연결과 경로 및 허용 범위

VPN은 논리적인 사설 연결을 구성하는 방식입니다. 피어 또는 사용자의 인증, IP 패킷의 전달 경로와 내부 자원의 접근 허용은 서로 관련되지만 별도 조건입니다.

연결 상태가 정상이어도 경로가 없거나 내부 방화벽이 제한하면 서비스에 접근할 수 없습니다. 반대로 너무 넓은 경로와 허용 규칙이 있으면 의도보다 많은 내부 자원이 노출될 수 있습니다.

프로토콜과 키 협상

IPsec은 IP 계층의 보호 체계이고 IKEv2는 관련 보안 연결과 키 협상에 사용하는 프로토콜입니다. WireGuard는 공개키 기반 피어와 암호화된 IP 터널을 사용하는 다른 프로토콜 및 구현입니다.

OpenVPN도 별도의 구현과 설정 모델을 가지며 TUN과 지원되는 TAP 구성, UDP와 TCP 전송 등의 차이가 있습니다. 이름만으로 속도와 안전성을 일괄 순위로 정하지 않습니다.

분할 터널링은 일부 목적지나 정책에 해당하는 통신을 VPN으로 보내고 나머지를 다른 경로로 전달하는 구성입니다. 전체 터널도 실제 정책이 포함하는 주소 체계와 예외를 확인해야 합니다.

IPv4와 IPv6 및 DNS 질의가 같은 경로를 쓰는지 단정하지 않습니다. VPN을 우회하는 통신은 보안 검사 경로가 달라질 수 있어 실제 전달 정책을 확인해야 합니다.

VPN을 통한 연결을 허용해도 필요한 내부 서브넷과 서비스 및 포트로 권한을 좁힐 수 있습니다. 공개키나 계정을 가진다는 사실과 관리 화면에 접근할 권한을 같게 보지 않습니다.

키와 인증서의 보관 및 회수와 사용자 권한 변경도 운영 조건입니다. 연결이 유지된다는 이유로 오래된 권한 판단을 그대로 두지 않습니다.

클라이언트와 서버의 버전, 암호 정책과 인증 방식 및 주소 할당과 회선 조건이 함께 맞아야 합니다. 과거 버전에서 사용한 옵션이 현재에도 같은 의미로 권장되는지는 공식 문서를 봅니다.

정상 연결 시험과 허용 서비스 시험 및 금지된 서비스의 차단 시험을 구분합니다. 이 문서는 특정 운영 장비의 설정을 변경하라는 명령이 아니라 경계를 판단하는 기준입니다.