TP-Link ER605 Site-to-Site VPN 설정 방법: 본사와 지사 IPsec 연결

TP-Link ER605 Site-to-Site VPN 설정 방법

이번 글은 TP-Link Omada ER605 두 대를 이용해 본사와 지사를 IPsec Site-to-Site VPN으로 연결하는 방법을 정리한 글입니다.

기준 화면은 ER605 V2 5.11 에뮬레이터입니다. 실제 장비에서는 펌웨어 버전이나 Omada Controller 사용 여부에 따라 메뉴명이 조금 다를 수 있습니다.

핵심은 세 가지입니다.
- 본사와 지사의 LAN 대역은 서로 달라야 합니다.
- 양쪽 ER605의 IPsec 제안값과 Pre-shared Key가 같아야 합니다.
- 연결 후에는 IPsec SA와 ping 테스트로 터널 상태를 확인해야 합니다.

1. 구성 예시

본사 ER605
- WAN 주소: hq.example.net 또는 공인 IP
- LAN 대역: 192.168.10.0/24

지사 ER605
- WAN 주소: branch.example.net 또는 공인 IP
- LAN 대역: 192.168.20.0/24

VPN 방식
- IPsec LAN-to-LAN

본사와 지사의 LAN 대역이 같으면 라우터가 목적지를 구분하지 못합니다. 예를 들어 양쪽이 모두 192.168.0.0/24라면 한쪽 대역을 먼저 변경해야 합니다.

ER605에서는 VPN → IPsec → IPsec Policy 메뉴에서 정책을 추가합니다.

2. 본사 ER605 IPsec Policy 설정

본사 장비에서는 지사 쪽을 Remote Gateway로 보고 정책을 만듭니다.

입력 예시
- Policy Name: HQ_to_BRANCH
- Mode: LAN-to-LAN
- Remote Gateway: branch.example.net 또는 지사 공인 IP
- WAN: 인터넷에 연결된 WAN
- Local Network: 192.168.10.0/24
- Remote Subnet: 192.168.20.0/24
- Pre-shared Key: 양쪽 장비에 동일하게 입력
- Status: Enable

Remote Gateway에는 상대 지점의 공인 IP나 DDNS 주소를 넣습니다. 유동 IP 회선이라면 DDNS 사용을 권장합니다.

3. 지사 ER605 설정

지사 장비는 본사와 반대로 입력합니다.

입력 예시
- Policy Name: BRANCH_to_HQ
- Mode: LAN-to-LAN
- Remote Gateway: hq.example.net 또는 본사 공인 IP
- Local Network: 192.168.20.0/24
- Remote Subnet: 192.168.10.0/24
- Pre-shared Key: 본사와 동일한 값

양쪽의 Local Network와 Remote Subnet이 서로 뒤집혀 들어간다고 보면 됩니다.

4. Advanced Settings에서 맞출 값

- IKE Protocol Version: IKEv2 우선
- Phase 1: SHA256 / AES256 / DH14 권장
- Phase 2: ESP / SHA256 / AES256 권장
- PFS: 사용 여부를 양쪽 동일하게 설정
- DPD: Enable 권장

IPsec은 한쪽이라도 암호화 제안값이 다르면 터널이 올라오지 않습니다. 연결이 안 될 때는 본사와 지사의 Advanced Settings를 표로 놓고 하나씩 비교하는 것이 가장 빠릅니다.

5. 연결 확인

설정을 저장한 뒤에는 VPN → IPsec → IPsec SA에서 터널 상태를 확인합니다. 에뮬레이터에서는 실제 통신이 없기 때문에 SA 목록이 비어 있지만, 실제 장비에서는 터널이 협상되면 SA 항목이 생성됩니다.

본사 PC에서 지사 게이트웨이와 지사 PC로 ping을 보내 터널을 깨워봅니다.

ping 192.168.20.1
ping 192.168.20.100
tracert 192.168.20.100

반대로 지사 PC에서도 본사 게이트웨이와 본사 PC로 ping 테스트를 진행합니다.

자주 나는 문제
- IPsec SA가 생성되지 않음: Remote Gateway, PSK, IKE/Phase 1/2 제안값 확인
- 터널은 올라왔지만 내부망 접속 불가: Local/Remote Subnet, 방화벽, PC 자체 방화벽 확인
- 한쪽에서만 ping 가능: 반대쪽 라우팅, 게이트웨이, Windows 방화벽 확인
- 유동 IP 환경에서 자주 끊김: DDNS 갱신, 기존 SA 재협상, DPD 설정 확인

정리
- 본사-지사 연결은 IPsec LAN-to-LAN 방식으로 구성합니다.
- 양쪽 LAN 대역은 반드시 달라야 합니다.
- Pre-shared Key와 Phase 1/2 값은 양쪽이 같아야 합니다.
- 연결 확인은 IPsec SA와 ping 테스트로 진행합니다.