FTD에서 SSL/TLS 암호 해독에 대한 성능 영향 및 모범 사례 확인
목차
문제
사용자는 FTD(Firewall Threat Defense) 디바이스에서 SSL/TLS 암호 해독을 활성화할 계획이며 구현 전에 디바이스 성능에 미칠 수 있는 영향을 이해해야 합니다. 주요 우려 사항은 다음과 같습니다.
방화벽 처리량, 레이턴시, 전반적인 트래픽 처리 성능에 영향을 줍니다.
암호 해독을 활성화한 후 예상 CPU 및 메모리 사용률이 증가합니다.
특정 FTD 모델에 대한 크기 조정 지침 및 성능 벤치마크
동시 암호 해독된 세션에 대한 권장 제한.
프로덕션 구축을 위한 모범 사례 및 사전 요구 사항
환경
Firepower 4115. 다른 하드웨어 플랫폼도 영향을 받을 수 있습니다.
FTD 버전 7.4.2(빌드 172). 다른 소프트웨어 버전도 영향을 받을 수 있습니다.
SSL/TLS 암호 해독 기능을 고려해야 합니다.
프로덕션 환경 구축 계획.
해결
SSL/TLS 해독은 처리 오버헤드를 Firepower(4115)에 추가하지만, 실제 영향은 얼마나 많은 트래픽이 해독되고, 해독 후 어떤 검사가 적용되는지에 크게 의존한다.
성능 영향 분석
SSL/TLS 해독 영향은 다음과 같습니다.
더 낮은 유효 처리량.
더 높은 레이턴시.
Snort/검사 CPU 사용량 증가
CPU 및 메모리 증가는 실제 트래픽 프로필 분석 없이 고정된 비율로 정확하게 예측할 수 없습니다.
FPR 4115 성능 벤치마크
Cisco에서 게시한 Firepower 4115 벤치마크 사양:
TLS 하드웨어 암호 해독 처리량: 6.5Gbps.
FW + AVC 처리량: 33Gbps.
AVC를 통한 최대 동시 세션 수: 1,500만
AVC를 통한 초당 최대 신규 연결 수: 210K.
중요한 크기 조정 참고 사항: 6.5Gbps TLS 하드웨어 암호 해독 벤치마크는 특정 테스트 조건을 기반으로 합니다. 트래픽의 상당 부분을 해독하거나, 해독된 트래픽을 침입/파일/악성코드 정책으로 검사하거나, 수명이 짧은 TLS 세션을 많이 처리할 경우 프로덕션 처리량이 낮아질 수 있습니다.
Cisco는 FTD 7.4.2의 Firepower 4115에 대해 별도의 "동시 암호 해독된 최대 세션 수"를 게시하지 않습니다. 실제로 트래픽 믹스, 동시 세션, 연결 속도, 암호 그룹 및 검사 정책 로드를 사용하여 용량을 검증합니다.
권장 프로덕션 구축 방식
1단계: 제한된 파일럿으로 시작
초기에 광범위한 "decrypt all" 규칙을 활성화하지 마십시오.
선택한 사용자, 서브넷 또는 대상 카테고리로 시작합니다.
검사가 필요하지 않은 트래픽에 대해서는 Do Not Decrypt를 사용하여 기본 처리 보수성을 유지합니다.
2단계: 일반적으로 암호 해독으로 중단되는 트래픽 제외
금융 사이트.
의료 포털.
인증서 고정 애플리케이션.
일부 SaaS(Software as a Service) 및 엔드포인트 보안/클라우드 애플리케이션
명시적으로 테스트하지 않는 한 중요한 비즈니스 크리티컬 애플리케이션.
3단계: SSL 규칙을 간단하게 유지하고 신중하게 순서 지정
특정 Do Not Decrypt 제외를 더 광범위한 암호 해독 규칙 위에 둡니다.
가능한 경우 지나치게 광범위하거나 복잡한 일치를 피하십시오.
Decrypt-Resign/Known-Key 규칙에는 TLS 버전 또는 암호 그룹 조건을 사용하지 마십시오. Cisco 문서에서는 이 경우 예기치 않은 동작이 발생할 수 있습니다.
4단계: 인증서 준비 상태 검증
아웃바운드 Decrypt-Resign의 경우 클라이언트 엔드포인트에서 서명 CA 인증서를 신뢰해야 합니다.
인바운드 Known-Key 암호 해독의 경우 방화벽에 올바른 서버 인증서/개인 키 자료가 있어야 합니다.
5단계: 배포 중 모니터링
전체 CPU 및 더욱 중요한 Snort/검사 CPU 사용률을 추적합니다.
동시 연결 및 초당 새 연결 추적
연결 이벤트에서 SSL 흐름 상태/핸드셰이크 오류를 검토합니다.
TLS 오버서브스크립션 지표 및 애플리케이션별 오류를 확인합니다.
CPU를 모니터링하는 방법에 대한 자세한 내용은 다음을 참조하십시오.
연결 추적 및 초당 새 연결 확인:
연결 이벤트 검사 및 TLS 오버서브스크립션 표시기 검사에서 SSL 흐름 상태/핸드셰이크 오류를 추적하려면
6단계: 다음과 같은 경우 롤백하거나 범위를 좁힙니다.
지속적인 검사 CPU 포화.
사용자가 볼 수 있는 레이턴시가 증가합니다.
TLS 핸드셰이크 실패.
암호 해독 후 비즈니스 애플리케이션이 실패했습니다.
오버서브스크립션 또는 과도한 SSL 오류입니다.
7단계: TLS 1.3의 영향 고려
TLS 1.3 채택은 특정 핸드셰이크 및 검사 특성이 TLS 1.2와 다르므로 가시성 및 동작에 영향을 미칠 수 있습니다.
원인
SSL/TLS 해독에는 트래픽 흐름을 해독, 검사 및 다시 암호화하는 데 추가 계산 리소스가 필요합니다. 성능 영향은 트래픽 패턴, 해독된 트래픽에 적용된 검사 정책, 특정 구축 컨피그레이션에 따라 크게 달라집니다. 적절한 계획과 점진적인 구현이 없으면 기업은 생산 환경에서 예기치 않은 성능 저하를 겪을 수 있습니다.
관련 콘텐츠
개정 이력
| 개정 | 게시 날짜 | 의견 |
|---|---|---|
1.0 |
07-Aug-2026
|
최초 릴리스 |
피드백