목차
가정과 준비물
집 밖에서 NAS에 접속하는 경로는 VPN 서버를 먼저 거치도록 구성합니다. NAS의 VPN 서버 기능과 공유기 관리 권한이 준비돼 있어야 합니다. NAS와 공유기는 인터넷에 연결되어 있어야 하며, 외부에서 사용할 스마트폰이나 노트북에는 WireGuard 클라이언트를 설치합니다.
UGREEN DXP4800 Plus처럼 파일 저장뿐 아니라 데이터베이스와 자동화 컨테이너가 상시 실행되는 NAS라면 관리자 화면을 인터넷에 직접 공개하는 방식보다 VPN을 검토하는 편이 안전합니다. 포트 번호, DDNS 주소, VPN 서버의 내부 IP도 미리 정해 둡니다.
WireGuard 터널 구성
WireGuard는 암호화된 터널을 만드는 VPN 방식입니다. 서버와 클라이언트가 각각 개인키·공개키 한 쌍을 사용하며, 개인키는 다른 사람에게 전달하지 않습니다. NAS에서 서버 설정을 만든 뒤 클라이언트 설정의 공개키를 등록하는 순서입니다.
예시 설정은 실제 네트워크에 맞게 주소를 바꿔야 합니다.
[Interface]
PrivateKey = YOUR_SERVER_PRIVATE_KEY
Address = 10.8.0.1/24
ListenPort = 51820
[Peer]
PublicKey = YOUR_CLIENT_PUBLIC_KEY
AllowedIPs = 10.8.0.2/32
클라이언트에는 다음처럼 서버 주소와 내부망 대역을 지정합니다. 192.168.1.0/24는 집 내부망의 실제 대역으로 바꿉니다.
[Interface]
PrivateKey = YOUR_CLIENT_PRIVATE_KEY
Address = 10.8.0.2/24
[Peer]
PublicKey = YOUR_SERVER_PUBLIC_KEY
Endpoint = vpn.example.com:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25
설정 뒤에는 WireGuard 공식 Quick Start에 나온 wg show로 현재 인터페이스와 피어 구성을 확인합니다. 클라이언트에서 터널을 켜고 트래픽을 보낸 다음 서버의 wg show 명령 출력에서 최근 핸드셰이크와 송수신 상태를 확인하고, 이어 NAS 내부 IP에 ping 또는 관리 페이지 요청을 보내 터널과 내부 서비스 접근을 나눠 검증합니다. 핸드셰이크가 있어도 내부 IP가 열리지 않으면 AllowedIPs, IP 포워딩, NAT와 방화벽을 다시 확인해야 합니다.
포트 포워딩과 접근 제한
공유기에서 UDP VPN 포트를 NAS의 WireGuard 서버 포트로 포트 포워딩합니다. DDNS는 유동적으로 바뀌는 집 인터넷 주소를 도메인처럼 찾아가게 해 주므로, 클라이언트의 Endpoint에는 DDNS 주소를 사용합니다. DDNS 갱신이 멈추면 터널이 연결되지 않으므로 공유기나 DDNS 서비스의 갱신 상태를 확인합니다.
위 IPv4 포트 포워딩 방식은 인터넷에서 공유기까지 해당 UDP 포트로 들어올 수 있어야 합니다. 통신사의 공유 주소망(CGNAT)이나 상위 공유기가 있으면 집 공유기 설정만으로는 외부 연결이 안 될 수 있습니다. 공유기의 WAN IPv4 주소와 외부에서 보이는 IPv4 주소를 비교하고, 다르거나 공유 주소 대역이라면 상위 장비 구성과 통신사에 공인 IPv4 사용 가능 여부를 확인하세요. Tailscale의 NAT 설명도 통신사 NAT는 가입자가 직접 포트 포워딩을 설정할 수 없다고 설명합니다. DDNS는 바뀐 주소를 찾는 기능이지 이 제한을 해소하는 기능은 아닙니다.
WireGuard는 인증서 기반 VPN과 달리 공개키 암호화를 기반으로 피어를 인증합니다. 서버와 클라이언트가 각각 개인키·공개키를 사용하며, 개인키는 다른 사람에게 전달하지 않습니다. 기기를 추가할 때마다 별도 키를 만들고, 분실한 기기의 공개키를 서버 설정에서 삭제하면 해당 기기만 차단할 수 있습니다.
내부망 라우팅은 AllowedIPs가 결정합니다. NAS 접속만 필요하면 VPN 터널 주소와 접근할 집 내부망 대역만 지정하는 분할 터널을 고려하고, 모든 IPv4 인터넷 트래픽을 집으로 보낼 때는 0.0.0.0/0을 사용합니다. IPv6 트래픽은 별도로 설정해야 하며, 전체 터널의 라우팅과 누출 여부도 사용하는 기기에서 확인해야 합니다. 이 경우 VPN 서버 측의 IP 포워딩과 NAT(매스커레이딩), 방화벽·라우팅 설정까지 확인해야 합니다.
관리자 접근과 선택 기준
NAS 관리자 페이지는 VPN으로 들어온 내부 주소에서만 접속하도록 방화벽 규칙을 제한합니다. 외부 공개 포트에는 관리자 페이지를 연결하지 않고, VPN 연결 후 NAS 내부 IP와 관리 포트로 접속하는 구조가 기본입니다.
| 비교 항목 | VPN 접속 | 관리자 페이지 직접 공개 |
|---|---|---|
| 외부 노출 범위 | VPN 포트 중심 | 관리 서비스 노출 |
| 인증 방식 | 클라이언트 키 | 계정·비밀번호 중심 |
| 설정 난이도 | 중간 | 낮음 |
| 접근 통제 | 기기별 폐기 가능 | 계정 정책에 의존 |
설정이 조금 번거로워도 본인 기기 중심으로 접속을 통제하고 기기별 보안을 적용하려면 WireGuard를 선택합니다. 빠른 임시 접근이 목적이어도 관리자 페이지 직접 공개는 강한 비밀번호, 다중 인증, 허용 IP 제한을 함께 적용할 수 있을 때만 검토합니다.
VPN 포트 포워딩은 올바른데 연결 후 NAS가 보이지 않는 경우가 있습니다. 이때는 AllowedIPs에 내부망 대역이 빠졌거나 NAS·공유기의 방화벽이 VPN 대역을 차단한 조건일 수 있으며, 클라이언트의 핸드셰이크 시간과 NAS 내부 IP 접속 여부를 확인해 라우팅 규칙을 수정합니다.
자주 묻는 질문
VPN을 켜면 NAS 관리자 화면도 안전한가요?
VPN 자체가 모든 접근을 허용하는 것은 아닙니다. 관리자 페이지는 VPN 대역에서만 허용하고, 관리자 계정에는 다중 인증과 강한 비밀번호를 적용해야 합니다.
DDNS가 꼭 필요한가요?
집 인터넷 주소가 바뀌는 환경에서는 DDNS가 편리합니다. 고정 공인 IP가 있다면 DDNS 없이도 접속할 수 있습니다.
스마트폰과 노트북을 함께 등록해도 되나요?
가능하지만 각 기기에 별도 키와 VPN IP를 배정하는 방식이 좋습니다. 한 기기를 잃어버렸을 때 다른 기기까지 차단되는 문제를 줄일 수 있습니다.
결론
VPN으로 집 밖에서 NAS에 접속할 때는 WireGuard 키 인증, DDNS와 포트 포워딩, 내부망 라우팅, 관리자 접근 제한을 한 묶음으로 설정해야 합니다. 공유기 포트 개방 없이 등록된 기기끼리 접속하는 대안을 살펴보려면 Tailscale 원격 접속 구성을 참고하세요.