포트포워딩 없이 나스 외부접속, Tailscale로 했습니다

지난 편에서 NAS가 공유기 밖에 있어 PC에서 안 보인다는 걸 알았습니다. 배선을 바꾸는 게 정답이지만 당장은 어려웠습니다. 단자함을 열어 선을 다시 꽂는 일이라 마음먹고 시간을 내야 했거든요.

그래서 먼저 접근부터 되게 만들기로 했습니다. 이 글은 그 방법에 대한 이야기입니다.

포트포워딩이 정답처럼 보였습니다

NAS를 밖에서 쓰는 방법을 검색하면 가장 먼저 나오는 게 포트포워딩입니다. 공유기 설정에서 특정 포트를 열고, 그 포트로 들어온 요청을 NAS로 넘겨주는 방식입니다.

그런데 두 가지가 걸렸습니다.

첫째, 포트포워딩은 공유기에 구멍을 뚫는 일입니다. 열어둔 포트는 나만 쓰는 게 아니라 인터넷 전체에 열립니다. 인터넷에는 열린 포트를 자동으로 훑고 다니는 스캐너가 늘 돌아다닙니다.

둘째, 제 경우엔 애초에 공유기가 경로에 없었습니다. NAS가 모뎀에 직접 물려 있었으니 포트포워딩을 설정할 공유기 자체가 없었던 겁니다.

그러다 찾은 게 Tailscale입니다. 한 줄로 요약하면 내 기기들 사이에 가상 랜선을 깔아주는 도구입니다.

PC, NAS, 스마트폰에 각각 앱을 깔고 같은 계정으로 로그인하면, 그 기기들이 하나의 가상 네트워크로 묶입니다. 물리적으로 어디에 있든 상관없습니다. 집에 있든 카페에 있든, 서로 같은 랜선에 물려 있는 것처럼 동작합니다.

포트를 열지 않아도 되는 이유가 여기 있습니다. 밖에서 안으로 들어오는 연결을 받는 게 아니라, 양쪽이 각자 밖으로 나가서 만나는 방식이기 때문입니다. 공유기 입장에서는 평범한 아웃바운드 연결이라 막을 이유가 없습니다.

암호화는 WireGuard를 씁니다. 그리고 가능하면 중앙 서버를 거치지 않고 기기끼리 직접 연결되기 때문에 속도 손해도 크지 않습니다.

시놀로지는 패키지 센터에서 Tailscale을 바로 설치할 수 있습니다. 따로 도커를 쓰거나 명령어를 칠 필요가 없습니다.

순서는 이렇습니다.

로그인이 끝나면 각 기기에 100.으로 시작하는 가상 IP가 하나씩 붙습니다. 이 주소는 Tailscale 안에서만 쓰이는 주소라 인터넷에서는 보이지 않습니다.

이제 PC에서 Win + R을 누르고 NAS의 Tailscale 주소를 넣으면 공유폴더가 열립니다.

\100.x.x.x

기기 이름으로 접속하는 기능(MagicDNS)도 있어서, 숫자 대신 my-nas 같은 이름을 쓸 수도 있습니다.

결과부터 말하면 불편은 거의 다 사라졌습니다.

개인 용도로는 기기 100대까지 무료라 비용도 들지 않았습니다. 배선을 못 바꾸는 상황에서 쓸 수 있는 가장 현실적인 방법이었습니다.

며칠 쓰다가 뒤늦게 깨달았습니다. 접근은 편해졌는데 지난 편에서 걱정했던 문제는 그대로 남아 있었습니다.

NAS는 여전히 공인 IP를 직접 받고 있었습니다. 공유기 방화벽 뒤에 들어간 게 아니었습니다.

Tailscale은 내가 들어갈 문을 새로 낸 것이지, 원래 열려 있던 문을 닫은 게 아니었습니다. 새 문은 튼튼하고 암호화도 잘 되어 있지만, 옆에 있던 낡은 문은 그대로 열려 있었던 겁니다.

이걸 헷갈리기 쉽습니다. Tailscale을 깔고 나면 “이제 안전하게 접속하고 있으니 보안도 해결됐다”고 생각하게 되거든요. 저도 그랬습니다. 안전하게 들어가는 것과, 남이 못 들어오게 막는 것은 다른 일입니다.

결국 그 문을 닫아야 했습니다. 어떻게 했는지는 다음 편에서 적겠습니다.