[Network] 포트 포워딩(Port Forwarding)

About this offer

집에서 직접 개발한 웹 서버를 친구에게 보여주려 하거나, 로컬에서 구동한 게임 서버, SSH 원격 접속, 홈 NAS 등을 외부에 개방할 때 항상 마주치는 필수 관문이 바로 포트 포워딩(Port Forwarding) 이다. 공유기(사설망) 환경에서 왜 외부 접속이 곧바로 불가능한지, 포트 포워딩이 어떤 원리로 외부 요청을 내 컴퓨터로 정확히 배달해 주는지 정리한다. 1. 문제 상황: "분명 서버를 켰는데, 밖에서 왜 접속이 안 될까?" 내 방 컴퓨터에서 포트 8080 으로 웹 서버를 실행한 뒤, 같은 집 와이파이를 쓰는 노트북이나 스마트폰에서 192.168.0.5:8080 으로 접속하면 페이지가 잘 열린다. 하지만 회사나 카페, 혹은 친구 집 컴퓨터에서 내 주소로 접속을 시도하면 "사이트에 연결할 수 없음(Connection Timed Out)" 오류가 발생한다. 왜 바로 접속할 수 없을까? 이유는 내 컴퓨터가 공유기 뒤편의 '사설 IP(Private IP)'망 에 숨어 있기 때문이다. 사설 IP는 인터넷에서 길을 찾을 수 없다 내 컴퓨터의 IP( 192.168.0.5 )는 전 세계 수많은 가정과 사무실에서도 똑같이 사용 중인 내부 식별 번호다. 공인 인터넷망(백본 라우터)은 사설 IP 목적지 패킷을 받는 즉시 폐기(Drop)하도록 규정되어 있다. 공유기의 공인 IP로 접속해도 공유기는 누구 것인지 모른다 친구가 우리 집 공유기의 공인 IP( 203.0.113.50 ) 를 알아내어 접속 요청을 보냈다고 가정하자. 공유기 아래에는 내 데스크톱( 192.168.0.5 ), 거실 TV( 192.168.0.2 ), 스마트폰( 192.168.0.3 ) 등 여러 기기가 물려 있다. 외부에서 불쑥 먼저 들어온 접속 요청(Inbound)에 대해 공유기는 "이 8080번 데이터가 데스크톱 것인지, 스마트폰 것인지" 판단할 근거가 전혀 없다. 결국 공유기는 보안과 오류 방지를 위해 패킷을 버린다. [외부 접속자(친구)] [공유기 (공인 IP: 203.0.113.50)] [내부 사설망 기기들] | | | --- "접속 요청합니다!" (Port 8080) ---> | | | -- ? (누구에게 줘야 할지 모름) | | -- 데스크톱(192.168.0.5)? | | -- 스마트폰(192.168.0.2)? | | => 패킷 폐기 (접속 실패) 2. 포트 포워딩(Port Forwarding)이란? 포트 포워딩은 공유기에게 "외부에서 공유기의 특정 문(Port)으로 패킷이 들어오면, 내부에 있는 특정 사설 IP의 컴퓨터로 곧장 넘겨줘라" 하고 정적인 이정표(규칙)를 미리 지정해 두는 기술이다. 포트(Port) : 컴퓨터 안에서 동작하는 수많은 프로그램(웹 서버, 게임, 메신저 등) 중 어느 서비스로 갈지 지정하는 '방 번호' 포워딩(Forwarding) : 패킷을 가로채서 다른 곳으로 '전달(전송)' 쉽게 비유하자면, 회사 대표 번호(공인 IP)로 전화를 걸었을 때 교환원에게 "내선 번호 8080번(외부 포트)을 누르면 기획팀 홍길동의 자리(내부 사설 IP:포트)로 즉시 연결해 주세요"라고 시스템을 세팅해 두는 것과 같다. 3. 포트 포워딩의 동작 원리 포트 포워딩 규칙을 등록한 뒤 실제 외부 사용자의 접속 요청이 처리되는 단계별 과정이다. 3.1 공유기 관리자 설정 예시 외부 포트(External Port) : 8080 (외부 접속자가 입력할 포트) 내부 IP(Internal IP) : 192.168.0.5 (내 방 컴퓨터의 사설 IP) 내부 포트(Internal Port) : 8080 (내 방 컴퓨터에서 실제 실행 중인 프로그램의 포트) 프로토콜 : TCP 3.2 패킷 이동 흐름 [외부 접속자] [공유기 (포트 포워딩 규칙 적용)] [내 컴퓨터 (192.168.0.5)] | | | | -- 1. 203.0.113.50:8080 접속 ------> | | | | (규칙 확인: 8080번은 192.168.0.5로!) | | | -- 2. 목적지를 192.168.0.5로 변환 -> | | | (DNAT: 목적지 주소 변경) | | | | | <-- 4. 응답 전송 ------------------- | <-- 3. 응답 데이터 회신 ----------- | 외부 요청 : 친구가 브라우저에 203.0.113.50:8080 을 입력하고 엔터를 누른다. 규칙 대조 및 변환 : 공유기가 요청 패킷을 수신하고 포트 번호( 8080 )를 확인한다. 사전에 정의된 포트 포워딩 규칙을 찾아 목적지 IP를 공유기 공인 IP에서 192.168.0.5:8080 으로 바꿔치기(DNAT: Destination NAT) 한다. 내부 전달 : 변환된 패킷이 로컬 스위치를 거쳐 내 컴퓨터의 웹 서버 프로세스에 정상 도달한다. 응답 회신 : 내 컴퓨터가 웹페이지 데이터를 응답하면, 공유기는 다시 출발지 주소를 자신의 공인 IP로 변경하여 친구에게 전송한다. 4. 포트 포워딩 설정 시 필수 체크리스트 3가지 공유기 설정 페이지(보통 192.168.0.1 등)에서 포트 포워딩을 설정했음에도 여전히 접속되지 않는다면 다음 3가지를 반드시 확인해야 한다. 1) 내 컴퓨터의 사설 IP를 '고정'했는가? 기본적으로 공유기는 DHCP를 통해 기기들에게 사설 IP를 유동적으로 대여해 준다. 컴퓨터를 껐다 켜거나 공유기가 재부팅되면 내 컴퓨터의 IP가 192.168.0.5 에서 192.168.0.8 로 바뀔 수 있다. IP가 바뀌면 포트 포워딩 규칙(구 IP를 가리킴)이 어긋나므로, 공유기의 [DHCP 고정 IP 할당] 메뉴에서 내 컴퓨터의 MAC 주소와 사설 IP를 묶어두어야 한다. 2) 내 컴퓨터의 로컬 방화벽(Windows Defender 등)이 열려 있는가? 공유기가 패킷을 내 컴퓨터 앞까지 무사히 배달해 주어도, Windows 방화벽이 해당 포트의 외부 인바운드 접속을 차단하면 통신이 되지 않는다. Windows Defender 고급 보안 방화벽의 [인바운드 규칙] 에서 내가 사용하는 포트(예: TCP 8080)를 허용해 주어야 한다. 3) 통신사 공유기가 2중으로 물려 있지 않은가? (이중 NAT / Double NAT) 원룸이나 아파트 환경에서는 통신사 모뎀 겸 공유기(1차) 아래에 본인의 공유기(2차)를 추가로 연결해 쓰는 경우가 흔하다. 이 경우 최상단 통신사 공유기에서도 2차 공유기로 포트 포워딩을 해주거나, 2차 공유기를 브리지 모드(AP 모드) 로 전환해야 정상 통신이 가능하다. 5. 핵심 요약 구분 일반적인 웹서핑 (NAT) 포트 포워딩 (Port Forwarding) 통신 시작점 내부 기기 $\rightarrow$ 외부 인터넷 외부 사용자 $\rightarrow$ 내부 기기 변환 방식 출발지 주소를 공인 IP로 변환 (SNAT) 목적지 주소를 특정 내부 사설 IP로 변환 (DNAT) 테이블 성격 요청 시 동적으로 생성되었다가 통신 종료 시 소멸 관리자가 수동으로 입력해 둔 영구적인 정적 규칙 주 사용처 브라우저 서핑, 유튜브 시청, 파일 다운로드 웹 서버 호스팅, SSH 원격 접속, 게임 서버 오픈 사설 IP는 외부 인터넷에서 직접 찾을 수 없으므로, 외부 접속자는 공유기의 공인 IP 로 접근해야 한다. 공유기는 외부에서 먼저 들어온 요청을 어느 내부 컴퓨터로 줘야 할지 모르기 때문에 포트 포워딩 규칙(정적 매핑) 이 필요하다. 포트 포워딩을 안전하게 운용하려면 내부 IP 고정 과 로컬 OS 방화벽 인바운드 허용 이 함께 이루어져야 한다.