Iptime:EasyMesh

IPTime 공유기 3대(A, B, C)를 유선으로 연결하여 하나의 SSID로 통합 운영하고, 번거로운 MAC 주소 등록 없이 보안을 유지하는 방법을 정리한다.

개요

현재 상황

공유기 A가 WAN(인터넷)에 연결되어 있음
B, C는 벽으로 가려져 있어 상호 무선 신호가 잡히지 않음 → 유선으로 연결됨
현재 A, B, C가 각각 다른 SSID로 Wi-Fi를 송출 중
접속 시 WPA 암호 + MAC 주소 등록을 병행하여 관리 부담이 큼

목표

3대를 동일 SSID로 통합하여 이동 시 자동 전환(로밍)되게 함
MAC 주소 등록을 폐지하되 보안 수준은 유지 또는 강화

핵심 원리

동일 SSID로 로밍이 성립하려면 세 공유기가 같은 네트워크(L2 브로드캐스트 도메인)에 속해야 한다. 즉 B와 C는 라우터가 아니라 AP(액세스 포인트)로 동작해야 하며, IP 대역이 하나로 유지되어야 이동 시 IP가 바뀌지 않아 세션이 끊기지 않는다.

배선

반드시 LAN 포트끼리 연결한다.

인터넷 ──[WAN] A [LAN] ──랜선──> [LAN] B     (B의 WAN 포트는 비워둠)
                [LAN] ──랜선──> [LAN] C     (C의 WAN 포트는 비워둠)

연결 방식	결과
LAN → LAN	하나의 네트워크로 통합. 로밍 정상 동작
LAN → WAN	이중 NAT 발생. SSID가 같아도 이동 시 IP가 재할당되어 연결 끊김

구성 방식 1: AP 모드 수동 구성

모든 IPTime 모델에서 사용 가능한 범용 방식이다.

B, C를 AP 모드로 전환

각 공유기를 A에 연결하기 전에 개별 접속(192.168.0.1)하여 설정한다.

하드웨어 스위치가 있는 모델: 뒷면 AP / Router 스위치를 AP로 변경
소프트웨어 설정: 관리도구 → 고급 설정 → 네트워크 관리 → 내부 네트워크 설정
- 내부 IP를 A와 같은 대역의 고정 IP로 지정 (A의 DHCP 할당 범위 밖 주소 권장)
- DHCP 서버 → 중지 (가장 중요)
- 게이트웨이 / DNS → 192.168.0.1 (A의 주소)

장비	역할	관리 IP	DHCP 서버
A	라우터 (게이트웨이)	192.168.0.1	사용
B	AP	192.168.0.2	중지
C	AP	192.168.0.3	중지

WARNING
설정 변경 후 B의 관리 페이지 주소는 `192.168.0.2`로 바뀐다. 변경 전에 반드시 기록해 둘 것.

무선 설정 동일화

3대 모두 아래 항목을 완전히 동일하게 맞춘다.

항목	설정
SSID	완전히 동일 (대소문자·공백 포함)
암호화 방식	동일 (WPA2-PSK / AES 이상)
비밀번호	동일

2.4GHz와 5GHz의 SSID를 분리해 사용하는 경우(예: home / home_5G), 3대 모두 같은 분리 규칙을 적용한다.

채널 배치

자동 설정을 끄고 고정 채널을 지정한다. 자동으로 두면 서로 같은 채널을 선택해 간섭이 발생한다.

대역	A	B	C	비고
2.4GHz	1	6	11	상호 비중첩 조합
5GHz	36	149	100	충분히 이격. 100번대는 DFS 대역

로밍 개선

단말이 신호가 약해진 AP에 계속 붙어 있는 현상(sticky client)이 흔하다.

각 공유기의 무선 송신 출력을 70~80%로 낮춘다. 셀 경계가 뚜렷해져 전환이 원활해진다.
벽으로 공간이 구분된 구조에서는 이 조정의 효과가 특히 크다.

구성 방식 2: EasyMesh (지원 모델)

유선 백홀

메시는 무선 연결이 필수가 아니다. EasyMesh 표준은 이더넷 백홀을 포함하며, 오히려 유선이 상위 방식이다.

무선 백홀은 노드 간 통신과 단말 통신이 대역폭을 나눠 쓰므로 실효 속도가 절반 수준으로 떨어진다
유선 백홀은 노드 간 통신을 랜선이 담당하고 Wi-Fi를 온전히 단말에만 할당한다
벽으로 막혀 있어 이미 랜선을 포설한 환경은 메시 구성에 최적 조건이다

노드 페어링

페어링 절차는 모델 및 펌웨어에 따라 다르다.

랜선 자동 등록: 에이전트를 초기화 후 A의 LAN에 연결하면 컨트롤러가 자동 인식 (대부분의 경우)
WPS 버튼 페어링만 지원: B, C를 일시적으로 A 근처로 옮겨 페어링을 완료한 뒤, 원래 위치에 설치하고 랜선을 연결하면 유선 백홀로 자동 전환된다

방식 비교

항목	유선 메시	AP 모드 수동 구성
속도 / 안정성	동일	동일
SSID · 채널 관리	자동 동기화	3대 각각 수동 설정
로밍 전환	802.11k/v 지원으로 매끄러움	단말 판단에 의존
지원 모델	EasyMesh 지원 기종 한정	전 모델

유선 백홀 기준으로 실사용 속도 차이는 없다. 차이는 관리 편의성과 로밍 전환 품질에 국한된다.

무선 보안: MAC 필터링 폐지

MAC 필터링의 실효성

MAC 주소 등록은 폐지해도 무방하며, 대체 수단이 필요하지 않다.

MAC 주소는 암호화 구간 밖에서 평문으로 전송된다
공격자는 수 초간의 스니핑으로 허용된 MAC을 확인한 뒤 자신의 MAC을 위조(spoofing)하면 그대로 우회된다
즉 우회에 기술적 장벽이 사실상 존재하지 않는다

관리 부담 증가 요인

iOS, Android, Windows 모두 SSID별 랜덤 MAC이 기본 동작이다. 기기마다 "이 네트워크에서 랜덤 MAC 사용 안 함"을 개별 설정해야 한다
공유기가 3대이면 등록 작업도 3배가 된다

권장 보안 조치

효과가 큰 순서대로 나열한다.

조치	이유
WPA3-SAE (또는 WPA2/WPA3 혼용)	오프라인 사전공격 차단 및 순방향 비밀성(forward secrecy) 제공. MAC 필터링과 비교할 수 없는 실질적 방어
패스프레이즈 20자 이상	PSK는 결국 오프라인 크래킹 대상이므로 길이가 사실상 유일한 방어 변수. 단어 4~5개 조합으로도 충분
WPS 비활성화	Pixie Dust 등으로 실제 침해가 가능한 항목. IPTime은 기본 활성화된 모델이 많음
PMF(802.11w) 활성화	deauth 공격으로 연결을 끊고 재접속 핸드셰이크를 캡처하는 수법을 차단
원격 관리 비활성화 + 관리자 비밀번호 변경	공유기 자체가 침해되면 나머지 조치가 무의미해짐
펌웨어 최신 유지	알려진 취약점 대응

INFORMATION
WPA3-SAE는 구형 기기의 접속을 막을 수 있다. 초기에는 WPA2/WPA3 혼용(전환 모드)으로 설정하고 문제 기기 유무를 확인하는 것이 안전하다.

권장하지 않는 조치: SSID 숨김

보안 효과가 없을 뿐 아니라 역효과를 낳는다. 숨겨진 SSID는 단말이 능동적으로 해당 SSID를 브로드캐스트로 탐색(probe request)하게 만들어, 오히려 기기가 외부에서 SSID를 노출하고 다니는 결과가 된다.

기기 통제 대안

MAC 등록을 접속 기기 통제 목적으로 사용했다면 다음으로 대체한다.

게스트 네트워크 분리: 방문자 및 IoT 기기는 게스트 SSID로 분리하고 내부망 접근을 차단한다. 신뢰 경계를 구분하는 것이 정석적인 접근이다
접속 기기 목록 모니터링: 사전 통제 대신 사후 확인으로 전환. 미확인 기기가 발견되면 그 시점에 비밀번호를 변경한다

긴 패스프레이즈 + WPA3 + WPS 비활성화 조합은 MAC 필터링을 유지하던 기존 구성보다 오히려 높은 보안 수준을 제공한다.

작업 체크리스트

B, C를 A에 연결하기 전에 개별 접속하여 AP 모드로 전환
B, C의 DHCP 서버 중지 및 고정 IP 지정 (변경된 관리 IP 기록)
A의 LAN 포트와 B, C의 LAN 포트를 랜선으로 연결 (WAN 포트 사용 금지)
3대의 SSID, 암호화 방식, 비밀번호를 동일하게 설정
2.4GHz는 1 / 6 / 11, 5GHz는 36 / 149 / 100으로 채널 고정
WPA2/WPA3 혼용 모드 적용 및 20자 이상 패스프레이즈 설정
3대 모두 WPS 비활성화, PMF 활성화, 원격 관리 비활성화
MAC 주소 필터링 해제
로밍이 원활하지 않으면 무선 송신 출력을 70~80%로 조정