요약

  • InterLAN IX의 Lighthouse 설계는 회원의 변경 요청을 여러 라우터에 적용하되, 장비마다 설정을 미리 보여 주고 되돌리기 타이머와 개별 확인을 둔다. 안전한 복구를 입증할 수 없으면 사람이 넘겨받는다.
  • 의도한 상태의 기준은 데이터베이스에 있다. AI 도우미는 자료를 읽고 보고서를 쓸 수 있지만 설정을 바꿀 권한은 없다. 셀프서비스 창구와 공동망의 결정권을 갈라 놓은 설계다.

‘셀프서비스’라는 말의 영수증

셀프서비스는 대개 손님을 위한 말이다. 화면을 몇 번 누르면 원하는 결과가 나온다. 인터넷 교환점에서는 계산대 뒤가 까다롭다. 한 회원의 요청이 여러 라우터를 건드릴 수 있고, 그 라우터는 다른 회원의 트래픽도 운반한다. 먼저 바뀐 장비와 아직 바뀌지 않은 장비 사이의 몇 분은 홍보 문구에서 사라져도 실제 망에서는 사라지지 않는다.

RIPE 93에 게시된 InterLAN IX Lighthouse 발표 초록은 바로 그 몇 분을 다루려 한다. 발표자 Andrei Dinu에 따르면 Nokia SR OS 라우터와 Arista EOS 스위치가 섞인 망에서 회원 요청 하나가 여러 라우터에 닿는다. 각 장비의 예정 설정을 미리 보고, 각각의 되돌리기 타이머를 걸며, 확인도 한 대씩 한다. 안전한 회복 경로를 증명하지 못하면 사람이 맡는다. 현재 공개된 회의 페이지에는 녹취록, 슬라이드, 영상도 없고 처리 건수나 장애 복구 통계도 없다. 초록이 제공하는 것은 운영 실적표가 아니라 권한을 배치한 설계도다.

InterLAN의 서비스 설명을 보면 이 설계가 왜 단순한 개발자 취향이 아닌지 알 수 있다. 플랫폼은 공용 피어링, 두 개의 라우트 서버, 사설 VLAN, 백업 포트를 제공한다. 회원이 편하게 신청할 수 있는 범위가 넓어질수록, 공동 장비가 어느 시점에 어떤 상태로 있어야 하는지 더 엄격히 확인해야 한다. Lighthouse가 지원하는 구체적인 요청 목록은 공개되지 않았다. 그래서 가상의 특정 VLAN 변경을 실적처럼 쓰기보다, 한 요청이 여러 장비로 번질 때의 책임 구조를 따져야 한다.

되돌리기 버튼도 만능 지우개는 아니다. 첫 라우터가 새 설정을 받아들이고 둘째가 실패하면, 중간 상태가 이미 생겼다. 타이머가 첫 장비를 원상복구하더라도 그동안의 경로 변화는 지울 수 없다. 초록이 장비별 확인과 사람의 개입을 명시한 것은 이 불편한 사실을 인정한 셈이다. 자동화가 해결할 수 없는 문제를 ‘시스템이 처리했다’고 적으면, 사고 보고서에는 책임자가 사라진다.

데이터베이스가 최종 문장부호를 찍는다

Lighthouse의 핵심 권한은 화면보다 데이터베이스에 있다. 발표 초록에 따르면 데이터베이스가 의도한 상태를 소유한다. 엔지니어가 장비에 직접 넣은 변경은 편차로 표시되며, 새 기준으로 몰래 흡수되지 않는다. 야간의 긴급 수정이 아침의 영구 정책이 되는 일을 막는 장치다. 실제 상태와 승인한 의도를 구별해야 어떤 변경을 되돌릴지, 어떤 계획을 갱신할지 토론할 수 있다.

헝 루의 Note 73은 참여와 위임된 권한 사이의 간격을 묻는다. 회의실에서 중요한 그 질문은 장비실에서도 통한다. 회원은 요청에 참여한다. 교환점 운영자는 공동 장비의 목표 상태를 결정한다. 엔지니어는 긴급히 개입할 수 있다. 이 세 행동의 결과를 같은 ‘변경’이라는 단어 아래 묻어 버리면, 가장 빠른 클릭이 가장 큰 권한을 얻는다. 기준 데이터베이스는 지루한 관리 도구이면서 동시에 권한의 기록이다.

운영망 스냅샷으로 만든 디지털 트윈에서 변경을 예행연습한다는 설명도 있다. 스냅샷이 언제 만들어졌고 무엇을 재현했는지, 연습 결과가 실제 승인에 어떻게 반영됐는지가 다음 확인 지점이다. 초록에는 사례 기록이 없다. 설계의 완성도를 보려면 요청서부터 장비별 설정 차이, 연습, 승인, 확인, 편차 감지, 복구까지 한 줄로 이어진 기록을 요구하면 된다.

AI의 몫은 놀라울 만큼 얌전하다. 초록은 읽기 전용 도구로 보고서와 이전 계획을 작성하되 설정은 건드리지 못한다고 적는다. 말 잘하는 모델에게 라우터 쓰기 권한까지 주지 않은 것이다. InterLAN FAQ는 회원이 라우트 서버 BGP 세션을 이용할 의무가 없고 각자 피어링 정책을 선택한다고 밝힌다. 교환점 장비의 통제와 회원 자신의 경로 선택도 분리된다. RIPE NCC의 RIS 문서에 나오는 부쿠레슈티의 RRC22는 외부에서 BGP를 관측하는 창이다. 그 창으로 내부 승인자의 서명까지 볼 수는 없다.