11 · Identity-Based Enterprise VPN
신원 기반 기업 VPN (Identity-Based VPN)
"아이디와 비밀번호로 접속하는 네트워크"에서 한 단계 나아가, 누구인지·어느 그룹인지에 따라 접근 범위 자체가 달라지는 VPN.
"연결 여부"가 아니라 "누구인가"로 판단한다
초기 형태의 VPN은 단순했습니다 — 아이디와 비밀번호가 맞으면 연결을 허용하고, 연결되면 정해진 네트워크 범위 전체에 접근할 수 있었습니다. 신원 기반 VPN은 이 흐름에 "이 사람이 어느 부서, 어느 직급, 어느 프로젝트 소속인가"라는 질문을 끼워 넣습니다. 같은 VPN 게이트웨이에 접속해도 인사팀 직원과 개발팀 직원이 접근할 수 있는 네트워크 범위가 서로 다르게 부여되는 구조입니다.
중앙 신원 저장소와의 연동
이런 판단을 VPN 게이트웨이가 자체적으로 하지는 않습니다. 위 다이어그램처럼 인증 요청은 RADIUS를 거쳐 실제 조직의 신원 정보를 담고 있는 Active Directory나 LDAP 디렉터리로 전달되고, 그곳에서 확인된 소속 그룹 정보를 바탕으로 네트워크 접근 정책(Network Access Policy)이 결정됩니다. 07편에서 다룬 RADIUS, LDAP, 802.1X, RBAC 개념이 VPN이라는 구체적인 상황에서 한데 모이는 지점이 바로 여기입니다.
그룹, 세션, 동시 접속까지 정책으로
신원이 확인된 뒤에도 통제는 계속됩니다. 사용자 그룹(User Group)과 역할 기반 접근(Role-based Access)으로 "무엇에 접근할 수 있는가"를 정하고, 다중 인증(MFA)이나 인증서(Certificate)로 로그인 과정 자체를 강화하며, 일정 시간 활동이 없으면 자동으로 연결을 끊는 세션 타임아웃(Session Timeout)과 한 계정이 동시에 몇 대까지 접속할 수 있는지 제한하는 동시 세션 제어(Concurrent Session Control)로 계정이 공유되거나 탈취됐을 때의 피해 범위까지 좁혀둡니다.