Yoo HeehyeonYoo Heehyeon

1. 네트워크 장치의 3가지 기본 구조

네트워크 장비는 트래픽 경로에 어떻게 놓이느냐에 따라 성격이 크게 달라진다. 보통은 인라인, 아웃오브패스, 프록시 세 가지 구조로 나눠서 본다.

• 인라인 (Inline) 구조
  • 장비가 트래픽 경로 위에 직접 놓여, 모든 패킷이 반드시 통과한다.
  • 실시간으로 패킷을 검사하고 허용 또는 차단한다.
  • 라우터, IPS, 방화벽 같은 장비가 여기에 가깝다.
• 아웃오브패스 (Out-of-Path) 구조
  • 트래픽 경로 바깥에 있고, 미러링이나 TAP으로 복사본만 받는다.
  • 원본 트래픽에는 직접 손대지 않는다.
  • IDS나 패킷 분석기가 대표적이다.
• 프록시 (Proxy) 구조
  • 클라이언트와 서버 사이에서 요청과 응답을 대신 처리한다.
  • 패킷보다 더 높은 L7 수준에서 내용을 다룬다.
  • 캐싱, 필터링, 내용 변경 같은 동작이 가능하다.

2. NAT 기술 기반 공유기 작동 원리

공유기의 핵심은 NAT다. 하나의 공인 IP를 여러 내부 장치가 같이 쓸 수 있게 만드는 기술이다.

기본 구조는 이렇다.

• 공유기는 통신사에서 공인 IP 하나를 받는다.
• 내부 장치에는 DHCP로 사설 IP를 나눠준다.
• 외부로 나갈 때는 사설 IP를 공인 IP로 바꾸고 NAT 테이블에 기록한다.
• 응답이 돌아오면 NAT 테이블을 보고, 다시 원래 내부 장치로 전달한다.

이 구조 덕분에 외부에서 내부 장치로 먼저 들어오기는 기본적으로 어렵다. 다만 서버를 직접 운영하려면 포트 포워딩 같은 추가 설정이 필요하다.

3. 부하분산 장치의 원리

부하분산은 많은 요청을 여러 서버에 나눠 보내는 기술이다. 서버 한 대에 몰리는 부하를 줄이고, 가용성을 높이는 데 목적이 있다.

• L4 부하분산 (Local Load Balancing)
  • 같은 데이터센터 안에서 여러 서버로 트래픽을 분산한다.
  • 보통 가상 IP를 먼저 받은 뒤, IP와 포트 기준으로 실제 서버를 선택한다.
  • 로드밸런서 자체도 이중화해 장애 시 빠르게 전환한다.
• GSLB (Global Server Load Balancing)
  • 지리적으로 떨어진 데이터센터 사이에서 트래픽을 분산한다.
  • 보통 DNS 응답 단계에서 더 가깝거나 빠른 서버 쪽으로 유도한다.

4. VPN 구조와 원리

VPN은 공용 인터넷을 쓰면서도, 암호화를 통해 사설망처럼 통신하게 만드는 기술이다.

핵심은 터널링이다. 원래 패킷을 암호화한 뒤, 새로운 패킷으로 한 번 더 감싸서 보내는 방식이다. 그래서 외부에서는 내부망 패킷 내용을 직접 보기 어렵다.

대표 방식은 아래 둘이다.

• SSL VPN: 주로 HTTPS 기반으로 동작해서 재택근무 접속에 많이 쓴다.
• IPSec VPN: 네트워크 계층에서 동작하며, 사이트 간 연결에 자주 쓴다.

5. 주요 네트워크 보안 장치의 특징

네트워크 보안 장치는 위치와 역할이 다르다. 각각이 다른 지점에서 트래픽을 통제하거나 감시한다.

• PC 방화벽 (Host-based Firewall):
  • 호스트 자체에 설치된다.
  • 프로그램이나 포트 단위로 입출력을 제어한다.
• NAC (Network Access Control):
  • 네트워크 입구에서 단말 접속을 검사한다.
  • 보안 기준을 못 맞추면 접속을 막거나 격리한다.
• IPS (Intrusion Prevention System):
  • 인라인에서 동작한다.
  • 공격 패턴을 보고 실시간으로 차단한다.
• NIDS (Network Intrusion Detection System):
  • 아웃오브패스에서 복사본만 본다.
  • 차단은 못 하지만 경고와 분석에 유리하다.
• UTM (Unified Threat Management):
  • 여러 보안 기능을 한 장비에 묶은 올인원 장비다.
  • 중소 규모 환경에서 비용 효율적으로 많이 쓴다.
• 망분리 / 망연계:
  • 망분리: 내부망과 외부망을 끊어 공격 경로를 줄이는 방식
  • 망연계: 분리된 망 사이 자료 이동을 안전하게 중개하는 방식