F5 지능형 DNS 확장 참조 아키텍처

소개

도메인 이름 시스템(DNS)은 사람들이 외우기 어려운 이진 정보 문자열인 인터넷 프로토콜(IP) 주소 대신 이름을 사용하여 인터넷에 연결된 모든 컴퓨터, 서비스 및 리소스를 쉽게 식별할 수 있도록 1983년에 만들어졌습니다.

DNS 서버는 브라우저에 입력한 도메인 이름을 IP 주소로 변환하여 기기가 인터넷에서 원하는 서비스나 사이트를 찾을 수 있도록 합니다.

인터넷을 가능하게 하는 핵심 기술이라 할 수 있는 DNS는 네트워크 인프라에서 가장 중요한 구성 요소 중 하나이기도 합니다. DNS는 콘텐츠와 애플리케이션을 제공할 뿐만 아니라, 고가용성과 빠른 사용자 응답 시간을 보장하기 위해 분산형 이중화 아키텍처를 관리합니다. 따라서 가용성과 지능성, 보안성, 확장성을 갖춘 DNS 인프라를 구축하는 것이 매우 중요합니다. DNS가 중단되면 대부분의 웹 애플리케이션이 정상적으로 작동하지 않아 비즈니스와 브랜드에 악영향을 미칠 수 있습니다.

F5의 엔드투엔드 지능형 DNS 확장 참조 아키텍처를 통해 조직은 리소스 활용을 극대화하고 서비스 관리 역량을 강화하는 견고한 DNS 기반을 구축하는 동시에, 현재와 미래의 네트워크 아키텍처, 디바이스 및 애플리케이션을 모두 지원할 수 있는 충분한 민첩성을 유지할 수 있습니다.

DNS 서비스는 가용성 확보에 매우 중요합니다

사용자가 웹 페이지를 요청하면 해당 요청은 로컬 DNS 서버로 전달되고, 로컬 DNS 서버는 다시 주 DNS 서버와 통신합니다. 트래픽이 급증하거나 공격자가 서버에 DNS 쿼리 요청을 대량으로 보내기 전까지는 모든 것이 정상적으로 작동합니다. 주 DNS 서버에 과부하가 걸리면 응답을 중단하여 웹사이트를 이용할 수 없게 될 수 있습니다.

DNS 장애는 웹 인프라 가동 중단의 41%를 차지하므로 DNS의 가용성을 유지하는 것이 매우 중요합니다. Aberdeen Group의 조사에 따르면, 데이터 센터가 중단될 때 조직은 시간당 평균 138,000달러의 손실을 입습니다. 가동 중단은 고객에게 부정적인 영향을 미치고 매출 손실로 이어질 수 있으며, 이메일과 같은 기업 리소스에 액세스하려는 직원에게도 영향을 줄 수 있습니다.

그렇기 때문에 강력한 DNS 기반의 중요성은 아무리 강조해도 지나치지 않습니다. 이러한 기반이 없다면 고객이 원할 때 콘텐츠와 애플리케이션에 액세스하지 못할 수 있으며, 원하는 것을 제공받지 못하면 다른 곳을 찾을 가능성이 큽니다.

성장통

DNS 요구 사항이 이처럼 빠르게 증가하는 데에는 여러 가지 이유가 있습니다. 지난 5년 동안 인터넷 사용자 수는 82% 증가했으며, 웹사이트 수는 약 5억 8천만 개에서 12억 4천만 개로 늘었고 DNS 쿼리 수는 100% 이상 증가했습니다.

또한 사용 중인 모바일 회선 수는 22억 개 증가했으며, 웹 사용자 중 약 60%는 휴대전화에서 웹사이트가 3초 이내에 로드되기를 기대한다고 답했습니다.

조직에서는 애플리케이션 수뿐만 아니라 해당 애플리케이션에 액세스하는 트래픽 양도 빠르게 증가하고 있습니다. 또한 웹 애플리케이션 자체도 규모가 커지고 지속적으로 복잡해지고 있습니다. 웹 페이지의 모든 아이콘, URL 및 임베디드 콘텐츠에는 DNS 조회가 필요합니다. 복잡한 사이트를 로드하려면 수백 건의 DNS 쿼리가 필요할 수 있으며, 간단한 스마트폰 앱조차 로드하는 데 수많은 DNS 쿼리가 필요할 수 있습니다.

지난 5년 동안 .com 및 .net 주소에 대한 DNS 쿼리 양은 두 배 이상 증가하여 2016년 1분기에는 일평균 1,240억 건에 달했습니다. 같은 기간 동안 인터넷에 1,000만 개가 넘는 도메인 이름이 추가되었습니다. 앞으로 더 많은 클라우드 환경이 구축됨에 따라 성장 속도는 더욱 빨라질 것으로 예상됩니다.

보안 문제

DNS가 모든 쿼리에 응답하고 모든 숫자를 해석하여 사용자가 원하는 사이트를 찾을 수 있도록 하는 인터넷의 중추라면, 동시에 네트워크에서 가장 취약한 지점 중 하나이기도 합니다. DNS는 매우 중요한 역할을 하므로 공격자에게 가치가 높은 표적입니다. DNS DDoS 공격은 DNS 서버에 트래픽을 폭주시켜 장애를 일으키거나 요청을 가로채 악성 서버로 리디렉션할 수 있습니다. 이를 방지하려면 분산형 고성능 보안 DNS 아키텍처와 DNS 오프로딩 기능을 네트워크에 통합해야 합니다.

일반적으로 조직은 여러 대의 DNS 서버를 운영하며, 각 서버는 초당 최대 15만 건의 DNS 쿼리를 처리할 수 있습니다. 고성능 DNS 서버는 초당 약 20만 건의 쿼리를 처리할 수 있습니다. 하지만 공격자는 이러한 처리량을 손쉽게 초과할 수 있으며, Dyn, The New York Times, LinkedIn, Network Solutions, Twitter에 영향을 미친 DNS 장애가 대표적인 사례입니다.

DNS 트래픽 급증과 DNS DDoS 공격에 대응하기 위해 기업들은 평상시 비즈니스 운영에는 사실상 필요하지 않은 DNS 서버를 추가합니다. 이처럼 비용이 많이 드는 솔루션은 변경 시 수동 개입이 필요한 경우도 많습니다. 또한 기존 DNS 서버는 주로 새로운 취약점에 대응하기 위해 잦은 유지 관리와 패치가 필요합니다.

기존의 해결 방식

DNS 솔루션을 찾을 때 많은 조직이 인터넷 최초의 DNS 리졸버인 BIND(Berkeley Internet Naming Daemon)를 선택합니다. 전 세계 DNS 서버의 약 80%에 설치된 BIND는 Internet Systems Consortium(ISC)이 관리하는 오픈 소스 프로젝트입니다. ISC는 비영리 조직으로, DNS-CO라는 영리 컨설팅 부문을 통해 4가지 등급의 구독 및 지원 서비스를 제공합니다.

BIND는 널리 사용되고 있지만, 주로 취약점, 패치 및 업그레이드로 인해 매년 여러 차례 상당한 유지 관리가 필요합니다. 무료로 다운로드할 수 있지만 서버(지원 계약을 포함한 추가 비용)와 운영 체제가 필요합니다. 또한 BIND는 일반적으로 초당 50,000건의 응답(RPS)까지만 확장할 수 있어 정상적인 DNS 트래픽 급증과 악의적인 DNS 트래픽 급증 모두에 취약합니다.

변화하는 환경을 위한 솔루션

F5 Intelligent DNS Scale 참조 아키텍처는 DNS 쿼리에 더욱 지능적으로 응답하고 확장할 수 있는 방법을 제공합니다. 또한 다양한 네트워크 조건과 상황을 고려하여 비즈니스 정책, 데이터 센터 상태, 네트워크 상태 및 애플리케이션 성능에 따라 사용자 애플리케이션 요청과 애플리케이션 서비스를 분산합니다.

DNS 중단을 걱정하거나 급증하는 트래픽에 대응하기 위해 추가 DNS 인프라를 구매하는 대신, 네트워크의 DMZ에 F5 BIG-IP 장치를 설치하여 기본 DNS 서버를 대신해 요청을 처리하도록 할 수 있습니다.

필요에 따라 확장

BIG-IP DNS는 초당 1억 건의 요청(RPS)까지 하이퍼스케일링할 수 있으므로 악성 요청을 포함한 DNS 요청이 대량으로 급증하더라도 콘텐츠가 중단되거나 중요 애플리케이션의 가용성이 저하되지 않습니다. 사이트가 모든 DNS 쿼리에 응답하고 공격 중에도 가용성을 유지하므로 네트워크 관리자는 안심할 수 있습니다. 브랜드를 보호하고 회사가 불명예스러운 일로 언론의 헤드라인을 장식하는 상황을 피할 수 있습니다.

BIG-IP DNS로 가용성 향상

F5 Intelligent DNS Scale 참조 아키텍처는 애플리케이션과 콘텐츠를 사용자가 중단 없이 지속적으로 이용할 수 있도록 지원합니다. 이 아키텍처의 가장 중요한 요소 중 하나는 BIG-IP DNS에 특별히 설계된 DNS Express 쿼리 응답 기능으로, 기본 DNS 서버의 영역을 자체 RAM으로 전송하여 권한 있는 DNS 쿼리를 처리합니다.

요청이 DNS Express로 전송된 영역 내의 주소에 대한 것이라면 BIG-IP DNS는 DNS 쿼리 패킷을 한 번만 열면 되므로 프로세스가 간소화되고 DNS 아키텍처의 성능과 응답 시간이 크게 향상됩니다.

DNS Express를 사용하면 각 BIG-IP 디바이스의 개별 코어가 초당 약 125,000~200,000개의 요청에 응답할 수 있으며, 초당 쿼리 처리량을 5천만 RPS 이상으로 확장할 수 있습니다. 이는 일반적인 기본 DNS 서버 용량의 12배가 넘는 수준입니다.

BIG-IP 플랫폼: DMZ의 방화벽

각 BIG-IP 디바이스는 네트워크 방화벽으로 ICSA Labs 인증을 받았습니다. BIG-IP 디바이스는 인터넷 호스트의 평판을 지능적으로 평가하여 공격자가 DNS DDoS 공격으로 DNS를 오프라인 상태로 만들거나, 데이터를 탈취하거나, 기업 리소스를 침해하거나, 그 밖의 방식으로 비즈니스를 방해하는 것을 방지할 수 있습니다.

또한 DNSSEC는 클라우드 배포를 포함한 DNS 인프라를 캐시 포이즈닝 공격과 도메인 하이재킹으로부터 보호할 수 있습니다. DNSSEC를 지원하면 DNS 쿼리에 디지털 서명을 적용하고 암호화된 응답을 지원하여 리졸버가 응답의 진위를 확인할 수 있게 하며, DNS 하이재킹과 캐시 포이즈닝을 방지할 수 있습니다. F5 IP Intelligence 서비스는 멀웨어에 감염되었거나, 멀웨어 배포 지점과 통신하거나, 평판이 좋지 않은 것으로 알려진 IP 주소의 액세스를 차단하여 전반적인 보안을 강화합니다.

네트워크 에지의 DNS 서비스

F5 Intelligent DNS Scale 참조 아키텍처는 핵심 인프라 내부가 아닌 네트워크 에지에서 DNS 쿼리에 응답함으로써 콘텐츠와 애플리케이션의 가용성을 유지하는 데도 도움이 됩니다. DNS 응답을 BIG-IP 플랫폼으로 오프로드하면 요청이 네트워크 백엔드에 도달하지 않으므로 DNS 인프라를 보호하는 동시에 확장 역량과 DNS 요청 급증에 대한 대응 능력을 크게 향상할 수 있습니다.

F5 Intelligent DNS Scale 참조 아키텍처는 DNS 인프라의 속도, 가용성, 확장성 및 보안을 향상하여 고객과 직원이 필요할 때 언제든지 핵심 웹, 애플리케이션 및 데이터베이스 서비스에 액세스할 수 있도록 보장합니다.

분산 DNS

이는 DNS가 분산된 클라우드 배포 또는 인프라에도 적용됩니다. 조직은 거의 모든 환경에서 고성능 DNS 인프라를 복제할 수 있습니다. 재해 복구/비즈니스 연속성을 위한 클라우드 DNS를 구축하거나, DNSSEC로 서명된 영역을 제공하는 클라우드 DNS 서비스를 사용할 수도 있습니다. F5 DNS Services의 향상된 AXFR 지원은 BIG-IP 디바이스에서 모든 DNS 서비스로 영역을 전송할 수 있도록 하여, 조직이 물리적, 가상 및 클라우드 환경에 DNS를 복제할 수 있게 해줍니다. DNS 복제 서비스는 사용자와 가장 가까운 데이터 센터 또는 클라우드에 있는 다른 BIG-IP 디바이스나 기타 범용 DNS 서버로 전송할 수 있습니다.

또한 조직은 사용자에게 최상의 경험을 제공하는 사이트로 사용자를 연결할 수 있습니다. BIG-IP DNS 서비스는 각 앱과 사용자에 맞춰 다양한 부하 분산 방식과 지능형 모니터링을 사용합니다. 트래픽은 비즈니스 정책뿐만 아니라 현재의 네트워크 및 사용자 상태에 따라 라우팅됩니다. BIG-IP DNS 서비스에는 정확하고 세분화된 지리적 위치 데이터베이스가 포함되어 있어 사용자 위치를 기반으로 트래픽 분산을 제어할 수 있습니다.

BIG-IP DNS 및 DNS 서비스

BIG-IP DNS는 글로벌 DNS 솔루션으로, 서비스 제공 및 액세스 네트워크의 최전단에서 네임 서비스를 제공합니다. 지리적 위치 서비스를 활용하여 사용자의 물리적 위치를 기준으로 최적의 서비스 제공 데이터 센터로 사용자를 안내할 수 있습니다.

BIG-IP DNS는 다음과 같은 이름 서비스를 제공합니다:

• 모든 내부 및 외부 서비스를 위한 네트워크 에지의 DNS 서비스.
• 모바일 사용자의 위치를 기반으로 애플리케이션 또는 서비스를 정확하게 제공하기 위한 지리적 위치 서비스.
• IP 인텔리전스 서비스는 악성 활동과 관련된 IP 주소를 탐지하고 해당 주소의 접근을 차단하여 인프라를 보호합니다.
• 모든 글로벌 및 로컬 네임 서비스를 관리하기 위한 단일 제어 지점입니다.
• 글로벌 애플리케이션 전송, 정책 적용, NAT64 및 DNS64 변환, 상태 모니터, F5 스크립팅 언어인 iRules 등의 추가 BIG-IP 지능형 서비스 솔루션.
• 글로벌 DNS 서비스 지원
• 세분화된 DNS 결정 및 네임 서비스 제공을 위한 DNS iRules와의 통합.
• SIP 트랜잭션을 위한 ENUM 요청과 같은 서비스 제공업체별 프로토콜을 지원합니다.

BIG-IP LTM 및 DNS 서비스

데이터 센터 내에서 BIG-IP Local Traffic Manager (LTM)는 모바일 에지에서 서비스에 이르기까지 내결함성 아키텍처를 구축하여 애플리케이션과 콘텐츠의 고가용성을 보장할 수 있습니다. BIG-IP LTM은 고가용성을 제공할 뿐만 아니라 SIP 트랜잭션을 위한 ENUM 요청의 부하 분산과 같은 서비스 제공업체별 애플리케이션도 지원합니다.

네이밍 서비스를 위한 BIG-IP LTM 솔루션은 다음과 같습니다:

• 로컬 데이터 센터 및 서비스 네트워크로 풍부한 네이밍 서비스를 확장하기 위한 BIG-IP DNS와의 통합.
• 로컬 DNS와 재귀 DNS 모두에 대한 부하 분산을 지원합니다.
• SIP 트랜잭션을 위한 ENUM 요청과 같은 서비스 제공업체별 프로토콜을 지원합니다.
• 사용자를 서비스로 보내기 전에 서비스 상태를 평가하는 투명한 상태 모니터입니다. BIG-IP LTM은 상태 정보를 BIG-IP DNS로 다시 전달하여 SDN 에지에서 애플리케이션을 인식할 수 있도록 합니다.
• 세분화된 DNS 의사 결정 및 네임 서비스 제공을 위한 iRules 통합.

완전한 서비스 제공 인프라 구축

F5 Intelligent DNS Scale 참조 아키텍처는 고가용성 및 대용량 애플리케이션에 맞게 조정되는 동시에 초당 수백만 건의 사용자 요청을 지원합니다. 이 아키텍처는 iRules 스크립팅 언어, 투명한 애플리케이션 모니터링 및 기타 IP 관련 서비스와 같은 BIG-IP의 다른 서비스 제공 기능과 연동하여 완전한 서비스 제공 인프라인 F5 Service Delivery Network를 구축합니다. 모든 BIG-IP 장치에 공통으로 적용되는 지능형 서비스 제공 플랫폼을 활용하여 원활한 확장성과 유연성을 구현합니다.

결론

조직은 F5 Intelligent DNS Scale 참조 아키텍처를 사용하여 다음을 수행할 수 있습니다:

• DNS 인프라의 속도, 가용성, 확장성 및 보안을 향상합니다.
• 불필요한 추가 DNS 서버를 제거하여 복잡성과 비용을 줄입니다.
• 사이트가 모든 DNS 요청에 응답한다는 확신으로 안심할 수 있습니다.

F5 Intelligent DNS Scale 참조 아키텍처는 DNS 지연 시간을 줄여 웹 성능을 향상하고, DNS DDoS 공격을 완화하여 웹 자산과 브랜드 평판을 보호하며, DNS 인프라를 통합하여 데이터 센터 비용을 절감하는 엔드투엔드 DNS 제공 솔루션입니다. 무엇보다도 고객을 성능이 가장 우수한 구성 요소로 연결하여 애플리케이션과 서비스를 최적의 상태로 제공할 수 있도록 합니다.

F5 Intelligent DNS Scale 참조 아키텍처는 웹 애플리케이션이 모든 DNS 쿼리에 응답하도록 보장하여, 사용자가 언제 어디서든 콘텐츠와 애플리케이션에 액세스할 수 있다는 안도감도 제공합니다.

2018년 1월 24일 게시