F5를 활용한 Tier 1 애플리케이션 워크로드의 AWS 마이그레이션
소개
퍼블릭 클라우드로 프로덕션 워크로드를 마이그레이션하거나 퍼블릭 클라우드에 배포하려는 기업은 Amazon Web Services(AWS)를 우선적으로 고려할 가능성이 높습니다. 현재 AWS는 2,000개 정부 기관과 5,000개 교육 기관을 포함하여 190개국에 걸쳐 100만 곳 이상의 활성 고객을 보유하고 있습니다.1 (https://www.f5.com/resources/white-papers/migrating-tier-1-application-workloads-to-aws-with-f5#footnote01) Gartner에 따르면 AWS는 매출(47%)2과 퍼블릭 클라우드 서비스형 인프라(IaaS)에 배포된 애플리케이션 워크로드 점유율(41.5%)2 모두에서 압도적인 시장 점유율 1위 자리를 계속 유지하고 있습니다. 이 백서에서는 기업 애플리케이션의 퍼블릭 클라우드 도입 확대를 저해해 온 여러 요인을 살펴보고, F5 애플리케이션 딜리버리 서비스가 AWS 도입을 가속화하는 데 어떻게 핵심적인 역할을 하는지 설명합니다.
인프라 및 서비스를 신속하게 배포해야 할 필요성
대부분의 기업에서 애플리케이션은 성능 매개변수가 명확히 정의된 정적인 리소스가 아닙니다. 사용자 경험에 영향을 주지 않으려면 예기치 않은 수요 급증에 맞춰 수시로 조정되어야 합니다. 사내 IT 서비스의 유연성 부족과 고정 자산 투자 필요성으로 인해, IT 조직은 전통적으로 평균 수요가 아닌 최대 수요를 충족할 수 있도록 인프라와 애플리케이션 리소스를 프로비저닝하여 변동하는 수요에 대응해 왔습니다. 그러나 새로운 인프라와 네트워크 및 관련 애플리케이션 리소스를 조달하고 배포하는 일은 상당한 자본적 지출(CapEx)이 필요한 복잡하고 시간 소모적인 과정입니다.
AWS는 인프라 및 소프트웨어 자산에 필요한 투자를 이미 완료함으로써 이 문제를 어느 정도 해결하며, 기업이 리소스를 과도하게 프로비저닝하지 않고도 무제한 용량의 이점을 누릴 수 있도록 지원합니다. AWS와 같은 퍼블릭 클라우드 IaaS 공급자를 이용하면 기업은 새로운 애플리케이션을 신속하게 배포할 수 있는 민첩성, 필요에 따라 리소스를 할당할 수 있는 유연성, 그리고 CapEx 모델 대비 OpEx 모델의 경제적 이점을 얻을 수 있습니다.
애플리케이션을 퍼블릭 클라우드로 이전할 때 기업이 우려하는 사항
애플리케이션을 클라우드로 이전할 때 IT 부서가 가장 우려하는 사항에 애플리케이션 보안, 성능 및 관리 제어가 포함되는 것은 당연합니다. AWS는 이러한 애플리케이션 제공 관련 요소 중 일부를 해결하기 위해 다양한 네이티브 도구와 서비스를 제공하지만, 각 도구의 기능과 특성이 서로 달라 애플리케이션 요구 사항을 충족하지 못할 수 있습니다.
보안
오늘날의 위협 환경을 고려할 때, 대부분의 조직은 클라우드에서 호스팅되는 애플리케이션과 관련해 보안을 최우선 과제로 꼽습니다. 워크로드를 퍼블릭 클라우드 인프라로 이전할 때는 정교한 멀웨어와 계층 4~7에 걸친 복합 보안 위협, 예를 들어 애플리케이션 계층 공격(OWASP Top 10, 크로스 사이트 스크립팅, SQL 인젝션 등)과 결합된 대규모 DDoS 공격으로부터 보호하는 것이 매우 중요합니다. AWS는 보안에 대해 공동 책임 모델을 사용하며, 이는 클라우드 자체의 보안과 클라우드 내부의 보안이라는 두 영역으로 나뉩니다. 클라우드 자체의 보안은 기반 IaaS 인프라(컴퓨팅, 스토리지, 물리적 하드웨어 등)의 보안과 관련되며, 이는 AWS의 책임입니다. 클라우드 내부의 보안은 하이퍼바이저 계층 위의 모든 요소(OS, 애플리케이션, 데이터 등)를 보호하는 것으로, 이는 고객의 책임입니다.
일관된 애플리케이션 액세스 역시 필수 요건입니다. 조직은 내부 정책을 준수하면서도 디바이스나 위치에 관계없이 모든 사용자에게 일관된 액세스를 어떻게 보장할 수 있을까요? 사용자가 여러 사용자 이름/비밀번호 조합을 기억해야 한다면 비밀번호 피로로 인해 보안이 약화되고 효율성이 저하될 수 있습니다. 대부분의 기업은 자체 데이터 센터/프라이빗 클라우드 환경에 배포된 워크로드뿐만 아니라 퍼블릭 클라우드 워크로드도 배포할 가능성이 높습니다. 따라서 이러한 사용자가 하이브리드 클라우드 환경 전반에서 일관되고 검증된 보안 관행/정책을 동일하게 적용하고 시행할 수 있어야 합니다.
성능
사용자 경험과 생산성은 여전히 중요한 고려 사항이며, 둘 다 클라우드에서의 애플리케이션 성능에 좌우됩니다. 경우에 따라 클라우드 공급자의 데이터 센터가 사용자로부터 더 멀리 떨어져 있어 사용자와 애플리케이션 간의 지연 시간이 늘어나고 성능에 영향을 줄 수 있습니다. 또한 캐싱, 압축, TCP 최적화 등 지연 시간을 처리하는 데 일반적으로 사용되는 일부 방법은 AWS에서 사용할 수 없습니다.
고급 트래픽 관리 및 가시성
대부분의 기업은 비즈니스 핵심 애플리케이션을 위해 데이터 센터에서 기본적인 부하 분산을 넘어서는 고급 트래픽 관리 기능을 필요로 합니다. AWS는 탄력적 로드 밸런싱(ELB)과 애플리케이션 로드 밸런서(ALB)를 통해 기본적인 부하 분산 서비스를 제공하지만, 조직은 HTTP/HTTPS 및 TCP 외에 어떤 프로토콜을 지원해야 하는지 고려해야 합니다. 기본적인 상태 확인과 부하 분산 알고리즘만으로 충분할까요? 사용자는 애플리케이션 데이터를 조작해야 하는 경우가 많으며, 이를 위해서는 URL 검사 및 재작성과 같은 완전한 L7 애플리케이션 프록시 기능이 필요합니다. 세분화된 트래픽 조정 결정을 내리려면 유입되는 클라이언트 트래픽을 관련 컨텍스트와 함께 파악할 수 있어야 합니다.
F5가 AWS 도입을 지원하는 방법
위에서 언급한 우려 사항을 해결하려면 F5의 BIG-IP 솔루션과 같은 통합 플랫폼을 통해 고급 프로그래밍형 애플리케이션 전송 및 보안 서비스를 제공해야 합니다. 이 플랫폼은 위치와 관계없이 모든 애플리케이션의 보안, 성능 및 가용성을 보장합니다. 또한 새로운 클라우드 기반 애플리케이션과 기존 애플리케이션 모두에 대해 모든 하이브리드 환경에서 애플리케이션 서비스와 관련 정책을 일관된 방식으로 제공하고 관리할 수 있도록 지원합니다.
F5 BIG-IP Virtual Edition(VE)은 모든 BIG-IP 하드웨어에서 제공되는 것과 동일하고 일관된 서비스 세트를 제공하는 가상 BIG-IP 어플라이언스입니다. 여기에는 지능형 트래픽 관리(로컬 및 글로벌), 가속 및 최적화부터 DNS, 고급 애플리케이션 액세스, 정교한 애플리케이션 보안에 이르는 애플리케이션 및 네트워킹 서비스가 포함됩니다. 이러한 서비스는 애플리케이션 스택의 일부로 완전히 통합되고 자동으로 구성될 수 있습니다. F5는 하드웨어 및 가상 애플리케이션 전송 컨트롤러(ADC) 분야의 시장 선도 기업이며, 현재 Fortune 50대 기업 중 48개사가 F5 애플리케이션 서비스를 사용하고 있으므로 특정 기업에서 이미 애플리케이션을 제공하고 보호하는 데 F5를 활용하고 있을 가능성이 매우 높습니다.
F5 보안 서비스
BIG-IP VE는 제어, 유연성 또는 가시성을 희생하지 않고도 클라우드 애플리케이션을 보호하는 포괄적인 L4~7 보안 서비스를 제공합니다. 이러한 서비스는 AWS 제품을 보완하며, 정교한 WAF(웹 애플리케이션 방화벽)를 통해 복잡한 DDoS 공격, 웹 스크래핑, 다계층 웹 기반 애플리케이션 공격, 데이터 도난 및 유출을 모두 방지할 수 있습니다. F5 솔루션은 비정상적인 트래픽 패턴을 인식하는 인텔리전스와 고급 행동 분석 기능을 바탕으로 자동화된 봇넷 공격을 탐지하고 완화할 수 있습니다. F5 솔루션은 F5 iRules® 데이터 경로 스크립팅의 강력한 기능을 활용하여 애플리케이션 취약점 악용 및 제로데이 공격에 신속하게 대응할 수 있습니다. F5를 사용하면 각 사내 애플리케이션의 방화벽 규칙과 정책을 조정하고 구성하는 데 투입한 노력과 전문 지식을 클라우드 호스팅 애플리케이션용 VE에서도 활용하고 재사용할 수 있습니다.
F5의 ID 및 액세스 관리 아키텍처는 사용자, 디바이스, 환경, 애플리케이션 및 네트워크의 전체적인 컨텍스트 인식을 기반으로 합니다. 즉, F5 솔루션은 데이터 센터와 클라우드 전반에서 애플리케이션 액세스를 위한 ID 페더레이션과 싱글 사인온을 지원합니다. 동시에 안전한 컨텍스트 기반 액세스, 웹 기반 멀웨어 및 지능형 지속 위협으로부터의 보호, 포괄적인 엔드포인트 디바이스 검사를 통해 애플리케이션의 보안과 데이터 무결성을 보장합니다.
가용성 및 성능
BIG-IP 고급 로컬 트래픽 관리 서비스는 HTTP/TCP 이외에도 광범위한 프로토콜(예: HTTP 2.0, SPDY, UDP)을 지원하며 애플리케이션을 심층적으로 이해합니다. 완전한 프록시 아키텍처를 기반으로 하는 BIG-IP 플랫폼은 애플리케이션 트래픽에 대한 완벽한 가시성을 제공하며, 이 과정에서 SSL 트래픽을 복호화한 후 다시 암호화합니다. 또한 그룹 내 서버의 성능 수준을 동적으로 추적하고, 심층적인 상태 모니터링과 연결 상태 관리를 제공합니다. BIG-IP 애플리케이션 전송 최적화 서비스는 애플리케이션 응답 시간을 단축하고, 지연 시간과 지연 현상을 최소화하며, 모바일 장치에서 웹 요청을 완료하는 데 필요한 데이터 왕복 횟수를 줄일 수 있습니다.
BIG-IP DNS 및 글로벌 서버 부하 분산 서비스는 최상의 사용자 경험을 제공하고 재해 복구 및 장애 조치 정책을 충족할 수 있는 가장 가까운 클라우드 데이터 센터로 사용자를 연결합니다. 라우팅 결정에는 사용자와의 거리, 지리적 위치, 네트워크 상태 및 애플리케이션 가용성이 모두 반영됩니다. 이 플랫폼은 각 애플리케이션과 사용자에 특화된 다양한 글로벌 부하 분산 방식과 지능형 모니터링을 활용합니다. 또한 F5는 DNS DDoS 방어 기능을 제공하고, 악성 IP 주소에 대한 액세스를 차단하며, DNSSEC로 응답을 보호합니다. 무엇보다도 DNS 쿼리와 상태 점검은 사용량에 따라 과금되지 않으므로 DNS DDoS 공격 중 정상 쿼리와 비정상 쿼리 모두에 비용이 부과되어 발생하는 높은 비용을 피할 수 있습니다.
애플리케이션 성능 요구 사항을 충족하는 확장성
애플리케이션 워크로드를 퍼블릭 클라우드 플랫폼으로 이전할 때 얻을 수 있는 주요 이점은 데이터 센터에 프로비저닝된 기본 용량 이상으로 애플리케이션을 확장할 수 있다는 것입니다. AWS Auto Scaling을 사용하면 애플리케이션의 가용성을 유지하면서 사전 정의된 임계값에 따라 Amazon EC2 용량을 자동으로 확장하거나 축소할 수 있습니다. BIG-IP 솔루션은 AWS Auto Scaling과 통합되어 BIG-IP 애플리케이션 및 보안 서비스를 동적으로 확장할 수 있도록 지원합니다. 또한 BIG-IP VE는 풀 멤버의 추가 또는 제거를 기본적으로 처리하므로 별도의 오케스트레이션 및 구성 관리가 필요하지 않습니다. F5는 BIG-IP LTM의 자동 확장(그림 1 참조)뿐만 아니라 BIG-IP VE에 BIG-IP LTM과 BIG-IP ASM을 모두 프로비저닝하여 애플리케이션 보안을 자동으로 확장할 수 있는 솔루션도 출시했습니다.
간소화되고 자동화된 배포
AWS Cloud Formation Templates(CFT)는 인프라(서버, 스토리지, 네트워킹 및 컴퓨팅) 리소스 배포를 자동화하는 스크립트 기반 방식을 제공합니다. 동일한 BIG-IP 이미지와 구성을 AWS 내에 여러 번 신속하게 배포할 수 있는 반복 가능한 방식을 제공하므로, 귀중한 업무 시간을 더 시급한 비즈니스 현안에 할애할 수 있습니다. F5 엔지니어가 광범위하게 설계하고 테스트한 CFT는 BIG-IP VE 배포 또는 구성과 관련된 우려를 해소하며, F5 전문가가 직접 작업하는 것과 같은 신뢰를 바탕으로 F5 가상 어플라이언스를 프로비저닝할 수 있도록 합니다. 또한 Ansible, Chef, Puppet과 같은 타사 자동화 도구와 원활하게 통합되므로, 이러한 CFT를 통해 BIG-IP VE의 자동화 및 오케스트레이션 프로세스를 간소화할 수 있습니다. 모든 F5 CFT는 오픈 소스이며 GitHub를 통해 무료로 제공되므로, F5 사용자들은 특정 비즈니스 요구 사항에 더 적합하도록 템플릿을 수정할 수 있습니다.
또한 F5는 일부 CFT를 AWS Marketplace에서 직접 제공함으로써 AWS 마켓플레이스와의 통합을 강화하여 더욱 빠르고 간편하게 구현할 수 있도록 했습니다. 예를 들어 다양한 자동 확장 솔루션(자동 확장 BIG-IP LTM, 자동 확장 WAF 등)을 마켓플레이스에서 선택하여 배포할 수 있으며, 1시간 이내에 프로덕션 환경에서 가동할 수 있습니다. 따라서 F5 사용자가 이러한 복잡한 솔루션을 직접 구성할 필요가 없어 며칠에서 길게는 몇 주에 달하는 작업 시간을 절약할 수 있습니다.
DevCentral™ 커뮤니티 사이트에서는 BIG-IP VE 배포를 위한 서브넷, 네트워크 인터페이스, 라우팅 테이블 등의 VPC 리소스 구성 예시를 제공합니다. 또한 이러한 예시에서는 CloudInit 사용자 데이터 스크립트를 사용하여 특정 패키지 애플리케이션(Microsoft SharePoint, Exchange 등) 및 사용자 지정 애플리케이션용 BIG-IP iApps® 템플릿을 배포하는 방법도 보여 줍니다. AWS CFT와 기능이 유사한 F5 iApps는 각 애플리케이션에 필요한 특정 서비스를 신속하게 배포할 수 있도록 개발되었습니다. 또한 iApps는 각 애플리케이션의 트래픽 관리, 암호화, 방화벽, 성능 최적화와 같은 서비스의 구성 및 정책을 정의합니다.
페더레이션된 퍼블릭 및 프라이빗 배포
퍼블릭 클라우드 리소스를 기존 프라이빗 데이터 센터와 통합하면 조직은 기존 투자를 계속 활용하면서 우선순위에 따른 일정에 맞춰 애플리케이션 워크로드를 전환할 수 있습니다. BIG-IP VE, F5 iApp 및 AWS CFT는 함께 연동되어 추가 애플리케이션 리소스를 빠르고 투명하게 배포할 수 있는 통합 클라우드 구성을 구현합니다. 이 페더레이션 클라우드 구성의 주요 이점으로는 애플리케이션 사용자의 원활한 리디렉션, 지리적 위치 및 가속 기술, AWS Direct Connect를 이용한 보안 연결 등이 있습니다. 애플리케이션 리소스가 프라이빗 데이터 센터에서 제공되든 퍼블릭 클라우드에서 제공되든 사용자 경험에는 영향을 미치지 않습니다. 프라이빗 및 퍼블릭 클라우드 리소스는 수요, 프로젝트의 신규 또는 기존 여부, 요청자의 특정 위치에 따라 투명하고 지속적으로 사용할 수 있습니다.
F5® BIG-IQ® Centralized Management는 클라우드와 온프레미스에 있는 F5 물리적 및 가상 디바이스를 중앙에서 제어할 수 있도록 지원합니다. BIG-IQ Centralized Management는 애플리케이션 관리를 간소화하고 규정 준수를 보장하는 데 도움을 주며, F5 디바이스와 서비스가 어디에 있든 일관되고 안전하게 관리할 수 있는 도구를 제공합니다. BIG-IQ Centralized Management는 F5 디바이스와 다음 F5 모듈의 정책, 라이선스, SSL 인증서, 이미지 및 구성을 관리합니다:
- BIG-IP® 로컬 트래픽 관리자™(LTM)
- BIG-IP® 애플리케이션 보안 관리자™(ASM)
- BIG-IP® Advanced Firewall Manager™ (AFM)
- BIG-IP® Access Policy Manager® (APM)
- BIG-IP DNS(모니터링 전용)
- F5 사기 방지 솔루션 WebSafe 및 MobileSafe용 대시보드
BIG-IQ Centralized Management은 물리적 또는 가상 어플라이언스로 제공되며, AWS Marketplace에서 직접 실행할 수도 있습니다.
유연한 라이선스 모델
BIG-IP Virtual Edition은 주로 Good-Better-Best 번들로 제공되며, 다음과 같은 세 가지 구매 모델을 지원합니다:
- 유틸리티 요금제. 테스트 및 개발용 사전 프로덕션 워크로드나 일시적인 클라우드 버스팅 및 확장성 사용 사례를 위해 F5는 유연한 온디맨드 후불 사용이 가능한 시간당 유틸리티 라이선스를 제공합니다. 모든 유틸리티 상품에는 프리미엄 지원 및 소프트웨어 업그레이드가 포함됩니다.
- BYOL(Bring-your-own-license). 이 옵션은 기존 BIG-IP VE 라이선스를 프라이빗 데이터 센터에서 AWS로 직접 마이그레이션하는 하이브리드 클라우드 환경에 적합합니다.
- 연간 구독. F5는 영구 VE 라이선스 외에도 연간 구독형 BYOL VE 라이선스를 제공합니다. 이 라이선스는 지원되는 모든 하이브리드 클라우드 환경에서 사용할 수 있어 이동성과 유연성이 향상됩니다. 연간 구독은 트래픽이 일정한 프로덕션 워크로드에 적합하며 AWS Marketplace에서 구매할 수 있습니다.
- 엔터프라이즈 라이선스 계약(ELA). 최대한의 유연성과 민첩성을 원하는 대규모 엔터프라이즈 환경의 경우, ELA를 통해 프리미엄 지원 및 소프트웨어 업그레이드가 포함된 3년 계약으로 여러 VE를 구매할 수 있습니다.
또한 모든 하이브리드 환경에서 BIG-IP 제품 라이선스를 관리할 수 있도록 BIG-IQ Centralized Management License Manager가 무료로 제공됩니다.
결론
지난 몇 년간 퍼블릭 클라우드 서비스 도입은 기하급수적으로 증가했으며, AWS는 이러한 서비스 시장에서 꾸준히 선두를 유지해 왔습니다. 많은 IT 스타트업뿐만 아니라 규모가 크고 잘 알려진 기업들도 AWS 클라우드에 전체 환경을 구축하여 상당한 성과를 거두었습니다. 기업이 애플리케이션의 클라우드 마이그레이션을 계획할 때 F5 BIG-IP 가상 에디션을 사용하면 F5 애플리케이션 전송 및 보안 서비스를 클라우드 애플리케이션 워크로드로 손쉽게 이전할 수 있습니다. 이를 통해 퍼블릭 클라우드의 보안, 성능 및 제어와 관련하여 기업 고객이 갖는 여러 근본적인 우려를 해소할 수 있습니다. AWS Marketplace에서 BIG-IP 솔루션을 위한 유연한 라이선스 모델을 이용할 수 있으므로 기업은 재정적 부담을 최소화하면서 AWS에서 애플리케이션을 계획하고, 준비하고, 배포할 수 있으며 AWS 클라우드의 민첩성과 효율성을 활용하기 시작할 수 있습니다.
1 Amazon 클라우드 핵심 정보: 꼭 알아야 할 5가지
2 AWS vs Azure vs Google Cloud 시장 점유율 2017
2017년 10월 16일 게시