어렵지 않게 이해하는 NAT와 포트포워딩
집 안의 모든 기기가 왜 주소 하나를 같이 쓰는지, 왜 밖에서 들어오는 연결이 내 기기를 찾지 못하는지, 그리고 안전하게 길을 여는 방법 — 또는 열 수 없는 이유.
2026. 9. 26. 수정2분 분량
실행하기 전에
인터넷 사업자는 집에 공인 주소를 하나 줍니다. 공유기 뒤의 휴대폰, 노트북, TV가 모두 그 주소를 같이 씁니다. 이를 가능하게 하는 기술이 NAT(네트워크 주소 변환)이고, 평소 인터넷은 그냥 잘 되는데 집에서 무언가를 운영하려면 안 되는 이유도 NAT로 설명됩니다.
공유기가 하는 일
집 안의 기기가 웹 페이지를 요청하면, 공유기는 기기의 사설 주소를 공인 주소로 바꿔 요청을 보내고, 어느 기기가 요청했는지 표에 적어 둡니다. 응답이 돌아오면 그 표를 보고 전달할 곳을 압니다.
밖에서 시작된 트래픽은 그 표에 기록이 없습니다. 공인 주소의 어떤 포트로 들어온 연결은 공유기에 도착하지만, 공유기는 어느 기기로 보낼지 모르니 버립니다. 그래서 집에 있는 게임 서버, NAS, 카메라는 기본적으로 밖에서 접속할 수 없습니다. 동시에 외부에 노출할 생각이 없던 기기를 NAT가 조용히 보호해 주는 이유이기도 합니다.
포트포워딩
포트포워딩은 그 표에 고정 항목을 넣는 것입니다. “25565번 포트로 들어오는 건 모두 192.168.1.40으로”처럼요. 안전하게 설정하려면:
- 기기에 고정 로컬 주소를 주세요. 대부분의 공유기에서는 DHCP 예약이라고 부릅니다. 그러지 않으면 언젠가 기기 주소가 바뀌어 규칙이 엉뚱한 기기를 가리킵니다.
- 서비스에 필요한 포트만, 그 기기 하나로 넘기세요.
- 관리용 포트는 절대 넘기지 마세요. 원격 데스크톱(3389), 파일 공유(445), 데이터베이스, 공유기 관리 페이지는 공격자가 가장 먼저 찾는 것들입니다. 자주 보는 포트와 그 용도에 표시해 두었습니다.
- 기기를 최신으로 유지하고 강한 비밀번호를 쓰세요. 포트를 넘긴 순간부터 인터넷의 누구든 문을 두드릴 수 있습니다.
파일, 홈 서버, 카메라처럼 내 기기에 원격으로 접속하려는 거라면, 포트를 여는 것보다 집 네트워크로 들어가는 VPN이 더 안전합니다. 서비스마다 문을 하나씩 여는 대신, 나만 열쇠를 가진 암호화된 문 하나를 두는 것입니다.
포트포워딩이 안 되는 경우: CGNAT
일부 사업자, 특히 모바일과 일부 광랜 사업자는 공인 주소 하나를 여러 고객이 나눠 씁니다. 이를 통신사 NAT(CGNAT)라고 하며, 내 공유기는 내가 제어할 수 없는 두 번째 NAT 뒤에 있게 됩니다. 이때는 트래픽이 내 공유기까지 오지도 않으니 공유기에서 포트포워딩을 해도 아무 소용이 없습니다.
확인하는 법: 공유기에 표시된 인터넷(WAN) 주소와 첫 화면 맨 위의 주소를 비교하세요. 둘이 다르거나, 공유기 주소가 100.64.0.0/10이나 사설 대역이면 CGNAT 뒤에 있는 것입니다. 해결책은 사업자에게 공인 주소를 요청하거나(유료 옵션인 경우도 있습니다), IPv6를 쓰거나, 터널 서비스를 이용하는 것입니다.
UPnP
UPnP(Universal Plug and Play)는 기기가 스스로 공유기의 포트를 열 수 있게 합니다. 게임기는 설정 없이 멀티플레이가 되니 좋아하죠. 문제는 네트워크의 어떤 것이든 이걸 할 수 있다는 점입니다. 악성 코드도요. 쓰는 기기 중에 필요한 게 없다면 끄고, 필요하다면 공유기의 UPnP 매핑 목록을 가끔 확인하세요.
IPv6는 다릅니다
IPv6에서는 기기마다 자기 공인 주소가 있고 주소 변환이 없습니다. 연결이 들어올 수 있는지는 공유기의 방화벽이 정하며, 기본적으로 NAT처럼 들어오는 연결을 막습니다. IPv6에서 포트포워딩에 해당하는 것은 기기 하나의 포트 하나를 허용하는 방화벽 규칙입니다.
설정 확인하기
공인 주소가 무엇을 드러내고 무엇을 드러내지 않는지는 IP 주소로 알 수 있는 것과 알 수 없는 것에 정리돼 있습니다. 넘긴 포트가 동작하는지는 내 네트워크 밖에서, 예를 들어 모바일 데이터를 켠 휴대폰이나 친구를 통해 확인하세요. 그리고 언제나 내 소유의 연결만 테스트하세요.