방화벽 완전정복 — 패킷 필터링부터 차세대(NGFW)까지 한 번에 끝내기
- 공유 링크 만들기
- X
- 이메일
- 기타 앱
안녕하세요, 도담인사이트입니다. 😊
"방화벽(Firewall)"이라는 말은 다들 들어보셨죠? 그런데 막상 "방화벽이 정확히 뭐 하는 거예요?", "1세대·2세대·차세대(NGFW)는 뭐가 다른가요?"라고 물으면 설명하기가 은근히 어렵습니다.
이번 글에서는 방화벽의 개념부터 세대별 진화, 주요 벤더 비교, 그리고 기본 CONFIG 예제까지 네트워크 입문자 눈높이에서 비유와 함께 한 번에 정리해 드리겠습니다.
- 방화벽이란? — 우리집 현관 도어록 이야기
- 방화벽의 5가지 핵심 역할
- 방화벽의 진화 — 1세대부터 차세대(NGFW)까지
- 주요 방화벽 벤더 종류와 차이점
- 기본 CONFIG 예제 (Cisco ASA & FortiGate)
- 함께 알아두면 좋은 연관 기능 (DMZ·NAT·IPS·UTM·WAF)
- Q&A — 초보자가 자주 묻는 질문
1. 방화벽이란? — 우리집 현관 도어록 이야기 🚪
방화벽(Firewall)이란, 서로 신뢰 수준이 다른 두 네트워크 사이에 놓여, 미리 정해둔 규칙(정책)에 따라 통신을 허용하거나 차단하는 보안 장비/소프트웨어입니다.
비유하자면 아파트 정문의 경비실과 같습니다. 외부(인터넷)에서 단지 안(내부망)으로 들어오려는 모든 사람을 경비실에서 한 번 거르죠. "택배 기사님은 OK, 모르는 사람은 차단" 같은 규칙이 곧 방화벽 정책(Policy)입니다.
원래 "Firewall(방화벽)"은 건물에서 불이 번지지 못하게 막는 내화벽을 뜻합니다. 네트워크에서도 "위험(공격)이 내부로 번지지 못하게 막는 벽"이라는 의미로 그대로 빌려 쓴 것이죠.
📖 먼저 알아둘 핵심 용어
| 용어 | 쉬운 설명 |
|---|---|
| 패킷(Packet) | 네트워크를 오가는 데이터 한 조각. "택배 상자 하나"라고 생각하면 됩니다. |
| 세션/상태(Session/State) | "누가 누구와 대화 중인지"에 대한 연결 정보. 통화 한 통이라고 보면 됩니다. |
| 인바운드/아웃바운드 | 밖→안으로 들어오는 트래픽 / 안→밖으로 나가는 트래픽. |
| 정책(Policy)/룰(Rule) | "이건 허용, 저건 차단"을 적어둔 규칙표. 경비실 출입 지침서. |
| OSI 계층 | 통신을 7개 층으로 나눈 모델. 3계층=IP주소, 4계층=포트, 7계층=실제 내용(앱). |
2. 방화벽의 5가지 핵심 역할 🛡️
방화벽은 단순히 "막기"만 하는 게 아닙니다. 다음과 같은 역할을 합니다.
- 접근 통제(Access Control) — 허용된 통신만 통과, 나머지는 기본 차단(Default Deny).
- 네트워크 분리(Segmentation) — 외부망 / 내부망 / DMZ를 구획으로 나눠 위험 확산을 막음.
- 로깅과 감사(Logging) — 누가 언제 무엇을 시도했는지 기록 → 사고 추적의 핵심.
- NAT(주소 변환) — 내부 사설 IP를 외부 공인 IP로 바꿔, 내부 구조를 숨기고 IP를 절약.
- 위협 차단 — (차세대 방화벽 한정) 악성코드·침입·악성 앱 트래픽까지 탐지·차단.
좋은 방화벽 설정의 기본은 "명시적으로 허용한 것 외에는 전부 막는다"입니다. 경비실로 치면 "초대 명단에 없으면 무조건 출입 금지"인 셈이죠. 반대(기본 허용)로 하면 빈틈이 너무 많아집니다.
3. 방화벽의 진화 — 1세대부터 차세대(NGFW)까지 🧬
방화벽은 공격 기법이 발전함에 따라 함께 진화해 왔습니다. 세대 구분은 벤더·기관마다 조금씩 다르지만, 일반적으로 아래처럼 나눕니다. "경비원이 점점 더 꼼꼼해지는 과정"이라고 생각하면 이해가 쉽습니다.
🥇 1세대 — 패킷 필터링 (Packet Filtering)
- 검사 범위: OSI 3~4계층 (출발지/목적지 IP 주소, 포트 번호, 프로토콜)
- 특징: 상태를 기억하지 않음(Stateless). 패킷 하나하나를 독립적으로 검사.
- 한계: "이 패킷이 정상 응답인지, 갑자기 들어온 공격인지" 구분 못 함. 라우터 ACL과 비슷한 수준.
📌 실무 예: 라우터/L4 스위치의 ACL, Piolink PAS-K의 "패킷 필터링 방화벽" 기능이 이 계열입니다.
🥈 2세대 — 스테이트풀 인스펙션 (Stateful Inspection)
- 검사 범위: 3~4계층 + 연결 상태(세션) 추적
- 특징: 내부에서 나간 요청을 세션 테이블(State Table)에 기록 → 그에 대한 응답만 자동 허용.
- 장점: 일일이 응답용 룰을 안 만들어도 되고, 비정상 패킷(상태에 안 맞는 패킷)을 걸러냄. 오늘날 방화벽의 기본기.
📌 실무 예: Check Point FW-1, 초기 Cisco PIX/ASA. 1990년대에 등장해 사실상 표준이 됨.
🥉 3세대 — 애플리케이션 검사 / 프록시 & UTM
- 검사 범위: 최대 7계층(애플리케이션)까지. 패킷 "내용물"을 들여다봄.
- 방식 1 — 프록시/ALG: 방화벽이 대리인이 되어 통신을 대신 받고 검사 후 전달.
- 방식 2 — UTM(통합 위협 관리): 방화벽 + 안티바이러스 + IPS + 웹필터링 등을 한 장비에 통합.
🏆 차세대 방화벽 (NGFW, Next-Generation Firewall)
흔히 말하는 "4세대" 또는 "차세대" 방화벽입니다. 2세대의 스테이트풀 기능을 기본으로 깔고, 7계층 지능형 기능을 통합한 것이 핵심입니다. 2008년 무렵 Gartner가 정의했습니다.
- 애플리케이션 인식(App-ID): 포트가 아니라 "실제 앱"을 식별. (예: 80번 포트라도 웹서핑인지 우회 프로그램인지 구분)
- 사용자 인식(User-ID): IP가 아닌 "누구(계정)"를 기준으로 정책 적용.
- 통합 IPS: 침입 시도를 실시간 탐지·차단.
- SSL/TLS 복호화 검사: 암호화된 HTTPS 트래픽 안까지 점검.
- 위협 인텔리전스 연동: 최신 악성 IP/도메인 DB와 실시간 대조.
📊 세대별 한눈에 비교
| 구분 | 검사 계층 | 상태 추적 | 핵심 능력 |
|---|---|---|---|
| 1세대 패킷필터링 | L3~L4 | ❌ 없음 | IP·포트로 허용/차단 |
| 2세대 스테이트풀 | L3~L4 | ✅ 세션 기억 | 연결 상태 기반 검사 |
| 3세대 프록시/UTM | L7까지 | ✅ | 내용 검사 + 기능 통합 |
| 차세대 NGFW | L3~L7 | ✅ | App/User 인식+IPS+SSL검사 |
※ "3세대 = UTM, 4세대 = NGFW"로 보는 분류도 있고, UTM과 NGFW를 같은 흐름으로 보는 견해도 있습니다. 세대 숫자보다 "어디까지 검사하고, 무엇을 추가로 하느냐"의 흐름을 기억하세요.
4. 주요 방화벽 벤더 종류와 차이점 🏢
🌐 글로벌 벤더
| 벤더 / 제품 | 특징 한 줄 요약 |
|---|---|
| Palo Alto Networks (PA 시리즈) | NGFW 대표주자. App-ID·User-ID가 강점. 트래픽을 한 번만 스캔해 모든 검사를 처리하는 Single-Pass 구조. |
| Fortinet (FortiGate) | 전용 칩(ASIC) 기반으로 가성비·성능이 좋아 시장 점유율이 매우 높음. UTM/NGFW 통합. |
| Cisco (ASA / Firepower=FTD) | 전통의 강자. 보안 레벨(Security-Level) 개념이 특징. 구형 ASA → 차세대 FTD로 전환 중. |
| Check Point | 스테이트풀 인스펙션을 처음 상용화한 원조. 정책 관리 GUI가 강력. |
| Juniper (SRX) | Zone 기반 정책. 라우팅·통신사 환경에서 강세. |
🇰🇷 국산 벤더 (공공·금융 등 국내 환경에서 자주 만남)
| 벤더 / 제품 | 비고 |
|---|---|
| SECUI (시큐아이) — MF2, BLUEMAX | 국내 방화벽 점유율 상위. 공공/금융에 다수 도입. |
| AhnLab (안랩) — TrusGuard | UTM/NGFW. 백신 연동 보안에 강점. |
| WINS (윈스) — SNIPER | IPS/방화벽. 고성능 트래픽 처리. |
기능은 결국 비슷해졌습니다(NGFW로 수렴). 실제 차이는 ① 트래픽 처리 방식(Single-Pass vs 순차 검사), ② 전용 하드웨어/칩 유무(성능), ③ 정책 관리 UI의 편의성, ④ 라이선스 체계와 위협 DB 품질, ⑤ 국내 인증(CC, 보안적합성 검증) 보유 여부에서 갈립니다.
5. 기본 CONFIG 예제 ⌨️
실무에서 가장 자주 보게 되는 두 가지, Cisco ASA(스테이트풀의 정석)와 FortiGate(NGFW 스타일)의 기본 설정을 살펴봅시다.
① Cisco ASA — 보안 레벨 기반 기본 구성
ASA의 핵심은 Security-Level(0~100)입니다. 숫자가 높을수록 신뢰하는 구역이고, 높은 곳 → 낮은 곳 통신은 기본 허용, 낮은 곳 → 높은 곳은 기본 차단(허용하려면 ACL 필요)입니다.
! ===== 기본 정보 ===== hostname ASA-FW domain-name dodam.local ! ===== 인터페이스 (보안레벨: 높을수록 신뢰) ===== interface GigabitEthernet0/0 nameif outside security-level 0 ip address 203.0.113.1 255.255.255.0 no shutdown ! interface GigabitEthernet0/1 nameif inside security-level 100 ip address 192.168.10.1 255.255.255.0 no shutdown ! interface GigabitEthernet0/2 nameif dmz security-level 50 ip address 172.16.10.1 255.255.255.0 no shutdown ! ===== 기본 라우팅 (외부로 나가는 길) ===== route outside 0.0.0.0 0.0.0.0 203.0.113.254 1 ! ===== NAT : 내부(사설IP) -> 외부(공인IP) PAT ===== object network INSIDE-NET subnet 192.168.10.0 255.255.255.0 nat (inside,outside) dynamic interface ! ===== DMZ 웹서버를 외부에 공개 (Static NAT + 허용 룰) ===== object network DMZ-WEB host 172.16.10.10 nat (dmz,outside) static 203.0.113.10 access-list OUTSIDE-IN extended permit tcp any object DMZ-WEB eq www access-group OUTSIDE-IN in interface outside ! ===== 스테이트풀 검사 정책 ===== policy-map global_policy class inspection_default inspect icmp inspect http service-policy global_policy global
② FortiGate — NGFW 정책(보안 프로파일 결합)
FortiGate는 인터페이스 사이에 정책(policy)을 만들고, 그 정책에 안티바이러스·IPS·앱컨트롤 같은 보안 프로파일을 붙이는 방식입니다. 바로 이 부분이 NGFW의 특징이죠.
# ===== 인터페이스 설정 =====
config system interface
edit "wan1"
set mode static
set ip 203.0.113.1 255.255.255.0
set allowaccess ping https ssh
next
edit "internal"
set ip 192.168.10.1 255.255.255.0
set allowaccess ping https
next
end
# ===== 내부 -> 외부 정책 + NGFW 보안 프로파일 적용 =====
config firewall policy
edit 1
set name "Internal-to-WAN"
set srcintf "internal"
set dstintf "wan1"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "ALL"
set nat enable
set utm-status enable
set av-profile "default"
set ips-sensor "default"
set application-list "default"
set ssl-ssh-profile "certificate-inspection"
next
end
6. 함께 알아두면 좋은 연관 기능 🔗
| DMZ | 외부에 공개할 서버(웹·메일)를 두는 완충 지대. "집 안은 못 들어와도, 마당(DMZ)까지는 손님이 들어올 수 있게" 하는 영역. |
| NAT | 사설 IP ↔ 공인 IP 변환. 내부 구조를 숨기고 공인 IP를 아껴 씀. 방화벽의 단골 기능. |
| IPS / IDS | 침입을 탐지(IDS)만 하거나 탐지+차단(IPS)까지. NGFW에 통합되어 있음. "수상한 행동을 잡아내는 보안요원". |
| UTM | 방화벽+백신+IPS+웹필터를 한 박스에 통합. 중소규모에서 가성비로 인기. |
| VPN | 암호화 터널로 원격지를 내부망처럼 연결. 방화벽에 기본 탑재되는 경우 많음(IPsec·SSL VPN). |
| WAF | 웹 애플리케이션 전용 방화벽. 일반 방화벽이 못 막는 SQL Injection·XSS 같은 웹 공격을 방어. NGFW와 역할이 다름(보완 관계). |
NGFW는 네트워크 전반을 폭넓게 지키는 "정문 경비", WAF는 웹서버 앞에 특화된 "웹 전담 경호원"입니다. 둘은 경쟁 관계가 아니라 함께 쓰는 보완 관계입니다.
❓ Q&A — 초보자가 자주 묻는 질문
- 방화벽 = 신뢰도가 다른 망 사이의 출입 통제소, 기본 원칙은 "기본 차단".
- 진화: 패킷필터링(1) → 스테이트풀(2) → 프록시·UTM(3) → NGFW(차세대).
- 오늘날 표준은 스테이트풀이 기본, NGFW가 대세 (App/User 인식 + IPS + SSL검사).
- 벤더 차이는 처리방식·하드웨어·관리 UI·라이선스·국내인증에서 갈린다.
#방화벽 #Firewall #차세대방화벽 #NGFW #패킷필터링 #PacketFiltering #스테이트풀인스펙션 #StatefulInspection #네트워크보안 #NetworkSecurity #CiscoASA #FortiGate #PaloAlto #UTM #IPS #DMZ #NAT #CCNA #네트워크기초 #NetworkBasics #방화벽설정 #FirewallConfig #도담인사이트 #DodamInsight
댓글
댓글 쓰기