홈서버를 IDC/196; 옮기면서 보안대책1012; 생각Ȣ16;고 1080;습니다.
네트워크 구성1008; 0120;크/196;ᔘ1; 라우터(hEX)가 0169;화ǣ17;/NAT/포트포워딩/VPN 서버 기능1012; Ȣ16;고,
라우터에서 LAN1004;/196; IPMI 랜포트와 서버 랜포트를 연결합니다
서버lj16; ESXi Ȣ16;1060;6140;0148;1060;1200; 설치Ȣ16;고 guest VM들1012; 설치합니다.
외ǥ12;에서 원ᅄ1;1004;/196; 서버 관리를 Ȣ16;기 위해서 아래와 같1008; 포트들1008; 외ǥ12; 1217;속1060; 가능Ȣ16;도/197; 열Ǻ12;놓1004;/140;고 합니다.
- 0120;크/196;ᔘ1; 라우터 WebFig 또lj16; Winbox 포트
- IPMI(HP iLO) Web 포트
- ESXi vCenter Web 포트
그래서 고1221;IP 0143; VPN IP 를 1060;용한 0169;화ǣ17; 설1221;1012; Ȣ16;/140;고 합니다.
VPN1008; 사실 긴급 상황 (고1221;IP 변ᅆ1;, 스마트폰1012; 통해 관리가 긴급7176; 필요한 ᅆ1;우 መ1;..)1012; 대비한 Ꮢ1;션1077;니다.
Ȟ17;상시에lj16; 고1221;IP를 1060;용해서 관리Ȣ16;/140;고 생각1473;1077;니다.
2cpu 유1200; 한ǥ16;1060; 1312;Ǻ16;해1452;시길 0120;크/196;ᔘ1; 라우터에서 L2TP/IPSec 1004;/196; VPN1012; 구성Ȣ16;라고 1312;Ǻ16;해1452;셔서
0120;크/196;ᔘ1;에서 설치/운영 가능한 VPN 프/196;토콜1012; 알아보니 아래와 같1060; 3가1648;가 1080;더라고요
1) L2TP/IPSec : 가1109; 쉽,172; 구성가능Ȣ16;나 프/196;토콜 1088;체에 대한 보안 문1228;.. NSA와 연관.108; 내용1060; 많1060; 나옴
2) OpenVPN : 0120;크/196;ᔘ1;에서 설치/운영Ȣ16;기 ᅔ1;1109;7176; Ǻ12;/140;움.. 0120;크/196;ᔘ1;에서도 더1060;상 업데1060;트(UDP 모드 መ1;..)를 안Ȣ16;고 1080;lj16;,163;1004;/196; 보아 1648;원1012; 포기한Ǐ19;..
3) IKEv2 : 0120;크/196;ᔘ1;에서 1648;원Ȣ16;lj16;,163; 같긴 한데 관/144; 1088;료를 1096; 못 찾아서 1221;확7176; 파Ꮊ1;1060; 안.120;... 설치Ȣ16;lj16;,172; LT2TP/IPSec 보다 Ǻ12;/140;운Ǐ19;..
1200;lj16; VPN1012; 처1020; 설1221;해보lj16; 초보1088;1060;고 Ǻ12;1228; L2TP/IPSec까1648;lj16; 해봤습니다.
보안1201;1064; 면1012; 봤1012;ǐ12; IKEv2를 써야할,163; 같1008;데..
0120;크/196;ᔘ1;에서 IKEv2 설치Ȣ16;lj16;,172; Ǻ12;/157;1648; 않1008;가요? 안1221;1201;1064;가요? 1648;원1008; 1096; .104;나요?
설치 0143; 운영에 대한 ᅆ1;험1060; 없다보니 2cpu 고수님들1032; 1312;Ǻ16;1012; 듣고 dz10;Ǻ12;서 1060;/111;,172; 1656;문글1012; 올리,172; .104;었습니다.
미크로틱 SSTP도 지원하기 때문에 서버에 접속할 용도라면 SSTP 사용하는게 더 편하고 빠를겁니다. PPP 방식은 압축을 지원해서 패킷도 많이 아낍니다.
개인적으로는 port-knocking으로 클라이언트로서 접속하는 공인 IP에 대하여 방화벽에서 그때 그때 열어주고, 접속하는 방식을 사용하고 있습니다.
IKEv2는
장점 : 빠르고, 아직 중국에서 막히지 않음. 미크로틱에서 장시간 터널 유지해도 안정적. 일부 암호화 방식을 제외하고는 미크로틱장비에서 hardware offload를 제공.
단점 : IPSec에 대한 이해 없이는 복잡, 그리고 복잡. 태생상 시간동기화가 필요.
port-knocking방식은 찾아봐야겠습니다 알려주셔서 감사합니다.
접속하는 클라이언트쪽이 유동IP이면 이 방법을 이용하면 되겠지요.
제 지식 수준에서는 어떻게 해야할지 모르겠더군요.
그냥 저는 생각날때마다 해쉬값을 바꿔주는 중입니다.
그런데 요즘 시대 그정도 길이면 매우 약한 암호화 강도에 들어갑니다
요즘 보안 제대로 지킬려면 비번조차 16자 넘겨야하고, salt같은것도 횔씬 길어요
제가 쓰는 해쉬+id+pw 다합치면 30자리는 넘겠네요
해쉬,id,pw 전부 다 따로따로 마춰야 하는거라 쉽지 않을거라 생각하는데..
3개중 하나라도 틀리면 접속 안대니까요.
편하게 세팅하고, 보안이 어느정도 적절하면서 편하게 사용하는 측면에서는 L2TP+IPSec이나 wireguard가 가장 좋을 것 같습니다.
어느쪽이든 요즘은 youtube에 따라해볼 만한 예제들이 많으니 참고해보시면 좋습니다.
작년초인가, hEX에 대하여 테스트해본 실측치입니다.
PPTP 양방향 380Mbps(CPU 80%)
L2TP 양방향 400Mbps(CPU 81%)
L2TP/IPSec 양방향 110Mbps(CPU 50%)
SSTP 양방향 34Mbps(CPU 30%)
IPSec 210Mbps(CPU 50%) SHA256/AES256 CBC/ECP521 or MODP4096
OVPN은 어차피 어느 장비를 사용해도 성능도 안나오고 번잡하기에, 제외했습니다.
어차피 VPN으로는 웹접속이 전부라서 30MBps정도도 충분해서..
정보 주셔서 감사합니다
미크로틱 메뉴얼입니다..
안보셨다면 VPN 관련 내용 확인해보세요..
또 공식 위키에 장단점 실제 운영상 문제점 등등 경험에서 나오는 내용은 없는것 같아서요
말씀 하신 용도로는 사용 할수 있을지 모르겠으나..
별로 추천드리고싶지는 않네요.
특히 별도의 서버를 둘꺼라면 OpenVPN Access Server라는 아주 편한넘도 있습니다
ikev2 mikrotik server 로 구글링하니 몇가지 나오네요..