NAT와 네트워크 장비

핵심 정리

NAT(네트워크 주소 변환)는 사설 IP 주소를 공인 IP 주소로 변환·매핑하는 기술이다. NAT는 공인 IP 주소 부족 문제를 해결하고 내부 망의 구조를 외부에 드러내지 않는 데 의의가 있다. 이 두 효과를 함께 이해하면 뒤의 세부 내용도 하나의 흐름으로 파악할 수 있다.

NAT의 기본 전제는 내부 통신과 외부 통신에 서로 다른 종류의 주소를 사용하는 구조다. 내부 통신에는 사설 주소를, 외부 통신에는 한 개 이상의 전역 주소를 쓰도록 한다. 이 구조에서는 적은 수의 공인 주소로도 많은 내부 호스트가 인터넷에 접속할 수 있다.

NAT의 효과는 전역 주소 공간을 절약하고 내부 호스트의 주소 체계를 외부에 드러내지 않는 것이다. 다만 주소를 변환하므로 외부에서 내부 호스트를 개별적으로 식별하기 어렵다는 한계가 있다. 이 한계는 뒤에서 따로 살펴본다. NAT 기능은 주로 라우터 같은 장비에 구현된다.

인터넷에 연결된 컴퓨터에도 소프트웨어로 NAT를 구현할 수 있다. 이 방식은 라우터와 비슷한 동작과 보안 수준을 낮은 비용으로 제공할 수 있다. 다만 NAT 구현을 포함한 장비의 공급업체는 동작 세부를 문서로 공개하지 않는 경우가 많다. 따라서 장비마다 트래픽에 미치는 영향이 다를 수 있다.

자세히

장비의 계층과 전달 기준

네트워크 장비를 구분하는 기본 기준은 프레임이나 패킷을 전달할 때 어떤 정보를 확인하는가이다. 전달 기준이 장비를 가른다 모든 포트로 브로드캐스팅하는 장비는 허브이고, MAC 주소를 기준으로 포트에 전달하는 장비는 스위치이며, IP 주소를 기준으로 네트워크를 연결하는 장비는 라우터다.

나머지 장비도 같은 기준으로 구분할 수 있다. 두 LAN을 잇는 장치는 브리지이고, 모든 포트로 신호를 재전송하는 장치는 허브다. 이종 망 간 프로토콜을 변환하는 장치는 게이트웨이이며, 수신 주소에 따라 경로를 정해 전송하는 장치는 라우터다. 허브는 신호를 그대로 뿌리고 브리지는 LAN과 LAN을 잇는다. 두 장비의 역할이 다르므로 장비 이름과 전달 기준을 짝지어 기억해야 한다. 시험에서는 이름과 기준을 뒤섞은 선지가 나오므로 이 대응 관계를 정확히 구분해야 한다.

장비 안에서 사용하는 전송 방식도 구분해야 한다. 목적지 주소만 확인하고 프레임 전체를 받기 전에 즉시 전송하는 방식은 컷스루다. 프레임을 모두 받은 뒤 전달하는 방식과 대비된다.

스위치와 MAC 주소 테이블

L2 스위치는 OSI 2계층에서 동작한다. 프레임의 목적지 MAC 주소를 확인해 전달 포트를 정하므로 스위치의 전달 기능은 MAC 주소 테이블에 의존한다. 따라서 이 테이블을 노리는 공격은 스위치의 본래 기능을 겨냥한다.

스위치 재밍 공격은 MAC 주소 테이블을 이용하는 스위칭 기능을 마비시키는 공격이다. 공격 대상이 테이블 기반 전달이라는 점을 알면, 이 공격이 스위치의 전달 과정을 겨냥한다는 사실을 구분할 수 있다.

VLAN의 논리적 분할

VLAN은 네트워크를 물리적 세그먼트가 아니라 논리적 세그먼트로 나누는 기술이다. 배선을 바꾸지 않고도 망을 나눌 수 있다는 점이 VLAN의 장점이다.