왜 이 스택을 다시 완전히 정리하는가

쉽게 말하면: 네트워크 보안 공격·솔루션의 이름은 전부 “몇 계층에서, 어떤 필드를 노리는가”로 구분된다.

2과목(네트워크보안)의 스캐닝(12편)·DoS(13편)·방화벽과 IDS/IPS(15편)는 전부 “패킷의 어느 부분을 보거나 조작하는가”로 서로 구분된다. 예를 들어 SYN 플러드 공격(13편)은 TCP 헤더의 플래그 필드를, ARP 스푸핑(12편)은 데이터링크 계층의 주소 매핑을, 방화벽 규칙(15편)은 IP 주소·포트 조합을 대상으로 한다. 이 구분을 정확히 이해하려면 계층 구조와 각 계층의 헤더 필드를 숫자 단위로 알아야 한다. 이 편은 그 기초를 손 계산과 실제 명령어 출력으로 완성한다.

OSI 7계층과 TCP/IP 4계층

쉽게 말하면: OSI는 이론 교과서의 7단 서랍장이고, TCP/IP는 실제 인터넷이 쓰는 4단 서랍장이다. 같은 짐을 다르게 나눠 담았을 뿐이다.

각 계층을 통과할 때마다 이전 계층의 데이터 전체를 그대로 감싸면서 자기 계층의 헤더를 덧붙이는 것을 캡슐화(encapsulation)라 하고, 반대로 도착지에서 헤더를 하나씩 벗겨내는 것을 역캡슐화(decapsulation)라 한다.

IPv4 주소 구조와 서브넷팅

IPv4 주소와 CIDR 표기

쉽게 말하면: IPv4 주소는 32개의 스위치(0 또는 1)를 8개씩 묶어 사람이 읽기 좋게 점으로 나눈 것이다.

IPv4(Internet Protocol version 4) 주소는 32비트 숫자를 8비트씩 4묶음(옥텟, octet)으로 나눠 점으로 구분한 10진수로 표기한다(예: 192.168.1.10). 이 32비트 중 앞부분은 네트워크를 식별하는 네트워크 비트, 뒷부분은 그 네트워크 안의 장비를 식별하는 호스트 비트로 나뉜다. 이 경계를 표시하는 방법이 CIDR(Classless Inter-Domain Routing) 표기법으로, 주소 뒤에 /24처럼 네트워크 비트 수를 적는다. 192.168.1.10/24는 앞 24비트(192.168.1)가 네트워크, 나머지 8비트가 호스트라는 뜻이다.

한 네트워크 안에서 사용 가능한 호스트 수는 호스트 비트 수 $n$에 대해 $2^n - 2$개다(전체 조합에서 네트워크 주소와 브로드캐스트 주소 2개를 제외하기 때문이다).

서브넷팅 실습: 하나의 네트워크를 4등분하기

쉽게 말하면: 큰 방 하나를 칸막이로 4등분하려면, 호스트 비트 중 몇 개를 칸막이(네트워크 비트)로 빌려오면 된다.

192.168.1.0/24 네트워크를 크기가 같은 4개의 서브넷으로 나눠 본다.

VLSM: 부서마다 필요한 호스트 수가 다를 때

쉽게 말하면: 모두 똑같은 크기로 나누면 주소가 낭비되니, 필요한 만큼만 정확히 잘라 준다.

VLSM(Variable Length Subnet Mask, 가변길이 서브넷 마스크)은 한 네트워크 대역 안에서 서브넷마다 서로 다른 크기의 마스크를 적용하는 기법이다. 192.168.1.0/24 대역을 영업팀(100대)·개발팀(50대)·인사팀(20대)·라우터 간 연결(2대) 넷으로 나눠 본다. 큰 요구부터 먼저 배정하는 것이 VLSM 계산의 기본 순서다.

IPv6 주소 구조

쉽게 말하면: IPv4가 32비트로 부족해지자, 128비트로 늘리고 16진수·콜론으로 표기 방식도 바꿨다.

IPv6(Internet Protocol version 6)은 128비트 주소를 16비트씩 8묶음(헥스텟, hextet)으로 나눠 콜론(:)으로 구분한 16진수로 표기한다.

2001:0db8:85a3:0000:0000:8a2e:0370:7334

표기를 줄이는 두 가지 규칙이 있다.

• 각 묶음의 앞자리 0은 생략할 수 있다: 0db8 → db8, 0000 → 0.
• 연속된 0 묶음은 주소 전체에서 단 한 번만 ::로 축약할 수 있다.

위 주소를 줄이면 다음과 같다.

2001:db8:85a3::8a2e:370:7334

IPv6도 IPv4의 CIDR처럼 /64같은 접두사 길이 표기를 쓰며, 실무에서는 보통 앞 64비트를 네트워크 식별에, 뒤 64비트를 호스트 식별에 사용한다.

TCP·UDP·ICMP: 전송·제어 계층의 헤더

TCP 헤더와 플래그

쉽게 말하면: TCP는 “받았다”, “순서가 맞다”, “끝났다” 같은 확인 절차를 헤더 안의 여러 필드로 주고받는다.

TCP(Transmission Control Protocol)는 헤더에 다음 필드를 담아 신뢰성 있는 순서 보장 전송을 구현한다.

플래그 6개는 각각 독립된 1비트 신호로, 여러 개가 동시에 1로 설정될 수 있다.

3-way handshake: 연결이 시작되는 세 단계

쉽게 말하면: “시작할게(SYN)” → “알겠고 나도 시작할게(SYN+ACK)” → “확인(ACK)” 세 마디로 연결이 열린다.

• 1단계: 클라이언트가 자신의 초기 순서 번호(ISN, Initial Sequence Number) 100과 함께 SYN을 보낸다.
• 2단계: 서버는 자신의 ISN 300을 담은 SYN과, 클라이언트의 순서 번호를 잘 받았다는 뜻으로 ack=101(받은 순서 번호 + 1)을 함께 보낸다.
• 3단계: 클라이언트는 서버의 순서 번호를 확인했다는 뜻으로 ack=301을 보내며 연결이 성립된다.

연결 종료는 시작보다 한 단계 더 필요한 4-way termination으로 이뤄진다. 종료를 원하는 쪽이 FIN을 보내면 상대는 먼저 ACK만 보내 받았음을 알리고(자신이 보낼 데이터가 남아 있을 수 있으므로), 자신도 준비가 끝나면 별도로 FIN을 보내 상대의 마지막 ACK을 받아야 완전히 닫힌다.

UDP: 확인 절차를 생략한 전송

쉽게 말하면: UDP는 확인 응답도, 순서 보장도 없이 그냥 보내기만 한다. 대신 빠르다.

UDP(User Datagram Protocol)는 연결 설정 절차(3-way handshake) 없이 곧바로 데이터를 보내며, 헤더도 8바이트로 훨씬 단순하다.

ICMP: 상태를 알려주는 전령

ICMP(Internet Control Message Protocol)는 데이터 전달 자체가 아니라 네트워크 상태를 알리는 데 쓰인다. ping 명령이 사용하는 프로토콜이 ICMP다.

traceroute(윈도우는 tracert)는 TTL(Time To Live, 패킷이 통과할 수 있는 최대 홉 수)을 1부터 하나씩 늘려 가며 패킷을 보내, 각 구간의 라우터가 TTL 초과로 응답하는 ICMP Time Exceeded 메시지를 모아 경로 전체를 그려낸다.

포트(Port) 개념과 well-known 포트

쉽게 말하면: IP 주소가 건물 주소라면, 포트 번호는 그 건물 안의 호실 번호다.

포트는 16비트 숫자(0–65535)로, 하나의 IP 주소를 가진 장비 안에서 여러 응용 프로그램이 동시에 통신할 수 있게 구분해 준다. 범위에 따라 세 구간으로 나뉜다.

실무 명령어로 확인하기

$ ip addr show eth0
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP
    inet 192.168.1.10/24 brd 192.168.1.255 scope global eth0

inet 192.168.1.10/24처럼 CIDR 표기가 실제 명령 출력에도 그대로 쓰인다. 윈도우에서는 ipconfig가 같은 정보를 보여준다.

$ ping -c 3 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=113 time=11.2 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=113 time=10.8 ms

ttl=113은 상대방이 보낸 패킷이 여기까지 오는 동안 TTL이 얼마나 줄었는지를 보여 주며, 초기 TTL 값을 추정해 상대 운영체제 계열을 짐작하는 단서로도 쓰인다.

$ netstat -an | grep LISTEN
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN

LISTEN 상태는 그 포트에서 연결을 기다리고 있는 서비스가 있다는 뜻이다. 리눅스 최신 배포판에서는 같은 정보를 더 빠르게 보여주는 ss -tunlp 명령을 주로 쓴다. 이런 열린 포트 목록 확인은 10편(취약점 점검)과 12편(스캐닝 탐지)에서 “불필요하게 열린 포트가 있는가”를 판단하는 첫 단계로 다시 등장한다.

자주 틀리는 점

• CIDR의 /n을 호스트 비트 수로 착각: /n은 네트워크 비트 수다. 호스트 비트 수는 $32-n$이다.
• 서브넷팅에서 사용 가능 호스트 수 계산 시 −2를 빠뜨림: 네트워크 주소와 브로드캐스트 주소는 호스트로 쓸 수 없다.
• VLSM에서 작은 요구부터 배정: 반드시 요구 호스트 수가 큰 구역부터 먼저 배정해야 남는 공간을 연속으로 확보할 수 있다.
• IPv6의 ::를 여러 번 사용: 한 주소 안에서 ::는 단 한 번만 쓸 수 있다.
• SYN과 ACK을 서로 다른 세그먼트에만 나오는 것으로 오해: SYN+ACK처럼 두 플래그가 하나의 세그먼트에 동시에 설정될 수 있다.
• UDP를 신뢰성 없는 열등한 프로토콜로만 이해: UDP는 재전송·순서 보장이 없는 대신 지연이 적어, 실시간성이 중요한 DNS 조회·VoIP에는 오히려 UDP가 적합하다.

핵심 정리

• OSI 7계층과 TCP/IP 4계층은 같은 통신 과정을 다르게 나눈 것이며, 계층을 통과할 때마다 헤더가 덧붙는 캡슐화가 일어난다.
• IPv4 서브넷팅은 호스트 비트를 빌려 균등하게 나누고, VLSM은 부서별 요구 호스트 수에 맞춰 큰 것부터 순서대로 서로 다른 크기로 배정한다. 사용 가능 호스트 수는 $2^n-2$다.
• IPv6은 128비트를 16진수 8묶음으로 표기하며, 앞자리 0 생략과 연속 0 묶음의 :: 축약(한 번만)으로 길이를 줄인다.
• TCP는 순서 번호·확인 응답 번호·플래그(SYN·ACK·FIN·RST·PSH·URG)로 신뢰성을 보장하며 3-way handshake로 연결을 시작하고, UDP는 이런 절차 없이 8바이트 헤더로 빠르게 전송한다.
• 포트는 0–1023(well-known)·1024–49151(registered)·49152–65535(dynamic) 세 구간으로 나뉘며, 실제 열린 포트는 netstat·ss 명령으로 확인한다.

마무리 복습

참고 자료

• RFC 791 - Internet Protocol 
• RFC 9293 - Transmission Control Protocol(TCP) 
• IANA - Service Names and Transport Protocol Port Numbers