지난 편에서 Tailscale로 NAS 접근 문제를 해결했다고 적었습니다. 밖에서든 집에서든 잘 붙었고, 공유기 설정도 건드릴 필요가 없었습니다.
그런데 마음이 계속 불편했습니다. NAS는 여전히 공인 IP를 직접 받고 있었습니다. 편하게 들어가는 길은 새로 냈지만, 원래 열려 있던 문은 그대로였으니까요.
결국 그 문을 닫았습니다. 방법은 생각보다 시시했습니다.
선택지는 세 가지였습니다
NAS를 공유기 뒤로 넣는 방법을 정리해 보니 이렇게 나뉘었습니다.
| 방법 | 내용 | 부담 |
|---|---|---|
| 배선 재구성 | 단자함에서 공유기를 모뎀과 분배기 사이에 끼워 넣기 | 단자함 작업 필요. 잘못 꽂으면 온 집 인터넷이 멈춤 |
| NAS 이동 | NAS를 공유기가 있는 방으로 옮겨 직접 연결 | 기기를 들고 옮기면 끝 |
| 그대로 두기 | Tailscale만 쓰고 노출은 감수 | 보안 문제가 안 풀림 |
처음엔 첫 번째가 정석이라고 생각했습니다. 단자함에 이미 기가 분배기가 있으니, 공유기 LAN 포트를 분배기 IN에 물리면 모든 방이 한 번에 공유기 안으로 들어옵니다. 구조적으로 가장 깔끔합니다.
그런데 옮기는 쪽을 택했습니다
이유는 단순합니다. NAS를 쓰는 데 방3에 있어야 할 이유가 없었습니다.
거실에는 통신사 공유기가 있고, 그 옆에 놓을 자리도 있었습니다. NAS는 어차피 켜두고 네트워크로만 접근하는 기기라 어느 방에 있든 쓰는 데 차이가 없습니다.
반면 단자함 작업은 잘못 건드리면 온 집 인터넷이 멈춥니다. 선이 여러 개 꽂혀 있고 라벨도 방마다 붙어 있어서, 한 번에 제대로 하려면 시간을 잡고 차분히 해야 하는 일이었습니다.
10분이면 끝나는 방법과 반나절 걸릴 방법이 있는데 결과가 같다면, 10분짜리가 낫습니다.
기술 글을 읽다 보면 “정석대로 해야 한다”는 말이 많습니다. 저도 그렇게 생각했었는데, 이번엔 아니었습니다. 장비를 옮길 수 있는 상황이라면 그게 제일 빠르고, 무엇보다 망가뜨릴 게 없습니다.
옮기고 나서 확인한 것
NAS를 거실로 옮겨 공유기 LAN 포트에 꽂고, 재부팅한 뒤 제어판에서 IP를 다시 봤습니다.
사설 IP로 바뀌어 있었습니다. 공유기가 나눠준 주소입니다. 이제 NAS는 공유기 방화벽 뒤에 있고, 밖에서 주소만으로 두드릴 수 없습니다.
PC에서도 바로 보였습니다. Tailscale 없이도 네트워크 드라이브가 연결됐습니다. 원래 되어야 했던 상태로 돌아온 셈입니다.
Tailscale은 지우지 않았습니다. 이제는 집 밖에서 접속할 때 쓰는 용도로 남겨뒀습니다. 원래 그게 이 도구의 자리이기도 하고요.
노출돼 있던 동안 했어야 할 것
돌아보면 아쉬운 게 있습니다. 공인 IP에 물려 있던 며칠 동안 최소한의 방어는 해뒀어야 했습니다.
배선을 바로 못 바꾸는 상황이라면 이 정도는 바로 할 수 있습니다. 전부 DSM 안에서 몇 분이면 끝납니다.
- 기본 admin 계정 비활성화. 공격 시도는 대부분 이 이름부터 시작합니다.
- 자동 차단 켜기. 제어판 → 보안 → 계정. 로그인을 몇 번 실패하면 그 IP를 막습니다.
- 2단계 인증 설정. 비밀번호가 새어도 한 겹이 더 있습니다.
- 안 쓰는 서비스 끄기. 열려 있는 문이 적을수록 좋습니다.
다행히 문제가 생기지는 않았습니다. 다만 그건 운이 좋았던 것이지 안전했던 게 아닙니다. 가족 사진이 들어갈 기기였습니다.
정리
- Tailscale은 접근을 해결하지 노출을 해결하지 않습니다. 문을 새로 낸 것이지 닫은 게 아닙니다.
- NAS를 공유기 뒤로 넣는 가장 쉬운 방법은 NAS를 공유기 옆으로 옮기는 것입니다.
- 배선 재구성이 구조적으로는 낫지만, 결과가 같다면 위험이 적은 쪽을 택해도 됩니다.
- 옮긴 뒤 IP가 사설 대역으로 바뀌었는지 반드시 확인하시기 바랍니다.
- 노출된 상태를 당장 못 없앤다면 admin 비활성화 · 자동 차단 · 2단계 인증만이라도 켜두시기 바랍니다.
여기까지가 NAS를 다시 제자리에 놓기까지의 이야기입니다. 다음 편부터는 그 위에 블로그를 올린 과정을 적겠습니다.