에게 root 권한이 있어야 합니다.

절차

  1. 기본 게이트웨이의 IP 주소를 설정합니다.

    예를 들어 예제 연결에 대한 기본 게이트웨이의 IPv4 주소를 192.0.2.1 로 설정하려면 다음을 수행합니다.

    $ sudo nmcli connection modify example ipv4.gateway "192.0.2.1"

    예를 들어 2001:db8:1::1 에 대한 예제 연결에서 기본 게이트웨이의 IPv6 주소를 설정하려면 다음을 수행합니다.

    $ sudo nmcli connection modify example ipv6.gateway "2001:db8:1::1"
  2. 변경 사항을 적용하려면 네트워크 연결을 다시 시작하십시오. 예를 들어 명령줄을 사용하여 예제 연결을 다시 시작하려면 다음을 수행합니다.

    $ sudo nmcli connection up example
    주의

    이 네트워크 연결을 사용하는 현재 모든 연결이 재시작 중에 일시적으로 중단됩니다.

  3. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    IPv4 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -4 route
    default via 192.0.2.1 dev example proto static metric 100

    IPv6 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -6 route
    default via 2001:db8:1::1 dev example proto static metric 100 pref medium

20.2. nmcli interactive 모드를 사용하여 기존 연결에서 기본 게이트웨이 설정

대부분의 경우 관리자는 에 설명된 대로 연결을 만들 때 기본 게이트웨이를 설정합니다(예: nmcli 대화형 편집기를 사용하여 동적 이더넷 연결 구성 ).

이 섹션에서는 nmcli 유틸리티의 대화형 모드를 사용하여 이전에 생성된 연결에서 기본 게이트웨이를 설정하거나 업데이트하는 방법을 설명합니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.
  • 사용자가 물리 콘솔에 로그인한 경우 사용자 권한만으로 충분합니다. 그렇지 않으면 사용자에게 root 권한이 있어야 합니다.

절차

  1. 필요한 연결에 대한 nmcli 대화형 모드를 엽니다. 예를 들어 example 연결에 대해 nmcli 대화형 모드를 여는 방법은 다음과 같습니다.

    $ sudo nmcli connection edit example
  2. 기본 게이트웨이를 설정합니다.

    예를 들어 예제 연결에 대한 기본 게이트웨이의 IPv4 주소를 192.0.2.1 로 설정하려면 다음을 수행합니다.

    nmcli> set ipv4.gateway 192.0.2.1

    예를 들어 2001:db8:1::1 에 대한 예제 연결에서 기본 게이트웨이의 IPv6 주소를 설정하려면 다음을 수행합니다.

    nmcli> set ipv6.gateway 2001:db8:1::1
  3. 선택적으로 기본 게이트웨이가 올바르게 설정되었는지 확인합니다.

    nmcli> print
    ...
    ipv4.gateway:                           192.0.2.1
    ...
    ipv6.gateway:                           2001:db8:1::1
    ...
  4. 설정을 저장합니다.

    nmcli> save persistent
  5. 변경 사항을 적용하려면 네트워크 연결을 다시 시작하십시오.

    nmcli> activate example
    주의

    이 네트워크 연결을 사용하는 현재 모든 연결이 재시작 중에 일시적으로 중단됩니다.

  6. nmcli 대화형 모드를 그대로 둡니다.

    nmcli> quit
  7. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    IPv4 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -4 route
    default via 192.0.2.1 dev example proto static metric 100

    IPv6 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -6 route
    default via 2001:db8:1::1 dev example proto static metric 100 pref medium

20.3. nm-connection-editor를 사용하여 기존 연결에서 기본 게이트웨이 설정

대부분의 경우 관리자는 연결을 만들 때 기본 게이트웨이를 설정합니다. 이 섹션에서는 nm-connection-editor 애플리케이션을 사용하여 이전에 생성된 연결에서 기본 게이트웨이를 설정하거나 업데이트하는 방법을 설명합니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. 수정할 연결을 선택한 다음, 톱니바꿈 아이콘을 클릭하여 기존 연결을 편집합니다.
  3. IPv4 기본 게이트웨이를 설정합니다. 예를 들어, 연결에 대한 기본 게이트웨이의 IPv4 주소를 192.0.2.1 로 설정하려면 다음을 수행합니다.

    1. IPv4 Settings 탭을 엽니다.
    2. 게이트웨이 의 주소가 내에 있는 IP 범위 옆에 있는 게이트웨이 필드에 주소를 입력합니다.

      set default gw in nm connection editor ipv4

  4. IPv6 기본 게이트웨이를 설정합니다. 예를 들어 2001:db8:1::1 에 대한 연결에 있는 기본 게이트웨이의 IPv6 주소를 설정하려면 다음을 수행합니다.

    1. IPv6 탭을 엽니다.
    2. 게이트웨이 의 주소가 내에 있는 IP 범위 옆에 있는 게이트웨이 필드에 주소를 입력합니다.

      set default gw in nm connection editor ipv6

  5. OK를 클릭합니다.
  6. 저장을 클릭합니다.
  7. 변경 사항을 적용하려면 네트워크 연결을 다시 시작하십시오. 예를 들어 명령줄을 사용하여 예제 연결을 다시 시작하려면 다음을 수행합니다.

    $ sudo nmcli connection up example
    주의

    이 네트워크 연결을 사용하는 현재 모든 연결이 재시작 중에 일시적으로 중단됩니다.

  8. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    IPv4 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -4 route
    default via 192.0.2.1 dev example proto static metric 100

    IPv6 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -6 route
    default via 2001:db8:1::1 dev example proto static metric 100 pref medium

20.4. control-center를 사용하여 기존 연결에 기본 게이트웨이 설정

대부분의 경우 관리자는 연결을 만들 때 기본 게이트웨이를 설정합니다. 이 섹션에서는 control-center 애플리케이션을 사용하여 이전에 생성된 연결에서 기본 게이트웨이를 설정하거나 업데이트하는 방법을 설명합니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.
  • 연결의 네트워크 구성은 control-center 애플리케이션에서 열려 있습니다.

절차

  1. IPv4 기본 게이트웨이를 설정합니다. 예를 들어, 연결에 대한 기본 게이트웨이의 IPv4 주소를 192.0.2.1 로 설정하려면 다음을 수행합니다.

    1. IPv4 탭을 엽니다.
    2. 게이트웨이 의 주소가 내에 있는 IP 범위 옆에 있는 게이트웨이 필드에 주소를 입력합니다.

      set default gw in control center ipv4

  2. IPv6 기본 게이트웨이를 설정합니다. 예를 들어 2001:db8:1::1 에 대한 연결에 있는 기본 게이트웨이의 IPv6 주소를 설정하려면 다음을 수행합니다.

    1. IPv6 탭을 엽니다.
    2. 게이트웨이 의 주소가 내에 있는 IP 범위 옆에 있는 게이트웨이 필드에 주소를 입력합니다.

      set default gw in control center ipv6

  3. Apply(적용)를 클릭합니다.
  4. 네트워크 창에서 다시 돌아가서 연결 버튼을 off 로 전환하고 다시 켜서 변경 사항을 적용합니다.

    주의

    이 네트워크 연결을 사용하는 현재 모든 연결이 재시작 중에 일시적으로 중단됩니다.

  5. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    IPv4 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -4 route
    default via 192.0.2.1 dev example proto static metric 100

    IPv6 기본 게이트웨이를 표시하려면 다음을 수행합니다.

    $ ip -6 route
    default via 2001:db8:1::1 dev example proto static metric 100 pref medium

20.5. nmstatectl을 사용하여 기존 연결에서 기본 게이트웨이 설정

nmstatectl 유틸리티를 사용하여 네트워크 연결의 기본 게이트웨이를 설정할 수 있습니다. 이 절차에서는 기존 enp1s0 연결의 기본 게이트웨이를 192.0.2.1 로 설정하는 방법을 설명합니다.

사전 요구 사항

  • 기본 게이트웨이를 설정할 연결에 하나 이상의 고정 IP 주소를 구성해야 합니다.
  • enp1s0 인터페이스가 구성되어 있으며 기본 게이트웨이의 IP 주소는 이 인터페이스의 IP 구성 서브넷 내에 있습니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/set-default-gateway.yml )을 만듭니다.

    ---
    routes:
      config:
      - destination: 0.0.0.0/0
        next-hop-address: 192.0.2.1
        next-hop-interface: enp1s0
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/set-default-gateway.yml

추가 리소스

  • nmstatectl 에 대한 자세한 내용은 nmstatectl(8) 매뉴얼 페이지를 참조하십시오.
  • 자세한 구성 예제는 /usr/share/doc/nmstate/examples/ 디렉토리를 참조하십시오.

20.6. System Roles를 사용하여 기존 연결에 기본 게이트웨이 설정

Networking RHEL 시스템 역할을 사용하여 기본 게이트웨이를 설정할 수 있습니다.

중요

Networking RHEL 시스템 역할을 사용하는 플레이를 실행하면 설정 값이 플레이에 지정된 것과 일치하지 않는 경우 시스템 역할은 이름이 동일한 기존 연결 프로필을 덮어씁니다. 따라서 IP 구성이 이미 있는 경우에도 항상 플레이에서 네트워크 연결 프로필의 전체 구성을 지정합니다. 그렇지 않으면 역할은 이러한 값을 기본값으로 재설정합니다.

이 절차가 이미 존재하는지 여부에 따라 다음 설정으로 enp1s0 연결 프로필을 생성하거나 업데이트합니다.

  • 정적 IPv4 주소 - 198.51.100.20/24 서브넷 마스크
  • 정적 IPv6 주소 - 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이 - 198.51.100.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 198.51.100.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com

사전 요구 사항

  • ansible-corerhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root 와 다른 원격 사용자를 사용하는 경우 이 사용자는 관리 노드에 대한 적절한 sudo 권한이 있습니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/ethernet-connection.yml 플레이북을 만듭니다.

    ---
    - name: Configure an Ethernet connection with static IP and default gateway
      hosts: node.example.com
      become: true
      tasks:
      - include_role:
          name: rhel-system-roles.network
    
        vars:
          network_connections:
            - name: enp1s0
              type: ethernet
              autoconnect: yes
              ip:
                address:
                  - 198.51.100.20/24
                  - 2001:db8:1::1/64
                gateway4: 198.51.100.254
                gateway6: 2001:db8:1::fffe
                dns:
                  - 198.51.100.200
                  - 2001:db8:1::ffbb
                dns_search:
                  - example.com
              state: up
  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/ethernet-connection.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/ethernet-connection.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md
  • ansible-playbook(1) 도움말 페이지

20.7. NetworkManager에서 여러 기본 게이트웨이를 관리하는 방법

대체 이유와 같은 특정 상황에서는 호스트에 여러 개의 기본 게이트웨이를 설정합니다. 그러나 비동기 라우팅 문제를 방지하려면 동일한 프로토콜의 각 기본 게이트웨이에 별도의 지표 값이 필요합니다. RHEL은 가장 낮은 메트릭이 설정된 기본 게이트웨이에 대한 연결만 사용합니다.

다음 명령을 사용하여 연결의 IPv4 및 IPv6 게이트웨이 모두에 대한 메트릭을 설정할 수 있습니다.

# nmcli connection modify connection-name ipv4.route-metric value ipv6.route-metric value
중요

라우팅 문제를 방지하려면 여러 연결 프로파일에서 동일한 프로토콜에 동일한 메트릭 값을 설정하지 마십시오.

지표 값이 없는 기본 게이트웨이를 설정하면 NetworkManager에서 인터페이스 유형에 따라 지표 값을 자동으로 설정합니다. 이를 위해 NetworkManager는 이 네트워크 유형의 기본값을 활성화된 첫 번째 연결에 할당하고 활성화된 순서대로 동일한 유형의 서로 연결된 증가 값을 설정합니다. 예를 들어 기본 게이트웨이가 있는 이더넷 연결이 두 개 있는 경우 NetworkManager는 경로에 있는 100 개의 지표를 먼저 활성화하는 연결의 기본 게이트웨이로 설정합니다. 두 번째 연결의 경우 NetworkManager는 101 을 설정합니다.

다음은 자주 사용하는 네트워크 유형 및 기본 지표에 대한 개요입니다.

연결 유형기본 메트릭 값

VPN

50

이더넷

100

MACsec

125

InfiniBand

150

본딩

300

350

VLAN

400

Bridge

425

TUN

450

Wi-Fi

600

IP 터널

675

20.8. 기본 게이트웨이를 제공하기 위해 특정 프로필을 사용하지 않도록 NetworkManager 구성

NetworkManager가 기본 게이트웨이를 제공하기 위해 특정 프로필을 사용하지 않도록 구성할 수 있습니다. 기본 게이트웨이에 연결되지 않은 연결 프로필에 대해서는 다음 절차를 따르십시오.

사전 요구 사항

  • 기본 게이트웨이에 연결되지 않은 연결에 대한 NetworkManager 연결 프로필이 있습니다.

절차

  1. 연결에서 동적 IP 구성을 사용하는 경우 NetworkManager가 해당 연결을 IPv4 및 IPv6 연결에 대한 기본 경로로 사용하지 않도록 구성합니다.

    # nmcli connection modify connection_name ipv4.never-default yes ipv6.never-default yes

    ipv4.never-defaultipv6.never-defaultyes 로 설정하면 연결 프로필에서 해당 프로토콜에 대한 기본 게이트웨이의 IP 주소가 자동으로 제거됩니다.

  2. 연결을 활성화합니다.

    # nmcli connection up connection_name

검증 단계

  • ip -4 routeip -6 route 명령을 사용하여 RHEL이 IPv4 및 IPv6 프로토콜의 기본 경로에 네트워크 인터페이스를 사용하지 않는지 확인합니다.

20.9. 여러 기본 게이트웨이로 인해 예기치 않은 라우팅 동작 수정

호스트에 여러 기본 게이트웨이가 필요한 다중 경로 TCP를 사용하는 경우와 같은 몇 가지 시나리오만 있습니다. 대부분의 경우 예기치 않은 라우팅 동작 또는 비동기 라우팅 문제를 방지하도록 단일 기본 게이트웨이만 구성합니다.

참고

다른 인터넷 공급자로 트래픽을 라우팅하려면 여러 기본 게이트웨이 대신 정책 기반 라우팅을 사용합니다.

사전 요구 사항

  • 호스트는 NetworkManager를 사용하여 네트워크 연결(기본값)을 관리합니다.
  • 호스트에는 여러 네트워크 인터페이스가 있습니다.
  • 호스트에는 여러 개의 기본 게이트웨이가 구성되어 있습니다.

절차

  1. 라우팅 테이블을 표시합니다.

    • IPv4의 경우 다음을 입력합니다.

      # ip -4 route
      default via 192.0.2.1 dev enp1s0 proto static metric 101
      default via 198.51.100.1 dev enp7s0 proto static metric 102
      ...
    • IPv6의 경우 다음을 입력합니다.

      # ip -6 route
      default via 2001:db8:1::1 dev enp1s0 proto static metric 101 pref medium
      default via 2001:db8:2::1 dev enp7s0 proto static metric 102 pref medium
      ...

    기본로 시작하는 항목은 기본 경로를 나타냅니다. 이러한 항목의 인터페이스 이름은 dev 옆에 표시됩니다.

  2. 다음 명령을 사용하여 이전 단계에서 확인한 인터페이스를 사용하는 NetworkManager 연결을 표시합니다.

    # nmcli -f GENERAL.CONNECTION,IP4.GATEWAY,IP6.GATEWAY device show enp1s0
    GENERAL.CONNECTION:      Corporate-LAN
    IP4.GATEWAY:             192.168.122.1
    IP6.GATEWAY:             2001:db8:1::1
    
    # nmcli -f GENERAL.CONNECTION,IP4.GATEWAY,IP6.GATEWAY device show enp7s0
    GENERAL.CONNECTION:      Internet-Provider
    IP4.GATEWAY:             198.51.100.1
    IP6.GATEWAY:             2001:db8:2::1

    이 예에서 Corporate-LANInternet-Provider 라는 프로필에는 기본 게이트웨이가 설정되어 있습니다. 로컬 네트워크에서 기본 게이트웨이는 일반적으로 인터넷에 더 가까운 호스트이므로 이 절차의 나머지 부분에서는 Corporate-LAN 의 기본 게이트웨이가 올바르지 않다고 가정합니다.

  3. NetworkManager에서 Corporate-LAN 연결을 IPv4 및 IPv6 연결의 기본 경로로 사용하지 않도록 구성합니다.

    # nmcli connection modify Corporate-LAN ipv4.never-default yes ipv6.never-default yes

    ipv4.never-defaultipv6.never-defaultyes 로 설정하면 연결 프로필에서 해당 프로토콜에 대한 기본 게이트웨이의 IP 주소가 자동으로 제거됩니다.

  4. Corporate-LAN 연결을 활성화합니다.

    # nmcli connection up Corporate-LAN

검증 단계

  • IPv4 및 IPv6 라우팅 테이블을 표시하고 각 프로토콜에 대해 하나의 기본 게이트웨이만 사용할 수 있는지 확인합니다.

    • IPv4의 경우 다음을 입력합니다.

      # ip -4 route
      default via 192.0.2.1 dev enp1s0 proto static metric 101
      ...
    • IPv6의 경우 다음을 입력합니다.

      # ip -6 route
      default via 2001:db8:1::1 dev enp1s0 proto static metric 101 pref medium
      ...

21장. 고정 경로 구성

라우팅을 사용하면 상호 연결된 네트워크 간에 트래픽을 전송하고 수신할 수 있습니다. 대규모 환경에서는 일반적으로 관리자는 라우터가 다른 라우터에 대해 동적으로 배울 수 있도록 서비스를 구성합니다. 소규모 환경에서는 트래픽이 한 네트워크에서 다음 네트워크로 도달할 수 있도록 정적 경로를 구성하는 경우가 많습니다.

이러한 모든 조건이 적용되는 경우 여러 네트워크 간에 작동하는 통신을 수행하기 위해 정적 경로가 필요합니다.

  • 트래픽은 여러 네트워크를 전달해야 합니다.
  • 기본 게이트웨이를 통한 전용 트래픽 흐름으로는 충분하지 않습니다.

21.1절. “정적 경로가 필요한 네트워크의 예” 시나리오와 정적 경로를 구성하지 않을 때 다양한 네트워크 간 트래픽 흐름을 설명합니다.

21.1. 정적 경로가 필요한 네트워크의 예

모든 IP 네트워크가 하나의 라우터를 통해 직접 연결되어 있지 않기 때문에 이 예제에는 고정 경로가 필요합니다. 정적 경로가 없으면 일부 네트워크는 서로 통신할 수 없습니다. 또한 일부 네트워크의 트래픽은 한 방향으로만 이동합니다.

참고

이 예제의 네트워크 토폴로지는 인위적이며 정적 라우팅의 개념을 설명하는 데만 사용됩니다. 프로덕션 환경에서는 권장되는 토폴로지가 아닙니다.

이 예제의 모든 네트워크 간 통신의 경우 홉 라우터 2 (203.0.113.10)를 사용하여 Raleigh (198.51.100.0/24)로 고정 경로를 구성합니다. 다음 홉의 IP 주소는 데이터 센터 네트워크(203.0.113.0/24)의 라우터 2 중 하나입니다.

다음과 같이 정적 경로를 구성할 수 있습니다.

  • 단순화된 구성의 경우 이 정적 경로를 라우터 1에서만 설정합니다. 그러나 데이터 센터(203.0.113.0/24)에서 호스트를 통해 트래픽을 라우터 1을 통해 항상 라우터 1을 통해 Raleigh(198.51.100.0/24)에 전송하므로 라우터 1의 트래픽이 증가합니다.
  • 보다 복잡한 구성의 경우 데이터 센터의 모든 호스트에서 이 정적 경로를 구성합니다(203.0.113.0/24). 그러면 이 서브넷의 모든 호스트는 Laleigh(198.51.100.0/24)에 더 가까운 라우터 2(203.0.113.10)로 직접 트래픽을 보냅니다.

트래픽 흐름 또는 그렇지 않은 네트워크 트래픽의 자세한 내용은 다이어그램 아래에 있는 설명을 참조하십시오.

라우팅 예

필요한 정적 경로가 구성되지 않은 경우, 다음에서는 통신이 작동하고 작동하지 않는 상황에 대해 설명합니다.

  • NetNamespace 네트워크의 호스트 (192.0.2.0/24):

    • 직접 연결되어 있으므로 동일한 서브넷의 다른 호스트와 통신할 수 있습니다.
    • 라우터 1은 controlPlane 네트워크(192.0.2.0/24)에 있고 인터넷으로 연결되는 기본 게이트웨이가 있기 때문에 인터넷과 통신할 수 있습니다.
    • Router 1은 jenkinsfile(192.0.2.0/24) 및 데이터 센터(203.0.113.0/24) 네트워크 둘 다에 인터페이스가 있기 때문에 데이터 센터 네트워크(203.0.113.0/24)와 통신할 수 있습니다.
    • 라우터 1에는 이 네트워크에 인터페이스가 없으므로 Raleigh 네트워크(198.51.100.0/24)와 통신할 수 없습니다. 따라서 라우터 1은 트래픽을 자체 기본 게이트웨이(인터넷)로 전송합니다.
  • 데이터 센터 네트워크의 호스트 (203.0.113.0/24):

    • 직접 연결되어 있으므로 동일한 서브넷의 다른 호스트와 통신할 수 있습니다.
    • 기본 게이트웨이가 라우터 1로 설정되어 있고 라우터 1에는 네트워크, 데이터 센터(203.0.113.0/24) 및 인터넷에 인터페이스가 있으므로 인터넷과 통신할 수 있습니다.
    • 기본 게이트웨이가 라우터 1로 설정되어 있고 라우터 1에는 데이터 센터(203.0.113.0/24) 및 ENV(192.0.2.0/24) 네트워크 둘 다에 인터페이스가 있으므로 Galera 네트워크(192.0.2.0/24)와 통신할 수 있습니다.
    • 데이터 센터 네트워크에 인터페이스가 없기 때문에 Raleigh 네트워크(198.51.100.0/24)와 통신할 수 없습니다. 따라서 데이터 센터의 호스트(203.0.113.0/24)는 트래픽을 기본 게이트웨이(Router 1)로 보냅니다. 라우터 1에는 Raleigh 네트워크(198.51.100.0/24)에 인터페이스가 없으며 결과적으로 라우터 1은 이 트래픽을 자체 기본 게이트웨이(인터넷)로 전송합니다.
  • Raleigh 네트워크 (198.51.100.0/24)의 호스트:

    • 직접 연결되어 있으므로 동일한 서브넷의 다른 호스트와 통신할 수 있습니다.
    • 인터넷의 호스트와 통신할 수 없습니다. 라우터 2는 기본 게이트웨이 설정으로 인해 트래픽을 라우터 1로 전송합니다. 라우터 1의 실제 동작은 역방향 경로 필터(rp_filter) 시스템 제어(sysctl) 설정에 따라 달라집니다. 기본적으로 RHEL에서 라우터 1은 나가는 트래픽을 인터넷으로 라우팅하는 대신 삭제합니다. 그러나 구성된 동작에 관계없이 정적 경로 없이 통신을 수행할 수 없습니다.
    • 데이터 센터 네트워크(203.0.113.0/24)와 통신할 수 없습니다. 기본 게이트웨이 설정으로 인해 나가는 트래픽이 라우터 2를 통해 대상에 도달합니다. 그러나 데이터 센터 네트워크(203.0.113.0/24)의 호스트가 기본 게이트웨이(Router 1)로 응답을 전송하므로 패킷에 대한 응답이 발신자에 도달하지 않습니다. 그런 다음 라우터 1은 트래픽을 인터넷으로 전송합니다.
    • controlPlane 네트워크(192.0.2.0/24)와 통신할 수 없습니다. 라우터 2는 기본 게이트웨이 설정으로 인해 트래픽을 라우터 1로 전송합니다. 라우터 1의 실제 동작은 rp_filter sysctl 설정에 따라 다릅니다. 기본적으로 RHEL에서 Router 1은 outgoing 트래픽을 [2]192.0.2.0/24 네트워크(192.0.2.0/24)로 전송하는 대신 나가는 트래픽을 삭제합니다. 그러나 구성된 동작에 관계없이 정적 경로 없이 통신을 수행할 수 없습니다.
참고

정적 경로를 구성하는 것 외에도 두 라우터에서 IP 전달을 활성화해야 합니다.

21.2. nmcli 명령을 사용하여 정적 경로를 구성하는 방법

정적 경로를 구성하려면 다음 구문과 함께 nmcli 유틸리티를 사용합니다.

$ nmcli connection modify connection_name ipv4.routes "ip[/prefix] [next_hop] [metric] [attribute=value] [attribute=value] ..."

명령은 다음 경로 속성을 지원합니다.

  • cwnd=n: 패킷 수에 정의된 혼잡 창(CWND) 크기를 설정합니다.
  • lock-cwnd=true|false: 커널이 CWND 값을 업데이트할 수 있는지 여부를 정의합니다.
  • lock-mtu=true|false: 커널이 MTU 검색을 라우팅하도록 MTU를 업데이트할 수 있는지 여부를 정의합니다.
  • lock-window=true|false: 커널이 TCP 패킷의 최대 창 크기를 업데이트할 수 있는지 여부를 정의합니다.
  • mtu=n: 대상의 경로와 함께 사용할 MTU(최대 전송 단위)를 설정합니다.
  • onlink=true|false: 인터페이스 접두사와 일치하지 않는 경우에도 다음 홉이 이 링크에 직접 연결되는지 여부를 정의합니다.
  • scope=n: IPv4 경로의 경우 이 속성은 경로 접두사에서 다루는 대상의 범위를 설정합니다. 값을 정수(0-255)로 설정합니다.
  • src=address: 경로 접두사에서 다루는 대상으로 트래픽을 보낼 때 선호하는 소스 주소를 설정합니다.
  • table=table_id: 경로를 추가해야 하는 테이블의 ID를 설정합니다. 이 매개변수를 생략하면 NetworkManager는 기본 테이블을 사용합니다.
  • tos=n: 서비스 유형(TOS) 키를 설정합니다. 값을 정수(0-255)로 설정합니다.
  • type=value: 경로 유형을 설정합니다. NetworkManager는 유니캐스트,로컬,블랙홀,도달할 수 없는 ,금지, 경로 유형을 throw 하는 것을 지원합니다. 기본값은 유니캐스트 입니다.
  • window=n: TCP가 이러한 대상에 알리는 최대 창 크기를 바이트 단위로 측정합니다.

ipv4.routes 하위 명령을 사용하는 경우 nmcli 는 이 매개변수의 모든 현재 설정을 재정의합니다.

경로를 추가하려면 다음을 수행합니다.

$ nmcli connection modify connection_name +ipv4.routes "..."

마찬가지로 특정 경로를 제거하려면 다음을 수행합니다.

$ nmcli connection modify connection_name -ipv4.routes "..."

21.3. nmcli 명령을 사용하여 정적 경로 구성

nmcli connection modify 명령을 사용하여 네트워크 연결 구성에 정적 경로를 추가할 수 있습니다.

이 섹션의 절차에서는 198.51.100.1 에서 실행되는 게이트웨이를 사용하는 192.0.2.0/24 네트워크에 경로를 추가하는 방법을 설명합니다.

사전 요구 사항

  • 네트워크가 구성됨
  • 정적 경로의 게이트웨이는 인터페이스에서 직접 연결할 수 있어야 합니다.
  • 사용자가 물리 콘솔에 로그인한 경우 사용자 권한만으로 충분합니다. 그렇지 않으면 명령에 root 권한이 필요합니다.

절차

  1. 예제 연결에 정적 경로를 추가합니다.

    $ sudo nmcli connection modify example +ipv4.routes "192.0.2.0/24 198.51.100.1"

    한 단계에서 여러 경로를 설정하려면 개별 경로를 쉼표로 구분된 명령으로 전달합니다. 예를 들어 192.0.2.0/24203.0.113.0/24 네트워크에 경로를 추가하려면 모두 198.51.100.1 게이트웨이를 통해 라우팅됩니다.

    $ sudo nmcli connection modify example +ipv4.routes "192.0.2.0/24 198.51.100.1, 203.0.113.0/24 198.51.100.1"
  2. 선택적으로 경로가 구성에 올바르게 추가되었는지 확인합니다.

    $ nmcli connection show example
    ...
    ipv4.routes:        { ip = 192.0.2.1/24, nh = 198.51.100.1 }
    ...
  3. 네트워크 연결을 다시 시작합니다.

    $ sudo nmcli connection up example
    주의

    연결을 다시 시작하면 해당 인터페이스의 연결이 잠시 중단됩니다.

  4. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    $ ip route
    ...
    192.0.2.0/24 via 198.51.100.1 dev example proto static metric 100

추가 리소스

  • nmcli(1) 도움말 페이지

21.4. control-center를 사용하여 정적 경로 구성

GNOME에서 control-center 를 사용하여 네트워크 연결 구성에 정적 경로를 추가할 수 있습니다.

이 섹션의 절차에서는 198.51.100.1 에서 실행되는 게이트웨이를 사용하는 192.0.2.0/24 네트워크에 경로를 추가하는 방법을 설명합니다.

사전 요구 사항

  • 네트워크가 구성되어 있습니다.
  • 정적 경로의 게이트웨이는 인터페이스에서 직접 연결할 수 있어야 합니다.
  • 연결의 네트워크 구성은 control-center 애플리케이션에서 열립니다. nm-connection-editor를 사용하여 이더넷 연결 구성을 참조하십시오.

절차

  1. IPv4 탭을 엽니다.
  2. 선택적으로 IPv4 탭의 Routes 섹션에서 On 버튼을 클릭하여 정적 경로만 사용하도록 자동 경로를 비활성화합니다. 자동 경로가 활성화된 경우 Red Hat Enterprise Linux는 DHCP 서버에서 수신한 정적 경로와 경로를 사용합니다.
  3. address, 넷마스크, gateway를 입력하고 선택적으로 메트릭 값을 입력합니다.

    IPv4 static route in control center

  4. Apply(적용)를 클릭합니다.
  5. 네트워크 창에서 다시 돌아가서 연결 버튼을 off 로 전환하고 다시 켜서 변경 사항을 적용합니다.

    주의

    연결을 다시 시작하면 해당 인터페이스의 연결이 잠시 중단됩니다.

  6. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    $ ip route
    ...
    192.0.2.0/24 via 198.51.100.1 dev example proto static metric 100

21.5. nm-connection-editor를 사용하여 정적 경로 구성

nm-connection-editor 애플리케이션을 사용하여 네트워크 연결 구성에 정적 경로를 추가할 수 있습니다.

이 섹션의 절차에서는 예제 연결에 연결할 수 있는 198.51.100.1 에서 실행되는 게이트웨이를 사용하는 192.0.2.0/24 네트워크에 경로를 추가하는 방법을 설명합니다.

사전 요구 사항

  • 네트워크가 구성되어 있습니다.
  • 정적 경로의 게이트웨이는 인터페이스에서 직접 연결할 수 있어야 합니다.

절차

  1. 터미널을 열고 nm-connection-editor 를 입력합니다.

    $ nm-connection-editor
  2. 예제 연결을 선택하고 톱니바퀴 아이콘을 클릭하여 기존 연결을 편집합니다.
  3. IPv4 탭을 엽니다.
  4. 경로 버튼을 클릭합니다.
  5. Add (추가) 버튼을 클릭하고 address, 넷마스크, gateway 및 선택적으로 지표 값을 입력합니다.

    IPv4 static route in nm connection editor

  6. OK를 클릭합니다.
  7. 저장을 클릭합니다.
  8. 변경 사항을 적용하려면 네트워크 연결을 다시 시작하십시오. 예를 들어 명령줄을 사용하여 예제 연결을 다시 시작하려면 다음을 수행합니다.

    $ sudo nmcli connection up example
  9. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    $ ip route
    ...
    192.0.2.0/24 via 198.51.100.1 dev example proto static metric 100

21.6. nmcli 대화형 모드를 사용하여 정적 경로 구성

nmcli 유틸리티의 대화형 모드를 사용하여 네트워크 연결 구성에 정적 경로를 추가할 수 있습니다.

이 섹션의 절차에서는 예제 연결에 연결할 수 있는 198.51.100.1 에서 실행되는 게이트웨이를 사용하는 192.0.2.0/24 네트워크에 경로를 추가하는 방법을 설명합니다.

사전 요구 사항

  • 네트워크가 구성됨
  • 정적 경로의 게이트웨이는 인터페이스에서 직접 연결할 수 있어야 합니다.
  • 사용자가 물리 콘솔에 로그인한 경우 사용자 권한만으로 충분합니다. 그렇지 않으면 명령에 root 권한이 필요합니다.

절차

  1. 예제 연결에 대한 nmcli 대화형 모드를 엽니다.

    $ sudo nmcli connection edit example
  2. 정적 경로를 추가합니다.

    nmcli> set ipv4.routes 192.0.2.0/24 198.51.100.1
  3. 선택적으로 경로가 구성에 올바르게 추가되었는지 확인합니다.

    nmcli> print
    ...
    ipv4.routes:        { ip = 192.0.2.1/24, nh = 198.51.100.1 }
    ...

    ip 속성은 라우팅할 네트워크와 게이트웨이 nh 속성이 표시됩니다(다음 홉).

  4. 설정을 저장합니다.

    nmcli> save persistent
  5. 네트워크 연결을 다시 시작합니다.

    nmcli> activate example
    주의

    연결을 다시 시작하면 현재 이 연결을 사용하는 모든 연결이 일시적으로 중단됩니다.

  6. nmcli 대화형 모드를 그대로 둡니다.

    nmcli> quit
  7. 선택적으로 경로가 활성화되어 있는지 확인합니다.

    $ ip route
    ...
    192.0.2.0/24 via 198.51.100.1 dev example proto static metric 100

21.7. nmstatectl을 사용하여 정적 경로 구성

nmstatectl 유틸리티를 사용하여 네트워크 연결 구성에 정적 경로를 추가할 수 있습니다.

이 섹션의 절차에서는 198.51.100.1 에서 실행되는 게이트웨이를 사용하는 192.0.2.0/24 네트워크에 경로를 추가하는 방법을 설명합니다. 이 프로세스는 enp1s0 인터페이스를 통해 연결할 수 있습니다.

사전 요구 사항

  • enp1s0 네트워크 인터페이스가 구성되어 있습니다.
  • 정적 경로의 게이트웨이는 인터페이스에서 직접 연결할 수 있어야 합니다.
  • nmstate 패키지가 설치되어 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/add-static-route-to-enp1s0.yml )을 생성합니다.

    ---
    routes:
      config:
      - destination: 192.0.2.0/24
        next-hop-address: 198.51.100.1
        next-hop-interface: enp1s0
  2. 시스템에 설정을 적용합니다.

    # nmstatectl apply ~/add-static-route-to-enp1s0.yml

추가 리소스

  • nmstatectl(8) 도움말 페이지
  • /usr/share/doc/nmstate/examples/

21.8. RHEL 시스템 역할을 사용하여 정적 경로 구성

Networking RHEL 시스템 역할을 사용하여 정적 경로를 구성할 수 있습니다.

중요

Networking RHEL 시스템 역할을 사용하는 플레이를 실행하면 설정 값이 플레이에 지정된 것과 일치하지 않는 경우 시스템 역할은 이름이 동일한 기존 연결 프로필을 덮어씁니다. 따라서 IP 구성이 이미 있는 경우에도 항상 플레이에서 네트워크 연결 프로필의 전체 구성을 지정합니다. 그렇지 않으면 역할은 이러한 값을 기본값으로 재설정합니다.

이 절차가 이미 존재하는지 여부에 따라 다음 설정으로 enp7s0 연결 프로필을 생성하거나 업데이트합니다.

  • 정적 IPv4 주소 - 198.51.100.20/24 서브넷 마스크
  • 정적 IPv6 주소 - 2001:db8:1::1/64 서브넷 마스크
  • IPv4 기본 게이트웨이 - 198.51.100.254
  • IPv6 기본 게이트웨이 - 2001:db8:1::fffe
  • IPv4 DNS 서버 198.51.100.200
  • IPv6 DNS 서버 - 2001:db8:1::ffbb
  • DNS 검색 도메인 - example.com
  • 정적 경로:

    • 192.0.2.0/24 게이트웨이 198.51.100.1
    • 203.0.113.0/24 게이트웨이 198.51.100.2

사전 요구 사항

  • ansible-corerhel-system-roles 패키지는 제어 노드에 설치됩니다.
  • 플레이북을 실행할 때 root와 다른 원격 사용자를 사용하는 경우 이 사용자는 관리 노드에 대한 적절한 sudo 권한이 있습니다.

절차

  1. 플레이북에서 명령을 실행할 호스트가 아직 생성되지 않은 경우 이 호스트의 IP 또는 이름을 /etc/ansible/hosts Ansible 인벤토리 파일에 추가합니다.

    node.example.com
  2. 다음 콘텐츠를 사용하여 ~/add-static-routes.yml 플레이북을 생성합니다.

    ---
    - name: Configure an Ethernet connection with static IP and additional routes
      hosts: node.example.com
      become: true
      tasks:
      - include_role:
          name: rhel-system-roles.network
    
        vars:
          network_connections:
            - name: enp7s0
              type: ethernet
              autoconnect: yes
              ip:
                address:
                  - 198.51.100.20/24
                  - 2001:db8:1::1/64
                gateway4: 198.51.100.254
                gateway6: 2001:db8:1::fffe
                dns:
                  - 198.51.100.200
                  - 2001:db8:1::ffbb
                dns_search:
                  - example.com
                route:
                  - network: 192.0.2.0
                    prefix: 24
                    gateway: 198.51.100.1
                  - network: 203.0.113.0
                    prefix: 24
                    gateway: 198.51.100.2
              state: up
  3. 플레이북을 실행합니다.

    • root 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u root ~/add-static-routes.yml
    • 사용자로 관리 호스트에 연결하려면 다음을 입력합니다.

      # ansible-playbook -u user_name --ask-become-pass ~/add-static-routes.yml

      --ask-become-pass 옵션을 사용하면 ansible-playbook 명령에서 -u user_name 옵션에 정의된 사용자의 sudo 암호를 입력하라는 메시지를 표시합니다.

    -u user_name 옵션을 지정하지 않으면 ansible-playbook 이 현재 제어 노드에 로그인한 사용자로 관리 호스트에 연결합니다.

검증 단계

  • 라우팅 테이블을 표시합니다.

    # ip -4 route
    default via 198.51.100.254 dev enp7s0 proto static metric 100
    192.0.2.0/24 via 198.51.100.1 dev enp7s0 proto static metric 100
    203.0.113.0/24 via 198.51.100.2 dev enp7s0 proto static metric 100
    ...

추가 리소스

  • /usr/share/ansible/roles/rhel-system-roles.network/README.md file
  • ansible-playbook(1) 도움말 페이지

22장. 대체 경로를 정의하도록 정책 기반 라우팅 구성

기본적으로 RHEL의 커널은 라우팅 테이블을 사용하여 대상 주소를 기반으로 네트워크 패킷을 전달할 위치를 결정합니다. 정책 기반 라우팅을 사용하면 복잡한 라우팅 시나리오를 구성할 수 있습니다. 예를 들어 소스 주소, 패킷 메타데이터 또는 프로토콜과 같은 다양한 기준에 따라 패킷을 라우팅할 수 있습니다.

이 섹션에서는 NetworkManager를 사용하여 정책 기반 라우팅을 구성하는 방법을 설명합니다.

참고

NetworkManager를 사용하는 시스템에서는 nmcli 유틸리티만 라우팅 규칙을 설정하고 특정 테이블에 경로를 할당하는 기능을 지원합니다.

22.1. NetworkManager를 사용하여 특정 서브넷의 트래픽 라우팅을 다른 기본 게이트웨이로 라우팅

이 섹션에서는 RHEL을 기본적으로 기본 경로를 사용하여 모든 트래픽을 인터넷 공급자 A로 라우팅하는 방법을 설명합니다. 정책 기반 라우팅을 사용하여 RHEL은 내부 워크스테이션 서브넷에서 공급자 B로 수신되는 트래픽을 라우팅합니다.

이 절차에서는 다음과 같은 네트워크 토폴로지를 가정합니다.

policy based routing

사전 요구 사항

  • 시스템은 NetworkManager 를 사용하여 기본값인 네트워크를 구성합니다.
  • 절차에서 설정하려는 RHEL 라우터에는 네 개의 네트워크 인터페이스가 있습니다.

    • enp7s0 인터페이스는 공급자 A의 네트워크에 연결되어 있습니다. 공급자 네트워크의 게이트웨이 IP는 198.51.100.2 입니다. 네트워크는 /30 네트워크 마스크를 사용합니다.
    • enp1s0 인터페이스는 공급자 B의 네트워크에 연결되어 있습니다. 공급자의 네트워크의 게이트웨이 IP는 192.0.2.2 이며 네트워크는 /30 네트워크 마스크를 사용합니다.
    • enp8s0 인터페이스는 내부 워크스테이션이 있는 10.0.0.0/24 서브넷에 연결됩니다.
    • enp9s0 인터페이스는 회사 서버를 사용하여 203.0.113.0/24 서브넷에 연결됩니다.
  • 내부 워크스테이션 서브넷의 호스트는 기본 게이트웨이로 10.0.0.1 을 사용합니다. 이 절차에서는 이 IP 주소를 라우터의 enp8s0 네트워크 인터페이스에 할당합니다.
  • 서버 서브넷의 호스트는 기본 게이트웨이로 203.0.113.1 을 사용합니다. 이 절차에서는 라우터의 enp9s0 네트워크 인터페이스에 이 IP 주소를 할당합니다.
  • firewalld 서비스가 활성화되고 활성화됩니다.

절차

  1. 공급자 A에 네트워크 인터페이스를 구성합니다.

    # nmcli connection add type ethernet con-name Provider-A ifname enp7s0 ipv4.method manual ipv4.addresses 198.51.100.1/30 ipv4.gateway 198.51.100.2 ipv4.dns 198.51.100.200 connection.zone external

    nmcli connection add 명령은 NetworkManager 연결 프로필을 생성합니다. 다음 목록에서는 명령의 옵션을 설명합니다.

    • 유형 이더넷: 연결 유형이 이더넷임을 정의합니다.
    • con-name connection_name: 프로필의 이름을 설정합니다. 의미 있는 이름을 사용하여 혼동을 피하십시오.
    • ifname network_device: 네트워크 인터페이스를 설정합니다.
    • ipv4.method manual: 정적 IP 주소를 구성할 수 있습니다.
    • ipv4.addresses IP_address/subnet_mask: IPv4 주소 및 서브넷 마스크를 설정합니다.
    • ipv4.gateway IP_address: 기본 게이트웨이 주소를 설정합니다.
    • ipv4.dns IP_of_DNS_server: DNS 서버의 IPv4 주소를 설정합니다.
    • connection.zone firewalld_zone: 정의된 firewalld 영역에 네트워크 인터페이스를 할당합니다. firewalld외부 영역에 할당된 인터페이스에 대해 자동으로 마스커레이딩을 활성화합니다.
  2. 네트워크 인터페이스를 공급자 B로 구성합니다.

    # nmcli connection add type ethernet con-name Provider-B ifname enp1s0 ipv4.method manual ipv4.addresses 192.0.2.1/30 ipv4.routes "0.0.0.0/0 192.0.2.2 table=5000" connection.zone external

    이 명령은 ipv4.gateway 대신 ipv4.routes 매개변수를 사용하여 기본 게이트웨이를 설정합니다. 이 연결은 기본값과 다른 라우팅 테이블(5000)에 이 연결에 대한 기본 게이트웨이를 할당해야 합니다. NetworkManager는 연결이 활성화되면 이 새 라우팅 테이블을 자동으로 생성합니다.

  3. 네트워크 인터페이스를 내부 워크스테이션 서브넷에 구성합니다.

    # nmcli connection add type ethernet con-name Internal-Workstations ifname enp8s0 ipv4.method manual ipv4.addresses 10.0.0.1/24 ipv4.routes "10.0.0.0/24 table=5000" ipv4.routing-rules "priority 5 from 10.0.0.0/24 table 5000" connection.zone trusted

    이 명령은 ipv4.routes 매개변수를 사용하여 ID 5000 이 있는 라우팅 테이블에 정적 경로를 추가합니다. 10.0.0.0/24 서브넷의 고정 경로는 로컬 네트워크 인터페이스의 IP를 provider B(192.0.2.1)로 다음 홉으로 사용합니다.

    또한 이 명령은 ipv4.routing-rules 매개변수를 사용하여 10.0.0.0/24 서브넷에서 테이블 5000 으로 트래픽을 라우팅하는 우선 순위 5 가 있는 라우팅 규칙을 추가합니다. 낮은 값은 우선 순위가 높습니다.

    ipv4.routing-rules 매개변수의 구문은 ip rule add 명령과 동일합니다. 단, ipv4.routing-rules 에는 항상 우선 순위를 지정해야 합니다.

  4. 네트워크 인터페이스를 서버 서브넷에 구성합니다.

    # nmcli connection add type ethernet con-name Servers ifname enp9s0 ipv4.method manual ipv4.addresses 203.0.113.1/24 connection.zone trusted

검증 단계

  1. 내부 워크스테이션 서브넷의 RHEL 호스트에서 다음을 수행합니다.

    1. traceroute 패키지를 설치합니다.

      # dnf install traceroute
    2. traceroute 유틸리티를 사용하여 인터넷의 호스트에 대한 경로를 표시합니다.

      # traceroute redhat.com
      traceroute to redhat.com (209.132.183.105), 30 hops max, 60 byte packets
       1  10.0.0.1 (10.0.0.1)     0.337 ms  0.260 ms  0.223 ms
       2  192.0.2.1 (192.0.2.1)   0.884 ms  1.066 ms  1.248 ms
       ...

      명령 출력은 라우터가 공급자 B의 네트워크인 192.0.2.1 을 통해 패킷을 전송함을 표시합니다.

  2. 서버 서브넷의 RHEL 호스트에서 다음을 수행합니다.

    1. traceroute 패키지를 설치합니다.

      # dnf install traceroute
    2. traceroute 유틸리티를 사용하여 인터넷의 호스트에 대한 경로를 표시합니다.

      # traceroute redhat.com
      traceroute to redhat.com (209.132.183.105), 30 hops max, 60 byte packets
       1  203.0.113.1 (203.0.113.1)    2.179 ms  2.073 ms  1.944 ms
       2  198.51.100.2 (198.51.100.2)  1.868 ms  1.798 ms  1.549 ms
       ...

      명령 출력은 라우터가 공급자 A의 네트워크인 198.51.100.2 를 통해 패킷을 전송함을 표시합니다.

문제 해결 단계

RHEL 라우터에서 다음을 수행합니다.

  1. 규칙 목록을 표시합니다.

    # ip rule list
    0:	from all lookup local
    5:	from 10.0.0.0/24 lookup 5000
    32766:	from all lookup main
    32767:	from all lookup default

    기본적으로 RHEL에는 로컬, 기본, 기본 테이블에 대한 규칙이 포함되어 있습니다.

  2. 5000 에 경로를 표시합니다.

    # ip route list table 5000
    0.0.0.0/0 via 192.0.2.2 dev enp1s0 proto static metric 100
    10.0.0.0/24 dev enp8s0 proto static scope link src 192.0.2.1 metric 102
  3. 인터페이스 및 방화벽 영역을 표시합니다.

    # firewall-cmd --get-active-zones
    external
      interfaces: enp1s0 enp7s0
    trusted
      interfaces: enp8s0 enp9s0
  4. 외부 영역에 마스커레이딩이 활성화되어 있는지 확인합니다.

    # firewall-cmd --info-zone=external
    external (active)
      target: default
      icmp-block-inversion: no
      interfaces: enp1s0 enp7s0
      sources:
      services: ssh
      ports:
      protocols:
      masquerade: yes
      ...

추가 리소스

23장. 더미 인터페이스 생성

Red Hat Enterprise Linux 사용자는 디버깅 및 테스트를 위해 더미 네트워크 인터페이스를 생성하고 사용할 수 있습니다. 더미 인터페이스는 실제로 전송하지 않고 패킷을 라우팅하는 장치를 제공합니다. NetworkManager에서 관리하는 추가 루프백 유사한 장치를 만들 수 있으며 비활성 SLIP(Serial Line Internet Protocol) 주소를 로컬 프로그램에 대한 실제 주소처럼 만들 수 있습니다.

23.1. nmcli를 사용하여 IPv4 및 IPv6 주소를 모두 사용하여 더미 인터페이스 만들기

다양한 설정으로 더미 인터페이스를 생성할 수 있습니다. 이 절차에서는 IPv4 및 IPv6 주소를 모두 사용하여 더미 인터페이스를 만드는 방법을 설명합니다. 더미 인터페이스를 만든 후 NetworkManager는 자동으로 기본 공용 방화벽 영역에 할당합니다.

참고

IPv4 또는 IPv6 주소 없이 더미 인터페이스를 구성하려면 ipv4.methodipv6.method 매개 변수를 비활성화 로 설정합니다. 그렇지 않으면 IP 자동 구성이 실패하고 NetworkManager는 연결을 비활성화하고 dummy 장치를 제거합니다.

절차

  1. 정적 IPv4 및 IPv6 주소를 사용하여 dummy0 이라는 더미 인터페이스를 생성하려면 다음을 입력합니다.

    # nmcli connection add type dummy ifname dummy0 ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv6.method manual ipv6.addresses 2001:db8:2::1/64
  2. 선택 사항: dummy 인터페이스를 보려면 다음을 입력합니다.

    # nmcli connection show
    NAME            UUID                                  TYPE      DEVICE
    enp1s0          db1060e9-c164-476f-b2b5-caec62dc1b05  ethernet    ens3
    dummy-dummy0    aaf6eb56-73e5-4746-9037-eed42caa8a65  dummy    dummy0

추가 리소스

  • nm-settings(5) 도움말 페이지

24장. nmstate-autoconf를 사용하여 LLDP를 사용하여 네트워크 상태 자동 구성

네트워크 장치는 LLDP(링크 계층 검색 프로토콜)를 사용하여 LAN에서 ID, 기능 및 인접 항목을 알릴 수 있습니다. nmstate-autoconf 유틸리티는 이 정보를 사용하여 로컬 네트워크 인터페이스를 자동으로 구성할 수 있습니다.

중요

nmstate-autoconf 유틸리티는 기술 프리뷰로만 제공됩니다. 기술 프리뷰 기능은 Red Hat 프로덕션 서비스 수준 계약(SLA)에서 지원되지 않을 수 있으며, 기능적으로 완전하지 않을 수 있으며 Red Hat은 프로덕션에 이러한 기능을 사용하지 않는 것이 좋습니다. 이러한 프리뷰를 통해 향후 제품 기능에 조기 액세스할 수 있어 개발 과정에서 고객이 기능을 테스트하고 피드백을 제공할 수 있습니다.

기술 프리뷰 기능의 지원 범위에 대한 자세한 내용은 Red Hat 고객 포털의 기술 프리뷰 기능 지원 범위를 참조하십시오.

24.1. nmstate-autoconf를 사용하여 네트워크 인터페이스 자동 구성

nmstate-autoconf 유틸리티는 LLDP를 사용하여 로컬 장치를 구성하기 위해 스위치에 연결된 인터페이스의 VLAN 설정을 식별합니다.

이 절차에서는 다음 시나리오와 LLDP를 사용하여 VLAN 설정을 브로드캐스트하는 것으로 가정합니다.

  • RHEL 서버의 enp1s0enp2s0 인터페이스는 VLAN ID 100 및 VLAN 이름 prod-net 로 구성된 포트를 전환하도록 연결됩니다.
  • RHEL 서버의 enp3s0 인터페이스는 VLAN ID 200 및 VLAN 이름 RWX -net 으로 구성된 스위치 포트에 연결됩니다.

그런 다음 nmstate-autoconf 유틸리티를 사용하여 이 정보를 사용하여 서버에 다음 인터페이스를 생성합니다.

  • bond100 - enp1s0enp2s0 포트가 있는 본딩 인터페이스입니다.
  • prod-net - bond100 상단에 VLAN ID 100 이 있는 VLAN 인터페이스입니다.
  • Mgmt-net - VLAN ID가 200enp3s0 상단에 있는 VLAN 인터페이스

LLDP가 동일한 VLAN ID를 브로드캐스트하는 다른 스위치 포트에 여러 네트워크 인터페이스를 연결하면 nmstate-autoconf 가 이러한 인터페이스와의 본딩을 생성하고 그 위에 공통 VLAN ID를 구성합니다.

사전 요구 사항

  • nmstate 패키지가 설치되어 있습니다.
  • LLDP는 네트워크 스위치에서 활성화됩니다.
  • 이더넷 인터페이스가 작동 중입니다.

절차

  1. 이더넷 인터페이스에서 LLDP를 활성화합니다.

    1. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/enable-lldp.yml )을 만듭니다.

      interfaces:
        - name: enp1s0
          type: ethernet
          lldp:
            enabled: true
        - name: enp2s0
          type: ethernet
          lldp:
            enabled: true
        - name: enp3s0
          type: ethernet
          lldp:
            enabled: true
    2. 시스템에 설정을 적용합니다.

      # nmstatectl apply ~/enable-lldp.yml
  2. LLDP를 사용하여 네트워크 인터페이스를 구성합니다.

    1. 선택 사항인 시험 실행을 시작하여 nmstate-autoconf 가 생성하는 YAML 구성을 표시하고 확인합니다.

      # nmstate-autoconf -d enp1s0,enp2s0,enp3s0
      ---
      interfaces:
      - name: prod-net
        type: vlan
        state: up
        vlan:
          base-iface: bond100
          id: 100
      - name: mgmt-net
        type: vlan
        state: up
        vlan:
          base-iface: enp3s0
          id: 200
      - name: bond100
        type: bond
        state: up
        link-aggregation:
          mode: balance-rr
          port:
          - enp1s0
          - enp2s0
    2. nmstate-autoconf 를 사용하여 LLDP에서 수신한 정보를 기반으로 구성을 생성하고 해당 설정을 시스템에 적용합니다.

      # nmstate-autoconf enp1s0,enp2s0,enp3s0

다음 단계

검증

  1. 개별 인터페이스의 설정을 표시합니다.

    # nmstatectl show <interface_name>

추가 리소스

  • nmstate-autoconf(8) 도움말 페이지

25장. LLDP를 사용하여 네트워크 구성 문제 디버그

LLDP(연결 계층 검색 프로토콜)를 사용하여 토폴로지에서 네트워크 구성 문제를 디버깅할 수 있습니다. 즉, LLDP는 다른 호스트 또는 라우터 및 스위치와 구성 불일치를 보고할 수 있습니다.

25.1. LLDP 정보를 사용하여 잘못된 VLAN 구성 디버깅

특정 VLAN을 사용하도록 스위치 포트를 구성하고 호스트에서 이러한 VLAN 패킷을 수신하지 않는 경우 LLDP(Link Layer Discovery Protocol)를 사용하여 문제를 디버깅할 수 있습니다. 패킷을 수신하지 않는 호스트에서 다음 절차를 수행하십시오.

사전 요구 사항

  • nmstate 패키지가 설치되어 있습니다.
  • 이 스위치는 LLDP를 지원합니다.
  • LLDP는 인접 장치에서 사용할 수 있습니다.

절차

  1. 다음 콘텐츠를 사용하여 ~/enable-LLDP-enp1s0.yml 파일을 만듭니다.

    interfaces:
      - name: enp1s0
        type: ethernet
        lldp:
          enabled: true
  2. ~/enable-LLDP-enp1s0.yml 파일을 사용하여 enp1s0 인터페이스에서 LLDP를 활성화합니다.

    # nmstatectl apply ~/enable-LLDP-enp1s0.yml
  3. LLDP 정보를 표시합니다.

    # nmstatectl show enp1s0
    - name: enp1s0
      type: ethernet
      state: up
      ipv4:
        enabled: false
        dhcp: false
      ipv6:
        enabled: false
        autoconf: false
        dhcp: false
      lldp:
        enabled: true
        neighbors:
        - - type: 5
            system-name: Summit300-48
          - type: 6
            system-description: Summit300-48 - Version 7.4e.1 (Build 5)
              05/27/05 04:53:11
          - type: 7
            system-capabilities:
            - MAC Bridge component
            - Router
          - type: 1
            _description: MAC address
            chassis-id: 00:01:30:F9:AD:A0
            chassis-id-type: 4
          - type: 2
            _description: Interface name
            port-id: 1/1
            port-id-type: 5
          - type: 127
            ieee-802-1-vlans:
            - name: v2-0488-03-0505
              vid: 488
            oui: 00:80:c2
            subtype: 3
          - type: 127
            ieee-802-3-mac-phy-conf:
              autoneg: true
              operational-mau-type: 16
              pmd-autoneg-cap: 27648
            oui: 00:12:0f
            subtype: 1
          - type: 127
            ieee-802-1-ppvids:
            - 0
            oui: 00:80:c2
            subtype: 2
          - type: 8
            management-addresses:
            - address: 00:01:30:F9:AD:A0
              address-subtype: MAC
              interface-number: 1001
              interface-number-subtype: 2
          - type: 127
            ieee-802-3-max-frame-size: 1522
            oui: 00:12:0f
            subtype: 4
      mac-address: 82:75:BE:6F:8C:7A
      mtu: 1500
  4. 출력을 확인하여 설정이 예상 구성과 일치하는지 확인합니다. 예를 들어 스위치에 연결된 인터페이스의 LLDP 정보는 이 호스트가 연결된 스위치 포트가 VLAN ID 448 을 사용하도록 연결되었음을 나타냅니다.

    - type: 127
            ieee-802-1-vlans:
            - name: v2-0488-03-0505
              vid: 488

    enp1s0 인터페이스의 네트워크 구성이 다른 VLAN ID를 사용하는 경우 적절하게 변경합니다.

추가 리소스

VLAN 태그 지정 구성

26장. 키 파일 형식으로 NetworkManager 프로파일 수동 생성

기본적으로 NetworkManager는 프로필을 키 파일 형식으로 저장합니다. 예를 들어 nmcli 유틸리티, 네트워킹 RHEL 시스템 역할 또는 nmstate API를 사용하여 프로필을 관리할 수 있습니다. 그러나 NetworkManager는 더 이상 사용되지 않는 ifcfg 형식의 프로필을 계속 지원합니다.

26.1. NetworkManager 프로필의 주요 파일 형식

NetworkManager는 연결 프로필을 디스크에 저장할 때 INI 스타일 키 파일 형식을 사용합니다.

키 파일 형식의 이더넷 연결 프로필 예

[connection]
id=example_connection
uuid=82c6272d-1ff7-4d56-9c7c-0eb27c300029
type=ethernet
autoconnect=true

[ipv4]
method=auto

[ipv6]
method=auto

[ethernet]
mac-address=00:53:00:8f:fa:66

각 섹션은 nm-settings(5)nm-settings-keyfile(5) 도움말 페이지에 설명된 대로 NetworkManager 설정 이름에 해당합니다. 섹션의 각 키-값 쌍은 도움말 페이지의 설정 사양에 나열된 속성 중 하나입니다.

NetworkManager 키 파일의 대부분의 변수에는 일대일 매핑이 있습니다. 즉, NetworkManager 속성이 키 파일에 동일한 이름과 동일한 형식의 변수로 저장됩니다. 그러나 주로 키 파일 구문을 읽기 쉽도록 하는 예외가 있습니다. 이러한 예외 목록은 nm-settings-keyfile(5) 매뉴얼 페이지를 참조하십시오.

중요

보안상의 이유로 연결 프로필에는 개인 키 및 암호와 같은 중요한 정보가 포함될 수 있으므로 NetworkManager는 root 가 소유한 구성 파일만 사용하며 루트 에서만 읽고 쓸 수 있습니다.

연결 프로필의 목적에 따라 다음 디렉토리 중 하나에 저장합니다.

  • /etc/NetworkManager/system-connections/: 편집할 수 있는 사용자가 생성한 영구 프로필의 일반 위치입니다. NetworkManager는 자동으로 /etc/NetworkManager/system-connections/ 에 복사합니다.
  • /run/NetworkManager/system-connections/: 시스템을 재부팅할 때 자동으로 제거되는 임시 프로필의 경우.
  • /usr/lib/NetworkManager/system-connections/: 변경 불가능한 프로필의 경우. NetworkManager API를 사용하여 이러한 프로필을 편집하는 경우 NetworkManager는 이 프로필을 영구 스토리지 또는 임시 스토리지에 복사합니다.

NetworkManager는 디스크에서 프로파일을 자동으로 다시 로드하지 않습니다. 키 파일 형식으로 연결 프로필을 생성하거나 업데이트할 때 nmcli connection reload 명령을 사용하여 NetworkManager에 변경 사항을 알립니다.

26.2. 키 파일 형식으로 NetworkManager 프로필 만들기

이 섹션에서는 키 파일 형식으로 NetworkManager 연결 프로필을 수동으로 만드는 방법에 대한 일반적인 절차를 설명합니다.

참고

구성 파일을 수동으로 생성하거나 업데이트하면 예기치 않거나 작동하지 않는 네트워크 구성이 발생할 수 있습니다. NetworkManager 유틸리티(예: nmcli, network RHEL System Role 또는 nmstate API)를 사용하여 NetworkManager 연결을 관리하는 것이 좋습니다.

절차

  1. 이더넷과 같은 하드웨어 인터페이스에 대한 프로필을 생성하는 경우 이 인터페이스의 MAC 주소를 표시합니다.

    # ip address show enp1s0
    2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
        link/ether 00:53:00:8f:fa:66 brd ff:ff:ff:ff:ff:ff
  2. 연결 프로필을 만듭니다. 예를 들어 DHCP를 사용하는 이더넷 장치의 연결 프로필의 경우 다음 콘텐츠를 사용하여 /etc/NetworkManager/system-connections/example.nmconnection 파일을 만듭니다.

    [connection]
    id=example_connection
    type=ethernet
    autoconnect=true
    
    [ipv4]
    method=auto
    
    [ipv6]
    method=auto
    
    [ethernet]
    mac-address=00:53:00:8f:fa:66
    참고

    모든 파일 이름은 .nmconnection 접미사와 함께 사용할 수 있습니다. 그러나 나중에 nmcli 명령을 사용하여 연결을 관리하는 경우 이 연결을 참조할 때 id 변수에 설정된 연결 이름을 사용해야 합니다. id 변수를 생략하면 .nmconnection 없이 파일 이름을 사용하여 이 연결을 참조합니다.

  3. root 사용자만 읽고 업데이트할 수 있도록 구성 파일에 대한 권한을 설정합니다.

    # chown root:root /etc/NetworkManager/system-connections/example.nmconnection
    # chmod 600 /etc/NetworkManager/system-connections/example.nmconnection
  4. 연결 프로필을 다시 로드합니다.

    # nmcli connection reload
  5. NetworkManager가 구성 파일에서 프로필을 읽는지 확인합니다.

    # nmcli -f NAME,UUID,FILENAME connection
    NAME                UUID                                  FILENAME
    example-connection  86da2486-068d-4d05-9ac7-957ec118afba  /etc/NetworkManager/system-connections/example.nmconnection
    ...

    명령이 새로 추가한 연결을 표시하지 않으면 파일 권한 및 파일에서 사용한 구문이 올바른지 확인합니다.

  6. 선택 사항: 프로필에서 자동 연결 변수를 false 로 설정하면 연결을 활성화합니다.

    # nmcli connection up example_connection

검증

  1. 연결 프로필을 표시합니다.

    # nmcli connection show example_connection
  2. 인터페이스의 IP 설정을 표시합니다.

    # ip address show enp1s0

추가 리소스

  • nm-settings-keyfile (5)

26.3. NetworkManager 프로필을 ifcfg에서 키 파일 형식으로 마이그레이션

nmcli connection migrate 명령을 사용하여 기존 ifcfg 연결 프로필을 키 파일 형식으로 마이그레이션할 수 있습니다. 이렇게 하면 모든 연결 프로필이 한 위치 및 기본 설정에 있습니다.

사전 요구 사항

  • /etc/sysconfig/network-scripts/ 디렉토리에 ifcfg 형식의 연결 프로필이 있습니다.

절차

  • 연결 프로필을 마이그레이션합니다.

    # nmcli connection migrate
    Connection 'enp1s0' (43ed18ab-f0c4-4934-af3d-2b3333948e45) successfully migrated.
    Connection 'enp2s0' (883333e8-1b87-4947-8ceb-1f8812a80a9b) successfully migrated.
    ...

검증

  • 필요한 경우 모든 연결 프로필을 성공적으로 마이그레이션했는지 확인할 수 있습니다.

    # nmcli -f TYPE,FILENAME,NAME connection
    TYPE      FILENAME                                                           NAME
    ethernet  /etc/NetworkManager/system-connections/enp1s0.nmconnection         enp1s0
    ethernet  /etc/NetworkManager/system-connections/enp2s0.nmconnection         enp2s0
    ...

추가 리소스

  • nm-settings-keyfile(5)
  • nm-settings-ifcfg-rh(5)
  • nmcli(1)

27장. netconsole을 사용하여 네트워크에 커널 메시지를 기록

netconsole 커널 모듈과 동일한 이름이 지정된 서비스를 사용하여 디스크에 로깅하지 못하거나 직렬 콘솔을 사용할 때 커널을 디버깅하도록 네트워크를 통해 커널 메시지를 로깅할 수 있습니다.

27.1. 원격 호스트에 커널 메시지를 기록하도록 netconsole 서비스 구성

netconsole 커널 모듈을 사용하여 커널 메시지를 원격 시스템 로그 서비스에 기록할 수 있습니다.

사전 요구 사항

  • rsyslog 와 같은 시스템 로그 서비스는 원격 호스트에 설치됩니다.
  • 원격 시스템 로그 서비스는 이 호스트에서 들어오는 로그 항목을 수신하도록 구성되어 있습니다.

절차

  1. netconsole-service 패키지를 설치합니다.

    # dnf install netconsole-service
  2. /etc/sysconfig/netconsole 파일을 편집하고 SYSLOGADDR 매개 변수를 원격 호스트의 IP 주소로 설정합니다.

    # SYSLOGADDR=192.0.2.1
  3. netconsole 서비스를 활성화하고 시작합니다.

    # systemctl enable --now netconsole

검증 단계

  • 원격 시스템 로그 서버의 /var/log/messages 파일을 표시합니다.

28장. systemd 네트워크 대상 및 서비스

NetworkManager는 시스템 부팅 프로세스 중에 네트워크를 구성합니다. 그러나 루트 디렉터리가 iSCSI 장치에 저장된 경우와 같이 원격 루트(/)로 부팅하는 경우 네트워크 설정은 RHEL을 시작하기 전에 초기 RAM 디스크(initrd)에 적용됩니다. 예를 들어 네트워크 구성이 rd.neednet=1 을 사용하여 커널 명령줄에 지정되거나 원격 파일 시스템을 마운트하도록 구성이 지정된 경우 네트워크 설정이 initrd 에 적용됩니다.

이 섹션에서는 네트워크 설정을 적용하는 동안 사용되는 네트워크 ,network -online, NetworkManager-wait-Online 서비스와 같은 다양한 대상과 네트워크-온라인 서비스가 시작된 후 시작되도록 systemd 서비스를 구성하는 방법에 대해 설명합니다.

28.1. 네트워크 및 네트워크온라인 systemd 대상 간의 차이점

systemd는 네트워크 및 network -online 대상 장치를 유지 관리합니다. NetworkManager-wait-online.service 와 같은 특수 단위에는 WantedBy=network-online.targetBefore=network-online.target 매개 변수가 있습니다. 활성화된 경우 이러한 장치는 network-online.target 으로 시작하고 일부 네트워크 연결 형식이 설정될 때까지 대상에 도달할 대상을 지연합니다. 네트워크가 연결될 때까지 network-online 대상을 지연시킵니다.

network-online 대상은 서비스를 시작하여 추가 실행에 상당한 지연이 추가되었습니다. systemd는 Wants 및 이 대상 단위의 매개 변수에 대한 종속성을 $ 네트워크 기능을 참조하는 Linux Standard Base(LSB) 헤더가 있는 모든 SysV(System V) init 스크립트 서비스 장치에 자동으로 추가합니다. LSB 헤더는 init 스크립트의 메타데이터입니다. 이를 사용하여 종속성을 지정할 수 있습니다. 이는 systemd 대상과 유사합니다.

네트워크 대상은 부팅 프로세스의 실행을 크게 지연시키지 않습니다. 네트워크 대상에 도달한다는 것은 네트워크 설정을 담당하는 서비스가 시작되었음을 의미합니다. 그러나 네트워크 장치가 구성되었음을 의미하는 것은 아닙니다. 이 대상은 시스템을 종료하는 동안 중요합니다. 예를 들어 부팅 중에 네트워크 대상 다음에 정렬된 서비스가 있는 경우 종료 중에 이 종속성이 반전됩니다. 서비스가 중지될 때까지 네트워크의 연결이 끊어지지 않습니다. 원격 네트워크 파일 시스템의 모든 마운트 단위는 자동으로 네트워크-온라인 대상 장치를 시작하고 그 후에 자체적으로 주문합니다.

참고

네트워크 온라인 대상 장치는 시스템이 시작되는 동안에만 유용합니다. 시스템 부팅이 완료되면 이 대상은 네트워크의 온라인 상태를 추적하지 않습니다. 따라서 network-online 을 사용하여 네트워크 연결을 모니터링할 수 없습니다. 이 대상은 일회성 시스템 시작 개념을 제공합니다.

28.2. NetworkManager-wait-online 개요

NetworkManager-wait-online 서비스는 네트워크를 구성할 때까지 시간 초과를 기다립니다. 이 네트워크 구성에는 이더넷 장치를 플러그인하고, Wi-Fi 장치를 스캔하는 등의 작업이 포함됩니다. NetworkManager는 자동으로 시작하도록 구성된 적절한 프로필을 자동으로 활성화합니다. DHCP 시간 초과 또는 유사한 이벤트로 인해 자동 활성화 프로세스가 실패하는 경우 장기간 NetworkManager를 계속 사용할 수 있습니다. 구성에 따라 NetworkManager는 동일한 프로필 또는 다른 프로필 활성화를 다시 시도합니다.

시작이 완료되면 모든 프로필이 연결이 끊긴 상태에 있거나 성공적으로 활성화됩니다. 자동 연결을 위해 프로필을 구성할 수 있습니다. 다음은 시간 초과를 설정하거나 연결이 활성 상태로 간주되는 시기를 정의하는 몇 가지 매개 변수의 예입니다.

  • connection.wait-device-timeout - 드라이버에서 장치를 감지하도록 시간 초과를 설정합니다.
  • ipv4.may-failipv6.may-fail - 하나의 IP 주소 제품군으로 활성화를 설정하거나 특정 주소 제품군에 구성을 완료했는지 여부를 설정합니다.
  • ipv4.gateway-ping-timeout - delays activation.

추가 리소스

  • nm-settings(5) 도움말 페이지

28.3. 네트워크가 시작된 후 시작하도록 systemd 서비스 구성

Red Hat Enterprise Linux는 /usr/lib/ systemd /system/ 디렉터리에 systemd 서비스 파일을 설치합니다. 이 절차에서는 /etc/systemd/system/service_name. service.d/ 에 있는 서비스 파일의 드롭인 스니펫을 생성하여 /usr/lib/systemd/system/ 의 서비스 파일과 함께 사용하여 네트워크가 온라인 상태가 된 후 특정 서비스를 시작합니다. 드롭인 스니펫의 설정이 /usr/lib/systemd/system/ 의 서비스 파일에 있는 설정과 겹치는 경우 우선순위가 더 높습니다.

절차

  1. 편집기에서 서비스 파일을 열려면 다음을 입력합니다.

    # systemctl edit service_name

  2. 다음을 입력하고 변경 사항을 저장합니다.

    [Unit]
    After=network-online.target
  3. systemd 서비스를 다시 로드합니다.

    # systemctl daemon-reload

29장. Linux 트래픽 제어

Linux는 패킷 전송을 관리하고 조작하는 도구를 제공합니다. portfolio(Linux Traffic Control) 하위 시스템은 네트워크 트래픽을 정책화, 분류, 셰이핑 및 예약하는 데 도움이 됩니다. Ingester는 필터 및 작업을 사용하여 분류 중에 패킷 콘텐츠를 마글링합니다. KnativeServing 하위 시스템은 storing 아키텍처의 기본 요소인 대기열 (qdisc)을 사용하여 이를 달성합니다.

스케줄링 메커니즘은 다른 큐를 입력하거나 종료하기 전에 패킷을 예약하거나 재배치합니다. 가장 일반적인 스케줄러는 First-In-First-Out(FIFO) 스케줄러입니다. tc 유틸리티를 사용하거나 NetworkManager를 사용하여 일시적으로 qdiscs 작업을 수행할 수 있습니다.

이 섹션에서는 대기 분야를 설명하고 RHEL의 기본 qdiscs 를 업데이트하는 방법을 설명합니다.

29.1. queuing 징계의 개요

큐잉 징계(qdiscs)는 네트워크 인터페이스의 트래픽 전송 일정을 정복하고 나중에 스케줄링하는 데 도움이 됩니다. qdisc 에는 두 가지 작업이 있습니다.

  • 나중에 전송을 위해 패킷을 대기열에 넣을 수 있도록 대기열 요청
  • 대기열 요청이 즉시 전송을 위해 대기 중인 패킷 중 하나를 선택할 수 있도록 합니다.

모든 qdisc 에는 1 또는 abcd 와 같은 연결된 콜론을 사용하여 처리 라는 16비트 16진수 식별 번호가 있습니다. 이 수를 qdisc 주요 번호라고 합니다. qdisc 에 클래스가 있는 경우 식별자는 마이너 앞에 메이저 번호를 가진 두 숫자의 쌍으로 구성됩니다. <major>:< minor> (예: abcd:1 ). 마이너 숫자의 번호 지정 체계는 qdisc 유형에 따라 다릅니다. 때때로 숫자가 체계적이기 때문에 첫 번째 클래스에 < major>:1, 두 번째 < major>:2 등이 있습니다. 일부 qdiscs 는 사용자가 클래스를 만들 때 클래스의 마이너 번호를 임의로 설정할 수 있도록 허용합니다.

다양한 qdiscs

다양한 유형의 qdisc가 존재하며 네트워킹 인터페이스로 패킷을 전송하는데 도움이 됩니다. root, parent 또는 자식 클래스를 사용하여 qdiscs 를 구성할 수 있습니다. 자식을 연결할 수 있는 지점은 클래스라고 합니다. qdisc 의 클래스는 유연하며 항상 여러 하위 클래스 또는 단일 자식 클래스를 포함할 수 있습니다. 풍부한 qdisc 자체를 포함하는 클래스에 대해 금지는 없으므로 복잡한 트래픽 제어 시나리오가 용이해집니다.

비정상적인 qdiscs 는 패킷을 자체적으로 저장하지 않습니다. 대신 qdisc 와 관련된 기준에 따라 해당 자식 중 하나에 요청을 큐에 추가 및 큐에 추가합니다. 결국, 이 재귀 패킷은 패킷이 저장된 위치(또는 dequeuing의 경우)에서 수집되는 위치에 종료됩니다.

classless qdiscs
일부 qdisc에는 하위 클래스가 포함되어 있으며 클래스가 없는 qdiscs 라고 합니다. classless qdiscs 는 클래스화된 qdiscs 에 비해 더 적은 사용자 지정이 필요합니다. 일반적으로 인터페이스에 연결하는 것으로 충분합니다.

추가 리소스

  • TC(8) 도움말 페이지
  • Process-actions.8 도움말 페이지

29.2. RHEL에서 사용 가능한 qdiscs

qdisc 는 고유한 네트워킹 관련 문제를 해결합니다. 다음은 RHEL;에서 사용 가능한 qdisc의 목록입니다. 다음 qdisc 중 하나를 사용하여 네트워킹 요구 사항에 따라 네트워크 트래픽을 셰이핑할 수 있습니다.

표 29.1. RHEL에서 사용 가능한 스케줄러

qdisc 이름포함됨오프로드 지원

비동기 전송 모드 (ATM)

kernel-modules-extra

 

클래스 기반 큐링

kernel-modules-extra

 

자주하는 질문

kernel-modules-extra

있음

반응형 흐름을 선택하고 유지, 응답하지 않는 흐름을 위한 CHOose 및 Kill(CHOKE)

kernel-modules-extra

 

제어 지연 (CoDel)

kernel-core

 

deficit Roundrobinin (DRR)

kernel-modules-extra

 

서로 다른 서비스 마커(DSMARK)