🛡️
차이는 암호 강도가 아니다
네 프로토콜 모두 깨지지 않은 현대 암호를 씁니다. 다른 건 속도, 코드 크기, 불안정한 네트워크에서의 동작, 그리고 밖에서 봤을 때 트래픽이 얼마나 티가 나는지입니다 — 암호화가 버티느냐가 아니라요.
가이드
VPN 프로토콜: WireGuard, OpenVPN, IKEv2, Xray/VLESS
VPN 프로토콜은 내 기기와 서버가 암호화 터널을 어떻게 만드는지를 정의합니다. WireGuard는 가장 빠르고 단순하며, OpenVPN은 가장 성숙하고 유연하고, IKEv2/IPsec은 모바일에서 네트워크가 바뀌어도 가장 잘 버티며, TLS 위의 Xray/VLESS는 터널 트래픽을 평범한 HTTPS처럼 보이게 합니다. 저마다 강점의 대가로 무언가를 내줍니다.
🌍
새것일수록 대체로 빠르다
WireGuard는 커널에서 돌고 핸드셰이크가 가벼워서 같은 하드웨어에서 OpenVPN을 앞섭니다. OpenVPN은 연식의 대가로 순수 처리량 대신 설정 유연성과 플랫폼 커버리지를 얻었습니다.
🔑
눈에 띄는 정도는 별개의 축
WireGuard, OpenVPN, IKEv2는 모두 네트워크가 VPN 터널로 분류할 수 있는 트래픽을 만듭니다. 진짜 TLS 안의 Xray/VLESS는 일반 HTTPS 세션과 구별되지 않도록 설계됐습니다.
VPN 프로토콜이란, 그리고 선택이 중요한 이유
프로토콜은 앱과 서버 사이의 약속입니다. 키를 어떻게 교환하고, 패킷을 어떻게 암호화해 감싸고, 끊긴 연결을 어떻게 재개하는지. 구독에는 보통 여러 개가 포함돼 있고, 앱이 연결마다 하나를 고릅니다. 바꾸는 건 메뉴에서 한 번 누르는 일이지 무슨 서약이 아닙니다.
선택의 결과는 세 군데서 나타납니다. 프로토콜마다 패킷당 CPU 비용이 달라 처리량과 배터리 소모가 다릅니다. 네트워크를 옮겨 다니거나 엄격한 방화벽 뒤에 있을 때의 안정성이 다릅니다. 그리고 눈에 띄는 정도가 다릅니다. 어떤 터널은 네트워크 장비가 VPN 트래픽으로 분류하기 식은 죽 먹기이고, 어떤 것은 분류를 피하도록 만들어졌습니다. 셋 다 이기는 프로토콜은 없습니다. 메뉴가 존재하는 이유죠.
WireGuard: 속도와 작은 코드베이스
2026년의 기본 답은 WireGuard입니다. 구식 스택의 수십만 줄에 맞서는 약 4천 줄의 커널 코드, 협상 매트릭스 대신 단 하나의 현대적 암호 스위트(ChaCha20-Poly1305), 한 번의 왕복으로 끝나는 핸드셰이크. 실제로는 평범한 하드웨어에서 회선 속도에 가까운 처리량, 빠른 재연결, 폰에서의 적은 배터리 소모를 의미합니다.
대가는 설계상 특성 두 가지입니다. 첫째, 표준 WireGuard 서버는 각 피어에 터널 내부의 고정 주소를 부여하므로, 사용자별 고정 식별자가 남지 않게 하려면 업체가 자체 계층 — 내부 주소 로테이션, 접속 종료 후 피어 상태 폐기 — 을 얹어야 합니다. 이걸 하느냐는 업체의 속성이지 프로토콜의 속성이 아닙니다. 둘째, WireGuard는 UDP 위에서 알아보기 쉬운 핸드셰이크 패턴으로 돌아가므로, VPN 트래픽을 식별하려는 네트워크 장비에게는 쉽게 눈에 띄고, 정체 모를 UDP를 버리는 네트워크에서는 아예 먹통이 됩니다.
OpenVPN: 성숙함과 유연성
OpenVPN은 2000년대 초부터 실전에서 돌아왔고, 그 연식이 곧 자산입니다. 20년의 검증, 사실상 모든 플랫폼과 라우터 지원, 거의 모든 네트워크 구성에 맞는 설정 옵션. 속도가 필요하면 UDP로, 접속성이 필요하면 TCP로 돌고, TCP 443 포트에서는 최소한 방화벽이 좀처럼 닫지 않는 포트를 씁니다 — 다만 TLS 핸드셰이크가 브라우저의 것과는 여전히 달라서 분류는 가능합니다.
비용은 무게입니다. OpenVPN은 패킷을 유저 스페이스에서 처리해 패킷마다 커널 경계를 넘나들고, 같은 하드웨어에서의 처리량은 보통 WireGuard의 몇 분의 일이며, 재연결도 즉시가 아니라 초 단위입니다. 코드베이스와 OpenSSL 의존성은 자릿수가 다르게 커서 감사해야 할 표면도 큽니다. 그래도 구형 라우터, 인증서가 필수인 기업 환경, UDP를 못 쓰는 네트워크에서는 여전히 맞는 도구입니다.
IKEv2/IPsec: 폰을 위해 태어난 프로토콜
IKEv2의 간판 기능은 MOBIKE입니다. 이미 맺어진 터널이 네트워크 주소가 바뀌어도 살아남게 해 주는 표준 확장이죠. 와이파이 범위를 벗어나 LTE로 넘어가도 새 핸드셰이크 없이 세션이 이어집니다 — 다른 프로토콜이라면 통화 도중 끊기는 바로 그 순간에요. iOS와 Android의 네이티브 지원, 운영체제 IPsec 스택에서의 암호화 처리 덕에 배터리 소모가 적어 모바일 앱의 흔한 기본값입니다.
약점은 환경에 있습니다. IKEv2는 UDP 500·4500 포트가 필요한데, 호텔 와이파이나 회사 방화벽 같은 제한적인 네트워크는 이걸 자주 막고, 자체 TCP 폴백도 없습니다. 설정도 WireGuard만큼 투명하지 않습니다. IPsec 파라미터는 협상으로 정해지므로, 잘못 설정된 서버는 의도보다 약한 설정으로 합의해 버릴 수 있습니다. 모바일에서는 강력하고, 적대적인 네트워크에서는 잘 부러집니다.
Xray/VLESS: HTTPS처럼 보이는 터널
VLESS는 Xray 프로젝트의 경량 전송 프로토콜입니다. 최소한의 프레이밍, 자체 암호화 없음, 진짜 TLS 세션 안에서 돌도록 설계. 암호화 계층이 표준 TLS — 모든 웹사이트가 쓰는 바로 그 프로토콜 — 이기 때문에, 443 포트의 VLESS 연결은 평범한 인증서 핸드셰이크에 이어 불투명한 암호화 스트림을 보여 줍니다. 밖에서 본 여느 HTTPS 세션의 모습 그대로죠.
이게 중요한 곳은 알아볼 수 있는 VPN 프로토콜을 분류해 조이거나 끊어 버리는 네트워크입니다. WireGuard의 핸드셰이크나 OpenVPN의 TLS 특유의 버릇이 터널을 들통나게 하는 곳에서, 잘 설정된 Xray 엔드포인트는 분류기에게 통계 말고는 어떤 구별 패턴도 주지 않습니다. 비용은 이렇습니다. 서버 쪽 구성 요소가 많아지고, 처리량이 커널 네트워킹이 아니라 TLS 처리에 묶이고, 클라이언트 생태계가 주류 프로토콜보다 작습니다. Aurora는 일상 속도용으로 WireGuard를, 표준 터널이 불안한 네트워크용으로 자체 노드의 Xray/VLESS를 운영합니다.
그래서 어떤 프로토콜을 골라야 할까
WireGuard로 시작하고, 뭔가 구체적으로 안 될 때만 바꾸세요. 실전 매핑은 이렇습니다.
- 기본값, 속도, 게임, 대용량 다운로드 — WireGuard
- 하루 종일 와이파이와 모바일 데이터를 오가는 폰 — IKEv2, 재연결이 충분히 빠르게 느껴지면 WireGuard
- 웹 트래픽만 허용하는 엄격한 방화벽 — TCP 443의 OpenVPN, 더 좋게는 Xray/VLESS
- 알아볼 수 있는 VPN 프로토콜이 멈추거나 끊기는 네트워크 — TLS 위의 Xray/VLESS
- 오래된 라우터나 기업의 인증서 요구사항 — OpenVPN
- 잘 모르겠다면 — 앱을 자동에 두고 이 순서대로 폴백하게 두세요
자주 묻는 질문
가장 빠른 VPN 프로토콜은 무엇인가요?
거의 모든 벤치마크와 네트워크 조건에서 WireGuard입니다. 커널 공간의 패킷 처리, 왕복 한 번의 핸드셰이크, 단일한 현대 암호가 패킷당 오버헤드를 최소로 유지해 처리량이 회선 속도에 근접합니다. 같은 하드웨어의 OpenVPN은 보통 몇 배 느리고, IKEv2는 그 사이에 자리합니다.
WireGuard가 나온 지금 OpenVPN은 한물간 건가요?
아니요. 느리긴 하지만 WireGuard가 닿지 않는 하드웨어와 환경에서 돌아갑니다. 구형 라우터, 인증서 기반 기업 환경, TCP 443만 통과되는 네트워크 같은 곳이요. 20년치 감사 이력도 무시할 수 없습니다. 기본값에서 폴백으로 옮겨 갔을 뿐, 은퇴한 게 아닙니다.
휴대폰에는 어떤 프로토콜이 가장 좋나요?
네트워크 전환을 가장 우아하게 처리하는 건 IKEv2/IPsec입니다. MOBIKE가 와이파이에서 모바일 데이터로 옮겨 갈 때 재협상 없이 터널을 이어 줍니다. WireGuard가 근소한 2위인데 — 재연결이 워낙 빨라 차이가 안 느껴질 때가 많고 — 배터리와 순수 속도에서는 대개 WireGuard가 이깁니다.
이 프로토콜들은 보안 수준이 다 같은가요?
올바르게 설정됐다면 실용적인 관점에서는 그렇습니다. WireGuard, OpenVPN, IKEv2, TLS 기반 VLESS 모두 알려진 실용적 공격이 없는 현대 암호 위에 서 있습니다. 현실의 위험은 넷 중 어느 것의 수학이 아니라 설정과 운영에 있습니다 — 약하게 협상된 파라미터, 낡은 서버, 로그 수집 같은 것들이요.
VPN 앱이 왜 저절로 프로토콜을 바꾸나요?
자동 모드는 가장 빠른 프로토콜부터 시도하고 네트워크가 방해하면 폴백합니다 — 예컨대 정체 모를 UDP가 버려져 WireGuard가 연결되지 않으면, 앱이 TCP 기반이나 TLS로 위장한 프로토콜로 다시 시도하는 식이죠. 그 전환은 약간의 속도를 내주고 그 네트워크에서 되는 연결을 얻는 거래입니다.
VLESS와 VMess는 뭐가 다른가요?
둘 다 같은 프로젝트 가족 출신입니다. VMess는 자체 암호화와 타임스탬프 검사가 내장된 구형 프로토콜이고, VLESS는 그걸 걷어내고 암호화를 TLS 계층에 맡겨 더 가볍고 분석하기 단순합니다. 제대로 설정된 TLS 전송 위에서라면 둘 중 현재 권장은 VLESS입니다.
이어서 읽기
킬 스위치와 누출
킬 스위치는 VPN 터널이 끊기는 순간 모든 인터넷 트래픽을 차단해서, 앱들이 평소 회선으로 슬쩍 돌아가지 못하게 합니다. 이게 없으면 2초짜리 끊김에도 내 진짜 IP가 노출됩니다. 터널이 살아 있는 동안에도 DNS 요청, 브라우저의 WebRTC, IPv6 트래픽은 터널을 비껴 샐 수 있습니다. 어느 누출이든 간단한 테스트와 해결책이 있습니다.
라우터의 VPN
VPN 터널을 라우터에 올리면 네트워크의 모든 기기가 한꺼번에 보호됩니다 — 앱을 설치할 수 없는 TV, 게임 콘솔, 스마트 스피커까지요. 대가도 실재합니다. 처리량이 라우터 CPU에 묶이고, 온 집이 한 나라로만 나가며, 문제 해결이 어려워집니다. 이 가이드는 구성 방법들과 판단 기준을 설명합니다.
여행용 VPN
여행길에서 VPN은 호텔·공항 와이파이의 트래픽을 암호화하고, 내 계정들이 낯익은 나라에서 접속하는 것처럼 보이게 하고, 해외에서 다르게 굴어지는 서비스에 닿게 해 줍니다. 만능은 아닙니다. 스트리밍 플랫폼은 서버 주소를 탐지하고, 현지 규정은 나라마다 다릅니다. 가장 중요한 규칙 하나 — 떠나기 전에 전부 설정하고 테스트하세요.