Egress 신원, 이중 TLS 없이 — passthrough + Calico가 HTTPS over mTLS를 대체하는 근거

Mon, 08 Jun 2026 00:00:00 +0000

ABSTRACT

“egress에서 호출 워크로드 신원을 통제하려면 HTTPS over mTLS(이중 TLS)가 필요하다"는 통념에 대한 반론. 멘탈모델 한 줄: 강제(enforcement)는 어차피 chokepoint(egress gateway)에서 일어난다 — 패턴 선택은 “그 앞에서 호출자를 어떻게 식별하느냐"의 문제일 뿐이다. 식별을 메시 mTLS handshake로 할지, CNI(Calico)가 커널에서 이미 하는 pod-selector로 할지. 단일 클러스터·노드 신뢰·Calico 단독관리 환경에선 후자가 동일 결과를 더 싸게 낸다. 이중 TLS의 추가 비용(handshake 2회·포트분리 함정·L7 사각)은 그 위협모델에서 보안 이득이 0에 가깝다. 대상 구조의 상세는 HTTPS over mTLS 구조 정본 참조 — 본 문서는 그 반대 선택의 근거다.

Networkpolicy on homelab89

Egress 신원, 이중 TLS 없이 — passthrough + Calico가 HTTPS over mTLS를 대체하는 근거