미러링 방식(Mirroring) / 인라인 방식 메모 정리

1. 미러링 방식(Mirroring)

미러링 방식은 Tap 장비나 네트워크 장비의 미러링 포트 기능을 설정하여 네트워크 트래픽의 복사본을 모니터링 하는 방식이다. 

Tap장비란 Network상의 한 구간에 이동하는 Packet Data를 복사하여 Monitor 장비로 보내주는 역할을 하는 가장 기본적인 TAP/ UTP TAP/Fiber TAP/WAN용 TAP의 종류가 있다.

 

 포트 미러링은 네트워크 스위치의 어떤 한 포트에서 보이는 모든 네트워크 패킷 혹은 전체 VLAN의 모든 패킷들을 다른 모니터링 포트로 복제하는데 사용된다. 포트 미러링은 주로 침입 탐지 시스템이나 패시브 프로브, 애플리케이션 성능 관리(APM)에 필요한 실 사용자 모니터링 기술과 같이 네트워크 트래픽을 모니터링 해야하는 네트워크 장비들에서 사용된다.

 

 

 

1. 인라인 방식(In-line)

인라인방식은 방화벽과 동일하게 위치시켜 모든 트래픽을 IDS를 거쳐서 갈 수 있도록 하는 방식이다. 인라인 방식으로 구성하는 경우 네트워크의 성능이 저하되고 하드웨어에 장애가 발생하는 현상으로 인해 가용성을 보장할 수 없다는 문제점이 생기나 모든 정보가 IDS를 거쳐가므로 우회 할 수 없다.

 

 

IPS와 같은 보안장비는 기본적인 설계사상이 사전에 정의된 보안정책에 의해 특정한 트래픽을 허용, 차단, 변조, 모니터링 하는 등의 Action을 취하는 것이다. 

 

따라서 보안장비를 설치하는 유형이 여러 가지 있을 수 있는데, 대표적으로 인라인 모드와 스니핑 모드(미러링)가 있다.

 

여기서 인라인모드란 네트워크 방화벽 구성과 동일하게 모든 트래픽이 해당 보안장비를 거쳐야만 목적지로 전송될 수 있도록 브릿지 형태의 네트워크를 구성하는 경우이다. 

 

이때 보안 장비는 IP를 가지고 있지 않고 트래픽을 연결하는 브릿지 네트워크 형태로 보안장비를 지나가는 모든 트래픽을 control하여 감시하며 통과 시키기 전에 패킷을 분석하여 통과 시킬지 drop 할지를 결정한다. 

 

다만 패킷의 흐름을 제어하여 확실한 차단이 가능하지만 퍼포먼스 저하 등의 장애가 발생할 수 있으므로 장애시 트래픽을 control하지 않고 물리적으로 연결하는 Fail-over기술 적용이 용이하다. 

 

보안장비의 성능이 네트워크의 대역폭에 못 미치게 되면 네트워크의 성능을 저하시키는 결과를 초래하며 침입이나 공격 패킷이 유입되면 자체적으로 제거해야 하기 때문에 인라인 모드로 설치해야 본래의 기능을 수행하기 유리하다.

 

---end wikipedia---

 

네트워크 방화벽 구성과 동일하게 모든 트래픽이 해당 보안장비를 거쳐야만 목적지로 전송될 수 있도록 네트워크를 구성하는 경우이다. 

 

이 때에는 확실한 차단이 가능하지만 fail-over나 퍼포먼스 저하 등의 문제가 발생할 수 있으므로 보안정책 커스터마이징 및 정확한 용량산정이 필요하다. 

 

보안장비의 성능이 네트워크의 대역폭에 못 미치게 되면 네트워크의 성능을 저하시키는 결과를 초래하게 되기 때문이다.