pfSense에서 포트포워딩 후
내부망 클라이언트 -> 서버IP = 정상접근
내부망 클라이언트 -> 외부IP = 타임아웃
내부망 클라이언트 -> 도메인 = 타임아웃
외부망 클라이언트 -> 외부IP = 정상접근
외부망 클라이언트 -> 도메인 = 정상접근
와 같은 상황입니다.
설정한 내용은 아래와 같습니다.
방화벽 / NAT / 포트포워딩 설정에서
인터페이스 : WAN
프로토콜 : TCP
출발지주소 : *
출발지포트 : *
도착지주소 : WAN address
도착지포트 : 8080
NAT IP : 123.123.123.123
NAT Port : 8080
NAT reflection : Use system default
이와 같이 설정하였습니다.
방화벽 / 규칙 / WAN 설정은 자동으로 생성되었습니다.
프로토콜 TCP / 출발지 * / 출발지포트 * / 도착지 123.123.123.123 / 도착지포트 8080
System / Advanced / Admin Access
DNS Rebind Check : 체크
System / Advanced / Firewall & NAT
NAT Reflection mode for port forwards : Pure NAT
왜 내부에서는 외부IP로 접근이 안될까요.
--------------------------------------
NAT Reflection mode for port forwards : Pure NAT -> NAT + proxy
TFTP Proxy : LAN 체크
그래서 내부는 내부 IP로 접근하게 하고 외부는 외부IP로 접근하게 하는게 메뉴얼입니다. 자신이 나갔다 들어오는게 조금 규칙이...
다른 좋은 방법이 있으면 반영하는게 맞을것 같은데 일단은 기능부터 추가해보고 있네요.
DDNS, openVPN설치 완료했고 내일은 openVPN IP를 계정별로 지정할 수 있나 알아봐야겠네요.
뭔가 쉬운듯하면서도 어려운것같습니다.
포트 포워드 설정에서 NAT reflection만 Enable(일반적인 경우 NAT + Proxy 추천) 하면 내부에서 바로 접근 가능합니다.
이런 pfSense의 기초 사용 방법은 해당 메뉴에서 물음표 아이콘을 클릭해 공식 문서를 보시는 게 빠르고 '정확한' 답을 얻을 수 있습니다.
실제로 포트 포워드 메뉴에서 물음표 아이콘을 클릭하시면 이 내용이 분명하게 강조돼 있습니다.
WAN IP 주소에 포워드 설정한 포트를 내부향 인터페이스에서 접근하려면 NAT reflection을 반드시 활성화 해야 한다고요.
참고로 "나갔다 들어오는" 개념은 전혀 아니고요, 그렇게 쓰지 말라는 공식적인 권고도 매뉴얼도 존재하지 않습니다.
보안 정책에 따라 자율적으로 결정하면 될 일이나 정황상 내부 보안이 특별히 중요한 환경이 아닌 듯 보이므로
외부에서 아무나 접근 가능한 포트를 내부에서 접근하기 위해 굳이 복잡한 방법을 쓸 필요는 없다고 생각합니다.
내부용 DNS 서버를 운영하면서 방화벽과 서버에 룰을 추가하여 내부에서는 내부 IP 주소로 접속하도록 하면
NAT reflection 기능을 사용하지 않고도 내부에서 도메인으로 접속이 가능하게 할 수도 있기는 하고,
또 보안상 필요하다면 외부용 룰과 별개로 NAT reflection 기능을 사용하는 내부 전용 룰을 만드는 방법도 있고
목적을 달성하기 위한 방법은 여러 가지가 있습니다만... 보안 컨설팅을 해달라고 올리신 글이 전혀 아니므로
그저 있는 그대로, 되는 기능을 설정하는 방법을 알려드리는 게 가장 정확한 답이 되겠지요. -_-;;;