Cloudflare Workers에서 안전한 크로스 클라우드 애플리케이션을 구축하기 위한 글로벌 가상 프라이빗 클라우드

오늘 Cloudflare에서는 크로스 클라우드 애플리케이션을 더 쉽게 구축할 수 있게 해주는 새로운 기능인 Workers VPC의 미리 보기를 공유합니다. 

Workers VPC는 Cloudflare에서 기존의 가상 프라이빗 클라우드 (VPC)를 업그레이드한 것으로, 단일 클라우드 지역에 얽매이지 않는 네트워크 및 컴퓨팅을 위해 최신화되었습니다. 그리고 클라우드 전반에 걸쳐 더 쉽게 구축할 수 있도록 Workers VPC 프라이빗 링크로 이를 보완하고 있습니다. 이들은 함께 Workers에 두 가지 새로운 기능을 도입합니다.

1. Cloudflare에 있는 애플리케이션의 리소스를 Workers VPC 내의 리소스만 서로 액세스할 수 있는 격리된 환경으로 그룹화하여 애플리케이션 간 트래픽('Workers VPC')을 보호하고 세분화할 수 있습니다.

2. Workers VPC를 퍼블릭 또는 프라이빗 클라우드의 레거시 VPC에 연결하여 Cloudflare 리소스가 프라이빗 네트워크의 리소스에 액세스할 수 있도록 하고, 그 반대의 경우도 마찬가지로 단일 VPC에 있는 것처럼 동작하도록 하는 방법('Workers VPC Private Link').

^{Workers VPC 및 Workers VPC Private Link를 통해 Cloudflare 와 외부 클라우드 간의 양방향 연결 가능}

Workers VPC가 외부 VPC에 연결되면 기본 리소스에 직접 주소를 지정할 수 있게 되므로 애플리케이션 개발자가 네트워크 계층으로 드롭다운하지 않고 애플리케이션 계층에서 생각할 수 있습니다. 이를 서비스 검색이 기본 제공되며 클라우드 전반에 걸쳐 통합된 VPC와 같다고 생각하면 됩니다.

Cloudflare에서는 기존의 사설 네트워킹 제품을 기반으로 Workers VPC를 적극적으로 구축하고 있으며 2025년 말에 출시할 예정입니다. 미리 보기를 일찍 공유하여 피드백을 받고 여러분이 무엇을 필요로 하는지 자세히 알아보고자 합니다. 

개발자들은 Workers를 선택의 여지가 있는 플랫폼으로 점점 더 많이 선택하고, 이 플랫폼에 풍부한 상태 저장 애플리케이션을 구축하고 있습니다. 저희는 Workers의 원래 에지 사용 사례를 훨씬 뛰어넘었습니다. 고객은 더 많은 스택을 최신화하고 더 많은 비즈니스 로직을 Workers로 옮기고 있습니다. 고객은 외부 데이터베이스에 액세스하는 실시간 협업 애플리케이션, 보안 API를 사용하는 대규모 애플리케이션, 최종 사용자와 최대한 가까운 에이전트에 비즈니스 로직을 노출하는 모델 컨텍스트 프로토콜(MCP) 서버를 구축하기 위해 Workers를 선택합니다.

이제 여러분은 외부 클라우드를 가로막는 마지막 장벽인 VPC에 직면하고 있습니다. 가상 프라이빗 클라우드는 마음의 평화와 보안을 제공하지만, Workers에서 애플리케이션을 구축할 때 의도적으로 높은 장벽을 추가하도록 영리하게 설계되었습니다 . 이것이 더 많은 레거시 VPC를 사용하게 하려는 암묵적인 이해관계입니다. 이는 종속형 클라우드가 사용자의 데이터와 애플리케이션을 볼모로 잡고 사용자를 록인시키는 또 다른 방식입니다. 

여러분은 여러 차례의 대화를 통해 'VPC는 방해가 됩니다'라고 말씀해 주셨습니다. 회사 정책에 따라 VPC를 의무적으로 사용해야 하는 것은 당연한 일입니다! 따라서 Workers에서 비공개 리소스에 액세스하려면 1) 안전한 액세스를 제공하기 위해 인증을 수행하는 새로운 공개 API를 생성하거나 2) 액세스하려는 각 리소스에 대해 Cloudflare Tunnel 및 Zero Trust를 설정하고 확장해야 합니다. 이는 구축을 시작하기도 전에 건너뛰어야 할 고비가 많은 격입니다.

Workers를 기반으로 완벽하게 구축할 수 있는 스토리지 및 컴퓨팅 옵션이 있지만, 저희는 애플리케이션이나 데이터를 하룻밤 사이에 옮길 수는 없다는 점도 알고 있습니다! 하지만 저희는 기존 비공개 API 및 데이터베이스로 최신 애플리케이션, AI 에이전트, 실시간 글로벌 애플리케이션을 구축할 수 있도록 지금 바로 Workers를 자유롭게 선택할 수 있어야 한다고 생각합니다. 이것이 Cloudflare에서 Workers VPC를 구축하는 이유입니다.

저희는 VPC를 직접 구축하는 과정에서 어려움을 겪었습니다. 2024년에 Cloudflare에서는 Hyperdrive를 위한 개인 데이터베이스에 대한 지원을 제공했습니다. 이를 통해 사용자는 Cloudflare Tunnels를 기본 네트워크 솔루션으로 사용하여 Cloudflare Workers에서 외부 VPC에 있는 데이터베이스에 연결할 수 있게 되었습니다. 이는 포인트 투 포인트 솔루션으로 잘 작동하고 있습니다! 하지만 이 솔루션에는 한계가 있습니다. 외부 클라우드의 각 리소스에 대해 Cloudflare Tunnel을 관리하고 확장하는 것은 복잡한 대규모 아키텍처에서는 지속 가능하지 않습니다. 

저희는 Workers를 통해 더 많은 워크로드를 최신화함에 따라 확장되는 방식으로 외부 클라우드 리소스에 대한 액세스를 자유롭게 활용할 수 있는 아주 간단한 솔루션을 제공하고자 합니다. 그리고 이를 실현하기 위해 Magic WAN 및 Magic Cloud Networking 구축 경험을 활용하고 있습니다.

그래서 저희는 Workers VPC로 VPC를 글로벌하게 만들고 있습니다. 또한 Workers VPC 비공개 링크를 사용하여 이를 레거시 사설 네트워크에 연결할 수 있게 하고 있습니다. 왜냐하면 Workers에서 안전한 글로벌 크로스 클라우드 애플리케이션을 자유롭게 구축할 수 있어야 한다고 생각하기 때문입니다. 

사설 네트워크는 설정이 복잡하고, 여러 추상 계층에 걸쳐 있으며, 전체 팀에서 이를 관리해야 합니다. 기존의 지점 간 네트워크를 넘어서는 아키텍처를 관리하는 것만큼 복잡한 일도 없습니다! 따라서 저희는 플랫폼에서 격리된 환경을 위한 간단한 솔루션을 제공해야 한다는 것을 알았습니다.

Workers VPC는 정의상 가상 프라이빗 클라우드입니다. 이는 서로 안전하게 액세스할 수 있는 Workers 및 개발자 플랫폼 리소스(R2, Workers KV, D1 등)의 격리된  환경을 정의할 수 있음을 의미합니다. Cloudflare 계정의 다른 리소스는 이 리소스에 액세스할 수 없습니다. VPC를 사용하면 특정 애플리케이션과 연결된 특정 리소스 집합을 지정하고 리소스에 대한 애플리케이션 간 액세스가 발생하지 않도록 할 수 있습니다.

Workers VPC는 Cloudflare 개발자 플랫폼을 위해 다시 설계된 레거시 VPC에 해당합니다. 가장 큰 차이점은 Workers VPC가 내부적으로 구현되는 방식입니다. Workers VPC는 지역적 IP 기반 네트워킹을 기반으로 구축되는 대신 Cloudflare 네트워크의 모든 데이터 센터에 걸쳐 리소스를 격리하여 글로벌 규모로 구축됩니다. 

그리고 여러분이 기존의 VPC에서 기대하는 것처럼 Workers VPC에는 기존의 네트워크와 원활하게 통합할 수 있는 네트워킹 기능이 있으므로 신뢰하는 네트워크에서 벗어나지 않는 크로스 클라우드 애플리케이션을 구축할 수 있습니다. 여기에 Workers VPC Private Link가 도움이 됩니다. 

AWS PrivateLink 및 기타 VPC 간 접근 방식과 마찬가지로 Workers VPC Private Link는 IPsec 또는 Cloudflare 네트워크 상호 연결을 통한 표준 터널을 사용하여 Workers VPC를 외부 클라우드에 연결합니다. Private Link가 설정되면 양쪽의 리소스가 서로 직접 액세스할 수 있으며, 아무 것도 공용 인터넷을 통해 노출되지 않고 마치 하나의 연결된 VPC인 것처럼 보입니다.

^{Workers VPC Private Link는 IPsec 터널 또는 Cloudflare 네트워크 상호 연결을 위한 게이트웨이를 자동으로 프로비저닝하고 Cloudflare 리소스로의 라우팅을 위해 DNS를 구성합니다}

이를 위해 Workers VPC와 Private Link가 함께 작동하여 외부 클라우드에서 리소스를 자동으로 프로비저닝하고 관리합니다. 이렇게 하면 두 네트워크 간의 연결이 설정되고 양방향 라우팅 가능하게 하는 데 필요한 리소스가 구성됩니다. 또한 일부 팀에서는 리소스 프로비저닝에 대한 전적인 책임을 지기를 원할 것임을 저희가 알고 있으므로, Workers VPC Private Link는 Terraform 스크립트를 자동으로 제공하여 직접 실행할 수 있는 외부 클라우드 리소스를 프로비저닝할 수 있습니다.

연결이 설정되면 Workers VPC가 외부 VPC의 리소스를 자동으로 감지하고 고유 ID를 가진 바인딩으로 사용할 수 있도록 합니다. Workers VPC 리소스 바인딩을 통해 이루어진 요청은 외부 VPC로 자동 라우팅되며, 여기에서 DNS 확인이 이루어지고(호스트 이름으로 액세스하는 리소스를 사용하는 경우) 예상된 리소스로 라우팅됩니다. 

예를 들어 Cloudflare Workers에서 외부 VPC의 비공개 API로 연결하는 것은 명명된 Workers VPC 리소스에 대한 바인딩에서 fetch() 를 호출하기만 하면 됩니다.

const response = await env.WORKERS_VPC_RESOURCE.fetch("/api/users/342");

마찬가지로 Cloudflare 리소스에는 Workers VPC Private Link를 통해 외부 클라우드의 비공개 DNS 리소스 내에 구성된 표준화된 URL을 통해 액세스할 수 있습니다. VPC의 API에서 R2 개체에 액세스하려는 경우 예상된 URL로 요청할 수 있습니다.

const response = await fetch("https://<account_id>.r2.cloudflarestorage.com.cloudflare-workers-vpc.com");

무엇보다도, Workers VPC가 기존 플랫폼에 구축되어 있으므로 저희 네트워킹 및 라우팅 기능을 최대한 활용하여 송신료를 줄이고 글로벌 애플리케이션을 구축할 수 있습니다.

첫째, Workers VPC Private Link는 Cloudflare 네트워크 상호 연결을 기본 연결 방법으로 지원하여 외부 클라우드 송신 가격 할인을 활용하여 대역폭 비용을 절감하는 데 도움이 될 수 있습니다. 둘째, Workers VPC는 본질적으로 전역적이므로 최적의 성능을 보장하기 위해 필요한 모든 곳에 Workers와 리소스를 배치할 수 있습니다. 예를 들어 Workers의 Smart Placement를 사용하면 Workers를 외부의 지역 VPC와 가장 가까운 지역에 자동으로 배치하여 애플리케이션 성능을 극대화할 수 있습니다. 

Workers VPC는 Workers에서 구축하기 위해 이러한 비공개 리소스를 공용 인터넷 에 노출할 필요 없이 현재 외부 클라우드에 종속된 엄청난 양의 워크로드를 해제합니다. 다음은 Workers VPC를 통해 Workers에서 구축하기를 기대한다고 고객께서 응답한 실제 애플리케이션 예시입니다.

^{Workers 및 Durable Objects에 구축되어 외부 VPC의 비공개 데이터베이스 및 컨테이너에 액세스하는 실시간 캔버스 애플리케이션의 샘플 아키텍처}

Workers에서 애플리케이션을 위한 새로운 기능을 구축하려고 한다고 가정해 보겠습니다. 또한 Durable Objects를 사용하여 애플리케이션에 실시간 협업 기능을 추가하고 싶을 수도 있습니다. 라이브 동영상 처리를 위해 FFmpeg에 액세스해야 하기 때문에 여러분도 Containers를 사용하고 있습니다. 각 시나리오에서는, 기존의 데이터베이스에 상태 업데이트를 유지하고 기존의 API에 액세스하는 방법이 필요합니다.

과거에는 업데이트 작업을 처리하기 위해 Workers 및 Durable Objects에서 별도의 API를 생성해야 할 수도 있었지만, 이제는 기존 데이터베이스에 직접 액세스하여 Workers VPC에서 직접 값을 업데이트할 수 있습니다. 

모델 컨텍스트 프로토콜(MCP) 서버도 마찬가지입니다! Workers에서 MCP 서버를 구축하는 경우, 특히 출시 시간이 중요하다면 즉시 사용할 수 없는 특정 기능을 공개 API로 노출하고 싶을 수 있습니다. Workers VPC를 사용하면 비공개 API 또는 데이터베이스를 기반으로 MCP 서버에 직접 새로운 기능을 생성하여 신속하고 안전하게 배송할 수 있습니다. 

^{R2, D1, KV의 데이터에 액세스하는 외부 클라우드 리소스의 샘플 아키텍처}

유출이 없는 비용 효율성 덕분에 AI 학습 데이터를 R2에 저장하든, 수평 샤딩 모델을 적용한 D1에 애플리케이션 데이터를 저장하든, 글로벌 단일 자릿수 밀리초 읽기 대기 시간을 가진 KV에 구성 데이터를 저장하든, 많은 개발팀에서 점점 더 많은 데이터를 Cloudflare Developer Platform에 저장하고 있습니다. 

이제 외부 클라우드의 컴퓨팅에서 R2의 학습 데이터를 사용하여 LLM 모델을 학습시키거나 미세 조정할 수 있는 방법을 제공해야 합니다. 사용자 데이터에 액세스하려면 보안팀에서 요구하는 대로 개인 네트워크를 사용해야 합니다. 마찬가지로, 특정 관리 또는 분석 작업을 위해 D1과 KV의 사용자 데이터와 구성 데이터에 액세스해야 하며, 이때 공용 인터넷을 피하고 싶습니다. Workers VPC를 사용하면 자동 구성된 프라이빗 DNS에서 쉽게 액세스할 수 있는 호스트 이름을 사용하여 외부 VPC에서 Cloudflare 리소스로의 직접 비공개 라우팅이 가능합니다.

마지막으로 AI 에이전트의 예를 들어 보겠습니다. 드디어 Developer Week 2025입니다! 이 AI 에이전트는 Workers를 기반으로 하여 구축되었으며, 검색 증강 생성(RAG)을 사용하여 컨텍스트 창을 최소화하면서 생성된 텍스트의 결과를 개선합니다. 

여러분이 외부 클라우드에서 PostgreSQL과 Elasticsearch를 사용하고 있는 것은 거기가 현재 데이터가 있는 곳이며 여러분이 pgvector의 팬이기 때문입니다. 여러분이 Workers를 사용하기로 결정한 이유는 빠르게 출시하기를 원했고, 이제 데이터베이스에 액세스해야 하기 때문입니다. 다시 말씀드리지만, 데이터베이스는 사설 네트워크에 배치되며 공용 인터넷에서 액세스할 수 없습니다. 

컨테이너에서 새로운 Hyperdrive와 Cloudflare Tunnel을 프로비저닝할 수 있지만, Workers VPC가 이미 설정되고 연결되어 있으므로 Workers 또는 Hyperdrive를 사용하여 데이터베이스에 직접 액세스할 수 있습니다. 

외부 클라우드의 개체 스토리지에 새 문서가 추가되면 어떻게 될까요? 여러분은 새 문서를 처리하고, 문서를 분할하며, 임베딩을 가져오고, 결과적으로 애플리케이션의 상태를 업데이트하는 워크플로를 시작하는 동시에 최종 사용자에게 워크플로 상태에 대한 실시간 업데이트를 제공하고 싶을 수 있습니다. 

그런 경우에는 외부 클라우드의 서버리스 기능에 의해 트리거되는 Workflows를 사용할 수 있습니다. 그런 다음 Workflow가 개체 스토리지에서 새 문서를 가져오고, 필요에 따라 처리하며, 선호하는 임베딩 공급자(Workers AI 또는 다른 공급자)를 이용하여 Postgres에서 벡터 저장소를 처리하고 업데이트한 다음 애플리케이션의 상태를 업데이트합니다. 

이는 첫날부터 Workers VPC의 이점을 누릴 수 있는 것으로 알려진 워크로드 중 일부에 불과합니다. 여러분이 만들어낼 결과물을 보게 되어 기쁘며, 여러분과 협력하여 글로벌 VPC를 실현할 수 있기를 기대합니다. 

Workers VPC를 통해 Workers에서 더 많은 것을 구축할 수 있게 되어 매우 기쁩니다. 저희는 사설 네트워크에서의 API와 데이터베이스에 대한 비공개 액세스가 Workers에서 무엇을 구축할 수 있는지를 새롭게 정의할 것이라고 믿습니다. Workers VPC는 비공개 리소스에 대한 액세스를 잠금 해제하여 Workers에서 애플리케이션을 더 빠르고 더 좋은 성능으로 출시할 수 있도록 합니다. 저희는 또한 컨테이너가 기본적으로 Workers VPC와 통합되도록 할 계획입니다.

저희는 고객 네트워크를 대규모로 연결하는 데 사용해 온 네트워킹 기본 요소와 온램프(on-ramp)를 기반으로 Workers VPC를 적극적으로 구축하고 있으며, 2025년 후반에 미리보기를 일찍 제공하는 것을 목표로 하고 있습니다.

Cloudflare에서는 Workers에서 외부 클라우드로의 연결 문제를 먼저 해결하여 개인 API와 데이터베이스에 액세스해야 하는 더 많은 애플리케이션을 Workers를 통해 최신화한 다음, 전체 방향 트래픽 흐름과 여러 Workers VPC 네트워크를 지원하도록 확장할 계획입니다. Workers VPC의 비전을 구체화하고 싶고 워크로드가 레거시 클라우드에 갇힌 경우 여기에 관심을 표명해 주세요.