pfSense 소개
pfSense 방화벽/라우터 소개입니다. WAN/LAN/VLAN 구조, firewall rule 방향, NAT와 port forward, 문제 해결 순서와 백업 기준을 정리했습니다.
pfSense는 FreeBSD 기반의 방화벽/라우터 플랫폼입니다. 가정용 라우터 대체부터 랩 방화벽, VPN gateway, multi-WAN, VLAN 분리, NAT 정책 관리까지 폭넓게 사용할 수 있습니다.
pfSense를 처음 볼 때는 패키지 목록보다 인터페이스, 방화벽 rule 방향, NAT 처리 순서, state table 개념을 먼저 잡아야 합니다. 방화벽 규칙을 잘못 이해하면 “허용했는데 안 됨” 또는 “막았는데 열려 있음” 같은 문제가 반복됩니다.
기본 토폴로지
- WAN: 인터넷 또는 상위 라우터와 연결되는 인터페이스입니다.
- LAN: 내부 클라이언트가 연결되는 인터페이스입니다.
- OPT/VLAN: DMZ, 서버망, 게스트망, 관리망처럼 분리할 네트워크입니다.
- NAT: 내부 사설 주소가 외부로 나갈 때 출발지 주소를 변환합니다.
- Firewall Rule: 인터페이스별 inbound 방향으로 트래픽 허용/차단을 결정합니다.
초기 설정 흐름
- WAN/LAN 인터페이스를 정확히 할당합니다.
- LAN IP와 DHCP 범위를 정합니다.
- 관리자 암호를 변경하고 WebGUI 접근망을 제한합니다.
- DNS resolver, NTP, 업데이트 mirror를 확인합니다.
- 백업 파일을 내려받아 초기 상태를 보관합니다.
관리 WebGUI를 WAN에 직접 노출하지 않습니다. 외부 관리가 필요하면 VPN 또는 제한된 management network를 먼저 구성합니다.
방화벽 규칙 방향
pfSense의 interface tab rule은 해당 인터페이스로 들어오는 방향에서 평가됩니다. 예를 들어 LAN PC가 인터넷으로 나가는 트래픽은 LAN rules에서 허용해야 하고, 인터넷에서 내부 서버로 들어오는 트래픽은 WAN rules와 NAT port forward를 함께 봐야 합니다.
- LAN에서 나가는 트래픽: Firewall > Rules > LAN
- WAN에서 내부 서버로 들어오는 트래픽: Firewall > NAT > Port Forward와 WAN rule
- VLAN 간 통신: 출발 VLAN interface rule에서 제어
NAT와 Port Forward
일반적인 홈/랩 구성에서는 Outbound NAT가 자동으로 내부망 출발지 주소를 WAN 주소로 변환합니다. 내부 웹 서버를 외부에 공개할 때는 Port Forward를 만들고, 해당 rule이 만든 firewall rule까지 확인합니다.
- Outbound NAT: 내부 클라이언트가 외부로 나갈 때 필요합니다.
- Port Forward: 외부에서 내부 서버로 들어올 때 필요합니다.
- 1:1 NAT: 공인 IP와 내부 서버를 1:1로 매핑할 때 사용합니다.
문제 해결 순서
- Status > Interfaces에서 link와 IP를 확인합니다.
- Diagnostics > Ping, Traceroute로 pfSense 자체 통신을 확인합니다.
- Firewall > Rules에서 출발 인터페이스 rule을 확인합니다.
- Firewall > NAT에서 변환 대상과 포트를 확인합니다.
- Status > System Logs > Firewall에서 block/pass 로그를 확인합니다.
- Diagnostics > States에서 기존 state가 남아 있는지 확인합니다.
운영 기준
- 규칙은 넓게 허용한 뒤 방치하지 말고, source/destination/port를 좁힙니다.
- Alias를 사용해 IP/포트 그룹을 관리하면 규칙이 읽기 쉬워집니다.
- 설정 변경 전후로 Diagnostics > Backup & Restore에서 백업을 남깁니다.
- 패키지는 꼭 필요한 것만 설치하고, 방화벽 본체의 리소스를 주기적으로 확인합니다.
- 공인망 노출 rule은 변경 이력과 rollback 절차를 같이 기록합니다.