WireGuard로 클라우드 리소스 보호하는 VPN 게이트웨이

개요

클라우드 리소스는 외부 위협과 잘못된 접근에 취약할 수 있다. WireGuard는 경량의 현대적 VPN으로, 클라우드 게이트웨이 역할을 맡기 적합하다. 이 글은 처음 접하는 사람도 따라 할 수 있도록 기본 개념부터 설정, 운영 포인트까지 단계별로 설명한다.

왜 WireGuard를 VPN 게이트웨이로 선택하는가

WireGuard는 간단한 아키텍처와 빠른 성능을 장점으로 한다. 설정 파일과 키만으로 암호화 터널을 구성한다. 클라우드 네트워크에 게이트웨이를 설치하면 내부 서비스에 대한 접근을 중앙에서 통제할 수 있다. 또한 유지보수가 쉬워 운영 부담을 줄여준다.

구성 개요

기본 구성은 다음과 같다.

• 클라우드 VM에 WireGuard 서버 설치
• 서버를 내부 서브넷과 연결해 게이트웨이 역할 수행
• 클라이언트는 WireGuard를 통해 내부 리소스에 접근
• 필요 시 방화벽과 라우팅으로 세부 권한 제어

사전 준비

• 클라우드 VM(예: AWS, GCP, Azure)과 퍼블릭 IP
• 루팅 가능한 내부 서브넷
• WireGuard 패키지 설치 권한
• 기본 네트워크 및 방화벽 정책 검토

WireGuard 서버 설정

아래는 서버 측 최소 설정 예시다. /etc/wireguard/wg0.conf로 저장한다.

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY
# 내부 서브넷으로 포워딩
PostUp = sysctl -w net.ipv4.ip_forward=1; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; sysctl -w net.ipv4.ip_forward=0

[Peer]
# 예시 클라이언트
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.0.0.2/32

PrivateKey와 PublicKey는 wg genkey 와 wg pubkey로 생성한다. 서버는 내부 서브넷의 게이트웨이 역할로 IP 포워딩을 활성화해야 한다.

필요한 커널 설정

# /etc/sysctl.conf에 추가
net.ipv4.ip_forward = 1
# 즉시 적용
sysctl -p

클라이언트 설정

클라이언트는 최소한의 구성으로 서버에 연결한다.

[Interface]
Address = 10.0.0.2/32
PrivateKey = CLIENT_PRIVATE_KEY

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = server.example.com:51820
AllowedIPs = 10.0.0.0/24, 10.0.0.1/32
PersistentKeepalive = 25

AllowedIPs를 통해 클라이언트가 접근 가능한 내부 대역을 제한한다. 전체 트래픽을 라우팅하지 않고 내부 리소스만 허용할 수도 있다.

라우팅과 방화벽

게이트웨이는 다음을 확인해야 한다.

• 클라우드 보안 그룹에서 WireGuard 포트(기본 51820/UDP) 허용
• 서버에서 내부 서브넷으로의 라우팅 존재 여부 확인
• iptables 또는 클라우드 네트워크 ACL로 세부 접근 제어

# 예시: 내부 서브넷에서 WireGuard 네트워크로의 접근 허용
iptables -A FORWARD -i wg0 -o eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o wg0 -m state --state RELATED,ESTABLISHED -j ACCEPT

DNS와 내부 서비스 접근

내부 서비스 접속을 위해 DNS 해결을 통제하면 편리하다. 클라이언트에 내부 DNS 서버를 지정하거나 split-horizon DNS를 적용한다. 이렇게 하면 내부 호스트명을 그대로 사용할 수 있다.

모니터링과 로깅

운영 시 다음 항목을 모니터링한다.

• WireGuard 인터페이스 상태와 피어 접속 현황
• 트래픽 패턴과 비정상 연결 시도
• 로그에서 키 교체나 구성 변경 이력

기본 명령으로 상태를 확인할 수 있다.

wg show
ip -4 addr show wg0

보안 고려사항

• 키 관리는 안전한 방식으로 수행. 프라이빗 키는 절대 노출 금지
• AllowedIPs는 최소 권한 원칙으로 설정
• 서버 접근 제어는 보안 그룹과 방화벽을 연계해 다층으로 구성
• 정기적인 키 교체 및 구성 감사

문제 해결 팁

• Peer가 연결되지 않으면 포트와 UDP 허용 여부 확인
• 라우팅 문제는 ip route와 iptables 정책을 순차적으로 점검
• DNS 문제는 클라이언트에 설정된 DNS 순서를 확인

운영 예시 시나리오

개발팀이 퍼블릭 인터넷을 통해 직접 DB에 접근하지 못하도록 설정한다. WireGuard 게이트웨이만 DB 서브넷에 접근 권한을 갖고, 개발자는 WireGuard를 통해서만 DB에 연결한다. 이렇게 하면 접근 통제가 중앙화되고 감사가 쉬워진다.

결론

WireGuard를 클라우드 VPN 게이트웨이로 사용하면 성능과 단순성 측면에서 이점이 크다. 핵심은 키 관리, 라우팅 설계, 방화벽 정책이다. 위 절차를 통해 내부 리소스 접근을 안전하게 제한하고 운영 부담을 줄일 수 있다.