공유기 보안설정에 대한 제언 및 질문
N104K 제품을 SOHO 구성을 위해 구입하여 사용하고 있는 사용자입니다.
제언사항이 있어 글을 남기려고 하는데 딱히 적당한 게시판이 없어서 바쁘신 줄 알면서도 여기다가 남기게 됐습니다. 글이 길어서 죄송합니다.
뭐... 질문하고 싶은 부분도 있고요...
먼저, 내부 네트워크 설정 메뉴의 수동 IP할당 설정에서
"설정된 IP와 다른 IP를 가진 MAC주소 통신 차단"이라는 메뉴에 대해서 말씀을 좀 드리고 싶습니다.
결론부터 말하자면 아무래도 이 기능은 필요가 없습니다.
이 기능은 "특정 PC에게 특정 IP만 허용하고 다른 IP는 제한한다"는 개념인데, 라우터에 MAC주소를 입력하는 것은 목적 자체가 "제한"이라기보다는 "허용"입니다.
다시 말하자면, 특정 IP를 특정 PC에만 허용하기 위해서 MAC주소를 등록하는 것이지, 특정 PC가 특정 IP만 사용할 수 있도록
제한하기 위해서 MAC주소를 등록하는 것이 아니라는 얘깁니다.
구체적인 예를 들어보겠습니다.
D클래스 라우터의 경우 253개의 아이피가 할당이 가능한데, 그 중 2번부터 100번까지를 고정아이피로 할당하고, 101번부터 254번까지를 DHCP로 분배하려고 합니다.
이 상황에서 네트워크 관리자는, 상설의 주요한 장비에는 고정IP를 할당하고, 비상설의 주요하지 않은 장비에는 DHCP로 아이피를 할당받도록 할 것입니다.
여기서, 2번 아이피는 서버만 사용할 수 있도록 묶어두려고 합니다.
이때 문제는 누군가가 공유기에 미지의 PC를 물린 뒤 2번 아이피를 수동으로 지정하여 선점했을 때 발생합니다.
미지의 PC는 2번 아이피를 선점하여 네트워크를 사용하게 되고, 서버는 2번 아이피를 사용할 수 없게 됩니다.
이 상황에서 "설정된 IP와 다른 IP를 가진 MAC주소 통신 차단"이라는 기능은 아무 짝에도 쓸모가 없습니다.
이 기능을 켜면 2번 IP를 할당받은 서버는 2번 IP를 제외한 다른 어떤 IP도 사용할 수 없기 때문에 네트워크를 사용할 수 없게 됩니다.
반면 미지의 PC는 오히려 관리자가 IP를 할당하기 전까지 자유롭게 어떤 IP든 사용할 수 있습니다.
게다가 공유기 관리자 접속시 인증절차는 MAC은 검증하지 않고 IP만 검증하기 때문에, 이 상황에서 2번이 관리자 IP라면
공유기 관리자는 공유기를 제어할 수 없고 미지의 PC가 공유기를 제어할 수 있게 됩니다.
대체 이게 무슨 상황입니까? MAC주소가 등록된 장비가 도리어 IP를 제한받는 반면에 등록되지 않은 장비는 제한을 받지 않는다는 겁니다.
뭔가 뒤바뀐 것이 아닙니까? 대체 이 기능은 왜 있는 건가요?
"설정된 IP와 다른 IP를 가진 MAC주소 통신 차단"이 아니라 "설정된 MAC과 다른 MAC을 가진 IP주소 통신 차단"을 구현해야 하는 것이 아닌가요?
그렇게 구현되면, 주요장비는 중요IP인 2번을 사용할 권리를 갖는 것과 동시에 다른 IP를 사용할 수 있게 되고
반면 주요하지 않은 장비는 관리자의 허가가 없는 한 네트워크를 사용할 수 없다든가, 또는 유동IP 범위의 IP만 할당받아 사용하도록 하는 방식으로 네트워크를 관리할 수 있습니다.
물론 이때, IP와 MAC의 1:1 대응을 구현하려면 "설정된 MAC주소 통신만 허용"기능은 "설정된 IP주소 통신만 허용"기능으로 바뀌어야겠지요.
네트워크 관리자가 원하는 기능은 오히려 이런 것이 아니겠습니까? 기능 구현을 잘못한 것이 아닌가 하는 생각이 들어서 글 남겼습니다.
관련하여 질문 몇 가지 드리면서 글 마치려고 합니다.
1. "설정된 IP와 다른 IP를 가진 MAC주소 통신 차단"기능은 어떤 경우에 필요한 건가요? 정말 궁금합니다.
2. 위에서 예로 든 상황처럼, 고정IP는 등록된 장비만 사용 가능하도록 지정하고, 주요하지 않은 장비는 DHCP로만 아이피를 할당받도록 설정할 수 있습니까?
3. 2번과 같은 질문입니다. "설정된 MAC주소 통신만 허용" 기능을 켜면, MAC주소가 등록되지 않은 모든 장비의 접속이 제한되는데, 이것은 제가 원하는 결과가 아닙니다. 미지의 장비도 인터넷을 사용할 수 있되, 중요 IP를 선점하는 것을 막을 방법이 있습니까?
제언사항이 있어 글을 남기려고 하는데 딱히 적당한 게시판이 없어서 바쁘신 줄 알면서도 여기다가 남기게 됐습니다. 글이 길어서 죄송합니다.
뭐... 질문하고 싶은 부분도 있고요...
먼저, 내부 네트워크 설정 메뉴의 수동 IP할당 설정에서
"설정된 IP와 다른 IP를 가진 MAC주소 통신 차단"이라는 메뉴에 대해서 말씀을 좀 드리고 싶습니다.
결론부터 말하자면 아무래도 이 기능은 필요가 없습니다.
이 기능은 "특정 PC에게 특정 IP만 허용하고 다른 IP는 제한한다"는 개념인데, 라우터에 MAC주소를 입력하는 것은 목적 자체가 "제한"이라기보다는 "허용"입니다.
다시 말하자면, 특정 IP를 특정 PC에만 허용하기 위해서 MAC주소를 등록하는 것이지, 특정 PC가 특정 IP만 사용할 수 있도록
제한하기 위해서 MAC주소를 등록하는 것이 아니라는 얘깁니다.
구체적인 예를 들어보겠습니다.
D클래스 라우터의 경우 253개의 아이피가 할당이 가능한데, 그 중 2번부터 100번까지를 고정아이피로 할당하고, 101번부터 254번까지를 DHCP로 분배하려고 합니다.
이 상황에서 네트워크 관리자는, 상설의 주요한 장비에는 고정IP를 할당하고, 비상설의 주요하지 않은 장비에는 DHCP로 아이피를 할당받도록 할 것입니다.
여기서, 2번 아이피는 서버만 사용할 수 있도록 묶어두려고 합니다.
이때 문제는 누군가가 공유기에 미지의 PC를 물린 뒤 2번 아이피를 수동으로 지정하여 선점했을 때 발생합니다.
미지의 PC는 2번 아이피를 선점하여 네트워크를 사용하게 되고, 서버는 2번 아이피를 사용할 수 없게 됩니다.
이 상황에서 "설정된 IP와 다른 IP를 가진 MAC주소 통신 차단"이라는 기능은 아무 짝에도 쓸모가 없습니다.
이 기능을 켜면 2번 IP를 할당받은 서버는 2번 IP를 제외한 다른 어떤 IP도 사용할 수 없기 때문에 네트워크를 사용할 수 없게 됩니다.
반면 미지의 PC는 오히려 관리자가 IP를 할당하기 전까지 자유롭게 어떤 IP든 사용할 수 있습니다.
게다가 공유기 관리자 접속시 인증절차는 MAC은 검증하지 않고 IP만 검증하기 때문에, 이 상황에서 2번이 관리자 IP라면
공유기 관리자는 공유기를 제어할 수 없고 미지의 PC가 공유기를 제어할 수 있게 됩니다.
대체 이게 무슨 상황입니까? MAC주소가 등록된 장비가 도리어 IP를 제한받는 반면에 등록되지 않은 장비는 제한을 받지 않는다는 겁니다.
뭔가 뒤바뀐 것이 아닙니까? 대체 이 기능은 왜 있는 건가요?
"설정된 IP와 다른 IP를 가진 MAC주소 통신 차단"이 아니라 "설정된 MAC과 다른 MAC을 가진 IP주소 통신 차단"을 구현해야 하는 것이 아닌가요?
그렇게 구현되면, 주요장비는 중요IP인 2번을 사용할 권리를 갖는 것과 동시에 다른 IP를 사용할 수 있게 되고
반면 주요하지 않은 장비는 관리자의 허가가 없는 한 네트워크를 사용할 수 없다든가, 또는 유동IP 범위의 IP만 할당받아 사용하도록 하는 방식으로 네트워크를 관리할 수 있습니다.
물론 이때, IP와 MAC의 1:1 대응을 구현하려면 "설정된 MAC주소 통신만 허용"기능은 "설정된 IP주소 통신만 허용"기능으로 바뀌어야겠지요.
네트워크 관리자가 원하는 기능은 오히려 이런 것이 아니겠습니까? 기능 구현을 잘못한 것이 아닌가 하는 생각이 들어서 글 남겼습니다.
관련하여 질문 몇 가지 드리면서 글 마치려고 합니다.
1. "설정된 IP와 다른 IP를 가진 MAC주소 통신 차단"기능은 어떤 경우에 필요한 건가요? 정말 궁금합니다.
2. 위에서 예로 든 상황처럼, 고정IP는 등록된 장비만 사용 가능하도록 지정하고, 주요하지 않은 장비는 DHCP로만 아이피를 할당받도록 설정할 수 있습니까?
3. 2번과 같은 질문입니다. "설정된 MAC주소 통신만 허용" 기능을 켜면, MAC주소가 등록되지 않은 모든 장비의 접속이 제한되는데, 이것은 제가 원하는 결과가 아닙니다. 미지의 장비도 인터넷을 사용할 수 있되, 중요 IP를 선점하는 것을 막을 방법이 있습니까?
