네트워크 DMZ(Demilitarized Zone) 개념과 구성, 흐름 이해하기

DMZ(Demilitarized Zone)란 무엇인가?

---

DMZ하면 군대가 떠오른다. 하지만 여기서 말하는 DMZ는 네트워크의 어느 한 영역을 말한다. 군사 용어상 DMZ는 Demilitarized Zone, 비무장지대를 말한다. 우리나라와 북한 사이에도 비무장지대가 있는데 비무장지대는 말 그대로 무기를 들고 들어갈 수 없는 중립 지대이다. 서로 간의 직접적인 무력 충돌을 방지하기 위한 완충 구역인 것이다. 

 

군사 용어인 DMZ가 어떻게 네트워크 영역에도 적용된 것일까?

네트워크에서도 외부 인터넷(외부망)과 내부 네트워크(사내망)가 직접 만나면 위험하다. 외부에서 어떠한 위험이 존재할지 모른다. 디도스 공격이 될 수도 있고, 여타 다른 공격일 수 있다. 따라서 네트워크 망 사이에도 완충 구역을 만든다. 

외부망과 내부망 사이의 영역, 정확히 말하자면 외부 방화벽과 내부 방화벽 사이에 존재하는 영역을 바로 DMZ라고 한다. 

 

DMZ는 외부 방화벽과 내부 방화벽 사이에 위치하며, 외부에서는 DMZ 영역의 서버에 접근할 수 있지만, 내부망으로는 직접 접근할 수 없도록 구성된 중간 지대이다. 이러한 특성 때문에 웹서버, 메일 서버와 같이 외부에서 접근이 필요한 서버를 DMZ 영역에 두고 사용한다. 

 

DMZ 영역에 해당 서버를 두게 되면 1차로 외부 방화벽을 통해 접근 가능한 IP와 포트를 제한하고, 2차로 DMZ 내 서버 자체의 보안 설정(예를 들어, NGINX 방화벽, fail2ban 등)으로 한 번 더 방어한다. 마지막으로 내부 방화벽이 DMZ에서 내부망으로의 접근을 제어하여 3계층으로 보안을 적용할 수 있다. 

 

그럼 DMZ 영역을 어떻게 만드는 거지?

---

네트워크라 하면 정처기 공부를 하며 주입식으로 외웠던 OSI 7계층 밖에 모르는 주니어 개발자는 DMZ 영역을 어떻게 구성하는지 아직 이해가 안간다. DMZ 영역을 구성하는 특정 장비가 있는 것일까? 

 

자. 위에서 언급했던 DMZ의 정의를 다시 한 번 상기시켜 보자.

 

DMZ란, 외부 방화벽과 내부 방화벽 사이에 위치하는 영역이다.

 

DMZ는 어떤 장비를 놓으면 생기는 것이 아니라, 외부 방화벽과 내부 방화벽이 있으면 그 사이의 영역이 바로 DMZ 영역인 것이다. 다시 말해서 DMZ 영역을 만들려면 외부 방화벽과 내부 방화벽을 설정하면 된다. 

 

방화벽은 보통 장비를 통해 구성한다. 

 

 

이렇게 생긴 물리 장비도 있고, 오픈 소스 방화벽 OS, 클라우드용 방화벽도 있다. 프로젝트의 규모와 환경에 따라 다르겠지만 금융권, 대기업, 공공기관 등 보안에 민감한 환경에서는 위의 사진과 같은 물리 장비 기반의 방화벽을 사용한다. 만약 클라우드 환경이라면 클라우드 보안 그룹과 가상 방화벽을 함께 사용한다. 

 

 

외부 방화벽, 내부 방화벽 모두 4계층 장비 혹은 7계층 장비를 통해 보호 가능하며, 방화벽이 어떤 계층의 장비(L4/L7)냐에 따라 트래픽을 IP/포트 수준으로 제어할 수도 있고, HTTP 같은 애플리케이션 레벨까지 분석해 보안을 강화할 수도 있다.  간단하게 보자면 위의 그림과 같은 구조로 DMZ 영역이 구성되고 그 영역 안에 웹서버, 메일 서버 등 애플리케이션 레벨의 서버가 존재하는 것이다. 

 

마지막으로 외부망으로부터 내부망까지... 패킷의 흐름을 분석해보자! 

---

마지막으로, DMZ 영역 안에 NGINX로 구성한 웹 서버가 있다고 가정하자. 사용자가 브라우저에서 해당 웹 서버가 띄운 사이트에 접속하여 로그인을하려고 한다. 이 때 어떠한 흐름으로 동작하는지 살펴보자.

 

1) 사용자가 브라우저에서 https://example.com에에 접속한 후 로그인을 시도했다.

2) 사용자의 로그인 요청은 DNS를 통해 공용 IP를 찾고, 라우터를 거쳐 외부 방화벽에 도착한다.

     - 공용IP는 10.12.0.10이다.

3) 외부 방화벽은 요청 포트를 확인한다. 실제 요청 URL은 10.12.0.10:443/login이다. 해당 포트(443)은 DMZ 허용 포트이므로 요청을 DMZ에 존재하는 웹서버로 전달한다. 

    - 전달시에는 NAT를 통해 DMZ 영역의 IP인 192.168.1.10:3000으로 바뀌어 전달된다. 

4) 요청을 받은 웹서버는 로그인을 수행한다. 로그인을 수행하려면 WAS를 통해 DB에 접근하여 사용자 정보 일치 여부를 확인해야 한다. 따라서 웹서버는 내부망에 존재하는 WAS로 사용자 인증을 위한 API 요청을 전송한다. WAS는 DB에 접근해 사용자 정보 일치 여부를 확인한 뒤, 그 결과를 웹서버에 응답한다. 이 요청이 가능하도록 내부 방화벽에서 웹서버의 IP가 WAS의 8080 포트에 접근 가능하도록 사전에 허용되어 있어야 한다. (내부망 WAS IP : 192.168.0.112:8080)

5) 응답을 받은 웹서버는 다시 사용자에 응답을 보낸다.