IP 주소와 서브넷

IP의 일: 최선을 다해, 한 상자씩

3장에서 본 계층 구조에서 IP(Internet Protocol)는 네트워크 계층을 맡는다. 할 일은 하나뿐이다. 목적지 주소가 적힌 상자(패킷)를 지구 어디든 그 주소의 기기까지 가져다 놓는 것. 이더넷(6장)이 같은 건물 안의 우편실이라면, IP는 도시와 나라를 넘나드는 택배 회사다.

IP의 배달 방식에는 두 가지 큰 특징이 있다.

• 최선형 전달(best-effort delivery): 최선을 다하지만 아무것도 약속하지 않는다. 상자가 사라질 수도, 순서가 바뀔 수도, 드물게는 두 번 도착할 수도 있다. 혼잡한 라우터는 넘치는 패킷을 그냥 버린다. 분실을 챙기는 일은 위층의 TCP(9장)에게 맡긴다.
• 비연결형(connectionless): 보내기 전에 상대와 약속(연결 설정)을 하지 않는다. 패킷마다 완전한 주소가 적혀 있고, 라우터는 각 패킷을 서로 모르는 남처럼 따로 처리한다. 같은 대화의 패킷도 다른 길로 갈 수 있다.

약속을 적게 한 덕분에 IP는 단순하고, 단순한 덕분에 구리선·광섬유·전파·위성 어떤 링크 위에서도 돌아간다. “인터넷의 허리”라 불리는 이유다. 아래는 IPv4 패킷 맨 앞에 붙는 20바이트 헤더, 즉 택배 상자의 송장이다.

32비트 주소: 네트워크 부분과 호스트 부분

IPv4 주소는 32개의 비트, 즉 0과 1이 32개 늘어선 숫자다. 사람이 읽기 쉽게 8비트(1바이트)씩 끊어 각각 0~255의 십진수로 쓰고 점으로 잇는다. 이를 점 표기(dotted decimal)라 한다. 192.168.10.37은 사실 11000000 10101000 00001010 00100101이다. 가능한 주소는 2³² ≈ 43억 개다.

주소의 앞쪽은 어느 네트워크인가, 뒤쪽은 그 네트워크 안의 어느 기기인가를 뜻한다. 도로명 주소의 “테헤란로 123”이 동네와 건물을 가리키고, 뒤의 호수가 집을 가리키는 것과 같다. 라우터는 앞부분(네트워크)만 보고 길을 정하므로, 전 세계 기기 수십억 개를 일일이 외울 필요 없이 네트워크 수십만~백만 개 정도만 알면 된다(8장).

클래스에서 CIDR로

1981년 처음 정한 규칙은 경계선을 8비트 단위로 고정한 클래스 방식이었다. 첫 숫자만 보면 클래스가 정해졌다.

문제는 크기가 세 가지뿐이라는 것이었다. 직원 2,000명 회사는 C(254대)로는 모자라 B(65,534대)를 받아야 했고, 6만 개 넘는 주소가 놀았다. 1990년대 초 B 클래스가 빠르게 바닥나자 1993년 CIDR(Classless Inter-Domain Routing)이 도입됐다. 경계선을 아무 비트에나 둘 수 있게 하고, 주소 뒤에 /22처럼 네트워크 비트 수를 붙인다. 이 숫자를 프리픽스 길이(prefix length)라 한다. 2,000명 회사는 이제 /21(2,046대)을 받으면 된다. 오늘날 클래스라는 말은 역사 용어로만 남았다.

서브넷 계산기

프리픽스 길이를 비트 모양으로 쓴 것이 서브넷 마스크(subnet mask)다. 네트워크 비트 자리는 1, 호스트 비트 자리는 0. /24는 1이 24개, 0이 8개이므로 255.255.255.0이다. 기기는 주소와 마스크를 비트별 AND(둘 다 1일 때만 1) 하여 자기 네트워크 주소를 얻고, 상대 주소도 같은 방식으로 계산해 “같은 동네인가?”를 판단한다. 같으면 직접(ARP로 MAC을 찾아) 보내고, 다르면 기본 게이트웨이(공유기)에게 맡긴다.

한 서브넷(subnet)에서 두 주소는 기기에게 줄 수 없다. 호스트 비트가 전부 0인 주소는 네트워크 자체의 이름(네트워크 주소)이고, 전부 1인 주소는 “이 네트워크의 모두에게”라는 뜻의 브로드캐스트 주소(broadcast address)다. 그래서 호스트 비트가 h개면 쓸 수 있는 주소는 2^h − 2개다.

서브넷 나누기와 VLSM

회사가 192.168.10.0/24 하나를 받았다고 하자. 영업팀, 개발팀, 손님 Wi-Fi를 한 네트워크에 몰아 두면 브로드캐스트가 모두에게 퍼지고, 보안 정책도 나누기 어렵다. 그래서 프리픽스를 늘려 작은 서브넷 여러 개로 쪼갠다. 비트 하나를 네트워크 쪽으로 빌릴 때마다 서브넷 수는 두 배, 크기는 절반이 된다.

그런데 팀마다 필요한 크기가 다르다. 모든 서브넷을 같은 크기로 자르면 라우터 두 대를 잇는 링크(주소 2개 필요)에도 62개짜리 블록을 줘야 한다. VLSM(Variable Length Subnet Mask)은 서브넷마다 프리픽스 길이를 다르게 해서 필요한 만큼만 떼어 준다. 큰 블록부터 차례로 배치하면 블록 경계가 저절로 맞는다.

특별한 주소들

43억 개의 주소가 모두 인터넷에서 쓰이는 것은 아니다. 몇 덩어리는 특별한 용도로 예약되어 있다. 가장 중요한 것은 사설 IP 주소(private address)다. 회사나 집 안에서 누구나 마음대로 쓸 수 있지만 인터넷으로는 나갈 수 없는 주소로, 1996년 RFC 1918이 정했다. 전 세계 수억 가정이 똑같이 192.168.0.1을 공유기 주소로 쓰는데도 충돌이 없는 이유다. 바깥으로 나갈 때는 NAT(아래)가 공인 주소로 바꿔 준다.

주소 빌리기(DHCP)와 이웃 찾기(ARP)

노트북을 처음 보는 Wi-Fi에 연결하면 주소, 마스크, 공유기 주소, DNS 서버 주소를 손으로 넣은 적이 없는데도 인터넷이 된다. DHCP(Dynamic Host Configuration Protocol) 덕분이다. 공유기 안의 DHCP 서버가 주소 묶음(예: 192.168.0.2~254)을 관리하며, 새로 온 기기에게 하나를 일정 기간 임대해 준다. 주고받는 메시지 네 개의 머리글자를 따서 DORA라 부른다.

주소를 얻은 노트북이 같은 LAN의 프린터 192.168.0.40에게 패킷을 보내려 한다. 그런데 이더넷과 Wi-Fi(6장, 13장)는 IP 주소가 아니라 MAC 주소로 프레임을 배달한다. 프린터의 MAC 주소는 어떻게 알까? ARP(Address Resolution Protocol)가 답이다. LAN 전체에 “192.168.0.40 쓰는 분, MAC 주소 알려 주세요” 하고 브로드캐스트로 외치면, 해당 기기만 자기 MAC을 적어 답한다. 답은 ARP 캐시에 잠시 저장해 두고 다음부터는 묻지 않는다.

목적지가 LAN 바깥(예: 8.8.8.8)이면? 노트북은 서브넷 마스크로 계산해 “다른 동네”임을 알고, 8.8.8.8이 아니라 기본 게이트웨이(공유기)의 MAC을 묻는다. IP 헤더의 목적지는 8.8.8.8 그대로 두고, 이더넷 프레임의 목적지만 공유기 MAC으로 적어 넘긴다. 택배 송장의 최종 주소는 그대로인데, 일단 동네 집하장 트럭에 싣는 것이다.

NAT: 대표 번호 하나로 온 가족이

집에는 휴대폰, 노트북, TV, 스피커까지 기기가 열 대 넘게 있지만, 통신사가 집에 주는 공인 IPv4 주소는 보통 하나다. 공유기의 NAT(Network Address Translation)가 이 문제를 푼다. 집 안 기기가 밖으로 패킷을 보내면, 공유기가 출발지 주소를 자기 공인 주소로 바꿔 적는다. 기기 여러 대가 동시에 나가도 구분할 수 있도록 출발지 포트 번호까지 바꾸고, 그 대응을 변환표에 적어 둔다. 포트까지 바꾸는 이 방식을 정확히는 PAT(Port Address Translation) 또는 NAPT라 하며, 집 공유기의 NAT는 사실상 모두 이것이다.

NAT의 부작용

• 서버를 열기 어렵다. 바깥에서 먼저 들어오는 연결은 막히므로 집 NAS, 게임 호스팅, CCTV를 바깥에서 보려면 포트 포워딩(port forwarding) 규칙을 손으로 넣거나, 공유기가 지원하면 앱이 UPnP로 자동 요청한다.
• P2P가 복잡해진다. 둘 다 NAT 뒤에 있는 두 사람이 영상 통화를 하려면 “구멍 뚫기”(STUN) 기법을 쓰거나, 실패하면 중계 서버(TURN)를 거쳐야 한다(24장).
• 종단 간 원칙이 깨진다. IP 주소가 기기를 끝까지 가리키지 못하고 중간 장비가 헤더를 고친다. 패킷 안에 IP 주소를 적는 오래된 프로토콜(FTP 등)은 공유기가 내용까지 고쳐야 한다.
• 이중 NAT, CGNAT. 주소가 더 모자라자 통신사는 가입자 공유기에게조차 100.64.x.x 같은 공유 주소를 주고, 통신사 장비에서 한 번 더 NAT를 한다. 이를 CGNAT(Carrier-Grade NAT)라 한다. 공인 IP 하나를 수십~수백 가입자가 나눠 쓰므로 포트 포워딩이 아예 불가능하고, 한 사람의 잘못으로 같은 IP 전체가 차단당하기도 한다. 휴대폰의 LTE·5G 데이터는 대부분 CGNAT 뒤에 있다.

IPv4 고갈과 IPv6

43억 개는 1981년에는 무한해 보였다. 하지만 PC, 휴대폰, 사물인터넷이 쏟아지며 바닥이 드러났다. 전 세계 주소를 총괄하는 IANA는 2011년 2월 마지막 /8 블록 다섯 개를 다섯 지역 인터넷 레지스트리(RIR)에 하나씩 나눠 주고 창고를 비웠다. 아시아·태평양의 APNIC은 두 달 뒤 사실상 소진됐고, 유럽(RIPE NCC), 남미(LACNIC), 북미(ARIN)가 뒤따랐다. 지금 IPv4 주소는 회사끼리 사고파는 “중고 자산”이 되어 주소 하나에 수십 달러 수준에 거래된다.

근본 해결책은 주소를 늘리는 것이다. IPv6는 주소를 128비트로 키웠다. 2¹²⁸ ≈ 3.4×10³⁸개, 지구 표면 1제곱미터마다 약 6.7×10²³개를 줄 수 있는 양이다. 집 하나의 LAN에 기본으로 주는 /64 서브넷 하나만 해도 1.8×10¹⁹개, IPv4 인터넷 전체의 40억 배가 넘는다. 주소가 넉넉하니 NAT가 필요 없고 모든 기기가 전 세계에서 유일한 주소를 가질 수 있다. 헤더도 고정 40바이트로 단순해졌고, 라우터가 패킷을 쪼개는 단편화(아래)와 헤더 체크섬을 없앴다.

IPv6 표기와 축약

128비트를 점과 십진수로 쓰면 16칸이나 되므로, IPv6는 16비트씩 8묶음으로 끊어 16진수로 쓰고 콜론으로 잇는다. 그래도 길어서 두 가지 축약 규칙이 있다. ① 각 묶음 앞의 0은 생략할 수 있다(0db8 → db8, 0000 → 0). ② 0으로만 된 묶음이 연달아 있으면 한 번만 ::로 줄일 수 있다(두 번 쓰면 각각 몇 묶음인지 알 수 없다). 표준 권장 표기(RFC 5952)는 소문자, 가장 긴 0 묶음 덩어리를 줄이고, 길이가 같으면 앞쪽을 줄이며, 0 묶음 하나만은 ::로 줄이지 않는다.

주소를 스스로 만드는 SLAAC

IPv6 기기는 DHCP 서버 없이도 주소를 만든다. 이를 SLAAC(Stateless Address Autoconfiguration)이라 한다. 라우터가 주기적으로(또는 요청받으면) “이 링크의 프리픽스는 2001:db8:1:2::/64”라는 라우터 광고(RA)를 보내면, 기기는 뒤 64비트 인터페이스 ID를 스스로 정해 붙인다. 예전에는 MAC 주소로 만들었지만(EUI-64) 어디서 접속하든 같은 꼬리가 남아 추적에 악용될 수 있어, 요즘 OS는 무작위 값을 쓰고 주기적으로 바꾼다. 같은 주소를 이미 누가 쓰는지는 NDP(IPv6판 ARP)로 물어 확인한다. ARP와 브로드캐스트는 IPv6에서 사라지고 멀티캐스트 기반 NDP가 그 역할을 맡는다.

이사는 아직 진행 중

IPv6는 IPv4와 호환되지 않는다. 그래서 지금은 기기와 망이 두 주소를 함께 쓰는 듀얼 스택(dual stack)으로 과도기를 보낸다. 웹사이트가 두 주소를 다 가지면 브라우저는 IPv6를 먼저 시도하고, 느리면 재빨리 IPv4로 바꾼다(Happy Eyeballs). 구글이 집계하는 자사 서비스 접속 중 IPv6 비율은 2025년 무렵 약 45~50% 수준이다. 나라와 통신사마다 차이가 커서 인도·프랑스·독일 등은 절반을 크게 넘고, IPv4 주소를 일찍 넉넉히 받은 곳은 상대적으로 낮다. 휴대폰 망은 IPv6 전용으로 운영하고 IPv4 사이트만 변환 장비(NAT64)로 연결하는 통신사도 많다.

단편화, MTU, 그리고 TTL

링크마다 한 번에 실을 수 있는 최대 크기, MTU가 다르다(이더넷은 보통 1,500바이트, 데이터센터의 점보 프레임은 9,000바이트, 6장). 큰 MTU 구간에서 온 4,000바이트 패킷이 1,500바이트 구간을 만나면? IPv4 라우터는 패킷을 여러 조각으로 자른다. 이를 단편화(fragmentation)라 한다. 조각마다 IP 헤더를 새로 붙이고, 같은 식별자와 “원래 패킷의 몇 번째 바이트부터인가(조각 오프셋)”, “뒤에 조각이 더 있다(MF 플래그)”를 적는다. 다시 맞추는 일은 최종 목적지만 한다.

단편화는 성능과 보안에 모두 골칫거리라 지금은 피하는 것이 원칙이다. 보내는 쪽이 “쪼개지 마시오(DF)” 표시를 하고 보내면, 너무 큰 패킷을 만난 라우터는 버리면서 ICMP 오류로 “이 구간 MTU는 1,500”이라고 알려 준다. 보내는 쪽은 크기를 줄여 다시 보낸다. 이를 경로 MTU 탐색(PMTUD)이라 한다. 방화벽이 이 ICMP를 막으면 작은 웹 페이지는 열리는데 큰 페이지만 멈추는 기묘한 장애가 생긴다(23장).

헤더의 TTL(Time To Live)은 라우터를 하나 지날 때마다 1씩 줄고, 0이 되면 그 라우터가 패킷을 버리고 출발지에 ICMP “시간 초과”를 알린다. 이름은 “생존 시간”이지만 실제로는 남은 홉 수다. 라우팅 설정 실수로 라우터 두 대가 서로에게 패킷을 넘기는 고리가 생겨도, 패킷이 영원히 돌며 링크를 가득 채우는 일을 막는다. 보통 64나 128로 시작한다. 8장의 traceroute는 이 TTL을 일부러 1, 2, 3…으로 보내 경로를 알아내는 영리한 도구다.