[pfSense] 26. 다중WAN : pfSense 인터넷 회선 이중화와 페일오버 구성

(pfSense 홈랩 방화벽 ㉖)

재택근무를 하다 보면 인터넷이 한 번 끊길 때의 아찔함을 안다. 회선을 둘 물려 두면, 주 회선이 죽어도 pfSense가 자동으로 보조 회선으로 넘겨 준다. 이게 다중 WAN이고, 라우팅 편에서 본 게이트웨이 모니터링이 여기서 진가를 발휘한다.

페일오버 vs 로드밸런싱

방식	동작	용도
페일오버	평소 주 회선만, 죽으면 보조로 전환	안정성 우선
로드밸런싱	두 회선에 트래픽을 분산	총 대역 활용

둘의 기반은 같다. WAN을 두 개 만들고, 각 게이트웨이가 '살아 있는지'를 pfSense가 계속 감시한다(핑 손실·지연 기준). 그 게이트웨이들을 게이트웨이 그룹으로 묶는데, 우선순위(Tier)를 같게 주면 로드밸런싱, 다르게 주면 페일오버가 된다. Tier 1(주)이 죽으면 Tier 2(보조)로 자동 이동하는 식이다.

적용

게이트웨이 그룹을 만든 뒤, 정책 라우팅과 똑같은 방식으로 LAN 규칙의 Gateway를 그 그룹으로 지정한다. 그러면 내부 트래픽이 그룹의 정책에 따라 흐른다. DNS 함정은 아래 콜아웃에서 따로 짚는다.

직접 해보기 (랩)

• 두 번째 WAN 인터페이스를 추가한다(랩에선 가상 WAN을 하나 더).
• 두 게이트웨이를 페일오버 그룹(Tier 1/2)으로 묶는다.
• LAN 규칙 Gateway를 그 그룹으로 지정하고, 주 회선을 내렸을 때 통신이 유지되는지 확인한다.

✅ 확인 — 주 WAN을 끊었을 때 보조 WAN으로 넘어가 인터넷이 유지되면 페일오버 성공이다. 게이트웨이 모니터링이 왜 다중 WAN의 심장인지 설명해 보자.

‘인터넷 두 개면 두 배 속도’라는 오해

회선 둘을 묶어도 파일 하나가 두 배로 빨라지진 않는다. 로드밸런싱은 ‘연결 단위‘로 분산한다 — 여러 접속이 두 회선에 나뉘어 전체 처리량은 늘지만, 다운로드 하나(단일 연결)는 한 회선 속도가 최대다. 속도를 합치는 게 아니라 ‘동시에 여럿’을 더 잘 처리하는 것이라고 이해하면 정확하다.

게이트웨이 감시를 제대로 맞춰야 헛 전환이 없다

페일오버의 품질은 게이트웨이 모니터링에 달렸다. pfSense는 감시용 IP로 계속 핑을 보내, 손실·지연이 임계치를 넘으면 ‘죽었다’고 판단한다. 감시 IP는 기본이 게이트웨이인데, 회선 상태를 정확히 보려면 8.8.8.8처럼 안정된 외부 IP로 바꾸는 게 좋다. 임계가 너무 민감하면 멀쩡한 회선을 오판해 자꾸 전환되고, 너무 둔하면 끊겨도 늦게 넘어간다. 가늠자로 — 안정된 유선 홈 회선이면 손실 10~20%, 지연 200~400ms, 감시 간격 500ms 안팎(기본값 근처)에서 시작해, 로그에 헛 전환이 찍히면 임계를 넓히는 식으로 맞춘다. LTE 백업처럼 원래 출렁이는 회선은 임계를 훨씬 관대하게 줘야 한다.

전환 순간엔 기존 연결이 끊긴다 (함정)

주 회선이 죽어 보조로 넘어가는 순간, 기존 연결(state)들은 대개 끊긴다 — 공인 IP가 바뀌니 그 세션은 유지될 수 없다. 그래서 페일오버는 ‘끊김 없는 마법’이 아니라 ‘몇 초 끊긴 뒤 자동 복구‘에 가깝다. 화상회의는 잠깐 멈췄다 다시 붙고, 웹은 새로고침하면 된다. 전환에 걸리는 시간은 감시 간격·손실 임계 설정에 달렸는데 대개 수 초에서 수십 초다 — 정확한 체감은 랩에서 주 회선을 뽑고 ping -t를 걸어두면 몇 개가 빠지는지로 직접 잴 수 있다. 이 정도면 회선 하나가 완전히 죽어 아무것도 안 되는 것보다 비교할 수 없이 낫다. 다음이자 마지막 편은 이 공들인 설정을 지키는 백업·복구다.

자주 묻는 질문 (FAQ)

회선 두 개로 뭘 할 수 있나요?

한 회선이 끊기면 자동으로 다른 회선으로 넘기는 페일오버, 또는 두 회선을 함께 쓰는 로드밸런싱이 가능합니다.

인터넷이 두 개면 속도가 두 배가 되나요?

단일 다운로드는 한 회선 속도지만, 여러 연결을 분산하면 전체 처리량이 늘어납니다. 페일오버는 속도가 아니라 안정성이 목적입니다.