안녕하세요~ 고객님, ipTIME 기술팀 입니다. 문의하신 내용에 답변 드리겠습니다. 남겨주신 건의사항은 개발 부서에 전달하겠습니다. 다만 정확한 반영 여부나 일정 등은 기술지원팀에서는 안내 어려운 점 양해 부탁드립니다.

감사합니다.  


펌웨어 15.33.6에서 “사이트 접속 제한” 기능을 사용할 때, 이 제한을 우회할 수 있는 Secure DNS를 차단하는 것은 매우 당연한 취지임을 이해합니다. 다만 전역 차단 방식보다는 기기별/그룹별 정책을 통해 세분화된 적용이 가능하도록 검토를 부탁드립니다. 제 사용 환경에서는 Secure DNS 전역 차단 방식으로 인해 기존에 정상적으로 사용하던 네트워크 구성이 동작하지 않게 되었습니다. 유선상으로 말씀드렸더니 게시판에 설명을 요청하셔서 다시 정리해 올려봅니다. 현재 AX8004BCM에 PC와 NAS를 연결해 사용하고 있습니다. NAS에는 Docker로 AdGuardHome을 구동하고 있습니다. AdGuardHome은 사설 DNS 서버 역할을 하며, DoH, DoT, DoQ 등을 지원하는 Secure DNS 서버로도 동작합니다. 이름에서도 알 수 있듯이 주로 광고 도메인, 트래커, 개인정보 수집 도메인 등을 차단하는 용도로 사용하고 있습니다. 제 사용 환경은 다음과 같습니다. * 부모/관리자 기기: Secure DNS 사용 (LAN, WAN 환경 모두에서 거쳐감) * 자녀 기기: 공유기의 사이트 접속 제한 기능을 사용해 TikTok, YouTube 등 특정 도메인을 차단 * IoT 디바이스 등 일반 기기: 기본 설정 즉 모든 기기에 동일한 정책을 적용하려는 것이 아니라, 기기 성격에 따라 서로 다른 정책 적용이 필요합니다. 이런 상황에서 펌웨어를 15.33.6으로 업그레이드 한 후 Secure DNS 트래픽이 drop되어 장애를 겪었습니다. 현재는 펌웨어를 15.33.0으로 다운그레이드하여 문제는 회피해둔 상태입니다. 사이트 접속 제한 대상 기기가 Secure DNS로 정책을 우회하지 못하게 하는 것은 필요하겠습니다. 문제는 그 차단이 모든 기기에 전역으로 적용된다는 점입니다. 공용 LAN 환경, 사원 단말, 자녀 기기 등에 대해서는 Secure DNS 차단이 필요할 수 있습니다. 하지만 관리자, Bastion, 부모 기기에서는 Secure DNS를 의도적으로 사용할 수 있습니다. 유선 통화 당시에는 공유기를 두 대로 나누어 쓰는 방법을 말씀해주셨는데, 공유기를 두 대 쓰자면 비용도 비용이고, 네트워크 구성이 불필요하게 복잡해지고, DHCP, 포트포워딩, 무선 커버리지, 내부 장비 접근 정책, 관리 지점이 모두 늘어납니다. 동일 가정 내에서 기기별 정책만 다르게 적용하고 싶은 요구에 비해 해결 방식이 과하지 않을까요. 가장 좋은 해결책은 디바이스 그룹 개념을 도입하고, 그룹별 정책을 페어링하는 개선책이지 않을까 합니다. 관리자 그룹, 일반 그룹, 가전기기 그룹, 등을 나누고 각 클라이언트들은 MAC 및 TLS fingerprint 등으로 식별하여 그룹에 속하게 하고 이 그룹 정책에 따라 DHCP 할당 받는 IP 대역, lease 정책, 통신 사용 가능한 시간대, 그룹별 스로틀링 정책 사이트 차단(+Secure DNS 차단), 라우팅 정책 등 현재 존재하는 모든 설정들을 상위 레이어에서 갈라줄 수 있을 것입니다. 이처럼 권한 그룹 - 그룹 정책 페어링 하는 방식은 대부분의 공유기 제조사들이 다양한 방식으로 구현하고 있는데 VLAN을 쪼개는 경우도 있고, 프로파일, 카테고리, 세그먼트 등 다양한 이름으로 구현하고 있는 것으로 압니다. 강조하고 싶은 점은, Secure DNS 차단의 목적이 사이트 접속 제한 우회 방지라면, 차단 대상도 사이트 접속 제한이 적용되는 기기/그룹으로 한정되는 것이 상식적으로 자연스럽다는 점을 주장하겠습니다. 이같이 큰 변경을 적용하는 것은 간단한 문제가 아니므로 당장은 '통신 허용할 Secure DNS 서버 목록' 화면에서 사용자가 명시적으로 허용할 Secure DNS의 URI를 지정해 Secure DNS 차단 예외할 수 있도록 하면 어떨는지요? 사이트 접속 제한 대상 기기가 Secure DNS로 정책을 우회하는 것은 막되, 사용자가 의도적으로 Secure DNS를 사용하도록 설정한 기기나, 사용자가 직접 운영하는 내부 DNS 서버까지 전역 차단하지 않도록 정책 적용 범위를 세분화해주셨으면 하고 재삼 요청 드립니다. 지금은 Secure DNS가 무엇인지도 모르는 사람들이 거의 전부이니 펌웨어에 무슨 변경점이 있는 줄도 모를 것입니다만 보안이라는 것은 항상 더 높은 방향을 요구하므로, 미래에는 저 혼자만의 요청은 아닐 것입니다.