NAS IPv6 원격 접속: ONT, firewall, DDNS 설정 방법
며칠 전 누군가 나에게 이런 질문을 했다: 집 인터넷에 공인 IPv4가 없어서 QuickConnect 쓰기가 불편한데, 중계 서비스를 사야만 하는 거냐고.
나는 돈부터 쓰지 말고, 휴대폰 데이터를 켜고 Wi-Fi를 끈 다음 NAS의 IPv6 주소를 브라우저에 붙여넣어 시험해 보라고 했다. 그가 시험해 보고는 이렇게 말했다: 왜 이렇게 빠르지.
이 일은 좀 상식을 벗어난다——많은 사람이 아직 "공인 IP" 때문에 고민할 때, 집 인터넷 회선은 이미 조용히 공인 IPv6를 발급하고 있었고, 다만 아무도 router에서 그것을 꺼내지 않았을 뿐이다. 이 글에서 다루는 것은 그것을 꺼낸 뒤에도 넘어야 할 세 가지 관문이다: ONT와 router, firewall, DDNS.
먼저 한 가지를 확인하자:你家에는 이미 IPv6가 있을 수 있다
2026년 7월 28일, 제5회 중국 IPv6 혁신발전대회에서 《중국 IPv6 발전 보고서(2026)》가 발표되었다. 보고서의 두 숫자가 문제를 잘 설명한다: 2025년 12월 기준, 중국 IPv6 활성 사용자는 8.69억 명으로 전체 네티즌의 77.38%를 차지하며; 2026년 6월 기준, 전국 가정 gateway의 IPv6 활성화율은 98.41%, 통신사 맞춤형 가정 router의 IPv6 지원율은 99.12%이다.
같은 달, 중앙네트워크정보화위원회는 《인터넷 프로토콜 제6판(IPv6) 기술혁신 및 융합응용 심화 실시방안(2026—2030년)》을印发했으며, 여기에는 "IPv6 단일 스택으로의 진화를 가속화"한다는 내용이 언급되었다. 이 말을 독자에게 번역하자면: 앞으로 공인 IPv4를 받기는 더 어려워질 것이고, IPv6는 장기적 방향이지 임시 대체품이 아니다.
그러니 섣불리 판단하지 말고, 먼저 세 가지 동작을 하자:
- DSM이 주소를 받았는지 확인한다.「제어판 > 네트워크 > 네트워크 인터페이스」에서 현재 사용 중인 네트워크 카드를 선택하고 「편집」을 클릭한 뒤 IPv6 탭으로 전환한다. 여기서 「자동」이고 아래에 실제로 주소 문자열이 표시된다면 이 계층은 이미 통과한 것이다.
- 휴대폰 데이터로 한 번 접속한다.Wi-Fi를 끄고 브라우저에 입력한다
http://[你的IPv6地址]:5000——주소는 대괄호로 감싸야 한다. 이것이 URL에서 IPv6를 쓰는 방식이며, 감싸지 않으면 바로 열리지 않는다. 중국 통신사에서 흔한 대역은 240e, 2408, 2409로 시작하며(각각电信, 联通, 移动에서 많이 보임), 구체적으로는 자신이 보는 것을 기준으로 한다. - 주소가 내부망 대역이 아닌지 확인한다.fe80으로 시작하는 것은 링크 로컬 주소로 LAN에서만 사용할 수 있으며 공인 주소로 치지 않는다; 공인 주소로 쓸 수 있는 것은 2400::/12 같은 글로벌 유니캐스트 주소이다.
세 단계를 모두 통과했다면, 이미 중계보다 훨씬 빠른 경로를 손에 넣은 것이고, 남은 것은 그것을 안정적으로 설정하는 것뿐이다.
첫 번째 관문: ONT와 router, 먼저 누군가가 prefix를 확보해야 한다
IPv6 가정용 회선은 IPv4와 근본적인 차이가 있다: 주소 하나를 주는 것이 아니라 prefix 한 단락을 주고, 집 안의 router가 이 prefix를 각 기기에 나눠주는 방식이다. 이 prefix를 업계 용어로 prefix delegation, 즉 PD라고 한다.
핵심은 "누가 dial-up을 하느냐"에 있다. ONT가 직접 dial-up할 때(router 모드)는 prefix가 ONT에 있고 router는 2차 router일 뿐이므로, 이때는 거의 반드시 ONT 설정에 들어가서 뒤져야 한다; ONT를 bridge로 바꾸고 자신의 router가 dial-up하면 prefix가 비로소 내 손에 떨어진다. Synology의 DSM 도움말 문서에는 이 점이 아주 직설적으로 적혀 있다: DHCP-PD 옵션은 "ISP 지원이 필요하며 router 모드에서만 작동한다" — NAS가 직접 dial-up해야만 그것이 prefix를 요청할 차례가 된다.
bridge 작업 자체가 할 가치가 있는지에 대해서는, 내가ONT bridge 변경 관련 글에서 계산해 본 적이 있다: 그것이 바꾸는 것은 제어권이지 대역폭이 아니다. 하지만 IPv6에서는 제어권이라는 것의 비중이 IPv4보다 더 높다, 왜냐하면 prefix가 누구 손에 있느냐에 따라 firewall도 누구 손에 있느냐가 결정되기 때문이다.
router 쪽 설정에는 별다른 요령이 없고, 어려운 것은 유형을 올바르게 고르는 것이다. ASUS 공식 FAQ에는 지원하는 일곱 가지 IPv6 연결 유형이 나열되어 있다: Native, 정적 IPv6, Passthrough, FLET'S IPv6 Service, 그리고 Tunnel 6to4, 6in4, 6rd 세 가지 터널. 국내 가정용 회선은 대다수가 Native를 선택하면 맞다; 뒤의 몇 가지 터널은 역사적 유산 및 해외 통신사 전용 방안이라, 잘못 선택하면 나타나는 증상은 "켜진 것처럼 보이지만 실제로는 패킷 하나도 나가지 못하는" 것이고, 게다가 찾아내기도 매우 어렵다.
또 하나 특히 간과하기 쉬운 것:ONT 자체의 IPv6 firewall. ONT가 router 모드일 때, 인바운드 트래픽은 먼저 ONT에 부딪힌다. 자신의 router에서 아무리 잘 허용해도 패킷이 애초에 들어온 적이 없다 — 이런 "분명히 열었는데 연결이 안 된다"는 상황은 십중팔구 이 계층에서 막힌다.
두 번째 관문: IPv6에는 NAT가 없고, 문 앞에는 firewall이라는 단 하나의 문만 남는다
이것이 글 전체에서 관념을 가장 바꿔야 하는 대목이다.
IPv4 시대에는 우리가 "공인 IP가 없으면 곧 안전하다"에 익숙해져 있었다 — NAT가 외부의 인바운드 요청을 전부 막아주었는데, 비록 그것이 본래它的职责은 아니었지만. IPv6에서는 이 완충층이 존재하지 않는다: 모든 기기가 자신의 공인 주소를 가지며, router의 일은 "숨기는" 것이 아니라 "forwarding"하는 것이다. 그래서 firewall은 더 이상 선택적인 강화 항목이 아니라 유일한 경계다.
제조사도 기본적으로 이렇게 한다. ASUS 공식 FAQ의 원문은 이렇다: router는 기본적으로 모든 알 수 없는 장치가 LAN에 들어오거나 router를 통해 내부 장치로 접근하는 것을 허용하지 않으며, 목적은 router 및 후단 장치가 공격받는 것을 방지하는 것이다. 허용하려면 경로는 「firewall > 일반 설정 > IPv6 firewall」(기본 활성화됨)이고, 그다음 「인바운드 firewall 규칙」에서 규칙을 만든다. 이 FAQ는 몇 가지 확정 정보도 제공한다: 최대 128개 규칙; 각 규칙에는 서비스 이름, 원격 IP 또는 CIDR, 로컬 IP, 통신 port 범위, 프로토콜을 입력해야 하며; 또한이 기능은 IPv6 주소만 지원하므로 IPv4를 입력해도 소용없다。
이 구조에 따르면 올바른 방식은 사실 한 문장뿐이다: NAS의 port 하나만 허용하고, "모든 port, 모든 소스"를 열지 마라.
- 원격 IP 항목은 채울 수 있으면 채워라. 그 의미는 "이 소스들만 들어오게 허용"이라는 뜻이며, 비워두는 것(어떤 소스든 접근 가능)보다 한 차원 더 안전하다. 단점은 휴대폰 데이터가 기지국을 바꾸면 주소가 변하므로 여유를 좀 둬야 한다.
- 로컬 IP에는 NAS의 IPv6 주소를 입력하고, port는 실제로 사용할 그 하나만 적어라. DSM의 5000/5001은 관리 진입점이므로 공인망에 노출하지 않는 것이 좋고, 일반적인 방법은 reverse proxy를 통해 443 하나만 열거나, 아예 비표준 port로 바꿔 노이즈를 줄이는 것이다.
- 만약 "모든 소스"를 허용한다면 NAS 측 인증을 반드시 보강해야 한다: 자동 차단, 계정 보호, 2단계 인증, 이 세 가지는 DSM에 모두 갖춰져 있다.
Synology 쪽에도 한 계층이 있다. 공식 DSM 기능 페이지는 해당 firewall을 "프로필 기반 IPv4/IPv6 이중 구조"로 설명하며, 규칙은 IP 또는 port로 제한할 수 있고 어느 인터페이스에서 적용할지 결정한다. 여기서 공식 도움말 문서에 명시된 세부 사항 하나를 기억해 둘 만하다:NAS가 PPPoE로 dial-up 접속하는 경우, 관련 firewall 규칙은 반드시 해당 PPPoE 인터페이스에 만들어야 하며LAN 인터페이스에 만들면 적용되지 않는다.
세 번째 관문: 주소가 변하므로 DDNS가 필요하다
통신사가 부여한 prefix에는 임대 기간이 있어서, ONT 재시작, 회선 재접속, 국사 측 조정 등으로 다른 대역으로 바뀔 수 있다. prefix가 바뀌면 NAS의 전체 주소가 바뀐다—이것이 IPv6에서 "IP를 직접 기억"하는 것이 IPv4보다 더 비현실적인 이유다: IPv4 주소는 외울 수 있지만, IPv6의 그 문자열은 아무도 외우지 않는다.
좋은 소식은 Synology 자체가 지원한다는 것이다. 공식 DSM 기능 페이지의 원문은, Synology가 무료 DDNS 서비스를 제공하며,이 서비스는 IPv4와 IPv6를 지원한다; SRM(Synology router 시스템) 도움말 페이지는 더 단정적으로 쓴다: "Synology DDNS만 IPv6 서비스를 지원한다".
경로는 「제어판 > 외부 액세스 > DDNS」에서 추가를 누르고, 서비스 공급자를 Synology로 선택, 호스트 이름에 xxx.synology.me를 입력하고, 김에 Let's Encrypt 인증서와 Heartbeat(오프라인 알림)를 체크하면 된다—이 단계들은 모두 공식 도움말 페이지에 나열된 것이다.
한 가지 솔직히 말해야 할 점이 있습니다: 공식 도움말 페이지에는 "외부 주소" 입력란 하나만 나와 있는데, 인터넷의 많은 튜토리얼에서는 새 버전 팝업에서 IPv4와 IPv6 두 칸으로 나뉜다고 합니다. 저는 당신의 DSM 버전이 어떤 모습인지 확인해 드릴 수 없으니, 자신의 기기 화면을 기준으로 하세요. IPv6를 입력할 수 있으면 IPv6를 입력하고, IPv4 칸은 공인 주소가 없으면 비활성화하세요.
자신의 도메인이 있거나 더 자주 확인하게 하고 싶다면, 오픈소스 도구 ddns-go가 흔한 선택입니다. 저장소는 MIT 라이선스이고, README에 Synology용 섹션이 따로 있으니 단계를 그대로 따라 하면 됩니다: Package Center에서 Docker 설치 → 레지스트리에서 ddns-go 검색 후 다운로드 → image에서 jeessy/ddns-go 시작 → 고급 설정의 네트워크에서 "Docker Host와 동일한 네트워크 사용" 체크, 자동 재시작 체크 → 브라우저에서 열기 http://群晖IP:9876 설정. 명령줄 방식도 됩니다:
docker run -d --name ddns-go --restart=always --net=host -v /opt/ddns-go:/root jeessy/ddns-go기본 동작에서 두 가지 숫자를 주의해야 합니다: 기본적으로 5분마다 한 번 동기화하고, 페이지에서 기본적으로 "공인망에서의 접근 금지"가 체크되어 있습니다. 뒤의 기본값은 끄지 마세요. 그 웹페이지에 당신의 도메인 업체 키가 저장되어 있습니다.
김에 DSM의 그 페이지도 한 번 대조해 보세요
DSM의 IPv6 설정은 "제어판 > 네트워크 > 네트워크 인터페이스"에 있으며, 네트워크 카드를 선택하고 편집을 누르면 IPv6 탭 아래에 세 가지 옵션이 있습니다(공식 도움말 페이지 원문):
- 자동: router의 RA 공지에 따라 주소를 생성하며, 아래에서 무상태, 무상태 + DHCPv6, 유상태(DHCPv6 서버를 켜고 주소 풀을 채워야 함)로 세분할 수 있습니다. 가정용 인터넷은 이것으로 충분합니다.
- 수동: IPv6 주소, prefix 길이, 기본 gateway를 직접 입력합니다. prefix가 바뀌는 환경에서는 수동이 오히려 더 번거롭습니다.
- 끄기, 그리고 6in4, 6to4, DHCP-PD, IPv6 Tunneling 같은 전환 메커니즘입니다. DHCP-PD(NAS가 직접 dial-up할 때 사용)를 제외하면 나머지는 기본적으로 네이티브 IPv6가 없는 네트워크를 위한 임시방편이라 가정용 인터넷에서는 쓸 일이 없습니다.
아무도 미리 알려주지 않는 세 가지 함정
첫째, 상대방도 IPv6가 있어야 합니다.이것이 가장 흔한 "설정은 끝났는데 열리지 않는" 경우입니다. 회사 사무망, 많은 쇼핑몰과 호텔의 Wi-Fi는 IPv6가 꺼져 있어서, 이런 네트워크에서 IPv6 주소만 있는 도메인에 접근하면 요청이 바로 실패하며 이는 당신의 설정과 무관합니다. 휴대폰 데이터는 현재 기본적으로 IPv6를 지원하므로, 문제를排查할 때는 우선 데이터로 시험하고 특정 Wi-Fi에서 결론을 내리지 마세요.
二、prefix가 바뀌면 firewall 규칙이 조용히 무효화된다.router에 있는 그 규칙의 "로컬 IP"에는 전체 주소가 들어가 있고, 앞부분은 통신사가 준 prefix다. prefix가 바뀌면 이 규칙은 존재하지 않는 주소를 가리키게 된다—오류를 내지 않고 그저 더 이상 매칭되지 않으며, 그러면 "갑자기 연결이 안 되는" 상황이 된다. 이것이 IPv6 직결의 안정성 평가가 마땅히 받아야 할 만큼 좋지 않은 이유이기도 하다. 내 방식은: prefix가 자주 바뀌는 환경에서는 규칙과 씨름하기보다 인증을 탄탄하게 하고 port를 최대한 적게 여는 것이다.
三、도메인에 인증서를 붙이는 순간, 그것은 공개되는 것과 같다.Let's Encrypt로 인증서를 발급하면 도메인은 인증서 투명성 로그(CT)에 들어가며, 이는 공개 조회 가능한 메커니즘이지 취약점이 아니다. 여기에 DDNS 도메인 자체가 추측하기 쉽다는 점(xxx.synology.me 같은 것)까지 겹치면, "우리 집에 NAS가 있고 주소는 여기"라고 게시판에 써 붙이는 셈이다. 이는 쓸 수 없다는 뜻이 아니라: 연결이 되느냐와 공개해야 하느냐는 별개의 문제라는 뜻이다. 혼자 쓸 거면 혼자 쓰고, 주소를 여기저기 붙이지 마라.
덧붙여 port: 가정용 회선의 80, 443 인바운드는 지역 통신사 정책이 달라서 어떤 곳은 아예 막는다. 그래서 일상 접속에는 비표준 port를 쓰거나 reverse proxy를 경유하는 것이 80/443에 매달리는 것보다 현실적이다. 구체적으로 막는지는 휴대폰 데이터로 한 번 시험해 보면 알 수 있으니, 남들의 "우리 쪽은 된다"를 믿지 마라.
마지막은 경계 문제다: 위에서 말한 것은 모두 자신의 기기에 접속하는 것이다. 다른 사람이 이 주소를 통해 당신의 웹사이트나 서비스에 접속하게 하려는 것은 별개의 일이다—대외 인터넷 정보 서비스 제공은备案과 관련되며, 가정용 broadband의 서비스 약관도 보통 이를 허용하지 않는다. 이 글은 그 부분을 다루지 않으며, 가정용 회선으로 그런 일을 하는 것도 권하지 않는다.
내 판단: 이 세 부류의 사람, 답은 다르다
집의 IPv6가 안정적이고 자기와 가족만 쓴다——할 가치가 있고, 가성비가 말도 안 되게 높다. 한 번 설정으로 얻는 것은 어떤 제3자 중계도 거치지 않는 직결이며, 속도 상한은 곧 집 broadband의 업로드다; 이 계산은 내가업로드 그 글에서 해봤는데, 밖에서 파일을 당길 때의 천장은 결코 NAS가 아니라 그 30M 업로드다.
1년에 서너 번 쓰고, 밖에서 잠깐 사진 한 장만 보고 싶다——쓸데없이 고생하지 마라, QuickConnect면 충분하다. 그 가치는 빠르다는 것이 아니라 "아무것도 설정할 필요 없고 집 문을 열어두지도 않는다"는 것이다. 왜 그것이 때때로 느린지는 내가QuickConnect 그 글에서 세 단계 연결 메커니즘을 뜯어봤으니, 읽고 나면 자신의 상황이 경로를 바꿀 가치가 있는지 알게 될 것이다.
집 인터넷으로 외부에 서비스를 제공하고 싶다면——권장하지 않는다. 노출 면, 등록, 회선 약관, 세 가지 모두 당신 편이 아니다. 정말로 해야 한다면 제대로 된 서버를 임대해서 하라, 집에 있는 기계로 버티지 마라.
마지막으로 순서에 대한 조언을 하나 하자면, 이건 내가 삽질을 겪은 후의 결론이다:먼저 NAS에서 IPv6를 뚫고, 휴대폰 데이터로 직결이 되는 것을 확인한 다음에 DDNS와 firewall 규칙을 고려하라.순서가 반대라면, ONT, router, DDNS 세 곳에서 동시에 문제를 찾아야 하고, 최종적으로는 두 번째 단계에서 포기할 가능성이 높다. 위의 세 관문은 "데이터가 들어오는 방향" 순서로 배열한 것이지, 난이도 순서로 배열한 것이 아니다.
만약 당신이 아직 "도대체 어떤 원격 접속을 선택해야 하나"라는 단계에 머물러 있다면, 먼저 보라네 가지 방안의 계산그 글은 비용, 진입 장벽, 노출 면을 계산했고; 이 글은 IPv6라는 경로가 구체적으로 어떻게 실현되는지를 계산한다. IPv6가 없을 때의 대비책(内网穿透 어떻게 선택할지)은 이 시리즈의 다음 주제다.
본문 근거: 《중국 IPv6 발전 보고서(2026)》(2026-07-28 발표), 중앙네트워크정보위원회 《인터넷 프로토콜 제6판(IPv6) 기술 혁신 및 융합 응용 심화 실시 방안(2026—2030년)》, Synology 공식 DSM 기능 페이지 및 DSM 7 도움말 문서(DDNS, 네트워크 인터페이스, firewall 세 절), ASUS 공식 FAQ 1013638(IPv6 firewall) 및 113990(IPv6 설정), ddns-go 저장소 README 및 LICENSE(10-26 확인). 인터페이스 경로, 필드 이름, 통신사 정책은 버전과 지역마다 다르므로, 자신의 기기에서 표시되는 것을 기준으로 하라; "prefix 변화로 규칙 무효화""80/443 인바운드 차단"은 경험적 판단이며, 지역별 실측은 하지 않았다.
