Port-Range Rule Management and Matching-Path Measurement for eBPF-Based Network Functions
본 논문은 포트 범위 규칙을 하한값 기준으로 재정렬하고 데이터 경로에 조기 종료를 구현함으로써 스캔 단계와 지연 시간을 크게 줄이는 동시에 규칙 처리의 예측 가능성을 향상시키는 eBPF 기반 네트워크 기능인 ZFW를 위한 경량 최적화를 제안한다.
원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기
우리의 디지털 삶을 실어 나르는 거대하고 보이지 않는 인프라 속에는, 컴퓨터 네트워크의 문지기 역할을 하는 소프트웨어 계층이 존재합니다. 네트워크 기능(network function)으로 알려진 이 소프트웨어는 어떤 데이터 패킷을 통과시키고 어떤 것을 차단할지를 결정하는데, 이는 마치 건물 입구에서 신분증을 확인하는 보안 요원과 같습니다. 수년 동안 이 보안 요원들은 고정되고 경직된 규칙에 따라 작동해 왔습니다. 그러나 현대의 시스템은 eBPF라고 불리는 유연한 기술을 사용하여 이러한 보안 검사를 컴퓨터의 핵심부 내부에서 동적으로 프로그래밍할 수 있도록 진화했습니다. 이러한 변화는 관리자가 시스템을 재시작하지 않고도 즉각적으로 보안 정책을 업데이트할 수 있게 함으로써 강력한 힘을 제공합니다. 하지만 이러한 유연성은 숨겨진 과제를 안겨줍니다. 즉, 규칙의 목록이 늘어남에 따라 소프트웨어가 적절한 규칙을 찾는 데 걸리는 시간이 예측 불가능해질 수 있다는 점입니다. 만약 목록이 잘 정리되어 있지 않다면, 시스템은 적절한 규칙을 찾기 전까지 수십 개의 무관한 규칙을 확인하며 시간을 낭비할 수 있고, 이는 전체 네트워크를 느리게 만듭니다.
우한 디지털 엔지니어링 연구소의 보 시에(Bo Xie)라는 연구원은 ZFW라고 불리는 오픈 소스 네트워크 도구 내의 이러한 구체적인 비효율성 문제를 해결하기 위해 착수했습니다. 확인된 핵심 문제는 이 도구가 포트 범위(port-range) 규칙들을 논리적으로 구성하는 대신, 추가된 순서 그대로 목록을 유지하고 있다는 것이었습니다. 책을 제목별로 알파벳순으로 정리하는 대신 건물에 배달된 순서대로 서가에 놓아두는 도서관을 상상해 보십시오. 만약 이용자가 가장 마지막에 배달된 책을 찾으려 한다면, 그는 그 책을 찾기 위해 서가의 다른 모든 책을 지나쳐 걸어가야 합니다. 디지털 세계에서 이는 만약 인기 있는 인터넷 서비스가 보안 목록에 늦게 추가되었다면, 해당 서비스에 대한 모든 트래픽이 올바른 규칙에 도달하기 전까지 모든 관련 없는 규칙을 훑어야 함을 의미했습니다. 또한 연구자는 시스템에 '중단(stop)' 신호가 부족하다는 점을 발견했습니다. 설령 나중에 나오는 규칙이 현재 트래픽과 일치하는 것이 수학적으로 불가능하더라도, 소프트웨어는 계속해서 확인을 수행했습니다.
이를 해결하기 위해 팀은 시스템이 규칙을 관리하고 확인하는 방식에 두 가지 간단하지만 효과적인 변화를 도입했습니다. 첫째, 관리 측면을 수정하여 새로운 규칙이 추가될 때마다 시스템이 단순히 목록 끝에 붙이는 것이 아니라, 시작 번호를 기준으로 올바른 위치에 자동으로 정렬하도록 했습니다. 둘둘째, 컴퓨터 내부의 고속 확인 메커니즘을 업데이트하여, 현재 맞추려는 트래픽보다 높은 숫자로 시작하는 규칙을 만나는 즉시 스캐닝을 중단하도록 했습니다. 이제 목록이 정렬되었기 때문에, 시스템은 특정 지점을 지나면 미래의 어떤 규칙도 일치할 수 없음을 알 수 있으며, 이를 통해 검색을 즉시 종료할 수 있습니다. 이 접근 방식은 규칙들이 혼란을 야기할 정도로 겹치지 않는다는 가정에 의존하며, 연구진은 규칙이 설치되기 전에 정책 계층을 통해 이 조건이 충족되었음을 확인했습니다.
이러한 변화의 테스트 결과는 매우 명확했습니다. 시스템이 100개의 규칙을 관리해야 하는 통제된 실험에서, 기존 방식은 인기 있는 포트에 대한 일치를 찾기 위해 소프트웨어가 평균 100개의 항목을 스캔해야 했습니다. 새로운 정렬 및 조기 중단 방식에서는 그 평균이 단 1개의 항목으로 떨어졌습니다. 연구진은 소프트웨어가 각 데이터를 처리하는 데 필요한 노력을 직접적으로 반영하는 지표인 '단계 수'를 세어 이를 측정했습니다. 대상 규칙이 원래 목록의 맨 끝에 배치된 시나리오에서, 개선 효과는 컴퓨터가 해야 할 작업량이 99% 감소한 것으로 나타났습니다. 트래픽이 어떤 규칙과도 일치하지 않는 경우에도, 새 시스템은 트래픽의 숫자가 목록상의 가장 작은 규칙보다 작다면 단 첫 번째 항목만 확인하고 종료할 수 있었습니다.
그러나 연구는 소프트웨어 자체의 효율성과 전체 네트워크 연결 속도 사이의 중요한 차이점을 밝혀냈습니다. 연구진이 인터넷 트래픽이 먼 거리를 이동하고 다른 여러 컴퓨터를 거쳐 지나가는 퍼블릭 클라우드 서버에서 시스템을 테스트했을 때, 요청을 완료하는 데 걸리는 총 시간은 약 2% 정도만 개선되었습니다. 이러한 미미한 이득은 데이터가 인터넷을 통해 이동하는 시간과 컴퓨터가 자체적인 내부 작업을 관리하는 데 쓰는 시간이, 더 빠른 규칙 확인으로 얻은 아주 작은 절감액을 압도했기 때문입니다. 반면, 데이터가 멀리 이동하지 않는 엄격하게 통제된 로컬 환경에서 테스트를 진행했을 때는 요청에 걸리는 총 시간이 거의 20% 감소했습니다. 이 차이는 규칙 확인 과정을 훨씬 더 효율적으로 만들었음에도 불구하고, 연결의 전체 속도는 네트워크 거리나 시스템 부하와 같은 소프트웨어 외부의 요인에 의해 여전히 크게 좌우된다는 점을 증명했습니다.
연구진은 또한 혼합된 트래픽 패턴(일부 요청은 규칙과 일치하고 일부는 그렇지 않은 경우)을 포함한 다양한 조건에서 시스템을 테스트했으며, 정렬과 조기 중단 각각의 효과를 분리하기 위해 서로 다른 버전의 소프트웨어를 비교했습니다. 그들은 정렬이 일반적인 트래픽에 대한 개선의 주요 동력인 반면, 조기 중단 기능은 어떤 규칙과도 일치하지 않는 트래픽에 대해 상당한 상승 효과를 제공한다는 것을 발견했습니다. 연구는 이 가벼운 접근 방식이 기존 시스템을 완전히 개편하지 않고도 네트워크 보안을 더 예측 가능하고 효율적으로 만드는 신뢰할 수 있는 방법을 제공한다고 결론지었습니다. 이는 단순히 규칙 목록을 정리하고 소프트웨어에 답을 알 수 있을 때 검색을 멈출 권한을 부여함으로써, 관리자가 보안 규칙의 수가 늘어나더라도 네트워크 기능이 일관되게 성능을 발휘하도록 보장할 수 있음을 보여주었습니다. 이 연구는 복잡한 디지털 시스템에서 사물의 배치 순서가 규칙 그 자체만큼이나 중요하다는 것을 보여주는 실질적인 사례입니다.
연구 분야의 논문에 파묻히고 계신가요?
연구 키워드에 맞는 최신 논문의 일일 다이제스트를 받아보세요 — 기술 요약 포함, 당신의 언어로.