인터넷의 문앞을 장악한 에지 — 클라우드플레어의 BGP Anycast와 개방형 피어링

대형 글로벌 웹 서비스를 운영할 때 가장 큰 도전 과제는 ‘지리적 거리로 인한 네트워크 지연(Latency)‘과 ‘불시에 쏟아지는 거대한 DDoS 공격’입니다. 미국 버지니아에 위치한 오리진 서버 하나만으로는 서울이나 런던, 시드니의 사용자에게 50ms 미만의 빠른 응답을 줄 수 없으며, 500Gbps가 넘는 악의적 트래픽이 몰려오면 서버의 네트워크 인터페이스 카드(NIC)와 인입 스위치는 순식간에 포화됩니다.

전통적인 해결책은 전 세계에 캐시 서버를 분산 배치하는 CDN(Content Delivery Network)이나 통신사의 안티 디도스(Anti-DDoS) 장비를 경유하는 스크러빙 센터였습니다. 그러나 클라우드플레어(Cloudflare, AS13335) 는 이 문제를 소프트웨어적인 캐싱 기술이 아니라, 인터넷 라우팅 프로토콜의 밑바닥인 BGP Anycast(애니캐스트) 와 파격적인 개방형 피어링(Open Peering) 정책을 결합하여 인터넷의 물리적·경제적 지형 자체를 뒤흔들었습니다.

1. BGP Anycast: 전 세계 330개 도시를 하나의 IP로 묶다

전통적인 인터넷 라우팅 환경은 유니캐스트(Unicast) 입니다. 하나의 공인 IP 주소는 지구상에 존재하는 오직 한 대의 물리적 서버나 단일 로드밸런서에 바인딩됩니다. 서울에 있든 런던에 있든, 해당 IP로 보낸 패킷은 지구 반대편의 그 특정 장비로 날아갑니다.

반면 클라우드플레어는 전체 글로벌 인프라를 BGP Anycast 아키텍처로 설계했습니다.

flowchart TD
    Users["👥 <b>Global Internet Users</b><br/>(1.1.1.1 / 도메인 접속 요청)"]
    Anycast["🌐 <b>BGP Anycast Routing</b><br/>• 동일 IP 대역 전 세계 330+ 도시에 동시 광고<br/>• BGP 최단 AS-Path 기준 자동 라우팅"]

    subgraph EdgePoPs["⚡ Cloudflare Global Edge PoPs"]
        direction LR
        Seoul["🇰🇷 <b>Seoul PoP</b><br/>• Edge Cache<br/>• WAF / DDoS 분산 흡수<br/>• Workers"]
        Tokyo["🇯🇵 <b>Tokyo PoP</b><br/>• Edge Cache<br/>• WAF / DDoS 분산 흡수<br/>• Workers"]
        Frankfurt["🇩🇪 <b>Frankfurt PoP</b><br/>• Edge Cache<br/>• WAF / DDoS 분산 흡수<br/>• Workers"]
    end

    Origin["🏛️ <b>Origin Server</b><br/>(AWS / GCP / 온프레미스 DC)"]

    Users -->|"DNS 쿼리 / HTTP 요청"| Anycast
    Anycast -->|"최단 경로 (서울 인접)"| Seoul
    Anycast -->|"최단 경로 (도쿄 인접)"| Tokyo
    Anycast -->|"최단 경로 (유럽 인접)"| Frankfurt

    Seoul -->|"Cloudflare Tunnel / 백본"| Origin
    Tokyo -->|"Cloudflare Tunnel / 백본"| Origin
    Frankfurt -->|"Cloudflare Tunnel / 백본"| Origin
그림 1. BGP Anycast 라우팅 및 전 세계 에지 분산 흡수 아키텍처

1.1. Anycast의 패킷 흡수 원리

Anycast의 동작 원리는 단순하면서도 강력합니다:

  1. 클라우드플레어가 소유한 IP 대역(예: 공용 DNS 1.1.1.1이나 고객 웹사이트에 부여된 프록시 IP)을 전 세계 330개 이상의 도시, 수천 대의 엣지 라우터에서 동시에 똑같은 IP 프리픽스로 BGP 광고(Announce) 합니다.
  2. 서울의 사용자가 패킷을 쏘면, 사용자가 속한 통신사의 라우터는 BGP AS-Path가 가장 짧은 클라우드플레어 서울 PoP로 패킷을 라우팅합니다.
  3. 프랑크푸르트의 사용자가 동일한 IP로 패킷을 쏘면, 유럽 통신사의 라우터는 가장 가까운 클라우드플레어 프랑크푸르트 PoP로 패킷을 보냅니다.

사용자는 복잡한 지리적 DNS(GeoDNS) 질의를 거치지 않아도, 인터넷 라우팅 프로토콜(BGP) 자체의 최단 홉 규칙에 따라 물리적으로 가장 가까운 엣지 데이터센터로 즉시 빨려 들어갑니다.

1.2. 테라비트급 DDoS 공격의 분산 흡수 (Dispersion)

이 아키텍처는 거대한 DDoS 공격을 방어할 때 진가를 발휘합니다.

공격자가 전 세계의 감염된 봇넷(Botnet)을 동원해 특정 IP로 1Tbps 규모의 공격 패킷을 쏟아부어도, 그 트래픽은 단일 데이터센터로 집중되지 않습니다. 공격에 동원된 좀비 PC들 역시 각자 자기 나라와 도시에서 가장 가까운 클라우드플레어 엣지 PoP로 분산 인입됩니다. 1Tbps의 공격이 300여 개 데이터센터로 잘게 쪼개져 흡수(Dispersion)되므로, 각 엣지 서버는 수 Gbps 수준의 통제 가능한 트래픽으로 이를 가볍게 필터링해 낼 수 있습니다.

2. Tier 1 통신사를 무력화시킨 ‘적극적 개방 피어링(Open Peering)’

클라우드플레어가 인터넷 생태계에 가한 가장 큰 충격은 기술적 Anycast를 넘어선 상호접속(Peering) 정책의 파괴적 혁신 이었습니다.

과거 Tier 1 글로벌 백본 통신사들은 높은 콧대를 유지하며 엄격한 트래픽 비율과 거액의 트랜짓(통행료) 요금을 요구했습니다. 그러나 클라우드플레어는 전 세계 거의 모든 IXP(DE-CIX, AMS-IX, LINX, Equinix IX, KINX 등)에 초고속 인터페이스로 입주한 뒤, 파격적인 개방형 피어링 정책(Open Peering Policy) 을 선언했습니다:

“어떤 ISP든 우리와 같은 IXP 스위치에 물려 있다면 100% 무료(Settlement-Free)로 피어링해 준다.”

flowchart TD
    U1["👤 <b>엔드 유저</b>"]
    ISP1["🏢 <b>로컬 ISP</b> (Tier 2/3)"]
    T1["🌐 <b>Tier 1 글로벌 백본</b><br/>• 고비용 IP 트랜짓 요금 청구<br/>• 해외 구간 및 병목 경유"]
    O1["🏛️ <b>오리진 서버</b>"]

    U1 --> ISP1
    ISP1 ==>|"유료 트랜짓 회선 ($$$)"| T1
    T1 --> O1
그림 2. 전통적인 경로 (고비용 Tier 1 트랜짓)
flowchart TD
    U2["👤 <b>엔드 유저</b>"]
    ISP2["🏢 <b>로컬 ISP</b> (Tier 2/3)"]
    CF["⚡ <b>Cloudflare (AS13335)</b><br/>• IXP 무료 피어링 (Settlement-Free)<br/>• 로컬 에지 캐시 및 보안 필터링"]
    O2["🏛️ <b>오리진 서버</b>"]

    U2 --> ISP2
    ISP2 ==>|"무료 직접 연동 (IXP Peering)"| CF
    CF --> O2
그림 3. 클라우드플레어 우회 경로 (무료 개방 피어링)

이 개방 정책의 파급력은 막대했습니다:

  1. 전 세계 중소 ISP(Tier 2/3)들은 자사 가입자들이 자주 찾는 수많은 웹사이트, API, 이미지 트래픽을 처리하기 위해 비싼 Tier 1 통신사 트랜짓 회선을 탈 필요가 없어졌습니다.
  2. 로컬 IXP 스위치에서 클라우드플레어(AS13335)와 직접 무료 피어링을 맺으면, 패킷이 Tier 1 백본을 거치지 않고 로컬에서 즉각 처리됩니다.
  3. 그 결과 Tier 1 ISP들의 주 수입원이었던 IP Transit 트래픽이 심각하게 우회(Bypass) 되었고, 전 세계 트랜짓 도매 단가가 급락하는 촉매제가 되었습니다.

3. 하이퍼스케일러에 대한 반격: 대역폭 연합과 R2

통신사의 트랜짓 과점을 무너뜨린 클라우드플레어는, 다음으로 빅테크 하이퍼스케일러들이 구축한 또 다른 통행료 장벽인 데이터 송출료(Egress Fee) 를 정조준했습니다.

  • Bandwidth Alliance(대역폭 연합) : AWS의 비싼 Egress 요금에 대항하기 위해 Oracle Cloud, Google Cloud, Microsoft Azure, DigitalOcean 등과 손을 잡았습니다. 이들 클라우드에서 클라우드플레어 네트워크로 나가는 상호 트래픽에 대해 데이터 전송료를 전액 면제하거나 대폭 할인해 주는 연합 전선을 결성했습니다.
  • Cloudflare R2 Storage : AWS S3와 완벽히 호환되는 오브젝트 스토리지 R2를 출시하며, 업계 최초로 “데이터 송출료(Egress Fee) 영원히 0원” 을 공식 선언했습니다.

클라우드플레어는 빅테크처럼 자체 해저케이블을 대규모로 소유하지는 않지만, 전 세계 인터넷 사용자의 문앞(Edge)을 가장 촘촘하게 장악함으로써 클라우드 공급자와 사용자 사이에서 트래픽을 중계하고 제어하는 ‘인터넷의 보편적 미들웨어(The Fabric of the Internet)‘ 로 자리매김했습니다.

4. 인프라 설계를 위한 엔지니어링 시사점

클라우드플레어의 에지 아키텍처는 현대 웹 시스템 설계에 중요한 교훈을 줍니다:

  • 오리진 서버의 은닉과 보안 : Anycast 엣지 프록시 뒤에 오리진 서버를 숨기면, 오리진의 실제 공인 IP를 인터넷에 노출하지 않고 Cloudflare Tunnel(Argo Tunnel)을 통해 아웃바운드 연결만으로 안전하게 트래픽을 수신할 수 있습니다.
  • 연산의 엣지 전진 배치 : 단순히 정적 자산(CSS/JS/이미지)을 캐싱하는 것을 넘어, Cloudflare Workers와 같은 엣지 컴퓨팅을 통해 사용자와 가장 가까운 위치에서 인증, 인가, A/B 테스팅, 요청 재작성을 처리함으로써 오리진 서버의 부하를 획기적으로 낮출 수 있습니다.

네트워크 프로토콜(BGP Anycast)과 전 세계 분산 거점(IXP)을 결합하여 전통적인 대역폭 비용 구조와 보안 취약점을 소프트웨어적으로 재정의한 클라우드플레어의 접근법은, 오늘날 분산 클라우드 아키텍처의 강력한 청사진을 제시합니다.

인터넷을 지탱하는 거인들