DMZ 구성으로 내부망과 외부 서비스를 분리하는 방법

외부 서비스와 내부망 사이에 경계를 둔다

DMZ(Demilitarized Zone)는 군사 용어에서 가져온 개념으로, 인터넷과 조직 내부 네트워크 사이에 별도 서브넷을 두는 네트워크 보안 아키텍처다. 외부에 서비스를 제공해야 하는 시스템을 이 구역에 배치하고, 민감한 데이터베이스나 내부 서버와의 직접 통신은 제한한다.

침입자가 DMZ의 시스템을 통과하더라도 내부 네트워크까지 곧바로 들어가지 못하도록 경로를 나누는 것이 핵심이다. 공개 서비스의 연결성을 유지하면서 내부 자산의 노출을 줄이는 완충 구역으로 볼 수 있다.

DMZ가 만드는 방어 여유

DMZ는 단일 방어선에 의존할 때의 위험을 낮춘다. 외부와 내부 사이에 추가 장벽을 두므로 침입 시도에 대응할 시간을 확보하고, 내부 중요 자산으로 이어지는 접근 경로를 차단할 수 있다.

이 영역은 침입탐지시스템(IDS)을 배치하고 비정상 트래픽을 관찰하기에도 적합하다. 공격 시도를 실시간으로 분석하고 대응하는 지점이 되며, 내부 시스템 정보가 외부로 노출되는 위험도 줄인다.

방화벽을 배치하는 방식

단일 방화벽으로 DMZ와 내부망을 함께 보호하는 구조

⤢✕

단일 방화벽 구성은 하나의 방화벽이 DMZ와 내부 네트워크를 함께 보호한다. 구축 비용과 관리 포인트를 줄이고 구성을 단순하게 만들 수 있다.

반면 방화벽 장애가 전체 네트워크 보안에 영향을 줄 수 있으며, 설정 오류의 영향 범위도 커진다. 단일 장애점(Single Point of Failure)이 생기고 다른 구성과 비교해 보안 수준이 낮을 수 있다는 점을 고려해야 한다.

외부와 내부에 방화벽을 나누는 구조

⤢✕

이중 방화벽 구조에서는 외부 방화벽이 인터넷과 DMZ 사이를, 내부 방화벽이 DMZ와 내부 네트워크 사이를 담당한다. 방화벽별 정책을 분리할 수 있고, 하나의 방화벽이 침투되더라도 추가 보안 계층이 남는다.

강화된 경계를 만들 수 있는 대신 구축과 유지보수 비용이 늘고 관리가 복잡해진다. 이중 필터링에 따른 성능 저하 가능성도 설계 단계에서 검토할 대상이다.

서비스 중요도에 따라 DMZ를 더 세분화하는 구조

⤢✕

다중 DMZ는 서비스의 중요도와 요구되는 보안 수준에 맞춰 영역을 분리한다. 서비스별로 독립적인 보안 정책을 적용하고 위험을 격리할 수 있으며, 세분화된 접근 제어도 가능하다.

그만큼 네트워크 구조와 운영 비용이 복잡해지고, 장애 원인 분석과 트러블슈팅 난이도도 높아진다.

DMZ에 배치하는 서비스

외부와 직접 통신해야 하는 서버는 DMZ 배치 대상이 될 수 있다.

웹 서버는 외부 사용자에게 웹 서비스를 제공하고, 정적 콘텐츠와 프론트엔드를 처리하며 내부 애플리케이션 서버와 연계해 동적 콘텐츠를 제공한다. 이메일 서버는 외부 메일 서버와 통신하면서 스팸·바이러스 필터링을 수행하고 내부 메일 서버로 메일을 전달한다.

DNS 서버는 공개 도메인 정보와 외부 DNS 쿼리를 처리하며, 내부 DNS 정보는 별도 구성으로 보호한다. 프록시 서버는 내부 사용자의 외부 접속을 중개하고 캐싱, 웹 필터링, 접근 제어를 맡을 수 있다. VPN 게이트웨이는 원격 사용자 접속의 종단점으로서 암호화된 터널과 인증·접근 제어를 제공한다.

경계를 실제로 유지하는 통제

DMZ를 별도 구역으로 두는 것만으로 보호가 완성되지는 않는다. 기능과 서비스별 네트워크 분리, 마이크로세그먼테이션, VLAN을 통한 논리적 분리가 필요하다.

접근 제어는 필요한 포트만 열고 서비스별 접근 제어 목록(ACL)을 엄격히 관리하는 방식으로 설계한다. 기본 거부(Default Deny) 정책도 이 원칙에 포함된다.

IDS/IPS 배치, 로그 집중화와 분석, 이상 행위 탐지는 경계에서 일어나는 변화를 확인하는 수단이다. 정기적 보안 패치, 취약점 스캐닝, 침투 테스트를 함께 운영해 노출 지점을 관리해야 한다.

금융 환경과 클라우드에서의 적용

금융권의 DMZ 구성에서는 외부 방화벽에 패킷 필터링과 DDoS 방어를 두고, 웹 애플리케이션 방화벽(WAF)으로 웹 공격을 방어할 수 있다. 웹 서비스용과 API 서비스용으로 이중 DMZ를 나누고, 내부 방화벽에서 접근 제어를 강화하며 데이터베이스 서버는 내부망 깊숙이 배치하는 방식이다.

클라우드에서는 보안 그룹과 가상 네트워크(VPC) 내 서브넷 분리로 가상 DMZ를 구현한다. 네트워크 ACL과 보안 그룹을 조합하고 클라우드 WAF 서비스를 연동하며, 트래픽 감시를 위해 플로우 로그를 활성화할 수 있다.

설계 이후에도 남는 운영 과제

보안 계층을 과도하게 쌓으면 성능 저하가 생길 수 있으므로, 필요한 통제 수준과 병목 지점을 함께 검토해야 한다. 장애에 대비한 이중화, 장애 시나리오별 대응 계획, 정기적 장애 복구 훈련도 필요하다.

트래픽 증가와 새 서비스 추가를 고려해 수평 확장이 가능한 구조를 마련해야 하며, 산업별 규제 요건과 개인정보보호법 등 관련 법규를 충족하도록 정기적인 컴플라이언스 검토가 뒤따라야 한다. DMZ는 고정된 장비 배치가 아니라, 외부 서비스와 위협 변화에 맞춰 계속 관리해야 하는 보안 경계다.