제로 트러스트 메시 VPN

기존의 VPN들은 외부자는 신뢰할 수 있는 네트워크 바깥에 있고, 내부자는 신뢰할 수 있는 네트워크 안에 있다고 가정하는 네트워크 경계 보안을 기반으로 한다. 중앙집중형 허브 앤 스포크(Hub and spoke)형태로 노트북 컴퓨터와 같은 각 클라이언트 장치가 중앙집선 장치 또는 게이트웨이에 연결되게 하는 것이다.

기존 허브앤 스포크 VPN ⓒtailscale

이러한 중앙집중형 방식은 구현이 쉽다는 장점이 있지만, 병목현상과 보안의 취약성, 그리고 확장성이 낮다는 단점이 있다. 또한, 하이브리드 클라우드 기반 인프라로의 이동과 급격한 원격 인력의 확산은 제로트러스트 메시 네트워크 솔루션을 필요로 하게 되었다. 

 

제로트러스트(Zero Trust)란 신뢰할 수 있는 네트워크란 존재하지 않는다고 가정한다. 즉, 내부 네트워크도 외부 네트워크와 동일하게 보고, 모든 커넥션, 모든 암호화된 트래픽, 모든 로그를 인증하는 것이다. 가상기기를 포함한 모든 기기들이 공공 IP 주소위에 위치한다고 가정한다. 구글의 비욘드코프 또한 제로트러스트라고 볼 수 있다.   

 

테일스테일(Tailscale)은 메시 네트워크를 통해 중앙 집중기나 게이트웨이를 거치지 않고 다른 피어와 직접 연결할 수 있는 메시 VPN이다. P2P(Peer to Peer) 아키텍처를 사용하여 노드(종료점에 있는 기기들)이 서로 직접 소통할 수 있게 해준다. 즉, 노트북과 스마트폰이 서로 직접 연결되고, 클라우드에서 구동중인 VM이 노트북 및 스마트폰과 직접 연결되는 것이다.  

 

 

P2P 메시 네트워크 ⓒtailscale

예를들어, 10개의 노드가 메시네트 워크로 연결된다고 가정 해보자. 이 경우, 10개의 노드 네트워크에는 10 x 9 = 90 와이어가드 터널이 필요하며, 모든 노드는 자신의 고유 키 뿐만 아니라 다른 9개 노드의 키 또한 알아야 한다. 더불어, 키를 변경,추가,삭제 하거나, 사용자를 추가,삭제 할때에도 각 노드를 업데이트해야 한다.

 

테일스케일은 오픈 소스 Tailscale 노드 소프트웨어를 사용 하여, 공개 키를위한 공유 드롭 박스 인“조정 서버”(login.tailscale.com)와 접촉하고, 간단하고 안전한 형태의 인증서인 와이어가드 ‘암호화 키’ 를 모든 노드에 제공한다.

 

 조정서버를 통해 공개키 및 메타데이터를 공유 ⓒtailscale

 

정리하면, 테일스케일은 데이터 플레인은 와이어가드, 메시 네트워크를 사용하는 동시에, 트래픽이 없고, 단지 몇 가지 작은 암호화 키 교환 및 정책 설정을 할 뿐인 콘트롤 플레인은 허브앤 스포크 구조를 사용하는 하이브리드 중앙 분산 모델을 가지고 있다. 이러한 구조는 트래픽 증가에 따른 병목현상을 방지함과 동시에 노드수의 증가와 함께 데이터 처리 능력도 증가하는 효과를 가져오게 된다.

 

테일스케일은 구글, 마이크로소프트, 옥타, SAP 등이 사용하고 있는 가장 보편적인 ID 제공자와의 통합을 지원하고 이를 통한 다중 인증을 지원한다.

 

글쓴이: 남궁선

*기업용 VPN 구축문의: tailscale.kr@gmail.com

 

참고

제로 트러스트 네트워킹을 향한 한 걸음··· ‘메시 VPN’ 안내서

 

How Tailscale works

 

crawshaw - 2019-09-10