홈랩 네트워크 보안 강화: VLAN 기반 망 분리 체크리스트

안녕하세요, 13년차 서버실을 지키고 있는 인프라 엔지니어입니다. 요즘 홈랩 꾸미는 재미에 푹 빠져 계신 분들 많으시죠? 저도 그렇습니다! 그런데 홈랩이 커지면 커질수록 문득 ‘이대로 괜찮을까?’ 하는 불안감이 엄습할 때가 있더라고요. 특히 스마트 홈 기기들, 서버들, 그리고 개인 노트북과 스마트폰이 모두 같은 네트워크에 뒤섞여 있을 때 말이죠. 만약 IoT 기기 중 하나가 해킹당하면, 우리 집의 모든 소중한 데이터가 위험해질 수도 있겠다는 생각, 혹시 해보셨나요?

제가 처음 홈랩을 구성했을 때도 그랬습니다. 편리함에만 집중하다 보니 보안은 뒷전이었죠. 그러다 문득 ‘기업 네트워크처럼 내 홈랩도 좀 더 안전하게 만들 수는 없을까?’ 하는 생각이 들더라고요. 그래서 VLAN(Virtual Local Area Network) 기반의 망 분리(Network Segmentation)를 직접 구현해보면서 많은 삽질을 했습니다. 오늘은 그 경험을 바탕으로, 여러분의 홈랩 네트워크 보안을 한층 강화할 수 있는 VLAN 기반 망 분리 체크리스트를 공유해볼까 합니다. 저의 시행착오를 통해 여러분은 좀 더 빠르고 안전하게 홈랩을 구축하시길 바랍니다. 🎉

홈랩 네트워크의 전체적인 구성과 VLAN으로 분리된 논리적 망을 보여주는 다이어그램입니다.

VLAN과 망 분리, 왜 중요할까요?

우선, 핵심 개념부터 잡고 갈게요. VLAN(Virtual Local Area Network, 가상 근거리 통신망)은 물리적으로는 하나의 스위치에 연결되어 있지만, 논리적으로는 여러 개의 독립적인 네트워크로 분리하는 기술입니다. 쉽게 말해, 한 아파트 건물에 살면서도 각 세대가 별도의 현관문을 가지고 독립적으로 생활하는 것과 비슷하다고 생각하시면 됩니다. 서로 다른 세대끼리는 함부로 드나들 수 없죠? 💡

그리고 망 분리(Network Segmentation, 네트워크 세그멘테이션)는 이렇게 VLAN을 활용해서 전체 네트워크를 여러 개의 작은 논리적 네트워크로 나누는 작업을 의미합니다. 이게 왜 중요하냐면요:

• 보안 강화: 만약 IoT 기기 하나가 해킹당하더라도, 해당 VLAN 내에서만 피해가 확산되고 다른 중요한 네트워크(예: 개인 PC가 있는 신뢰 네트워크)로는 침투하기 어려워집니다. Lateral Movement(측면 이동) 공격을 방지하는 데 아주 효과적이죠.
• 성능 향상: 브로드캐스트 도메인을 분리하여 네트워크 트래픽 부담을 줄이고, 특정 네트워크의 트래픽이 다른 네트워크에 영향을 미치는 것을 최소화합니다.
• 관리 용이성: 네트워크 정책을 특정 VLAN에만 적용하거나, 문제 발생 시 해당 VLAN만 격리하여 트러블슈팅 시간을 단축할 수 있습니다.

특히 홈랩 네트워크 보안은 정말 중요하거든요. 외부 인터넷에 항상 노출되어 있고, 다양한 출처의 기기들을 연결하기 때문에 잠재적인 위협이 많거든요. 그래서 저는 망 분리를 ‘필수’라고 생각합니다.

실전 구현: VLAN 기반 망 분리 체크리스트

자, 이제 직접 홈랩에 VLAN을 적용해보는 실전 단계입니다. 준비물은 VLAN을 지원하는 매니지드 스위치(Managed Switch)와 VLAN 및 멀티 서브넷을 지원하는 라우터(예: pfSense, OpenWrt, MikroTik RouterOS 등)입니다. 저는 개인적으로 pfSense를 메인 라우터로 쓰고 있어서 이 환경에 맞게 설명드리겠지만, 개념은 대부분의 VLAN 지원 라우터에 적용 가능합니다.

✅ 1. 네트워크 설계 및 IP 주소 계획

가장 먼저 할 일은 어떤 네트워크 존을 만들지, 그리고 각 존에 어떤 VLAN ID와 IP 대역을 할당할지 계획하는 겁니다. 이건 마치 건축 설계를 하는 것과 같아요. 대충 시작하면 나중에 큰코다칩니다. 😅

• 관리 네트워크 (VLAN 1, 기본): 라우터, 스위치, NAS 등 핵심 인프라 장치 관리용. (예: 192.168.1.0/24)
• 신뢰 네트워크 (VLAN 10): 개인 PC, 스마트폰 등 주로 사용하는 기기. (예: 192.168.10.0/24)
• IoT 네트워크 (VLAN 20): 스마트 플러그, 카메라, 센서 등 IoT 기기. (예: 192.168.20.0/24)
• 게스트 네트워크 (VLAN 30): 방문객을 위한 임시 Wi-Fi. (예: 192.168.30.0/24)

이런 식으로 논리적인 구획을 나누는 게 첫걸음이에요. 각 VLAN ID는 1부터 4094까지 지정할 수 있는데, 보통 1은 기본 관리 VLAN으로 사용하니 다른 번호부터 시작하는 것이 좋습니다.

✅ 2. 라우터 설정: 서브 인터페이스 및 DHCP 서버 구성

라우터에서 각 VLAN에 대한 서브 인터페이스(Sub-interface)를 생성하고, 해당 VLAN에 맞는 IP 주소와 DHCP 서버를 설정해야 합니다. 라우터가 각 VLAN의 게이트웨이 역할을 하게 되는 거죠.

1. 라우터 관리 페이지에 접속합니다.
2. ‘인터페이스(Interfaces)’ 또는 ‘VLAN 설정’ 메뉴로 이동합니다.
3. 물리적 이더넷 포트(예: LAN 포트)에 대해 각 VLAN ID(예: 10, 20, 30)를 가진 서브 인터페이스를 생성합니다.
4. 각 서브 인터페이스에 계획했던 IP 주소(예: 192.168.10.1, 192.168.20.1)를 할당합니다.
5. 각 VLAN 인터페이스에 대한 DHCP 서버를 활성화하고, 해당 대역에서 IP 주소를 할당하도록 설정합니다.

이 과정이 조금 복잡하게 느껴질 수도 있지만, 대부분의 홈랩용 라우터는 GUI로 쉽게 설정할 수 있게 되어 있습니다. 중요한 건 각 VLAN에 맞는 IP 대역과 게이트웨이를 정확히 설정하는 것입니다.

✅ 3. 스위치 설정: VLAN 생성 및 포트 할당

이제 매니지드 스위치 차례입니다. 스위치에 접속해서 VLAN을 생성하고, 각 포트를 적절한 VLAN에 할당해야 합니다. 여기가 가장 핵심적인 부분 중 하나입니다.

# 스위치에 로그인 후 전역 설정 모드로 진입 (장치에 따라 명령어 상이)
configure terminal

# VLAN 10 생성 및 이름 지정 (신뢰 네트워크용)
vlan 10
 name TRUSTED_NETWORK
 exit

# VLAN 20 생성 및 이름 지정 (IoT 네트워크용)
vlan 20
 name IOT_NETWORK
 exit

# VLAN 30 생성 및 이름 지정 (게스트 네트워크용)
vlan 30
 name GUEST_NETWORK
 exit

# 포트 1번을 VLAN 10 (신뢰)의 Access 포트로 설정
# 여기에 개인 PC, Wi-Fi AP 등을 연결합니다.
interface GigabitEthernet0/1
 switchport mode access
 switchport access vlan 10
 exit

# 포트 5번을 VLAN 20 (IoT)의 Access 포트로 설정
# 여기에 IoT 기기들을 연결합니다.
interface GigabitEthernet0/5
 switchport mode access
 switchport access vlan 20
 exit

# 포트 10번을 VLAN 30 (게스트)의 Access 포트로 설정
# 게스트용 Wi-Fi AP 등을 여기에 연결할 수 있습니다.
interface GigabitEthernet0/10
 switchport mode access
 switchport access vlan 30
 exit

# 라우터와 연결될 포트 (예: 24번 포트)를 Trunk 모드로 설정
# 모든 VLAN 트래픽이 이 포트를 통해 라우터로 전달됩니다.
interface GigabitEthernet0/24
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
 # 혹은 모든 VLAN 허용: switchport trunk allowed vlan all
 exit

# 설정 저장 (장치에 따라 명령어 상이: copy running-config startup-config, write memory 등)
write memory
end

여기서 중요한 건 Access Port(액세스 포트)와 Trunk Port(트렁크 포트)의 개념입니다. Access Port는 특정 하나의 VLAN에만 속하는 포트로, 일반적인 종단 장치(PC, IoT 기기 등)를 연결할 때 사용합니다. 반면 Trunk Port는 여러 VLAN의 트래픽을 동시에 전달할 수 있는 포트로, 주로 라우터나 다른 스위치와 연결할 때 사용합니다. 라우터와 연결되는 포트는 반드시 Trunk 모드로 설정해야 합니다. ⚠️

매니지드 스위치에서 각 VLAN을 생성하고 포트를 할당하는 설정 화면입니다.

✅ 4. 방화벽 규칙 설정: VLAN 간 통신 정책 정의

마지막이자 가장 중요한 단계입니다. 라우터의 방화벽에서 각 VLAN 간의 통신 정책을 정의해야 합니다. VLAN으로 망 분리를 해놨다고 해서 끝이 아닙니다. 필요한 통신은 허용하고, 불필요한 통신은 엄격히 차단해야 진정한 보안 강화가 이루어집니다.

기본적으로 라우터는 다른 서브넷 간의 통신을 허용하지만, VLAN을 분리한 목적이 보안 강화이므로 명시적으로 차단 규칙을 먼저 적용하고, 필요한 것만 허용하는 ‘Deny All, Allow Exception (기본 차단, 예외 허용)’ 정책을 사용하는 것이 좋습니다.

예를 들어:

• IoT 네트워크 ➡️ 신뢰 네트워크: 🚫 차단 (가장 중요!)
• 신뢰 네트워크 ➡️ IoT 네트워크: ✅ 허용 (스마트폰으로 IoT 기기 제어 등)
• 게스트 네트워크 ➡️ 모든 내부 네트워크: 🚫 차단 (오직 인터넷만 허용)
• 모든 내부 네트워크 ➡️ 관리 네트워크: 🚫 차단, 단 관리 PC ➡️ 관리 네트워크는 ✅ 허용

이 규칙들을 라우터의 방화벽 설정(예: pfSense의 Firewall Rules, OpenWrt의 Firewall Zones)에서 적용하면 됩니다. 처음엔 이 방화벽 규칙 때문에 삽질을 많이 했었는데, ‘어떤 트래픽이 어떤 방향으로 가야 하는가’를 명확히 정의하는 것이 핵심이더라고요. 하나씩 꼼꼼히 따져봐야 합니다.

⚠️ 주의사항 및 트러블슈팅 팁

제가 직접 겪었던 문제들과 해결 팁을 공유해드릴게요. 아마 여러분도 비슷한 상황을 겪을 수 있을 겁니다.

1. IP 주소를 못 받아와요! (DHCP 문제)
   라우터에서 해당 VLAN 인터페이스에 대한 DHCP 서버가 제대로 활성화되어 있는지, IP 풀(Pool) 범위는 올바른지 확인하세요. 스위치의 포트가 Access 모드로 잘 설정되어 있는지, VLAN ID가 정확한지 다시 한번 체크해봐야 합니다.
2. 특정 VLAN끼리 통신이 안 돼요! (방화벽 문제)
   가장 흔한 문제입니다. 라우터의 방화벽 규칙을 다시 확인하세요. 기본적으로 VLAN 간 통신은 차단될 수 있으니, 필요한 통신은 명시적으로 ‘허용(Allow)’ 규칙을 추가해야 합니다. 로그를 확인하면 어떤 트래픽이 차단되는지 알 수 있습니다.
3. VLAN 태그가 안 먹어요! (Trunk/Access 포트 설정 오류)
   라우터와 스위치를 연결하는 포트가 Trunk 모드로 설정되었는지, 그리고 허용된 VLAN 목록이 정확한지 확인해야 합니다. 일반 장치를 연결하는 포트는 Access 모드여야 하고, 할당된 VLAN ID가 정확한지 보세요. 태그가 없는(Untagged) 트래픽과 태그가 있는(Tagged) 트래픽의 개념을 이해하는 게 중요합니다.

✅ 검증: 제대로 작동하는지 확인하기

모든 설정을 마쳤다면, 이제 제대로 작동하는지 확인해야겠죠? 저는 주로 다음 방법들을 사용합니다.

# 1. 클라이언트 장치에서 IP 주소 확인
# VLAN이 잘 적용되었다면, 해당 VLAN에 맞는 IP 대역을 받을 겁니다.
# 예: IoT 기기는 192.168.20.x 대역을 받아야 합니다.
ip addr show

# 예시 출력 (enp0s31f6.20은 VLAN 20 인터페이스)
# ...
# 3: enp0s31f6.20@enp0s31f6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
#     link/ether aa:bb:cc:dd:ee:ff brd ff:ff:ff:ff:ff:ff
#     inet 192.168.20.50/24 brd 192.168.20.255 scope global dynamic enp0s31f6.20
#        valid_lft 3599sec preferred_lft 3599sec
# ...

# 2. 다른 VLAN 대역의 장치로 Ping 테스트
# 차단되어야 하는 네트워크로는 ping이 가지 않아야 합니다.
# 예: IoT 네트워크에서 신뢰 네트워크 장치(192.168.10.10)로 Ping 시도 시 실패 예상
ping 192.168.10.10

# 예: IoT 네트워크에서 IoT 게이트웨이(192.168.20.1)로 Ping 시도 시 성공 예상
ping 192.168.20.1

# 3. 라우터의 방화벽 로그 확인
# 라우터 관리 페이지에서 방화벽 로그를 확인하여 차단된 트래픽이 올바른지 검증합니다.
# 예상치 못한 차단이나, 허용되어야 할 트래픽이 차단되는 경우 규칙을 조정해야 합니다.

이런 테스트를 통해 각 VLAN이 의도한 대로 분리되었고, 방화벽 규칙도 제대로 작동하는지 확인할 수 있습니다. 저는 이 과정을 여러 번 반복하면서 ‘드디어 됐다!’ 하고 외쳤던 기억이 나네요. 🎉

VLAN별 트래픽 흐름이나 방화벽 차단 로그를 보여주는 모니터링 대시보드 예시입니다.

마무리하며: 홈랩 네트워크 보안은 선택이 아닌 필수!

지금까지 홈랩 네트워크 보안을 강화하기 위한 VLAN 기반 망 분리 체크리스트를 자세히 살펴봤습니다. 13년차 인프라 엔지니어로서 제가 수많은 삽질 끝에 얻은 결론은, ‘홈랩 네트워크 보안은 이제 선택이 아닌 필수’라는 겁니다. 특히 IoT 기기들이 늘어나면서 보안 위협도 기하급수적으로 증가하고 있거든요.

어떤 홈랩 환경이든, 최소한 ‘신뢰 네트워크’와 ‘IoT/게스트 네트워크’는 반드시 분리하는 것을 강력히 권장합니다. 저처럼 처음부터 완벽하게 모든 것을 나누기 어렵다면, 가장 취약하다고 생각되는 부분부터 점진적으로 분리해나가는 것도 좋은 방법입니다. VLAN 설정은 한 번 해두면 두고두고 든든한 방어막이 되어줄 겁니다.

VLAN 기반 망 분리의 주요 이점과 핵심 설정 단계를 한눈에 볼 수 있는 요약 정보입니다.

다음번에는 이렇게 분리된 네트워크에 침입 탐지 시스템(IDS/IPS)을 어떻게 적용해서 보안을 한층 더 고도화할 수 있는지, 제가 직접 구축한 경험을 바탕으로 이야기해보는 시간을 가져볼까 합니다. 궁금하시다면 다음 글도 기대해주세요! 그럼 오늘도 안전하고 즐거운 홈랩 생활 되시길 바랍니다. 😊