이제 하드웨어 중심 환경에서 클라우드 및 소프트웨어 정의 아키텍처로 전환할 때 얻을 수 있는 이점은 잘 알려져 있습니다. 확장성 향상, 운영 민첩성, 경제적 유연성 등이 대표적입니다. 하지만 이러한 이점을 실현하려면 애플리케이션 성능을 희생해야 한다는 오해도 흔히 존재합니다. 공유형 가상화 인프라가 과연 맞춤형 전용 하드웨어와 비슷한 수준의 성능을 제공할 수 있을까요?
새로운 무상태 클라우드 네이티브 앱 중 상당수는 수요 증가에 따라 수평적으로 확장되도록 설계되지만, 상태 유지 요구 사항으로 인해 증가하는 수요를 충족하려면 수직적으로만 확장해야 하는 모놀리식 워크로드도 여전히 수천 개에 달합니다. 이러한 앱 중 상당수는 클라우드로 이전할 때 아키텍처를 재설계하지 않거나 아예 재설계할 수 없기 때문에, 소프트웨어 성능(및 확장성) 향상이 매우 중요합니다.
BIG-IP Virtual Edition(VE)의 등장
10년 전 BIG-IP VE가 처음 출시된 이래 고객이 가장 자주 묻는 질문 중 하나는 대략 다음과 같습니다. “귀사의 하드웨어와 비교했을 때 VE에서 어느 정도의 확장성과 트래픽 처리 성능을 기대할 수 있습니까?” 당시에는 초기 VE가 트래픽이 적은 특정 앱의 프런트엔드에 배치된 애플리케이션 전송 하드웨어를 대체하는 용도로만 설계되었기 때문에 둘 사이의 격차가 상당했습니다. 그때만 해도 VE는 약 1Gbps의 트래픽만 처리할 수 있었으며, 처리 가능한 L4/L7 요청 및 연결 수도 하드웨어에 비해 극히 일부에 불과했습니다.
하지만 현재로 시점을 돌려보면, 적절한 조건에서 VE는 이제 100Gbps가 넘는 애플리케이션 트래픽을 처리할 수 있으며, 다른 트래픽 처리 성능 지표에서도 최고 성능의 어플라이언스를 제외한 나머지와 대등한 수준에 도달했습니다. 이 글에서는 최근의 몇 가지 VE 개선 사항과 지원되는 가속 기술을 살펴봅니다. 이러한 개선 사항과 기술은 물리적 어플라이언스와의 성능 격차를 거의 해소하는 데 기여했으며, SmartNIC을 활용해 진행 중인 차세대 VE 최적화 프로젝트도 미리 소개합니다.
- 단일 루트 I/O 가상화(SR-IOV)를 최적화하는 맞춤형 VE 폴 모드 드라이버가상화의 기본 개념이 익숙하지 않은 분들을 위해 설명하자면, 핵심 개념은 물리적 서버에서 기반 하드웨어의 기능을 에뮬레이션하는 소프트웨어 계층(OS/하이퍼바이저)을 호스팅하고, 서로 다른 운영 체제를 사용할 수 있는 여러 개의 독립적인 가상 머신(예: BIG-IP VE)이 그 위에서 실행되도록 하는 것입니다. 이는 물리적 서버의 리소스 활용도를 최적화하고 애플리케이션 이동성을 지원하는 데 매우 유용하지만, 추가로 필요한 하이퍼바이저 계층과 관련 가상 스위치로 인해 요청이 모든 관련 복사 및 인터럽트와 함께 이를 통과해야 하므로 지연 시간이 늘어나고 성능이 저하됩니다. 그러나 SR-IOV를 사용하면 VE가 물리적 서버의 네트워크 인터페이스(NIC)와 직접 상호 작용할 수 있어 가상 스위치 계층을 우회하고 지연 시간과 성능을 개선할 수 있습니다. 오늘날 SR-IOV는 대부분의 NIC 공급업체가 지원하는 상당히 보편적인 기술이지만, OS 커널에 포함된 게스트 드라이버나 NIC 공급업체가 제공하는 드라이버는 범용이며 BIG-IP에 맞게 특별히 최적화되어 있지 않습니다. 이러한 이유로 F5는 다양한 주요 NIC 어댑터를 위한 VE 폴 모드 드라이버 개발에도 대규모로 투자하여 SR-IOV 사용 시 VE 패킷 처리를 가속화하고 있습니다. 이러한 접근 방식을 통해 VE는 AWS(Gen5 인스턴스에서 AWS Elastic Network Adapter 사용)에서 최대 20Gbps, Azure(Azure Accelerated Networking 사용)에서 최대 10Gbps의 L4 처리량을 달성했으며, 프라이빗 클라우드 환경(Mellanox CX5 100G NIC 사용)에서는 85Gbps를 초과했습니다. 또한 여러 개의 개별 NIC 포트를 결합하여 처리량이 높은 단일 데이터 경로를 만드는 링크 집성을 수행하면 100Gbps를 초과할 수 있습니다. 이 접근 방식을 사용하여 단일 VE가 40G Intel NIC 3개로 108Gbps를 달성한 방법을 이 DevCentral 문서에서 확인할 수 있습니다.
- Intel Quick Assist Technology(QAT)를 활용한 암호화 처리 오프로딩현재 웹 트래픽의 절반 이상이 암호화되어 있으며, IoT 기기의 폭발적인 증가와 전 세계적인 5G 전환으로 인해 암호화해야 할 데이터의 양은 기하급수적으로 늘어날 전망입니다. 클라이언트와 서버 사이에서 풀 프록시 아키텍처로 작동하는 BIG-IP VE는 암호화된 모든 트래픽을 복호화하여 의심스러운 페이로드를 검사, 분석 및 차단한 후, 데이터를 다시 암호화해 원하는 목적지로 라우팅합니다. VE는 고성능 소프트웨어 기반 암호화를 제공하도록 최적화되어 있지만, 이 프로세스는 여전히 CPU 리소스에 부담을 주어 다른 L7 작업, iRules 또는 정책 적용에 사용할 수 있는 처리 사이클을 줄일 수 있습니다. 암호화 처리 요구 사항이 많은 워크로드에서 이러한 영향을 완화하기 위해 VE는 암호화 및 압축 처리 전용으로 설계된 하드웨어 가속기인 Intel QAT로 암호화 작업을 오프로딩합니다. 이를 통해 VE는 CPU를 많이 소모하는 작업을 오프로딩하고 컴퓨팅 사이클을 확보하여 전반적인 성능을 높일 수 있습니다. 그 효과는 VE에서 QAT를 사용할 때의 영향을 다룬 이 최근 연구에서 확인할 수 있으며, 연구 결과는 다음과 같습니다.
- CPU 사용률 최대 45% 감소
- 대량 처리량 최대 200% 증가
- 초당 트랜잭션 수(TPS) 최대 500% 증가
- 스로틀링이 적용되지 않는 고성능 VE 도입
F5의 고성능 VE가 출시되기 전에는 모든 VE가 처리량 제한형 라이선스 모델을 사용했으며, 라이선스는 정해진 처리량 수준과 CPU 수(예: 200Mbps 및 2vCPU)에 맞춰 제공되었습니다. 소규모 앱에는 25Mbps 인스턴스로도 충분할 수 있지만, 반대로 수요가 많은 앱에는 최대 사양인 10Gbps 인스턴스가 더 적합할 수 있습니다.
그렇다면 요구 사항이 더 높은 애플리케이션은 어떨까요? 또는 요구 사항을 예측하기 어려운 애플리케이션은 어떨까요? F5는 더 높은 대역폭의 NIC를 지원하고 10Gbps를 초과하는 성능을 제공하기 위해, 사용이 허용된 vCPU 수에 따라 라이선스가 부여되는 High Performance VE를 도입했습니다. High Performance VE에서 달성할 수 있는 최대 성능은 할당된 vCPU 수에 따라 달라지며, 8vCPU부터 24vCPU까지 4vCPU 단위로 구성할 수 있습니다. 이 방식은 VE가 각 CPU에서 최대한의 ‘초당 패킷’ 처리 성능을 끌어낼 수 있게 할 뿐만 아니라, DDoS 완화 및 SSL/TLS 암호화와 같이 CPU 사용량이 많은 사용 사례도 더욱 효과적으로 지원합니다.
BIG-IP VE의 High Performance VE 기능에 대해 자세히 알아보려면 데이터시트를 참조하세요.
- 향후 지원 예정 – Intel SmartNIC을 사용한 하이퍼스케일 DDoS 완화
분산 서비스 거부(DDoS) 공격은 여전히 가장 효과적이고 널리 사용되는 사이버 공격 수단 중 하나입니다. 불만을 품은 온라인 게이머부터 국가 차원의 사이버 조직에 이르기까지 다양한 주체가 특정 애플리케이션과 서비스를 마비시키는 데 이를 활용합니다. 전 세계에 분산된 시스템에서 발생하는 수천 개의 개별 연결을 이용할 수 있는 이러한 공격은 보안 솔루션, 특히 공격을 완화할 역량이 부족한 솔루션을 순식간에 무력화할 수 있습니다. 또한 전 세계적으로 5G 전환이 진행되면서 더 적은 수의 기기로도 막대한 리소스를 고갈시키는 대규모 봇넷을 손쉽게 구축할 수 있게 됨에 따라 DDoS 공격의 규모와 심각성, 복잡성은 더욱 커질 것입니다.
하지만 다행히도 곧 DDoS 완화를 비롯해 CPU를 많이 사용하는 특정 기능을 BIG-IP VE에서 인텔의 N3000 프로그래머블 가속 카드로 오프로드할 수 있게 됩니다. 이 카드는 FPGA(Field Programmable Gate Array)가 내장된 SmartNIC입니다. F5가 10년 이상 축적해 온 FPGA 활용 경험을 바탕으로 이 SmartNIC을 올바르게 프로그래밍하면 VE의 DDoS 완화 성능을 획기적으로 향상할 수 있습니다. 실제로 F5의 초기 테스트 결과, 이 통합 솔루션은 CPU만 사용하는 VE보다 규모가 70배 큰 DDoS 공격도 견딜 수 있어 애플리케이션과 네트워크를 안전하게 보호하는 데 도움이 되는 것으로 나타났습니다.
이 통합 기능은 올해 말에 정식 출시될 예정이며, 자세한 내용은 이 솔루션 개요서에서 확인할 수 있습니다.
추가 자료
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.