사설 IP와 공인 IP, 왜 다른가

노트북은 자기 주소가 192.168.1.24라고 합니다. 그런데 이 사이트는 전혀 다른 주소를 보여줍니다. 둘 다 맞습니다. 이 차이를 이해하면 “왜 접속이 안 되지” 류의 문제가 꽤 많이 정리됩니다.

주소가 둘, 역할도 둘

노트북에 찍힌 주소는 내 네트워크 안에서 그 기기를 가리킵니다. 공유기가 나눠준 것이고, 현관문 밖에서는 아무 의미가 없으며, 지금 이 순간 전 세계 수백만 대가 똑같은 주소를 쓰고 있습니다.

이 사이트가 보는 주소는 인터넷에서 내 공유기를 가리킵니다. 고유하고, ISP가 배정하며, 공유기 뒤의 모든 것(노트북·휴대폰·TV·프린터)이 바깥 세상에는 이 주소 하나로 보입니다.

둘 사이를 번역해주는 게 NAT입니다. 공유기가 나가는 패킷의 출발지 주소를 자기 공인 주소로 바꿔 쓰고, 어느 내부 기기가 보냈는지 기억해뒀다가, 돌아오는 응답을 다시 되돌려 씁니다.

사설 대역

사설 용도로 예약돼 있어 공용 인터넷에서는 절대 라우팅되지 않는 대역이 셋입니다.

알아두면 좋은 게 둘 더 있습니다.

• 169.254.x.x 는 기기가 주소를 달라고 했는데 아무도 답을 안 해서 스스로 붙인 것입니다. 설정이 아니라 DHCP 실패의 증상입니다. 보통 케이블, 와이파이 연결, 또는 죽은 공유기가 원인입니다. 이게 보이면 그것부터 고쳐야 하고, DNS를 아무리 확인해도 소용없습니다.
• 127.0.0.1 은 언제나 “이 기기 자신”입니다. 모든 컴퓨터에서 그렇고, 기기 밖으로 절대 나가지 않습니다.

IPv6에서는 fd로 시작하는 대역이 사설에 해당하고, fe80::이 169.254.x.x에 대응하는 링크 로컬입니다.

어떤 주소가 어느 분류에 속하는지는 IP 조회 도구로 확인할 수 있습니다.

이게 설명해주는 것들

웹사이트가 내부 네트워크를 볼 수 없는 이유. 사이트는 공인 주소만 받을 뿐 그 외에는 아무것도 못 받습니다. 192.168.1.24로 가는 경로 자체가 없습니다. 그 주소는 수백만 대가 공유하는 모호한 값이니까요. 여기에 더해 브라우저는 페이지가 로컬 주소를 탐색하는 걸 차단하고, WebRTC에서도 내부 IP를 임의의 이름 뒤로 숨깁니다. 의도적인 보호 장치이고 좋은 것입니다. 내부 구성을 보여준다고 주장하는 사이트는 추측하고 있거나, 그 보호를 끄라고 요구하고 있는 것입니다.

포트 포워딩이 필요한 이유. 외부에서 접속하는 쪽은 공유기의 공인 주소에 도착합니다. 공유기는 그 사람이 어느 내부 기기를 원했는지 알 길이 없으므로, “8080 포트로 온 건 192.168.1.50으로” 라고 미리 알려두지 않으면 그냥 버립니다.

주소가 바뀌는 이유. 대부분의 가정용 ISP는 공인 주소를 동적으로 배정합니다. 보통 재부팅해도 유지되지만 보장은 없습니다. 고정된 주소로 접근해야 한다면 그게 DDNS 서비스가 존재하는 이유입니다.

여럿이 한 주소로 보이는 이유. 같은 건물 사람 전부가 공인 주소를 공유합니다. 속도 제한, 차단, 위치 추정이 전부 그 집단 전체에 적용됩니다. 아무 짓도 안 했는데 갑자기 “로봇이 아님을 증명하세요”가 뜨는 것도 이 때문입니다. 같은 주소 뒤의 누군가가 문제를 일으킨 겁니다.

CGNAT가 포트 포워딩을 망가뜨리는 이유. 일부 ISP는 가입자를 NAT 한 겹 더 뒤에 둡니다. 그러면 공유기조차 100.64.0.0 – 100.127.255.255 범위의 사설 주소를 받습니다. 공유기 관리 페이지의 주소가 100.64~100.127로 시작한다면, 내 쪽에서는 외부 접속을 받을 방법이 아예 없습니다. ISP에 진짜 공인 주소를 요청해야 합니다.

각각 확인하는 법

공인 주소는 이 사이트 첫 화면 맨 위에 있습니다. 사설 주소는 기기에 직접 물어봐야 합니다.

ipconfig getifaddr en0          # macOS, 와이파이
ip -4 addr show                 # Linux
ipconfig                        # Windows, "IPv4 주소" 항목

공유기 주소 — 관리 페이지로 들어가는 입구 — 는 기본 게이트웨이입니다.

netstat -rn | grep default      # macOS
ip route | grep default         # Linux
ipconfig | findstr Gateway      # Windows

이것들과 나머지는 로컬 점검 명령어 페이지에 각각 무엇을 봐야 하는지와 함께 정리해뒀습니다.

주소만 보고 30초 만에 진단하기

다른 걸 하기 전에 내 기기가 어떤 주소를 갖고 있는지부터 보세요.

• 169.254.x.x — DHCP 실패. 물리적 연결과 공유기를 확인하세요. 그 앞으로는 아무것도 의미 없습니다.
• 사설 주소 + 게이트웨이 ping 응답 있음 — 내부 네트워크는 정상. 문제는 더 바깥입니다. traceroute 결과 읽는 법부터 보세요.
• 사설 주소 + 게이트웨이 응답 없음 — 나와 공유기 사이가 문제입니다.
• 기기에 공인 주소가 직접 붙어 있음 — NAT 뒤가 아닙니다. 서버라면 정상이지만 노트북이라면 드문 일이고, 기기가 직접 노출돼 있다는 뜻이니 방화벽이 반드시 있어야 합니다.

여기에 30초 쓰면 엉뚱한 데를 한 시간 뒤지는 걸 자주 막아줍니다.