VPN 전용 홈 세그먼트: SSID만이 아니라 폴백까지 끄세요

게스트 SSID를 VPN에 올려 두고 세그먼트를 VPN 전용이라고 부릅니다. 그러다 터널이 두 분 동안 끊기면 기기들은 조용히 일반 WAN으로 돌아갑니다. SSID 이름 어디에도 그것을 막는 것은 없었습니다. VPN 전용 세그먼트는 터널을 쓸 수 없을 때 무슨 일이 일어나는지로 정의되며, 네트워크 라벨로 정의되지 않습니다.

라벨은 약속이고, 폴백 정책이 그 집행입니다.

오해: SSID가 경계다

자체 전달 정책이 없는 SSID는 이름일 뿐입니다. 경계는 별도의 인터페이스, VLAN 또는 서브넷이며, 자체 DHCP 범위와 자체 규칙을 가집니다. VLAN은 Wi-Fi 이름이 줄 수 없는 전달 경계를 줍니다.

클라이언트 격리도 설계의 일부입니다. 세그먼트의 두 기기가 서로 통신해야 할 수도, 아닐 수도 있으며, 그 선택은 게스트 프로필에서 물려받는 대신 명시적이어야 합니다.

규칙을 하나라도 쓰기 전에 세그먼트의 인터페이스와 주소 범위를 적어 두세요. 그 한 줄이 이후 혼란의 대부분을 막습니다.

오해: 터널 경로가 모든 프로토콜을 덮는다

펌웨어 정책을 그 세그먼트에 적용해 인터넷으로 가는 트래픽이 터널을 쓰게 하세요. 터널에 필요한 원격 전달과 변환을 구성하세요. 세그먼트에 정말 필요한 로컬 자원 접근만 남기세요.

두 주소 체계를 모두 확인하세요. IPv6가 터널을 통해 전달되지 않으면 정책이 이를 다뤄야 하며, 그렇지 않으면 IPv6 지원 기기가 의도하지 않은 직접 경로를 찾게 됩니다.

IPv6이 켜진 상태에서 IPv4 전용 킬 스위치는 흔한 유출 경로입니다. 손에 있는 노트북만이 아니라 IPv6 지원 클라이언트로 시험하세요.

오해: DNS와 터널 종단점이 터널을 따른다

라우터 DNS는 로컬에서 생성되어 세그먼트 정책이 아니라 라우터 자체의 라우팅 테이블을 따를 수 있습니다. 그 리졸버가 어느 경로를 써야 하고 터널이 실패할 때 무엇을 하는지 정하세요. VPN 자체의 종단점 연결은 또 다른 예외입니다. 피어까지 문서화된 외부 경로가 필요하며, 그 연결을 터널로 넣으면 올라올 수 없습니다.

복구 관리를 세그먼트의 인터넷 접근과 분리하세요. 실패한 피어가 라우터에서도 당신을 잠그면, 터널 장애를 현장 방문으로 바꾼 것입니다. 그 접근은 관리 네트워크에 두고, VPN 전용 세그먼트에는 두지 마세요.

무엇이 실제로 VPN 전용으로 만드는가

터널이 내려가 있을 때마다 세그먼트의 일반 WAN 전달을 차단하세요. 라벨을 참으로 만드는 것은 SSID가 아니라 그 규칙입니다. 세그먼트 기기에서 무해한 트래픽으로 시험하세요.

세 가지 확인을 하세요. 터널을 통한 정상 동작, 터널이 내려간 상태의 허용된 장애 시험, 그리고 터널이 돌아올 때의 복구입니다. 다른 가정 세그먼트가 그동안 계속 원래 의도한 경로를 유지하는지 확인하세요. 직접 예외는 모두 기록하세요. 그렇지 않으면 라벨이 더 이상 기억하지 못하는 경로를 숨깁니다.

세그먼트, 선택한 터널, 예외에 대한 짧은 기록은 펌웨어 업데이트가 규칙 순서나 리졸버 동작을 바꾼 뒤 구체적인 점검을 제공합니다. pfSense용 WireGuard 클라이언트 레시피는 터널 쪽에 유용한 참고 자료이며, 세그먼트 정책을 대신하지는 않습니다.