홈랩 네트워크 준비 점검은(는) 무엇을 하나요?
VLAN, Pi-hole 또는 다른 로컬 DNS 리졸버, 방화벽 규칙, 원격 VPN 접속을 혼합하여 사용하는 홈 또는 소규모 랩 네트워크를 변경하기 전에 이 스킬을 사용하세요.
이것은 계획 및 검토 스킬입니다. 대상 플랫폼, 현재 토폴로지, 롤백 경로, 콘솔 접근 권한, 유지보수 시간 창을 모두 알고 있지 않다면 라우터, 방화벽 또는 VPN 구성을 복사하여 붙여넣는 용도로 사용하지 마세요.
사용 시기
- 플랫 네트워크를 신뢰, IoT, 게스트, 서버 또는 관리 VLAN으로 분할할 준비를 할 때.
- DHCP 클라이언트를 Pi-hole, AdGuard Home, Unbound 또는 다른 로컬 DNS 리졸버로 이동할 때.
- WireGuard, Tailscale, ZeroTier, OpenVPN 또는 라우터 내장 VPN 접속을 추가할 때.
- 홈랩 변경으로 인해 운영자가 게이트웨이, 스위치, 액세스 포인트, DNS 서버 또는 VPN 서버에 잠길 수 있는지 검토할 때.
- 비공식적인 홈 네트워크 아이디어를 검증 증거가 포함된 단계별 마이그레이션 계획으로 전환할 때.
안전 수칙
- 첫 번째 응답은 읽기 전용(인벤토리, 위험, 단계별 계획, 검증, 롤백)으로 유지합니다.
- 게이트웨이 관리 패널, DNS 리졸버, SSH, NAS 콘솔 또는 VPN 관리 UI를 공용 인터넷에 직접 노출하지 마세요.
- 확인된 플랫폼과 롤백 절차 없이 방화벽, NAT, VLAN, DHCP 또는 VPN 명령을 제공하지 마세요.
- 관리 VLAN, 트렁크 포트, 방화벽 기본 정책 또는 DHCP/DNS 설정을 변경하기 전에 대역 외(out-of-band) 또는 동일한 방의 콘솔 접근 권한을 요구합니다.
- 전체 네트워크를 새 DNS 리졸버 또는 VPN 경로로 전환하기 전에 인터넷으로 돌아올 수 있는 작업 경로를 유지합니다.
- 운영자가 명시적으로 다른 선택을 하지 않는 한 IoT, 게스트, 카메라 및 랩 서버 네트워크를 서로 다른 신뢰 영역으로 취급합니다.
필수 인벤토리
구현 단계를 제시하기 전에 다음을 수집하세요:
| 영역 | 질문 |
|---|---|
| 인터넷 경계 | 모뎀 또는 ONT는 무엇입니까? ISP 라우터가 브리지 모드입니까 아니면 여전히 라우팅 중입니까? |
| 게이트웨이 | 어떤 것이 라우팅, 방화벽, DHCP를 처리하고 VPN을 종료합니까? |
| 스위칭 | 어떤 스위치 포트가 업링크, 액세스 포트, 트렁크 또는 비관리형입니까? |
| Wi-Fi | 어떤 SSID가 어떤 네트워크에 매핑되며, AP는 유선입니까 메시입니까? |
| 주소 할당 | 현재 어떤 서브넷이 있으며, 어떤 범위가 VPN 사이트와 충돌합니까? |
| DNS/DHCP | 현재 어떤 서비스가 임대 및 리졸버 주소를 제공합니까? |
| 관리 | 변경 후 운영자가 게이트웨이, 스위치 및 AP에 어떻게 접근할 수 있습니까? |
| 복구 | DNS, DHCP, VLAN 또는 VPN 경로가 중단될 경우 로컬에서 되돌릴 수 있는 것은 무엇입니까? |
VLAN 및 신뢰 구역 계획
벤더 구문보다 의도부터 시작하세요.
| 영역 | 일반적인 구성 요소 | 기본 정책 |
|---|---|---|
| 신뢰 | 노트북, 휴대폰, 관리 워크스테이션 | 필요할 때만 공유 서비스 및 관리에 접근 가능 |
| 서버 | NAS, Home Assistant, 랩 호스트, DNS 리졸버 | 신뢰할 수 있는 클라이언트의 좁은 인바운드 흐름만 허용 |
| IoT | TV, 스마트 플러그, 카메라, 스피커 | 인터넷 접속 및 명시적 예외만 허용 |
| 게스트 | 방문자 장치 | 인터넷 전용, LAN 연결 불가 |
| 관리 | 게이트웨이, 스위치, AP, 컨트롤러 | 신뢰할 수 있는 관리 장치에서만 접근 가능 |
| VPN | 원격 클라이언트 | 신뢰 클라이언트와 동일하거나 더 좁은 접근 권한 |
VLAN ID 또는 서브넷을 추천하기 전에 다음을 확인하세요:
- 게이트웨이가 VLAN 간 라우팅 및 방화벽 규칙을 지원합니다.
- 스위치가 필요한 태그 및 언태그 포트 동작을 지원합니다.
- AP가 SSID를 VLAN에 매핑할 수 있습니다.
- 운영자가 변경 중에 어떤 포트를 통해 연결되어 있는지 알고 있습니다.
- 트렁크 및 SSID 변경 후에도 관리 네트워크에 접근할 수 있습니다.
DNS 필터링 준비
Pi-hole 또는 다른 로컬 리졸버는 단일 장애점이 아닌 의존성으로 도입해야 합니다.
- DHCP 옵션에서 사용하기 전에 리졸버에 예약된 주소를 할당합니다.
- 공개 DNS 및 로컬
home.arpa이름을 확인할 수 있는지 확인합니다. - 게이트웨이 또는 두 번째 리졸버를 임시 폴백으로 유지합니다.
- 모든 DHCP 범위를 변경하기 전에 하나의 클라이언트 또는 하나의 VLAN에서 테스트합니다.
- 어떤 네트워크가 필터링을 우회할 수 있으며 그 이유를 문서화합니다.
- 차단 규칙이 캡티브 포털, 회사 VPN, 펌웨어 업데이트 또는 의료/보안 장치를 중단시키지 않는지 확인합니다.
유용한 검증 증거:
클라이언트가 예상 DHCP 임대를 받음
클라이언트가 예상 DNS 리졸버를 받음
공개 DNS 조회 성공
로컬 home.arpa 조회 성공
차단된 테스트 도메인이 의도된 곳에서만 차단됨
게이트웨이 및 DNS 관리 인터페이스가 게스트 또는 IoT 네트워크에서 접근 불가
원격 접속 준비
WireGuard 스타일 접속의 경우, 키를 생성하거나 포트를 열기 전에 VPN이 접근할 수 있는 범위를 결정합니다.
| 모드 | 사용 시기 | 위험 참고 사항 |
|---|---|---|
| 하나의 서브넷으로 분할 터널 | NAS 또는 랩 호스트 원격 관리 | 경로 목록을 좁게 유지 |
| 신뢰 서비스로 분할 터널 | IP 또는 DNS로 선택된 앱에 접근 | 정확한 방화벽 규칙 필요 |
| 전체 터널 | 신뢰할 수 없는 네트워크 또는 여행 | 더 많은 대역폭 및 DNS 책임 |
| 오버레이 VPN | 신원 제어 기능이 있는 간단한 원격 접속 | 여전히 ACL 검토 필요 |
운영자가 다음을 확인할 때까지 포트 포워딩을 권장하지 마세요:
- VPN 엔드포인트가 패치되고 적극적으로 유지 관리됩니다.
- 포워딩된 포트가 관리 UI가 아닌 VPN 서비스로만 연결됩니다.
- 동적 DNS, 공인 IP 동작 및 ISP CGNAT 상태를 이해합니다.
- 전체 네트워크를 재구축하지 않고 피어 키를 해지할 수 있습니다.
- 로그 또는 연결 상태로 누가 언제 연결했는지 확인할 수 있습니다.
변경 순서
작고 되돌릴 수 있는 변경을 선호합니다:
- 현재 토폴로지, IP 계획, DHCP 설정, DNS 설정 및 방화벽 규칙을 스냅샷합니다.
- 게이트웨이, DNS, 컨트롤러, AP, NAS 및 VPN 엔드포인트에 대한 인프라 주소를 예약합니다.
- 중요 장치를 이동하지 않고 새 영역 또는 VLAN을 생성합니다.
- 하나의 테스트 클라이언트를 이동하고 DHCP, DNS, 라우팅, 인터넷 및 차단 동작을 검증합니다.
- 필요한 흐름에 대해 좁은 방화벽 예외를 추가합니다.
- 하나의 저위험 장치 그룹을 이동합니다.
- 사용 사례를 충족하는 가장 좁은 경로 및 방화벽 정책으로 VPN 접속을 추가합니다.
- 최종 상태, 알려진 예외 및 롤백 명령 또는 UI 단계를 문서화합니다.
검토 체크리스트
- 각 네트워크에는 존재 이유와 명확한 신뢰 경계가 있습니다.
- 게스트, IoT 또는 공용 인터넷에서 관리 인터페이스에 접근할 수 없습니다.
- DNS 오류가 운영자의 로컬 복구 능력을 저해하지 않습니다.
- DHCP 범위 변경이 광범위하게 적용되기 전에 하나의 클라이언트에서 테스트되었습니다.
- VPN 클라이언트는 필요한 경로와 DNS 설정만 수신합니다.
- 방화벽 규칙은 영역 간 기본 거부(default-deny)이며 명명된 예외가 있습니다.
- 운영자가 게이트웨이, 스위치, AP, DNS 및 VPN 관리 화면에 계속 접근할 수 있습니다.
- 롤백이 선택한 플랫폼 UI 또는 CLI와 동일한 용어로 문서화되어 있습니다.
안티 패턴
- 어떤 스위치 포트와 SSID가 어떤 VLAN을 전달하는지 알기 전에 네트워크를 분할합니다.
- 유일하게 접근 가능한 관리 네트워크에서 관리 워크스테이션을 이동합니다.
- 폴백 DNS를 테스트하지 않고 모든 DHCP 범위를 Pi-hole로 지정합니다.
- NAS, DNS, 라우터 또는 하이퍼바이저 관리를 직접 인터넷에 공개합니다.
- VPN 접속을 완전한 신뢰 LAN 접속과 동일하게 취급합니다.
- 모든 것을 허용하는 방화벽 규칙을 임시로 추가하고 제거하는 것을 잊습니다.
- 정확한 플랫폼 구문을 확인하지 않고 다른 벤더 또는 펌웨어 버전의 명령을 복사합니다.
참조
- 스킬:
homelab-network-setup - 스킬:
network-config-validation - 스킬:
network-interface-health