KT의 IP 공유기 탐지에 대한 대응 방법이 뭐가 있을까요?

IP 공유기 측면에서의 해결 방법을 고민해 봤는데, 완벽 깔끔한 해결법은 안 나오네요. 동작하는 것 같은 방법을 하나 확인했는데 나름대로 단점이 있습니다. 어떤 방법이냐면... (예상 독자는 관련 제품 개발자 내지는 관련 업계 종사자입니다... 쿨룩;;)

기본 방향은 사설 네트워크 내지는 NAT라는 개념/동작이 필요없이 내부의 모든 PC가 동일한 공인 IP 주소를 사용하도록 하는 (이상한!) 공유 장비를 만들 수 있을까 하는 것입니다. 단, 내부 PC끼리의 통신이 필요한 경우 위에서 설명한 방식을 이용해 별도의 사설 주소를 할당한 가상 인터페이스(내지는 추가 IP주소)를 사용해야 합니다.

문제는 동일한 공인 IP주소를 가진 녀석들끼리 브로드캐스트 패킷 뿌려대는 걸 어떻게 막는가 하는 것이었습니다. 특히 부팅시 네트워크 주소를 설정할 때 IP 충돌 여부 확인을 위해 날리는 ARP가 상당히 귀찮은 문제였습니다.

이에 대한 해결책 하나는 LAN쪽 연결을 위해 하나의 이더넷 인터페이스와 스위치 컨트롤러 칩을 사용하는 대신 포트별로 별도의 이더넷 칩을 사용하는 것입니다... 만, 제작 단가가 올라가기도 하고, 한 포트에 다시 허브를 연결해 여러 PC를 연결할 수 없다는 문제가 있습니다.

다른 대안으로 터널링을 생각해 봤고, 모든 PC에 기본적으로 있는 터널링 프로토콜이 뭐가 있을까 잠시 고민하다가 포기했는데, 있더군요. 바로 PPPoE. (네네, 윈도우의 경우 XP 이전 버전에서는 별도의 프로그램을 설치해 줘야 합니다.) 공유 장비를 대략 다음과 같이 구성해 보니 커널 수정 없이도 원하는 방식으로 동작을 해주더군요. 윈XP과 우분투를 함께 돌려봤고, ping과 웹 접속 정도로 확인했습니다.

• WAN 인터페이스에는 주소를 할당하지 않고 proxy ARP 기능을 활성화 시킴. WAN 방향의 라우트를 수동으로 직접 설정해 줌.
• LAN 인터페이스 상에서 PPPoE 서버를 돌림. 설정 파일에서 할당해 줄 주소를 하나로 통일.
• PC에서 온 패킷의 구분을 위해 ppp0, ppp1, ...에서 나오는 패킷에 대해 mangle table의 PREROUTING에서 CONNMARK로 각각 표시를 해 줌.
• 외부로 나갔다가 들어오는 패킷의 라우팅을 위해 mangle table의 PREROUTING에서 connmark를 확인해서 각각 대응하는 값으로 MARK 해 줌.
• policy routing 기능을 이용해서 각각의 MARK값에 대해 rule을 만들고, 각 rule 내에서 각 표시값에 대응하는 인터페이스로 가는 route를 추가해 줌.

에... (IP 공유기 개발 업체의 관점에서) 생각보다 쉽게 가능하기는 한데, DHCP의 궁극 편리함 대신 PPPoE를 이용해야 한다는 꽤 치명적인 문제가 있네요. 집에서 리눅스 박스를 라우터로 쓰는 경우라면 그리 할 만 하지 않은 방법인 것 같구요-
----
머릿속에 맴돌던 것 하나를 어떻게든 결론을 지으니 좀 시원하군요. 사실 가장 편하기는 웹브라우저 수준에서 자바 애플릿을 막아버리는 거겠죠. 어쩌다가 실수로 한두 개의 사설 주소가 노출된다고 해도 몇 번 더 실수를 하지 않는 한 인터넷 기사는 방문하지 않을 거구요.

나름대로 익숙한 분야의 기술을 이용해 문제를 '피해가는' 방법은 충분히 고민해 봤으니, 이젠 비-기술적인 해결 방법도 찾아 봐야겠다는 생각입니다. 부디, 상식적이지도 않고 도덕적이지도 않은 방법으로 쉽게 돈 벌려는 시도가 순순히 성공하지는 못하게 되었으면 합니다.
----
$PWD `date`

KT가 괜한 짓을 해서 1년이 넘은 스레드를 끌어올리는군요. :-)

익명 사용자님: API 훅을 이용하는 방식은 상당히 근본적인 해결책이 될 수 있을 거라 생각합니다. 하지만 그 함수를 사용하는 다른 응용 프로그램에 의도치 않은 부작용을 초래할 수 있겠지요.

김일목님: 여러 계층으로 공유기를 사용해도 별 차이는 없을 거라 생각합니다. 알려진 방식은 웹브라우저가 동작하는 PC의 IP 주소를 직접 알아내는 식이라, 아무리 내부에 PC를 숨겨놔도 그 PC의 IP 정보가 ISP측으로 전달됩니다.

익명 사용자님: 로컬 프록시... 인즉, 관련 IP 대역을 차단하는 방식이지요. 네, 로컬 프록시나 개인 방화벽, 웹브라우저 확장 기능 등으로 관련 IP 대역을 차단하거나 자바 애플릿을 동작하지 않게 하는 방법을 통해 PC의 IP 주소를 ISP가 알 수 없도록 할 수 있을 겁니다. 무난한 방법이고, KT가 거기에까지 신경을 써서 완벽한 탐지를 하려고 들지는 않으리라 생각합니다. 단, 이 방법은 PC의 IP 주소를 ISP가 알 수 없게 해놨다는 사실 자체를 ISP가 알게 한다는 미묘한 약점이 있기는 합니다. :-)

익명 사용자님: 터널링... 방식은 잘 이용하면 근본적인 탐지 방지책이 될 수 있겠지만 일반 사용자에게까지 널리 쓰일 수 있을 만한 방법인지는 의문입니다.

파도님: 스파이웨어는 일반적으로 PC에 설치돼서 동작하는 프로그램을 뜻합니다. :-) 현재 ISP에서 공유기 탐지 등을 위해 사용하는, 웹 서버가 보낸 것이 아닌 HTTP 응답을 보내는 방식은 넓은 의미의 크래킹에 해당할 수 있겠고, 구체적인 기법이 경우에 따라 좁은 의미의 크래킹에 해당할 수도 있으리라 생각합니다.

----
$PWD `date`