OpenVPN 에 대한 간략한 설명

OpenVPN 이란? 리눅스랩에서 운영하는 OpenVPN 서버는 OpenVPN Technologies, Inc 사의 공개 소프트웨어인 OpenVPN 을 사용한다. (http://openvpn.net 참조) OpenVPN 은 원래 한 리눅스 전문가가 리눅스용으로 개발했으나 그 성능이 우수해 몇몇 윈도우 전문가가 이를 윈도우용으로 포팅했다. 그 후 미국의 OpenVPN Technologies 사에서 저작권을 인수해 상용화 했으나 Open Source 형태를 유지하므로 무료로 사용 가능하다. ppTp 와 OpenVPN 의 비교 *. ppTp 의 장점 윈도우를 만든 MS 사에서 윈도우 사용자를 위해 내장한 VPN 이므로 별도의 프로그램을 설치할 필요가 없다. *. 리눅스랩에서 제공하는 ppTp 자동 설정 프로그램은 단지 윈도우 내에 내장된 ppTp 프로그램의 옵션 설정 부분을 자동으로 해주는데 불과하다. 이 프로그램 없이도 당연 모든 윈도우에서 리눅스랩 pptp 서버 연결이 가능하다. ppTp는 국제 표준 VPN 프로토콜로 채택되어 윈도우 뿐만 아니라 Linux,  맥 O/S,  라우터(공유기),  아이폰(iPhone),  VoIP 게이트웨이 등에서도 사용 가능하다. *. iPhone 에서 연결이 되야 국제표준 VPN 입니다. (걸럭지에서도 사용 가능하다.) 윈도우에서 사용 가능한 VPN 프로그램(ppTp, OpenVPN, L2TP) 중 가장 속도가 빠르다. *. OpenVPN 의 장점 OpenVPN 은 한 개의 포트(tcp/udp)만을 사용하므로 NAT 친화적(friendly)이다. OpenVPN 개발자가 처음부터 NAT 환경에서 사용을 염두에 두고 개발했기 때문이다. *. 공유기에서 사용하는 기술이 NAT(Network Address Translation) 이다. 그래서 공유기를 전문적인 용어로 NAT Router 로 부른다. 따라서 공유기 아래에서 가상 IP(사설 IP)를 사용하는 경우에도 연결이 된다. 즉 ppTp VPN 이 통과가 안되는 공유기에서도 OpenVPN 은 연결이 된다. OpenVPN 서버의 포트번호(TCP/UDP)를 간단히 변경 가능하다. 즉 OpenVPN 서버의 포트 설정을 변경해서 회사나 학교처럼 방화벽이 설치된 경우에도 OpenVPN 연결이 가능하게 할수 있다. 리눅스랩의 OpenVPN 서버는 국내의 거의 모든 방화벽을 통과할수 있다. 즉 방화벽 아래서 연결이 가능하다. TCP 또는 UDP 한 개의 포트만을 사용해서 데이타 구조가 단순해 장애 발생이 적다. 인터넷 회선 품질이 안 좋은 경우에도 ppTp 에 비해서 끊김 현상이 적다. OpenVPN 은 layer 2 브리지 모드로 작동 가능하다. 리눅스랩에서 OpenVPN 을 서비스하는 이유. 중국의 경우 일부 아파트나 빌딩 또는 피시방에서 공유기에 IP 한 개를 받아서 전체 아파트나 건물에 사설 IP(가상 IP)를 부여해 인터넷 서비스를 한다. 이 경우 공유기에 ppTp 통과 기능이 없으면 ppTp 사용이 안된다. 그러나 OpenVPN 은 NAT 친화적이다. 즉 공유기 아래에서 사설 IP 를 사용해도 100% 연결이 된다. 국내에서 회사에서나 학교에서 대부분 방화벽을 운영하는데 ppTp 는 방화벽에서 잘 막힌다. 그러나 리눅스랩 OpenVPN 은 국내의 대부분의 방화벽을 통과 가능하다. 즉 방화벽 아래서도 사용 가능하다. OpenVPN 프로그램의 안전성 및 신뢰성 ppTp 는 윈도우를 만든 MS 사에서 윈도우 사용자를 위해 내장한 VPN 이므로 100 % 안전성 및 신뢰성을 보장한다.(윈도우에서 ppTp 사용이 가능하냐고 묻는 황당한(?) 질문을 하는 사람도 물론 있다.) OpenVPN은 국제표준으로 채택되지 않았다. 사용자는 자신의 판단 및 책임 으로 OpenVPN 사용 여부를 결정해야 한다. 리눅스랩은 OpenVPN 설치 및 사용으로 인해 윈도우에서 발생하는 어떠한 장애에 대해서도 그 책임이 없음을 알려 둔다. ppTp VPN 사용자는 OpenVPN 프로그램을 설치하면 안된다. 일부 윈도우 버전에서 OpenVPN 을 설치한 경우 ppTp VPN 을 사용하면 VPN 연결이 자주 끊기고 정상종료가 안된다는 보고가 있다. ppTp 외의 다른 VPN 은 일단 윈도우 피시에 설치시 윈도우 네트워크 프로그램이 오작동할 우려가 있으므로 사전에 필히 검토해야 한다. OpenVPN 은 제어판 -> 프로그램 추가/제거 에서 제거할수 있다. OpenVPN 을 아이폰(iPhone) 에서 사용하려면 iPhone 용 app 을 설치해야 한다. ppTp, L2TP 는 국제 표준 VPN 이므로 iPhone 에서 프로그램 설치없이 사용 가능하다.  *. iPhone 에서 OpenVPN 사용하기 Mac OS X 10.4 - 10.7 에서 사용하기 내가 사용하는 VPN 이 ppTp 인지 OpenVPN (또는 L2TP) 인지 구별하는 방법 ppTp 는 VPN 연결 후에 명령어 창(검은색 화면의 도스창) 에서 ipconfig 명령을 주면 "PPP adapter" 가 나온다. PPP 어댑터 VPN 연결: 연결별 DNS 접미사. . . . : IPv4 주소 . . . . . . . . . : 172.24.210.227 서브넷 마스크 . . . . . . . : 255.255.255.255 기본 게이트웨이 . . . . . . : 0.0.0.0 OpenVPN (또는 L2TP) 는 PPP adapter 가 안나오고 "로칼영역연결?" 라는 장치가 추가된다. 리눅스랩 VPN 서버 사용 업체

*. 방화벽 아래에서 OpenVPN(ppTp) 사용시 방화벽의 특정 사이트 또는 프로그램 차단 기능이 작동하는가? 대부분의 사람들은 회사 방화벽 밑에 연결된 PC에서 VPN 을 연결해 VPN 서버에서 IP 를 새로 받았을 때 이 새로운 IP 에 대해서도 회사 방화벽에서 포트나 상대 사이트 제한을 걸수 있다고 착각하고 있다. 즉 기존 방화벽 룰이 VPN 으로 받은 IP 에 대해서도 적용된다고 잘못 생각하고 있다. 결론으로 VPN 으로 받은 새 IP 에 대해서는 회사 방화벽의 어떤 룰 즉 포트나 사이트 제한이 의미가 없고 룰 추가도 안된다. 방화벽은 단지 VPN 연결을 할수 있느냐 못하게 할수 있느냐만 결정할수 있을 뿐이다. VPN 연결이 되면 방화벽에서 그 VPN 으로 받은 IP 에 대해서는 어떤 제한도 걸수 없다. pptp 는 대부분의 방화벽에서 연결을 차단 가능하다. 즉 방화벽이 있는 경우는 거의 ppTp VPN 연결이 안된다. 물론 방화벽 설정을 변경하면 연결이 가능하다. 그러나 리눅스랩 OpenVPN 은 방화벽 아래에서도 99% 연결이 된다. 지난번에 국내의 굴지의 재벌 산하 금융회사(보험 회사) 전산 담당자가 회사 방화벽에서 회사 내부 PC에서 모든 주식거래 사이트 접속을 다 차단했으며 국내의 어떤 기술로도 이를 우회하지 못한다고 금융감독원 감사에서 자랑스럽게 애기했다고 한다. (보험회사, 증권회사 직원은 회사 내에서 사적으로 절대 주식거래를 할수 없다고 규정되어 있다.) 금융 감독원 직원 중 한명이 우리 회사에 전화를 해서 OpenVPN 을 사용해 보겠다고 해서 테스트 계정을 주었더니 OpenVPN 이 연결되더라고 하더군요. 일단 OpenVPN 이 연결되니 그때부터는 그 회사 방화벽은 완전 무용지물이 된건 당연하고요.(즉 방화벽이 없는거나 같습니다.)

ppTp VPN 용 계정으로 OpenVPN 서버를 접속할수 없다. 그 반대도 마찬가지이다.
ppTp 와 OpenVPN 은 프로그램이 전혀 다르며 서버도 별도로 운영된다.

1. 프로그램 설치

   1. Open VPN (http://openvpn.net) 사이트에서 윈도우용 프로그램(Windows Installer)을 다운 받는다.

      파일명은 openvpn-2.x.y-install.exe 이다.(업그레이드 되면 이름이 변경된다.)

      파일 이름에 beta 라는 글씨가 있는 버전은 테스트 버전이므로 사용하면 안된다.

      아래는 OpenVPN 윈도우용 프로그램을 다운받는 사이트의 화면 캡쳐이다.(화면은 변동될수 있다.)
      아래 박스를 클릭하면 다운 받는 사이트로 이동한다.(Windows Installer 라고 쓰여진 프로그램을 다운 받아야한다.)

      
      

   2. 다운 받은 파일을 클릭해서 설치한다. 기본 설치 위치는 아래와 같다. (설치 위치를 변경해도 무관하다.)

      C:\Program Files\OpenVPN : XP
      C:\Program Files (x86)\OpenVPN : 윈 비스타(Vista)

   3. 설치가 끝나면 "내 컴퓨터" -> "로컬디스크(C:)" -> "Program Files (x86)" -> "OpenVPN" 디렉터리(폴더)가 만들어 지고 그 안에 아래와 같은 파일 및 디렉터리가 나타난다.(버전에 따라 화면이 다르다.) [ 화면 1 ]

   4. 위 화면의  config  디렉터리( C:\Program Files (x86)\OpenVPN\config )에 아래 4 파일을 다운받는다.
      (아래 파일은 절대 수정해서는 안된다.)

      아래 링크를 클릭해서 "저장(S)" 을 선택하고 저장 위치를 "C:\Program Files (x86)\OpenVPN/config"
      디렉터리로 지정하면 된다. 직접 저장이 안되면 다른 디렉터리에 다운 받은 후 옮겨도 된다.

      1. ca.crt : 인증파일
      2. tiger.ovpn : tiger OpenVPN 서버 연결 파일
      3. lion.ovpn : lion OpenVPN 서버 연결 파일
      4. zebra.ovpn : zebra OpenVPN 서버 연결 파일
      • lion.ovpn 은 tiger.ovpn 과 동일 서버이지만 IP 주소가 다르다. 한국에서는 차이가 없지만 중국에서는 tiger 와 lion 의 네트워크 주소가 다르므로 속도가 다르다. 중국에서 덴신 라인 사용자는 tiger, 연통 라인 사용자는 lion 이 빠르지만 항상 그렇지는 않다.

2. VPN 연결

   1. OpenVPN 서버는 tiger(=lion) 와 zebra 두 대이다. 두 서버 모두 사용 가능하나 동시에 두 서버를 사용할수는 없다. 두 서버는 사용하는 인터넷 라인이 다르다. 즉 어느 서버를 연결하느냐에 따라 접속자에게 부여되는 IP 의 네트워크 주소(ip 주소 w.x.y.z 에서 w.x.y 가 네트워크 주소이다.) 가 다르다.

   2. config (C:\Program Files (x86)\OpenVPN\config) 디렉터리로 이동해서 tiger(lion) 또는 zebra 라는 이름이 붙은 아이콘을 마우스 오른쪽 버튼 으로 클릭하면 팝업 창이 뜨고 "열기" 바로 아래에 "Start OpenVPN on this .. " 메뉴가 나타난다

      • win-7 에서 ca.crt 파일을 다운 받을 때 텍스트 파일로 나오면 연결이 안된다. 반드시 아래 화면 처럼 "보안 인증서" 로 나와야 한다.
      
      [ 화면 2 ]

   3. 이 메뉴를 마우스로 클릭하면 검정 배경색 화면에 "Username" 과 "Password" 를 묻는 화면이 나온다.
      여기에 리눅스랩에서 받은 "계정"(Username) 과 "암호(Password)"를 입력한다.(계정, 암호 입력 후에 <enter>)
      *. 암호(Password) 입력시는 화면에 아무 문자도 표시되지 않는다.

      Sun Sep 10 13:45:20 2006 OpenVPN 2.0... Enter Auth Username: Enter Auth Password:

   4. 연결이 되면 맨 마지막 줄에 아래와 같은 메시지가 나온다.
      (마지막 줄의 " Initialization Seque ... " 이 나와야 연결이 된것이다.)

      Sun Sep 10 13:45:34 2006 route ADD 128.0.0.0 MASK 128.0.0.0 172.22. ... Sun Sep 10 13:45:34 2006 Route addition via IPAPI succeeded Sun Sep 10 13:45:34 2006 route ADD 172.22.0.1 MASK 255.255.255.255 172.22. ... Sun Sep 10 13:45:34 2006 Route addition via IPAPI succeeded Sun Sep 10 13:45:34 2006 Initialization Sequence Completed

      *. [주의 ] : 이 화면을 닫으면 VPN 연결이 끊긴다.

   주의사항) Window7 액세스 거부가 생길 수 있으므로 아래와 같이 해 주셔야 합니다.

   1) Window7 Home 인 경우
   시작-실행-cmd라고 치셔서 검은 창을 띄우신 후
   net user admin(사용자 계정=윈도우 시작시 이름) /active:yes [엔터]
   wmic useraccount where name='admin' call rename name='admin' [엔터]
   위와 같이 입력 하신 후 완료가 되면 창을 닫고 윈도우를 재시작 하십시오.

   2) Window7 Professional 등인 경우
   시작-실행-cmd라고 치셔서 검은 창을 띄우신 후
   secpol.msc 라고 입력하면 윈도우 탐색기 창이 나타나고 왼쪽의 로컬정책 -> 보안 옵션을 클릭
   오른쪽 창의 Administrator 계정 상태를 사용으로 활성화 시키시고 컴퓨터를 재시작 시키시면
   됩니다.

3. 연결 확인
   1. 시작 -> 실행 -> cmd <enter> 후에 ipconfig 명령을 주면 새로운 이더넷 어뎁터(로칼 영역 연결 ?)가 추가로 나타난다. (IP Address 가 172.3x 로 시작한다.)

      Ethernet adapter 로컬 영역 연결 3: Connection-specific DNS Suffix . : IP Address. . . . . . . . . . . . : 172.3x.0.x Subnet Mask . . . . . . . . . . . : 255.255.255.252 Default Gateway . . . . . . . . . : 172.3x.0.5

      - 172.3x.0.5 : VPN 서버 IP 주소. 사용자마다 다르다.
      - 172.3x.0.6 : 윈도우 client 에 부여된 IP 주소. 사용자마다 다르다.

   2. 자기가 사용하는 IP 주소를 알려면 http://pptp.kr 을 열어 왼쪽 상단의 "Your IP = " 을 본다.

      *. [주의]
      zebra 서버를 연결시 http://pptp.kr 에서 IP 를 확인하면 218.145.x.y 로 나오나 이 주소는 오직 http://pptp.kr 사이트를 열 때만 사용 되고 다른 사이트를 열 때는 이 IP 가 사용 되지 않는다.

      이유는 zebra 서버가 http://pptp.kr 서버와 동일 랜에 연결돼 있기 때문이다. OpenVPN 사용시 내가 사용하는 IP 를 알려면 내 IP 확인을 열기 바란다.

4. 연결 끊기

   검정색 팝업 화면을 닫으면 VPN 연결이 끊긴다.

5. [주의사항]

   1. OpenVPN 사용자는 절대로 웹 Proxy 프로그램을 사용하면 안된다.

      프락시 프로그램이 가동중이면 OpenVPN 연결 자체가 안된다.

      웹브라우저의 Proxy 기능을 꺼야한다. 웹브라우저에서 "도구" -> "인터넷옵션" -> "연결" -> "설정" 에 "프락시 서버" 를 해제해야한다.

   2. OpenVPN 을 설치하면 "네트워크 연결" 에 "로칼 영역 연결 ?" 라는 이름이 하나 추가된다. 그리고 윈도우 우측 하단에 모니터 둘이 겹친 모양의 아이콘이 나타난다.

      OpenVPN 을 연결 않으면 이 아이콘에 X 표시가 나온다. 그렇다고해서 윈도우가 잘못 되지 않았으니 안심해도 된다. OpenVPN 을 연결하면 X 표시가 사라진다. 만약 OpenVPN 이름 즉 "로칼영역연결?" 의 "속성"에서 "사용 안함"을 선택하면 OpenVPN 연결이 안된다.

      연결시 아래 메시지가 나오면 "사용 안함"이 선택되어 있다.

      Wed Nov 22 13:38:08 2006 CreateFile failed on TAP device: \\.\Global\{EB910D89-A298-4234-9504-ECA510A92A0C}.tap
      Wed Nov 22 13:38:08 2006 All TAP-Win32 adapters on this system are currently in use.

6. 장애
   1. 연결에 장애가 있으면 피시를 리부팅해 보십시오.

   2. 윈도우 PC의 연도 및 날자가 오늘 날자와 맞지 않으면 certificate 에러가 난다.

   3. 웹브라우저에서 proxy server 가 설정돼 있으면 OpenVPN 이 연결이 돼도 인터넷 사용이 안된다.

   4. 아래 에러는 계정 또는 암호가 틀리거나 없는 경우이다.(인증 파일(ca.crt)이 없는 경우에도 이 에러가 뜬다.)

   5. 윈도우 비스타의 경우 OpenVPN 을 끝낸 후에 윈도우를 리부팅 하지 않고 다시 OpenVPN 을 연결하면 "경로 추가 실패: 개체가 이미 있습니다." 란 메시지가 뜨는데 이는 에러가 아니므로 무시해도 된다.

   6. 비스타에서 아래 에러가 나와도 상관 없습니다.

      Sun Apr 10 10:19:30 2011 ROUTE: route addition failed using CreateIpForwardEntry : 하나 이상의 인수가 올바르지 않습니다. [status=160 if_index=12]

   7. 비스타 사용자의 경우 "요청한 작업을 수행하려면 권한 상승이 ..." 메시지가 나오면 "사용자 계정 컨트롤 사용 안함" 을 선택해야 한다.

      "제어판" -> "사용자 계정 및 가족보호" 를 선택하면 우측 화면이 나온다.

      "사용자계정"을 클릭하고 아래 화면이 나오면 "사용자 계정 컨트롤 ... "을 선택해서 사용 안함으로 한다.

      

   8. PC 가 공유기에 연결된 경우에는 PC가 공유기에서 IP 주소를 받는 경우(DHCP)는 공유기의 DHCP Lease Time 은 3 일 정도로 늘리는게 좋다. VPN 사용시는 공유기의 Lease Time 이 되면 VPN 연결이 끊긴다.

7. IP 할당 방식

   OpenVPN 은 아직 고정 IP 서비스를 않고 있다. 1 시간에 한번 정도 IP 주소가 변경된다. 어떤 IP 주소인지 알려면 http://pptp.kr 왼쪽 상단의 "Your IP = " 을 본다.

8. OpenVPN 프로그램 삭제

   ppTp VPN 사용자는 필히 OpenVPN 프로그램을 삭제하기 바란다.
   "제어판" -> "프로그램 추가/제거" 에서 삭제할수 있다.

9. OpenVPN 을 어떤 경우에 사용하는가.

   1. 공유기가 ppTp VPN 통과 기능이 없는 경우

   2. ISP 가 사설 IP 주소를 부여한 경우

      중국의 일부 아파트(랜 방식으로 인터넷을 연결하는 경우) 및 학교 기숙사 등은 사설 IP 이다. 즉 공유기를 사용하지 않는데 PC 에서 받은 IP 가 아래와 같다면 사설 IP이다.(공유기의 WAN IP 가 아래인 경우도 같다.)

      • 10.x.y.z
      • 172.16~31.x.y
      • 192.168.x.y

      마찬가지로 공유기를 사용하지 않는데 IP 자동 부여로 받은 IP 또는 로칼영역 연결의 IP 가 http://pptp.kr 왼쪽 상단의 "Your IP = " 에서 확인한 IP 와 다른 경우도 사설 IP이다.

   3. 방화벽에서 게임이나 특정 사이트 연결을 차단한 경우

      학교나 기업체는 거의 방화벽을 사용하는데 방화벽은 거의 ppTp 데이타를 차단한다. 그러나 리눅스랩의 OpenVPN 은 거의 대부분의 방화벽을 통과할수 있다.

      *. ppTp 는 데이타 전송에 GRE 를 사용하는데 대부분의 방화벽이 GRE 를 끊기 때문이다.

   4. 리눅스랩의 OpenVPN 을 이용하면 두 개의 서로 다른 방화벽 또는 공유기 아래에 위치한 PC 끼리 직접 파일 공유가 가능하다.

      상대의 VPN IP 가 172.22.0.6 라면 윈도우 명령어 모드에서 "net use z:  \\172.22.0.6\공유디렉터리명" 명령을 사용하면 "내 컴퓨터"의 z: 드라이브에 상대 PC의 공유 파일이 나타난다.

10. 자주 받는 질문

    1. 방화벽 아래에서 VPN 을 연결 후 게임이나 사이트를 접속하면 방화벽 관리자(네트워크 관리자)가 제가 어떠한 게임/사이트를 이용하는지 알 수 있나요? 즉 제가 연결하는 사이트의 IP 주소를 방화벽 로그에서 알수 있나요?

       [답]
       VPN 을 사용하면 그 PC 의 모든 데이타는 저희 VPN 서버로 들어오고(tcp/udp) 저희 VPN 서버에서 실제 사이트로 나갑니다. VPN 을 연결한 PC 가 속한 방화벽에는 오직 리눅스랩 VPN 서버 IP 주소만 나타납니다. 즉 방화벽의 로그에는 저희 VPN 서버 IP 주소만 기록됩니다.

       VPN 으로 접속한 인터넷 사이트에는 VPN 서버에서 VPN 사용자에게 할당한 IP 주소(리눅스랩 IP 주소)만 나타납니다. VPN 사용자의 PC의 IP 주소나 방화벽의 IP 주소는 전혀 보이지 않습니다. VPN 사용자가 실제 연결하는 인터넷 사이트의 IP 주소는 오직 저희 VPN 서버에서만 알수 있습니다.(ppTp VPN 도 동일합니다.)

       예를 들어 저희 VPN 서버의 IP 주소가 192.168.1.1 이고 kim 이라는 계정 사용자가 회사의 방화벽 밑에서 저희 VPN 을 접속하면 VPN 서버에서는 그 사용자에게 10.10.10.1 IP 주소를 할당합니다.(여기에 나온 IP 는 모두 예 입니다. 실제 IP 는 다릅니다.)

       이 사용자가 VPN 연결 후에 naver.com 을 검색했다면 회사 방화벽에는 오직 저희 VPN 서버의 IP 주소(192.168.1.1) 만 나타납니다. naver 에서는 저희 서버에서 부여한 10.10.10.1 IP 주소에서 naver 를 검색한 걸로 기록됩니다.

       하지만 VPN 을 연결해도 방화벽 아래에 있는 동일 랜에 연결된 다른 PC 를 연결하는 경우에는 VPN 서버에서 할당한 IP 가 아닌 PC 의 로칼영역연결에 들어 있는 IP 가 사용 됩니다. 즉 회사 내의 다른 피시와 파일 공유, 프린터 공유 등을 사용하는 경우는 VPN 으로 받은 IP(10.10.10.1)가 사용돼지 않습니다.

리눅스랩 VPN 테스트 계정은(LinuxLab???) 기본으로 OpenVPN 서버는 접속이 안됩니다.
OpenVPN 을 테스트 해 보려면 아래 연락처로 연락 주십시오.

VPN 신청 및 문의
	한국 본사(서울)	중국 지사(청도)
한국 전화	02)456-4551, 070-7549-0114	070-7549-8000
중국 전화		0532) 6800-8810
E-mail	vpn@linuxlab.kr, vpn@pptp.kr

• 자주받는 질문
• http://linuxlab.kr,     http://pptp.kr
• 질문이 있으면 "질문과 답변" 에 글 올리십시오.