BIG-IP 클라우드 에디션 솔루션 가이드
소개
F5® BIG-IP® Cloud Edition™은 네트워크 운영 팀과 애플리케이션 팀이 안전하고 적절하게 지원되는 애플리케이션을 신속하게 제공하기 위해 더욱 효과적으로 협업할 수 있도록 설계되었습니다. BIG-IP Cloud Edition은 설정, 라이선스 관리, 업그레이드, 분석, 확장과 같은 핵심 디바이스 및 앱 서비스 관리 기능을 간소화하고 중앙 집중화합니다. 운영 팀은 애플리케이션 서비스의 셀프서비스 카탈로그를 손쉽게 정의할 수 있으며, 개발자는 필요할 때 대시보드나 API 호출을 통해 이러한 서비스에 액세스할 수 있습니다. 단일 ADC(Application Delivery Controller)가 여러 애플리케이션을 지원하는 기존의 통합 모델과 달리, 이러한 서비스는 각 애플리케이션별로 정의, 업데이트 및 배포됩니다.
BIG-IP Cloud Edition은 엔터프라이즈급 애플리케이션 전송 및 보안 서비스에 새로운 차원의 아키텍처 유연성을 제공할 뿐만 아니라 다양한 구매 옵션도 제공합니다. 서비스 유연성에 부합하는 재정적 유연성을 제공하도록 설계된 BIG-IP Cloud Edition은 구독, 사용량 기반 및 엔터프라이즈 라이선스 옵션과 기존의 영구 구매 옵션으로 이용할 수 있습니다.
BIG-IP Cloud Edition 아키텍처
BIG-IP Cloud Edition은 조직이 셀프서비스 배포 및 확장을 지원하는 애플리케이션 서비스 제공 솔루션을 구축하여 애플리케이션 팀이 자사 애플리케이션에 엔터프라이즈급 가용성과 보안을 제공할 수 있도록 특별히 설계되고 테스트되었습니다. 이 접근 방식을 통해 애플리케이션 소유자는 애자일 프레임워크 내에서 NetOps, DevOps 및 SecOps와 더욱 효과적으로 협업하여 모든 애플리케이션의 성능, 가용성 및 보안을 크게 향상할 수 있습니다.
BIG-IP Cloud Edition은 두 가지 인프라 구성 요소로 이루어져 있습니다:
1) 특별 라이선스가 부여된 BIG-IP 애플리케이션별 가상 에디션(VE). 각 에디션은 단일 애플리케이션 전용이며
2) 모든 인스턴스가 어디에 있든 관계없이 관리, 가시성 및 라이선싱 서비스를 제공하는 F5 BIG-IQ® Centralized Management. 자동 확장 솔루션은 Amazon Web Services(AWS), Microsoft Azure 또는 VMware vCenter 기반 프라이빗 클라우드에서 작동합니다.
논리적 구성 요소
BIG-IP Cloud Edition은 몇 가지 주요 논리적 구성 요소를 기반으로 구축됩니다:
클라우드 제공업체
BIG-IP Cloud Edition은 다음 클라우드 플랫폼에서 BIG-IP 인스턴스의 배포 및 자동 확장을 지원합니다:
- Amazon Web Services(AWS)
- Microsoft Azure
- VMware vCenter 기반 프라이빗 클라우드
향후 릴리스에서는 추가 프라이빗 및 퍼블릭 클라우드 플랫폼을 지원할 예정입니다.
서비스 카탈로그
BIG-IP Cloud Edition을 사용하면 개발자가 온디맨드 셀프서비스 애플리케이션 서비스 카탈로그에 액세스하고 애플리케이션 서비스 배포 템플릿을 선택할 수 있습니다.
애플리케이션 템플릿
애플리케이션 템플릿은 가상 서버, 프로파일, 모니터, SSL 인증서, 보안 정책 등 모든 BIG-IP 객체를 비롯하여 애플리케이션에 배포할 애플리케이션 전송 및 보안 서비스를 정의합니다. 또한 애플리케이션 템플릿은 해당 애플리케이션의 모니터링 및 경고 기능을 정의합니다. 이러한 템플릿은 일반적으로 애플리케이션 서비스 전문가(예: 네트워크 및/또는 보안 관리자)가 정의합니다. 전문가는 스마트 기본값을 구성하고 애플리케이션 소유자에게 제한된 구성 옵션을 제공합니다. 이러한 간소화를 통해 네트워크 및 보안 운영에 대한 의존성과 심층적인 네트워크 도메인 전문 지식의 필요성을 없애는 동시에, 애플리케이션 개발 및 배포 시 승인된 템플릿과 정책을 일관되게 사용할 수 있습니다. 따라서 애플리케이션 소유자가 보기 쉬운 대시보드나 단일 API 호출을 사용하여 애플리케이션을 배포하고 관리할 수 있으므로 애플리케이션 배포 속도가 빨라집니다. 또한 BIG-IQ Centralized Management 6.0에는 일반적인 애플리케이션 구성을 위한 사전 정의된 템플릿 세트가 포함되어 있습니다. 애플리케이션 템플릿은 자동 확장을 사용하지 않는 구성의 BIG-IP 고가용성 쌍이나 서비스 확장 그룹을 통해 제공할 수 있습니다.
서비스 확장 그룹
애플리케이션 팀은 애플리케이션 템플릿을 사용하는 것 외에도 서비스 확장 그룹을 생성하여 자동 확장 기능을 활용할 수 있습니다. 애플리케이션 템플릿에서 애플리케이션 서비스를 배포하고 서비스 확장 그룹을 대상으로 선택하면 BIG-IP Cloud Edition이 서비스 제공을 위한 리소스의 가용성과 탄력적 확장을 관리할 뿐만 아니라 해당 서비스를 제공하는 BIG-IP 디바이스의 수명 주기 및 업그레이드 프로세스도 관리합니다. 서비스 확장 그룹에는 그룹 내 디바이스의 최소 및 최대 수와 리소스 확장에 사용할 트리거를 지정하는 정책이 정의되어 있습니다.
서비스 카탈로그의 애플리케이션 템플릿을 사용하여 기존 F5 ScaleN® 클러스터에 서비스를 배포할 수도 있습니다(단, 확장 및 수명 주기 관리의 이점은 제공되지 않음).
디바이스 템플릿
디바이스 템플릿은 BIG-IP 디바이스를 배포하는 데 필요한 모든 인프라 수준의 특성(시간대, DNS, 호스트 이름, 계정, NTP, 라이선스, 네트워킹 등)을 정의합니다. 조직은 이러한 템플릿을 사용하여 여러 새 디바이스를 배포함으로써 서비스 확장 그룹을 생성할 수 있습니다. 디바이스 템플릿은 BIG-IP 디바이스와 상호 작용하는 기본 수단이기도 합니다. 예를 들어 버전 업그레이드로 인해 BIG-IP Cloud Edition의 디바이스를 변경해야 하는 경우 디바이스 템플릿을 변경하면 해당 변경 사항이 서비스 확장 그룹에 적용됩니다. 디바이스 템플릿에는 라이선스, 프로비저닝, 네트워킹 및 기타 기본적인 디바이스 요구 사항을 비롯하여 BIG-IP 가상 에디션을 인스턴스화하는 데 필요한 모든 정보가 포함되어 있습니다.
BIG-IP Cloud Edition에서는 장치 관리 방식이 다릅니다.
대부분의 경우 BIG-IP Cloud Edition에서 애플리케이션 전송 및 보안 서비스를 제공하는 디바이스는 변경할 수 없습니다. 변경 사항은 디바이스 구성에 직접 적용하는 대신 디바이스 템플릿에 적용합니다. 그런 다음 BIG-IP Cloud Edition은 새 디바이스를 배포하고 트래픽을 해당 디바이스로 전환한 후 기존 디바이스를 제거하는 방식으로 이러한 변경 사항을 서비스 확장 그룹에 적용합니다. 이 프로세스는 “BIG-IP Per-App VE and nuke”라고도 하며, 기존의 멀티 테넌트 BIG-IP 배포를 관리하는 방식과 근본적으로 다릅니다.
애플리케이션별 서비스의 이점:
- 워크로드 격리
- 가상 환경의 규모를 적정하게 조정
- 기존의 인플레이스 업그레이드 방식에서 벗어나기
- 새 인스턴스를 자동으로 프로비저닝하고 구성
라이선스 관리
BIG-IP Cloud Edition에서는 BIG-IQ의 라이선스 관리 시스템이 가상 인스턴스의 라이선스 부여, 업그레이드 및 회수를 자동으로 처리합니다. 이 자동화 시스템을 통해 라이선스를 풀로 관리하고 필요한 시점과 위치에 배포할 수 있습니다. 장치가 더 이상 필요하지 않으면 해당 라이선스가 풀로 반환되어 다른 인스턴스에서 사용할 수 있습니다. 배포 환경에 따라 라이선스 모드, 기능 및 처리량이 달라질 수 있지만 BIG-IQ가 라이선스를 원활하게 처리하므로 새 BIG-IP 인스턴스를 배포할 때 번거롭게 라이선스를 수동으로 활성화할 필요가 없습니다.
애플리케이션 가시성
확장 이벤트를 트리거하고 애플리케이션 및 인프라 성능에 대한 심층적인 인사이트를 제공하기 위해 BIG-IQ는 보안 및 네트워크 관리자뿐만 아니라 애플리케이션 소유자에게도 유용한 애플리케이션 수준의 분석 데이터를 수집하고 시각화합니다. 이러한 가시성을 통해 애플리케이션 소유자는 애플리케이션 성능 문제를 자체적으로 진단하여 지연의 원인이 애플리케이션인지 네트워크인지 파악할 수 있습니다.
역할
BIG-IP Cloud Edition은 역할을 논리적으로 분리할 수 있도록 설계되었습니다. 애플리케이션 소유자는 인프라 소유자가 관리하는 서비스 확장 그룹에 애플리케이션을 셀프서비스 방식으로 배포할 수 있습니다. 애플리케이션 소유자가 사용하는 템플릿과 보안 정책은 NetOps 및 SecOps 팀에서 관리할 수 있습니다. 일부 템플릿은 특정 애플리케이션 소유자에게만 제공할 수 있으며, 애플리케이션별 통계와 대시보드에 대한 접근도 해당 애플리케이션 소유자로 제한할 수 있습니다. BIG-IP Cloud Edition은 세분화된 역할 관리를 통해 애플리케이션 팀이 자체 앱을 지원할 수 있도록 하는 동시에 운영 팀이 네트워크에 대한 통제권을 유지할 수 있게 해줍니다.
인프라 구성 요소
BIG-IP Cloud Edition은 솔루션을 제공하기 위해 함께 작동하는 여러 인프라 구성 요소로 이루어져 있습니다.
BIG-IP 애플리케이션별 VE
BIG-IP Cloud Edition 외부에서 BIG-IP Per-App VE 사용. BIG-IP Per-App VE는 BIG-IP Cloud Edition과 별도로 구매할 수 있습니다. 라이선스 번들로 제공되며 무료 BIG-IQ 라이선스 관리자 구성 요소가 포함된 BIG-IP Per-App
BIG-IP Per-App VE는 단일 애플리케이션에 전용 서비스를 제공하도록 설계된 특수 라이선스가 적용된 BIG-IP 인스턴스입니다. BIG-IP 소프트웨어의 모든 기능이 활성화되어 있지만, 전용 장치로 사용하기에 적합한 규모로 구성되어 있습니다.
각 BIG-IP Per-App VE에는 다음이 포함됩니다:
- 단일 가상 IP 주소
- 가상 서버 3개(가상 주소와 수신 대기 포트의 조합)
- 25Mbps 또는 200Mbps 처리량
BIG-IP Per-App VE에서는 두 가지 소프트웨어 모듈 옵션을 사용할 수 있습니다:
BIG-IP Local Traffic Manager
F5 BIG-IP Local Traffic Manager™(LTM) 소프트웨어는 고급 부하 분산, 속도 조절, 콘텐츠 라우팅, SSL 관리 및 양방향 애플리케이션 계층 트래픽의 완벽한 제어를 포함하여 업계 최고 수준의 애플리케이션 트래픽 관리 기능을 제공합니다.
F5 Advanced WAF
F5 Advanced WAF는 기존 웹 애플리케이션 방화벽(WAF)의 모든 기능과 더불어 계층 7 DDoS 완화, 고급 봇 탐지 및 API 보안 관리 형태의 강화된 보호 기능을 제공합니다. Advanced WAF에는 다운스트림 애플리케이션 서버로 향하는 트래픽을 효과적으로 관리하기 위한 BIG-IP LTM 트래픽 관리 기능 세트가 포함되어 있습니다. Advanced WAF 정책 배포는 애플리케이션 템플릿 구성 요소의 일부로 관리됩니다.
가상 머신 요구 사항
BIG-IP Per-App VE는 최신 BIG-IP 릴리스에서 이루어진 플랫폼 최적화를 통해 이미지 및 디스크 크기가 줄어드는 이점을 누릴 수 있습니다. 기존 BIG-IP 배포에서는 실행 중인 장치에 새 소프트웨어 이미지를 다운로드한 후 업그레이드 절차를 수행하는 방식으로 BIG-IP 소프트웨어 버전을 “인플레이스” 업그레이드했습니다. BIG-IP Cloud Edition에서는 애플리케이션 전송 및 보안 서비스를 제공하는 장치가 대부분 변경 불가능하므로 장치 구성을 직접 변경하지 않고 장치 및 애플리케이션 템플릿을 사용하여 변경 사항을 배포합니다. 그런 다음 롤링 업그레이드를 통해 이전 버전을 폐기합니다. 따라서 여러 버전의 BIG-IP 소프트웨어를 위한 추가 저장 공간이 필요하지 않으며 디스크 이미지 크기를 줄일 수 있습니다.
- VMware 배포 환경에서 BIG-IP Per-App VE는 스토리지 사용량을 줄인 업그레이드 불가능 이미지로 제공됩니다. VMware의 가상 머신 사양에 대한 자세한 내용은 ESXi용 Virtual Edition 설정 가이드를 참조하십시오.
- AWS 프로덕션 환경에서 사용할 경우 F5는 M3 또는 M4 이미지 유형을 권장하며, BIG-IP LTM 배포에는 최소 2개의 가상 코어와 4GB 메모리가, Advanced WAF에는 8GB 메모리가 필요합니다.
- Microsoft Azure의 프로덕션 환경에서 사용할 경우, F5는 최소 2개의 가상 코어와 BIG-IP LTM 배포용 4GB 메모리 및 Advanced WAF용 8GB 메모리를 갖춘 Standard B2s 및 B2ms 이미지 유형을 권장합니다.
서비스 확장 그룹에서 BIG-IP Per-App 인스턴스 확장 및 관리
VMware–BIG-IP 서비스 스케일러
VMware에서는 애플리케이션별 BIG-IP VE로 전달되는 애플리케이션별 트래픽을 MAC 주소 전달 방식을 사용하는 특수 BIG-IP 클러스터를 통해 확장합니다. 이 방식은 클라이언트의 소스 및 대상 IP 주소를 유지합니다. 이는 애플리케이션별 BIG-IP VE에서 제공하는 일부 계층 7 기능에 중요할 수 있으며, BIG-IQ에서 제공하는 가시성 서비스를 위한 정확한 데이터 수집도 보장합니다.
BIG-IP 서비스 스케일러는 BIG-IP Per-App VE 전반에서 기본적인 부하 분산을 수행하며 처리량에 대한 라이선스 제한이 없습니다(단, 가상 하드웨어 리소스로 인해 최대 처리량은 제한될 수밖에 없습니다). 선택적으로 서비스 스케일러에서 네트워크 ACL 및 계층 4 DoS 완화 기능을 제공하는 방화벽 기능을 활성화할 수 있습니다. 현재 서비스 스케일러는 SSL 또는 계층 7 기능을 수행할 수 없습니다.
BIG-IP 서비스 스케일러에는 다음과 같은 가상 머신 사양이 필요합니다:
------------
최소
최대
vCPU
21
4
메모리
4GB
16GB2
디스크 공간
40GB3
82GB
네트워크 인터페이스 카드
4
10
------------
BIG-IP 서비스 스케일러는 둘 이상의 서비스 스케일링 그룹에 속할 수 있으며 여러 애플리케이션에서 공유할 수 있습니다(반면 BIG-IP Per-App VE는 이름에서 알 수 있듯이 단일 애플리케이션 전용입니다).
서비스 확장 그룹에서 서비스 스케일러를 설정하고 구성하는 방법은 BIG-IQ Centralized Management: 로컬 트래픽 및 네트워크 구현.
AWS ELB Classic
AWS에서는 Elastic Load Balancing(ELB) Classic 인스턴스를 사용하여 서비스 규모를 조정합니다. ELB Classic은 BIG-IP Per-App VE 전반에 걸쳐 기본적인 L4 부하 분산과 가용성을 제공하며, ELB의 논리적 인스턴스 하나가 단일 서비스 확장 그룹 전용으로 할당됩니다. 따라서 각 애플리케이션에는 전용 ELB 구성이 필요합니다. AWS 서비스는 수요에 맞게 ELB 인스턴스의 확장을 관리합니다.
서비스 확장 그룹에서 AWS ELB 인스턴스를 설정하는 방법은 BIG-IQ Centralized Management: 자동 확장 AWS 클라우드에서 애플리케이션 관리에서 다룹니다.
Azure Load Balancer
Azure에서는 Azure Load Balancer 인스턴스를 사용하여 서비스의 규모를 조정합니다. Load Balancer는 BIG-IP Per-App VE 전반에 걸쳐 기본적인 L4 부하 분산 및 가용성을 제공하며, Load Balancer의 논리적 인스턴스는 단일 서비스 확장 그룹 전용으로 사용됩니다. 따라서 각 애플리케이션에는 전용 Load Balancer 구성이 필요합니다. Azure 서비스는 수요에 맞게 Load Balancer 인스턴스의 규모 조정을 관리합니다.
서비스 확장 그룹에서 Azure Load Balancer 인스턴스를 설정하는 방법은 BIG-IQ Centralized Management: 자동 확장 Azure 클라우드에서 애플리케이션 관리에서 설명합니다.
BIG-IQ
BIG-IQ는 BIG-IP Per-App VE 외에도 다양한 항목을 관리할 수 있습니다.
BIG-IQ는 플랫폼이나 위치에 관계없이 지원되는 모든 소프트웨어 버전의 BIG-IP 인스턴스를 검색하고 관리할 수 있습니다. 이 플랫폼은 디바이스 관리, 통계 시각화, 템플릿 기반 애플리케이션 서비스 구성을 물리적, 가상 및 클라우드에 배포된 BIG-IP 인스턴스에 배포하는 작업을 수행할 수 있습니다. 또한 BIG-IQ는 지원되는 플랫폼(현재 AWS, Azure 및 VMware)에서 지원되는 기존(애플리케이션별이 아닌) BIG-IP VE에 자동 확장 기능을 제공할 수 있습니다.
BIG-IQ는 BIG-IP Cloud Edition을 구성하는 모든 구성 요소를 중앙에서 관리합니다. 모든 활동과 보고는 BIG-IQ를 통해 관리되며, BIG-IP Per-App VE에 대한 관리자 액세스는 필요하지 않습니다.
BIG-IQ:
- 새 서비스 확장 그룹을 생성합니다
- 서비스 확장 그룹 내에서는 디바이스 템플릿을 참조하여 BIG-IP Per-App VE의 수명 주기를 관리합니다. 디바이스 템플릿에는 BIG-IP Per-App VE를 구동하는 데 필요한 모든 정보가 포함되어 있어 사람의 개입이 필요하지 않습니다.
- 애플리케이션 수준의 심층 분석 기능을 제공하여 애플리케이션 소유자가 직접 문제를 해결할 수 있도록 합니다.
- 문제 해결 및 계획 수립을 위한 디바이스 수준의 성능 및 용량 메트릭을 제공합니다.
- 역할 기반 액세스를 제공하여 애플리케이션 소유자가 서비스 카탈로그의 사전 정의된 애플리케이션 템플릿을 통해 애플리케이션용 F5 L4–7 서비스를 셀프서비스 방식으로 배포할 수 있도록 합니다.
F5는 BIG-IP Cloud Edition 배포에서 BIG-IQ에 다음과 같은 가상 하드웨어를 사용할 것을 권장합니다.
------------
최소
최대
vCPU
4
8
메모리
4GB
16GB
디스크 공간
95GB
500GB
네트워크 인터페이스 카드
2
10
------------
BIG-IQ 설치 및 구성에 대한 내용은 F5 BIG-IQ Centralized Management 배포 계획 및 구현 가이드에서 다룹니다.
BIG-IQ와 가상 인프라 관리 간 통신
BIG-IQ는 서비스 확장 그룹의 일부 또는 스케일아웃 환경에서 필요에 따라 BIG-IP Per-App VE를 시작하고, 라이선스를 부여하고, 프로비저닝하고, 구성할 수 있습니다. 이를 위해서는 가상 인프라 환경에 대한 인증된 액세스가 필요합니다.
VMware에서
VMware에서는 다음 항목이 필요합니다. vCenter에 액세스하기 위한 자격 증명, vCenter 호스트 이름, 보안 통신을 위한 SSL 인증서, 그리고 호스트/클러스터, 데이터스토어, (분산) 가상 스위치(vSwitch), 리소스 풀 등 ESX 환경에 관한 기타 정보입니다.
AWS에서
AWS에서는 다음이 필요합니다. API 호출을 위한 Identity and Access Management(IAM) 사용자 액세스 키와 관련 보안 암호, 그리고 1차 트래픽 분산을 위한 ELB입니다. 키를 생성하고 관리하려면 AWS 모범 사례를 따르세요.
IAM 사용자에게 관리자 액세스 정책이 연결되어 있어야 하며, Auto Scaling 그룹, Amazon Simple Storage Service(S3) 버킷, 인스턴스 및 IAM 인스턴스 프로파일을 생성할 수 있는 권한이 있어야 합니다. 권한 및 전반적인 AWS 구성에 대한 자세한 내용은 https://aws.amazon.com/documentation에서 확인하십시오.
BIG-IQ 고가용성 및 백업
BIG-IP Cloud Edition은 기본적으로 모든 컨트롤 플레인 활동을 BIG-IQ 관리 계층을 통해 라우팅하며, BIG-IQ는 실시간 모니터링과 스케일 인/아웃 이벤트를 처리하고 라이선스 할당 및 회수를 관리하므로 전송 시스템의 핵심 구성 요소가 됩니다. 따라서 일반적으로 고가용성 이중화 구성으로 배포됩니다.
따라서 계획에는 관리 대상 BIG-IP 인스턴스 수에 적합한 라이선스와 함께 액티브-스탠바이 BIG-IQ 쌍이 포함되어야 합니다.
고가용성을 위한 BIG-IQ 구성은 F5 BIG-IQ Centralized Management 배포 계획 및 구현 가이드에서 다룹니다.
BIG-IQ 데이터 수집 장치
BIG-IQ의 데이터 수집 장치는 BIG-IP Per-App VE에서 트래픽 및 성능 데이터를 수집, 저장 및 처리합니다. BIG-IP Per-App VE가 처리 및 저장을 위해 성능 및 트래픽 원격 측정 데이터를 데이터 수집 장치로 전송하면, BIG-IQ는 가시성과 보고 기능을 제공하기 위해 데이터 수집 장치를 쿼리합니다. 데이터 수집 장치는 함께 작동하며 중복성을 위해 저장된 데이터를 복제하는 클러스터로 구성됩니다.
F5는 BIG-IP Cloud Edition에서 사용되는 데이터 수집 장치에 다음과 같은 가상 하드웨어를 권장합니다:
------------
vCPU
8
메모리
32
디스크 공간
500GB
네트워크 인터페이스 카드
2
------------
디스크 하위 시스템에 대한 참고 사항: BIG-IQ 데이터 수집 장치는 BIG-IP Per-App VE에서 수집한 데이터를 저장, 처리 및 분석하여 BIG-IQ 시스템용 보고서와 대시보드를 생성합니다. 이는 디스크 I/O 집약적인 워크로드이므로 기본 스토리지는 용량과 성능을 모두 고려하여 규모를 산정해야 합니다. BIG-IP Per-App VE를 대규모로 배포하거나 광범위한 로깅 및 분석을 수행하는 경우 고성능 스토리지 하위 시스템을 구축해야 합니다. 캡처 검색 및 인덱싱 작업은 작업 동시성이 높은 경우가 많으며, 임의 I/O와 순차 I/O를 모두 발생시킵니다.
자세한 내용은 BIG-IQ Centralized Management 데이터 수집 장치 크기 조정 가이드를 참조하십시오.
네트워킹 및 연결
퍼블릭 클라우드 배포 환경에서 데이터 수집 장치를 위한 VPN
새 BIG-IP Per-App VE가 생성되면 연결 대상인 데이터 수집 장치의 셀프 IP 주소가 할당됩니다. 이는 고정 설정입니다(BIG-IQ 6.0 기준). 데이터 수집 장치와 BIG-IP Per-App VE 간에는 양방향 연결이 필요합니다. 많은 환경에서, 특히 BIG-IP Per-App VE가 AWS 또는 Azure에 있고 BIG-IQ와 데이터 수집 장치가 고객의 온프레미스 환경에 있는 경우, 데이터 수집 장치에는 일반적으로 라우팅할 수 없는 RFC 1918 IP 주소가 할당되므로 트래픽을 양방향으로 원활하게 라우팅하려면 VPN 연결이 필요합니다. BIG-IP Cloud Edition을 사용하려면 Amazon Virtual Private Cloud(Amazon VPC) 또는 Azure Virtual Network(Azure VNet) 전반에서 고유한 IP 주소 범위를 사용해야 합니다. 즉, Amazon VPC의 주소 공간이 서로 겹치면 안 됩니다.
AWS Direct Connect와 같은 서비스나 Equinix Cloud Exchange와 같은 멀티 클라우드 연결 서비스를 이용하는 등, AWS에 VPN 또는 기타 프라이빗 연결을 설정하는 방법은 여러 가지가 있습니다. 또한 온프레미스 BIG-IP 디바이스에서 AWS VPN 게이트웨이로 IPSEC 터널을 설정할 수도 있습니다.
연결: 포트 및 프로토콜
BIG-IP Cloud Edition 구성 요소 간의 포트 및 프로토콜 연결에 대한 자세한 내용은 BIG-IQ 6.0 설명서를 참조하십시오.
또한 BIG-IQ는 포트 443을 통해 선택한 리전의 AWS API 엔드포인트 또는 vCenter 서버에 액세스할 수 있어야 합니다.
인증 및 보안
BIG-IQ 사용자 인증
BIG-IQ는 기본 제공 사용자 계정 관리 기능과 TACACS, RADIUS, LDAP 등의 일반적인 외부 프로토콜과의 통합을 모두 지원합니다.
규모 산정 및 용량 계획, 네트워킹 및 연결
BIG-IP Per-App VE가 몇 개 필요합니까?
BIG-IP Per-App VE 인스턴스에는 다음과 같은 두 가지 중요한 제한 사항이 있습니다:
- 객체
- 처리량
보다 전통적인 배포 방식과 달리, BIG-IP Per-App VE는 일반적으로 모든 인스턴스가 활성 상태인 구성으로 배포되며, 계층 1 트래픽 관리 장치가 고가용성과 확장을 담당합니다. 일반적으로 이는 액티브-액티브 구성에서도 장애 조치에 대비한 예비 용량을 유지해야 하는, 하드웨어 중심의 액티브-스탠바이 고가용성(HA) 쌍에 비해 프로비저닝된 VE 인스턴스당 실제 처리량이 더 많다는 의미입니다. BIG-IP Per-App VE는 25Mbps 및 200Mbps 처리량 라이선스로 제공되며, 서비스 확장 그룹을 사용하여 스케일아웃하도록 설계되었습니다.
첫 번째 단계는 트래픽 관리가 계획된 각 애플리케이션에 필요한 처리량의 기본 추정치를 산정하는 것입니다. 그런 다음 25Mbps 또는 200Mbps 라이선스 중 어느 것이 적합한지 결정합니다. 애플리케이션당 처리량 요구 사항이 큰 경우에는 전체 장치 수를 줄일 수 있으므로 200Mbps 라이선스가 적합합니다. 요구 사항이 작거나 더 세분화된 경우에는 25Mbps 라이선스가 더 적합합니다. 리소스 활용도를 극대화하는 것이 중요하다면, 특정 처리량을 기준으로 200Mbps 라이선스가 기반 하드웨어를 더 효율적으로 활용할 수 있습니다.
한 환경 내에서 여러 라이선스 유형을 혼용할 수 있지만, 특정 애플리케이션에는 하나의 라이선스 유형만 적용됩니다.
각 애플리케이션에 대해 다음을 결정합니다:
- 필요한 총 처리량
- 예상 성장률
- 변동성
변동성을 고려할 때는 몇 가지 변수를 살펴봐야 합니다. 먼저, 확장 이벤트의 트리거는 서비스 확장 그룹에서 가장 사용량이 많은 디바이스의 처리량, CPU 임계값 및/또는 메모리를 5분간 평균한 값을 기준으로 합니다. 새로운 BIG-IP Per-App VE 인스턴스가 시작된 후 활성화되기까지 약간의 시간이 걸리므로, 최대 예상 증가량의 약 20분 분량을 수용할 수 있도록 기본 요구 사항을 프로비저닝하는 것이 좋습니다. 이렇게 하면 예상되는 급증에 대응할 수 있는 일정 수준의 용량을 유지하면서 수요에 따라 서비스를 탄력적으로 조정할 수 있습니다.
사이징은 복잡할 수 있지만, BIG-IP Cloud Edition에서는 각 애플리케이션의 인스턴스를 수요에 따라 유연하게 확장하거나 축소할 수 있으므로 완벽한 사이징을 목표로 하거나 과도한 예비 용량을 확보할 필요가 없습니다.
BIG-IP 서비스 스케일러 인스턴스 크기 산정
서비스 확장 기능은 환경에 따라 다르게 구현됩니다.
AWS에서는 사용하기 쉬운 AWS ELB Classic 로드 밸런서가 스케일 인 및 스케일 아웃을 처리합니다.
VMware에서는 특수 BIG-IP VE가 서비스 확장, 계층 4 DDoS 및 방화벽 기능을 제공합니다. 이러한 VE는 BIG-IP Per-App VE로 트래픽을 간단히 분산하고 네트워크 계층 액세스 제어 및 DDoS 완화 기능도 제공하도록 구성됩니다.
자동 확장 인스턴스는 높은 처리량과 낮은 복잡성을 제공하며 여러 애플리케이션에서 공유할 수 있도록 설계되었습니다.
API 및 통합
BIG-IQ는 REST API를 제공하므로 서비스 카탈로그에서 애플리케이션 서비스를 프로그래밍 방식으로 배포할 수 있습니다. REST API에 대한 자세한 내용은 BIG-IQ 설명서를 참조하십시오.
결론
BIG-IP Cloud Edition은 F5 애플리케이션 서비스의 강력한 성능, 보안 및 유연성을 새로운 방식으로 제공합니다. 여기에는 수요에 따라 확장 및 축소할 수 있는 새로운 애플리케이션별 플랫폼과 셀프서비스 기능이 포함됩니다. 보안 팀은 애플리케이션 보안 및 DDoS 완화 정책을 생성할 수 있으며, 네트워크 팀은 이러한 정책을 애플리케이션 템플릿에 연결하고 특정 사용자를 위한 서비스 카탈로그에 추가할 수 있습니다. 애플리케이션 팀은 사전 정의된 서비스 카탈로그에서 서비스를 선택하고, 애플리케이션 요구 사항에 맞게 유연하게 조정되는 서비스 확장 그룹에 서비스를 배포할 수 있습니다.
그 결과, 전용 인스턴스의 유연성을 갖춘 엔터프라이즈급 F5 애플리케이션 서비스를 제공하는 동시에 운영 오버헤드를 눈에 띄게 줄여 주는 매우 유연하고 확장 가능한 솔루션이 구현됩니다. 이 접근 방식은 적합한 팀이 적합한 업무를 수행할 수 있도록 지원합니다. 이제 애플리케이션 소유자는 애자일 프레임워크 내에서 네트워크, 개발 및 보안 운영 팀과 더욱 효과적으로 협업하여 모든 애플리케이션의 성능, 가용성 및 보안을 크게 향상할 수 있습니다.
1 추가 방화벽 기능을 사용하려면 4개의 vCPU가 필요합니다.
2 고정된 제한이 없으므로 이보다 더 높을 수 있습니다.
3 방화벽 기능용 82GB.
2018년 5월 30일 게시