Step 38. NAT와 공유기 — 변장 담당 문지방의 비밀
Level 0 — 컴퓨터와 친해지기 | 난이도 ★☆☆☆☆ | 예상 소요 시간 2시간
전제: Step 37까지 마쳤고, 기본 게이트웨이와 tracert를 이해합니다. 윈도우 파워쉘과 브라우저를 씁니다.
- 준비물: 우리 집 공유기, 그 공유기에 연결된 컴퓨터 한 대, 브라우저.
- 주의: 오늘은 명령어보다 눈으로 보는 실습이 많습니다. 공유기 관리 페이지에 들어가도 설정은 바꾸지 않습니다 — 특히 포트포워딩이나 DMZ는 함부로 열지 않습니다. 오늘의 규칙은 "보기만 하기"입니다.
수수께끼가 두 개 있습니다. 첫째, Step 37에서 여러분의 컴퓨터는 192.168.x.x나 172.30.x.x 같은 주소를 갖고 있었는데, 옆집 컴퓨터도 똑같은 주소일 수 있습니다. 주소가 겹치는데 우편배달은 왜 안 꼬일까요? 둘째, 지구의 인터넷 주소(IPv4)는 약 43억 개뿐인데 기기는 수백억 대입니다. 모자라야 하는데 왜 멀쩡히 굴러갈까요? 두 수수께끼의 답이 오늘의 주인공 NAT이고, 그 일을 하는 장비가 지금 방 한켠에서 불을 깜빡이는 공유기입니다.
1. 학습 목표
이 챕터를 끝내면 다음을 할 수 있습니다:
- 사설 IP 세 구역을 말하고, 주어진 주소가 사설인지 공인인지 구분한다
- NAT의 4단계(바꿔치기 → 기록 → 답장 → 배달)를 설명한다
- 내 컴퓨터의 사설 IP와 공유기의 공인 IP를 각각 확인한다
- DHCP가 "기한부 임대"임을 설명하고, 배정 흔적을
ipconfig /all에서 찾는다 - 포트포워딩이 성벽의 예외문이며 노출을 만든다는 이유를 설명한다
2. 배경 지식 — 오늘의 도구와 개념
오늘의 도구 한눈에 보기
| 구분 | 내용 |
|---|---|
| 언어·환경 | 파워쉘 5.1 + 브라우저(공유기 관리 페이지) |
| 오늘의 명령어 | ipconfig(사설 IP), Invoke-RestMethod -Uri "https://api.ipify.org"(공인 IP), ipconfig /all(DHCP 흔적) |
| 필요한 개념 | 사설 IP와 공인 IP, NAT, DHCP와 임대(lease), 포트포워딩 |
2-1. 사설 IP와 공인 IP — 동네 주소와 세계 주소
IP 주소에는 두 종류가 있습니다:
- 공인 IP(public IP): 전 세계에서 유일한 주소. 인터넷의 진짜 주소. 통신사가 배정합니다.
- 사설 IP(private IP): 동네(내부 네트워크) 안에서만 쓰는 주소.
10.x.x.x,172.16~31.x.x,192.168.x.x세 구역이 정해져 있습니다. 이 주소들은 인터넷 바깥에서 길을 찾을 수 없습니다. 규칙으로 그렇게 정했습니다. 아파트 호수와 같습니다 — 어느 아파트나 101동 502호가 있지만, 그 주소만으로 우체부가 찾아갈 수는 없지요.
여러분의 컴퓨터는 사설 IP를 갖고, 공유기만 공인 IP를 갖습니다. 집 전화의 대표번호 하나와 각 방의 내선 번호를 떠올리면 됩니다.
2-2. NAT — 변장과 장부
사설 IP는 바깥에서 길을 찾을 수 없다고 했습니다. 그러면 우리는 어떻게 구글을 볼 수 있을까요? 여기서 공유기가 변장을 합니다:
- 내 컴퓨터(사설 IP)가 구글에 편지를 씁니다. 보내는 사람: 내 사설 IP.
- 공유기가 이 편지를 받아 보내는 사람을 자기 공인 IP로 바꿔치기합니다. 그리고 장부에 기록합니다. "이 편지는 사실 몇 호가 부친 것."
- 구글은 공유기의 공인 IP로 답장을 보냅니다.
- 공유기가 장부를 보고 "아, 이건 몇 호에게 가는 답장" 하며 올바른 기기에 배달합니다.
이 바꿔치기와 기록 장부를 NAT(Network Address Translation, 주소 변환)이라고 합니다. 덕분에 집안 기기가 몇 대든 공인 IP 하나로 인터넷을 씁니다 — 43억 개의 주소로 수백억 대가 사는 비결입니다. 그리고 덤이 하나 있습니다. 바깥에서는 우리 집 사설 IP로 길을 찾을 수 없으니, 밖에서 안으로 먼저 들어오는 것이 기본적으로 막힙니다. 공유기가 일종의 성벽 역할까지 하는 셈입니다.
2-3. DHCP — 자리 배정기
컴퓨터가 공유기에 연결되면(케이블이든 와이파이든) 제일 먼저 하는 일이 있습니다. "저 왔는데요, 주소 하나 주세요." 공유기가 "23번 자리 쓰세요" 하고 사설 IP를 내줍니다. 이 자동 배정 시스템을 DHCP(Dynamic Host Configuration Protocol)라고 합니다. 식당의 안내원이 빈자리로 안내해 주는 것과 같아서, 이 덕분에 우리는 IP를 손으로 입력하지 않아도 됩니다.
중요한 디테일 하나: 이 자리는 영구 소유가 아니라 기한부 임대(lease)입니다. 만료 전에 공유기가 자동으로 갱신해 줍니다.
2-4. 포트포워딩 — 성벽의 예외문
밖에서 안으로 들어오는 길이 전부 막히면 곤란한 경우가 있습니다. 내가 만든 게임 서버에 친구가 접속하게 하고 싶다든지. 이때 공유기에 규칙을 하나 적습니다. "대표번호의 25565번 포트로 오면, 몇 호의 25565번으로 연결해 줘." 이것이 포트포워딩(port forwarding)입니다. 성벽에 작은 문 하나를 여는 것이어서, 여는 만큼 노출이 생깁니다. Step 34의 "열린 문은 곧 노출"과 정확히 이어지는 긴장감입니다.
3. 따라 하기
3-1. 내 두 얼굴 확인 — 사설 IP
먼저 동네 안에서의 내 이름:
ipconfig
Ethernet adapter 이더넷:
IPv4 Address. . . . . . . . . . . : 172.30.1.54
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 172.30.1.254
(2026-09-09 실측. 여러분의 주소는 다릅니다.)
출력 읽는 법: 실측 컴퓨터의 주소는 172.30.1.54 — 192.168이 아니라 172.30으로 시작합니다. 사설 대역 세 구역 중 두 번째(172.16~31) 구역이라는 뜻입니다. 사설 IP가 꼭 192.168만은 아니라는 것을 실측으로 확인한 셈입니다. 여러분의 주소가 세 구역 중 어디에 속하는지 대조해 보세요.
3-2. 내 두 얼굴 확인 — 공인 IP
이번에는 바깥 세계가 보는 내 이름, 즉 공유기가 변장시킨 공인 IP를 확인합니다:
Invoke-RestMethod -Uri "https://api.ipify.org"
203.0.113.10
(2026-09-09 실측. 실제로는 통신사가 배정한 우리 집 공인 IP가 숫자 하나만 출력됩니다 — 위 값은 개인 정보이므로 문서용 예시 대역(203.0.113.x)으로 가공한 것입니다.)
출력 읽는 법: 사설 구역 세 곳 어디에도 속하지 않는 전혀 다른 주소가 나왔습니다. 이것이 우리 집 대표번호, 공유기의 공인 IP입니다. 옆에 있는 다른 기기(노트북, 휴대폰)에서 같은 확인을 해 보세요 — 브라우저에서 "what is my ip"를 검색해도 됩니다. 같은 주소가 나올 것입니다. 집안 기기 전부가 이 대표번호 하나로 변장하고 나가기 때문입니다.
왜: "나의 두 얼굴"을 숫자로 확인하는 것이 NAT 이해의 출발점입니다.
3-3. 예측해 보기 — 가상머신의 공인 IP는?
예측: 우분투 가상머신에서 같은 확인(
curl ifconfig.me)을 하면 공인 IP가 윈도우와 같을까요, 다를까요? 힌트: 가상머신도 결국 같은 공유기를 통해 나갑니다.
정답: 같습니다. 변장은 공유기에서 일어나고, 집안의 모든 기기(실제든 가상이든)는 그 우산 아래 있기 때문입니다. 가상머신 안에서조차 바깥 세계는 우리 집 대표번호만 봅니다.
3-4. NAT 추리 문제 — 빈칸 채우기
실습이라기보다 추리 연습입니다. 노트에 순서를 적어 봅니다.
상황: 휴대폰(사설 192.168.0.31)에서 유튜브를 켰다.
- 휴대폰이 유튜브 서버에 편지를 씁니다. 보내는 사람:
192.168.0.31. - 공유기가 보내는 사람을 ______으로 바꿉니다.
- 공유기의 장부에 "이 대화는 ______호의 것"이라고 기록합니다.
- 답장이 오면 공유기가 장부를 보고 ______호에 배달합니다.
빈칸을 채워 보세요. 답은 5절의 미션 해설에서 확인합니다. 이 네 문장이 NAT의 전부입니다 — 기술의 이름은 거창하지만 하는 일은 우체부의 전달 메모와 같습니다.
3-5. DHCP 흔적 확인 — ipconfig /all
내 컴퓨터가 자리를 배정받은 흔적을 봅니다:
ipconfig /all
Ethernet adapter 이더넷:
Description . . . . . . . . . . . : Realtek USB GbE Family Controller
Physical Address. . . . . . . . . : 98-FD-B4-xx-xx-xx
DHCP Enabled. . . . . . . . . . . : No
IPv4 Address. . . . . . . . . . . : 172.30.1.54(Preferred)
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 172.30.1.254
DNS Servers . . . . . . . . . . . : 168.126.63.1
168.126.63.2
(2026-09-09 실측, 핵심 항목만 발췌. 물리 주소(MAC)의 뒷부분은 가공했습니다. 한글 윈도우에서는 DHCP 사용함, 기본 게이트웨이, DNS 서버로 표시됩니다.)
출력 읽는 법 — 주의깊게: 실측 컴퓨터는 DHCP Enabled: No입니다. 이 컴퓨터는 주소를 수동으로 고정해 둔 경우라 임대 기록이 없습니다. 여러분의 컴퓨터에서는 대부분 예(Yes)로 나오고, 그 아래에 이런 줄들이 함께 보일 겁니다:
- 임대받은 날짜 / 임대 만료 날짜 — 자리는 영구 소유가 아니라 빌려 쓰는 것
- DHCP 서버 — 대부분 공유기 주소와 같습니다. 자리 배정기와 게이트웨이가 같은 상자 안에 들어 있는 것입니다
여러분의 화면에서 이 항목들을 직접 찾아 보세요. 예가 나오면 "공유기가 기한부로 빌려준 자리"라는 말의 실물을 보는 것이고, 아니요가 나오면 실측 컴퓨터처럼 고정 설정된 것입니다 — 둘 다 정상이며, 어느 쪽인지 아는 것이 오늘의 목표입니다.
왜: "IP는 자동으로 생긴다"가 아니라 "누가, 어떤 방식으로 배정했는가"까지 알아야, 나중에 IP 충돌이나 배정 실패를 진단할 수 있습니다.
3-6. 공유기 관리 페이지 — 우리 집의 통제실
이제 우리 집의 통제실을 직접 봅니다. 브라우저 주소창에 기본 게이트웨이 주소를 입력합니다 (3-1에서 확인한 주소):
http://172.30.1.254 ← 여러분의 게이트웨이 주소로
읽는 법: 공유기 제조사의 로그인 화면이 나타납니다. 관리자 아이디와 비밀번호를 묻는데, 모르면 공유기 본체 뒷면·옆면의 스티커를 확인하세요 — 초기 비밀번호가 적혀 있는 경우가 많습니다. 가족이 바꿔 둔 경우도 있으니 안 되면 가족에게 묻습니다. 들어가지 못해도 괜찮습니다 — 벽 1 참고.
로그인하면 대시보드가 나옵니다. 제조사마다 화면은 다르지만 대체로 이런 항목이 있습니다:
- 연결된 기기 목록: 지금 이 공유기에 붙어 있는 모든 기기. 이름과 사설 IP가 보입니다.
- 인터넷(WAN) 정보: 우리 집의 공인 IP.
- 무선 설정: 와이파이 이름과 비밀번호.
- 포트포워딩 / 가상 서버: 예외문 설정.
연결된 기기 목록 읽기: 내 컴퓨터의 사설 IP가 있나요? 휴대폰, TV, 가족의 기기들도 보일 겁니다. 각자 DHCP로 자리를 배정받은 것입니다. 모르는 기기가 있다면 와이파이 비밀번호를 아는 사람의 기기이거나 과거 연결 기록일 수 있습니다. "누가 우리 동네에 있는가"를 보는 이 목록이, 나중에는 "침입자가 있는가"를 감시하는 첫 도구가 됩니다.
주의: 설정은 바꾸지 마세요. 오늘의 실습은 "보는 것"이 전부입니다. 그리고 혹시 초기 비밀번호 그대로라면, 그것이 실제 보안 수칙 1번입니다 — 가족과 상의해 바꾸는 것을 고려하세요.
3-7. 사설 대역 퀴즈 — 스스로 채점하기
아래 주소들을 노트에 적고, 각각 사설인지 공인인지 O/X를 매겨 봅니다. 답은 5절에서 확인합니다.
192.168.1.1008.8.8.810.0.0.5172.16.3.4172.33.0.1172.30.1.54192.169.0.1
5번과 7번이 함정입니다. 경계 숫자까지 정확히 아는 것이 실력입니다. 이 구분은 로그 읽기의 기초 체조입니다 — 로그에 찍힌 주소가 "우리 집 안쪽"인지 "바깥 세계"인지를 한눈에 구분하지 못하면 침해 분석의 첫 문장도 시작할 수 없습니다.
4. 미션과 연습문제
미션 — NAT 지도 그리기
Step 37의 홉 지도 옆에, 오늘의 지도를 이어서 그립니다:
- 왼쪽에 "우리 집 동네"라고 쓴 타원을 그리고, 안에 컴퓨터·휴대폰을 사설 IP와 함께 그립니다 (3-1에서 확인한 실제 주소 사용)
- 타원의 문지방에 공유기를 그립니다. 안쪽 얼굴에는 게이트웨이 주소, 바깥쪽 얼굴에는 3-2에서 확인한 공인 IP를 적습니다
- 공유기 위에 "NAT: 보내는 사람 바꿔치기 + 장부 기록"이라고 적습니다
- 바깥에 구글을 그리고 화살표 둘을 긋습니다. 나가는 화살표에는 "공인 IP로 변장", 들어오는 화살표에는 "장부 보고 해당 기기로 배달"
- 성벽 그림을 하나 그리고 이렇게 적습니다: "밖에서 안으로 먼저 오는 것은 기본 차단. 예외문 = 포트포워딩."
연습문제
문제 1. 사설 IP 세 구역을 정확히 쓰시오.
문제 2. NAT의 4단계(바꿔치기 → 기록 → 답장 → 배달)를 3-4의 추리 문제 형식으로 설명하시오.
문제 3. NAT가 주소 절약 기술인데 "뜻밖의 성벽"이라고도 불리는 이유는 무엇인가요? 그리고 이 성벽이 만능이 아닌 이유(정문으로 통과하는 것)도 함께 말해 보세요.
문제 4. 포트포워딩이란 무엇이며, 왜 "여는 만큼 노출이 생기는가"를 설명하시오.
5. 모범 답안과 완료 기준
미션 모범 답안
완성된 지도의 모습 (2026-09-09 실측 기반):
┌──────────── 우리 집 동네 ────────────┐
│ 컴퓨터 172.30.1.54 │
│ 휴대폰 172.30.1.xx │
│ │ │
│ [공유기] ← NAT: 보내는 사람 바꿔치기 + 장부
└───────────┼──────────────────────────┘
안쪽 얼굴 172.30.1.254 │ 공인 IP(예: 203.0.113.10) 바깥쪽 얼굴
│ 나가는 편지: 공인 IP로 변장
▼
[구글] ── 답장: 장부 보고 해당 기기로 배달 ──▶
성벽: 밖에서 안으로 먼저 오는 것은 기본 차단
예외문: 포트포워딩 (여는 만큼 노출)
검증하는 법: ① 안쪽 주소들이 사설 대역 세 구역 안에 있는가. ② 공유기의 두 얼굴(안쪽 게이트웨이 주소 / 바깥 공인 IP)이 구분되어 적혔는가. ③ 나가는 화살표와 들어오는 화살표의 설명이 다른가(변장 vs 장부 배달). 셋이 맞으면 가정용 네트워크의 구조를 다 설명한 것입니다.
3-4 추리 문제의 답: 공인 IP, 0.31, 0.31.
3-7 퀴즈의 답: 1번 O, 2번 X, 3번 O, 4번 O, 5번 X(172는 16~31만 사설), 6번 O(실측 컴퓨터 주소 — 172.30은 사설입니다), 7번 X(192.168만 해당, 192.169는 공인).
연습문제 해답
문제 1 해답. 10.0.0.0~10.255.255.255, 172.16.0.0~172.31.255.255, 192.168.0.0~192.168.255.255. 이 세 구역 밖의 주소(예: 8.8.8.8, 211.x.x.x)는 공인입니다. 단, 169.254로 시작하면 DHCP 배정 실패 신호입니다.
문제 2 해답. ① 안쪽 기기가 사설 IP를 보내는 사람으로 적어 편지를 보낸다 → ② 공유기가 보내는 사람을 자기 공인 IP로 바꿔치기한다 → ③ 장부에 "이 대화는 몇 호의 것"이라고 기록한다 → ④ 답장이 오면 장부를 보고 올바른 기기에 배달한다.
문제 3 해답. 바깥의 누군가가 우리 집 사설 IP를 두드려 봤자 그 주소는 인터넷에서 길을 찾을 수 없고, 공유기의 공인 IP를 두드려도 장부에 기록이 없으면 공유기가 폐기하기 때문입니다. 그래서 공유기 뒤의 컴퓨터는 "직접 공격받기 어려운 위치"에 있습니다. 하지만 만능이 아닙니다 — 내가 먼저 나가서 가져온 것(메일 첨부, 낯선 프로그램)은 성벽을 정문으로 통과하기 때문입니다. 방어의 절반은 장비가, 절반은 사람이 합니다.
문제 4 해답. 포트포워딩은 "대표번호(공인 IP)의 특정 포트로 오면, 안쪽 특정 기기의 포트로 연결해 줘"라고 공유기에 적는 예외 규칙입니다. 성벽에 문을 여는 행위라서, 그 포트 뒤의 서비스가 바깥 세계에 그대로 노출됩니다. 서비스에 취약점이 있으면 그 문으로 공격이 들어올 수 있으므로, 문은 필요할 때 필요한 만큼만, 열 이유를 말할 수 있을 때 열어야 합니다.
완료 기준 체크리스트
- [ ] 사설 IP 세 구역을 정확히 말할 수 있다
- [ ] 내 컴퓨터의 사설 IP와 공유기의 공인 IP를 각각 확인했다
- [ ] NAT의 4단계를 설명할 수 있다
- [ ]
ipconfig /all에서 DHCP 사용 여부와 (있다면) 임대 날짜·DHCP 서버를 찾았다 - [ ] 공유기 관리 페이지가 "우리 집 통제실"임을 확인했다 (또는 못 들어간 이유를 안다)
- [ ] 포트포워딩이 노출을 만드는 이유를 설명할 수 있다
- [ ] 미션: NAT 지도 그리기를 완성했다
6. 흔한 실수와 해결
벽 1. 공유기 관리 페이지에 로그인이 안 된다
증상: 아이디/비밀번호를 넣어도 계속 튕깁니다.
원인: 초기 비밀번호를 가족이 바꿔 둔 경우가 많습니다. 제조사 기본값만 믿고 시도하다 막히는 경우입니다.
해결: 공유기 뒷면 스티커를 먼저 확인하고, 그래도 모르면 가족에게 물어보세요. 리셋 버튼 초기화는 와이파이 설정까지 날아가므로 권하지 않습니다. 구경을 못 할 뿐, 오늘 실습의 핵심(두 얼굴 확인과 지도)은 명령어로 완료할 수 있습니다.
벽 2. api.ipify.org 같은 확인 사이트가 안 열린다
증상: 명령이 오류를 내거나 페이지가 안 열립니다.
원인: 일시적 장애이거나 네트워크 정책상 막힌 경우입니다.
해결: 브라우저에서 "what is my ip"를 검색하면 검색 결과 상단에 바로 공인 IP가 표시됩니다. 도구는 여럿이고 원리는 하나입니다.
벽 3. 내 IP가 192.168도 10.x도 아닌데 사설이라고?
증상: ipconfig 결과가 172.20.x.x나 172.30.x.x처럼 생겼습니다.
원인: 사설 IP에는 세 구역이 있습니다. 172.16~31이 두 번째 구역입니다. 실측 컴퓨터의 172.30.1.54도 바로 이 구역의 사설 주소였습니다 (2026-09-09 실측).
해결: 세 구역만 기억하면 됩니다. 이 구역 밖의 주소는 공인입니다. 단, 169.254로 시작하면 DHCP 실패 신호이니 Step 36의 진단 사다리를 떠올리세요.
벽 4. 포트포워딩을 하고 싶은데 무섭다
증상: 게임 서버 등을 열고 싶은데 보안 경고가 겁납니다.
원인: 옳은 감각입니다. 여는 문은 노출입니다.
해결: 지금 단계에서는 "왜 무서운지 아는 것"으로 충분합니다. 문을 여는 실습은 방화벽과 서비스 관리를 배운 뒤 내 랩 환경에서 합니다. 원칙은 변하지 않습니다 — 모든 공격 실습은 내 랩·합법 플랫폼에서만. 실서비스 무단 공격은 범죄입니다. 남의 공유기 설정을 만지는 것도 그 범주입니다.
7. 정리
오늘의 개념
| 개념 | 한 줄 설명 |
|---|---|
| 사설 IP | 동네 안에서만 쓰는 주소 (10.x, 172.16~31.x, 192.168.x) |
| 공인 IP | 전 세계에서 유일한 주소 — 통신사가 배정, 공유기가 보유 |
| NAT | 공유기의 주소 바꿔치기 + 장부 기록 — 주소 절약과 뜻밖의 성벽 |
| DHCP | 공유기가 사설 IP를 기한부로 빌려주는 자동 배정 시스템 |
| 포트포워딩 | 성벽에 여는 예외문 — 여는 만큼 노출 |
오늘의 명령어
| 명령 | 하는 일 |
|---|---|
ipconfig |
내 사설 IP와 게이트웨이 확인 |
Invoke-RestMethod -Uri "https://api.ipify.org" |
우리 집 공인 IP 확인 |
ipconfig /all |
DHCP 사용 여부, 임대 날짜, DHCP 서버, DNS 서버 확인 |
브라우저에서 http://게이트웨이주소 |
공유기 관리 페이지(통제실) 열기 |
명령어보다 중요한 감각
어제까지 공유기는 "와이파이 나오는 상자"였습니다. 오늘부터 그 상자는 변장 담당이자 배달부이자 성벽 관리인입니다. 그리고 이 그림은 회사 네트워크에서도 규모만 다를 뿐 같습니다 — 대표번호(공인 IP), 내선 번호(사설 IP), 자리 배정기(DHCP 서버). 작은 동네를 이해한 사람이 큰 도시도 이해합니다.
두 가지를 더 기억해 두세요. 첫째, 통신사 주소도 모자라면 공유기의 공인 IP마저 사설로 주는 CGNAT(통신사급 NAT)가 있습니다 — 변장 뒤에 변장이 한 겹 더 있는 셈이라, 포트포워딩을 했는데도 밖에서 접속이 안 되면 이 경우를 의심합니다. 둘째, 오늘 확인한 "내 공인 IP"는 집 전체의 대표번호이지 내 컴퓨터의 번호가 아닙니다. 같은 공유기 아래 모든 기기가 같은 번호로 나간다는 사실 — 이것이 로그 분석에서 "이 공인 IP는 누구인가"라는 질문이 "이 집의 어느 기기인가"로 이어지는 이유입니다.
전부 체크되면 Step 38 완료입니다. 사이드바의 체크박스를 눌러 진도를 저장하세요.