셀프 호스팅 홈 서버의 IPv6 방화벽 규칙 구성 방법

원치 않는 인바운드 IPv6 트래픽에 상태 저장 방식의 기본 거부 정책을 적용하고, 공개할 서비스만 허용하세요. IPv4 규칙 세트를 그대로 복사하거나 포트 포워딩이 없다는 사실에 의존하지 마세요.

IPv6 호스트는 전 세계에서 라우팅 가능한 주소를 받을 수 있으므로, 경계는 NAT가 아니라 라우터와 호스트 방화벽이 적용해야 합니다. 가장 큰 운영상 위험은 이웃 탐색, 라우터 탐색, 패킷 크기 피드백을 지원하는 ICMPv6를 과도하게 차단하는 것입니다. 먼저 인벤토리와 외부 테스트를 수행하고, 콘솔 액세스를 유지하며, 한 번에 한 계층씩 변경하세요.

주소, 인터페이스 및 노출 범위 인벤토리 작성

서버의 전역 주소, 고유 로컬 주소, 링크 로컬 주소와 해당 주소를 수신하는 인터페이스를 확인하세요. 전체 주소 하나에 연결된 규칙이 조용히 오래된 상태가 될 수 있으므로 ISP 프리픽스가 변경되는지도 확인하세요.

IPv6에서 수신 대기 중인 모든 소켓을 나열하고, LAN 전용, VPN 전용 또는 공개 중 의도한 사용자를 기준으로 매핑하세요. ::에 바인딩된 서비스는 방화벽이 제한하지 않는 한 모든 IPv6 주소에서 연결을 수락할 수 있습니다.

실제로 IPv6를 지원하는 네트워크에서 외부 스캔을 수행하세요. 최근 연구에서는 많은 가정용 기기가 IPv6를 통해 직접 연결될 수 있는 것으로 나타났으며, 이는 가정용 IPv6 노출을 추정하지 말고 측정해야 하는 이유를 뒷받침합니다.

상태 저장 기본 정책 구축

루프백, 이미 설정되었거나 관련된 트래픽, 필요한 로컬 네트워크 제어 트래픽을 허용하세요. 잘못된 상태와 원치 않는 인바운드 포워딩은 기본적으로 차단하세요.

프로토콜 전체를 차단하는 대신 필요한 ICMPv6 메시지 유형을 허용하세요. 규칙 변경 후 주소 할당, 이웃 연결 가능성 또는 대용량 전송에 문제가 발생하면 애플리케이션 포트를 변경하기 전에 ICMPv6 처리를 복원하세요.

라우터의 입력 정책과 서버 포워딩 정책을 분리하세요. 라우터를 통해 애플리케이션을 공개한다고 해서 라우터 자체의 SSH 또는 웹 인터페이스까지 공개할 필요는 없습니다.

범위를 좁힌 서비스 규칙 추가

각 공개 서비스를 대상 서버, 프로토콜 및 포트별로 허용하되, 가능하면 외부 인터페이스에서만 허용하세요. 데이터베이스, 컨테이너 관리 및 스토리지 관리는 신뢰할 수 있는 LAN 또는 VPN 소스로 제한하세요.

인터페이스 그룹, 프리픽스 별칭 또는 프리픽스 변경에 따라 업데이트되는 호스트 규칙처럼 방화벽이 지원하는 안정적인 대상 지정 방식을 사용하세요. 위임된 프리픽스가 갱신될 때마다 렌더링된 규칙을 확인하세요.

서비스가 리버스 프록시 뒤에 있다면 프록시 포트만 공개하고 업스트림은 비공개로 유지하세요. 안정적인 Immich 네트워크 공유에 대한 ZimaSpace 가이드는 스토리지 경로 장애를 노출 및 방화벽 변경과 분리하는 데 도움이 됩니다.

-15% OFF

ZimaBoard 2 - 당신의 큰 아이디어를 위한 미니 홈 서버

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

방화벽 양쪽에서 검증

외부 IPv6 연결에서 의도한 HTTPS 이름을 테스트한 다음, 차단해야 할 관리자 포트 중 명시적으로 정한 소수의 포트를 스캔하세요. 올바른 인증서로 서비스에 연결되어야 하며, 관리자 포트는 닫혀 있거나 필터링된 상태여야 합니다.

LAN에서 클라이언트 주소를 갱신하고, 이름을 확인한 다음, 대용량 전송을 실행하세요. 이러한 검사는 라우터 광고, 이웃 탐색 및 경로 MTU 피드백이 여전히 작동하는지 확인합니다.

카운터와 로그를 검토한 다음 지나치게 시끄러운 임시 로깅은 제거하세요. 서버가 주소 구성을 잃거나 대용량 흐름이 멈추면 롤백하세요. 독립적인 외부 IPv6 네트워크에서 정책을 확인할 수 없다면 서비스 공개를 중단하세요.