거의 8개월여 만에 다시 블로그에 포스팅을 하네요…. 그 동안 다들 잘 지내고 계셨는지요,,, 늦었지만, 여러분 모두 병신년 새해 복 많이 받으세요,,,, 오래 간만에 포스팅을 할려니 무슨 얘기를 드려야 할지 감이 통 오지를 않네요… ^-^ 각설하고, 여러분에게 Windows Server 2016 의 “장애조치(Failover) 클러스터”의 신규 기능을 하나 소개 드리고자 합니다. 요즘 뭐 어디나 다 클라우드에 관한 얘기만 주로 하셔서, 여러분들의 관심이 떨어지시겠지만, 현재 Windows Server 2016이 Technical Preview 4까지 발표된 상황입니다. 곧 정식 버전이 발표되리라 예상됩니다. 사실 제가 이미 2014년도에 Windows Server 10 Technical Preview의 신규 기능(https://blogs.technet.com/b/dongclee/archive/2014/10/12/dongclee-2014-windows-server-10-technical-preview.aspx) 에 대해서 한 번 포스팅 했던 적이 있었습니다. 그 당시에는 Windows Server 10 이라고 했었는데, 이제는 정식으로 Windows Server 2016으로 이름이 정해졌네요,, 제가 앞서 포스팅 했던 자료에서 유심히 살펴 보았던 Windows Server 2016의 신규 기능이 바로 “장애조치(Failover) 클러스터”의 “Cluster OS Rolling Upgrade” 이었습니다. 이 기능을 사용하게 되면, 기존 Windows Server 2012 R2 기반의 “장애조치(Failover) 클러스터” 노드 운영체제를 서비스 중단 없이 Windows Server 2016 운영체제로 업그레이드 할 수 있습니다. 즉, 以前 운영 체제 (ex, Windows Server 2008, 2008 R2, 2012) 기반의 “장애조치(Failover) 클러스터”에서 Windows Server 2012 R2 기반으로 업그레이드하기 위해서는, 서비스 중단이 반드시 필요했습니다. 이러한 서비스 중단은 고객과의 SLA 위반으로 Penalty를 초래할 수 있습니다. 이제 Windows Server 2016 “장애조치(Failover) 클러스터”의 “Cluster OS Rolling Upgrade” 기능을 사용해서, 기존 Windows Server 2012 R2 기반 “장애조치(Failover) 클러스터” 노드의 운영체제를 서비스 중단 없이 Windows Server 2016 운영체제로 업그레이드 할 수 있습니다.

그렇다면, 서비스 중단 없이 Windows Server 2016 “장애조치(Failover) 클러스터”로 업그레이드 할 수 있는 클러스터 워크로드 (ex, 역할)은 어떤 종류가 있을까요? 바로, Windows Server 2012 R2 “장애조치(Failover) 클러스터” 에서 CSV(Cluster Shared Volume)을 사용하는 워크로드는 서비스 중단 없이 Windows Server 2016 “장애조치(Failover) 클러스터”로 업그레이드 가능합니다. 현재, CSV 를 사용할 수 있는 워크로드는 대표적으로 “Hyper-V VM 역할” 및 “Scale-Out 파일 서버 역할” 등 2가지 정도가 있습니다. 즉, “Hyper-V VM 역할” 및 “Scale-Out 파일 서버 역할”을 서비스하는 Windows Server 2012 R2 기반의 “장애조치(Failover) 클러스터”는 서비스 중단 없이 Windows Server 2016 “장애조치(Failover) 클러스터”로 업그레이드 할 수 있습니다. 그 외, CSV를 사용하지 않는 기타 워크로드 (ex, SQL Virtual Server, SQL Always-On, Exchange DAG etc.)는 Failover 하는 정도의 시간 정도의 서비스 중단 시간을 확보 할 수 있다면, 역시 “Cluster OS Rolling Upgrade” 기능을 사용해서, 기존 Windows Server 2012 R2 기반 “장애조치(Failover) 클러스터” 노드의 운영체제를 약간의 서비스 중단 시간을 통해 Windows Server 2016 운영체제로 업그레이드 할 수 있습니다. 이 부분에서 조금 감이 있으신 분들께서는 한 가지 의문 사항을 가지실 것으로 예상해 볼 수 있습니다. 한 가지 의문 사항은 여러분들에게 Quiz로 남기겠습니다. ^-^

이제 “Cluster OS Rolling Upgrade” 기능은 제공하는 장점을 아래와 같이 정리해 보겠습니다;

• Hyper-V VM 및 Scale-Out 파일 서버 역할이 운영되는 장애조치 클러스터는 다운타임 없이 Windows Server 2012 R2 에서 Windows Server 2016으로 업그레이드 될 수 있습니다. 반면에, SQL 서버와 같은 다른 역할들은 Windows Server 2012 R2 에서 Windows Server 2016으로 업그레이드 할 경우에, 대략 5분 정도의 다운타임이 발생합니다.

• 장애조치 클러스터의 운영체제를 Windows Server 2012 R2 에서 Windows Server 2016으로 업그레이드 할 경우에, 임의의 추가적인 하드웨어 자원이 필요하지 않습니다.

• 클러스터 서비스는 중지 또는 재 시작할 필요가 없습니다.

• 신규 클러스터가 필요하지 않습니다. 기존 클러스터가 업그레이드 됩니다. 추가적으로, Active Directory에 저장된 기존 클러스터 객체가 그대로 사용됩니다.

• 업그레이드 과정은 고객이 “point-of-no-return” 을 선택할 때까지는 기존 Windows Server 2012 R2 장애조치 클러스터로 복귀할 수 있습니다. “point-of-no-return” 는 클러스터 내의 모든 노드가 Windows Server 2016로 업그레이드 되고, “Update-ClusterFunctionalLevel” 파워쉘 명령어가 수행되는 시점입니다.

• 장애조치 클러스터가 mixed-OS 모드로 운영되는 경우에, 장애조치 클러스터는 patching 및 일반적인 maintenance 기능을 지원합니다.

• “Cluster OS Rolling Upgrade” 기능은 파워쉘 및 WMI로 자동화 할 수 있습니다.

• ClusterFunctionalLevel 속성은 Windows Server 2016 클러스터 노드 상의 클러스터 상태를 표시합니다. 이 속성은 장애조치 클러스터 내의 Windows Server 2016 노드 상에서만 수행되는 파워쉘 명령어를 통해 확인할 수 있습니다.

  Get-Cluster | select ClusterFunctionalLevel

  위 명령어의 결과 값이 8이라면, Windows Server 2012 R2 기능 수준으로 현재 장애조치 클러스터가 운영되고 있음을 의미합니다. 위 명령어의 결과 값이 9이라면, Windows Server 2016 기능 수준으로 현재 장애조치 클러스터가 운영되고 있음을 의미합니다.

본 블로그에 첨부된 Step-By-Step 가이드에는, 기존 Windows Server 2012 R2 기반의 “Scale-Out 파일 서버 역할”을 구성하는 전체 과정을 Step-By-Step으로 소개하고 있습니다. 또한, 旣 구성한 Windows Server 2012 R2 기반의 “Scale-Out 파일 서버 역할”을 “Cluster OS Rolling Upgrade” 기능을 사용하여 Windows Server 2016 기반의 “Scale-Out 파일 서버 역할”로 업그레이드하는 과정도 모두 포함하고 있습니다.

아래 그림은 Windows Server 2012 R2 기반의 “Scale-Out 파일 서버 역할”의 구성도 입니다.

아래 그림은 “Cluster OS Rolling Upgrade” 기능을 사용하여 Windows Server 2016 기반의 “Scale-Out 파일 서버 역할”로 업그레이드된 최종 구성도입니다.

이제 오늘 블로그 포스팅은 마무리 해야 할 것 같습니다. 오래 간만에 작성한 블로그라서 여러분들이 보시기에 부드럽지 못 한 부분이 있을 것으로 예상됩니다. 여러분들의 너그러운 이해 부탁 드립니다. 앞으로도 틈틈히 Windows Server 2016의 신규 기능 및 Microsoft의 Azure 및 O365를 포함한 다양한 Public Cloud 자료에 대해서 포스팅할 것을 여러분 앞에서 다짐해 봅니다. 여러분 다음 포스팅까지 건강하게 지내시기 바랍니다.

감사합니다.

Windows Server 2016 Cluster Rolling Upgrade Step-By-Step Guide.pdf

• O365와 On-Premise Exchange 와의 연동
• iOS 및 Android 및 Windows Phone과 같은 다양한 모바일 디바이스에 Domain 죠인된 것과 같은 기능을 제공하는 Workplace 구성

아직 RTM 버전이 나오기 위해서는 1년여 정도 시간이 더 필요하다고 합니다. 그 기간 동안, 저도 최대한 여러분들에게 많은 자료 공유할 테니, 여러분들도 저에게 많은 자료 공유 부탁 드립니다.

감사합니다.

---------------------------------------------------------------------------------------------------------------

What's new for Hyper-V in the Technical Preview

기존 Windows Server 2012 R2에서 생성된 VM을 사용하고 있다면, Windows Server 10 Preview의 신규 VM 기능을 사용할려면, 먼저 수동으로 Virtual Machine Configuration Version을 업데이트 해야 합니다. 구성 버전을 업그레이드하기 위하여, VM을 셧다운시킨 후, Windows PowerShell 에서 다음 명령어를 수행합니다.

Update-VmConfigurationVersion vmname or vmobject

Rolling Hyper-V Cluster Upgrade

Windows Server 2012 R2 기반의 Hyper-V 호스트 클러스터 환경에 Window Server 10 Preview 기반의 Hyper-V 호스트를 추가할 수 있습니다. Hyper-V 호스트 클러스터 내의 모든 노드가 Windows Server 10 Preview로 업그레이드되기 前까지, 기존 Hyper-V 호스트 클러스터는 Windows Server 2012 R2 기능 수준으로 동작합니다. 클러스터 기능 수준은 다음 Windows PowerShell 명령어를 사용하여 업그레이드 할 수 있습니다.

Update-ClusterFunctionalLevel

(중요) 클러스터 기능 수준을 Windows Server 10 Preview 클러스터 기능 수준으로 업그레이드 한 후에, 다시 Windows Server 2012 R2 클러스터 기능 수준으로 다운그레이드 할 수는 없습니다.

Hyper-V 호스트 클러스터 내에 Windows Server 2012 R2 기반 노드와 Windows Server 10 Preview 기반 노드가 혼합되어 있을 때, VM들은 Hyper-V 호스트 클러스터 내의 모든 노드들 사이에서 자유롭게 이동(Quick 또는 Live Migration)할 수 있습니다.

클러스터 기능 수준이 Windows Server 2012 R2 일 경우에, Hyper-V 호스트 클러스터에 다음 기능을 적용할 수 있습니다.

• 클러스터, Hyper-V 및 VM 관리는 Windows Server 10 Preview 노드 상의 관리도구 나 Windows 10 Preview 노드 상의 관리도구를 통해 가능합니다.

• Hyper-V 호스트 클러스터 상의 모든 노드가 Windows Server 10 Preview 노드로 업그레이드 되고, 클러스터 기능 수준이 업그레이드되고 난 後에, 새로운 Hyper-V 기능을 사용할 수 있습니다.

• 기존 VM의 구성 버전은 바로 업그레이드되지 않고, 클러스터 기능 수준이 업그레이드되고 난 후에, 비로소 최종적으로 VM의 구성 버전을 업그레이드 할 수 있습니다.

• Windows Server 10 Preview Hyper-V 호스트에서 신규로 생성되는 VM은 “VM 구성 단계 5” 즉, Windows Server 2012 R2 Hyper-V 호스트에서도 호환성을 유지합니다.

클러스터 기능 수준이 Windows Server 10 Preview로 업그레이드 된 後에, 다음과 같은 기능을 사용할 수 있습니다.

• 신규 VM 기능을 활성화하기 위해서, 관라지는 VM의 구성 단계를 다음 명령어를 사용하여 수동으로 업그레이드해야 합니다; Update-VmConfigurationVersion cmdlet

• 신규 Hyper-V 기능을 활성화 할 수 있습니다.

• 신규로 Windows Server 2012 R2 Hyper-V 호스트를 더 이상 Hyper-V 호스트 클러스터에 추가할 수 없습니다.

(중요) Windows 10 클라이언트 Hyper-V 는 장애조치 클러스터링 기능을 지원하지 않습니다.

Storage quality of service (QoS)

Scale-Out 파일 서버 상에서 저장소 QoS 정책을 설정할 수 있습니다. QoS 정책이 설정된 저장소에 Hyper-V VM의 가상 디스크를 하나 또는 그 이상을 위치시킬 수 있습니다. QoS 정책이 설정된 저장소 성능은 저장소 워크로드 변동에 맞게 설정된 QoS 정책에 따라 자동적으로 조정됩니다. 예를 들어, 이러한 기능을 이용하면, 고위임원용 VM 과 일반사원용 VM의 속도를 차별화할 수 있습니다.

Virtual Machine Configuration Version

Windows Server 2012 R2 Hyper-V 호스트 상에서 운영되는 VM을 Windows Server 10 Preview Hyper-V 호스트 상으로 이동 또는 import 할 때, VM의 구성 파일은 자동적으로 업그레이드 되지 않습니다. VM의 구성 파일을 자동적으로 업그레이드 하지 않는 이유 중의 하나의 해당 VM이 Windows Server 2012 R2 Hyper-V 호스트로 다시 roll-back 할 경우를 대비하기 위함입니다. 그러므로, Windows Server 10 Preview Hyper-V 호스트 상의 신규 기능을 사용하기 위해서, 기존 VM의 구성 파일을 수동으로 모두 업데이트해야 합니다.

VM 구성 파일은 VM 구성, 저장 상태 및 스냅샷 파일의 버전 정보를 모두 포함하고 있습니다. “구성 버전 5” 인 VM은 Windows Server 2012 R2와 호환성을 유지하고 있습니다. 그러므로, “구성 버전 5” 인 VM은 Windows Server 2012 R2 및 Windows Server 10 Hyper-V 호스트에서 모두 수행될 수 있습니다. “구성 버전 6” 인 VM은 Windows Server 10 Preview와 호환성을 유지하고 있습니다. 그러므로, “구성 버전 6” 인 VM은 Windows Server 2012 R2 Hyper-T 호스트에서 수행될 수 없습니다.

• Hyper-V 상에서 운영되는 VM의 구성 버전 확인 방법

  • Get-VM * | Format-Table Name, Version

• VM의 구성 버전 업그레이드 방법

  • Update-VmConfigurationVersion vmname

또는

• Update-VmConfigurationVersion vmobject

(중요)

• VM의 구성 버전을 업그레이드 한 후에, 해당 VM은 Windows Server 2012 R2 Hyper-V 호스트 상에서 수행되지 않습니다.

• 구성 버전 6 에서 구성 버전 5로 다운그레이드 할 수 없습니다.

• VM 구성 버전을 업그레이드하기 위해서는 해당 VM을 반드시 turn off 해야 합니다.

• 클러스터 기능 수준이 Windows Server 2012 R2 인 환경에서, 위에서 수행한 각종 cmdlet은 Hyper-V 호스트 클러스터에서 작동하지 않습니다.

• 구성 버전을 업그레이드 한 후에, 해당 VM은 신규 구성 파일 포맷을 사용할 수 있습니다.

New virtual machine configuration file format

VM 구성 데이터의 읽기 및 쓰기 효율성을 향상시킨 신규 구성 파일 포맷을 제공합니다. 또한, 저장소 오류로 인한 데이터 손상 가능성을 줄이기 위한 목적으로 신규 구성 파일 포맷을 제공합니다. 신규 구성 파일은 VM 구성 데이터를 위해 .VMCX 확장자를 사용하고, runtime 상태 저장을 위해서 .VMRS 확장자를 사용합니다.

(중요) .VMCX 파일은 binary 형식이고, .VMCX 및 .VMRS 파일의 직접적인 편집 기능은 지원되지 않습니다.

Production Checkpoint

Production Checkpoint 기능을 활용하면, VM의 “point in time” 이미지를 쉽게 생성할 수 있습니다. “point in time” 이미지를 이용하여, VM의 특정 시점 상태로 손 쉽게 복구할 수 있습니다. Production Checkpoint 기능은 saved state 기술을 사용하는 대신에 guest VM 내의 백업 기술을 사용합니다. 즉, Production Checkpoint 는 Windows VM 내의 VSS (Volume Snapshot Service) 기능을 사용합니다. Linux VM은 파일 시스템 일관성 checkpoint를 생성하기 위해서 내부의 파일 시스템 버퍼를 flush 합니다. 관리자가 saved state 기술을 사용하여 checkpoint를 생성하고자 한다면, 관리자는 해당 VM을 위한 표준 checkpoint를 여전히 사용할 수 있습니다.

(중요) 신규 VM은 기본적으로 Production Checkpoint를 생성하기 위하여 표준 checkpoint 를 사용할 수도 있습니다.

Hyper-V Manager Improvements

• Alternate credentials support – 원격 Hyper-V 호스트를 연결할 때, Hyper-V 관리자 도구에서 다른 자격증명을 입력할 수 있습니다. 또한, 추후에 다시 동일 원격 Hyper-V 호스트에 연결 시에 사용하기 위하여, 자격 증명을 저장하여 사용할 수 있습니다.

• Down-level management – Windows Server 10 Preview Hyper-V 관리자 도구는 다양한 Hyper-V 호스트 버전을 관리할 수 있습니다. Windows Server 10 Preview Hyper-V 관리자 도구는 Windows Server 2012, Windows 8, Windows 2012 R2 및 Windows 8.1 Hyper-V 호스트를 관리할 수 있습니다.

• Updated management protocol – CredSSP, Kerberos 및 NTLM 인증을 허용하는 WS-MAN 프로토콜을 사용하여 원격 Hyper-V 호스트와 통신하기 위하여, Hyper-V 관리자는 업데이트됩니다. CredSSP를 사용하여 원격 Hyper-V 호스트에 연결하게 되면, 관리자는 첫 번째AD constrained delegation을 활성화하지 않아도 라이브 마이그레이션을 수행할 수 있습니다. 즉, Windows Server 10 Preview Hyper-V 관리자는 자동으로 WS-MAN 프로토콜을 업데이트하여, 라이브 마이그레이션을 수행할 수 있습니다. 또한, WS-MAN 기반 인프라로의 마이그레이션은 기본적으로 80 포트를 사용하기 때문에, 원격 호스트에 연결하기 위한 관리를 단순화 할 수 있습니다. 즉, 원격 Hyper-V 호스트를 접근하기 위한 방화벽 포트 관리도 단순화 할 수 있습니다.

Integration Services delivered through Windows Update

Windows Server 10 Preview 발표 이후에, Windows Guest를 위한 Integration Service 업데이트는 “Windows Update”를 통해 배포될 것입니다. 이 기능이 제공됨으로써, “Integration Service”의 업데이트는 더 이상 서비스 제공자 및 Private 클라우드 호스팅 업체에게 의존하는 것이 아니라, “Integration Service”의 업데이트 제어는 VM을 소유하는 실제 사용자에게 넘기는 것을 의미합니다. Tenants 들은 단일 방법을 사용하여 Integration Service를 포함한 모든 업데이트를 자신의 VM에 직접 적용할 수 있습니다.

(중요) vmguest.iso 파일은 더 이상 제공되지 않고, 또한 Windows Server 10 Preview Hyper-V에 더 이상 포함되지 않습니다.

Hot add and remove for network adapters and memory

VM이 수행 중인 동안에 다운타임 없이, 관리자는 VM에 네트워크 어댑터를 추가 및 삭제할 수 있습니다. 이 기능은 Windows 및 Linux 운영체제가 수행되는 2세대 VM에서만 가능합니다. 또한, Dynamic Memory 기능이 활성화되어 있지 않더라도, 관리자는 운영 중인 VM에 할당된 메모리의 크기를 수정할 수 있습니다.

(중요) Hot Add Memory 기능은 Windows Server 10 Preview 또는 Window 10 Preview Hyper-V 호스트 상에서 운영 중인 2세대 VM에서 동작합니다.

Linux secure boot

2세대 VM에서 운영 중인 Linux 운영 체제는 secure boot 기능을 활성화하여 부팅할 수 있습니다. Windows Server 10 Preview 및 Windows 10 Preview Hyper-V 호스트 상의 Unbuntu 14.04 및 그 이후 버전 & SUSE Linux Enterprise Server12 버전을 운영하는 VM만이 secure boot 기능을 사용할 수 있습니다. 관리자는 처음에 VM을 부팅하기 前에, VM이 Microsoft UEFI CA를 사용하도록 관리자는 반드시 지정해야만 합니다. 이 작업을 수행하기 위한 cmdlet은 아래와 같습니다:

Set-VMFirmware vmname -SecureBootTemplate MicrosoftUEFICertificateAuthority

Compatible with Connected Standby

Always On/Always Connected(AOAC) 파워 모델을 사용하는 호스트 컴퓨터에서 Hyper-V 역할을 활성화 했을 때, Connected Standby 파워 상태는 사용 가능하고 예상대로 동작합니다.

---------------------------------------------------------------------------------------------------------------

What’s New in Networking in Windows Server Technical Preview

Windows Server 10 Preview에서 아래와 같이 다양한 네트워크 기술이 신규로 추가되거나 향상되었습니다.

• DNS Client

• DNS Server

• GRE Tunneling

• Network Controller

DNS Client

DNS Client service binding: Windows 10 Preview 에서, DNS 클라이언트 서비스는 하나 이상의 네트워크 인터페이스를 컴퓨터를 위한 향상된 기능을 제공합니다. Multi-homed 컴퓨터를 위해, DNS resolution은 다음과 같은 방법으로 최적화됩니다:

• 특정 인터페이스에 구성된 DNS 서버가 DNS 질의를 처리하기 위해 사용되었을 때, DNS 클라이언트 서비스는 DNS 질의를 보내기 前에, 질의에 사용될 DNS 서버가 구성된 특정 인터페이스를 사용하도록 지정할 수 있습니다. 특정 인터페이스에 바인딩 함으로써, Name resolution에 사용되는 인터페이스를 DNS 클라이언트에게 분명하게 지정할 수 있습니다.

DNS Server

• DNS Logging and Diagnostics: DNS 서버 서비스는 DNS 감사 이벤트 및 DNS 분석 이벤트를 포함한 향상된 로깅 및 진단 기능을 제공합니다.

• DNS Policies: DNS 서버 정책은 Windows Server 10 Preview 에 포함된 신규 기능입니다. DNS 정책을 사용하게 되면, 관리자는 DNS 질의에 대한 응답을 제어할 수 있도록 DNS 서버를 구성할 수 있습니다. DNS 정책은 location-aware DNS, 트래픽 관리, 부하 분산 및 다양한 시나리오를 가능하게 합니다.

GRE Tunneling

Windows Server 10 Preview는 Windows Server Gateway를 위한 Generic Routing Encapsulation (GRE) 터널을 사용할 수 있는 기능을 제공합니다.

GRE는 다양하고 광범위한 네트워크 프로토콜 계층을 encapsulate 할 수 있는 lightweight 터널링 프로토콜이다. Microsoft GRE 는 IPv4 및 IPv6 를 encapsulate 할 수 있습니다. GRE 터널은 아래와 같은 이유 때문에 다양한 시나리오에 사용될 수 있습니다:

• GRE 터널은 lightweight 이고 RFC 2890 호환입니다. RFC 2890 호환성은 다양한 벤더의 디바이스와 상호 작용할 수 있는 기반을 제공합니다.

• BGP는 동적 라우팅에 통합될 수 있습니다.

• Multi-tenancy 를 지원합니다.

• GRE 터널은 VM 관리자와 함께 관리될 수 있습니다.

• 6 core VM 상에서 2.0Gbps 속도를 지원합니다.

• 단일 게이트웨이는 다중 연결 모드를 지원합니다.

터널 기반의 GRE는 “tenant 가상 네트워크” 와 “외부 네트워크” 사이의 연결성을 제공합니다. GRE 프로토콜은 lightweight 이고, GRE 지원이 대부분의 네트워크 디바이스에서 지원되기 때문에, 데이터 암호를 요구하지 않는 터널링에 가장 이상적인 프로토콜이 될 수 있습니다. Site-To-Site (S2S) 터널에서 GRE 지원은 multi-tenant 게이트웨이를 사용하는 “tenant 외부 네트워크” 와 “tenant 가상 네트워크” 사이의 네트워크 패킷 포워딩 문제를 해결할 수 있는 방안을 제공합니다.

GRE 터널 기능은 다음과 같은 요구사항을 해결할 수 있도록 설계되어 있습니다;

• 호스팅 제공자는 물리적 스위치 구성을 수정하지 않고 네트워크 패킷 포워딩을 위한 가상 네트워크를 생성할 수 있습니다.

• 호스팅 제공자는 호스팅 제공자 인프라 내의 물리적 스위치 구성을 수정하지 않고 호스팅 업체의 외부 네트워크에 서브넷을 추가할 수 있습니다.

Software Defined Networking을 구현하고자 하는 호스팅 서비스 제공자를 위한 다양한 중요 시나리오에 대한 해결책을 GRE 터널이 제공합니다.

아래는 다양한 중요 시나리오 예제입니다:

• Access from tenant virtual networks to tenant physical networks

• High speed connectivity

• Integration with VLAN based isolation

• Access shared resources

• Services of third party devices to tenants

Key Scenario

Access from tenant virtual networks to tenant physical networks

호스팅 서비스 제공자 on premise 에 위치하는 tenant 물리 네트워크로부터 tenant 가상 네트워크 사이의 접근 기능을 제공합니다. GRE 터널 끝점은 multitenant 게이트웨이에 연결합니다. 다른 GRE 터널 끝점은 물리 네트워크 상의 third-party 디바이스에 연결합니다. 가상 네트워크 내의 VM 과 물리 네트워크 상의 third-party 디바이스 사이에서 Layer-3 네트워크 트래픽이 라우팅 될 수 있도록 구성됩니다.

High speed connectivity

호스팅 제공자 네트워크 상에 위치하는 가상 네트워크 와 on premise 네트워크 상의 tenant 사이에서 고속의 연결성을 제공합니다. Tenant(Red Enterprise Site 1)는 MPLS (Multiprotocol Label Switching)를 통해 서비스 제공자 네트워크에 연결합니다. “Tenant의 가상 네트워크에 연결된 multitenant 게이트웨이” 와 “호스팅 서비스 제공자의 edge 라우터” 사이에 GRE 터널이 생성됩니다.

Integration with VLAN based isolation

Hyper-V 네트워크 가상화와 VLAN 기반isolation 을 통합할 수 있는 기능을 제공합니다. 호스팅 제공자 네트워크 내의 물리 네트워크는 VLAN 기반 isolation을 사용하는 load balancer를 구성합니다. 물리 네트워크 내의 load balancer 와 가상 네트워크 상의 multitenant 게이트웨이 사이에 GRE 터널을 생성합니다. 다중 GRE 터널은 source 와 destination 사이에 생성됩니다. GRE key는 각기 다른 터널을 구분하기 위하여 사용됩니다.

Access shared resources

호스팅 제공자 네트워크 상에 위치하는 물리 네트워크 내의 공유 자원을 접근할 수 있는 기능을 제공합니다. 호스팅 제공자 네트워크 내에 위치하는 물리 네트워크 상의 특정 서버 공유 자원을 다중 tenant 가상 네트워크 내의 VM들이 접근할 수 있도록 구성할 수 있습니다. Non-overlapping 서브넷이 포함된 tenant 네트워크는 GRE 터널을 통해 공통 네트워크에 접근할 수 있습니다. 단일 tenant 게이트웨이는 GRE 터널들 사이에서 라우팅 할 수 있습니다. 그러므로, 적절한 tenant 네트워크에 패킷이 라우팅됩니다. 이 시나리오에서, 단일 tenant 게이트웨이는 third-party 하드웨어 어플라이언스 제품으로 대체될 수 있습니다.

Services of third party devices to tenants

이 시나리오는 하드웨어 부하 분산기와 같은 third-party 디바이스와 tenant 가상 네트워크 트래픽 흐름을 통합하는 것입니다. 예를 들어, Enterprise 사이트에서 시작된 네트워크 트래픽은 S2S 터널을 통해 multitenant 게이트웨이에 전달됩니다. 이 트래픽은 GRE 터널을 통해 부하 분산기로 라우팅 됩니다. 해당 부하 분산기는 Enterprise 가상 네트워크 상의 다중 VM에 트래픽을 라우팅 합니다. 이와 동일한 트래픽 전송이 다른 tenant 상에서 발생합니다. 이러한 다중 네트워크 트래픽은 VLAN을 사용하는 부하 분산기에 의해 분리되어 집니다.

구성 및 배포

GRE 터널은 S2S 인터페이스 내의 추가적인 프로토콜로 구성됩니다. GRE 터널은 아래 네트워킹 블로그에 설명된 IPSec S2S 터널과 유사한 방식으로 구현됩니다.

• Multi-tenant Site-to-Site (S2S) VPN Gateway with Windows Server 2012 R2

신규 GRE 터널 추가 예제

• Cloud-side gateway
  Add-VpnS2SInterface –Name GreCloudToEnt1 –Destination <Destination IP> -IPv4Subnet “10.1.1.0/24:1000” –GRETunnel –GREKey “12345” –SourceIP: <public interface IP> -RoutingDomain Rd1

• Enterprise-side gateway
  Add-VpnS2SInterface –Name GreEnt1ToCloud –Destination <Destination IP> -IPv4Subnet “10.1.2.0/24:1000” –GRETunnel –GREKey “12345” –SourceIP: <Enterprise_IP>

기존 터널을 수정하는 예제

• Cloud-side gateway
  Get-VpnS2SInterface –Name GreCloudToEnt1 | Set-VpnS2SInterface –EnableQos Disabled –GRETunnel –RoutingDomain Rd1 (disables QoS)

• Enterprise-side gateway
  Get-VpnS2SInterface –Name GreEnt1ToCloud | Set-VpnS2SInterface –EnableQos Disabled – GRETunnel (disables QoS)
  Get-VpnS2SInterface –Name GreEnt1ToCloud | Set-VpnS2SInterface -TxBandwidthKbps 15360 -RxBandwidthKbps 15360 –GRETunnel (Increases rate-limit)

기존 GRE 터널 삭제

• Cloud-side gateway
  Get-VpnS2SInterface –Name GreCloudToEnt1 | Set-VpnS2SInterface –AdminStatus $false – GRETunnel –RoutingDomain Rd1

• Enterprise-side gateway
  Get-VpnS2SInterface –Name GreEnt1ToCloud | Set-VpnS2SInterface –AdminStatus $false -GRETunnel

추가 정보

• Windows Server Gateway

• New! Windows Server 2012 R2 RRAS Multitenant Gateway Deployment Guide

• Deploy Border Gateway Protocol (BGP) with the RRAS Multitenant Gateway

   

   

   

Network Controller

Network Controller는 Windows Server 10 Preview에 신규로 추가된 역할입니다. Network Controller는 데이터센터 또는 클러스터 내의 아래 기능을 구성, 모니터 및 트러블슈팅 할 수 있도록 자동화 기능을 제공하는 highly available 및 scalable 서버 역할입니다:

• Virtual Networks

• Physical Networks

• Network Services

• Network Topology

• IP Address Management

SCVMM 20102 R2 및 SCCM 2012 R2와 같은 관리 어플리케이션과 Network Controller 를 동시에 사용하여 데이터센터 네트워크를 관리할 수 있습니다. Network Controller는 데이터센터 내의 네트워크 인프라를 구성, 모니터, 프로그램 및 트러블슈팅 할 수 있는 기능을 제공합니다.

관리자는 Network Controller와 직접적으로 상호 작용할 수 있는 관리 도구를 사용합니다. Network Controller는 네트워크 인프라에 관련된 정보를 제공합니다.

---------------------------------------------------------------------------------------------------------------

Windows Defender Overview for Windows Server 10 Preview

Windows Server 10 Preview는 Windows Defender를 포함합니다. Windows Defender는 이미 알려진 malware에 대해서 Windows Server 10 Preview를 즉각적이고 적극적으로 보호할 수 있는 malware protection 입니다. Windows Defender는 Windows Update를 통해 정기적으로 antimalware definition를 업데이트합니다.

Using Windows Defender

기본적으로, Windows Defender는 Windows Server 10 Preview에 설치되어 있습니다. 그러나, 사용자 인터페이스는 기본적으로 설치되어 있지 않습니다. 관리자는 WMI, Windows PowerShell 또는 그룹 정책을 통해 Windows Defender를 관리할 수 있습니다.

Windows Defender의 사용자 인터페이스를 설치하고자 한다면, 관리자는 Add Roles and Features Wizard 또는 Install-WindowsFeature cmdlet 를 사용하여 설치합니다.

(Tip) Windows Defender를 비활성화 할려면, 관리자는 Remove Roles and Features Wizard 또는 Remove-WindowsFeature cmdlet를 사용하여 제거해야만 합니다.

Malware 검사의 기본 배제 영역은 Windows Defender에 포함되어 있습니다. 컴퓨터의 성능을 최적화하기 위하여, 배제 영역은 Malware Scan으로부터 배제된 파일, 폴더, 설정 및 프로세스 항목입니다.

(Tip) Windows Defender에 포함된 antimalware 엔진을 위한 Windows Defender 이벤트 메시지는 이벤트 페이지에서 확인할 수 있습니다.

Verify Windows Defender is running

Windows Defender가 서버에서 수행되는 것을 확인하기 위해서, 다음 명령어를 수행합니다:

sc query Windefend

sc query 명령어는 Windows Defender 서비스에 관한 정보를 반환합니다. Windows Defender가 수행 중이면, STATE 값은 RUNNINGS 를 반환합니다.

Update antimalware definitions

업데이트된 antimalware definitions을 설치하기 위해서, 관리자는 Windows Update 서비스를 수행해야 합니다. 관리자가 WSUS와 같은 업데이트 관리 서비스를 사용한다면, Windows Defender definitions 업데이트가 승인 상태임을 확인해야 합니다.

기본적으로, Windows Update는 Windows Server 10 Preview에 업데이트 정의를 자동적으로 다운로드 또는 설치하지 않습니다. 아래 방법 중의 하나를 사용하여 definitions의 다운로드 및 설치 방법을 구성할 수 있습니다:

• 제어판의 Windows Update

  • Install updates automatically: Windows Defender 정의 업데이트를 포함하여 모든 업데이트 항목을 자동적으로 설치하는 option 입니다.

  • Download updates but let me choose whether to install them: Windows Defender 정의 업데이트를 자동으로 다운로드하고 설치할 수 있는 option 입니다. Windows Defender 정의 업데이트를 제외한 나머지 모든 업데이트 항목은 자동적으로 설치되지 않는 option 입니다.

• 그룹 정책 : 관리자는 그룹 정책에서 사용 가능한 다양한 option을 사용하여 Windows Update를 관리 및 설정할 수 있습니다. 그룹 정책 경로는 다음과 같습니다: Administrative Templates\Windows Components\Windows Update\Configure Automatic Updates

• AUOptions 레지스트리 키: 정의 업데이트 자동적으로 다운로드 및 설치할 수 있도록 다음 1개의 값을 구성할 수 있습니다

  • 4 (Install updates automatically): 4는 Windows Defender 정의 업데이트를 포함하여 모든 업데이트 항목을 설치합니다.

  • 3 (Download updates but let me choose whether to install them): Windows Defender 정의 업데이트를 자동으로 다운로드하고 설치할 수 있는 option 입니다. Windows Defender 정의 업데이트를 제외한 나머지 모든 업데이트 항목은 자동적으로 설치되지 않는 option 입니다.

Malware로부터 보호됨을 확인하기 위해서, 다음 서비스를 활성화하는 것을 권장합니다:

• Windows Defender Network Inspection service

• Windows Error Reporting service

• Windows Update service

Windows Defender 서비스 및 종속 서비스의 항목은 아래 표와 같습니다.

Disable Windows Defender real-time monitoring

실시간 모니터링은 기본적으로 Windows Server 10 Preview 에서 활성화되어 있습니다.

(중요) Windows Defender 실시간 모니터링 비활성화는 Windows Defender가 사용하는 파일 및 프로그램에 대한 스캔을 금지할 수 있습니다. 그러나, 예정된 antimalware 스캔을 중지할 수는 없습니다. Windows Server 10 Preview 컴퓨터는 antimalware 스캔에 의해 여전히 보호됩니다만, antimalware 스캔이 수행되지 않는 기간 동안 malicious 소프트웨어에 의해 잠재적인 위험을 노출될 수 있습니다.

실시간 모니터링을 비활성화하기 위해, 관리자 권한으로 Windows PowerShell 콘솔에서 아래 명령어를 수행합니다:

Set-MpPreference -DisableRealtimeMonitoring $true

Enable Windows Defender real-time monitoring

실시간 모니터링을 활성화하기 위해, 관리자 권한으로 Windows PowerShell 콘솔에서 아래 명령어를 수행합니다:

Set-MpPreference -DisableRealtimeMonitoring $false

Submit Samples

Sample Submission기능은 Microsoft 사가 잠재적인 malicious 소프트웨어의 샘플 수집을 할 수 있도록 합니다. Provide continued & up-to-date 보호에 도움을 주기 위하여, Microsoft 연구자는 잠재적인 malicious 소프트웨어의 의심되는 행위를 분석하기 위해 이러한 샘플을 사용합니다.

Microsoft 사는 EXE 파일 및 DLL 파일과 같은 프로그램 수행 파일들을 수집합니다. Microsoft 사는 Microsoft 워드 문서 및 PDF 파일과 같은 개인 데이터가 포함된 파일을 수집하지 않습니다.

Enable automatic sample submission

1. 관리자 권한으로 regedit 를 시작합니다.

2. 다음 키를 찾습니다: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\SpyNet

3. 다음 설정 중의 하나를 구성하기 위해 SubmitSampleConsent 값을 설정합니다.

   1. 0: 항상 데이터 전송 전에 질의합니다. Windows Defender 서비스는 모든 요구되는 파일의 submission을 확인하기 위해 사용자에게 전송 여부에 대한 질의를 합니다. 이 값은 Windows Defender의 기본 설정입니다. 그러나, GUI 환경 없는 Windows Defender 10 Preview 사용을 권장하지 않습니다.

   2. 1: safe 샘플은 자동적으로 전송합니다. Windows Defender 서비스는 “safe”로 마크된 모든 파일을 전송하고, 나머지는 파일에 대해서는 전송 여부에 대해서 질의합니다.

   3. 2: 어떠한 파일도 결코 전송하지 않습니다. Windows Defender 서비스는 어떠한 파일도 전송하지 않고, 전송 여부에 대한 질의조차 하지 않습니다.

   4. 3: 모든 샘플 파일을 자동적으로 전송합니다. Windows Defender 서비스는 전송 여부에 대한 질의 없이 바로 모든 파일을 전송합니다.

Exclusion

Windows Defender가 스캔하지 않는 파일, 디렉토리 및 프로세스는 Windows Server 10 Preview에 기본적으로 설정되어 있습니다. 이러한 기본 스캔 배제 설정을 변경하지 않기를 권장합니다. Window Defender는 각 서버 역할에 맞게 기본 스캔 배제 설정이 자동 및 최적화되어 구성됩니다.

스캔 배제 영역을 추가하기 위하여, 관리자 권한으로 Windows PowerShell 콘솔에서 아래 명령어를 수행합니다:

Add-MpPreference -ExclusionPath "c:\temp"

(경고) Windows Server 10 Preview 환경에서는, 스캔 배제 영역 추가 작업이 성능에 영향을 미칠 수도 있습니다.

스캔 배제 영역을 제거하기 위하여, 관리자 권한으로 Windows PowerShell 콘솔에서 아래 명령어를 수행합니다:

Remove-MpPreference -ExclusionPath "c:\temp"

(경고) Windows Server 10 Preview 환경에서는, 스캔 배제 영역 제거 작업이 성능에 영향을 미칠 수도 있습니다.

Default exclusions

Windows Defender 기본 배제 영역은 다음 레지스트리에 정의되어 있습니다.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Scan

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\SpyNet

---------------------------------------------------------------------------------------------------------------

What’s New in Remote Desktop Services in the Windows Server Technical Preview

Enabling engineering and designer applications with OpenGL and OpenCL Support

Windows Server 2012 및 R2 버전의 Remote Desktop Service 에서, 최종 사용자 경험 측면에서 RemoteFX 그래픽 구현에 최적화되어 있었습니다. 이제 Windows Server 10 Preview 의 Remote Desktop Service 에서, Windows VDI 환경에서의 경험을 향상시키고, OpenGL 및 고용량의 메모리 지원과 같은 최적의 RemoteFX 기능을 제공합니다. 특히, 아래와 같은 기능을 지원합니다:

• OpenGL 4.4 & OpenCL 1.1 API 지원

• 구성 가능하고 더 큰 전용 비디오 메모리 지원. 더 큰 전용 VRAM 및 구성 가능한 VRAM 지원

• 어플리케이션 호환성 및 안정성의 향상

MultiPoint Services role in Windows Server

임시로 “MultiPoint Services” 라는 새로운 역할이 Windows Server 배포에 추가되어, Windows MultiPoint 서버 역할을 수행할 수 있습니다. MultiPoint 서비스는 물리적 단일 컴퓨터를 사용하면서, 다수의 사용자들이 자신 만의 Windows 환경을 유지할 수 있는 기능입니다. 이러한 사용자들이 공유 컴퓨터에 로그인 했을 때, 사용자들은 표준 및 공유 테스크탑 환경이 아닌 자신만의 데스크탑 환경을 유지할 수 있습니다.

기술적인 관점에서, 관리자가 MultiPoint 서비스 역할을 설치했을 때, 관리자는 또한 RDSH 역할을 설치해야 합니다. MultiPoint 서비스와 RDSH 조합은 최저의 TCO 를 제공합니다. 또한, RDSH 세션 및 다른 디바이스의 관리를 위해 orchestration 도구를 사용할 수 있는 장점도 제공합니다.

---------------------------------------------------------------------------------------------------------------

What’s New in Storage Services in Windows Server Technical Preview

Storage Quality of Service

관리자가 Storage QoS 기능을 사용하면, end-to-end 스토리지 성능을 중앙집중적으로 모니터링 할 수 있습니다. 또한, Windows Server 10 Preview 내의 Hyper-V 및 Scale-Out File Server 기능에 대해서 Storage QoS 정책을 적용할 수 있습니다.

Storage QoS 의 추가된 기능

Scale-Out File Server 기능에 Storage QoS 정책을 생성하고, Scale-Out File Server 상의 Hyper-V VM의 가상 디스크에 Storage QoS 정책을 할당합니다. QoS 정책이 설정된 저장소 성능은 저장소 워크로드 변동에 맞게 설정된 QoS 정책에 따라 자동적으로 조정됩니다.

• 각 정책은 단일 VM 또는 VM 그룹에 적용할 수 있는 예약(최소) 및 제한(최대) 값을 지정할 수 있습니다.

• Window PowerShell 또는 WMI를 사용하여 다음 작업을 수행할 수 있습니다:

  • Scale-Out File Server 에 정책 생성

  • Scale-Out File Server 상에 가용한 정책에 대한 평가

  • Hyper-V 호스트 상의 가상 하드 디스크에 정책 할당

  • 각 정책 내의 flow 및 status의 성능 모니터링

• 다중 가상 하드 디스크가 동일한 정책을 공유한다면, 성능은 정책의 최소 및 최대 값 내에서 요구되는 사용량에 맞게 분산될 것입니다. 그러므로, Storage QoS정책은 아래 단위로 생성 및 할당합니다:

  • 단일 VM

  • 특정 서비스를 구성하는 다중 VM

  • 동일 tenant 내의 모든 VM

Storage QoS 기능은 Windows Server 10 Preview 에 새롭게 추가된 기능입니다. 그러므로, 이전 버전의 Windows Server에서는 이 정책을 구성할 수 없습니다.

Storage Replica

Storage Replica(SR)은 Disaster Recovery 를 위해 서버 사이의storage-agnostic(스토리지 업체 무관), block-level, 동기 복제를 가능하게 하는 신규 기능입니다. 이러한 기능을 사용하여 Failover Clustering 기능을 확장할 수 있습니다. 스토리지가 손상되는 경우에도, 동기 복제는 파일 시스템 단계에서 데이터 손실이 전혀 없는 데이터 미러링을 가능하게 합니다. 비동기 복제는 데이터 손실 가능성이 있는 원거리 사이트 복제에 적합합니다.

Storage Replica는 다음과 같은 장점을 제공합니다:

• Mission-Critical 워크로드의 정상 및 비정상 장애를 대비하기 위한 Microsoft Disaster Recovery 솔루션입니다.

• 검증된 안정성, 확장성 및 성능을 제공하는 SMB3 기술을 사용합니다.

• Metropolitan 사이에 위치하는 두 서버 사이에서 Failover Clustering을 확장할 수 있습니다.

• Hyper-V, Storage Replica, Storage Spaces, Cluster, Scale-Out File Server, SMB3, Deduplication, and ReFS/NTFS 와 같은 저장소 및 클러스터링에 Storage Replica를 적용할 수 있습니다.

• 다음과 같은 경우에 비용 및 복잡성을 제거합니다:

  • DAS 또는 SAN과 같은 특정 스토리지 구성에 대한 특별한 요구사항이 필요 없습니다. 즉, 하드웨어에 대한 종속성이 없습니다.

  • 보편적인 스토리지 및 네트워킹 기술 사용

  • Failover Clustering Manager 관리도구를 사용하여 각 노드 및 클러스터 내의 Storage Replica 기능을 손 쉽게 관리할 수 있습니다.

  • Windows PowerShell을 사용하여 Storage Replica 기능을 손 쉽게 관리할 수 있습니다.

• 다운타임 최소화, 고유의 안정성 및 생산성 향상을 제공

---------------------------------------------------------------------------------------------------------------

What’s New in Failover Clustering in Windows Server Technical Preview

Cluster Operating System Rolling Upgrade

Hyper-V 또는Scale-Out File Server 워크로드를 중지하지 않고, Windows Server 2012 R2 에서 Windows Server 10 Preview 로 클러스터 노드를 업그레이드할 수 있는 “Cluster Operating System Rolling Upgrade” 기능을 제공합니다. 이 기능을 사용하면, SLA 기반의 다운타임 벌금을 피할 수 있습니다.

What value does this change add?

Hyper-V 또는Scale-Out File Server 워크로드가 운영되는 클러스터 노드 운영체제를 Windows Server 2012 R2로부터 Windows Server 10 Preview로 업그레이드하는 과정은 더 이상 다운타임이 필요 없습니다. 해당 클러스터의 모든 노드가 Windows Server 10 Preview로 업그레이드 되기 전까지, 클러스터 기능 수준은 Windows Server 2012 R2로 동작합니다.

클러스터 기능 수준을 Windows Server 10 Preview 로 업그레이드하기 위해서, 아래 Windows PowerShell cmdlet를 사용합니다:

Update-ClusterFunctionalLevel

(경고)

클러스터 기능 수준을 Windows Server 10 Preview 클러스터 기능 수준으로 업그레이드 한 후에, 다시 Windows Server 2012 R2 클러스터 기능 수준으로 다운그레이드 할 수는 없습니다.

What works differently?

Hyper-V 또는 Scale-Out File Server 클러스터는 더 이상 다운타임 없이 업그레이드를 할 수 있습니다. 기존 Windows Server 2012 R2 기반의 클러스터의 마이그레이션 과정은 기존 클러스터 오프라인, 각 노드에 신규 운영 체제 설치 후에 클러스터를 온라인 하는 작업으로 진행됩니다. 즉, 기존 마이그레이션 과정은 무겁고 반드시 다운타임이 필요합니다. Windows Server 10 Preview 에서, 클러스터는 어떠한 다운타임도 필요하지 않습니다.

Windows Server 10 Preview로의 클러스터 마이그레이션 과정에서 각 노드에서는 아래와 같은 작업이 발생합니다:

• 노드는 pause되고, 해당 노드에서 운영되는 모든 VM은 drain 상태로 전환됩니다.

• VM (또는 다른 워크로드)은 클러스터 내의 다른 노드로 이동합니다.

• 기존 운영체제는 제거되고, Windows Server 10 Preview 신규 운영체제 설치가 수행됩니다.

• Windows Server 10 Preview 운영체제가 수행되는 노드가 클러스터에 추가됩니다.

• 이 시점에, 클러스터는 혼합 모드로 운영됩니다.

• 클러스터가 혼합 모드로 운영되는 시점에, 클러스터 기능 수준은 Windows Server 2012 R2 로 유지됩니다. Windows Server 2012 R2 클러스터 기능 수준에서, Windows Server 10 Preview 클러스터 기능 수준에서 제공되는 신규 기능을 사용할 수 없습니다.

• 최종적으로, 클러스터 내의 모든 노드가 Windows Server 10 Preview 운영 체제로 업그레이드 됩니다.

• 마지막으로, 클러스터 기능 수준을 Windows Server 10 Preview 기능 수준으로 업그레이드 하는 작업을 수행합니다. “Update-ClusterFunctionalLevel” Windows PowerShell cmdlet를 사용하여 클러스터 기능 수준을 업그레이드 합니다.

---------------------------------------------------------------------------------------------------------------

What’s New in Web Application Proxy in Windows Server Technical Preview

아래와 같이 Web Application Proxy의 신규 기능을 제공합니다. 기존 TMG 및 UAG에서 제공되는 기능을 Windows Server 10 Preview의 Web Application Proxy 에서 제공합니다.

• Preauthentication for HTTP Basic application publishing: 스마트폰을 포함한 다양한 클라이언트가 Exchange 메일 사서함에 연결하기 위해 사용되는 ActiveSync와 같은 다양한 프로토콜에서 사용하는 인증 방법이 HTTP Basic 입니다. 기존 Web Application Proxy는 ActiveSync 클라이언트를 지원하지 않는 redirection 방식을 사용하는 AD FS와 동작합니다. 그러나, 신규 Web Application Proxy는 HTTP 어플리케이션을 활성화함으로써 HTTP Basic 인증 방식을 사용하는 어플리케이션을 외부에 공개할 수 있습니다.

• Wildcard domain publishing of applications: SharePoint 2013와 같은 어플리케이션의 외부 공개 시나리오를 지원하기 위하여, 예를 들어, https://*.sp-apps.contoso.com 와 같은 특정 도메인 내의 다중 어플리케이션을 외부에 공개하기 위해서 wildcard 도메인 지원이 필요합니다. 이러한 wildcard 도메인을 지원하면, SharePoint 어플리케이션의 외부 공개를 단순화 할 수 있습니다.

• HTTP to HTTPS redirection: URL에서 HTTPS를 입력하더라도, 자동으로 HTTP로 리디렉션 할 수 있는 HTTP to HTTPS redirection 기능을 제공합니다.

• HTTP publishing: pass-through preauthentication 기능을 사용하여 HTTP application 을 외부에 공개할 수 있습니다.

• Publishing of Remote Desktop Gateway apps: Remote Desktop Gateway 어플리케이션의 외부 공개 기능을 제공합니다.

• New debug log for better troubleshooting and improved service log for complete audit trail and improved error handling: 좀 더 향상된 트러블슈팅을 위해 새로운 debug 로그를 제공합니다.

• Administrator Console UI improvements

• Propagation of client IP address to backend applications

 ---------------------------------------------------------------------------------------------------------------

이동철입니다.

7월 장마가 한창이네요,,,, 최근 제 신상에 변화가 생길 것 같아서,, 7월 포스팅이 좀 늦었네요,, 어쩌면 이번 포스팅이 마지막이 될 수도 있을 것 같기도 하구요,,,, 이 포스팅을 쓰는 현재 시점은 아직 결정되지 않았지만,,, 7월 말이나 8월 초에는 제 위치가 결정되고,, 그 결정에 따라서 제 블로그의 지속 여부가 결정될 것 같습니다. 그래도, 왠만하면,, 블로그를 유지할려고 노력하겠습니다.

지난 5월에 국내 모 대기업에서 IPv6 도입을 구체적으로 진행한다고 해서, 저에게 IPv6 전반에 대한 소개 및 Microsoft IT의 IPv6 도입 현황에 대한 세미나를 요청해 왔던 적이 있었습니다. 이에 제가 그 동안 조각 조각으로 모아 두었던 IPv6 자료에 대해서, 나름 체계적으로 정리하게 되었습니다. 최종 완성본을 이번 포스팅으로 여러분에게 소개하고자 합니다.

본 문서에는 일반적인 업계 표준의 IPv6 소개 및 Windows 운영 체제 내의 IPv6 구축 방안 및 Microsoft IPv6 구축 현황을 여러분에게 소개합니다.

문서 중간 중간 내용이 약간 부실하기도 하고, 영어도 섞여 있는 점 여러분들 양해해 주세요.. 혹시라도 궁금하신 사항이 있으시면 언제든지 질문 남겨 놓으세요…

여러분들 7월 8월에 장마 및 무더위에 늘 건강 챙기세요…

그럼 이만

IPv6 A to Z with Microsoft IT Showcase TechnetBlog.pdf

North America TechED 2013에서 드디어 Windows Server 2012 R2에 대한 출시를 공표하였습니다. 아직정확한 출시 일자는 명시하지 않았지만, 간단하게 Windows Server 2012 R2 및 Hyper-V의 신규 기능을 확인해 보겠습니다. 저도 아직 실체를 보지 못해 약간의 내용은 허술하고 정확하지 않을 수도 있음을 미리 알려 드립니다. 또한, 추후 이번에 같이 발표된 Windows 8.1 클라이언트 운영 체제의 신규 기능도 알려 드리도록 하겠습니다.

Windows Server 2012 R2는 Windows Azure에 구현된 유사한 기술을 내장된 구성요소로써 포함하여, 좀 더 쉽고 빠르게 클라우드 서비스를 구축할 수 있는 환경을 IT 관리자에게 제공합니다. Microsoft는 “cloud first”라는 캐치프레이즈에 맞게 대규모의 클라우드 서비스를 제공할 수 있는 기반 기술로써 Windows Server 2012 R2 및 System Center 2012 R2를 제공할 계획입니다.

먼저, Windows Server 2012 R2의 신규 기능을 아래에 소개합니다.

• Windows Server 2012 R2와 System Center 2012 R2는 동일 시점에 제품을 출시할 계획입니다.
• Tiered Storage Space : 이 기능은 더 향상된 성능 및 확장성을 제공합니다. 단일 저장 공간에 SSD 및 HDD를 혼용하여 운영할 수 있는 기능인데, Storage Space Engine은 in-box tiering 기술을 사용하여 가장 자주 사용되는 데이터를 HDD에서 SSD로 자동 이동시켜서 훨씬 빠른 어플리케이션 운영을 가능하게 해 줍니다. 물론, SSD 및 HDD 계층을 분리하여 운용하는 옵션도 가능합니다. 이러한 옵션에서, 성능적으로 중요한 파일을 SSD 층에 고정시킬 수도 있습니다.
• Graphically create a three-way mirrored 가상 디스크 : Storage Space에서 GUI 방식으로 three-way 미러된 가상 디스크를 생성할 수도 있습니다.
• Site-to-Site VPN Gateway 기능 지원
• In-box iSCSI Target : VHDX 및 더 많은 LUN(up to 64TB)를 지원합니다.
• Dynamic NIC Teaming : Flowlet에 기반한 granular balancing을 지원하고, 가용한 NIC 자원의 최고의 성능 및 utilization을 가능하게 합니다.
• PowerShell Desired State Configuration(DSC) 확장 : Windows PowerShell v4의 일부분으로써 PowerShell DSC 확장을 지원합니다. 데이터 센터와 같은 환경에서 좀 더 정확한 구성이 가능하도록 PowerShell을 지원합니다.
• Work Folder : Work Folders를 기능을 통하여, 사용자는 자신의 데이터를 회사 파일 서버에 복제된 후, 다시 사용자의 다른 디바이스에 복제될 수 있습니다. 복제되는 데이터는 암호화될 수 있고, 사용자 디바이스가 회사 정책 상 사용 불가하다면, 회사 파일 서버 내에 복제된 데이터는 접근할 수 없도록 제거됩니다.

Hyper-V 2012 R2의 신규 기능은 아래와 같습니다.

• Windows Server 2012 Hyper-V 와 Windows Server 2012 R2 Hyper-V 사이에 Live Migration이 가능하도록 지원합니다.
• Live Migration 시에 압축 지원 : Live Migration 시에 메모리 압축이 지원됩니다. 메모리 압축이 지원됨으로써 Live Migration이 훨씬 빠른 속도로 진행될 수 있습니다. 물론, 압축을 하게 되면, 반드시 Hyper-V 호스트의 CPU 자원을 사용하지만, 현재 소개된 기능으로는 아주 소량의 CPU 자원만이 압축을 위해 사용된다고 합니다. Live Migration 시에 압축을 사용하게 되면 압축을 사용하지 않는 현재의 Live Migration 보다 5배 정도 빠르다고 합니다. 부가적으로, Live Migration을 위해 사용되는 NIC이 SMB Direct(RDMA)를 지원한다면, 압축을 사용할 수 없음에 주의해야 합니다. SMB Direct(RDMA) NIC을 사용한 Live Migration이 압축을 사용한 Live Migration 보다 빠르다고 합니다. (22 seconds (RDMA) versus 38 seconds (memory compression))

• Hyper-V Replica 복제 주기 : 매 5분 대신에 다양한 복제 주기를 선택할 수 있습니다. 아래와 같이 30초, 5분, 15분 3가지 복제 주기를 선택할 수 있습니다. 주 사이트와 보조 사이트 사이의 네트워크 환경에 맞추어서 3가지 복제 주기를 선택할 수 있습니다.

• Hyper-V Replica virtual machine (VM) replicated to another Hyper-V server for extended disaster recovery (DR) capabilities : 예를 들어, VM1 가상 컴퓨터를 Server A에서 Server B로 복제하도록 설정한 후, Server B에 존재하는 VM1 복제본 가상 컴퓨터를 Server C에 다시 복제할 수 있습니다.

• Hyper-V Recovery Manager : 이 도구는 모든 Hyper-V 복제를 관리하기 위하여 Windows Azure 기반의 서비스를 제공합니다. 이 도구는 복제 프로세스의 “flow를 상세 제어(orchestration)”할 수 있고, VM의 실제 복제본은 여전히 Hyper-V Replica 기능을 통하여 복제됩니다. 실제 복제는 여전히 직접적인 주사이트와 보조사이트 사이에서 발생하고, Windows Azure 서비스에 복제가 발생하지는 않습니다. 이 도구와 추가적인 스크립트를 사용하여 VM Failover 순서를 완전하게 제어할 수 있습니다.
• Deduplication of VHDX : VHDX의 중복 제거 기능이 제공됩니다. 실제도 이 기능을 사용하여 VM의 성능이 향상될 수 있습니다. Deduplication을 사용하면, 이 기능은 VM내의 공통 block을 확인할 수 있고, 공통 block을 캐쉬함으로써 훨씬 빠른 VM 운영이 가능합니다.
• Dynamic VHDX resizing : VM이 운영 중에 VHDX 파일의 resizing이 가능함으로써, VM 내에서 신규로 할당할 볼륨이 필요하다면, 손 쉽게 신규 가용한 공간으로 볼륨을 확장할 수 있습니다. 또한, 반대로 가상 디스크의 shrink도 가능합니다.
• Shared VHDX 파일 지원 : VMS를 통하여 shared VHDX 파일이 지원됩니다. 여러 VM들이 동일 VHDX에 접근할 수 있음으로써, 새로운 Guest Clustering 시나리오가 가능합니다. 즉, VHDX를 공유 스토리지로 사용할 수 있기 때문에, 새로운 Guest clustering 시나리오가 가능합니다. Shared VHDX는 virtual shared SAS 디스크로써 VM에 제공되고, VHDX 파일은 dynamic 또는 fixed 형식으로 지정합니다. 해당 VHDX를 VM에 추가하여 할당할 때, Windows PowerShell 또는 Advanced Feature를 사용하여, 해당 VHDX를 shared로 지정할 수 있습니다. 즉, Hyper-V 호스트가 fibre channel 또는 iSCSI LUN을 VM 클라이언트에 제공할 수 없을 때,  Shared VHDX 기능을 사용하여  VM에 failover clustering을 구성할 수 있는 새로운 방법을 제공합니다.
• VM Connection 향상 : Remote Access가 VMBus를 통하여 지원됨으로써, VM Connecion(Console) 과 Hyper-V 호스트 사이의 Copy&Paste 기능이 제공됩니다. 또한, audio, printer 및 smart card redirection 기능도 지원됩니다. 이 기능은 VM 내부의 네트워크가 단절되거나 RDP가 차단되었을 때, Hyper-V Manager에서 VM에 연결할 수 있는 효율적인 방법입니다. 이와 같은 VMBus 기반의 신규 연결 기능을 사용하면, 관리자는 콘솔 수준에서 VM에 full access이 가능합니다.
• Automatic activation :  이미 라이센스가 활성화된 Windows Server 2012 R2 Datacenter 서버 내에서 운영 중인 VM들을 자동적으로 activation 됩니다. VM을 위한 어떠한 Key 관리가 필요하지 않습니다.
• 2세대 VM : UEFI,Secure Boot 기능을 제공하고, SCSI 디바이스 및 synthetic 네트워크 어댑터로 부터 부팅할 수 있습니다. 즉, WDS를 통해 VM에 OS를 설치할 경우에, 과거에는 Legacy Network Adapter를 VM에 추가해해만 했는데, 이제는 더 이상 필요없음을 의미합니다. 2세대 VM은 오로지 Windows 8 및 Windows Server 2012 이후의 x64 VM만 지원됩니다. 이러한 OS만이 native UEFI가 필요하고, Hyper-V integration drivers 가 in-box 형식으로 OS에 포함되어 있기 때문에, 2세대 VM은 Windows 8 및 Windows Server 2012 이후의 x64 VM만을 지원합니다. 2세대 VM은 좀 더 빠른 OS 설치 및 부팅이 지원됩니다. 물론, 동일 Windows Server 2012 R2 Hyper-V에서 1세대 VM 및 2세대 VM이 동시에 운영될 수 있습니다.
• Virtual Receive Side Scaling (RSS) : RSS 와 VMQ의 혼합 사용이 가능합니다. Windows Server 2012 Hyper-V에서는 RSS 와 VMQ는 동시에 혼합 사용이 불가하여, 둘 중에 하나를 선택하여 사용했습니다. 또한 VMQ는 더 이상 단일 코어에 연결되어 사용하지 않아도 됩니다. 즉, VMQ가 다중 코어를 지원함으로써 더 향상된 성능을 기대할 수 있습니다. 또한, 다중 코어에 트래픽 프로세싱을 분산하기 위하여 RSS Hash를 사용할 수도 있습니다.
• Resource metering monitors incoming and outgoing storage IOPs : 기존 CPU, Memory, 디스크 할당 및 네트워크 트래픽에 대한 Resource Metering 가능하였는데, Windows Server 2012 R2 Hyper-V에서는 storage IOP에 대한 Resource Metering이 가능합니다.
• Storage QoS allows a maximum IOPs cap for each VHDX of a VM : VM 디스크가 required IOP를 사용할 수 없을 때, Minimum QoS Alerting 설정을 구성합니다.

• 완전한 Linux VM 지원 : dynamic memory support (add and remove), live backup (file consistency through new file freeze in Linux integration services), 64 vCPU SMP, virtual SCSI, and hot-add/resize of storage
• Clone a running VM 및 export a checkpoint
• Cluster Shared Volume coordinator는 자동적으로 클러스터 내의 모든 노드에 rebalance 됩니다.
• CSV 볼륨의 ReFS 지원
• In-box gateway functionality 지원 : 손 쉬운 Hyper-V Virtual Network 관리 및 소프트웨어 기반의 Hyper-V Virtual Network Gateway 기능을 지원합니다. Hyper-V Virtual Network Gateway 기능은 hybrid cloud 환경에서 필수적입니다.
• Message Analyzer : 이 도구를 사용하여 네트워크 트래픽의 원격 live 모니터링이 가능합니다. 물론, 이 도구는 GUI 기반입니다. 이 도구를 사용하여 원격 컴퓨터 및 로컬 컴퓨터의 패킷을 손 쉽게 수집할 수 있습니다.
• Enhanced Hyper-V Extensible Switch: ??
• USB pass-through : 특정 조건 하에서 USB 디바이스를 Pass-Through 디스크로 구성할 수 있습니다.
• Windows Azure Pack (formally known as Windows Azure Services for Windows Server)

이상입니다. 앞으로 더욱 자세한 소식 전달해 드릴 것을 약속 드립니다.

이동철입니다.

5월 포스팅이 좀 늦었죠 ^-^,, 점점 게을러 지는 제 모습을 보고, IT 업계의 은퇴가 얼마 남지 않았음을 느낍니다. 그래도 여러 가지 정황상 IT 일을 좀 더 해야 하는데,,, 어쩔 수 없죠,, 걍 열심히 하는 수 밖에,,,, 여러분들도 늘 파이팅 하시기를….

이번 주제는 제목과 같이 Windows Server 2012의 ADCS를 이용한 사설 Two-Tier Hierarchy PKI 설치 및 구성에 관한 내용입니다.

Two-Tier Hierarchy PKI 라고 하니,, 뭔가 대단한 것이 있을 것으로 생각하신다면,, 오해이시구요…

Two-Tier Hierarchy PKI는 Standalone Offline Root CA를 구성하고, 하위에 Enterprise Subordinate CA를 구성하는 구조입니다.

Standalone Offline Root CA는 실제 컴퓨터 인증서 및 사용자 인증서와 같은 단말 컴퓨터나 단말 사용자를 위한 인증서를 직접 발급하는 것이 아니라, 오로지 하위의 별도의 CA에만 CA 자신의 인증서만을 발급하는 인증 기관입니다.

그렇다면, 실제 컴퓨터 인증서 및 사용자 인증서와 같은 단말 컴퓨터나 단말 사용자를 위한 인증서를 직접 발급하는 역할은 바로 Enterprise Subordinate CA가 수행합니다.

그럼 이러한 복잡한 계층 구조의 PKI를 구성하는 이유는 무엇일까요? 바로 보안적인 이유 때문입니다. 즉, 실제 인증서를 단일 계층 구조의 Root CA가 직접 발급하게 되면, 해당 Root CA 서버는 항상 online 상태이어야 합니다. 이와 같이 Root CA가 항상 online 상태라면, 보안적으로 위험에 노출되는 확률이 그 만큼 높다고 봐야 합니다. 이러한 구조의 단점을 해결하기 위한 Two-Tier 또는 Mulit-Tier Hierarchy 구조로 PKI를 구성하기를 권장합니다.

실제 최상위 Root CA는 워크 그룹 서버에 설치 및 구성한 후, 네트워크에서 분리시킵니다. 분리 시킨 후, 하위에 Enterprise Subordinate CA를 설치 및 구성할 경우에, 별도의 이동 저장 장치를 통해, Enterprise Subordinate CA 자신의 인증서를 요청 및 submit 합니다. 이러한 구조를 이용하게 되면, 최상위 Root CA는 네트워크에서 분리되어 있으므로, 보안적으로 좀 더 안정적인 구조를 유지할 수 있습니다. 최상위 Root CA가 네트워크에 연결되어 있는 경우에, 해커로부터 최상위 Root CA의 Private Key를 도난 당한다면, 전체 PKI 구조를 해커가 장악할 수 있는 경우도 가정할 수 있습니다.

Two-Tier Hierarchy PKI 구조에서 아래와 같이 구성할 것을 권장합니다.

• Standalone Offline Root CA: Workgroup으로 서버 설치
• Enterprise Subordinate CA: Active Directory Domain 멤버 서버 설치

본 가이드의 데모 환경은 아래와 같습니다.

• Standalone Offline Root CA: Contoso Root CA (CA01, 192.168.0.11)
• Enterprise Subordinate CA: Contoso Issuing CA (CA02.CONTOSO.com, 192.168.0.12)

본 가이드에는 Two-Tier Hierarchy PKI를 구성한 후, 그룹 정책을 이용한 인증서 자동 발급을 위한 간단한 구성 방안도 Exercise 7에 소개했습니다. 기타 인증서에 관한 좀 더 세밀한 내용은 아래 링크를 참조하세요.

• [Dongclee 의 12월 첫번째 포스팅] 도대체 Windows OS 환경에서의 PKI는 어떻게 배포 및 관리하면 될까요? ( https://blogs.technet.com/b/dongclee/archive/2010/11/30/dongclee-12-windows-os-pki.aspx )

곧 6월입니다. 6월 포스팅은 게으름 피우지 않고 최대한 빨리 하도록 노력하겠습니다.

늘 건강하세요.

Windows Server 2012 Deploying Two-Tier PKI (Certificate Services) Hierarchy.pdf

4월 초인데 날씨가 오락가락 하네요,, 잠시 화창한 봄 날씨가 같더니,, 갑자기 비바람이 몰아치고, 누구의 마음같네요 ^-^

이 글을 쓰는 시점이 4월 초인데,, 지난 3월 말에 대한민국을 강타했던 대형 보안 사고가 터졌던 사실을 여러분들도 모두 아실 겁니다. 뭐 늘 보안을 강조하고 나름대로 기업에서 보안을 강화하고 있지만, 늘 부족한 것이 현실이지요,, 그래서 제가 이런 보안 강화를 위한 이번 블로그를 포스팅하고 있지만, 실제 보안 사고는 늘 주변에서 도사리고 있습니다. 그래도, 기업 IT 관리자 및 보안 관리자 입장에서는 보안을 최대한 신경 써야 하는 점이 숙명입니다.

이번 보안 사고를 보면서, Windows Vista 以後의 운영체제를 사용하고 있는 고객이라면, 기본적으로 제공되는 “고급 보안이 포함된 Windows 방화벽(Windows Firewall with Advanced Security)” 도구를 사용했으면, 그나마 외부 허가되지 않고 인증되지 않은 컴퓨터들부터 내부 컴퓨터를 보호할 수 있을 것으로 생각됩니다. 물론, 내부 컴퓨터에 연결된 이동 저장 장치를 통한 바이러스 침투는 “고급 보안이 포함된 Windows 방화벽”이 막을 수 없고, 이러한 침투 경로는 PC 바이러스 제품으로 보호해야 할 것입니다. 다만, “고급 보안이 포함된 Windows 방화벽” 기능을 사용하면, 외부의 허가되지 않고, 인증되지 않은 컴퓨터로부터 내부 컴퓨터로의 네트워크 연결을 事前에 차단할 수 있습니다. 다만, 이러한 내부 컴퓨터라는 정의는 기본적으로 Active Directory 내의 죠인된 클라이언트 및 서버 컴퓨터라는 제약 사항이 있습니다. Active Directory 내의 죠인된 멤버 컴퓨터들 사이에서 IPsec 통신을 사용하여 안전한 네트워크를 수행하는 기법을 “Domain Isolation” 이라고 합니다. 즉, Active Directory 내의 컴퓨터가 아닌 외부 컴퓨터들이 죠인된 멤버 컴퓨터들과 물리적으로 동일한 네트워크 대역에 연결되었을 경우에도, 실제 죠인된 멤버 컴퓨터들과 IP 수준의 네트워크 통신을 수행할 수 없습니다. 이러한 Domain Isolation 기법을 사용하면, 허가되지 않고 인증되지 않은 외부 컴퓨터들이 내부 컴퓨터들에 연결할 수 없어, 일차적으로 보안을 강화할 수 있습니다. 이미 아래 링크의 블로그에서 IPsec Service 및 Agent를 사용한 Domain Isolation 및 Server Isolation을 구현하는 방법을 설명해 드렸습니다.

• [Dongclee의 2011년 9월 첫 번째 번째 포스팅] IPsec을 이용한 Domain & Server Isolation 방법 ( https://blogs.technet.com/b/dongclee/archive/2011/09/30/dongclee-2011-9-ipsec-domain-amp-server-isolation.aspx )

그러나, 위 링크의 IPsec Service 및 Agent를 사용하여 Domain Isolation 및 Server Isolation을 구현하는 방법은 굉장히 복잡하고 어려운 작업입니다.

이러한 IPsec을 통한 Domain Isolation 및 Server Isolation을 구현하는 방법의 단점을 해결한 기능이 바로 “고급 보안이 포함된 Windows 방화벽”입니다. 고급 보안이 포함된 Windows 방화벽은 호스트-기반 방화벽과 IPsec 구현이 결합된 신규 기능입니다. 또한, 고급 보안이 포함된 Windows 방화벽은 IPsec 기반의 연결 보안 규칙을 생성할 수 있는 신규 기능도 제공합니다. IPsec 기반의 연결 보안 규칙은 컴퓨터 인증, 데이터 무결 및 데이터 기밀과 같은 중요 보안 기능을 제공합니다. 즉, “고급 보안이 포함된 Windows 방화벽”은 IPsec과 호스트-기반 방화벽이 결합된 기능이므로, 이제 더 이상 IPsec을 구현하기 위하여 복잡한 그룹 정책이 아니라, “고급 보안이 포함된 Windows 방화벽” 기반의 단순한 그룹 정책을 사용하여 손 쉽게 IPsec 통신을 구현할 수 있습니다. 특히, “고급 보안이 포함된 Windows 방화벽”은 Active Directory내에서 그룹 정책을 통하여 중앙에서 제어가 가능하므로, 로컬 컴퓨터 관리자의 방화벽 규칙 변경도 제어할 수 있는 장점이 있습니다. “고급 보안이 포함된 Windows 방화벽”의 여러 가지 기능 중에서, 본 블로그의 첨부 문서에 다룬 내용은 아래와 같습니다.

• 기본 인바운드 및 아웃바운드 방화벽 규칙을 설정하기 위하여 고급 보안이 포함된 Windows 방화벽을 사용합니다. 아래 그림은, TCP 포트 23에만 인바운드 네트워크 트래픽이 허용되도록 제한하는 Telnet 예외 규칙을 생성하는 개략적인 구성도입니다.
• 도메인 내의 모든 컴퓨터에 방화벽 설정을 구성하기 위하여 그룹 정책 개체을 생성하였고, 사용자 계정들이 이러한 도메인 수준의 방화벽 설정을 override 할 수 없음을 확인했습니다. 아래 그림은 그룹 정책에서 도메인 프로필 속성에서 로컬 컴퓨터에서 방화벽 생성을 금지하는 설정입니다.
• 도메인 멤버가 아닌 컴퓨터들이 도메인 멤버 컴퓨터들에 접근하지 못 하도록 제한하는 기본 Domain Isolation 규칙 집합을 생성했습니다. 아래 그림은 도메인 멤버 서버 및 클라이언트 컴퓨터들이 인증되고 허가된 IPsec 터널을 통해 안전하게 Telnet 통신을 하는 예제입니다.
• 승인된 그룹의 구성원인 도메인 컴퓨터들만이 민감한 정보를 소유한 서버에 접근할 수 있도록 연결 보안 규칙을 생성했습니다. 이러한 연결 보안 규칙은 Server Isolation을 구성하는 주요 방법입니다. 아래 그림은 특정 그룹의 구성원인 도메인 사용자만이 특정 서버에 연결할 수 있는 Server Isolation을 구현한 예제입니다. 즉, CORP\User1 사용자만이 WFASSVR1 서버의 Telnet에 IPsec 터널을 통해 안전하게 Telnet 통신을 연결할 수 있습니다.

• 특정 신뢰된 컴퓨터들이 도메인 수준의 차단 방화벽 규칙을 무시하도록 “차단 규칙 무시” 설정을 포함한 방화벽 규칙을 생성했습니다. 즉, “차단 규칙 무시” 설정을 포함한 방화벽 허용 규칙은 동일 트래픽에 대해서 차단 규칙에 우선하여 허용 규칙이 적용됩니다. 아래 그림은 Telnet 차단 규칙을 우선하여 Telnet 허용 규칙이 적용되는 예제입니다. 아래 그림 중앙 하단 부분에 “차단 규칙 무시”라는 설정을 확인할 수 있습니다. 즉, Telnet 허용 규칙의 속성에서 동일 트래픽의 차단 규칙을 무시하는 설정을 수행함으로써, Telnet 차단 규칙을 무시하고, Telnet 허용 규칙이 우선 적용됩니다.
• 마지막으로, IPsec 터널 모드를 구성하여, 공용 네트워크 상의 클라이언트가 내부 네트워크에 IPsec 터널을 통해 안전하게 접근할 수 있는 방법을 확인합니다. 공용 네트워크 대역에 존재하는 CLIENT1W8(131.107.0.201)에서, 특정 네트워크 주소(10.0.0.x 사설 네트워크 대역)를 목적지로 하는 네트워크 트래픽은 IPsec을 통해 보호되고, 이 IPsec 트래픽은 기본 게이트 서버(131.107.0.200 : WFASSVR1 서버의 공용 네트워크 어댑터 주소)로 라우팅됩니다. 라우팅된 IPsec 네트워크 트래픽은 해독되어 plaintext 트래픽 상태로 목적지 서버(10.0.0.1 : DC1)에 전송됩니다.

이상과 같이 본 가이드의 대표적인 내용을 개략적으로 소개해 드렸습니다. 본 가이드에서는 위 대표적인 내용이외에도 다양한 시나리오에 기반한 구현 방법을 소개해 드렸습니다. 이러한 시나리오를 여러분들의 사정에 맞게 좀 더 수정하여 사용하신다면, 훌륭한 보안 강화 방안이 될 것으로 생각됩니다.

여러분들 오늘 블로그는 내용이 좀 길었네요..

다음 번 포스팅까지 모두들 건강하게 잘 지내세요

Windows Server 2012 WFAS를 사용한 Domain Isolation 및 Server Isolation.pdf

토요일 오후 날씨 너무 좋습니다. 이런 날씨에는 전망 좋은 산에 올라가서 호연지기를 키우는 게 제격인데,,, 여러분들 바깥 공기 좀 쐬세요…

오늘 소개할 내용은 사실 제 전문 분야는 아닙니다. 저는 Windows 서버 운영 체제의 효과적인 활용을 위한 설치 및 구성이 전문 분야인데,,, 가끔 성능 데이터 분석이 필요할 때가 있는데, 그 때마다 제 한계를 느끼죠,,, 그런데, 제가 최근에 아주 좋은 성능 분석 도구를 하나 발견했어요,,, 저 같은 성능 분석 비전문가도 이 도구를 활용하면 어느 정도 수준의 성능 분석을 할 수 있습니다. 그리고, 성능 분석을 위해서 반드시 필요한 과정이 정확한 데이터 수집인데, 이 또한 비전문가에게는 어렵고도 힘든 일입니다. 그러나, 이 도구는 정형화된 다양한 스크립트를 미리 제공하여, 데이터 수집의 평이성도 제공합니다. 그럼 과연 이 도구는 무엇일까요? 바로 아래 도구입니다.

• Windows Assessment and Deployment Kit (ADK) for Windows® 8 ( https://www.microsoft.com/en-us/download/details.aspx?id=30652 )

Windows ADK는 무료로 제공되는 도구이고, Microsoft 다운로드 사이트에서 다운로드 받을 수 있습니다. 이 도구는 기본적으로 아래와 같은 구성 요소를 포함합니다.

“Windows 평가 서비스” 구성 요소는 바로 앞서 언급한 데이터 수집을 위한 다양한 스크립트를 사전에 제공합니다. 아래 그림이 “Windows 평가 서비스”에서 제공하는 다양한 시나리오를 기반으로 한 데이터 스크립트의 GUI 화면입니다. 즉, 아래 그림과 같이 다양한 시나리오에 대해서 사전에 필요한 성능 데이터 항목을 정의한 스크립트를 Windows 평가 서비스 도구에서 제공합니다.

“배포 도구” 및 “Windows 사전 설치 환경(Windows PE)” 구성 요소는 성능 수집 시에 표준(Baseline) 컴퓨터를 자동으로 배포하기 위한 도구입니다. 이 도구를 사용하여 원격으로 표준(Baseline) 컴퓨터를 자동으로 생성할 수 있습니다. 표준(Baseline) 컴퓨터를 자동으로 배포하기 위해서는 실제 물리적인 컴퓨터는 PXE 부팅이 가능한 PC이어야 합니다. 또한, 事前에 WDS 및 DHCP 인프라가 동일 네트워크에 구축되어 있어야 합니다.

본 포스팅에서는 Windows ADK 도구에서 제공하는 다양한 성능 분석 시나리오 중에서, 클라이언트 PC의 부팅 속도의 개선을 위한 방법을 소개합니다. 본 데모 환경에서는 아래와 같은 단계로 진행됩니다.

1. Windows ADK 설치 및 구성
2. Windows ADK의 자동화 스크립트, WDS 및 Windows PE를 활용하여, 표준 이미지를 표준(Baseline) 컴퓨터에 설치하는 과정을 자동화
3. Windows 평가 서비스의 스크립트를 사용하여, 표준 이미지가 적용된 표준 컴퓨터에서 표준 부팅 성능 데이터 수집을 자동화
4. Windows 평가 서비스의 스크립트를 사용하여, 부팅 속도가 느린 문제 컴퓨터에서 부팅 성능 데이터 수집을 자동화
5. 표준 부팅 성능 데이터 와 느린 부팅 성능 데이터를 비교 분석하는 과정을 통해 문제 원인 파악 및 해결

위 5단계를 수행하게 되면, 부팅 속도가 느린 컴퓨터의 원인을 손 쉽게 파악할 수 있습니다. 물론, 본 포스팅을 완벽하게 수행하고 이해한 후, 모든 부팅 성능 데이터를 완벽하게 파악할 수는 없을 수도 있습니다. 다만, 이 과정을 통해 데이터 수집 및 분석 방법을 습득하고, 다른 성능 데이터 수집 및 분석을 위한 기초 단계로 이해하셨으면 합니다.

본 데모 환경은 아래 그림과 같습니다.

본 포스팅을 하면서, 혹시라도 전문가께서 이 포스팅을 보시면, 제가 잘 못 전달한 내용이 많다는 것을 바로 아실 수 있을 겁니다. 괜찮으시면, 전문가께서는 제 포스팅에 대해서 잘못된 내용을 바로 지적해 주시면 더욱 감사하겠습니다.

다음 번 포스팅에서 찾아뵙겠습니다.

감사합니다.

Windows Server 2012 Windows Assessment and Deployment Kit.pdf

2월 초인데 엄청 눈이 내렸네요… 나이 먹으니 눈 많이 오는 것도 싫네요. 여러분들 길 미끄러우니 조심들 하세요.

오늘 여러분들에게 소개해 드릴 내용은 지난 1월에 잠시 건너 뛰었던 Windows Server 2012의 신규 기능 중의 하나인 “볼륨 정품 인증 서비스” 역할입니다. “볼륨 정품 인증 서비스”에 대한 개략적인 설명은 아래와 같습니다.

사실 “볼륨 정품 인증 서비스”는 이미 “VAMT(Volume Activation Management Tool)” 도구를 통하여 제공되었던 기능입니다. 볼륨 라이선스 미디어로 설치된 Windows 기반 OS 들의 정품 인증을 위하여, Windows Server 2012 및 Windows 8 以前 환경에서는 VAMT(Volume Activation Management Tool)을 사용하여 KMS 호스트를 구축했습니다. 그러나, KMS 호스트 기반의 정품 인증은 최소 정품 인증 클라이언트 개수(25개)가 네트워크 上에 존재해야만, 정품 인증이 진행되는 등 몇 가지 단점이 있었습니다. 그러나, Windows Server 2012에서 “볼륨 정품 인증 서비스” 를 역할로써 제공합니다. 즉, 정품 인증만을 위해서, 별도의 VAMT를 다운로드 받지 않고도, “볼륨 정품 인증 서비스” 역할을 설치 및 구성하여 볼륨 정품 인증을 구성할 수 있습니다. 또한, 旣存 KMS 호스트 정품 인증 방식 이외에, 신규로 Active Directory 기반 정품 인증 방식을 지원합니다. Active Directory 기반 정품 인증은 최소 1개의 클라이언트만 존재해도 정품 인증을 진행할 수 있는 장점이 있고, 정품 인증 개체를 Active Directory에 저장하는 장점도 제공합니다.

그럼 이제 “볼륨 정품 인증 서비스”의 3가지 방식을 간단하게 소개해 드리겠습니다.

• Active Directory 기반 정품 인증 방법

Active Directory 기반 정품 인증은 정품 인증 개체를 저장하기 위하여 AD DS(Active Directory 도메인 서비스)를 사용하는 Windows Server 2012 역할 서비스입니다. Active Directory 기반 정품 인증 방법은 볼륨 정품 인증 서비스 유지 관리 작업을 크게 단순화할 수 있습니다. Active Directory 기반 정품 인증 방법은 Windows Server 2012에서 신규로 소개된 역할 서비스입니다. Active Directory 기반 정품 인증을 사용하면, KMS 클라이언트 설정 키(GVLK)를 소유한 Windows 8 또는 Windows Server 2012 도메인 컴퓨터는 사용자 개입 없이 자동으로 정품 인증 작업이 수행됩니다. 이러한 클라이언트는 도메인 구성원으로 유지되면, 지속적으로 정품 인증될 것이며 도메인 컨트롤러와 정기적으로 연결 상태를 유지할 것입니다. 정품 인증은 “소프트웨어 보호 서비스(Software Protection Service)”가 시작된 이후에 실행됩니다. 소프트웨어 보호 서비스가 시작되면, Windows 8 또는 Windows Server 2012를 실행하는 컴퓨터는 AD DS에 자동으로 연결하고, 정품 인증 개체를 수신하고, 사용자 개입 없이 정품 인증이 수행됩니다.

• KMS 정품 인증 방법

Windows 8 및 Windows Server 2012 以前 버전의 OS에 대한 정품 인증을 위해서 반드시 KMS 호스트를 구축해야 합니다. KMS 호스트를 위한 전용 서버는 반드시 필요하지 않고, KMS는 다른 서비스와 함께 단일 서버에 존재할 수도 있습니다. KMS 호스트는 Windows Server 2012, Windows 8, Windows Server 2008 R2, Windows Server 2008, Windows 7 또는 Windows Vista SP1이나 SP2를 실행하는 모든 물리적 또는 가상 시스템에서 실행할 수 있습니다. Windows 8, Windows 7 또는 Windows Vista에서 실행되는 KMS 호스트는 클라이언트 운영 체제를 실행하는 컴퓨터만을 정품 인증할 수 있습니다. 다음 표는 Windows Server 2012 및 Windows 8 클라이언트를 포함하는 인프라를 위한 KMS 호스트 및 클라이언트 요구 사항에 대한 요약입니다.

• MAK 정품 인증 방법

MAK는 마이크로소프트가 직접 운영하는 정품 인증 서비스로써, 일회성 정품 인증을 지원합니다. 각 MAK 키에는 허용된 정품 인증 횟수가 미리 정해져 있습니다. 횟수는 볼륨 라이선스 계약에 의해 제한되며, 조직의 정확한 라이선스 개수와는 일치하지 않습니다. MAK를 사용한 각 정품 인증은 정품 인증 제한 개수까지 카운트합니다. MAK 정품 인증은 회사 네트워크에 자주 또는 전혀 연결하지 않는 컴퓨터에 권장되며, 정품 인증이 필요한 물리적 컴퓨터 수량이 KMS 정품 인증 임계 값에 맞지 않는 환경에서 권장됩니다.

본 데모 환경에서는 “Active Directory 기반 정품 인증” 및 “KMS 정품 인증” 방법 2개에 대한 step-by-step 가이드를 제공합니다. 기본적인 데모 환경은 아래와 같습니다.

또한, 본 문서에는 “볼륨 정품 인증 서비스” 구현을 위해 사전에 고려해야 할 클라이언트 유형, 조직 내의 네트워크 특성에 대해서도 언급하였으므로, 여러분들께서는 이러한 고려 사항을 숙지하셔야 여러분들 조직에 맞는 “정품 인증 서비스” 인프라를 구성해야 합니다.

여러분들 아직 날씨가 쌀쌀합니다. 건강에 유의하세요.

P.S.) 참고로 이번 포스팅의 첨부 문서는 상당 부분 Technet 한글 자료를 차용했고, 제가 설명 및 스크린샷을 추가했음을 미리 알려 드립니다. 이 점 양해해 주세요 ^-^ 

Windows Server 2012 Volume Activation.pdf

계사년(癸巳年) 새해가 밝았습니다. 새해 인사가 너무 늦었죠,,, 제가 1월도 포스팅이 너무 늦었네요,, 늘 반성하고 다시 각오를 다져봅니다.^-^

오늘 말씀드릴 주제는 바로 “RDP 프로토콜의 보안 강화 방안”입니다. 사실 이 주제는 예전부터 제가 정리를 한 번 할려고 했는데, 제 주변의 동료가 문의를 해 와서 이번 기회에 정리를 하게 되었네요….

RDP는 Windows Server 2000 이후로 제공되는 윈도우 서버의 원격 접근을 가능하게 해 주는 프로토콜입니다. 그런데, RDP 클라이언트와 RDP 서버 사이의 네트워크 트래픽 보안성이 사용자 입장에서 늘 걱정이었습니다. 대표적으로 RDP 프로토콜은 “MITM(Man-In-The-Middle)” 공격에 취약한 부분이 존재하고 있는 것이 사실입니다. 아래 그림은 MITM 공격의 한 예제 그림입니다.

즉, 위 그림과 같이 공격자가 원본 연결이 아닌 가공의 연결을 중간에 설정하여 RDP 클라이언트와 RDP 서버 사이의 데이터를 위변조 할 수 있는 취약성이 존재합니다.

이러한 MITM 공격으로 부터 RDP 프로토콜을 보호하기 위한 방안은 대표적으로 아래와 같이 총 4개 정도의 방법이 존재합니다.

• Network Level Authentication (NLA)
• Pure SSL/TLS
• 네트워크 레벨의 보안 강화 (ex, IPSec)
• VPN 터널링

위 4가지 방법 중에서 NLA 및 Pure SSL/TLS 방법이 Windows Server 2003 R2, 2008, 2008 R2, 2012 의 RDP 자체에서 구현할 수 있는 가장 최적의 방안입니다. 나머지 IPSec 및 VPN은 별도의 서버 및 구현 기술이 필요하므로, 사실 운영자 입장에서는 고려 대상이 아닐 수도 있지만, 일단 RDP 프로토콜의 MITM 공격을 예방할 수 있는 방안이 될 수도 있습니다.

아래 표는 NLA 및 Pure SSL/TLS의 구성 가능한 서버 범위 및 실제 접근 가능한 클라이언트 OS를 정리한 표입니다.

서버가 Windows Server 2008 이후 버전이라면, NLA를 반드시 사용하는 것이 RDP 프로토콜의 보안 강화의 가장 적합한 방법입니다. NLA의 특징은 아래와 같습니다.

• 네트워크 수준 인증은 사용자가 세션을 만들기 전에 RD 세션 호스트 서버에 인증하도록 요구함으로써 RD 세션 호스트 서버 보안을 강화하는 데 사용할 수 있는 인증 방법입니다.
• 네트워크 수준 인증은 원격 데스크톱 연결을 설정하고 로그온 화면이 나타나기 전(前)에 사용자 인증을 완료합니다. 이는 보다 안전한 인증 방법으로, 악의적인 사용자와 악성 소프트웨어로부터 원격 컴퓨터를 보호하는 데 도움이 됩니다. 네트워크 수준 인증의 이점은 다음과 같습니다.
• 초기에 필요한 원격 컴퓨터 리소스가 더 적습니다. 원격 컴퓨터는 이전 버전에서처럼 전체 원격 데스크톱 연결을 시작하는 대신 사용자를 인증하기 전에 제한된 수의 리소스를 사용합니다.
• DoS(서비스 거부) 공격의 위험을 줄임으로써 보안 향상에 도움을 줄 수 있습니다.

실제 NLA 인증 방법을 구현하는 프로토콜은 Microsoft CredSSP 입니다. Microsoft CredSSP 프로토콜의 특징은 아래와 같습니다.

CredSSP는 RDP 클라이언트와 RDP 서버 사이의 암호화된 채널을 형성하기 위해 TLS(TransportLayer Security)를 사용합니다. 암호화된 채널로써 TLS 연결을 사용하게 되면, TLS에서 가용한 클라이언트/서버 인증서비스 뿐만 아니라, 신분(Identity)을 검증할 수도 있습니다. CredSSP 프로토콜은 GSS(Generic Security Services) 메커니즘을 협상하기 위해 SPNEGO(Simple and Protected Generic Security Service Application Program Interface Negotiation Mechanism) 프로토콜 확장을 사용합니다. TLS 채널에 안전하게 바인딩 및 RDP 목적 서버의 Credential을 암호화하기 위해, GSS 메커니즘은 상호 인증 및 GSS 비밀 서비스를 수행합니다. 모든 GSS 보안 토큰은 암호화된 TLS 채널을 통하여 전송됩니다. 이러한 토큰의 종류는 NTLM, Kerberos 또는 PKI 인증 등이 있습니다.

NLA는 RDP 서버와 RDP 클라이언트의 상황에 따라, NLA with Kerberos, NLA with NTLM 및 NLA with SSL/TLS 인증 방법이 사용됩니다,  좀 더 자세한 사항은 본문을 참조하시면 될 것 같습니다.

본 문서에서는 Active Directory Certificate Service 인프라를 사용하여, RDP 전용 인증서 구성 및 설치를 그룹 정책을 통해 진행할 수 있는 방법을 step-by-step으로 제공합니다. 데모 환경은 아래와 같습니다.

여러분들,,, 이제 무의식적으로 RDP 프로토콜을 허술하게 사용하지 마시고, NLA 또는 Pure SSL/TLS 를 RDP 프로토콜에 바인당하여 좀 더 안전하게 RDP 프로토콜을 사용하세요…

2월 포스팅에서 다시 찾아뵙겠습니다. 여러분들 건강 조심하세요.

아참 첨부 문서의 Appendix 항목은 약간의 영어가 존재함을 양해해 주세용 ^-^

Windows Server 2012 MITM 공격 예방을 위한 TS 및 RDP의 서버 인증 구성 방법.pdf