Module1

Size: px

Start display at page:

Download "Module1"

병세 변
5 years ago
Views:

1 Module 1 고급네트워크서비스구현

2 개요 고급 DHCP 기능구성 고급 DNS 설정구성 IPAM 구현

3 Lesson 1: 고급 DHCP 기능구성 DHCP 구성요소개요 DNS 와 DHCP 통합구성 고급 DHCP 범위디자인구성 IPv6 와 DHCP 통합 DHCP 이름보호란? DHCP Failover 란?

4 DHCP 구성요소개요 DHCP 의구성요소 DHCP 서버서비스 DHCP 옵션 DHCP 콘솔 DHCP 범위 각범위는단일 IP 서브넷에만연결할수있음 단일 DHCP 서버에서여러범위를서비스하고자하는경우서버는각서브넷에직접연결되거나해당범위마다 DHCP Relay Agent 가필요함 DHCP database DHCP 를사용할때 클라이언트는 IP 구성을브로드캐스트를통해요청 IP 주소는구성된기간동안클라이언트에임대되며, 정규적으로갱신됨 AD DS 환경에서 DHCP 서버는반드시인증받아야함

데이터베이스업데이트되는방법을제어할수있음 기본설정상클라이언트가자신의 A 레코드를 DNS

5 DNS 와 DHCP 통합구성 구성옵션 081 은 DHCP 서버가클라이언트를대신하여 A, PTR 리소스레코드를등록할수있도록해줌 DHCP 옵션 081 을구성하여리소스레코드가 DNS 데이터베이스업데이트되는방법을제어할수있음 기본설정상클라이언트가자신의 A 레코드를 DNS 에등록하고 DHCP 서버가 PTR 레코드를 DNS 에등록하도록되어있음 일반옵션 081 수정된옵션 081

6 고급 DHCP 범위디자인구성 LAN A DHCP Server LAN B Scope A 와 Scope B Superscope 으로구성 LAN A DHCP Server LAN B Scope A Scope B

7 IPv6 와 DHCP 통합 DHCPv6 는상태저장모드 (stateful) 와상태비저장모드 (stateless) 구성을모두지원 Stateful : IPv6 주소와추가 DHCP 데이터를할당 Stateless : 서브넷라우터가 IPv6를할당하고 DHCPv6 서버는다른 IPv6 구성설정만할당 DHCPv6 는아래와같은속성을포함하여범위를구성할수있음 이름과설명 기본설정 (Preference) 유효및선호라이프타임 Prefix 제외 DHCP 옵션

8 DHCP 이름보호란? DHCP 이름보호 (Name Protection) Windows 운영체제와동일한이름을가진 non-windows 운영체제가 DNS 이름등록을덮어쓰는것을방지 DHCID (Dynamic Host Configuration Identifier) 리소스레코드를사용하여원래 DNS 이름등록을요청한머신을추적 네트워크어댑터레벨과범위레벨에서구성할수있음

9 DHCP Failover 란? DHCP failover 동일한서브넷혹은범위에대해두대의 DHCP 서버가 IP 주소와옵션구성을제공 유일한이름을가진 failover relationship이필요함 Hot Standby 모드와 Load Sharing 모드를지원함 Windows Server 2012에서두대의 DHCP 서버만 failover로구성할수있으며 IPv4 범위와서브넷만지원함 DHCP failover 를사용할때 MCLT(Maximum Client Lead Time) 는 failover 파트너가서브넷이나범위에대해언제제어를할지결정 The auto state switchover interval은 failover 파트너가다운상태로전환되는시점을결정 Message Authentication은 failover 메시지의유효성을검증할수있음 DHCP 설치를진행하는동안 failover를위한방화벽규칙이자동으로구성됨 (TCP 647)

10 Lesson 2: 고급 DNS 설정구성 DNS 서비스관리 DNS Name Resolution 최적화 GlobalNames Zone이란? DNS 보안강화구현을위한옵션 DNSSEC 작동방법 Windows Server 2012의새로운 DNSSEC 기능

11 DNS 서비스관리 DNS 서비스관리방법 DNS Admins 그룹의멤버십을사용하여 DNS 관리를위임 이벤트뷰어에서 DNS 로그보기 DNS 서버속성에서 DNS 디버그로깅활성화 오래된레코드를제거하기위해 aging과 scavenging 활성화 : 레코드 aging에기반하여 scavenge 데이터베이스배포방법에따른 DNS 데이터베이스백업방법 Active Directory 통합영역은시스템상태백업을통해백업받거나 dnscmd, PowerShell을사용할수있음 Dnscmd /ZoneExport < 영역이름 > < 영역파일이름 > Export-DnsServerZone Name < 영역이름 > -Filename < 파일이름 > Active Directory와통합되지않은주영역은단일파일로존재하며복사하거나백업받을수있음

12 DNS Name Resolution 최적화 로컬 DNS 서버가클라이언트가쿼리한 DNS 영역의복사본을가지고있다면 DNS 서버는클라이언트컴퓨터에 authoritative answer 로응답 옵션 설명 전달자조건부전달스텁영역 (Stub zones) Netmask ordering 로컬에서풀이할수없는 DNS 요청을지정한 DNS 서버로전달 특정 DNS 접미사에대한쿼리를지정한 DNS 서버로전달 특정 DNS 도메인을위한 authoritative DNS 서버를확인하는특정리소스레코드에대한주기적인복제본 DNS 쿼리를요청하는클라이언트의 IP 주소에기반하여가장근접한호스트주소를응답

13 GlobalNames Zone 이란? GlobalNames zone 은여러 DNS 도메인환경에서단일수준이름 (single label name) 을풀이할수있도록해줌 GlobalName zone 은수동으로생성해야하며동적업데이트를허용하지않도록구성해야함 2 GlobalNames Zone DNS Server DNS Client Forward Lookup Zone

14 GlobalNames Zone 구성법 1. Dnscmd 혹은 Set-DnsServerGlobalNameZone 명령을사용하여 GlobalNames Zone 지원을허용하도록구성 2. GlobalNames 라는정방향조회영역을만들고동적업데이트를허용하지않도록설정 3. DNS 서버에서호스팅하는다른영역의레코드에대한 CNAME 레코드를수동으로생성 Get-DnsServerGlobalNameZone 과 Set-DnsServerGlobalNameZone 명령어사용가능

15 DNS 보안강화구현을위한옵션 옵션 설명 DNS cache locking DNS socket pool DNSSEC TTL 의특정 % 시간이만료되기전에캐시항목이덮어쓰기되는것을방지 Set-DnsServerCache LockingPercent 발급되는 DNS 쿼리의소스포트를랜덤하게사용하는기술 Windows Server 2012 에기본적으로활성화되어있음 Dnscmd /Config /SocketPoolSize < 값 > DNS 레코드에암호화서명을하여클라이언트컴퓨터가응답에대한유효성을확인할수있도록해줌

16 DNSSEC 작동방법 DNSSEC 기능 DNS 영역에디지털서명이되어있다면쿼리응답은디지털서명을포함 DNSSEC 는 trust anchor 를사용. Trust anchor 는디지털서명과관련된공개키를저장하고있는특별한영역임 Resolver 는 trust anchor 를사용하여공개키를가져오고 trust chain 을만듦 DNSSEC 는 DNSSEC 에참가되는모든 DNS 서버를구성하기위해 trust anchor 를요구 DNSSEC 는 NRPT 를사용. NRPT 는클라이언트컴퓨터의쿼리발송에대한방법과응답을제어

17 Windows Server 2012 의새로운 DNSSEC 기능 Windows Server 2012 에포함된향상된 DNSSEC 단순화된 DNSSEC 구현 DNSSEC 영역서명마법사는영역에대한서명과서명파라미터구성절차를마법사형식으로구성 새로생긴리소스레코드 DNSKEY DS RRSIG NSEC

18 Lesson 3: IPAM 구현 IPAM 이란? IPAM 아키텍처 IPAM 구현을위한요구사항 IPAM을사용하여 IP 주소관리 IPAM 관리와모니터링 IPAM 구현을위한고려사항

19 IPAM 이란? IPAM 은 DHCP 와 DNS 에대한관리및모니터링을활성화하여복잡한네트워크를가진조직에서 IP 관리를손쉽게하도록해줌 IPAM 은도메인컨트롤러와 NPS 에서정보를수집하여 Windows Internal Database 에저장 IPAM 은 non-microsoft 네트워크에대한관리와구성을지원하지않음 IP 관리영역 설명 계획관리추적감사 네트워크에서변경이발생하였을때계획프로세스에소요되는시간과비용을절감 DHCP 와 DNS 용량계획과활용도최적화를위한단일지점관리와조언을제공 IP 주소사용량에대한추적과예측이가능하도록해줌 컴플라이언스요구사항을도와주고포랜식과변경관리에대한리포팅제공

20 IPAM 아키텍처 IPAM 아키텍처구성요소 4개의주요모듈 IPAM discovery IPAM 주소공간관리 다중서버관리와모니터링 운영감사와 IP 주소추적 서버구성요소와클라이언트구성요소아래와같은토폴로지로 IPAM을배포할수있음 Distributed : 포리스트의모든사이트에 IPAM 배포 Centralized : 포리스트전체에한대의 IPAM 배포 Hybrid : 중앙 IPAM 서버와각사이트에전용 IPAM 서버배포

21 IPAM 구현을위한요구사항 요구사항 IPAM 서버는반드시도메인에가입되어야함 IPAM 서버는도메인컨트롤러에설치할수없음 IPv6 를관리하기위해서는반드시 IPv6 가활성화되어있어야함 도메인계정으로로그온 적절한 IPAM 로컬보안그룹에소속되어야함 IP 주소추적과감사를위해 account logon 이벤트에대한로깅을반드시활성화해야함 하드웨어 / 소프트웨어요구사항 CPU dual core 2.0 GHz 이상 Windows Server GB RAM 80 GB 이상여유디스크공간

22 IPAM 을사용하여 IP 주소관리 아래와같은보기를사용하여 IP 주소공간을관리하고볼수있음 IP 주소블록 IP 주소범위 IP 주소 IP 인벤토리 IP 주소범위그룹아래와같은보기를사용하여 IP 주소공간을모니터할수있음 DNS와 DHCP 서버 DHCP 범위 DNS 영역모니터링 서버그룹

23 IPAM 관리와모니터링 IPAM 으로할수있는것 IP 주소공간활용도모니터 DNS 와 DHCP health 모니터 IPAM 콘솔에서여러 DHCP 속성과값을구성 모든구성변경에대한중앙화된레포지토리를보기위해이벤트카탈로그사용

24 IPAM 구현을위한고려사항 IPAM 구현을위한고려사항 설치고려사항 : 도메인컨트롤러, DHCP, DNS 서버에설치할수없음 기능고려사항 : 다중포리스트를지원하지않음 관리고려사항 기존 IP 데이터를 IPAM으로마이그레이션

개요 Windows 클라이언트와서버를위한이름풀이 (Name Resolution) DNS 서버설치와관리 DNS 영역 (Zones) 관리

Module 7 DNS 구현 개요 Windows 클라이언트와서버를위한이름풀이 (Name Resolution) DNS 서버설치와관리 DNS 영역 (Zones) 관리 Lesson 1: Windows 클라이언트와서버를위한이름풀이 (Name Resolution) 컴퓨터이름이란? DNS 란? DNS 영역과레코드 인터넷 DNS 이름이풀이되는방법 Link-Local Multicast