HPE Comware 7의 Advanced ACL은 출발지·목적지 IP 주소와 TCP/UDP 포트를 조합해 트래픽을 필터링한다. VLAN Interface에 적용할 때는 Inbound/Outbound 방향, TCP 응답 패킷, 미매칭 패킷의 기본 처리 동작을 함께 확인해야 한다.
적용 범위: HPE FlexNetwork 5520 HI / Comware 7. 아래 IP 주소는 RFC 5737 문서용 예제 주소이며, 실제 환경과 관계없다.
목차
- ACL 종류와 기본 문법
- TCP/UDP 포트 검사
- TCP 요청 및 응답 필터링
- Packet Filter의 기본 Permit 동작
- VLAN Interface 적용 방향과 범위
- 양방향 Advanced ACL 설정 예제
- 설정 확인 및 검증
- 운영 시 주의사항
1. ACL 종류와 기본 문법
| ACL 종류 | 번호 범위 | 주요 조건 |
|---|---|---|
| Basic ACL | 2000–2999 | 주로 출발지 IPv4 주소 |
| Advanced ACL | 3000–3999 | 출발지·목적지 IPv4, 프로토콜, 포트 |
| Layer 2 ACL | 4000–4999 | MAC 주소 등 L2 조건 |
출발지와 목적지 주소를 함께 검사하거나 TCP/UDP 포트를 제한하려면 Advanced ACL을 사용한다.
system-view
acl advanced 3100
description TCP_FILTER_EXAMPLE
rule 10 permit tcp source 192.0.2.10 0 destination 198.51.100.20 0 destination-port eq 8443
quit주소 뒤의 0은 단일 호스트에 해당하는 Wildcard Mask이다. 0.0.0.255는 일반적인 /24 범위를 의미한다. 출발지 또는 목적지 주소 조건을 생략하면 해당 IP는 제한하지 않는다.
acl advanced 3100
rule 20 permit tcp destination-port eq 443위 Rule 20은 IP 주소와 출발지 포트를 지정하지 않고 TCP 목적지 포트 443만 검사한다. 포트 조건은 permit ip가 아니라 permit tcp 또는 permit udp와 함께 사용해야 한다.
2. TCP/UDP 포트 검사
| 조건 | 의미 |
|---|---|
destination-port eq 8443 | 목적지 포트 8443 검사 |
source-port eq 8443 | 출발지 포트 8443 검사 |
acl advanced 3100
rule 10 permit tcp destination-port eq 8443
rule 20 permit udp destination-port eq 5353TCP와 UDP는 별도의 프로토콜이므로 같은 번호의 포트라도 각각 규칙을 작성해야 한다. 일반적인 클라이언트는 동적 출발지 포트를 사용하므로 서비스 접근 제어에서는 주로 destination-port를 확인한다.
3. TCP 요청 및 응답 필터링
일반적인 스위치의 ACL은 상태 기반 방화벽과 달리 연결 상태를 자동으로 추적하지 않는다. 서로 반대 방향에 ACL을 적용하면 TCP 응답 트래픽을 별도로 허용해야 한다.
| 구분 | 출발지 | 목적지 |
|---|---|---|
| 요청 | 192.0.2.10:50000 | 198.51.100.20:8443 |
| 응답 | 198.51.100.20:8443 | 192.0.2.10:50000 |
요청 방향에서는 destination-port, 응답 방향에서는 source-port를 검사한다.
rule 10 permit tcp source 192.0.2.10 0 destination 198.51.100.20 0 destination-port eq 8443
rule 20 permit tcp source 198.51.100.20 0 source-port eq 8443 destination 192.0.2.10 0 established주의:
established는 ACK 또는 RST 비트가 설정된 TCP 패킷에 매칭되는 조건이다. 실제 세션을 추적하지 않으므로 Stateful Inspection과 동일하게 취급해서는 안 된다. UDP에는 사용할 수 없다.
4. Packet Filter의 기본 Permit 동작
HPE 5520 HI의 Packet Filter 기본 동작은 Permit이다. ACL의 어떤 규칙에도 매칭되지 않은 패킷은 전역 기본값이 유지되는 경우 허용된다.
acl advanced 3100
rule 10 permit tcp destination-port eq 443위 예시는 TCP 443에 해당하는 패킷을 명시적으로 허용하지만, 그 외 패킷을 차단하지는 않는다. 다른 트래픽까지 차단하려면 명시적 deny ip를 사용할 수 있다.
acl advanced 3100
rule 10 permit tcp destination-port eq 443
rule 100 deny ip전역 기본 동작은 아래 명령으로 Deny로 변경할 수 있다.
system-view
packet-filter default deny이 명령은 개별 ACL이 아니라 장비의 Packet Filter 적용 전체에 영향을 미친다. 특정 VLAN만 제어하려는 목적으로 무심코 변경하지 않는다. 기본 동작은 display packet-filter verbose 명령으로 확인할 수 있다.
ACL의 기본 규칙 순서는 match-order config이며, Rule 번호가 작은 순서부터 검사한다. match-order auto는 별도의 Depth-First 순서를 사용하므로 정책 순서를 검토해야 한다.
5. VLAN Interface 적용 방향과 범위
VLAN 100의 게이트웨이가 192.0.2.254/24이고 VLAN 200이 다른 L3 네트워크라고 가정한다.
| 통신 방향 | VLAN 100 기준 | ACL |
|---|---|---|
| VLAN 100 → VLAN 200 | Inbound | 3101 |
| VLAN 200 → VLAN 100 | Outbound | 3102 |
VLAN 100에서 다른 네트워크로 향하는 패킷은 VLAN 100의 L3 인터페이스로 들어오므로 Inbound로 처리된다.
interface Vlan-interface100
ip address 192.0.2.254 255.255.255.0
packet-filter filter route
packet-filter 3101 inbound
packet-filter 3102 outboundpacket-filter filter route와 all
| 명령 | 필터 범위 |
|---|---|
packet-filter filter route | VLAN Interface의 L3 포워딩 패킷 |
packet-filter filter all | L3 포워딩 및 해당 VLAN의 L2 스위칭 패킷 |
HPE 5520 HI의 해당 공식 명령어 문서에는 기본 필터 범위가 L3로 명시되어 있다. 다만 다른 Comware 모델·릴리스에서는 기본값이 다를 수 있으므로 장비별 문서를 확인해야 한다.
6. 양방향 Advanced ACL 설정 예제
다음은 VLAN 100과 VLAN 200 사이에서 서로 다른 방향으로 시작되는 두 TCP 서비스만 예외로 허용하는 예시이다.
| 연결 시작 | 목적지 | 서비스 |
|---|---|---|
| 192.0.2.10 | 198.51.100.20 | TCP 8443 |
| 198.51.100.30 | 192.0.2.20 | TCP 8080 |
ACL 3101 — VLAN 100 Inbound
acl advanced 3101
description VLAN100_IN
rule 10 permit tcp source 192.0.2.10 0 destination 198.51.100.20 0 destination-port eq 8443
rule 20 permit tcp source 192.0.2.20 0 source-port eq 8080 destination 198.51.100.30 0 established
rule 100 deny ip source 192.0.2.0 0.0.0.255 destination 198.51.100.0 0.0.0.255ACL 3102 — VLAN 100 Outbound
acl advanced 3102
description VLAN100_OUT
rule 10 permit tcp source 198.51.100.20 0 source-port eq 8443 destination 192.0.2.10 0 established
rule 20 permit tcp source 198.51.100.30 0 destination 192.0.2.20 0 destination-port eq 8080
rule 100 deny ip source 198.51.100.0 0.0.0.255 destination 192.0.2.0 0.0.0.255예시의 Rule 100은 두 VLAN 사이의 기타 IPv4 패킷을 차단한다. 다른 목적지 네트워크에 대해서는 별도 Rule이 없고 기본 동작이 Permit이면 허용될 수 있다. 실제 TCP 연결 성공 여부는 서비스 동작과 다른 경로의 ACL·방화벽에도 영향을 받는다.
7. 설정 확인 및 검증
display acl 3101
display acl 3102
display current-configuration interface Vlan-interface 100
display packet-filter interface Vlan-interface 100
display packet-filter verbose interface Vlan-interface 100 inbound
display packet-filter verbose interface Vlan-interface 100 outbounddisplay packet-filter verbose에서 IPv4 default action과 적용 규칙을 확인한다. 출력에 (Failed)가 표시되면 해당 정책의 하드웨어 적용 여부를 추가로 확인해야 한다.
실제 허용·차단 여부는 서버 측 서비스 상태를 확인한 후 양방향 테스트와 패킷 캡처를 통해 검증한다. TCP 접속 실패만으로 ACL 차단이라고 단정할 수는 없다.
8. 운영 시 주의사항
permit ip에 TCP/UDP 포트 조건을 추가하지 않는다. 포트 검사에는permit tcp또는permit udp를 사용한다.- ACL의 Inbound/Outbound는 해당 VLAN Interface 기준이다.
- 요청과 응답에서 출발지·목적지 포트가 바뀌는 점을 고려한다.
established는 TCP 플래그 검사이며 세션 상태 검사가 아니다.- 기본 미매칭 처리는 Permit이지만
packet-filter default deny가 적용되면 달라진다. packet-filter filter route와all의 적용 범위를 구분한다.- 운영 ACL 변경 전 백업, 접근 경로 확인, 별도 ACL 준비, 통신 검증을 실시한다.
공식 참고 문서
HPE FlexNetwork 5520 HI Switch Series — ACL and QoS Command Reference (PDF)
※ 이 글은 HPE FlexNetwork 5520 HI의 명령어 문서를 기준으로 한 설정 예제이다. 소프트웨어 릴리스와 하드웨어에 따라 지원 여부가 다를 수 있다.