VPN·IPsec·WireGuard 비교: 터널과 원격 접근의 보호 범위

1장 개념과 보호 목표#

VPN은 신뢰하지 않는 네트워크 위에 보호된 통신 경로를 구성하는 기술입니다. 연결이 암호화되더라도 단말이 안전하거나 사용자가 모든 내부 자원에 접근해도 된다는 뜻은 아닙니다. 인증과 접속 후 인가 범위를 함께 제한해야 합니다.

2장 원리와 구분#

IPsec에서 AH는 인증·무결성을 제공하지만 기밀성은 제공하지 않고 ESP는 선택한 구성에 따라 암호화와 인증을 제공합니다. IKEv2는 인증과 보안 연관 협상에 사용됩니다. 전송 모드는 원래 IP 페이로드를, 터널 모드는 내부 IP 패킷을 캡슐화해 보호합니다. NAT 통과는 NAT-T와 장비 구성 등 실제 조건을 확인해야 합니다.

3장 비교와 판단 기준#

요소	역할	주의할 범위
AH	인증·무결성	암호화 제공하지 않음
ESP	선택한 보안 연관에 따른 보호	구체적 알고리즘·인증 설정
IKEv2	인증·키 설정·SA 협상	인증서·PSK·재키잉
VPN 터널	경로의 통신 보호	단말 안전성·업무 인가 별도

4장 VPN은 보호된 경로이며 전체 신뢰는 아니다#

외부 단말과 게이트웨이 또는 두 네트워크 사이에 보호된 경로를 만들 수 있습니다. 접속한 단말이 안전하거나 사용자가 모든 내부 데이터에 접근할 권한이 생긴다는 뜻은 아닙니다. 터널 인증·접속 후 인가·단말 상태를 나눕니다.

어디서 터널이 시작하고 끝나는지, 그 뒤 어떤 자원으로 연결되는지 그려 봅니다. 터널 이후 평문·내부 통신·관리 경로도 필요한 보호 범위에 포함해야 합니다.

flowchart LR
 C["외부 단말"] -->|"인증된 보호 터널"| G["VPN 게이트웨이"]
 G --> P["업무별 접근 정책"]
 P --> A["허용 자원"]
 P --> X["비허용 내부 자원 차단"]

5장 IPsec의 SA와 IKEv2#

보안 연관 SA는 선택한 알고리즘·키·관련 조건으로 보호를 수행하는 데 연결됩니다. IKEv2는 인증과 키 설정·협상에 사용됩니다. ESP와 IKE를 같은 암호화 함수로 이해하지 않습니다. 상대 인증서·PSK·재키잉과 장비의 실제 지원을 확인합니다.

협상 실패·키 수명·변경·이중화의 동작을 시험합니다. 오랫동안 공유하는 PSK가 여러 상대에 복사되면 회수와 사고 범위를 분리하기 어려울 수 있습니다.

6장 AH와 ESP의 보호 범위#

AH는 인증·무결성의 역할을 가지며 기밀성을 제공하지 않습니다. ESP는 선택한 구성에 따라 암호화와 인증을 제공합니다. ESP라는 이름만 기록하고 실제 알고리즘·인증 설정을 확인하지 않으면 보호 내용을 설명할 수 없습니다.

주소 변환과 보호하는 헤더·페이로드의 관계도 실제 장비 구성에서 검토합니다. NAT 통과가 필요하다면 지원 규약과 경로 조건에 맞춰 시험해야 합니다.

7장 전송 모드와 터널 모드#

전송 모드는 원래 IP 페이로드의 보호에, 터널 모드는 내부 IP 패킷의 캡슐화와 보호에 관련됩니다. 게이트웨이 간 연결과 호스트 간 연결의 배치 목적을 구분합니다. 어느 경우든 실제 보호 구간이 끝난 이후의 접근 정책은 별도입니다.

전송 모드의 관점: 원래 IP 패킷의 페이로드 보호
터널 모드의 관점: 내부 IP 패킷을 새 전달 경로에 캡슐화
운영의 질문: 터널 종료 후 어느 자원을 허용하는가?

8장 WireGuard의 피어 키와 조직의 사용자#

피어 공개키를 등록하고 허용 주소·경로 등의 설정으로 터널을 구성합니다. 공개키가 조직의 어느 사용자·기기에 연결되는지는 별도 관리 체계가 정해야 합니다. 퇴사·분실·키 교체·재등록이 필요한 이유입니다.

간결한 프로토콜과 운영 기능 전체는 구분합니다. MFA·사용자 복구·기기 상태·감사·계약된 관리 제품의 기능은 실제 환경에서 확인해야 합니다.

9장 전체 터널과 분할 터널#

전체 터널은 정책에 따라 넓은 트래픽을, 분할 터널은 일부 트래픽만 터널로 전달할 수 있습니다. DNS·업무 API·인터넷 경로가 실제로 어디를 지나는지 확인합니다. 연결 아이콘이 VPN이라고 보여도 모든 통신이 같은 경로로 보호되지는 않을 수 있습니다.

선택	확인할 장점	함께 볼 영향
넓은 터널 경로	중앙 통제의 범위	용량·지연·외부 접속
분할 경로	필요한 업무의 선택적 연결	DNS·누락 경로·단말 위험
자원별 접근	최소 권한의 표현	지원 기능·정책 집행

10장 원격 관리와 일반 업무의 조건#

관리 작업에는 강한 인증·관리 단말·제한된 서버와 기능을 검토합니다. 일반 업무의 접속을 그대로 관리자 범위로 확장하지 않습니다. 내부 이동을 최소 권한·분리·서비스 인가로 제한해야 탈취한 VPN 계정의 영향을 줄일 수 있습니다.

로그에는 사용자·기기·키·접속·대상 정책과 실제 행위를 연결합니다. 접속 성공 기록만으로 이후의 관리 작업까지 조사할 수 있다고 보지 않습니다.

11장 분실·퇴사와 기존 세션의 회수#

계정 또는 키를 회수한 뒤 새 연결뿐 아니라 이미 열린 세션도 정책에 맞게 처리되는지 확인합니다. 복사된 설정·다른 기기·백업에 같은 키가 남는 경로도 조사합니다. 키 목록에 소유자·기기·등록·회수 정보를 남겨야 합니다.

flowchart TB
 L["분실 또는 권한 회수"] --> I["영향 사용자·기기·키 확인"]
 I --> R["자격증명과 정책 회수"]
 R --> S["기존 연결과 접근 검증"]
 S --> C["사본·우회 경로 정리"]

12장 게이트웨이 장애와 복구#

인증 서버·게이트웨이·DNS·라우팅·이중화의 실패를 시험합니다. 긴급 접속은 최소 대상·승인·수명·기록을 갖추고 평소 통제를 무제한 우회하지 않습니다. 정상 업무의 복구 시간과 접속 정책의 유지 여부를 함께 측정합니다.

VPN의 이름보다 실제 경로·인증·인가·회수와 장애 동작이 안전한 원격 업무를 설명합니다. 새 설계는 유지보수되는 방식과 구현을 사용하고 오래된 기술의 편의만으로 선택하지 않습니다.

13장 적용 사례와 운영 방법#

원격 업무에는 인증서나 MFA, 단말 상태, 업무별 접근 범위를 적용합니다. WireGuard는 단순한 키 기반 터널을 제공하지만 사용자 수명주기 관리는 별도 운영 체계와 결합해야 합니다. TLS 기반 VPN도 제품별 기능과 정책이 다릅니다. PPTP 같은 오래된 선택지를 단지 빠르다는 이유로 신규 구성에 사용하지 않습니다.

14장 터널의 경로와 사용자의 권한을 따로 그린다#

VPN 검토에는 외부 단말에서 게이트웨이까지의 보호 구간, 접속 후 접근 가능한 자원, 인터넷으로 나가는 경로를 구분한 그림이 필요합니다. 분할 터널에서는 일부 트래픽이 VPN을 거치지 않을 수 있으며 DNS 질의의 경로도 별도로 확인해야 합니다. 터널 접속을 내부망 전체의 신뢰로 바꾸면 탈취 단말의 영향이 커집니다.

IPsec은 보안 연관(SA)에 따라 보호를 수행하고 IKEv2가 인증과 키 설정에 사용됩니다. WireGuard는 피어 공개키와 허용 주소 등 터널 구성을 간결하게 다루지만 사람의 입사·퇴사·복구 절차를 자동으로 정의하지는 않습니다. TLS VPN은 제품별 인증·단말 검사·정책 기능을 구체적으로 비교해야 합니다.

15장 퇴사자와 분실 기기를 차단하는 시험#

사용자 계정을 잠근 뒤 기존 VPN 세션도 끊기는지 확인합니다. 기기 키를 폐기했을 때 다른 등록 기기와 백업 설정에서 같은 키가 남지 않는지도 조사합니다. 인증서·PSK·장비 관리자 자격증명은 용도와 영향 범위를 나누어 관리합니다.

원격 업무는 필요한 서버와 기능만 열고 관리 작업은 강한 인증·관리 단말 조건을 추가할 수 있습니다. 장애 때의 우회 접속, MFA 서버 실패, 게이트웨이 이중화와 라우팅 변경을 시험해야 정상 업무의 복구와 보안 정책이 충돌하지 않습니다.

16장 적용 전 확인할 사항#

터널 인증과 사용자·기기 권한을 연결한다
라우팅·DNS·분할 터널 정책을 검증한다
키 회수와 분실 단말 차단 절차를 마련한다

17장 자주 묻는 질문#

VPN에 접속하면 인터넷상의 모든 활동이 보호되나요?#

분할 터널 설정과 라우팅에 따라 일부 트래픽만 터널을 지날 수 있습니다. 어떤 경로와 구간이 보호되는지 확인해야 합니다.

전체 터널이면 애플리케이션 인가를 생략해도 되나요?#

전체 터널은 경로 선택입니다. 각 자원의 데이터·업무 권한은 서버가 계속 검증해야 합니다.

WireGuard 공개키가 사용자 이름을 증명하나요?#

등록된 키 보유 피어를 인증하는 것과 조직의 사람·기기 신원을 연결하는 것은 별도입니다. 등록·회수·감사 체계에서 그 관계를 관리해야 합니다.