Cloudflare Gateway·Zero Trust 로그에 Mesh·Workers VPC·Tunnel replica 식별 정보 추가
Cloudflare가 네트워크 로그 가시성을 높이는 변경을 공개했다. 이번 변경의 핵심은 기존에 일반 사용자 단말이나 Cloudflare One Client 기반 세션과 비슷하게 보이던 Mesh 노드, 그리고 별도로 잘 드러나지 않던 Workers VPC 트래픽을 로그에서 직접 식별할 수 있게 했다는 점이다. 또한 어떤 Cloudflare Tunnel 및 cloudflared replica가 각 세션을 처리했는지도 확인할 수 있어, 접속 추적과 운영 분석의 정확도가 높아질 수 있다.
무엇이 바뀌었나
이번 변경으로 Gateway 네트워크 로그와 Zero Trust Network Session Logs에서 두 가지 트래픽 유형이 새롭게 구분된다. 하나는 Cloudflare Mesh 노드에서 보내거나 수신한 트래픽이고, 다른 하나는 Workers VPC 바인딩을 통해 Worker가 전송한 트래픽이다.
기존에는 Mesh 노드가 헤드리스 모드의 Cloudflare One Client처럼 기록돼 사용자 노트북과 운영용 노드를 로그만으로 구분하기가 까다로웠다. Workers VPC 세션도 이전에는 Network Session Logs에 기록되지 않았던 만큼, 내부 서비스 호출이나 자동화된 에이전트 흐름을 세션 단위로 분석하는 데 제약이 있었다.
여기에 더해 각 세션이 어떤 Cloudflare Tunnel과 cloudflared replica로 처리됐는지까지 확인할 수 있게 되면서, 동일 서비스에 여러 커넥터 복제본을 두는 환경에서 세션 분산 상태를 더 세밀하게 볼 수 있게 됐다.
운영자가 확인할 로그 지점
Cloudflare 안내에 따르면 Gateway 네트워크 로그에서는 Zero Trust의 Network logs 화면에서 컬럼 설정을 통해 Traffic Source와 Traffic Destination을 활성화해 새 식별 값을 볼 수 있다. 개별 로그 항목을 열었을 때의 Network query details에서도 같은 값이 제공된다.
Network Session Logs 측면에서는 zero_trust_network_sessions 데이터셋에서 관련 세션 식별 정보를 활용할 수 있다는 점이 중요하다. 로그 수집 파이프라인이나 SIEM 연동 시 기존 필드만 사용하던 환경이라면, 새롭게 추가된 출발지·목적지 구분값과 Tunnel replica 식별 정보가 실제로 수집·저장되는지 함께 점검할 필요가 있다.
서버호스팅·코로케이션 환경에서의 의미
여러 운영 주체가 같은 보안 정책 체계 아래 사용자 단말, 자동화 노드, 애플리케이션 에이전트를 함께 운용하는 환경에서는 트래픽 주체 구분이 사고 대응 속도에 직접 영향을 준다. 예를 들어 운영 점프박스 사용자의 접속과 Mesh 기반 서비스 노드의 제어 트래픽이 비슷하게 보이면, 정책 오탐 분석이나 우회 경로 점검에 시간이 더 걸릴 수 있다.
Cloudflare Tunnel을 다중 replica로 운용하는 경우에는 특정 세션이 어느 replica에 도달했는지 확인할 수 있다는 점이 유용하다. 접속 품질 편차, 특정 커넥터 인스턴스 집중, 로그 상의 세션 편중 여부를 볼 수 있어, 장애 원인 축소나 정책 적용 범위 확인에 도움이 될 수 있다.
국내 및 일본 리전과 직접 연결된 IDC 운영 관점에서도 의미는 비슷하다. 다만 이번 변경은 Cloudflare의 로그 식별성 강화가 핵심이므로, 자체 네트워크 장비나 데이터센터 전용 기능 개선으로 해석할 사안은 아니다.
실무 체크리스트
Zero Trust 대시보드의 Network logs에서 Traffic Source와 Traffic Destination 컬럼이 활성화되어 있는지 확인한다.
zero_trust_network_sessions 데이터셋을 수집하는 환경이라면 Mesh, Workers VPC, Tunnel replica 관련 식별 정보가 기존 쿼리·대시보드에 반영되는지 점검한다.
사용자 단말, Mesh 노드, Workers 기반 자동화 트래픽을 같은 탐지 규칙으로 묶어 처리해 왔다면, 이번 로그 구분값을 활용해 예외 규칙과 알림 기준을 다시 나누는 것이 적절한지 검토한다.
핵심 포인트
- Gateway 네트워크 로그와 Zero Trust Network Session Logs에서 Mesh와 Workers VPC 트래픽을 구분할 수 있게 됐다.
- 각 세션을 처리한 Cloudflare Tunnel 및 cloudflared replica 식별이 가능해졌다.
- 기존에는 Mesh 노드가 Cloudflare One Client와 비슷하게 기록됐고, Workers VPC 세션은 Network Session Logs에 기록되지 않았다.
- 운영자는 새 로그 필드를 SIEM, 탐지 규칙, 세션 추적 화면에 반영할 필요가 있다.