안녕하세요~ 구리구리 입니다 ^^ 오늘은 MDT2008 두번째 시간인데요… MDT 2008에서는 없어서 안될 DHCP서버 설치 방법에 대해서 알아보도록 할께요 아주 기초적인 내용인지만 하나하나 구성해야 한다는 부분! DHCP 서버 설치 이후에 MDT2008패키지 AIK (자동 설치키트) 설치 부분을 설명 드릴꺼에요 다음으로 MDT2008(LTI) 부분을 구성하는 방법!!!
IT회사의 관리자라면 한번쯤 해보시는게 좋습니다…! 업무에 많은 도움이 될꺼에요!
DHCP(Dynamic Host Configuration Protocol)란? 호스트의 IP주소와 각종 TCP/IP프로토콜의 기본설정을 클라이언트에게 자동적으로 제공해주는 프로토콜을 말합니다. DHCP에 대한 표준은 RFC2131문서에 정의도어 있으며, DHCP는 네트워크에 사용되는 IP주소를 DHCP서버가 중앙집중식으로 관리하는 클라이언트/서버 모델을 사용합니다. DHCP 지원 클라이언트는 네트워크 부팅과정에서 DHCP 서버에 IP주소를 요청하고 이를 얻을 수 있습니다.
제어판 – 프로그램 추가/제거 에서 Windows구성요소 추가제거를 선택합니다
네트워킹 서비스에 DHCP부분을 체크 합니다
설치가 완료되면…. 관리도구 부분의 DHCP 클릭!
DHCP 만들 새 범위를 작성해야 합니다~!
이름을 넣고!
DHCP 시작주소와 끝주소를 넣어주면 됩니다!!
제외하고 싶은 IP가 있다면 입력하면 됩니다
설치가 완료 되었다면!!!
DHCP부분에서 권한을 부여 합니다!!!
만약 권한부여 메뉴가 없다면???
도메인에 조인되지 않은 컴퓨터에요!!! 저도 자꾸만 몇번 실수를 하네요^^;
자~ DHCP 구성이 완료되었습니다….
오늘은 정말 쉬운 내용이죠? MDT에 대해서 설명드릴부분이 많아서 조금씩 포스팅 합니다 MDT2008를 이용한 LTI 구성 포스팅이 끝나면 SCCM2007을 이용한 ZTI를 구성하는 방법에 대해서 알아볼 거에요
그전에 궁금한 문의사항 있으면 언제든지 꼬릿말!! 댓글!!!
감기 조심하세요~!!!
보이세요?? 나는 지금도 여전히 도전하고 있습니다!! Always Smile ^___________^
안녕하세요 Urikiri 입니다. 오늘은 ISA 2006에 내장되어있는 VPN을 설정하고 접근하는 방법을 알아보겠습니다.
이 시나리오를 테스트 하기 위해서는 Windows Server 2003과 ISA Server 2006이 설치된 가상 컴퓨터 두 대가 필요합니다.
ISA Server 2006이 클라이언트의 VPN 연결 요청을 수용하도록 설정
라우팅 및 원격 액세스 서비스 상태 확인하기
시작 메뉴에서 관리 도구를 클릭한 후 라우팅 및 원격 액세스 서비스를 클릭한 후 컴퓨터 이름을 클릭합니다.
라우팅 및 원격 액세스 서비스가 시작되지 않았으며 서비스도 구성되지 않았습니다. ISA Server는 VPN 연결이 승인된 후 VPN 연결을 처리하기 위해 라우팅 및 원격 액세스 서비스를 사용합니다.
참고: 사용자 및 그룹을 위한 원격 전화 접속 권한을 제외한 모든 VPN 구성이 ISA Server 관리자를 통해 이루어집니다.
VPN 주소 범위 구성을 위해 ISA Server 관리자 사용하기
참고: 사용할 IP 주소 범위는 10.3.1.1–10.3.1.100입니다.
시작 메뉴에서 모든 프로그램을 클릭한 후 Microsoft ISA Server를 클릭하고, 다시 ISA Server 관리자를 클릭합니다.
ISA Server 관리자의 콘솔 트리에서 배열, 배열 이름을 차례로 확장한 후 가상 사설망(VPN)을 선택합니다.
작업 창의 작업 탭에서 주소 할당 정의를 클릭합니다.
참고: ISA Server 2006 Enterprise Edition에서, VPN 클라이언트에 IP 주소 할당을 위해 DHCP (Dynamic Host Configuration Protocol) 서버를 사용하는 것은 단일 ISA Server 컴퓨터로 구성된 배열에만 허용됩니다. 이것은 VPN 클라이언트가 연결할 때 각 배열 구성원 상에서 필요한 라우팅 테이블의 업데이트와 배열 내부의 트래픽을 피하기 위한 것입니다.
하나 이상의 ISA Server 컴퓨터를 포함하는 배열에서 VPN 액세스를 설정하기 위해서는, 우선 서버 별 정적 IP 범위를 정의해야 합니다.
가상 사설망 (VPN) 등록 정보 대화 상자의 주소 할당 탭에서 추가를 클릭합니다.
서버 IP 주소 범위 속성 대화 상자에서 다음 정보를 입력합니다:
서버 선택: Florence
시작 주소: 10.3.1.1
끝 주소: 10.3.1.100
이 IP 주소 범위가 허용하는 최대 구성은 다음과 같습니다:
ISA 서버 상의 하나의 대상 VPN IP 주소 (10.3.1.1).
99개의 VPN 클라이언트 주소 (10.3.1.2-10.3.1.100).
가상 사설망 (VPN) 등록 정보 대화 상자의 주소 할당 탭에서 추가를 클릭합니다.
서버 IP 주소 범위 속성 대화 상자에서 다음 정보를 입력합니다:
서버 선택: Firenze
시작 주소: 10.3.1.101
끝 주소: 10.3.1.200
확인을 클릭하여 가상 사설망(VPN) 등록 정보 대화 상자를 닫습니다.
VPN 클라이언트 액세스 설정 및 구성
다음 절차는 PPTP를 사용해 최대 99 개 클라이언트를 지원하는 VPN을 구성합니다.
작업 탭에서 VPN 클라이언트 액세스 구성을 클릭합니다.
VPN 클라이언트 등록 정보 대화 상자의 일반 탭에서 VPN 클라이언트 액세스 사용 확인란을 선택합니다. 허용되는 최대 VPN 클라이언트 수 텍스트 상자에 99를 입력합니다. (그림K.1a참조)
프로토콜 탭에서 PPTP 사용 항목만이 선택되어 있음을 확인합니다.
확인을 클릭하여 VPN 클라이언트 등록 정보 대화 상자를 닫습니다. 참고: VPN 구성은 아직 적용되지 않았습니다.
VPN 연결 설정 검토
콘솔 트리에서 가상 사설망(VPN)을 오른쪽 클릭한 후 속성을 클릭합니다.
가상 사설망 (VPN) 동록 정보 대화 상자를 작업 창을 통해서 액세스할 수도 있습니다.
가상 사설망(VPN) 등록 정보 대화 상자에서 액세스 네트워크 탭을 선택합니다. (그림K.1b참조)
ISA Server는 현재 외부 네트워크로부터의 VPN 연결만 받아들이도록 구성되어 있습니다.
인증 탭을 선택합니다.
ISA Server는 현재 수신되는 VPN 연결에 대해 MS CHAPv2 인증만을 허용하도록 구성되어 있습니다.
확인을 클릭하여 가상 사설망(VPN) 등록 정보 대화 상자를 닫습니다.
VPN 액세스 규칙 검토
콘솔 트리에서 방화벽 정책 (서버 이름)을 선택합니다.
작업 창의 작업 탭에서 시스템 정책 규칙 표시를 클릭합니다.
세부 정보 창에서 ISA Server로의 VPN 클라이언트 트래픽 허용 시스템 정책 규칙을 선택합니다 (규칙 13)
이 시스템 정책 규칙은 외부 네트워크에서 로컬 호스트 네트워크(ISA Server)로의 PPTP 프로토콜을 허용합니다. VPN 클라이언트가 접속을 위해 L2TP over IPsec VPN 또한 사용할 수 있도록 구성되었다면, 이 규칙은 Internet Key Exchange (IKE), Internet Protocol security (IPsec), 및 Layer Two Tunneling Protocol (L2TP)와 같은 필요한 프로토콜에 대해서도 확장되어야 합니다.가상 사설망 (VPN) 등록 정보 대화 상자의 액세스 네트워크 탭 상에 있는 추가적인 네트워크가 설정 된 경우에도, 이 규칙은 그러한 네트워크로 확장되어야 합니다.
작업 창의 작업 탭에서 시스템 정책 규칙 숨기기를 클릭합니다.
ISA Server 관리자에서 적용을 클릭하여 VPN 구성을 적용한 후 확인을 클릭합니다.
이 단계는 ISA Server 상에 VPN 연결을 구성하고 설정하며, ISA Server 컴퓨터 상의 라우팅 및 원격 액세스 서비스도 구성 및 시작합니다.
참고: 다음 단계를 진행하기 전에 ISA Server가 라우팅 및 원격 액세스 서비스를 구성하고 시작할 수 있도록 30 초 정도 기다립니다.
라우팅 및 원격 액세스 서비스 검토
필요한 경우 라우팅 및 원격 액세스 관리자의 왼쪽 창에서 컴퓨터 이름 (로컬)을 오른쪽 클릭한 후 새로 고침을 클릭합니다.
화면에 라우팅 및 원격 액세스의 구성 상태 및 실행 여부가 업데이트됩니다.
컴퓨터 이름 (로컬) 을 오른쪽 클릭한 후 속성을 클릭합니다.
컴퓨터 이름 (로컬) 등록 정보 대화 상자에서 IP 탭을 선택합니다.
ISA Server가 라우팅 및 원격 액세스 서비스의 주소 할당 방식을 고정 주소 풀 방식으로 구성하였습니다.
취소를 클릭하여 컴퓨터 이름 (로컬) 등록 정보 대화 상자를 닫습니다.
컴퓨터 이름 (로컬)을 확장한 후 원격 액세스 정책을 선택합니다.
세부 정보 창에서 ISA Server 기본 정책을 오른쪽 클릭한 후 속성을 클릭합니다.
ISA Server가 새로운 원격 액세스 정채을 추가해 두었습니다:
· 이 정책은 가장 위에 있으며 수신되는 모든 원격 액세스 연결에 적용됩니다 (Day-And-Time-Restrictions 일치7x "00:00-24:00").
· 관련 프로필에는 허용된 모든 연결에 대한 인증 방법이 명시되어 있습니다.
· 사용자 프로필에 개별적인 액세스 권한이 지정되어 있지 않다면 원격 액세스는 거부됩니다. (개별 액세스 권한 지정 방식은 바로 다음 연습에 설명되어 있습니다) 취소를 클릭하여 ISA Server 기본 정책 등록 정보 대화 상자를 닫습니다.
왼쪽 창에서 IP 라우팅을 선택합니다. 세부 정보 창에서, 고정 경로를 오른쪽 클릭한 후 IP 라우팅 테이블 표시를 클릭합니다.
ISA Server가 Firenze (10.3.1.101–10.3.1.200) VPN 주소 범위에 대한 라우팅을 추가해 두었습니다.
컴퓨터 이름 - IP 라우팅 테이블 윈도우를 닫습니다.
라우팅 및 원격 액세스를 닫습니다.
Administrator 계정이 전화 접속할 수 있도록 사용자 프로필을 구성하기
시작 메뉴에서, 관리 도구를 클릭한 후 컴퓨터 관리를 클릭합니다.
컴퓨터 관리의 왼쪽 창에서 로컬 사용자 및 그룹을 확장한 후 사용자를 선택합니다.
세부 정보 창에서 Administrator를 오른쪽 클릭한 후 속성을 클릭합니다.
Administrator 등록 정보 대화 상자의 전화 접속 로그인 탭에서 액세스 허용을 선택한 후 확인을 클릭합니다. (그림K.1d참조)
컴퓨터 관리를 닫습니다
참고: 이 예에서는 로컬 관리자에 대해 VPN 연결을 설정했지만, 일반적으로는 도메인 사용자 계정에 대해 VPN 연결을 설정합니다.
참고: 이제 ISA Server가 외부 네트워크 상의 클라이언트 컴퓨터로부터 VPN 연결을 수용하도록 설정했습니다. 클라이언트는 연결 후에 VPN 클라이언트 네트워크로 할당됩니다. VPN 클라이언트에 대해 액세스를 허용할 리소스를 결정할 액세스 규칙도 생성되어야 합니다.
Microsoft Exchange 서버는 OWA, Outlook RPC over Http, 모바일 기기에서 사용 할 수 있는 ActiveSync 등 외부 사용자들이 Exchange 서버에 접근 할 수 있는 다양한 웹 클라이언트들을 가지고 있습니다.
하지만, 외부에서 사내의 Exchange 서버에 접근하여 메시지를 보거나 일정, 연락처 등을 작업 할 수 있는 것은 효율과 편리함이 강조되는 만큼 보안상 약점들 역시 노출하게 됩니다.
외부에서 접근하는 클라이언트의 편리성과 효율성을 증대하며 반대 급부인 보안상의 취약점을 줄이기 위해 최근 ISA 서버의 Exchange Server 게시 규칙을 이용하는 사례들이 많이 늘고 있는데요.
ISA서버의 Exchange 게시 기능을 이용하여, 외부 웹클라이언트 접근 시, OWA, Outlook Rpc over Http 연결을 제외하고 ActiveSync만 연결 가능하도록 하는 설정에 대해서 살짝 알아 보도록 하겠습니다.
외부에서 OWA나 RPC over Http 연결등을 허용해서 사용하는 경우가 많지만, 보안 상의 이유로 외부 웹클라이언트의 접속을 막고 있는 기업들도 상당 수가 있습니다. 이러한 환경에서 특정한 사용자들만 외부 웹클라이언트로 모바일 ActiveSync를 사용해야 하는 경우가 많이 있는데요. 보통 Exchange의 웹클라이언트는 80, 또는 433 포트를 통한 웹접속을 시도하고 되고, 해당 포트를 오픈하게 되면, ActiveSync뿐만 아니라 OWA나 Rpc over Http 연결도 가능하게 됩니다.
이러한 환경에서 ISA서버의 Exchange 게시 기능을 이용하면, 외부 웹클라이언트 접근 시, OWA, Outlook Rpc over Http 연결을 제외하고 ActiveSync만 연결 가능하도록 하는 설정 할 수 있습니다. 아래의 그림을 통해 살짝 알아 보도록 하겠습니다.
ISA서버는 그림과 같이 다양한 게시 규칙들이 제공이 됩니다 . 그중 Exchange 게시 규칙을 선택 합니다.
마법사를 통해서 작업이 가능하며, 간단한 게시 규칙 이름을 넣어 줍니다.
ISA 서버는 Exchange 전 버전을 지원하고 있습니다. 해당하는 Exchange 서버의 버전을 선택한 후 다양한 웹클라이언트 접속 중 Exchange ActiveSync만 선택하여 줍니다. 이렇게 설정하면, OWA나 Rpc over Http 접속은 차단이 되며, Exchange ActiveSync만 접속이 가능하도록 설정 할 수 있습니다.
안녕하세요. 엘도라도 입니다.
금일은 Exchange Server 2003 을 사용하면서, 복수 도메인 메일을 추가하는 방법의 대하여 얘기 해 보려합니다.
보통 Exchange Server 를 잘 모르시는 분은 각 도메인마다 Exchange Server 가 있어야 한다고 생각 하실 것입니다.
한 번 내용을 보시면 쉽게 복수 도메인을 추가 하실 수 있을 것입니다.
시나리오는 다음과 같습니다.
[ 시 나 리 오 ] 1. 기존 ELDORADO29.COM 도메인을 사용하는 회사에서 DS.CO.KR 도메인을 구입하여 회사 상호명을 변경하였습니다. 이런 경우 Exchange Server 2003 복수 도메인을 추가해야 합니다.
이유는 기존 도메인으로 메일을 보내는 사용자도 있을 것이고, 새로 변경 된 도메인으로 메일을 보내는 사용자도 있을 것 입니다.
2. 따라서 새로 추가된 DS.CO.KR 로는 메일 송신과 수신을 할 수 있어야 하며, ELDORADO29.COM으로는 메일 수신만 가능하게 설정해야 합니다.
※ 주의사항
특정 사용자들의 대하여 특정 도메인을 추가 할 경우 "Default Policy" 의 SMTP 주소를 추가 하지 않고, 별도 Policy를 추가 하여, LDAP 쿼리를 이용하여 특정 사용자들에게만 적용 되도록 합니다.
[ 진 행 방 법 ]
1. ESM 을 실행 하여, 아래 그림과 같이 이동하여 "Default Policy" 의 속성을 선택합니다.
2. "새로 만들기" 를 클릭합니다.
3. "SMTP 주소" 를 선택합니다.
4. 새로 추가 할 도메인 명을 입력합니다.
( 도메인 명 앞의 아래 그림과 같이 @ 을 입력합니다. )
5. 아래 그림과 같이 추가 된 것을 확인 할 수 있습니다.
6. 새로 추가된 도메인으로 메일을 송신 하기 위해, 새로 추가된 도메인을 선택 후 "기본 회신 주소로 설정"을 선택 후 적용 합니다.
7. "예" 를 선택 하여 업데이트 합니다.
8. 마지막으로 "지금 이 정책 적용"을 선택 하여 정책을 적용 합니다.
9. 아래 그림과 같이 정책을 적용하면, ActiveDirectory 내의 모든 사용자들의 E-MAIL 주소의 새로운 도메인이 추가 되고, 기본 회신 주소 값도 변경됩니다.
복수 도메인 설정 생각 보다 어렵지 않죠? 이제는 추가 Exchange Server 를 구축하지 않고도 쉽게 사용 할 수 있을 것이라 생각 됩니다.
오늘은 MOSS 2007(Microsoft Office SharePoint Server)에 개발하기는 어렵지만,
테스트 및 기타 업무상 쉽게 적용할 수 있도록 만들어진 서식을 적용해보도록 하겠습니다.
이슈가 있어서 테스트해 본것이라 이미 Sharepoint를 관리하고 있다는 전제하에 올리는 것이므로,
다른 필요사항이 있으시면 덧글쎈스를 보여주세요. 그럼 필요사항은 정리하여 올리도록 하겠습니다.
MDT(Microsoft Deployment Toolkit) 2008은 내부적으로는 4.1 버전으로 이전 4.0 보다 향상된 마법사기능을 추가하여 관리가 이전보다 쉽게 배포 이미지를 생성 및 관리를 돕고 있습니다.
첫 번째, 오늘은 MDT에서 구성되어야 하는 사양 및 필요한 요구사양을 알아보도록 하겠습니다
MDT 2008을 설치 가능한 운영체제
1. Windows 2008 2. Windows 2003 SP1 이후 버전 3. Windows Vista(Business, Enterprise, Ultimate) 4. Windows XP Professional SP2이후 버전
운영체제 별 요구되는 사양(운영체제 별로 설치 되어야 할 추가 어플리케이션)
1.Windows Server 2003 with SP1 A) Microsoft Management Console (MMC) version 3.0 B) Microsoft .NET Framework version 2.0 C) Offline servicing kernel update
2.Windows Server 2003 with SP2 A) Microsoft .NET Framework version 2.0
3.Windows Server 2008 A) No additional software requirements
4.Windows Vista: A) No additional software requirements
5. Windows XP Professional with SP2: A) MMC version 3.0 B) Microsoft .NET Framework version 2.0 C) Offline servicing kernel update D) Windows Installer version 3.1
배포 목표가 되는 컴퓨터 운영체제 구성되어야 하는 사항
1. Microsoft Windows 2000 with SP4: A) Microsoft XML Core Services (MSXML) version 3.0 B) Microsoft Visual C++® runtime C) Windows Internet Explorer® version 5.0 or later D) Windows Script version 5.6 or later
2. Windows Server 2003 with SP1: A) Windows Script version 5.6 or later
3. Windows Server 2003 with SP2: A) No additional software requirements
4. Windows Server 2008: A) No additional software requirements
5. Windows Vista: A) No additional software requirements
6. Windows XP Professional with SP2: A) Windows Installer version 3.1 B) Windows Script version 5.6 or later
오늘은 ISA 서버에서 정책은 어디에 저장되는지와 Enterprise와 Standard 에디션과의 차이점에 대해서 알아보겠습니다.
ISA Server Enterprise와 Standard 에디션은 정책 저장에 대해서 서로 다른 위치를 사용합니다.
ISA 정책이 상당히 크기 때문에(3rd-Party 장비에 비해 큽니다) 레지스트리가 최대 하이브 크기를 초과합니다. 그래서, ISA installer는 ISA 저장소를 위해 분리된 하이브 파일을 생성합니다. 이 하이브 파일은 %IsaInstallFolder%\StgData\ 위치에 있습니다.
레지스트리에서 10K를 초과하는 모든 정책 데이타는 위 폴더에 레지스트리같이 BLOB(Binary Large Objects)에 기록됩니다. 그리고 포인터는 레지스트리 대신에 파일로 대체됩니다. BLOB파일에 직접 접근이 가능하지만, 오직 ISA Storage를 통해서만 처리가 됩니다.
모든 정책 저장소 활성(읽기/쓰기, 내보내기/가져오기)은 ISA Storage Service(isastg)에 요청을 통해서 운영이 됩니다. ISA Installer set은 이 파일에 의도하지 않거나, 악의적으로 손상되는것을 막습니다.
Standard 에디션
ISA Server Standard 에디션은 공유 정책 저장소가 필요하지 않습니다. 그래서 오직 로컬 정책 저장소만 있습니다. 이 저장소는 세개의 레지스트리로 분리되어 있습니다.
HKLM\IsaStg_Eff1 트래픽 정책 저장
HKLM\IsaStg_Eff1Policy 낮은 수준의 정책(공격 감지, 서비스 장애 완화 등등) 저장
HKLM\IsaStg_Eff1Prot 프로토콜 정의 저장
시작할 때, Microsoft Firewall(fwsrv)는 현재 정책을 읽기 위해 Microsoft ISA Storage(isastg)를 호출합니다. 만약 시작하는 도중 정책을 읽는데 에러가 발생하면 fwsrv는 경고를 기록하고 잠금(lockdown) 모드로 들어갑니다.
Enterprise 에디션
Enterprise 에디션은 ISA 정책을 두 위치에 저장합니다. 하나는 CSS(Configuration Storage Server)에 있고 다른 하나는 각각 배열 구성원의 레지스트리에 있습니다. 만약 새로운 방화벽 정책 규칙을 만든다면 규칙은 첫번째로 CSS에 전달됩니다. 그것은 ADAM에 추가가 될 수 있습니다. 그리고 로컬 레지스트리에 복사가 됩니다. 만약 운영중에 로컬에서 규칙을 만들고 CSS에 액세스가 되지 않는다면 이 정책은 로컬 레지스트리로 전달되지 않는다는 것을 의미 합니다. 만약 CSS로 연결이 되지 않는다면 새로운 규칙을 만들 수 없기 때문에 현재 로컬의 저장소와 레지스트리에 적용된 규칙으로 운영됩니다.
Enterprise 에디션의 저장소 위치입니다.
HKLM\IsaStg_Cache* 정책 변경 작업 공간으로 사용됩니다.
HKLM\IsaStg_Eff[1|2] 트래픽 정책이 복사됩니다.
HKLM\IsaStg_ Eff[1|2]Policy 낮은 수준 정책(공격 감지, 서비스 장애 완화 등등) 복사되는 위치
HKLM\IsaStg_ Eff[1|2]Prot 프로토콜 정의가 복사되는 위치
활성 정책 위치는 HKLM\Software\Microsoft\Fpc\Storage\ActiveEffective에 저장됩니다. 이 값은 각각의 성공적인 정책 변경에 대해서 HKLM\IsaStg_Eff1*과 HKLM\IsaStg_Eff2*에 순차적으로 저장됩니다. 이렇게 저장을 하면 두가지 이점이 있습니다.
1. ISA는 현재 정책과 과거 정책을 비교할 수 있습니다. 그러면 ISA가 기능적으로 이상이 발생했을 때 변경된 점을 찾을 수 있습니다.
2. 만약 여러가지 이유로 새로운 정책 업데이트가 실패 할 경우 ISA를 이전 정책으로 되돌릴 수 있습니다.
Standard에서도 시작할 때 현재 정책을 읽기 위해서 Microsoft Firewall(fwsrv)는 Microsoft ISA Storage(isastg)를 호출합니다. 만약 시작 중, 정책을 읽기위해 요청하는 중 isastg가 에러를 반환한다면 fwsrv는 경고를 기록합니다. 레지스트리와 저장소 위치를 읽을 수 없는 경우에는 잠금(lockdown)모드로 들어갈 수 없습니다. Enterprise는 Standard 에디션보다 복원이 잘 됩니다.
참고. ssastg_eff에 저장된 정책은 Standard 에디션 정책과 구별되는 형식으로 저장됩니다. 그러므로 이 정책들에 대한 Enterprise 구문은 손실됩니다.
1. ISA Standard 에디션은 오직 한개의 정책 저장소를 가지고 있습니다. 따라서 정책 저장소 업데이트나 초기 로드가 실패하면 정상 동작을 할 수 없습니다.
2. ISA Enterprise 에디션은 CSS를 사용할 수 없을 때 조차도, firewall/proxy가 최근 성공한 구성 정책을 가지고 운영할 수 있습니다. 시스템 로컬 복사가 적절하게 초기화 되는데 실패한다면 방화벽 서비스는 정책을 읽어오는데 실패 한 것에 대해 잠김(Lockdown)모드로 들어갈 것 입니다.
3. 여러분은 레지스트리 기반의 Enterprise 에디션 정책을 CSS 형식의 저장소로 변경할 수 없습니다.
4. 장애 복구 상황에서, 여러분은 레지스트리 키를 내보내거나 방화벽 정책을 새로 만들기 위해서 새로운 시스템에서 가져 올 수 없습니다.
5. 여러분의 Enterprise 방화벽 솔루션에 대해 단일 CSS를 배포 할 때, 만약 CSS가 실패한다면 여러분은 모든 Enterprise를 새로 구성해야하는 위험이 있습니다.
6. 만약 재해 복구를 위해 ISA 내보내기/가져오기 방법을 사용한다면 여러분은 데이타를 잃어버릴 위험이 있습니다.
안녕하세요. 그동안 블로그 포스팅이 너무 뜸습니다. 정말 죄송하게 생각하고요. 또 함께 팀블로그를 운영하고 있는 다른 친구들에게도 너무 미안한 마음 입니다. 올 한 해도 이제 2달 남짓 남겨 놓고 있는데, 유종의 미를 거둔 다는 마음으로 열심히 한 번 달려 보겠습니다.
오늘은 ISA서버의 서버 사이징에 대한 간단한 방법을 포스팅 해보도록 하겠습니다. 바로 Capacity Planner라는 Microsoft ISA Server Home Page에서 제공해주고 있는 툴을 이용하는 방법인데요. ISA 서버가 아직까지는 국내에서 많이 사용되고 있는 제품이 아니다 보니, 도입 시 사이징에 대한 부분이 큰 골치거리 중의 하나였습니다. 아래의 Capacity Planner를 이용한 방법으로 ISA 서버 사이징에 조금이라도 도움이 되었으면 하는 바램 입니다.
[Capacity Planner를 이용한 결과]
아래의 링크에서 다음과 같은 정보를 입력 (계산기 아이콘: Capacity Planner)
1. 아래의 상황을 가정하여 입력하였습니다. (Network Traffic 1GB로 재세팅하여 결과치를 확인해보셔도 됩니다.)
1) ISA Reverse Proxy Mode concurrent user : 10,000
2) Network traffic per second : 400 Mbps
3) Reverse Hosting Web Site : 600
2. 실제 입력 값
1) Link capacity: 400000 Kbps
2) Concurrent users: 10000
3) CPU Speed: 3 GHz
4) Traffic: 100% HTTP (no HTTPS, OWA, RPC over HTTP, or VPN)
5) Bandwidth per user: 40 Kbps
6) Array type: NLB
Bandwidth per user를 구하기 위해 maximum network utilization (400Mbps)을 동시접속자수 number of concurrent users (10000)로 나누었습니다.
결과적으로 다음의 서버 개수와 1 GB RAM과 5 GB 하드 디스크가 필요한 것으로 나타났습니다.
Processor type: Nodes required
2-proc: 6
2-proc/dual-core: 3
[캐싱에 있어서 추가적인 고려 사항]
우선 ISA 서버 disk cache 성능에 가장 크게 좌우 되는 것은 disk seek time, (IOs/sec)이 되겠습니다. 10,000 RPM disk 가 버틸 수 있는 IOs/sec는 ~100로, 만약 이 한계를 넘어가게 되면 각 IO에 대한 평균 지연 시간이 상당히 증가되게 됩니다. 그러므로 캐싱을 위한 가장 중요한 요인 중 하나는 충분한 physical disks를 갖는 것이라고 할 수 있겠습니다. IOs/sec는 \PyisicalDisks(<disk>)\Disk Transfers/sec에 의해 바로 측정이 가능합니다. ISA에서는 모든 캐시가 IO를 유발시키며 모든 10-20여개의 cacheable misses (여기서 말하는 cacheable miss는 나중에 서비스 될 수 있는 오브젝트를 말하는 것)는 단일 IO로 디스크에 입력하게 됩니다. 이것은 대략 다음과 같은 공식을 이용하실 수 있습니다. IOs/sec = hits/sec + cacheable-misses/sec / 10. 예를 들어, 전체 cache hit ratio가 20%이고 50%의 misses가 모두 cacheable하다면, 1000 requests/sec에서의 IOs/sec = 200 + (500 / 10) = 250 가 되며 이것은 곧 최소한 3개의 physical disks가 필요하게 된다는 것을 예측할 수 있습니다.
경험상, 좋은 캐시 사이즈는 physical disk당 20-40 GB정도 입니다.
[CPU 성능에 대한 일반적인 사항]
Outbound f/w 테스트 결과에 의하면, 단일 펜티엄4 2.4GHZ에서는 25Mbps를 75%의 CPU utilization으로 나타납니다. 이것은 각 T1 인터넷 링크 (1.5 Mbps)에서 Microsoft f/w 서비스는 4.5%만이 CPU 리소스를 사용하게 됩니다. Dual Xeon 2.4-GHz 프로세서는 75%의 CPU utilization으로 대략 45 Mbps (T3)을 나타냅니다. (T1에서는 2.5% utilization이 나옵니다)
종합적으로 볼 때 단일 ISA Server로 caching을 사용하는 것은 높은 트래픽량으로 (3GB에서 F5를 거쳐 들어오더라도 여전히 높은 1GB) 무리가 있을 것처럼 보입니다. 듀얼 코어로 최소한 2대에서 3대까지 서버당 1GB의 메모리와 20GB의 하드디스크는 필요로 할 듯 합니다.
