VPN 가상 사설망

공유 네트워크 위에 논리적으로 분리된 연결을 구성하는 기술 계열.

VPN은 공유 네트워크 위에 사설 통신 환경을 구성하는 기술과 서비스의 범주입니다. 원격 접속이나 사이트 연결에 사용하며 인증과 암호화 방식은 사용하는 프로토콜에 따라 다릅니다.

외부 장치가 허용된 내부 자원으로 연결할 통로를 마련하는 방식입니다. 터널에 들어온 뒤 무엇에 접근할지는 권한과 라우팅으로 정합니다.

NAS의 원격 접근과 사무실 사이 네트워크 연결을 설명할 때 사용합니다.

VPN 연결이 모든 파일 접근을 자동으로 허용하거나 안전을 보장하지는 않습니다. 접속 계정, 터널 범위와 내부 서비스의 권한을 구분합니다.

모든 VPN이 같은 보안, 경로 특성을 제공하지 않는다.

사이트 간 연결과 사용자 원격 접속은 신원과 권한, 경로 관리 요구가 다릅니다. 암호화와 인증은 채택한 VPN 기술과 보안 설정에 따라 판단합니다.

외부 사용자가 내부 NAS에 접근하도록 구성할 때는 연결 성공뿐 아니라 접근 가능한 대역과 서비스도 제한합니다. 두 지점이 같은 사설 주소를 쓰는 경우 중복 처리가 필요합니다.

IPsec 계열과 TLS 기반 원격 접속, 사업자 MPLS VPN 등은 보호와 전달 구조가 다릅니다. 스플릿 터널은 일부 목적지만 VPN으로 보내고 전체 터널은 기본 트래픽 경로까지 터널로 보내는 정책과 관계합니다.

VPN이라는 이름이 모든 연결을 자동 암호화한다는 뜻은 아닙니다. 연결 뒤 내부 접근 범위와 단말 보안, DNS 경로 및 인증 정책을 별도로 확인합니다.

이 절의 용어: IPsec / Internet Protocol Security / IP 계층 보안

IP 계층에서 보안 연결과 패킷 보호를 구성하는 규격 체계입니다. 전송 모드와 터널 모드 및 ESP 등의 역할, 키 협상 조건을 구별하며 구성한 모든 트래픽이 의도대로 보호되는지 별도로 확인합니다.

이 절의 용어: IKEv2 / Internet Key Exchange version 2 / 인터넷 키 교환 버전 2

IPsec 보안 연결의 협상과 인증 및 키 설정에 쓰이는 프로토콜입니다. 키 협상 성공과 실제 데이터 터널의 경로 및 접근 허용은 별도 상태이므로 연결 표시만으로 전체 기능을 검증하지 않습니다.

이 절의 용어: Split tunneling / 분할 터널링

정해진 목적지 트래픽만 VPN으로 보내고 나머지는 다른 경로로 보내는 정책입니다. 망 부하와 접근 범위에 영향을 주며 DNS와 기본 경로가 어떤 통신을 VPN 밖으로 보내는지 함께 확인해야 합니다.

목적지 서브넷이나 정책 등에 따라 VPN을 통과하는 범위를 나눕니다. 경로 선택과 DNS 질의 경로는 함께 고려해야 하며 한쪽 설정만으로 전체 동작을 판단할 수 없습니다.

업무 서버 주소로 가는 통신은 VPN으로 보내고 일반 인터넷 통신은 단말의 기존 회선으로 보낼 수 있습니다.

전체 터널링은 정책이 정한 대부분의 트래픽을 터널로 보냅니다. IPv4와 IPv6 및 응용별 정책이 다를 수 있습니다.

경로를 나누면 보안 검사 경로도 달라질 수 있습니다. 연결 여부만 보고 모든 통신이 보호된다고 안내하면 안 됩니다.

원격 사용자를 연결하거나 지점 사이를 연결하는 데 사용합니다. 암호화와 인증을 제공하는 구성이 널리 쓰이지만 모든 VPN 기술의 보호 성질이 같지는 않습니다.

외부에서 회사 업무망에 접속할 때 지정한 경로와 사용자 권한에 따라 연결을 제공하는 경우입니다.

IPsec VPN과 TLS 기반 원격 접근은 프로토콜과 배치 구조가 다릅니다. 지점 간 연결과 개인의 원격 접속도 정책 범위를 나누어 봐야 합니다.

VPN 접속 성공이 내부 모든 자원 사용 허용을 뜻하지는 않습니다. MFA, 패치, 분할 터널과 접근 권한을 관리하고 업무 서비스의 자체 인증도 유지합니다.

IPsec은 IP 계층 보호 체계이고 IKEv2는 관련 키 협상 프로토콜입니다. WireGuard와 OpenVPN은 각각 다른 프로토콜과 설정 모델을 사용합니다. VPN이 연결됐다는 사실과 어떤 경로가 터널을 지나며 어떤 내부 서비스에 접근할 수 있는지는 별도입니다. 분할 터널링에서는 VPN을 우회하는 경로와 DNS 및 IPv6 동작도 확인해야 합니다.

이 절의 용어: WireGuard / 와이어가드

WireGuard는 공개키 기반 피어 설정과 암호화된 IP 터널을 사용하는 VPN 프로토콜 및 구현입니다.

인증된 피어 사이에서 IP 패킷을 암호화해 전달하며 일반적으로 UDP 전송을 사용합니다. 키와 피어의 허용 주소 및 실제 라우팅 설정이 함께 맞아야 합니다.

외부 단말과 내부 네트워크 사이에 암호화된 연결을 만들 수 있지만 접근할 내부 자원은 별도로 제한해야 합니다.

IPsec 및 OpenVPN과 설정 모델과 프로토콜이 다릅니다. WireGuard라는 제품 이름을 임의의 영문 약어로 풀어 쓰지 않습니다.

VPN 연결 성공이 내부망 전체의 접근 권한을 뜻하지는 않습니다. 개인키 보호와 DNS 및 경로 정책을 함께 확인합니다.

이 절의 용어: OpenVPN / 오픈VPN

OpenVPN은 TLS 기반 보안 기능 등을 이용해 가상 사설망을 구성하는 오픈 소스 소프트웨어와 관련 VPN 방식입니다.

가상 네트워크 인터페이스를 통해 트래픽을 터널링하며 인증서와 접속 정책을 구성할 수 있습니다. 클라이언트가 접속했다고 모든 경로가 터널을 지나는 것은 아닙니다.

외부 단말이 허용된 내부 서브넷에 접근하는 원격 접속 구성에 사용할 수 있습니다.

TUN 기반 IP 터널과 지원되는 TAP 기반 이더넷 구성, UDP와 TCP 전송 등이 구분됩니다. 지원과 권장 조건은 제품 및 버전에 따라 다릅니다.

예전 버전의 암호 설정과 옵션을 최신 버전에 그대로 적용하지 않습니다. 성능과 안전성을 단일 VPN 이름으로 보장하지 않습니다.

WireGuard: Protocol and Cryptography

OpenVPN 2.6 Manual