KR101452300B1

KR101452300B1 - 가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템

Info

Publication number: KR101452300B1
Application number: KR1020140060716A
Authority: KR
Inventors: 이덕호
Original assignee: 주식회사 엠코아
Priority date: 2014-05-21
Filing date: 2014-05-21
Publication date: 2014-10-22

Abstract

본 발명은 가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템에 관한 것으로; 일반망의 제1 서버와 일반 인터넷 회선을 통해 연결되는 제1 허브와, 보안망의 제2 서버와 보안회선을 통해 연결되는 제2 허브와, 가상화 환경을 통해 상기 제1 서버 또는 제2 서버와의 데이터 통신을 수행하는 스테이션과, 상기 스테이션과 유에스비 방식으로 연결되고 상기 제1 및 제2허브를 통해 상기 제1 서버 또는 제2 서버에 상기 스테이션이 망전환을 통해 선택적으로 접속하도록 하는 NIC 스플리터로 구성되는 것을 특징으로 한다. 본 발명에 따르면, VDI, SBC, Non-Disk 등의 클라우드 환경을 사용하는 1대의 스테이션에서 물리적으로 일반망과 보안망을 분리가능하면서도 USB 방식으로 스테이션과 NIC 스플리터 간의 접속이 이루어져 사용자가 망분리를 위한 시스템 구성이 간단하다.

Description

가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템 { Physical Dividing System using Ethernet technology in Cyber Environment }

본 발명은 가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템에 관한 것으로서, 좀더 상세하게는 VDI, SBC, Non-Disk 등의 클라우드 환경에서 물리적 망분리를 구현할 수 있도록 하는 기술로서, 2개 이상의 회선을 이용해 하나의 스테이션에서 서로 다른 컴퓨팅 환경을 제공할 수 있도록 접속 스테이션을 두고 접속 스테이션에 2개 이상의 이더넷(Ethernet)을 구성하고 각 이더넷에서 서버로 통신할 수 있는 수단을 가지며 또 각각의 이더넷(Ethernet)을 온오프 제어할 수 있는 기능을 통해 물리적으로 망 분리를 지원할 수 있는시스템에 관한 것이다.

일반적으로 컴퓨터를 이용시에 많은 정보의 공유 및 활용을 위해 다수의 컴퓨터가 내부망(intranet)과 외부망(internet)으로 복잡하게 연결된다.

한편, 최근에는 인터넷 접속을 통한 자료 검색 등이 보편화되어 있어 보안상내부망과 외부망을 분리하기 위한 연구 및 개발이 진행되고 있다.

대표적인 망분리 시스템은 2대의 컴퓨터를 이용한 물리적 망 분리 방법과 가상화 기술을 사용한 망 분리 방법이 있다.

이때, 2대의 컴퓨터를 통한 물리적 망 분리 방법은 막대한 예산이 소요될 뿐만 아니라 2대의 컴퓨터를 설치해야하므로 공간적인 제약을 받을 뿐만 아니라 2대의 컴퓨터를 필요에 따라 선택적으로 사용함에 따라 업무의 효율성 역시 낮은 문제점도 있고, 가상화 기술을 사용한 망 분리 방법은 물리적 망 분리보다 저렴한 가격과 설치 공간과 업무의 효율성을 저해하지 않는다는 이유로 현재 가장 선호하는 망 분리 기술로 사용하고 있지만 상대적으로 물리적 망 분리 방법에 비해 보안상 취약한 문제가 있다.

이와 같은 종래 망 분리 방법의 일 예로 등록실용신안 제20-0193570호가 제안된 바 있다. 이는 보안 기능을 가지는 컴퓨터 네트웍 전환장치에 관한 것으로, 내외부망을 선택하는 스위치부와, 컴퓨터의 메인보드에 연결되며 스위치부의 선택을 인식하여 내외부망으로 구분 설치한 하드 디스크를 선택 작동토록 하는 네트웍 전환장치로 이루어지며, 상기 네트웍 전환장치는 내외부 통신망을 전환하는 망전환부와, 스위치부 작동 및 메인보드로부터의 지령을 처리하도록 게이트 결합된 신호 처리부와, 신호 처리부의 작동에 따라 하드 디스크가 절환 작동되도록 릴레이 작동하는 하드 디스크 절환부를 포함하여 이루어진다. 이 같은 구성에 의하면, 본체에 하드디스크를 2개 설치하고, 망전환장치를 추가 설치하며 망 선택용 스위치를 설치하여 스위치를 온 시키면 자동으로 내부망으로 사용토록 하고, 오프 시키면 자동으로 외부망으로 연결 사용되도록 하여, 하나의 컴퓨터로 2개의 컴퓨터 기능을 구현 가능토록 하고, 외부망과 내부망의 구동시 분리된 하드디스크중 하나만 작동되므로 해커의 침입을 받아도 연결이 물리적으로 분리된 다른 망까지는 침투치 못하는 시스템의 성격을 이용하여 자료의 침투를 예방할 수 있다.

그런데 상기 등록실용신안의 컴퓨터 네트웍 전환장치는 망전환을 위해 컴퓨터에 2개의 하드디스크를 필수적으로 구비해야 하므로 컴퓨터의 사양이 까다로울 뿐만 아니라 망전환장치를 본체에 설치한 후 물리적으로 2개의 하드디스크와 연결해야 하므로 망전환을 위한 시스템 구성이 매우 복잡하다.

따라서, 이러한 문제점들을 해결하기 위한 것으로서, 본 발명은 VDI, SBC, Non-Disk 등의 클라우드 환경에서 물리적으로 망분리를 구현할 수 있으면서도 2개 이상의 회선을 이용해 하나의 스테이션에서 서로 다른 컴퓨팅 환경을 제공하면서도 이같은 망전환을 가능하게 하기 위한 장치 간의 접속이 간단해 사용자가 망분리를 위한 시스템 설치를 간단하게 수행할 수 있는 망 분리 시스템을 제공하는데 그 목적이 있다.

또한, 본 발명은 하나 스테이션에서 일반망 또는 보안망의 선택적인 접속을 수행할 수 있는 2개 이상의 이더넷(Ethernet)을 구성하고 각 이더넷에서 개별 서버로 통신이 가능하며 각각의 이더넷(Ethernet)을 온오프 제어를 통해 물리적으로 망 분리를 지원할 수 있는 망 분리 시스템을 제공하는데 그 목적이 있다.

이와 같은 기술적 과제를 해결하기 위해 본 발명은;

일반망의 제1 서버와 일반 인터넷 회선을 통해 연결되는 제1 허브와, 보안망의 제2 서버와 보안회선을 통해 연결되는 제2 허브와, 가상화 환경을 통해 상기 제1 서버 또는 제2 서버와의 데이터 통신을 수행하는 스테이션과, 상기 스테이션과 유에스비 방식으로 연결되고 상기 제1 및 제2허브를 통해 상기 제1 서버 또는 제2 서버에 상기 스테이션이 망전환을 통해 선택적으로 접속하도록 하는 NIC 스플리터로 구성되는 것을 특징으로 하는 가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템을 제공한다.

이때, 상기 NIC 스플리터는 일반망 접속을 위한 제1 허브와 연결되는 제1 NIC 접속부와, 보안망을 연결하는 제2 허브와 연결되는 제2 NIC 접속부와, 상기 제1 또는 제2 NIC 접속부의 구동을 위한 선택 스위치와, 상기 선택 스위치의 선택신호에 따라 상기 제1 및 제2 서버와의 통신 방식을 동기화하는 제어부로 구성되는 것을 특징으로 한다.

특히, 상기 제어부는 MCU로 구성되어 상기 스테이션의 초기정보가 저장되며, 상기 제어부에 의해 구동이 제어되는 제1 및 제2 ROM에는 스테이션의 초기정보 및 접속정보가 저장되어; 상기 제어부는, 상기 선택스위치의 선택에 따라 제1 NIC 접속부를 통한 일반망에 접속을 시도하면 제1 NIC 접속부를 작동시켜 제1 서버와의 데이터 통신을 수행하고, 제2 ROM을 활성화시켜 제2 ROM의 접속정보를 제2 서버로 전송하여 제2 NIC 접속부를 슬립모드로 작동시키며; 상기 제어부는, 상기 선택스위치의 선택에 따라 제2 NIC 접속부를 통한 보안망에 접속을 시도하면 제2 NIC 접속부를 작동시켜 제2 서버와의 데이터 통신을 수행하고, 제1 ROM을 활성화시켜 제1 ROM의 접속정보를 제1 서버로 전송하여 제1 NIC 접속부를 슬립모드로 작동시키는 것을 특징으로 한다.

본 발명에 따르면, VDI, SBC, Non-Disk 등의 클라우드 환경을 사용하는 1대의 스테이션에서 물리적으로 일반망과 보안망을 분리가능하면서도 USB 방식으로 스테이션과 NIC 스플리터 간의 접속이 이루어져 사용자가 망분리를 위한 시스템 구성이 간단하다.

특히 1대의 스테이션을 이용하면서도 일반망과 보안망을 동시에 사용하지 않고 하나의 망(NET)만 연결되도록 함으로서 특히 내부망의 보안을 철저히 유지하면서도 외부의 일반망을 통한 데이터 통신을 안심하고 수행할 수 있다.

도 1은 본 발명에 따른 가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템의 전체 구성도이다.
도 2는 본 발명에 따른 NIC 스플이터의 상세 구성도이다.
도 3은 본 발명에 따른 NIC 스플이터의 제어 개념도이다.

이하, 본 발명에 따른 가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템을 첨부한 도면을 참고로 상세히 설명한다.

도 1 내지 도 3에 의하면 본 발명은 일반망(1)과 보안망(2)에 하나의 데스크탑(Desktop)이나 클라이언트 스테이션(Client Station) 등의 스테이션(100)(이하, '스테이션'이라 한다.)으로 망전환을 통해 접속할 수 있는 망 분리 시스템에 관한 것으로, VDI, SBC, Non-Disk 등의 클라우드 환경에서 물리적 망분리를 구현할 수 있도록 하기 위해, 일반망(1)의 제1 서버(10)와 일반 인터넷 회선을 통해 연결되는 제1 허브(12)와, 보안망(2)의 제2 서버(20)와 보안회선을 통해 연결되는 제2 허브(22)와, 가상화 환경을 통해 상기 제1 서버(10) 또는 제2 서버(20)와의 데이터 통신을 수행하는 스테이션(100)과, 상기 제1 서버(10) 또는 제2 서버(20)를 상기 스테이션(100)에 망전환을 통해 선택적으로 접속하도록 하는 NIC(Network Interface Card) 스플리터(200)로 구성된다.

이하 본 발명의 각부 구성을 구체적으로 설명한다.

상기 제1 및 제2 서버(10,20)는 일반망(1) 또는 보안망(2)에 네트워크를 통해 연결되는 것으로, Non-disk 서버 또는 VDI 서버로 각 솔루션 업체에서 제공된다.

이때, 상기 일반망(1)은 통상의 외부망인 인터넷망을 의미하며, 보안망(2)은 상기 일반망과는 분리되는 내부망인 인트라넷망을 의미한다.

한편, 상기 제1 허브(12)는 일반망(1)을 통해 제1 서버(10)에 접속 가능하도록 공지의 일반망 접속용 허브 또는 모뎀과 연결되어 인터넷 검색 등을 수행할 수 있다.

그리고 상기 제2 허브(22)는 보안망(2)에 연결되는 제1 서버(10)에 접속 가능하여 사내 보안망 등을 구축할 수 있다.

한편, 상기 스테이션(100)은 최종적으로 유저(User)가 일반망(1)이나 보안망(2)을 통해 제1 서버(10) 또는 제2 서버(20)로 접속하여 데이터의 송수신이 이루어지도록 하는 가상화 환경이 제공되는 것으로, 유저에게 컴퓨팅을 할 수 있도록 지원해 주는 단말기로서 PC가 직접 사용되거나, 각 솔루션 업체가 별도로 제공하는 단말기를 사용할 수 있다

특히 상기 스테이션(100)은 스테이션(100)과 NIC 스플리터(200) 간의 간단한 설치 및 시스템 설정의 편의를 위해 유에스비(USB) 방식을 지원하는 스테이션을 적용할 수 있다.

이와 같은 NIC 스플리터(200)는 2개 이상의 NIC를 한 개의 본체에서 사용이 가능하도록 상기 제1 및 제2 서버(10,20)와 스테이션(100)을 연결해 주는 장비로 일반망(1)과 보안망(2)을 구분하여 연결시키는 기능을 하는 것으로, 두 개의 각 각 다른 회선을 동시에 사용하여 일반망(1)과 보안망(2)을 구분하여 사용할 수 있는 물리적 망분리가 가능한다.

상기 NIC 스플리터(200)는 일반망(1) 접속을 위한 제1 허브(12)와 연결되는 제1 NIC(Network Interface Card) 접속부(210)와, 보안망(2)을 연결하는 제2 허브(22)와 연결되는 제2 NIC(Network Interface Card) 접속부(220)와, 상기 제1 또는 제2 NIC 접속부(210,220)의 구동을 위한 선택 스위치(230)와, 각 제1 및 제2 서버(10,20)에 접속할 수 있는 PXE, TFTP, TCP/IP 등의 통신 기능과 소프트웨어(S/W)가 탑제되며 상기 선택 스위치(230)의 선택신호에 따라 상기 제1 및 제2 서버(10,20)와의 통신 방식을 동기화하여 솔루션들을 지원하는 제어부(240)로 구성된다.

물론 상기 NIC 스플리터(200)는 상기 스테이션(100)과 연결하기 위한 유에스비(USB) 접속포트를 구비함은 당연하다.

한편, 상기 제어부(240)는 MCU(Micro Controller Unit)로 구성될 수 있으며, 상기 MCU는 통상 내장메모리를 구비하여, 제1 및 제2 서버(10,20)에 접속할 수 있는 통신 소프트웨어(S/W)가 저장되며, 제1 및 제2 서버(10,20) 접속을 위한 통신 방식을 동기화하는 기능을 수행한다.

이때 스테이션(100)의 초기정보가 NIC 스플리터(200)의 제어부(240)인 MCU(Micro Controller Unit)에 저장되며, 상기 제어부에 의해 구동이 제어되는 제1 및 제2 ROM(250,260)에는 스테이션의 초기정보 및 접속정보가 저장된다.

이와 같은 구성에 의하면 선택스위치(230)의 선택에 따라 제1 NIC 접속부(210)를 통한 일반망(1)에 접속을 연결하면 상기 제어부(240)는 선택신호에 따라 제1 NIC 접속부(210)를 작동시켜 제1 서버(10)와의 데이터 통신을 수행할 수 있고, 이 경우 상기 제어부(240)는 실질적으로는 제2 NIC 접속부(220)를 통한 보안망(2)의 사용을 차단하지만 제2 서버(20)에서는 접속 상태로 인식할 수 있도록 제2 ROM(260)을 활성화시켜 제2 ROM(260)의 접속정보를 제2 서버(20)로 전송하여 제2 NIC 접속부(220)를 슬립모드로 작동시키게 된다. 이를 통해 스테이션에서 유저는 제1 NIC 접속부(210)를 통한 일반망(1)을 통한 데이터 통신만 가능하다.

물론, 선택스위치(230)의 선택에 따라 제2 NIC 접속부(220)를 통한 보안망(2)에 접속을 연결하면 상기 제어부(240)는 선택신호에 따라 제2 NIC 접속부(220)를 작동시켜 제2 서버(20)와의 데이터 통신을 수행할 수 있고, 이 경우 상기 제어부(240)는 실질적으로는 제1 NIC 접속부(210)를 통한 일반망(1)의 사용을 차단하지만 제1 서버(10)에서는 접속 상태로 인식할 수 있도록 제1 ROM(250)을 활성화시켜 제1 ROM(250)의 접속정보를 제1 서버(10)로 전송하여 제1 NIC 접속부(210)를 슬립모드로 작동시키게 된다. 이를 통해 스테이션(100)에서 유저는 제2 NIC 접속부(220)를 통한 보안망(2)을 통한 데이터 통신만 가능하다.

이를 통해 상기 제1 NIC 접속부(210)와 제2 NIC 접속부(220)는 동시에 작동할 수 없고, 서로 영역을 침범할 수 없도록 물리적으로 분리시켜 줌으로서 보안성을 강화할 수 있다. 즉, 선택스위치(230)에 의해 일반망(1) 또는 보안망(2)이 선택되는 경우 제어부(240)에서 스테이션(100)에 직접 연결해주고, 선택되지 않은 제1 NIC 접속부(210) 또는 제2 NIC 접속부(220)는 연결을 차단하게 되며, 차단된 제1 NIC 접속부(210) 또는 제2 NIC 접속부(220)의 제1 ROM(250) 또는 제2 ROM(260)의 데이터를 활성화하여 선택되지 않은 제1 또는 제2서버(10,20)에 클라이언트인 스테이션(100)의 접속상태에 관한 정보를 제공하게 된다.

이때, 제어부(240)에 의해 제어된 제1 NIC 접속부(210) 또는 제2 NIC 접속부(220)은 최종 종료를 제외하고 제1 또는 제2서버(10,20)에 스테이션(100)이 연결되어 있는 것으로 인식하도록 유휴신호를 송출하여 듀얼 구성이 가능하며, 용도에 따라 스테이션(100)에 별도의 스토리지(Storage)를 추가하여 효율성을 높일 수 있다.

이하, 도 1 내지 도 3을 참고로 본 발명에 따른 가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템의 운영 예를 설명한다.

NIC 스플리터(200)의 제1 NIC 접속부(210) 및 제2 NIC 접속부(220)에 일반 인터넷 회선과 보안 회선을 각각 연결하고, NIC 스플리터(200)가 초기화되면 USB를 통해 스테이션(100)의 접속정보가 NIC 스플리터(200)로 수신된다.

이에 따라 제어부(240)인 MCU의 통신 소프트웨어(242) 구동에 따라 초기 설정에서 주 통신 방식을 선정하게 된다. 이 경우 필요에 따라 일반망(1) 또는 보안망(2)을 선택적으로 우선 접속하도록 설정할 수 있는데, 예를 들어 일반망(1)을 우선접속하도록 설정하는 경우 NIC 활성에 따른 연결 제어를 수행하는 NIC제어(244)를 통해 제1 NIC 접속부(210)는 활성화하고, 제2 NIC 접속부(220)를 통한 보안망(2)의 사용을 차단하기 위해 제2 ROM(260)을 활성화시켜 제2 ROM(260)에 저장된 클라이언트의 접속정보를 제2 서버(20)로 전송하여 제1 NIC 접속부(210)를 슬립모드로 작동시키게 된다. 즉, 제2 서버(20)에서 클라이언트가 연결되어 있어도 사용하지 않는 휴면상태로 인식하도록 하기 위해 상기 제2 NIC 접속부(220)를 통해 제2 ROM(260)에 저장된 클라이언트의 접속정보를 상기 제2 서버(20)로 전송하게 된다.

한편, 보안망(2)으로의 데이터 통신을 수행하고자 하는 경우에는 선택스위치(230)를 조작한다. 이와 같은 선택스위치(230)의 조작신호는 제어부(240)로 입력되며, 상기 제어부(240)는 선택신호에 따라 제2 NIC 접속부(220)를 작동시켜 보안망을 ㅌ통한 제2 서버(20)와의 데이터 통신을 수행할 수 있다. 이 경우 제어부(240)는 실질적으로는 제1 NIC 접속부(210)를 통한 일반망(1)의 사용을 차단하기 위해 제1 ROM(250)을 활성화시켜 제1 ROM(250)에 저장된 클라이언트의 접속정보를 제1 서버(10)로 전송하여 제1 NIC 접속부(210)를 슬립모드로 작동시키게 된다. 즉, 제1 서버(10)에서 클라이언트가 연결되어 있어도 사용하지 않는 휴면상태로 인식하도록 하기 위해 상기 제1 NIC 접속부(210)를 통해 제1 ROM(250)에 저장된 클라이언트의 접속정보를 상기 제1 서버(10)로 전송하게 된다.

물론, 보안망(2)으로의 데이터 통신을 수행하던 중에 NIC 스플리터(200)가 초기화되면 기본 초기 설정상태로 되돌아가게 되며, 일 예로 전술한 바와 같이 일반망(1)을 우선 접속하도록 설정할 수 있다.

이상에서는 본 발명의 특징을 바람직한 실시 예를 들어 도시하고 설명하였으나, 본 발명은 상기한 실시 예에 한정되지 아니하며, 본 발명의 목적, 구성, 효과를 벗어나지 않는 범위 내에서 당해 발명이 속하는 기술분야에서 통상의 지식을 가진 자에 의해 다양한 변경 실시가 가능할 것이다.

1: 일반망 2: 보안망
10: 제1 서버 12: 제1 허브
20: 제2 서버 22: 제2 허브
100: 스테이션 200: 스플리터
210: 제1 NIC 접속부 220: 제2 NIC 접속부
230: 선택 스위치 240: 제어부
250: 제1 ROM 260: 제2 ROM

Claims

일반망(1)의 제1 서버(10)와 일반 인터넷 회선을 통해 연결되는 제1 허브(12)와, 보안망(2)의 제2 서버(20)와 보안회선을 통해 연결되는 제2 허브(22)와, 가상화 환경을 통해 상기 제1 서버(10) 또는 제2 서버(20)와의 데이터 통신을 수행하는 스테이션(100)과, 상기 스테이션(100)과 유에스비(USB) 방식으로 연결되고 상기 제1 및 제2허브를 통해 상기 제1 서버(10) 또는 제2 서버(20)에 상기 스테이션(100)이 망전환을 통해 선택적으로 접속하도록 하는 NIC 스플리터(200)로 구성되며, 상기 NIC 스플리터(200)는 일반망(1) 접속을 위한 제1 허브(12)와 연결되는 제1 NIC 접속부(210)와, 보안망(2)을 연결하는 제2 허브(22)와 연결되는 제2 NIC 접속부(220)와, 상기 제1 또는 제2 NIC 접속부(210,220)의 구동을 위한 선택 스위치(230)와, 상기 선택 스위치(230)의 선택신호에 따라 상기 제1 및 제2 서버(10,20)와의 통신 방식을 동기화하는 제어부(240)로 이루어지며,
상기 제어부(240)는 MCU로 구성되어 상기 스테이션(100)의 초기정보가 저장되며, 상기 제어부(240)에 의해 구동이 제어되는 제1 및 제2 ROM(250,260)에는 스테이션의 초기정보 및 접속정보가 저장되어; 상기 제어부(240)는, 상기 선택스위치(230)의 선택에 따라 제1 NIC 접속부(210)를 통한 일반망(1)에 접속을 시도하면 제1 NIC 접속부(210)를 작동시켜 제1 서버(10)와의 데이터 통신을 수행하고, 제2 ROM(260)을 활성화시켜 제2 ROM(260)의 접속정보를 제2 서버(20)로 전송하여 제2 NIC 접속부(220)를 슬립모드로 작동시키며; 상기 제어부(240)는, 상기 선택스위치(230)의 선택에 따라 제2 NIC 접속부(220)를 통한 보안망(2)에 접속을 시도하면 제2 NIC 접속부(220)를 작동시켜 제2 서버(20)와의 데이터 통신을 수행하고, 제1 ROM(250)을 활성화시켜 제1 ROM(250)의 접속정보를 제1 서버(10)로 전송하여 제1 NIC 접속부(210)를 슬립모드로 작동시키는 것을 특징으로 하는 가상화 환경에서 이더넷기술을 이용한 물리적 망 분리 시스템.
삭제
삭제