Tailscale은 VPN인가요? 작동 원리와 개인정보 보호 범위

Tailscale은 VPN인가요? 짧은 답변

Tailscale은 VPN인가요? 기술적으로는 그렇습니다. Tailscale은 사용자가 소유한 기기들 사이에 WireGuard 터널을 구축하며, 이 터널을 통과하는 모든 패킷은 종단 간 암호화됩니다. 하지만 일반적인 사용자가 이 질문을 할 때 의도하는 의미로는 아닙니다. 기본 설정 상태에서 Tailscale은 웹사이트로부터 사용자의 공인 IP 주소를 숨기지 않으며, 사용자의 브라우징 트래픽을 타인의 서버로 라우팅하지도 않습니다. 호텔 와이파이망은 여전히 사용자가 방문하는 사이트를 확인할 수 있습니다. Tailscale은 오직 사용자의 기기들 사이에서만 트래픽을 전달합니다. 상용 프라이버시 VPN과 같은 동작을 원한다면 exit node를 추가해야 하며, 이를 통해 무엇이 누구로부터 숨겨지는지가 달라집니다.

이 가이드의 나머지 부분에서는 "VPN"이라는 용어의 두 가지 의미를 구분하고, 각 설정별로 누가 무엇을 볼 수 있는지 설명합니다. 만약 질문의 본질이 "이것이 나를 숨겨줄 것인가"라면, 그 답은 누구로부터 숨고자 하는지에 따라 달라집니다. 따라서 아래의 각 설정 항목에서는 해당 설정이 누구로부터 사용자를 보호하고, 누구로부터는 보호하지 못하는지를 명시합니다.

"VPN"의 두 가지 의미

이 용어에는 두 가지 의미가 있으며, 제목에 대한 답변은 어떤 의미를 기준으로 하느냐에 따라 달라집니다.

원래의 의미는 가상 사설망(Virtual Private Network)으로, 공용 네트워크 위에 구축된 사설 네트워크를 뜻합니다. 회사 사무실과 원격 근무자의 노트북은 패킷이 인터넷을 통과함에도 불구하고 마치 하나의 케이블을 공유하는 것처럼 동작합니다. 이 모델의 핵심은 구성원 간의 연결성과 암호화입니다. 이 모델에서 누구도 자신이 방문하는 웹사이트로부터 자신의 존재를 숨기려 하지 않습니다.

소비자용 의미는 개인정보 보호 제품입니다. 앱을 설치하고 국가를 선택하면, 모든 인터넷 트래픽이 해당 제공업체의 서버를 거쳐 나갑니다. 웹사이트는 제공업체의 주소를 보게 되며, ISP(인터넷 서비스 제공업체)는 해당 서버로 향하는 암호화된 스트림만 볼 수 있습니다. 이 방식의 목적은 웹사이트로부터 자신의 IP를 숨기고, 로컬 경로에 있는 당사자들로부터 자신의 목적지를 숨기는 것입니다. ISP는 여전히 사용자의 주소를 알고 있는데, 이는 ISP가 직접 할당한 주소이기 때문입니다.

Tailscale은 첫 번째 유형에 해당합니다. 이는 메시 VPN입니다. tailnet(Tailscale이 사용자를 위해 구축하는 사설 네트워크) 내의 모든 장치는 100.64.0.0/10 범위 내에서 고정된 사설 주소를 할당받으며, 네트워크가 허용할 때는 직접, 그렇지 않을 때는 암호화된 릴레이를 통해 WireGuard 터널로 다른 모든 장치와 통신합니다. Tailscale의 정의와 코디네이션 서버 및 릴레이의 구성 방식에서 해당 아키텍처를 다루고 있으므로, 이 가이드에서는 반복하지 않습니다. 여기서 중요한 사실 하나는, 기본적으로 공용 인터넷으로 향하는 트래픽은 터널로 들어가지 않는다는 점입니다. 오직 tailnet 내의 다른 장치로 향하는 트래픽만 터널을 통과합니다.

Tailscale이 숨기는 정보와 그 대상

정직한 답변은 '예'나 '아니오'로 단정할 수 없으며, 대상에 따라 다릅니다. 아래 각 항목은 기본 동작을 먼저 설명하고, 이후 exit node를 사용할 때 어떻게 변경되는지 기술합니다.

본인 기기 간의 트래픽

경로상의 모든 이로부터 숨겨집니다. 노트북에서 tailnet 주소를 통해 VPS에 접속할 때, 패킷은 한 기기에서 다른 기기로 WireGuard 암호화되어 전송됩니다. 호텔 와이파이나 ISP는 두 주소 사이의 UDP 스트림만 볼 수 있을 뿐 그 내용은 알 수 없습니다. Tailscale의 서버는 이 트래픽을 암호화하는 키를 보유하지 않습니다. 각 개인 키는 기기 내부에서 생성되며 외부로 유출되지 않습니다. 이것이 바로 Tailscale 보안 검토에서 coordination server를 중개자가 아닌 디렉터리 서버로 간주하는 이유입니다. 이 보호 기능은 Tailscale을 설치하는 즉시 활성화되며, 별도의 설정이 필요하지 않습니다.

웹사이트에서 확인되는 공인 IP

기본적으로 숨겨지지 않습니다. 브라우저를 열고 사이트에 접속하면, 요청은 일반 네트워크 인터페이스를 통해 노트북을 떠납니다. 따라서 사이트는 사용자가 연결된 네트워크의 공인 IP를 확인하게 됩니다. 목적지가 tailnet 주소가 아니므로 Tailscale은 해당 경로에 관여하지 않습니다. exit node를 활성화하면 사이트는 사용자의 IP 대신 exit node의 공인 IP를 확인합니다. 어느 경우든 ISP는 사용자의 IP를 할당했으므로 사용자의 주소를 알고 있습니다. exit node가 ISP로부터 숨기는 것은 사용자의 신원이 아니라 트래픽의 목적지입니다.

ISP나 로컬 와이파이에서 확인되는 접속 목적지

기본적으로 숨겨지지 않습니다. ISP나 카페 네트워크 운영자는 사용자가 접속하는 모든 사이트의 IP 주소를 볼 수 있으며, TLS(transport layer security) 핸드셰이크 과정에서 호스트네임이 평문으로 전송되므로 보통 호스트네임까지 확인할 수 있습니다. 트래픽이 터널을 통하지 않으므로 Tailscale은 이 트래픽에 아무런 영향을 주지 않습니다. exit node를 사용하면 로컬 네트워크는 exit node로 향하는 하나의 암호화된 UDP 스트림만 볼 수 있습니다. 목적지를 확인할 수 있는 권한은 로컬 네트워크에서 exit node를 호스팅하는 주체로 넘어갑니다.

지리적 제한 우회 (Geo-unblocking)

기본적으로 불가능하며, exit node를 사용해도 부분적으로만 가능합니다. 스트리밍 서비스는 공인 IP의 국가 정보를 확인합니다. VPS에 exit node를 두면 VPS가 위치한 국가의 IP를 사용할 수 있어 도움이 되지만, 데이터센터 IP로 인식됩니다. 스트리밍 서비스는 데이터센터 주소 대역 목록을 구매하여 차단하는 경우가 많습니다. 데이터센터 내부에서 TV를 시청하는 사용자는 거의 없기 때문입니다. 가정용 회선을 사용하는 자택에 exit node를 구성하는 것이 이러한 검사를 통과할 가능성이 높으며, 이는 Tailscale이 설계된 연결성 모델에도 부합합니다.

Tailscale이 확인할 수 있는 정보

메타데이터만 확인할 수 있으며, 트래픽 내용은 절대 볼 수 없습니다. coordination server는 사용자의 tailnet에 어떤 기기가 있는지, 각 기기의 공개 키, 현재 엔드포인트, 마지막 접속 시간을 알고 있습니다. 서버는 터널 내부의 콘텐츠를 볼 수 없으며, 사용자가 어떤 웹사이트를 방문하는지도 알 수 없습니다. 두 기기가 직접 연결되지 못할 경우 암호화된 릴레이가 데이터를 전달하지만, 릴레이 서버는 이를 복호화할 수 없습니다. 이러한 설계 덕분에 무료 플랜 운영이 가능하며, 이에 대해서는 아래에서 다시 다룹니다.

출구 노드 경로의 작동 원리

출구 노드(exit node)는 다른 기기를 대신하여 공용 인터넷으로 트래픽을 전달하는 tailnet 내의 장치입니다. 노트북에서 출구 노드를 선택하면 Tailscale은 터널을 통과하는 기본 경로를 설치합니다. 따라서 로컬 LAN(근거리 통신망)으로 향하지 않는 모든 패킷은 먼저 출구 노드로 전송되며, 출구 노드는 자신의 주소를 사용하여 해당 패킷을 인터넷으로 내보냅니다. 이 시점에서 Tailscale은 상용 VPN과 유사하게 작동하지만, 반대편 서버가 사용자의 소유라는 점이 다릅니다.

Linux VPS에서 출구 노드를 설정하는 과정은 두 단계로 나뉩니다. 먼저 VPS에서 IP 포워딩을 활성화한 다음 해당 노드를 광고(advertise)합니다. Tailscale의 출구 노드 문서에서는 --advertise-exit-node를 tailscale set에 전달한 후 tailscale up를 실행하라고 안내합니다.

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-exit-node
sudo tailscale up

그다음 Tailscale 관리 콘솔에서 해당 출구 노드를 승인해야 합니다. 광고된 경로는 관리자가 수락하기 전까지는 사용되지 않기 때문입니다. 노트북에서는 tailnet이 제공하는 출구 노드 목록을 확인하고 하나를 선택합니다. 그런 다음 활성화된 노드를 확인합니다.

tailscale exit-node list
sudo tailscale set --exit-node=my-vps
tailscale status

경로가 제대로 설정되었는지 확인하려면 브라우저에서 IP 확인 사이트에 접속하여 해당 사이트가 표시하는 주소와 VPS의 공용 IP가 일치하는지 비교합니다. 출구 노드 사용을 중단하려면 빈 값을 전달합니다: sudo tailscale set --exit-node=. 출구 노드가 활성화된 상태에서도 로컬 네트워크의 프린터나 NAS에 접근해야 한다면 --exit-node-allow-lan-access=true를 추가하십시오. 그렇지 않으면 기본 경로 설정으로 인해 해당 패킷까지 출구 노드로 전송되기 때문입니다.

이것이 전체 메커니즘입니다. VPS에서 Tailscale 출구 노드 실행하기 가이드에서는 방화벽, 제공업체의 대역폭 할당량, DNS 동작, 처리량이 감소할 수 있는 이유 등을 다루고 있으므로, 실제로 구축할 때는 해당 가이드부터 시작하십시오.

Tailscale이 무료인 이유와 그 의미

Tailscale의 개인용 플랜은 무료이며, 제한 사항은 체험판이 아닌 실제 적용되는 정책입니다. 무료 플랜은 소수의 사용자와 일반 가정에서 필요한 것보다 훨씬 많은 기기를 지원합니다. 이 서비스가 무료로 제공될 수 있는 이유는 이것이 개인정보 보호 서비스가 아니라는 점과 같은 맥락입니다. 상업용 프라이버시 VPN은 사용자의 모든 트래픽을 처리하는 서버 비용을 지불해야 하므로, 모든 사용자가 매일 대역폭 비용을 발생시킵니다. 반면 Tailscale은 사용자의 트래픽을 거의 처리하지 않습니다. 직접 연결은 기기 간에 이루어지며, 릴레이는 직접 경로가 실패할 때만 암호화된 패킷을 전달합니다. 개인 사용자당 Tailscale의 비용은 거의 0에 가까우며, 수익은 접근 제어 및 감사 기능을 구매하는 기업 팀으로부터 발생합니다.

이는 사용자에게 중요한 결과를 의미합니다. 다른 사용자와 출구 IP 주소를 공유하는 일이 없으며, 회사가 사용자의 브라우징 기록을 남기지 않겠다고 약속할 필요도 없습니다. Tailscale은 애초에 사용자의 브라우징 내용을 볼 수 없기 때문입니다. 만약 자신의 기기가 아닌 다른 곳에서 트래픽이 나가기를 원한다면, Tailscale은 유료 부가 서비스로 Mullvad 서버에 대한 접근 권한을 판매합니다(2026년 10월 기준). 이 경우 제품은 메쉬 네트워크를 위한 Tailscale과 출구 노드를 위한 Mullvad가 결합된 하이브리드 형태가 됩니다. 사용자가 직접 출구 노드를 운영하지 않으면서 Tailscale이 일반 소비자용 VPN과 유사하게 작동하는 유일한 구성입니다.

위협 모델: 각 설정이 방어하는 범위

위협 모델이란 누구로부터 정보를 숨기는지, 그리고 그들이 무엇을 볼 수 있는지에 대한 명확한 기술입니다. 아래의 각 구성은 특정 대상으로부터는 보호하지만 다른 대상으로부터는 그렇지 않습니다. 가장 사생활 보호가 잘 될 것 같은 설정을 고르지 말고, 실제 우려 사항에 부합하는 설정을 선택하십시오.

일반적인 tailnet, exit node 미사용

보호 대상: 장치 간의 네트워크 경로상에 있는 제삼자가 트래픽을 읽거나 변경하는 것을 방지합니다. 호텔 Wi-Fi를 사용 중일 때, Wi-Fi가 개방형이라 하더라도 tailnet 주소를 통해 VPS로 SSH 접속하는 것은 옆자리의 사람으로부터 안전하며, VPS의 공용 방화벽에서 22번 포트를 완전히 닫을 수 있습니다.

방어 불가: 일반적인 웹 브라우징과 관련된 모든 것. 웹사이트는 사용자의 실제 IP를 확인하며, 호텔과 ISP는 사용자가 방문하는 목적지를 모두 볼 수 있습니다. 이 구성은 공용 인터넷에 대한 어떠한 사생활 보호도 보장하지 않으므로, 그렇게 간주해서는 안 됩니다.

개인 VPS의 exit node 사용

보호 대상: 로컬 네트워크와 ISP가 사용자의 목적지를 파악하는 것을 방지합니다. 이들은 단일 VPS 주소로 향하는 하나의 WireGuard 스트림만 볼 수 있습니다. 웹사이트는 호텔의 IP가 아닌 VPS의 IP를 확인합니다.

방어 불가: VPS 제공업체. 트래픽은 입력된 형태 그대로 exit node를 떠나므로, 제공업체는 모든 목적지 주소와 호스트 이름을 볼 수 있으며 TLS 없이 전송되는 모든 내용을 읽을 수 있습니다. 또한 VPS는 결제 기록을 통해 사용자와 연결되므로 익명성을 제공하지 않습니다. 한 사람이 사용하는 exit IP는 곧 그 사람을 식별합니다. 데이터센터 주소는 분류하기 쉬우므로 스트리밍 서비스와 일부 은행은 이를 의심스러운 대상으로 취급합니다. 처리량은 VPS의 대역폭 허용량과 터널이 직접 연결되는지 혹은 릴레이를 거치는지에 따라 제한되며, 이는 직접 연결과 릴레이 Tailscale 연결의 차이에서 설명합니다.

가정 내 exit node 사용

보호 대상: VPS 사례와 동일하게 로컬 네트워크와 ISP 노출을 방지하며, 데이터센터 IP 대역이 통과하지 못하는 검증을 통과하는 가정용 IP를 사용합니다. 여행 중 트래픽이 집에서 나가는 것처럼 보이게 하고 싶을 때 유용합니다.

방어 불가: 가정용 ISP. 이제 ISP는 사용자의 모든 여행 중 트래픽을 볼 수 있습니다. 해외에서 다운로드하는 모든 바이트가 가정용 연결을 통해 먼저 업로드되어야 하므로, 일반적으로 가정의 업로드 속도가 병목 현상의 원인이 됩니다.

Mullvad 또는 상용 VPN을 통한 exit

보호 대상: VPS 사례와 동일하게 로컬 네트워크와 ISP 노출을 방지하며, 수천 명의 다른 고객이 동일한 exit 주소를 공유하므로 exit IP와 사용자 이름 간의 연결을 방지합니다. 이것이 상용 사생활 보호 VPN이 구축된 위협 모델입니다.

방어 불가: VPN 제공업체. 이들은 VPS 제공업체와 동일한 위치에 있습니다. 사용자는 자신의 서버가 아닌 VPN 업체의 로그 정책을 신뢰하는 것입니다. 또한 쿠키와 로그인을 통해 사용자를 식별할 수 있는 웹사이트 자체로부터는 보호하지 못합니다.

이 중 어느 것으로도 충분하지 않을 때

숨기고자 하는 대상이 웹사이트 자체이거나, exit 운영자에게 기록 제출을 강제할 수 있는 주체라면 어떠한 VPN 구성도 도움이 되지 않습니다. 이것이 Tor가 구축된 위협 모델이며, Tor에서는 어떤 단일 릴레이도 사용자가 누구인지와 어디로 가는지 둘 다 알 수 없습니다. Tor와 VPN의 비교에서 해당 경계를 설명하며, "IP 숨기기"가 실제로는 "익명성 유지"를 의미했다면 이 글을 다음으로 읽어야 합니다.

Tailscale이 적합한 상황은 언제입니까?

자신의 장비에 접근해야 하는 상황이라면 Tailscale을 사용하십시오. 가정용 공유기 뒤에 있는 NAS, 인터넷에 직접 노출하고 싶지 않은 VPS, 친척 집에 있는 Raspberry Pi, 어디서든 SSH로 접속해야 하는 개발용 장비 등이 이에 해당합니다. 이러한 작업에는 포트를 개방하거나 중앙 서버를 직접 운영할 필요가 없는 Tailscale이 기존의 VPN 서버보다 유리합니다. 일반 WireGuard와 비교했을 때의 장단점은 주로 키를 직접 관리할 것인지 여부에 따라 결정됩니다. 고정된 외부 IP가 필요하거나 제한적인 로컬 네트워크를 우회해야 한다면 VPS에 exit node를 추가하십시오. 사용자의 신원 노출이 우려되는 경우에는 상용 프라이버시 VPN을 구매하거나 Tor를 사용하십시오. Tailscale은 해당 문제를 해결하기 위해 설계된 도구가 아닙니다.

FAQ

Tailscale이 내 IP 주소를 숨겨줍니까?

기본적으로는 그렇지 않습니다. Tailscale은 사용자의 tailnet 내에 있는 장치 간의 트래픽만 전달합니다. 브라우저로 방문하는 웹사이트는 Tailscale을 사용하지 않을 때와 마찬가지로 현재 연결된 네트워크의 공인 IP를 확인합니다. 이를 변경하려면 exit node를 활성화해야 합니다. 그러면 웹사이트는 exit node가 실행되는 VPS나 가정용 인터넷 연결의 공인 IP를 확인하게 됩니다. 사용자의 ISP는 IP를 직접 할당했으므로 여전히 사용자의 IP를 알고 있으며, exit node는 사용자가 어떤 사이트를 방문하는지 ISP가 알지 못하게 숨겨줄 뿐입니다.

호텔 Wi-Fi에서 VPN 대신 Tailscale을 사용할 수 있습니까?

본인의 장치에 접속하는 용도라면 가능합니다. 노트북과 VPS 또는 홈 서버 사이의 터널은 종단 간 암호화되므로 호텔 네트워크에서 내용을 읽을 수 없습니다. 일반적인 웹 서핑을 위해서는 exit node를 활성화해야 합니다. exit node를 사용하지 않으면 Tailscale 설치 여부와 관계없이 호텔 네트워크에서 사용자가 방문하는 모든 사이트를 확인할 수 있습니다.

다른 국가에서 Netflix를 시청할 때 Tailscale을 사용할 수 있습니까?

VPS에 exit node를 설정하는 방식으로는 일반적으로 불가능합니다. exit node를 통해 VPS가 위치한 국가의 IP를 얻을 수는 있지만, 해당 주소는 데이터센터 대역에 속하며 스트리밍 서비스는 이러한 대역을 의도적으로 차단합니다. 대상 국가의 가정용 인터넷 연결에 exit node를 설정하면 주거용 IP를 사용하게 되어 일반적으로 작동합니다. Tailscale은 이러한 목적을 위한 자체 exit 서버를 운영하지 않으며, 클라이언트에서 제공하는 국가 목록은 유료 부가 서비스인 Mullvad exit node뿐입니다.

Tailscale이 내 트래픽을 볼 수 있습니까?

아니요. 트래픽을 암호화하는 키는 각 장치에서 생성되며 장치 외부로 유출되지 않습니다. Tailscale의 조정 서버는 공개 키와 엔드포인트를 배포하고, 직접 연결에 실패할 경우 릴레이가 암호화된 패킷을 전달하지만, 그 누구도 통과하는 데이터를 복호화할 수 없습니다. Tailscale이 보관하는 정보는 메타데이터뿐이며, 여기에는 tailnet에 포함된 장치 목록과 온라인 상태였던 시간 등이 포함됩니다.

Tailscale이 NordVPN이나 Mullvad를 대체할 수 있습니까?

아니요. 상업용 개인정보 보호 VPN은 수천 명의 다른 고객과 공유하는 서버를 통해 모든 트래픽을 라우팅하므로, 외부로 노출되는 IP가 특정 개인과 연결되지 않습니다. Tailscale은 사용자의 장치 간 트래픽을 라우팅하며, exit node를 사용하더라도 해당 출구는 사용자가 비용을 지불하고 본인과 연결된 장치입니다. 두 제품은 서로 다른 문제를 해결합니다. Tailscale은 하나의 클라이언트에서 두 기능을 모두 사용하려는 사용자를 위해 Mullvad exit node를 부가 서비스로 판매하고 있습니다.