스위칭이란 데이터를 전송하는 최소단위인 패킷을 지정된 위치로 이동하는 역할을 의미합니다. 하나의 패킷은 여러가지의 프로토콜로 구성이 되어 있으며, 각 프로토콜내에서는 패킷을 어떠한 방법으로 전달해야 하는지에 대한 목적지와 방법에 대한 정의를 포함하고 있습니다.
흔히 스위치라고 하는 장비들은 Layer 2영역의 MAC 주소에 포함된 목적지로 패킷을 전달하는 역할을 하며, 라우터는 L3 스위치라고도 불리우며, Layer 3 영역의 IP 주소를 보고 목적지 까지 패킷을 전달시키는 역할을 수행합니다. Layer 4부터 Layer 7에 위치한 스위치는 일반적인 스위치에 대한 개념을 확대하여, Layer 4스위치는 어플리케이션 자체의 주소라고 할 수 있는 TCP/UDP 포트. 그리고 Layer 7스위치는 어플리케이션 프로토콜내에서 지칭하는 세션이나 데이터를 목적지로 사용할 수 있습니다.



위 그림은 단일 패킷에서 포함하고 있는 프로토콜에서 출발지와 목적지 주소를 표현한 것으로 Layer 2에서는 DMAC이 목적지 주소로 활용 될 수 있으며, Layer 3에서는 DIP가 목적지 주소로 사용될 수 있습니다. 그리고, Layer 4에서는 IP주소와 더불어 Port Number인 DPort가 목적지로 사용이되며, Laye 7에서는 Layer 4에서 포함하는 목적지 주소와 더불어 GET 뒤에 따라오는 HTML 페이지가 목적지로 활용될 수 있다.



L4스위치는 어플리케이션이 사용하는 TCP나 UDP 포트 정보를 이용한다는 점에서 L3스위치와 차이가 있습니다. 포트는 다시 설명하면 흔히 알고 있는 웹, 메일, FTP등의 서비스를 구별할 수 있는 어플리케이션의 주소라고 볼수 있습니다.

L7스위치는 좀더 고차원적인 측면에서 Payload라고 부르는 영역의 데이터를 활용합니다. 이 부분은 웹, 메일, FTP 등의 어플리케이션에 대한 프로토콜과 데이터가 포함되어 있습니다. 웹의 경우를 예로 들어보면, 일반적인 페이지 요청은 GET /index.html 과 같은 형태로 이루어집니다. 이 의미는 /index.html 이라는 페이지를 가져와라(GET)는 의미를 가집니다. 따라서, 웹 서버에 적용하는 L7스위치에서는 /index.html과 같이 실질적으로 어떤 대상을 지칭하는 영역. 즉 내용 자체가 주소로 사용될 수 있어 내용기반스위칭(Content-based Switching) 혹은 어플리케이션 스위칭(Application Switching)이라고도 불리웁니다.



보안에서의 L4/L7스위치는 IP header, TCP/UDP Header, 그리고 Payload영역의 데이터를 검사하여, 이들 중에 웜에 감염될 소지가 있거나, 공격성 데이터이거나 혹은 보안정책상 문제가 있는 내용들이 있다면 차단을 하게 됩니다.



CodeRed의 전파를 나타내는 패킷의 형태이며, 전파시에 payload 영역에 GET /scripts/root.exe?/c+dir 와 같은 웹 서버에 대한 요청을 합니다. 이 경우에는 웹서버에 대한 요청이기 때문에 목적지 포트가 80번이 되고, 페이로드내의 문자열에 GET /scripts/root.exe?/c+dir 인 문자열이 있는지를 차단하면, CodeRed가 전파되는 것을 막을 수 있습니다.

이상과 같이 보안에서의 L4/L7 스위치는 패킷내의 IP해더부터 Payload상의 데이터까지 모두 검사를 수행하도록 되어 있습니다. 따라서 기존의 방화벽보다는 좀더 자세한 검사를 할 수 있습니다. 또한, Payload내의 Application Protocol에 대한 분석을 할 경우에는 보다 정확한 차단을하여 오탐을 줄일 수 있습니다. 그리고 이와 같은 패턴을 사용자가 모두 입력하기에는 어려움이 따르기 때문에 알려진 공격이나 웜에 대한 시그너쳐들을 데이터베이스화하여 벤더에서 사용자에게 제공하고 있습니다.