시놀로지 NAS를 구매하였을 때, 별도 비용 없이 QuickConnect를 통해 쉽게 외부에서 접속할 수 있었기에 PC도 어렵지 않게 외부 접속이 가능할 것으로 생각하였으나, 전혀 아니었습니다.
Ollama 기본 설치 상태에서는 보안상 로컬(127.0.0.1) 접속만 허용되어 별도의 환경 변수(OLLAMA_HOST=0.0.0.0) 설정 없이는 외부 접속이 차단된다는 점을 몰라서 한참 헤매다가 삭제하였고, Docker와 Ollama 조합의 경우에도 WebUI, AnythingLLM이나 Dify와 같은 별도의 도구가 필요했습니다. IP는 공유기가 재부팅될 때마다 변경되어 IP 입력 접속하는 방식은 사용하기 어려웠고, 결국 도메인까지 구입하게 되었습니다. 내부 포트 충돌로 삭제, 재 설치를 반복했고, 공유기 포트를 개방해 두었더니 보안상 위험하다는 사실을 알고 또 다른 방법을 찾아야 했습니다. 이렇게, 상반기부터 현재까지 네트워크 노가다 진행했던 부분들을 정리해 보고자 합니다.
① 내부망 끊김 방지를 위한 DHCP 고정 IP 할당
가정용 공유기는 기본적으로 연결된 기기에 동적 IP(DHCP)를 자동 부여합니다. 서버 재부팅이나 공유기 펌웨어 업데이트 등으로 인해 서버의 내부 IP가 변경되면, 이후 설정할 라우팅 및 외부 터널링 경로가 모두 단절됩니다.
- 설정 방법: 공유기 관리자 페이지(예: 192.168.0.1 등)에 접속하여, LLM 서버(DELL OptiPlex 등)의 네트워크 어댑터 MAC 주소를 식별합니다. 이후 DHCP 고정 할당 메뉴에서 해당 MAC 주소를 특정 내부 IP(예: 192.168.1.100)로 영구 바인딩합니다.
- 방지 이슈: 기기 상태 변화에 관계없이 항상 동일한 내부 IP를 유지하므로, 역방향 프록시 서버나 VPN 설정 시 목적지 경로 이탈로 인한 접속 장애를 원천 차단합니다.
② 기존 홈 서버와의 통신 포트 분리
단일 네트워크 내에 시놀로지(Synology) NAS와 같은 기존 운영 장비와 신규 LLM 서버가 동시 가동되는 환경에서는 네트워크 트래픽 충돌이 발생할 수 있습니다.
- 충돌 리스크: 표준 웹 통신 포트인 80(HTTP) 및 443(HTTPS)을 비롯하여, 데이터베이스나 도커(Docker) 컨테이너가 사용하는 일부 기본 포트들은 여러 기기에서 동시에 점유하려고 시도할 가능성이 있습니다.
- 분리 장점: 내부망 서비스 포트를 기기별, 서비스별로 명확히 분리하여 라우팅 충돌을 방지해야 합니다. 예를 들어, 시놀로지 NAS의 DSM 관리 포트를 5001로 할당해 두었다면, LLM 서버의 웹 인터페이스(Dify, Open WebUI 등) 포트는 3000번 대역이나 8080 등으로 배정하여 트래픽 경로를 물리적으로 분리하는 것을 권장합니다.
③ 역방향 프록시 구성을 위한 개인 도메인 구입
포트 포워딩 방식의 취약점을 배제하고 안전하게 외부에서 서버에 접근하기 위해서는 Cloudflare Tunnel과 같은 역방향 프록시 적용을 권장하며, 이를 위해서는 개인 도메인이 있어야 합니다.
- 준비 절차: Hosting KR을 통해 “co.kr” 도메인을 15,400원에 구입하였습니다. 단순 원격 접속 등만 사용하는 경우 ipTIME 공유기에서 제공하는 DDNS를 사용해도 되지만, Cloudflare 등에 연결하기 위해서는 도메인 구입이 필요합니다. 이후 도메인 등록 업체(Hosting KR) 설정에서 네임서버를 Cloudflare 서버로 변경하는 작업이 필요합니다.
- 도메인의 역할: 확보된 도메인은 이후 LLM 서버의 내부 IP 및 지정된 포트와 암호화된 터널로 연결되어, 외부 기기에서 브라우저를 통해 안전하고 직관적인 HTTPS 접속을 가능하게 하는 네트워크 식별자 연결 포인트가 됩니다.
다음으로는, Hosting KR의 도메인과 Cloudflare를 연결하는 방법을 작성해보도록 하겠습니다.