애플리케이션 현대화 등을 이유로 온프레미스에서 운영하던 워크로드를 클라우드로 옮길 때 모든 구성을 한 번에 바꾸는 조직은 많지 않습니다. 기존 환경의 일부 구성을 유지하면서 아키텍처를 설계하고 중장기적으로 클라우드 네이티브 전환을 추진하는 방식이 일반적입니다. 이 과정에서 보안 정책과 규제 대응, 운영 연속성을 이유로 기존 차세대 방화벽을 유지하는 경우가 적지 않습니다. 관련해 이번 포스팅에서는 기존 차세대 방화벽을 구글 클라우드 환경에서도 활용하는 이유와 운영 과정에서 마주하는 문제를 살펴보겠습니다. 이어서 구글 클라우드의 Network Security Integration(NSI)이 이러한 복잡성을 어떻게 줄이는지도 알아보겠습니다.
기업이 기존 방화벽 솔루션을 클라우드에서도 사용하고자 하는 이유
워크로드를 구글 클라우드로 이전할 때 VPC 방화벽만으로 모든 보안 요구를 해결하기는 어렵습니다. 클라우드 네이티브 방화벽은 기본적인 네트워크 접근 통제에 적합하지만 조직이 기존 차세대 방화벽을 통해 최적화한 통제 수준을 보장하기 쉽지 않습니다. 대표적으로 애플리케이션 계층 식별, 침입 방지, 악성코드 탐지, URL 필터링, TLS 트래픽 검사, 위협 인텔리전스 연계 등을 꼽을 수 있습니다. 강력한 규제를 따라야 하는 조직은 이러한 것을 쉽게 포기하기 어렵습니다.
금융·공공 조직은 업무망과 인터넷망 사이의 통제뿐 아니라 내부 시스템 사이의 동서(East-West) 트래픽도 세밀하게 살펴야 합니다. 같은 서브넷에 있는 서버 사이에서 공격이 확산되는 상황까지 막아야 하기 때문입니다.
운영 연속성도 기존 차세대 방화벽을 유지하게 만드는 중요한 요인입니다. 많은 조직이 Check Point, Fortinet, Palo Alto Networks 같은 차세대 방화벽을 오랜 기간 운영하며 보안 정책, 객체, 로그 분석 절차, 사고 대응 플레이북과 담당자 역량을 쌓아 왔습니다. 클라우드 전환을 이유로 이러한 운영 자산을 한 번에 바꾸면 위험이 커질 수 있습니다. 많은 조직이 익숙한 보안 통제를 유지하면서 구글 클라우드 네트워크와 자연스럽게 결합하는 방법을 찾는 이유입니다.
서드파티 방화벽을구글 클라우드에 배포했을 때 마주하는 과제들
기존 차세대 방화벽을 클라우드 환경에 배치하는 것 자체는 어려운 작업이 아닙니다. 진짜 도전 과제는 검사 대상 트래픽이 반드시 방화벽을 거치도록 경로를 설계하고 이를 안정적으로 운영하는 일입니다.
클라우드 환경에서는 트래픽을 Check Point, Fortinet, Palo Alto Networks 같은 서드파티 방화벽으로 우회시키기 위해 사용자 정의 경로, 소스 네트워크 주소 변환(Source NAT), 여러 네트워크 인터페이스(Multi-NIC), 복잡한 라우팅 테이블을 조합하는 경우가 많습니다. 이러한 방식은 방화벽의 검사 기능을 적용할 수 있게 하지만 네트워크 구조와 운영 절차를 복잡하게 만들 수 있습니다.
예를 들어 소스 NAT를 사용하면 원본 IP 주소가 방화벽이나 중간 장비의 주소로 바뀔 수 있습니다. 이 경우 보안 로그에서 실제 트래픽의 출발지를 추적하기 어려워지고 애플리케이션별 정책 적용과 사고 분석의 정확도도 떨어질 수 있습니다.
원본 IP 주소를 보존하기 위해 Multi-NIC 구성을 선택할 수도 있습니다. 그러나 네트워크 인터페이스와 경로가 늘어나면 트래픽 흐름을 파악하기 어려워지고 장애가 발생했을 때 원인을 분석하는 작업도 복잡해집니다. VPC와 서브넷이 늘어날수록 관리해야 할 라우팅 규칙과 예외도 함께 증가합니다. 특히 같은 서브넷에 있는 가상 머신 사이의 동서 트래픽은 일반적인 라우팅 방식만으로 방화벽 검사 경로에 넣기 어렵습니다. 이를 해결하려고 서브넷을 더 세분화하거나 별도의 우회 경로를 구성하면 네트워크 설계와 운영 부담이 커집니다.
결국 조직은 마이크로세그멘테이션의 적용 범위를 제한하거나 복잡한 네트워크 구조를 감수해야 하는 상황에 놓입니다. 보안을 강화하기 위해 만든 검사 경로가 오히려 클라우드 운영의 복잡성을 높이게 되는 것입니다.
복잡한 라우팅 문제 해결의 열쇠 Network Security Integration
앞서 살펴본 복잡성 문제는 구글 클라우드가 제공하는 Network Security Integration(NSI)을 통해 풀 수 있습니다. 기존 방식은 검사 대상 트래픽이 방화벽을 반드시 거치도록 라우팅 경로를 직접 설계해야 했습니다. 반면에 NSI는 트래픽 경로를 우회시키는 대신 정책으로 선택한 패킷만 네트워크 중간에서 가로채 서드파티 방화벽으로 전달합니다.
쉽게 말해 워크로드와 목적지 사이의 기존 라우팅은 그대로 두고 검사가 필요한 트래픽에만 보안 서비스를 적용하는 방식입니다. 애플리케이션이나 가상 머신은 원래 경로로 통신하지만 구글 클라우드 네트워크가 정책에 따라 패킷을 검사 장비로 잠시 보내고 다시 원래 흐름에 돌려놓습니다. 따라서 방화벽 검사를 위해 애플리케이션의 경로나 서브넷 구조를 크게 바꿀 필요가 없습니다.
그렇다면 운영자는 어떤 방식으로 검사 대상을 정할까요? 네트워크 방화벽 정책에서 출발지와 목적지, 트래픽 방향, 프로토콜과 포트 등의 조건을 기준으로 검사할 트래픽을 정의합니다. 일반적인 방화벽 정책이 트래픽을 허용하거나 차단하는 데 그친다면 NSI 정책은 조건에 맞는 패킷을 보안 프로파일 그룹에 연결합니다.
이 프로파일 그룹은 해당 트래픽을 어떤 서드파티 방화벽 서비스로 보낼지 연결하는 역할을 합니다. 정책 조건에 맞는 패킷은 구글 클라우드 네트워크에서 가로챈 뒤 GENEVE 터널로 캡슐화되어 서드파티 방화벽으로 전달됩니다. 방화벽은 원본 패킷을 바탕으로 애플리케이션 식별, 악성코드 탐지, 침입 방지, TLS 검사 같은 애플리케이션 계층(L7)의 보안 검사를 수행합니다.
방화벽이 트래픽을 허용하면 패킷은 같은 터널을 통해 처음 가로챈 지점으로 돌아옵니다. 이후 원래 라우팅 경로를 따라 목적지까지 이동합니다. 반대로 방화벽이 위협으로 판단하면 패킷은 검사 단계에서 차단되므로 목적지에 도달하지 않습니다. 캡슐화한 패킷 안에는 원본 출발지와 목적지 주소가 그대로 남아 있습니다. 따라서 검사 경로를 만들기 위해 소스 NAT를 강제로 적용할 필요가 줄어듭니다.
보안 로그에서도 실제 통신 주체를 확인할 수 있어 정책 분석과 사고 대응에 유리합니다. 또한, NSI는 같은 서브넷에 있는 가상 머신 사이의 트래픽도 정책으로 선택할 수 있습니다. 일반적인 라우팅 방식으로는 방화벽을 거치게 하기 어려웠던 동서 트래픽까지 검사할 수 있으므로 네트워크를 과도하게 분리하지 않고도 마이크로세그멘테이션의 적용 범위를 넓힐 수 있습니다.
배포와 운영 측면에서는 Terraform 템플릿을 활용할 수 있습니다. 엔드포인트, VPC와 검사 서비스의 연결 관계, 방화벽 배포 그룹 같은 구성을 코드로 표준화하면 여러 프로젝트와 VPC에도 동일한 구조를 반복해서 적용할 수 있습니다.
NSI 적용 효과
NSI의 도입 효과를 운영자 관점에서 살펴보면 세 가지를 꼽을 수 있습니다. 첫 번째는 운영 단순화입니다. 라우팅 테이블과 NAT 예외를 줄이면 변경 영향도를 파악하기 쉬워집니다. 네트워크팀과 보안팀이 서로 다른 설정을 맞추는 데 쓰는 시간도 줄일 수 있습니다.
두 번째는 정책 일관성입니다. 조직은 기존 서드파티 방화벽의 위협 방지 기능과 관리 체계를 이어가면서 구글 클라우드의 계층형 방화벽 정책과 태그 기반 통제를 함께 활용할 수 있습니다. 세 번째는 검사 범위 확대입니다. 인터넷 경계뿐 아니라 VPC 내부, 같은 서브넷, 공유 서비스와 업무 시스템 사이의 동서 트래픽까지 세밀하게 다룰 수 있습니다. 애플리케이션을 다시 설계하지 않고도 검사 지점을 늘릴 수 있다는 점도 중요합니다.
물론 NSI를 도입한다고 보안 설계가 자동으로 완성되지는 않습니다. 검사 대상과 제외 대상, 장애 시 허용 또는 차단 원칙, 방화벽 용량, 리전 구성, 로그 보존, TLS 복호화 범위를 사전에 정해야 합니다. 보안 서비스를 중앙에 집중할수록 해당 서비스의 가용성과 변경 절차도 더 엄격하게 관리해야 합니다.
기존 방화벽을 구글 클라우드에서 활용하고 싶다면!
클라우드 환경에 서드파티 방화벽을 배포할 때 복잡성을 줄이려면 필요한 트래픽만 정확히 골라 검사하고 나머지 네트워크는 단순하게 유지해야 합니다. NSI는 기존 방화벽 투자를 보호하면서 구글 클라우드에 맞는 운영 구조로 전환할 수 있는 현실적인 선택이 될 수 있습니다.
메가존소프트는 마이그레이션 대상 워크로드와 기존 방화벽 정책을 함께 분석하고, 어떤 트래픽에 L7 검사가 필요한지 검토합니다. 그리고 VPC 구조와 고가용성 구성, 마이크로세그멘테이션, 로그 연계와 장애 전환까지 함께 설계해 서드파티 방화벽을 구글 클라우드 환경에 안정적으로 적용하도록 지원합니다.
기존 차세대 방화벽을 유지하면서 클라우드 네트워크의 복잡성은 낮추고 싶다면 메가존소프트 문의 포털을 통해 상담을 남겨 주세요.
