방화벽과 VPN
Firewall / Virtual Private Network
방화벽과 VPN이란?
- 방화벽=통신을 거르는 문지기
- VPN=안전한 암호화 터널
- 네트워크 보안 기본
방화벽과 VPN을 들인다는 것은 장비를 사는 일이 아니라 네트워크를 신뢰 구역으로 나누는 결정입니다. 어디까지가 내부이고 누가 그 선을 넘을 수 있는지를 먼저 문서로 정해야 규칙 한 줄이라도 제대로 쓸 수 있습니다. 그래서 도입 과정의 절반은 장비 설정이 아니라 현업과의 협의에 들어갑니다. 영업팀이 쓰는 외부 SaaS, 생산 설비가 내보내는 데이터, 협력사가 드나드는 경로를 전부 꺼내놓고 나면 허용 목록이 없던 조직은 사실상 전부 허용 상태였다는 사실이 드러납니다.
기술적으로는 구분이 필요합니다. 포트와 IP만 보던 초기 방화벽은 지금 애플리케이션·사용자 단위로 통신을 보는 차세대 방화벽(NGFW)으로 넘어왔고, 웹 공격을 걸러내는 WAF는 층이 달라 방화벽으로 대체되지 않습니다. VPN도 본사와 지사를 상시 연결하는 IPsec 방식과, 개인이 클라이언트로 붙는 SSL VPN은 쓰임이 다릅니다. 모든 트래픽을 회사로 보내는 풀 터널은 회선 비용과 지연을 키우고, 필요한 것만 보내는 스플릿 터널은 가벼운 대신 통제 범위가 줄어듭니다. 최근에는 시스템 하나하나를 따로 검증하는 ZTNA(제로트러스트 네트워크 액세스)가 사용자 VPN을 대체하는 흐름입니다.
현장에서 가장 자주 어긋나는 지점은 'VPN을 붙였으니 안전하다'는 생각입니다. VPN은 터널을 암호화할 뿐 터널 안으로 들어온 사람이 본인인지는 보증하지 않습니다. 아이디와 비밀번호만으로 열리는 VPN은 계정 하나가 털리는 순간 공격자에게 내부망 고속도로를 깔아주는 셈이라, 다중인증(MFA)은 선택이 아닙니다. 방화벽 쪽 단골 사고는 '일단 열고 나중에 정리하자'며 넣은 임시 허용 규칙입니다. 테스트가 끝나도 지우는 사람이 없어 몇 년씩 남습니다. 여기에 VPN 장비 펌웨어 취약점은 공개된 당일부터 스캔이 들어온다는 점까지 겹치면, 패치 주기가 반기에 한 번인 조직은 장비값은 장비값대로 쓰고 구멍은 그대로 안고 가게 됩니다.
방화벽은 1980년대 후반 네트워크 보안 기술로 등장했고, VPN은 원격 접속·보안 통신 수요와 함께 발전했습니다.
가상의 사례로 살펴보겠습니다. 임직원 320명, 연매출 약 900억 원의 의료기기 유통사 A사의 이야기입니다. 2020년 재택근무를 급히 열면서 만든 VPN 계정이 4년간 정리 없이 쌓였고, 방화벽 규칙도 요청이 올 때마다 추가만 해왔습니다. 거래처 실사에서 '원격접속 통제 근거를 제출하라'는 요구를 받고 6주짜리 정비에 들어갔습니다.
- 정보보안팀장이 계정 목록을 뽑아보니 활성 VPN 계정 412개 중 3개월 이상 미접속이 137개, 이미 퇴사한 직원 명의가 41개였습니다. 팀장은 '절반은 주인이 없습니다'라고 보고했습니다.
- 네트워크 담당 과장이 방화벽 규칙 802건을 한 줄씩 훑었고, 출발지·목적지가 모두 열린 any-any 규칙 14건을 찾아냈습니다. 그중 9건은 6년 전 테스트용으로 넣은 임시 규칙이었습니다.
- 전 직원 MFA 적용을 공지하자 영업본부장이 '병원 앞에서 한 번 더 누르라는 겁니까'라고 반발해, OTP 앱과 휴대폰 생체인증 중 선택하게 하고 2주간 등록률을 매일 집계했습니다.
- ERP와 고객 DB 등 민감 시스템 5종은 ZTNA로 먼저 전환하고, 사내 그룹웨어와 파일서버만 기존 VPN에 남겨 접속 경로를 두 갈래로 갈랐습니다.
- 6주 뒤 활성 계정은 412개에서 231개로, 방화벽 규칙은 802건에서 390건으로 줄었고, 분기 1회 계정·규칙 재검토를 규정에 넣어 이듬해 거래처 실사를 지적 없이 통과했습니다.