[HomeLabs] MikroTik 홈랩: VLAN과 방화벽 설정 사례

목차

• MikroTik 홈랩에서 VLAN이 왜 중요한가
• MikroTik 홈랩 네트워크 구성 사례
• MikroTik 홈랩 VLAN 설정 전에 먼저 정리할 개념
• MikroTik 라우터에서 VLAN 설정하기
• MikroTik 홈랩 방화벽 규칙 설계: 막을 건 막고, 열 건 열기
• 추천하는 방화벽 접근 방식
• ⚠️ 실제로 겪었던 문제와 해결법
• 1. VLAN 필터링을 너무 빨리 켠 경우
• 2. 트렁크 포트인데 상대 장비가 태그를 못 받는 경우
• 3. IoT는 막았는데 Chromecast류 장비 검색이 안 되는 경우
• 4. 방화벽은 맞는데 DNS 때문에 인터넷이 안 되는 경우
• 5. NAT를 빼먹어서 외부 인터넷이 안 되는 경우
• 검증 방법과 실제 결과
• 정리: MikroTik 라우터로 홈랩을 나눌 때 기억할 것
• 자주 묻는 질문
• Q1. 집에서 VLAN까지 꼭 해야 하나요?
• Q2. MikroTik 라우터가 초보자에게 너무 어렵지 않나요?
• Q3. 방화벽 규칙은 얼마나 세분화해야 하나요?

MikroTik 홈랩: VLAN과 방화벽 설정 사례

MikroTik 홈랩을 조금만 키워도 결국 부딪히는 지점이 있습니다. 처음에는 공유기 하나에 스위치 하나만 붙여도 잘 돌아가지만, 장비와 서비스가 늘어나면 "이 장비를 같은 네트워크에 둬도 되나?"라는 고민이 꼭 생기거든요. 저도 관리용 장비, 서버, IoT, 일반 사용자 PC를 한 네트워크에 몰아넣고 쓰다가 브로드캐스트 트래픽이 늘고, 방화벽 규칙은 꼬이고, 문제 생기면 원인 찾기가 꽤 힘들었습니다. 그래서 MikroTik 홈랩 구조를 다시 짜면서 VLAN 설정과 방화벽 규칙을 정리했는데, 이거 진짜 관리가 훨씬 편해지더라고요.

이번 글은 이론만 훑는 글이 아니라, 제가 실제로 MikroTik 라우터 기준으로 홈랩 네트워크를 분리하고 보안을 다듬었던 흐름을 정리한 사례입니다. 특히 MikroTik 라우터를 이미 쓰고 있거나, 홈 네트워크 보안을 한 단계 올리고 싶은 분이라면 바로 적용 포인트를 잡는 데 도움이 될 겁니다. 예시는 RouterOS 7 계열 기준으로 봐 주세요.

관리망, 서버망, IoT망, 사용자망으로 분리된 MikroTik 홈랩 전체 구조 예시입니다.

MikroTik 홈랩에서 VLAN이 왜 중요한가

쉽게 말해 VLAN(Virtual LAN, 가상 랜)은 물리적으로는 같은 스위치와 케이블을 쓰지만 논리적으로는 다른 네트워크처럼 분리하는 방식입니다. 예를 들어 NAS, Proxmox, 관리용 노트북은 신뢰도가 높은 관리망에 두고, 스마트 플러그나 카메라 같은 IoT 장비는 별도 망으로 빼는 식이죠.

처음엔 좀 번거로워 보여도, 실제로 나눠 놓으면 장점이 꽤 분명합니다.

• 보안: IoT 장비에 문제가 생겨도 서버망으로 바로 넘어오기 어렵습니다.
• 운영 편의성: 장비 성격별로 IP 대역이 나뉘니 장애 범위를 빨리 좁힐 수 있습니다.
• 정책 적용: VLAN별로 방화벽 규칙, DHCP, DNS 정책을 다르게 줄 수 있습니다.
• 확장성: 나중에 가상화 서버나 무선 AP를 추가해도 구조가 덜 흔들립니다.

특히 MikroTik 홈랩에서는 RouterOS가 브리지와 VLAN 필터링을 잘 지원해서, 장비 수가 조금만 늘어나도 체감 차이가 큽니다.

MikroTik 홈랩 네트워크 구성 사례

이번 사례는 데이터센터급으로 복잡한 구조는 아니고, 집에서 충분히 따라 할 수 있는 수준입니다. 저는 관리 편의성과 보안 사이에서 균형을 맞추는 방향으로 잡았습니다.

VLAN	용도	예시 대역	접근 정책
10	관리망	192.168.10.0/24	라우터 관리, 스위치/AP 관리 허용
20	서버망	192.168.20.0/24	내부 서비스 운영, 필요한 포트만 허용
30	IoT망	192.168.30.0/24	인터넷 허용, 내부망 접근 제한
40	사용자망	192.168.40.0/24	일반 PC/모바일, 서버 일부 접근 허용

포트 역할은 이렇게 잡았습니다.

• ether1: WAN(Uplink, 외부 회선 연결)
• ether2: 관리용 Access 포트
• ether3: 서버용 Access 포트
• ether4: IoT용 Access 포트
• ether5: 무선 AP 또는 관리형 스위치로 가는 Trunk(여러 VLAN 태그를 동시에 전달하는 포트)

여기서 중요한 포인트는 처음부터 모든 포트를 트렁크로 만들지 않는 것입니다. 홈랩에서는 필요한 포트만 트렁크로 두고, 나머지는 명확하게 Access 포트로 두는 편이 훨씬 덜 헷갈립니다.

각 이더넷 포트가 어떤 VLAN에 연결되는지 보여주는 포트 매핑 예시입니다.

MikroTik 홈랩 VLAN 설정 전에 먼저 정리할 개념

VLAN 설정에서 많이 헷갈리는 게 Tagged와 Untagged입니다. 저도 여기서 한참 헤맸습니다.

• Tagged: VLAN 번호 태그를 붙여서 전달합니다. 스위치 간 연결이나 AP 업링크에 주로 씁니다.
• Untagged: 일반 장비가 그대로 연결되어도 되도록 태그 없이 보냅니다. PC나 프린터 같은 단말 포트에 씁니다.
• PVID: 포트로 들어오는 언태그드 트래픽을 어느 VLAN에 넣을지 정하는 기본 VLAN ID입니다.

쉽게 말해, 트렁크 포트는 여러 VLAN 트래픽을 라벨 붙여서 보내는 길이고, 액세스 포트는 한 종류만 받는 문이라고 생각하면 이해가 빠릅니다.

MikroTik 라우터에서 VLAN 설정하기

이제 실전입니다. 아래 예시는 RouterOS CLI 기준입니다. 인터페이스 이름과 포트 구성은 장비마다 다를 수 있으니 그대로 붙여 넣기 전에 꼭 확인하세요. 특히 VLAN 필터링은 제일 마지막에 켜는 편이 안전합니다.

1. 브리지를 만들고, 처음에는 VLAN 필터링을 끈 상태로 구성합니다.
2. 각 포트를 브리지에 넣고 PVID를 지정합니다.
3. 브리지 위에 VLAN 인터페이스를 만들고 IP를 할당합니다.
4. 브리지 VLAN 테이블을 작성합니다.
5. 마지막에 VLAN 필터링을 켭니다.

/interface bridge
add name=br-lan vlan-filtering=no comment="HomeLab bridge"

/interface bridge port
add bridge=br-lan interface=ether2 pvid=10 comment="Mgmt access"
add bridge=br-lan interface=ether3 pvid=20 comment="Server access"
add bridge=br-lan interface=ether4 pvid=30 comment="IoT access"
add bridge=br-lan interface=ether5 comment="Trunk to AP or managed switch"

/interface vlan
add interface=br-lan name=vlan10-mgmt vlan-id=10
add interface=br-lan name=vlan20-server vlan-id=20
add interface=br-lan name=vlan30-iot vlan-id=30
add interface=br-lan name=vlan40-user vlan-id=40

/ip address
add address=192.168.10.1/24 interface=vlan10-mgmt
add address=192.168.20.1/24 interface=vlan20-server
add address=192.168.30.1/24 interface=vlan30-iot
add address=192.168.40.1/24 interface=vlan40-user

/interface bridge vlan
add bridge=br-lan vlan-ids=10 tagged=br-lan,ether5 untagged=ether2
add bridge=br-lan vlan-ids=20 tagged=br-lan,ether5 untagged=ether3
add bridge=br-lan vlan-ids=30 tagged=br-lan,ether5 untagged=ether4
add bridge=br-lan vlan-ids=40 tagged=br-lan,ether5

/interface bridge
set br-lan vlan-filtering=yes

여기서 중요한 건 CPU 포트 역할을 하는 브리지 자체를 tagged에 넣는 것입니다. 이걸 빼먹으면 라우터가 해당 VLAN 트래픽을 제대로 처리하지 못해서, 설정은 맞는 것 같은데 IP도 안 붙고 DHCP도 안 되는 상황이 나올 수 있습니다.

DHCP까지 같이 구성하려면 이렇게 이어가면 됩니다. RouterOS에서는 DHCP 서버가 기본적으로 비활성 상태로 추가되므로, 예시처럼 disabled=no를 넣어 주는 편이 확실합니다.

/ip pool
add name=pool-mgmt ranges=192.168.10.100-192.168.10.199
add name=pool-server ranges=192.168.20.100-192.168.20.199
add name=pool-iot ranges=192.168.30.100-192.168.30.199
add name=pool-user ranges=192.168.40.100-192.168.40.199

/ip dhcp-server
add name=dhcp-mgmt interface=vlan10-mgmt address-pool=pool-mgmt disabled=no
add name=dhcp-server interface=vlan20-server address-pool=pool-server disabled=no
add name=dhcp-iot interface=vlan30-iot address-pool=pool-iot disabled=no
add name=dhcp-user interface=vlan40-user address-pool=pool-user disabled=no

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1
add address=192.168.30.0/24 gateway=192.168.30.1 dns-server=192.168.30.1
add address=192.168.40.0/24 gateway=192.168.40.1 dns-server=192.168.40.1

/ip dns
set allow-remote-requests=yes servers=1.1.1.1,8.8.8.8

여기서 한 가지 더 챙길 부분이 있습니다. DHCP에서 각 VLAN의 게이트웨이 주소를 DNS 서버로 내려줄 거라면, 라우터 자체 DNS 리졸버도 같이 켜줘야 합니다. 이걸 빼먹으면 방화벽은 멀쩡한데 웹 접속만 안 되는 묘한 상황이 생기더라고요.

브리지, VLAN 인터페이스, 포트 PVID를 설정하는 실제 구성 흐름을 보여주는 장면입니다.

MikroTik 홈랩 방화벽 규칙 설계: 막을 건 막고, 열 건 열기

VLAN만 나눠 놓으면 끝이 아닙니다. 진짜 핵심은 방화벽 규칙입니다. VLAN을 나눠도 라우터가 그 사이를 라우팅해 주기 때문에, 규칙을 안 잡으면 서로 통신이 됩니다. 이 부분이 초보 때 가장 많이 놓치는 포인트였습니다.

저는 아래 원칙으로 갔습니다.

• 라우터 자체 관리 접근은 관리망에서만 허용
• IoT망은 인터넷만 허용하고 내부망 접근은 기본 차단
• 사용자망은 필요한 서버 서비스만 접근 허용
• Established/Related 연결은 먼저 허용
• 마지막에는 명시적 Drop 규칙으로 정리

그리고 일반적인 가정용 회선이라면 인터넷 연결을 위해 NAT(srcnat/masquerade)도 같이 필요합니다. 이 규칙이 빠지면 VLAN 분리는 됐는데 외부 인터넷이 안 되는 경우가 많습니다.

/interface list
add name=WAN
add name=LAN

/interface list member
add interface=ether1 list=WAN
add interface=vlan10-mgmt list=LAN
add interface=vlan20-server list=LAN
add interface=vlan30-iot list=LAN
add interface=vlan40-user list=LAN

/ip firewall address-list
add list=internal-nets address=10.0.0.0/8
add list=internal-nets address=172.16.0.0/12
add list=internal-nets address=192.168.0.0/16

/ip firewall filter
add chain=input action=accept connection-state=established,related comment="Allow established, related"
add chain=input action=drop connection-state=invalid comment="Drop invalid"
add chain=input action=accept protocol=icmp in-interface-list=LAN comment="Allow ICMP from LAN"
add chain=input action=accept in-interface=vlan10-mgmt src-address=192.168.10.0/24 comment="Allow router management from mgmt VLAN"
add chain=input action=drop in-interface-list=WAN comment="Drop all input from WAN"
add chain=input action=drop in-interface-list=LAN comment="Block router access from non-mgmt VLANs"

add chain=forward action=accept connection-state=established,related comment="Allow established, related forward"
add chain=forward action=drop connection-state=invalid comment="Drop invalid forward"
add chain=forward action=accept src-address=192.168.10.0/24 comment="Mgmt VLAN full access"
add chain=forward action=accept src-address=192.168.40.0/24 dst-address=192.168.20.0/24 protocol=tcp dst-port=80,443,22 comment="User VLAN to selected server services"
add chain=forward action=drop src-address=192.168.30.0/24 dst-address-list=internal-nets comment="Block IoT to internal networks"
add chain=forward action=accept src-address=192.168.30.0/24 out-interface-list=WAN comment="IoT to internet only"
add chain=forward action=accept in-interface-list=LAN out-interface-list=WAN comment="Allow LAN to internet"
add chain=forward action=drop in-interface-list=LAN out-interface-list=LAN comment="Default deny inter-VLAN"

/ip firewall nat
add chain=srcnat out-interface-list=WAN action=masquerade comment="Home internet NAT"

여기서 실무적으로 중요한 건 순서입니다. 방화벽 규칙은 위에서 아래로 평가되기 때문에, 허용 규칙보다 Drop을 먼저 올려버리면 열어 둔 줄 알았던 서비스가 전부 막혀 버릴 수 있습니다. 저도 SSH 하나 열겠다고 손봤다가 왜 안 되지 싶어서 한참 들여다본 적이 있습니다.

추천하는 방화벽 접근 방식

1. 먼저 Established/Related 허용
2. 그다음 라우터 자체 보호용 input 규칙 정리
3. 서비스별 예외 허용 추가
4. 마지막에 기본 차단(Default Deny)

이 구조로 가면 나중에 규칙이 늘어나도 덜 망가집니다. MikroTik 홈랩을 오래 굴릴 생각이면 이게 꽤 중요합니다.

⚠️ 실제로 겪었던 문제와 해결법

여기서는 제가 실제로 많이 헷갈렸던 부분만 적어보겠습니다. 문서만 보면 간단해 보이는데, 현장에서는 꼭 한 번씩 걸리더라고요.

1. VLAN 필터링을 너무 빨리 켠 경우

증상: 설정하다가 갑자기 접속이 끊깁니다.

원인: 브리지 VLAN 테이블이 덜 잡힌 상태에서 vlan-filtering=yes를 먼저 켠 경우입니다.

해결: Safe Mode에서 작업하거나, 콘솔 접속 가능한 상태에서 마지막 단계에 켜는 게 안전합니다.

2. 트렁크 포트인데 상대 장비가 태그를 못 받는 경우

증상: AP나 관리형 스위치 뒤쪽 VLAN이 전부 안 뜹니다.

원인: 반대편 장비 포트가 Access로 되어 있거나 Native VLAN 설정이 다를 때가 많습니다.

해결: 양쪽 장비에서 Tagged/Untagged 정책을 맞추고, 필요한 경우 관리 VLAN을 따로 지정합니다.

3. IoT는 막았는데 Chromecast류 장비 검색이 안 되는 경우

이건 꽤 자연스러운 현상입니다. 멀티캐스트나 브로드캐스트 기반 탐색은 VLAN 경계에서 그대로 끊기는 경우가 많거든요. 그래서 mDNS Repeater나 별도 예외 정책이 필요할 수 있습니다. 저는 보안 우선으로 두고 꼭 필요한 장비만 따로 예외를 넣었습니다.

4. 방화벽은 맞는데 DNS 때문에 인터넷이 안 되는 경우

의외로 자주 만납니다. 포워드 규칙은 열었는데 DNS 질의가 막혀 있거나, DHCP에서 DNS를 잘못 내려주면 사용자는 그냥 "인터넷 안 됨"으로 느낍니다. 이럴 땐 핑과 DNS 조회를 분리해서 보는 게 훨씬 빠릅니다.

5. NAT를 빼먹어서 외부 인터넷이 안 되는 경우

이것도 많이 나옵니다. 특히 집에서 MikroTik 라우터가 인터넷 경계 장비 역할을 한다면, 일반적으로 masquerade 규칙이 필요합니다. 상위 장비가 각 VLAN 대역으로 되돌아오는 정적 라우트를 알고 있지 않다면 NAT 없이 바로 인터넷이 되긴 어렵습니다.

관리망, 서버망, IoT망 사이에서 허용되는 경로와 차단되는 경로를 한눈에 보여주는 이미지입니다.

검증 방법과 실제 결과

설정을 끝냈다면 반드시 검증을 해야 합니다. 저는 보통 아래 순서로 확인합니다.

1. 각 VLAN 포트에 장비를 하나씩 연결해서 DHCP 주소가 제대로 나오는지 확인
2. 게이트웨이 핑이 되는지 확인
3. 인터넷 접근이 필요한 VLAN은 외부 접속 확인
4. 차단해야 하는 VLAN 간 접근이 실제로 막히는지 확인
5. 허용해야 하는 서비스 포트만 열리는지 확인

# 클라이언트 측 점검 예시
ping 192.168.10.1
ping 192.168.20.1
nslookup example.com
curl http://192.168.20.10
ssh user@192.168.20.10

제가 이 구조로 옮긴 뒤 가장 크게 느낀 변화는 두 가지였습니다. 첫째, 문제 원인을 찾는 시간이 확실히 줄었습니다. "이 장비는 VLAN 30 IoT망"이라고 딱 정리되어 있으니 문제 범위가 바로 좁혀지더라고요. 둘째, 홈 네트워크 보안이 눈에 띄게 안정됐습니다. 적어도 IoT 장비 하나 이상해졌다고 NAS나 하이퍼바이저까지 바로 노출되는 구조는 아니게 된 거죠.

물론 단점도 있습니다. VLAN이 늘어나면 규칙 관리가 귀찮아집니다. 다만 초반 설계를 잘해 두면 이 불편은 꽤 줄어듭니다. 주소 대역 규칙, 인터페이스 리스트, Address List를 적극적으로 쓰면 나중에 정말 편합니다.

정리: MikroTik 라우터로 홈랩을 나눌 때 기억할 것

• VLAN 분리만으로 끝나지 않습니다. 방화벽 규칙이 같이 가야 진짜 분리입니다.
• 관리망은 별도로 두는 게 좋습니다. 라우터, 스위치, AP 관리는 한 구역으로 모아 두면 운영이 편합니다.
• IoT망은 기본 차단이 안전합니다. 필요할 때만 예외를 여는 방식이 덜 위험합니다.
• 트렁크와 액세스 개념을 명확히 구분해야 합니다. 여기서 대부분 꼬입니다.
• 인터넷 연결 검증에는 DNS와 NAT까지 같이 봐야 합니다. 이 둘이 빠지면 원인 파악이 더 어려워집니다.

혹시 지금 MikroTik 홈랩을 운영 중인데 네트워크가 점점 복잡해지고 있다면, 가장 먼저 VLAN 2~3개만 나누는 것부터 시작해 보세요. 한 번 구조가 잡히면 이후에 무선 AP, Proxmox, NAS, 리버스 프록시 같은 요소를 붙일 때 훨씬 편합니다. 다음 글에서는 MikroTik 라우터와 무선 AP를 연동해서 SSID별 VLAN을 태우는 방법도 다뤄볼 예정입니다. 이전 글의 홈랩 IP 설계 원칙 글과 함께 보면 흐름이 더 잘 잡힐 겁니다.

VLAN과 방화벽 적용 전후의 차이를 요약한 비교 인포그래픽입니다.

자주 묻는 질문

Q1. 집에서 VLAN까지 꼭 해야 하나요?

장비가 5~6대 이하이고 성격이 비슷하면 당장은 아닐 수도 있습니다. 하지만 서버, NAS, CCTV, IoT, 재택근무 PC가 섞이기 시작하면 분리해 두는 게 확실히 편합니다.

Q2. MikroTik 라우터가 초보자에게 너무 어렵지 않나요?

솔직히 쉽지는 않습니다. 저도 처음엔 메뉴 구조와 용어 때문에 꽤 헷갈렸습니다. 그래도 한 번 브리지, VLAN, 방화벽 흐름을 이해하면 아주 세밀하게 제어할 수 있다는 장점이 큽니다.

Q3. 방화벽 규칙은 얼마나 세분화해야 하나요?

처음에는 너무 잘게 나누지 않는 편이 낫습니다. 관리망 전체 허용, IoT망 인터넷만 허용, 사용자망에서 서버 특정 포트 허용 정도로 시작한 뒤 점진적으로 다듬는 방식이 현실적입니다.

📚 함께 읽으면 좋은 글

• 홈랩 미니PC, NUC vs ASUS PN vs GMKtec 3년 총소유비용 분석
• 홈랩 AI 성능 비교: Jetson Nano와 구형 GPU 벤치마크
• Tailscale vs OpenVPN, 어떤 선택이 현명할까?