국내 회선의 IPv6와 NAT 계층: 내 주소가 몇 겹 뒤에 있는지 확인하기

공유기에 포트를 열어도 밖에서 들어오지 못하고, 게임기에서 NAT 유형이 제한적으로 잡히고, 터널이 붙었다가 몇 분 뒤 조용히 끊긴다. 겉으로는 따로 노는 증상이지만 원인은 대개 한곳이다. 단말과 인터넷 사이에 주소를 바꾸는 장비가 몇 겹으로 쌓여 있는데 어느 계층이 무엇을 하는지 모르는 상태다. 국내 회선에는 조건이 하나 더 붙는다. 유선은 아직 IPv4 위주로 돌아가는 반면 같은 사람의 스마트폰은 이동통신망에서 IPv6를 함께 받는 경우가 많아, 같은 설정이 집에서와 밖에서 다르게 동작한다.

확인할 것은 세 가지다. 첫째, 내 회선이 공인 IPv4를 주는지 아니면 사업자 쪽 대규모 NAT(CGNAT) 뒤에 있는지 판별하는 방법. 둘째, 집 안에서 주소 변환이 몇 겹인지 세고 한 겹으로 줄이는 방법. 셋째, 계층 수와 IPv6 유무가 터널 동작에 어떤 증상으로 드러나는지다. 셋 다 장비를 더 사지 않고 단말과 공유기 관리 페이지만으로 확인할 수 있고, 한 번 파악해 두면 다음부터는 추측이 아니라 구조로 범위를 좁힐 수 있다.

국내 유선망이 IPv4 중심으로 남은 배경

한국은 초고속 인터넷을 이른 시기에 대규모로 깔면서 IPv4 주소를 넉넉히 확보했고, 그 몫의 상당 부분을 대형 유선 사업자가 들고 있다. 주소가 당장 모자라지 않으니 가입자망을 IPv6로 옮길 유인이 약했다. 백본과 가입자 수용 장비가 IPv6를 지원하더라도 가입자 단말까지 IPv6 프리픽스를 실제로 내려주는 마지막 단계에서 멈춰 있는 구성이 길게 이어졌다는 뜻이다. 반대로 이동통신망은 가입자 수에 비해 주소 압박이 훨씬 컸던 탓에 IPv6 도입과 사업자 측 대규모 NAT가 먼저 자리 잡았다. 다만 사업자와 상품, 지역, 장비 세대에 따라 편차가 크다. 국가별 IPv6 도입률 통계는 구글과 APNIC이 공개하고 있으니 큰 그림은 그쪽에서 보고, 어느 통신사는 된다/안 된다로 외우는 대신 지금 쓰는 회선에서 직접 확인하는 편이 정확하다.

• 해외에서 작성된 네트워크 문서는 가정용 회선에 IPv6 프리픽스가 내려온다고 전제하고 쓰인 경우가 많다. 국내 유선에서는 그 전제가 어긋나서 설명대로 따라 해도 결과가 다르게 나온다.
• IPv6로만 서비스되는 호스트에 유선에서는 닿지 않고 모바일 데이터에서는 닿는 현상이 생긴다. 단말이나 앱 문제로 오해하기 쉽다.
• DS-Lite나 464XLAT처럼 IPv6를 바탕에 깔고 IPv4를 얹는 방식의 설명은 국내 유선 환경과 잘 맞지 않는다. 유선에서 생기는 문제는 대개 그보다 단순한 이중 NAT 쪽이다.
• 모바일에서만 재현되는 문제와 유선에서만 재현되는 문제는 원인이 다르다. 두 회선에서 같은 절차를 각각 돌려야 범위가 좁혀진다.

공인 주소인지 사업자 NAT 뒤인지 판별하기

1. 1기본 게이트웨이 주소부터 찾는다. 윈도우는 ipconfig, macOS는 netstat -rn | grep default, 리눅스는 ip route로 확인한다. 대개 이 주소가 공유기 관리 페이지 주소다.
2. 2공유기 관리 페이지에 들어가 WAN(외부) 인터페이스에 잡힌 IPv4 주소를 적어 둔다. 통신사 장비와 개인 공유기를 함께 쓰고 있다면 개인 공유기 쪽 WAN 주소를 본다.
3. 3같은 네트워크의 PC나 휴대폰에서 외부에 보이는 IPv4 주소를 확인한다. 주소 확인 페이지는 어느 것을 써도 상관없다.
4. 4두 값을 비교한다. 같으면 공유기가 공인 IPv4를 직접 받은 것이고, 다르면 공유기 위쪽에 주소를 한 번 더 바꾸는 장비가 있다는 뜻이다.
5. 5WAN 주소가 어느 대역인지 본다. 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16은 사설 대역이고 100.64.0.0/10은 사업자 NAT용으로 따로 배정된 공유 대역(RFC 6598)이다.
6. 6traceroute(윈도우는 tracert)를 실행해 처음 서너 홉을 본다. 사설 주소가 연달아 두 개 이상 나오면 그만큼 변환 계층이 쌓여 있다는 신호다.
7. 7모바일 데이터에서 같은 확인을 반복한다. IPv6 주소가 함께 보이면 듀얼스택이고, IPv4 쪽은 사설이나 공유 대역으로 잡히는 경우가 흔하다.

여기서 나오는 결론은 두 축이다. 하나는 바깥에서 들어오는 연결이 원리적으로 가능한지, 다른 하나는 나가는 세션이 얼마나 오래 유지되는지다. 공인 주소를 직접 받은 회선에서는 포트포워딩이 의미가 있고, 사업자 NAT 뒤라면 포트를 아무리 열어도 바깥에서 들어올 길이 없다. 후자는 고장이 아니라 설계다.

집 안의 NAT를 한 겹으로 줄이기

국내 아파트와 오피스텔 회선에서는 통신사가 준 장비가 단순 모뎀이 아니라 주소 변환과 무선까지 켠 공유기로 동작하는 구성이 흔하다. 여기에 개인 공유기를 물리면 변환이 두 겹이 된다. 두 겹이 되는 순간 다음 증상이 함께 따라온다.

• 포트포워딩을 개인 공유기에만 걸면 효과가 없다. 위쪽 장비에서도 같은 포트를 아래로 내려보내야 한다.
• 게임기와 화상 통화 앱이 표시하는 NAT 유형이 나빠진다. 상대와 직접 연결하지 못하고 중계 서버를 거치면서 지연이 늘어난다.
• UPnP나 NAT-PMP로 애플리케이션이 포트를 자동으로 여는 방식이 위쪽 장비에서 끊긴다.
• 세션이 많아지면 포트 고갈이 먼저 온다. 탭을 많이 여는 브라우저 사용이나 P2P 성격의 트래픽이 있으면 체감된다.

1. 1통신사 장비 설정에 브리지 모드가 있는지 확인한다. 있으면 브리지로 바꾸고 개인 공유기 하나만 라우터 역할을 하게 둔다.
2. 2브리지가 불가능하면 통신사 장비의 DMZ 대상에 개인 공유기의 WAN 주소를 지정한다. 변환 자체는 남지만 들어오는 경로는 하나로 정리된다.
3. 3집 안에 공유기가 둘 이상이면 나머지는 AP(액세스 포인트) 모드로 바꾼다. 무선 확장기나 메시 노드를 라우터 모드로 둔 채 쓰는 실수가 흔하다.
4. 4정리한 뒤 앞의 판별 절차를 다시 돌려 WAN 주소와 외부에서 보이는 주소가 일치하는지 본다. 일치하면 집 안 계층은 한 겹이다.

계층 구조가 터널에서 드러나는 방식

주소 변환 장비는 내부 주소·포트와 외부 주소·포트의 대응을 표에 적어 두고 돌아오는 패킷을 그 표로 되돌린다. 이 항목은 영원히 남지 않는다. TCP는 연결이 끝나는 시점을 관찰할 수 있어 관리가 비교적 쉽지만 UDP는 끝이 정의되어 있지 않으므로 타이머로 지운다. 보통 수십 초에서 수 분 사이의 값이 쓰이고 장비가 바쁠수록 짧아진다. UDP 기반 터널이 화면을 보지 않는 사이 조용히 끊겼다가 다시 붙는 것처럼 보이는 현상은 대개 이 타이머 때문이다.

• 연결 유지 패킷(keepalive) 주기를 매핑 수명보다 짧게 잡으면 항목이 살아 있는 상태로 유지된다. 25초 안팎이 널리 쓰이는 기본값이다.
• 계층이 두 겹이면 표도 두 개고 타이머도 따로 돈다. 그중 짧은 쪽이 전체 수명을 결정한다.
• TLS 위에서 도는 TCP 기반 전송은 매핑 수명에는 덜 민감하지만, 손실이 생기면 재전송이 끝날 때까지 뒤따르는 데이터가 함께 멈춘다. 회선이 안정적이면 유리하고 불안정하면 불리하다.
• 헤더가 겹칠수록 실효 MTU가 줄어든다. 여유가 없으면 큰 패킷만 조각나거나 버려져서, 다른 곳은 멀쩡한데 특정 사이트만 열리지 않는 모양으로 나타난다.

터널을 켠 뒤 속도가 아니라 안정성이 이상하다면 지연과 지터, 손실을 나눠서 재야 한다. 그 절차는 핑은 낮은데 게임이 튈 때의 구간별 측정에서 따로 다룬다.

IPv6가 있는 단말에서 주소가 드러나는 지점

듀얼스택 단말은 목적지에 A와 AAAA 레코드가 모두 있으면 IPv6 쪽을 먼저 시도한다(Happy Eyeballs). 터널이 IPv4만 다루도록 설정돼 있으면 IPv6 트래픽은 터널을 타지 않고 그대로 나간다. 유선에 IPv6가 아예 없으면 이 문제가 드러나지 않지만, 같은 노트북을 모바일 데이터나 IPv6가 내려오는 회선에 붙이는 순간 조건이 바뀐다. 집과 사무실, 이동 중 회선을 번갈아 쓰는 기기에서 특히 잘 나타나는 이유가 이것이다.

• 터널이 IPv6도 함께 받아 처리하도록 설정한다. 가장 깔끔한 해법이다.
• 터널이 IPv4만 다룬다면 단말이나 클라이언트 쪽에서 IPv6를 아예 막는다. 반쯤 열린 상태가 가장 나쁘다.
• DNS 조회가 터널 밖 서버로 나가면 방문하려는 주소 목록이 그대로 남는다. 주소뿐 아니라 조회 경로도 함께 확인한다.
• 확인은 짐작이 아니라 측정으로 한다. 유출 점검 페이지에서 실제로 보이는 주소와 DNS 조회 경로를 확인할 수 있다.

카페나 이동 중처럼 회선이 자주 바뀌는 환경에서는 장소마다 한 번씩 확인해 두는 편이 좋다. 공용 무선망 특유의 동작과 그때 남는 정보는 접속 페이지가 있는 무선망에서 무엇이 보이는지에 정리해 두었다.

자주 묻는 질문