포티게이트·주니퍼·Cisco 장비, 본사–지사 IPsec VPN으로 연결하기 — 실제 사례와 설정 맞추는 법

본사는 포티게이트(FortiGate)를 쓰는데 지사에는 예전에 들여놓고 쓰지 않던 주니퍼(Juniper) 장비가 있고, 새로 옮긴 사무실에는 전 입주사가 두고 간 Cisco 장비가 있었습니다. 실제로 저희가 맡았던 고객사 상황입니다. 결론부터 말하면 제조사가 달라도 본사–지사 VPN은 연결됩니다. 이 글은 VPN 장비 제조사가 섞여 있을 때 무엇을 맞춰야 하는지, 어디서 가장 많이 막히는지, 오래된 장비를 그대로 써도 되는지를 정리했습니다.

VPN 장비 제조사가 달라도 연결되나요?

됩니다. 본사–지사를 잇는 Site-to-Site VPN은 대부분 IPsec이라는 표준 방식을 씁니다. FortiGate, Juniper SRX, Cisco(ISR 라우터·ASA), SonicWall, Palo Alto 모두 IPsec을 지원하기 때문에, 양쪽 장비에 같은 값을 넣어 주면 터널이 올라옵니다. 문제는 제조사마다 메뉴 이름과 기본값이 달라서 “같은 값”을 맞추는 과정에서 시간이 걸린다는 점입니다.

양쪽에서 똑같이 맞춰야 하는 값은?

가장 많이 막히는 곳은?

1. Phase 1은 올라오는데 Phase 2가 안 올라옴 — 대부분 보호할 내부 대역이 양쪽에서 다르게 들어가 있는 경우입니다. 예를 들어 FortiGate는 0.0.0.0/0으로 두고, Cisco ASA는 crypto ACL에 특정 서브넷만 적어 둔 경우입니다. 양쪽을 같은 대역으로 맞추거나, 둘 다 경로 기반(route-based) 방식으로 통일합니다.
2. PFS·DH 그룹 불일치 — 위 표의 PFS 항목입니다. 로그에 “no proposal chosen”이 보이면 암호화 조합이 다르다는 뜻입니다.
3. 본사와 지사 내부 대역이 겹침 — 양쪽 다 192.168.1.0/24를 쓰고 있으면 터널이 올라와도 통신이 안 됩니다. 지사 대역을 바꾸거나 NAT를 걸어야 합니다. 새 지사를 열 때 대역을 미리 정해 두는 게 가장 깔끔합니다.
4. 터널은 올라왔는데 핑이 안 됨 — 라우팅이나 방화벽 정책이 빠진 경우입니다. 상대 대역으로 가는 경로를 터널 쪽으로 넣고, 양방향 정책을 모두 열어야 합니다.
5. 한쪽 장비가 NAT 뒤에 있음 — 통신사 모뎀이 공유기 모드로 되어 있으면 VPN 장비가 사설 IP를 받습니다. 모뎀을 브리지 모드로 바꾸거나 고정 IP를 VPN 장비에 직접 붙입니다. 어쩔 수 없으면 NAT-T(UDP 4500)와 로컬 ID를 맞춥니다.

장비별로 어디서 설정하고 확인하나요?

FortiGate (포티게이트)

VPN → IPsec Tunnels → Create New → Custom에서 Phase 1·2를 위 표대로 넣습니다. 그다음 상대 내부 대역으로 가는 정적 경로(터널 인터페이스)와 양방향 방화벽 정책을 추가합니다. 상태 확인은 대시보드의 IPsec 위젯이나 CLI에서 합니다.

diagnose vpn ike gateway list
diagnose vpn tunnel list
get vpn ipsec tunnel summary

Juniper SRX (주니퍼)

경로 기반(st0 인터페이스)으로 구성하면 FortiGate와 맞추기가 쉽습니다. 아래는 지사 SRX에서 본사 FortiGate를 바라보게 하는 기본 골격입니다. 인터페이스 이름과 IP는 현장에 맞게 바꿉니다.

set security ike proposal HQ-P1 authentication-method pre-shared-keys
set security ike proposal HQ-P1 dh-group group14
set security ike proposal HQ-P1 authentication-algorithm sha-256
set security ike proposal HQ-P1 encryption-algorithm aes-256-cbc
set security ike proposal HQ-P1 lifetime-seconds 28800
set security ike policy HQ-POL proposals HQ-P1
set security ike policy HQ-POL pre-shared-key ascii-text "사전공유키"
set security ike gateway HQ-GW ike-policy HQ-POL
set security ike gateway HQ-GW address 본사공인IP
set security ike gateway HQ-GW external-interface ge-0/0/0.0
set security ike gateway HQ-GW version v2-only
set security ipsec proposal HQ-P2 protocol esp
set security ipsec proposal HQ-P2 authentication-algorithm hmac-sha-256-128
set security ipsec proposal HQ-P2 encryption-algorithm aes-256-cbc
set security ipsec proposal HQ-P2 lifetime-seconds 3600
set security ipsec policy HQ-IPSEC perfect-forward-secrecy keys group14
set security ipsec policy HQ-IPSEC proposals HQ-P2
set security ipsec vpn HQ-VPN bind-interface st0.0
set security ipsec vpn HQ-VPN ike gateway HQ-GW
set security ipsec vpn HQ-VPN ike ipsec-policy HQ-IPSEC
set security ipsec vpn HQ-VPN establish-tunnels immediately
set interfaces st0 unit 0 family inet
set security zones security-zone vpn interfaces st0.0
set routing-options static route 10.10.0.0/16 next-hop st0.0

외부 인터페이스가 속한 존에서 IKE를 받도록 허용하고(host-inbound-traffic system-services ike), 내부 존과 vpn 존 사이 정책을 양방향으로 열어야 실제 통신이 됩니다. 확인 명령어는 다음과 같습니다.

show security ike security-associations
show security ipsec security-associations

Cisco (ISR 라우터 · ASA)

Cisco는 장비 계열에 따라 방식이 다릅니다. ISR 같은 라우터는 가상 터널 인터페이스(VTI)를 쓰면 경로 기반이라 FortiGate·Juniper와 맞추기 쉽습니다. ASA나 오래된 라우터의 crypto map 방식은 정책 기반이라, crypto ACL에 적은 대역이 상대 장비의 Phase 2 대역과 정확히 같아야 합니다.

show crypto ikev2 sa      (IKEv1이면 show crypto isakmp sa)
show crypto ipsec sa

오래된 장비나 전 입주사가 두고 간 장비, 그대로 써도 되나요?

확인해 보고 쓸 수 있으면 씁니다. 새로 옮긴 미시간 사무실에 전 입주사가 오래된 Cisco 장비를 두고 나간 적이 있습니다. 저희는 먼저 사진으로 모델과 상태를 확인했고, 쓸 수 있다고 판단한 뒤 엔지니어가 가서 그 장비로 설치했습니다. 판단 기준은 이렇습니다.

• 제조사 지원 종료(EoS/EoL) 여부 — 보안 업데이트를 더 이상 받지 못하는 장비는 인터넷 맨 앞단 VPN 장비로 쓰지 않습니다.
• 지원하는 암호화 — IKEv2, AES-256, SHA-256, DH 14 이상을 쓸 수 있는지 확인합니다.
• 처리 속도 — 회선 속도는 빠른데 장비의 VPN 처리량이 낮으면 장비가 병목이 됩니다.
• 라이선스·관리자 계정 — 기능 라이선스가 필요한 모델이 있고, 전 입주사 장비는 관리자 비밀번호를 모르는 경우가 많아 초기화가 필요합니다.

본사 FortiGate와 지사에 쓰지 않고 두던 Juniper를 묶은 경우도 같은 방식입니다. 새 VPN 장비를 사지 않고 기존 Juniper를 다시 설정해 본사와 IPsec VPN으로 연결했습니다.

VPN을 연결한 뒤에 챙길 것은?

• 회선이 끊겼을 때 — VPN은 인터넷 위에서 돌아가기 때문에 회선이 끊기면 같이 끊깁니다. 지사 인터넷이 자주 끊겼던 같은 고객사는 백업 회선을 붙인 뒤, 건물 전체 인터넷이 나갔을 때도 그 사무실만 계속 연결됐습니다.
• 모니터링 — 터널이 내려가면 직원이 알아채기 전에 먼저 알 수 있게 알림을 걸어 둡니다.
• 설정 백업과 문서 — 양쪽 장비 설정, 대역표, 사전 공유 키 보관 위치를 문서로 남겨 둡니다.

연락 주시기 전에 준비해 주시면 빠른 것

1. 본사·지사 VPN 장비 모델명 (사진이면 충분합니다)
2. 양쪽 공인 IP와 고정 IP 여부
3. 양쪽 내부 대역 (예: 192.168.10.0/24)
4. 본사 IT 담당자 연락처 (본사 쪽 설정을 같이 맞춰야 하는 경우)

CASTCUBE는 미국 어느 주의 지사든 엔지니어가 직접 가서 VPN 장비·방화벽을 설치하고, 이미 있는 장비는 살려서 연결합니다. 설치 뒤의 모니터링과 장애 대응까지 맡습니다. IT 인프라 구축 · VPN 장비 · 상담 요청