FortiGate SSL VPN을 ISP 라우터 뒤에서 사용할 때: NAT, WAN IP 및 DMZ 모범 사례

원격 접속은 현대 기업에게 필수적인 요소이며, 특히 FortiClient VPN은 분산된 팀 간의 안전한 연결을 제공합니다. 그러나 ISP에서 제공하는 라우터 뒤에 FortiGate 방화벽을 구축하면 복잡한 문제가 발생할 수 있습니다. 갑자기 VPN 연결이 끊기고, 원격 사용자는 세션이 끊기는 현상을 겪으며, IT 팀은 NAT 및 WAN IP 문제를 추적하는 데 어려움을 겪습니다.

이 가이드는 핵심적인 기술적 문제점을 다루고, SSL VPN을 위한 WAN IP 및 NAT 설계에 대해 설명하며, 중단 없는 원격 접속을 보장하기 위한 실질적인 단계를 제공합니다.

차례

• 파트 1: 핵심 과제
• 파트 2: WAN 기본 IP와 추가 고정 IP의 차이점
• 파트 3: DMZ, 1:1 NAT 및 포트 포워딩
• 파트 4: 검증 워크플로 및 ISP 마이그레이션 고려 사항
• 파트 5: 피해야 할 일반적인 설정 오류
• 부품 6 : Router-Switch.com 지원 및 장점
• 파트 7 : FAQ

파트 1: 핵심 과제: NAT, CGNAT 및 ISP 장벽

FortiGate가 ISP 라우터 뒤에 있는 경우:

• 방화벽에 공용 IP 주소가 할당되지 않아 VPN 트래픽이 수신되지 않을 수 있습니다.
• ISP NAT 또는 CGNAT는 외부 VPN 클라이언트가 FortiGate에 접속하는 것을 차단할 수 있습니다.
• WAN IP, DMZ 또는 포트 포워딩 규칙이 잘못 구성되면 연결이 끊어지는 경우가 많습니다.

프로 팁 : 네트워크를 재구성하기 전에 ISP에서 CGNAT를 사용하는지 확인하십시오. 사용하는 경우 SSL VPN 연결성을 보장하기 위해 고유한 전용 고정 공용 IP 주소를 요청하십시오.

파트 2: WAN 기본 IP와 추가 고정 IP의 차이점

올바른 WAN IP 할당은 필수적입니다.

• 기본 WAN IP: 공개적으로 접근 가능해야 하며 상위 라우터에 일관되게 매핑되어 있어야 합니다. 이는 SSL VPN 엔드포인트의 안정성을 보장합니다.
• 추가 고정 IP 주소: /29 공용 서브넷을 사용하는 경우 VIP 또는 DMZ 서비스에 추가 IP 주소를 할당하십시오. 이렇게 하면 충돌을 방지하고 여러 서비스가 기본 VPN에 영향을 주지 않고 작동할 수 있습니다.

모범 사례 : WAN에 동적으로 할당되는 IP 주소에 의존하지 마십시오. 라우터 재부팅 후에도 IP 주소가 유지되도록 고정 IP 주소 구성 또는 DHCP 예약을 사용하십시오.

선택 사항 : 고정 IP를 사용할 수 없는 경우 FortiGuard DDNS는 동적 공용 IP를 안정적인 도메인에 바인딩하여 FortiClient 사용자가 안정적으로 연결할 수 있도록 합니다.

파트 3: DMZ, 1:1 NAT 및 포트 포워딩

ISP NAT 뒤에서 SSL VPN에 접속할 수 있도록 하려면:

• 1:1 NAT: ISP에서 제공하는 각 공용 고정 IP 주소를 FortiGate WAN 인터페이스에 직접 매핑합니다.
• 포트 포워딩 : SSL VPN을 사용하려면 TCP 443 포트(또는 10443과 같은 사용자 지정 포트)를 FortiGate WAN IP로 포워딩하십시오.
• DMZ 호스팅: 여러 개의 인바운드 서비스가 있는 복잡한 설정의 경우, ISP 라우터의 DMZ를 FortiGate WAN IP를 가리키도록 구성하여 NAT 관리를 간소화할 수 있습니다.

예시: SSL VPN에 대한 포트 포워딩 구성:

ISP_Router> set port-forward 10443 FortiGate_WAN_IP

보안 팁: 노출 위험을 줄이고 웹 관리와의 충돌을 방지하려면 기본 SSL VPN 수신 포트를 변경하십시오.

파트 4: 검증 워크플로 및 ISP 마이그레이션 고려 사항

단계별 검증:

1. 인터넷 서비스 제공업체(ISP)에서 제공하는 /29 서브넷과 기본 IP 주소를 확인하십시오.
2. FortiGate에 WAN IP 주소를 할당하고 NAT/포트 포워딩을 구성합니다.
3. FortiClient를 사용하여 외부 연결을 테스트하십시오.
4. FortiOS CLI를 사용하여 문제를 해결하십시오.

   diagnose sniffer packet any 'host  and (port 443 or port 10443)' 4 0 a
   diagnose sys waninfo

5. 향후 ISP 변경을 간소화하기 위한 문서 구성입니다.

팁: ISP 이전 후 NAT 경로를 확인하고 SSL VPN을 다시 테스트하십시오. 동적 IP를 사용하는 경우, 중단 없는 액세스를 위해 DDNS 항목을 업데이트하십시오.

파트 5: 피해야 할 일반적인 설정 오류

• SSL VPN을 잘못된 또는 가변적인 WAN IP에 바인딩하는 경우.
• 1:1 NAT 또는 포트 포워딩 규칙이 누락되었습니다.
• 인터넷 서비스 제공업체(ISP) 변경 후 방화벽 정책이나 라우팅 항목을 조정하지 않은 경우.
• CGNAT 또는 ISP에서 수정된 업스트림 라우팅을 간과하는 경우.

이러한 문제점을 인지하면 시스템 다운타임을 방지하고 원격 접속의 안정성을 향상시킬 수 있습니다.

파트 6: 라우터-스위치 지원 및 장점

• 광범위한 FortiGate 재고 보유: 200E, 300E, 400E와 같은 모델을 신속하게 확보하세요.
• 전문가 CCIE 지원: WAN IP 계획, NAT, DMZ 및 SSL VPN 설계에 대한 무료 가이드를 제공합니다.
• 전 세계 1~5일 배송: DDP 배송은 통관 지연 없이 신속한 교체를 보장합니다.
• 연장 보증 및 RS 케어: 네트워크 인프라의 장기적인 안정성을 보장합니다.
• 유연한 조달: 다양한 결제 옵션과 실시간 재고 확인 기능으로 긴급 프로젝트도 간편하게 진행할 수 있습니다.

사용 라우터-스위치 이 서비스는 ISP NAT 장치 뒤에 있는 복잡한 SSL VPN 배포조차도 안전하고 안정적이며 확장 가능하도록 보장합니다.

파트 7 : FAQ

SSL VPN은 이중 NAT 환경에서 작동할 수 있나요?

예, 적절한 1:1 NAT 또는 포트 포워딩이 설정되어 있으면 가능합니다. 매핑이 되어 있지 않으면 VPN 트래픽이 차단됩니다.

SSL VPN을 고정 IP에 연결하려면 어떻게 해야 하나요?

FortiGate WAN 인터페이스에 고정 IP를 할당하고, NAT를 구성하고, SSL VPN이 해당 IP에서 수신 대기하는지 확인하십시오.

ISP 이전 후 무엇을 확인해야 할까요?

WAN IP 할당, NAT/DMZ 규칙, 방화벽 정책을 검증하고 외부 연결 테스트를 실행합니다.