정보보호개론 16. VPN( 가상사설망 ) 1 목포해양대해양컴퓨터공학과
가상사설망 (VPN) (1) 공중망을사설망처럼이용할수있도록사이트양단간암호화통신을지원하는장치 원격사용자가공중망및인터넷을통해내부망의시스템사용시, 공중망구간에서의도청으로인한정보유출을방지하기위해사용자와내부망간암호화통신을지원 가상사설망의장점 저비용으로광범위한사설네트워크의구성이가능 기업네트워크관리및운영비용이절감됨 재택근무자등개별사용자지원및무선이동환경의사용자지원, 기업네트워크의유동성지원이가능 가상사설망의단점 인터넷상황에따라네트워크성능이종속적 전용선보다는신뢰성및보안성수준이낮음 서비스에문제가발생하면책임소재가불분명함
가상사설망 (VPN) (2)
가상사설망 (VPN) (3) 가상사설망의특징 최근까지전국적으로인터넷백본 (backbone) 이구축 가정까지인터넷이보급 인터넷을활용한저비용의가상사설망을설치해야할필요성이제기됨 가상사설망을통한전용망구축 인터넷활용에따른비용절감 이동사용자를위해무선환경을지원 재택근무자에게도클라이언트소프트웨어를통해사설망에접속할수있게하는등의확장성을제공
가상사설망 (VPN) (4) 가상사설망의구성요소 가상사설망구축모델 장비내용형태 VPN 어플라이언스 VPN 전용하드웨어장비 H/W VPN 지원라우터 VPN 기능을지원하는라우터 H/W VPN 지원침입차단시스템 VPN 클라이언트 인터넷보안프로토콜 VPN 기능을지원하는침입차단시스템 VPN 전용클라이언트노트북, PDA 등의이동형장비와의호환성이중요 VPN 장비에설치되는보안프로토콜이며, 암호화, 사용자인증, 키관리, 무결성검사기능제공 H/W S/W S/W
가상사설망 (VPN) (5) 가상사설망의기능 암호화기능 일반적으로대칭키암호알고리즘이사용 자주사용되는대칭키암호알고리즘 DES(Data Encryption Standard) 3DES(Triple Data Encryption Standard) IDEA(International Data Encryption Algorithm) 국내표준기술인 SEED(128-bit Symmetric Block Cypher) 사용자인증기능 사용자들간안전한통신을위하여사용자인증기능을제공 사용자인증방식 무결성기능 패스워드기반인증기술 대칭키 (symmetric key) 기반인증기술 공개키 (public key) 기반인증기술 가상사설망의사용자간에교환되는데이터의위 변조여부를검증하는매커니즘으로전자서명 (digital signature) 기술이적용됨
가상사설망 (VPN) (6) 가상사설망의기능 ( 계속 ) 터널링기능 사설망의프로토콜이독립적인세션을구성하여다른사용자로부터가상사설망사용자를보호하는메커니즘 터널링기능을제공하는터널링프로토콜들 주로 OSI 모델의 2 계층과 3 계층에서동작 2 계층에서동작하는프로토콜 시스코시스템스 (Cisco Systems) 의 L2F (Layer 2 Forwarding Protocol) 마이크로소프트 (Microsoft) 의 PPTP(Point to Point Tunneling Protocol) IETF 표준인 L2TP(Layer 2 Tunneling Protocol) 3 계층에서동작하는프로토콜 IETF 표준인 IPSec(IP Security Protocol) 베이네트워크 (Bay Networks) 의 VTP(Virtual Tunneling Protocol)
터널링 (1) L2TP(Layer 2 Tunneling Protocol) 터널링 데이터링크계층에서터널링을지원하는프로토콜 PPTP 의기능과 L2F 의기능을결합한프로토콜 데이터링크계층인 2 계층의 PPP(Point-to-Point Protocol) 트래픽에대한캡슐화 (encapsulation) 를통해가상사설망의종단점들간에터널을생성, 관리, 소멸시켜주는기능을제공 L2TP 의캡슐화과정
터널링 (2) L2TP(Layer 2 Tunneling Protocol) 터널링 ( 계속 ) 2 계층의터널링 터널링주체에따라자발적인 (voluntary) 터널링과강제적인 (compulsory) 터널링으로구분 자발적인터널링 클라이언트가직접터널을형성시키는경우 강제적터널링 ISP(Internet Service Provider) 가터널을형성시키는경우 L2TP 터널링구조
터널링 (3) IPSec(IP Security Protocol) 터널링 IPSec 의터널링기능 OSI 모델의세번째계층인네트워크 (network) 계층에서터널링을지원 인증, 무결성등을지원하는 AH(Authentication Header) 와기밀성, 무결성, 인증등을지원하는 ESP(Encapsulating Security Payload) 의캡슐화기능을이용하여터널링기능도제공 전송 (transport) 모드와터널 (tunnel) 모드로구분 전송모드 가상사설망상의클라이언트가위치하는종단간터널이수립되는방식 터널모드 VPN 방화벽들, VPN 게이트웨이및라우터들사이에터널이수립되는방식
터널링 (4) IPSec(IP Security Protocol) 터널링 ( 계속 ) IPSec 의터널링구조 IPSec 의캡슐화과정
터널링 (5) 터널링프로토콜요약
가상사설망의분류 (1) 접속범위 가상사설망의구축되어사용되는네트워크상의범위에따른분류 이용회선 가상사설망의구축에사용된물리적인매체에따른분류 서비스제공방식 가상사설망에접속하는방법에따른분류 가상사설망의구현방법 가상사설망구축에사용된네트워크접속장비및시스템에따른분류
가상사설망의분류 (2) 내부네트워크 (Intranet) 방식 본사와지사간을연결한가상사설망 LAN-to-LAN 연결방식으로반영구적 VPN 라우터나 VPN 침입차단시스템을통해구현 내부사용자에의한정보유출을막기위해서는사용자인증기능이강화되어야하며, 더욱정교한접근통제 (access control) 정책이요구됨 원격접근 (Remote access) 방식 본사와원격지의허가를받은사용자간을연결한가상사설망 Mobile-to-LAN 연결방식 이동사용자는유 무선전화망과인터넷을통해회사내부네트워크접근 이동사용자의노트북등에 VPN 클라이언트소프트웨어가설치되야함 이동사용자는쉽고편리하게가상사설망에접속할수있어야함 회사는효율적으로관리 신원도용과도청을방지하기위하여사용자인증과암호화기능의강화가요구됨
가상사설망의분류 (3) 외부네트워크 (Extranet) 방식 보안정책이이질적인협력업체나관계기관의 LAN 을상호연결시키는 B2B(business-to-business) 방식 내부네트워크방식에비하여보안상의위협이큼 정교한접근통제가요구 다른플랫폼간상호운용성을고려해야하는복잡한형태의가상사설망