이란 인터넷 셧다운 분석: BGP 라우팅 철회와 HTTP/3 프로토콜 제어의 기술적 메커니즘

2025년 말부터 2026년 초까지 이어진 이란의 대규모 시위는 단순한 사회적 혼란을 넘어, 국가 차원의 치밀한 인터넷 통제 메커니즘을 여실히 보여주었습니다. Cloudflare Radar 데이터를 통해 분석된 이번 사건은 단순한 물리적 단절이 아닌, BGP(Border Gateway Protocol)와 차세대 전송 프로토콜(QUIC/HTTP/3)을 겨냥한 정교한 기술적 차단 단계를 거쳤습니다.

사건의 타임라인: 점진적 제한에서 전면 폐쇄까지
- 2025년 12월 말: HTTP/3 및 QUIC 트래픽의 급격한 감소 관측
- 2026년 1월 8일: IPv6 주소 공간의 98.5%가 라우팅 테이블에서 사라짐
- 2026년 1월 8일 18:45 UTC: 국가 전체 트래픽이 사실상 '제로(0)'로 수렴

1. 프로토콜 레벨의 전조 현상: HTTP/3와 QUIC의 몰락
전면적인 셧다운이 발생하기 며칠 전부터 주요 ISP인 IranCell(AS44244)과 TCI(AS58224)에서 흥미로운 현상이 발견되었습니다. 기존 40%에 육박하던 HTTP/3 이용 비중이 5% 미만으로 급락한 것입니다. 이는 정부가 UDP 기반의 QUIC 프로토콜을 우선적으로 차단하거나 스로틀링(Throttling)했음을 시사합니다. QUIC은 암호화 범위가 넓어 심층 패킷 분석(DPI)이 어렵기 때문에, 검열 당국은 이를 우선적인 통제 대상으로 삼은 것으로 보입니다.

2. 라우팅 레이어의 붕괴: IPv6와 BGP 철회
1월 8일, 이란 네트워크가 전 세계에 광고하던 IPv6 주소 블록(/48s)이 약 4,800만 개에서 73만 개 수준으로 급감했습니다. 이는 BGP Unreachability 상황을 의도적으로 유도한 것으로, 외부에서 이란 내 클라이언트나 서버로 도달할 수 있는 경로 자체가 삭제되었음을 의미합니다. 이 과정에서 인간에 의해 생성되는 IPv6 트래픽 비중은 12%에서 2%로 곤두박질쳤습니다.

3. 완전한 고립과 제한적 복구의 시도
1월 9일에는 전체 트래픽이 평시 대비 0.01% 미만으로 떨어지며 완전한 '디지털 블랙아웃' 상태에 진입했습니다. 흥미로운 점은 1.1.1.1(Cloudflare Public DNS)에 대한 접근이 일시적으로 복구되거나, 테헤란 대학교를 포함한 주요 교육 기관의 커넥티비티가 잠시 회복되었다는 점입니다. 이는 특정 화이트리스트 기반의 제한적 소통 시도였으나, 이내 다시 차단되었습니다.

아키텍트의 분석: 국가급 인터넷 킬스위치의 시사점
시니어 아키텍트의 관점에서 이번 이란의 인터넷 셧다운은 단순한 '전원 끄기'가 아닌 계층형 검열 전략의 정석을 보여줍니다.

첫째, UDP/QUIC 제어의 전략적 중요성입니다. 현대 웹 아키텍처에서 HTTP/3는 성능 향상의 핵심이지만, 검열 측면에서는 가시성을 떨어뜨리는 장애물입니다. 이란 당국이 전면 차단에 앞서 HTTP/3 비중을 인위적으로 낮춘 것은 통제 가능한 TCP/TLS 환경으로 트래픽을 강제 이주시키려 한 고도의 전략입니다.

둘째, BGP를 활용한 논리적 단절입니다. 물리적 케이블을 끊지 않고도 특정 국가를 글로벌 네트워크에서 지우는 가장 효율적인 방법은 BGP 광고를 중단하는 것입니다. 특히 IPv6 자원을 먼저 회수함으로써 최신 인프라 기반의 우회 접속 경로를 차단한 점이 눈에 띕니다.

셋째, 인프라 복원력과 중앙 집중화된 통제의 대결입니다. 주요 ISP(MCCI, IranCell, TCI)가 동시에 동일한 패턴으로 트래픽을 드랍했다는 것은 국가 백본망 수준에서 중앙 집중화된 제어권이 완벽하게 작동하고 있음을 증명합니다. 클라우드 아키텍처 설계 시 리전(Region) 선택이나 멀티 CDN 전략이 국가 리스크를 어떻게 고려해야 하는지에 대한 비즈니스 연속성 계획(BCP)의 중요성을 다시금 일깨워주는 사례입니다.

---

원문 출처: What we know about Iran’s Internet shutdown