열네 번째 발걸음VPN의 터널 양 끝과 접속 뒤 권한을 구별하기

집에서 회사 자료를 보려는 직원의 통신은 회사가 직접 관리하지 않는 여러 망을 지납니다. VPN은 공용 또는 공유된 네트워크 위에 논리적인 사설 연결을 만드는 방식입니다. 보안을 목적으로 한 VPN은 터널 양 끝을 인증하고 구간의 기밀성·무결성 등을 보호하도록 구성합니다. 하지만 VPN이라는 이름 자체가 어떤 암호 기능과 접속 후 권한이 적용되는지 모두 정해 주지는 않습니다. 사용하는 프로토콜, 끝점, 정책을 확인해야 합니다.

지점과 본사의 게이트웨이를 연결하면 사이트 간 VPN이고, 직원 단말과 회사 게이트웨이를 연결하면 원격접속 VPN의 형태입니다. 게이트웨이에서 터널이 끝나면 그 뒤 서버까지의 구간은 별도의 보호 조건을 가집니다. 단말과 실제 앱 서버 사이에 TLS 등을 함께 쓰는 이유가 여기에 있습니다. 터널이 안전해도 단말이 악성코드에 감염되거나 접속 계정의 권한이 지나치게 넓으면 내부 자료의 위험은 남습니다.

IPsec은 IP 계층에서 패킷의 보호 정책과 암호학적 처리를 구성하는 체계입니다. 어떤 트래픽을 보호하고, 그대로 통과시키며, 버릴지 정책으로 나누고, 보호할 통신에는 알고리즘·키·수명 등의 관계를 정합니다. 이 관계를 보안 연관인 SA라고 합니다. IPsec의 데이터 보호용 SA는 기본적으로 한 방향을 나타내므로 양방향 통신에는 대응되는 관계가 필요합니다. 단순히 “암호화 켜기”가 아니라 적용 대상과 양 끝의 합의를 관리하는 것입니다.

ESP를 기준으로 보면 전송 모드는 원래 IP 헤더 뒤의 페이로드를 보호하며, 터널 모드는 원래 IP 패킷을 새 외부 IP 패킷 안에 담습니다. ESP 터널을 암호화해 쓰면 원래 패킷의 내부 주소도 보호 구간에서 감추지만, 터널 양 끝을 나타내는 외부 주소는 전달을 위해 보입니다. AH는 주소처럼 보호하는 헤더 필드가 NAT로 바뀌면 검증과 충돌할 수 있습니다. ESP를 NAT 환경에서 전달하기 위한 NAT Traversal 등의 방식도 있어 IPsec과 NAT의 관계를 한 문장으로 불가능하다고 외우지 않습니다.

IKEv2의 기본 시작 교환은 IKE_SA_INIT에서 사용할 암호 방식과 키 합의 재료 등을 교환하고, IKE_AUTH에서 상대를 인증하며 첫 데이터 보호 관계를 마련하는 흐름입니다. 추가 인증이나 예외가 있으면 교환 수는 달라질 수 있습니다. 초기 합의가 보였다는 사실만으로 상대 인증이 끝났다고 보아서는 안 됩니다. 실제 알고리즘과 키, 인증서의 신뢰가 어떻게 성립하는지는 방향4에서 자세히 살핍니다.

NAC는 네트워크에 들어오려는 사용자·기기의 식별 정보와 정책에 필요한 상태를 확인해 허용 구역을 정하거나 격리하는 체계입니다. 802.1X, 인증 서버, 단말 상태 수집, 스위치·AP 정책 등이 함께 쓰일 수 있습니다. 예를 들어 지원되는 보안 상태를 확인하지 못한 단말에는 업데이트 경로만 허용하고 업무망은 제한할 수 있습니다. 관찰 가능한 상태는 에이전트와 연동 범위에 따라 달라지며, 한 번 검사한 결과가 그 이후 모든 순간의 안전을 보장하지는 않습니다. 접근 후에도 자원별 권한과 감시가 이어져야 합니다.

참고　[113] · [114] · [104] · [112] · [115] · [116]