자체 VPS로 DPI 검열을 우회하는 방법

어제까지 잘 되던 VPN이 오늘 갑자기 안 된다면, 그건 거의 언제나 뚫린 게 아니라 핑거프린팅(fingerprinting)당한 것입니다. 2026년 현재 중국, 이란, 러시아에서는 심층 패킷 검사(DPI)가 기본 검열 도구이며, 트래픽을 막는 데 굳이 복호화가 필요하지 않습니다 — 트래픽의 형태나 접속하려는 주소만 알아채면 충분합니다.

이 구분이 해결책을 결정합니다. 검열 기관이 프로토콜을 차단했다면 서버를 바꿔도 소용없습니다. IP를 차단했다면 프로토콜을 바꿔도 소용없습니다. 상용 VPN에서는 대개 두 가지 모두에 걸리는데, 수천 명의 고객이 하나의 주소 대역과 하나의 핸드셰이크 서명을 공유하기 때문입니다. 자신만의 엔드포인트는 이 두 가지를 모두 직접 통제할 수 있는 유일한 방식입니다. 이 가이드에서는 DPI가 무엇을 탐지하는지, 2026년에도 여전히 통하는 다섯 가지 프로토콜 중 어떤 차단에 어떤 것이 답이 되는지, 그리고 이를 어떻게 배포하는지를 다룹니다.

심층 패킷 검사가 실제로 보는 것

심층 패킷 검사(Deep packet inspection)는 다소 오해를 부르는 이름입니다. 현대의 검열 기관은 여러분의 암호화된 세션을 읽지 못합니다 — 읽을 수가 없습니다. 대신 페이로드가 보이지 않을 때도 남아 있는 정보로 세션을 분류합니다: 패킷 크기, 패킷 간 시간 간격, 초기 핸드셰이크의 바이트 패턴, 목적지 주소와 포트, 그리고 무언가로 찔러봤을 때 연결이 어떻게 반응하는가입니다.

이 작업을 수행하는 기법은 네 가지이며, 각각 서로 다른 대응책에 무력화됩니다. 어떤 기법에 걸렸는지 아는 것이 진단의 전부입니다:

• 프로토콜 핑거프린팅. 모든 VPN 프로토콜에는 식별 가능한 초기 핸드셰이크가 있습니다. OpenVPN의 첫 패킷은 고정된 옵코드를 담고 있고, WireGuard는 예측 가능한 위치에 고정된 타입 필드를 가진 148바이트 메시지입니다. 분류기는 복호화 없이 단 한 패킷만으로 이 중 하나와 일치시킵니다.
• 능동 프로빙(active probing). 만리방화벽(Great Firewall)의 대표적인 수법입니다. 의심스러운 세션을 관찰한 뒤, 검열 기관이 나중에 그 주소로 직접 접속해 프록시 프로토콜로 말을 걸어봅니다. 서버가 프록시처럼 응답하면 차단됩니다 — 즉 TLS처럼 보이는 것만으로는 부족하고, 서버가 이런 심문을 견뎌내야 합니다.
• IP 및 대역 차단 목록(blocklisting). 가장 조잡하면서도 단연 가장 흔한 방법입니다. 상용 VPN을 호스팅하는 것으로 알려진 대역은 아무런 검사 없이 통째로 차단됩니다. 소비자용 VPN 앱이 하룻밤 사이에 먹통이 되는 이유가 바로 이것입니다.
• 차단이 아닌 스로틀링(throttling). 이란이 선호하는 방식입니다. 연결이 끊기지는 않지만 쓸모없어질 때까지 저하됩니다 — TCP 혼잡 제어를 망가뜨리는 인위적인 손실과 지연입니다. 겉으로는 차단된 것처럼 보이지 않아 사용자들은 자기 장비 탓을 하게 됩니다.

자체 VPS 엔드포인트가 차단 목록 물결에서 살아남는 이유

상용 VPN이 검열 국가에서 실패하는 것은 엔지니어링으로 고칠 수 없는 구조적인 이유 때문입니다. 바로 공개되어 있다는 점입니다. 이들의 주소 대역은 공개되고, 스크래핑되고, 목록화됩니다. 누구나 구독을 결제해 출구 주소를 기록한 뒤 제출할 수 있고 — 검열 기관은 실제로 그렇게 합니다. 차단 목록 항목 하나로 수천 명의 사용자가 한꺼번에 접속을 잃습니다.

자체 VPS의 프록시는 이 구도를 뒤집습니다. 여러분의 엔드포인트는 누군가 찾아내기 전까지는 어떤 목록에도 없는, 단 하나의 미지의 주소입니다. 그리고 이를 찾아내려면 프로토콜을 핑거프린팅하거나 애초에 어디를 봐야 할지 알고 있어야 합니다. 게다가 어떤 구독 서비스도 제공하지 않는 것, 바로 root 권한도 얻게 됩니다. 프로토콜, 포트, 난독화 방식, 위장 도메인을 직접 고를 수 있고, 여러 개를 동시에 운영할 수도 있습니다.

솔직한 트레이드오프는 여러분 스스로가 운영자가 된다는 것입니다. 아무도 대신 주소를 교체해주지 않고, 서버에 패치를 적용해주지 않으며, 새벽 3시에 데몬이 죽었다는 것을 알아채 주지도 않습니다. 앱과 지원 데스크를 원한다면 이는 맞지 않는 구조입니다 — 검열 저항 호스팅 페이지에서도 제품 관점에서 같은 트레이드오프를 언급하고 있습니다. 대신 얻는 것은 그 운명이 낯선 사람들과 공유되지 않는 엔드포인트입니다.

일반 WireGuard와 OpenVPN이 DPI에 걸리는 이유

둘 다 훌륭한 프로토콜이지만, 설계상 둘 다 손쉽게 식별됩니다. WireGuard는 은닉이 아니라 암호학적 단순성과 속도에 최적화되어 있습니다. 그 핸드셰이크 개시 메시지는 고정 길이에 고정된 타입 바이트를 가지고 있습니다. OpenVPN도 기본 설정에서는 마찬가지로 눈에 띕니다. 둘 다 애초에 식별 불가능하도록 설계된 것이 아닙니다 — 그것은 단순히 설계 목표가 아니었습니다.

그렇다고 이들이 나쁜 선택이라는 뜻은 아닙니다. WireGuard와 OpenVPN 비교 글에서도 분명히 밝히고 있습니다. ISP로부터의 프라이버시 보호나, 자신의 여러 기기를 연결하는 용도, 또는 DPI를 수행하지 않는 국가에서의 VPN이라면 WireGuard가 정답이며 WireGuard 설정 가이드의 내용은 여전히 유효합니다. 직설적으로 말하면: WireGuard는 프라이버시를 해결하지, 검열을 해결하지는 않습니다.

두 프로토콜 모두를 위한 난독화 계층이 존재합니다 — OpenVPN용 래퍼, WireGuard의 핸드셰이크를 무작위화하는 포크 등입니다. 이들은 실제로 작동하며, 핑거프린팅만 하는 검열 기관을 상대할 때는 충분할 수 있습니다. 하지만 능동 프로빙이 개입되는 상황에서는 이들의 힘이 약해지는데, 핸드셰이크를 뒤섞는다고 해서 검열 기관이 접속해 질문을 던졌을 때 서버가 그럴듯하게 행동하도록 만들어주지는 않기 때문입니다. 바로 그것을 위해 만들어진 것이 다음의 다섯 프로토콜입니다.

2026년에도 여전히 통하는 다섯 가지 프로토콜

단 하나의 최고 프로토콜이란 없습니다 — 여러분이 마주한 차단 방식과 사용 중인 네트워크에 가장 잘 맞는 것이 있을 뿐입니다. 지금 배포할 가치가 있는 것은 이 다섯 가지이며, 각각 별도의 설정 페이지를 두고 있습니다.

VLESS+REALITY가 가장 먼저 시도해볼 만한 선택입니다. 이것의 트릭은 일반적인 TLS 위장과는 다릅니다: 자체 인증서를 제시하는 대신, 실제로 존재하는 인기 웹사이트의 진짜 TLS 핸드셰이크를 그대로 중계합니다. 능동 프로빙은 실제 도메인에 대한 정상적인 인증서 체인을 보게 되는데, 실제로 그것이 보여지고 있기 때문입니다. 문제 삼을 자체 서명 인증서도 없고, 상관관계를 지을 수상한 도메인도 없습니다.

Shadowsocks-2022는 가장 가볍고 가장 실전에서 검증된 방식입니다. 암호 스위트가 개선되어 이전 버전을 식별 가능하게 만들었던 재전송 및 프로빙 취약점을 막았습니다. Hysteria2는 차단이 아닌 스로틀링에 대응하는 방식으로, 혼잡 제어가 의도적으로 손실이 많은 회선에 맞춰 설계되어 있습니다. CDN 뒤의 V2Ray는 오리진을 숨겨줍니다: 검열 기관에는 여러분이 아니라 대형 CDN으로 향하는 트래픽만 보입니다. MTProto 프록시는 딱 한 가지 문제만 해결하지만, 텔레그램 접속 문제를 워낙 깔끔하게 해결해주기 때문에 다른 무엇을 배포하든 함께 운영할 가치가 있습니다.

관할지와 IP 선택하기

중요한 속성은 두 가지이며 서로 충돌합니다: 주소 대역이 얼마나 새로운가, 그리고 서버가 여러분과 얼마나 가까운가입니다. 보통은 신선도가 우선합니다. 우회 용도로 한 번도 쓰이지 않은 대역의 새 주소는 대부분의 사람들을 막는 통째 차단을 통과하며, 아무리 프로토콜이 정교해도 이미 목록에 오른 주소는 되살릴 수 없습니다. 재활용된 "익명 VPN" 주소가 작동을 멈추는 이유가 바로 이것입니다 — 여러분이 대여하기도 전에 이미 소진된 것입니다.

지연 시간은 그다음으로 중요합니다. 저희가 운영하는 일곱 개 관할지 중 네덜란드, 루마니아, 몰도바가 이란·러시아·중앙아시아 사용자와 가장 가깝고, 네덜란드는 AMS-IX를 통한 세계 최고 수준의 피어링도 추가로 제공합니다. 아이슬란드, 파나마, 스위스는 거리는 더 멀지만 법적으로 더 견고합니다 — 파나마는 대부분의 서방 국가와 사법 공조 조약이 없고 데이터 보존 의무도 없으며, 아이슬란드는 아예 의무 보존 규정이 없습니다.

우회용 엔드포인트에 대한 조언은 낭만적이지 않습니다: 먼저 지연 시간과 대역의 신선도를 고르고, 관할지는 그다음입니다. 여러분은 삭제 요청을 유발하는 콘텐츠를 호스팅하는 것이 아니라 자신의 트래픽을 이동시키는 것이므로, 법적 프로필은 퍼블리싱 때만큼 중요하지 않습니다. 위치 페이지에서 일곱 곳을 비교하거나, 관할지 선택 도구와 저희의 관할지 가이드로 트레이드오프를 따져보십시오. 모든 서버는 오직 여러분만의 전용 IPv4를 제공합니다 — 공유 주소는 애초에 의미가 없습니다.

검열 국가에서 서버 요금 결제하기

대부분의 가이드가 슬그머니 무용지물이 되는 지점이 바로 여기입니다. 실제로 실패하는 단계이기 때문입니다. 이란이나 러시아에서는 카드 결제 업체가 호스트가 주문을 보기도 전에 제재 사유로 거절하고, 주류 호스팅 업체는 여러분이 넘기고 싶지 않은 타당한 이유가 있을 신분증명서를 요구합니다. 결제 자체가 완료되지 않으면 기술 가이드는 무용지물입니다.

암호화폐가 살아남는 결제 수단이며, 그래서 노-KYC 호스팅과 검열 우회가 결국 같은 상품이 되는 것입니다: 거래를 거절할 은행도 경로에 없고, 실패할 신분 확인도 없습니다. 저희는 비트코인, 모네로, 이더리움, 라이트코인, 트론, 솔라나, 그리고 ERC-20 또는 TRC-20 네트워크의 테더를 받습니다. 모네로는 자금 조달과 서버를 연결하는 공개 거래 그래프를 전혀 남기지 않으며, 모네로 결제 가이드에서 단계별로 다룹니다. TRC-20 기반 USDT는 수수료가 낮고 지역 유동성도 좋아 실용적인 대안입니다. 소형 VPS는 월 $7.50부터 시작합니다.

VPS에 VLESS + REALITY 엔드포인트 단계별로 배포하기

빈 Debian 또는 Ubuntu 서버에서 배포는 약 15분이 걸립니다. 아래는 그 전체 흐름이며, 실제 명령어는 VLESS+REALITY 페이지에 있습니다.

• 먼저 서버를 보안 강화하십시오. 키 인증만 허용하는 SSH, 비활성화된 비밀번호 인증, 노출하려는 것만 허용하는 방화벽. 프록시가 살아 있기 전에 이 작업을 하십시오 — 저희 첫 한 시간 서버 강화 체크리스트가 요약본이며, 이 경우에는 일반 서버보다 더 중요합니다.
• Xray 코어와 패널을 설치하십시오. 3x-ui 패널은 Xray를 웹 인터페이스로 감싸며, 설치 명령어 하나로 끝납니다. 이를 외부에 노출하는 대신 localhost에 바인딩하고 SSH 터널을 통해 접속하십시오 — 열린 포트에 관리 패널이 있는 것 자체가 하나의 핑거프린트입니다.
• 인바운드를 생성하십시오. 443 포트에 프로토콜 VLESS와 보안 방식 REALITY로 인바운드를 추가하십시오. 실제로 무게가 실리는 결정은 위장용 SNI입니다: 검열망 내부에서 접속 가능하고 차단되지 않은 인기 HTTPS 사이트를 고르십시오. 위장 도메인 자체가 차단되어 있다면 그곳으로 향하는 여러분의 트래픽이 비정상으로 보여 오히려 상황을 악화시킵니다.
• 클라이언트 링크를 가져오십시오. 패널은 vless:// 공유 링크와 전체 설정을 담은 QR 코드를 생성합니다. 이를 Windows의 v2rayN, Android의 v2rayNG, iOS의 Streisand나 FoXray, 또는 어디서든 sing-box에 가져오십시오 — 클라이언트 인증서도 없고, 기기가 검사당해도 시크릿을 담은 설정 파일도 없습니다.
• 외부에서 확인하십시오. 서버가 아닌 다른 네트워크에서, 선택한 SNI에 대해 엔드포인트가 정상적인 TLS 핸드셰이크로 응답하는지 확인하십시오 — 해당 SNI로 해석되도록 설정한 주소에 대해 curl -sI 한 번이면 충분합니다. 여러분이 보기에 평범한 HTTPS 사이트처럼 보인다면, 프로빙 입장에서도 그렇게 보입니다.

필요해지기 전에 미리 대체 수단을 마련해두십시오. 모든 것이 정상 작동할 때 두 번째 포트에 두 번째 프로토콜을 추가하는 데는 10분이면 충분하지만, 활성 차단 뒤에서는 이 작업이 고통스럽거나 아예 불가능합니다. 443 UDP의 Hysteria2는 443 TCP의 REALITY와 자연스러운 짝을 이룹니다 — 전송 방식, 포트, 실패 양상이 모두 다릅니다. 두 공유 링크를 모두 기기에 보관해두면 복구는 그저 클라이언트 쪽 전환만으로 끝납니다.

프록시가 새는 구멍이 되지 않도록 서버 강화하기

작동하는 프록시와 안전한 프록시는 다른 것입니다. 이제 이 엔드포인트는 여러분이 방문하는 모든 목적지를 알고 있으며, 여러분이 자신의 기기들에게 공지한 포트로 노출되어 있습니다.

• 노출해야만 하는 것만 노출하십시오. 프록시 포트와 SSH뿐입니다. 패널, 메트릭, 데이터베이스는 localhost에 두고 터널을 통해서만 접근하십시오.
• 필요 없는 로깅은 끄십시오. Xray와 대부분의 프록시 데몬은 기본적으로 모든 연결을 디스크에 기록합니다. 우회용 엔드포인트에서는 이 파일이 서버에서 가장 민감한 대상입니다.
• 다른 용도와 함께 두지 마십시오. 같은 서버에 개인 웹사이트나 메일 서버를 함께 운영하는 것은 피하십시오. 서비스가 늘어날 때마다 또 다른 핑거프린트, 또 다른 인증서, 그 엔드포인트를 여러분과 연결 지을 또 다른 방법이 생깁니다.
• 관리는 신중하게 하십시오. 벗어나려는 바로 그 검열망에서 SSH로 서버에 접속하면 네트워크 계층에서 여러분의 실제 주소가 그 서버와 묶입니다. 서버 OpSec에서 이 원칙을 제대로 다루고 있으며, 대부분의 사람들이 건너뛰는 부분이기도 합니다.
• 패치를 적용하고 평범하게 유지하십시오. 무인 보안 업데이트를 적용하고, 특이한 것은 설치하지 말며, 방치된 테스트 설정이 계속 열려 있지 않도록 하십시오.

IP가 소진됐을 때

언젠가는 그렇게 된다고 가정하십시오. 한 사람이 신중하게 사용하는 엔드포인트는 오래 갈 수 있지만, 그룹 채팅방의 마흔 명과 공유된 엔드포인트는 그렇지 않습니다. 대응은 기계적입니다: 새 서버에서 같은 프로토콜을 테스트해 차단이 주소 수준에서 일어난 것인지 확인하고, 다른 관할지에 다시 배포한 뒤, 새 공유 링크를 기기에 다시 가져오십시오.

첫 서버에는 애초에 어떤 신원도 결부되지 않았으므로, 새 주소와 이전 주소를 연결할 것이 아무것도 없습니다 — 흔히 이념적 입장으로만 설명되지만 실은 실무적인 노-KYC의 실질적 이점입니다. 동시에 손봐야 할 것은 주소를 소진시킨 공유 습관입니다. 주소는 스크린샷과 그룹 채팅을 통해 퍼지며, 검열 기관도 그런 채널들을 지켜보고 있습니다. 다른 사람들을 지원하고 있다면, 각자에게 별도의 자격 증명을 주어 한 사용자가 뚫리더라도 전체를 다시 구축하지 않고도 그 사용자만 제거할 수 있게 하십시오.

일주일 안에 엔드포인트가 차단되게 만드는 여덟 가지 실수

• 재활용된 주소 대역을 사용하는 것. 가장 저렴한 서버는 흔히 수년간 우회 트래픽을 실어 나른 대역에 있습니다. 여러분이 실제로 돈을 주고 사는 것은 신선도입니다.
• 현지에서 차단된 위장용 SNI를 고르는 것. REALITY는 흉내 내는 사이트가 여러분의 네트워크에서 평상시에도 트래픽을 주고받는 사이트일 때만 작동합니다. 이미 검열되고 있는 대상을 흉내 내는 것은 아예 위장하지 않는 것보다 나쁩니다.
• 관리 패널을 공개 포트에서 운영하는 것. 열린 포트에 있는 3x-ui 로그인 페이지는 스캔하는 누구에게나 그 서버가 프록시임을 알려주며, 스캔은 저렴합니다.
• 하나의 엔드포인트를 대규모 그룹과 공유하는 것. 트래픽 양이 비정상적으로 커지고, 공유한 채널을 통해 주소가 새어 나갑니다.
• 상세 로그를 계속 켜두는 것. 하룻밤 디버깅에는 유용하지만, 그 이후로는 매일이 리스크입니다.
• 차단된 주소를 재사용하는 것. 한 번 목록에 오르면 그 주소는 거의 되살아나지 않습니다. 기다리기보다는 재배포하십시오.
• 프로토콜을 하나만 운영하는 것. 여러분이 벗어나려는 그 차단 뒤에서만 고칠 수 있는, 단일 장애 지점입니다.
• 서버는 교체하면서 자격 증명은 그대로 두는 것. 배포마다 같은 키, 포트, 식별자를 그대로 가져가면 방금 없앤 상관관계를 다시 만들어내는 것입니다.

자체 프록시 운영은 합법인가, 그리고 저희가 기록하는 것

저희 쪽 답은 명확합니다. 서버를 대여해 그 위에서 프록시를 운영하는 것은 저희가 사업을 운영하는 일곱 개 관할지 전부에서 합법입니다. 우회 소프트웨어는 언론인과 연구자들이 매일 사용하는 평범한 소프트웨어입니다. 저희는 트래픽, 연결, DNS를 기록하지 않고, 페이로드를 검사하지 않으며, 프로토콜을 스로틀링하지도 않습니다. 이 VPS는 완전한 root 권한을 가진 순수 Linux 서버입니다. 그 위에서 무엇이 실행되고 어디로 접속하는지는 여러분에게는 보이지만 저희에게는 보이지 않습니다.

저희가 답할 수 없는 부분이 여러분에게 가장 중요한 부분입니다. 심층 패킷 검사를 도입한 여러 국가는 사용자 측의 우회 행위도 규제하고 있으며, 접속하는 사람이 얼마나 노출되는지는 어떤 호스팅 제공업체도 조언할 자격이 없는 현지 법률의 문제입니다. 저희는 서버에서 일어나는 일은 말씀드릴 수 있지만, 여러분이 있는 곳에서 일어나는 일은 말씀드릴 수 없습니다.

이 구조가 여러분에게 주지 않는 것도 똑같이 분명히 해둘 가치가 있습니다. 개인 프록시는 검열을 무력화하지만, 연결의 양쪽 끝을 모두 감시할 수 있는 상대에게 여러분을 익명으로 만들어주지는 않습니다. 엔드포인트를 드나드는 트래픽은 타이밍만으로도 상관관계를 지을 수 있고, 서버의 주소는 여러분의 네트워크에 알려져 있습니다. 여러분의 위협 모델이 일반적으로 차단하는 필터가 아니라 여러분을 특정해 조사하는 국가라면, 필요한 것은 단일 홉 프록시가 아니라 다중 홉 설계를 가진 Tor입니다. 도구를 실제 위협에 맞추는 것, 그것이 프라이버시와 프라이버시처럼 보이는 것의 차이입니다.