두 방화벽 장비와 클라우드 아이콘을 위에서 내려다본 비교 구성도
글 요약
AWS Network Firewall과 FortiGate는 클라우드 환경에서 가장 많이 비교되는 두 가지 방화벽입니다. 본문에서는 가격, 성능, 관리 방식, 구성 난이도까지 실무 관점에서 비교 분석하고, 어떤 상황에서 어떤 제품을 선택해야 하는지 명확한 기준을 제시합니다.
“AWS 위에서 방화벽을 올리라는데, AWS 자체 서비스와 FortiGate 중 뭘 골라야 할까?”
클라우드 방화벽 선택 기준을 가격, 성능, 운영 복잡도, 보안 기능 4가지 축으로 정리했습니다. 단순 스펙 비교가 아니라, 실무에서 겪는 시행착오와 노하우까지 함께 다루니 끝까지 읽으시면 본인 환경에 맞는 답을 얻으실 수 있습니다.
많은 분이 “FortiGate가 더 비싸지만 그만큼 강력하다” 정도로만 알고 결정을 내리시더라고요. 하지만 실제 클라우드 환경에서는 트래픽 패턴, VPC 구조, 인력 역량에 따라 정답이 완전히 달라집니다. 잘못 선택하면 연간 수천만 원이 그냥 사라지거든요. 그래서 이 글에서는 비용 구조의 숨은 함정까지 함께 짚어드리겠습니다.
📑 목차
클라우드 방화벽을 도입할 때 가장 큰 착각은 “어차피 다 AWS니까 AWS 서비스로 통일하는 게 맞다”라는 것입니다. 물론 관리 편의성은 높지만, 트래픽 양이 많아지거나 세밀한 정책이 필요해지면 전혀 다른 차원의 이야기가 펼쳐지거든요. 본문에서 두 제품의 본질적 차이를 하나씩 풀어보겠습니다.
📌 이 글의 핵심 정리
- AWS Network Firewall은 AWS 네이티브 서비스로 관리 부담이 적고, 트래픽 기반 종량제로 비용이 산정됩니다.
- FortiGate는 온프레미스와 동일한 기능을 클라우드에서도 쓸 수 있어, 하이브리드 환경과 세밀한 정책이 필요할 때 유리합니다.
- 단순 비교보다 VPC 구조와 트래픽 패턴이 선택의 핵심 변수입니다.
- 실무에서는 엔드포인트 수, 룰 복잡도, 운영 인력 역량을 종합적으로 따져야 합니다.
- 잘못된 선택은 연간 수천만 원의 비용 낭비로 직결되므로, 사전에 트래픽 패턴을 정확히 측정해야 합니다.
AWS Network Firewall 개요
AWS Network Firewall은 2020년에 정식 출시된 관리형 클라우드 방화벽 서비스입니다. VPC 단위로 배포되며, 상태 기반(Stateful)과 무상태(Stateless) 규칙을 모두 지원합니다. 가장 큰 특징은 AWS가 직접 인프라를 관리해주기 때문에 사용자는 룰셋과 정책에만 집중할 수 있다는 점입니다.
주요 기능과 작동 원리
AWS Network Firewall은 VPC 내부 트래픽을 분석해 인바운드/아웃바운드 모두 제어할 수 있습니다. 서버리스 방식으로 작동하기 때문에 별도의 EC2 인스턴스를 띄울 필요가 없고, 고가용성(HA)도 AWS가 자동으로 보장합니다. IPS(침입 방지), 도메인 필터링, TLS 검사의 기본 기능이 포함되어 있어요.
비용 구조의 핵심 포인트
비용은 크게 엔드포인트 시간당 요금과 처리 데이터 요금 두 축으로 나뉩니다. 엔드포인트는 시간당 과금이라 24시간 켜두면 고정비가 발생하고, 데이터 처리량은 GB 단위로 추가 과금되거든요. 트래픽이 적은 환경이라면 매우 경제적이지만, 대규모 트래픽 환경에서는 비용이 빠르게 증가할 수 있습니다.
⚠️ AWS Network Firewall 주의사항
- 엔드포인트 시간 요금이 24시간 누적되므로, 테스트용으로 잠깐 켜뒀다가 끄는 습관이 중요합니다. 잊고 방치하면 월 수백만 원이 청구될 수 있어요.
FortiGate 클라우드 배포 방식
네트워크 방화벽 장치 두 대를 측면에서 비교한 사실적인 클로즈업 사진
FortiGate는 Fortinet의 대표 NGFW(차세대 방화벽) 제품으로, AWS Marketplace를 통해 BYOL(Bring Your Own License) 또는 종량제로 배포할 수 있습니다. EC2 인스턴스 기반으로 동작하기 때문에 사용자가 직접 인스턴스 사양을 선택하고, HA 구성을 직접 설계해야 합니다.
강력한 기능과 하이브리드 호환성
FortiGate의 가장 큰 매력은 온프레미스와 동일한 정책/UI를 그대로 사용할 수 있다는 점입니다. 이미 FortiGate를 운영 중인 조직이라면 클라우드 정책까지 동일한 콘솔에서 관리할 수 있거든요. SSL 복호화, 샌드박싱, 웹 필터링, IPS 등 엔터프라이즈급 보안 기능이 한 번에 제공됩니다.
비용 구조의 숨은 함정
FortiGate는 라이선스 비용과 EC2 인스턴스 비용이 이중으로 발생합니다. 라이선스만 보면 한 달 수백만 원이지만, 인스턴스 사양을 높일수록 추가 비용이 붙어요. 트래픽이 폭증하면 인스턴스 업그레이드가 필요하고, HA 구성을 위해 최소 2대를 운영해야 하는 점도 고려해야 합니다.
핵심 기능·가격 비교표
두 제품을 한눈에 비교할 수 있도록 주요 항목을 정리했습니다. 수치는 일반적인 운영 환경 기준으로, 실제 환경에 따라 달라질 수 있습니다.
| 구분 | AWS Network Firewall | FortiGate on AWS |
|---|---|---|
| 배포 방식 | 관리형 서비스(서버리스) | EC2 인스턴스 기반 BYOL/PAYG |
| 고가용성 | AWS가 자동 보장 | 사용자가 직접 HA 구성 |
| 성능 확장성 | 자동 스케일링 | 인스턴스 수동 업그레이드 |
| 월 기본 비용(중규모) | 약 100~300만 원 | 약 250~600만 원 |
| SSL 복호화 | 제한적 지원 | 전체 트래픽 복호화 가능 |
| 하이브리드 일관성 | 낮음(AWS 전용) | 매우 높음(동일 콘솔) |
| 관리 난이도 | 초급~중급 | 중급~고급 |
표에서 놓치기 쉬운 포인트
표면적인 비용만 보면 AWS Network Firewall이 저렴해 보이지만, 데이터 처리량 요금이 트래픽에 비례해 증가한다는 점을 잊으면 안 됩니다. 반대로 FortiGate는 초기 비용이 비싸 보이지만, 트래픽이 폭증해도 추가 데이터 요금이 거의 없어 대규모 환경에서 단가 우위를 보일 때가 많습니다.
💡 비용 비교 꿀팁
- 실제 도입 전 1개월간의 VPC 트래픽 로그를 CloudWatch에서 추출하세요. 평균 GB/일을 기준으로 두 제품의 실제 비용을 시뮬레이션할 수 있습니다.
구성 방식과 운영 복잡도 차이
구성 방식의 차이는 단순한 사용성 문제를 넘어 사고 대응 시간과 운영 리스크로 직결됩니다. 두 제품을 어떻게 다뤄야 하는지 각각의 특징을 살펴보겠습니다.
AWS Network Firewall 구성 흐름
VPC 내부에 Firewall Subnet을 지정하고, 라우팅 테이블에서 트래픽을 끌어오는 방식입니다. 정책은 AWS Firewall Manager 또는 콘솔에서 정의하며, 룰 변경 시 즉시 반영됩니다. Terraform과 CloudFormation으로 자동화가 매우 잘 되어 있는 편이에요.
FortiGate 구성 흐름
FortiGate는 EC2 인스턴스 자체를 배포하고, 베스천 호스트로 초기 설정 후 FortiOS 콘솔에 접속합니다. 정책은 주소 객체, 서비스 객체, 정책 테이블을 순서대로 정의하는 전통적인 NGFW 방식을 따릅니다. 라우팅은 VPC 라우팅 테이블과 직접 연결되며, HA 구성 시 별도의 Elastic IP와 ENI 설계가 필요합니다.
💡 구성 효율 꿀팁
- FortiGate 도입 시 FortiManager를 함께 도입하면 멀티 VPC 정책을 중앙에서 관리할 수 있습니다. VPC가 3개 이상이라면 도입 효과를 확실히 체감하실 수 있어요.
실무 실패 사례와 해결 노하우
실제로 많은 조직이 클라우드 방화벽 도입 초기에 큰 비용 폭탄을 맞거나, 보안 사고를 경험합니다. 가장 흔한 사례와 해결 방법을 알려드릴게요.
대표적인 실패 사례: 트래픽 폭증으로 인한 요금 폭탄
한 핀테크 기업이 AWS Network Firewall을 도입했다가 월 청구액이 4배로 뛰었던 일화입니다.
이 회사는 EKS 기반 마이크로서비스 아키텍처였는데, Pod 간 통신이 모두 방화벽을 통과하면서 동서(East-West) 트래픽이 GB 단위로 누적됐어요. 데이터 처리량 요금이 매달 수천만 원씩 청구되면서, 결국 일부 트래픽만 방화벽을 거치도록 라우팅을 재설계해야 했습니다.
전문가의 해결 노하우
해결책은 크게 두 가지입니다. 첫째, 동서 트래픽은 Security Group으로 제어하고, 방화벽은 외부 인바운드/아웃바운드에만 적용하는 방식이에요. 둘째, VPC Endpoint 정책을 활용해 AWS 서비스 트래픽은 방화벽을 우회하게 만드는 겁니다. 이 두 가지만 적용해도 비용이 60~70% 감소하더라고요.
⚠️ 도입 시 주의사항
- 모든 트래픽을 무조건 방화벽으로 끌고 가는 설계는 비용 폭탄의 지름길입니다. 트래픽 분류 기준을 먼저 설계하세요.
상황별 선택 기준과 권장 시나리오
모든 환경에 정답은 없지만, 대표적인 시나리오별 권장 방향은 분명히 존재합니다.
AWS Network Firewall이 더 유리한 경우
- VPC가 1~2개로 단순한 구조이고, 외부 인바운드/아웃바운드 제어가 주 목적인 경우
- 보안 운영 인력이 1~2명 수준으로, 관리 부담을 최소화하고 싶은 조직
- 트래픽이 하루 수십 GB 이하로 안정적이고, 비용 예측이 쉬운 환경을 원하는 경우
FortiGate가 더 유리한 경우
- 이미 온프레미스에 FortiGate가 있어 하이브리드 일관성이 중요한 경우
- SSL 복호화, 샌드박싱 등 엔터프라이즈 보안 기능이 필수인 환경
- VPC가 다수이고 트래픽이 대규모라 단가 대비 성능이 중요한 경우
차별화된 통찰: 하이브리드 전략
현실적으로 가장 효과적인 접근은 두 제품을 함께 쓰는 하이브리드 전략입니다. 외부 트래픽과 핵심 서비스 구간은 FortiGate로 두고, 내부 개발 VPC나 트래픽이 많은 구간은 AWS Network Firewall로 두는 식이죠. 이러면 보안 수준과 비용 효율을 동시에 잡을 수 있어요. 다만 관리 포인트가 두 배가 되니, 운영 자동화 파이프라인을 함께 구축하시는 걸 추천드립니다.
Q. AWS Network Firewall만으로 PCI-DSS 인증을 받을 수 있나요?
A. 기본적인 네트워크 세그멘테이션과 침입 방지 요건은 충족할 수 있지만, 일부 항목은 추가 구성이나 FortiGate 같은 별도 보안 도구가 필요할 수 있습니다. 인증 심사 전에 QSA(공인 심사원)와 사전 협의를 권장합니다.
Q. FortiGate 인스턴스 사이즈는 어떻게 결정하나요?
A. Fortinet이 제공하는 사이징 가이드를 기준으로, 예상 트래픽의 1.5배 여유를 두고 선택하는 것이 안전합니다. 보통 c5.xlarge 또는 c5.2xlarge부터 시작해서 모니터링 후 조정하는 패턴이 일반적입니다.
Q. 두 제품을 동시에 운영할 때 정책 충돌은 어떻게 관리하나요?
A. 트래픽 경계를 명확히 분리하는 것이 핵심입니다. 한 구간에 두 방화벽이 동시에 걸리면 중복 검사로 성능이 저하되고, 로그 분석이 복잡해집니다. 라우팅 테이블에서 책임을 분명히 나누세요.
Q. 기존 FortiGate 환경을 AWS로 이전할 때 주의할 점은?
A. 클라우드 라우팅 모델의 차이를 반드시 이해해야 합니다. 온프레미스처럼 인터페이스 기반 정책이 아니라, AWS는 라우팅 테이블과 ENI 기반으로 동작하기 때문에 정책 구조를 재설계해야 하는 경우가 많습니다.
결론적으로 클라우드 방화벽은 정답을 외워서 고르는 게 아니라, 본인 환경의 트래픽과 운영 역량을 정확히 진단한 뒤에 선택해야 하는 인프라 결정입니다. AWS Network Firewall은 가볍고 관리 편한 도구, FortiGate는 깊이 있는 보안이 가능한 도구로 보시면 됩니다. 처음 도입하시는 분이라면 AWS Network Firewall로 시작해서, 한계가 느껴질 때 FortiGate를 추가하는 점진적 확장 전략이 가장 안전합니다.
본 글의 비교 정보는 일반적인 운영 환경을 기준으로 작성되었으며, 실제 AWS 요금 정책과 Fortinet 라이선스 조건에 따라 수치는 달라질 수 있습니다. 도입 전 반드시 AWS 공식 요금표와 Fortinet 담당 엔지니어의 최신 견적을 확인하시기 바랍니다. 본 글이 특정 제품의 구매를 권유하거나 보장하는 것은 아니며, 최종 결정은 사용자 환경에 대한 충분한 검증 후에 내려주셔야 합니다.
