CATEGORY
TECH STACK
약 60~70명 규모의 중소기업이 두 거점 — 본사 사무실과 데이터센터(IDC) — 을 운영하고 있었습니다. 문제는 분명했습니다. 노후한 상용 방화벽 한 대가 모든 트래픽을 평면(flat) 구조로 처리했고, 직원 PC·서버·IP 전화·개발 장비가 같은 대역에 뒤섞여 한 곳의 사고가 전체로 번질 수 있는 구조였습니다.
GUNIQ는 이 평면망을 OPNsense 기반 통합 방화벽·라우터로 재설계하고, 역할에 따라 망을 나누는 ‘신뢰의 경계’를 세웠습니다. 운영을 멈추지 않기 위해 기존 회선은 살려둔 채 보조 회선으로 전체 구성을 실검증한 뒤, 케이블 이동만으로 무중단 절체했습니다.
역할(운영·검증·개발·직원·전화·관리)과 위치(본사·IDC)를 조합해 VLAN 번호 체계를 표준화했습니다. 앞자리는 역할, 뒷자리는 위치 — 예를 들어 110은 운영·본사, 920은 관리·IDC입니다. 모든 망은 기본 차단(default-deny) 위에서 필요한 흐름만 화이트리스트로 열었습니다. 운영 서버망은 관리망에서만 접근, 직원 업무망은 인터넷과 지정 웹(443)만, IP 전화망은 PBX 시그널링만 통과합니다.
주·보조 회선을 이중화했습니다. 먼저 보조 회선으로 NAT·포트포워딩·VPN을 실제 검증하고, 골든 백업을 확보한 뒤 주 회선을 케이블 이동만으로 전환했습니다. 덕분에 상용 방화벽에서 OPNsense로의 이관이 다운타임 없이 이루어졌고, 문제 시 즉시 롤백이 가능했습니다.
외부에 노출되는 것은 443 포트 단 하나입니다. GeoIP로 고위험 지역을 입구에서 걸러내고 → Caddy 리버스 프록시가 TLS를 종단하며 내부 서버를 은닉하고 → Suricata IDS/IPS가 트래픽을 감시(탐지→검증→능동 차단)한 뒤 → 격리된 운영 서비스망으로만 전달됩니다. 어느 한 계층이 뚫려도 다음 계층이 버티도록 방어선을 겹쳤습니다.
본사와 데이터센터의 관리망끼리만 IPsec 터널(AES·PFS)로 연결했습니다. 운영 트래픽은 터널에 태우지 않고 인터넷 경유로 격리해, 두 거점을 하나로 관리하면서도 운영 영역은 서로 침범하지 못하게 했습니다.
OpenVPN에 TOTP 2단계 인증을 결합하고, 접속자를 Admin · Dev · User 세 등급으로 나눠 각자 도달할 수 있는 대역을 분리했습니다. 관리자는 관리망 전체, 개발자는 개발망, 일반 직원은 업무·지정 웹까지만. 퇴사·권한 변경은 중앙 인증에서 즉시 회수됩니다.
Omada OC200 컨트롤러로 AP·PoE 스위치를 통합 관리하고, SSID를 VLAN에 매핑(WPA3)해 업무 무선과 게스트 무선을 분리했습니다. 백본 스위치는 안정성을 위해 Standalone로 유지했습니다.
네트워크 설계부터 방화벽 구축, 무중단 절체, 보안 스택, 거점 연결, 무선 인프라까지 전 과정을 GUNIQ가 수행했습니다.
OTHER PROJECTS
