FortiGate VDOM이란? 장비 한 대를 여러 가상 방화벽으로
FortiGate VDOM이란? 방화벽 한 대를 나눠 쓰는 방법
JP-Hosting · 인프라 정보
안녕하세요, JP-Hosting입니다. 고객 A는 지점 VPN이 필요하고, 고객 B는 인터넷 접속만 필요하다고 해 볼게요. 두 고객이 같은 FortiGate를 써도 방화벽 정책을 따로 적용하고 각자 자기 설정만 관리할 수 있을까요?
먼저 결론부터. VDOM을 쓰면 FortiGate 한 대를 여러 가상 방화벽처럼 운영할 수 있습니다. 연결 포트, 방화벽 정책, 통신 경로, 관리 권한을 고객별로 나눌 수 있어요.
1. VDOM은 한 장비를 여러 가상 방화벽으로 나눠요
VDOM(Virtual Domain)은 FortiGate를 독립적으로 동작하는 가상 방화벽으로 나누는 기능입니다. 건물 한 채에 회사 여러 곳이 입주해 각자 출입구와 출입 규칙을 쓰는 모습을 떠올려 보세요. 각 VDOM에는 별도의 방화벽 정책을 둘 수 있고, NAT/라우팅 모드에서는 라우팅, NAT, VPN 설정도 따로 구성할 수 있습니다.
2. 들어온 포트에 따라 적용할 정책이 달라져요
고객 A의 연결 포트는 VDOM-A에, 고객 B의 연결 포트는 VDOM-B에 배정했다고 해 볼게요. 각 포트로 들어온 패킷은 해당 VDOM의 방화벽 정책과 라우팅 설정을 따릅니다.
| 접속한 고객 | 연결 포트 | 트래픽을 처리하는 VDOM |
|---|---|---|
| 고객 A | port1 |
VDOM-A |
| 고객 B | port2 |
VDOM-B |
서로 다른 VDOM 사이에 통신이 필요하면 VDOM 링크로 연결하고 필요한 경로와 방화벽 정책을 설정할 수 있습니다. 예를 들어 게스트망에서 사내 DNS 서버를 써야 한다면 그 서버로 가는 DNS 트래픽만 허용할 수 있어요.
3. 고객별 관리 권한도 나눌 수 있어요
고객 A 관리자에게는 VDOM-A만, 고객 B 관리자에게는 VDOM-B만 맡길 수 있습니다. 각 관리자가 볼 수 있는 메뉴와 변경할 수 있는 설정은 관리자 프로필로 정합니다. 같은 방식으로 사내망과 게스트망의 관리 범위를 나눌 수도 있어요.
VRF와 VDOM은 어디까지 나누느냐가 달라요. VRF는 라우팅 테이블과 패킷 전달 경로를 분리하는 데 쓰입니다. 방화벽 정책과 관리자 접근 범위까지 고객별로 구분해야 할 때는 VDOM을 쓸 수 있어요.
4. 장비가 고장 나면 여러 VDOM이 영향을 받아요
VDOM-A와 VDOM-B는 같은 FortiGate에서 동작하므로 전원이나 본체에 장애가 나면 둘 다 영향을 받을 수 있습니다. 장애가 발생했을 때 다른 FortiGate가 트래픽 처리를 이어받으려면 HA(고가용성)로 장비를 이중화해야 합니다.
한 줄 정리. VDOM으로 고객별 방화벽 설정을 나누고, HA로 장비 장애에 대비합니다.
참고 문서 · Fortinet VDOM 개요 · Fortinet VRF 개요
