08 · Network Architecture
네트워크를 나누어 지키는 설계
DMZ, VLAN, 세그멘테이션부터 제로 트러스트까지 — 네트워크를 하나로 뭉뚱그리지 않고 구획을 나눠 피해를 가두는 설계 원칙.
왜 네트워크를 나누는가
네트워크 하나를 통째로 평평하게(flat) 운영하면, 어딘가 한 곳이 뚫렸을 때 공격자가 내부에서 자유롭게 옆으로 이동(lateral movement)할 수 있습니다. 이번 글에서 다루는 개념들은 공통적으로 "네트워크를 구획으로 나눠, 한 구역이 뚫려도 피해가 거기서 멈추게 만든다"는 목표를 공유합니다.
DMZ — 외부와 내부 사이의 완충지대
비무장지대(DMZ)는 외부에 공개해야 하는 서버(웹, 메일 서버 등)를 내부망과 분리된 별도 구역에 배치하는 설계입니다. 외부에서 DMZ의 서버가 뚫리더라도, 그 서버에서 곧바로 내부 핵심망으로 넘어갈 수 없도록 사이에 방화벽 경계를 하나 더 둡니다. "공개해야 할 것"과 "절대 노출되면 안 되는 것"을 물리적/논리적으로 분리하는 가장 고전적인 방법입니다.
VLAN — 하나의 물리망을 여러 논리망으로
VLAN(가상 LAN)은 같은 물리적 스위치 장비 위에서도 트래픽을 논리적으로 분리된 여러 네트워크로 나눌 수 있게 해줍니다. 예를 들어 같은 사무실 안에서도 직원 네트워크, 방문자 와이파이, IoT 기기망을 VLAN으로 나눠두면, 방문자용 와이파이가 뚫려도 직원 네트워크로는 넘어갈 수 없습니다.
세그멘테이션과 마이크로 세그멘테이션
세그멘테이션은 VLAN보다 넓은 개념으로, 네트워크를 기능·부서·신뢰 수준에 따라 여러 구간으로 나누고 구간 사이의 트래픽을 방화벽 규칙으로 통제하는 접근 전체를 가리킵니다. 마이크로 세그멘테이션은 이를 더 잘게 쪼개, 서버 한 대 한 대, 워크로드 하나하나 사이의 통신까지 개별적으로 통제합니다. 특히 클라우드/가상화 환경에서는 물리적 경계가 흐려지기 때문에 이런 세밀한 통제가 더욱 중요해집니다.
제로 트러스트와의 연결고리
01편에서 다룬 제로 트러스트는 이 모든 분리 전략의 논리적 종착점이라 할 수 있습니다. 구획을 아무리 잘게 나눠도 그 안에서의 이동을 매번 검증하지 않으면 의미가 퇴색되기 때문에, 현대적인 네트워크 아키텍처는 세그멘테이션과 제로 트러스트 원칙을 함께 적용하는 방향으로 수렴하고 있습니다.