Cisco 300-415: 컨트롤러 온보딩, 인증서 및 보안 제어 연결 — 학습 가이드

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

다음의 일부입니다: Cisco SD-WAN 300-415 ENSDWI — 학습 가이드. 검증된 답안으로 연습하기: Cisco 시험 허브, 또는 다음에서 시간 제한 모의고사 풀기: ExamRoll.io.

개요

Cisco SD-WAN은 인증서 기반 컨트롤 플레인을 사용하여 컨트롤러와 WAN Edge 디바이스를 안전하게 온보딩하고, NAT 경계를 통과하며, 암호화된 컨트롤 연결을 유지합니다. vBond 오케스트레이터 역할, 인증서 수명 주기, 디바이스 인벤토리 및 NAT 전략을 올바르게 설계하면 예측 가능한 온보딩과 복원력 있는 컨트롤을 보장할 수 있습니다. 운영팀은 컨트롤 연결 상태와 알람을 인지하고 인증서 또는 연결 장애에 대한 복구 계획을 갖추어야 합니다.

오케스트레이션 및 보안 컨트롤 연결

vBond 오케스트레이터는 모든 WAN Edge의 첫 번째 컨트롤 플레인 접점입니다. 세 가지 중요한 기능을 수행합니다.

• 승인 및 ID 확인: 디바이스 ID(승인된 목록의 시리얼/섀시와 대조)를 검증하고 조직 이름(organization-name) 일치를 강제합니다.
• NAT 탐지 및 랑데부: 각 피어의 공인/사설 주소-포트 튜플과 NAT 유형을 학습한 후, 양측에 알려 직접적인 컨트롤 연결을 형성할 수 있도록 합니다.
• 초기 연결 정보 교환: WAN Edge에 연결 가능한 vSmart 및 vManage 컨트롤러 주소를 제공하여 영구적인 컨트롤 채널을 구축할 수 있도록 합니다.

주요 속성 및 동작:

• 공인 IP 연결성: vBond는 공인 IP(권장)에 위치하거나 일관된 인바운드 매핑을 가진 1:1 고정 NAT 뒤에 있어야 합니다. 이를 통해 알 수 없거나 제한적인 NAT 환경에 있는 디바이스가 vBond에 도달할 수 있음을 보장합니다.
• 영구적인 컨트롤러 피어링: vBond는 vSmart 컨트롤러와 영구적인 연결을 유지하여 항상 최신 랑데부 정보를 가집니다.
• 데이터 경로에 관여하지 않음: 초기 정보 교환을 중개한 후 vBond는 플로우에서 빠집니다. 이후의 지속적인 컨트롤은 WAN Edge와 vSmart/vManage 간에 직접 이루어집니다.

DTLS/TLS 전송 및 포트:

• 컨트롤 플레인 연결의 기본 프로토콜은 DTLS over UDP 12346입니다. TCP 검사/프록시가 표준인 데이터 센터에서는 TLS over TCP 23456을 사용할 수 있으며 종종 선호됩니다.
• vBond는 컨트롤러 인증서를 사용하고 대체 포트가 구성되지 않은 경우 기본적으로 포트 12346을 사용합니다.
• 다음에 대한 아웃바운드 및 반환 트래픽을 허용해야 합니다.
  • UDP 12346 (DTLS 컨트롤 플레인)
  • TCP 23456 (TLS 컨트롤 플레인)
• 데이터 플레인 IPsec NAT-T는 UDP 4500을 사용하며 컨트롤 플레인 선택과는 무관합니다.

NAT 고려 사항:

• Full-cone 및 restricted NAT는 일반적으로 DTLS 홀 펀칭으로 작동합니다. symmetric NAT가 가장 까다롭습니다. 양쪽 끝이 모두 symmetric NAT 환경인 경우, TLS(TCP 23456)를 사용하거나, 아웃바운드 정책을 변경하여 포트 매핑을 유지하거나, 한쪽이 공인/restricted NAT를 사용하도록 해야 합니다.
• NAT 뒤에 있는 vBond는 12346/UDP(TLS 사용 시 23456/TCP 포함)에 대한 1:1 고정 매핑이 필요합니다. vBond에서의 동적 PAT는 지원되지 않습니다.
• 오래된(Stale) NAT 바인딩은 컨트롤 터널을 끊을 수 있습니다. keepalive를 조정하고 VPN 0에서 일관된 이그레스 인터페이스를 사용하도록 보장해야 합니다.

설계 팁:

• 복원력을 위해 최소 두 개의 vBond 인스턴스를 별개의 공인 리전에 배치하십시오.
• 엄격한 이그레스 제어나 광범위한 UDP 스로틀링이 있는 환경에서는 TLS를 선호하십시오. 컨트롤러와 WAN Edge 전반에 걸쳐 일관된 구성을 보장해야 합니다.

ID, 인증서 및 조직 검증

모든 컨트롤러와 WAN Edge 디바이스는 동일한 신뢰할 수 있는 루트에 연결되는 인증서를 제시해야 하며, 오버레이 전체에서 조직 이름(organization-name)이 일치해야 합니다.

인증서 역할 및 소스:

• 컨트롤러 (vManage, vSmart, vBond): 선택한 루트(엔터프라이즈 CA 또는 공인 CA)가 서명한 컨트롤러 인증서를 요청하고 설치합니다. vManage가 이들의 수명 주기를 오케스트레이션합니다.
• WAN Edge ID:
  • vEdge 하드웨어: 공장 출하 시 설치된 인증서와 함께 제공됩니다.
  • IOS XE SD-WAN (cEdge): PnP ID를 위해 Cisco SUDI를 사용한 후, 컨트롤러가 사용하는 것과 동일한 루트가 서명한 컨트롤러 인증서를 발급받습니다.
• 클라우드 호스팅 컨트롤러: 공급자가 서명한 인증서와 알려진 신뢰 체인과 함께 제공됩니다. WAN Edge는 이 체인을 신뢰해야 합니다. 신뢰 앵커가 일치하지 않으면 클라우드 CA에 맞춰 디바이스 컨트롤 인증서를 재발급해야 합니다.

수명 주기 단계:

• 등록: 컨트롤러 CSR은 vManage에서 생성되고 선택한 CA에 의해 서명됩니다. WAN Edge는 ZTP/PnP 중에 자동으로 등록되거나 수동 부트스트랩을 통해 등록됩니다.
• 검증: 핸드셰이크 중에 피어는 인증서 체인, 만료일, 폐기 상태(구성된 경우) 및 조직 이름을 검증합니다.
• 갱신 및 폐기: vManage는 만료를 모니터링하고 갱신할 수 있습니다. 손상되거나 폐기된 디바이스의 인증서는 폐기해야 하며, 재결합을 방지하기 위해 승인된 시리얼 목록에서 제거해야 합니다.

일반적인 검증 실패 원인:

• 조직 이름 불일치: 컨트롤 연결이 실패합니다. 상태는 조직 이름 불일치 또는 인증서 미검증을 나타냅니다.
• 혼합된 신뢰 체인: 서로 다른 루트에 의해 서명된 컨트롤러와 엣지는 컨트롤 세션을 형성할 수 없습니다.
• 시간 불일치: 인증서가 아직 유효하지 않거나 만료된 것으로 나타납니다. VPN 0에서 NTP 설정은 필수입니다.
• FQDN/SAN 문제 (TLS): TLS가 강제되고 FQDN 검증이 활성화된 경우, SAN/CN 불일치로 인해 연결이 실패합니다.

디바이스 온보딩, PnP/ZTP 및 인벤토리 제어

온보딩은 디바이스 ID 검증, 제로 터치 프로비저닝(zero-touch provisioning), 인증서 기반 제어 연결 자동화를 조합한 것입니다.

인벤토리 및 권한 부여:

• 권한 있는 시리얼 목록: vManage는 허용된 WAN Edge 디바이스 목록을 저장합니다. Smart Account 동기화를 통해 채우거나, Smart Account Sync를 사용하지 않는 경우 vManage에 권한 있는 시리얼 번호 파일을 수동으로 업로드하여 채웁니다.
• 시리얼 번호 vs. 섀시 번호: 둘 다 고유 식별 및 스푸핑 방지에 사용됩니다. 수동 온보딩 중 vEdge에 대한 토큰이 필요할 수 있습니다.

제로 터치 흐름:

• vEdge ZTP: 디바이스는 공장 프로필을 사용하여 ZTP 서비스에 도달하고, vBond 오케스트레이터를 학습한 후, ID 확인 및 랑데부(rendezvous)를 위해 vBond로 DTLS/TLS를 시작합니다. 그런 다음 vSmart와 OMP 지원 제어 연결을 형성하고 vManage와 관리 연결을 형성합니다.
• IOS XE SD-WAN (cEdge) PnP: 디바이스는 SUDI를 사용하여 HTTPS를 통해 Cisco Plug and Play로 인증하며, 이는 컨트롤러 연결 정보를 반환합니다. 대안으로, DHCP 옵션 43/DNS 또는 day-0 USB 부트스트랩을 통한 온프레미스 PnP를 사용할 수 있습니다. vBond 승인 후, 디바이스는 템플릿 연결을 위해 vManage로 리디렉션됩니다.
• 제어 연결이 설정된 후, vManage는 템플릿을 푸시하고 vSmart는 라우트, 정책, 암호화 키를 배포하기 위해 OMP 피어링을 시작합니다.

운영 확인 사항:

• 시스템 구성의 organization-name이 오버레이와 정확히 일치하는지 확인합니다.
• VPN 0 IP 라우팅, DNS(FQDN을 사용하는 경우), NTP를 확인합니다.
• vBond/vSmart/vManage 방향으로 필요한 포트를 열고 반환 트래픽(return flow)을 허용합니다.

오케스트레이터의 최소 vBond 지정:

system
 vbond 203.0.113.10 local
 organization MyCompany

운영: 상태, 알람, 검증 및 복구

컨트롤 연결 상태 및 알람:

• 일반적인 상태: down, connecting/handshake, authenticated, up. 장애 시 certificate error, org mismatch, no response, NAT failure 등의 오류가 표시될 수 있습니다.
• vManage에서 흔히 발생하는 알람에는 Control Connection Down, OMP Peer Down, Certificate Expiring/Expired, Device Not in Authorized List, Organization Mismatch 등이 있습니다.

검증 명령어 (IOS XE SD-WAN):

show sdwan control connections
show sdwan control local-properties
show sdwan omp peers
show sdwan certificate status
show sdwan software

검증 명령어 (vEdge):

show control connections
show control local-properties
show omp peers
show certificate installed

문제 해결 및 복구 워크플로우:

• ID 및 조직 이름(org-name):
  • vManage Inventory에 해당 디바이스가 올바른 시리얼/섀시 번호로 표시되는지 확인합니다.
  • 모든 노드에서 시스템의 organization-name을 확인합니다.
• 시간 및 신뢰(trust):
  • VPN 0에서 NTP 도달 가능성을 보장하고, 인증서 유효 기간을 다시 확인합니다.
  • 컨트롤러와 엣지 디바이스의 인증서 체인을 검증하고, 루트 인증서가 다를 경우 재발급합니다.
• 연결성 및 NAT:
  • WAN Edge 이그레스(egress)에서 UDP 12346 및 TCP 23456 포트로 vBond에 도달할 수 있는지 확인합니다.
  • 대칭형(Symmetric) NAT가 DTLS를 방해하는 경우, TLS를 강제하거나 이그레스 정책을 조정하여 아웃바운드 매핑을 고정합니다.
• 재등록 및 갱신:
  • 디바이스 인증서가 손상되거나 만료된 경우, vManage에서 폐기하고 승인된 목록에서 제거한 후 다시 추가하여 재등록(PnP/ZTP 또는 수동 설치)을 트리거합니다.
  • 클라우드 호스팅 마이그레이션의 경우, 컨트롤러 및 WAN Edge 인증서를 클라우드 CA로 재발급하여 신뢰 앵커(trust anchor)를 일치시킨 다음 컨트롤 연결을 다시 시작합니다.
• 운영 건전성:
  • 컨트롤러 클러스터를 정상 상태로 유지합니다(예: 확장을 위한 vManage 클러스터).
  • FQDN 기반 컨트롤러 주소 지정을 위해 일관된 DNS를 유지하고, 컨트롤러의 이름을 바꾸거나 IP를 변경할 때 SAN을 업데이트합니다.

NAT 및 포트 트레이드오프:

• DTLS(UDP)는 오버헤드가 낮고 성능이 더 좋은 경우가 많지만, 속도 제한이 있는 UDP 및 대칭형(Symmetric) NAT에 민감합니다. TLS(TCP)는 잠재적인 Head-of-Line 블로킹을 감수하는 대신, 엄격한 방화벽을 더 쉽게 통과할 수 있게 해줍니다.
• vBond는 항상 높은 도달 가능성을 유지해야 합니다. vBond의 퍼블릭 도달 가능성이나 인바운드 매핑을 손상시키는 것은 온보딩 실패의 빈번한 근본 원인입니다.

실제 문제 시나리오

Acme Retail Corp.는 새로운 Cisco SD-WAN 패브릭에 600개의 지점을 온보딩하고 있으며, 이 중 다수는 ISP가 관리하는 대칭형(Symmetric) NAT 뒤에 있습니다. 초기 파일럿 단계에서 컨트롤 플레인 설정이 간헐적으로 이루어지고 DTLS 실패가 빈번하게 발생했습니다.

접근 방식:

1. 이중화된 퍼블릭 vBond 오케스트레이터 배포

   • 근거: 두 개의 vBond 인스턴스를 별개의 퍼블릭 IP(서로 다른 리전/ISP)에 배치하여 초기 도달 가능성을 극대화하고 NAT 탐색을 가속화합니다. 퍼블릭 주소 지정은 프로바이더 NAT로 인한 모호성을 피하고 예측 가능한 반환 트래픽을 지원합니다.

2. NAT가 많은 리전에서 컨트롤 플레인에 TLS 강제 적용

   • 근거: 대칭형(Symmetric) NAT를 사용하는 지점은 UDP 홀 펀칭(hole punching)에 어려움을 겪습니다. TCP 23456을 통한 TLS는 상태 기반 방화벽과 ISP CGN을 안정적으로 통과하게 하여, OMP나 키 분배에 영향을 주지 않으면서 DTLS 관련 플랩(flap)을 줄입니다.

3. organization-name 및 컨트롤러 신뢰 앵커(trust anchor) 표준화

   • 근거: 모든 컨트롤러와 WAN Edge를 동일한 루트 CA(Acme가 선택한 엔터프라이즈 PKI)에 맞춥니다. vManage, vSmart, vBond 및 모든 디바이스 템플릿에 시스템의 organization-name을 동일하게 구성하여 조직 불일치로 인한 거부를 방지합니다.

4. vManage에 승인된 시리얼 목록 사전 로드 및 PnP/ZTP 자동화

   • 근거: Smart Account 동기화를 통해 전체 디바이스 인벤토리를 가져와 각 디바이스가 vBond에서 ID 확인을 통과하도록 보장합니다. cEdge의 경우 Cisco PnP와 SUDI를 사용하고, vEdge 하드웨어의 경우 토큰과 시리얼이 있는지 확인합니다. 이를 통해 수동 오류를 제거하고 가동 시간을 단축합니다.

5. VPN 0 도달 가능성 및 시간 동기화 강화

   • 근거: VPN 0에 일관된 기본 경로/DNS를 정의하고, 모든 지점에서 도달 가능한 퍼블릭 또는 기업 NTP 서버를 지정합니다. 정확한 시간은 TLS 핸드셰이크를 중단시키는 “아직 유효하지 않음/만료됨” 인증서 오류를 방지합니다.

6. 방화벽 규칙 및 NAT 동작 정규화

   • 근거: vBond/vSmart/vManage IP로 향하는 아웃바운드 TCP 23456 및 UDP 12346을 허용하고 매핑 수명이 긴 지점 이그레스(egress) 정책을 게시합니다. ISP가 대칭형(Symmetric) NAT를 강제하는 경우, 적어도 하나의 컨트롤러 경로가 TCP 통과를 지원하도록 보장합니다.

7. 타겟 검증 및 알람을 통한 운영 계측

   • 근거: Day-1 스크립트에 “show sdwan control connections” 및 “show sdwan certificate status” 확인을 포함시킵니다. vManage에서는 Control Connection Down 및 Certificate Expiring 알람을 구독합니다. 이를 통해 잘못 구성된 사이트를 신속하게 파악하고 만료 전에 갱신을 알립니다.

8. 인증서 또는 연결 장애에 대한 복구 런북(runbook) 수립

   • 근거: vManage에서 디바이스 인증서를 폐기/재발급하고, 필요한 경우 시리얼을 다시 업로드하며, 완화 조치로 DTLS/TLS를 전환하는 단계를 정의합니다. 서비스 중단 없이 컨트롤러 인증서를 교체하고 vBond 인스턴스 간에 페일오버하는 절차를 포함합니다. 이를 통해 롤아웃이 가장 활발한 시기에 MTTR을 최소화합니다.

퍼블릭에서 도달 가능한 vBond, NAT가 제한적인 환경에서의 TLS 컨트롤 플레인, 엄격한 ID 관리, 운영 가드레일을 결합함으로써 Acme Retail은 SD-WAN 컨트롤 플레인의 보안과 복원력을 유지하면서 대규모 환경에서 예측 가능한 온보딩을 달성합니다.

← Cisco SD-WAN 패브릭 아키텍처 및 플레인 · 모든 도메인 · OMP →

이 문제 연습하기 → · ExamRoll.io에서 시간 제한 연습 →