데이터시트 Cisco Catalyst 6500 Series 및 Cisco 7600 Series 용 Firewall Services Module (FWSM) 그림 1 Cisco Catalyst 6500 Series Firewall Services Module Cisco Catalyst 6500 Series 스위치및 Cisco 7600 Series 라우터에사용되는고속통합방화벽모듈인 Cisco Catalyst 6500 Series FWSM(Firewall Services Module) 은 5.5 Gbps의전송량, 초당 100,000개의연결, 100만개의동시연결을제공합니다. 최대 4개의 FWSM을단일섀시에설치하여섀시당 20 Gbps까지확장이가능합니다. Cisco PIX 보안어플라이언스제품군의일부분인 FWSM은기업 (Enterprise) 과서비스제공업체 (Service Provider) 에뛰어난보안, 안정성및성능을제공합니다. FWSM은 Cisco PIX 기술을사용하며, 견고한실시간운영체제인 Cisco PIX OS를실행하여보안상의허점과성능저하요인을제거합니다. FWSM은 ASA (Adaptive Security Algorithm) 기반에서상태보존형연결중심의방화벽 (Stateful Connection-Oriented Firewall) 기능을제공하며, ASA를사용하여소스및대상 IP 주소, 랜덤 TCP 시퀀스번호, 포트번호및추가 TCP 플래그를기반으로세션흐름에대한연결테이블항목을만들고, 이연결테이블항목에보안정책을적용하여모든인바운드및아웃바운드트래픽을제어합니다. FWSM은라우팅모드 (L3 Mode) 및브리징모드 (L2 Mode) 에서다중보안컨텍스트를지원하는가상방화벽 (Virtual Firewall) 과같은다양한고급기능을제공하므로비용과운영상의복잡성을줄일수있습니다. FWSM의가상화는 Cisco Catalyst 6500 Series 스위치와 Cisco 7600 Series 라우터가제공하는투자보호를더욱향상시킵니다. FWSM 가상화를 Cisco Catalyst 6500 Series 스위치또는 Cisco 7600 Series 라우터내의 IPSec VPN, WebVPN, IPS(Intrusion Prevention System) 와같은다른보안서비스와함께사용하면더욱강력한 Defense-in-Depth 보안솔루션을구축할수있습니다. 또한자원관리및제한기능을통하여특정보안컨텍스트에할당된방화벽의자원을언제든지제한할수있으므로, 하나의보안컨텍스트가다른컨텍스트에영향을받지않고독립적으로작동합니다. FWSM은투명방화벽 (Transparent Firewall,L2-Firewall) 기능을제공합니다. 투명방화벽기능을통하여네트워크토폴로지의변경을최소화하면서방화벽구현및배치시간을단축시킬수있습니다. 이것은 IT 리소스가제한된모든기업에명확한이점을제공합니다. 관리인터페이스를제외하면, IP 주소가없으므로투명방화벽에서는서브넷또는구성업데이트가필요없습니다. FWSM 서비스관리기능과고급리소스관리및제한기능은여러가상컨텍스트에서더욱효과적으로보안서비스를제공하고모니터링합니다. 여기에는클래스만들기, 리소스제한, 사용자별액세스제어목록, 사용자기반으로 Cisco ACS(Access Control Server) 와연계한액세스제어목록 (ACL), ACL별시스로그, 시스로그수준구성, ARP(Address Resolution Protocol) 검사및멀티캐스트패스쓰루지원이포함됩니다. 1
FWSM은향상된보안기능및음성어플리케이션과같은다양한애플리케이션보안기능을제공합니다. 정책기반의 NAT(Network Address Translation), 양방향 NAT, 양방향 ACL, VoIP(Voice over IP) 기능향상, Skinny 및 SIP(Session Initiation Protocol) 에대한 PAT(Port Address Translation) 지원, MGCP(Media Gateway Control Protocol), H.323 v3/v4, MPLS(Multiprotocol Label Switching) 및방화벽통합, WebSense 및 N2H2를통한 URL 필터링, 공격예방및차단등향상된보안기능을제공합니다. FWSM 이점기존에방화벽이수행하던역할이변하고있습니다. 오늘날의방화벽은외부의허가받지않은불법액세스로부터회사네트워크를보호하는기능만을수행하지는않습니다. 방화벽은위협으로부터회사의네트워크경계을보호할뿐만아니라, 불법사용자가회사네트워크내의특정서브넷, 워크그룹또는 LAN에액세스하지못하도록차단할수있습니다. 계층화된보안시스템 ( Layered Defense-in-Depth ) 을갖추지않는다면그대가가엄청날수있습니다. 미국에서절도및내부자악용으로인해발생한전체회사의손실보고만도 2003년에만총 8,200만달러에달했습니다 (CSI/FBI 보고서, 2003). FBI 통계에따르면모든보안문제의 70% 가조직내부에서발생합니다. FBI 조사응답자 5명중한사람은지난 12개월동안침입자가회사네트워크에침입했거나침입을시도했다고말했으며, 대부분의네트워크침입이감지되지않고그냥넘어간다는사실에대다수의전문가가동의합니다. 회사네트워크에는늘어나는위협으로부터비즈니스자산을보호할수있는안정적이고통합된보안솔루션이필요합니다. 통합된모듈 Cisco Catalyst 6500 Series 스위치또는 Cisco 7600 Series 라우터의내부에설치되는 FWSM은스위치의모든포트가방화벽포트로작동하도록하며상태보존형방화벽보안을네트워크인프라내에통합합니다. 이러한통합은랙공간이부족한경우에특히중요합니다. Cisco Catalyst 6500 Series 스위치및 Cisco 7600 Series 라우터는멀티레이어 LAN, WAN 및 MAN 스위칭기능과함께방화벽서비스, 침입감지및 VPN과같이인텔리전트서비스가필요한고객에게최적의 IP 서비스스위치가되고있습니다. 미래에대한충분한확장성 FWSM은최대 5.5 Gbps의트래픽을처리할수있기때문에시스템정비가없이도향후의요구사항을충족시킬수있는뛰어난성능을제공합니다. 최대 3개의추가 FWSM( 총 4개의모듈 ) 을 Cisco Catalyst 6500 Series에추가하여늘어나는수요를충족시킬수있습니다. 안정성및고가용성 FWSM은 Cisco PIX 기술을기반으로하며안전한실시간운영체제인 Cisco PIX OS를사용합니다. FWSM은패킷검사용으로입증된 Cisco PIX 기술을사용하여우수한성능과강력한보안을동시에제공합니다. 또한 FWSM은모듈이중화를통하여단일 6500 또는 7600 섀시내의모듈간이나별도섀시의모듈간에고속장애복구성능을지원합니다. 섀시내부및섀시간장애복구성능을통해고객이방화벽을유연하게배치할수있습니다. 소유비용 (Cost of Ownership) 절감 FWSM은다른어떤방화벽보다도뛰어난가격대비성능을제공합니다. FWSM은 Cisco PIX 방화벽을기반으로하므로교육및관리비용이저렴합니다. FWSM은섀시에통합되어있으므로관리할기기 (Box) 의수를줄여줍니다. 2
사용용이성 Cisco PIX Device Manager(PDM) 의직관적인 GUI를사용하여 FWSM 내의기능을관리하고구성할수있으며, 상세한보안컨텍스트수준에서 FWSM을쉽게관리하고모니터링할수있습니다. 또한 CiscoWorks VMS(VPN/Security Management Solution) 를사용하여중앙콘솔에서 FWSM을관리할수있습니다. CiscoWorks VMS는시스코네트워크전체에서모듈식접근방식을사용하여보안솔루션을관리하고모니터링합니다. VPN, 라우터, 스위치, 방화벽및시스코보안에이전트 (Cisco Security Agent) 를비롯한여러솔루션에통합확장형관리센터를사용할수있습니다. 특히, CiscoWorks Management Center for Firewall는네트워크전체에서 FWSM, Cisco PIX 보안어플라이언스및 Cisco IOS 라우터기반방화벽을일관된방식으로중앙에서관리하므로대규모보안어플라이언스를신속하게배치 / 관리할수있습니다. FWSM 기능 표 1. 기능및 기능 성능 5.5 Gbps 100만개의동시연결 초당 100,000개의연결설정및해제 256,000개의 PAT 변환및 256,000개의 NAT 변환 라우팅방화벽및투명방화벽다음모드중하나에서방화벽을실행할수있습니다. 라우팅모드방화벽-네트워크에서 FWSM이라우터홉 (hop) 으로간주됩니다. 투명방화벽-FWSM이 Bump-in-the-Wire 모드로작동하며라우터홉이아니고 Wire로간주됩니다. FWSM은동일한네트워크를내부포트와외부포트에연결하지만각포트는다른 VLAN에있어야합니다. 동적라우팅프로토콜이나 NAT은필요하지않습니다. 가상방화벽 다중컨텍스트모드에서는소프트웨어라이센스에따라별도의보안컨텍스트를최대 100개까지 ( 다중보안컨텍스트 ) 만들수있습니다. 보안컨텍스트는고유의보안정책과인터페이스를가지고있는가상방화벽입니다. 각컨텍스트는라우팅모드에서 256개의 VLAN을지원할수있습니다. 투명모드에서는컨텍스트당 2개의인터페이스만을지원합니다. 다중컨텍스트는독립형방화벽이여러개있는것과유사합니다. 모든보안컨텍스트는라우팅모드나투명모드에서실행될수있습니다. 양방향NAT 및정책기반NAT 동적 / 정적 NAT 및 PAT를제공합니다. 내부주소와외부주소에 NAT를구성할수있습니다. 정책기반 NAT의경우는확장된 ACL을사용하여변환할주소를식별할수있습니다. 이렇게하면어떤주소를변환할지더쉽게결정할수있습니다. 자원 ( 리소스 ) 관리 하나의컨텍스트가모든리소스를사용하지못하도록컨텍스트당리소스를제한합니다. Cut-Through 프록시 VLAN 기반으로보안정책을시행합니다. 3
기능 URL 필터링 WebSense 또는 N2H2(Secure Computing Corporation의일부 ) 의서버와연계하여 HTTP, HTTPS 및 FTP 요청을필터링합니다. 구성지원 커맨드라인인터페이스 (CLI) 에대한콘솔 ( 스위치의세션 ) FWSM의내부인터페이스에대한텔넷 FWSM의외부인터페이스에대한텔넷 (IPSec 경유 ) CLI에대한 SSH(Secure Shell Protocol) Cisco PIX Device Manager에대한 SSL(Secure Sockets Layer) 방화벽용 CiscoWorks VMS Management Center AAA 지원 TACACS+ 및 RADIUS 지원을통해인증, 권한부여및계정관리 (AAA) 서비스와통합됩니다. Cisco PIX Device Manager 간단하고직관적인웹기반 GUI가원격방화벽관리를지원합니다. 수많은실시간보고서와기록보고서가사용량현황, 성능기준및보안이벤트정보를제공합니다. Cisco PIX Device Manager는또한 Cisco Catalyst 6500 Series용장치관리툴인 CiscoView Device Manager와통합됩니다. CiscoView Device Manager(CVDM) 에서는사용이쉬운 GUI를통해 Cisco Catalyst 6500 시스템내의모듈 ( 예 : FWSM 모듈및수퍼바이저모듈 ) 을일괄적으로관리할수있습니다. 안전한네트워크관리 액세스목록 안전한 3DES(Triple Data Encryption Standard) 암호화네트워크관리액세스 최대 80,000개의 ACL 다음과같은유형의 ACL이지원됩니다. 인터페이스상에서다음과같은 IP 트래픽을제어하는확장 ACL: - 인바운드 - 아웃바운드 투명방화벽모드의경우인터페이스상의다음과같은비IP 트래픽을제어하는 EtherType ACL: - 인바운드 - 아웃바운드 OSPF(Open Shortest Path First) 경로재분배를위한표준 ACL 사용자별 Cisco Secure ACS 기반의 ACL 동적라우팅프로토콜단일컨텍스트모드에서 FWSM은다음과같은라우팅프로토콜을지원합니다. RIP(Routing Information Protocol) v1 및 v2( 수동모드 ) OSPF 투명모드는정적라우팅만을지원합니다. 명령액세스권한부여 명령에대한사용자액세스를제어할수있으며권한수준에연결된사용자계정이나로그인을만들수있습니다. 4
기능 객체그룹화 (Object Grouping) 네트워크객체 ( 예 : 호스트 ) 와서비스 (FTP 및 HTTP) 를그룹화하여 ACL 에서사용합니다. 서비스거부 (DoS) 공격으로부터보호 ARP 검사 DHCP(Dynamic Host Control Protocol) 고가용성로깅추가프로토콜 DNS Guard Flood Defender Flood Guard TCP Intercept urpf(unicast Reverse Path Forwarding) Mail Guard FragGuard 및 Virtual Reassembly ICMP(Internet Control Message Protocol) 상태보존형검사 UDP(User Datagram Protocol) Rate Control 투명방화벽모드에서는 FWSM이모든 ARP 패킷의 MAC 주소와 IP 주소를 ARP 테이블의정적항목과비교합니다. FWSM은 DHCP 서버로작동합니다. FWSM은또한 DHCP 요청을업스트림라우터에전달하기위해 DHCP 릴레이를지원합니다. 상태보존형장애복구-섀시내부및섀시간 광범위한시스로그로깅, FTP, URL 및 ACL 로깅 H.323 v3 및 v4 NetBios over IP RAS 버전 2 RTSP(Real-Time Streaming Protocol) SIP용 PAT XDMCP Skinny FWSM 구성예고성능 / 안정성 / 고가용성이요구되는기업, 데이터센터또는서비스제공업체에서 FWSM을구성하여서비스를제공할수있습니다. 오늘날의기업은인터넷연결과같은네트워크경계보안 (Perimeter Security) 뿐만아니라, 비즈니스파트너와연결보안, 또한조직내의여러그룹에대한보안을제공하는캠퍼스보안도메인을구성해야합니다. FWSM은사용자와관리자가조직내에다양한여러정책을사용하여보안도메인을구성함으로써유연하고경제적인성능기반의솔루션을제공할수있습니다. 그림 2는 FWSM을사용하여별도의 VLAN 기반보안도메인을구성하는캠퍼스배치를나타냅니다. 5
그림 2 캠퍼스배치 FWSM 을사용하면다양한여러 VLAN 에적절한정책을설정할수있습니다. 또한데이터센터도최소한의비용으로데이터를보호하고기가비트성능을제공하기위해상태보존형방화벽보안솔루션을필요로합니다. 그림 3는이중화 FWSM을사용하여서버데이터를보호하는데이터센터를나타냅니다. 6
그림 3 전자상거래 (e-commerce) 데이터센터배치 FWSM은가격대비성능이최고인방화벽을제공하여자본투자를극대화하며, 방화벽로드밸런서를추가해야하는고가의여러방화벽을사용하지않아도됩니다. 그림 4 다중컨텍스트배치 ( 가상방화벽구성 ) 7
다중컨텍스트모드에서각방화벽은고유의정책, 관리도메인및시스로그로깅을실행하며기본적으로완전히독립된보안도메인을제공합니다. 자체의고유정책으로구성된가상방화벽보안컨텍스트는기능적으로는독립된물리적방화벽과유사하지만관리가더쉽습니다. 가상화를사용하면가입자증가에따라보안컨텍스트를쉽게추가하거나삭제할수있습니다. 이렇게하면조직이여러대의장치를배치하지않고도동일한성능을실현하고보안컨텍스트를완벽하게구성, 관리및제공할수있기때문에배치비용절감을통해비용을줄일수있습니다. 서비스제공업체가개별고객에게보안컨텍스트를제공할수있으며기업에서는각부서나팀에보안컨텍스트를할당할수있습니다. 주문정보 표 2. 제품번호 하드웨어 WS-SVC-FWM-1-K9 Cisco Catalyst 6500 Series 용 FWSM WS-SVC-FWM-1-K9= Cisco Catalyst 6500 Series용 FWSM( 예비부품 ) 소프트웨어 SC-SVC-FWM-1.1-K9 Cisco Catalyst 6500 Series용 Firewall Module Software Release 1.1 SC-SVC-FWM-1.1-K9= Cisco Catalyst 6500 Series용 Firewall Module Software Release 1.1 ( 예비부품 ) SC-SVC-FWM-2.2-K9 Cisco Catalyst 6500 Series용 Firewall Module Software Release 2.2 SC-SVC-FWM-2.2-K9= Cisco Catalyst 6500 Series용 Firewall Module Software Release 2.2( 예비부품 ) 라이센스표 1은보안컨텍스트라이센스를주문할때필요한부품번호를나타냅니다. 시스코는세가지계층의라이센스를지원합니다. 세가지계층의라이센스를주문하기위해서는 FWSM Software Release 2.2(1) 이상을실행해야합니다. FWSM Software Release 1.1에서 Release 2.2로업그레이드할때는하드웨어를변경하지않아도됩니다. 표 3. 컨텍스트라이센스부품번호 제품번호 FR-SVC-FWM-VC-T1 FR-SVC-FWM-VC-T2 FR-SVC-FWM-VC-T3 20개의가상방화벽 50개의가상방화벽 100개의가상방화벽 표 4 는업그레이드부품번호를나타냅니다. 표 4. 업그레이드부품번호 제품번호 FR-SVC-FWM-UPGR1 FR-SVC-FWM-UPGR2 가상방화벽을 20 개에서 50 개로업그레이드 가상방화벽을 50 개에서 100 개로업그레이드 8
시스템요구사항 MSFC2(Multilayer Switch Feature Card 2) 가있는 Cisco Catalyst 6500 Series Supervisor Engine 2 또는 Cisco Catalyst 6500 Series Supervisor Engine 720 Native Cisco IOS Software Release 12.1(13)E 이상. Supervisor Engine 720을실행중인경우는 Cisco IOS Software Release 12.2(14)SX 이상이필요합니다. 하이브리드 Cisco Catalyst OS Software Release 7.5(1) 이상. Supervisor Engine 720을실행중인경우는최소한 Cisco Catalyst OS Software Release 8.2 이상이필요합니다. 멀티 SVI 기능을사용하려면기본 Cisco IOS Software의경우 Cisco IOS Software Release 12.2(20)E 이상을, Cisco Catalyst OS 소프트웨어의경우 7.(6) 이상의버전이필요합니다. Cisco Catalyst 6500 Series 스위치나 Cisco 7600 Series Router에서슬롯 1개를점유합니다. 동일한섀시에최대 4개의방화벽모듈을배치할수있습니다. 추가정보 Cisco FWSM Software Release 2.2에대한자세한내용은지역고객담당자에게문의하시거나 http://www.cisco.com/go/tds를방문하십시오. 시스코보안솔루션에대한자세한내용은다음웹사이트를방문하십시오. Cisco SDN(Self-Defending Networking) 전략 : www.cisco.com/go/selfdefend 시스코위협방어시스템 : www.cisco.com/go/tds 시스코통합보안솔루션 : www.cisco.com/go/security 규정준수 Safety UL 1950 CSA C22.2 No. 950-95 EN60950 EN60825-1 TS001 CE 표시 IEC 60950 AS/NZS3260 EMI FCC Part 15 Class A ICES-003 Class A VCCI Class B 9
EN55022 Class B CISPR22 Class B CE 표시 AS/NZS3548 Class B NEBS SR-3580-NEBS: Criteria Levels (Level 3 호환 ) GR-63-CORE-NEBS: Physical Protection GR-1089-CORE-NEBS: EMC and Safety ETSI ETS-300386-2 Switching Equipment 통신 ITU-T G.610 ITU-T G0.703 ITU-T G0.707 ITU-T G.783 Sections 9-10 ITU-T G0.784 ITU-T G0.803 ITU-T G0.813 ITU-T G0.825 ITU-T G.826 ITU-T G0.841 ITU-T G.957 Table 3 ITU-T G0.958 ITU-T I.361 ITU-T I.363 ITU I.432 ITU-T Q0.2110 ITU-T Q0.2130 ITU-T Q0.2140 ITU-T Q0.2931 ITU-T O.151 ITU-T O.171 ETSI ETS 300 417-1-1 TAS SC BISDN (1998) ACA TS 026 (1997) BABT /TC/139 (Draft 1e) 10
www.cisco.com/kr 2005-06-07 Gold 파트너 ( 주 ) 데이타크레프트코리아 02-6256-7000 ( 주 ) 인네트 02-3451-5300 ( 주 ) 인성정보 02-3400-7000 한국아이비엠 ( 주 ) 02-3781-7800 ( 주 ) 콤텍시스템 02-3289-0114 쌍용정보통신 ( 주 ) 02-2262-8114 에스넷시스템 ( 주 ) 02-3469-2400 ( 주 ) 링네트 02-6675-1216 한국후지쯔 ( 주 ) 02-3787-6000 한국휴렛팩커드 ( 주 ) 02-2199-0114 ( 주 )LG씨엔에스 02-6363-5000 Silver 파트너 한국NCR 02-3279-4423 ( 주 ) 시스폴 02-6009-6009 포스데이타주식회사 031-779-2114 SK씨앤씨 ( 주 ) 02-2196-7114/8114 Local 디스트리뷰터 ( 주 ) 소프트뱅크커머스코리아 02-2187-0176 ( 주 ) 아이넷뱅크 02-3400-7490 ( 주 )SK 네트웍스 02-3788-3673 IPT 전문파트너 에스넷시스템 ( 주 ) 02-3469-2900 ( 주 ) 인성정보 02-3400-7000 크리스넷주식회사 1566-3827 LG기공 02-2630-5280 ( 주 ) 컴웨어 02-2629-2700 IP/VC(Video Conferencing) ( 주 ) 컴웨어 02-2629-2700 IPCC전문파트너 한국아이비엠 ( 주 ) 02-3781-7114 한국휴렛팩커드 ( 주 ) 02-2199-4272 LG기공 02-2630-5280 ( 주 ) 인성정보 02-3400-7000 ( 주 ) 삼성네트웍스 02-3415-6754 WLAN 전문파트너 ( 주 ) 에어키 02-584-3717 ( 주 ) 해창시스템 031-389-0780 Security 전문파트너 나래시스템 02-2190-5533 ( 주 ) 데이터크레프트코리아 02-6256-7000 ( 주 ) 링네트 080-822-6675 에스넷시스템 ( 주 ) 02-3469-2900 ( 주 ) 인성정보 02-3400-7000 인포섹 ( 주 ) 02-2104-5114 UNNET Systems 02-565-7034 코코넛 02-6007-0133 ( 주 ) 토탈인터넷시큐리티시스템 051-743-5940 Optical 전문파트너 ( 주 )LG씨엔에스 02-6363-5000 에스넷시스템 ( 주 ) 02-3469-2900 미리넷주식회사 02-2142-2800 CN 전문파트너 ( 주 ) 메버릭시스템 02-845-4280 Storage 전문파트너 ( 주 ) 패킷시스템즈코리아 02-558-7170 매크로임팩트 02-3446-3508