FortiGate 사용자 관리 안내서

시작하기

로그인한 다음

바로 FortiGate 사용자 화면이 열립니다. 이 화면에서 실제 VPN 계정을 관리합니다.

화면 살펴보기

화면 위쪽에 지금 연결된 장비 정보가 나옵니다. 이게 보이면 장비와 정상적으로 통신하고 있다는 뜻입니다.

FortiGate 사용자 관리

FortiGate 사용자 (user/local)
https://192.168.0.1 · VDOM root · FGT-BRANCH (v7.2.13)

이름          상태    그룹        이메일             2단계 인증  설명
hong.gildong  활성    vpn-users   hong@example.com   이메일      영업팀
kim.cheolsu   활성    vpn-users   kim@example.com    이메일      개발팀
lee.younghee  비활성  vpn-users   lee@example.com    이메일      휴직

열	뜻
이름	VPN 접속 시 입력하는 사용자 아이디입니다.
상태	활성이면 접속할 수 있고, 비활성이면 계정은 남아 있지만 접속이 막힙니다.
그룹	이 사용자가 속한 그룹입니다. VPN 접근 권한이 그룹 단위로 정해집니다.
이메일	2단계 인증 코드를 받는 주소입니다.
2단계 인증	이메일이면 로그인할 때 메일로 온 코드를 추가로 입력해야 합니다. 해제면 비밀번호만으로 접속합니다.
설명	부서나 용도 등 메모입니다. 장비 동작에는 영향이 없습니다.

찾기와 새로고침

오른쪽 위 이름으로 검색 칸에 글자를 넣으면 목록이 바로 걸러집니다. 이름만 검색됩니다.
새로고침을 누르면 장비에서 최신 목록을 다시 받아옵니다. 다른 사람이 장비에서 직접 바꾼 내용도 이때 반영됩니다.

사용자 추가

새 VPN 계정을 만듭니다. 그룹 등록과 이메일 2단계 인증은 자동으로 함께 설정되므로 따로 하실 일이 없습니다.

오른쪽 위 사용자 추가를 누릅니다.
사용자 이름을 넣습니다. 영문·숫자와 . _ @ - 만 쓸 수 있고 1~64자입니다. 한글과 공백은 안 됩니다.
비밀번호를 넣습니다. 최소 6자이며, 장비에 설정된 비밀번호 정책(길이·복잡도)도 함께 적용됩니다.
이메일을 넣습니다. 필수입니다. 이 주소로 2단계 인증 코드가 갑니다.
설명은 선택입니다. 부서나 용도를 적어두면 나중에 찾기 편합니다.
추가를 누릅니다.

성공하면 화면 아래에 이런 메시지가 뜹니다. 어느 그룹에 들어갔는지 함께 알려줍니다.

[hong.gildong] 사용자를 [vpn-users] 그룹에 추가하고
이메일 2단계 인증을 설정했습니다.

이메일이 왜 필수인가요

모든 계정은 이메일 2단계 인증으로 만들어집니다. 인증 코드를 받을 주소가 없으면 만들어 놓아도 VPN 로그인을 끝까지 할 수 없기 때문에, 이메일 없이는 계정을 만들 수 없도록 되어 있습니다.

그룹 등록에 실패하면

사용자는 만들어졌지만 그룹에 넣지 못한 경우, 만들어진 사용자를 자동으로 지워 원래 상태로 되돌립니다. 그룹만 빠진 반쪽짜리 계정이 남지 않게 하기 위해서입니다. 이때는 오류 메시지를 관리자에게 알려주세요.

비밀번호 변경

사용자가 비밀번호를 잊었을 때 새로 정해 줍니다. 기존 비밀번호를 몰라도 됩니다.

목록에서 해당 사용자 줄의 비밀번호를 누릅니다.
새 비밀번호를 두 번 넣습니다. 두 값이 다르면 진행되지 않습니다.
변경을 누릅니다.

장비 정책이 우선입니다

장비에 비밀번호 규칙(최소 길이, 대소문자·숫자·특수문자 조합 등)이 설정되어 있으면 그 규칙을 어긴 비밀번호는 거부됩니다. 이때는 장비가 알려준 사유가 그대로 화면에 표시되니 그 내용에 맞춰 다시 정하세요.

계정 잠그기 · 풀기

퇴사·휴직처럼 계정을 지우지는 않되 접속만 막고 싶을 때 씁니다. 나중에 그대로 되살릴 수 있습니다.

활성 상태인 사용자의 비활성화를 누르면 즉시 접속이 막힙니다. 계정·그룹·이메일 설정은 그대로 남습니다.
비활성 상태인 사용자의 활성화를 누르면 다시 접속할 수 있습니다.

삭제와의 차이

휴직·장기 미사용은 비활성화가 안전합니다. 삭제는 되돌릴 수 없고, 같은 이름으로 다시 만들면 비밀번호와 이메일을 처음부터 다시 설정해야 합니다.

2단계 인증 켜기 · 끄기

2단계 인증 열의 버튼이 현재 상태이자 전환 버튼입니다. 눌러서 바꿉니다.

지금 상태	버튼	누르면
이메일 인증 켜짐	이메일	확인창이 뜨고, 확인하면 해제됩니다.
꺼짐 · 이메일 있음	해제	바로 이메일 인증이 켜집니다.
꺼짐 · 이메일 없음	해제 (눌리지 않음)	켤 수 없습니다. 아래를 참고하세요.

이메일이 없으면 켤 수 없습니다

코드를 받을 주소가 없으면 인증을 끝까지 할 수 없으므로 버튼이 눌리지 않습니다. 이런 계정은 지우고 이메일과 함께 다시 만드는 것이 확실합니다. 계정을 유지해야 한다면 장비에서 직접 이메일을 등록한 뒤 이 화면에서 켜세요.

해제는 신중히

해제하면 그 사용자는 비밀번호만으로 VPN에 접속하게 됩니다. 비밀번호가 새어 나가면 곧바로 내부망 접근으로 이어지므로, 꼭 필요한 경우가 아니면 켜 두세요. 해제해도 등록된 이메일 주소는 지워지지 않아 언제든 다시 켤 수 있습니다.

사용자 삭제

해당 사용자 줄의 삭제를 누릅니다.
확인창의 내용을 읽고 확인을 누릅니다.

소속 그룹에서 빼는 작업은 자동으로 먼저 처리됩니다. 그룹에서 직접 빼고 나서 지우실 필요가 없습니다.

[hong.gildong] 사용자를 삭제했습니다.
([vpn-users] 그룹에서 먼저 제외했습니다.)

되돌릴 수 없습니다

삭제한 계정은 복구되지 않습니다. 잠시 막아두려는 것이라면 계정 잠그기를 쓰세요.

"참조 중이라 삭제할 수 없습니다"가 나오면

그룹 말고 다른 설정(방화벽 정책, SSL VPN 포털 등)에서 그 사용자를 직접 지정하고 있다는 뜻입니다. 이 화면에서는 해결할 수 없으니, 장비 담당자에게 화면에 나온 메시지를 그대로 전달해 해당 참조를 먼저 정리해 달라고 요청하세요.

내 로그인 비밀번호 바꾸기

지금까지는 VPN 사용자 계정 이야기였습니다. 이 관리 화면에 로그인하는 내 계정의 비밀번호는 따로 바꿉니다.

화면 오른쪽 위 비밀번호 변경을 누릅니다.
현재 비밀번호와 새 비밀번호를 넣습니다.
변경을 누릅니다.

새 비밀번호는 8자 이상, 영문·숫자·특수문자 중 두 종류 이상이어야 하고, 지금 쓰는 것과 달라야 합니다.

관리자 기능

슈퍼관리자 권한이 있으면 오른쪽 위에 사용자 관리 버튼이 보입니다. 이 관리 화면에 로그인하는 운영자 계정을 관리하는 곳입니다. VPN 사용자와는 다릅니다.

운영자 계정 추가

계정마다 어느 장비를 관리할지 따로 지정합니다. 그래서 계정 A는 본사 장비를, 계정 B는 지사 장비를 관리하게 나눌 수 있습니다.

항목	설명
아이디 · 비밀번호	이 화면에 로그인할 정보입니다. 첫 로그인 때 비밀번호 변경이 강제됩니다.
FortiGate 서버 주소	`https://192.168.0.1` 형태. 관리 포트가 443이 아니면 `주소:10443` 처럼 붙입니다.
API 토큰	장비에서 발급한 REST API 키입니다. 저장 후에는 다시 볼 수 없습니다.
VDOM	VDOM을 쓰지 않으면 비워 둡니다.
사용자 그룹	이 계정으로 만드는 VPN 사용자가 들어갈 그룹입니다. 해당 장비에 `firewall` 타입으로 미리 있어야 합니다.
SSL 인증서 검증	장비가 자체 서명 인증서를 쓰면 해제합니다. 정식 인증서면 켜는 것을 권장합니다.
권한	일반은 VPN 사용자만 관리하고, 슈퍼관리자는 이 화면까지 쓸 수 있습니다.

그 밖에 할 수 있는 일

연결테스트 — 저장된 주소와 토큰으로 장비에 실제로 닿는지 확인합니다. 접속 정보를 바꾼 뒤에는 이걸 먼저 눌러 보세요.
수정 — 주소·토큰·VDOM·사용자 그룹·권한·계정 활성 여부를 바꿉니다.
비밀번호 — 운영자의 비밀번호를 재설정합니다. 본인 계정이 아니면 그 사람은 다음 로그인 때 다시 정해야 합니다.
삭제 — 운영자 계정을 지웁니다. 로그인 중인 자기 계정과 마지막 슈퍼관리자는 지울 수 없습니다.
최근 활동 — 화면 아래에 누가 언제 무엇을 했는지 최근 30건이 남습니다.

토큰 칸을 비우면

수정 화면에서 API 토큰을 비워 두면 기존 토큰이 그대로 유지됩니다. 다만 토큰을 한 번도 등록하지 않은 계정이라면 유지할 것이 없으므로, 첫 등록 때는 반드시 입력해야 합니다.

사용자 그룹은 장비마다 다릅니다

계정마다 관리하는 장비가 다를 수 있으므로 그룹도 계정별로 지정합니다. 그 장비에 실제로 있는 그룹 이름을 넣어야 합니다. 이름이 틀리면 사용자 추가 때 "그룹을 찾을 수 없습니다"가 나옵니다.

오류가 났을 때

화면에 뜬 메시지를 찾아 대처하세요. 대부분은 접속 정보나 장비 설정 문제입니다.

장비에 연결되지 않을 때

메시지	원인과 대처
FortiGate 연결 시간이 초과되었습니다	주소나 포트가 틀렸거나, 중간 방화벽이 막고 있거나, 장비의 접근 허용 목록에 이 서버가 없는 경우입니다. 주소를 가장 먼저 확인하세요. 관리 포트가 443이 아니면 `주소:10443` 처럼 포트를 붙여야 합니다.
FortiGate 에 연결할 수 없습니다	주소 오타이거나 해당 포트가 닫혀 있습니다.
인증에 실패했습니다. API 토큰과 장비의 접근 허용 목록(Trusted Hosts)을 확인하세요	토큰이 틀렸거나 장비에서 삭제·재발급되었을 때, 또는 장비의 접근 허용 목록(Trusted Hosts)에 이 서버 주소가 없을 때입니다. 사내망에서 장비의 공인 주소로 접속하면 장비는 이 서버의 내부 주소를 출발지로 보므로, 허용 목록에는 내부 주소가 있어야 합니다. 장비 담당자에게 확인을 요청하고, 토큰이 문제라면 새 토큰을 받아 사용자 관리 → 수정에서 다시 넣으세요.
인증 실패가 반복되어 장비가 접속을 잠시 차단했습니다	토큰이나 접근 허용 목록이 잘못된 상태에서 연결 테스트를 여러 번 누르면 장비가 이 서버를 잠시 잠급니다. 잠금 중에 다시 누르면 잠금이 연장될 뿐입니다. 위 항목대로 원인을 먼저 고친 뒤 1분 이상 기다렸다가 한 번만 다시 시도하세요.
권한이 없습니다	토큰에 연결된 권한이 부족하거나, 장비의 접근 허용 목록(Trusted Hosts)에 이 서버 주소가 빠져 있습니다. 장비 담당자에게 확인을 요청하세요.
SSL 인증서 검증에 실패했습니다	장비가 자체 서명 인증서를 쓰고 있습니다. 사용자 관리 → 수정에서 SSL 인증서 검증을 해제하세요.
FortiGate 접속 정보가 등록되어 있지 않습니다	내 계정에 장비 주소·토큰이 없습니다. 슈퍼관리자에게 등록을 요청하세요.

작업이 거부될 때

메시지	원인과 대처
이미 존재하는 항목입니다	같은 이름의 사용자가 이미 있습니다. 목록에서 검색해 확인하세요.
그룹을 찾을 수 없습니다	내 계정에 지정된 그룹 이름이 그 장비에 없습니다. 오타이거나 다른 장비의 그룹 이름일 수 있습니다. 슈퍼관리자에게 확인을 요청하세요.
이 계정에 사용자 그룹이 지정되어 있지 않습니다	슈퍼관리자에게 사용자 관리 화면에서 그룹 등록을 요청하세요.
참조 중이라 삭제할 수 없습니다	방화벽 정책 등에서 그 사용자를 직접 지정하고 있습니다. 장비 담당자에게 정리를 요청하세요.
등록된 이메일이 없어 2단계 인증을 켤 수 없습니다	코드를 받을 주소가 없습니다. 계정을 지우고 이메일과 함께 다시 만드는 편이 확실합니다.
로그인 시도가 너무 많습니다	안내된 시간만큼 기다렸다가 다시 시도하세요. 계속 실패하면 차단이 길어집니다.
세션이 만료되었습니다 / CSRF 토큰이 유효하지 않습니다	브라우저를 오래 열어 둔 경우입니다. 새로고침 후 다시 로그인하면 됩니다.

문의할 때

해결되지 않으면 화면에 뜬 메시지를 그대로 담당자에게 전달하세요. 장비가 돌려준 사유가 메시지에 포함되어 있어 원인을 빠르게 좁힐 수 있습니다.

＊

기억해 둘 것

이메일은 필수입니다. 2단계 인증 코드가 그 주소로 갑니다.
그룹 등록과 2단계 인증은 자동입니다. 사용자 추가 시 따로 하실 일이 없습니다.
삭제는 되돌릴 수 없습니다. 잠시 막을 것이라면 비활성화를 쓰세요.
비밀번호 5회 실패 시 10분 차단됩니다. 맞는 비밀번호도 그동안은 거부됩니다.
2단계 인증 메일이 오지 않으면 장비의 메일 발송 설정 문제일 수 있습니다. 담당자에게 확인을 요청하세요.