아파트 비유로 한 번에 이해하는 홈랩 보안 4계층 — 공유기부터 UFW 도어락까지

네트워크 보안은 어려운 컴퓨터 이론이 아닙니다. 내가 살고 있는 아파트에 4개의 문지기가 서 있는 것과 똑같습니다.

왜 이 4개가 다 필요할까요? 정문(공유기)만 믿고 현관문(UFW)을 열어두면, 같은 아파트 주민(와이파이에 물린 바이러스 걸린 스마트폰이나 저가형 웹캠)이 내 방에 불쑥 들어올 수 있기 때문입니다.

새로운 서비스나 도커 컨테이너를 띄울 때 "공유기 포트를 열어야 할까? UFW만 켜면 될까?" 고민할 필요 없이, 아래 질문을 따라가면 10초 만에 필요한 조치가 결정됩니다.

방어벽을 세우기 전, 우리 집 거실(와이파이)에 어떤 이웃들이 돌아다니고 있는지 터미널에서 1초 만에 확인해 봅니다.

# 1. 같은 와이파이에서 통신했던 이웃 기기(노트북, 스마트폰, TV) 목록 보기
ip neigh

# 2. 내 컴퓨터가 지금 거실 쪽으로 귀를 열어두고 있는지 확인
ss -tulpn | grep LISTEN

프로그램 자체의 문을 어느 쪽으로 열어둘지 설정 파일(`.env`)에서 결정합니다.

# [철통 보안] 서버 PC 본체에서만 쓸 때 (거실 쪽 소리는 100% 무시)
HOST=127.0.0.1

# [LAN 공유] 내 방 침대에서 작업용 노트북으로 서버에 접속해야 할 때
HOST=0.0.0.0

127.0.0.1로 두면 도어락이 고장 나도 문 자체가 안쪽으로 잠겨 있어 가장 안전합니다. 하지만 노트북에서 접속하려면 0.0.0.0으로 열어야 하므로, 아래 Step 3의 도어락이 반드시 필요합니다.

0.0.0.0으로 문을 열었더라도, 집 안의 바이러스 걸린 기기가 함부로 못 들어오게 내 작업용 노트북 딱 1대만 지문 등록(/32)을 해둡니다.

# 1. 기본 원칙: 등록 안 된 모든 외부 손님은 차단
sudo ufw default deny incoming

# 2. 내 작업용 노트북 IP(예: 192.168.1.50) 딱 1대만 비공개 관리 포트(20128) 허용!
sudo ufw allow from 192.168.1.50/32 to any port 20128

# 3. 원격 관리용 SSH(2222)와 웹(80, 443)은 열어두기
sudo ufw allow 2222/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# 4. 도어락 활성화
sudo ufw enable

80번 포트로 홈페이지를 열어두면 손님이 마당(도커 컨테이너)까지 들어옵니다. 만약 손님이 홈페이지 버그를 뚫고 마당을 장악하더라도, 내 방의 비밀 포트(20128)로 들어오지 못하게 담장을 칩니다.

# 도커 컨테이너 대역(172.18.0.0/16)에서 호스트 관리 포트로 오는 패킷 차단
sudo ufw deny from 172.18.0.0/16 to any port 20128

이렇게 해두면 홈페이지가 해커에게 털려도, 호스트 서버 본체의 소스코드나 AI 유료 토큰 금고로는 절대 넘어올 수 없습니다.