Vercel Sandbox의 egress 방화벽 필터링
Vercel Sandbox에서 SNI 필터링과 CIDR 블록으로 외부 네트워크 접근을 정책으로 제한할 수 있게 됐습니다.
교안에 영향
기본적으로는 인터넷 접근이 제한되지 않으므로, 예전 안내 글의 네트워크 차단 전제 설명은 Vercel Sandbox의 새 egress 정책에 맞지 않을 수 있습니다.
요약
- Vercel Sandbox에 Server Name Indication(SNI) 필터링과 CIDR 블록을 이용한 egress 네트워크 정책이 추가됐습니다. - TLS 핸드셰이크 시점에 정책을 검사해 허용되지 않은 목적지로의 전송을 차단합니다. - 샌드박스 생성 시 허용할 호스트를 지정하고, 와일드카드로 CDN 뒤 서비스도 allowlist에 넣을 수 있습니다. - 실행 중인 sandbox의 정책을 재시작 없이 동적으로 바꿀 수 있습니다. - 인터넷 접근을 기본 허용에서 deny-all로 전환해, untrusted 또는 AI generated code 실행 시 네트워크를 더 엄격히 잠글 수 있습니다.
바뀐 것
새 기능
- Vercel Sandbox에서 Server Name Indication(SNI) 필터링과 CIDR 블록으로 egress 네트워크 정책을 적용할 수 있게 됐습니다.
- Outbound TLS 연결은 handshake 시 정책과 대조되며, 허용되지 않은 대상은 데이터 전송 전에 거부됩니다.
- 샌드박스 생성 시 접근 가능한 도메인을 지정하고, 와일드카드로 CDN 뒤의 서비스도 allowlist에 추가할 수 있습니다.
- 실행 중인 sandbox의 네트워크 정책을 재시작 없이 동적으로 업데이트할 수 있습니다.
기타
- untrusted 또는 AI generated code 실행을 위해 인터넷 접근을 제한하는 egress firewall policies 문서가 제공됩니다.