믿음과 신뢰의 뮬바드 VPN 설정 옵션을 알아보자

설정 화면 진입시 보이는 메뉴들

사용자 인터페이스부터 보자

여기선 딱히 건들게 없다. 사용자 언어와 알림 정도만 원하는대로 맞춰놓자

다음엔 VPN 설정을 보자

• 시작 시 앱 실행 : 컴퓨터를 부팅하면 VPN 클라이언트가 실행되게 함 (VPN을 연결하는게 아님)
• 자동 연결 : VPN 클라이언트를 켜면 자동으로 VPN 터널을 연결하게 함. 위에 옵션과 함께 켜면 컴퓨터를 켜면 자동으로 VPN 클라이언트가 실행되면서 연결까지 정립됨

• 로컬 네트워크 공유 : 이 기능을 켜면 VPN 연결 중에도 동일한 로컬 네트워크 (집 WIFI, 사무실 LAN 등)의 다른 기기들과 통신할 수 있게 해줌

VPN을 켜면 모든 트래픽이 VPN 터널로 강제 우회되어 로컬망에 있는 장치(프린터, NAS 등등)가 보이지 않게 되는데 로컬 네트워크 공유 기능을 쓰면

위와 같은 네트워크 대역은 VPN 터널로 보내지 않고 직접 로컬 LAN으로 보냄

즉 VPN을 켰어도

• 192.168.x.x와 같은 로컬 장비 접속 가능
• 공유기 웹페이지 접속 가능
• 프린터 /  스캐너 사용 가능
• NAS / SMB 공유 폴더 접근 가능
• 로컬 게임 LAN 통신 가능
• 같은 와이파이에 있는 스마트 TV, 크롬캐스트 등 연결 가능

위와 같은 기능을 쓸 수 있음

이 기능을 쓴다고 보안에 문제가 생기는건 아니고 단지 로컬 LAN에만 예외를 허용하는것임

• DNS 콘텐츠 차단기 : DNS를 통해서 사이트 광고 차단하는 기능임
• IPv6 : 말 그대로 IPv6 사용하기
• 킬 스위치 : VPN에서 가장 중요한 기능 중 하나인데 당연히 켜져 있어야 함 (프로톤은 default로 켜져 있지 않음)

킬 스위치는 VPN을 켠 상태여도 모종의 이유로 VPN 서버와의 연결이 잠시 끊어질 수 있는데 이때 즉시 인터넷을 차단해 VPN을 통하지 않은 트래픽, 즉 너의 실제 IP가 유출되는 것을 막아주는 기능임

• 잠금 모드 : VPN을 무조건 연결해야만 인터넷이 되게 하는 기능임. 실수로 VPN을 켜지 않은 상태로 인터넷을 하는 것을 막아줌
• 터널 프로토콜 : VPN 터널 프로토콜을 Wireguard와 OpenVPN중에서 선택할 수 있음. Wireguard가 더 최신 프로토콜이며 속도도 더 빠름
• 사용자 지정 DNS : 말 그대로임

• 서버 IP 재정의 (Server IP override)

이 기능은 VPN 서버가 ISP(인터넷 제공업체), 국가 검열, 학교 / 회사 네트워크 등에 의해 차단될 때 우회하기 위한 기능임

VPN이 접속하려는 뮬바드 VPN 서버의 IP가 특정 네트워크에서 차단되어 있을 때 직접 새로운 서버 IP 주소 목록을 불러와서 기존 서버 IP를 덮어쓰는 기능이라고 볼 수 있음

이 기능은 만약 너가 특정 환경에서 VPN을 사용하려는데 뮬바드 VPN서버 IP가 막혀서 VPN 연결이 되지 않는다면

뮬바드 지원 팀이 해당 환경에서 차단되지 않는 새로운 우회 IP목록을 너에게 제공하고 그 목록 파일 또는 텍스트를 앱에 Import하면 기존 VPN서버 주소 대신 다른 주소로 접속하게 됨

그렇게 해서 검열을 피해서 연결이 가능하게 해주는 기능임

일부 국가 / 기관에서는 VPN 서버 IP를 직접 차단하는데

• 중동 / 중국 등 일부 국가
• 학교 네트워크
• 회사 보안망
• ISP 차단 정책이 있는 나라

이 경우에 뮬바드 VPN이 서버에 연결하려고 해도 계속 접속 실패가 뜸

그래서 뮬바드 서포트 팀이 특정 지역에 맞춘 차단되지 않은 비공개 서버 IP목록을 따로 너에게 배포해주는거고 이걸 불러오면 서버 IP 재정의 기능이 공식 서버 리스트 대신 그 우회 IP로 연결하게 되는것임

이제 Wireguard 기능을 보자

• 포트 : 그냥 자동으로 두면 됨

• 난독 처리 : 트래픽을 난독화해서 ISP로 하여금 너가 VPN을 사용중인지 숨기는 기능임

여기에 보면 Shadowsocks, UDP-over-TCP, QUIC, LWO(Lightweight Obfuscation)이 있는데

- Shadowsocks

DPI검열 회피력이 매우 좋고 강력한 검열 환경에서 안정적이며 속도도 매우 빠름

단점이라면 서버측에서 Shadowsocks용 포트와 세팅이 필요해지거나 뮬바드 서버 중 일부 지역만 지원할 수 있음

보통 중국, UAE, 이란 등 검열이 강력한 국가나 회사 /  학교 네트워크에서 Wireguard가 완전히 차단될 때 씀

- UDP-over-TCP

원래 Wireguard는 UDP 기반인데 UDP가 막힌 네트워크(기업 / 기숙사 / 공항 WIFI 등등)가 상당히 많음

그래서 Wireguard 트래픽을 TCP세션으로 감싸서 보냄

장점이라면 UDP가 차단된 상황에서도 접속이 가능해지고 기본 WireGuard보다 차단에 덜 걸림

단점이라면 가장 느리고 다운로드 / 업로드에서 속도가 크게 저하될 수 있음

착각할 수 있어서 말하지만 UDP-over-TCP는 우회용이지 보안 기능이 아님. 검열 / 차단된 네트워크에서 Wireguard 연결을 성공시키기 위한 수단이지 보안을 강화하는 기술이 아니라 난독화 성능도 낮고 패킷 형태는 Wireguard 특성이 그대로 남으며 단지 UDP가 막힌 곳에서 쓰는 최후의 수단이라고 보면 됨

- QUIC

Wireguard 트래픽을 구글이 만든 QUIC 프로토콜 (HTTP/3)처럼 보이게 위장함

QUIC은 UDP 기반이지만 HTTP처럼 보이는 특성이 있어서 DPI 우회력이 좋음

장점이라면 빠르고 DPI 검열에 강하고 UDP차단이 완벽하지 않은 곳에서 우회가 잘됨

단점이라면 UDP가 완전히 차단된 환경에서는 작동이 불가능함

주로 ISP가 Wireguard 탐지는 하지만 UDP는 완전히 막지 않는 경우나 어느정도 검열이 있는 지역에서 씀

- LWO

뮬바드에서 직접 만든 가벼운 난독화 레이어임

내부적으로는 UDP를 그대로 사용하지만 Wireguard  패턴을 흐려서 DPI 탐지를 회피함

장점이라면 난독화 옵션 중 가장 빠르고 DPI가 약한 곳에서는 효과적임

단점이라면 검열 강도가 높은 국가에서는 효과적이지 않고 UDP가 차단된 환경에서는 작동이 불가능함

ISP가 Wireguard만 가볍게 필터링하거나 가장 빠른 속도를 원하면 이걸 쓰면 됨

• 양자 저항 터널 : VPN서버와 클라이언트 간의 키 교환을 할 때 양자컴퓨터의 공격에도 안전한 방법으로 추가적인 교환을 거침

NIST에서 Post Quantum Cryptography Standard 발표한거랑 같은 맥락에서 보면 됨. 이 기능을 켜면 처음 연결을 정립할 때 시간이 엄청 오래 걸림

아주 실험적인 기능이라고 볼 수 있는데

미래에 등장할 양자 컴퓨터의 공격에도 견딜 수 있도록 설계된 VPN 암호화 방식임

현재 VPN에서 쓰는 대부분의 암호화는 양자컴퓨터가 충분히 발전하면 수 시간 ~ 수 분 정도면 깨질 수 있는 위험이 있기에 뮬바드가 이를 대비해 만든것이 양자 저항 터널 기능임

이 기능을 켜면 Wireguard에 양자 내성 알고리즘을 추가로 결합해서 하이브리드 암호화 터널을 만들게 됨

원리는

뮬바드는 기존의 Wireguard 키인 X25519와 새로운 PQ 알고리즘(예: Kyber, ML-KEM 등)을 함께 사용해서 '이중 키 교환' 을 함

그렇게 하이브리드 키 교환을 해서 한쪽이 깨져도 나머지가 암호화를 지켜주는 방식이고 이 방식은 미국 NIST가 표준화한 방식과 동일한 구조임

다만 이 기능은 아직 실험적인 기능이라 멀티홉과 같이 사용할 수 없는 경우가 많고 속도가 느려질 수 있으며 현재 상황에서는 매우 과할 정도의 기능이라 잘 사용되지 않음

• IP버전 : 말 그대로임
• MTU : VPN 터널 안에서 한 번에 전송할 수 있는 패킷의 최대 크기를 조절하는 기능임. Wireguard나 OpenVPN은 터널 구조 때문에 일반 인터넷 MTU(1500)보다 작은 MTU를 사용해야 함

마지막으로 멀티홉, DAITA, 분할 터널링에 대해 설명하자면

멀티홉(Multihop)

VPN 서버를 두 번 거쳐서(Entry >> Exit)인터넷에 나가는 방식의 보안 강화 기능임

이 구조의 핵심은 두 번째 서버만 인터넷과 직접 연결되고 첫 번째 서버는 VPN을 사용하는 사람만 알게 됨

Entry(입구) 서버 = 내 실제 IP는 알지만 최종 목적지는 모름

Exit(출구) 서버 = 목적지 사이트에 접속하지만 내 실제 IP는 모름

두 서버를 서로 다른 국가로 설정할 수 있고 이 기능을 쓰면 추적 난이도가 급상승함

정부 / ISP / 웹사이트가 추적하려면 두 서버 위치의 로그가 동시에 필요한데 뮬바드는 로그를 저장하지 않는 노-로그(No-log)방식이며 서로 다른 국가에서 서버 운영을 하니까 추적 난이도가 급격하게 올라감

또한 Exit서버에서 어떤 행위를 해도 Entry서버는 관련이 없기 때문에 Entry서버가 압수당해도 Exit서버와 연결 정보를 알 수 없음

DAITA(Defense against AI-Guided Traffic Analysis)

AI가 너의 트래픽을 분석하지 못하도록 모든 패킷 사이즈를 동일하게 맞추는 기능임

분할 터널링

VPN회사마다 용어 정의 방식이 다른데 어디에서는 VPN 터널을 제외할 곳을 선택하고 어디에서는 VPN 터널을 쓸 곳을 선택함.

뮬바드는 제외 방식이라서 저 옵션을 켜고 어떤 프로그램을 선택하면 그 프로그램만 VPN을 안 쓰게 됨 (다른 VPN이랑 헷갈려서 실수하지 마라)