이 페이지에서는 NFS 파일 잠금을 사용 설정하기 위해 방화벽 규칙을 구성해야 하는 경우를 설명합니다.
방화벽 인그레스 규칙 구성이 필요한 조건
다음과 같은 경우 Filestore 인스턴스에서 클라이언트로 가는 트래픽을 지원하도록 방화벽 인그레스 규칙을 만들어야 합니다.
- Filestore 인스턴스에 액세스하는 애플리케이션에서 NFS 파일 잠금을 사용 중입니다.
사용 중인 VPC 네트워크에
statd또는nlockmgr데몬에 사용되는 포트 또는 TCP 포트 111을 차단하는 방화벽 규칙이 있습니다. 해당 클라이언트에서statd및nlockmgr데몬에 사용되는 포트를 보려면 현재 포트 설정을 확인합니다.statd및nlockmgr포트가 설정되지 않았고 언제든지 방화벽 규칙을 구성해야 할 수 있으면, 모든 클라이언트 VM 인스턴스에서 이러한 포트를 일관적으로 설정하는 것이 좋습니다. 자세한 내용은 NFS 포트 설정을 참조하세요.
방화벽 이그레스 규칙 구성이 필요한 조건
다음과 같은 경우 클라이언트에서 Filestore 인스턴스로 가는 트래픽을 지원하도록 방화벽 이그레스 규칙을 만들어야 합니다.
- 사용 중인 VPC 네트워크에 Filestore 인스턴스에서 사용하는 IP 주소 범위에 대한 방화벽 이그레스 규칙이 있는 경우
- 방화벽 이그레스 규칙이 TCP 포트 111, 2046, 2049, 2050, 4045로 들어오는 트래픽을 차단하는 경우
Filestore 인스턴스 페이지에서 또는 gcloud filestore instances describe를 실행하여 모든 Filestore 인스턴스에 대해 예약된 IP 주소 범위를 가져올 수 있습니다. 자세한 내용은 특정 인스턴스에 대한 정보 얻기를 참조하세요.
VPC 네트워크 방화벽 규칙에 대한 자세한 내용은 방화벽 규칙 사용을 참조하세요.
방화벽 인그레스 규칙 만들기
다음 절차에 따라 Filestore 인스턴스의 트래픽을 지원하도록 방화벽 규칙을 만듭니다.
시작하기 전에 다음을 확인하세요.
Windows
클라이언트가 Filestore 인스턴스와 통신하도록 허용되고 로컬 방화벽이 필요한 포트를 차단하지 않는지 확인합니다. 모든 필수 NFS 포트를 열려면 PowerShell에서 다음 명령어를 실행합니다.
'111','2046','2049','2050','4045' | % { C:\Windows\system32\netsh.exe advfirewall firewall add rule name="NFS Shares allow TCP/UDP port $($_)" dir=IN action=ALLOW protocol=TCP,UDP localport=$($_) }현재 포트 설정에서
statd및nlockmgr데몬이 클라이언트에 사용하는 포트를 확인합니다. 나중에 사용할 수 있도록 기록해 둡니다.
Linux
이 작업을 완료하기 위한 기본 요건은 없습니다.
MacOS
이 작업을 완료하기 위한 기본 요건은 없습니다.
Google Cloud 콘솔에서 방화벽 페이지로 이동합니다.
방화벽 페이지로 이동방화벽 규칙 만들기를 클릭합니다.
방화벽 규칙의 이름을 입력합니다. 이 이름은 프로젝트에서 고유해야 합니다.
방화벽 규칙을 구현할 네트워크를 지정합니다.
규칙의 우선순위를 지정합니다.
이 규칙이 다른 규칙과 충돌하지 않는다면 기본값(
1000) 그대로 둘 수 있습니다. 기존 인그레스 규칙에 동일한 IP 주소 범위, 프로토콜, 포트에 대해 일치 시 작업: 거부가 설정된 경우 기존 인그레스 규칙보다 낮은 우선순위를 지정합니다.트래픽 방향에서 인그레스를 선택합니다.
일치 시 작업에서 허용을 선택합니다.
대상에서 다음 작업 중 하나를 수행합니다.
- Filestore 인스턴스에서 네트워크의 모든 클라이언트에 대한 트래픽을 허용하려면 네트워크의 모든 인스턴스를 선택합니다.
- Filestore 인스턴스에서 특정 클라이언트로의 트래픽을 허용하려면 지정된 대상 태그를 선택합니다. 대상 태그에 클라이언트의 인스턴스 이름을 입력합니다.
소스 필터의 기본값 IP 범위를 그대로 둡니다.
소스 IP 범위에 CIDR 표기법으로 액세스를 허용할 Filestore 인스턴스의 IP 주소 범위를 입력합니다. 모든 Filestore 트래픽을 지원하도록 Filestore 인스턴스에 사용 중인 내부 IP 주소 범위를 입력할 수 있습니다. 특정 Filestore 인스턴스의 IP 주소도 입력할 수 있습니다.
보조 소스 필터에서 기본값 없음을 그대로 둡니다.
프로토콜 및 포트에서 지정된 프로토콜 및 포트를 선택하고 다음을 수행합니다.
- tcp 체크박스를 선택하고 연결된 필드에
111,STATDOPTS,nlm_tcpport를 입력합니다. 각 항목의 의미는 다음과 같습니다.- STATDOPTS는 클라이언트에서
statd데몬이 사용하는 포트입니다. - nlm_tcpport는 클라이언트에서
nlockmgr데몬이 사용하는tcp포트입니다.
- STATDOPTS는 클라이언트에서
- udp 체크박스를 선택하고
nlockmgr에서 사용하는udp포트인nlm_udpport값을 입력합니다. 이 사양은 다음 서비스 등급에만 적용됩니다.- 저용량 대역 영역
- 고용량 대역 영역(이전의 대규모 SSD)
- Enterprise
- tcp 체크박스를 선택하고 연결된 필드에
만들기를 선택합니다.
방화벽 이그레스 규칙 만들기
다음 절차에 따라 Filestore 인스턴스로의 트래픽을 지원하도록 방화벽 규칙을 만듭니다.
시작하기 전에 다음을 확인하세요.
Windows
클라이언트가 Filestore 인스턴스와 통신하도록 허용되고 로컬 방화벽이 필요한 포트를 차단하지 않는지 확인합니다. 모든 필수 NFS 포트를 열려면 PowerShell에서 다음 명령어를 실행합니다.
'111','2046','2049','2050','4045' | % { C:\Windows\system32\netsh.exe advfirewall firewall add rule name="NFS Shares allow TCP/UDP port $($_)" dir=OUT action=ALLOW protocol=TCP,UDP localport=$($_) }Linux
이 작업을 완료하기 위한 기본 요건은 없습니다.
MacOS
이 작업을 완료하기 위한 기본 요건은 없습니다.
Google Cloud 콘솔에서 방화벽 페이지로 이동합니다.
방화벽 페이지로 이동방화벽 규칙 만들기를 클릭합니다.
방화벽 규칙의 이름을 입력합니다. 이 이름은 프로젝트에서 고유해야 합니다.
방화벽 규칙을 구현할 네트워크를 지정합니다.
규칙의 우선순위를 지정합니다.
이 규칙이 다른 규칙과 충돌하지 않는다면 기본값(
1000) 그대로 둘 수 있습니다. 기존 이그레스 규칙에 동일한 IP 주소 범위, 프로토콜, 포트에 대해 일치 시 작업: 거부가 설정된 경우 기존 인그레스 규칙보다 낮은 우선순위를 지정합니다.트래픽 방향에서 이그레스를 선택합니다.
일치 시 작업에서 허용을 선택합니다.
대상에서 다음 작업 중 하나를 수행합니다.
- 네트워크의 모든 클라이언트에서 Filestore 인스턴스로의 트래픽을 허용하려면 네트워크의 모든 인스턴스를 선택합니다.
- 특정 클라이언트에서 Filestore 인스턴스로의 트래픽을 허용하려면 지정된 대상 태그를 선택합니다. 대상 태그에 클라이언트의 인스턴스 이름을 입력합니다.
대상 IP 범위에 CIDR 표기법으로 액세스를 허용할 Filestore 인스턴스의 IP 주소 범위를 입력합니다. 모든 Filestore 인스턴스에 대한 트래픽을 사용 설정하도록 Filestore 인스턴스에 사용 중인 내부 IP 주소 범위를 입력할 수 있습니다. 특정 Filestore 인스턴스의 IP 주소를 입력할 수도 있습니다.
프로토콜 및 포트에서 지정된 프로토콜 및 포트를 선택합니다. 그런 다음 tcp 체크박스를 선택하고 연결된 필드에
111,2046,2049,2050,4045를 입력합니다.만들기를 선택합니다.
NFS 포트 확인
NFS 포트가 제대로 열렸는지 확인하는 것이 좋습니다. 자세한 내용은 클라이언트 VM에서 NFS 포트 구성을 참조하세요.