서론: 중소기업이 방화벽 설정을 익혀야 하는 이유
오늘날 디지털 시대에 네트워크 보안은 기업 운영의 기반 인프라가 되었습니다. 중소기업에게 한정된 예산 안에서 안전하고 신뢰할 수 있는 IT 환경을 구축하는 방법은 반드시 마주해야 하는 현실적인 과제입니다. 방화벽은 기업 네트워크의 첫 번째 방어선이며, 그 설정 수준이 기업 데이터 자산의 안전성을 그대로 좌우합니다.
Mikrotik은 전 세계적으로 잘 알려진 네트워크 장비 제조사로, RouterOS 시스템은 강력한 기능과 뛰어난 가성비로 유명합니다. 이 글에서는 Mikrotik 방화벽 설정 방법을 자세히 설명하여 기업 IT 관리자가 핵심 기술 요점을 빠르게 익힐 수 있도록 돕습니다. 아울러 전문 IT 팀이 없는 기업에 안정적인 기술 지원을 제공하는 Siwenlide의 IT 운영 아웃소싱 서비스도 소개합니다.
제1부: 방화벽 기초 개념
1.1 방화벽이란 무엇인가
방화벽은 사전에 정의된 보안 규칙에 따라 네트워크를 드나드는 데이터 트래픽을 감시하고 제어하는 네트워크 보안 시스템입니다. 방화벽은 똑똑한 문지기라고 생각하면 쉽습니다. 문지기는 들어오거나 나가려는 모든 방문자(데이터 패킷)를 꼼꼼히 확인하고, 규칙에 맞는 것만 통과시키며 의심스러운 트래픽은 차단합니다.
기업 네트워크가 직면하는 주요 위협은 다음과 같습니다:
- 외부 공격: 해커가 기업 내부망 침입을 시도해 민감한 데이터를 탈취
- 악성코드: 바이러스, 트로이 목마, 랜섬웨어가 네트워크를 통해 확산
- 데이터 유출: 내부의 민감한 정보가 불법적으로 외부로 전송
- 서비스 오남용: 직원이 업무와 무관한 사이트에 접속해 업무 효율 저하
제대로 설정된 방화벽은 위와 같은 위험을 효과적으로 막아 기업에 견고한 네트워크 보안 방어선을 구축합니다.
1.2 Mikrotik RouterOS의 장점
Mikrotik의 RouterOS 시스템이 중소기업 시장에서 널리 사랑받는 이유는 다음과 같습니다:
풍부한 기능:RouterOS는 라우터 시스템일 뿐만 아니라 방화벽, VPN 서버, 대역폭 관리, 무선 AP 등 다양한 기능을 통합하고 있어, 장비 한 대로 여러 요구를 충족할 수 있습니다.
뛰어난 가성비: Cisco, 화웨이 등 브랜드와 비교해 Mikrotik 장비는 가격이 합리적이면서 기능은 전혀 뒤지지 않아, 예산이 한정된 중소기업에 특히 적합합니다.
유연한 설정: 명령줄, 웹 인터페이스, WinBox 그래픽 클라이언트 등 다양한 관리 방식을 지원해 기술 수준이 다른 사용자의 요구를 충족합니다.
활발한 커뮤니티: 전 세계의 많은 사용자와 기술자가 경험을 공유하므로 문제가 생겼을 때 해결책을 찾기 쉽습니다.
제2부: 방화벽 설정 준비 작업
2.1 장비 접속 방법
Mikrotik 장비는 여러 가지 접속 방법을 지원합니다:
WinBox(권장): Windows 플랫폼용 그래픽 관리 도구로 조작이 직관적이어서 초보자에게 적합합니다. 다운로드 주소: https://mikrotik.com/download
WebFig: 브라우저로 장비 IP에 접속하는 방식으로, 별도 소프트웨어 설치 없이 크로스 플랫폼에서 사용할 수 있습니다.
Telnet/SSH: 명령줄 방식으로 고급 사용자와 대량 설정 환경에 적합합니다.
처음 접속할 때는 WinBox를 사용해 MAC 주소로 연결하는 것을 권장합니다(IP 설정에 의존하지 않음). 더 안전하고 신뢰할 수 있습니다.
2.2 방화벽 체인(Chain) 이해하기
RouterOS 방화벽은 체인 개념을 기반으로 동작하며, 주요 체인은 다음과 같습니다:
- input 체인: 라우터 자체로 들어오는 데이터 패킷(예: 관리 트래픽)을 처리
- output 체인: 라우터에서 나가는 데이터 패킷을 처리
- forward 체인: 라우터를 경유해 전달되는 데이터 패킷, 즉 내부망과 외부망 사이의 트래픽을 처리
이 세 체인의 차이를 이해하는 것이 방화벽을 올바르게 설정하는 기초입니다.
2.3 방화벽 동작 유형
각 방화벽 규칙에는 다음과 같은 동작을 지정할 수 있습니다:
- accept: 데이터 패킷 통과 허용
- drop: 데이터 패킷을 조용히 폐기하며 송신 측은 통보를 받지 못함
- reject: 데이터 패킷을 거부하며 송신 측은 거부 통보를 받음
- log: 데이터 패킷 정보를 로그에 기록
보안 실무에서는 reject보다 drop을 주로 사용합니다. drop은 방화벽의 존재를 드러내지 않아 공격자의 난이도를 높이기 때문입니다.
제3부: 기본 방화벽 설정 단계
3.1 라우터 자체 보안 강화
라우터는 기업 네트워크의 핵심 노드이므로 무엇보다 먼저 보안을 확보해야 합니다. 다음은 input 체인의 기본 설정입니다:
# 기존 연결 및 관련 연결 허용 /ip firewall filter add chain=input connection-state=established,related action=accept comment="기존 연결 허용" # 내부망에서 오는 ICMP(ping) 허용 add chain=input protocol=icmp src-address=192.168.88.0/24 action=accept comment="내부망 ping 허용" # 내부망에서 오는 WinBox 접속 허용 add chain=input protocol=tcp dst-port=8291 src-address=192.168.88.0/24 action=accept comment="내부망 WinBox 허용" # 그 밖의 모든 input 트래픽 거부 add chain=input action=drop comment="그 밖의 input 트래픽 거부"
위 설정은 내부망에서만 라우터를 관리할 수 있고 외부망에서는 직접 접속할 수 없도록 하여 보안성을 크게 높입니다.
3.2 내부망 인터넷 사용 제어
forward 체인은 내부망 사용자의 인터넷 사용 행위를 제어합니다. 다음은 일반적인 설정입니다:
# 기존 연결 및 관련 연결 허용 /ip firewall filter add chain=forward connection-state=established,related action=accept comment="기존 연결 전달 허용" # 내부망에서 외부망 접속 허용 add chain=forward src-address=192.168.88.0/24 action=accept comment="내부망 아웃바운드 허용" # 외부망에서 내부망 직접 접속 거부 add chain=forward dst-address=192.168.88.0/24 action=drop comment="외부망의 내부망 접속 차단"
3.3 NAT 주소 변환 설정
기업 내부망은 일반적으로 사설 IP 주소를 사용하므로 공인망에 접속하려면 NAT가 필요합니다:
/ip firewall nat add chain=srcnat out-interface=ether1-WAN action=masquerade comment="내부망 NAT 인터넷 사용"
masquerade 동작은 외부 인터페이스의 IP를 자동으로 출발지 주소로 사용하므로 동적 IP 환경에 적합합니다.
제4부: 고급 보안 설정
4.1 포트 스캔 방어
공격자는 흔히 포트 스캔으로 대상에 열려 있는 서비스를 탐색합니다. 규칙을 설정해 스캔 행위를 탐지하고 차단할 수 있습니다:
/ip firewall filter add chain=input protocol=tcp psd=21,3s,3,1 action=drop comment="포트 스캔 탐지"
psd 파라미터의 의미: 3초 이내에 동일 출발지가 서로 다른 포트 3개에 접속을 시도하고 가중치가 1에 도달하면 스캔으로 판정해 폐기합니다.
4.2 무차별 대입 공격 방어
공인망에 노출된 서비스(예: VPN)는 무차별 대입 공격을 반드시 막아야 합니다:
/ip firewall filter add chain=input protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop comment="SSH 블랙리스트" add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage3 action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1d add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage1 action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m
위 규칙은 단계적 차단을 구현합니다. 첫 번째 시도는 stage1 목록에, 두 번째는 stage2, 세 번째는 stage3에 추가되고, 네 번째는 곧바로 블랙리스트에 들어가 하루 동안 차단됩니다.
4.3 대역폭 관리
RouterOS의 큐 기능으로 정교한 대역폭 제어를 구현할 수 있습니다:
/queue simple add name="부서A" target=192.168.88.0/25 max-limit=10M/10M limit-at=2M/2M priority=5 add name="부서B" target=192.168.88.128/25 max-limit=20M/20M limit-at=5M/5M priority=3
파라미터 설명: max-limit은 최대 대역폭, limit-at은 보장 대역폭이며, priority 값이 작을수록 우선순위가 높습니다.
제5부: 자주 발생하는 문제와 해결 방법
5.1 설정 후 인터넷이 되지 않을 때
점검 단계:
- NAT 규칙이 올바르게 설정되었는지 확인
- DNS 해석이 정상인지 확인(ping 8.8.8.8로 연결성 테스트)
- 클라이언트의 게이트웨이와 DNS 설정 확인
- 방화벽 로그를 확인해 차단된 트래픽이 있는지 점검
5.2 외부망에서 내부 서비스에 접속할 수 없을 때
외부망에서 내부망의 웹 서버에 접속하게 하려면 포트 매핑을 설정해야 합니다:
/ip firewall nat add chain=dstnat protocol=tcp dst-port=80 in-interface=ether1-WAN action=dst-nat to-addresses=192.168.88.10 to-ports=80 comment="웹 서버 매핑"
동시에 forward 체인에서 관련 트래픽을 허용하는지도 확인해야 합니다.
5.3 설정 실수로 접속이 차단되었을 때
방화벽을 설정하다 실수하면 라우터에 접속하지 못할 수 있습니다. 해결 방법:
- 물리적 초기화: 라우터에 reset 버튼이 있으며, 버튼을 누른 채 재부팅하면 기본 설정으로 복구됩니다
- MAC 주소 연결: WinBox는 MAC 주소로 연결할 수 있어 IP 설정에 의존하지 않습니다
- 콘솔 케이블: 시리얼 케이블로 직접 연결하여 네트워크 계층을 우회합니다
중요한 구성 변경 전에는 구성 백업을 내보내는 것을 권장합니다:
/export file=backup-before-change
제6부: IT 운영 아웃소싱의 가치
6.1 IT 운영 아웃소싱을 선택하는 이유
대부분의 중소기업에게 네트워크 기술은 핵심 사업이 아닙니다. 전담 네트워크 엔지니어를 채용하는 것은 비용 부담이 클 뿐만 아니라, Mikrotik과 네트워크 보안을 모두 이해하는 전문 인력을 구하기도 어렵습니다. IT 운영 아웃소싱 모델은 기업이 다음과 같은 이점을 누리도록 합니다:
- 비용 절감: 전담 IT 인력을 채용할 필요가 없어 급여와 교육 비용을 절약합니다
- 전문성 보장: 서비스 팀이 풍부한 경험을 보유하여 구성이 더 표준적이고 안전합니다
- 신속한 대응: 장애 발생 시 전문 팀이 신속하게 개입하여 처리합니다
- 본업 집중: 기업 경영진이 기술적 세부 사항에 신경 쓰지 않고 사업 발전에 집중할 수 있습니다
6.2 Siwenlide IT 올인원 패키지 서비스
Beijing Siwen Lide Technology & Trade Co., Ltd.가 선보인 “IT 올인원 패키지” 서비스는 중소기업에 원스톱 IT 운영 솔루션을 제공합니다:
3-in-1 서비스 패키지:
- 인터넷 접속: 기업용 상용 광대역을 제공하며, 전용선이 필요한 경우 클라우드 전용선 서비스를 제공합니다. 중국 공업정보화부(MIIT) ISP 인증을 보유하여 법규를 준수합니다
- 무상 네트워크 장비: 방화벽, 기업용 라우터, 스위치, 무선 AP를 계약 기간 동안 무상으로 제공하고 무상 수리·교체합니다
- 무중단 운영 지원: WeChat 서비스 그룹, 공식 계정 접수, 전화 접수 등 다양한 채널을 통해 원격 및 방문 서비스를 횟수 제한 없이 제공합니다
핵심 강점:
- 고객은 IT 운영 서비스 요금 한 건만 지불하면 완전한 IT 인프라를 이용할 수 있어 장비 구매 비용을 99% 절감합니다
- 기업의 3대 고충, 즉 인터넷 비용 과다, 장비 구매 비용 부담과 열악한 사후 지원, 느린 운영 대응을 해결합니다
- 전문 자격: 중국 공업정보화부 ISP 인증, ISO9001/ISO20000 인증, Huawei HCIE, Mikrotik MTCTCE 인증
6.3 서비스 절차
Siwenlide 서비스 계약 후 기술 팀은 다음과 같이 진행합니다:
- 방문 실사: 기존 네트워크 환경을 평가하고 업무 요구사항을 파악합니다
- 방안 설계: 기업 규모와 업무 특성에 맞춰 합리적인 네트워크 아키텍처를 설계합니다
- 장비 구축: 방화벽, 라우터, 스위치 등 장비를 설치하고 구성합니다
- 규칙 구성: 보안 요구사항에 따라 방화벽 정책을 구성합니다
- 교육 및 인도: 기업 관리자에게 기본 조작과 비상 대응 방법을 설명합니다
- 지속 운영: 일상 모니터링, 장애 처리, 정기 점검, 구성 최적화
제7부: 요약 및 제언
7.1 핵심 요점 정리
본 문서에서는 Mikrotik 방화벽의 구성 방법을 자세히 소개했으며, 핵심 요점은 다음과 같습니다:
- input, output, forward 세 가지 체인의 역할 이해
- 라우터 자체의 보안을 우선적으로 보호
- “기본 차단(default deny)” 보안 정책 적용
- 포트 스캔 및 무차별 대입 공격(brute force) 방어 구성
- 구성을 정기적으로 백업하여 예기치 않은 손실 방지
7.2 중소기업을 위한 제언
전문 IT 팀이 없는 중소기업을 위해:
- 네트워크 보안을 중시하고, 사고가 난 뒤에야 대책을 찾지 마십시오
- 신뢰할 수 있는 아웃소싱 서비스 업체를 선택하여 전문적인 지원을 받으십시오
- 네트워크 구성을 정기적으로 검토하고 보안 정책을 적시에 갱신하십시오
- 직원 대상 보안 인식 교육을 실시하여 인적 위험을 줄이십시오
- 비상 대응 절차를 수립하여 장애 발생 시 신속한 복구를 보장하십시오
맺음말
네트워크 보안은 지속적인 작업이며, 한 번의 구성으로 영구히 해결되는 것이 아닙니다. 사업이 성장하고 기술이 발전함에 따라 보안 정책도 지속적으로 조정하고 최적화해야 합니다. 본 문서가 중소기업 IT 관리자가 Mikrotik 방화벽의 기본 구성 방법을 익히고 더욱 안전하고 신뢰할 수 있는 기업 네트워크 환경을 구축하는 데 도움이 되기를 바랍니다.
구성 과정에서 문제가 발생하거나 전문적인 IT 운영 서비스 지원이 필요하시면 Siwenlide로 문의해 주십시오. 당사는 무료 IT 운영 방안 평가를 제공하여 기업 요구에 가장 적합한 서비스 방안을 찾도록 도와드립니다.
📞 지금 Siwenlide에 상담하세요, 무료 IT 운영 방안 평가를 받아보십시오
🌐 공식 웹사이트: www.siwenlide.com
💬 WeChat 공식 계정: “Siwenlide” 또는 “Yuxinan” 검색
📧 IT 올인원 패키지 상세 내용은 문의해 주십시오
