ISP 사업자의 공유기 검출법
신형 IMS(Internet sharing Management System) 의 원리
구성은 각 노드의 말단부 스위치(대게 다산5124스위치) 와 백본이 연결되는 CISCO GSR 사이에 광탭을 설치후 패키을 미러링하면 이를 오가는 패킷이 500Mpps 이상의 속도를 지원하는 L4 스위치로 복사되어 올라가고 그중 HTTP_GET 패킷만 걸러내어 IMS서버로 송출합니다. (단방향이지만 엄청난 스피드를 요구합니다.)
어떤 PC의 IP주소에서 사이트A와 사이트B를 거의 비슷하게 접속해서 서핑을 한다고 한다면, 두 서버와 통신하는 패킷의 시퀀스넘버가 유사하게 매겨지는 경향이 있습니다. 그런데 만약 특정 IP주소에서 나오는 GET 메소드를 가진 패킷 여러개를 분석해보니 한쪽은 #34590 이고 다른 한쪽은 #6970 이라면 분명 두 PC에서 서로 다른 웹사이트를 접속하고 있는 것이라고 판단할 수 있는 것입니다. IMS서버는 이러한 방식으로 특정 가입자IP에 인터넷공유중임을 예측하게 됩니다.
IMS서버와 가입자노드 스위치(다산)는 IEEE802.1x 인증으로 연동되어 있고 이렇게 검출된 IP주소에 대해서 IMS서버는 해당 IP주소의 MAC를 쿼리하여 DB에 즉시 저장하고 있다가, 스위치에서 넘어오는 Auth패킷(인증요구)중 Station ID가 그 MAC을 담고 있을 경우 거부패킷으로 응답하고, 그 스위치에서 가입자의 MAC(공유기겠죠) 이 블러킹모드에 빠집니다.
아직 IMS가 넘어야 할 산이 많습니다.
IMS에서 당장구현 가능한것이 HTTP_GET 밖에 없어서 검출의 정확도가 떨어지는데 차후로는 다양한 L7패킷을 Parsing 할수 있도록 구현이 되어야 한다는 점.. 그리고 현재 가장 걸림돌이 가격이겠지요.
광탭 상단에 필터링 역할을 할 L4 스위치에서 다양한 L7 패킷을 Parsing해서 필터링 해내야 한다는 선결과제가 있습니다. 현재 CISCO OSR스위치를 이용하여 IOS버전 12.3T_KT 라는 KT전용 펌웨어에 HTTP_GET을 임의로 구현해 놓은 상태입니다.. 원칙적이라면 L7 스위치를 써야하는데 L7은 느려서 안되구요. 포워딩 속도는 L4급이면서 L7급의 다양한 패킷을 필터링 해내야 하는 어떻게 보면 비현실적인 요구를 KT측에서 하고 있습니다. 물론, 가격은 일반 CISCO OSR 스위치보다 절반정도 가격으로 맞춰야 된다는 문제점도 있다보니 본격적인 IMS구축에 시동을 못걸고 있는 것입니다.
포트밀도라든지 패킷스위칭속도에 그 정도 가격이라면 force10 정도밖에 대안이 없는데 IOS차원에서 KT의 요구사항 (커스터마이징이라고 하죠)을 들어줄 만한 밴더가 없는 현실이라 250억 짜리 사업이 완전 정지되어 있는 상탭니다.
