사설 IP 주소 지정은 이 프로토콜의 가장 유용한 기능 중 하나입니다. 이 주소 공간은 인터넷에 연결하지 않고 조직 내부와 같은 로컬 범위에서 제한 없이 사용하도록 지정되어 있어, 대규모 내부 네트워크를 자유롭게 구축할 수 있게 해줍니다.
하지만 이러한 유연성에는 대가가 따릅니다. 이전까지 서로 분리되어 있던 두 사설 IP 네트워크를 연결하려 할 때, 양쪽 네트워크에서 동일한 IP 주소가 일부 사용되었을 수 있습니다. IP 주소는 각 네트워크 또는 라우팅 도메인 내에서 고유해야 하므로, 이러한 중복으로 인해 주소가 겹치는 영역으로 들어오고 나가는 네트워크 액세스가 불안정해집니다. 이러한 영향을 줄이기 위한 기존의 우회 방법도 있지만, F5 Volterra는 이 문제를 완전히 방지할 수 있는 방법을 제공합니다.
중복이 문제가 되는 이유
네트워크의 서로 다른 두 부분이 중첩되어 동일한 IP 서브넷 주소 범위를 사용하면 두 가지 주요 문제가 발생합니다. 첫째, 어떤 장치도 해당 주소가 로컬 엔드포인트용이 아니라는 사실을 알 수 없으므로 두 서브넷은 서로 전혀 통신할 수 없습니다. 두 서브넷이 모두 사용자로만 구성된 클라이언트 전용 서브넷이라면 이 문제를 간단히 해결할 수 있지만, 한 서브넷에 네트워크 서비스가 포함되어 있다면 다른 서브넷에서는 해당 서비스에 전혀 접근할 수 없습니다. 또한 IP 중첩은 네트워크의 다른 모든 위치에서 해당 서브넷으로 향하는 모든 트래픽에 영향을 줍니다. 네트워크의 라우터들이 정보를 교환하기 때문에 두 서브넷이 서로 다른 두 위치에서 각각 광고됩니다. 따라서 성공적으로 설정된 연결조차 언제든 잘못된 위치로 전송될 수 있습니다.
최근 급증하는 IP 주소 중복
체계적으로 관리되는 네트워크에서 IP 중복이 발생하는 가장 일반적인 원인은 이전까지 서로 분리되어 있던 두 네트워크를 연결하거나 병합하는 것입니다. 두 조직이 합병하는 경우를 생각하면 이러한 상황을 쉽게 이해할 수 있습니다. 특히 각 조직의 IT 부서가 엔드포인트에는 10/8, 인프라에는 172.16/12를 사용하는 등 유사한 주소 할당 규칙을 적용했다면 더욱 그렇습니다. 그러나 최근에는 하나 이상의 클라우드에 연결할 때도 중복이 점점 더 자주 발생하고 있습니다. 가장 큰 개별 네트워크는 퍼블릭 클라우드 제공업체와 같은 하이퍼스케일러가 운영하며, 이들은 불가피하게 사설 IP 주소 체계를 사용합니다. 각 서버가 수많은 VM이나 그보다 더 많은 컨테이너를 호스팅하는 경우, 서버 랙 한 줄이 /16 네트워크 전체를 사용할 수도 있습니다. 클라우드 수요가 증가하면서 접속 수요도 함께 늘어났고, 클라이언트-사이트 VPN에서 사이트 간 VPN, 멀티클라우드 네트워킹 제품, 나아가 클라우드 데이터 센터에 대한 직접 WAN 연결로까지 확대되었습니다. 사이트 간 VPN과 WAN 링크는 사실상 클라우드 네트워크의 일부를 고객 네트워크에 연결하며, 대부분의 고객 네트워크 역시 사설 IP 주소를 기반으로 구축되어 있기 때문에 그 결과 IP 중복이 점점 더 빈번하게 발생하고 있습니다.
IP 중복 임시 조치와 근본적 해결의 차이
분산형 최신 앱이 보편화됨에 따라 하이브리드 클라우드, 클라우드 간, 엣지와 클라우드 간 연결과 같은 앱 간 연결도 늘어날 것입니다. 확장 가능한 아키텍처에는 깔끔하게 자동화할 수 있는 IP 중복 처리 방법이 필요합니다. 많은 네트워크 관리자는 먼저 NAT를 고려합니다. 결국 사설 IP 주소를 공용 인터넷에 연결할 수 있게 해 주는 것이 NAT이기 때문입니다. 하지만 NAT는 문제를 해결하는 대신 다른 곳으로 옮길 뿐입니다. 추상화가 서브넷 내부까지 확장되지 않으므로 동일한 서브넷 범위를 사용하는 원격 네트워크와 같은 예외 상황을 처리해야 하는 부담이 애플리케이션과 서비스로 전가됩니다. 또한 NAT는 서브넷 내부와 외부에서 수집된 이벤트 간에 불일치를 일으켜 가시성을 떨어뜨립니다. NAT로 인해 발생하는 지속적인 운영 비용은 주소 재할당과 같은 다른 선택지가 더 나쁠 때만 정당화될 수 있습니다.
F5의 Volterra VoltMesh는 IP 중복 문제를 깔끔하게 해결합니다. IP 중복은 연결이 L3에 의존할 때만 문제가 되므로, VoltMesh는 F5 고객이 25년간 신뢰해 온 동일한 애플리케이션 전송 방식을 사용하여 L3 주소를 L4 또는 L7의 트랜잭션과 분리합니다. 또한 VoltMesh는 고유한 기능을 제공합니다. 기능이 분산되어 있어 IT 부서가 메시 내 어디서든 원하는 IP 주소를 선택해 애플리케이션을 전송할 수 있으며, 기능이 통합되어 있어 네트워킹과 보안은 물론 애플리케이션까지 완벽한 엔드투엔드 가시성을 유지할 수 있습니다. VoltMesh를 사용하면 실제 IP 주소와 관계없이 원격 서비스를 로컬 IP 주소로 로컬 서브넷에 제공할 수도 있으므로 네트워크를 전혀 변경할 필요가 없습니다. 즉, NAT도, 방화벽 핀홀도, 라우팅 변경도 필요하지 않습니다. VoltMesh는 네트워크 중단 없이 완벽한 제어와 가시성을 제공하여 가장 깔끔한 IP 중복 해결책을 구현합니다.
멀티 클라우드 시대에는 사설 IP 주소를 기반으로 네트워크가 계속 확장되고 상호 연결되므로, 레거시 연결 방식에 초점을 맞추는 한 IP 중복 문제는 지속될 수밖에 없습니다. 온프레미스 환경이든 클라우드 간 환경이든 F5 Volterra VoltMesh는 애플리케이션을 네트워크 계층에서 분리하고, 직접 연결 없이도 접근성을 제공하며, 사설 네트워크의 비공개성을 유지하도록 명확하게 분리함으로써 서비스를 안전하게 제공할 수 있습니다.
자세한 내용은 F5 DevCentral의 멀티 클라우드 과제 해결 여정 및 F5와 함께하는 완전한 멀티 클라우드 관리 구현을 참조하세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.