[아키텍처 설계 명세서] 엔터프라이즈 하이브리드 클라우드 네트워크 아키텍처 설계서 (SAD)

문서 제·개정 이력 (Revision History)

제1장. 설계 개요 및 아키텍처 원칙 (1. Architecture Overview & Principles)

[설계 핵심 정의 (Architecture Blueprint Summary)]: 본 설계서는 전사 하이브리드 멀티클라우드 및 쿠버네티스(Kubernetes) 런타임의 연결성, 초저지연 패킷 처리, 무결점 보안 격리를 달성하기 위해 중앙 집중형 Hub-and-Spoke 트랜짓 토폴로지(Centralized Transit Hub)와 NIST SP 800-207 기반 Zero-Trust 마이크로세그먼테이션(eBPF + mTLS)을 결합한 표준 네트워크 참조 아키텍처(Reference Architecture)를 명세함.

1.1 시스템 컨텍스트 및 Hub-and-Spoke 망분리 개념 (System Context View)

• 시스템 경계 및 내·외부 트래픽 격리 구조:
  • 전사 네트워크는 중심부의 중앙 트랜짓 및 보안 허브(Central Transit & Inspection Hub)를 단일 라우팅 코어로 두며, 외부 접점(Public Edge/DMZ Spoke), 비즈니스 워크로드(Prod/Non-Prod Workload Spoke), 핵심 데이터 금고(Isolated Data Vault), 온프레미스 데이터센터(On-Premises IDC)가 허브를 통해서만 상호 통신하도록 물리적·논리적으로 분리됨.

1.2 아키텍처 핵심 설계 원칙 명세 (Architecture Principles Specification)

1.3 비기능 품질 속성 및 목표 SLA/SLO 명세 (Quality Attribute Specification)

제2장. 논리 아키텍처 및 컴포넌트 설계 (2. Logical & Component View)

2.1 논리 계층 및 Hub-and-Spoke 4-Zone 세그먼테이션 구조도

• 구조 명세: 전사 네트워크는 보안 신뢰 수준과 트래픽 방향성에 따라 Perimeter & Edge DMZ Zone → Central Transit & Security Hub → Isolated Workload & Data Spokes의 3대 논리 영역·8개 핵심 네트워크 컴포넌트(COMP-01 ~ COMP-08)로 구성됨.

2.2 컴포넌트 카탈로그 및 책임 명세표 (Component Specification Catalog)

2.3 표준 네트워크 IaC(Infrastructure as Code) 디렉토리 구조 명세

infra-network-platform/
├── modules/
│   ├── transit-hub/               # [COMP-03, COMP-04] TGW, VRF Route Tables, Network Firewall, GWLB
│   ├── spoke-vpc/                 # [COMP-02, COMP-07] 4-Tier Subnets (DMZ, App, Data, TGW-Attach), FlowLogs
│   ├── hybrid-dx/                 # [COMP-08] Direct Connect Gateway, Transit VIF, BGP + BFD, Backup VPN
│   ├── privatelink-dns/           # [COMP-06] Route53 PHZ, Inbound/Outbound Resolver, VPC Endpoints
│   └── k8s-cilium-mesh/           # [COMP-05] Cilium Helm Values (eBPF, ENI), Istio Ambient, Gateway API
├── environments/
│   ├── prod/                      # 운영계 (10.10.0.0/16, Pod Secondary 100.64.0.0/16)
│   ├── staging/                   # 검증계 (10.20.0.0/16, Pod Secondary 100.65.0.0/16)
│   └── shared-security/           # 중앙 보안/관측성 허브 (10.100.0.0/16)
└── policies/
    ├── opa-terraform/             # [NET-RULE-01~05] Terraform Plan 정적 보안/라우팅 검증 (Rego)
    └── cilium-policies/           # K8s 네임스페이스별 Default-Deny 및 L7 Zero-Trust 정책 YAML

제3장. 프로세스 및 런타임 파이프라인 설계 (3. Process & Runtime Sequence View)

3.1 남북(North-South) 인그레스 및 동서(East-West) 패킷 처리 8단계 파이프라인

• 동적 패킷 라우팅 흐름: 외부 클라이언트 요청은 STEP 1(GSLB/CDN)부터 STEP 4(Ingress Gateway)까지의 남북(North-South) 경계 보안 체인을 통과한 뒤, 클러스터 내부에서 STEP 5(Cilium eBPF)와 STEP 6(Zero-Trust mTLS)를 거쳐 백엔드 파드 및 사설 데이터 계층(STEP 7~8)으로 전달됨.

3.2 단계별 패킷 처리 및 타임아웃/보안 계약 명세표 (Packet Pipeline Specification)

제4장. 데이터 및 영속성 아키텍처 설계 (4. Data & Persistence View)

4.1 전사 IPAM 대역 할당, VRF 라우팅 도메인 격리 및 PrivateLink 구조도

• 네트워크 데이터 뷰 명세: 네트워크 아키텍처에서의 핵심 데이터 자산인 IP 주소 공간(IPAM CIDR), VRF 라우팅 테이블(Route Table), DNS 레코드(Split-Horizon PHZ), 사설 엔드포인트(PrivateLink)를 계층화하여 IP 충돌을 원천 방지하고 환경 간 트래픽 혼입을 차단함.

4.2 전사 IPAM 대역 할당 및 VRF 라우팅·DNS 정책 명세표 (IPAM & Routing Specification)

제5장. 물리 배포 및 회복탄력성·관측성 설계 (5. Deployment, Resilience & Observability View)

5.1 Multi-AZ Active-Active 물리 토폴로지 및 하이브리드 이중화 다이어그램

• 물리 배치 및 고가용성 명세: 모든 클라우드 네트워크 인프라는 3개 가용영역(AZ-a, AZ-b, AZ-c) 대칭형 Active-Active 구조로 배포되며, 온프레미스 데이터센터와는 서로 다른 물리 국사(POP)에 수용된 듀얼 10Gbps Direct Connect 회선 + IPSec VPN 백업으로 연결됨.

5.2 Zero-Trust 보안, 무중단 장애 절체(Resilience) 및 네트워크 관측성 상세 설계

• 회복탄력성·보안·관측성 엔지니어링 파라미터 명세표 (Network Engineering Specification)

제6장. 표준 인터페이스 및 코드 템플릿 명세 (6. Standard Interface & Code Specification)

6.1 네트워크 인프라(IaC) 및 Zero-Trust 정책 표준 코드 블루프린트

• [Template 1] Hub-and-Spoke Transit Gateway 및 Inspection VRF 격리 (Terraform HCL — COMP-03, COMP-04)
  HCL

  resource "aws_ec2_transit_gateway" "enterprise_hub" {
    description                     = "Enterprise Central Transit Hub (SAD-NET-2026-001)"
    amazon_side_asn                 = 64512
    auto_accept_shared_attachments  = "disable"
    default_route_table_association = "disable"
    default_route_table_propagation = "disable"
    dns_support                     = "enable"
    vpn_ecmp_support                = "enable"
    tags                            = { Name = "tgw-enterprise-hub-prod", Standard = "SAD-NET-2026-001" }
  }
  
  # Inspection VPC Attachment: 비대칭 라우팅 방지를 위해 Appliance Mode 필수 활성화
  resource "aws_ec2_transit_gateway_vpc_attachment" "inspection_hub" {
    transit_gateway_id                              = aws_ec2_transit_gateway.enterprise_hub.id
    vpc_id                                          = var.inspection_vpc_id
    subnet_ids                                      = var.inspection_tgw_subnet_ids # 3 AZs (/28 x 3)
    appliance_mode_support                          = "enable"
    transit_gateway_default_route_table_association = false
    transit_gateway_default_route_table_propagation = false
  }
  
  # Prod VRF 라우팅 테이블: Non-Prod(10.20.0.0/16) 블랙홀 차단 및 기본 경로 Inspection Firewall 강제
  resource "aws_ec2_transit_gateway_route" "prod_block_nonprod" {
    destination_cidr_block         = "10.20.0.0/16"
    blackhole                      = true
    transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.prod_vrf.id
  }
  
  resource "aws_ec2_transit_gateway_route" "prod_to_inspection_firewall" {
    destination_cidr_block         = "0.0.0.0/0"
    transit_gateway_attachment_id  = aws_ec2_transit_gateway_vpc_attachment.inspection_hub.id
    transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.prod_vrf.id
  }

• [Template 2] Cilium eBPF L3/L4/L7 마이크로세그먼테이션 및 DNS Egress 통제 (YAML — COMP-05)
  YAML

  apiVersion: cilium.io/v2
  kind: CiliumNetworkPolicy
  metadata:
    name: order-service-zero-trust-policy
    namespace: prod-commerce
  spec:
    endpointSelector:
      matchLabels:
        app.kubernetes.io/name: order-service
        env: prod
    ingress:
      # [Ingress 규칙] 오직 API Gateway 및 Payment 서비스(SPIFFE 인증 파드)의 지정된 HTTP 경로만 허용
      - fromEndpoints:
          - matchLabels:
              app.kubernetes.io/name: api-gateway
              io.kubernetes.pod.namespace: istio-ingress
        toPorts:
          - ports:
              - port: "8080"
                protocol: TCP
            rules:
              http:
                - method: "POST"
                  path: "/api/v1/orders"
                - method: "GET"
                  path: "/api/v1/orders/[0-9a-zA-Z-]+"
    egress:
      # [Egress 규칙 1] CoreDNS 질의 허용 및 허용된 외부 PG사 도메인 패턴만 DNS 응답 가로채기 허용
      - toEndpoints:
          - matchLabels:
              io.kubernetes.pod.namespace: kube-system
              k8s-app: kube-dns
        toPorts:
          - ports:
              - port: "53"
                protocol: ANY
            rules:
              dns:
                - matchPattern: "*.rds.amazonaws.com"
                - matchPattern: "api.tosspayments.com"
      # [Egress 규칙 2] Isolated Data Subnet(10.10.128.0/20) 내 Aurora PostgreSQL(5432)만 사설 연결 허용
      - toCIDRSet:
          - cidr: 10.10.128.0/20
        toPorts:
          - ports:
              - port: "5432"
                protocol: TCP

• [Template 3] Istio Ambient Strict mTLS 강제 및 K8s Gateway API 카나리 라우팅 (YAML — COMP-02, COMP-05)
  YAML

  apiVersion: security.istio.io/v1
  kind: PeerAuthentication
  metadata:
    name: global-strict-mtls
    namespace: istio-system
  spec:
    mtls:
      mode: STRICT # 클러스터 내 모든 동서(East-West) 평문(Plaintext) 통신 100% 거부
  ---
  apiVersion: gateway.networking.k8s.io/v1
  kind: HTTPRoute
  metadata:
    name: order-api-canary-route
    namespace: prod-commerce
  spec:
    parentRefs:
      - name: prod-external-envoy-gateway
        namespace: istio-ingress
    hostnames:
      - "api.company.com"
    rules:
      - matches:
          - path:
              type: PathPrefix
              value: /api/v1/orders
        timeouts:
          request: 5s
          backendRequest: 3s
        backendRefs:
          - name: order-service-stable
            port: 8080
            weight: 95
          - name: order-service-canary
            port: 8080
            weight: 5

제7장. 아키텍처 적합성 검증 및 기술 스택 명세 (7. Architecture Fitness & Tech Stack BOM)

7.1 OPA(Open Policy Agent) / Conftest 기반 네트워크 적합성 자동 검증 규칙 (Fitness Functions)

모든 네트워크 Terraform 변경 사항(tfplan.json)과 Kubernetes 네트워크 매니페스트는 아래 5대 자동화 검증 규칙(NET-RULE-01 ~ NET-RULE-05)을 통과해야 하며, 단 1건이라도 위반 시 CI/CD 파이프라인에서 인프라 배포가 즉시 차단됨.

package enterprise.network.fitness

import rego.v1

# [NET-RULE-01] Spoke 간 직접 VPC Peering 생성 원천 차단 (반드시 Central Transit Gateway 경유)
deny contains msg if {
    some rc in input.resource_changes
    rc.type == "aws_vpc_peering_connection"
    rc.change.actions[_] != "delete"
    msg := sprintf("[NET-RULE-01 위반] 직접 VPC Peering(%s) 생성 금지: 모든 망 간 연결은 Central Transit Gateway를 경유해야 함", [rc.address])
}

# [NET-RULE-02] 0.0.0.0/0 대상 관리/데이터베이스 포트 개방 원천 차단
forbidden_public_ports := {22, 3389, 3306, 5432, 6379, 9092, 27017}

deny contains msg if {
    some rc in input.resource_changes
    rc.type == "aws_vpc_security_group_ingress_rule"
    rc.change.after.cidr_ipv4 == "0.0.0.0/0"
    port := rc.change.after.from_port
    forbidden_public_ports[port]
    msg := sprintf("[NET-RULE-02 위반] 보안그룹(%s)에서 0.0.0.0/0 대상 위험 포트(%d) 개방이 감지됨", [rc.address, port])
}

# [NET-RULE-03] Isolated Data Subnet 라우팅 테이블 내 IGW / NAT Gateway 경로 연결 금지
deny contains msg if {
    some rc in input.resource_changes
    rc.type == "aws_route"
    contains(rc.address, "isolated_data")
    after := rc.change.after
     (after.gateway_id != null; startswith(after.gateway_id, "igw-"))
    msg := sprintf("[NET-RULE-03 위반] 데이터 전용 서브넷(%s)에 외부 Internet Gateway 경로 연결 금지", [rc.address])
}

7.2 전사 표준 네트워크 기술 스택 명세서 (Standard Network Technology BOM)