[pfSense] 8. VLAN : pfSense로 IoT·게스트 네트워크 분리하는 법

* 이 게시물은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

(pfSense 홈랩 방화벽 ⑧)

집에 IoT 기기가 늘면서 마음이 불편했다. 정체 모를 스마트 플러그나 중국산 카메라가 내 PC·NAS와 같은 네트워크에 있다는 게 찜찜했다. 이걸 깔끔하게 푸는 게 VLAN이다. 물리 랜은 하나인데, 논리적으로 여러 개의 분리된 네트워크를 만든다.

Table of Contents

VLAN이 뭔가

VLAN은 네트워크 패킷에 '태그(802.1Q)'라는 번호표를 붙여 구분하는 기술이다. 태그 10번은 신뢰망, 20번은 IoT망, 이런 식이다. pfSense는 이 태그별로 서로 다른 서브넷·DHCP·방화벽 규칙을 적용한다. 제대로 쓰려면 태그를 이해하는 관리형 스위치가 있어야 하지만, 개념과 pfSense 설정은 랩에서 그대로 연습할 수 있다.

graph TD
  T[pfSense 트렁크 포트] --> V10[VLAN 10 · 신뢰망]
  T --> V20[VLAN 20 · IoT]
  T --> V30[VLAN 30 · 게스트]
  V10 --> PC[PC·NAS]
  V20 --> IOT[스마트기기]
  V30 --> G[방문자 와이파이]

pfSense에서 VLAN 만들기

Interfaces > VLANs에서 부모 인터페이스(LAN 쪽 랜카드)와 태그 번호로 VLAN을 만든다. 그다음 Assignments에서 각 VLAN을 인터페이스(OPT1, OPT2…)로 등록하고, 각각에 서브넷과 DHCP를 준다. VLAN 20(IoT)은 192.168.20.0/24, VLAN 30(게스트)은 192.168.30.0/24 같은 식이다.

access 포트 vs trunk 포트

스위치 용어 둘만 알면 된다. 이 구분을 모르면 ‘분명 만들었는데 왜 안 되지’에서 막힌다.

	access 포트	trunk 포트
담는 VLAN	하나 전용	여러 개(태그로 구분)
연결 대상	기기(IoT·PC)	pfSense↔스위치, 스위치↔스위치
기기가 태그를	몰라도 됨	태그로 실려감

격리 — VLAN만으론 안 막힌다

가장 중요한 오해다. VLAN을 나눴다고 자동으로 서로 못 가는 게 아니다. pfSense에서 방화벽 규칙으로 ‘IoT망 → 신뢰망 차단’을 명시해야 비로소 격리된다. 기본형은 ‘각 VLAN은 인터넷으로 나가는 것만 허용, VLAN 간 통신은 필요한 것만 콕 집어 열기’다. IoT는 인터넷만, 내부 접근은 전부 차단 — 이게 IoT를 분리한 애초의 목적을 완성한다.

‘인터넷만 열고 나머지는 막기’를 규칙 표로 옮기면 이 세 줄이다 — IoT 인터페이스 탭에 위에서부터 이 순서로 둔다.

#	동작	출발지	목적지	뜻
1	Block	IoT net	This Firewall	pfSense 관리 화면 보호
2	Block	IoT net	LAN net	내부망 차단
3	Pass	IoT net	any	나머지(인터넷)는 허용

규칙은 첫 매칭에서 끝나므로(10편) 순서가 곧 정책이다 — 3번이 맨 위에 있으면 1·2번은 영영 안 걸린다.

와이파이 기기는 어떻게 VLAN에 넣을까? 멀티 SSID를 지원하는 AP가 답이다 — SSID마다 VLAN 태그를 지정할 수 있어(예: ‘Home’=untagged, ‘IoT’=태그 20, ‘Guest’=태그 30), AP 하나로 전파 위에서도 망이 갈린다. AP와 스위치 사이 포트는 당연히 trunk여야 한다.

안 될 때 — 태그 흐름 점검

스위치가 802.1Q(관리형)를 지원하나.
trunk 포트에 그 VLAN이 허용(tagged)돼 있나.
access 포트의 VLAN 번호가 맞나.
pfSense VLAN 인터페이스에 DHCP를 켰나.
기기가 IP를 못 받으면 → 어딘가에서 태그가 안 통하는 것.

VLAN은 물리 랜 하나로 여러 망을 나누는 강력한 도구다. 태그의 흐름(pfSense→trunk→access)만 그림으로 잡으면 IoT·게스트·업무망을 깔끔히 갈라놓을 수 있다.

네트워크를 나눴으니, 이제 이들 사이의 길을 정하는 라우팅을 짚을 차례다. 다음 편에서 게이트웨이와 정적 경로를 다룬다.

자주 묻는 질문 (FAQ)

VLAN이 왜 필요한가요?

IoT·게스트·업무망을 논리적으로 분리해, 한 기기가 뚫려도 다른 망으로 못 넘어가게 합니다. 랜카드 하나로 여러 망을 만들 수 있습니다.

VLAN을 쓰려면 스위치도 바꿔야 하나요?

여러 VLAN을 여러 포트로 나누려면 VLAN 지원(managed) 스위치가 필요합니다. 단일 트렁크 링크까지는 pfSense만으로도 됩니다.