* 이 게시물은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.
(pfSense 홈랩 방화벽 ⑱)
앞의 VPN들이 '밖에서 집으로'였다면, 이번엔 '집에서 밖으로' 우회다. NordVPN·Mullvad 같은 상용 VPN을 pfSense에 클라이언트로 물려 두면, 기기마다 앱을 깔 필요 없이 네트워크 차원에서 트래픽을 그 VPN으로 내보낼 수 있다. 게다가 어떤 기기만 우회할지 고를 수 있다.
전체 우회 vs 선택 우회
VPN 제공자가 주는 OpenVPN/WireGuard 설정으로 pfSense에 클라이언트를 만들면, 그게 새 게이트웨이가 된다. 이제 두 갈래다. 모든 트래픽을 VPN으로 보낼 수도 있고, 정책 라우팅으로 특정 기기·서브넷만 VPN 게이트웨이로 보낼 수도 있다. 후자가 실전에서 훨씬 쓸모 있다 — 예를 들어 거실 TV만 VPN을 태우고 나머지는 평소대로.
| 방식 | 설정 | 용도 |
|---|---|---|
| 전체 우회 | 기본 게이트웨이를 VPN으로 | 모든 트래픽 보호 |
| 선택 우회 | 방화벽 규칙에서 Gateway 지정 | 특정 기기만 우회 |
정책 라우팅 — 특정 기기만 우회하는 법
선택 우회의 핵심은 정책 라우팅이다. VPN 클라이언트를 만들면 새 게이트웨이가 하나 생긴다. 방화벽 규칙의 Advanced > Gateway에서 이 VPN 게이트웨이를 지정하면, 그 규칙에 맞는 트래픽만 VPN으로 나간다. 예를 들어 ‘출발지=거실 TV IP, 게이트웨이=VPN’ 규칙을 만들면 TV만 우회하고, 나머지 기기는 평소대로 ISP로 나간다. 기기마다 앱을 깔지 않고 네트워크 한 곳에서 우회 대상을 고르는 것이다.
가장 중요한 함정 — 킬 스위치
VPN 터널이 끊기면 어떻게 될까? 기본 동작은 pfSense가 그 트래픽을 원래 ISP 게이트웨이로 흘려보내는 것이다. 우회하려던 트래픽이 민낯으로 새어 나간다 — 프라이버시가 목적이라면 치명적이다. 이걸 막는 게 킬 스위치다. System > Advanced > Miscellaneous의 Skip rules when gateway is down을 켜면, VPN 게이트웨이가 죽었을 때 정책 라우팅 규칙이 ISP로 ‘떠내려가지’ 않고 아예 제거된다. 뒤에 허용 규칙을 두지 않으면 그 트래픽은 그냥 막힌다. 즉 ‘VPN 죽으면 통신 중단’이 완성된다.
DNS 누수도 같이 막아야 한다
트래픽은 VPN으로 나가는데 DNS 질의만 ISP DNS로 새면(=DNS 누수) 어디에 접속하는지가 ISP에 그대로 보인다. 우회 기기의 DNS도 VPN이 주는 DNS나 프라이버시 DNS로 향하게 하고, dnsleaktest 같은 사이트로 실제로 새지 않는지 확인하자. 우회를 켰다고 끝이 아니라, ‘진짜 다 우회되는지’를 눈으로 검증하는 습관이 필요하다.
WireGuard가 편하고, 속도는 감수한다
설정 순서를 WireGuard 기준으로 구체화하면: ① 제공자 대시보드에서 설정 파일(개인키·피어 공개키·Endpoint 주소)을 받는다 → ② VPN > WireGuard에서 터널을 만들고 그 값을 옮겨 적는다 → ③ Interfaces > Assignments로 터널을 인터페이스로 승격시키면 게이트웨이가 생긴다 → ④ Firewall > NAT > Outbound에 그 인터페이스용 NAT 규칙을 추가한다(하이브리드 모드). 이 ③·④를 빼먹는 게 ‘터널은 붙었는데 통신이 안 되는’ 단골 원인이다. 참고로 상용 VPN은 대개 OpenVPN과 WireGuard 설정을 모두 준다. pfSense에서도 WireGuard가 설정이 짧고 처리량이 잘 나온다는 평이 많다. 다만 VPN을 거치면 경로가 길어져 속도·지연은 다소 손해다 — 체감이 궁금하면 우회 기기에서 스피드테스트를 우회 전/후로 돌려 비교해 보라. 서버 위치(국내/해외)에 따라 차이가 극적으로 갈린다. 그래서 전체 우회보다, 정말 필요한 기기만 선택 우회하는 편이 체감상 실용적이다.
여기까지가 VPN 모듈이다. 다음 편부터는 pfSense를 진짜 보안 장비로 만드는 모듈 — 광고·악성 차단, 침입 탐지, 로그 분석으로 들어간다.
자주 묻는 질문 (FAQ)
상용 VPN을 pfSense에 물리면 뭐가 좋나요?
특정 기기·대역의 트래픽만 상용 VPN으로 내보낼 수 있습니다. 기기마다 앱을 깔 필요 없이 라우터 단에서 처리합니다.
전체 트래픽이 다 VPN으로 나가나요?
정책 기반 라우팅으로 원하는 출발지만 VPN 게이트웨이로 보낼 수 있습니다. 나머지는 일반 회선으로 나갑니다.
답글 남기기