아무 클라이언트나 열어 보면 첫 화면에 늘 같은 단어들이 있습니다. 구독, 노드, 회선, 프로토콜, 분할 라우팅, 전역. 이들은 서로 다른 계층에 속합니다. 구독은 설정이 어디서 오는지를, 노드와 회선은 데이터가 어디로 나가는지를, 프로토콜은 데이터를 어떻게 묶는지를, 분할 라우팅은 어떤 데이터가 나가야 하는지를 다룹니다. 아래에서는 이 순서대로 VPN 입문 용어를 하나씩 살펴보고, 각 용어를 클라이언트의 구체적인 스위치나 설정 한 줄에 대응시켜 보겠습니다.
이 글은 평가가 아니라 빠른 참고용 정리입니다. 회선과 프로토콜에 관한 부분은 일반적인 기술 설명이라 어떤 서비스에 대입해도 성립합니다. 가격, 트래픽, 환불에 관한 숫자는 VPNCW 공개 요금제 페이지를 기준으로 했습니다.
구독 링크: 한 번 가져오면 이후 모든 노드가 함께 갱신됩니다
구독 링크는 https 주소 한 줄이고, 서버는 그 주소 뒤에 노드 목록을 담아 둡니다. 대부분의 구현에서는 Base64로 인코딩된 설정 텍스트 형태입니다. 클라이언트의 'URL에서 가져오기', '클립보드에서 구독 가져오기'는 같은 일을 합니다. 한 번 받아서 디코딩하고 노드 항목으로 펼친 뒤, 설정에 따라 정해진 주기로 다시 받아옵니다.
즉 구독과 노드는 '원본'과 '항목'의 관계입니다. 서버에 새 회선이 추가되면 클라이언트가 구독을 갱신한 뒤 목록에 한 줄이 늘어나고, 회선이 내려가면 로컬의 해당 항목도 사라집니다. 노드를 직접 추가하는 방식(QR 코드 스캔, 설정 링크 붙여넣기)도 쓸 수 있지만, 이후 추가와 삭제는 직접 관리해야 합니다.
구독 링크는 계정 자격 증명과 같습니다
이 링크에는 사용자 식별자가 들어 있어서, 누구든 링크를 얻으면 자기 클라이언트에 가져와 같은 트래픽을 쓸 수 있습니다. 비밀번호도, 2차 인증도 필요 없습니다. 그래서 단체 채팅방이나 공개 스크린샷, 출처가 불분명한 '온라인 속도 측정' 페이지에 올리면 안 됩니다.
안내: 구독 링크가 유출되었다면 비밀번호만 바꾸는 것이 아니라 링크를 무효화한 뒤 새로 발급하는 것이 맞습니다. 대부분의 패널에 구독 재설정 메뉴가 있고, 재설정하면 기존 링크는 즉시 무효가 되므로 각 기기에서 다시 한 번 가져와야 합니다.
가져오기에 실패하는 흔한 원인 네 가지
- 메신저에서 링크가 잘렸거나, 복사 과정에서 공백이나 줄바꿈이 섞인 경우;
- 클라이언트와 서버의 시간 차이가 큰 경우. VMess는 타임스탬프 검증에 의존하므로 시스템 시간을 자동 동기화로 설정하세요;
- 구독 주소가 이미 재설정되었는데 로컬에는 예전 링크가 남아 있는 경우;
- 클라이언트 버전이 오래되어 구독에 새로 등장한 프로토콜을 인식하지 못하는 경우.
노드와 회선: 같은 단어, 두 가지 의미
노드는 구체적인 진입점입니다. 지역, 도시, 프로토콜, 포트, 전송 방식이 모두 갖춰져야 쓸 수 있는 설정 한 건이 됩니다. 클라이언트 목록의 한 줄이 노드 하나이며, 노드를 고르는 일은 곧 '어느 지역으로 나갈지'를 고르는 일입니다.
회선은 다른 이야기입니다. 데이터가 로컬에서 착지 지점의 데이터센터까지 어떤 경로로 가는지를 뜻합니다. 같은 도시라도 직접 연결, 중계, IEPL 전용선 세 가지 경로가 있을 수 있는데, 노드 이름에는 보통 '도쿄 01', '도쿄 02'처럼만 적혀 있어 차이가 그 뒤에 숨어 있습니다.
| 회선 유형 | 데이터 경로 | 피크 시간대 성능 | 적합한 상황 |
|---|---|---|---|
| 직접 연결 | 로컬 네트워크에서 공용 인터넷 국제 구간을 거쳐 해외 데이터센터로 바로 연결 | 국제 구간 혼잡의 영향을 크게 받음 | 잠깐 자료를 찾을 때처럼 안정성이 크게 중요하지 않은 경우 |
| 중계 | 먼저 국내 중계 진입점에 연결한 뒤, 중계 서버가 최적화된 경로로 해외에 나감 | 중계 구간은 공용 인터넷을 쓰지 않아 대체로 직접 연결보다 안정적 | 일상 브라우징, 영상 시청, 오래 켜 두는 경우 |
| IEPL 전용선 | 통신사 국제 전용선으로 끝에서 끝까지 연결되며 공용 인터넷 구간을 거치지 않음 | 지터와 패킷 손실이 가장 적음 | 화상 회의, 장시간 연결, 끊김에 민감한 작업 |
여기에 구체적인 지연 시간은 적지 않습니다. 지연은 사용자가 있는 도시, 통신사, 그 시점의 네트워크 상황에 따라 달라지므로 고정된 숫자는 믿을 수 없습니다. 회선이 적합한지는 노드 이름의 수식어가 아니라 피크 시간대에 안정적인지로 판단해야 합니다.
90+ 국가, 170+ 회선이라는 것은 주요 지역 대부분에 여러 진입점이 있다는 뜻입니다. 같은 구독으로 기기 수 제한 없이 동시 접속할 수 있어, 집의 데스크톱과 휴대 기기가 설정 한 세트를 함께 쓸 수 있습니다. 회선을 고를 때는 목표 서비스와 같은 지역의 노드를 우선하고, 국제 회선이 필요한 AI 도구라면 그 도구가 지원하는 지역을 쓰세요. 목록 첫 번째를 습관적으로 누르는 것이 아니라요.
프로토콜: 그 영문 약어가 데이터 포장 방식을 결정합니다
프로토콜은 데이터를 어떻게 묶고, 어떻게 암호화하고, 어떻게 위장할지를 정합니다. 클라이언트 목록의 영문 약어 열이 바로 그것입니다. 같은 회선에서 서로 다른 프로토콜을 돌릴 수 있기 때문에, '이 노드가 느리다'는 것이 회선 문제가 아니라 선택한 프로토콜이 해당 네트워크에서 간섭을 받는 문제일 때도 있습니다.
| 프로토콜 | 기반 전송 | 주요 특징 | 자주 겪는 문제 |
|---|---|---|---|
| Shadowsocks | TCP, 구현에 따라 UDP 추가 가능 | 가볍고 핸드셰이크가 단순하며 오버헤드가 적음 | TLS 외형이 없으면 트래픽 특성으로 식별되기 쉬움 |
| VMess | TCP / WebSocket / gRPC | 생태계가 성숙했고 전송 계층 조합이 다양함 | 시간 오차가 크면 인증이 그대로 실패함 |
| VLESS | TCP + TLS | 암호화 부담이 없어 CPU 오버헤드가 낮고 고대역폭에 적합 | TLS와 폴백 설정에 의존하므로 잘못 설정하면 연결되지 않음 |
| Trojan | TLS, 주로 443 포트 사용 | 표준 HTTPS로 위장해 수동적 탐지에서 눈에 띄지 않음 | 도메인과 인증서에 의존하므로 인증서가 만료되면 곧바로 끊김 |
| Hysteria2 | QUIC / UDP | 자체 혼잡 제어를 갖춰 손실이 많은 장거리 회선에서 처리량이 좋음 | UDP가 속도 제한되는 네트워크에서는 성능이 크게 떨어짐 |
| TUIC | QUIC / UDP | 멀티플렉싱 지원, 소량 요청이 많은 환경에 적합 | 마찬가지로 UDP 경로에 의존하고 서버 파라미터에 민감함 |
프로토콜을 직접 바꿔야 할 때
대부분의 경우 신경 쓸 필요가 없습니다. 서버와 클라이언트가 구독에 적힌 설정대로 협상하고, 클라이언트는 그대로 실행하기만 합니다. 직접 개입해야 하는 상황은 세 가지입니다. UDP가 속도 제한되거나 차단된 네트워크에서는 QUIC 계열인 Hysteria2, TUIC가 눈에 띄게 느려지므로 TCP 계열로 바꾸는 편이 안정적입니다. TLS 핸드셰이크가 간섭을 받으면 Trojan, VLESS처럼 TLS에 의존하는 프로토콜은 연결이 잘 되지 않으므로 전송 방식이나 포트를 바꿔야 합니다. 클라이언트 시간이 동기화되지 않으면 VMess는 인증에 실패합니다.
분할 라우팅과 전역: 어떤 트래픽이 회선을 타야 하는가
분할 라우팅(규칙 모드라고도 합니다)은 어떤 트래픽이 회선을 타고 어떤 트래픽이 직접 연결되는지를 정합니다. 거의 모든 클라이언트가 모드를 세 가지로 나누며, 이름만 조금씩 다릅니다. 전역, 규칙, 직접 연결입니다.
- 전역 모드: 모든 트래픽이 회선을 탑니다. 국내 사이트와 로컬 네트워크 기기까지 포함됩니다. 설정은 가장 간단하지만 국내 사이트가 한 바퀴 돌아가므로 느리고 트래픽 소모도 빠릅니다.
- 규칙 모드(분할 라우팅): 도메인, IP 대역, GeoIP 국가 데이터베이스, 프로세스 이름별로 하나씩 매칭해 걸리는 규칙을 따르고, 어디에도 걸리지 않은 트래픽은 최종 규칙으로 넘깁니다.
- 직접 연결 모드: 전부 회선을 타지 않습니다. 프록시를 잠시 꺼 둔 것과 같습니다.
분할 라우팅의 가치는 '나가야 하는 트래픽만 내보내는' 데 있습니다. 국내 사이트를 직접 연결하면 트래픽을 아끼고 한 번 덜 우회합니다. 로컬 네트워크와 사설 주소를 직접 연결하면 NAS, 프린터, 화면 미러링 같은 기기 접속이 실패하는 일을 막을 수 있습니다.
- ✅ 일상에서는 먼저 규칙 모드를 쓰고, 국내 도메인과 사설 주소는 직접 연결로 두며, 나머지는 필요에 따라 회선을 태우세요.
- ✅ 규칙은 클라이언트에 내장된 규칙 세트를 우선 쓰고, 문제가 생기면 연결 로그에서 어느 규칙에 걸렸는지부터 확인하세요.
- ✅ 고정된 출구가 필요한 서비스는 별도 규칙으로 분리하고, 일상 브라우징과 같은 노드를 공유하지 마세요.
- ❌ 전역 모드를 '더 안전한 것'으로 착각하지 마세요. 모든 트래픽을 내보낼 뿐, 암호화 강도가 올라가지는 않습니다.
- ❌ 서로 덮어쓰는 규칙을 수십 개 직접 쓰지 마세요. 규칙이 많을수록 원인을 찾기 어려워집니다.
DNS 누수: 조회 요청이 터널을 따라가는가
웹 페이지를 여는 첫 단계는 도메인 조회입니다. 이 조회 요청이 터널을 통해 착지 지점에서 나가지 않고 로컬 통신사 DNS로 전달되면 이를 DNS 누수라고 합니다. 결과는 두 가지입니다. 조회 결과가 오염되어 잘못된 IP를 받을 수 있고, 어떤 사이트에 접속하려는지가 로컬 네트워크에 드러납니다.
클라이언트에서 DNS와 관련된 스위치는 보통 다음과 같습니다:
- 원격 DNS: 조회 요청이 회선을 타고 착지 지점에서 질의를 수행합니다;
- DNS over HTTPS / TLS: DNS 질의 자체를 암호화해 중간에서 변조되는 것을 막습니다;
- 도메인 스니핑(Sniffing): TLS 핸드셰이크의 SNI 필드에서 목적지 도메인을 읽어 분할 라우팅 규칙에 사용합니다;
- Fake DNS: 클라이언트가 먼저 가짜 IP를 돌려주어 연결을 가로채고, 프록시 쪽에서 실제 도메인으로 복원합니다.
자가 점검 방법은 간단합니다. 회선에 연결한 뒤 공개 DNS 누수 테스트 페이지를 열어, 인식된 리졸버의 지역이 노드 착지 지역과 일치하는지 보면 됩니다. 일치하지 않는다면 조회가 아직 로컬에서 이루어지고 있다는 뜻입니다.
주의: DNS 관련 설정을 바꾼 뒤에는 다시 연결해야 합니다. 대부분의 클라이언트는 실시간으로 반영하지 않습니다. 바꾸고 나서 재검증하지 않으면 바꾸지 않은 것과 같습니다.
클라이언트 차이: 다섯 플랫폼에서 스위치 위치가 다릅니다
같은 구독을 써도 다섯 플랫폼에서 노드 이름은 완전히 같지만, 분할 라우팅 규칙과 DNS 설정, 프록시 모드는 클라이언트 로컬에 속하므로 클라이언트를 바꾸면 다시 설정해야 합니다. 플랫폼별 트래픽 처리 방식 차이도 적지 않습니다:
| 플랫폼 | 트래픽 처리 방식 | 추가로 주의할 점 |
|---|---|---|
| Windows | 시스템 프록시 또는 TUN 가상 네트워크 인터페이스 | 시스템 프록시를 인식하지 않는 프로그램은 TUN 모드여야 처리됩니다 |
| macOS | 시스템 프록시 + 네트워크 확장 | 처음 활성화할 때 권한 승인이 필요하고, 관리 대상 기기에서는 정책으로 제한될 수 있습니다 |
| iOS | 시스템 VPN 구성(네트워크 확장) | 구성 파일로 가져오며, 앱별 프록시 지원은 제한적입니다 |
| Android | 시스템 VPN 서비스 | 앱별 프록시를 지원하므로 선택한 앱만 회선을 태워 트래픽을 아낄 수 있습니다 |
| Linux | 명령줄 클라이언트 + 커널 포워딩 | 설정은 파일 중심이며, TUN 포워딩에는 root 권한이 필요합니다 |
용어를 이어 붙이면: 한 번의 연결 전체 순서
위 순서대로 따라가면 정상적인 연결은 이렇게 진행됩니다:
- 클라이언트가 구독 링크로 노드 목록을 받아 각각의 설정으로 디코딩합니다;
- 노드를 하나 선택하면 클라이언트가 그 설정의 프로토콜과 전송 방식으로 연결을 시작합니다;
- 연결이 맺어지면 클라이언트가 분할 라우팅 규칙을 읽어 이번 요청이 회선을 탈지 직접 연결할지 판단합니다;
- 회선을 타는 요청은 착지 지점으로 넘어가고, 착지 데이터센터가 실제 접속을 수행합니다;
- 도메인 조회는 DNS 설정에 따라 실행되며, 원격 DNS를 쓰면 누수가 없고 로컬 DNS를 쓰면 누수가 생깁니다;
- 데이터는 같은 경로로 돌아오고, 클라이언트가 결과를 요청한 프로그램에 돌려줍니다.
문제가 생기면 이 순서의 역방향으로 확인하세요. 먼저 규칙 매칭(3단계)을 보고, 다음으로 DNS(5단계)를 확인하고, 마지막에 노드 자체를 의심하세요. '연결은 되는데 페이지가 열리지 않는다'는 상황의 대부분은 회선이 아니라 분할 라우팅과 DNS에서 발생합니다.
먼저 확인한 뒤 결정하고 싶다면 월 ¥9.9에 60GB가 포함된 요금제부터 시작할 수 있습니다. 더 많은 트래픽이 필요하면서 월 단위 주기에 쫓기고 싶지 않다면 ¥158/300GB 트래픽 팩을 다 쓸 때까지 쓰면 되고, 기간은 만료되지 않습니다. 계정 생성에는 사용자 이름과 비밀번호만 있으면 되며 이메일 주소는 요구하지 않습니다. 첫 결제 후 60일 이내에는 이유를 묻지 않고 전액 환불을 신청할 수 있습니다.