💡 핵심 요약 (Executive Summary)
본 가이드는 OPNsense 오픈소스 방화벽 Network 설계 핵심 가이드 및 실전 아키텍처의 핵심 개념, 실전 구성 명령어 및 아키텍처 베스트 프랙티스를 다룹니다. 클라우드 네이티브 및 인프라 엔지니어링 실무에 즉시 활용 가능하도록 체계적으로 정리했습니다.
📑 Table of Contents
L2 – NIC 정의
L3 – IP대역 정의
Total
| 인터페이스명 | 타입 | NAT 주 목적 | 대역 할당 | 용도 및 설명 |
| WAN | WAN | Destination | DHCP | 외부인터넷 사용 / VPN 인스턴스 및 외부서비스 (VLAN040, VLAN041) 노출 |
| LAN1 | LAN | Redirection |
192.168.1.0/24
|
네트워크 장비 관리 |
| LAN2 | LAN | – |
192.168.2.0/24
|
긴급용 |
| LAN3 | LAN | – |
192.168.3.0/24
|
긴급용 |
| LAN1\_V010 | VLAN | Redirection |
192.168.10.0/24
|
물리 Hosts (Harvester) |
| LAN1\_V020 | VLAN | Source |
192.168.20.0/24
|
무선 클라이언트 (WiFi) |
| LAN1\_V021 | VLAN | Source |
192.168.21.0/24
|
무선 클라이언트 (해외 VPN) |
| LAN1\_V030 | VLAN | Redirection |
192.168.30.0/24
|
내부 서비스: Harvester LB |
| LAN1\_V040 | VLAN | Redirection |
192.168.40.0/24
|
외부 서비스: Cloudflare Tunnel |
| LAN1\_V041 | VLAN | Redirection |
192.168.41.0/24
|
외부 서비스: Harvester LB, Cloudflare Proxy |
| – | Ghost Address | Destination |
192.168.118.0/24
|
물리장비 내부 서비스: NAT, Unbound DNS |
| LAN1 | VIP | Destination |
192.168.119.0/24
|
물리장비 내부 서비스: HAProxy, Unbound DNS |
| VPN1 | VPN | Source |
10.0.X.X/24
|
WireGuard Instance / Peers |
VPN 대역 정의
- WG Instance / Peers
- CIDR:
10.0.X.X/24 - Instance:
10.0.X.X/24(인스턴스 주소는10.0.X.X, 피어주소는 순차적으로 할당됨)
VLAN 대역 정의
- VLAN 정의
인터페이스명 상위 인터페이스 VLAN ID 대역 할당 용도 및 설명 LAN1 – – 192.168.1.0/24네트워크 장비 관리 vlan01.010 LAN1 10 192.168.10.0/24물리 Hosts (Harvester) vlan01.020 LAN1 20 192.168.20.0/24무선 클라이언트 (WiFi) vlan01.021 LAN1 21 192.168.21.0/24무선 클라이언트 (해외 VPN) vlan01.030 LAN1 30 192.168.30.0/24내부 서비스 (VPN Only) vlan01.040 LAN1 40 192.168.40.0/24외부 서비스 (Cloudflare Tunnel) vlan01.041 LAN1 41 192.168.41.0/24외부 서비스 (Cloudflare Proxy)
가상 네트워크 대역 정의
- 편의성과 필요성을 고려할때 두 종류의 가상 네트워크가 필요하다.
Reference & Guidelines (NOTE)
DNAT 구성시 외부에서의 접근은 Ghost IP로 잘 동작하지만, VIP가 없으면 내부에서 외부로의 호출이 원할하지 못함. 결국 VIP 선언 필요함
Ghost Address 대역: OPNSense 어디에도 존재하지 않는 인터페이스 (따로 정의 하지 않아도 되어서 편하다)
기능을 사용할때에는 실제 인터페이스가 없어도 목적지로 선언하면 리디렉션 할 수 있으므로VIP를 사용할 필요가 없다.
VIP 대역: OPNSense에서 인식할 수 있는 가상의 인터페이스.
-
Plugin 등에서는 Socket Connection 을 위해 존재가 필요함.
-
정의된 대역의 가상주소로 DNS 매핑한다.
-
아래의 서브넷은 실재로 존재하지 않으며, 편의를 위해 정의해놓고 선언하면 추후 유지보수에 편하다.
- OPNSense DNAT – VIP Net:
192.168.118.0/24 - HAProxy DNAT – VIP Net:
192.168.119.0/24
Leave a Reply