Tailscale 깊이 알기: 기기끼리 어떻게 직접 연결될까

기존 VPN은 별(스타)형입니다. 모든 기기가 VPN 서버 한 대에 연결되고, 기기끼리 통신하려면 트래픽이 서버까지 갔다가 다시 돌아옵니다. 서버는 병목이자 단일 장애 지점입니다. 서버가 느리면 모두가 느리고, 서버가 멈추면 모두가 끊깁니다.

Tailscale은 그물(메시)형입니다. 두 기기 사이마다 직접 터널이 하나씩 있습니다. 휴대폰으로 집의 NAS에 접속하면 트래픽은 휴대폰에서 NAS로 바로, 둘 사이의 가장 짧은 길로 갑니다. 모든 트래픽을 떠맡는 기기는 없습니다.

메시형의 대가는 관리가 복잡하다는 것입니다. 기기 10대를 서로 다 이으면 터널이 45개이고, 터널마다 키를 교환하고 상대의 현재 주소를 알아야 합니다. 손으로 관리하기는 불가능하며, Tailscale이 하는 일의 전부가 바로 이것을 자동화하는 것입니다.

기기에 Tailscale을 설치하면 기기가 직접 키 쌍을 만듭니다. 개인 키는 영원히 기기에 남고, 공개 키만 컨트롤 서버(Tailscale은 coordination server라고 부릅니다)에 넘깁니다. 계정으로 로그인하면 컨트롤 서버는 ‘이 기기가 누구 것인지’ 알게 됩니다.

컨트롤 서버는 표 하나를 가지고 있습니다. 각 기기의 공개 키, 배정된 내부 주소, 현재 찾아갈 수 있는 네트워크 주소, 그리고 누가 누구에게 접속할 수 있는지 정한 접근 규칙입니다. 이 중 내가 접근할 수 있는 행만 내 기기에 보내 주고, 어떤 기기가 켜지거나 꺼지거나 네트워크를 바꾸면 표를 갱신해 관련 기기에 다시 보냅니다.

컨트롤 서버는 트래픽을 전달하지 않고 개인 키도 갖고 있지 않으므로 기기 간 통신을 풀어 볼 수 없습니다. 연락처 목록과 출입증만 나눠 주는 안내 데스크와 같습니다. 상대가 어디 있는지, 들어갈 수 있는지는 알려 주지만, 들어간 뒤 무슨 이야기를 하는지는 그 자리에 없어서 모릅니다.

로그인은 별도의 VPN 비밀번호가 아니라 이미 쓰고 있는 계정(싱글 사인온)으로 합니다. 기기 키는 주기적으로 만료되어 다시 로그인해 확인해야 하며, 잃어버린 기기는 관리 화면에서 삭제하면 접근 권한이 사라집니다.

실제로 데이터를 나르는 것은 WireGuard입니다. 다른 기기의 공개 키를 받으면 그 기기와 암호화 터널을 만들 수 있고, 터널 양 끝은 서로의 공개 키를 확인합니다. 중간에 있는 누구도 읽거나 고칠 수 없습니다.

Tailscale은 WireGuard의 암호화 부분을 손대지 않았습니다. Tailscale이 하는 일은 WireGuard 자체가 다루지 않는 부분, 즉 키를 어떻게 나눠 줄지, 주소를 어떻게 배정할지, 기기가 네트워크를 바꿨을 때 서로를 어떻게 다시 찾을지입니다. WireGuard의 원리는 WireGuard 깊이 알기를 보세요.

각 기기는 이 네트워크 안에서 고정 내부 주소(100으로 시작하는 대역)를 가집니다. 실제로 집 인터넷, 회사 네트워크, 모바일 데이터 중 무엇에 연결되어 있든 이 주소는 바뀌지 않습니다. 그래서 집의 NAS에 늘 같은 주소로 접속할 수 있습니다. MagicDNS를 켜면 기기 이름으로도 바로 접속할 수 있습니다.

집 컴퓨터에는 공인 주소가 없고, 밖으로 나갈 때 공유기가 주소 변환(NAT)을 합니다. 공유기는 ‘안에서 먼저 시작한’ 연결만 통과시키고, 밖에서 먼저 두드리는 연결은 모두 막습니다. 두 기기가 각자의 공유기 뒤에 있으면 누구도 상대의 문을 먼저 열 수 없습니다. 이것이 1:1 연결의 어려움입니다.

Tailscale의 해법은 세 단계입니다. 첫째, 각 기기가 인터넷의 서버에 ‘내가 어떤 주소, 어떤 포트로 나오는 것으로 보이느냐’고 물어 공유기 바깥에서 자신이 어떻게 보이는지 알아냅니다(이런 서비스를 STUN이라고 합니다). 둘째, 두 기기가 컨트롤 서버를 통해 이 외부 주소를 교환합니다. 셋째, 양쪽이 동시에 상대의 외부 주소로 패킷을 보냅니다. 각 공유기는 ‘안에서 먼저 보냈다’고 보고 돌아오는 길을 열어 두는데, 상대의 패킷이 마침 그 틈으로 들어오면서 연결이 됩니다. 흔히 말하는 ‘홀 펀칭’입니다.

홀 펀칭은 UDP를 씁니다. 대부분의 가정용 공유기에서는 성공하지만, 주소 변환 방식이 아주 엄격한 네트워크(새 목적지마다 외부 포트를 바꾸는 경우)나 UDP를 아예 막은 네트워크에서는 실패합니다.

홀 펀칭이 늘 성공하지는 않기 때문에 Tailscale은 DERP라는 릴레이 서버들을 준비해 두었습니다. 두 기기가 당장 직접 연결되지 않으면 둘 다 같은 DERP에 접속하고, DERP가 암호화된 패킷을 상대에게 넘겨줍니다. DERP는 HTTPS(TCP 443)를 쓰므로 거의 모든 네트워크에서 통과됩니다.

릴레이가 넘겨주는 것은 이미 WireGuard로 암호화된 패킷입니다. DERP에는 키가 없어서 ‘누가 누구에게 얼마만큼 보냈는지’만 보이고 내용은 보이지 않습니다.

연결은 항상 릴레이에서 시작합니다. 두 기기가 켜지면 먼저 DERP로 말을 터서 곧바로 통신이 되게 하고, 동시에 뒤에서 홀 펀칭을 시도합니다. 직접 연결이 성공하면 조용히 그쪽으로 옮기며, 옮기는 동안 연결은 끊기지 않습니다. 그래서 처음 연결된 몇 초 동안 지연이 조금 높다가 내려가는 것은 정상입니다.

계속 릴레이에 머물면 속도와 지연은 그 릴레이가 얼마나 멀고 바쁜지에 달려 있으며, 보통 직접 연결보다 느립니다. Tailscale 클라이언트에서 지금 연결이 직접 연결(direct)인지 릴레이(relay)인지 볼 수 있습니다.

• 출구 노드(exit node): 기기 하나를 출구로 지정하면 다른 기기의 모든 인터넷 트래픽이 먼저 암호화되어 그 기기로 간 뒤 그 기기의 네트워크로 나갑니다. 효과는 기존 VPN과 같아서 밖에서는 출구 노드의 주소가 보입니다. 출구 노드는 내 집 컴퓨터일 수도 있고 서비스 업체가 제공하는 서버일 수도 있습니다.
• 서브넷 라우터(subnet router): Tailscale이 설치된 기기 하나가 자기가 속한 로컬 네트워크 전체를 대신 연결해 줍니다. 프린터, 카메라, 오래된 NAS처럼 Tailscale을 설치할 수 없는 기기도 이를 통해 접속할 수 있습니다.
• 접근 제어(ACL): 기본적으로 내 이름의 기기끼리는 모두 서로 접속할 수 있습니다. 팀에서 쓸 때는 규칙을 써서 어떤 사람, 어떤 기기가 어떤 포트에 접속할 수 있는지 정할 수 있습니다. 규칙은 컨트롤 서버가 내려보내고 각 기기가 스스로 적용합니다.
• MagicDNS: 기기마다 이름을 붙여 주므로 100으로 시작하는 주소를 외울 필요가 없습니다.

• WireGuard와의 관계: WireGuard는 터널 하나의 프로토콜로, 양 끝이 어떻게 암호화해 통신하는지만 다룹니다. 각 끝의 키와 상대 주소는 직접 손으로 설정해야 합니다. Tailscale은 그 위에 지은 시스템 전체로, 로그인, 키 배포, 주소 배정, NAT 통과, 릴레이를 대신 해 줍니다.
• 기존 VPN 서비스와의 관계: 기존 VPN은 ‘모든 트래픽을 서버 한 대로’ 보내며 핵심은 출구를 바꾸는 것입니다. Tailscale의 핵심은 ‘기기끼리 서로 통하는 것’이고, 출구를 바꾸는 것(출구 노드)은 부가 기능일 뿐입니다.
• 포트 포워딩·외부 접속 도구(frp, Oray 등)와의 관계: 이런 도구는 내부 네트워크의 포트 하나를 인터넷에 노출해서 주소를 아는 사람은 누구나 접속할 수 있고, 보안은 그 서비스 자체에 맡깁니다. Tailscale은 어떤 포트도 노출하지 않으며 내 이름으로 로그인한 기기만 들어올 수 있습니다.
• ZeroTier와의 관계: 둘 다 네트워크를 자동으로 구성한다는 발상은 비슷합니다. ZeroTier는 자체 프로토콜로 2계층 네트워크를 흉내 내고, Tailscale은 WireGuard를 쓰며 3계층에서 작동합니다.

Tailscale 클라이언트는 오픈소스이고, 컨트롤 서버는 Tailscale사가 운영하는 서비스입니다. Headscale은 커뮤니티가 만든 오픈소스 컨트롤 서버로 같은 프로토콜을 구현했으며, 공식 클라이언트가 이쪽에 연결하도록 바꿀 수 있습니다. 그러면 기기 목록, 키 목록, 접근 규칙을 모두 직접 관리하게 됩니다.

클라이언트에 있는 ‘Use custom server / Use an alternate server’(사용자 지정 컨트롤 서버) 옵션이 바로 이 용도입니다. 주소를 입력하면 클라이언트는 Tailscale사의 서버가 아니라 지정한 서버에 연결합니다.

직접 운영하면 로그인 방식, 연결할 수 있는 기기 수, 출구 노드 구성은 모두 그 컨트롤 서버의 운영자가 정하며, Tailscale 공식 무료 한도나 유료 요금제와는 관계가 없습니다.

• 홀 펀칭은 UDP에 의존합니다. 중국의 많은 인터넷 회선은 UDP 속도를 제한하고, 통신사의 대형 내부망(다중 주소 변환)도 홀 펀칭을 어렵게 해서 해외보다 릴레이를 타는 경우가 많습니다.
• 릴레이를 탈 때 속도는 릴레이 위치에 달려 있습니다. 릴레이가 멀면 지연이 커지며, 이것이 중국에서 Tailscale 체감 품질이 크게 갈리는 주된 이유입니다.
• WireGuard의 패킷 형식은 고정되어 있고 위장하지 않으므로, 검사가 엄격한 네트워크에서는 식별되어 속도가 제한될 수 있습니다. Tailscale은 네트워크 구성 도구이지 차단 우회를 위해 설계된 것이 아닙니다.
• 휴대폰에서 항상 켜 둬도 괜찮습니다. 트래픽이 없을 때 터널은 배터리를 거의 쓰지 않고, Wi‑Fi와 모바일 데이터를 오갈 때도 연결이 알아서 복구됩니다.

LeoTun의 ‘사설망’ 메뉴는 Tailscale 공식 클라이언트를 저희가 직접 운영하는 컨트롤 서버에 연결해 씁니다. 이 사이트 계정으로 한 번 로그인하면 기기는 계속 온라인 상태입니다. 저희가 여러 지역에 출구 노드를 제공하므로 클라이언트의 Exit Node(출구 노드) 메뉴에서 지역을 고르기만 하면 출구가 바뀌고, 설정을 다시 가져올 필요가 없습니다. 같은 계정의 휴대폰, 컴퓨터, NAS는 서로 직접 접속할 수 있습니다.

로그인하는 곳이 이 사이트의 컨트롤 서버이므로 기기 수는 이 사이트의 요금제 기준이며 Tailscale 공식 계정이나 한도와는 관계가 없습니다. 기기에 이미 Tailscale 공식 계정으로 로그인되어 있다면 먼저 로그아웃한 뒤 이 사이트 계정으로 로그인하세요. 설치와 로그인 단계는 그림과 함께 사설망(Tailscale)이란에 있고, 시작은 사설망 페이지에서 합니다.

쓰는 네트워크가 UDP를 제한해서 사설망이 느리고 불안정하다면 같은 계정으로 다른 접속 방식을 쓸 수 있습니다. 접속 방식별 추천 상황을 보세요.