[pfSense] 9. 라우팅 : pfSense 게이트웨이와 정적 경로 이해하기

* 이 게시물은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

(pfSense 홈랩 방화벽 ⑨)

네트워크를 여러 개 만들다 보면 '이 패킷은 어디로 내보내지?'라는 문제가 생긴다. 그걸 정하는 게 라우팅이다. 대부분은 pfSense가 알아서 처리하지만, 내부에 또 다른 라우터나 서브넷이 생기면 정적 경로를 손봐야 한다.

Table of Contents

기본 게이트웨이

pfSense는 WAN 쪽에서 받은 게이트웨이(상위 공유기/모뎀)를 기본 게이트웨이로 삼는다. 목적지가 내부 서브넷이 아니면 전부 이 길로 내보낸다. System > Routing > Gateways에서 게이트웨이 목록과 상태를 볼 수 있고, 여기서 각 게이트웨이의 '살아 있는지'를 모니터링한다(이 모니터링이 나중에 다중 WAN 페일오버의 기반이 된다).

구분	언제 쓰나
기본 게이트웨이	목적지가 내부에 없을 때 — 바깥으로 내보내는 길
정적 경로	특정 서브넷은 다른 내부 라우터로 보내야 할 때

정적 경로가 필요한 순간

예를 들어 LAN 안에 또 다른 라우터가 있고 그 뒤에 10.10.0.0/24 실험망이 숨어 있다고 하자. pfSense는 그 망이 어디 있는지 모른다. 이때 System > Routing > Static Routes에 '10.10.0.0/24는 그 내부 라우터(예 192.168.10.2)로 보내라'고 알려 주면, 비로소 그 망과 통신이 된다. 경로를 안 넣으면 pfSense는 모르는 목적지를 기본 게이트웨이(바깥)로 던져 버려서 닿지 않는다.

직접 해보기

System > Routing > Gateways에서 WAN 게이트웨이 상태(온라인·지연·손실)를 확인한다.
클라이언트에서 tracert(윈도우)/traceroute(리눅스)로 바깥까지 경로를 따라가 본다. 첫 홉이 pfSense인지 본다.
(선택) 내부 라우터가 있다면 정적 경로를 하나 추가해 뒤쪽 서브넷에 닿게 해 본다.

# 클라이언트에서 경로 추적 — 첫 홉이 pfSense(예: 192.168.10.1)여야 정상
$ traceroute 8.8.8.8      # 리눅스/macOS
> tracert 8.8.8.8         # 윈도우

✅ 확인 — traceroute의 첫 홉이 pfSense이고, 그 뒤 바깥으로 이어지면 라우팅이 정상이다. 정적 경로가 '언제' 필요한지 한 줄로 말할 수 있으면 이 편은 소화한 것이다.

정적 경로 — 언제 필요하고 어떻게

pfSense 뒤에 또 다른 라우터가 있고 그 너머에 별도 서브넷이 있으면, pfSense는 그 서브넷의 존재를 모른다. 그래서 ‘10.10.0.0/24로 가려면 저 내부 라우터(192.168.1.5)에게 넘겨라’를 정적 경로로 알려줘야 한다. System > Routing > Static Routes에서 목적지 네트워크와 게이트웨이를 등록한다. 이걸 안 하면 그 트래픽은 기본 게이트웨이(WAN)로 잘못 나가버린다.

목적지 네트워크 : 10.10.0.0/24
게이트웨이       : 192.168.1.5  (내부 라우터)
# → 그 대역으로 가는 패킷만 이 라우터로 넘긴다

비대칭 라우팅 함정

흔한 사고 하나. 나가는 길과 돌아오는 길이 다르면, stateful 방화벽이 ‘내가 모르는 연결’로 보고 돌아오는 패킷을 버린다. 내부에 라우터를 추가할 때 자주 생기고, 증상은 ‘핑은 되는데 실제 통신이 안 됨‘이다. 경로를 대칭으로 잡거나, 해당 규칙에 예외(같은 인터페이스 우회)를 두어 푼다. 앞 편의 상태 추적 원리를 알면 이 증상이 이해된다.

게이트웨이 모니터링과 상태

pfSense는 각 게이트웨이에 핑을 보내 살아 있는지 본다(다중 WAN 페일오버의 기반, 26편). 감시 IP는 기본이 게이트웨이 자신인데, 회선 상태를 정확히 보려면 8.8.8.8 같은 외부 IP로 바꾸는 게 좋다. 손실·지연이 임계를 넘으면 ‘다운’으로 처리해 트래픽을 다른 길로 돌린다.

라우팅이 꼬였을 때 진단

Diagnostics > Traceroute로 어디서 막히는지 경로를 추적.
Diagnostics > Routes로 현재 라우팅 테이블 확인.
정적 경로의 목적지·서브넷 마스크가 맞는지.
비대칭 경로가 아닌지(핑은 되는데 통신 안 될 때).
게이트웨이 상태가 online인지.

대부분은 pfSense가 알아서 하지만, 망이 여러 겹이 되는 순간 라우팅은 직접 그려줘야 한다. 다음 편은 이 흐름을 시간으로 제어하는 규칙과 이어진다.

여기까지가 네트워크 기본기(모듈 2)다. 다음 편부터는 이 시리즈의 심장, 방화벽 규칙으로 들어간다. 먼저 규칙이 어떤 원리로 동작하는지부터 뜯어본다.

자주 묻는 질문 (FAQ)

정적 경로(static route)는 언제 쓰나요?

pfSense가 모르는 다른 네트워크(예: 내부 라우터 뒤 대역)로 가는 길을 직접 알려줄 때 씁니다. 대부분의 가정망은 기본 게이트웨이면 충분합니다.

게이트웨이가 여러 개면 어떻게 되나요?

다중 WAN 등에서 게이트웨이 그룹으로 우선순위·페일오버를 정합니다. 26편에서 자세히 다룹니다.