공인 IP는 LAN이 아니다: 실제로 작동하는 라우팅 멘탈 모델
Source: Dev.to
Introduction
사용자들은 대부분 공용 IP 서브넷을 마치 집이나 근접한 프로덕션 환경의 로컬 영역 네트워크처럼 취급하면서 네트워킹을 망가뜨립니다. 이는 보통 브리징된 인터페이스, 공용 IP를 직접 할당받은 가상 머신, 혹은 ARP가 “그냥 작동할 것”이라는 기대 형태로 나타납니다. 문제가 발생하면 방화벽, 하이퍼바이저, 혹은 ISP가 원인이라고 돌리는 경우가 많습니다.
실제 문제는 더 간단합니다:
정신 모델이 잘못되었습니다.
1. The incorrect mental model
전형적인 믿음은 다음과 같습니다:
“내 ISP로부터 /29 혹은 /24를 받았다. 그 서브넷을 하이퍼바이저에 연결하면 내 VM들이 그 공용 IP를 바로 사용할 수 있다.”
이는 공용 주소 공간이 사설 브로드캐스트 도메인처럼 동작한다는 가정—즉, 스위치를 하나 다른 스위치에 연결하는 것과 비슷하다는 가정에 기반합니다. 이런 관점에서는 ARP가 해결되고, 이웃이 응답하며, 트래픽이 정상적으로 흐를 것이라고 생각합니다.
그 가정은 잘못되었습니다.
2. What actually happens on the wire
공용 IP 서브넷은 공유 이더넷 세그먼트가 아닙니다. 이는 라우팅된 주소 공간이며, 상위 라우터가 소유하고 제어합니다.
트래픽이 여러분의 공용 IP 중 하나를 목표로 할 때, 상위 라우터는 ARP 요청을 여러분의 하이퍼바이저나 내부 스위치를 통해 브로드캐스트하지 않습니다. 대신 라우팅 테이블을 조회하고 단일 다음 홉—그 주소를 소유한다고 판단하는 장치—으로 패킷을 전달합니다.
공용 IP를 내부에서 브리징하고 여러 호스트 간에 ARP가 해결되길 기대한다면, 이는 실패합니다. 상위 라우터는 그 ARP 요청을 전혀 보지 못하고 응답하지도 않습니다. 어떤 방화벽 규칙이나 하이퍼바이저 설정도 이 동작을 바꿀 수 없습니다.
상위 라우터 입장에서는 다음 홉을 넘어선 어떤 것도 존재하지 않는 것으로 간주됩니다.
3. Public subnets are routed, not switched
기억해 두면 좋은 규칙:
공용 IP 공간은 레이어‑2 네트워크가 아니라 라우트 형태로 제공됩니다.
즉:
- 브로드캐스트 도메인을 받지 않습니다.
- 호스트 간 이웃 탐지를 받지 않습니다.
- 패킷은 오직 다음 홉으로만 전달됩니다.
그 다음 홉은 보통 여러분의 라우터나 방화벽이며, 개별 VM이 아닙니다. 공용 IP를 내부에서 브리징하면 겉보기에는 연결된 것처럼 보일 수 있지만, 실제 트래픽이 흐를 때는 무너집니다.
사람들이 “내 ISP가 서브넷을 줬다”고 말할 때 실제로 일어난 일은 ISP가 그 서브넷을 하나의 장치에 라우팅해 주었다는 것입니다.
4. Models that actually work
정확하고 예측 가능한 몇 가지 모델만이 존재합니다:
- 방화벽/라우터에 라우팅된 서브넷을 두고, 모든 공용 IP가 그곳에서 종료되도록 하는 방식.
- 1:1 NAT, 라우터가 공용 IP를 소유하고 명시적으로 매핑하는 방식.
- 정책 라우팅 / 루프백 소유권, 라우터가 ARP 엔드포인트가 되는 방식.
이 모든 모델이 공유하는 속성은 다음과 같습니다:
한 장치가 레이어‑2에서 공용 IP를 소유하고, 나머지는 레이어‑3에서 하류에 존재한다.
이를 이해하면 패킷 흐름이 명확해지고, 디버깅이 쉬워지며, 시스템이 예측 불가능하게 느껴지는 일이 사라집니다.
5. The rule of thumb
상위 라우터를 제어하지 못한다면 ARP도 제어할 수 없습니다.
공용 IP는 여러분에게 라우팅되어야 하며—여러분을 통해 브리징되지 않아야 합니다.