VPN 선택하기

이번에 KLDP 를 Neowiz 의 전용랙으로 이전하면서 KLDP 에 VPN 시스템을 도입하려고 삽질을 하고 있습니다. 처음에는 IPSec 을 하기 위해서 OpenSwan 을 염두에 뒀었는데, 당치도 않은 장황한 영어 매뉴얼에 포기를 하고 (T.T), 상대적으로 자료가 많은 OpenVPN 과 PPTP 중에 선택을 하려 하고 있습니다.

그런데, 이 두녀석들이 딱 마음에 드는 것이 없네요. 원래는 PPTP 쪽으로 마음이 기울였었는데 현실적으로 OpenVPN 의 손을 들어줘야 하는 상황이 되었습니다.

일단 두녀석 모두의 단점으로는.. 관리자가 접속자의 password 를 너무 쉽게 알 수 있다는 점이었습니다. 좀 경악 스럽더군요. 일단 OpenVPN 의 경우에는 debug mode 에서 사용자의 password 를 로그에 남기거나 stdout 으로 볼 수 있다는 좀 황당한 디버깅 모드에 놀랐고.. PopTop 의 pptpd 의 경우에는 암호화를 하기 위해서는 chap-secrets 에 plain text 암호를 기입해야 하든지.. system account 의 계정을 사용하기 위해서는 PAP 이라는 암호화가 되지 않는 프로토콜을 사용해야 한다는 것입니다. 좀 당황스럽더군요 --; (VPN 업체의 계정 서비스는 받지 말든지 패스워드를 엄한 것으로 사용해야 겠다는 다짐이 박박 듭니다.)

이건 공통적인 것이고, 일단 PPTP 와 OpenVPN 의 장단점으로는..

1. OpenVPN
   - system account 와 쉽게 통합이 가능하다.
   - bluefish 라는 암호화 알고리즘을 이용한다.
   - 시스템쪽에서 귀찮은 작업이 없다.
   - 별로 장점이 보이지를 않습니다.
 
2. PPTP
   - 클라이언트가 윈도우즈에 기본으로 있다 (2000 이상)
   - 이거 밖에 없군요 --;

단점으로는..

1. OpenVPN
   - 클라이언트 프로그램을 설치해야 한다.
   - 용어가 어렵다. (tun/tap tun 은 대충 알겠는데 tap 은 좀 힘들었습니다.)
   - routing 방식에 대한 글은 많은데, 실제로 routing 방식으로 환경 구성하기가 쉽지
     않습니다. bridging 방식의 글은 홈페이지에 영어(?)로 친절하게 적혀 있더군요 --;
   - gateway 선택을 서버에서 강제로 지정한다.
 
2. PPTP
   - DHCP Enabled 가 무조건 No 다. 이건 DNS 를 VPN 망에서 사용해야 할 경우
     치명적입니다. KLDP 의 경우 DNS view 를 이용하여 내부망과 외부망의 IP 를
     다르게 받기 때문에 DNS 가 VPN 에서 지정된 것이 primary 로 잡혀줘야 하는데
     PPTP 는 방법이 없더군요. (아니면 못찾았던지..) ppp-dhcp 라는 모듈이 있어
     이것을 사용해 보았는데, IP 만 할당해 주지, windows 에서는 여전히 NO 로
     나옵니다.
   - PAP/CHAP 용어가 너무 어렵습니다.
   - 서버에서 해줘야 할 것이 너무 많음. 특히 MPPE 와 생소한 ppp 를 다뤄야 한다는
     점에서...

그 외에도 많았지만.. 생각이 잘 안나네요. PPTP 를 이용하고 싶은데.. DNS 문제가 치명적이라 아무래도 OpenVPN 을 선택해야 할 것 같네요. OpenVPN 이 client 측에서 gateway 를 선택할 수 있으면 좋기는 한데.. (방법이 없지는 않습니다. 수동으로 route 명령을 이용해서 gateway 를 변경하면 되기는 합니다...만 좀 암울하죠 T.T)

현재 상황에서는.. OpenVPN 의 경우 클라이언트에서 gateway 를 선택할 수 있는 방법이 있다면 OpenVPN 의 승! 아니면.. PPTPd 에서 클라이언트의 ppp device 가 DHCP enabled 가 될 수 있도록 하여, ppp 에서 전달된 DNS 가 primary 로 사용을 할 수 있다면 PPTPd 승! 이 될 듯 싶습니다. 이도저도 아니라면.. DNS 문제의 한계로 OpenVPN 승 이겠네요. 절대적으로 OpenVPN 이 유리하군요. --;

일단.. 이 두녀석의 구축기는 안녕 리눅스 White Paper 로 올라갈 예정이며, 이 두녀석들 때문에 oops-firewall 의 기능도 많이 변경이 되었습니다. :-) 안녕 리눅스로 VPN 구축이 상당히 쉬워질 듯 싶네요 ㅋㅋ