kintex/docs/architecture/network.md

킨텍스 자동전시시스템 — 네트워크 아키텍처 (A-5)

작성: 네트워크 아키텍트(NA) · 작성일: 2026-07-11 · 버전 v1.0 근거: ../PLANNING.md v2.0 (§2-1 역할별 포털, §8 아키텍처, §8-1 v2.0 보강, §10 R12 외부 API 게이트), ../IMPLEMENTATION_BACKLOG.md A-5 교차참조(Phase A 동시 산출·정합 대상): AA app.md(A-1) · SA system.md(A-2, 보안영역·배포 토폴로지) · TA tech.md(A-3, 관측성·AiTextRouter) · DA data.md(A-4) 범위: IT 인프라 네트워크(계정·서비스·데이터 트래픽 경로) 설계·정책. 구현(nginx·방화벽 룰·systemd·CI/CD)은 devops(DEV) 트랙. 본 문서는 설계·정책·리뷰이며 코드/설정을 생성하지 않는다.

---

0. 범위 경계 — M4 전시장 유틸리티 배선과의 구분 (필독)

본 문서가 다루는 것은 플랫폼 IT 인프라 네트워크(웹/모바일 클라이언트 ↔ 애플리케이션 ↔ 데이터/AI 워커 사이의 트래픽 경로, 보안영역, 방화벽, 부하분산, 외부 아웃바운드)이다.

이는 M4 유틸리티 설계 모듈이 다루는 전시장 바닥 트렌치 배선(전기·조명·인터넷/전화·급배수·압축공기)과 완전히 별개다.

구분	M4 유틸리티 배선 (PLANNING §M4)	본 문서 = IT 인프라 네트워크 (A-5)
대상	전시홀 바닥 트렌치의 물리 배선(부스별 전기 kW·인터넷 회선·급배수 구)	플랫폼 서버·서비스·클라이언트 간 데이터 트래픽
데이터 성격	배선 경로 = PostGIS LineString(업무 데이터), 위치표시도, 자동 견적	VLAN·서브넷·방화벽 존·LB·TLS·아웃바운드
소유	M4 개발(BE/DB/FE) — 도메인 기능	NA(본 문서) + devops 구현
관계	M4의 "인터넷 유선 150,000원/회선" 신청은 전시 참가업체가 전시장에서 쓸 회선 — 플랫폼 운영 네트워크와 무관	플랫폼 자체가 도는 인프라

요약: "전시장에 깔리는 인터넷 회선"(M4, 참가업체 상품)과 "이 플랫폼이 도는 네트워크"(A-5, 운영 인프라)는 이름만 겹칠 뿐 다른 계층이다. 혼동 시 보안영역·정산이 오염되므로 문서·코드·용어에서 항상 분리한다.

---

1. 설계 원칙

1. 2영역 분리(공개 vs 내부) 최소권한: 불특정 다수가 접근하는 공개/관람객 트래픽(DMZ) 과 킨텍스 직원·관리자·백오피스가 쓰는 내부 운영(내부망) 을 물리/논리적으로 분리한다. 공개 영역이 뚫려도 내부망·데이터 계층에 직접 도달하지 못한다(계층 방어).
2. 역할별 프론트 = 공격면 분리(PLANNING §8-1): organizer·exhibitor·contractor·ops·admin·public/visitor 6개 프론트를 별도 번들·도메인/서브패스로 배포. 네트워크 계층에서도 공개 성격(public/visitor) 과 인증 필수(organizer·exhibitor·contractor·ops·admin) 를 존으로 나눈다.
3. 기본 거부(default-deny): 인바운드·아웃바운드 모두 화이트리스트. 특히 아웃바운드는 승인된 목적지(Claude·Gemini·PG·SMTP·모델서버)만 포워드 프록시/egress 방화벽을 통해 허용, 그 외 전면 차단(폐쇄망 지향).
4. 단일 진입 + TLS 종단: 모든 외부 인바운드는 리버스 프록시/로드밸런서(nginx) 한 곳에서 TLS 종단하고 내부는 사설망 트래픽. 백엔드 포트는 외부 미노출.
5. GUARDiA 인프라와 도메인 분리: kintex는 독립 저장소(zio/kintex)이며 GUARDiA ITSM/관제 인프라 서버(101.79.17.164)와 별개 도메인·별개 배포 대상이다(배포 서버·포트는 G2 게이트에서 확정). 본 설계는 그 별개 도메인 위에 존을 정의한다.

---

2. 보안영역(Security Zone) 모델

4계층 존 + 관리 존으로 나눈다. 존 간 통신은 명시된 방향·포트만 허용한다.

graph TB
    subgraph INET[인터넷 / 불특정 다수]
        U1[일반 대중·관람객]
        U2[주최자·참가업체·업체<br/>인증 사용자]
        U3[킨텍스 직원·관리자]
        PGc[PG사 콜백]
    end

    subgraph EDGE[엣지 / DDoS·CDN·WAF]
        CDN[CDN·정적 캐시<br/>공개사이트 에셋·이미지]
        WAF[WAF + DDoS 방어<br/>레이트리밋]
    end

    subgraph DMZ[DMZ · 공개 영역]
        LBp[리버스 프록시/LB<br/>TLS 종단 · 공개]
        PUB[public www/expo<br/>SSR·SEO·다국어 렌더]
        VIS[visitor 관람객 앱 게이트웨이]
        APIGWp[공개 API GW<br/>등록·조회·티켓·wayfinding·PG콜백]
    end

    subgraph INTNET[내부망 · 인증·운영 영역]
        LBi[내부 프록시/LB<br/>TLS · mTLS 옵션]
        AUTH[SSO/JWT·RBAC·2FA<br/>인증 게이트]
        APIGWi[내부 API GW<br/>organizer·exhibitor·contractor·ops·admin]
        APP[공유 Spring Boot 백엔드<br/>룰·배치/배선·옥션·BI·CMS]
    end

    subgraph AITIER[AI 워커 존 · egress 제한]
        REDIS[(Redis 작업 큐)]
        NB[나노바나나 Python 워커]
        OLL[온프레미스 모델<br/>Ollama 폴백]
    end

    subgraph DATA[데이터 존 · 최내곽]
        PG[(PostgreSQL+PostGIS)]
        OBJ[(오브젝트 스토리지)]
        RREP[(BI 읽기전용 복제/스냅샷)]
    end

    subgraph MGMT[관리 존]
        BAST[배스천/점프호스트<br/>SSH·운영접근]
        OBS[관측성<br/>로그·메트릭·트레이스]
    end

    subgraph OUT[승인된 아웃바운드 목적지]
        ANTH[api.anthropic.com<br/>Claude ✅승인]
        GEM[generativelanguage.googleapis.com<br/>Gemini ⚠️G1 게이트]
        PGext[PG사 결제 API]
        SMTP[SMTP 메일]
    end

    U1 --> WAF --> CDN
    U1 --> WAF --> LBp
    U2 --> WAF --> LBp
    PGc --> WAF --> LBp
    U3 -->|VPN/허용 IP| LBi

    LBp --> PUB & VIS & APIGWp
    APIGWp --> AUTH
    LBi --> AUTH --> APIGWi --> APP
    APIGWp -.제한 라우팅.-> APP

    APP --> REDIS --> NB
    APP --> PG
    APP --> OBJ
    APP --> RREP
    NB --> OBJ
    NB -.egress only.-> GEM
    APP -.egress.-> ANTH
    APP -.egress.-> PGext
    APP -.egress.-> SMTP
    NB & APP -.폴백.-> OLL

    BAST -.운영 SSH.-> INTNET & AITIER & DATA
    APP & NB & PUB -.로그/메트릭.-> OBS

2-1. 존 정의·신뢰수준

존	신뢰	구성 요소	인바운드 허용	아웃바운드 허용
엣지	무신뢰	CDN, WAF/DDoS	인터넷 80/443	DMZ LB
DMZ(공개)	낮음	공개 LB(TLS 종단), public SSR, visitor 게이트웨이, 공개 API GW, PG 콜백 수신	엣지에서만	내부망 API GW(제한 라우팅), 데이터 존 직결 금지
내부망(인증·운영)	중	내부 LB, SSO/인증 게이트, 내부 API GW, 공유 Spring Boot 백엔드, 룰·배치/배선·옥션·BI·CMS 서비스	DMZ(허용 API만)·관리 존(허용 IP/VPN)	데이터 존, AI 워커 존, 승인 아웃바운드(프록시 경유)
AI 워커 존	중(egress 통제)	Redis 큐, 나노바나나 Python 워커, 온프레미스 모델(Ollama)	내부망(큐 소비만)	데이터 존(OBJ 적재), Gemini egress 단일 경로만
데이터 존(최내곽)	높음	PostgreSQL+PostGIS, 오브젝트 스토리지, BI 읽기전용 복제	내부망·AI 워커(정의된 서비스 계정만)	없음(아웃바운드 전면 차단)
관리 존	높음	배스천/점프호스트, 관측성(로그·메트릭·트레이스), 백업	운영자 VPN/허용 IP만	대상 존 SSH·수집

핵심 규칙: DMZ → 데이터 존 직접 접근 절대 금지. 공개 트래픽이 데이터에 닿으려면 반드시 내부망 백엔드 API를 경유(인증·인가·검증). 데이터 존은 아웃바운드가 없어 유출 경로 자체를 제거한다.

---

3. 공개(DMZ) vs 내부망 — 포털·도메인 매핑

PLANNING §2-1 6역할 포털을 네트워크 노출 성격으로 재분류한다.

포털/앱	도메인(예시, G2에서 확정)	노출 영역	인증	렌더 경로
공개 홍보 사이트 (M12)	www. / expo.	DMZ(공개)	불필요(쓰기 없음)	SSR/정적 생성 + CDN, SEO·다국어(hreflang)
관람객 앱 (M10·M13)	visitor. (모바일 API)	DMZ(공개)	셀프서비스(경량, 쓰기 제한)	모바일 클라이언트 ↔ 공개 API GW
주최자 콘솔	organizer.	내부망(인증)	JWT SSO + Event owner	React SPA + 내부 API GW
참가업체 포털	exhibitor.	내부망(인증)	JWT SSO + Event member	React SPA
업체 포털·옥션	contractor.	내부망(인증)	등록업체 검증 계정	React SPA
운영 대시보드(홀매니저)	ops.	내부망(운영) — 접근 IP/VPN 제한 권장	킨텍스 내부 계정	React SPA
관리자 백오피스 (M18)	admin.	내부망(관리) — 강한 제한(VPN/허용 IP·2FA 필수·모바일 미제공)	플랫폼 관리자 + 2FA 강제	React SPA(웹 전용)

• 공개(DMZ) 3원칙: (1) 쓰기 권한 없음(등록·조회·티켓·매칭 조회만), (2) 데이터 존 직결 불가, (3) 캐시/CDN 적극(공개 성능·검색 노출). 공개 API GW는 읽기·등록 한정 엔드포인트만 화이트리스트로 노출.
• 내부망 인증 앱: SSO/JWT + 역할·행사 이중 RBAC(§8-1). ops.·admin.은 킨텍스 내부 대역/VPN·허용 IP로 접근 자체를 좁힌다(직원 대상이므로 인터넷 전면 노출 불필요).
• admin. 백오피스: 최고 위험. VPN 또는 킨텍스 사내망 + 허용 IP allowlist + 2FA(OTP) 강제 + 감사로그 전량. 크로스-테넌트 권한을 가지므로 공개 인터넷 경로에서 도달 불가하게 한다.

---

4. 방화벽 · WAF 정책

4-1. 방화벽(존 간 트래픽 매트릭스)

From \ To	엣지	DMZ	내부망	AI 워커	데이터	관리	인터넷(egress)
인터넷	443/80	(엣지 경유)	✗	✗	✗	✗	—
엣지	—	443	✗	✗	✗	✗	✗
DMZ	—	—	내부 API GW(허용 엔드포인트 https)	✗	✗	✗	✗
내부망	—	—	—	Redis 6379·워커	PG 5432·OBJ https	✗	프록시 경유(§5)
AI 워커	—	—	완료 푸시(WebSocket)	—	OBJ https	✗	Gemini 단일(§5)
데이터	—	—	—	—	—	✗	✗(전면 차단)
관리	—	—	SSH	SSH	SSH(제한)	—	패키지/업데이트(제한)

• 기본 정책 = DROP. 위 표의 명시 경로만 ALLOW. 포트는 예시(운영값은 devops가 G2에서 확정).
• 백엔드(Spring Boot)·Redis·PostgreSQL·오브젝트 스토리지 포트는 인터넷에 미노출 — 사설 대역에서만 청취.
• DMZ↔내부망 사이는 애플리케이션 프로토콜(HTTPS/API)만 통과, DB 프로토콜(5432 등) 횡단 금지.

4-2. WAF (공개 트래픽 전면)

DMZ 진입 전 엣지에서 WAF를 통과시킨다.

• OWASP Top10 룰셋(SQLi·XSS·경로조작·SSRF·파일업로드 악용). 도면/이미지 업로드(M2·M3·M5)·CMS(M17)·공개 등록 폼(M10)이 주요 표적 → 업로드 확장자·MIME·크기 검증을 WAF + 애플리케이션 이중.
• 봇/스크래핑 방어: 공개사이트(M12)는 SEO 목적상 정상 크롤러(구글봇 등)는 허용하되, 등록·티켓·비즈매칭 엔드포인트는 봇 챌린지·리캡차 옵션.
• PG 콜백 검증: DMZ에서 수신하는 PG 결제 콜백은 출처 IP allowlist + 서명 검증을 WAF/애플리케이션에서 이중 확인(위조 콜백 차단).
• 관리자·옥션 엔드포인트: admin.·M15 옥션 응찰(가격 조작 민감)은 WAF 예외 없이 최상위 룰 + 레이트리밋 강화.

---

5. 외부 연동 아웃바운드 정책 (승인 게이트 준수)

폐쇄망 지향 — egress 기본 차단. 승인된 목적지만 포워드 프록시(egress 게이트웨이)를 통해 도메인 화이트리스트로 허용하고, 그 외 전량 차단·로깅한다.

목적지	용도	승인 상태	경로 · 정책
api.anthropic.com	Claude 텍스트 AI(규정검수·서류·BI 인사이트·AiTextRouter 기본)	✅ 승인(2026-07-03, 소유자)	백엔드 → egress 프록시. ANTHROPIC_API_KEY는 서버 env only — DB·코드·커밋·로그·응답 기록 금지. 실패 시 Ollama 폴백
generativelanguage.googleapis.com	Gemini 나노바나나 이미지 생성(M5)	⚠️ 미승인 — G1 게이트(PLANNING R12)	나노바나나 Python 워커에서만 egress. GEMINI_API_KEY는 워커 env only(백엔드 미취급). G1 소유자 승인 전 실호출·배포 금지 → 미승인 시 워커 목/degraded(import·구조만 성립). 승인 시에도 워커 존 단일 경로만 개방
PG사 결제 API	M9 정산·결제, M10 티켓, M15 발주	결제 필수(도메인 확정 G2)	백엔드 → egress. 콜백은 인바운드(§4-2). 키·상점ID env only
SMTP	2차 인증 EMAIL 코드·알림 발송	필요	지정 SMTP host:port만. 미설정 시 로컬 로그 모드
온프레미스 모델(Ollama 등)	AI 폴백·임베딩	내부(egress 아님)	AI 워커/내부망 내부 통신 — 외부 나가지 않음

아웃바운드 통제 원칙:

1. 단일 egress 게이트웨이 경유 — 각 서비스가 임의 외부 IP로 직접 나가지 못한다. 목적지 도메인 allowlist로만 통과.
2. 키 격리 = 네트워크 격리와 정합: Gemini 키는 워커 존에만, Claude/PG 키는 백엔드에만. 데이터 존은 아웃바운드 자체가 없어 어떤 키도 외부로 나갈 수 없다.
3. G1 게이트 강제: Gemini egress 룰은 G1 승인 이전엔 비활성(차단) 상태로 배포. 승인 티켓 없이 열리지 않도록 devops가 방화벽/프록시 룰을 게이트에 종속.
4. 감사: 전 아웃바운드는 목적지·시각·서비스만 로깅(요청 본문·키·응답 미기록 — 자격증명 보호 원칙).

---

6. 부하분산 · TLS 종단 · API 게이트웨이

6-1. 로드밸런싱

• 공개 LB(DMZ): www/expo·visitor·공개 API GW 앞단. SSR 렌더 인스턴스와 정적 에셋(CDN 오프로드)을 분리. 관람객 대량 트래픽(개막일 사전등록·체크인 피크, M10)을 수평 확장 대상으로 본다.
• 내부 LB(내부망): 공유 Spring Boot 백엔드 앞단. organizer·exhibitor·contractor·ops·admin 트래픽을 라우팅. 무상태 세션(JWT) 전제로 라운드로빈/최소연결 + 헬스체크.
• WebSocket/STOMP: 나노바나나 완료 푸시·옥션 실시간 순위(M15)는 WS 스티키/전용 경로 필요 — LB에서 WS 업그레이드·타임아웃·스티키 정책 별도(TA tech.md와 정합).
• AI 워커: HTTP 인입 대상 아님(Redis 큐 소비형) — LB 대상 아님, 워커 수평 확장은 큐 컨슈머 스케일로 처리.

6-2. TLS 종단

• 모든 외부 인바운드는 LB(nginx)에서 TLS 종단. 인증서는 공개 도메인(공개사이트)과 인증 포털 도메인 각각 관리(SAN/멀티도메인 또는 개별).
• 종단 후 내부는 사설망 평문 또는 존 간 mTLS(옵션). DMZ→내부망 호출은 mTLS 권장(공개 영역이 내부 API를 사칭 호출하지 못하도록).
• HSTS·TLS1.2+ 강제·약한 cipher 비활성. admin.·옥션 등 민감 경로는 최신 TLS만.

6-3. API 게이트웨이 (공개/내부 분리)

• 공개 API GW(DMZ): 화이트리스트 엔드포인트만 — 관람객 등록·조회·티켓·wayfinding 조회·PG 콜백. 쓰기·관리·설계·옥션 엔드포인트 노출 금지. 레이트리밋·봇 방어 1차.
• 내부 API GW(내부망): 인증 필수 전 기능. SSO/JWT 검증 → 역할·행사 RBAC(§8-1) → 백엔드 라우팅. 옥션(M15)·설계(M2~M5)·BI(M16)·admin(M18) 전부 여기.
• 두 GW는 동일 공유 백엔드를 바라보되 노출 표면이 다르다(공개는 극히 일부, 내부는 전체). 이 분리가 최소권한 네트워크의 핵심.

---

7. DDoS · 레이트리밋 (공개 트래픽)

공개 영역은 불특정 다수 노출 → 가용성 위협 상수. 계층 방어한다.

계층	대상	정책
엣지(WAF/CDN)	볼류메트릭 DDoS(L3/4), 정적 에셋	CDN 캐시로 오리진 보호, SYN/UDP 플러드 스크러빙, 지오/IP 평판 필터
공개 LB	L7 요청 폭주	커넥션·요청률 상한, slowloris 타임아웃, 동시연결 캡
공개 API GW	엔드포인트별 레이트리밋	등록·티켓·비즈매칭은 IP/계정별 토큰버킷. 개막일 피크(M10 체크인) 대비 버스트 허용치 별도
애플리케이션	남용 방지	로그인·2FA·PG 콜백은 강한 레이트리밋 + 실패 잠금(§8-1 로그인 실패 잠금과 정합)

• 옥션(M15) 특수: 마감 직전 응찰 폭주·자동응찰 스크립트 가능성 → 응찰 API는 계정별 레이트리밋 + 서버 권위 타임스탬프(클라이언트 시간 불신) + 이상 패턴(초당 다중 인하) 플래그.
• 관람객 체크인 오프라인 폴백(PLANNING M10 한계): 현장 네트워크 불안정·DDoS 시에도 QR 체크인은 오프라인 대기열·후동기화가 가능해야 함 — 네트워크 장애가 현장 운영 정지로 직결되지 않도록 클라이언트 폴백을 전제.

---

8. 세그먼테이션 · 격리

1. 행사(Event) 단위 데이터 격리(PLANNING R10): 부스 설계는 경쟁사 민감 정보. 네트워크가 아니라 애플리케이션 RBAC + 데이터 존 접근 계정 최소화로 격리(같은 백엔드 안에서 행사별 인가). 네트워크 세그먼트는 존 단위, 테넌트 격리는 인가 계층 — 이중.
2. 서비스 계정 분리: 백엔드·워커·BI 복제는 각기 다른 DB 계정/최소 권한으로 데이터 존 접근(워커는 OBJ 쓰기만, BI는 읽기전용 복제만). 한 서비스 침해가 전 데이터로 번지지 않게 한다.
3. BI 부하·경로 분리(PLANNING §8-1): 운영 DB 보호를 위해 BI(M16)는 읽기전용 복제/스냅샷(KpiSnapshot) 을 별도로 바라본다 — 운영 트래픽과 분석 트래픽의 경로 분리.
4. 관리 평면 분리: SSH·운영 접근은 배스천 경유만(직접 접근 금지). 관측성(로그·메트릭)은 관리 존에 수집하되 로그에 자격증명·PII·스택트레이스 미기록(에러 응답 = 요약만, GUARDiA 보안 원칙 정합).
5. 모바일 채널: 참가업체 리드캡처·홀매니저 현장 검수·업체 반입 QR·관람객 배지(§2-1)는 각 포털의 API 표면만 사용 — 모바일이라고 별도 백도어 없음. 공개(visitor)는 DMZ, 인증(exhibitor/ops/contractor 모바일)은 내부 API GW.

---

9. 폐쇄망 · 온프레미스 제약 반영

• egress 기본 차단은 폐쇄망 운영 기관 배포를 겨냥한 기본값이다. 승인 4목적지(Claude·Gemini(G1)·PG·SMTP) 외 외부 통신이 없어야 정상.
• 완전 폐쇄망(외부 API 전면 불가) 시나리오: Claude/Gemini 미허용 환경에서는 온프레미스 모델(Ollama)로 폴백 — 텍스트 AI는 AiTextRouter가 자동 폴백, 이미지 생성(M5)은 온프레미스 대체(SDXL 등) 어댑터 검토(PLANNING R12 완화책). 이 경우 egress 게이트웨이의 외부 룰 전량 비활성.
• GUARDiA 인프라 비침투: kintex는 GUARDiA ITSM 관제망·101.79.17.164와 트래픽·자격증명·DB를 공유하지 않는다(별개 도메인·별개 존). 상호 egress/인바운드 룰 없음.
• 내부 모델 서버는 AI 워커 존 내부 통신(외부 egress 아님) — RAM 제약(온프레미스 소형모델) 고려는 TA/AI 트랙, 네트워크는 내부 경로만 보장.

---

10. 미결·후속(devops·SA 정합 필요)

#	항목	의존
N-1	실제 도메인·서브도메인·포트·인증서 발급	G2 게이트(배포 대상 서버·도메인 확정)
N-2	Gemini egress 방화벽 룰 활성화	G1 게이트(소유자 승인) — 승인 전 차단 상태 배포
N-3	존 물리 구현(VLAN/보안그룹/네임스페이스) vs 논리 분리 선택	SA system.md(A-2) 배포 토폴로지와 정합
N-4	CDN·WAF 벤더·DDoS 스크러빙 사업자 선정	devops·비용
N-5	mTLS(DMZ↔내부망) 적용 범위·인증서 회전	TA tech.md(A-3)
N-6	관측성 수집 경로·보존정책(PII/자격증명 미기록 검증)	TA·QA
N-7	BI 읽기전용 복제 토폴로지(복제 지연·경로)	DA data.md(A-4)

본 문서는 네트워크 설계·정책·존 계약을 정의한다. 실제 nginx/방화벽/보안그룹/CI·CD 설정 코드는 devops(DEV)가 Phase E에서 구현하며, 존 모델·아웃바운드 게이트·2영역 분리 원칙은 본 문서를 계약으로 준수한다.