[기술사례] OVN ACL Flow Sampling 기반 VPC Flow Log 서비스 개발

kt cloud 가 VPC Flow Log 서비스를 만들며 OpenStack 기본 Packet Logging Framework 대신 OVN 의 ACL Flow Sampling(IPFIX)을 택한 과정이다. 기존 방식은 텍스트 로그를 로컬 디스크에 쓰느라 I/O 가 병목이었는데, IPFIX 로 바꿔 네트워크 전송으로 돌리면서 초당 수만 Flow Record 를 감당한다.

핵심 포인트

목적은 보안 감사와 CSAP 인증 대응으로, VPC 내 VM 의 인바운드·아웃바운드 트래픽 메타데이터를 남긴다
기존 Packet Logging Framework 는 로컬 디스크에 텍스트 로그를 써서 고volume 트래픽에서 I/O 병목이 됐다
OVN ACL Flow Sampling 은 표준 IPFIX 포맷으로 변환해 외부 Collector 로 네트워크 전송하므로 로컬 디스크 부담이 사라진다
컴퓨트 노드마다 로컬 IPFIX collector 를 127.0.0.1 에 띄워 중앙 집중 병목을 없앴다
OVSDB Client Cache 로 테넌트 ID 와 VM 정보를 로컬 메모리에 들고 있어 외부 API 호출 없이 메타데이터를 붙인다

상세 정리

요구 배경: 규제 대응상 어떤 IP 가 언제 얼마나 통신했는지를 남겨야 하고, 이는 VPC 단위로 격리돼야 한다
기존 방식의 한계: 로그를 파일로 쓰는 구조라 트래픽이 늘수록 디스크 I/O 가 먼저 한계에 닿았다
전환 결정: OVN 이 제공하는 ACL 기반 Flow Sampling 을 써서 샘플 데이터를 IPFIX 로 내보내는 쪽으로 바꿨다
수집 배치: collector 를 중앙에 두지 않고 각 컴퓨트 노드 루프백에 두어 노드 수만큼 수평 분산되게 했다
전달 경로: 파싱한 레코드를 Protobuf 로 직렬화해 Kafka 로 넘긴다
메타데이터 보강: 흐름마다 테넌트와 VM 을 붙여야 하는데, 매번 조회하면 지연이 커지므로 OVSDB 변경을 구독해 로컬 캐시를 최신으로 유지한다
처리량: 초당 수만 건 Flow Record 를 받으면서 실시간으로 보강까지 마친다
일정: 2026년 7월 1일 관리 스택 저장 기반으로 베타를 열었다
후속: LOKI 관측 플랫폼과 연동해 사용자가 직접 로그를 조회하는 셀프서비스로 확장한다