제로 트러스트 네트워크 경로 구성

Ping64에서 네트워크 경로는 제로 트러스트 라우팅 노드를 통해 지정 엔드포인트가 대상 네트워크 또는 도메인에 접근할 경로를 제공합니다. 대상, 라우팅 노드, 경로를 받는 엔드포인트 범위와 접근 정책을 각각 정해야 합니다. 저장 성공은 구성 수신, 노드 전달 또는 대상 서비스 접근 허가와 연결 성공을 의미하지 않습니다.

준비

• 관리자의 제로 트러스트 접근 그룹, 정책 및 경로 관리 권한을 확인합니다. 제로 트러스트에 연결되고 대상 네트워크에 도달할 수 있는 라우팅 노드를 준비합니다. 노드 접근 그룹을 사용하면 후보 노드의 연결, 대상 접근 및 전달 조건을 확인합니다.
• 대상 네트워크나 도메인, 접근할 엔드포인트, 업무 프로토콜과 포트를 정합니다. 대상 방화벽, 게이트웨이 전달 및 반환 경로를 확인하고 통제된 엔드포인트로 먼저 시험합니다.
• 도메인 경로는 엔드포인트의 대상 도메인 확인도 필요합니다. DNS와 경로는 별도로 구성합니다. DNS 네임서버 그룹 구성을 참조하십시오.
• 기존 경로, 접근 그룹과 정책 및 변경 영향을 확인합니다. 경로 배포 범위, 접근 정책과 대상 방화벽은 역할이 달라 서로 대체하지 못합니다.

접근 그룹과 정책 준비

• 접근 정책

1. 제로 트러스트 접근 그룹에서 먼저 기존 소스 그룹의 시험 노드 구성원과 경로에 사용할 정책 대상 그룹의 용도 및 참조를 확인합니다. 적합한 그룹은 재사용하며 구성원을 다시 추가할 필요가 없습니다. 필요한 경우에만 권한 있는 관리자가 그룹을 만들거나 소스 그룹 상세의 Endpoints에서 시험 노드를 추가합니다. 기존 그룹 변경 전 다른 설정과 업무에 미치는 영향을 평가합니다.
2. Zero Trust > Access Control > Policies에서 적용 가능한 기존 정책의 활성 상태, 소스 그룹 또는 피어, 대상 그룹, 동작, 방향, 프로토콜과 포트를 먼저 확인합니다. 대상 그룹이 경로에 사용할 정책 대상 그룹과 일치하는지도 확인합니다. 적합한 정책은 재사용하고 새로 만들거나 조정해야 할 때만 권한 있는 관리자가 영향을 평가하여 접근 정책에 따라 구성합니다.
3. 변경한 경우 정책을 저장하고 해당 설정을 다시 확인하며, 변경하지 않았다면 다시 저장할 필요가 없습니다. TCP 또는 UDP 포트가 비어 있으면 모든 포트를 의미합니다. 한 정책에서 개별 포트와 포트 범위를 혼합하거나 *를 다른 포트와 함께 사용하지 마십시오. 경로 구성 후 허용되어야 하는 단말과 허용되지 않아야 하는 단말을 각각 시험하고 다른 적용 정책도 확인합니다. 저장만으로 접근 성공을 증명할 수 없습니다.

중요: 「Effective Scope」는 경로를 받는 엔드포인트를 정하고 「Policy Target Groups」는 경로를 접근 정책에 연결합니다. Policy Target Groups를 비워두면 기본 허용 규칙이 생성되며 기본 거부가 아닙니다. 접근을 제한하려면 경로에서 대상 그룹을 선택하고 활성 정책이 동일한 대상 그룹과 의도한 소스를 사용하는지 확인합니다. 저장 후 실제 접근을 시험해야 하며 그룹 이름만으로 권한을 판단해서는 안 됩니다.

Effective Scope는 라우트를 수신할 단말을 제어할 뿐 위 기본 허용 규칙의 출처를 해당 단말로 제한하지 않습니다. 기본 규칙은 일치하는 전달 트래픽을 출처, 프로토콜 또는 포트로 좁히지 않습니다. 실제 도달 여부는 연결, 다른 제어와 대상 네트워크에도 좌우됩니다. 배포 범위만으로 접근을 격리하지 말고 정책 대상 그룹을 선택하여 다른 경로도 각각 시험합니다.

옵션 변경 후 재확인: 프로토콜을 TCP 또는 UDP에서 ALL 또는 ICMP로 전환하면 입력한 포트와 범위가 지워집니다. TCP 또는 UDP로 되돌려도 자동 복원되지 않으며 빈 포트는 모든 포트를 의미합니다. 출발지나 대상 유형을 바꾸면 해당 측의 선택 항목도 지워집니다. 네트워크 리소스를 대상으로 선택하면 방향이 출발지에서 대상으로 변경되므로 다른 유형으로 되돌린 후 이전 양방향 설정이 복원되었다고 가정하지 마십시오. 저장 전 객체를 다시 선택하고 프로토콜, 포트와 방향을 확인하여 접근 범위가 의도치 않게 확대되거나 변경되지 않도록 합니다.

배포 범위와 정책 원본의 교집합: 경로에서 정책 대상 그룹을 선택한 경우 단말이 경로 배포 범위에 속하는지와 관련 정책의 원본 및 보안 검사 조건을 충족하는지를 함께 확인하십시오. 한 조건만 충족해서는 해당 정책이 경로를 통한 접근을 허용한다고 판단할 수 없습니다. 예를 들어 경로 배포 범위가 “시범 단말”, 정책 원본이 “개발 그룹”, 정책 대상이 경로에서 선택한 대상 그룹이라고 가정합니다. 단말이 앞의 두 그룹에 모두 속해야 해당 정책 범위에 포함될 가능성이 있으며, 적용되는 보안 검사와 프로토콜 및 포트 조건도 충족해야 합니다. 두 그룹 중 하나에만 속한 단말을 이 정책에 일치한다고 간주하지 마십시오. 그룹 이름은 예시이며 기본 설정이 아닙니다. 다른 정책, 연결 및 네트워크 경로도 결과에 영향을 줄 수 있으므로 별도로 테스트하십시오.

경로 생성

1. 제로 트러스트에서 경로 페이지를 열고 「Create Route」를 선택합니다. 기본 정보에 네트워크 이름과 필요한 설명을 입력합니다. 이름은 문자, 숫자, 밑줄 또는 하이픈 1~40자로 구성하며 처음과 끝은 문자 또는 숫자여야 하고 -v6로 끝날 수 없습니다.
2. 대상을 선택합니다. 네트워크 경로에는 10.20.30.0/24 같은 IPv4 CIDR을 입력하며 단일 IPv4 주소에는 /32를 사용할 수 있습니다. 도메인 경로에는 중복되지 않는 유효한 도메인을 하나 이상 입력합니다. 도메인에는 점이 하나 이상 필요하며 와일드카드 *.example.com, 스킴, 포트 또는 경로는 입력할 수 없습니다. 중복 검사는 대소문자를 구분하지 않습니다. 영문 화면의 탭 이름은 「Route Settings」입니다.
3. 라우팅 노드 하나 또는 라우팅 노드 접근 그룹 하나를 선택합니다. 둘 다 선택할 수 없습니다. 후보 노드의 제로 트러스트 연결, 대상 접근 및 전달 조건을 확인합니다.
4. 「Effective Scope」에서 경로를 받을 접근 그룹을 하나 이상 선택하고 노드 구성원을 확인합니다. 접근 제어에서 준비한 정책 대상 그룹을 선택하고 정책 소스와 대상을 다시 확인합니다. 해당 탭 이름은 「Access Control」입니다.
5. 고급 설정에서 자동 적용, 경로 유지 및 주소 위장을 확인합니다. 저장 후 목록에서 대상, 노드, 범위와 상태를 검토하고 구성이 수신된 후 접근을 검증합니다. 「Advanced Settings」 탭에는 「Auto Apply」, 「Keep Route」, 「Masquerade」가 있습니다.

예를 들어 10.20.30.0/24를 대상으로 하고 해당 네트워크에 도달하는 노드와 시험 엔드포인트 범위를 선택한 뒤 필요한 프로토콜과 포트만 허용하는 정책 및 대상 그룹으로 제한합니다. 이는 기본값이 아닌 예시이며 실제 결과는 연결, 정책, 서비스 및 네트워크 조건에도 달려 있습니다.

여러 라우팅 노드와 장애 검증: 라우팅 노드 접근 그룹을 사용하는 경우 각 후보가 전달 조건을 충족하고 대상 서비스에 접근할 수 있는지 개별적으로 확인하십시오. 단말의 경로 선택은 노드 연결 상태와 라우트 조건 등의 영향을 받습니다. 노드가 온라인이라고 해서 대상 서비스까지의 경로가 정상인 것은 아니며 대상 서비스 장애 시 자동 전환도 보장되지 않습니다. 승인된 유지 관리 절차에 따라 시험 환경에서 노드 연결 상실과 노드는 온라인이지만 대상에 도달하지 못하는 경우를 각각 확인하십시오. 대체 경로, 기존 업무 세션 및 복구 결과를 검증하고 무중단 전환이나 정해진 완료 시간을 보장하지 마십시오.

도메인 경로와 공유 주소: 도메인 경로는 접근 경로를 제공하며 도메인 이름별로 접근을 엄격하게 제한하는 허용 목록이 아닙니다. 일부 단말 경로에서는 구성된 도메인에서 확인된 IP 주소를 기준으로 경로가 설정됩니다. 예를 들어 app.example.com과 reports.example.com이 같은 주소로 확인되면 다른 이름을 사용하거나 해당 주소에 직접 연결하는 트래픽도 그 경로를 사용할 수 있습니다. 실제 결과는 단말, DNS, 다른 경로 및 네트워크 제어에 따라 달라지며, 예시가 대상 서비스 접근을 보장하지는 않습니다. 업무 요구에 따라 접근 정책, 대상 서비스 인증 및 방화벽을 구성하십시오. 승인된 시범 환경에서 구성된 도메인, 같은 주소를 공유하는 다른 도메인 및 직접 IP 접근을 각각 시험하고 실제 애플리케이션의 이름 확인 동작도 확인하십시오.

출구 노드 설정

출구 노드는 특정 네트워크나 도메인에 한정된 경로와 달리 광범위한 IPv4 기본 경로 0.0.0.0/0을 제공합니다. 활성화 전에 업무 트래픽, 출구 용량, 보안 요구사항과 기존 경로를 평가하십시오. 생성 성공만으로 모든 트래픽이 출구를 통과한다고 판단하지 마십시오.

1. 위의 접근 그룹 및 정책 준비에 따라 시험 단말의 원본 그룹과 필요한 프로토콜·포트의 접근 정책을 설정합니다. 제로 트러스트 네트워크에 연결하고 전달 및 대상 접근이 가능한 출구 노드를 준비하고 방화벽과 반환 경로를 확인합니다.
2. Zero Trust > Routes에서 Create Exit Node를 선택하고 이름과 설명을 입력합니다. 출구 노드 또는 노드 그룹 하나와 적용 범위에 시험 접근 그룹 하나 이상을 선택합니다.
3. 접근 제어에서 정책에 사용할 대상 그룹을 선택합니다. 비워 두면 라우팅 노드에 기본 허용 규칙이 생성되며 기본 거부가 아닙니다. Auto Apply와 기타 설정을 확인하고 저장한 뒤 활성 상태, 노드와 범위를 확인합니다.
4. 단말의 설정 수신을 기다리고 허용되어야 할 접근과 허용되지 않아야 할 접근을 각각 시험하며 출구와 대상에서 실제 경로를 확인합니다. 여러 출구가 자동 적용되고 단말에 명시적 선택이 없을 때 목록 순서로 하나가 선택된다고 가정하지 말고 조직 절차에 따라 단말 상태를 확인합니다.

IPv4 출구 설정이 IPv6 기본 경로의 자동 배포나 모든 IPv6 트래픽의 출구 통과를 뜻하지는 않습니다. 더 구체적인 경로, 단말 설정, 앱 및 네트워크 조건도 경로에 영향을 줍니다. 다른 경로 제한은 별도로 설정하고 시험하며 출구 노드 스위치만 신뢰하지 마십시오.

고급 설정

• 자동 적용: 새 경로에서는 처음에 활성화됩니다. 이 스위치는 서버가 적용 범위의 단말에 경로를 배포할지 여부를 제어하지 않습니다. 일반 네트워크 및 도메인 경로는 단말에서 명시적으로 제외하지 않았다면 스위치가 꺼져 있어도 선택될 수 있습니다. 기본 경로 선택은 단말 선택 상태와 다른 기본 경로에도 영향을 받습니다. 이 스위치를 접근 제한이나 경로 회수로 간주하지 마십시오. 경로를 회수하려면 경로를 비활성화하거나 적용 범위를 변경하고 접근 정책, 다른 경로 및 단말의 실제 상태와 함께 결과를 검증합니다.
• 경로 유지: 도메인 확인 결과가 바뀐 뒤 더 이상 반환되지 않는 IP의 경로도 유지합니다. 이전 주소에 대한 접근이 남을 위험을 평가한 후 활성화합니다. 처음에는 비활성화됩니다.
• 주소 위장: 전달 시 라우팅 노드 주소를 사용하여 대상 네트워크의 추가 반환 경로 필요성을 줄일 수 있습니다. 대상에서 보는 소스 주소가 바뀔 수 있습니다. 처음에는 활성화되며 전달, 방화벽과 실제 반환 경로는 별도로 확인해야 합니다.

일치 테스트 및 순서 조정

1. Zero Trust > Routes에서 Test Routes를 선택하고 IPv4 주소, IPv4 CIDR 또는 정확한 도메인을 입력해 테스트합니다. 10.20.30.15와 app.example.com은 예시이며 기본값이 아닙니다.
2. 일치 경로, 대상, 노드, 우선순위와 일치 이유를 확인합니다. 테스트는 페이지에 로드된 활성 경로를 검사합니다. 주소는 네트워크에 포함되어야 하고 CIDR은 전체가 포함되어야 합니다. 도메인은 정확히 일치해야 하며 먼저 IP로 확인하거나 하위 도메인을 상위 도메인과 자동 일치시키지 않습니다. 목록 분류는 테스트 범위를 제한하지 않습니다.
3. 결과는 설정의 일치 순서이며 단말 적용 범위, 접근 정책, DNS, 노드 상태 또는 업무 연결을 검증하지 않습니다. 일치 항목이 없어도 다른 네트워크 경로가 없다는 뜻은 아닙니다. 아래의 실제 접근 검증을 수행하십시오.
4. 순서를 변경하려면 쓰기 권한이 있는 계정으로 All로 전환하여 경로 행을 끌고 저장을 기다립니다. 여러 경로의 우선순위가 변경될 수 있습니다. 실패 시 목록을 다시 불러와 각 경로를 확인하고 모든 변경이 복구되었다고 가정하지 마십시오. 설정 순서가 실제 단말 경로를 보장하지 않으므로 범위, 노드 상태와 단말 네트워크를 함께 확인합니다.

검증, 변경 및 문제 해결

1. 경로 활성 상태, 대상, 수신 범위와 라우팅 노드가 올바른지 확인하고 엔드포인트와 노드의 연결 및 구성 수신 상태를 점검합니다.
2. 먼저 라우팅 노드에서 대상 서비스의 접근 가능성을 확인합니다. 도메인 경로는 엔드포인트의 이름 확인도 검사하고 서비스가 필요한 프로토콜과 포트에서 수신하는지 확인합니다.
3. 허용할 엔드포인트에서 업무 접근을 시험하고 허용하지 않을 엔드포인트에서 제한을 시험합니다. 결과가 다르면 정책 대상 그룹의 공란, 소스와 대상, 프로토콜과 포트 및 다른 관련 정책을 확인합니다.
4. 노드는 접근하지만 엔드포인트는 접근하지 못하면 경로 배포, 노드 전달, 대상 방화벽과 반환 경로를 확인합니다. 주소 위장을 사용하면 해당 설정과 대상에서 보이는 소스도 점검합니다.
5. 변경, 비활성화 또는 삭제 전에 기존 구성을 기록하고 의존 업무에 미치는 영향을 평가합니다. 목록에서 변경한 뒤 구성 배포와 허용·거부 접근을 다시 검증합니다. 저장 성공은 실제 연결 또는 격리를 증명하지 않습니다.