윈도 서버 롱혼이 등장하면 과연 여기로 올라타야 할까? 우리는 마이크로소프트의 차세대 서버 OS를 본지 랩으로 불러와 우리 네트워크를 보다 잘 보호해 주겠다던 약속을 레드몬드가 과연 잘 지키고 있는지를 확인했다.

마이크로소프트는 보안에 있어서는 피뢰침 같은 업체다. 최근 마이크로소프트는 비스타 커널 접근 차단 조치를 두고 맥아피와 유럽연합 등으로부터 비난을 받았다.
레드몬드에게서 한 가지 밝은 부분은 윈도 커널을 처음부터 다시 구성한 윈도 롱혼 서버다. 롱혼은 관리 단순화와 성능 향상뿐만 아니라 보안 강화에 실질적인 중점을 두고 만들어졌다. 마이크로소프트의 차세대 서버가 실제로 기업에 얼마나 큰 변화를 가져다줄지 알아보기 위해 우리는 이 코드의 베타 버전을 본지 시러큐스 대학 리얼월드 랩으로 가져와서 새로운 보안 특성들을 평가했다.
몇 주간의 테스트 끝에 우리는 깊은 감명을 받을 수 있었다. 마이크로소프트가 약속한 바 대로 롱혼은 셋업과 구성, OS 모듈성, 그리고 클라이언트 건강 탐지 부문뿐 아니라, 향상된 방화벽과 새로운 IP 스택 등에서 보안을 대폭 개선했다.
보다 작은 부분으로는 마이크로소프트 제품에서 과거에는 볼 수 없었던 세부적인 보안 기능에 신경을 썼음을 알 수 있을 것이다. 예를 들어 눈치채지 못할 만큼 작은 최고의 특성으로 초기 구성 작업 마법사가 실행되는 동안에 서버가 네트워크를 통해 액세스되지 못하는 특성이 있다. 이런 식의 접근은 아주 좋은 징조다. 보다 덩치가 큰 것으로, 롱혼은 마이크로소프트의 NAP(Network Access Protection) 기술을 통합시킴으로써 원격 액세스 접속용의 보호 수단을 추가했다.
불행히도 롱혼에서 최고의 기술적인 혁신이라고 하는 NAP를 사용하려면 기존 데스크톱에서 변경이 필요하다. 최소한 롱혼 서버의 이점을 완전히 활용하기 위해서는 기존의 XP 설치기반을 업그레이드하거나, 비스타로 마이그레이션을 해야 한다. 이는 대부분의 조직, 특히 클라이언트 OS가 혼합된 조직에서는 받아들이기 힘들 것이다. 물론 이는 비스타의 존재가 그다지 큰 매력이 없다는 가정에서다.
게다가 IT는 교육에도 투자를 해야 한다. NAP가 만들어내는 경보를 감안할 때, 네트워크에서의 강력한 제한으로 더 많은 사용자가 치료 활동을 수행할 것이기 때문에, 관리자들은 머리를 쥐어뜯게 될 위험이 많다.

3종 보호 세트
NAP 덕분에 롱혼은 서버 2003의 NAQC(Network Access Quarantine Control)의 수준을 너머 VPN, DHCP 및 IPSec 기반의 모든 통신을 보호해준다. NAQC의 경우는 원격 액세스 접속에만 추가 보호를 제공했다.
간단히 말하자면 NAP는 불량 클라이언트로부터 기업을 보호하는 데 필요한 세 가지 기능을 제공한다. 우선 네트워크 제한(network restriction)은 회사의 보안 정책을 준수하는 클라이언트만 액세스를 할 수 있게 제한한다. 불량 클라이언트는 이후의 치료(remediation)를 위해 검역(quarantine)이 된다. NAP는 또한 IT에게 필요한 패치, 기존의 안티바이러스 서명, 그리고 적절한 방화벽 구성 설정 등을 위한 네트워크 정책 검증(validation)을 제공한다.
마지막으로 NAP는 클라이언트를 치료할 수 있는 방법을 갖고 있다. 클라이언트가 건강 점검 정책에 실패할 경우 관리자가 접합성 수준에 따라 이들을 자동으로 업데이트할 수 있는 NAP에서는 마이크로소프트 SMS(System Manage ment Server) 같은 클라이언트 관리 소프트웨어를 필요로 한다. 일부 네트워크 자원으로의 비적합 클라이언트 액세스를 허용하면서, 관리자가 나중에 적합성 수준을 치료할 수 있게 허용해주는 모니터링 전용 구성도 또한 지원된다.
NAP가 작동하려면 종단지점에서는 NAP 클라이언트 에이전트가 필요한데, 이것은 비스타와 롱혼에 포함돼 있으며 XP용은 현재 베타 테스트 중이다. 이 프로세스는 NAP 서버에서 약간 더 복잡하며, 여기서는 NAP 관리 서버(Admini stration Server), 시스템 건강 검증자(System Health Validator), 건강 정책(Health Policy), 건강 인증 서버(Health Certificate Server), 치료 서버(Remidiation Ser ver) 및 정책 서버(Policy Server)가 돌아가고 있어야 한다.
좋은 소식은 NAP에 과대광고가 거의 없다는 것이다. 두 개의 롱혼 서버로 구성된 테스트 네트워크에서 우리는 윈도 방화벽이 시행되고 있는 클라이언트로만 VPN 액세스를 제한하는 권한부여 정책을 구성할 수 있었다. 우리의 권한부여 정책에 적합지 못한 클라이언트는 제한 액세스 치료 서버에 있는 웹 페이지로 보내졌으며, 이 곳에서는 사용자에게 접속이 실패했음을 통보하고, 정책에 따를 수 있는 방법에 대한 정보를 제공했다. 이 경우에는 데스크톱 방화벽을 가동시키면 됐다.

고급 보안
데이터 보안 세상에서 지금은 그 포커스가 종단지점에 맞춰져 있지만, 여전히 방어의 최전선은 네트워크 기반 방화벽이다. 이를 위해 마이크로소프트는 롱혼의 새로운 윈도 방화벽에서 서버 2003 SP1에서 발표한 인바운드 전용 방화벽을 기반으로 했다. 이번 테스트 결과 윈도 방화벽은 수많은 보안 기능 개선을 자랑했지만, 위압적인, 그리고 가끔씩 중복되는 인터페이스가 답답해 보였다.
고급 보안에서는 프로파일 기반 관리, 송수신 트래픽 필터링 지원, 관리용의 새로운 MMC(Microsoft Management Console) 스냅인(snap-in), 그리고 하나의 공통 인터페이스에 통합된 IPSec 관리 및 방화벽 필터링 등의 방화벽 인핸스먼트가 제공된다.
송수신 트래픽 필터링은 편리한 새로운 특성이다. 구성된 규정에 부합되거나, 혹은 네트워크 안에 있는 컴퓨터의 요청에 대한 응답이 아닌 한 모든 수신 트래픽은 디폴트로 차단이 된다. 이러한 방화벽 행동은 좋은 시작이며, 웜과 일부 바이러스를 막는 데 유용할 것이다. 우리 테스트에서는 소스 및 목적지 IP 어드레스, 액티브 디렉토리 계정 및 그룹, 소스 및 목적지 TCP 및 UDP 포트, ICMP 및 코드와 유형별 ICMP 포 IPv6 트래픽, 그리고 서비스 등과 같은 일상적인 필드용으로 규정을 구성할 수 있었다.
프로파일 기반 관리는 특히 보안 장비 구성 작업을 단순화하는 데 도움이 됐다. 관리자에게는 도메인, 전용 및 공용 등 세 가지 기본 프로파일이 제시되며, 각각은 서로 다른 종류의 네트워크에서 사용이 된다. 도메인은 클라이언트가 클라이언트 도메인의 도메인 컨트롤러를 포함하고 있는 네트워크로 접속할 때 그 행동을 지정하는 데 사용된다. 전용 프로파일은 가정이나 중소기업 네트워크에서처럼, 라우터 뒤에 배치된 네트워크로 접속하는 클라이언트용이다. 그리고 공용은 인터넷으로 직접 접속하는 클라이언트용이다.
프로파일에는 디폴트 송수신 규정이 포함돼 있다. 인터페이스가 위협적이고 처음 사용하는 사람들을 놀라게 할 수도 있겠지만, 마이크로소프트는 관리 인터페이스에 시작하기 섹션을 포함시켜 방화벽 구성 셋업을 간편하게 했다.

IPSec 통합 규정
도청과 데이터 변경(data tampering)을 방지하기 위해 마이크로소프트는 롱혼에 IPSec을 내장시켰다. 그 이행은 완벽하게 잘 됐으며, 사용하기 편리한 구성 인터페이스를 포함하고 있다. 어떠한 IPSec 규정도 디폴트로 구성돼 있진 않지만, 마법사가 제공되기 때문에 다섯 가지 규정, 어떤 것이든 충분히 간편하게 만들 수 있다.
여기서 다섯 가지 규정이란 고립(isolation), 인증 면제(authentication exemption), 서버 투 서버(server-to-server), 터널(tunnel), 혹은 맞춤(custom)을 말한다. 고립 규정은 도메인 멤버십이나 건강 상태 등의 인증 범주를 기반으로 접속을 제한하는 데 사용된다. 인증 면제 규정은 IPSec 제한에서 개별 컴퓨터를 면제시키는 데 사용될 수 있다. 서버 투 서버 규정은 특정 종단 지점들간의 접속을 인증하며, 터널 규정은 게이트웨이 컴퓨터간 접속을 인증한다.
송수신 정책의 관리는 방화벽 관리(Firewall Management) 인터페이스를 이용해 쉽게 할 수 있었는데, 이 인터페이스는 정책에 대한 완전한 설명을 제공한다. 그리고 규정은 서비스와 네트워크 프로파일에 따라 그룹으로 묶여진다. 새로운 정책을 만들고자 할 때는 새 접속 보안 규정 마법사(New Connection Security Rule Wizard)가 프로그램이나 포트, 혹은 미리 지정된 서비스를 기반으로 하는 규정이나 맞춤식 규정을 만들 수 있는 옵션을 제공했다.
방화벽 구성에서 가장 큰 도전 가운데 하나는 적절한 사람에게 적절한 액세스를 허용하도록, 정확한 규정을 정의하도록 보장하는 것이다. 이 부문에서 롱혼은 훌륭하게 임무를 수행했다. 예를 들어 우리는 어떤 IT 조직에서든 상식적으로 알고 있을 것이라고 생각하는 규정, 즉 서버 콘솔에서 인터넷을 브라우징하지 못하게 하는 규정을 보장하도록 송신 규정을 구성했다. 우리 규정은 인터넷 익스플로러가 인터넷에 액세스하지 못하도록 간단히 차단을 했다. 이 규정을 그룹 폴리시에 포함시킬 경우, 브라우저는 조직 전체에서 제한이 될 것이다.
우리는 또한 보안되고/암호화되는 접속을 기반으로 원격 데스크톱으로의 액세스를 제한하는 수신 규정을 설정했다. 두 가지 규정 모두 기대대로 수행됐으며, 의도했던 트래픽을 차단했다. 마지막으로 우리는 IPSec 정책을 구성, 이것은 도메인 프로파일 안에 있는 테스트 서버와 통신하는 모든 컴퓨터가 액티브 디렉토리 도메인의 써티피케이트 오쏘리티(Certificate Authority)에서 발급된 컴퓨터 인증서(Computer Certificate)를 이용해 인증되도록 요구하는 것이었다.
이제 단점을 얘기할 때다. 마이크로소프트는 베타 버전에 두 가지 방화벽 인터페이스를 포함시켰다. 고급 보안이 지원되는 방화벽은 MMC 스냅인인 관리 툴(Administrative Tools) 숏컷, 그룹 폴리시 객체, 그리고 로컬 시큐리티 폴리시(Local Security Policy)를 통해 액세스가 가능하다.
우리는 제어판과 서버 관리자 인터페이스를 통해 액세스가 가능한 윈도 XP SP2 식의 방화벽 인터페이스가 추가로 왜 필요한지는 알 수가 없었다. 향후 롱혼 버전에서는 이 구식 방화벽 인터페이스는 제거되리라 예상된다. 나아가 새로운 방화벽은 로컬 시큐리티 폴리시 창을 통해 관리가 가능하지만 기존의 방화벽 규정은 화면에 나타나지 않았다.

TCP/IP 스택 오버홀
아마도 롱혼이 네트워크 레이어에 가져온 가장 큰 변화는 재설계된 TCP/IP 스택일 것이며, 이것은 설치를 간편화하고, 네트워크 성능을 향상시키며, 메모리 풋프린트를 줄여준다는 장점이 있다. 마이크로소프트가 차세대 TCP/IP 스택이라고 부르는 이 새로운 스택에는 IPv4와 IPv6용의 듀얼 레이어 IP 아키텍처뿐만 아니라, TCP/IP 설정의 향상된 오토튜닝 기능이 포함돼 있다.
듀얼 IP 레이어 아키텍처란 말은 곧 IPv4와 IPv6 이행이 공통의 전송 및 프레이밍 레이어를 공유한다는 의미다. 즉 더 이상 IPv6를 별도의 스택으로 설치할 필요가 없다는 얘기다. 사실 롱혼 IP 스택은 디폴트가 IPv6로 돼 있으며, 그렇다고 해서 우리 테스팅에서 IPv4 접속성에 문제가 있었던 것은 전혀 아니다. 하지만 이전 버전의 윈도 서버와 달리, IPv6는 OS에서 제거할 수가 없었다. 즉 IPv6를 배치하려는 의도가 없고, 이 기능을 중지시키고 싶은 조직에서는 레지스트리를 변경해야만 할 것이다. 다행히도 마이크로소프트는 필요한 레지스트리 편집에 대한 도움말을 제공했으며, IPv6 기능을 선택적으로 중지시킬 수 있게 허용했다.
새로운 롱혼 서버 TCP/IP 스택은 개별적인 접속에 따라 TCP 창 크기를 자동튜닝하도록 구성돼 있다. 마이크로소프트는 수신창(Receive Window) 자동튜닝이 TCP 창 크기를 16MB까지 지원한다고 주장했다. 이러한 자동튜닝 능력은 고속 네트워크 접속에서의 데이터 전송에서 효율성을 향상시켜 줄 것이다.
마이크로소프트는 또한 네이티브 TCP ‘침니(chimney)’ 오프로딩 개념을 도입했는데, 이것은 IP 기반 스토리지를 사용하거나, 10기가비트 이더넷을 채택할 회사들에게는 막대한 도움이 된다. TCP 침니 오프로딩 덕분에 롱혼은 네트워킹 작업을 네트워크 어댑터로 이동시킴으로써 네트워크 성능을 향상시킬 수 있게 됐다.

롱혼의 설치와 가동

이번 테스트에서 설치 시간은 약 45분 정도가 걸렸다. 롱혼을 설치하자 초기 구성 작업(Initial Configuration Tasks)라는 새로운 인터페이스가 나타났는데, 이를 통해 우리는 기본 셋업 작업의 세 가지 큰 서브섹션을 마칠 수 있었다.
첫 번째 섹션에는 관리자 암호 설정(필수), 네트워킹 설정 구성, 서버 이름 및 도메인 정보 설정이 포함됐다. 두 번째 섹션에서는 클라이언트 업데이트의 다운로드 및 설치와 함께 윈도 업데이트를 가동 및 구성했다. 마지막 섹션은 서버 규정과 OS 특성을 추가하고, 원격 데스크톱 액세스를 구성하고, 윈도 XP식의 방화벽 인터페이스를 가동시킬 수 있는 곳이다.

스토리지가 보는 롱혼

롱혼의 차세대 TCP/IP 스택은 어디서나 스토리지 관리자들에게는 환영받을 것이다. 특히 네이티브 TCP ‘침니’ 오프로딩은 오래전부터 약속된 것으로, IP 기반 스토리지를 사용한 침니(TCP) 오프로딩은 마이크로소프트와 알라크리테크(Alacritech)가 공동으로 개발했다. OS가 iSCSI 호스트 버스 어댑터 같은 가속화 장비로 TCP/IP 프로세싱을 넘김으로써 이런 일상적인 작업에 CPU 사이클이 낭비되지 않게 해준다.
이로써 전반적인 네트워크 성능도 향상되지만, iSER, iWarp, iSCSI 등과 같은 IP 기반 스토리지 프로토콜용의 전송 집약적인 작업에 대한 프로세서 오버헤드를 줄이는 데서 진정한 가치를 발휘한다. 10GigE로 말하자면, 1Gbps 이더넷을 통한 스토리지 전송은 프로세서 용량의 5% 만큼이나 사용돼며, 이는 곧 10기가에서의 전송은 프로세서 용량의 50%까지 차지할 수 있다는 뜻이다. 이것은 순전히 이 관점에서 하는 추측이지만, 스토리지 프로세싱에서의 오버헤드는 다섯 배만 늘어도 받아들이기 힘들다.
마찬가지로 스토리지와 보안 관점에서 모두 흥미를 끄는 것으로 마이크로소프트의 비트록커(BitLocker) 기술이 있는데, 이것은 USB 키 기반의 풀 디스크 데이터 암호화를 제공한다.
롱혼은 또한 가상화에 대한 준비를 갖추고 있다. 새로운 윈도 하이퍼바이저는 인텔 VT나 AMD-V 칩 보조 기술이 있는 프로세스를 사용하는 시스템에서 다중 가상 기계를 지원할 것이다. 마지막으로 기본 OS는 ‘코어 모드’로 작동할 수 있는데, 이 모드는 커널과 디바이스 지원을 통해 로-오버헤드 플랫폼을 제공하고, VM 자체에 최대한의 시스템 자원을 예비시킬 수 있도록 설계됐다. - 스티븐 힐

데이터넷