vpn 장비 설치 방안

두 기관 간에 양단간 구간 암호화를 위해 vpn 장비를 설치할 경우 vpn장비는 ips와 방화벽 사이에 설치해는가? 아니면 어느 위치헤 설치해야 하는가?

 

 

VPN(튜널) 장비를 “IPS와 방화벽 사이”에 두면

1. IPS가 암호화된 ESP 패킷을 그대로 통과시켜야 하므로 탐지·차단 기능이 무의미해지고,
2. VPN이 끊기면 내부망이 그대로 노출되는 ‘백도어’가 됩니다.

따라서 VPN 장비는 방화벽-IPS의 ‘안쪽(내부망 쪽)’에 두는 것이 일반적이며, 보안 수준에 따라 아래 3가지 배치 모델이 공공기관에서 가장 많이 씁니다.

---

1. 단일-방화벽(가장 많이 쓰는 형태)

인터넷 → (외부) 방화벽 (내부) → VPN GW → L3-Switch → IPS → 내부 서버/업무

• 방화벽이 IPS보다 먼저 있고, VPN GW는 방화벽 ‘내부 인터페이스’에 연결
• VPN 터널 종료 후 복호화된 평문은 바로 IPS/NGFW에서 정책·탐지 → 내부망
• VPN GW가 죽어도 외부→내부 직접 진입 경로 없음(방화벽 차단)

---

2. 이중-방화벽(DMZ 구획)

인터넷 → (외부 FW) → DMZ(VPN GW) → (내부 FW) → IPS → 업무

• 외부 방화벽은 ESP(UDP-500/4500)만 VPN GW로 허용
• 내부 방화벽은 VPN GW → 업무 구간만 개방 → VPN이 꺼져도 DMZ만 노출
• 공공기관 가이드(행안부·NIS)에서 권고하는 ‘VPN 전용 DMZ’ 형태

---

3. NGFW 통합(가상 IPS + VPN 엔진 하나의 박스)

인터넷 → NGFW(방화벽+VPN+IPS 통합) → 내부

• 장비 1대로 VPN 종료 → 동일 박스 내부 버추얼 섹션에서 IPS 탐지 → 내부 포트로 전달
• 소규모·원거리 지사 간 연결에 주로 사용

---

공공기관 설계 시 반드시 지켜야 할 원칙

1. ‘암호화된 트래픽은 반드시 검출 가능한 지점(IPS/NGFW) 이후에만 내부로 유입’
   → VPN GW를 IPS보다 바깥에 두면 이 원칙 위반
2. VPN 터널이 다운돼도 내부망이 직접 노출되지 않도록 ‘방화벽이 가장 바깥’
3. VPN GW 자체 하드닝 – 불필요한 서비스 off, 최신 펌웨어, 접근통제, 로그 보관
4. 행안부-소프트웨어 보안가이드에 따른 VPN 보안성 검증(취약점诊단) 실시

---

결론

“VPN 장비를 IPS-방화벽 사이에 두는가?” → NO
표준·권고 배치는
방화벽(가장 바깥) → VPN Gateway → IPS/NGFW(또는 통합) → 내부망
(필요 시 VPN 전용 DMZ를 두어 이중 방화벽 구성)
이렇게 해야 암호화 해제→탐지→정책 적용이 순차적으로 이뤄지고, VPN 장애 시에도 내부망이 드러나지 않습니다.

Copy

Share

 

 

네트워크 구성이 내부 방화벽-> 백본 -> L4-> L2로 구성되어 있다. vpn 설치할 위치는? 그리고 설치 이유는?

 

 

주어진 토폴로지
외부 → (내부 방화벽) → 백본(코어 L3) → L4 스위치 → L2 액세스 → 업무/서버

이미 “내부 방화벽”이 가장 앞단에 있고, 그 뒤가 모두 사설망이므로
VPN 터널 장비를 “방화벽 뒤, 백본(코어 L3) 앞” 에 두면

1. 방화벽이 VPN 종료 트래픽을 한 번도 검사하지 못하고
2. VPN GW가 다운되거나 오픈되면 내부망이 그대로 드러나는 보안 원칙 2건을 동시에 위반합니다.

따라서 VPN Gateway는 반드시 “내부 방화벽 바깥(=외부) 인터페이스” 쪽에 위치시켜야 하며,
기존 “내부 방화벽”은 외부-내부 사이에 새로운 경계(=VPN DMZ) 를 만들어
아래 논리대로 트래픽을 흘려야 합니다.

---

권고 물리적 배치

 

인터넷
  │
  ├─(1)─> 외부 라우터 / ISP
  │
  ├─(2)─> VPN Gateway (외부 세그먼트)
  │
  ├─(3)─> 내부 방화벽 (외부↔DMZ↔내부 3-leg 또는 별도 내부 FW)
  │         ① ESP/HTTPS만 VPN GW 로 허용
  │         ② 복호화된 트래픽은 방화벽 정책 통과 후
  │            백본(L3) → L4 → L2 → 업무

1. VPN GW는 방화벽 “외부” 포트와 같은 층(세그먼트) 또는 별도 DMZ에 두고
   공인 IP를 할당.
2. 내부 방화벽이
   • 외부 → VPN GW : UDP-500/4500, ESP, 필요 시 HTTPS(443)만 허용
   • VPN GW → 내부망 : 업무에 필요한 포트·서브넷만 허용
   • VPN GW → 외부 : 로그·NTP·패치 등 최소만 허용
3. VPN 터널 종료 후 복호화된 평문은 방화벽 정책·IPS(또는 NGFW)를 거쳐
   백본으로 유입 → L4 → L2 → 서버.

---

이렇게 설치하는 이유(3대 원칙)

1. 암호화된 트래픽을 먼저 검사·제어
   – VPN이 끝나기 전 패킷은 방화벽이 모두 볼 수 없으므로,
   VPN GW를 방화벽 뒤에 두면 “무인 통로”가 생김.
2. VPN 장비 장애·탈취 시 내부망 노출 방지
   – VPN GW가 방화벽 바깥에 있으면 터널이 꺼져도
   내부 방화벽이 여전히 모든 인/아웃을 차단.
3. 행안부·NIS 가이드 및 ISMS 인증 기준 충족
   – “VPN 종료 지점은 보안경계(방화벽) 외부에 두고,
   내부로 유입되는 평문은 반드시 접근통제·침입탐지 장비를 거친다”는
   공공기관 정보보호 종합지침 필수 항목.

---

만약 장비 추가가 어려울 때

• 내부 방화벽을 NGFW(방화벽+VPN+IPS)로 교체 → 동일 박스 내 가상화 섹션에서
  VPN 종료 → IPS 탐지 → 내부 포트로 전달(위 “3. NGFW 통합 모델”)
• 단, 보안정책은 논리적으로 ‘외부-내부’ 경계를 유지하도록 가상 인터페이스를
  외부·DMZ·내부 3존으로 나누어 설정.

---

결론

주어진 네트워크라면
VPN Gateway = 반드시 ‘내부 방화벽’보다 바깥(외부 또는 DMZ)에 설치
→ 방화벽이 VPN 트래픽·복호화 후 평문까지 모두 검사·제어
→ VPN 고장·해킹 시에도 내부망이 드러나지 않음
→ 공공기관 보안 가이드 및 ISMS 의무조항 충족