목차
1. ARP Spoofing
2. DNS Spoofing
3. DoS / DDoS
4. Ping of Death
5. Smurf
6. Decryption

1.  ARP Spoofing

ARP(Address Resolution Protocol) 란?

: 네트워크 상에서 IP 주소(논리 주소)를 해당 장치의 물리적인 MAC 주소로 변환해주는 프로토콜(L2)로, 각 장치는 IP-MAC 주소 쌍을 ARP 캐시 테이블에 저장하여 사용한다.

ARP 캐시 테이블의 사용 목적

: 브로드캐스트를 줄이기 위해 사용. 모든 장치가 다른 장치와 통신하기 위해 항상 브로드캐스트를 사용한다면 브로드캐스트 스톰이 발생한다. 이는 bandwidth(대역폭)이 고갈되는 결과를 초래한다. 따라서 캐시 테이블이 필요하다.

ARP의 취약점

: 설계를 다시 해야하는 수준의 근본적인 문제가 존재한다.

ARP 프로토콜은 challenge-response 구조가 아니다. 즉, 물어보지 않아도 응답이 가능하다라는 뜻이며 이는 캐시 테이블 조작이 가능하다는 결론에 도달한다.

그러나 이 프로토콜은 커널 레벨이기 때문에 바꿀 수 없다. 잠재적 위험이 항상 존재하는 상태.(ICMP, TCP, UDP도 마찬가지)

ARP 스푸핑(ARP Spoofing) 이란?

: 근거리 통신망(LAN) 환경에서 주소 결정 프로토콜(ARP)의 취약점을 이용한 중간자 공격(Man-in-the-middle attack, MiTM)

2.  DNS Spoofing

DNS(Domain Name System) 란?

: 사람이 읽기 쉬운 도메인 이름(예: example.com)을 IP 주소(L3)로 변환해주는 분산 데이터베이스/프로토콜. 클라이언트 → 리졸버(로컬 DNS 서버) → 루트 → TLD → 권한 있는(authoritative) 네임서버의 순서로 질의가 진행된다. 일반적으로 질의는 UDP/53을 사용하며 큰 응답이나 전송 보장이 필요하면 TCP/53을 사용한다.

Zone file (영역 파일)

: DNS 서버가 관리하는 도메인 정보(IP ↔ Domain)를 저장한 파일

• Forward Zone File : 정방향 조회용 — 도메인 이름 → IP 주소 매핑 정보 저장
• Reverse Zone File : 역방향 조회용 — IP 주소 → 도메인 이름 매핑 정보 저장

두 파일을 합쳐서 통칭할 때 “Zone file”이라 한다.

DNS 서버는 요청을 받을 때 이 파일을 참조하여 응답을 생성한다.

Master / Slave 구조

• DNS 서버는 계층적(분산형) 구조로 운영된다.
• Master 서버(Primary) : 원본 zone file을 보유.
• Slave 서버(Secondary) : master로부터 zone file을 전송받아 복제(Zone Transfer).
• Zone Transfer는 파일 전송이므로 TCP 프로토콜을 사용한다.
  (일반 DNS 질의는 UDP 53, zone transfer는 TCP 53)

➡️ 공격자가 zone transfer를 악용하면, 내부 도메인 구조나 IP 정보를 전부 수집할 수도 있어 정보 유출 위험이 있다.

DNS의 계층 구조와 동작 원리

• 전 세계 DNS는 계층화된 분산 구조로 되어 있다.
  • 루트 도메인(.) → TLD(.com, .kr 등) → 권한 있는 네임서버(Authoritative)
• 모든 도메인 정보를 한 서버가 알 수 없기 때문에 이런 분산 구조가 필요하다.
• 루트 네임서버는 전 세계에 약 13개(논리적 기준)가 존재하며,
  클라이언트 요청은 순환 질의(iterative) 형태로 상위 → 하위 서버를 따라가며 해석된다.
• 일반적으로 실제 질의는 재귀 질의(recursive)와 순환 질의(iterative)가 결합된 형태로 이루어진다.
  • 클라이언트 → 로컬 DNS(재귀 질의)
  • 로컬 DNS → 루트 → TLD → Authoritative (순환 질의)

부하 분산 (Load Balancing)

• DNS는 기본적으로 라운드 로빈(Round Robin) 방식을 통해 부하 분산을 지원한다.
  • 하나의 도메인에 여러 IP가 등록된 경우, 질의마다 IP 응답 순서를 순환시켜 트래픽을 분산.
  • 단, 이는 단순 분산이며 서버 상태(health check)는 고려하지 않는다.

DNS 캐시의 사용 목적
: 응답 속도 향상과 트래픽 절감을 위해 리졸버와 클라이언트는 DNS 응답을 TTL(Time To Live) 동안 캐시해 둔다. 매번 권한 있는 네임서버에 질의하지 않기 때문에 응답 지연이 줄고 네트워크 부하가 감소한다.

DNS의 취약점
: 설계상 신뢰 기반의 시스템(응답의 출처·무결성 검증이 기본적으로 없음)이라 공격자가 위조 응답을 집어넣기 쉬움. 과거 UDP 기반의 비연결성, 짧은 트랜잭션 ID와 예측 가능한 소스 포트 등으로 인해 '임의의 응답'을 쉽게 주입할 수 있다. 또한 캐시를 신뢰하기 때문에 한 번 오염되면 다수 사용자가 영향받는다. (이런 점을 개선하려는 기술이 DNSSEC, source port randomization 등이다.)

DNS 스푸핑(DNS Spoofing) 이란?

: DNS의 신뢰 구조나 캐시 메커니즘을 악용하여 정상적인 도메인에 대해 공격자가 조작한 IP 주소 응답을 리졸버 또는 클라이언트 캐시에 주입하는 공격. 결과적으로 사용자는 공격자가 지정한(악성) 서버로 접속하게 되어 피싱, 트래픽 가로채기, 악성코드 배포 등이 가능하다.

DNS Spoofing의 MITM (중간자 공격) 형태

• 공격자가 네트워크 내에서 ARP Spoofing을 먼저 수행하여 게이트웨이 역할을 가로챔 →
  이후 피해자의 DNS 요청 트래픽이 공격자 PC로 유입되도록 한다.
• DNS 질의가 UDP 기반(비연결, 무검증)이기 때문에
  공격자는 정상 DNS 서버보다 빠르게 위조된 응답을 전송할 수 있다.
• 결과적으로 피해자는 공격자가 지정한 악성 IP(피싱, 가짜 사이트 등)로 접속하게 된다.

Secure DNS (예: DNSSEC, DNS over TLS, DNS over HTTPS)

• 응답 무결성과 출처 검증이 추가되어, 위조 응답(MITM, 캐시 포이즈닝 등)이 차단됨.
• 패킷 내용이 암호화되어 중간자(공격자)가 UDP 응답을 변조하거나 위조하기 어려워진다.
• 따라서 secure DNS 환경에서는 DNS Spoofing 공격이 거의 불가능하다.

3.  DoS / DDoS

1) 정의

• DoS (Denial of Service) : 자원 고갈을 유도해 정상 사용자가 서비스를 이용하지 못하게 만드는 공격.
• DDoS (Distributed DoS) : 여러 대(봇넷)의 분산된 장비를 이용해 동시다발적으로 공격하는 DoS. 더 큰 규모·회복 지연.

2) 목표 자원 (어디를 고갈시키나)

• 네트워크 대역폭 (Bandwidth)
• 연결 테이블 / 소켓 (TCP 연결 수)
• CPU / 메모리 / 디스크 I/O (애플리케이션 레이어 자원)
• 서비스별 리소스(예: DB 연결, 세션 저장소)

3) 기본 아이디어 및 전제

• 자원 소모(납부) → 서비스 불능
• 공격자는 보통 패킷을 변조(spoof) 하여 출처를 숨기거나 반사/증폭을 유도.
• IP 헤더 체크섬 존재하지만 무결성 보증 아님 → 패킷 변조 후에도 통신 가능(네트워크는 체크섬 오류가 없으면 전달).
• challenge-response 구조(예: 애플리케이션에서 매번 인증 요구)는 오버헤드가 큼 → DDoS에서 악용 가능(클라이언트 리소스 낭비).

4) 공통 기법(종류별)

• SYN Flooding (TCP SYN Flood)
  • 원리: TCP 3-way-handshake의 SYN 상태를 남겨 놓아 서버의 half-open 연결 자원 고갈.
  • 방지: SYN cookie, backlog 확장, 타임아웃 조정, 방화벽 필터링.
• UDP/ICMP Flood
  • 대량의 UDP/ICMP 패킷으로 대역폭·처리 능력 소진.
• Reflection & Amplification (반사·증폭)
  • 공격자 → (소스 IP를 피해자 IP로 위조) → 오픈 리졸버/서비스(DNS, NTP, SSDP, Memcached 등) → 대량 응답이 피해자에게 전송.
  • 핵심: 작은 요청 → 큰 응답(증폭비율) → 효율적 공격.
• Application-layer (Layer 7) 공격
  • HTTP GET/POST 등 정상 요청처럼 보이나 리소스 소모가 큰 작업 반복.
  • 방어: WAF, rate-limiting, CAPTCHA, connection pooling 최적화.
• Slowloris / 도지적 슬로우 공격
  • 연결을 천천히 유지시켜(헤더를 부분적으로 보냄) 서버의 동시 연결 소모.
• State exhaustion (세션/테이블 포화)
  • 라우터/방화벽/로드밸런서의 상태 테이블을 채움.

5) 준비 단계: 스푸핑(Spoof)과의 연결

• 패킷 출처 위조(spoof) 가 DDoS에서 자주 쓰임(특히 반사·증폭 공격에서 필수).
• 따라서 spoof 연습(개념 학습)이 선행 학습으로 중요함.

6) 탐지 포인트(지표)

• 트래픽 급증(평상시 대비)
• 특정 포트/프로토콜의 비정상적 증가
• 다수의 서로 다른 소스 IP지만 동일 패턴(봇넷)
• SYN 비율↑, 응답률↓, CPU/메모리 급증
• Cache miss / DB 연결 고갈

7) 완화·대응(요약)

• 네트워크 계층: ACL, 패킷 필터링, BCP38(ingress/egress 필터링으로 IP 스푸핑 차단)
• TCP 계층: SYN cookies, 소켓 백로그 튜닝, 접속 제한
• 애플리케이션 레벨: rate limiting, WAF, CAPTCHA, 캐싱 활용
• 인프라/아키텍처: Anycast/분산 인프라, CDN, 오토스케일, 로드밸런서, 세션 분리
• 전문 서비스: 트래픽 스크러빙(클라우드 기반 DDoS 방어 서비스)
• 운영: 모니터링/알람, 블랙홀(blackholing) 혹은 sinkhole (긴급 대응), 포렌식 로그 수집

8) 조직·정책적 대책

• ISP와의 협력(상위에서 필터링), DDoS 대응계획(IRP), 정기 복구 훈련

9) 요약 한줄

• DoS = 자원 고갈으로 서비스 거부 / DDoS = 분산된 여러 수단(봇넷)으로 더 큰 자원 고갈 및 회복 지연.
• 스푸핑→반사/증폭→대역폭/처리 고갈이 전형적 패턴이며, 방어는 계층별(네트워크→전송→애플리케이션)로 복합 적용해야 효과적.

4.  Ping of Death

핵심 개념

• Ping of Death (PoD): 비정상적으로 큰 ICMP 패킷(또는 조작된 IP 프래그먼트)을 보내 대상의 IP 재조합/버퍼 처리 로직을 과부하 또는 오작동(예: 크래시)시키는 DoS 공격 계열.
• 원인: 프래그먼트 분할·재조합 과정에서의 취약점 또는 IP 길이 필드(예전 취약점에서는 총길이 > 65,535 바이트)로 인한 버퍼 오버플로우.

기술적 배경 / 핵심 포인트

• 이더넷 기본 MTU ≈ 1500바이트 → 큰 패킷은 여러 조각(fragment)으로 분할 전송됨.
• 수신 쪽은 분할된 프래그먼트를 임시 버퍼에 보관했다가 모두 도착하면 재조합(reassembly)함.
• 공격 기법: 매우 큰 ICMP (또는 조작된) 프래그먼트를 보내 재조합 시 임시 버퍼/메모리 소모와 연산(재조합 로직)을 유발하거나, 잘못된 길이값으로 버퍼 오버플로우/예외를 유발해 서비스 중단 또는 크래시를 일으킴.
• 차이점:
  • 역사적 PoD: 일부 OS에서 IP 총길이 필드 조작으로 버퍼 오버플로우·크래시 발생(옛 취약점).
  • 현대적 변형: 방대한 분할·재조합으로 메모리/CPU 소모 → 서비스 불능(DoS).

동작 흐름

1. 공격자 → 피해자에게 정상 MTU보다 큰 ICMP 패킷을 분할해서 전송.
2. 피해자는 각 프래그먼트를 임시 버퍼에 저장(세션처럼 유지).
3. 재조합 완료 전까지 버퍼가 유지되어 메모리·연산 고갈 발생.
4. 결과: 시스템 응답 저하, 연결 끊김, 심하면 커널 크래시.

SYN Flood와 비교

• SYN Flood: 주로 메모리(half-open TCP 연결 테이블) 고갈.
• Ping of Death: 프래그먼트 재조합 버퍼 + CPU 연산 고갈(또는 취약점 시 버퍼 오버플로우로 크래시).
• 둘을 같이 당하면(메모리+CPU 둘 다 고갈) 복구가 더 어렵고 영향이 큼.

탐지/완화

• OS/커널 패치(역사적 취약점은 패치로 해결).
• 방화벽/라우터에서 이상한/오버사이즈 프래그먼트 차단.
• ICMP/프래그먼트에 대한 rate limiting 및 비정상 조각 조합 제한 설정.
• 최대 재조합 버퍼 수·크기 제한, 재조합 타임아웃 짧게 설정.
• 네트워크 경계에서 의심 트래픽(비정상 프래그먼트) drop.

5.  Smurf

정의

• Smurf 공격은 ICMP Echo(핑) 를 이용한 반사·증폭 DDoS로, 공격자가 출처 IP를 피해자 IP로 위조해 브로드캐스트 주소로 대량의 ICMP Echo Request를 보내면, 그 브로드캐스트 네트워크의 다수 호스트가 피해자에게 Echo Reply를 보내 대역폭·처리 자원을 고갈시키는 공격.

동작 원리(단계)

1. 공격자: 소스 IP를 피해자 IP로 위조한 ICMP Echo Request를 생성.
2. 공격자: 이 패킷을 네트워크의 브로드캐스트 주소(예: 192.0.2.255)로 전송.
3. 브로드캐스트 네트워크에 있는 여러 호스트(증폭기, amplifiers)가 ICMP Echo Request를 수신하고 각각 피해자(위조된 소스 IP) 로 Echo Reply 전송.
4. 피해자: 동시에 수많은 Echo Reply를 받아 대역폭·CPU·소켓 등 소모, 서비스 저하 또는 다운.

• 증폭 비율 = (브로드캐스트 네트워크에 응답하는 호스트 수). 즉, 한 요청이 N개의 응답을 만들어내므로 공격 효율 매우 높음.

필요 조건 / 취약 요건

• 라우터/스위치가 Directed Broadcast(네트워크 대상 브로드캐스트)를 전달하도록 설정되어 있어야 함.
• 브로드캐스트 도메인에 많은 응답 가능한 호스트(ICMP 응답 허용)가 존재해야 함.
• 공격자가 소스 IP 스푸핑(spoofing) 가능해야 함(필수).
• (역사적) 많은 라우터/호스트에서 디폴트로 허용했으나 현대 네트워크에서는 기본 차단되는 경우가 많음.

영향

• 대역폭(네트워크 자원) 고갈 — 피해자의 업스트림 포인트까지 포화 가능.
• CPU/메모리/소켓 소진 — ICMP 처리로 시스템 부하.
• 분산되면 DDoS: 여러 증폭 네트워크/여러 공격자 사용 시 심각.

탐지 징후

• ICMP 트래픽 급증(특히 Reply).
• 수신되는 ICMP Reply의 출처가 여러 브로드캐스트 네트워크 주소 또는 다수의 내부 호스트.
• 네트워크 레이턴시 급상승, 패킷 손실 증가.

완화 및 방지

• 라우터에서 Directed Broadcast 비활성화
  • Cisco 예: no ip directed-broadcast (인터페이스 레벨)
• 소스 IP 스푸핑 차단(BCP38)
  • ISP 및 내부 네트워크에서 ingress/egress 필터링으로 올바르지 않은 소스 IP 차단.
• 호스트/네트워크 측 설정
  • 불필요한 ICMP 응답(특히 브로드캐스트 대상)을 호스트 수준에서 제한/차단.
• 네트워크 분리·세그멘테이션: 큰 브로드캐스트 도메인 최소화.
• Rate limiting: 경계 장비에서 ICMP/브로드캐스트 트래픽 제한.
• 모니터링 및 알람: 비정상 ICMP 패턴/브로드캐스트 트래픽 모니터링.
• ISP 협조: 증폭 공격의 소스 네트워크 차단 요청 및 상위 필터링.

변형·유사 공격

• Fraggle: UDP 기반(게이머 등) — Smurf와 유사하지만 UDP(보통 echo와 chargen) 사용.
• 현대 증폭 공격: NTP, DNS, Memcached 등에서 반사·증폭 기법(더 큰 증폭비)을 사용 — 원리(소스 스푸핑 + 반사)는 동일.

한줄 요약

• Smurf = 소스 스푸핑을 이용한 ICMP 브로드캐스트 반사·증폭 DDoS. 라우터의 directed-broadcast 전달과 응답 가능한 호스트가 있으면 크게 증폭되어 피해가 커짐; 현재는 대부분의 네트워크에서 비활성화/차단되어 과거만큼 흔하진 않다.

6.  Decryption

1) 핵심 개념

• 복호화(Decryption): 암호화된 데이터를 원래의 평문으로 되돌리는 과정.
• 목적(보안 운영 관점): 암호화된 트래픽·콘텐츠 안에 숨은 악성 행위(예: DBD, 봇넷 C2, SMB 자기복제 등)를 탐지하기 위해 필요.

2) 암호화의 양면성

• 장점(보호): 개인정보·비밀정보·무결성 보호, 중간자 공격 차단.
• 단점(가시성 상실): 보안장비가 내부 악성 행위를 보지 못해 침해 탐지·차단이 어려워짐(탐지 사각지대).

3) 탐지 관점에서의 주요 위협 예시

• DBD (Drive-By Download): 웹 트래픽 내 악성코드 자동 다운로드 — HTTPS로 감춰질 수 있음.
• 외부 침입자 → VPN으로 내부망 접근: 원격 접속 후 내부에서 평문으로 활동하거나 암호화된 채널로 C2 통신.
• SMB 통한 자기복제 (예: SMBGhost): 내부 네트워크에서 파일공유 프로토콜로 빠르게 전파 — 내부 트래픽 가시성이 중요.

4) 복호화(가시성 확보) 방식

• TLS/HTTPS 복호화(SSL/TLS Inspection)
  • 방식: 경계(프록시/로드밸런서/NGFW)에서 TLS 세션을 종료하거나 중간자(인라인 프록시)로서 클라이언트에 CA 인증서를 배포해 트래픽을 복호화·검사·재암호화.
  • 장점: 웹 기반 공격·다운로드 탐지 가능.
• Endpoint 기반 검사
  • 방식: 엔드포인트 에이전트가 파일·프로세스 단에서 복호화 혹은 평문 수집 후 중앙 분석.
  • 장점: 종단간 암호화(E2E)나 VPN 내부 트래픽에서도 가시성 확보 가능.
• 네트워크 메타데이터/암호화 트래픽 분석(텔레메트리)
  • 방식: 복호화 없이 패킷 메타데이터(SNI, TLS 핸드셰이크, 패킷 길이, 흐름 패턴)로 이상 징후 탐지.
  • 장점: 개인정보 침해·법적 이슈 완화, 성능 부담 적음.

5) 현실적 제약과 한계

• 모든 환경을 복호화할 수는 없다
  • 기술적: Perfect Forward Secrecy(PFS), 일부 클라이언트의 PIN-pinned certs, DoH/DoT, QUIC(발전된 프로토콜) 등은 복호화 난이도↑.
  • 법적·프라이버시: 개인 사용자·BYOD 트래픽, 민감 데이터(의료·금융 등)는 복호화가 법적/윤리적 문제 유발.
  • 운영적: 인증서 배포·관리, 성능(암복호화 오버헤드), 로그 저장 비용.
• VPN, E2E 암호화(예: Signal): 경계에서 복호화 불가 → 엔드포인트/행동 기반 탐지 필요.

6) 위험(부작용)

• 프라이버시 침해·내부자 감시 논란
• 중간자 구성의 인증서 관리 실패 시 보안 약화(예: 잘못된 CA 배포)
• 성능 저하, 복호화 장비가 공격 대상이 될 수 있음

7) 운영·기술적 권장사항 (실무 팁)

1. 최소 권한·선택적 복호화: 민감 카테고리(의료·세무 등)는 제외하고, 고위험 트래픽(웹 다운로드, 첨부파일 등)만 복호화.
2. 엔드포인트 + 네트워크 결합: 엔드포인트 에이전트로 E2E·VPN 내부 활동을 보완.
3. 암호화 트래픽 분석(초기 필터링): SNI/JA3/패킷 메타로 우선 의심트래픽 선별 → 필요 시 복호화.
4. 정책·법무 검토: 개인정보·법적 요건(로그 보관, 통지 등) 사전 확인.
5. 고가용성 아키텍처: 복호화 장비 병렬화, 로드밸런싱, 성능 모니터링.
6. 위협 인텔·행위 기반 탐지: 서명 기반 + 행위(behavioral) 룰 병행.
7. VPN/내부 트래픽 모니터링 강화: 내부 세그멘테이션, NAC, 내부 DNS/SMB 모니터링.

1장: 네트워크 시작하기

네트워크

: 둘 이상의 Host 혹은 장비가 전송매체를 통해 연결되는 것

ISO OSI Reference Model (ISO OSI 7 Layers)

: ISO에서 개방형 네트워크에 대한 기준을 정의한 네트워크 모델

• OSI(Open System Interconnection)
• L1 물리 계층(Physical Layer)
  • 데이터 전송의 물리적 명세를 담당하는 계층
• Data Unit: bit, signal
• 장비: Hub, Repeater

• L2 데이터 링크 계층(Data Link Layer)
  • 프레임을 인접 노드까지 전달하는 책임을 지는 계층
• Data Unit: Frame
• 장비: Bridge, Switch
• 주소: MAC
  • 48bit 길이의 주소로 전세계에서 유일한 하드웨어 주소
  • 0c:e4:41:da:90:55
  • 0c:e4:41 → OUI, Vendor ID
  • da:90:55 → Serial Number
  • 각 3 Bytes 길이로 구성
  • 참조 키워드: IEEE OUI
• Protocol: Ethernet 
  • 1970년대에 개발된 물리 네트워크 프로토콜로 LAN, WAN에 널리 사용되는 프로토콜
  • Preamble
    • 프레임의 본 데이터 전송 전에 데이터 전송을 알리기 위한 7 Bytes 필드/신호 (10101010 × 7)
  • Start Frame Delimiter(Start of Frame)
    • Ethernet Frame의 시작을 알리드 1 Byte 필드/신호(10101011)
  • Destination Address
    • 도착지 물리 주소
  • Source Address
    • 출발지 물리 주소
  • Type/Length
    • Ethernet Frame의 데이터 길이
  • Data
  • Frame Check Sequence(CRC)
    • Ethernet Frame 오류 검증을 위한 필드(Trailer)
  • MTU(Maximum Transmission Unit): 네트워크에서 전송 가능한 데이터의 최대 길이

• L3 네트워크 계층(Network Layer)
  • 종단 노드 간에 패킷을 전달하는 책임을 지는 계층
• Data Unit: 패킷(Packet)
• 장비: Router, L3 Switch
• 주소: 논리주소(IP)
• Protocol: IP(Internet Protocol)
  • IPv4
    • version: Version 정보
    • IHL(Header Length)
      • IP 헤더의 길이
      • Word 단위(4 Bytes)
      • 따라서 IP 헤더 최대 길이는 60 Bytes
    • Type of Service
      • QoS(Quality of Service)를 위한 필드
    • Total Length
      • IP 패킷의 전체 길이 필드
    • Identification
      • 개별 IP 패킷을 고유하게 식별하기 위한 2 Bytes 길이의 필드
    • IP Flags
      • x: Reserved
      • DF(Don’t Fragment)
        • DF가 0이면 IP 패킷에 대한 단편화 가능함
        • 1이면 불가능
      • MF(More Fragments)
        • MF가 0이면 단일 IP 패킷이거나 IP 패킷의 마지막 단편화 조각
        • 1이면 이후에 단편화 조각이 추가로 존재함
    • Fragment Offset
      • IP 패킷의 단편화 조각의 위치
      • 데이터가 순서대로 도착한다는 보장이 없기 때문에 필요함
    • TTL
      • IP 패킷의 수명을 나타내는 필드로 네트워크(Hop)를 거칠때마다 1씩 감소되며 0이 되는 경우 IP 패킷이 폐기됨
      • 이 또한 패킷이 도달할 목적지가 유실되는 등 패킷을 폐기해야 하는 경우가 발생하기 때문에 필요함
    • Protocol
      • IP 패킷의 상위 Protocol
    • Header Checksum
      • IP 헤더의 오류 검증을 위한 2 Bytes 길이의 필드
    • Source Address
      • 출발지 IP 주소(32bits)
    • Destination Address
      • 도착지 IP 주소(32bits)
  • IPv6

ICMP(Internet Control Message Protocol)

• 에러에 대한 처리를 지원하는 프로토콜
• ICMP 프로토콜의 주요 기능
  • Error Reporting
    • IP 패킷을 전송하는 과정에서 발생한 에러를 보고하는 기능
  • Query Message(정보 제공)
    • 정보 조회
• Type
  • ICMP 메시지의 종류
  • 중요 - 0(Echo Reply), 3(Destination Unreachable), 5(Redirect), 8(Echo), 11(Time Exceeded)
• Code
  • ICMP 메시지의 세부 상태
• Checksum
  • ICMP 헤더의 Checksum

- ARP(Address Resolution Protocol) : 논리 주소를 물리 주소로 변환하기 위한 프로토콜

• Hardware Type: 물리 주소를 제공하는 물리 네트워크 종류
• Protocol Type: 논리 주소를 제공하는 프로토콜 종류
• Hardware Address Length: 물리 주소의 길이
• Protocol Address Length: 논리 주소의 길이
• OP Code: ARP 메시지의 종류 지정
  • ARP Request: 1
  • ARP Reply: 2
• Sender Hardware Address: 송신자 물리 주소(MAC Address)
• Sender Protocol Address: 송신자 논리 주소(IP Address)
• Target Hardware Address: 대상 물리 주소(MAC Address)
• Target Protocol Address: 대상 논리 주소(IP Address)
• ARP Process

1. 보내고자 하는 Host에 대한 ARP Cache Table 조회
2. ARP Cache Table에 보내고자 하는 Host의 MAC 주소 정보가 없는 경우 ARP Request 메시지를 네트워크의 모든 Host로 전송(Broadcast)
3. ARP Request 메시지를 대상 Host가 수신한 경우 해당 Host가 ARP Request를 요청한 Host에 ARP Reply 메시지를 직접 전송(Unicast)
4. ARP Reply 메시지를 수신한 경우 ARP Cache Table에 저장한 후 해당 MAC 주소를 채워서 패킷/프레임을 전송

- 논리 주소와 물리 주소가 각각 존재하는 이유?

장비의 위치를 식별하는 아이디를 하는 역할을 하는 것이 IP. 어떤 네트워크에 속하는지를 포함 MAC 주소는 장비를 구분하기 위함

• L4 전송 계층(Transport Layer)
  • 데이터의 전송 방식을 결정하는 계층
  • 종단 노드에서 통신을 하는 프로세스 끼리의 논리적인 데이터 통신
• Data Unit: Segment/Datagram
• 장비: 방화벽(Firewall)
• Protocol: TCP, UDP
• 주소: Port Address

- TCP(Transmission Control Protocol)

• 신뢰성 있는 데이터 전송을 보장하는 전송 프로토콜
• TCP는 연결 지향형 프로토콜로 데이터 전송 전 세션 연결을 수립함
• TCP는 데이터 전송 시 에러에 대한 처리 기능이 존재함
  • 필요 시 데이터 재전송 등을 통해 에러 처리가 가능함
• Source Port
  • 출발지 포트
• Destination Port
  • 목적지 포트
• Sequence Number
  • TCP Segment의 순서 번호 (32bits)
• Acknowledgement Number
  • 상대방의 순서 번호 (32bits)
• Offset
  • TCP Segment의 데이터 시작 위치
• TCP Control Flags
  • TCP 연결의 상태를 관리하기 위한 필드로 세부 플래그로 구분됨
  • Urgent Flag
    • 긴급 데이터(Urgent Pointer) 사용 여부 플래그
    • 해당 플래그가 Set이 되는 경우 Urgent Pointer 부분을 처리함
  • Ack Flag
    • Acknowledgement Number 필드를 사용함
  • Push Flag
    • TCP에서 데이터를 포함하여 전송하는 경우 사용하는 플래그
  • Reset Flag
    • TCP Session 연결을 강제종료
  • Syn Flag
    • TCP Session 연결 동기화 및 시작을 위한 플래그
  • Fin Flag
    • TCP Session 연결을 정상 종료하기 위한 플래그
• Window Size
  • 수신 가능한 버퍼의 크기
• Checksum
  • TCP Header + TCP Data의 오류 여부를 검증하기 위한 필드
• Urgent Pinter
  • Urgent Flag 설정 시 TCP의 긴급 데이터의 마지막 Bytes를 나타내는 필드

참고: Client/Server 누구든 먼저 연결 종료 요청을 보낼 수 있음

Best Effort

• 프로토콜이 데이터가 정확하게 전달이 되도록 노력하지만 보장할 수 없음

Guarantee

• 정확하게 전달이 됐는지 확인하고 오류가 발생했다면 오류를 처리함
• TCP가 이에 해당함

- UDP(User Datagram Protocol)

• 전송 프로토콜 중 하나로 데이터의 빠른 전송에 초점을 맞춘 전송 프로토콜
• 신뢰성 있는 데이터 전송을 보장하지 않음
• 비 연결지향형 프로토콜
• 상대방이 보낸 응답을 확인하지 않아 네트워크에 부하를 주지 않음
• Source Port: 출발지 포트
• Destination Port: 목적지 포트
• Length: UDP Header + UDP Data의 길이
• Checksum: UDP Header + UDP Data에 대한 Checksum

• L5 세션 계층(Session Layer)
  • 세션을 관리(세션 수립, 유지, 종료)하는 계층
• L6 표현 계층(Presentation Layer)
  • 데이터의 표현 방식(데이터의 인코딩, 디코딩, 압축, 암호화 등)을 정의하는 계층
• L7 응용 계층(Application Layer)
  • OSI 참조 모델의 최상위 계층으로 애플리케이션 및 애플리케이션 프로토콜이 동작하는 계층
  • 애플리케이션 데이터를 직접 다룰 수 있는 계층
• 장비: L7 Switch
• Protocol: HTTP, FTP, SMTP, …
• 계층을 나눈 이유?
  • 네트워크 발전 및 개념 확장을 위해 여지를 남겨두는 의미
  • 각 계층이 인터페이스 역할

TCP/IP Protocol Suite

• Application
  • 애플리케이션 프로토콜을 지원하는 계층
  • OSI 7 Layers의 Session, Presentation, Application Layer의 기능을 통합함
  • FTP, SSH, TELNET, DNS, SNMP
• Transport
  • 호스트 간의 데이터 전송을 담당하는 계층
  • OSI 7 Layers의 Transport Layer(L4)의 역할과 유사함
  • TCP, UDP
• Internet
  • 네트워크의 패킷 전송을 제어하는 계층
  • OSI 7 Layers의 Network Layer(L3)의 역할과 유사함
  • ICMP, IP, ARP
• Network Access(=Network Interface)
  • 인접 노드 간의 데이터 전송을 담당하는 계층
  • OSI 7 Layers의 Data-Link Layer(L2)의 역할과 유사함
  • Ethernet

예시) 웹 브라우저(Host A)가 웹 서버(Host B)로 접속하는 상황

  L7 |요청 데이터 생성|                                L7 |수신된 데이터|
  L6 |L6 Header|--|                                L6 |~L6 Header~|--|
  L5 |L5 Header|--|                                L5 |~L5 Header~|--|
↓ L4 |L4 Header|--|                              ↑ L4 |~L4 Header~|--|
  L3 |L3 Header|--|                                L3 |~L3 Header~|--|
  L2 |L2 Header|--|Tail| (Frame)                   L2 |~L2 Header~|--|Tail| (Frame)
  L1 |     Signal      |          → bit →          L1 |     Signal      |
       Host A                                            Host B

• Encapsulation
  • 계층에서 처리하기 위한 데이터를 포함하여 상위 계층에서 하위 계층으로 전달하는 과정
  • 헤더
• Decapsulation
  • 데이터의 헤더 정보를 분석하여 해당 계층의 작업을 처리한 후 하위 계층에서 상위 계층으로 전달하는 과정
  • 헤더를 읽고 처리(벗겨짐)

2장: 네트워크 연결과 구성 요소

네트워크 분류

개념적 분류

• Internet
  • 전세계에 걸쳐서 구성된 네트워크
• Intranet
  • 조직 구성원만 사용할 수 있는 네트워크
• Extranet
  • Intranet이 확장된 개념으로 조직 내부 구성원 + 협업하는 외부 구성원이 접근 가능한 업무용 네트워크

규모에 따른 분류

• LAN(Local Area Network)
  • 한정된 지역 내에 구성되는 네트워크
• WAN(Wide Area Network)
  • LAN과 LAN 사이를 연결하는 네트워크로 수 km ~ 수천 km에 걸쳐 구성되는 네트워크
  • 일반적으로 ISP가 관리하는 네트워크
• MAN(Metropolitan Area Network)
  • 한 도시에 걸쳐서 구성되는 네트워크
• Campus Network
  • 한정된 지역 내의 여러 건물에 걸쳐 구성된 네트워크(대학교 캠퍼스, 기업 부지)

전용회선

• Dedicated Line
  • 특정 조직, 사용자가 독점적으로 사용하기 위해 구축된 회선
• Leased Line
  • ISP를 통해 네트워크로 연결되는 회선 일부를 임차하여 사용하는 회선

VPN(Virtual Private Network)

• 네트워크 사이에 논리적으로 Tunneling을 구성하고 암호화 기술을 적용하여 전용회선을 구축한 것과 유사한 효과를 거둘 수 있도록 기능을 제공하는 네트워크 기술
• VPN은 정해진 프로토콜이 없으며 다양한 방식으로 구현될 수 있음

전송매체

• Twisted Pair

케이블링 종류

• Straight Trough Cable(=Direct Cable)
  • 주로 Switch와 PC, Server 등을 연결할 때 사용
• Crossover Cable
  • 주로 같은 종류의 장비(Switch-Switch, Hub-Hub, PC-PC)를 연결할 때 사용

3장: 네트워크 통신하기

IP 주소

   192  .  168  .  0  .  1
|---------------------|----|
       Network ID     Host Id
       
Host Id = 0 : 네트워크 주소
Host Id = 255 : Broadcast 주소
=> 호스트에 할당 가능한 IP 주소 범위: 1 ~ 254

IP: 192.168.0.1
Subnet mask: 255.255.255.0
Prefix 표기법/CIDR 표기법: 192.168.0.1/24

Class

• IP 네트워크에서 네트워크 규모/목적별 구분하기 위한 단위(Class A ~ Class E)

Classful

• IP 네트워크를 Class 단위로 관리하는 IP 네트워크 관리 방식

Classless

• IP 네트워크를 Class 상관없이 IP 주소를 관리하는 IP 네트워크 관리 방식
• IP 네트워크에 대해 필요에 따라 Subnetting을 하여 IP 네트워크를 관리함

IP 주소 표기

• IP 주소 표기 시 네트워크 식별을 위해 IP 주소와 서브넷 마스크를 같이 표기해야 함
• 서브넷 마스크의 길이를 표기하는 표기법으로 간결하게 표기할 수 있음
  • Prefix 표기법
  • CIDR(Classless Inter Domain Routing) 표기법

Subnetting

<aside>

192.168.0.0/24

192.168.0000 0000.0000 0000

255.255.255.0

</aside>

<aside>

192.168.0.0**/25**

192.168.0000 0000.0000 0000

255.255.255.1000 0000

255.255.255.128

</aside>

서브네팅 예제1

다음 네트워크에 대해 네트워크를 4개로 서브네팅하시오.

네트워크 주소: 201.240.35.0

서브넷 마스크: 255.255.255.0

<aside>

201.240.35. 0/24

201.240.35.0000 0000

2^N ≥ 4

201.240.35.01 00 0000 ⇒ 201.240.35.64/26

201.240.35.00 00 0000 ⇒ 201.240.35.0/26

• 브로드캐스트 주소: 201.240.35.63
• Host에 할당 가능한 IP 주소 범위: 201.240.35.1 ~ 201.240.35.62
• 브로드캐스트 주소: 201.240.35.127
• Host에 할당 가능한 IP 주소 범위: 201.240.35.65 ~ 201.240.35.126

201.240.35.10 00 0000 ⇒ 201.240.35.128/26

• 브로드캐스트 주소: 201.240.35.191
• Host에 할당 가능한 IP 주소 범위: 201.240.35.129 ~ 201.240.35.190

201.240.35.11 00 0000 ⇒ 201.240.35.192/26

• 브로드캐스트 주소: 201.240.35.255
• Host에 할당 가능한 IP 주소 범위: 201.240.35.193 ~ 201.240.35.254

255.255.255.192

</aside>

서브네팅 예제2

아래 네트워크에 대해 아래의 장비를 수용할 수 있도록 네트워크를 서브네팅 하시오.

네트워크 주소: 201.240.35.0

서브넷 마스크: 255.255.255.0

• Network1: 20대
• Network2: 10대
• Network3: 25대

<aside>

2^H -2 ≥ 25

2^H ≥ 27

201.240.35.000 0 0000 ⇒ 201.240.35.0/27

• Host ID bit 길이: 5
• 브로드캐스트 주소: 201.240.35.31
• Host에 할당 가능한 IP 주소 범위: 201.240.35.1 ~ 201.240.35.30

201.240.35.001 0 0000 ⇒ 201.240.35.32/27

• 브로드캐스트 주소: 201.240.35.63
• Host에 할당 가능한 IP 주소 범위: 201.240.35.33 ~ 201.240.35.62

201.240.35.010 0 0000 ⇒ 201.240.35.64/27

• 브로드캐스트 주소: 201.240.35.63
• Host에 할당 가능한 IP 주소 범위: 201.240.35.65 ~ 201.240.35.94

201.240.35.011 0 0000 ⇒ 201.240.35.96/27

201.240.35.100 0 0000 ⇒ 201.240.35.128/27

201.240.35.101 0 0000 ⇒ 201.240.35.160/27

201.240.35.110 0 0000 ⇒ 201.240.35.192/27

201.240.35.111 0 0000 ⇒ 201.240.35.224/27

255.255.255.224

</aside>

서브네팅

• 전통적인 서브네팅
  • 동일한 네트워크 규모로 서브네팅
• VLSM(Variable Length Subnet Mask)
  • 필요한 네트워크 개수, 규모에 따라 가변적으로 네트워크를 서브네팅하는 기법

전송계층

Port

• 프로세스와 프로세스 사이에 데이터 통신을 하기 위한 논리적인 통로
• 하나의 포트는 동시에 하나의 프로세스만 사용 가능함

Port Number

• 포트를 구분하기 위한 논리적인 주소(번호)
• 0 ~ 65535 범위에서 사용할 수 있음

Well-Known Port(0~1023)

• 주로 네트워크 프로토콜에서 사용하기 위한 포트
• HTTP, SMTP, Telnet, FTP, SSH, SNMP

Registered Port(1024~49151)

• 주로 특정한 Application이 사용하기 위해 등록하는 포트

Dynamic Port(49152~65535)

• Client가 사용하기 위한 포트 범위로 매번 통신할 때마다 운영체제가 클라이언트 프로세스에 Dynamic Port 범위에서 랜덤한 포트 번호를 할당함

IANA(Internet Assigned Numbers Authority)

• IP, Domain, Port Number 할당을 관리하는 국제 기관

https://en.wikipedia.org/wiki/List_of_TCP_and_UDP_port_numbers

4장: 스위치: 2계층 장비

Topology

: 네트워크의 요소(링크, 노드 등)들을 물리적으로 연결한 상태 또는 연결 방식

Topology의 종류

• 버스(Bus)
• 링(Ring)
• 성형(Star)
  • 중앙 관리
  • 많이 사용되는 형태
  • 스위치 형태
• 트리(Tree)
  • 성형에 비해 안정적
• 그물형(Mesh)
  • 가장 안정적
  • Partial Mesh

Switch 장비 동작 5가지

• Mac Address Learning
• Flooding
• Forwarding
• Filtering
• Aging

Switch Port 모드

• Access Port
  • VLAN에 가입하여 해당 VLAN을 사용하는 포트
  • 일반적으로 Host가 연결되기 위한 포트
• Trunk Port
  • 여러 VLAN의 데이터를 통합해서 전송하기 위한 포트
  • Switch 간의 VLAN data 전달을 위한 포트

Cisco 네트워크 OS(IOS)

IOS 모드

• User Mode
  • IOS의 최초 진입 모드로 다른 네트워크 장비와의 통신 테스트, 원격 접속 같은 제한적인 작업만 가능한 모드
• Privileged Mode
  • 네트워크 장비의 현재 동작 상태, 설정 조회를 주로 수행하기 위한 모드
• Global Configuration Mode
  • 네트워크 장비에 전역적인 설정을 수행하기 위한 모드
  • Configuration Interface Mode
    • 네트워크 장비의 Interface의 설정을 수행하기 위한 모드
  • Configuration Line Mode
    • 네트워크 장비의 Line Interface(console, VTY 등)의 설정을 수행하기 위한 모드
  • Configuration Sub Interface Mode
    • 네트워크 장비의 Sub Interface의 설정을 수행하기 위한 모드
  • Configuration Router Mode
    • Router의 Routing Protocol 설정을 수행하기 위한 모드
  • Configuration VLAN Mode
    • Switch의 VLAN 설정을 수행하기 위한 모드

running-config

• 현재 실행중인 네트워크의 구성 정보

startup-config

• 네트워크 장비에 영구적으로 저장되는 구성 정보

Cisco 네트워크 장비 패스워드

• enable password
  • 장비에 전역적으로 적용되는 패스워드로 기본적으로 암호화 되지 않는 패스워드

  Switch(config)# > enable password [패스워드]
  

• enable secret
  • 장비에 전역적으로 적용되는 패스워드로 기본적으로 암호화 되는 패스워드
  • enable secret이 enable password보다 우선됨

  Switch(config)# > enable secret [패스워드]
  

장비 설정 영구 저장

Switch# copy running-config startup-config

장비 설정 초기화

Switch# erase startup-config
Switch# reload

Switch의 VLAN 설정 과정

1. VLAN 생성

Switch> enable
Switch# configure terminal
Switch(config)# vlan VLAN_번호
Switch(config-vlan)# name VLAN_설명
Switch(config-vlan)# exit

1. VLAN에 Port 가입

Switch> enable
Switch# configure terminal
Switch(config)# interface [INTERFACE_번호]
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan [VLAN_번호]
Switch(config-if)# exit

1. Inter-VLAN 통신을 위한 Router 설정

Router> enable
Router# configure terminal
Router(config)# interface fa0/0
Router(config-if)# ip address [IP_주소] [SUBNET_MASK]
Router(config-if)# no shutdown
Router(config-if)# exit

Switch VLAN Trunk Port 설정

Switch(config)# interface [INTERFACE_번호]
Switch(config)# switchport mode trunk
Switch(config)# exit

Router의 Trunk Port 설정

Router(config)# interface fa0/0
Router(config)# no shutdown
Router(config)# exit

(2) Sub Interface 설정 (VLAN 별)

Router(config)# interface fa0/0.[SUB_INTERFACE_NUM] 
# 보통 vlan 번호에 맞춤
Router(config-subif)# encapsulation dot1q [VLAN_번호]
Router(config-subif)# ip address [IP주소] [SUBNET_MASK]
Router(config-subif)# exit

STP

• Bridge ID
  • Bridge를 식별하기 위한 ID로 Bridge의 Priority + MAC Address로 구성됨
• Root Bridge
  • 토폴로지 상에서 Bridge 중 기준이 되는 Bridge로 Bridge ID가 가장 작은(우선순위가 가장 높은) Bridge
• Root Port
  • 각 Bridge에서 Root Bridge로 가기 위한 경로 중 가장 최적의 경로로 가기 위한 Port
• Designated Port : BPDU가 전달되는 Port
  • Bridge의 각 경로에서 Designated Port를 선출함
  • Root Port의 상대 Port인 경우 Designated Port로 선출됨
  • Root Port가 없는 경우 각각 Designated Port, Non-Designated Port로 선출됨
• Non-Designated Port
  • Root Port가 없는 경로에서 Designated Port로 선출되지 않은 Port
  • Non-Designated Port는 Port가 비활성화 됨

5장: 라우터/L3 스위치: 3계층 장비

동작 방식

1. 경로 지정 - 라우팅/스위칭

라우팅 종류

1. 다이렉트 커넥티드
   1. 직접 연결된 네트워크
2. 스태틱 라우팅(정적 라우팅)
   1. 관리자가 경로를 직접 설정
   2. 장점: 부하가 적음
   3. 단점: 잘못된 경로 설정(휴먼에러), 장애 발생 시 관리자에 의존적
3. 다이나믹 라우팅(동적 라우팅)
   1. 장점: 관리자에 덜 의존적
   2. 단점: 라우팅 프로토콜 동작 시 컴퓨팅 리소스
      • Routing Protocol을 통해 동적으로 Routing Table을 관리하는 방법

DCE(Data Communication Equipment)

• Serial 통신 구간에서 Clock을 제공하는 장비

DTE(Data Terminal Equipment)

• Serial 통신 구간에서 Clock을 제공받는 장비

Default Routing

• Routing Table에서 목적지에 대한 경로를 비교하는 기본 원칙은 Longest Prefix Match
• Stub Network의 경우 접근하고자 하는 모든 외부 네트워크에 대한 Routing Table 구성은 현실적으로 어려움
• 다른 모든 Routing 경로에 해당하지 않는 경우 패킷을 전달하는 경로를 Default Routing이라고 함

*관리거리(Administrative Distance)

• 다양한 출처를 통해 Routing 정보가 수집될 때 그 중 어느 출처를 통해 확인된 정보를 우선할지 결정하기 위한 값

Routing Protocol

• Routing 경로를 동적으로 관리하기 위해 Routing 정보를 수집, 계산하는 프로토콜
• IGP(Interior Gateway Protocol)
  • 하나의 AS 내에서 동작하는 라우팅 프로토콜
  • Distance Vector
    • 거리(Distance), 방향(Vector)을 중심으로 Routing Table을 관리하는 Routing Protocol
    • 대표 프로토콜: RIPv1(Classful), RIPv2(Classless), IGRP
  • Link State
    • 링크 상태 정보를 교환하는 Routing Protocol로 링크 상태의 변화에 따라 Routing Table을 관리하는 Routing Protocol
    • 대표 프로토콜: OSPF, IS-IS
  • Hybrid
    • Distance Vector와 Link State Routing Protocol의 장점을 활용하는 Routing Protocol
    • 대표 프로토콜: EIGRP
• EGP(Exterior Gateway Protocol)
  • AS와 AS의 사이에서 동작하는 라우팅 프로토콜
  • BGP(Border Gateway Protocol)

*Router Network

• AS(Autonomous System)
  • 하나의 관리 주제에 의해 관리되는 Router Network 단위로 하나의 네트워크 및 라우팅 관련 정책에 따라 관리되는 Router의 네트워크