03 · Branch Office VPN
본사와 지사를 잇는 Branch Office VPN
본사와 국내외 지사, 매장/프랜차이즈 네트워크까지 — 사람이 아니라 네트워크 전체를 상시 연결하는 Site-to-Site VPN.
사람이 아니라 네트워크를 연결한다
02편의 Remote Access VPN이 개별 사용자를 연결한다면, Branch Office VPN은 네트워크 전체를 연결합니다. 본사와 지사에 각각 VPN 게이트웨이를 두고 그 사이에 상시 연결된 터널을 만들면, 지사의 모든 직원과 서버가 별도 설정 없이도 본사 네트워크의 자원을 마치 같은 건물에 있는 것처럼 사용할 수 있습니다. 국내 지사든 해외 지사든, 본사와 지사 하나를 잇든 매장 여러 곳을 프랜차이즈 본부와 연결하든 기본 구조는 동일합니다.
연결 규모가 커질수록 달라지는 것
지사가 하나뿐이라면 설계가 단순하지만, 국내외 여러 지사나 수십 개의 매장을 연결해야 한다면 이야기가 달라집니다. 각 지점을 어떻게 배치하고 어떤 지점이 어떤 지점과 직접 통신해야 하는지에 따라 연결 방식 자체를 고민해야 하는데, 이 주제는 09편(다지점 기업 VPN)에서 Hub-and-Spoke와 Full Mesh 구조로 더 깊이 다룹니다.
Site-to-Site IPsec과 라우팅 방식
Branch Office VPN의 표준 기술은 05편에서 다룬 IPsec과 IKEv2의 조합입니다. 여기에 더해 터널을 어떻게 취급할지 결정해야 하는데, 라우트 기반(Route-based) VPN은 터널을 하나의 가상 네트워크 인터페이스처럼 다루어 일반 라우팅 규칙으로 트래픽을 흘려보내는 방식이고, 정책 기반(Policy-based) VPN은 "어떤 출발지·목적지 트래픽만 터널을 타라"는 규칙을 명시적으로 정의하는 방식입니다. 지점이 늘어나고 네트워크 구성이 자주 바뀌는 환경이라면, 라우팅 프로토콜이 경로 변경을 자동으로 전파해주는 동적 라우팅(Dynamic Routing)을 함께 쓰는 것이 유지보수 부담을 크게 줄여줍니다.