383. IKE (Internet Key Exchange), ISAKMP, SA (Security Associations)

핵심 인사이트 (3줄 요약)

본질: IKE, ISAKMP, SA는 라우팅과 경로 제어에서 핵심 동작과 제약을 이해하게 해 주는 개념이다.

가치: IKE, ISAKMP, SA를 이해하면 수렴 속도과 확장성 사이의 균형을 더 정확히 볼 수 있다.

판단 포인트: 설계 시에는 개념 자체보다 적용 조건, 운영 복잡도, 인접 기술과의 경계를 함께 판단해야 한다.

Ⅰ. 개요 및 필요성

개념: IPsec 통신을 개시하기 전에, 양단 간에 인증, 암호화 알고리즘, 해시 알고리즘 등을 동적으로 협상하고 세션 키(Key)를 안전하게 교환하여 SA(Security Association)를 설립하는 프레임워크 (RFC 2409, 7296). UDP 500번 포트 사용.
필요성: 나(서울 방화벽)와 너(부산 방화벽)가 암호화 통신(ESP)을 하려면 똑같은 암호 키(열쇠)를 가져야 한다. 예전엔 관리자가 서울 가서 키 치고, 부산 가서 키 치는 수동 작업을 했다(Manual Key). 장비가 100대가 되면? 키가 유출되면? 수동으로는 절대 관리가 안 된다. "컴퓨터 지들끼리 알아서 만나서 협상하고, 주기적으로 1시간마다 새로운 해킹 불가 열쇠(디피-헬만 알고리즘)로 자동 교체하게 만들자!" 이것이 IKE의 존재 이유다.
💡 비유: IKE는 국가 정상회담의 **"사전 실무진 조율 회의"**와 같습니다.
- 대통령(실제 데이터, ESP)이 만나서 회의를 하기 전에, 실무진(IKE)이 먼저 만나 "통역사는 누구로 할지, 경호원은 몇 명 배치할지, 비밀번호는 뭘 쓸지" 룰을 다 정합니다.
- 합의가 다 끝나서 최종 싸인된 합의문이 바로 **SA(보안 연관)**입니다.
- 합의문(SA)이 찢어지거나 유효기간(Lifetime)이 다 지나면 통신은 즉각 끊어집니다.

[ESP]
    │
    ▼
[IKE, ISAKMP, SA]
    │
    └──▶ [NAT-T]

📢 섹션 요약 비유: ** ESP가 적진을 돌파하는 "방탄 트럭"이라면, IKE와 SA는 그 트럭이 출발하기 전에 정비공과 군인들이 모여 **"차문 비밀번호는 뭐로 하고, 타이어는 방탄으로 끼울지 합의하고 서류에 싸인하는 엄격한 출정 준비 과정"**입니다.

Ⅱ. 아키텍처 및 핵심 원리

VPN 트러블슈팅의 99%는 이 IKE 협상 단계에서 터진다. 왜 굳이 두 번이나 협상할까? "진짜 중요한 회의를 하려면, 그 회의실부터 도청이 안 되게 막아야 하기 때문"이다.

1. Phase 1 (메인 모드 / 어그레시브 모드) - 텐트 치기

목표: 앞으로 진행할 Phase 2 협상 내용(진짜 열쇠 교환)을 해커가 훔쳐보지 못하도록, 양쪽 방화벽끼리 안전한 보안 텐트(ISAKMP SA)를 하나 치는 것이다.
협상 항목:
- 서로 내가 진짜 서울 방화벽이 맞다는 신분증 검사 (Pre-Shared Key 방식이나 인증서 방식).
- 텐트를 칠 때 쓸 암호화(DES, AES), 해시(MD5, SHA) 방식 합의.
결과물: 해커가 절대 도청할 수 없는 튼튼한 1차 보안 채널(ISAKMP SA)이 하나 뚫린다. (이 터널 뚫는 데 쓰는 게 디피-헬만(Diffie-Hellman) 키 교환 마법이다).

2. Phase 2 (퀵 모드) - 진짜 데이터용 룰 정하기

목표: Phase 1에서 쳐둔 안전한 텐트 안에서, 실제 직원들의 데이터(IPsec ESP)를 어떻게 암호화해서 날려 보낼지 진짜 룰(IPsec SA)을 합의하는 것이다.
협상 항목:
- "직원 데이터는 AES-256으로 암호화하자."
- "보호해야 할 사내망 대역은 192.168.10.x 대역이다. (Proxy ID)"
결과물: 실제로 패킷이 날아다닐 2개의 단방향 터널(가는 터널 1개, 오는 터널 1개)이 완성된다. 드디어 핑(Ping)이 나간다!

 ┌─────────────────────────────────────────────────────────────┐
 │                IPsec IKE 협상 (Phase 1 & 2) 2중 터널 도식       │
 ├─────────────────────────────────────────────────────────────┤
 │                                                             │
 │   [ 서울 방화벽 ] ══════════════════════════════▶ [ 부산 방화벽 ] │
 │                                                             │
 │   ================== [ Phase 1 보안 텐트 (ISAKMP SA) ] =========== │
 │   ║                                                         ┃ │
 │   ║  ───────── [ Phase 2 (서울->부산 IPsec SA 터널) ] ──────▶  ┃ │
 │   ║  ◀───────── [ Phase 2 (부산->서울 IPsec SA 터널) ] ──────  ┃ │
 │   ║                                                         ┃ │
 │   =========================================================== │
 │                                                             │
 │   * 만약 Phase 1 텐트가 안 쳐지면? -> Phase 2는 시작조차 못 하고 터짐. │
 │   * T/S: "IKE 1단계 실패? 비번(PSK) 틀렸네! 2단계 실패? 서브넷 틀렸네!"│
 └─────────────────────────────────────────────────────────────┘

📢 섹션 요약 비유: IKE, ISAKMP, SA의 내부 원리는 기계의 톱니바퀴처럼 맞물려 돌아간다. 한 부분이 어긋나면 전체 효과가 떨어진다.

Ⅲ. 비교 및 연결

IKE, ISAKMP, SA를 볼 때는 앞뒤 개념과의 경계를 함께 봐야 전체 흐름이 선명해진다. ESP가 기반 조건을 만든다면, IKE, ISAKMP, SA는 그 위에서 핵심 메커니즘을 구현하고, NAT-T는 이를 더 확장된 적용 단계로 연결한다. 따라서 단일 정의보다 수렴 속도과 확장성에 어떤 차이를 만드는지 비교하는 것이 중요하다.

관점	선행 개념	현재 개념	확장 개념
초점	ESP의 기반 정리	IKE, ISAKMP, SA의 핵심 동작	NAT-T의 확장 적용
자원 관점	기본 조건 확보	수렴 속도 최적화	규모와 범위 확대
판단 포인트	도입 가능성 확인	현재 메커니즘의 적합성 판단	운영·확장 전략 연결

📢 섹션 요약 비유: IKE, ISAKMP, SA는 비슷한 기술들 사이의 차선을 구분하는 분기점과 같다. 어디서 갈라지는지 알아야 헷갈리지 않는다.

Ⅳ. 실무 적용 및 기술사 판단

방화벽 엔지니어의 숙명이다. IKE 협상이 깨지는 3대 원인은 다음과 같다.

Pre-Shared Key(비밀번호) 오타: 서울은 Cisco123인데 부산은 cisco123으로 쳤다. (Phase 1 실패).
제안서(Proposal) 불일치: 서울은 최신 암호 AES-256을 던졌는데, 낡은 부산 장비는 DES밖에 모른다. 합의 결렬. (Phase 1/2 실패).
Proxy ID 불일치: 서울은 "우리 10.x 망이랑 저쪽 20.x 망 통신하자"고 했는데, 부산은 "어? 난 30.x 망이랑 통신할 건데?" 라며 보호할 대상이 다를 때 결렬. (Phase 2 실패).

실무 체크리스트

요구사항과 병목 지점을 먼저 수치화한다.
운영 복잡도와 도입 효과를 함께 검증한다.
인접 기술과의 연계를 배포 전에 점검한다.

📢 섹션 요약 비유: ** IKE 협상은 두 마피아 보스가 거래할 때, 1단계로 부하들을 보내 비밀번호를 대고 **안전한 밀실(Phase 1)**을 확보한 뒤, 2단계로 보스들이 그 밀실 안에서 만나 **진짜 무기 거래 조건(Phase 2)**을 도장 찍는 고도로 치밀한 이중 보안 프로세스입니다.

Ⅴ. 기대효과 및 결론

IKE, ISAKMP, SA는 라우팅과 경로 제어를 이해할 때 핵심 축을 잡아 주는 개념이다. 올바르게 적용하면 수렴 속도 개선과 구조적 단순화에 기여하지만, 조건을 잘못 잡으면 오히려 복잡도와 운영 부담이 커질 수 있다. 앞으로는 NAT-T, 의도 기반 라우팅, 자동화 운영과의 결합을 통해 더 정교하게 발전할 가능성이 크다. 따라서 이 개념은 정의 자체보다 “언제 쓰고 언제 다른 방법으로 넘길 것인가”의 관점으로 기억하는 것이 좋다. 향후에는 의도 기반 라우팅 같은 자동화 흐름과 결합되어 더 정교한 형태로 확장될 가능성이 크다.

📢 섹션 요약 비유: IKE, ISAKMP, SA는 큰 흐름 속에서 기억해야 오래 남는다. 지금의 장점과 다음 확장 방향을 같이 보면 전체 그림이 선명해진다.

📌 관련 개념 맵

개념	연결 포인트
ESP	현재 개념이 등장하기 전에 갖춰야 할 배경이나 인접 선행 개념이다.
라우팅 테이블 (Routing Table)	패킷 전달 의사결정의 기준이 된다.
메트릭 (Metric)	최적 경로를 선택하는 비교 척도다.
NAT-T	현재 개념이 확장되거나 적용 단계로 이어질 때 자주 함께 언급된다.

📈 관련 키워드 및 발전 흐름도

[선행 개념: ESP]
    │
    ▼
[현재 개념: IKE, ISAKMP, SA]
    │
    ├──▶ [확장 A: NAT-T]
    └──▶ [확장 B: 의도 기반 라우팅]

IKE, ISAKMP, SA는 ESP에서 출발해 현재 메커니즘을 정교화하고, 이후 NAT-T와 의도 기반 라우팅 같은 확장 흐름으로 이어진다고 보면 기억이 오래간다.

👶 어린이를 위한 3줄 비유 설명

여러 갈림길이 있는 미로에서 가장 좋은 길을 고르는 게임과 같아요.
이 개념은 길이 막히면 다른 길로 빨리 바꾸는 규칙도 알려줘요.
그래서 인터넷 길찾기가 덜 헤매고 더 똑똑해져요.