4계층 장비의 특징

• 4계층 장비는 세션을 관리하고 유지하는 역할, '세션 장비'라고도 부름
  • 세션 : 두 장치가 데이터를 주고 받기 위해 연결을 맺고, 연결이 유지되는 동안 데이터를 주고 받고 통신이 끝나면 연결을 종료하는 과정
• 2, 3계층에서 고려하지 않았던 통신의 방향성, 순서와 같은 통신 전반에 대한 정보를 세션 테이블에 넣어서 관리, 이 테이블 기반으로 동작
• 세션 테이블
  • 세션 장비는 세션 테이블 기반으로 운영
  • 저장된 정보는 라이프 타임 존재
  • 대칭 경로 : 인바운드 ,아웃바운드 경로 일치

로드밸런서

• 서버나 장비의 부하를 분산하기 위해 사용하는 장비
• 서버 내부의 부품을 업그레이드 하는 것(스케일 업)보다 작은 장비 여러 대를 묶어서(스케일 아웃) 부하 해결
• 로드 밸런서가 서비스에 사용되는 대표 IP주소를 갖고 각 서버에 실제 IP로 변경해서 요청
  • 사용자는 서버 배치와 상관 없이 하나의 서비스로 인식
• 4계층, 7계층에서 동작
  • L4 로드 밸런싱
    • 일반적인 동작 방식
    • TCP, UDP 정보 기반으로 로드밸런싱 수행
  • L7 로드 밸런싱
    • 애플리케이션 프로토콜(HTTP, FTP, SMTP...) 기반으로 로드 밸런싱 수행
    • HTTP 헤더, URI 같은 정보를 기반으로 부하 분산
    • 프록시 역할 수행

L4 로드 밸런싱 - L4 스위치

• 가장 대중화된 로드 밸런서
• 클라이언트, 서버 트래픽 직접 연결
• 단순한 라우팅, 부하 분산, 성능 최적화 기능 제공
• 부하 분산, 동작 방식은 12장에서 더 자세하게 작성 예정

L7 로드 밸런싱 - ADC(Application Delivery Contoroller)

• 클라이언트, 서버 사이 중개자 역할
  • 요청이 직접 서버로 가지 않고 ADC 통해서 요청을 검사, 수정 후 실제 서버로 전달
• 다양한 부하 분산, 정보 수정, 정보 필터링 가능
• 애플리케이션 프로토콜 통해 다양한 기능 제공
  • 캐싱, 압축, 콘텐츠 변환 및 재작성, 인코딩 변환...
    
    

방화벽

• 네트워크 중간에 위치해 해당 장비를 통과하는 트래픽을 사전의 정책 조건에 맞추어 허용/차단 하는 장비
• 세션 정보를 장비 내부에 저장
  • 패킷이 외부로 나갈 때 세션 정보 저장
  • 패킷 이동 시 세션 정보 먼저 참조해서 패킷의 방향 파악
• 9장에서 더 자세하게 작성 예정

4계층 장비 통과 시 유의점(세션 관리)

• 세션 장비는 패킷을 포워드, 드롭 할 수 있음
• 애플리케이션의 세션 시간과 서비스 방향성을 고려하고 비대칭 경로를 피하는 것이 중요

세션 테이블 타임아웃 문제

• 세션 장비는 세션 테이블에 일정 시간 동안만 세션 정보를 저장
• 적당한 세션 타임아웃 값 가짐

문제 발생

• 세션 장비의 타임아웃 값이 애플리케이션의 타임아웃 값보다 짧은 경우
  • 중간 세션 장비에서 막히는 문제 발생
  • 세션 테이블이 없는 상황에서 패킷 들어오면 비정상 통신으로 판단해 패킷 드롭
    
    • 3방향 핸드셰이크 이후 일정 시간동안 통신 없음
    • 세션 테이블 만료되어 이후 통신에서 패킷 드롭

문제 해결

• 세션 장비 운영자 입장
  • 세션 만료 시간 증가
  • 타임아웃 시 양 단말에 세션 종료 통보
    • 타임아웃 시 세션 정보를 삭제하는 것이 아니라 양 종단 장비에 세션 정보 만료(RST 플래그) 통보
    • 상대 장비에서 출발한 것으로 전송
    • 양 종단 장비에서는 비정상적으로 종료된 것으로 판단해 해당 세션 끊음
• 개발자 입장
  • 애플리케이션에 주기적으로 더미 패킷 발생시킴
  • 세션 타임아웃 발생 전에 세션 유지

비대칭 경로 문제

• 네트워크 안정성 높이기 위해 네트워크 회선과 장비 이중화(패킷이 지나갈 수 있는 경로 2개 이상)
• 세션 장비는 세션 테이블을 만들어 관리해야 하므로 패킷이 들어오고 나갈 때 동일한 장비를 통과해야함
• 따라서 이중화를 위해 세션 장비를 두 대 이상 설치한 경우, 패킷이 들어올때와 나갈 때 경로가 일정하게 유지되지 않으면 정상 작동 X
• 인바운드 패킷
  • 자신의 컴퓨터로 들어오는 데이터
  • 외부 시스템에서 데이터가 내부로 들어오는 경우
  • 기본 인바운드 규칙 : 모든 인바운드 트래픽 차단
  • 방화벽 관점에서 내부로 들어오는 패킷
• 아웃바운드 패킷
  • 자신의 컴퓨터에서 나가는 데이터
  • 데이터가 서버 외부로 나가는 경우
  • 기본 아웃바운드 규칙 : 모든 아웃바운드 트래픽 허용
  • 내부 사용자가 인터넷, 외부 서비스 자유롭게 접근
  • 방화벽 관점에서 외부로 나가는 패킷

대칭 경로

• 인바운드 패킷과 아웃바운드 패킷이 같은 장비를 통과

비대칭 경로

• 인바운드 패킷과 아웃바운드 패킷이 다른 장비를 통과하는 것

• 방화벽 관점에서 받은 인바운드 패킷에 대한 세션테이블이 존재하지 않으면 패킷 드롭

• 처리 방법

  • 세션 테이블 동기화
    

    • 두 개 경로상의 두 장비가 하나의 장비처럼 동작
    • 패킷 경로를 변경하지 않고 정상 동작 가능
    • 세션을 동기화하는 시간보다 패킷 응답이 빠르면 동작X
    • 응답 시간이 비교적 긴 경우 유용

  • 경로 보정
    

    • 세션 테이블이 없는데 패킷이 들어온 경우 강제로 패킷이 통과한 세션 장비 쪽으로 경로 보정
    • 강제로 대칭 경로를 만들어서 문제 해결