NAS 미니랩 4/4 · 밖에서 내 NAS 접속하기 — 포트포워딩과 DDNS

카페에서 집 NAS의 사진이 급히 필요합니다. 집에서 잘 쓰던 주소 192.168.0.10을 치면… 아무것도 나오지 않습니다. 고장이 아니라 원리입니다.

아파트에 비유하면 이렇습니다. 인터넷이라는 도시에서 우리 집의 진짜 주소는 공유기가 가진 공인 IP 하나뿐입니다. 집 안의 NAS·PC·폰이 나눠 쓰는 192.168.x.x는 "안방", "작은방" 같은 호칭이라, 옆 동네에서 "안방으로 보내주세요"라고 하면 어디의 안방인지 알 수 없습니다.

공인 IP로 보내도 막히는 이유

주소를 공인 IP로 바꾸면 요청은 집 공유기까지 도착합니다. 그런데 공유기가 버립니다 — "5001 포트로 온 이 요청, 안쪽의 누구에게 주라는 거지?"

라우팅 랩에서 본 NAT의 성질입니다. 공유기는 안에서 나간 연결의 응답만 기억해서 들여보내고, 밖에서 먼저 들어오는 연결은 기본적으로 차단합니다. 평소에는 이 성질이 집 안 기기를 지켜 주는 방패인데, 지금은 내 요청까지 막는 벽이 됩니다.

먼저 고를 방법: VPN 또는 제조사 릴레이

NAS 관리 화면이나 파일 공유 포트를 인터넷에 직접 노출하는 것은 공격 표면을 늘립니다. 실제 사용 목적이라면 먼저 VPN이나 제조사가 보안 업데이트와 인증을 지원하는 릴레이 방식을 검토하는 편이 안전합니다. 이 방식은 공개 포트를 최소화하고, 접속 전에 별도의 인증 경계를 하나 더 둘 수 있습니다.

아래 포트포워딩과 DDNS는 NAT를 통과하는 원리를 설명하기 위한 데모의 경로입니다. 직접 노출이 꼭 필요하다면 NAS 제조사의 보안 지침을 확인하고, 관리 포트와 파일 공유 포트를 그대로 공개하지 말아야 합니다.

직접 길을 낼 때의 두 요소

데모처럼 직접 연결하는 구성에는 두 요소가 필요합니다.

포트포워딩 = 길 — 공유기에 "밖에서 5001 포트로 오면 192.168.0.10(NAS)의 5001로 전달하라"는 규칙을 등록합니다. 벽에 문을 하나만, 정확히 냅니다.
DDNS = 이름 — 집 공인 IP는 통신사 사정으로 바뀝니다. NAS가 "지금 우리 집 IP는 이거"라고 주기적으로 신고하면, mynas.ddns.net 같은 이름이 항상 최신 IP를 가리킵니다. IP 숫자를 외울 필요가 없어집니다.

두 가지가 갖춰지면 흐름은 한 줄입니다: HTTPS 이름(DDNS) → 공인 IP → 포워딩 규칙 → NAS. 데모의 성공 요청도 https://mynas.ddns.net:5001로 표시하며, 실제 구성에서는 인증서의 이름이 DDNS 주소와 일치해야 합니다. 다음 날 IP가 바뀌어도 이름은 그대로 통합니다.

문을 열었다면 노출 범위를 줄입니다

포트를 열었다는 건 인터넷 전체에 그 문이 보인다는 뜻이기도 합니다. HTTPS, 강한 비밀번호와 2단계 인증, 최신 펌웨어는 기본이고, 필요한 출발지와 포트만 허용합니다. 기본 관리자 계정은 비활성화하고 로그인 알림과 차단 기록도 확인합니다. 3편 백업 3-2-1에서 본 것처럼 외부 접속과 복구 가능한 백업은 한 세트로 생각해야 합니다.

포워딩을 했는데도 안 될 때

설정을 더 열기 전에 어디까지 도착하는지 순서대로 확인합니다.

집 안에서 NAS의 사설 IP와 서비스 포트가 실제로 열리는지 확인합니다.
공유기의 인터넷 주소와 외부 IP 확인 사이트의 주소가 같은지 봅니다.
둘이 다르면 통신사 장비의 CGNAT나 이중 NAT일 수 있어 내 공유기 규칙만으로는 외부 연결이 도착하지 않습니다.
주소가 같다면 포워딩 대상 IP가 NAS의 현재 고정 주소와 같은지 확인합니다.
휴대폰을 와이파이에서 셀룰러로 바꿔 진짜 외부망에서 시험합니다.

CGNAT 환경에서 해결하려고 관리 포트를 여러 개 열어보는 것은 도움이 되지 않습니다. 통신사에 공인 주소 제공 여부를 확인하거나, 바깥 서버로 먼저 연결하는 VPN·릴레이 구성을 검토해야 합니다.

데모에서 해볼 일

조작은 버튼 하나입니다 — 자동 재생을 누르면 끝까지 알아서 진행됩니다.

그냥 접속에서 사설 IP가 인터넷에서(⛔), 공인 IP가 공유기에서(⛔) 막히는 지점을 경로 보드에서 확인합니다.
길 내고 이름 붙이기로 바꿔 포워딩 규칙과 DDNS가 켜지는 순간을 설정 패널에서 보고, 아까 막혔던 바로 그 지점을 요청이 통과(✓)하는 것을 봅니다.
마지막에 공인 IP가 바뀌어도 이름이 그대로 통하는 장면 — DDNS의 존재 이유를 확인합니다.

요약 세 가지

인터넷에서 보이는 건 공유기의 공인 IP 하나 — 사설 IP는 집 안 전용입니다.
직접 밖→안 연결을 만들 때는 포트포워딩이라는 명시적인 길이 필요합니다.
공인 IP가 바뀌는 환경에서는 DDNS로 이름을 붙일 수 있지만, 실제 접속은 VPN이나 신뢰할 수 있는 릴레이를 먼저 검토합니다.

참고

데모는 원리 위주로 줄인 것으로, 통신사 장비가 NAT를 한 번 더 하는 이중 NAT·CGNAT 환경이면 포워딩만으로는 안 될 수 있습니다. 이때도 무리하게 여러 포트를 열기보다 VPN이나 제조사가 지원하는 릴레이를 검토합니다. 이 편으로 NAS 미니랩 4부작을 마칩니다 — 1편 RAID · 2편 파일 공유 · 3편 백업 3-2-1.

자료: RFC 1918 — Address Allocation for Private Internets