IPSec VPN이란?

오늘은 IPSec VPN에 대해 알아보겠습니다.
한마디로 말씀드리자면, IPSec VPN은 보안 프로토콜로 터널을 생성하여 원격지 간에
안전하고 암호화된 통신을 제공하는 가상 사설망 구축 기술입니다.

그럼 더 자세히 알아보겠습니다.

■ IPSec VPN이란 ?

IPSec VPN은 IPSEC 프로토콜을 활용하여 가상 사설망인 VPN을 구축하는 기술입니다.
VPN은 주로 공인 인터넷망을 통하여 통신이 이루어지는데 그때 IPSEC의 터널 모드를
사용하여 통신하는 데이터를 보호하고 암호화하게 됩니다.

VPN을 이용하여 통신을 하게 되면 IP가 가상(사설) IP로 대체되고,
데이터가 VPN을 통하여 통신하기 때문에 데이터가 유출되는 일을 방지할 수 있습니다.

IPSEC VPN은 주로 터널 모드가 사용되며 원본 IP 패킷이 가상(사설) IP 패킷으로 캡슐화되어데이터의 헤더(목적지, 전송모드등)와 페이로드(실제 데이터)를 안전하게 보호됩니다.

그렇다면 왜 IPSec VPN을 사용해야할까요?

■ IPSec VPN을 사용하는 이유 ?

IPSec VPN은 주로 Site to Site 연결에 사용되는 방식으로
각 Site의 사설망과 사설망을 연결합니다.

각 사설망의 클라이언트(서버, PC등)는 패킷 이동과 보안을 고려 하지 않고
IPSec VPN이 데이터를 암호화하고 패킷을 전송합니다.

클라이언트는 상대측 클라이언트에 데이터를 전송할 때 게이트웨이(넥스트 홉)를
VPN의 인터페이스로 설정하면 나머지 과정은 VPN 장비가 처리합니다.

▷ IPSec의 장점은 무엇인가요?

1. 보안성 :
각 Site간 통신을 할 때 데이터가 암호화되어 전송되므로 보안성이 뛰어납니다.

2. 확장성 :
각 Site의 사설망을 하나의 논리적인 사설망으로 연결하여 사용해 확장성이 뛰어납니다.

3. 경제성 :
각 Site간의 거리와 환경에 구애 받지 않고 공인망을 사용하여 통신함으로 경제성이 뛰어납니다.

■ 설정 방법

IPSec을 설정하기에 앞서 설정 시 필요한 정보를 알려드리겠습니다.

■ 설정시 필요한 정보
1. 각 Site의 사용하는 사설망 대역
2. 각 VPN 장비의 공인 IP
3. 각 VPN 장비의 게이트웨이 설정
4. 페이즈 1(ISAKMP)과 페이즈 2(IPSec) 설정
  4-1. 인증 방식(Hash,Authentication), 암호화 방식(DH, Encryption), 암호화 키(공유키)
  4-2. 프로토콜(AH / ESP), 운용 모드(전송, 터널), 인증 방식, 암호화 방식 
5. 각 Site간 통신을 위한 정책

이제 이 글에서 가장 중요한 Fortigate 설정하는 방법을 알려드리겠습니다.

■ 구성 환경
로컬 사설망 : 192.168.1.0/24
리모트 사설망 : 192.168.2.0/24
VPN 장비 : Fortigate VM 7.4.2
각 VPN 장비에 공인 IP가 할당되어 있는것으로 과정하여 설정하였습니다.

1. IPSec Tunnel 생성

– VPN → IPSec Tunnels → Create New → IPSec Tunnel

– Name : 터널링 이름 / Template type : Custom
(Site to Site로 생성시 라우팅, 정책, 페이즈 1,2가 자동 생성됩니다.)

– Name : 터널링 이름
– Remote Gateway : Static IP Address
– IP Address : 상대측(리모트) VPN 공인 IP
– Interface : WAN 포트(공인망)
– NAT Traversal : VPN 장비간 NAT 설정(Disable)
– Dead Peer Detection : 상대측 VPN 장비가 살아있는지 체크하는 설정
> On Demand : 아웃바운드 트래픽만 있고, 인바운드 트래픽이 없을 경우 DPD 체크
> ON Idle : 터널에서 트래픽이 보이지 않을 경우 DPD 체크 – On Demand가 기본 설정
– DPD retry count : DPD 체크하는 시도 횟수
– DPD retry interval : DPD 체크하는 시간(20초간 3번 체크)

– Pre-shared-Key : 공유키
– Encryption / Authentication : 인증 / 암호화 알고리즘 선택
– Diffie-Hellman Groups : 대칭키 교환 알고리즘 선택
– Key-Lifetime : 페이즈 1 터널이 생성되고 유지되는 시간 (기본 86400초)

– Local Address : 로컬 사설망 대역
– Remote Address : 리모트 사설망 대역

– IPSec Tunnel 생성 확인

2. 정책 생성 및 설정

– Policy & Objects → Firewall Policy → Create New

– Local → Remote 정책
– Name : 정책 이름
– Incoming / Outcoming interface : 로컬 사설망 포트 / IPSec 터널 인터페이스
– Source / Destination : 로컬 사설망 대역 / 리모트 사설망 대역
– Service : 통신할 서비스(포트)

– Remote → Local 정책
– Local_to_Remote와 역방향으로 정책 설정

– 생성한 정책 확인

3. 라우팅 설정 ( Static)

– Network – Static Routes – Create New

– Destination : Subnet – 리모트 사설망 대역
– Interface : IPSec 터널 인터페이스

4. IPSec 터널 활성화

– Dashboard → +(Add Monitor) → IPSec → OK (초기 설정)

– Dashboard → IPSec Monitor → Bring UP → ALL Phase 2 Selectors
(Forti 6 이전 버전 : Log & Report → IPSec Monitor → Bring UP)

– 정상적으로 Bring UP 되었다면 설정 완료

■ 설정시 주의 사항
- IPSec 터널 생성 과정에서 모든 설정은 양 측 모두 동일해야 합니다.
(설정이 동일하지 않을 경우 터널 인터페이스가 DOWN됨)

- 각 Site의 사설망 대역은 달라야 합니다.

- 페이즈 2의 LifeTime은 페이즈 1보다 짧아야 합니다.

위 메뉴얼을 보고 따라하시다 보면,

페이즈 1,2가 무엇인지, 정책과 라우팅은 뭘 뜻하고 있는지 궁금하실 것 같아 추가적으로
각 설정별 역할에 설명해 드리겠습니다.

■ 각 설정별 역할

1. 페이즈 1(ISAKMP SA)
페이즈 1에서는 VPN 장비간 터널을 생성하고 서로를 인증하는 것이 목적입니다.
ISAKMP SA를 제안하면 암호화 방식, 인증 방식, 터널 유지 시간(라이프타임)을 협상하고 인증 정보를 교환하여 서로를 인증합니다.
인증이 완료되면 터널을 생성하여 인증 정보를 암호화하고 페이즈 2에서 사용할 암호화 키를 생성합니다.


2. 페이즈 2(IPSec SA)
페이즈 2에서는 페이즈 1에서 생성했던 터널을 기반으로 실제 데이터를 통신할 때 패킷을 암호화 한 뒤,
인증할 IPSec SA를 협상하고 패킷을 다시 암호화하여 통신할 터널을 생성합니다.
IPSec SA를 제안하면 프로토콜 헤더(AH, ESP), 운용 모드(전송, 터널)를 협상하고 
페이즈 1에서 생성한 암호화 키를 바탕으로 새로운 대칭 키를 생성합니다.
IPSec SA를 협상하고 대칭 키를 생성하여 인증이 완료되면 실제 데이터를 통신할 터널을 생성합니다.


3. 정책(Policy)
통신을 할 때 필요한 정책은 인바운드 인터페이스, 아웃바운드 인터페이스, 출발지, 목적지, 통신할 서비스(포트)를 설정합니다.
정책은 로컬 → 리모트 와 리모트 → 로컬 이렇게 2가지를 설정합니다.
인바운드 / 아웃바운드 인터페이스 : VPN 터널 인터페이스 / 사설망 인터페이스
출발지 / 목적지 : 각 Site의 사설망 대역
서비스(포트) : 통신할 때 허용할 서비스(포트)


4. 라우팅(Route)
라우팅은 클라이언트(서버)와 VPN 장비에서 각각 설정합니다.
4-1. 클라이언트에서는 목적지와 게이트웨이(넥스트 홉)을 설정
목적지 : 상대측(리모트) 사설망 대역
게이트웨이(넥스트 홉) : VPN 장비의 사설망 인터페이스 IP

4-2. VPN 장비에서는 목적지와 인터페이스를 설정합니다.
목적지 : 상대측(리모트) 사설망 대역
인터페이스 : VPN 터널 인터페이스

오늘 기술 블로그를 통해 IPSec VPN 대해 말씀드렸는데요.
이 포스팅이 도움이 되셨길 바라며, 다음 포스팅에서도 유용한 정보를 말씀드릴게요!

추가로 궁금하신 사항이 있으시다면,
아래의 댓글 및 아이티이지 홈페이지 *문의하기를 통해 남겨주세요!