* 이 게시물은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.
(pfSense 홈랩 방화벽 ⑤)
pfSense를 이해하는 출발점은 인터페이스다. 방화벽 규칙도, NAT도, VPN도 전부 '어느 인터페이스에서'를 기준으로 돌아간다. 그래서 WAN과 LAN이 각각 뭘 뜻하는지부터 확실히 잡고 가야 한다.
WAN과 LAN은 뭐가 다른가
| WAN | LAN | |
|---|---|---|
| 방향 | 바깥(인터넷) 쪽 | 안쪽(내 기기) 쪽 |
| IP 받는 법 | 대개 DHCP(상위에서 받음) | 고정 IP(내가 지정, 예 192.168.1.1) |
| 기본 방화벽 | 바깥에서 들어오는 건 전부 차단 | 안에서 나가는 건 전부 허용 |
| DHCP 서버 | 안 돌림 | 돌림(내부 기기에 IP 배급) |
여기서 중요한 기본기 하나. pfSense는 WAN으로 먼저 들어오는 연결을 기본적으로 다 막는다. 반대로 LAN에서 바깥으로 나가는 건 기본 허용이다. 그래서 설치 직후에도 내부에서 인터넷은 되지만, 바깥에서 내 서버로는 아무도 못 들어온다. 이 '기본 차단'이 방화벽의 첫 번째 안전장치다.
인터페이스 할당과 IP 설정
Interfaces > Assignments에서 어떤 물리 포트가 WAN·LAN인지 바꿀 수 있고, 새 인터페이스(OPT1, OPT2…)를 추가할 수도 있다. 각 인터페이스에 들어가면 IP 방식을 정한다. WAN은 보통 DHCP, LAN은 고정 IP다.
직접 해보기 — LAN 대역 바꿔 보기
기본 192.168.1.0/24는 집 공유기와 겹치기 쉽다. 랩에서 LAN 대역을 바꿔 보며 인터페이스 설정에 익숙해지자.
- Interfaces > LAN에서 IPv4 주소를
192.168.10.1 / 24로 변경·저장한다. - Services > DHCP Server > LAN의 범위도 새 대역(192.168.10.x)으로 맞춘다.
- 클라이언트를 재접속(또는
ipconfig /renew)해 새 IP를 받는다.
✅ 확인 — 클라이언트가
192.168.10.x대역 IP를 받고, 새 주소192.168.10.1로 웹 관리자에 다시 접속되면 성공이다. 설정이 익숙해졌다면 아래의 OPT1 실습으로 한 걸음 더 가보자.
인터페이스가 모든 규칙의 기준이 되는 이유
pfSense에서 방화벽 규칙은 ‘인터페이스 단위로, 그 인터페이스로 들어오는 방향’에 걸린다. LAN 탭의 규칙은 LAN으로 들어오는 트래픽 — 즉 내부 기기가 바깥으로 보내는 트래픽 — 에 적용된다. 이 방향 감각을 놓치면 규칙을 엉뚱한 탭에 만들어 “왜 안 먹지?”에서 막힌다. 외우기: WAN 탭엔 바깥→안 규칙, LAN 탭엔 안→바깥 규칙.
물리 포트가 부족할 때 — VLAN
홈랩용 미니 PC는 랜포트가 2개뿐인 경우가 많다. WAN 하나, LAN 하나면 끝이다. 그런데 게스트망·IoT망을 더 나누고 싶다면? 물리 포트를 늘리는 대신 VLAN(8편)으로 논리 인터페이스를 쪼갠다. VLAN을 지원하는 스위치가 있으면, 포트 하나로 여러 망을 태그로 구분해 내보낼 수 있다. 포트 수의 한계를 소프트웨어로 넘는 셈이다.
한 걸음 더 — OPT1을 추가해 ‘기본 차단’을 몸으로 느끼기
WAN·LAN의 기본 동작 차이를 제일 확실히 이해하는 방법은 세 번째 인터페이스를 만들어보는 것이다. VM이라면 어댑터를 하나 더(내부 네트워크 opt) 붙이고 —
Interfaces > Assignments에서 새 포트를 추가하면 OPT1이 생긴다. Enable 후 고정 IP(예: 192.168.20.1/24)를 준다.Services > DHCP Server > OPT1을 켜고 클라이언트 VM 하나를 이 네트워크에 붙인다.- 클라이언트가 IP는 받는데 — 인터넷이 안 된다.
고장이 아니다. LAN에는 설치 시 ‘나가는 것 전부 허용’ 규칙이 기본으로 깔려 있지만, OPT 인터페이스는 규칙이 하나도 없는 채로 시작한다 — 그리고 규칙 없음 = 전부 차단이다. Firewall > Rules > OPT1에 허용 규칙을 직접 만들어야 비로소 통신이 된다. LAN의 ‘기본 허용’이 pfSense의 본성이 아니라 편의로 깔아준 규칙 한 줄이었다는 걸 여기서 체감하게 된다 — 이 감각이 10편(방화벽 규칙)의 출발점이다.
잘못 할당해서 관리 화면이 끊겼을 때
WAN과 LAN을 거꾸로 잡으면 웹 관리 화면 접속이 끊길 수 있다. 당황하지 말자 — 콘솔(모니터·키보드 직결 또는 시리얼)은 살아 있다. 콘솔 메뉴 1번 ‘Assign Interfaces’로 포트를 다시 잡고, 2번 ‘Set interface IP address’로 LAN IP를 다시 설정하면 복구된다. 웹이 막혀도 콘솔로 되돌릴 수 있다는 걸 알면 인터페이스 실험이 두렵지 않다.
가상 IP·추가 인터페이스는 나중에
한 인터페이스에 IP를 더 붙이거나(가상 IP/VIP), 여러 공인 IP를 다루는 기능도 있다. 홈랩 초반엔 몰라도 되지만, NAT·포트포워딩으로 서버를 바깥에 공개하다 보면 자연스럽게 만나게 된다. 지금은 ‘WAN=바깥, LAN=안, 방향이 규칙의 기준’ 이 셋만 확실히 잡으면 충분하다. 이 다음은 내부 기기에 IP를 나눠주는 DHCP(6편)다.
인터페이스 감을 잡았으니, 다음 편에서는 그 LAN에서 기기들에게 IP를 자동으로 나눠 주는 DHCP 서버를 제대로 다룬다.
자주 묻는 질문 (FAQ)
WAN과 LAN은 뭐가 다른가요?
WAN은 인터넷(외부) 쪽, LAN은 내부 기기 쪽입니다. pfSense는 그 사이에 앉아 오가는 트래픽을 통제합니다.
인터페이스를 잘못 할당했어요.
콘솔 메뉴의 Assign Interfaces에서 다시 지정하면 됩니다. 어떤 물리 포트가 WAN인지 MAC 주소로 확인하세요.
답글 남기기