기술 블로그 (Tech) | kt cloud · 2026. 10. 14.

[분석] DDoS 환경에서 OVS kernel datapath 성능 붕괴

AI 엔지니어링 브리핑

무작위 DDoS 트래픽이 OVS의 빠른 패킷 처리 구조를 무너뜨리는 원인과, 공격을 OVS에 도달하기 전에 차단하는 방법을 설명한 글이다.

문제 & 배경

문제 & 배경: 위조된 IP와 포트로 매번 새로운 패킷이 들어오면 기존 규칙을 찾지 못해 모든 패킷이 느린 처리 경로와 사용자 공간 프로그램으로 전달되고, 규칙과 캐시도 계속 새로 확인해야 해서 처리량이 급감하고 시스템이 응답하지 않게 된다.

기술 & 해결책

기술 & 해결책: XDP/eBPF를 네트워크 카드에 가까운 가장 앞단에 적용해 메모리 할당과 OVS의 복잡한 조회 과정 전에 악성 패킷을 버리고, XDP를 쓸 수 없으면 TC 필터나 NIC 하드웨어 필터로 같은 우회를 구현한다.

교훈 & 주의점

교훈 & 주의점: OVS 내부에서 공격을 막기보다 초기 단계에서 차단해야 하며, 마스크 검사 수·활성 마스크 수·플로우 미스율·캐시 적중률을 지속적으로 확인해 데이터패스 고갈 징후를 조기에 발견해야 한다.

내용이 비슷해요

내용이 비슷한 글을 먼저 보여드려요. 같은 문제나 해결책을 다룬다는 뜻은 아니에요.