9장 IPv6는 주소가 긴 IPv4만은 아니다

IPv6 주소를 처음 보면 콜론과 영문자가 길게 늘어서 있어 낯설다. 128비트를 사용하므로 IPv4보다 훨씬 넓은 주소 공간을 갖는다. 그러나 변화는 길이에만 있지 않다. 주소 구성과 이웃 탐색, 자동 설정, 단편화 처리 등에서 차이가 있다. IPv4의 메뉴에 긴 주소를 끼워 넣는 방식으로 이해하면 중요한 부분을 놓친다.

IPv6 주소는 16비트씩 여덟 그룹으로 표시한다. 각 그룹의 앞쪽 0을 생략할 수 있고, 연속된 0 그룹을 한 번만 이중 콜론으로 줄일 수 있다. 두 번 줄이면 몇 개의 0을 복원해야 할지 모호해진다. 같은 주소가 여러 표기로 보일 수 있으므로 문자열 모양만으로 비교하기보다 주소로 해석하는 도구를 사용하는 편이 안전하다.

Documentation IPv6 example

Full form:
2001:0db8:0000:0000:0000:0000:0000:0042

Compressed form:
2001:db8::42

URL with an IPv6 literal:
https://[2001:db8::42]/

These are documentation examples, not live test targets.

한 장치에 주소가 여러 개

IPv6에서는 한 인터페이스에 여러 주소가 있는 것이 자연스럽다. 같은 링크 안에서 쓰는 링크 로컬 주소, 외부 통신에 쓰는 주소, 개인정보 보호를 고려해 바뀌는 임시 주소 등이 함께 있을 수 있다. 주소 목록이 길다는 이유만으로 설정이 꼬였다고 판단할 필요는 없다. 어떤 범위와 목적으로 쓰는 주소인지 구분해야 한다.

링크 로컬 주소는 보통 fe80::/10 범위에 속하며 라우터를 넘어 전달되는 일반적인 전역 주소가 아니다. 여러 인터페이스에 비슷한 링크 로컬 주소가 존재할 수 있으므로 인터페이스 범위를 함께 지정해야 하는 상황이 있다. 주소 뒤에 붙는 영역 식별자를 보더라도 낯선 포트 번호라고 혼동하지 말자. 같은 표기 안에 어떤 정보가 들어 있는지 먼저 확인한다.

IPv6의 이웃 탐색은 ICMPv6 메시지를 사용한다. 주소 대응을 알아내는 일뿐 아니라 라우터 탐색과 도달 가능성 확인 등 여러 기능에 관여한다. 따라서 ICMP라는 말만 보고 모두 차단하면 기본 통신이 깨질 수 있다. IPv4에서 들은 “핑을 막으면 안전하다”라는 조언을 IPv6 전체에 그대로 적용하는 것은 특히 위험하다. 필요한 제어 메시지와 불필요한 접근을 구분하는 정책이 필요하다.

자동 설정을 누가 알려 주는가

라우터 광고는 호스트가 접두사와 기본 라우터 같은 정보를 얻는 데 중요하다. SLAAC는 이 정보를 바탕으로 호스트가 주소를 구성하는 방식이고, DHCPv6는 주소 또는 다른 설정을 제공하는 데 쓰일 수 있다. 두 방식의 역할과 사용 조합은 환경에 따라 다르다. DHCPv6만 알면 IPv6의 기본 경로까지 모두 이해한 것이라고 생각하면 안 된다.

통상적인 IPv6 LAN 설계에서는 /64 접두사가 널리 사용된다. IPv4에서 주소를 아끼기 위해 작은 서브넷으로 세밀하게 나누던 감각을 그대로 가져와 임의의 길이를 선택하기 전에 자동 설정과 장비 지원 조건을 확인해야 한다. 넓은 주소 공간은 관리가 필요 없다는 뜻이 아니라 다른 기준으로 설계할 여유가 생겼다는 뜻이다.

IPv6에서는 중간 라우터가 IPv4처럼 패킷을 단편화하지 않는다. 송신 쪽은 경로의 크기 제한을 고려해야 하며, 필요한 경우 출발지에서 단편화를 수행한다. 경로 MTU 탐색에 필요한 메시지가 막히면 연결이 일부만 되는 기묘한 현상이 나타날 수 있다. 보안 규칙을 바꾼 뒤 작은 페이지는 되는데 큰 전송이 안 된다면 이런 제어 경로도 확인한다.

두 주소 체계가 함께 있을 때

듀얼 스택 환경은 IPv4와 IPv6를 함께 사용한다. 도메인에 A와 AAAA 레코드가 있고 양쪽 경로의 품질이 다를 수 있다. 어떤 장치는 잘 열리는데 다른 장치에서는 처음 몇 초가 유난히 느린 이유가 주소 체계 선택과 연결 시도에 있을 수 있다. 브라우저와 운영체제는 연결을 빠르게 성립시키기 위한 알고리즘을 사용하지만 모든 문제를 감춰 주지는 못한다.

이럴 때 IPv6를 무조건 끄는 조언은 문제를 잠시 우회할 수 있어도 무엇이 잘못됐는지 설명하지 못한다. DNS가 올바른 주소를 반환하는지, IPv6 기본 경로가 있는지, 방화벽과 서버가 양쪽을 지원하는지 나누어 본다. 우회가 필요하다면 적용 범위와 복구 계획을 기록한다. 영구적인 해결과 임시 회피는 같은 표에 다른 칸으로 적어야 한다.

IPv6 주소가 공개적으로 도달 가능한 범위에 있다고 해서 모든 연결을 허용해야 하는 것은 아니다. NAT의 유무와 방화벽의 유무는 다르다. 외부에서 시작되는 연결을 차단하고 필요한 서비스만 허용하는 정책은 IPv6에서도 중요하다. 보안 설계를 주소를 숨기는 방법 하나에 맡기지 말고, 인증과 접근 제어, 업데이트와 관찰을 함께 구성하자.