[도서] 인프라보안 - 5장: 오픈소스 방화벽 pfSense 설치와 랩 네트워크 구성

LAN이랑 WAN이 뒤바뀌는 문제

pfSense를 VM 위에 설치하고 나서 처음 마주치는 함정이 바로 NIC 순서 문제다. VM 서버 생성할 때 분명히 00:0c:29:46:de:3c를 LAN으로, 00:0c:29:46:de:46를 WAN으로 설정했는데, 막상 pfSense가 올라오면 두 인터페이스가 서로 뒤바뀌어 있는 경우가 생긴다.

책에서 이 상황을 해결하는 방법으로 알려주는 게 콘솔에서 ifconfig | more를 직접 찍어보는 거다. pfSense 메인 메뉴 8번 Shell로 들어가서 명령어를 치면 em0과 em1 각각의 MAC 주소가 나오는데, 거기서 실제로 어느 쪽이 LAN이고 WAN인지 눈으로 확인할 수 있다. 그러고 나서 1번 [Assign Interfaces] 메뉴로 돌아가 직접 매핑을 다시 잡아줘야 한다.

사실 이런 증상은 대부분 em0이 WAN으로 잡혀 있어서 LAN 대역 IP 주소를 아예 못 받는 형태로 나타난다. VLAN 설정 여부를 묻는 단계에서 'n'을 입력하고, WAN 인터페이스로 em1을, LAN으로 em0을 지정한 뒤 설정을 끝내면 메인 메뉴에서 정상적으로 WAN/LAN이 구분되어 보인다. 그 다음 LAN IP를 192.168.2.1/24로 맞추고 DHCP 범위를 192.168.2.2~254 정도로 잡으면 기본 방화벽 설치는 마무리된다.

pfSense 웹 콘솔 접속, 내부 VM에서 해야 하는 이유

이 부분이 처음에 좀 헷갈렸는데, pfSense 설정 페이지에 접속하려면 방화벽 안쪽, 즉 LAN 네트워크에 올라가 있는 VM에서 브라우저를 열어야 한다. vSphere를 제어하는 인터페이스는 pfSense 바깥에 있기 때문에, 거기서는 아예 접근이 안 된다.

그래서 책에서는 ESXi 위에 Xubuntu 같은 리눅스 데스크톱을 하나 더 올려서, 그 VM의 네트워크 어댑터를 LAN으로 연결한 뒤 브라우저에서 http://192.168.2.1로 접속하는 방식을 쓴다. 로그인은 admin/pfsense로 들어가면 되고, 초기 마법사에서 Primary DNS를 8.8.8.8로 설정하고 타임존을 Asia/Seoul로 바꾼 뒤 관리자 비밀번호를 변경하면 기본 세팅이 끝난다.

그리고 VMware 안에서 설치하는 경우 특별히 신경 써야 할 게 있는데, WAN 인터페이스 설정에서 [Block private networks and loopback addresses]와 [Block bogon networks] 체크박스를 꺼야 한다. 아웃사이드 인터페이스가 사설 IP인 가상 환경 특성상 이걸 켜두면 사설 IP 간 통신이 막혀버린다.

VLAN으로 네트워크 구간을 나누는 방식

6장 내용이기도 한데, 5장에서 pfSense 설치를 끝낸 직후 자연스럽게 이어지는 주제라 같이 정리해두는 게 낫겠다 싶었다. 기본적으로 하나의 스위치에 연결된 장비는 전부 같은 브로드캐스트 도메인에 있다. VLAN은 이걸 논리적으로 쪼개서 스위치 한 대로 여러 개의 분리된 네트워크처럼 동작하게 만드는 기술이다.

책에서는 쇼핑몰을 서비스한다는 가정 아래 네 개의 VLAN을 구성한다. VLAN 10은 외부에 공개되는 웹 서버, VLAN 20은 사무실 PC들이 쓰는 오피스 영역, VLAN 30은 외부 연결 없이 내부에서만 접근하는 내부 웹 서버, VLAN 40은 DB 서버가 올라가는 영역이다. 각 VLAN 간 통신은 반드시 라우터나 방화벽을 거치기 때문에, pfSense에서 방화벽 규칙을 통해 접근을 세밀하게 제어할 수 있다.

pfSense에서 VLAN을 만드는 과정은 [Interfaces] → [Assignments] → [VLANs] 탭에서 시작한다. VLAN tag 10을 em0에 붙이고 저장하면 OPT1이라는 이름의 인터페이스가 생기는데, 이걸 클릭해서 Enable하고 IP를 10.10.1.1/24로 지정하면 된다. 그다음 Firewall Rules에서 해당 VLAN 탭에 허용 룰을 추가하고, DHCP 서버 설정에서 할당 범위까지 잡아주면 VLAN 하나가 완성된다. 나머지 VLAN도 같은 과정을 반복하면 된다.

근데 여기서 하나 더 해줘야 하는 게 vSphere 쪽 스위치 태깅이다. pfSense에서 VLAN ID를 10으로 지정했어도, ESXi의 가상 스위치(vSwitch)에서 해당 포트 그룹에 같은 VLAN ID를 매핑해줘야 실제로 VM이 그 VLAN에 속하게 된다. LAN 포트 그룹의 VLAN ID를 '모두(4095)'로 설정하면 모든 VLAN 트래픽을 통과시키는 trunk처럼 동작한다. 물리 환경이라면 스위치 콘솔에서 직접 태깅해야 할 작업을 vSphere GUI에서 처리할 수 있다는 점이 랩 환경의 이점이다.