F5 BIG-IP v21.1 정식 출시: PQC 및 AI 보안 기능 강화

F5 ADSP | 2026년 5월 06일

두 달 전 AppWorld에서 F5는 사전 발표했습니다. BIG-IP v21.1은 포스트 양자 암호(PQC) 대비 태세 강화, BIG-IP TMOS 현대화, AI 워크로드 및 신흥 기술을 보호하기 위한 새로운 기능 추가에 중점을 둔 릴리스입니다.

오늘, BIG-IP v21.1이 정식 출시되면서 그 예고가 현실이 되었습니다. 이번 릴리스에는 고객과 파트너 여러분이 요청해 온 기능이 대거 포함되어 있습니다. 아래에서 BIG-IP v21.1과 함께 제공되는 주요 신규 기능의 요약과 더불어, 이번 릴리스와 관련된 유용한 정보 및 리소스를 확인하실 수 있습니다. 그럼 BIG-IP v21.1의 새로운 기능을 살펴보겠습니다.

PQC 준비

누구에게 묻느냐에 따라 ‘Q-Day’가 코앞으로 다가왔다고도 하고, 아직 몇 년은 더 남았다고도 합니다. 어느 쪽이든, 현재 암호화된 데이터를 저장해 두었다가 향후 양자 컴퓨터가 충분한 성능을 갖추면 복호화하려는 ‘지금 수집하고 나중에 복호화하기’ 위협으로 인해 오늘날 PQC의 필요성이 매우 중요해지고 있습니다.

BIG-IP는 TLS 1.3에서 하이브리드 키 교환 X25519_ML-KEM-768을 지원하는 v17.5.0을 통해 PQC 지원을 위한 첫걸음을 내디뎠습니다. 하지만 이는 시작에 불과했습니다. BIG-IP는 릴리스마다 PQC 기능을 지속적으로 확장하고 있으며, BIG-IP v21.1에서는 다음과 같은 두 가지 주요 업데이트를 제공합니다:

추가 NIST 준수 PQC 암호군 지원: 양자 컴퓨터의 상용화 가능성이 점차 커지면서 RSA 및 ECC와 같은 기존 암호화 알고리즘은 더 이상 유효하지 않게 될 위험에 처해 있습니다. 이를 인식한 미국 국립표준기술연구소(NIST)는 양자 컴퓨터를 활용한 공격을 견딜 수 있는 PQC 알고리즘을 표준화하기 위한 전 세계적인 노력을 주도했습니다. 그 결과, 하이브리드 암호화를 제공할 수 있는 FIPS 203 표준 준수 SecP+ML-KEM 암호군이 채택되었습니다. 이 암호군은 기존 암호화 방식(SecP)과 양자 내성 알고리즘(ML-KEM)을 결합하여 현재는 물론 미래에도 보안을 유지할 수 있도록 지원합니다.

NIST 지침 및 FIPS 표준을 준수해야 하는 고객, 특히 정부 및 기타 규제 산업의 고객에게는 인프라 보안을 위해 SecP + ML-KEM을 도입하는 것이 매우 중요합니다. 이러한 요구 사항을 충족하기 위해 BIG-IP는 v21.1에서 NIST를 준수하는 두 가지 새로운 PQC 암호 그룹을 지원합니다:

SecP256r1ML-KEM-768
SecP384r1ML-KEM-1024

출시 시점부터 클라이언트 측 및 서버 측 연결을 모두 지원하며, SSL Forward Proxy 사용 사례도 지원합니다. (BIG-IP v21.1s의 PQC 개선 사항에 대한 자세한 내용은 F5의 Rachael Shah가 작성한 이 블로그 에서 확인할 수 있습니다.)

양자 내성 TLS/SSL VPN 터널링: VPN 터널링은 클라이언트와 서버 사이에 암호화된 터널을 생성하여 공용 또는 사설 네트워크를 통한 데이터 전송을 보호하는 방법으로 1990년대 후반에 처음 도입되었습니다. 약 30년 동안 VPN 터널은 민감한 정보가 악의적인 사람의 손에 들어가지 않도록 성공적으로 보호해 왔습니다. 그러나 양자 컴퓨팅이 부상하면서 공격자는 기존 암호화 방식을 무력화하고 해당 데이터에 접근하는 데 필요한 연산 능력을 갖게 될 것입니다.

이에 대응하기 위해 F5 BIG-IP Zero Trust Access (이전 명칭: BIG_IP APM) v21.1에서는 X25519 + ML-KEM-768 암호를 지원하는 양자 내성 TLS/SSL VPN 터널링을 도입할 예정입니다. 앞서 설명한 것처럼, 이 기능은 클라이언트 측과 서버 측의 종단 간 연결을 지원하여 NIST 지침 및 FIPS 203 표준을 준수하면서 최신 VPN 터널을 포괄적으로 보호합니다. TLS/SSL VPN보다 IPSec VPN을 선호하는 조직을 위해 BIG-IP Zero Trust Access에는 머지않아 이와 유사한 양자 보안 IPSec 터널링 지원도 추가될 것으로 예상됩니다.

AI 워크로드 전송, 보안 및 액세스 기능 향상

AI 워크로드의 핵심 요구 사항은 다른 애플리케이션과 매우 유사합니다. 빠르고 가용성이 높아야 하며, 무엇보다 안전해야 합니다. 그러나 이러한 워크로드의 규모와 정교함이 커짐에 따라 애플리케이션 전송 컨트롤러(ADC)를 비롯해 이를 지원하는 인프라도 새로운 요구 사항을 충족하도록 발전해야 합니다. BIG-IP v21.0은(는) 모델 컨텍스트 프로토콜(MCP)을 지원하는 초기 기능 세트를 제공함으로써 중요한 첫걸음을 내디뎠습니다. 이제 BIG-IP v21.1에서는 새로운 MCP 기능을 추가하고, Agent2Agent(A2A) 프로토콜을 위한 실험적 기능을 도입하며, 에이전틱 AI 시스템이 리소스에 빠르고 안전하게 액세스할 수 있도록 지원함으로써 이러한 성과를 더욱 발전시키고 있습니다.

Model Context Protocol을 위한 보안 및 전송 기능 확장: AI 앱이 에이전트와 애플리케이션 간의 빠르고 표준화된 상호 작용 방식으로 MCP에 점점 더 의존함에 따라, 일관되고 안전한 트래픽 흐름을 확보하는 것이 매우 중요합니다. BIG-IP v21.1에서는 MCP 트래픽을 위한 두 가지 주요 개선 사항을 제공합니다:

MCP 프로토콜 보호 기능과 F5 BIG-IP Advanced WAF: MCP 트래픽을 활용하는 AI 앱은 도구 포이즈닝, 비밀 정보 노출, 인젝션 공격을 비롯해 OWASP MCP Top10에 설명된 기타 새로운 유형의 공격에 취약한 경우가 많습니다. BIG-IP v21.1에는 WAF 기반 MCP 검사 기능이 추가되어 이러한 위협을 선제적으로 탐지하고 완화할 수 있으며, 성능이나 지연 시간에 영향을 주지 않으면서 AI 트래픽을 안전하게 보호합니다.
MCP 세션 지속성: F5 BIG-IP Local Traffic Manager (LTM): MCP 워크플로에서는 올바른 처리를 위해 요청을 동일한 서버로 일관되게 라우팅해야 하는 경우가 많지만, 이전에는 이것이 불가능했습니다. BIG-IP v21.1에서는 여러 측면에서 쿠키 지속성과 유사하게 작동하는 MCP용 세션 지속성을 도입합니다. 즉, MCP 서버가 클라이언트에 세션 ID를 발급하면 해당 세션 ID가 포함된 후속 트래픽이 동일한 풀 멤버로 라우팅되어 더욱 원활하고 안정적인 연결을 보장할 수 있습니다.

최적화된 Agent2Agent 연결: AI 에이전트가 사람의 개입을 최소화하면서 작업을 자동화하고 의사 결정을 내려 생산성을 높이는 데 점점 더 많이 활용되고 있다는 것은 잘 알려진 사실입니다. 에이전트 도입이 확대됨에 따라 에이전트는 더 이상 앱 및 데이터 소스와 단순히 통신하는 데 그치지 않고, 다른 에이전트와 협업하여 작업을 위임하고 컨텍스트를 공유하며 엔드투엔드 워크플로를 완료하고 있습니다. 문제는 오늘날의 에이전트 환경이 공급업체와 프레임워크별로 파편화되어 있어 상호 운용이 어렵다는 점입니다. 이를 해결하기 위해 Google은 에이전트가 서로 통신하고 조율할 수 있는 표준화된 방식을 제공하는 Agent2Agent(A2A) 프로토콜 [AC2] (#_msocom_2) [TA3] (#_msocom_3)을 도입했습니다.

BIG-IP v21.1에서는 이제 A2A 프로토콜 트래픽을 기본적으로 부하 분산하여 에이전트 간 연결을 최적화하는 동시에, iRules 기반 로깅 및 가시성을 통해 거버넌스를 강화할 수 있습니다. 중요한 점은 이 기능이 BIG-IP v21.1에서 실험적 상태로 제공된다는 것입니다. 즉, 아직 완전히 지원되지 않으며 프로덕션 환경이 아닌 평가 및 테스트 목적으로만 사용해야 합니다. 향후 릴리스에서는 이 프로토콜을 완전히 지원하는 한편, 새로운 A2A 트래픽 관리 및 보안 기능도 추가할 예정입니다.

AI 에이전트를 위한 원활하고 안전한 액세스: 실시간으로 작동하는 자율 에이전트로 구성된 에이전틱 AI 시스템에는 데이터베이스, 클라우드 서비스, 내부 시스템과 같은 백엔드 리소스에 대한 동적이고 유연한 액세스가 필요합니다. 하지만 자격 증명을 관리하고 새로운 에이전트를 인증하는 기존 방식은 번거로울 수 있으며, 개발자가 액세스 팀 관리자에게 의존해 새 클라이언트를 승인하고 수동으로 구성해야 하는 경우가 많아 시간 효율성이 떨어질 수 있습니다. 다행히 이 문제는 BIG-IP v21.1의 BIG-IP Zero Trust Access에 새롭게 추가된 동적 클라이언트 등록(DCR) 기능으로 해결할 수 있습니다.

DCR을 사용하면 에이전틱 AI 시스템(또는 그 밖의 모든 앱)은 새로운 작업이나 에이전트가 생성될 때 BIG-IP Zero Trust Access를 중앙 권한 부여 서버로 삼아 안전하고 간편하게 자체 등록할 수 있습니다. 수동 구성을 기다리는 대신, 에이전트는 에이전트 이름과 필요한 액세스 권한 같은 기본 정보를 포함한 API 요청을 BIG-IP Zero Trust Access DCR 엔드포인트로 보낼 수 있습니다. BIG-IP Zero Trust Access는 요청을 자동으로 검증하고 에이전트를 등록한 후 즉시 보안 자격 증명을 발급하여 프로세스를 크게 단축하고 간소화합니다. 아래에서 이 프로세스를 시각적으로 확인할 수 있습니다.

F5 BIG-IP Zero Trust Access는 동적 클라이언트 등록을 지원하여 액세스 요청을 신속하게 처리합니다.

앞서 언급했듯이 DCR 엔드포인트를 사용하면 AI 시스템뿐만 아니라 모든 유형의 앱을 등록하고 승인하여 리소스에 안전하게 액세스하도록 할 수 있습니다. DevOps 팀은 기존 CI/CD 파이프라인을 활용해 DCR 엔드포인트로 액세스 요청을 자동 전송함으로써 앱 배포 시간을 단축하고 BIG-IP 관리자의 일상적인 업무 부담을 줄일 수 있습니다. (BIG-IP Zero Trust Access에 대한 자세한 내용은 Jay Kelley의 이 블로그에서 확인할 수 있습니다.)

BIG-IP TMOS 소프트웨어 현대화

지난해 F5가 BIG-IP Next를 중단하면서, 당초 BIG-IP Next에 적용할 예정이었던 여러 개선 사항을 통합해 BIG-IP TMOS 소프트웨어를 현대화하겠다고 약속했습니다. BIG-IP v21.0 릴리스는 컨트롤 플레인의 확장성과 성능을 크게 향상함으로써 이 목표를 향한 첫걸음을 내디뎠습니다. v21.1에서는 다음 두 가지 추가 업데이트를 통해 이러한 현대화 여정을 이어갑니다:

새로운 BIG-IP 선언형 API 소개: BIG-IP는 오랫동안 Application Services 3 Extension(AS3)을 통한 선언형 자동화를 지원하여 팀이 애플리케이션 구성 변경을 간소화하고 가속할 수 있도록 해왔습니다. AS3는 BIG-IP 자동화에 혁신을 가져왔으며 대부분의 배포 환경에서 요구 사항을 계속 효과적으로 충족하고 있지만, 현대적인 환경은 놀라운 속도로 발전하고 있습니다. 전례 없는 규모로 거의 즉각적인 구성 변경을 수행하려는 수요가 증가하면서 새로운 차세대 API의 필요성이 부각되었습니다.

BIG-IP v21.1에서 새로운 BIG-IP 선언형 API를 선보이게 되어 기쁩니다. 처음에는 알파 버전으로 제공될 예정입니다. AS3와 달리 이 API는 BIG-IP 코드베이스에 완전히 통합되므로 별도의 수명 주기 관리가 필요하지 않습니다. 또한 AS3의 테넌트별 설계에서 벗어나 확장성이 더 뛰어난 애플리케이션별 모델로 전환됩니다. 이에 따라 크고 복잡한 AS3 구성을 관리하기 쉽고 위험을 줄이는 데 도움이 되는 더 작고 재사용 가능한 모듈로 나눌 수 있습니다. 더욱이 새로운 API는 AS3보다 훨씬 광범위한 자동화 범위를 제공하여 대부분의 BIG-IP 워크플로와 사용 사례를 자동화할 수 있습니다. 속도도 빠릅니다. 성능이 크게 향상되어 구성을 거의 실시간으로 배포할 수 있으므로 BIG-IP를 최신 애플리케이션 운영 환경에 맞출 수 있습니다. 앞으로 몇 달 동안 BIG-IP 선언형 API에 관한 자세한 내용을 공유할 예정이니 많은 관심 부탁드립니다.

지속적인 컨트롤 플레인 개선: v21.0부터 BIG-IP 컨트롤 플레인의 현대화를 시작했으며(자세한 내용은 여기에서 확인 가능), 이는 v21.1과 이후 릴리스에서도 계속해서 핵심 주제가 될 것입니다. 이번 최신 업데이트에서는 컨트롤 플레인의 안정성과 성능을 높이고 리소스 활용을 최적화하기 위해 MCPd, iControl REST, BigD 데몬이라는 세 가지 핵심 영역을 크게 개선했습니다.

iControl REST API는 요청을 더 빠르게 처리하여 엔드투엔드 구성 시간을 최대 10% 단축합니다. 효율성이 향상되어 CPU 및 메모리 사용량이 줄어들고, 다른 핵심 컨트롤 플레인 기능에 사용할 리소스가 확보됩니다. BIG-IP 구성을 관리하는 핵심 프로세스인 MCPd는 메모리가 부족한 상황에서도 복원력을 높이고 시스템 부팅 및 구성 로드 작업을 가속하도록 개선되었습니다. 마지막으로 BIG-IP의 애플리케이션 상태 모니터링 데몬인 BigD는 이제 멀티스레딩을 활용하여 모니터링 확장성을 높이고 전체 리소스 사용량을 줄입니다.

컨트롤 플레인 업그레이드는 여전히 당사의 최우선 과제 중 하나이므로, BIG-IP v22.x 및 이후 버전에서도 지속적인 개선을 기대해 주십시오.

그리고 이게 전부가 아닙니다…

이 블로그에서 다룬 개선 사항은 BIG-IP v21.1에 새롭게 추가될 기능 중 극히 일부에 불과합니다. 여기에서 소개한 모든 내용 외에도 ACMEv2 인증서 자동화, 네이티브 IPSec VPN 터널링, 정책 기반 이그레스 라우팅, BIG-IP 관리 플레인을 위한 다단계 인증 등 훨씬 더 많은 기능이 제공될 예정입니다.

마무리하면서, BIG-IP v21.1로 업그레이드할 계획이라면 이번 릴리스와 관련해 기억해야 할 몇 가지 주요 사항과 유용한 리소스를 소개합니다:

지원 플랫폼: BIG-IP v21.1(및 향후 소프트웨어 릴리스)은 iSeries 및 VIPRION과 같은 레거시 하드웨어 플랫폼에서 실행되지 않습니다. 현재 이러한 시스템 중 하나를 사용 중이며 v21.1로 업그레이드하려면 F5의 현세대 하드웨어 플랫폼인 rSeries 또는 VELOS로 마이그레이션하거나 BIG-IP Virtual Edition으로 전환해야 합니다. 지원되는 플랫폼 및 소프트웨어 조합의 전체 목록은 F5 하드웨어/소프트웨어 호환성 매트릭스에서 확인하세요.
소프트웨어 수명 주기 업데이트: F5는 소프트웨어 품질을 개선하고 고객 환경의 보안을 유지하기 위해 지속적으로 노력하고 있습니다. 이에 따라 BIG-IP v21.1부터 모든 신규 장기 안정성 소프트웨어 릴리스(vX.1)의 소프트웨어 수명 주기가 3년으로 변경됩니다. 이를 통해 동시에 지원되는 소프트웨어 버전 수가 줄어들어 F5는 현재 및 향후 릴리스에 더 많은 엔지니어링 및 지원 리소스를 집중할 수 있습니다. 그 결과 혁신이 가속화되고, 수정 사항이 더 빠르게 제공되며, 보안 대응력이 강화되고, 전반적인 소프트웨어 품질이 향상됩니다. 최신 BIG-IP 소프트웨어 수명 주기 정보는 BIG-IP 소프트웨어 지원 정책을 참조하십시오.
BIG-IQ 호환성: BIG-IP v21.1을 빠르게 사용해 보고자 하는 BIG-IQ 사용자를 위해 F5는 곧 BIG-IP v21.1과의 상호 운용성을 지원하는 BIG-IQ v8.4.2를 출시할 예정입니다.

자세한 내용은 릴리스 노트를 확인하고 5월 28일 웨비나에 등록하세요. F5 BIG-IP v21.1은 여기에서 다운로드할 수도 있습니다.