피드로 돌아가기
Cloudflare BlogInfrastructure
원문 읽기
Public IP 없이 Private Origin에 WAF 및 Application 서비스 통합 구현
Route public traffic to private applications with Cloudflare
AI 요약
Context
기존 Private Application은 VPN, Firewall 등으로 격리되어 WAF, Bot Management 등 현대적인 Application Layer 보안 서비스 적용 시 Public IP 노출이나 복잡한 Connector 설치가 필수적이었음. 이로 인해 Public과 Private 인프라 간 운영 스택이 분리되어 관리 복잡도와 보안 허점이 발생하는 구조적 한계가 존재함.
Technical Solution
- Cloudflare의 Private Networking Routing Layer를 Application Services Stack에 직접 통합하여 Private IP를 유효한 Origin Target으로 인식하는 구조 설계
- Cloudflare WAN(IPsec, GRE, CNI) 및 Cloudflare Mesh의 기존 연결성을 활용하여 별도의 Connector 소프트웨어(cloudflared) 설치 없이 트래픽 라우팅 구현
- Proxied A/AAAA 레코드의 'Use private network routing' 옵션을 통해 WAF, Rate Limiting, Caching 등의 보안 필터를 거친 후 최종 홉에서만 Private Network로 경로 전환
- Workers VPC Binding을 통해 Cloudflare 런타임 내 코드가 DNS 레코드와 동일한 Private Path를 공유하도록 설계하여 일관된 라우팅 경로 확보
- 100.64.0.0/12 Source IP Range의 리턴 경로 설정을 통한 Private Network 내 단방향 통신 제약 해결
실천 포인트
- Public IP 노출 없이 내부 API에 WAF 및 Rate Limiting을 적용해야 하는 환경인지 검토 - IPsec, GRE, CNI 등 기존 Site-to-Site 연결성을 Application Layer 보안과 통합 가능한지 확인 - Worker 기반 서버리스 아키텍처에서 VPC 내부 리소스 접근 시 전용 Binding 설정 적용 여부 검토 - Private Network 내에서 Cloudflare Source IP 범위(
1
0
0.
6
4.
0.0/12)에 대한 Routing Table 설정 가능 여부 확인