실제 선정 사례
지난겨울, 순이(Shunyi)에서 자동차 부품을 만드는 공장이 저희를 찾아왔습니다. 공장 인원은 180명, 분공장은 랑팡(Langfang)에 있었고 핵심 요구사항은 전형적이었습니다. 본공장 게이트웨이가 오래되어 손볼 때가 한참 지났고, 정책은 엉망으로 얽혀 있었으며, 결정적으로 공장 ERP 시스템이 랑팡에서 본사 서버로 안전하게 접속해야 했습니다. 사장은 빨리 오픈하라고 재촉하면서도, 기존 장비를 건드리면 업무가 끊길까 봐 손을 대지 못하고 있었습니다. 저는 엔지니어와 함께 현장에 나가 반나절을 살펴보고, Cisco ASA, 화웨이 USG2210, MikroTik CCR2004를 모두 테스트베드에 올려 사흘 동안 돌렸습니다. 이 글이 바로 그 사흘에서 짜낸 실전 정보입니다. 공식 홈페이지 스펙을 옮겨 적은 것이 아니라, 부하 테스트의 실제 측정값만 담았습니다.
왜 이 두 제품을 비교 대상으로 골랐을까요? CCR과 USG가 마침 서로 다른 두 노선을 대표하기 때문입니다. 하나는 화이트라벨 자유파로, CLI와 스크립트라는 하드코어한 방식으로 승부합니다. 다른 하나는 중국 대형 벤더 계열로, 인터페이스는 친절하지만 라이선스 정책이 복잡합니다. 50~300명 규모의 기업 환경에서 이 두 제품은 시장에서 가성비가 가장 비슷한 두 갈래 길입니다.
처리량: 하드웨어 스펙 뒤에 숨은 진실
MikroTik CCR2004는 양방향 17.8Gbps를 표방하며, 자체 개발한 Tile 아키텍처 쿼드코어 프로세서를 사용합니다. 실제 테스트에서 NAT 환경은 패킷 손실 없이 12.3Gbps까지 나왔습니다. iperf3로 트래픽을 흘려보내면 동시 연결 150개까지는 안정적으로 버티고, 300개부터는 약간의 지터가 생깁니다. 200명 정도가 동시에 인터넷을 쓰는 환경이라면 이 여유분은 충분합니다. CCR의 강점은 포워딩 경로가 짧다는 점으로, 화려한 보안 검사 모듈이 발목을 잡지 않습니다.
화웨이 USG6610F는 세션 수 200만, 처리량 5Gbps를 표방합니다. 잠깐, 여기에는 함정이 있습니다. 화웨이의 표방 수치는 대개 ‘기본 포워딩’ 기준 성적이고, IPS 침입 방어나 AV 백신을 켜면 실제 처리량은 표방값의 40% 수준으로 떨어집니다. 그 자동차 부품 공장에서 실측해 보니, 기본 보안 정책을 켠 뒤 USG6610F는 3.1Gbps, CCR2004는 같은 조건에서 9.8Gbps가 나왔습니다. 세 배 차이입니다. 과장처럼 들리지만, 180명이 동시에 업무를 보는 실제 트래픽으로 환산하면 두 대 모두 대역폭을 다 쓸 수 있고, 다만 여유분이 다를 뿐입니다.
정책 수와 VPN: 보이지 않는 비용
화웨이 USG의 정책 설정 인터페이스는 아주 잘 만들어졌습니다. 마우스 몇 번만 클릭하면 보안 정책 하나가 만들어집니다. 하지만 문제는 라이선스 안에 숨어 있습니다. USG6610F의 기본 정책 수 상한은 1000개입니다. 충분해 보이지만, 중견기업이 2~3년간 NAT, 라우팅, VPN, 존 격리 정책을 겹겹이 쌓아 올리면 이 천장에 쉽게 부딪힙니다. 증설하려면 정책 수 라이선스 패키지를 사야 하는데, 한 세트에 8,000~15,000위안 정도로 가격이 다양합니다. 이것이 많은 발주처가 계약 전에 계산에 넣지 못하는 숨은 비용입니다.
CCR은 정책 수에 딱히 제한이 없습니다. 본질적으로 Linux 라우터라서 iptables 규칙을 원하는 만큼 쓸 수 있습니다. 물론 규칙이 많아지면 CPU의 테이블 조회 효율에 영향을 줍니다. 실측으로 5,000개 정책 이내에서는 성능 저하가 뚜렷하지 않았고, 이 규모를 넘으면 정책 병합을 하거나 CCR1072급 하드웨어로 올리는 것을 권합니다. 그 자동차 부품 공장의 정책을 정리할 때 발견한 것인데, 오래된 Cisco ASA에 중복 정책이 340개나 쌓여 있었고, 삭제한 뒤 오히려 ACL 적중률이 더 높아졌습니다.
VPN은 두 제품이 서로 다른 노선을 갑니다. 화웨이 USG의 IPSec VPN은 안정성이 좋고, 시스코, H3C와 연동할 때 호환성도 우수합니다. 특히 사이트 간 Site-to-Site VPN은 중국 기업 간 상호 연결 시나리오에서 흔히 쓰이는데, USG의 마법사 방식 설정은 수고를 꽤 덜어 줍니다. CCR의 IPSec 성능은 더 강력해서, 동일한 암호화 스위트로 CCR은 터널 대역폭 1.2Gbps, USG6610F는 약 600Mbps까지 나옵니다. 다만 설정은 스크립트를 직접 쓰거나 Winbox에서 메뉴를 조정해야 해서, 초보자의 적응 기간이 대략 2~3일 걸립니다. L2TP/IPSec 또는 기타 VPN 클라이언트 접속이 필요하다면 CCR은 별도 라이선스 없이 기본 지원하므로, 출장이 잦아 원격 근무를 하는 직원이 많은 기업에 특히 유리합니다.
관리 편의성: 사장님은 인터페이스를, 저는 트러블슈팅 속도를 봅니다
운영을 오래 해 본 사람이라면 누구나 압니다. 장비 설정이 쉬운 건 그렇게 중요하지 않습니다. 문제가 생겼을 때 얼마나 빨리 원인을 짚어내는지가 진짜 실력입니다. 화웨이 USG의 웹 관리 인터페이스는 중국산 장비 중에서는 최상급입니다. 정책 로그, 트래픽 통계, 경보 정보가 하나의 대시보드에 모여 있어서, 신입도 반나절 교육이면 기본 조작을 익힙니다. 단점은 문제가 생겼을 때 로그를 확인하려면 여러 페이지를 오가야 하는 경우가 있고, 로그 보존 기간이 기본 7일이라 저장 용량을 늘리려면 로그 감사 모듈을 따로 사야 한다는 점입니다.
CCR의 관리 도구 체계는 상당히 분열되어 있습니다. Winbox는 GUI 클라이언트로 기능은 완비됐지만 Windows만 지원합니다. RouterOS 7 이후 Webfig는 꽤 쓸 만해졌지만, 고급 작업은 여전히 SSH로 들어가 명령을 쳐야 합니다. 저희 엔지니어의 느낌은, CCR의 CLI가 화웨이보다 네트워크의 본질에 더 가깝다는 것입니다. 각 라우트의 정확한 매칭 순서를 볼 수 있고, Torch 도구로 실시간 패킷 분석이 가능하며, 여러 겹의 메뉴에서 길을 잃을 일이 없습니다. 물론 이런 ‘투명함’은 초보자에게는 진입 장벽이고, 숙련자에게는 구원입니다.
애프터서비스 대응을 보면, 화웨이는 중국 내 채널 체계가 성숙해 있어 1선 도시에서는 골드 파트너사가 4시간 내 현장 출동 대응이 가능합니다. MikroTik은 중국에서 총판+커뮤니티 노선을 걷고 있으며, 공식 지원의 이메일 응답 속도는 그럭저럭 괜찮지만 현장 서비스는 파트너사에 의존합니다. 새벽 3시에 랑팡 분공장이 단절된 적이 있는데, 고객이 저희 엔지니어에게 바로 전화를 걸었습니다. 이런 일은 글로벌 브랜드 본사가 감당할 수 없고, 현지 서비스 업체에 기대야 합니다. 저희 회사는 네트워크 장비 패키지 서비스를 제공하며, 계약 기간 내 무상 장비 교체가 가능하고 대응 속도도 대형 벤더 채널에 뒤지지 않습니다.
50~300명 규모 환경의 권장 구성
실전 경험을 바탕으로 재사용 가능한 선정 프레임워크를 하나 제시합니다. 50명 이하, 예산에 민감, 대역폭 300Mbps 이내 환경이라면 CCR2004가 최우선입니다. 하드웨어에 3년 유지보수를 더한 총액이 12,000~15,000위안이고 성능 여유도 충분합니다. 50~150명, 대역폭 500Mbps~1Gbps 환경이라면 두 제품 모두 감당할 수 있습니다. 기업에 이미 화웨이 생태계(서버, 스위치가 화웨이)가 있다면 USG의 통합 관리가 더 수월하고, 라이선스 비용을 아끼고 CLI를 받아들일 수 있다면 CCR의 가성비가 더 높습니다.
150명 이상이거나 전용선 라우팅, MPLS 요구가 있는 환경이라면 CCR1072 또는 화웨이 USG6630F급을 권합니다. 1072는 양방향 24Gbps 처리량으로 10기가 출구를 충분히 감당하고, USG6630F는 APT 고급 위협 탐지에 하드웨어 가속 엔진을 갖추고 있습니다. 가격은 전자가 유지보수 포함 약 35,000~45,000위안, 후자가 기본 보안 라이선스 패키지 포함 대략 50,000~70,000위안이며, 차액의 상당 부분은 화웨이의 보안 기능 라이선스와 중국 내 본사 서비스 프리미엄입니다.
- 50명 이하: CCR2004 + 기본 유지보수, 약 12,000~15,000위안
- 50~150명: CCR2004 또는 USG6610F, 생태계와 팀 역량에 따라 택일, 20,000~35,000위안
- 150~300명: CCR1072 또는 USG6630F, 35,000~70,000위안
그 자동차 부품 공장은 최종적으로 CCR2004를 선택했고, 랑팡 분공장은 RB4011을 지사 게이트웨이로 사용했습니다. IPSec 터널이 연결된 뒤로는 지금까지 안정성 관련 경보가 한 번도 없었습니다. 사장님이 가장 만족한 부분은 복잡한 라이선스 갱신이 없다는 점과 매년 유지보수 비용이 명확하다는 점이었습니다. 저희가 제공한 sTrust 제로 트러스트 솔루션도 CCR의 암호화 터널 기능을 활용해 외근 직원의 안전한 접속을 구현했으니, 장비 한 세트로 두 가지 문제를 해결한 셈입니다.
마지막으로
방화벽 선택에는 정답이 없고, 우리 상황에 맞는지가 중요할 뿐입니다. CCR의 자유에는 대가가 따릅니다. 명령줄을 받아들이고, 스크립트를 직접 작성할 수 있어야 하며, 커뮤니티에서 답을 찾는 수고를 감수해야 합니다. USG의 편안함에는 가격이 붙습니다. 라이선스 계층이 복잡하고, 첫해가 지나면 갱신이 골칫거리입니다. 제 경험으로는 실제 트래픽으로 일주일간 부하 테스트를 먼저 해본 뒤, 예산을 하드웨어 성능에 쓸지 서비스 보장에 쓸지 결정하는 것이 좋습니다.
다 보고도 판단이 어려우시면 전화로 바로 상담하십시오. 저희 엔지니어가 장비를 직접 들고 방문해 테스트하며 별도 비용을 받지 않고, 테스트 후 보고서를 드립니다. 그다음에 결정하시면 됩니다. 우직한 방법이지만 가장 확실합니다.
베이징 기업 IT가 한계에 부딪히셨습니까? Siwenlide의 14년, 1000+ 고객과 함께한 통합 솔루션을 상담해 보십시오.
☎ 400-686-2011 · 📍 베이징 공항 경제 핵심구 후이하이난루 1호원 3동 9층 3-1002호 · 문의하기
※ 계약 기간 내 기업용 인터넷 회선 또는 전용선을 추가로 제공해 드려, 비즈니스 연결이 더욱 안정적입니다.
