Cloudflare

196 개의 포스트

blog.cloudflare.com

태그로 필터

cloudflare원문

에이전트를 위한 마크 (새 탭에서 열림)

웹 콘텐츠 소비의 주체가 인간에서 AI 에이전트로 이동함에 따라, 복잡한 HTML 대신 AI가 이해하기 쉬운 구조화된 데이터를 제공하는 것이 기업의 필수 과제가 되었습니다. 클라우드플레어(Cloudflare)는 이러한 변화에 발맞춰 기존의 HTML 페이지를 실시간으로 마크다운(Markdown)으로 변환해 주는 'Markdown for Agents' 기능을 출시했습니다. 이 서비스는 토큰 사용량을 획기적으로 줄여 AI 처리 효율을 높이고, 콘텐츠 제작자가 자신의 데이터가 AI 모델 학습 등에 어떻게 사용될지 제어할 수 있는 표준을 제시합니다. ### AI 최적화를 위한 마크다운의 효율성 * **토큰 절감:** HTML은 본문 내용 외에도 각종 `<div>` 태그, 네비게이션 바, 스크립트 등 무의미한 요소를 포함하고 있어 AI가 처리해야 할 토큰 양이 매우 많습니다. 마크다운으로 변환 시 HTML 대비 토큰 사용량을 약 80%까지 줄일 수 있어 비용 효율적입니다. * **의미적 명확성:** 마크다운은 구조가 명확하여 AI 에이전트가 별도의 복잡한 파싱 과정 없이도 콘텐츠의 핵심 정보를 정확하게 파악할 수 있도록 돕는 'AI 시스템의 공용어' 역할을 합니다. * **비용 및 복잡성 감소:** 기존에는 AI 파이프라인 내부에서 HTML을 마크다운으로 변환하는 추가 연산 과정이 필요했으나, 이를 네트워크 단에서 처리함으로써 전체적인 처리 속도를 높이고 복잡성을 제거합니다. ### 실시간 콘텐츠 협상 및 변환 기술 * **콘텐츠 협상(Content Negotiation):** 클라이언트는 HTTP 요청 헤더에 `Accept: text/markdown`을 포함하여 마크다운 형식을 요청할 수 있습니다. 클라우드플레어 네트워크는 이를 감지하여 원본 HTML을 즉석에서 마크다운으로 변환해 응답합니다. * **편리한 구현:** `curl` 명령어나 Cloudflare Workers의 TypeScript 코드를 통해 간단히 구현할 수 있으며, Claude Code나 OpenCode와 같은 주요 코딩 에이전트들은 이미 이러한 요청 방식을 채택하고 있습니다. * **토큰 정보 제공:** 응답 헤더에 `x-markdown-tokens`를 포함하여 변환된 문서의 예상 토큰 수를 전달합니다. 개발자는 이 값을 활용해 컨텍스트 윈도우 크기를 계산하거나 청킹(chunking) 전략을 세울 수 있습니다. ### 콘텐츠 시그널 정책을 통한 권한 제어 * **사용 권한 명시:** 변환된 응답에는 `Content-Signal: ai-train=yes, search=yes, ai-input=yes`와 같은 헤더가 포함됩니다. 이는 해당 콘텐츠가 AI 학습, 검색 결과 노출, 에이전트 입력값으로 사용될 수 있음을 명시적으로 허용하는 신호입니다. * **제어권 확보:** 향후 클라우드플레어는 비즈니스 요구에 맞춰 콘텐츠 제작자가 AI의 데이터 활용 범위를 세부적으로 정의할 수 있는 맞춤형 정책 설정 기능을 제공할 예정입니다. AI 에이전트가 웹을 탐색하는 주요 주체로 부상하는 시대에, 기업들은 단순한 SEO를 넘어 'AI를 위한 데이터 제공 최적화'를 고려해야 합니다. 클라우드플레어의 이번 기능을 통해 웹사이트 소유자는 별도의 인프라 변경 없이도 자신의 사이트를 AI 친화적인 환경으로 즉각 전환할 수 있으며, 이는 곧 AI 검색 및 에이전트 환경에서의 노출 경쟁력으로 이어질 것입니다.

cloudflare원문

2025년 4분기 DDoS 위협 보고서: 기록적인 31.4 Tbps 공격이 대규모 DDoS 공격의 한 해를 마무리하다 (새 탭에서 열림)

2025년 DDoS 공격은 전년 대비 121% 급증하며 총 4,710만 건에 달했고, 연말에는 31.4 Tbps라는 역대 최대 규모의 공격이 발생하며 위협의 정점을 찍었습니다. 특히 안드로이드 TV를 감염시킨 'Aisuru-Kimwolf' 봇넷의 출현으로 초당 수억 개의 요청을 보내는 하이퍼 볼류메트릭(Hyper-volumetric) 공격이 일상화되었으며, 통신 및 IT 인프라를 겨냥한 공격의 강도가 그 어느 때보다 강력해졌습니다. 클라우드플레어는 이러한 거대 공격들을 자율 방어 시스템을 통해 성공적으로 차단하며 진화하는 봇넷 위협에 대응하고 있습니다. ### 2025년 DDoS 공격의 급격한 양적 팽창 * 2025년 한 해 동안 발생한 DDoS 공격은 총 4,710만 건으로, 이는 2023년 대비 236%나 증가한 수치입니다. * 클라우드플레어는 매시간 평균 5,376건의 공격을 자동으로 완화했으며, 이 중 네트워크 계층 공격은 시간당 3,925건에 달했습니다. * 특히 네트워크 계층(Network-layer) 공격은 전년 대비 3배 이상 폭증하며 4분기 전체 공격의 78%를 차지하는 주된 위협으로 자리 잡았습니다. ### 'Aisuru-Kimwolf' 봇넷과 크리스마스 캠페인 * 2025년 12월 19일부터 시작된 "The Night Before Christmas" 캠페인은 클라우드플레어 인프라와 고객을 대상으로 초당 2억 건(200 Mrps)이 넘는 HTTP DDoS 공격을 퍼부었습니다. * 이 공격의 주체인 Aisuru-Kimwolf 봇넷은 전 세계적으로 100만~400만 대에 달하는 감염된 안드로이드 TV 기기들로 구성되어 있습니다. * 캠페인 기간 중 최대 9 Bpps(초당 패킷 수), 24 Tbps, 205 Mrps의 기록적인 수치가 관측되었으며, 이는 국가 전체의 통신 연결을 방해할 수 있는 파괴적인 수준입니다. ### 하이퍼 볼류메트릭 공격의 기록적 갱신 * 2025년 4분기 하이퍼 볼류메트릭 공격은 전 분기 대비 40% 증가했으며, 공격의 절대적인 규모는 2024년 말과 비교해 700% 이상 커졌습니다. * 특히 31.4 Tbps 규모의 역대 최대 공격이 발생했으나, 클라우드플레어의 자율 DDoS 방어 시스템이 단 35초 만에 이를 감지하고 자동으로 차단했습니다. * 이러한 거대 공격은 주로 통신사, ISP(인터넷 서비스 제공업체), 게이밍 산업 및 생성형 AI 서비스 기업들을 집중적으로 겨냥했습니다. ### 공격 대상 산업 및 지역의 변화 * **산업별:** 통신 서비스 산업이 정보 기술(IT) 서비스를 제치고 가장 많이 공격받은 산업 1위에 올랐으며, 도박 및 카지노, 게이밍 산업이 그 뒤를 이었습니다. * **지역별:** 중국이 여전히 가장 많은 공격을 받는 가운데, 홍콩이 12계단 상승해 2위를 기록했고 영국은 한 분기 만에 36계단이나 급등하며 6위로 부상했습니다. * 공격자들은 즉각적인 경제적 타격이 크거나 사회적 기반 시설 역할을 하는 지점을 전략적으로 선택하여 공격의 효과를 극대화하고 있습니다. 기업과 기관은 이제 단순한 트래픽 차단을 넘어, 수백만 대의 IoT 기기를 동원하는 초거대 규모의 하이퍼 볼류메트릭 공격에 대비해야 합니다. 특히 통신, 게이밍, AI 서비스와 같이 레이턴시에 민감한 산업군은 실시간 자동 완화 기능을 갖춘 클라우드 기반 보안 체계를 구축하여 예고 없이 찾아오는 대규모 공격에 상시 대응할 수 있는 능력을 갖추는 것이 필수적입니다.

cloudflare원문

R2 로컬 업로드로 글로벌 (새 탭에서 열림)

Cloudflare는 전 세계 어디에서나 R2 객체 스토리지의 업로드 성능을 극대화할 수 있는 'Local Uploads' 기능을 오픈 베타로 출시했습니다. 이 기능은 클라이언트와 가장 가까운 위치에 데이터를 먼저 기록한 뒤 버킷이 위치한 지역으로 비동기 복제하는 방식을 통해, 지리적 거리로 인한 업로드 지연 시간을 최대 75%까지 단축합니다. 특히 데이터의 즉각적인 접근성과 강력한 일관성을 유지하면서도 글로벌 서비스의 쓰기 성능을 획기적으로 개선한 것이 핵심입니다. ### 전 세계 업로드 성능의 비약적 향상 * **TTLB(Time to Last Byte) 감축**: 내부 테스트 결과, 클라이언트와 버킷의 지역이 다를 때 업로드 완료까지 걸리는 시간이 최대 75% 감소했습니다. * **성능 벤치마크**: 북미 서부에서 아시아 태평양 지역 버킷으로 5MB 크기의 객체를 업로드할 때, 기존 약 2초 소요되던 시간이 Local Uploads 적용 후 약 500ms 수준으로 단축되었습니다. * **글로벌 사용자 경험 최적화**: 전 세계에 분산된 사용자로부터 미디어 콘텐츠를 수집하거나 IoT 장치의 로그 및 텔레메트리 데이터를 전송받는 애플리케이션에 이상적입니다. ### 데이터 처리 메커니즘과 거리 문제 해결 * **기존 방식의 한계**: 기존에는 사용자가 어디에 있든 데이터가 버킷이 지정된 지역의 스토리지까지 물리적으로 이동해야 했으므로, 거리가 멀수록 대기 시간과 불안정성이 증가했습니다. * **로컬 우선 쓰기**: 클라이언트가 버킷과 다른 지역에 있을 경우, R2 게이트웨이는 데이터를 클라이언트 인근 스토리지 인프라에 즉시 기록하고 메타데이터만 버킷 지역에 게시합니다. * **즉각적인 가용성**: 로컬에 쓰기가 완료되는 즉시 객체에 접근할 수 있으며, 배경에서 복제 작업이 진행되는 중에도 데이터 읽기가 가능해 대기 시간이 전혀 없습니다. ### 아키텍처 및 내부 구현 기술 * **Cloudflare Queues 활용**: 복제 작업(Replication Task)을 비동기적으로 처리하기 위해 Cloudflare Queues를 도입했습니다. 이를 통해 실패 시 재시도 처리와 부하 조절(Rate limiting)을 효율적으로 관리합니다. * **원자적 작업 처리**: 메타데이터 저장 시 객체 메타데이터 저장, 보류 중인 복제 키 생성, 복제 작업 마커 생성을 원자적(Atomic)으로 수행하여 데이터 무결성을 보장합니다. * **구성 요소**: 인증과 라우팅을 담당하는 'R2 Gateway Worker', 메타데이터를 관리하는 'Durable Object Metadata Service', 그리고 실제 암호화된 데이터를 저장하는 분산 스토리지 인프라가 협업합니다. ### 사용 환경 및 권장 사항 * **적용 방법**: Cloudflare 대시보드 설정이나 Wrangler 명령(`npx wrangler r2 bucket local-uploads enable [BUCKET]`)을 통해 기존 버킷에서 즉시 활성화할 수 있습니다. * **제한 사항**: 데이터 주권 준수가 필요한 지역 제한(Jurisdiction restriction, 예: EU 전용) 버킷에서는 이 기능을 사용할 수 없습니다. * **활용 팁**: 대시보드의 R2 버킷 메트릭 페이지에서 '지역별 요청 분포'를 확인하여, 읽기/쓰기 요청이 전 세계적으로 분산되어 있다면 Local Uploads를 활성화하는 것이 성능 최적화에 큰 도움이 됩니다.

cloudflare원문

구글의 AI 우위: (새 탭에서 열림)

구글은 검색 시장의 독점적 지위를 이용해 검색 인덱싱용 크롤러로 생성형 AI를 위한 데이터를 함께 수집하며, 이는 발행자(Publisher)들에게 선택권 없는 데이터 제공을 강요하는 결과를 초래하고 있습니다. 영국의 경쟁시장청(CMA)은 구글을 '전략적 시장 지위(SMS)' 사업자로 지정하고 규제를 검토 중이나, 진정한 공정성을 확보하기 위해서는 검색용 크롤러와 AI 학습용 크롤러를 법적으로 분리해야 합니다. 이러한 크롤러 분리만이 발행자가 검색 노출은 유지하면서도 AI의 무단 데이터 사용을 거부할 수 있게 하여, 건강한 디지털 생태계와 공정한 AI 경쟁 환경을 조성할 수 있는 유일한 길입니다. ### 영국 CMA의 구글 시장 지배력 지정과 규제적 배경 * **디지털 시장 경쟁 체제 도입**: 영국은 2024년 디지털 시장, 경쟁 및 소비자법(DMCC)을 시행하며, 검색 및 검색 광고 분야에서 90% 이상의 점유율을 가진 구글을 '전략적 시장 지위(SMS)' 사업자로 지정했습니다. * **법적 구속력 있는 규제**: 이번 지정으로 인해 CMA는 구글의 AI 개요(AI Overviews) 및 AI 모드와 같은 검색 생태계 전반에 대해 법적 구속력이 있는 행동 요구사항을 부과할 수 있는 권한을 갖게 되었습니다. * **발행자 보호의 필요성**: CMA는 발행자들이 구글 검색의 시장 지배력 때문에 자신의 콘텐츠가 AI 서비스에 활용되는 것을 알고도 크롤링을 허용할 수밖에 없는 구조적 한계를 인식하기 시작했습니다. ### 발행자의 딜레마와 검색·AI 크롤링의 결합 문제 * **거부권의 부재**: 발행자들은 웹사이트 트래픽과 광고 수익의 핵심인 구글 검색 결과에서 제외되는 것을 감당할 수 없기에, 구글의 크롤러(Googlebot)를 차단하지 못하는 실정입니다. * **수익 모델의 붕괴**: 구글은 검색 크롤링을 통해 확보한 데이터를 AI Overviews 등에 활용하여 사용자에게 직접 답변을 제공하며, 이는 발행자 사이트로의 트래픽 유입을 급감시키고 광고 기반 비즈니스 모델을 위협합니다. * **불공정 경쟁 우위**: 구글은 검색봇을 통해 사실상 무료로 대규모 데이터를 확보하는 반면, 다른 AI 기업들은 발행자와 데이터 사용료를 협상해야 하는 불리한 위치에 놓여 시장 왜곡이 발생합니다. ### 클라우드플레어 데이터를 통해 본 구글의 압도적 우위 * **압도적인 크롤링 규모**: 클라우드플레어의 관측 데이터에 따르면, 구글봇은 GPTBot보다 약 1.76배, PerplexityBot보다는 무려 167배나 더 많은 고유 URL에 접근하고 있습니다. * **차단율의 현격한 차이**: 발행자들은 다른 AI 크롤러(ClaudeBot, GPTBot 등)는 적극적으로 차단하거나 robots.txt로 제한하는 반면, 검색 노출을 위해 구글봇에 대해서는 거의 차단을 설정하지 않습니다. * **네트워크 점유율**: 구글봇은 클라우드플레어 네트워크 내 관측된 고유 URL의 약 8%를 크롤링하고 있으며, 이는 다른 어떤 검색 엔진이나 AI 봇보다 월등히 높은 수치입니다. ### 크롤러 분리: 공정한 인터넷을 위한 실질적 대안 * **선택권의 보장**: 구글이 검색 인덱싱용 크롤러와 AI 학습/추론용 크롤러를 별도로 운영하도록 강제해야 합니다. 이를 통해 발행자는 검색 트래픽은 유지하면서 AI의 데이터 활용만 선택적으로 거부할 수 있습니다. * **데이터 시장의 정상화**: 크롤러가 분리되면 구글 또한 다른 AI 기업들과 마찬가지로 양질의 데이터를 확보하기 위해 발행자와 공정한 가치 산정 및 보상 협상에 임해야 할 유인이 생깁니다. * **기술적 규제 필요성**: 단순한 robots.txt 정책 준수를 넘어, 웹 응용 프로그램 방화벽(WAF) 등을 통해 발행자가 각 목적별 크롤러를 기술적으로 독립 제어할 수 있는 환경이 마련되어야 합니다. 구글의 검색 독점력이 AI 시장의 독점으로 전이되는 것을 막으려면, 규제 당국은 '검색 노출'을 볼모로 잡은 구글의 통합 크롤링 관행을 즉시 중단시켜야 합니다. 크롤러 분리는 발행자의 권익 보호와 더불어 AI 산업 전반의 공정한 경쟁을 가능케 하는 필수적인 안전장치입니다.

cloudflare원문

Cloudflare 플랫폼에서 수직적 마 (새 탭에서 열림)

Cloudflare는 단일 도메인 내에서 여러 독립적인 Cloudflare Workers를 특정 URL 경로에 매핑하여 팀별로 자율성을 보장하는 '버전별 마이크로프론트엔드(VMFE)' 템플릿을 발표했습니다. 이 방식은 기존의 수평적 마이크로프론트엔드와 달리 경로별로 전체 기술 스택을 분리함으로써, 팀이 프레임워크 선택부터 배포 파이프라인까지 독립적으로 제어할 수 있게 합니다. 결과적으로 사용자에게는 하나의 매끄러운 서비스로 보이지만, 내부적으로는 여러 팀이 서로의 간섭 없이 독립적으로 기능을 개발하고 배포할 수 있는 환경을 제공합니다. ### 수직적 마이크로프론트엔드(VMFE)의 정의와 이점 * **경로 기반의 독립성**: `/blog`, `/docs`, `/dash`와 같은 URL 경로별로 개별 Worker를 할당하며, 각 경로는 프레임워크, 라이브러리, CI/CD 파이프라인을 포함한 전체 스택을 독립적으로 소유합니다. * **기술 선택의 유연성**: 마케팅 페이지에는 Astro를 사용하고 대시보드에는 React를 사용하는 등, 서비스의 특성에 가장 적합한 도구를 팀별로 자유롭게 선택할 수 있습니다. * **배포 리스크 감소**: 모놀리식 구조에서 발생하던 '한 팀의 오류로 인한 전체 배포 중단' 문제를 해결하며, 특정 기능의 업데이트나 롤백이 다른 서비스에 영향을 주지 않습니다. ### URL 기반의 정교한 라우팅 구조 * **세분화된 관리**: 단순한 최상위 경로뿐만 아니라 `/dash/product-a`와 `/dash/product-b`처럼 세부 경로별로 다른 Worker를 매핑하여 대규모 애플리케이션 내의 개별 제품군을 독립적으로 관리할 수 있습니다. * **코드 공유 제로**: 각 경로는 서로 코드를 공유하지 않는 완전히 독립된 프로젝트로 운영되어 프로젝트 간의 의존성을 완벽히 차단합니다. * **실제 적용 사례**: Cloudflare는 이미 자사 대시보드에 이 전략을 적용하고 있으며, 사용자가 대시보드에서 ZeroTrust 제품으로 이동할 때 실제로는 별개의 프로젝트로 라우팅되도록 구현했습니다. ### 사용자 경험을 통합하는 기술적 전략 * **CSS View Transitions**: 서로 다른 Worker 간의 이동 시 발생하는 브라우저의 흰색 공백(interstitial loading state)을 방지하고, 내비게이션 바와 같은 공통 요소를 화면에 유지시켜 SPA(Single Page Application)와 같은 부드러운 전환 효과를 제공합니다. * **Speculation Rules API**: 사용자가 다음에 방문할 가능성이 높은 경로를 브라우저가 미리 사전 페치(prefetch)하거나 사전 렌더링하도록 설정하여, 멀티 페이지 아키텍처임에도 불구하고 즉각적인 페이지 로딩 속도를 구현합니다. * **시각적 일관성**: CSS의 `view-transition-name` 등을 활용하여 기술적인 구현 세부 사항(여러 개의 Worker 사용)을 사용자에게 노출하지 않고 단일한 애플리케이션 경험을 유지합니다. 독립적인 개발 속도와 일관된 사용자 경험이라는 두 마리 토끼를 잡고 싶은 성장하는 조직에게 이 VMFE 아키텍처는 매우 강력한 솔루션입니다. Cloudflare가 제공하는 새로운 Worker 템플릿과 최신 브라우저 API(View Transitions, Speculation Rules)를 결합하면, 기술적 복잡성을 관리하면서도 고성능의 웹 애플리케이션을 구축할 수 있습니다.

cloudflare원문

Moltworker를 소개 (새 탭에서 열림)

Cloudflare는 개인용 AI 에이전트인 Moltbot(현 OpenClaw)을 별도의 전용 하드웨어 없이 클라우드에서 구동할 수 있게 해주는 ‘Moltworker’를 공개했습니다. 이는 Cloudflare Workers의 향상된 Node.js 호환성과 샌드박스(Sandbox) 기술을 활용하여, 사용자가 Mac mini와 같은 물리적 장비를 직접 구매하고 관리해야 하는 번거로움을 해결합니다. 결과적으로 개발자는 Cloudflare의 글로벌 네트워크 위에서 안전하고 확장성 있는 개인 비서 시스템을 구축할 수 있습니다. **Cloudflare Workers의 진화와 Node.js 호환성** * 과거에는 외부 패키지를 실행하기 위해 API를 모킹(Mocking)하거나 memfs 같은 복잡한 라이브러리를 사용해야 했으나, 현재 Workers 런타임은 `node:fs` 등 주요 API를 네이티브로 지원합니다. * 내부 실험 결과, 가장 인기 있는 상위 1,000개 NPM 패키지 중 98.5%가 Workers 환경에서 수정 없이 작동할 정도로 호환성이 개선되었습니다. * 이러한 발전 덕분에 Playwright와 같은 복잡한 브라우저 자동화 프레임워크를 복잡한 설정 없이도 효율적으로 실행하고 유지보수할 수 있게 되었습니다. **Moltworker를 지탱하는 핵심 빌딩 블록** * **Sandboxes**: Cloudflare Containers 기술을 기반으로 하며, 격리된 환경에서 신뢰할 수 없는 코드를 안전하게 실행할 수 있는 SDK를 제공합니다. * **Browser Rendering**: 헤드리스 브라우저 인스턴스를 프로그래밍 방식으로 제어하여 AI 에이전트가 웹 사이트와 상호작용할 수 있도록 돕습니다. * **R2 Storage**: 에이전트의 영속적인 데이터 저장을 위해 객체 스토리지인 R2를 연동하여 상태를 유지합니다. * **AI Gateway**: Anthropic 등 다양한 AI 공급자와의 통신을 중계하며, 통합 빌링(Unified Billing)을 통해 개별 API 키 관리 없이도 서비스를 이용할 수 있게 합니다. **Moltworker의 아키텍처 및 보안 운영** * Moltworker는 진입점 역할을 하는 Worker가 API 라우터 및 프록시로 동작하며, 모든 접근은 Cloudflare Access를 통해 보안 인증을 거칩니다. * AI Gateway를 사용하면 환경 변수(`ANTHROPIC_BASE_URL`) 수정만으로 AI 모델을 연결할 수 있어 코드 변경이 불필요하며, 상세한 비용 분석과 로그 확인이 가능합니다. * 모델 오류가 발생할 경우를 대비한 폴백(Fallback) 설정이 가능하여, 특정 서비스 장애 시에도 에이전트의 안정성을 보장할 수 있습니다. 개인용 AI 에이전트를 운영하고 싶지만 로컬 서버의 소음, 전력 소비, 관리 부담이 걱정되는 사용자에게 Moltworker는 훌륭한 대안입니다. Cloudflare의 개발자 플랫폼을 활용하면 전용 하드웨어 없이도 강력한 성능과 높은 보안 수준을 갖춘 개인 맞춤형 AI 환경을 즉시 구축할 수 있습니다.

cloudflare원문

서버리스, 양자 내 (새 탭에서 열림)

전통적인 Matrix 홈서버는 데이터베이스, 캐싱, 리버스 프록시 등 복잡한 인프라 관리 부담이 크지만, 이를 Cloudflare Workers 기반의 서버리스 아키텍처로 전환함으로써 운영 부담을 획기적으로 줄일 수 있습니다. 이 방식은 사용량에 비례해 비용이 발생하여 유휴 상태에서는 비용이 거의 들지 않으며, 전 세계 엣지 노드에서 실행되어 낮은 지연 시간을 보장합니다. 특히 양자 내성 암호(PQC)를 기본 TLS 계층에 적용하여 미래의 보안 위협에 선제적으로 대응할 수 있는 고도의 보안성을 갖춘 것이 특징입니다. **서버리스 아키텍처로의 전환** - 기존 Python 기반의 Synapse 홈서버 구성을 TypeScript와 Hono 프레임워크를 사용하는 Cloudflare Workers 환경으로 재설계했습니다. - 데이터 저장소의 경우, PostgreSQL은 D1으로, Redis 캐싱은 KV로, 파일 시스템은 R2(Object Storage)로 각각 대체하여 서버리스 환경에 최적화했습니다. - 강력한 일관성과 원자성이 필요한 Matrix 상태 결정(State Resolution) 및 실시간 조율 로직은 Cloudflare Durable Objects를 활용해 해결했습니다. **운영 및 비용의 효율성** - 서버 프로비저닝, TLS 인증서 갱신, 로드 밸런싱 등의 복잡한 작업이 `wrangler deploy`라는 단일 명령어로 단순화되었습니다. - 고정 비용이 발생하는 VPS 방식과 달리, 실제 요청이 있을 때만 비용을 지불하는 구조를 통해 개인용 서버 운영 비용을 0에 가깝게 낮출 수 있습니다. - 전 세계 300개 이상의 지역에 분포된 엣지에서 코드가 실행되므로, 사용자의 위치와 상관없이 지연 시간이 최소화됩니다. **양자 내성 암호(PQC) 기반의 이중 보안** - Cloudflare의 하이브리드 양자 내성 키 합의 알고리즘(X25519MLKEM768)을 TLS 1.3 연결에 적용하여, 미래의 양자 컴퓨터 공격으로부터 데이터를 보호합니다. - 보안은 전송 계층(TLS)의 양자 내성 암호와 애플리케이션 계층(Megolm)의 종단간 암호화(E2EE)라는 이중 레이어로 구성됩니다. - 서버 운영자나 인프라 제공자는 메시지 메타데이터는 확인할 수 있지만, 메시지 본문은 발신자와 수신자의 기기에서만 복호화가 가능하므로 내용의 기밀성이 완벽하게 보장됩니다. **데이터 모델 및 저장소 설계** - **D1(SQL):** 사용자, 방, 이벤트, 장치 키 등 구조화된 데이터 모델링을 위해 25개 이상의 테이블을 운영하며 데이터의 영속성을 보장합니다. - **KV(Key-Value):** 세션 관리 및 캐싱 등 빠른 읽기 속도가 필요한 데이터를 처리합니다. - **R2:** 암호화된 미디어 파일 및 대용량 바이너리 데이터를 저장하는 오브젝트 스토리지 역할을 수행합니다. 이 프로젝트는 개인 개발자나 보안이 중요한 조직이 관리 부담 없이 안전하고 확장 가능한 통신 인프라를 구축할 수 있는 실무적인 대안을 제시합니다. 특히 복잡한 암호화 라이브러리를 직접 관리하지 않고도 최신 보안 표준을 누릴 수 있다는 점이 큰 장점입니다.

cloudflare원문

케이블 절단, 폭 (새 탭에서 열림)

2025년 4분기 전 세계 인터넷 환경은 정부 주도의 차단부터 해저 케이블 절단, 기상 이변에 이르기까지 180건 이상의 다양한 장애로 인해 큰 변동성을 보였습니다. 특히 탄자니아의 선거 관련 차단과 같은 정치적 요인 외에도, 해저 케이블 사고와 전력망 불안정이 국가 단위의 연결성에 심각한 타격을 입히는 주요 원인으로 분석되었습니다. 이러한 사례들은 물리적 인프라의 취약성과 더불어 클라우드 플랫폼 및 DNS 서비스의 기술적 오류가 현대 인터넷 가용성에 미치는 복합적인 영향을 잘 보여줍니다. ## 정부 주도의 인터넷 차단: 탄자니아 사례 * **대선 관련 통제:** 10월 29일 탄자니아 대통령 선거 중 발생한 시위로 인해 약 26시간 동안 인터넷이 차단되었으며, 트래픽이 평소보다 90% 이상 급감했습니다. * **BGP 및 IP 공간 분석:** 트래픽은 거의 소멸했으나 IPv4 및 IPv6 주소 공간의 공고(Announcement)는 완전히 사라지지 않았습니다. 이는 국가가 인터넷에서 완전히 분리된 것이 아니라 트래픽 흐름만 인위적으로 차단했음을 시사합니다. * **간헐적 복구와 재차단:** 10월 30일 잠시 복구되었으나 2시간 만에 다시 차단되었으며, 11월 3일이 되어서야 정상적인 트래픽 수준을 회복했습니다. ## 해저 및 지상 케이블 절단 사고 * **아이티(Digicel Haiti):** 10월 16일과 11월 25일 두 차례에 걸쳐 국제 광섬유 인프라가 절단되는 사고가 발생하여 전국적인 트래픽 중단이 발생했습니다. * **파키스탄(PEACE 케이블):** 10월 20일 홍해 인근의 PEACE 해저 케이블 절단으로 인해 Cybernet/StormFiber의 트래픽이 50% 급감하고 발표된 IPv4 주소 공간의 1/3이 사라지는 타격을 입었습니다. * **카메룬 및 서아프리카(WACS 케이블):** 10월 23일 WACS(West Africa Cable System) 해저 케이블 장비 결함으로 카메룬, 중앙아프리카공화국, 콩고공화국 등에서 90~99%의 트래픽 손실이 관찰되었습니다. 타 케이블 시스템으로 트래픽을 우회하는 과정에서 매우 불안정한 패턴이 나타나기도 했습니다. * **도미니카 공화국(Claro):** 12월 9일 두 개의 광섬유 노선이 동시에 단선되면서 전국적으로 77%의 트래픽 감소가 발생했습니다. ## 전력망 붕괴 및 기상 이변에 의한 장애 * **국가 단위 정전:** 도미니카 공화국(11월 11일), 파나마(12월 23일), 케냐(12월 28일)에서 전력망 변전소 사고 및 시스템 장애로 인해 인터넷 트래픽이 40~70%까지 하락하는 현상이 발생했습니다. * **극단적 기후 현상:** * **브라질:** 10월 11일 상파울루를 강타한 폭풍과 강풍으로 트래픽이 40% 감소했습니다. * **필리핀:** 10월 22~26일 태풍 '트라미'의 영향으로 여러 지역에서 40~75%의 연결성 저하가 나타났습니다. * **스페인:** 10월 29일 발렌시아 지역의 돌발 홍수로 인해 인프라가 파손되며 40~50%의 트래픽 하락이 관찰되었습니다. ## 기술적 결함 및 클라우드 플랫폼 이슈 * **ISP 및 교환 노드 오류:** 10월 1일 미국 컴캐스트(Comcast)의 대규모 장애와 10월 17일 벨기에 Equinix IX의 피어링 인프라 문제가 발생하여 트래픽이 급락했습니다. * **DNS 및 하이퍼스케일러 사고:** 11월 15일 Cloudflare의 1.1.1.1 DNS 서비스 이슈를 비롯하여, 분기 동안 Azure, AWS, Google Cloud 플랫폼에서 발생한 간헐적인 기술적 사고들이 웹 애플리케이션의 가용성에 영향을 미쳤습니다. 글로벌 인터넷 환경은 갈수록 복잡해지고 있으며, 단일 케이블 절단이나 지역적 정전이 국가 전체의 연결성을 위협할 수 있습니다. 따라서 기업과 기관은 다중 경로 네트워크 구성(Redundancy)을 강화하고, Cloudflare Radar와 같은 실시간 모니터링 도구를 활용하여 인프라 이상 징후에 신속히 대응할 수 있는 복원력을 갖추어야 합니다.

cloudflare원문

2026년 1월 (새 탭에서 열림)

2026년 1월 22일, Cloudflare 마이애미 데이터 센터에서 자동화된 라우팅 정책 설정 오류로 인해 약 25분간 IPv6 BGP 경로 유출(Route Leak) 사고가 발생했습니다. 특정 접두사 목록(Prefix-list)을 제거하는 과정에서 정책 필터가 의도치 않게 모든 내부 경로를 허용하게 되었고, 이로 인해 전 세계 IPv6 트래픽이 마이애미로 잘못 유도되어 네트워크 혼잡과 서비스 지연이 초래되었습니다. 이 사고는 자동화 코드가 생성한 구성 파일의 논리적 허점으로 인해 발생했으며, 운영진의 수동 복구와 자동화 일시 중지를 통해 해결되었습니다. ### BGP 경로 유출의 메커니즘과 영향 * **경로 유출의 정의**: 네트워크(Autonomous System, AS)가 원래 전달해서는 안 될 트래픽을 자신에게 보내도록 인터넷 경로 정보를 잘못 광고하는 현상을 의미합니다. * **위반 사항**: 이번 사고는 RFC 7908에 정의된 유형 3 및 유형 4 유출의 혼합 형태로, 피어(Peer)나 상위 제공자(Provider)로부터 받은 경로를 다시 다른 피어나 제공자에게 재분배함으로써 '계곡 없는 라우팅(Valley-free routing)' 원칙을 위반했습니다. * **네트워크 충격**: 마이애미 데이터 센터의 백본 인프라에 트래픽이 집중되면서 혼잡이 발생했고, Cloudflare 서비스뿐만 아니라 외부 네트워크의 트래픽도 마이애미로 유입되었다가 방화벽 필터에 의해 차단되거나 높은 지연 시간을 겪었습니다. ### 설정 오류의 기술적 원인: 과도하게 허용된 정책 * **변경 목적**: 보고타(Bogotá) 데이터 센터로 향하던 IPv6 트래픽을 마이애미를 거치지 않게 하기 위해, 정책 자동화 플랫폼을 통해 기존의 특정 접두사 목록(`6-BOG04-SITE-LOCAL`)을 제거하려고 했습니다. * **JunOS 동작 특성**: JunOS 및 JunOS EVO 운영체제에서 `from route-type internal` 조건은 모든 내부 BGP(iBGP) 경로와 일치합니다. * **논리적 결함**: 특정 접두사 필터가 삭제되자, 해당 정책 구문은 "모든 내부 경로를 수락하고 외부로 광고하라"는 광범위한 규칙으로 변질되었습니다. 이로 인해 마이애미 라우터는 수천 개의 내부 경로를 Telia, Cogent, GTT와 같은 외부 피어와 제공자에게 대량으로 전송하게 되었습니다. ### 사고 대응 타임라인 * **20:25 UTC**: 마이애미 에지 라우터에서 자동화 도구가 실행되어 잘못된 설정이 적용되었고, 즉시 경로 유출과 서비스 영향이 시작되었습니다. * **20:40 UTC**: 네트워크 팀이 의도치 않은 경로 광고를 감지하고 조사를 시작했으며, 4분 뒤 공식적인 장애 대응 프로세스가 가동되었습니다. * **20:50 UTC**: 네트워크 운영자가 문제가 된 설정을 수동으로 되돌리고 해당 라우터의 자동화를 일시 중지함으로써 경로 유출 상황이 종료되었습니다. * **22:40 UTC**: 자동화 코드 저장소의 버그를 수정한 후, 마이애미 라우터의 자동화 기능을 다시 활성화하여 정상 상태로 복구했습니다. ### 기술적 교훈 및 추천 사항 * **정책 검증 강화**: 라우팅 정책을 자동 생성할 때, 특정 필터(Prefix-list 등)가 제거된 결과가 '기본 허용(Default Accept)' 상태가 되지 않도록 방어적인 로직을 설계해야 합니다. * **운영체제 특성 이해**: JunOS의 `route-type internal`과 같이 벤더별로 상이하게 동작할 수 있는 매칭 조건을 사용할 때는 예상치 못한 경로 광고를 막기 위한 추가적인 안전장치(Safety-net)를 마련해야 합니다. * **단계적 배포**: 대규모 인프라 변경 시 자동화 도구가 전체 라우터에 동시에 적용되지 않도록 카나리(Canary) 배포나 단계적 적용을 통해 영향 범위를 최소화하는 것이 권장됩니다.

cloudflare원문

Cloudflare의 ACME (새 탭에서 열림)

Cloudflare는 최근 ACME(Automatic Certificate Management Environment) 검증 로직에서 특정 경로의 WAF(웹 애플리케이션 방화벽) 기능을 비활성화할 수 있는 취약점을 발견하고 패치했습니다. 이 결함은 `/.well-known/acme-challenge/*` 경로로 들어오는 요청을 처리하는 과정에서 발생했으며, 특정 조건에서 보안 필터링 없이 악의적인 요청이 원본 서버(Origin)에 도달할 수 있는 문제를 야기했습니다. 현재 모든 패치가 완료되어 고객의 추가 조치는 필요 없으며, 실제 악용 사례는 확인되지 않았습니다. ### ACME 프로토콜과 HTTP-01 챌린지 메커니즘 * ACME는 SSL/TLS 인증서의 발급, 갱신 및 취소를 자동화하는 프로토콜로, 도메인 소유권을 확인하기 위해 HTTP-01 챌린지 방식을 널리 사용합니다. * 인증 기관(CA)은 도메인 소유권을 확인하기 위해 특정 경로(`http://{customer domain}/.well-known/acme-challenge/{token value}`)에 토큰이 존재하는지 확인하는 요청을 보냅니다. * Cloudflare가 관리하는 인증서의 경우 해당 경로에 직접 응답하여 토큰을 제공하며, 만약 시스템에 등록되지 않은 토큰 요청일 경우 고객이 별도로 도메인 검증을 진행 중인 것으로 판단하여 요청을 원본 서버로 전달합니다. ### WAF 보안 기능을 무력화하는 논리적 결함 * 기존 시스템은 CA의 인증 시도가 WAF 규칙에 의해 차단되어 인증서 발급이 실패하는 것을 방지하기 위해, ACME 챌린지 경로에 대한 WAF 기능을 일시적으로 비활성화하도록 설계되었습니다. * 그러나 분석 결과, 요청된 토큰이 요청을 받은 현재 호스트 이름과 직접적인 연관이 없더라도, Cloudflare 시스템 내의 다른 존(Zone)에 존재하는 유효한 토큰이기만 하면 WAF가 비활성화되는 허점이 발견되었습니다. * 이로 인해 공격자가 특정 경로를 통해 보안 필터링을 우회하여 원본 서버에 직접 접근할 수 있는 취약한 상태가 노출되었습니다. ### 취약점 보완 및 패치 내용 * Cloudflare는 요청된 토큰이 해당 호스트 이름(Hostname)에 할당된 유효한 ACME HTTP-01 챌린지 토큰과 일치할 때만 보안 기능을 비활성화하도록 로직을 수정했습니다. * 이제 토큰의 유효성뿐만 아니라 호스트 이름과의 매칭 여부를 엄격하게 검증하여, 조건이 충족되지 않는 모든 요청은 정상적인 WAF 규칙의 통제를 받게 됩니다. * 이번 조치는 외부 보안 연구원의 제보를 통해 이루어졌으며, Cloudflare는 인프라의 투명성을 위해 해당 취약점의 상세 내용과 해결 과정을 공개했습니다. Cloudflare를 사용하는 고객은 별도의 설정 변경이나 조치를 취할 필요가 없으며, 현재 시스템은 해당 취약점으로부터 안전하게 보호되고 있습니다. 환경의 보안 강화를 위해 버그 바운티 프로그램 등을 통한 외부 협력을 지속하며 신속한 대응 체계를 유지하고 있습니다.

cloudflare원문

Astro가 Cloudflare (새 탭에서 열림)

웹 프레임워크 Astro를 개발하는 Astro Technology Company가 Cloudflare에 합류합니다. 이번 인수를 통해 Astro는 독립적인 오픈 소스 프로젝트로서의 정체성을 유지하는 동시에, Cloudflare의 강력한 인프라 지원을 받아 콘텐츠 중심 웹 사이트 구축을 위한 최적의 프레임워크로 거듭날 전망입니다. 특히 Vite 기반의 새로운 개발 서버를 탑재한 Astro 6 출시를 앞두고 있어 기술적 진보와 생태계 확장이 더욱 가속화될 것으로 보입니다. **오픈 소스 생태계 및 이식성 유지** - Astro는 여전히 MIT 라이선스를 유지하며, 공개 로드맵과 개방형 거버넌스 체제 하에 누구나 기여할 수 있는 오픈 소스로 남습니다. - 기존 Astro 팀원 전원이 Cloudflare 소속으로 옮겨가 개발을 지속하며, 특정 클라우드에 종속되지 않고 어디서나 실행될 수 있는 '플랫폼 이식성' 원칙을 고수합니다. - Webflow, Netlify, Wix 등 주요 파트너들과 함께 'Astro 에코시스템 펀드'를 통해 커뮤니티와 오픈 소스 기여자에 대한 지원을 계속 이어갑니다. **Astro의 핵심 철학과 아일랜드 아키텍처** - 콘텐츠 중심(Content-driven), 서버 우선(Server-first), 기본 성능 최적화(Fast by default) 등 5가지 설계 원칙을 통해 웹 개발의 복잡성을 해결합니다. - '아일랜드 아키텍처(Islands Architecture)'를 핵심 기술로 활용하여, 페이지의 대부분을 정적 HTML로 구성하고 필요한 부분에만 선택적으로 자바스크립트를 실행해 웹사이트 속도를 극대화합니다. - React, Vue, Svelte 등 다양한 UI 프레임워크를 한 페이지 내에서 혼합하여 사용할 수 있는 유연성을 제공하여 개발자 경험을 높였습니다. **Cloudflare와의 시너지 및 플랫폼 활용** - Webflow Cloud, Wix Vibe 등 많은 플랫폼이 이미 Cloudflare 인프라 위에서 Astro를 기반으로 고객 서비스를 구축하고 있어 기술적 결합도가 높습니다. - 최근 부상하는 AI 코딩 에이전트와 LLM 환경에서, 잘 구조화되고 단순한 Astro의 코드 베이스는 더 효율적인 자동화 구축의 기반이 됩니다. - Cloudflare의 글로벌 네트워크와 Astro의 빠른 렌더링 성능이 결합되어 전 세계 사용자에게 더 나은 웹 경험을 제공하는 것을 목표로 합니다. **Astro 6의 주요 기술적 변화** - **새로운 개발 서버:** Vite Environments API를 기반으로 재설계되어, 로컬 환경에서도 실제 운영 환경(Cloudflare workerd 런타임 등)과 동일한 API(Durable Objects, D1, KV 등)를 사용할 수 있습니다. - **실시간 콘텐츠 컬렉션(Live Content Collections):** 사이트를 다시 빌드하지 않고도 재고 현황과 같은 실시간 데이터를 실시간으로 업데이트할 수 있는 기능이 정식 버전으로 포함됩니다. - **보안 및 편의성 강화:** 커뮤니티 요청이 가장 많았던 콘텐츠 보안 정책(CSP)을 퍼스트 클래스로 지원하며, Zod 4 업그레이드 및 API 단순화가 이루어집니다. 콘텐츠 중심의 고성능 웹사이트를 구축하려는 개발자라면 Cloudflare와의 협업으로 더욱 강력해질 Astro 생태계에 주목할 필요가 있습니다. 현재 Astro 6 베타 버전이 공개되어 있으므로, 새로운 Vite 기반 개발 서버와 실시간 콘텐츠 관리 기능을 미리 경험해 보는 것을 추천합니다.

cloudflare원문

휴먼 네이티브가 클 (새 탭에서 열림)

Cloudflare는 영국 기반의 AI 데이터 마켓플레이스인 Human Native를 인수하여 생성형 AI 시대에 걸맞은 새로운 인터넷 경제 모델 구축에 나섰습니다. 이번 인수를 통해 Cloudflare는 비정형 멀티미디어 콘텐츠를 고품질의 학습용 데이터로 변환하고, 창작자가 자신의 저작물에 대한 제어권과 공정한 보상을 받을 수 있는 기술적 토대를 강화할 예정입니다. 궁극적으로 양사는 무분별한 스크래핑 대신 투명하고 구조화된 데이터 거래 생태계를 조성하여 AI와 창작자가 공존하는 지속 가능한 인터넷 환경을 만드는 것을 목표로 합니다. **Human Native의 기술력과 고품질 데이터의 가치** * Human Native는 흩어져 있는 비정형 멀티미디어 콘텐츠를 AI가 이해하고 학습할 수 있는 고품질의 검색 가능한 데이터로 변환하는 데 특화되어 있습니다. * 데이터를 단순히 긁어모으는(Scraping) 대상이 아닌, 구조와 투명성, 존중이 필요한 자산(Asset)으로 취급합니다. * 실제로 영국의 한 비디오 AI 기업은 기존 학습 데이터를 폐기하고 Human Native를 통해 확보한 라이선스 기반의 고품질 데이터로 교체한 후 기술적 성능이 비약적으로 향상되는 결과를 얻었습니다. **위기에 처한 인터넷 경제 모델과 창작자의 권리** * 지난 30년 동안 인터넷은 '콘텐츠 제공과 트래픽 유입'이라는 교환 공식으로 유지되었으나, 최근 AI 봇의 무분별한 크롤링으로 인해 이 생태계가 위협받고 있습니다. * 실제 사람의 방문 대비 AI 크롤링 비율이 급증하면서 창작자들은 자신의 콘텐츠가 어떻게 사용되는지 알기 어려워졌습니다. * Cloudflare는 'AI Crawl Control'과 'Pay Per Crawl' 등의 도구를 통해 콘텐츠 소유자가 AI 시스템의 접근 여부와 시기, 그리고 직접적인 보상 여부를 스스로 결정할 수 있도록 지원합니다. **AI 개발자를 위한 차세대 데이터 인프라: AI Index** * 기존의 웹 크롤링은 엔지니어링 및 컴퓨팅 비용이 많이 들고 중복, 스팸, 저작권 위반 등 품질 제어가 어렵다는 단점이 있습니다. * Cloudflare는 무작위 크롤링 대신 '발행/구독(Pub/Sub)' 모델인 'AI Index'를 구축하고 있습니다. * 참여 웹사이트가 콘텐츠 변경 시 구조화된 업데이트를 노출하면, AI 개발자가 실시간으로 이를 구독하여 고품질의 데이터를 효율적으로 수급할 수 있는 방식입니다. **기계 간 거래를 위한 x402 및 경제적 토대 마련** * 기존 웹 결제 시스템은 인간 중심(카드 정보 입력, 클릭 등)으로 설계되어 자동화된 시스템 간의 대량 거래에는 부적합합니다. * Cloudflare는 Coinbase와 협력하여 기계 간(Machine-to-Machine) 거래를 지원하는 'x402 Foundation'을 설립하고 디지털 자산에 대한 새로운 결제 프로토콜을 개발 중입니다. * 이를 통해 콘텐츠 제공자와 AI 에이전트 간의 즉각적이고 투명한 경제적 거래가 가능해질 전망입니다. Cloudflare와 Human Native의 결합은 단순히 데이터를 모으는 기술을 넘어, AI 시대의 인터넷이 '개방성'과 '공정성'을 동시에 유지할 수 있는 제도적, 기술적 장치를 마련하는 중요한 이정표가 될 것입니다. 기업과 창작자들은 앞으로 AI Index와 같은 구조화된 데이터 전달 체계와 x402 기반의 자동 결제 모델을 통해 자신의 디지털 자산을 더 안전하게 보호하고 수익화할 수 있는 기회를 갖게 될 것입니다.

cloudflare원문

CNAME이 먼저인가 A 레 (새 탭에서 열림)

Cloudflare의 DNS 서비스인 1.1.1.1은 메모리 사용량을 최적화하기 위해 DNS 응답 내 레코드 순서를 변경했다가 전 세계적인 접속 장애를 일으켰습니다. 대다수 현대 소프트웨어는 DNS 레코드 순서를 무시하지만, glibc와 같은 특정 구현체는 CNAME 레코드가 A 레코드보다 먼저 등장할 것을 전제로 작동하기 때문입니다. 결국 Cloudflare는 이전의 순서로 로직을 롤백하여 문제를 해결했습니다. ### CNAME 체인과 부분 캐싱 메커니즘 * **DNS 별칭 추적:** `www.example.com`을 조회할 때 리졸버는 최종 IP 주소에 도달할 때까지 여러 개의 CNAME(별칭)을 따라가며, 이 과정에서 발생하는 모든 중간 레코드를 캐싱합니다. * **부분 만료 처리:** 체인 내 레코드들은 각기 다른 TTL(유효 기간)을 가집니다. 일부 CNAME은 유효하지만 최종 A 레코드가 만료된 경우, 리졸버는 전체 체인을 다시 조회하는 대신 만료된 부분만 갱신하여 기존 캐시와 병합합니다. * **병합 과정의 중요성:** 갱신된 레코드와 기존 캐시 레코드를 하나의 응답으로 합칠 때, 이들의 배열 순서가 클라이언트의 해석 방식에 영향을 미칩니다. ### 성능 최적화를 위한 로직 변경 * **기존 방식 (CNAME 우선):** 새로운 리스트를 생성하여 캐시된 CNAME들을 먼저 넣고, 그 뒤에 새로 조회된 A 레코드를 추가했습니다. 이는 메모리 할당과 복사 비용이 추가로 발생합니다. * **변경 방식 (A 레코드 우선):** 메모리 사용량을 줄이기 위해 기존의 응답 리스트 끝에 CNAME 레코드를 단순히 덧붙이는(append) 방식으로 변경했습니다. * **결과:** 이 사소한 변경으로 인해 DNS 응답 데이터에서 CNAME이 최종 결과값인 A 레코드보다 뒤에 위치하게 되었습니다. ### glibc 등 DNS 클라이언트의 처리 방식 문제 * **순차적 탐색:** 리눅스에서 널리 사용되는 `glibc`의 `getaddrinfo`와 같은 구현체는 DNS 응답을 순차적으로 읽으며 '찾아야 할 이름'을 업데이트합니다. * **인식 실패:** 클라이언트가 CNAME을 먼저 발견하면 "다음 타겟 이름"을 갱신하고 이후에 나오는 A 레코드를 수락합니다. 하지만 A 레코드가 먼저 나오면 아직 CNAME 정보를 모르기 때문에 해당 레코드를 무관한 데이터로 간주하고 무시합니다. * **결과적 오류:** 모든 데이터를 읽었음에도 불구하고 클라이언트는 매칭되는 IP를 찾지 못해 최종적으로 응답이 비어 있다는 결론을 내리게 됩니다. ### 시사점 및 결론 40년 된 DNS 프로토콜의 모호성으로 인해 레코드 순서에 대한 엄격한 정의가 부족할 수 있지만, 실제 환경에서는 전통적인 순서(CNAME -> Answer)를 유지하는 것이 하위 호환성을 위해 필수적입니다. 시스템의 성능 최적화가 기존 생태계의 암묵적인 동작 원리를 깨뜨리지 않는지, 특히 표준 라이브러리 수준의 하위 호환성을 철저히 검증해야 함을 보여주는 사례입니다.

cloudflare원문

이란의 인터넷 차단에 대해 우리가 (새 탭에서 열림)

2025년 말 이란 내 경제적 불만과 정권 교체 요구로 촉발된 대규모 시위에 대응하여 이란 정부가 전국적인 인터넷 차단 조치를 단행했습니다. Cloudflare Radar 데이터 분석 결과, 2026년 1월 8일부터 이란의 인터넷 트래픽은 사실상 전무한 상태로 떨어졌으며 이는 과거 2019년과 2022년의 사례와 유사한 국가 차원의 의도적인 차단으로 확인됩니다. 현재 이란은 전 세계 인터넷으로부터 거의 완전히 고립된 상태이며, 이러한 기술적 단절은 시위 확산을 막기 위한 정부의 강력한 통제 수단으로 활용되고 있습니다. **1월 8일 발생한 급격한 연결 단절** - 1월 8일 11:50(UTC)경, 이란 네트워크에서 공고되는 IPv6 주소 공간이 98.5% 급감하며 글로벌 인터넷에서 해당 주소로 접근할 수 있는 경로가 사라졌습니다. - 이로 인해 인간이 생성하는 트래픽 중 IPv6가 차지하는 비중이 12%에서 2%로 떨어졌으며, 100분 뒤에는 사실상 0%에 수렴했습니다. - 같은 날 16:30~17:00(UTC) 사이, MCCI(AS197207), IranCell(AS44244), TCI(AS58224) 등 이란 주요 통신사들의 트래픽이 90% 이상 빠지기 시작해 18:45(UTC)에는 국가 전체 트래픽이 0에 도달했습니다. **일시적인 연결 복구와 제한된 접근** - 차단 다음 날인 1월 9일, 테헤란 대학교(AS29068)와 샤리프 공과대학교(AS12660) 등 일부 주요 교육 기관의 네트워크 연결이 몇 시간 동안 일시적으로 복구되었다가 다시 중단되었습니다. - Cloudflare의 공용 DNS resolver(1.1.1.1)에 대한 요청 트래픽이 잠시 급증하는 현상이 관찰되었으나, 곧 이전 최고치의 0.01% 미만 수준으로 다시 떨어졌습니다. **전면 차단에 앞선 기술적 검열 징후** - 전면적인 인터넷 셧다운이 발생하기 수일 전인 12월 31일부터 주요 네트워크에서 HTTP/3 및 QUIC 프로토콜의 사용 비중이 40%에서 5% 미만으로 급격히 감소했습니다. - 이는 정부가 전면 차단을 시행하기 전, 고도화된 레이어 기반의 필터링과 화이트리스트 시스템을 적용하여 특정 통신 방식을 먼저 차단했음을 시사합니다. **지속되는 셧다운 상황** - 1월 10일 이후 현재까지 이란의 인터넷 트래픽은 회복될 기미를 보이지 않고 있으며, 전 세계와 연결된 통로가 대부분 막혀 있는 상태입니다. 이란 내부의 실시간 연결 상태와 네트워크별 지표는 Cloudflare Radar의 트래픽 및 라우팅 페이지를 통해 지속적으로 모니터링할 수 있습니다.

cloudflare원문

베네수엘라 BGP (새 탭에서 열림)

최근 베네수엘라 국영 ISP인 CANTV(AS8048)에서 발생한 BGP 라우팅 리크(Route Leak) 현상은 정치적 상황과 맞물려 배후 의혹을 샀으나, 데이터 분석 결과 악의적인 개입보다는 기술적 숙련도 부족에 의한 사고일 가능성이 큽니다. Cloudflare의 분석에 따르면 해당 ISP의 라우팅 정책 설정 미흡으로 인해 상위 공급자의 경로가 다른 공급자로 재배포되는 '타입 1 경로 누출'이 12월 이후 반복적으로 발생하고 있습니다. 특히 누출된 경로에 적용된 과도한 AS-Prepending은 트래픽을 강제로 유인하려는 의도와 정면으로 배치되므로, 이는 단순한 운영상 실수로 판단됩니다. ### BGP 라우팅 리크와 계곡 자유(Valley-Free) 원칙 - BGP 라우팅 리크는 네트워크 경로 광고가 의도된 범위를 벗어나 전파되는 현상으로, RFC7908에서 정의된 비즈니스 관계에 따른 경로 전파 규칙을 위반할 때 발생합니다. - 정상적인 네트워크 환경은 '계곡 자유(Valley-Free)' 규칙을 따르는데, 이는 고객 네트워크가 자신의 상위 공급자(Provider)로부터 받은 경로를 또 다른 공급자에게 다시 광고하여 중간 전달자 역할을 하지 않아야 함을 의미합니다. - 이번 사고는 AS8048이 이탈리아 텔레콤(AS6762)으로부터 받은 경로를 콜롬비아의 네트워크 서비스 제공업체(AS52320)에게 다시 광고하면서 발생한 전형적인 경로 누출 사례입니다. ### CANTV(AS8048)의 반복적인 이상 징후 - Cloudflare Radar 데이터 분석 결과, 12월 초부터 해당 ISP에서 총 11차례의 유사한 라우팅 리크 이벤트가 감지되었으며 이는 일시적인 현상이 아닙니다. - 누출된 IP 접두사(Prefix)들은 모두 베네수엘라 기업인 Dayco Telecom(AS21980)의 소유였으며, AS8048은 이 기업의 상위 공급자 관계에 있는 것으로 확인되었습니다. - 이러한 반복적인 패턴은 특정 목적을 가진 공격이라기보다, CANTV 네트워크가 경로 수출입(Export/Import) 정책을 제대로 구현하지 못해 발생하는 만성적인 기술적 문제임을 시사합니다. ### 악의적 공격 가능성을 부정하는 기술적 근거 - 만약 특정 국가나 단체가 중간자 공격(MITM)을 목적으로 경로를 조작했다면, 트래픽을 자신에게 끌어오기 위해 해당 경로를 가장 선호되는 경로로 만들어야 합니다. - 그러나 이번 사례에서는 AS8048이 자신의 AS 번호를 경로에 9번이나 반복해서 추가하는 'AS-Prepending'을 적용한 것이 관찰되었습니다. - AS-Prepending은 해당 경로의 우선순위를 인위적으로 낮추어 트래픽이 유입되지 않도록 하는 기법으로, 이는 트래픽 폭주를 막으려 했던 운영자의 서툰 시도로 해석될 뿐 정보 탈취를 위한 행위로 보기는 어렵습니다. 인터넷 라우팅 리크는 대부분 악의적인 의도보다는 설정 오류로 인해 발생합니다. 네트워크 운영자는 이러한 사고를 방지하기 위해 RPKI(자원 공키 구조)를 도입하여 경로의 유효성을 검증하고, 상위 공급자와의 피어링 설정 시 엄격한 필터링 정책을 적용하는 등 모범적인 기술 실무를 준수해야 합니다.