Linux에서 VPN 설정하는 방법

시작하기 전에

클라이언트 설치

Linux에는 두 가지 방법이 있으며, 둘 다 정당한 방법입니다. 첫 번째는 프로바이더 자체 클라이언트입니다. 이 방법을 사용하면 킬 스위치, 서버 선택 기능, DNS 처리가 기본으로 제공됩니다. 두 번째는 시스템 자체 도구에서 구성 파일을 사용하는 방법이며, 이 가이드의 마지막 섹션에서 그 대가를 설명합니다.

1. 프로바이더 웹사이트에 로그인한 뒤 계정 영역에서 Linux 지침을 엽니다. 지침에 저장소, 키, 패키지가 명시되어 있으므로 그 내용만 따르세요.
2. 배포판의 패키지 관리자로 저장소와 키를 추가한 다음 패키지를 설치합니다. 키가 있어야 패키지 관리자가 변조된 패키지를 거부할 수 있으므로, 키 없이 추가한 저장소는 여러분이 신뢰를 전제로 받아들인 저장소입니다.
3. 클라이언트 서비스를 활성화하여 부팅 시 시작되게 합니다. 클라이언트는 보통 root로 실행되는 데몬과 이에 연결되는 데스크톱 앱으로 구성됩니다. 터널은 데몬이 관리하며, 부팅 시부터 유지되어야 하는 킬 스위치에는 부팅 시부터 실행 중인 데몬이 필요합니다.
4. 클라이언트에 로그인합니다. 앱에서 로그인하거나, 계정 영역에서 제공하는 토큰을 사용해 명령줄에서 로그인할 수 있습니다. 기기 이름은 신원을 드러내지 않는 것으로 지정하세요.
5. 아직 연결하지 마세요. 먼저 설정을 엽니다. 아래 세 가지 중 두 가지는 대부분의 클라이언트에서 기본적으로 꺼져 있습니다.

확인할 가치가 있는 세 가지 설정

클라이언트 메뉴는 서로 다르지만 설정 자체는 다르지 않습니다. 이름이 낯설다면 세 항목 모두 용어집에 설명이 있습니다.

킬 스위치

터널이 끊겼을 때 트래픽이 조용히 일반 네트워크로 되돌아가지 않고 모든 트래픽을 차단합니다. Linux에서는 클라이언트가 작성하는 방화벽 규칙으로 작동합니다. 터널 인터페이스와 터널 자체의 엔드포인트를 제외한 모든 트래픽이 삭제됩니다. 기능을 켜고, 클라이언트에서 제공한다면 항상 켜짐 또는 lockdown 형태를 선택하세요. 그래야 연결 중일 때만이 아니라 부팅 시부터 규칙이 유지됩니다. 이 스위치의 목적은 킬 스위치 페이지에서 설명합니다.

터널 내부의 DNS

다른 모든 트래픽은 터널 안에 있어도 이름 조회만 터널 밖으로 나갈 수 있습니다. Linux에서 이 유출이 가장 자주 발생하는 이유는 리졸버가 동적으로 작동하기 때문입니다. Ubuntu에서 이 역할을 하는 것은 systemd-resolved입니다. 각 인터페이스에는 자체 리졸버가 있으며, DNS의 기본 경로를 가진 리졸버가 더 구체적인 도메인에 일치하지 않는 모든 요청에 응답합니다. 클라이언트는 터널 인터페이스를 통해 이 기본 리졸버를 프로바이더의 리졸버로 지정해야 합니다. DNS는 제3자가 아닌 프로바이더 자체의 것으로 설정하세요. 조회만 볼 수 있는 두 번째 당사자가 하나 더 생기기 때문입니다. 유출이 발생하는 방식은 DNS 유출 페이지에서 설명합니다.

프로토콜

문제가 발생하지 않는 한 최신 기본값으로 두세요. 프로토콜 페이지에서 현재 사용되는 것과 레거시인 것을 확인할 수 있습니다. 연결 문제를 해결하기 위해 클라이언트가 더 오래된 옵션을 제공한다면, 이는 그 사실을 알고 선택한 뒤 나중에 되돌려야 하는 절충입니다. 레지스터는 프로바이더가 여전히 제공하는 가장 약한 프로토콜을 표시하며, 이를 직접 선택하는 것은 그 표시를 스스로 선택하는 것입니다.

실제로 작동하는지 확인

연결한 다음 추측하지 말고 확인하세요. 터미널에서 다음 세 가지를 순서대로 점검합니다.

1. 주소가 변경되었는지 확인합니다. curl로 ‘내 IP는 무엇인가’를 알려주는 서비스를 호출하거나 브라우저에서 열고, 국가가 선택한 출구 위치와 일치하는지 확인합니다. 공용 주소에 ip route get을 실행했을 때 Wi-Fi나 Ethernet 인터페이스가 아니라 터널 인터페이스가 표시되어야 합니다.
2. 조회가 터널 내부에서 이루어지는지 확인합니다. resolvectl status를 실행합니다. 터널 인터페이스에 프로바이더의 리졸버와 DNS 기본 경로가 표시되어야 하며, 물리 인터페이스의 리졸버는 사용되지 않아야 합니다. 브라우저의 DNS 유출 테스트는 추가 확인 수단입니다. 인터넷 프로바이더에 속한 항목이 표시되면 DNS 설정이 적용되지 않은 것입니다.
3. 킬 스위치가 설명대로 작동하는지 확인합니다. 다운로드를 실행한 상태에서 systemctl stop으로 클라이언트 서비스를 중지하거나, ip link set … down으로 터널 인터페이스를 내립니다. 클라이언트에 요청하지 않고 터널을 끊는 방식입니다. 전송이 즉시 중단되어야 합니다. 계속 진행된다면 그 스위치는 장식에 불과합니다.

더 긴 테스트 모음과 각 테스트로 확인할 수 있는 것과 확인할 수 없는 것은 별도 가이드에서 설명합니다.

구성 파일을 사용하는 방법과 그 대가

대부분의 프로바이더는 계정 영역에서 일반적으로 사용되는 두 프로토콜의 구성 파일을 공개합니다. WireGuard 파일은 연결 편집기에서 NetworkManager로 가져오거나 nmcli connection import를 사용해 가져올 수 있으며, wg-quick에서도 동일하게 작동합니다. OpenVPN 파일도 OpenVPN 플러그인을 사용해 같은 방식으로 가져옵니다. 터널과 시스템 자체 인터페이스 전환 기능은 사용할 수 있지만, 프로바이더가 파일에 넣지 않은 기능은 제공되지 않습니다.

잃게 되는 것은 클라이언트의 나머지 기능입니다. 직접 방화벽 규칙을 작성하지 않는 한 킬 스위치가 없습니다. NetworkManager로 가져온 파일의 연결이 끊기면 트래픽은 일반 네트워크로 돌아갑니다. DNS 처리도 없습니다. 파일의 DNS 줄만 적용되며, 이 줄이 없는 파일은 첫 번째 문제 해결 과정에서 확인해야 할 유출 원인입니다. 서버 선택 기능도 없습니다. 파일 하나가 출구 하나에 해당하므로 출구를 바꾸려면 다른 파일을 사용해야 합니다. 파일은 계정 영역에서 생성하고 비공개로 보관하세요. WireGuard 파일에는 프로바이더가 여러분을 식별하는 데 사용하는 개인 키가 들어 있습니다.

이 방법은 서버, 헤드리스 머신 또는 클라이언트를 지원하지 않는 배포판에 적합합니다. 노트북에서는 클라이언트를 우선 사용하세요. 클라이언트가 제공하는 스위치는 구성 파일로는 구현할 수 없는 기능입니다.