회사 서버, 직접 구축해도 될까? 자빈스튜디오의 서버 운영

회사에서 쓸 서버를 직접 마련하려고 하면 어디서부터 손대야 할지 막막합니다. 어떤 서버를 사야 하는지, 그 위에 무엇을 설치해야 하는지, 보안은 어떻게 챙겨야 하는지 하나같이 낯선 이야기니까요.

결론부터 말하면, 튼튼한 서버(HPE) 위에 무료 가상화 프로그램(Proxmox)을 깔고, 그 앞에 방화벽(Fortigate)을 세우면 비싼 클라우드 못지않은 환경을 적은 비용으로 만들 수 있습니다.

저희 자빈랩도 HPE DL360 Gen10 서버와 Fortigate 60F로 이 환경을 직접 꾸려 6개월째 운영하고 있습니다. 그동안 부딪힌 문제와 해결 방법을 최대한 쉽게 풀어보겠습니다.

1. 세 가지 장비, 각각 무슨 역할일까?

건물에 비유하면 이해가 쉽습니다.

HPE 서버 = 건물

Proxmox VE(PVE) = 칸막이 공사

Fortigate = 경비실

① 왜 이 조합을 골랐을까

그동안 회사용 가상화 프로그램의 대표 주자는 VMware였습니다. 그런데 라이선스 정책이 바뀌면서 비용 부담이 커졌고, 대안을 찾는 기업이 늘었습니다. 저희가 비교해 본 결과는 이렇습니다.

한마디로, 손이 조금 더 가는 대신 비용은 줄이고 통제권은 우리가 갖는 방식입니다.

2. 설치하자마자 만난 문제: 디스크 관리자가 둘

HPE 서버에는 Smart Array라는 장치가 들어 있습니다. 여러 개의 디스크를 하나로 묶어 관리해 주는 '디스크 관리 담당자'입니다.

그런데 PVE가 쓰는 저장 방식인 ZFS도 디스크를 직접 관리하는 담당자입니다. 디스크 상태를 스스로 살피고, 문제가 생기면 데이터를 알아서 복구하죠.

담당자가 둘이면 문제가 생깁니다. Smart Array가 중간에서 디스크를 묶어버리면, ZFS는 디스크 하나하나의 실제 상태를 볼 수 없습니다. 디스크가 고장 나도 눈치채지 못하고, 최악의 경우 데이터가 깨질 수 있습니다.

① 해결: 관리자는 한 명만 두기

서버를 켤 때 HPE System Utilities 화면에 들어가 Smart Array의 모드를 'RAID Mode'에서 'HBA Mode'로 바꿨습니다.

HBA 모드는 Smart Array가 디스크를 묶지 않고 그대로 통과시키는 모드입니다. 이렇게 하면 서버에 꽂힌 디스크 8개가 PVE에 각각 따로 보이고, PVE 화면에서 ZFS로 안전하게 묶어 쓸 수 있습니다.

3. 가상 컴퓨터끼리 섞이지 않게: VLAN으로 구역 나누기

서버 한 대 안에는 데이터베이스용, 웹 서버용, 테스트용처럼 목적이 다른 가상 컴퓨터가 수십 대 돌아갑니다. 이들이 모두 같은 통로로 드나들면 경비실(Fortigate)은 누가 누군지 구분할 수 없습니다. 웹 서버 하나가 뚫리면 데이터베이스까지 그대로 위험해질 수 있죠.

그래서 VLAN을 씁니다. 같은 랜선을 쓰더라도 데이터에 '구역 번호표'를 붙여 통로를 나누는 기술입니다. 건물로 치면 층별 출입증과 같습니다.

① Fortigate: 구역 만들기

방화벽의 포트 아래에 10번 구역(웹), 20번 구역(DB)을 만들고, 구역마다 다른 IP 주소 대역을 정해줍니다.

② PVE: 번호표 인식 기능 켜기

서버의 랜카드와 가상 컴퓨터들을 이어주는 가상 통로(vmbr0)에서 'VLAN aware' 옵션을 체크합니다.

③ 가상 컴퓨터: 번호표 달기

가상 컴퓨터를 만들 때 네트워크 설정의 VLAN Tag 칸에 10 또는 20을 입력합니다.

이렇게 해두면 가상 컴퓨터는 아무것도 신경 쓸 필요가 없습니다. 밖으로 나가는 데이터에 번호표가 자동으로 붙고, Fortigate는 그 번호표를 보고 "웹 구역에서 왔구나" 판단해 미리 정해둔 규칙대로 통과시키거나 막습니다.

4. 자주 묻는 질문

Q. PVE는 무료인데, 회사에서 믿고 써도 되나요?
안정성으로 잘 알려진 리눅스(데비안)를 기반으로 하고, 핵심 가상화 기술(KVM)은 이미 업계 표준입니다. 그래도 걱정된다면 Proxmox 공식 홈페이지의 유료 구독으로 검증된 업데이트와 기술 지원을 받을 수 있습니다.

Q. 가상 컴퓨터에서 인터넷이 안 돼요. 뭘 확인해야 하나요?
대부분 Fortigate 정책에서 NAT가 꺼져 있어서입니다. NAT는 내부 주소를 외부에서 쓰는 주소로 바꿔주는 기능으로, 직원 내선번호로 바깥에 전화할 때 회사 대표번호로 걸리게 해주는 것과 비슷합니다. 정책 설정 하단의 NAT 스위치가 켜져 있는지 확인해 보세요.

Q. HPE iLO 라이선스가 꼭 필요한가요?
전원을 켜고 끄는 건 기본 기능으로도 됩니다. 하지만 서버 화면을 원격으로 보면서 조작하거나, 설치 파일(ISO)을 원격으로 연결하려면 iLO Advanced 라이선스가 필요합니다. 서버를 구축할 때 함께 준비하는 걸 권합니다.

처음 설계 단계만 잘 넘기면, HPE 서버와 PVE, Fortigate 조합은 통제권 높고 가성비 좋은 회사 전용 클라우드가 되어줍니다.

우리 회사에 맞는 서버·방화벽 구성이 고민이라면 자빈스튜디오에 편하게 문의해 주세요.