지난 시간에 무선 통신 사업자망에서의 HTTP 302 Redirection을 이용한 Hot-Lining 사례를 소개해 드렸었는데요.

오늘은 HTTP 302 Redirection 로직에 대해서 좀 더 자세히 알아 보는 시간을 가지도록 하겠습니다.

Hot-Lining Rule 설정

지난 시간 설명과 같이 Hot-Lining은 사용자의 트래픽을 사업자가 의도한 곳 즉, Captive Portal로 그 목적지를 변경하는 행위이며, 이를 위해 Hot-Lining Device(P-GW, DPI, AP, APC 등의 장비)에는 다음과 같은 룰이 설정되어야 합니다.

참고: P-GW나 DPI는 하드웨어 기반으로 Hot-Lining을 수행하고, AP나 APC는 소프트웨어 기반으로 이 기능을 수행합니다.

[1] Pass Condition

• 사용자 단말에서 특정 서버(예. www.naver.com)로 HTTP 패킷이 나가기 전에 2가지 과정이 선행됩니다. 첫째 접속하려는 서버의 IP 주소를 알기 위해 DNS Query를 하고, 둘째 해당 서버와 80 포트로 TCP 연결(TCP SYN, SYN ACK & ACK 패킷)을 맺는 것입니다. 따라서 기본적으로 Hot-Lining Device는 이 두 과정에 대해 단말이 보내는 패킷에 대해 허용(pass)해야 합니다.
• 그 다음이 해당 서버(www.naver.com)와의 80 포트로 TCP 연결 해제(TCP FIN & ACK)도 가능해야 하므로 역시 이 과정에서 단말이 보내는 패킷에 대해서도 허용해야 합니다. (뒤에서 설명 드리겠지만 HTTP 302 Redirection이 되면 기존에 접속된 서버(www.naver.com)와의 TCP 연결 해제를 위해 단말은 TCP FIN 패킷을 보내므로 이 패킷을 허용하는 것입니다.)
• 마지막으로 사용자 단말이 보낸 패킷이 HTTP GET(TCP Destination Port # = 80)이고 HTTP 헤더에 Host 필드 값이 미리 설정된 값(예. portal.lguplus.com)과 동일한 경우 이 패킷은 허용합니다. 즉, Hot-Lining 시킬 목적지로 갈 패킷인 경우 허용하는 것이지요.

[2] HTTP 302 Redirection Condition 

• 사용자 단말이 보낸 패킷이 HTTP GET(TCP Destination Port # = 80)이지만 HTTP 헤더에 Host 필드 값이 미리 설정된 값( portal.lguplus.com)이 아닌 경우(예. www.naver.com) 이 패킷에 대해서는 Hot-Lining Device가 HTTP 헤더 내의 Location 필드에 portal.lguplus.com을 기록하여 HTTP 302 Found 패킷을 단말로 보냅니다. 따라서 단말은 원래 의도한 목적지(www.naver.com)로 가지 않고 Location 필드에 기록된 Host로 가게 됩니다.

[3] Drop Condition 

• 위 [1][2] 조건에 만족하지 않는 패킷은 다 폐기(drop) 합니다.

LTE는 해당 사항이 없지만 만약 Wi-Fi 망에서 External DHCP 서버를 운영하는 경우, 단말이 IP 주소를 받아와야 HTTP 패킷을 보낼 수 있으므로 이 경우 DHCP 패킷(UDP Source Port # = 68, UDP Destination Port # = 67)에 대해서도 Pass Condition에 넣어 주어야 합니다.

Hot-Lining Call Flow

전형적인 Hot-Lining 흐름의 예입니다.

무선망 접속 후 사용자는 웹브라우저를 통해 www.naver.com에 접속하려 합니다.

[1] 단말은 DNS Query를 통해 www.naver.com의 IP 주소 20.1.1.1을 알게 되고,

[2] 20.1.1.1과 80 포트로 TCP 연결을 합니다. (TCP 3-Way Handshake)

[3] 그런 후 www.naver.com으로 HTTP GET 메시지를 보내는데, 이 패킷을 수신한 Hot-Lining Device는 Location 필드에 portal.lguplus.com을 담아 단말로 HTTP 302 Found 메시지로 응답합니다. 이 응답 메시지의 Source IP 주소는 20.1.1.1입니다. 마치 www.naver.com이 단말로 HTTP 302 Found 메시지를 보낸 것처럼 위장을 하는 것이지요.

[4] 단말은 20.1.1.1과의 80 포트 TCP 연결을 해제합니다.

[5] 그리고 DNS Query를 통해 portal.lguplus.com의 IP 주소 10.1.1.1을 알게 되고,

[6] 10.1.1.1과 80 포트로 TCP 연결을 합니다. (TCP 3-Way Handshake)

[7] 그리고 portal.lguplus.com에 접속되게 됩니다.

결국 [3]번 과정에서 Hot-Lining Device는 portal.lguplus.com외의 접속은 허용하지 않게 되므로 결과적으로 사용자는 사업자가 지정한 곳(Captive Portal) 외에는 접속이 불가능하게 됩니다.

아래는 위 그림에 [3]번 절차인 HTTP 302 Redirection 메시지 예제 입니다.

7. HTTP GET

8. HTTP 302 Found