[인프라보안 프로젝트2] ESXi가상화 & 네트워크 분리 설계

1. ESXI를 활용한 가상화 환경 구축 목적

 본 글에서는 인프라 보안 프로젝트의 첫 번째 단계로,
VMware ESXi 기반 가상화 환경에서 네트워크를 어떻게 분리·설계했는지를 다룰 예정입니다.

 

 ESXi 기반 가상화 환경을 선택한 이유는, 보안 환경 특성상 반복적인 공격 시나리오 테스트와 즉각적인 복구가

필요했기 때문입니다. 특히 스냅샷 기능을 활용해 동일한 환경을 빠르게 복원 함으로써, 보안 정책 변경 전·후의 차이를 비교·검증할 수 있는 장점이 있습니다.

 

2. 네트워크 아키텍처 설계

 

 메인 시스템 아키텍처를 보시면 전체 네트워크는 보안 목적에 따라 외부망(WAN), 서비스 영역(DMZ), 내부망(INTERNAL),
관리 영역(MGMT), 백업 및 모니터링 영역으로 세밀하게 구분하였습니다.

 

 각 영역은 물리적 분리에 준하는 독립된 네트워크로 구성되어 있으며, 모든 트래픽은 반드시 방화벽(pfSense) 및 보안 장비를 경유 하도록 설계하여 인가되지 않은 영역 간의 직접 통신을 원천 차단했습니다. 

 

 

3. 핵심 보안 설계 포인트 (WAS)

 프로젝트 설계 중 가장 고심했던 부분은 WAS서버의 위치 였습니다. 결제 API 호출을 위해 외부와 통신해야 하는 WAS를 DMZ에 두어야 할지, 내부망에 유지해야 할지에 대해 많은 고민이 있었습니다.

 

 결론적으로, 저는 WAS를 내부망 영역에 배치하는 것이 보안 가이드라인과 설계 원칙에 더 부합하다고 판단했습니다.

그 이유는 

1.  데이터 보호의 보루 : WAS는 비즈니스 로직을 처리하며, DB와 밀접하게 데이터를 주고 받습니다. 만약 WAS가 DMZ에 위치할 경우, 외부 공격에 노출되었을 때 내부 데이터베이스까지 위협받을 수 있는 지점이 될 우려가 있습니다.
2. Outbound 중심의 통신 : 결제 API 호출은 WAS가 외부로 요청을 보내는 것이지, 외부 사용자가 WAS로 직접 접속하는 것이 아닙니다. 다이어그램상의 pfSense와 같은 경계 방화벽에서 특정 결제사 IP로의 포트만 허용해준다면, 내부망의 독립성을 유지하면서도 필요한 기능을 수행하는 데 문제 없다고 판단을 했습니다.
3. 심층 방어 : WEB 서버는 DMZ에서 외부 요청을 필터링하는 프록시 역할을 수행하고, 실제 로직과 DB 접근을 담당하는 WAS는 내부망에서 보호받는 이 구조가 보안상 훨씬 안전합니다.

따라서 위와 같은 이유로, WAS서버는 내부망에 위치 시켰습니다.

 

4. ESXi 가상화 기반의 네트워크 분리 구현

 

 단순히 논리적인 IP 대역 분리에 그치지 않고, VMware ESXi 가상화 환경 내에서 각 망을 독립된 표준 가상 스위치(vSwitch)로 구성하여 보안성을 강화했습니다. 

• 실질적 인터페이스 분리 : VLAN을 통한 ACL 제어 방식이 아닌, 각 가상 머신(VM)이 물리적 NIC와 연결된 독립된 스위치 인터페이스를 가지도록 설계했습니다. 이를 통해 데이터 흐름을 근본적으로 격리하고 제어할 수 있는 구조를 확립했습니다.
• 검증된 격리 환경 : 캡처된 화면과 같이 각 용도별로 독립된 스위치를 생성하여, 한 영역이 침해되더라도 다른 영역으로 공격이 확산되는 것을 지연/차단합니다. 

 

 이렇게 설계된 독립적 망들이 실제로 어떻게 서로 소통하고, 외부 침입을 차단하는지에 대한 상세 방화벽(OPNsense와 pfSense)에 대한 내용은  다음 파트에서 다뤄보겠습니다. 긴 글 읽어주셔서 감사합니다.