네트워크 패킷을 확인하는 포트 미러링

포트 미러링의 개념과 동작 원리를 알아보고 네트워크 패킷 분석과 장애 확인, 보안 모니터링에 어떻게 활용되는지 쉽게 정리합니다.

네트워크를 관리하다 보면 단순히 인터넷이 되는지 확인하는 것만으로는 문제를 찾기 어려운 경우가 있습니다.

예를 들어 특정 PC에서 인터넷이 계속 끊기거나 서버와 통신이 이상하게 느껴진다고 해보겠습니다.

이때 단순히 케이블을 확인하거나 핑을 보내는 것만으로는 원인을 정확하게 찾기 어려울 수 있습니다.

실제로 어떤 데이터가 오가고 있는지 확인해야 할 수도 있습니다.

그런데 여기서 문제가 하나 있습니다.

네트워크 스위치를 지나가는 모든 패킷을 컴퓨터에서 직접 볼 수 있는 것은 아닙니다.

이럴 때 사용할 수 있는 기능 중 하나가 포트 미러링(Port Mirroring)​입니다.

포트 미러링이란?

포트 미러링은 스위치를 통과하는 네트워크 트래픽을 다른 포트로 복사해서 전달하는 기능입니다.

쉽게 말하면:

일반적인 통신

PC ──→ 스위치 ──→ 서버

여기에 모니터링 장비를 연결하면:

             ┌──→ 서버
PC ──→ 스위치
             └──→ 분석 PC

처럼 원래 목적지로 가는 트래픽을 복사해서 분석 장비에서도 확인할 수 있게 만들어 줍니다.

중요한 점은 원래 통신을 가져오는 것이 아니라 복사본을 만들어 보내는 것이라는 점입니다.

왜 포트 미러링이 필요할까?

스위치는 들어온 프레임을 목적지에 맞는 포트로 전달합니다.

예를 들어:

PC A ─────→ 스위치 ─────→ PC B

PC A와 PC B가 통신하고 있을 때 다른 PC C가 해당 데이터를 자동으로 모두 볼 수 있는 것은 아닙니다.

스위치가 필요한 포트로만 프레임을 전달하기 때문입니다.

그렇다면 관리자가 PC A와 PC B 사이에서 어떤 패킷이 오가는지 확인하고 싶을 때는 어떻게 해야 할까요?

이때 포트 미러링을 설정할 수 있습니다.

PC A ─────→ 스위치 ─────→ PC B
                    │
                    └────→ 분석 장비

스위치가 통신 데이터를 분석 장비 쪽으로 복사해 주는 방식입니다.

미러링 포트와 소스 포트

포트 미러링을 설정할 때는 보통 Source Port와 Destination Port라는 개념을 사용합니다.

Source Port

감시하고 싶은 트래픽이 발생하는 포트입니다.

예를 들어:

1번 포트
PC A 연결

→ Source Port

Destination Port

복사된 트래픽을 보내는 포트입니다.

8번 포트
분석 PC 연결

→ Destination Port

결과적으로:

PC A
 ↓
1번 포트
 ↓
스위치
 ├────→ 원래 목적지
 │
 └────→ 8번 포트
          ↓
       분석 PC

와 같은 형태가 됩니다.

포트 미러링으로 무엇을 볼 수 있을까?

포트 미러링 자체가 패킷 내용을 분석하는 기능은 아닙니다.

정확하게 말하면 패킷을 분석 장비로 복사해 주는 기능입니다.

복사된 패킷은 별도의 네트워크 분석 프로그램을 이용해서 확인할 수 있습니다.

대표적으로 많이 알려진 프로그램이 Wireshark입니다.

Wireshark를 이용하면 네트워크 패킷을 세부적으로 살펴볼 수 있습니다.

예를 들어:

출발지 IP
목적지 IP
프로토콜
포트 번호
패킷 크기
TCP 상태

등의 정보를 확인할 수 있습니다.

Wireshark와 포트 미러링의 관계

둘은 역할이 다릅니다.

포트 미러링
→ 패킷을 분석 장비로 복사

Wireshark
→ 복사된 패킷을 분석

즉, 포트 미러링만 설정했다고 해서 화면에 패킷 분석 결과가 자동으로 나타나는 것은 아닙니다.

보통은:

스위치
 ↓
포트 미러링
 ↓
분석 PC
 ↓
Wireshark
 ↓
패킷 분석

과 같은 방식으로 사용합니다.

실제로 어떤 문제를 찾을 수 있을까?

포트 미러링은 네트워크 장애를 확인할 때 상당히 유용합니다.

예를 들어 특정 서버와 통신하는 PC에서 문제가 발생했다고 해보겠습니다.

단순히:

Ping 정상

이라고 나오더라도 실제 애플리케이션 통신에는 문제가 있을 수 있습니다.

이때 패킷을 직접 확인하면 조금 더 구체적으로 상황을 볼 수 있습니다.

예를 들어 TCP 통신에서 재전송이 반복되고 있는지, 연결 과정에서 문제가 발생하고 있는지 등을 확인할 수 있습니다.

그래서 포트 미러링은 단순한 “인터넷이 되냐 안 되냐”를 넘어 실제로 어떤 통신이 이루어지고 있는지 확인할 때 사용됩니다.

네트워크 장애 분석에 활용

네트워크가 느리다는 신고가 들어왔다고 생각해 보겠습니다.

문제가 PC 자체인지, 네트워크인지, 서버인지 바로 판단하기 어려울 수 있습니다.

이때 특정 포트의 트래픽을 미러링해서 분석하면 다음과 같은 정보를 확인하는 데 도움이 됩니다.

PC
 ↓
스위치
 ↓
서버

패킷 분석
 ↓
요청이 정상적으로 전달되는가?
 ↓
서버가 응답하고 있는가?
 ↓
패킷 재전송이 발생하는가?

이런 식으로 통신 과정을 직접 확인하면서 원인을 좁혀갈 수 있습니다.

보안 모니터링에도 사용할 수 있다

포트 미러링은 네트워크 보안 분야에서도 활용됩니다.

네트워크를 지나가는 트래픽을 별도의 분석 장비로 복사해서 이상한 통신이 발생하고 있는지 확인할 수 있기 때문입니다.

예를 들어:

내부 네트워크
      ↓
    스위치
      ↓
정상적인 통신

      ↘
     보안 분석 장비

보안 분석 시스템에서 네트워크 트래픽을 확인하고 이상 징후를 찾아낼 수 있습니다.

다만 포트 미러링 자체가 공격을 차단하는 기능은 아닙니다.

트래픽을 관찰하고 분석하기 위한 기능이라고 이해하는 것이 정확합니다.

포트 미러링과 일반적인 데이터 전달은 다르다

여기서 헷갈리기 쉬운 부분이 있습니다.

포트 미러링은 데이터를 복사해서 추가적인 포트로 보내는 것이지, 원래 목적지를 변경하는 기능이 아닙니다.

예를 들어:

PC A ─────→ 스위치 ─────→ PC B
                    │
                    └────→ 분석 PC

PC A의 데이터는 원래대로 PC B에게 전달됩니다.

동시에 스위치가 해당 트래픽의 복사본을 분석 PC로 전달합니다.

따라서 분석 PC가 통신에 직접 참여하지 않아도 트래픽을 관찰할 수 있습니다.

모든 포트를 미러링하면 좋을까?

꼭 그렇지는 않습니다.

감시할 트래픽이 많아지면 미러링 대상 데이터도 많아집니다.

예를 들어 여러 개의 포트를 동시에 미러링하면:

1번 포트 ─┐
2번 포트 ─┤
3번 포트 ─┼→ 스위치 → 분석 포트
4번 포트 ─┤
5번 포트 ─┘

분석 포트로 많은 트래픽이 몰릴 수 있습니다.

분석 장비나 스위치가 해당 트래픽을 모두 처리하지 못하면 일부 패킷이 유실될 수도 있습니다.

따라서 실제 환경에서는 필요한 트래픽만 적절하게 미러링하는 것이 중요합니다.

포트 미러링을 사용할 때 주의할 점

포트 미러링은 네트워크를 분석하는 데 유용하지만 무작정 설정하는 것은 좋지 않습니다.

가장 먼저 트래픽 양을 고려해야 합니다.

감시 대상 포트의 트래픽이 너무 많으면 분석 포트에 과도한 부하가 발생할 수 있습니다.

또한 미러링된 트래픽에는 민감한 정보가 포함될 가능성도 있습니다.

따라서 분석 장비에 접근할 수 있는 사람을 적절하게 제한하는 것도 중요합니다.

특히 회사 네트워크에서는 사용자의 통신 내용이나 인증 정보 등이 패킷에 포함될 수 있기 때문에 권한 없이 패킷을 수집하거나 분석해서는 안 됩니다.

포트 미러링과 네트워크 TAP은 어떻게 다를까?

네트워크 트래픽을 관찰하는 방법으로 Network TAP이라는 장비도 있습니다.

둘의 목적은 비슷하지만 동작 방식에는 차이가 있습니다.

포트 미러링은 스위치가 트래픽을 복사해서 다른 포트로 보내는 방식입니다.

반면 TAP은 네트워크 링크에 별도의 장비를 연결해서 트래픽을 관찰하는 방식입니다.

간단하게 생각하면:

포트 미러링
→ 스위치 기능을 이용해 복사

Network TAP
→ 별도의 장비를 이용해 관찰

일반적인 네트워크 장애 분석에서는 스위치에 기능이 있다면 포트 미러링을 간편하게 사용할 수 있습니다.

포트 미러링은 평소에 계속 사용하는 기능일까?

일반적인 사무실 PC에서 인터넷을 사용할 때 포트 미러링이 항상 필요한 것은 아닙니다.

주로 다음과 같은 상황에서 활용됩니다.

• 네트워크 장애 분석
• 패킷 분석
• 트래픽 모니터링
• 보안 관제
• 특정 장비의 통신 확인
• 네트워크 성능 문제 분석

즉, 평소에는 보이지 않던 네트워크 내부의 통신을 자세히 살펴봐야 할 때 사용하는 기능이라고 생각하면 이해하기 쉽습니다.

포트 미러링을 쉽게 기억하는 방법

포트 미러링이라는 이름 때문에 처음에는 어떤 복잡한 네트워크 기술처럼 느껴질 수 있습니다.

하지만 핵심은 단순합니다.

원래 통신

PC A → 스위치 → 서버

여기에:

PC A → 스위치 → 서버
              ↓
           분석 장비

처럼 통신 내용을 복사해서 분석 장비에도 보내는 것입니다.

그래서 이름 그대로 생각하면 됩니다.

Port = 스위치의 포트

Mirroring = 트래픽을 복사해서 보여주는 것

이라고 이해하면 기억하기 쉽습니다.

정리

포트 미러링은 스위치를 통과하는 네트워크 트래픽을 다른 포트로 복사해 분석하거나 모니터링할 수 있도록 하는 기능입니다.

스위치에서 감시할 포트를 Source Port로 지정하고, 복사된 트래픽을 받을 포트를 Destination Port로 지정하는 방식이 일반적입니다.

전체 흐름은 다음과 같습니다.

① 감시할 포트 선택
        ↓
② 스위치가 해당 트래픽 확인
        ↓
③ 트래픽 복사
        ↓
④ 분석 포트로 전달
        ↓
⑤ 분석 PC에서 패킷 확인

그리고 분석 PC에서는 Wireshark 같은 패킷 분석 도구를 사용할 수 있습니다.

결국 포트 미러링의 핵심은 “스위치를 지나가는 통신을 복사해서 다른 곳에서 들여다볼 수 있게 만드는 것”​입니다.

네트워크가 정상적으로 작동할 때는 크게 신경 쓸 필요가 없지만, 문제가 발생했을 때 실제 패킷을 확인할 수 있다는 점에서 네트워크 관리와 장애 분석에서 꽤 유용한 기능입니다.