CCNA 200-301

CCNA 200–301 따라잡기 13장

WAN과 VPN 기본, 지사와 본사를 연결하는 방법

David Lee 2025년 7월 4일 · 7분 읽기

12장에서는 NAT와 PAT를 배웠다. 내부 사설 IP가 인터넷으로 나갈 때 주소가 어떻게 변환되는지, show ip nat translations로 무엇을 확인해야 하는지 정리했다.

이번 장에서는 WAN과 VPN을 다룬다.

LAN은 한 건물이나 한 캠퍼스처럼 비교적 가까운 범위의 네트워크다. 반면 WAN은 멀리 떨어진 네트워크를 연결한다.

예를 들어 본사가 서울에 있고 지사가 부산에 있다면, 두 사무실의 LAN을 하나의 기업 네트워크처럼 연결해야 한다. 이때 사용하는 연결 방식과 서비스가 WAN이다.

WAN을 이해하면 “인터넷 회선”, “전용 회선”, “MPLS”, “VPN”, “IPsec”, “GRE” 같은 용어가 왜 나오는지 보이기 시작한다.

  1. WAN

WAN은 Wide Area Network의 약자다.

지리적으로 떨어진 네트워크를 연결하는 넓은 범위의 네트워크다.

LAN이 스위치와 AP 중심이라면, WAN은 라우터, 통신사 회선, 인터넷, VPN 같은 요소가 중심이 된다.

기업에서 WAN은 보통 다음 용도로 쓰인다.

본사와 지사 연결

데이터센터와 사무실 연결

클라우드와 사내망 연결

외근자 또는 재택근무자 접속

CCNA에서는 WAN을 특정 한 가지 기술로 외우기보다, “멀리 떨어진 네트워크를 연결하는 영역”으로 이해하는 것이 좋다.

  1. Internet 회선

가장 흔한 WAN 연결은 인터넷 회선이다.

인터넷 회선은 비교적 저렴하고 빠르게 구축할 수 있다.

하지만 공용망이다.

내 트래픽만 전용으로 지나가는 것이 아니고, 품질도 항상 일정하게 보장되는 것은 아니다.

그래서 기업 지사 연결에 인터넷을 사용할 때는 보통 VPN을 함께 사용한다.

인터넷은 전송 경로를 제공하고, VPN은 그 위에서 암호화된 사설 통신을 제공한다.

  1. Leased Line

Leased line은 전용 회선이다.

특정 두 지점 사이를 위해 통신사가 제공하는 전용 연결이라고 볼 수 있다.

전용 회선은 예측 가능성이 높고 안정적일 수 있다.

하지만 비용이 높을 수 있다.

그래서 매우 중요한 구간이나 품질 보장이 필요한 구간에서 사용된다.

시험에서는 leased line을 “전용 연결, 높은 예측 가능성, 높은 비용 가능성” 정도로 잡으면 된다.

  1. MPLS

MPLS는 Multiprotocol Label Switching의 약자다.

패킷을 IP 목적지 주소만 보고 매번 라우팅하는 것이 아니라, label을 사용해 통신사망 내부에서 전달하는 기술이다.

기업 입장에서 MPLS는 통신사가 제공하는 사설 WAN 서비스로 이해하면 쉽다.

본사와 여러 지사를 통신사 MPLS 망에 연결하면, 각 지사가 사설망처럼 서로 통신할 수 있다.

MPLS는 QoS와 경로 제어 측면에서 인터넷 VPN보다 유리할 수 있다.

하지만 일반 인터넷 회선보다 비용이 높을 수 있다.

  1. Metro Ethernet

Metro Ethernet은 이더넷 기반의 WAN 서비스다.

기업 입장에서는 멀리 떨어진 지점 간에도 이더넷처럼 연결되는 서비스로 느낄 수 있다.

예를 들어 통신사가 본사와 데이터센터 사이에 Ethernet handoff를 제공하면, 기업 장비에서는 이더넷 인터페이스로 WAN을 연결할 수 있다.

CCNA에서는 Metro Ethernet을 “통신사가 제공하는 이더넷 기반 WAN 서비스” 정도로 이해하면 된다.

  1. VPN

VPN은 Virtual Private Network의 약자다.

공용망 위에서 사설망처럼 통신하게 해주는 기술이다.

예를 들어 지사와 본사가 인터넷으로 연결되어 있다고 하자. 인터넷은 공용망이므로 트래픽을 그대로 보내면 보안상 문제가 있다.

VPN은 두 지점 사이에 터널을 만들고, 필요한 경우 트래픽을 암호화해 보호한다.

VPN은 크게 두 형태로 자주 본다.

Site-to-Site VPN

Remote Access VPN

Site-to-Site VPN은 지사 라우터와 본사 라우터처럼 네트워크 장비끼리 터널을 만드는 방식이다.

Remote Access VPN은 사용자의 노트북이나 클라이언트가 회사 네트워크에 접속하는 방식이다.

  1. GRE

GRE는 Generic Routing Encapsulation의 약자다.

GRE는 터널을 만드는 기술이다.

GRE를 사용하면 한 IP 패킷을 다른 IP 패킷 안에 넣어 멀리 떨어진 네트워크 사이에 논리적인 터널을 만들 수 있다.

GRE의 장점은 여러 종류의 트래픽을 터널 안에 넣을 수 있다는 점이다.

예를 들어 라우팅 프로토콜의 멀티캐스트 트래픽을 터널로 전달할 수 있다.

하지만 GRE 자체는 암호화를 제공하지 않는다.

그래서 보안이 필요한 환경에서는 GRE만 단독으로 쓰기보다 IPsec과 함께 사용하는 경우가 많다.

  1. IPsec

IPsec은 IP Security의 줄임말이다.

IP 계층에서 트래픽을 보호하는 보안 프로토콜 모음이다.

IPsec은 다음 기능을 제공한다.

기밀성

무결성

인증

재전송 공격 방지

기밀성은 암호화를 의미한다.

무결성은 중간에 데이터가 변조되지 않았는지 확인하는 것이다.

인증은 상대방이 믿을 수 있는 장비인지 확인하는 것이다.

IPsec은 인터넷 위에서 지사와 본사를 안전하게 연결할 때 자주 사용된다.

  1. GRE over IPsec

GRE는 터널링에 강점이 있고, IPsec은 보안에 강점이 있다.

그래서 두 기술을 같이 사용할 수 있다.

GRE로 라우팅 프로토콜이나 다양한 트래픽을 터널링하고, IPsec으로 그 GRE 터널 트래픽을 암호화하는 방식이다.

이것을 GRE over IPsec이라고 부른다.

시험에서는 이렇게 정리하면 된다.

Get David Lee’s stories in your inbox

Join Medium for free to get updates from this writer.

Subscribe

Subscribe

Remember me for faster sign in

GRE는 암호화 없는 터널이다.

IPsec은 암호화와 인증을 제공한다.

GRE over IPsec은 GRE 터널을 IPsec으로 보호한다.

  1. Site-to-Site VPN

Site-to-Site VPN은 네트워크와 네트워크를 연결하는 VPN이다.

지사 라우터와 본사 라우터가 인터넷을 통해 IPsec 터널을 만들고, 지사 LAN과 본사 LAN이 서로 통신한다.

사용자 입장에서는 인터넷을 지나간다는 사실을 크게 의식하지 않는다.

라우팅 테이블에는 원격 사설망으로 가는 경로가 VPN 터널 방향으로 잡힌다.

예를 들어 지사 LAN이 10.10.10.0/24이고 본사 LAN이 10.20.20.0/24라면, 지사에서 10.20.20.0/24로 가는 트래픽은 VPN 터널로 들어간다.

  1. Remote Access VPN

Remote Access VPN은 사용자 단말이 회사 네트워크에 접속하는 방식이다.

재택근무자가 노트북에서 VPN 클라이언트를 실행하고 회사 VPN 게이트웨이에 접속하는 구조가 여기에 해당한다.

Site-to-Site VPN은 장비끼리 항상 연결되는 형태가 많다.

Remote Access VPN은 사용자 인증을 거쳐 필요한 시간 동안 연결하는 형태가 많다.

  1. Underlay와 Overlay

WAN과 VPN을 이해할 때 underlay와 overlay 개념을 알면 도움이 된다.

Underlay는 실제 물리적 또는 기본 전송 네트워크다.

예를 들어 인터넷 회선, MPLS 망, 통신사 회선이 underlay가 될 수 있다.

Overlay는 그 위에 논리적으로 만든 네트워크다.

VPN 터널은 overlay다.

즉, 인터넷이라는 underlay 위에 IPsec VPN이라는 overlay를 만들 수 있다.

이 개념은 이후 SD-WAN을 이해할 때도 중요하다.

  1. SD-WAN

SD-WAN은 Software-Defined WAN의 약자다.

전통적인 WAN은 회선과 라우팅 정책을 장비별로 관리하는 경우가 많았다.

SD-WAN은 중앙 컨트롤러를 통해 여러 WAN 회선을 정책 기반으로 관리한다.

예를 들어 한 지사에 MPLS 회선과 인터넷 회선이 동시에 있을 수 있다.

중요한 음성 트래픽은 품질이 좋은 경로로 보내고, 일반 웹 트래픽은 저렴한 인터넷 회선으로 보낼 수 있다.

CCNA에서는 SD-WAN을 깊은 구현까지 묻기보다, 중앙 정책 기반으로 WAN 경로를 제어하는 개념으로 이해하면 된다.

  1. WAN에서 자주 보는 용어

WAN 문제를 읽을 때 자주 보는 용어를 정리하자.

CPE는 Customer Premises Equipment다.

고객 사이트에 설치된 장비를 의미한다. 지사 라우터나 회선 종단 장비가 여기에 해당할 수 있다.

Provider는 통신사 또는 서비스 제공자다.

SLA는 Service Level Agreement다.

서비스 품질, 가용성, 장애 복구 시간 같은 약속을 의미한다.

Last mile은 고객 사이트와 통신사망 사이의 마지막 접속 구간이다.

  1. WAN 트러블슈팅 루틴

WAN 장애는 다음 순서로 보면 된다.

첫째, 물리 회선 상태를 확인한다.

인터페이스가 up/up인지, 회선 장비에 장애가 없는지 본다.

둘째, IP 주소와 라우팅을 확인한다.

상대편 WAN IP로 ping이 되는지, 원격 사설망으로 가는 경로가 있는지 본다.

셋째, VPN 상태를 확인한다.

IPsec tunnel이 up인지, phase 1/phase 2가 정상인지, 암호화 도메인이 맞는지 확인한다.

넷째, ACL과 NAT를 확인한다.

VPN 트래픽이 NAT 대상에서 제외되어야 하는 경우가 있다. ACL이 VPN 트래픽을 막고 있지 않은지도 봐야 한다.

다섯째, underlay와 overlay를 구분한다.

인터넷 연결 자체가 안 되는 문제인지, 인터넷은 되는데 VPN 터널만 안 되는 문제인지 나눠야 한다.

  1. 시험에서 자주 틀리는 부분

첫째, GRE를 암호화 기술로 이해하는 것.

GRE는 터널링 기술이지 암호화 기술이 아니다.

둘째, IPsec을 단순 라우팅 터널로만 이해하는 것.

IPsec은 트래픽 보호를 위한 보안 프로토콜 모음이다.

셋째, 인터넷 VPN과 MPLS를 같은 것으로 보는 것.

인터넷 VPN은 공용 인터넷 위에 암호화 터널을 만드는 것이고, MPLS는 통신사망 기반 WAN 서비스다.

넷째, Site-to-Site VPN과 Remote Access VPN을 섞는 것.

Site-to-Site는 네트워크와 네트워크를 연결하고, Remote Access는 사용자 단말이 회사망에 접속한다.

다섯째, VPN 문제에서 NAT를 확인하지 않는 것.

VPN 대상 트래픽이 의도치 않게 NAT되면 터널 매칭이 깨질 수 있다.

  1. 13장 정리

WAN은 멀리 떨어진 네트워크를 연결하는 영역이다.

인터넷 회선은 저렴하고 빠르게 구축할 수 있지만 공용망이다.

Leased line은 전용 연결이며 예측 가능성이 높지만 비용이 높을 수 있다.

MPLS는 통신사망 기반 사설 WAN 서비스로 이해할 수 있다.

Metro Ethernet은 이더넷 기반 WAN 서비스다.

VPN은 공용망 위에서 사설망처럼 통신하게 해준다.

GRE는 터널링을 제공하지만 자체 암호화는 제공하지 않는다.

IPsec은 암호화, 무결성, 인증을 제공한다.

GRE over IPsec은 GRE 터널을 IPsec으로 보호한다.

Site-to-Site VPN은 지사와 본사 같은 네트워크끼리 연결한다.

Remote Access VPN은 사용자 단말이 회사 네트워크에 접속하는 방식이다.

Underlay는 실제 전송망이고, overlay는 그 위에 만든 논리 네트워크다.

SD-WAN은 중앙 정책 기반으로 WAN 경로를 제어하는 개념이다.

  1. 다음 장 예고

14장에서는 네트워크 자동화와 컨트롤러 기반 네트워크의 기본을 다룬다. REST API, JSON, controller, DNA Center, SDN 같은 용어를 정리하고, 전통적인 장비별 CLI 운영과 자동화 기반 운영이 어떻게 다른지 살펴본다.

댓글 0