방화벽·VPN 장비 차이, 사무실 UTM 한 대로 묶는 구성 기록

보안 장비 견적을 받아 보면 방화벽 1대와 VPN 장비 1대로 나뉘어 오는 곳도 있고, 장비 한 대로 오는 곳도 있습니다. 이 글에서는 소형 랙에 UTM을 설치한 사무실 구성을 보면서 방화벽과 VPN이 각각 무슨 일을 하는지, 언제 따로 사고 언제 한 대로 충분한지를 정리합니다. KT 기업인터넷으로 사무실인터넷을 새로 가입하거나 보안 장비를 함께 검토하시는 분께 견적서를 읽는 기준이 되도록 썼습니다.

요즘 사무실용 보안 장비는 대부분 한 대 안에 두 기능이 같이 들어 있습니다. 그래서 무엇을 따로 사야 하는지부터 정리해 두면 견적 항목이 훨씬 쉽게 읽힙니다.

방화벽은 문을 지키고, VPN은 통로를 만듭니다

방화벽은 무엇을 들이고 내보낼지 정하는 장비이고, VPN은 떨어진 곳끼리 암호화된 통로를 만드는 장비입니다. 두 장비의 역할은 분명히 다릅니다.

UTM은 이 둘을 한 장비에 담은 것입니다. 구성도로 보면 인터넷 쪽 공중망과 사무실 내부망 사이에 UTM 한 대가 놓이고, 그 안에서 방화벽과 VPN이 각자 맡은 일을 합니다.

견적서에서 방화벽과 VPN이 따로 적혀 있다고 해서 반드시 장비가 두 대라는 뜻은 아닙니다. 한 장비의 기능 항목으로 나뉘어 적힌 경우가 많으니, 먼저 장비가 몇 대인지부터 확인하십시오.

방화벽 장비가 하는 일 — 접근 통제

방화벽은 인터넷과 사무실 내부망 사이에서 정해 둔 규칙대로 통과시키거나 막습니다. 규칙에 맞지 않는 접속은 내부망에 닿기 전에 걸러집니다.

· 외부 접속 통제 — 외부에서 사무실 서버·NAS·CCTV로 들어오는 접속을 허용한 곳만 열어 둡니다.
· 내부 트래픽 통제 — 내부에서 밖으로 나가는 트래픽도 걸러 유해 사이트나 불필요한 서비스를 막습니다.
· 규칙 단위 — 규칙은 IP·포트에서 시작해 요즘은 애플리케이션 단위까지 나눕니다.

NAS나 CCTV를 외부에서 보는 사무실이라면 이 접근 통제가 특히 중요합니다. 열어 둘 곳을 최소로 정하는 것이 방화벽 설정의 출발점입니다.

VPN 장비가 하는 일 — 암호화된 통로

VPN은 공용 인터넷 위에 바깥에서 들여다볼 수 없는 통로를 만듭니다. 쓰임새에 따라 크게 두 가지로 나뉩니다.

· IPsec VPN — 본사·지점·공장처럼 장소와 장소를 상시 연결합니다. 양쪽에 장비가 한 대씩 있고, 직원은 따로 접속하지 않아도 같은 사내망처럼 씁니다.
· SSL VPN — 재택·출장 직원의 노트북이 사람 단위로 사무실에 접속합니다. 접속할 때마다 로그인하고, 동시에 접속하는 인원이 장비 선택의 기준이 됩니다.

정리하면 지점이 있으면 IPsec, 재택·출장이 있으면 SSL을 먼저 떠올리면 됩니다. 두 방식을 함께 쓰는 사무실도 있으므로, 우리 사무실이 어느 쪽인지 먼저 정하고 견적을 받으십시오.

소형 랙에 설치한 UTM 구성

아래 사진은 소형 랙에 들어간 포티넷 UTM입니다. 원문 기준으로 FortiGate 40F이며, 방화벽과 VPN이 이 한 대에 같이 들어 있습니다. 아래쪽 랙마운트 스위치로 사무실 PC가 이어지고, 노란색 LAN 케이블이 스위치 포트에 줄지어 꽂혀 있습니다.

UTM을 선반 위에, 스위치를 그 아래 랙 마운트 위치에 둔 구성이라 보안 장비와 스위치가 한 함체 안에서 정리됩니다. 사무실 규모가 작아도 보안 장비는 책상 밑에 두기보다 문이 있는 랙에 넣는 편이 관리하기 좋습니다.

LAN 케이블을 묶어 정리하면 포트 확인과 교체가 쉽습니다. 장비를 새로 들이는 설치 단계에서 케이블 정리까지 함께 하는 것이 나중의 장애 대응을 줄입니다. 사무실 배선 전반은 KT 랜공사 안내에서 볼 수 있습니다.

그래서 따로 사야 하나 — 대부분은 한 대로 됩니다

UTM(통합위협관리)은 방화벽과 VPN을 기본으로 하고, 등급에 따라 침입 방지(IPS)·DDoS 방어·안티바이러스·안티스팸을 더한 장비입니다. 포티넷 FortiGate는 KT 정책상 기능 구성이 아래처럼 나뉩니다.

· Type 0 — 방화벽 + VPN
· Type 1 — 여기에 IPS + DDoS
· Type 2 — 여기에 안티바이러스 + 안티스팸

가장 기본 구성에도 VPN이 들어 있습니다. 그래서 새로 구성하는 사무실은 VPN 장비를 따로 살 일이 많지 않습니다.

따로 두는 경우는 이렇습니다.
· 이미 쓰는 방화벽이 있고 지점 연결만 새로 붙일 때
· 원격 접속 인원이 아주 많아 VPN 처리를 분리해야 할 때
· 사내 규정상 접속 구간과 차단 구간을 다른 장비로 나눠야 할 때

VPN 성능은 숫자를 따로 봅니다

장비 사양표에는 방화벽 처리량과 VPN 처리량이 따로 적혀 있습니다. 암호화를 하는 VPN 처리량이 더 낮게 나오는 것이 보통입니다.

지점끼리 도면·영상 같은 큰 파일을 주고받는다면 VPN 처리량을 기준으로 모델을 고르셔야 합니다. 방화벽 처리량이 아무리 높아도 지점 간 전송 속도는 VPN 처리량에서 막힙니다.

재택 직원이 많다면 SSL VPN 동시 사용자 수를 함께 봅니다. 모델마다 이 숫자가 다르므로 인원과 업무 프로그램을 기준으로 고릅니다.

지점 연결이 목적이면 회선과 같이 봅니다

VPN은 인터넷 회선 위에서 돌기 때문에 양쪽 회선의 업로드 속도가 체감 속도를 정합니다. 본사 장비가 좋아도 지점 회선 업로드가 낮으면 그 속도에서 묶입니다.

그래서 지점 연결을 계획할 때는 장비와 회선을 따로 보지 말고 함께 봐야 합니다. 사무실 회선 구성은 KT 기업인터넷 안내에서 확인할 수 있습니다.

KT 플렉스라인은 회선과 UTM을 하나의 상품으로 묶은 방식이라, 본사·지점을 연결할 때 보안 장비를 따로 구매하고 관리하지 않아도 됩니다. 아래 구성도는 UTM이 놓이는 자리를 정리한 것으로, 지사·재택 연결은 UTM에서 시작하는 암호화 터널로 이어집니다.

견적서를 받으면 먼저 확인할 항목

첫째는 장비 대수입니다. 방화벽과 VPN이 따로 적혀 있어도 한 장비의 기능인지, 실제로 두 대인지 확인하십시오. 둘째는 UTM 등급입니다. 방화벽과 VPN만 필요한지, IPS·DDoS 방어나 안티바이러스·안티스팸까지 필요한지에 따라 Type이 달라집니다.

셋째는 VPN 용도입니다. 지점을 상시 연결할 것인지, 재택·출장 직원이 접속할 것인지, 둘 다인지를 먼저 정리해야 합니다. 지점이 목적이면 양쪽 회선의 업로드 속도를, 재택이 목적이면 SSL VPN 동시 접속 인원을 함께 적어 상담하시면 모델 추천이 정확해집니다.

넷째는 도입 방식입니다. 장비를 구매할지, 약정 기간 동안 빌려 쓰는 임대로 할지에 따라 유지보수 범위와 반납 조건이 달라집니다. 총비용을 비교해 보고 불리한 쪽은 권하지 않는 것이 원칙입니다.

도입 후 자주 겪는 문제와 관리 요령

가장 흔한 문제는 지점 VPN이 연결은 되는데 느리다는 불만입니다. 이때는 장비를 바꾸기 전에 양쪽 회선의 업로드 속도부터 측정해 보십시오. 한쪽 회선이 낮으면 그 속도에서 전체가 묶입니다.

다음은 외부에서 NAS나 CCTV에 접속하려는데 막히는 경우입니다. 방화벽이 허용한 곳만 열어 두기 때문이며, 필요한 접속은 규칙에 추가해야 합니다. 열어 둘 곳을 늘릴수록 위험도 같이 늘어나므로 꼭 필요한 곳만 여는 것이 좋습니다.

공유기의 VPN 기능으로 시작했다가 접속 인원이 늘면서 한계를 만나는 사무실도 있습니다. 동시 접속 인원·처리량·접속 기록 관리에서 한계가 먼저 오므로, 인원이 늘 계획이라면 처음부터 UTM으로 구성하는 편이 낫습니다.

자주 받는 질문과 정리

· 공유기에도 VPN 기능이 있던데 그걸로 안 되나요? — 한두 명이 가끔 접속하는 정도는 됩니다. 동시 접속 인원·처리량·접속 기록 관리에서 한계가 먼저 옵니다.
· VPN만 있으면 보안이 된 건가요? — VPN은 통로를 암호화할 뿐이고, 무엇을 들이고 막을지는 방화벽이 정합니다.
· 장비를 사지 않고 쓸 수 있나요? — KT UTM 정보보안은 약정 기간 동안 빌려 쓰고 반납하는 임대 방식이며, 유지보수가 포함됩니다.

정리하면 방화벽은 접근 통제, VPN은 암호화 통로로 역할이 다르지만, 사무실용 UTM은 가장 기본 구성에도 VPN이 들어 있어 한 대로 끝나는 경우가 대부분입니다. 고를 때는 방화벽 처리량이 아니라 VPN 처리량과 동시 접속 인원을 보십시오.