6장 집 안의 연결은 MAC 주소로 시작된다

컴퓨터가 같은 집 안의 프린터와 통신할 때도 인터넷 사업자의 먼 장비까지 갔다 와야 할까. 일반적인 로컬 네트워크라면 그럴 필요가 없다. 장치들은 같은 링크에서 프레임을 주고받을 방법을 갖고 있다. 이더넷과 무선랜이 링크를 구현하는 대표적인 기술이다. 이 장에서는 먼저 유선 이더넷을 기준으로 생각한다.

MAC 주소는 링크 계층에서 장치를 구별하는 데 쓰는 주소다. 흔히 네트워크 카드에 부여된 주소로 배우지만, 운영체제가 임의화하거나 관리자가 바꾸는 경우도 있다. 그러므로 MAC 주소를 사람의 변하지 않는 신원이나 강한 인증 수단으로 생각하면 안 된다. 같은 장치가 다른 네트워크에서 다른 주소를 사용할 수 있고, 주소를 흉내 내는 것도 가능하다.

스위치가 배워 두는 것

스위치는 들어온 프레임의 출발지 MAC 주소와 포트를 보고 어느 장치가 어느 쪽에 있는지 학습한다. 목적지를 알고 있다면 해당 포트로 전달한다. 아직 모르는 목적지나 브로드캐스트 프레임은 같은 브로드캐스트 영역의 여러 포트로 전달될 수 있다. 스위치가 처음부터 모든 장치의 위치를 알고 있다고 생각하면 전원을 켠 직후의 동작이 이상하게 느껴진다.

스위치와 라우터의 기본 역할은 다르다. 스위치는 주로 같은 링크 영역 안에서 프레임을 전달하고 라우터는 IP 네트워크 사이에서 패킷의 다음 경로를 고른다. 실제 장비는 두 기능을 함께 제공할 수 있다. 집의 공유기는 라우팅, 스위칭, 무선 접속, DHCP, NAT 등을 한 상자에 묶어 제공하는 경우가 많다. 상자의 이름과 내부 기능을 분리해서 보면 설정 메뉴를 이해하기 쉽다.

IP 주소는 아는데 MAC 주소는 모를 때

IPv4 장치가 같은 로컬 링크의 상대에게 보내려면 대응하는 MAC 주소가 필요하다. ARP는 이 대응을 알아내는 데 사용한다. 목적지가 다른 네트워크에 있다면 먼 서버의 MAC 주소를 찾는 것이 아니라 다음 홉인 게이트웨이의 MAC 주소를 찾는다. 인터넷 전체에서 목적지 서버의 MAC 주소를 추적하는 구조가 아니다.

예를 들어 내 주소가 192.168.10.20/24이고 게이트웨이가 192.168.10.1이라고 하자. 192.168.10.30으로 가는 일반적인 통신은 같은 서브넷의 상대를 찾는다. 외부 주소로 보내는 패킷은 라우팅 표에 따라 게이트웨이로 전달한다. 이때 프레임의 목적지 MAC은 공유기일 수 있지만 IP 패킷의 목적지는 외부 서버다. 봉투의 서로 다른 층이 서로 다른 대상을 가리키는 셈이다.

ARP 정보에는 캐시가 있다. 장치가 바뀌거나 같은 주소가 중복 사용되면 잠시 엉뚱한 대응이 남을 수 있다. 캐시를 지우면 증상이 달라질 수 있지만 중복 주소라는 원인이 사라지는 것은 아니다. 두 장치가 같은 IPv4 주소를 쓰는 상황은 어느 쪽이 먼저 응답했느냐에 따라 문제가 나타났다 사라지는 것처럼 보일 수 있다. 이런 변동성을 회선 품질로만 해석하지 말자.

연결선을 하나 더 꽂기 전에

스위치 사이에 선을 여러 개 연결하면 더 안전해 보인다. 하지만 루프를 제어하지 않은 링크 계층에서는 프레임이 계속 돌거나 복제되어 연결망을 마비시킬 수 있다. 중복 연결을 안전하게 사용하려면 루프 방지나 링크 집성 같은 설계가 필요하다. 초보 실습에서 사무실 스위치에 임의로 케이블을 추가하면 안 되는 이유다.

VLAN은 하나의 물리적 스위치에서 논리적인 링크 영역을 나누는 방법이다. 직원용 장치와 손님용 장치를 분리하거나 부서별 경계를 만들 수 있다. 그러나 VLAN 이름을 다르게 붙이는 것만으로 모든 접근이 차단되는 것은 아니다. VLAN 사이의 라우팅과 방화벽 정책까지 확인해야 한다. 분리된 방 사이에 문이 있다면 누가 그 문을 지날 수 있는지 정해야 한다.

유선 연결에서 속도가 기대보다 낮다면 케이블 규격만 볼 것이 아니라 협상된 링크 속도, 양 끝 포트, 오류 카운터를 함께 본다. 일부 선로 문제로 낮은 속도로 연결되거나 프레임 오류가 늘 수 있다. 연결 표시등은 최소한의 단서일 뿐 품질 보증서가 아니다. 기가비트 장비를 샀다는 사실보다 현재 어느 속도와 상태로 연결되어 있는지가 직접적인 정보다.

가정에서 할 수 있는 안전한 관찰은 간단하다. 공유기의 장치 목록을 보고 자신의 컴퓨터와 휴대전화가 어떤 이름과 주소로 나타나는지 확인한다. 모르는 장치를 곧바로 공격자로 판단하거나 차단하기 전에 주소 임의화와 장치 이름 변경 가능성을 살핀다. 목록을 외부에 공유할 때는 주소와 식별 정보를 가린다. 네트워크 관리의 첫 단계는 장치를 많이 통제하는 것이 아니라 무엇이 연결되어 있는지 정확하게 아는 것이다.