MikroTik 라우터에서 프록시 설정하기: 기업 네트워크 보호 및 트래픽 필터링 단계별 가이드

귀사의 회사에 MikroTik 라우터가 하나라도 있다면, 이미 트래픽을 제어하고 원치 않는 웹사이트를 차단하며 기업 네트워크를 보호할 수 있는 내장 도구가 있는 것입니다. 대부분의 시스템 관리자는 그 기능의 절반도 사용하지 않습니다. 이 가이드에서는 추가 서버나 불필요한 비용 없이 MikroTik에서 프록시를 설정하는 방법을 설명합니다.

MikroTik의 웹 프록시란 무엇이며 비즈니스에 필요한 이유

MikroTik RouterOS는 내장된 HTTP/HTTPS 프록시 서버를 포함한 네트워크 장비를 위한 완전한 운영 체제입니다. 이 프록시는 웹 프록시라고 하며 기본 라이센스부터 사용할 수 있습니다. 본질적으로 이는 귀하의 네트워크 사용자와 인터넷 사이의 중간 노드입니다: 모든 트래픽이 이를 통해 지나가며, 네트워크에서 발생하는 모든 것을 완전히 제어할 수 있습니다.

이것은 일반 방화벽과 어떻게 다를까요? 방화벽은 IP 주소와 포트 수준에서 작동합니다 - 요청의 내용을 "이해"하지 못합니다. 프록시는 애플리케이션 수준에서 작동합니다: 특정 URL, 도메인, 콘텐츠 유형을 볼 수 있습니다. 이는 근본적으로 다른 수준의 제어를 제공합니다.

MikroTik의 내장 웹 프록시는 다음과 같은 기능을 수행할 수 있습니다:

• 웹 콘텐츠 캐싱 - 활성 브라우징이 있는 사무실에서 인터넷 대역폭을 30-40%까지 줄입니다.
• 특정 웹사이트, 도메인, URL 패턴에 대한 접근 차단
• 사용자 IP 주소 또는 서브넷에 따라 접근 제어
• 모든 HTTP 요청 로깅 - 누가, 어디로, 언제 접근했는지 기록
• 투명 모드에서 작동 - 사용자는 그 존재를 인식하지 못합니다.
• 외부 프록시 서버(parent proxy)로 트래픽 리다이렉션

중요한 제한 사항을 이해하는 것이 중요합니다: MikroTik의 내장 웹 프록시는 기본 모드에서 HTTP 트래픽만 처리합니다. HTTPS 트래픽은 특정 제한이 있는 투명 모드에서만 가로챌 수 있으며, 또는 parent proxy 설정을 통해 가능합니다. HTTPS에 대한 완전한 검사는 추가 솔루션이 필요합니다 - 외부 프록시에 대한 섹션에서 설명하겠습니다.

사용 사례: 누구에게 이 설정이 필요한가

기술적인 세부 사항으로 넘어가기 전에, MikroTik 프록시가 해결하는 구체적인 비즈니스 문제를 살펴보겠습니다. 이는 어떤 설정이 필요한지 이해하는 데 도움이 될 것입니다.

직원들이 있는 사무실

가장 일반적인 시나리오입니다. 과제: 근무 시간 동안 소셜 미디어 차단, 토렌트 다운로드 금지, 대역폭을 소모하는 스트리밍 서비스 접근 제한. MikroTik의 투명 프록시는 직원 컴퓨터에 에이전트를 설치하지 않고도 모든 것을 해결합니다. 직원들은 자신의 트래픽이 필터링되고 있다는 사실조차 모릅니다 - 모든 것이 자동으로 작동합니다.

인터넷 카페, 코워킹 스페이스, 호텔

여기서 프록시는 두 가지 용도로 필요합니다: 캐싱(인기 있는 콘텐츠가 더 빨리 로드되고 트래픽을 반복해서 사용하지 않음)과 불법 콘텐츠의 기본 필터링. 캐싱은 제한적이거나 비싼 인터넷 대역폭에서 특히 중요합니다.

마케팅 에이전시 및 디지털 팀

특정 시나리오: Facebook Ads, TikTok Ads, Instagram에서 여러 광고 계정을 운영하는 팀은 종종 외부 프록시를 통해 트래픽을 라우팅하기 위해 기업 MikroTik을 게이트웨이로 사용합니다. 다양한 직원이나 작업 스테이션이 서로 다른 IP 주소를 통해 인터넷에 접속합니다 - 이는 동일한 플랫폼에서 여러 계정으로 작업할 때 매우 중요합니다.

서비스 제공업체 및 ISP

소규모 제공업체는 MikroTik 캐싱 프록시를 사용하여 메인 대역폭의 부하를 줄입니다. 동일한 뉴스나 YouTube를 시청하는 많은 가입자가 있을 경우, 캐싱은 트래픽을 상당히 절약할 수 있습니다.

설정 시작 전에 필요한 것

구성을 시작하기 전에 필요한 모든 것이 있는지 확인하십시오. 이 단계를 건너뛰면 설정 시 80%의 문제를 일으킬 수 있습니다.

라우터 접근: MikroTik의 웹 인터페이스(Winbox 또는 WebFig)에 관리자 권한으로 접근해야 합니다. Winbox는 모든 설정에 대한 완전한 접근을 제공하므로 선호되는 옵션입니다. MikroTik의 공식 웹사이트에서 무료로 다운로드할 수 있습니다.

RouterOS 버전: 웹 프록시가 안정적으로 작동하려면 RouterOS 6.x 또는 7.x가 권장됩니다. System → Packages를 통해 버전을 확인하십시오. 버전이 오래된 경우 System → Packages → Check for Updates를 통해 업데이트하십시오.

디스크 여유 공간: 프록시 캐시는 라우터의 디스크에 저장됩니다. 캐싱을 위해 최소 50-100MB의 여유 공간이 필요합니다. Winbox의 Files를 통해 확인하십시오. 플래시 메모리가 작은 라우터(8MB 이하)에서는 캐싱을 비활성화하는 것이 좋습니다.

네트워크 구성: 어떤 서브넷이 있는지, 어떤 인터페이스가 인터넷(WAN)을 보고 있는지, 어떤 인터페이스가 내부 네트워크(LAN)를 보고 있는지 기록하거나 그려보십시오. 이 이해 없이는 투명 프록시를 위한 NAT 규칙을 설정할 수 없습니다.

1단계: MikroTik에서 웹 프록시 활성화하기

웹 프록시를 활성화하는 것은 가장 간단한 단계입니다. 모든 작업은 Winbox의 그래픽 인터페이스를 통해 몇 분 안에 완료됩니다.

Winbox를 통해(권장):

1. Winbox를 열고 라우터에 연결합니다.
2. 왼쪽 메뉴에서 IP → Web Proxy를 선택합니다.
3. 열린 창에서 Enabled에 체크합니다.
4. 포트를 설정합니다 - 기본값은 8080이며, 그대로 두거나 변경할 수 있습니다.
5. Max Cache Size 필드에 캐시 크기를 입력합니다(예: 100MB) 또는 여유 공간이 허용된다면 unlimited를 선택합니다.
6. Apply를 클릭한 후 OK를 클릭합니다.

터미널을 통해(명령줄을 선호하는 경우):

/ip proxy
set enabled=yes port=8080 max-cache-size=100000KiB
  

활성화 후 프록시가 시작되었는지 확인하십시오. 터미널에서 다음을 실행하십시오:

/ip proxy print
  

출력에서 enabled: yes가 표시되어야 합니다. enabled: no가 표시되면 뭔가 잘못된 것입니다. 단계를 반복하십시오.

이 단계에서 프록시는 활성화되었지만 트래픽을 자동으로 가로채지 않습니다. 사용자는 브라우저 설정에서 수동으로 IP 라우터와 포트 8080을 입력해야 합니다. 전체 네트워크에 대해 이를 자동으로 수행하려면 다음 단계에서 설명하는 투명 모드가 필요합니다.

또한 Cache Path 매개변수에 주목하십시오 - 이는 캐시가 저장되는 위치를 지정합니다. 기본적으로 라우터의 내장 메모리입니다. USB 드라이브나 메모리 카드가 있는 경우, 캐시를 그곳으로 이동하는 것이 좋습니다 - 이는 용량을 늘리고 내장 메모리의 마모를 줄입니다.

2단계: 방화벽 NAT를 통한 투명 프록시 설정

투명 프록시는 로컬 네트워크의 모든 HTTP 트래픽이 자동으로 프록시 서버를 통해 리다이렉션되는 모드입니다. 사용자는 브라우저에서 아무것도 설정할 필요가 없습니다. 직원 입장에서는 모든 것이 정상적으로 작동하지만 실제로는 모든 요청이 프록시를 통과합니다.

이는 MikroTik 방화벽의 NAT 규칙을 통해 구현됩니다. 이 규칙은 모든 아웃바운드 TCP 트래픽을 포트 80(HTTP)에서 가로채어 프록시 포트(8080)로 리다이렉션합니다.

Winbox를 통해:

1. IP → Firewall → NAT로 이동합니다.
2. + 버튼(규칙 추가)을 클릭합니다.
3. General 탭에서 다음을 설정합니다:
   • Chain: dstnat
   • Protocol: tcp
   • Dst. Port: 80
   • In. Interface: 귀하의 LAN 인터페이스(예: ether2 또는 bridge-local)
4. Action 탭에서 다음을 설정합니다:
   • Action: redirect
   • To Ports: 8080
5. OK를 클릭합니다.

터미널을 통해:

/ip firewall nat
add chain=dstnat protocol=tcp dst-port=80 in-interface=ether2 \
    action=redirect to-ports=8080
  

ether2를 귀하의 LAN 인터페이스 이름으로 교체하십시오. 여러 LAN 인터페이스가 브리지에 통합된 경우, 브리지 인터페이스의 이름을 지정하십시오.

규칙을 추가한 후 작동 여부를 확인하십시오: 로컬 네트워크의 컴퓨터에서 아무 HTTP 사이트를 열어보십시오. 프록시가 제대로 작동하면 페이지가 열리고 프록시 로그(IP → Web Proxy → Access)에 기록이 나타납니다. 페이지가 열리지 않으면 인터페이스 이름과 프록시 포트를 확인하십시오.

3단계: 필터링 규칙 - 웹사이트 및 카테고리 차단하기

이는 직원의 인터넷 접근을 제어하고자 하는 사람들에게 중요한 섹션입니다. MikroTik의 웹 프록시는 유연한 규칙을 생성할 수 있도록 해줍니다: 특정 도메인, URL 패턴을 차단하거나 반대로 특정 리소스만 허용할 수 있습니다.

접근 규칙은 IP → Web Proxy → Access에서 설정됩니다. 각 규칙은 조건(무엇을 확인할지)과 동작(무엇을 할지: allow 또는 deny)을 가지고 있습니다.

특정 도메인 차단하기(예: vk.com):

/ip proxy access
add dst-host=vk.com action=deny comment="VK 차단"
add dst-host=*.vk.com action=deny comment="VK 하위 도메인 차단"
  

URL 마스크에 따라 차단하기(예: 모든 YouTube 페이지):

/ip proxy access
add dst-host=*.youtube.com action=deny comment="YouTube 차단"
add dst-host=youtube.com action=deny comment="YouTube 메인 차단"
  

특정 서브넷에 대해서만 접근 허용하기(예: IT 부서만 GitHub에 접근 가능):

/ip proxy access
add src-address=192.168.1.10/32 dst-host=github.com action=allow
add dst-host=github.com action=deny
  

파일 확장자에 따라 차단하기(.exe, .torrent 다운로드 금지):

/ip proxy access
add path=*.exe action=deny comment="EXE 다운로드 차단"
add path=*.torrent action=deny comment="토렌트 파일 차단"
add path=*.zip action=deny comment="ZIP 다운로드 차단"
  

규칙의 순서에 주의하십시오: MikroTik은 위에서 아래로 규칙을 확인하고 첫 번째 일치하는 항목에서 멈춥니다. 특정 IP에 대한 allow 규칙은 동일한 도메인에 대한 deny 규칙보다 위에 있어야 합니다.

Winbox를 통해 규칙은 IP → Web Proxy → Access 탭 → + 버튼에서 추가됩니다. 인터페이스는 직관적입니다: 조건(Source Address, Destination Host, Path, Method)을 선택하고 동작(Allow/Deny)을 선택합니다.

4단계: 대역폭 절약을 위한 트래픽 캐싱

캐싱은 MikroTik에서 프록시를 활성화하는 주된 이유 중 하나입니다. 원리는 간단합니다: 20명의 직원이 동일한 뉴스 페이지를 열면, 캐시가 없으면 라우터는 이를 20번 다운로드합니다. 캐시가 있으면 한 번만 다운로드하고 나머지 19명은 라우터의 로컬 메모리에서 즉시 데이터를 받습니다.

캐시 설정은 IP → Web Proxy에서 찾을 수 있습니다. 주요 매개변수는 다음과 같습니다:

터미널을 통한 설정:

/ip proxy
set max-cache-size=102400KiB \
    max-cache-object-size=4096KiB \
    max-fresh-time=3d
  

캐시의 효율성을 확인하려면 다음 명령어를 사용하십시오:

/ip proxy monitor
  

hits와 misses 지표에 주목하십시오. 좋은 지표는 hits가 전체 요청 수의 20-40%를 차지하는 것입니다. 만약 hits가 0에 가까우면, 대부분의 트래픽이 HTTPS이거나(캐시되지 않음) 캐시가 너무 작을 수 있습니다.

중요한 점: 현대 웹사이트는 점점 더 Cache-Control: no-store 또는 no-cache와 같은 헤더를 사용하여 캐싱을 금지합니다. 따라서 2024년 현재 캐시의 효율성은 5-10년 전보다 낮습니다. 그럼에도 불구하고 정적 리소스(이미지, CSS, JS 파일)에 대해서는 캐시가 여전히 잘 작동합니다.

5단계: MikroTik을 통한 외부 프록시 서버 연결하기

이는 단순히 트래픽을 필터링하는 것이 아니라, 기업 네트워크 또는 개별 장치가 인터넷에 나가는 IP 주소를 완전히 제어하고자 하는 사람들에게 가장 흥미로운 시나리오입니다. MikroTik은 모든 로컬 프록시 요청을 상위 외부 프록시 서버로 전달하는 Parent Proxy 기능을 지원합니다.

실제로 필요한 이유는 다음과 같습니다:

• 전체 네트워크의 IP 변경 - 모든 사무실 트래픽이 외부 프록시의 IP를 통해 나가며, 귀하의 실제 ISP IP가 아닙니다.
• 지역 제한 우회 - 귀하의 지역에서 차단된 리소스에 접근
• 다양한 장치에 대한 다양한 IP - 라우팅을 통해 서로 다른 작업 스테이션이 서로 다른 외부 프록시를 사용합니다.
• 회사의 실제 IP 보호 - 외부 서비스는 프록시 IP를 보고 귀하의 기업 주소를 보지 않습니다.

Winbox를 통한 Parent Proxy 설정:

1. IP → Web Proxy로 이동합니다.
2. Parent Proxy 섹션을 찾습니다.
3. Parent Proxy Address에 외부 프록시 서버의 IP 주소를 입력합니다.
4. Parent Proxy Port에 프록시 포트를 지정합니다(일반적으로 8080, 3128 또는 다른 포트).
5. Apply를 클릭합니다.

터미널을 통해:

/ip proxy
set parent-proxy=203.0.113.10 parent-proxy-port=8080
  

203.0.113.10와 8080를 귀하의 프록시 서버의 실제 데이터로 교체하십시오.

기업 작업에서 안정성과 익명성이 중요한 경우, parent proxy로 주거용 프록시를 사용하는 것이 좋습니다 - 이들은 실제 가정 사용자의 IP 주소를 가지고 있어 트래픽이 일반 사용자와 구별되지 않게 만듭니다. 이는 행동 및 연결 유형을 분석하는 플랫폼에서 작업할 때 특히 중요합니다.

팀이 모바일 트래픽을 시뮬레이션해야 하는 경우 - 예를 들어 Facebook Ads 또는 Instagram에서 모바일 장치로 광고 캠페인을 테스트할 때 - 모바일 프록시를 parent proxy로 사용할 수 있습니다. 이들은 실제 통신사의 SIM 카드를 통해 작동하며 3G/4G/5G 모바일 네트워크의 IP를 제공합니다.

요청 모니터링 및 로깅

기업 환경에서 프록시를 사용하는 주요 이유 중 하나는 사용자가 인터넷에서 무엇을 하고 있는지 볼 수 있는 가능성입니다. MikroTik 웹 프록시는 모든 HTTP 요청을 로깅할 수 있습니다: 누가(IP 주소), 어디로(URL), 언제, 어떤 요청 방법 및 응답 상태.

로깅 활성화:

/ip proxy
set log-connect=yes
  

로깅을 활성화한 후 로그는 Log(Winbox 메뉴)에서 확인할 수 있습니다. 편리한 조회를 위해 web-proxy

로그를 장기적으로 저장하고 편리하게 분석하려면 외부 Syslog 서버로 전송하도록 설정하십시오:

/system logging action
add name=remote-syslog target=remote remote=192.168.1.100 remote-port=514

/system logging
add action=remote-syslog topics=web-proxy
  

192.168.1.100를 귀하의 syslog 서버의 IP로 교체하십시오. syslog 서버로는 Graylog, Splunk 또는 단순한 rsyslog를 Linux에서 사용할 수 있습니다.

또한 실시간으로 프록시 통계를 조회하는 명령어도 유용합니다:

/ip proxy monitor
  

여기서 활성 연결 수, 총 요청 수, 캐시에 적중한 수, 전송된 데이터 양을 확인할 수 있습니다. 이 데이터는 라우터의 부하와 캐싱 효율성을 평가하는 데 도움이 됩니다.

GDPR 및 노동법에 대한 중요한 주의 사항: 직원의 트래픽을 로깅하는 경우, 이는 근로 계약서나 기업 보안 정책에 명시되어 있는지 확인하십시오. 일부 국가에서는 직원에게 통지 없이 인터넷 활동을 모니터링하는 것이 법률 위반이 될 수 있습니다.

자주 발생하는 오류 및 수정 방법

MikroTik에서 웹 프록시를 설정할 때 가장 흔히 발생하는 문제와 그 해결 방법을 모았습니다.

오류 1: 투명 프록시 설정 후 인터넷이 작동하지 않음

원인: NAT 규칙에서 LAN 인터페이스가 잘못 지정되었거나 규칙이 잘못된 위치에 있습니다.

해결 방법: /interface print 명령어로 인터페이스 이름을 확인하십시오. 사용자가 연결된 인터페이스를 정확히 지정하고 있는지 확인하십시오. 브리지를 사용한 경우, 물리적 포트가 아닌 브리지를 지정하십시오.

오류 2: HTTPS 웹사이트가 웹 프록시 규칙으로 차단되지 않음

원인: MikroTik의 웹 프록시는 HTTPS 트래픽을 가로채지 않습니다. IP → Web Proxy → Access의 규칙은 HTTP에 대해서만 작동합니다.

해결 방법: HTTPS 웹사이트를 차단하려면 방화벽에서 Layer 7 Protocols 또는 Address Lists를 사용하십시오. 예를 들어, 필요한 웹사이트의 IP 주소를 목록에 추가하고 IP → Firewall → Filter Rules를 통해 차단하십시오.

오류 3: 프록시는 작동하지만 캐시가 채워지지 않음

원인: 대부분의 현대 웹사이트는 HTTPS 및 캐싱을 금지하는 헤더를 사용합니다. 캐시는 HTTP에 대해서만 작동합니다.

해결 방법: 이는 현대 웹의 정상적인 동작입니다. 캐시는 HTTP 웹사이트에서 정적 리소스(이미지, 파일)로 채워지게 됩니다. 캐시가 중요한 경우, SSL-bump가 포함된 Squid와 같은 전문 솔루션을 고려하십시오.

오류 4: 프록시를 활성화한 후 라우터가 느려짐

원인: 라우터의 약한 프로세서가 많은 사용자의 프록시 부하를 처리하지 못합니다.

해결 방법: /system resource print 명령어로 CPU 부하를 확인하십시오. CPU 사용률이 80%를 초과하는 경우, 캐시 크기를 줄이거나 프록시를 별도의 서버(Squid on Ubuntu/Debian)로 이동하십시오. 이 경우 MikroTik은 외부 프록시로 트래픽을 리다이렉션하는 게이트웨이로만 사용됩니다.

오류 5: Parent Proxy가 작동하지 않음 - 웹사이트가 실제 IP를 통해 열림

원인: MikroTik의 Parent Proxy는 실제로 웹 프록스를 통과하는 트래픽에만 적용됩니다. HTTPS 요청 및 NAT 규칙에 의해 가로채지지 않은 트래픽은 직접 전송됩니다.

해결 방법: 투명 프록시 규칙(8080 포트로 리다이렉션)이 활성화되어 있고 올바른 위치에 있는지 확인하십시오. 모든 트래픽을 외부 프록시를 통해 완전히 리다이렉션하려면 Policy Based Routing을 사용하는 더 복잡한 설정이 필요합니다.

결론

MikroTik에서 웹 프록시를 설정하는 것은 추가 서버나 라이센스 없이 기업 트래픽을 제어하는 실용적인 솔루션입니다. 몇 단계만 거치면: 원치 않는 웹사이트 필터링, 대역폭 절약을 위한 캐싱, 사용자 활동 로깅 및 외부 프록시 서버를 통한 트래픽 라우팅을 얻을 수 있습니다.

가장 중요한 점은: MikroTik의 내장 프록시는 HTTP 트래픽을 잘 처리하지만, 95%의 트래픽이 HTTPS인 현대 기업 네트워크를 완전히 보호하기에는 그 기능이 부족하다는 것입니다. 이러한 경우 MikroTik은 게이트웨이 및 라우터로 사용되며, 필터링 및 트래픽 검사 기능은 전문 솔루션에 맡겨집니다.

귀하의 목표가 전체 기업 네트워크의 트래픽을 신뢰할 수 있는 외부 프록시로 고정 IP 또는 주소 풀을 통해 라우팅하는 것이라면, 데이터 센터 프록시를 고려하십시오 - 이들은 높은 속도와 안정적인 연결을 제공하며, 전체 사무실의 parent proxy로 사용할 때 매우 중요합니다. 최대한의 익명성이 필요한 작업에서는 트래픽이 일반 사용자와 구별되지 않도록 해야 합니다.