6장. 가상 사설 통신망 (Virtual Private Networks)

여러 다른 사무실을 두고 있는 기업체에서는 각 사무실을 전용선으로 연결하여 중요한 정보들을 보다 효율적으로 또한 안전하게 전송합니다. 예를 들면, 많은 기업체에서는 end-to-end 네트워킹 솔루션으로서 프레임 중계(frame relay) 서비스나 ATM (Asynchronous Transfer Mode) 서비스를 사용하여 각 사무실 간에 업무용 데이터를 전송합니다. 이러한 방법은 값비싼 엔터프라이즈 수준의 전용 디지털 회로에 드는 비용을 절감하면서 회사를 확장하기를 바라는 기업체들에게는, 특히 중소 기업체 (SMB)에게는 비용이 많이 드는 솔루션입니다.

엔지니어들은 값비싼 엔터프라이즈 전용 회로에 대한 보다 비용이 절감되는 대안책으로서 가상 사설 통신망 (Virtual Private Networks) (VPN)을 개발하였습니다. VPN은 전용 회로와 동일한 기능을 제공하면서 두 위치 간에 보안 디지털 통신을 성립하여 기존 LAN으로부터 WAN (Wide Area Network)를 구성하며, 프레임 중계나 ATM과는 사용하는 전송 매체에서 차이가 있습니다. VPN은 IP 데이터그램 (UDP)을 전송 계층(transport layer)으로 사용하여 전송하기 때문에 인터넷을 통하여 원하는 목적지에 이를때까지 안전한 선로를 통하게 됩니다. 대부분의 자유 소프트웨어 VPN은 전송 과정에서 데이터를 보다 위장하기 위하여 공개 표준, 공개 소스 암호화를 사용합니다.

일부 기관에서는 보안을 증가시키기 위해 하드웨어 VPN 솔루션을 사용하는 반면, 다른 기업체에서는 소프트웨어나 프로토콜 기반 VPN을 사용합니다. 하드웨어 VPN 솔루션을 제공하는 업체에는 Cisco, Nortel, IBM 및 Checkpoint와 같은 기업들이 있습니다. FreeS/Wan이라는 리눅스 용 자유 소프트웨어 기반 VPN 솔루션은 표준 IPsec (Internet Protocol Security) 시스템을 사용합니다. 이러한 VPN 솔루션은 한 사무실에서 다른 사무실 간의 IP 연결 중간에서 특수 라우터로 작동합니다.

클라이언트에서 패킷을 전송시, 라우터나 게이트웨이를 통하여 보내진 후 인증 헤더 (AH)라는 라우팅과 인증에 대한 헤더 정보가 추가됩니다. 데이터는 암호화되고 무결성 보장과 보안을 지원하기 위하여 설계된 ESP (Encapsulating Security Payload)가 삽입됩니다. 수신 VPN 라우터는 헤더 정보를 떼내어 목적지 (워크스테이션이나 네트워크 상 노드)로 라우팅합니다. 네트워크 간 연결을 사용하여 지역 네트워크 상 수신 노드는 암호 해독되어 처리될 준비가 된 패킷을 전송받습니다. 네트워크 간 VPN 연결에서 암호화/암호 해독 과정은 지역 노드에 투명합니다.

보안 수준이 높아지면서, 크래커는 패킷을 중간에서 가로챌 뿐만 아니라 패킷을 암호 해독하려고 시도할 것입니다 (이러한 경우 대부분의 VPN은 DES 암호화를 세 개의 키로 세 번 반복함으로써 암호의 강도를 높인 [3DES] 168-비트 암호를 사용합니다). 침입자는 서버와 클라이언트 사이에서 man-in-the-middle 공격을 사용하여 인증 세션을 위해 교환되는 키를 알아낼 수도 있습니다. VPN은 다수의 원격 기계들을 하나의 통합 인트라넷으로 안전하고 효율적으로 연결할 수 있는 수단입니다.