킬 스위치와 누출: DNS, WebRTC, IPv6

터널이 끊기는 순간 벌어지는 일

연결은 열린 채로 실패합니다. VPN은 트래픽을 가상 네트워크 인터페이스로 몰아넣는 경로들을 추가하는데, 터널 프로세스가 죽거나 타임아웃되면 그 경로들은 사라지고 와이파이나 이더넷을 지나는 기본 경로는 남습니다 — 그래서 시스템은 패킷을 계속 배달하되, 이제는 통신사를 통해 직접 보냅니다. 앱들은 몇 초 안에 소켓을 다시 연결해 내 진짜 IP로 트래픽을 보내고, 어디에도 오류 창 하나 뜨지 않습니다.

끊김은 일상입니다. 와이파이에서 모바일 데이터로 전환, 잠자기에서 깨어나는 노트북, 상태가 오락가락하는 호텔 네트워크, VPN 서버 재시작 — 전부 터널을 잠깐씩 끊습니다. 그 잠깐이 얼마나 비싼지는, 터널이 죽어 있는 동안 기기에서 무언가가 나가도록 허용되느냐에 달렸습니다.

킬 스위치가 실제로 하는 일

킬 스위치는 마법이 아니라 방화벽 규칙 묶음입니다. 엄격한 버전은 두 종류의 아웃바운드 트래픽만 허용합니다. 터널 인터페이스로 들어가는 패킷, 그리고 VPN 클라이언트 자신이 서버로 보내는 암호화 패킷. 터널이 내려가면 애플리케이션 트래픽은 터널이 돌아올 때까지 갈 곳이 없어질 뿐입니다.

이건 실패를 막는 게 아니라 실패의 양상을 바꾸는 것입니다. 킬 스위치가 있으면 끊김은 내가 알아차리는 '멈춘 연결'이 되고, 없으면 내가 알아차리지 못하는 '진짜 주소로 나가는 트래픽'이 됩니다. 네트워크는 완벽하지 않고 터널은 앞으로도 끊길 것입니다 — 닫힌 실패는 그 순간들을 무해하게 만듭니다.

시스템 킬 스위치 vs 앱 안의 스위치

차이는 앱 자체가 죽었을 때 드러납니다. 앱 내 킬 스위치는 VPN 클라이언트 안에서 터널을 감시하다 끊기면 트래픽을 막는 코드입니다. 클라이언트가 돌아가는 동안에만 작동합니다. 클라이언트가 크래시하거나 배터리 최적화에 죽으면 보호도 함께 죽습니다 — 하필 터널이 사라지는 바로 그 순간에요.

시스템 수준 킬 스위치는 운영체제 자체의 방화벽에 규칙을 심어, 어떤 앱이 돌아가든 모든 아웃바운드 패킷을 검사합니다. Android에는 이게 내장돼 있습니다. '상시 VPN'에 'VPN 없이 연결 차단'을 더하면, 재부팅 후 앱이 뜨기도 전에 OS 스스로 터널 밖 트래픽을 거부합니다. 둘을 구별하는 무식하지만 확실한 방법: 웹 서핑 중에 VPN 앱을 강제 종료해 보세요 — 페이지가 계속 뜬다면 스위치는 앱 안에 사는 겁니다.

DNS 누출: 터널을 건너뛰는 요청

DNS 누출이란 트래픽 자체는 터널을 타는데, 이름 조회는 로컬 네트워크가 할당한 리졸버 — 보통 통신사의 것 — 로 가는 상황입니다. 웹사이트에는 VPN 주소가 보여도 리졸버는 내가 여는 모든 사이트의 이름을 받아 갑니다. 사실상 방문 기록이죠. 고전적인 말썽꾼은 Windows입니다. 활성 인터페이스가 여러 개면 전부에 동시에 물어보고 먼저 답한 쪽을 씁니다.

해결책은 두 부분이고, 좋은 클라이언트는 둘 다 합니다. 시스템이 터널 안의 리졸버를 바라보게 하고, 다른 모든 인터페이스에서 DNS를 막아 길 잃은 조회가 갈 곳을 없애는 것. 그다음 검증하세요. 누출 테스트를 돌려 나열된 리졸버를 확인하고 — 그중 하나라도 통신사 것이라면 조회가 새고 있는 겁니다.

WebRTC 누출: 브라우저가 주소를 넘겨준다

WebRTC는 영상 통화를 떠받치는 브라우저 기술이고, 어떤 웹사이트든 JavaScript 몇 줄로 호출할 수 있습니다. 직접 연결을 만들기 위해 내 기기에 닿을 수 있는 모든 주소를 수집합니다. 로컬 주소들, 그리고 STUN 서버에 물어서 얻는 공인 주소까지. 페이지는 내 개입 없이 그 후보들을 읽을 수 있습니다.

기기 전체 터널이라면 STUN 요청도 터널 안을 타므로 VPN의 주소를 찾아냅니다. 위험한 건 부분적인 구성입니다. 브라우저 전용 프록시나, 브라우저를 밖에 남겨 두는 스플릿 터널링 — 거기서는 WebRTC의 UDP 패킷이 직접 나가서 내 진짜 IP를 드러냅니다.

머리로 추론하지 말고 테스트하세요. 무료 검사 도구 /webrtc-leak-test/ 가 지금 이 순간 브라우저가 드러내는 주소들을 보여 줍니다. 진짜 주소가 나타나면 기기 전체 터널로 옮기거나 브라우저 설정에서 WebRTC를 끄세요.

IPv6 누출: 터널이 IPv4만 덮을 때

많은 VPN 구성이 IPv4만 실어 나릅니다. 통신사가 IPv6도 제공한다면 — 모바일 네트워크는 대부분 그렇습니다 — 시스템에는 터널 밖의 살아 있는 IPv6 경로가 남고, 요즘 시스템은 사이트가 둘 다 지원하면 IPv6를 선호합니다. 결과는 선택적 노출입니다. IPv6가 없는 사이트에는 VPN 주소가, 있는 사이트에는 내 진짜 주소가 보이는데, IPv4만 보는 테스트는 모든 게 정상이라고 보고합니다.

깔끔한 해결책은 둘입니다. 더 나은 쪽은 IPv6를 제대로 다루는 VPN입니다 — IPv4와 나란히 터널로 실어 나르거나, 차단 경로를 심어 IPv6 패킷이 직접 나가는 대신 버려지게 하는 것. 무딘 대안은 기기나 라우터에서 IPv6를 끄는 것입니다. 어느 쪽이든 검증하세요. 누출 테스트에 VPN 것이 아닌 IPv6 주소가 보이면 안 됩니다.

제대로 테스트하는 법

실제로 쓰는 환경에서 검사를 돌리세요 — 집 와이파이, 모바일 데이터의 폰, 카페 네트워크. 누출은 각 네트워크의 DNS 구성과 IPv6 제공 여부에 따라 달라지니까요. 루틴은 5분 정도면 됩니다.

• VPN을 끈 채 진짜 IP를 적어 두고, 연결한 뒤 보이는 IPv4·IPv6 주소가 둘 다 바뀌었는지 확인 — /data-leak-checker/ 가 IP, DNS 리졸버, WebRTC를 한 번에 보여 줍니다
• 리졸버 목록 확인: 표시되는 DNS 서버는 전부 VPN 소속이어야 하고, 통신사 것이 있으면 안 됩니다
• 일부러 터널을 끊어 보기 — 와이파이를 껐다 켜거나 앱을 강제 종료 — 재연결 전에 페이지가 뜨는지 관찰
• OS나 VPN 앱 업데이트 후 반복 — 둘 다 네트워크 설정을 조용히 초기화할 수 있습니다