IT 업계에서 Kubernetes는 어디서나 사용됩니다. 43,000명 이상의 기여자가 지원하는 이 오픈 소스 시스템은 클라우드에서 최신 애플리케이션을 배포하는 기본 방식으로 자리 잡았습니다. 그 이유는 무엇일까요? 간단히 말해, Kubernetes는 개발자의 업무를 훨씬 수월하게 하고 애플리케이션 출시 속도를 높이며 최종 사용자에게 기반 플랫폼의 가치를 더해 줍니다.
k8s라고도 불리는 Kubernetes는 통신 사업자들이 폐쇄형 환경에서 개방형 플랫폼으로 전환하려는 움직임을 보이면서 최근 통신 업계의 주목을 받고 있습니다. 이 시스템은 5G 단독모드 네트워크의 잠재력을 최대한 끌어내는 데 필요한 유연한 클라우드 네이티브 아키텍처의 핵심 요소가 될 전망입니다. 진정한 클라우드 네이티브 네트워크는 신속한 서비스 배포와 자동화부터 훨씬 향상된 복원력과 효율성에 이르기까지 수많은 이점을 제공합니다. 대표적인 사례로 Google은 자사의 내부 플랫폼 Borg를 사용해 매주 20억 개가 넘는 컨테이너를 배포하고 있으며, Borg는 Kubernetes의 전신입니다.
이러한 유연성과 확장성은 통신사 클라우드 비전, 즉 5G 네트워크가 제3자가 개발한 다양한 서비스와 앱을 위한 다목적 플랫폼으로 거듭난다는 구상을 실현하는 데 필수적입니다. 예를 들어 Kubernetes를 활용하면 통신사는 앱을 이식 가능한 컨테이너에 배포할 수 있으므로, 서비스를 최종 사용자와 더 가까운 네트워크 엣지로 가져와 지연 시간을 줄일 수 있습니다.
추상화되어 개발자에게 매력적
그렇다면 Kubernetes는 실제로 어떤 역할을 할까요? 최신 애플리케이션은 일반적으로 주문 관리, 보고, 결제 등 특정 기능을 각각 담당하는 여러 마이크로서비스로 구성됩니다. 마이크로서비스가 컨테이너로 패키징되면 Kubernetes가 배포, 확장 및 관리를 자동화합니다. 또한 마이크로서비스 클러스터에 장애가 발생할 경우 자동 복구를 지원할 수 있습니다.
무엇보다도 Kubernetes는 앱 개발자가 내부 네트워킹의 복잡한 세부 사항을 신경 쓰지 않아도 되도록 추상화합니다. 덕분에 일반적인 앱 개발자의 작업이 훨씬 수월해집니다. 본질적으로 Kubernetes를 사용하면 앱을 간단하고 손쉽게 외부에 공개할 수 있습니다.
Kubernetes 인그레스 컨트롤러는 최종 사용자가 HTTP 프로토콜을 통해 웹 애플리케이션과 상호 작용할 수 있도록 연결해 주는 통로입니다. 또한 인그레스 컨트롤러는 트래픽을 관리하여 사용자 요청이 Kubernetes 클러스터 내의 적절한 마이크로서비스로 라우팅되도록 합니다.
통신사는 기존과 다른 방식으로 사고해야 합니다
이러한 모든 이점은 5G 네트워크의 서비스 기반 아키텍처를 통해 활용할 수 있지만, 그러려면 통신사가 새로운 사고방식을 받아들여야 합니다. Kubernetes는 많은 이점을 제공하지만, 통신 엔지니어에게는 익숙한 방식과 다소 동떨어진 시스템으로 느껴질 수 있습니다. 네트워킹을 일상적으로 다루는 통신사는 네트워크 장비의 IP 주소를 수동으로 구성하고 라우팅 및 부하 분산 규칙을 비롯해 Kubernetes가 추상화하도록 설계된 여러 매개변수를 직접 설정하는 데 익숙합니다.
하지만 이러한 수동 구성 방식은 Kubernetes의 근본 취지를 훼손할 수 있습니다. AWS 및 Azure와 같은 주요 클라우드 플랫폼의 특징인 신속한 배포와 자동 확장을 가로막기 때문입니다. 통신사가 4G 네트워크에 처음 도입한 네트워크 기능 가상화(NFV) 솔루션은 대체로 수동 스크립팅을 사용해 왔으며, 그 결과 최신 IT 아키텍처가 갖춘 역동성과 자동화가 부족합니다.
둥근 구멍에 네모난 말뚝?
5G 코어 네트워크가 구축되면서 통신사들은 백지상태에서 새롭게 시작할 수 있게 되었습니다. 하지만 안타깝게도 표준 Kubernetes 시스템을 그대로 이식할 수는 없습니다. 대다수 통신사가 4G 네트워크와 함께 5G 네트워크를 구축하고 있으므로, HTTP뿐만 아니라 SCTP, Diameter, GTP와 같은 표준 통신 프로토콜도 지원하는 Kubernetes 인그레스가 필요합니다. 5G 서비스의 프런트엔드 역할을 하는 Kubernetes 인그레스는 HTTP를 통해 사용자와 직접 통신하는 대신 다른 4G 및 5G 코어 요소에 연결되기 때문입니다. 경우에 따라 HTTP/2 메시지를 Diameter 메시지로, 또는 그 반대로 변환하는 연동 기능이 필요합니다.
또 다른 복잡한 문제는 애플리케이션 클러스터 내의 내부 통신을 지원하는 방법입니다. 표준 Kubernetes 배포에서는 일반적으로 서비스 메시를 사용하여 서로 다른 마이크로서비스 간의 통신을 안전하게 관리하고 추적합니다. 이러한 서비스 메시가 IT 중심의 추적 기능을 지원하기는 하지만, 통신 사업자들은 관련 기능이 자사의 요구 사항에 최적화되어 있지 않다는 사실을 깨닫고 있습니다.
세 번째 문제는 Kubernetes 클러스터 내의 5G 기능이 외부와 어떻게 통신할 것인가입니다. Kubernetes가 할당한 동적 내부 IP 주소를 외부에 공개하는 것은 바람직하지 않습니다. 이러한 주소는 시간이 지나면서 변경되며, 외부에서 이 정도 수준까지 내부를 볼 수 있게 하면 심각한 보안 위험이 발생할 수 있습니다. 통신사는 특정 5G 기능에 대한 IP 주소 할당을 완전히 제어하기를 원합니다. 이러한 IP 주소는 해당 5G 기능을 구성하는 기반 컨테이너에서 사용하는 IP 주소와 독립적이어야 합니다. 이를 구현하려면 지능형 Kubernetes 이그레스 기능이 필요합니다.
편법을 쓰는 것이 좋지 않은 이유
한 가지 방법은 Kubernetes를 사용하지 않고 외부에서 접근할 수 있는 고정 IP 주소가 할당된 컨테이너에 5G 기능을 배포하는 것입니다. 하지만 이런 식으로 편법을 쓰면 확장성과 유연성 측면에서 큰 대가를 치르게 됩니다. 예를 들어 버튼 하나만 누르면 네트워크 어디에나 5G 기능을 배포하는 것은 불가능해집니다. 미래에는 이러한 수준의 자동화가 필요하므로 Kubernetes를 제대로 활용해야 합니다.
F5는 오랫동안 통신과 IT 분야를 아우르며 활동해 왔으며, 통신사가 Kubernetes의 폭넓은 이점을 활용할 수 있도록 지원하는 방법을 마련했습니다. 여기에는 당사의 BIG-IP SPK 솔루션이 포함됩니다. 이 솔루션을 사용하면 Kubernetes 인그레스에서 HTTP뿐만 아니라 통신 프로토콜도 지원할 수 있습니다. 또한 네트워크 주소 변환(NAT)과 라우팅을 사용하여 클러스터 내부의 동적인 특성에 영향을 주지 않으면서 Kubernetes 이그레스가 외부에 사전 정의된 고정 IP 주소를 제공할 수 있도록 합니다. 클러스터 내부에서 어떤 일이 발생하더라도 외부 엔터티에는 항상 동일한 IP 주소를 제공할 수 있습니다. 또한 당사의 Aspen Mesh 서비스 메시는 '통신사급' 관측성과 추적 기능을 지원합니다. 통신사는 5G 마이크로서비스 간에 흐르는 트래픽을 완벽하게 파악하고 추적하여 보안을 강화할 수 있습니다.
올바르게 접근한다면 Kubernetes는 통신사에 진정한 혁신을 가져올 수 있습니다. 클라우드 네이티브 아키텍처의 다양한 이점을 실현하고, 통신 사업자가 외부 환경과 훨씬 더 쉽게 상호 작용할 수 있도록 해줍니다. 통신 환경에 완벽하게 최적화되면 이 오픈 소스 시스템은 분명 5G 미래의 핵심 요소로 자리 잡을 것입니다.
이 글은 2부작 시리즈의 첫 번째 글입니다. 다음 글에서는 서로 다른 플랫폼에서 실행되는 수많은 Kubernetes 클러스터 전반의 IT 및 통신 워크로드를 관리할 때 발생하는 운영상의 어려움을 F5 기술로 어떻게 해결할 수 있는지 살펴보겠습니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.