홈랩 네트워크 준비 상태 확인은(는) 무엇을 하나요?
이 스킬은 VLAN, Pi-hole 또는 다른 로컬 DNS 리졸버, 방화벽 규칙, 원격 VPN 접속을 혼합하여 사용하는 홈 또는 소규모 연구실 네트워크를 변경하기 전에 사용하세요.
이는 계획 및 검토 스킬입니다. 대상 플랫폼, 현재 토폴로지, 롤백 경로, 콘솔 접근 권한, 유지보수 시간대가 모두 확인되지 않았다면 라우터, 방화벽 또는 VPN 구성의 복사-붙여넣기로 만들지 마십시오.
사용 시기
- 플랫 네트워크를 신뢰됨, IoT, 게스트, 서버 또는 관리 VLAN으로 분할할 준비를 할 때
- DHCP 클라이언트를 Pi-hole, AdGuard Home, Unbound 또는 다른 로컬 DNS 리졸버로 이동할 때
- WireGuard, Tailscale, ZeroTier, OpenVPN 또는 라우터 기본 VPN 접속을 추가할 때
- 홈랩 변경으로 인해 게이트웨이, 스위치, 액세스 포인트, DNS 서버 또는 VPN 서버에서 운영자가 잠길 수 있는지 검토할 때
- 비공식적인 홈 네트워크 아이디어를 검증 증거가 포함된 단계별 마이그레이션 계획으로 전환할 때
안전 규칙
- 첫 번째 답변은 읽기 전용(인벤토리, 위험, 단계별 계획, 검증, 롤백)으로 유지합니다.
- 게이트웨이 관리 패널, DNS 리졸버, SSH, NAS 콘솔 또는 VPN 관리 UI를 공개 인터넷에 직접 노출하지 마십시오.
- 확인된 플랫폼과 롤백 절차 없이 방화벽, NAT, VLAN, DHCP 또는 VPN 명령을 제공하지 마십시오.
- 관리 VLAN, 트렁크 포트, 방화벽 기본 정책 또는 DHCP/DNS 설정을 변경하기 전에 대역 외 또는 동일 공간 콘솔 접근 권한을 요구합니다.
- 전체 네트워크를 새 DNS 리졸버 또는 VPN 경로로 지정하기 전에 인터넷으로의 작동 경로를 유지합니다.
- IoT, 게스트, 카메라 및 연구실 서버 네트워크는 운영자가 명시적으로 달리 선택하지 않는 한 서로 다른 신뢰 영역으로 취급합니다.
필수 인벤토리
구현 단계를 제공하기 전에 다음을 수집하십시오:
| 영역 | 질문 |
|---|---|
| 인터넷 경계 | 모뎀 또는 ONT는 무엇입니까? ISP 라우터가 브리지 모드입니까 아니면 여전히 라우팅 중입니까? |
| 게이트웨이 | 어떤 경로, 방화벽, DHCP 처리 및 VPN 종료를 담당합니까? |
| 스위칭 | 어떤 스위치 포트가 업링크, 액세스 포트, 트렁크 또는 비관리형입니까? |
| Wi-Fi | 어떤 SSID가 어떤 네트워크에 매핑되며, AP는 유선입니까 메시입니까? |
| 주소 지정 | 현재 어떤 서브넷이 존재하며, 어떤 범위가 VPN 사이트와 충돌합니까? |
| DNS/DHCP | 현재 어떤 서비스가 임대 및 리졸버 주소를 제공합니까? |
| 관리 | 변경 후 운영자가 게이트웨이, 스위치 및 AP에 어떻게 도달할 수 있습니까? |
| 복구 | DNS, DHCP, VLAN 또는 VPN 경로가 손상될 경우 로컬에서 되돌릴 수 있는 것은 무엇입니까? |
VLAN 및 신뢰 구역 계획
벤더 구문보다는 의도부터 시작하십시오.
| 구역 | 일반적인 내용 | 기본 정책 |
|---|---|---|
| 신뢰됨 | 노트북, 전화기, 관리 워크스테이션 | 필요할 때만 공유 서비스 및 관리에 도달 가능 |
| 서버 | NAS, Home Assistant, 연구실 호스트, DNS 리졸버 | 신뢰되는 클라이언트의 좁은 인바운드 흐름 허용 |
| IoT | TV, 스마트 플러그, 카메라, 스피커 | 인터넷 액세스 및 명시적 예외만 허용 |
| 게스트 | 방문자 기기 | 인터넷 전용, LAN 도달 불가 |
| 관리 | 게이트웨이, 스위치, AP, 컨트롤러 | 신뢰되는 관리 기기에서만 접근 가능 |
| VPN | 원격 클라이언트 | 신뢰되는 클라이언트와 동일하거나 더 좁은 액세스 |
VLAN ID 또는 서브넷을 추천하기 전에 다음을 확인하십시오:
- 게이트웨이가 VLAN 간 라우팅 및 방화벽 규칙을 지원합니다.
- 스위치가 필요한 태그 및 언태그 포트 동작을 지원합니다.
- AP가 SSID를 VLAN에 매핑할 수 있습니다.
- 운영자가 변경 중 사용 중인 포트를 알고 있습니다.
- 트렁크 및 SSID 변경 후 관리 네트워크에 계속 도달할 수 있습니다.
DNS 필터링 준비 상태
Pi-hole 또는 다른 로컬 리졸버는 단일 장애 지점이 아닌 종속성으로 도입되어야 합니다.
- DHCP 옵션에서 사용하기 전에 리졸버에 예약된 주소를 부여합니다.
- 공개 DNS 및 로컬
home.arpa이름을 확인할 수 있는지 확인합니다. - 게이트웨이 또는 두 번째 리졸버를 임시 대체 수단으로 유지합니다.
- 모든 DHCP 범위를 변경하기 전에 하나의 클라이언트 또는 하나의 VLAN에서 테스트합니다.
- 필터링을 우회할 수 있는 네트워크와 그 이유를 문서화합니다.
- 차단 규칙이 캡티브 포털, 회사 VPN, 펌웨어 업데이트 또는 의료/보안 장치를 손상시키지 않는지 확인합니다.
유용한 검증 증거:
클라이언트가 예상된 DHCP 임대를 받음
클라이언트가 예상된 DNS 리졸버를 수신함
공개 DNS 조회 성공
로컬 home.arpa 조회 성공
차단된 테스트 도메인이 의도된 곳에서만 차단됨
게이트웨이 및 DNS 관리 인터페이스가 게스트 또는 IoT 네트워크에서 도달 불가능
원격 접속 준비 상태
WireGuard 방식의 접속을 위해, 키를 생성하거나 포트를 열기 전에 VPN이 무엇에 도달할 수 있는지 결정하십시오.
| 모드 | 사용 시기 | 위험 참고 사항 |
|---|---|---|
| 하나의 서브넷으로 분할 터널 | NAS 또는 연구실 호스트 원격 관리 | 경로 목록을 좁게 유지 |
| 신뢰되는 서비스로 분할 터널 | IP 또는 DNS로 선택된 앱에 접속 | 정확한 방화벽 규칙 필요 |
| 전체 터널 | 신뢰되지 않는 네트워크 또는 여행 시 | 더 많은 대역폭 및 DNS 책임 |
| 오버레이 VPN | ID 제어가 있는 간편한 원격 접속 | 여전히 ACL 검토 필요 |
운영자가 다음을 확인할 때까지 포트 포워딩을 권장하지 마십시오:
- VPN 엔드포인트가 패치되고 적극적으로 유지 관리됩니다.
- 포워딩된 포트가 관리 UI가 아닌 VPN 서비스로만 이동합니다.
- 동적 DNS, 공개 IP 동작 및 ISP CGNAT 상태가 이해됩니다.
- 피어 키를 전체 네트워크를 재구축하지 않고도 취소할 수 있습니다.
- 로그 또는 연결 상태로 누가 언제 연결했는지 확인할 수 있습니다.
변경 순서
작고 되돌릴 수 있는 변경을 선호하십시오:
- 현재 토폴로지, IP 계획, DHCP 설정, DNS 설정 및 방화벽 규칙의 스냅샷을 저장합니다.
- 게이트웨이, DNS, 컨트롤러, AP, NAS 및 VPN 엔드포인트에 대한 인프라 주소를 예약합니다.
- 중요한 장치를 이동하지 않고 새 구역 또는 VLAN을 생성합니다.
- 하나의 테스트 클라이언트를 이동하고 DHCP, DNS, 라우팅, 인터넷 및 차단 동작을 검증합니다.
- 필요한 흐름에 대해 좁은 방화벽 예외를 추가합니다.
- 하나의 저위험 장치 그룹을 이동합니다.
- 사용 사례를 충족하는 가장 좁은 경로 및 방화벽 정책으로 VPN 접속을 추가합니다.
- 최종 상태, 알려진 예외 및 롤백 명령 또는 UI 단계를 문서화합니다.
검토 체크리스트
- 각 네트워크에는 존재 이유와 명확한 신뢰 경계가 있습니다.
- 게스트, IoT 또는 공개 인터넷에서 관리 인터페이스에 도달할 수 없습니다.
- DNS 오류로 인해 운영자가 로컬에서 복구할 수 없게 되지 않습니다.
- DHCP 범위 변경은 광범위하게 배포하기 전에 하나의 클라이언트에서 테스트되었습니다.
- VPN 클라이언트는 필요한 경로 및 DNS 설정만 수신합니다.
- 방화벽 규칙은 영역 간 기본 차단이며 명명된 예외가 있습니다.
- 운영자가 게이트웨이, 스위치, AP, DNS 및 VPN 관리 화면에 계속 도달할 수 있습니다.
- 롤백이 선택한 플랫폼 UI 또는 CLI와 동일한 어휘로 문서화되어 있습니다.
안티패턴
- 어떤 스위치 포트와 SSID가 어떤 VLAN을 전달하는지 알기 전에 네트워크를 분할합니다.
- 관리 워크스테이션을 유일하게 도달 가능한 관리 네트워크에서 이동합니다.
- 대체 DNS를 테스트하지 않고 모든 DHCP 범위를 Pi-hole로 지정합니다.
- NAS, DNS, 라우터 또는 하이퍼바이저 관리를 인터넷에 직접 게시합니다.
- VPN 접속을 완전한 신뢰 LAN 접속과 동일하게 취급합니다.
- 임시로 모든 것을 허용하는 방화벽 규칙을 추가하고 제거하는 것을 잊습니다.
- 정확한 플랫폼 구문을 확인하지 않고 다른 벤더 또는 펌웨어 버전의 명령을 복사합니다.
참고
- 스킬:
homelab-network-setup - 스킬:
network-config-validation - 스킬:
network-interface-health