12 · High Availability VPN
VPN 서비스 중단을 막는 고가용성(HA) 설계
기업 VPN에서는 서버 하나가 죽는 것이 곧 회사 업무 전체가 멈추는 일이 될 수 있습니다. 장애를 대비하는 설계가 필요한 이유입니다.
VPN 장애가 곧 업무 중단이 되는 이유
재택근무가 일반화된 조직에서 VPN 게이트웨이가 다운되면, 그 순간 사내 자원에 접근할 수 있는 직원이 아무도 없는 상황이 벌어질 수 있습니다. 일반 웹 서비스의 장애와 달리 VPN 장애는 "회사 전체가 일하지 못하는" 사태로 직결되기 쉽습니다. 그래서 어느 정도 규모가 있는 조직이라면 VPN 인프라 자체의 이중화(Redundancy)를 처음부터 설계에 포함해야 합니다.
Active/Standby와 Active/Active
가장 단순한 이중화는 Active/Standby 구성입니다 — 평소에는 한 대의 VPN 서버만 트래픽을 처리하고, 그 서버가 죽으면 대기 중이던 예비 서버가 넘겨받는 방식(Failover)입니다. 구성이 단순하지만 평소에는 예비 서버의 자원이 놀고 있다는 단점이 있습니다. Active/Active 구성은 위 다이어그램처럼 두 대 이상의 서버가 동시에 트래픽을 처리하고, 앞단의 로드 밸런서(Load Balancer)가 트래픽을 분산합니다. 평상시 자원을 더 알차게 쓰면서도, 서버 한 대가 죽어도 나머지가 계속 서비스하기 때문에 가용성이 높습니다.
서버를 넘어선 이중화
진짜 견고한 설계는 VPN 서버 이중화에서 그치지 않습니다. 인터넷 회선 자체가 끊기면 서버가 몇 대든 소용없기 때문에 서로 다른 통신사의 복수 인터넷 회선(Multiple Internet Lines)을 함께 쓰는 구성이 필요하고, 특정 지역 전체에 장애가 발생하는 상황까지 대비하려면 물리적으로 떨어진 지역에 예비 인프라를 두는 지역 이중화(Geographic Redundancy)까지 고려합니다. 어디까지 이중화할지는 결국 "VPN이 몇 분 멈추면 회사에 어떤 손실이 발생하는가"라는 질문에 대한 답에 따라 결정됩니다.