라우터의 VPN 클라이언트와 서버 모드: 각각 무엇을 가능하게 하는가
라우터의 한 역할은 트래픽을 원격 출구로 보내고, 다른 역할은 다시 안으로 들어오게 합니다. 둘 중 하나를 켜기 전에 메뉴, 자격 증명, 귀환 경로를 읽어 보세요.
라우터에 로그인해 VPN 페이지를 열면 같은 기능을 두 번 설명한 것처럼 보이는 탭 두 개가 있습니다. 하나는 다른 곳에서 프로필 파일을 요구하고, 다른 하나는 인증서를 만들고 포트를 고르라고 합니다. 이것은 하나의 설정을 다르게 본 것이 아닙니다. 한 역할은 라우터가 밖으로 연결하게 하고, 다른 역할은 응답하게 하며, 그리고 한 장비가 둘 다 할 수 있습니다. 한쪽이 다른 쪽을 돕지 않아도 됩니다. 하나를 켜기 전에 메뉴를 읽고 어느 쪽에 있는지 판단하는 방법은 다음과 같습니다.
VPN 메뉴를 열고 역할 이름을 읽습니다
토글이 아니라 섹션 제목부터 시작합니다. 클라이언트 또는 “VPN 서비스에 연결”이라고 표시된 탭은 가져온 프로필, 구성 파일 또는 다른 사람이 발급한 자격 증명 집합을 기대합니다. 서버라고 표시된 탭은 ID를 만들고 프로토콜과 포트를 고르며 보통 연결할 각 기기에 프로필을 내보내기를 기대합니다.
상자에 적힌 마케팅 문구는 메뉴가 그것과 맞을 때까지 확인되지 않은 것으로 봅니다. “VPN 지원”은 클라이언트, 서버, 라우터 뒤의 기기로 패킷만 전달하는 프로토콜 통과 도우미, 또는 표준 프로필이 전혀 없는 독자적 원격 접속 앱을 뜻할 수 있습니다. 이런 경우를 구분하는 곳은 펌웨어 문서뿐이며 스티커의 모델 번호는 아닙니다.
클라이언트 모드: 당신의 LAN이 다른 사람의 출구로 나갑니다
클라이언트 모드에서 라우터는 VPN 앱을 실행하는 노트북처럼 동작합니다. 호환되는 프로토콜, 원격 사업자의 프로필이나 자격 증명, 그리고 어떤 하위 기기가 터널을 쓰는지에 대한 라우팅 결정이 필요합니다. 많은 펌웨어가 정책 목록을 제공해 터널로 보낼 원본 주소나 인터페이스를 지정하고 나머지는 일반 연결에 남깁니다.
조용히 실패하는 부분은 원격 측입니다. 연결하는 엔드포인트는 당신을 대신해 인터넷 트래픽을 전달하고 귀환 경로를 제공해야 하며, 그것은 사업자의 정책이지 당신 라우터의 설정이 아닙니다. 서버 모드만 제공하는 메뉴는 어떻게 구성하든 이 외부 서비스를 만들 수 없고, 사이트 간 링크만 지원하는 사업자는 터널을 성공적으로 연결해도 그 안으로 보내는 모든 것을 버릴 수 있습니다.
다음으로 터널이 DNS를 어떻게 다루는지 확인합니다. 프로필이 리졸버를 밀어 넣으면 라우터는 그 리졸버를 하위 클라이언트에 넘겨야 합니다. 그렇지 않으면 클라이언트는 사업자 리졸버를 계속 쓰고 패킷은 안으로 지나가는데도 이름은 터널 밖에서 해석합니다. 연결된 노트북에서의 빠른 확인: IP 에코 페이지에서 보이는 주소가 출구여야 하고, 사용 중인 리졸버 주소는 터널이 제공한 것이어야 합니다.
서버 모드: 다른 사람이 당신의 LAN으로 들어옵니다
서버 모드는 방향을 뒤집습니다. 라우터가 대기하고 이동 중인 기기가 연결되면, 라우터는 그 연결이 어느 집 안 자원에 닿을 수 있는지 결정합니다. NAS, 실험실 기기, 프린터에 필요한 역할이 바로 이것이며, 클라이언트 역할에는 없는 전제가 있습니다. 외부의 무언가가 대기자에 닿을 수 있어야 합니다.
바로 그 전제에서 대부분의 가정 설치가 멈춥니다. 라우터가 사업자 자체의 게이트웨이 뒤에 있으면 VPN 포트를 그 게이트웨이에서 전달해야 하거나 라우터를 브리지나 DMZ 모드로 두어야 합니다. 통신사급 NAT 뒤에는 전달할 인바운드 포트가 아예 없으므로 설계를 바꿔야 합니다. 라우터에서 중계기, 호스팅 엔드포인트, 메시 제품으로 나가는 터널입니다. 닿을 수 없는 서버는 설정이 틀린 것이 아니라 도달할 수 없는 것입니다.
ID도 역할에 따라 다릅니다. 모든 것을 유료 출구로 보내는 가정용 클라이언트 프로필은 하나의 공유 비밀이지만, 휴대폰 세 대와 노트북 한 대를 받아들이는 서버에는 따로 폐기할 수 있는 네 개의 ID가 필요합니다. 인증서와 키는 기기마다이며, 라우터의 내보내기 페이지는 집 전체에 하나의 파일이 아니라 기기마다 하나의 파일을 주어야 합니다.
약속하기 전에 정확한 구현을 확인합니다
Netgate의 VPN 역할 선택에 관한 문서는 역할을 이런 식으로 나누며, 탭 이름에서 추측하기보다 당신 펌웨어에 해당하는 페이지를 읽어 볼 가치가 있습니다. 세 가지 구체적인 사실을 찾으세요. 클라이언트가 말할 수 있는 프로토콜, 서버가 당신 기기가 쓰는 프로토콜을 지원하는지, 라우팅 정책이 원본 주소, 전체 인터페이스, 아니면 아무것도 다루지 않는지입니다.
다음으로 지원 경계를 봅니다. 클라이언트 탭은 있지만 정책 목록이 없는 소비자 라우터는 모든 기기를 터널로 보냅니다. 스트리밍 박스에는 괜찮지만 사무실 터널이 필요한 업무용 노트북에는 틀립니다. 서버 탭은 있지만 공유 프로필이 하나뿐인 라우터는 실험실 도구로는 합리적이고 가족에게는 나쁜 선택입니다. 기기 하나를 폐기하려면 모두의 구성을 바꿔야 하기 때문입니다.
트래픽이 어디서 시작하는지로 역할을 고릅니다
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
다른 것을 바꾸기 전에 선택한 행을 처음부터 끝까지 따라갑니다. 역할을 켜고, 클라이언트 하나를 연결하고, 그것이 나타나는 주소를 확인하고, 어떤 리졸버를 쓰는지 확인하고, 반대 방향의 귀환 경로를 확인합니다. 라우터에 방화벽 페이지도 있으면 터널이 없던 시절에 쓰인 기본 규칙이 새 인터페이스를 막고 있지 않은지 확인합니다.
두 역할이 모두 있고 요구가 정말 둘 다일 때는 별도 문서와 함께 별도 기능으로 운영합니다. 라우터 하나가 텔레비전을 위해 밖으로 연결하면서 동시에 NAS로 오는 휴대폰 연결을 받을 수 있지만, 두 정책이 서브넷, DNS 설정, 방화벽 영역을 공유해서는 안 됩니다. 그러면 하나를 위해 한 첫 변경이 다른 하나를 망가뜨립니다.