13 · VPN Security & Access Policy
VPN 접속 정책과 접근 통제
어떤 프로토콜과 기술을 쓰느냐와 별개로, "누가 어디서 무엇에 얼마나 접근할 수 있는가"를 규정하는 운영 정책이 실질적인 보안 수준을 결정합니다.
기술은 정책을 구현하는 수단일 뿐
지금까지 다룬 프로토콜, 인증 방식, 아키텍처는 모두 도구입니다. 그 도구로 무엇을 구현할지 정하는 것은 결국 정책입니다. 좋은 VPN 접속 정책은 여섯 가지 질문에 명확하게 답할 수 있어야 합니다 — 누가 접속할 수 있는가(Who), 어디서 접속을 시도하는가(From where), 어떤 기기로 접속하는가(Which device), 어느 네트워크 구간까지 닿을 수 있는가(Which network), 구체적으로 어떤 서버에 접근할 수 있는가(Which server), 그리고 그 접근이 얼마나 오래 유효한가(How long)입니다.
접속 하나가 거쳐가는 검문소들
위 다이어그램은 이 질문들이 실제로 어떻게 순서대로 적용되는지를 보여줍니다. 직원이 인증에 성공했다고 곧바로 모든 것이 허용되는 것이 아니라, 소속 부서 확인(11편의 신원 기반 접근), 접속 기기의 상태 확인(02편의 기기 인증/BYOD), 접근 가능한 네트워크 범위 결정(08편의 세그멘테이션), 최종적으로 허용된 자원 목록 확인까지 여러 단계의 검문소를 순서대로 통과합니다.
정책은 문서가 아니라 설정이어야 한다
이 원칙들이 보안팀 문서에만 적혀 있고 실제 VPN 게이트웨이나 RADIUS 서버의 설정으로 반영되지 않는다면 의미가 없습니다. 좋은 운영은 이 정책을 사람이 매번 수동으로 판단하는 것이 아니라, 접속 시점에 시스템이 자동으로 검증하고 강제하도록 만드는 것입니다. 14편에서 다룰 모니터링·로깅은 이 정책이 실제로 의도대로 지켜지고 있는지 검증하는 마지막 안전장치입니다.