※ 이 글은 ‘VLAN을 사용하여 홈 네트워크 분리하기’ 시리즈의 첫 번째 글입니다.
우리 집은 준공된 지 약 30년 된 구축 아파트다.
최근 아파트와 달리 세대 내부에 통신 단자함이 없고, 각 방에도 유선 랜 단자가 설치되어 있지 않다. 통신사 인터넷 장비가 거실에 있어 방에서 유선 네트워크를 사용하려면 별도로 랜선을 포설해야 했다.
전체 인테리어를 진행하지 않는 상황에서 랜선을 벽 안으로 새로 넣기는 쉽지 않았다. 거실에서 방까지 긴 랜선을 노출해 연결할 수도 있었지만, 몰딩과 문틀을 따라 랜선이 보이는 것이 마음에 들지 않았다.
결국 데스크톱과 스마트폰, 가전제품을 모두 Wi-Fi로 연결하기로 했다.
초기 홈 네트워크 구성
홈 서버를 운용하기 전에는 일반적인 유무선 공유기 한 대로 집 안의 네트워크를 구성했다.
통신사 인터넷 장비
│
유무선 공유기
├─ 데스크톱 1: Wi-Fi
├─ 데스크톱 2: Wi-Fi
└─ 스마트폰과 가전제품: Wi-Fi유무선 공유기는 거실에 설치했다.
데스크톱 두 대는 각각 다른 방에서 Wi-Fi로 연결했다. 방과 거실의 거리가 가깝고 중간이 완전히 막혀 있지 않아 웹서핑이나 파일 다운로드 같은 일반적인 용도로 사용하는 데는 큰 문제가 없었다.
다만 벽으로 막힌 일부 방에서는 Wi-Fi 신호가 약해졌다. 연결이 자주 끊길 정도는 아니었지만 거실에서 사용할 때보다 전송속도가 느리고 응답성이 떨어졌다.
당시에는 데스크톱과 스마트폰, 가전제품 등 모든 기기가 하나의 네트워크에 연결되어 있었다.
홈 서버를 사용하면서 시작한 네트워크 분리
Home Assistant를 구동할 홈 서버를 사용하기 시작하면서 네트워크 보안을 고민하게 됐다.
사용자 PC와 스마트폰, IoT 기기, 홈 서버를 모두 같은 네트워크에 연결하기보다는 용도에 따라 분리하고 싶었다.
이를 위해 OPNsense 기반 방화벽·라우터를 추가했다.
통신사 인터넷 장비
│
OPNsense 방화벽·라우터
├─ 유무선 공유기: 무선 AP 기능만 사용
└─ 홈 서버OPNsense에서 관리용 네트워크와 사용자·IoT 네트워크, 홈 서버 네트워크를 각각 분리했다.
당시 사용하던 유무선 공유기는 여러 개의 SSID를 만들 수는 있었지만, SSID마다 서로 다른 VLAN ID를 지정하는 기능은 지원하지 않았다.
따라서 OPNsense의 물리적인 LAN 포트를 이용해 유선 장비를 분리하는 것은 가능했지만, Wi-Fi로 연결되는 사용자 기기와 IoT 기기를 서로 다른 VLAN으로 완전히 분리할 수는 없었다.
불편했던 관리용 네트워크 접속
OPNsense 관리 화면은 관리용 네트워크에 연결된 기기에서만 접속할 수 있도록 제한했다.
보안 측면에서는 필요한 설정이었지만 관리용 네트워크에 연결할 수 있는 무선 SSID가 없었다. OPNsense 설정을 변경하려면 노트북을 가져와 관리용 LAN 포트에 랜선으로 직접 연결해야 했다.
평소에는 설정을 자주 변경하지 않아 큰 문제가 없었다. 그러나 OPNsense를 업데이트하거나 홈 서버 장애를 처리할 때마다 노트북을 유선으로 연결하는 과정이 번거로웠다.
데스크톱이나 노트북에서도 Wi-Fi를 통해 관리용 네트워크에 접속하려면 다음 기능을 지원하는 무선 AP가 필요했다.
- 여러 개의 SSID 생성
- SSID별 VLAN ID 지정
- VLAN 태그가 포함된 트래픽을 유선 포트로 전달
이러한 기능은 일반적인 가정용 유무선 공유기보다 업무용 또는 기업용 무선 AP에서 찾을 수 있었다.
내가 선택한 제품은 NETGEAR WAX615였다. WAX615는 최대 8개의 Wi-Fi SSID를 만들 수 있고, 각 SSID에 서로 다른 VLAN을 지정할 수 있다.
현재는 라우터로 Ubiquiti UCG-Ultra를 사용하고 있다. 지금 무선 AP를 다시 구입한다면 하나의 관리 화면에서 네트워크 장비를 통합 관리할 수 있도록 UniFi 무선 AP, U6+ 모델을 우선적으로 검토할 것 같다.
PoE 스위치와 무선 AP 추가
무선 AP를 WAX615로 교체하면서 NETGEAR GS308EPP 스위치도 추가했다.
WAX615는 PoE를 지원하므로 랜선 하나로 데이터와 전원을 함께 공급할 수 있다. AP 근처에 별도의 전원 어댑터와 콘센트를 마련하지 않아도 되어 배선을 간단하게 구성할 수 있었다.
WAX615는 최대 성능으로 사용하려면 IEEE 802.3at PoE+를 지원하는 스위치나 인젝터를 사용하는 것이 좋다. NETGEAR가 안내하는 WAX615의 최대 PoE 소비전력은 21.2W다.
GS308EPP는 8개의 기가비트 PoE+ 포트와 총 123W의 PoE 전력 예산을 제공한다. 포트당 최대 30W를 공급할 수 있어 WAX615 한 대에 전원을 공급하기에 충분하다.
구성은 다음과 같이 변경됐다.
통신사 인터넷 장비
│
OPNsense 방화벽·라우터
│
NETGEAR GS308EPP
├─ NETGEAR WAX615
└─ 홈 서버OPNsense와 GS308EPP 사이, GS308EPP와 WAX615 사이의 연결에는 여러 VLAN의 트래픽이 함께 전달됐다.
여러 VLAN의 트래픽을 하나의 물리적인 연결로 전달하는 포트를 일반적으로 트렁크 포트(trunk port)라고 부른다.
GS308EPP에서는 각 VLAN에 대해 포트를 Tagged 또는 Untagged로 지정하고, 해당 포트로 들어오는 태그 없는 트래픽에 적용할 PVID를 설정하는 방식으로 VLAN을 구성한다.
WAX615에는 Main, User, IoT SSID를 만들고 각각 대응하는 VLAN에 연결했다. 그 결과 데스크톱과 스마트폰, IoT 기기가 사용하는 네트워크를 Wi-Fi에서도 분리할 수 있게 됐다.
관리용인 Main SSID에는 네트워크 설정에 사용하는 기기만 연결했다.
Wi-Fi 사용 성능
우리 집은 약 25평이고 WAX615는 거실에 설치했다.
설치 후에는 이전보다 Wi-Fi 음영지역이 줄었고, 모든 방에서 만족스러운 수준의 신호를 확보할 수 있었다.
특히 각 방까지 유선 랜을 사용하지 않고도 데스크톱의 네트워크 연결이 안정적으로 유지된 점이 좋았다.
데스크톱 무선 연결 품질 측정
무선으로 연결한 데스크톱의 인터넷 속도도 만족스러웠다.
KT 인터넷 베이직 500Mbps 상품을 사용하고 있으며, NIA 인터넷 품질측정 서비스를 이용해 속도와 지연시간을 확인했다.
측정 당시 다운로드와 업로드 속도, 지연시간은 안정적으로 나타났다. 실제 게임에서도 무선 연결로 인한 뚜렷한 지연은 체감하지 못했다.
OPNsense에서 UCG-Ultra로 변경
OPNsense는 세부 설정의 자유도가 높고 다양한 네트워크 기능을 제공했다.
다만 내가 사용하던 ODROID H3 기반 장비에서는 OPNsense 업데이트 과정에서 장비가 예상치 않게 중단되는 일이 몇 차례 있었다. 업데이트가 정상적으로 완료되지 않아 OPNsense를 다시 설치한 경우도 있었다.
최근에는 간헐적으로 네트워크 장애가 발생해 장비를 재부팅하는 일도 여러 번 있었다. 네트워크 장애가 발생하면 Home Assistant가 안되어 불편한 점이 많았었다.
홈 네트워크를 조금 더 간단하고 안정적으로 관리하기 위해 OPNsense 장비를 Ubiquiti UCG-Ultra로 교체했다.
UCG-Ultra는 인터넷 라우팅과 DHCP 서버, VLAN·서브넷 기반 네트워크 분리, VLAN 간 라우팅, 상태 기반 방화벽과 IDS/IPS 기능을 제공한다.
UCG-Ultra를 선택한 구체적인 이유와 사용 후기는 UCG-Ultra 구매 이유와 첫 사용 후기에서 별도로 정리했다.
현재 홈 네트워크 구성
현재 구성은 다음과 같다.
통신사 인터넷 장비
│
Ubiquiti UCG-Ultra
├─ 홈 서버
└─ NETGEAR GS308EPP
│
└─ NETGEAR WAX615
├─ Main SSID
├─ User SSID
└─ IoT SSID현재는 UCG-Ultra의 LAN 포트가 남아 있어 홈 서버를 UCG-Ultra에 직접 연결했다. 이전에는 배선과 관리 편의를 위해 홈 서버를 GS308EPP에 연결해 사용했다.
VLAN은 하나의 물리적인 네트워크를 여러 개의 논리적인 네트워크로 나누는 기술이다.
서로 다른 VLAN은 각각 별도의 네트워크처럼 동작한다. VLAN 사이의 통신은 UCG-Ultra에서 라우팅되며, 방화벽 정책에 따라 필요한 통신만 허용하거나 차단할 수 있다.
현재 사용하는 VLAN과 IP 대역은 다음과 같다.
| 용도 | VLAN ID | IP 대역 |
|---|---|---|
| Main | 1 | 192.168.10.0/24 |
| Home Server | 10 | 192.168.20.0/24 |
| User | 20 | 192.168.30.0/24 |
| IoT | 30 | 192.168.40.0/24 |
각 네트워크 별 용도는 아래와 같다.
- Main : 네트워크 관리용
- Home Server : Home Assistant 등 서버 연결
- User : 데스크톱, 노트북, 스마트폰 연결
- IoT : 공기청정기와 TV 등 IoT·가전제품 연결
구성 장비별 역할
참고로 각 장비를 선택한 이유를 굵은 글씨로 강조하였다.
라우터 : UCG-Ultra
- 인터넷 라우팅
- DHCP를 통한 IP 주소 할당
- VLAN과 서브넷 생성
- VLAN 사이의 트래픽 라우팅
- 방화벽 정책 적용
- 네트워크 장비와 클라이언트 상태 확인
GS308EPP와 WAX615는 UniFi 제품이 아니므로 UCG-Ultra에서 직접 설정하거나 통합 관리하지는 못한다. 두 장비의 상세 설정은 각각의 관리 화면에서 진행한다.
스위치: NETGEAR GS308EPP
- UCG-Ultra와 유선 장비 연결
- 포트별 VLAN 지정
- 여러 VLAN을 전달하는 trunk 포트 구성
- WAX615에 PoE+ 전원 공급
무선 AP: NETGEAR WAX615
- 데스크톱과 스마트폰의 무선 연결
- Main, User와 IoT SSID 분리
- SSID별 VLAN ID 지정
- 무선 클라이언트 트래픽을 GS308EPP로 전달
홈 서버
- Home Assistant 구동
- 스마트 홈 장비 연동
- 자동화 실행
- IoT 장비 상태 수집과 제어
- 개인용 서버 어플리케이션 구동
마무리
이 구성이 모든 구축 아파트에 적용되는 정답은 아니다.
가능하다면 유선 랜으로 연결하는 것이 가장 안정적이다. 기존 전화선이나 동축 케이블이 지나가는 배관을 활용할 수 있다면 각 방에 랜선을 새로 포설하는 방법을 먼저 검토할 수 있다.
우리 집에서는 랜선을 벽 안에 새로 넣기가 쉽지 않았고, 외부로 랜선을 노출하는 방법도 원하지 않았다.
따라서 다음과 같이 연결하였다.
- 스위치나 라우터 옆에 놓을 수 있는 홈 서버는 유선으로 연결
- 멀리 떨어진 데스크톱과 스마트폰은 무선 AP에 연결
- 여러 VLAN을 전달하기 위해 VLAN을 지원하는 관리형 스위치 사용
- VLAN 간 접근은 라우터의 방화벽으로 제한
- Wi-Fi SSID 별 VLAN ID 설정
무선 네트워크와 유선 네트워크 모두에서 사용자 기기와 IoT 기기, 홈 서버를 논리적으로 분리할 수 있었다.
다음 글 ‘UCG-Ultra로 홈 네트워크 분리 설정하기’에서는 UCG-Ultra와 GS308EPP, WAX615를 실제로 연결한 방법, UCG-Ultra에서 VLAN을 이용한 네트워크 분리 방법 및 각 포트에 VLAN을 지정한 과정을 정리한다.