🔐
IPsec이란 - IP 계층에서 동작하는 보안 프로토콜 모음
개별 애플리케이션이 아니라 네트워크 계층(IP) 자체에서 데이터를 암호화·인증하는 프로토콜 집합으로, 특정 앱과 무관하게 모든 트래픽을 보호할 수 있습니다.
HTTPS 같은 보안 기술이 특정 애플리케이션(브라우저) 수준에서 동작하는 것과 달리, IPsec(IP Security)은 그보다 아래 계층인 IP 계층에서 동작합니다. 그 덕분에 어떤 애플리케이션의 트래픽이든 IP 패킷으로 나가는 순간 자동으로 암호화·인증할 수 있어, 기업의 사이트 투 사이트 VPN이나 원격 접속 VPN의 핵심 기술로 널리 쓰입니다.
🔒
ESP(캡슐화 보안 페이로드) - 암호화까지 포함, 실무에서 주로 사용
ESP(Encapsulating Security Payload)는 데이터 내용을 암호화해 도청을 막고, 동시에 무결성 검증 기능도 함께 제공합니다.
ESP는 AH의 인증 기능에 더해 실제 데이터 내용을 암호화하는 기능까지 갖추고 있어, 오늘날 사실상 대부분의 IPsec 구현은 ESP를 기본으로 사용합니다. 암호화와 인증을 모두 제공하면서도 방화벽·NAT 환경과의 호환성 문제(AH는 헤더 전체를 서명 대상에 포함해 NAT를 거치면 검증이 깨지기 쉬운 것과 달리, ESP는 이런 문제에 상대적으로 유연합니다)에서도 더 실용적이라는 평가를 받습니다.
📨
전송모드 - 원본 IP 헤더는 그대로, 데이터만 보호
전송모드에서는 원래의 IP 헤더는 그대로 두고, 그 안의 실제 데이터(페이로드) 부분만 암호화·인증합니다.
전송모드(Transport Mode)는 두 컴퓨터가 직접 통신할 때 주로 쓰이며, 원본 패킷의 출발지·목적지 IP 주소는 그대로 노출된 채 그 안의 데이터 내용만 보호합니다. 오버헤드가 상대적으로 적다는 장점이 있지만, 통신하는 두 기기의 실제 IP 주소가 그대로 드러난다는 특징이 있습니다.
🚇
터널모드 - 전체 패킷을 새 IP 헤더로 감싸는 방식
터널모드는 원본 패킷 전체(헤더 포함)를 암호화한 뒤, 그 위에 새로운 IP 헤더를 씌워 게이트웨이 사이의 새로운 경로로 전달합니다.
터널모드(Tunnel Mode)는 원본 IP 헤더까지 포함한 패킷 전체를 암호화하고, 그 바깥에 두 VPN 게이트웨이(예: 지사와 본사의 라우터)의 IP 주소로 된 새 헤더를 씌웁니다. 그 결과 내부 네트워크의 실제 IP 대역은 외부에 노출되지 않고, 마치 두 지점 사이에 안전한 터널이 뚫린 것처럼 동작합니다. 기업의 사이트 투 사이트 VPN에서 가장 흔히 쓰이는 방식입니다.
🤝
IKE - 양쪽이 안전하게 암호키를 협상하는 절차
IKE(Internet Key Exchange)는 IPsec 통신을 시작하기 전에 양쪽이 어떤 암호화 방식을 쓸지, 어떤 키를 쓸지 안전하게 협상하는 절차입니다.
IPsec으로 암호화 통신을 하려면 양쪽이 같은 암호키를 공유해야 하는데, 이 키를 안전하게 만들고 교환하는 절차가 바로 IKE입니다. IKE는 디피-헬만 키 교환 같은 기법으로 도청자가 있어도 안전하게 공통의 키를 만들어내고, 이후 이 키를 이용해 실제 IPsec(AH·ESP) 통신에 필요한 보안 연결(SA)을 수립합니다. 오늘날은 개선된 IKEv2가 널리 쓰입니다.
🏢
실제 활용 - 사이트 투 사이트 VPN과 L2TP/IPsec
기업의 지사-본사 연결에는 IKEv2 기반 IPsec이, 개인 VPN 앱에서는 L2TP와 IPsec을 결합한 방식이 흔히 쓰입니다.
기업 환경에서는 지사와 본사 네트워크를 상시로 안전하게 연결하는 사이트 투 사이트 VPN에 IPsec(주로 IKEv2 조합)이 널리 쓰입니다. 개인용 VPN 서비스나 원격 접속 VPN에서는 자체적으로 암호화 기능이 없는 L2TP 터널링 프로토콜에 IPsec을 결합한 L2TP/IPsec 방식이 자주 쓰이는데, 이때 IPsec이 실제 암호화와 인증을 담당하고 L2TP는 터널 자체를 만드는 역할을 나눠 맡습니다.