Network (5) 썸네일형 리스트형 Zero Trust 네트워크 — 내부도 신뢰하지 않는다 전통적인 보안 모델은 성과 해자(moat) 비유로 설명된다. 방화벽이 해자이고, 일단 안에 들어오면 신뢰한다. 내부 네트워크에서 오는 요청은 별도 인증 없이 통과된다. 이 모델의 전제는 "내부 네트워크는 안전하다"는 것이다.이 전제가 흔들렸다. 클라우드가 도입되면서 내부/외부 경계가 흐려졌다. 직원이 카페에서 SaaS를 쓰고, 파트너사가 VPN으로 내부에 접근하고, 마이크로서비스가 서로를 호출한다. 한 번 침투하면 내부에서 자유롭게 이동할 수 있는 구조가 됐다.Zero Trust는 이 구조를 뒤집는다. "절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)".핵심 원칙위치(IP)가 아니라 아이덴티티로 인증한다. 내부 IP에서 왔다는 것만으로 신뢰하지 않는다. 요청자가 누구.. VPC — 클라우드 위의 사설 네트워크 온프렘에서는 물리 스위치와 VLAN으로 네트워크를 구성한다. AWS에서는 VPC가 그 역할을 한다. VPC는 클라우드 위에 소프트웨어로 만든 사설 네트워크다. 내 계정 안에서만 존재하고, 다른 계정의 VPC와는 기본적으로 완전히 격리된다.구성 요소CIDR 블록VPC를 만들 때 IP 주소 범위를 지정한다. 이 범위 안에서 서브넷을 나눈다.VPC CIDR: 10.0.0.0/16 (65,536개 주소)나중에 VPC CIDR을 바꾸는 것은 어렵다. 처음부터 넉넉하게 /16으로 잡는다.서브넷VPC를 더 작은 구역으로 나눈 것이다. 서브넷은 특정 가용 영역(AZ) 에 속한다.public subnet AZ-a: 10.0.1.0/24 ← 인터넷 직접 접근 가능public subnet AZ-b: 10.0.2... NAT — 사설 IP와 공인 IP를 연결하는 주소 변환 사설 IP(10.0.1.5)를 가진 서버는 인터넷과 직접 통신할 수 없다. 인터넷 라우터는 사설 IP를 목적지로 받으면 어디로 보낼지 모른다. 그 서버가 google.com에 요청을 보내도, 구글 서버가 10.0.1.5로 응답을 보낼 방법이 없다.NAT는 이 문제를 해결한다. 패킷이 외부로 나갈 때 사설 IP를 공인 IP로 바꾸고, 응답이 돌아오면 다시 사설 IP로 되돌린다. 내부 서버 입장에서는 인터넷과 직접 통신하는 것처럼 보인다.SNAT — 출발지 주소 변환SNAT(Source NAT)는 패킷의 출발지 IP를 바꾼다. 내부 → 외부 방향 트래픽에 쓰인다.내부 서버 (10.0.1.5:54321) → 구글 (8.8.8.8:80)NAT 게이트웨이 통과 시:출발지: 10.0.1.5:54321 → 203.0.. DNS — 도메인 이름을 IP로 바꾸는 시스템 코드에서 https://api.example.com으로 요청을 보낼 때 컴퓨터는 api.example.com이 어느 서버인지 모른다. 실제 통신은 IP 주소로 이루어진다. DNS(Domain Name System)는 이 변환을 담당하는 분산 시스템이다.조회 과정api.example.com을 처음 조회하는 상황을 따라가면 이렇다.클라이언트 → 로컬 캐시 확인 (없으면) → 운영체제 리졸버 (/etc/resolv.conf에 적힌 DNS 서버) → 재귀 리졸버 (ISP 또는 8.8.8.8 같은 공용 DNS) → 루트 네임서버 (. 에 대한 응답: "com은 여기 물어봐") → TLD 네임서버 (com. 에 대한 응답: "example.com은 여기 물어봐") → 권위 네임서버 .. IP & CIDR — 네트워크 주소 체계의 기초 클라우드 콘솔에서 VPC를 만들 때 10.0.0.0/16을 입력하고, k8s NetworkPolicy에서 172.16.0.0/12를 허용하고, 방화벽 규칙에서 0.0.0.0/0을 차단한다. 이 숫자들이 무엇을 의미하는지 정확히 모르면 서브넷 설계를 할 때마다 찍게 된다.IPv4 주소 구조IPv4 주소는 32비트 숫자다. 읽기 편하게 8비트씩 네 덩어리로 나눠 점으로 구분한다.192.168.1.100↓11000000.10101000.00000001.01100100각 덩어리는 0~255 범위다. 주소 전체로는 약 43억 개(2³²)가 존재한다.CIDR 표기법CIDR(Classless Inter-Domain Routing)은 IP 주소 범위를 주소/프리픽스 길이 형태로 표현한다.192.168.1.0/24뒤의 .. 이전 1 다음