macOS VPN 설정은 클라이언트를 내려받아 연결 버튼을 누르는 것만으로 끝나지 않습니다. 설치 출처를 확인하고, 구독 링크를 이해하며, 네트워크 확장 권한을 허용하고, 프록시 또는 가상 네트워크 인터페이스 모드를 선택한 뒤, 외부 IP 주소와 DNS가 예상대로 변경되었는지 확인해야 합니다. 어느 한 단계라도 빠지면 노드는 선택되지만 웹페이지가 열리지 않거나, 일부 앱만 회선을 사용하지 않거나, 연결 후 곧바로 기존 네트워크로 돌아가는 문제가 나타날 수 있습니다.
이 글은 처음 설정하는 사용자와 클라이언트를 변경한 뒤 설정을 다시 정리해야 하는 사용자를 위한 안내입니다. 특정 화면을 추천하기보다 여러 macOS 클라이언트에서 공통으로 적용되는 설정 원리를 설명합니다. 클라이언트가 서비스 제공업체가 안내한 프로토콜과 구독 형식을 지원한다면 같은 흐름으로 설치, 가져오기, 연결 및 문제 해결을 진행할 수 있습니다.
설치 전에 클라이언트와 설정 유형부터 확인하기
macOS에서 자주 사용하는 국제 회선 클라이언트는 대체로 두 종류로 나뉩니다. 하나는 시스템 프록시를 주로 제어하여 프록시 설정을 따르는 앱의 트래픽을 로컬 프록시 포트로 전달합니다. 다른 하나는 시스템 네트워크 확장을 통해 가상 네트워크 인터페이스를 만들어 더 많은 앱의 트래픽을 클라이언트로 보냅니다. 일부 클라이언트는 두 모드를 모두 제공하며, 시스템 프록시, 강화 모드, 가상 네트워크 인터페이스 모드 또는 전체 트래픽 제어와 같은 이름을 사용하기도 합니다.
설치 전에 서비스가 독립형 설정을 제공하는지, 구독 링크를 제공하는지 확인해야 합니다. 독립형 설정에는 보통 특정 회선 하나의 서버 주소, 포트, 프로토콜, 인증 정보 및 전송 매개변수가 포함됩니다. 구독 링크는 여러 회선과 업데이트 정보를 가져오는 데 사용되므로 회선이 변경되는 서비스에 더 적합합니다. 구독 링크에는 일반적으로 접속 자격 증명이 포함되므로 비밀번호처럼 보관하고 공개 페이지, 스크린샷 또는 공유 문서에 올리지 마세요.
프로토콜 이름과 클라이언트 지원 범위
구독에는 Shadowsocks, VMess, Trojan, VLESS, Hysteria2 또는 TUIC가 포함될 수 있습니다. 이 이름들은 임의로 바꿔 쓸 수 있는 태그가 아니며, 올바르게 해석하고 연결하려면 클라이언트가 해당 프로토콜과 전송 방식을 구현해야 합니다.
| 프로토콜 | 설정 확인 항목 | 가져오기 전 확인 |
|---|---|---|
| Shadowsocks | 암호화 방식, 비밀번호, 서버와 포트가 서로 일치해야 합니다 | 클라이언트가 구독에서 지정한 암호화 방식을 지원하는지 확인하세요 |
| VMess | 인증 식별자, 전송 계층, 보안 설정과 경로가 함께 연결을 결정합니다 | 서버 주소만 복사하고 전송 매개변수를 빠뜨리지 마세요 |
| Trojan | 일반적으로 TLS와 함께 사용되며, 도메인 검증과 서버 이름이 일치해야 합니다 | 시스템 시간과 인증서 검증 상태가 정상인지 확인하세요 |
| VLESS | 전송 방식, 흐름 제어와 보안 매개변수는 서버 설정에 따라 달라집니다 | 해당 매개변수를 명확히 지원하는 클라이언트를 사용하세요 |
| Hysteria2 | QUIC와 UDP를 기반으로 하므로 네트워크의 UDP 처리 방식이 성능에 영향을 줍니다 | 제한된 네트워크에서는 비교를 위해 다른 프로토콜도 준비하세요 |
| TUIC | 마찬가지로 QUIC와 UDP에 의존하며, 매개변수는 서버와 일치해야 합니다 | 클라이언트 버전이 구독 내용을 해석할 수 있는지 확인하세요 |
프로토콜 이름만으로 속도나 안정성을 판단할 수는 없습니다. 로컬 접속 품질, 통신사 라우팅, 진입 지점, 회선 혼잡도와 대상 웹사이트의 위치에 따라 결과가 달라집니다. IEPL 전용 회선, 중계 회선과 직결 회선은 클라이언트 프로토콜이 아니라 네트워크 경로를 설명하는 용어입니다. IEPL 전용 회선은 보통 특정 구간을 전용 전송 경로에 배치하고, 중계 회선은 가까운 진입 지점에 먼저 연결한 뒤 중계 네트워크를 통해 출구로 전달하며, 직결 회선은 로컬 네트워크에서 원격 서버로 직접 연결합니다. 세 방식 모두 같은 클라이언트 프로토콜을 사용할 수 있습니다.
클라이언트 설치 및 필요한 권한 허용
서비스 관리 화면에서 macOS용 설치 파일을 받은 뒤 프로세서 아키텍처와 시스템 호환 범위를 먼저 확인하세요. 설치 패키지는 디스크 이미지일 수도 있고 앱 압축 파일일 수도 있습니다. 전자는 보통 이미지를 연 뒤 앱을 ‘응용 프로그램’으로 드래그하고, 후자는 압축을 푼 앱을 역시 ‘응용 프로그램’에 넣어야 합니다. 다운로드 폴더에서 장기간 직접 실행하지 마세요.
처음 실행하면 macOS에서 앱 출처, 네트워크 콘텐츠 필터, VPN 구성 또는 네트워크 확장에 관한 메시지가 표시될 수 있습니다. 구체적인 안내는 클라이언트의 연결 방식에 따라 달라집니다. 시스템 프록시 모드는 주로 macOS의 프록시 설정을 변경하고, 가상 네트워크 인터페이스 모드는 일반적으로 시스템 수준의 VPN 구성을 만들거나 네트워크 확장을 활성화해야 합니다. 권한 창이 나타나면 표시된 앱 이름이 방금 설치한 클라이언트와 일치하는지 확인한 뒤 시스템 안내에 따라 승인하세요.
- 클라이언트를 ‘응용 프로그램’에 넣은 뒤 실행하여 업데이트나 권한 경로가 달라지는 것을 피하세요.
- 클라이언트의 연결 기능에 직접 필요한 VPN 구성 또는 네트워크 확장 추가를 허용하세요.
- 시스템에서 로컬 관리자 자격 증명을 요구하면 현재 클라이언트가 실제로 요청한 작업인지 먼저 확인하세요.
- 연결에 실패했다는 이유만으로 네트워크와 무관한 권한까지 확대하지 마세요.
- 권한이 거부된 뒤에는 ‘시스템 설정’의 개인정보 보호, 보안 또는 네트워크 관련 페이지에서 다시 확인하세요.
시스템이 실행을 차단하더라도 삭제와 재설치를 반복하지 마세요. 먼저 ‘시스템 설정’을 열어 보안 안내에 명확한 실행 옵션이 있는지 확인하세요. 기업 관리 기기에서는 관리 정책이 네트워크 확장 설치를 제한할 수도 있습니다. 이런 제한은 일반 클라이언트 설정으로 해결할 수 없으며 기기 관리자가 정책을 조정해야 합니다.
구독 링크 가져오기 및 첫 업데이트 완료
구독 가져오기 메뉴는 보통 ‘구성’, ‘구독’, ‘구성 파일’ 또는 ‘원격 리소스’ 등에 있습니다. 서비스 관리 화면에서 생성한 구독 링크를 복사한 뒤 클라이언트에서 클립보드에서 가져오기를 선택하거나 원격 구독을 새로 만드세요. 붙여넣은 뒤 식별하기 쉬운 이름은 입력할 수 있지만 링크의 매개변수, 대소문자 또는 인코딩 문자는 수정하지 마세요.
https://example.invalid/sub?token=sample-access-key위 주소는 형식 예시일 뿐 연결에 사용할 수 없습니다. 실제 구독 링크는 해당 서비스 관리 화면에서 받아야 합니다. 가져온 뒤 한 번 업데이트해야 클라이언트가 회선 목록을 불러옵니다. 업데이트 후에도 비어 있다면 링크가 완전한지 먼저 확인하고, 클라이언트가 해당 구독 형식을 지원하는지도 확인하세요. 브라우저에서 링크가 열린다고 해서 클라이언트가 내용을 반드시 해석할 수 있는 것은 아닙니다. 반대로 브라우저에서 일반 웹페이지로 표시되지 않는다고 해서 구독이 반드시 만료된 것도 아닙니다.
구독을 가져온 뒤 확인할 항목
- 회선 이름이 깨진 문자나 빈칸, 원본 링크만 표시되는 상태가 아니라 정상적으로 보이는지 확인하세요.
- 프로토콜이 현재 클라이언트가 명확히 지원하는 범위에 속하는지 확인하세요.
- 중복 구독이 있는지 확인하여 비슷한 이름의 회선이 여러 출처에서 생성되지 않도록 하세요.
- 자동 업데이트가 적절한 상태로 설정되어 오래된 설정을 계속 사용하지 않도록 하세요.
- 구독 업데이트에 실패했을 때 기존 회선이 남아 있는지 확인하여 실수로 삭제한 뒤 문제를 확인할 근거를 잃지 않도록 하세요.
클라이언트마다 구독을 저장하는 위치가 다릅니다. 어떤 클라이언트는 앱 컨테이너 안에 구독과 회선 데이터베이스를 저장하고, 어떤 클라이언트는 로컬 설정 내보내기를 지원합니다. 클라이언트를 바꿀 때 기존 앱의 데이터 디렉터리를 그대로 복사하는 것은 권장하지 않습니다. 내부 필드와 규칙 문법이 다를 수 있기 때문입니다. 더 안정적인 방법은 서비스 관리 화면에서 구독을 다시 받은 뒤 새 클라이언트가 해석하도록 하는 것입니다.
구독 링크가 실수로 공개 콘텐츠에 포함되었다면 공개된 문구만 삭제하지 말고 서비스 관리 화면에서 링크를 새로 생성하거나 재설정하세요. 이미 복사된 기존 링크는 원래 페이지를 삭제해도 자동으로 무효화되지 않습니다. 재설정이 끝나면 클라이언트에서 기존 구독을 삭제하고 새 링크를 가져와야 합니다.
시스템 프록시, 가상 네트워크 인터페이스와 분할 라우팅 모드 선택
구독 가져오기를 마쳤다면 먼저 접속 대상 지역에 맞는 회선을 선택한 뒤 트래픽을 클라이언트로 보낼 방식을 결정하세요. 시스템 프록시는 macOS 프록시 설정을 따르는 브라우저와 앱에 적합하고 설정이 간단하며 프록시 스위치가 복구되었는지 확인하기도 쉽습니다. 다만 일부 명령줄 도구, 독립 네트워크 구성 요소와 특정 앱은 시스템 프록시를 무시할 수 있습니다.
가상 네트워크 인터페이스 모드는 네트워크 확장을 통해 더 넓은 범위의 트래픽을 제어하므로 시스템 프록시를 읽지 않는 앱에서도 회선을 사용해야 할 때 적합합니다. 대신 다른 VPN, 필터, 보안 소프트웨어 또는 기업 네트워크 확장과 충돌하기 쉽습니다. 활성화하기 전에 같은 종류의 도구를 종료하고, 클라이언트가 제공하는 DNS와 라우팅 옵션이 기존 네트워크 설정과 중복되지 않는지 확인하세요.
클라이언트에서 ‘전체’는 일반적으로 제어 가능한 대부분의 트래픽을 현재 회선으로 전달한다는 뜻입니다. ‘규칙’ 또는 ‘분할 라우팅’은 도메인, 주소, 프로세스나 규칙 집합에 따라 직접 연결과 프록시를 결정합니다. ‘직접 연결’은 보통 전달을 일시적으로 중지하는 데 사용되지만, 시스템 프록시까지 복구되는지는 클라이언트 상태를 확인해야 합니다. 처음 설정할 때는 먼저 규칙 모드로 자주 사용하는 접속을 확인하고, 전체 모드로 문제를 비교하세요. 규칙 문제를 가리기 위해 전체 모드에 장기간 의존하지 않는 것이 좋습니다.
| 모드 | 적용 상황 | 자주 발생하는 문제 |
|---|---|---|
| 시스템 프록시 | 브라우저와 시스템 설정을 따르는 데스크톱 앱 | 일부 앱이 프록시를 우회하며, 비정상 종료 시 프록시 설정이 남을 수 있음 |
| 가상 네트워크 인터페이스 | 더 많은 앱과 프로토콜 트래픽을 포함해야 하는 경우 | 다른 네트워크 확장, 필터 또는 라우팅 설정과 충돌할 수 있음 |
| 규칙 기반 분할 라우팅 | 로컬 접속은 직접 연결하고 특정 대상에만 회선을 사용하는 경우 | 규칙 만료, 잘못된 매칭 순서 또는 일치하지 않는 도메인 해석 경로 |
| 전체 트래픽 전달 | 분할 라우팅 규칙이 원인인지 빠르게 확인할 때 사용 | 로컬 서비스도 원격 회선을 거치면서 접속 경로가 불필요하게 길어질 수 있음 |
분할 라우팅 규칙의 핵심은 매칭 순서입니다. 더 구체적인 규칙은 이를 포함할 수 있는 포괄적인 규칙보다 먼저 처리해야 합니다. 도메인 규칙은 DNS 해석 방식의 영향도 받습니다. 클라이언트가 도메인 기준으로 분할 라우팅하더라도 앱이 먼저 도메인을 주소로 해석하면 최종적으로 다른 주소 규칙에 들어갈 수 있습니다. 문제를 확인할 때는 규칙 파일에 특정 도메인이 적혀 있는지만 보지 말고 연결 로그의 대상, 적용된 규칙과 실제 출구를 함께 확인하세요.
연결 후 출구, DNS와 앱 트래픽 확인
클라이언트에 ‘연결됨’이 표시되는 것은 로컬 구성 요소와 원격 회선 사이에 어떤 형태의 연결이 완료되었다는 뜻일 뿐, 모든 앱이 예상한 출구를 사용한다는 의미는 아닙니다. 확인할 때는 먼저 진행 중인 대용량 파일 전송을 중지한 뒤 새 브라우저 창을 열고 신뢰할 수 있는 네트워크 정보 확인 페이지에 접속하여 출구 지역이 선택한 회선과 일치하는지 확인하세요.
이어서 DNS를 확인하세요. DNS 누출은 일반적으로 도메인 조회가 예상한 해석 경로를 따르지 않고 로컬 네트워크의 해석기가 처리하는 현상을 뜻합니다. 웹페이지가 열리지 않는 문제를 반드시 일으키지는 않지만, 분할 라우팅 판단과 지역 인식에 차이를 만들 수 있습니다. 클라이언트에서 원격 DNS, 암호화 DNS 또는 가상 네트워크 인터페이스를 통한 DNS 제어를 제공한다면 해당 옵션이 시스템의 기존 DNS 설정과 서로 덮어쓰지 않는지 확인하세요.
- 연결 전후의 출구 지역을 각각 기록하여 변경이 현재 클라이언트에서 발생했는지 확인하세요.
- 새 브라우저 세션을 열어 기존 연결, 캐시와 사이트 상태의 영향을 줄이세요.
- DNS 조회 결과가 선택한 모드와 클라이언트 안내에 부합하는지 확인하세요.
- 브라우저, 터미널 도구와 대상 앱을 각각 테스트하여 문제가 특정 종류의 프로그램에서만 발생하는지 판단하세요.
- 회선을 바꾼 뒤에는 새로 접속을 설정하고 기존 세션으로 새 회선의 상태를 판단하지 마세요.
브라우저는 정상인데 터미널 도구가 연결되지 않는다면 해당 도구가 시스템 프록시 환경을 읽는지 확인하거나 가상 네트워크 인터페이스 모드로 전환해야 할 가능성이 큽니다. 모든 앱에서 접속할 수 없다면 네트워크 확장 상태, 원격 회선, 시스템 시간과 로컬 네트워크 제한을 먼저 확인하세요. 특정 웹사이트만 이상하다면 문제는 macOS 권한 자체가 아니라 대상 사이트의 지역 판정, 계정 지역, 캐시 또는 회선 출구에서 비롯되었을 수 있습니다.
연결 테스트에는 잠자기 후 깨우기, 네트워크 전환과 클라이언트 종료도 포함해야 합니다. macOS가 잠자기에서 깨어난 뒤 기존 네트워크 인터페이스가 바뀌었는데도 클라이언트가 이전 상태를 표시할 수 있습니다. 이때는 웹페이지를 반복해서 새로 고치는 것보다 연결을 끊었다가 다시 연결하는 편이 진단에 더 유용한 경우가 많습니다. 클라이언트에 연결 보호 또는 연결 중단 처리가 있다면 동작 방식을 이해해야 합니다. 보호 기능이 켜져 있으면 회선이 끊긴 뒤 로컬 네트워크도 잠시 사용할 수 없는데, 이는 예상된 제한이므로 곧바로 시스템 오류로 판단하지 마세요.
자주 발생하는 권한 및 네트워크 문제 해결
클라이언트는 연결되었다고 표시되지만 모든 웹페이지가 열리지 않음
먼저 클라이언트를 종료한 뒤 macOS 네트워크 설정에서 프록시가 여전히 선택되어 있는지 확인하세요. 클라이언트가 비정상 종료되면 시스템 프록시가 복구되지 않을 수 있습니다. 남은 프록시 설정을 지운 다음 클라이언트를 다시 열고 하나의 트래픽 제어 모드만 활성화하세요. 가상 네트워크 인터페이스를 사용한다면 시스템의 VPN 구성과 네트워크 확장이 허용 상태인지 확인하고, 라우팅을 변경하는 다른 도구는 잠시 종료하세요.
구독은 업데이트되지만 모든 회선 연결에 실패함
구독 업데이트와 노드 연결은 서로 다른 경로를 사용할 수 있으므로 업데이트 성공만으로 프로토콜 연결이 정상이라고 볼 수 없습니다. 먼저 시스템 날짜와 시간이 정확한지 확인하세요. TLS 인증서 검증에는 올바른 시간이 필요합니다. 그런 다음 서로 다른 프로토콜과 진입 지점을 선택해 비교하세요. Hysteria2 또는 TUIC가 현재 네트워크에서 작동하지 않지만 TCP 기반 설정은 연결된다면, 로컬 네트워크가 UDP 또는 QUIC를 처리하는 방식을 확인해야 할 수 있습니다.
일부 앱만 회선을 사용하지 않음
시스템 프록시 모드에서는 대개 해당 앱이 시스템 프록시를 읽지 않는 것이 원인입니다. 앱 자체에 프록시 옵션이 있는지 확인하거나 클라이언트가 지원하는 가상 네트워크 인터페이스 모드로 전환할 수 있습니다. 이미 가상 네트워크 인터페이스를 사용 중이라면 분할 라우팅 규칙, 프로세스 규칙과 우회 목록을 확인하세요. 일부 로컬 개발 서비스는 직접 연결을 유지해야 하므로 규칙을 수정하기 전에 원래 설정을 보관하여 루프백 주소나 로컬 네트워크 리소스가 원격으로 잘못 전달되지 않게 하세요.
한 번 승인했는데 재시작 후에도 계속 권한을 요구함
‘응용 프로그램’ 디렉터리에 있는 동일한 클라이언트를 실행 중인지, 다운로드 폴더에 있는 복사본을 실행 중인지 먼저 확인하세요. 앱 경로 변경, 서명 변경 또는 여러 복사본의 존재로 인해 시스템이 서로 다른 인스턴스로 인식할 수 있습니다. 불필요한 복사본을 삭제한 뒤 시스템 설정에서 해당 네트워크 확장을 확인하고, 정식 설치된 클라이언트를 다시 시작하세요.
회선을 바꿔도 지역이 변경되지 않음
먼저 새 브라우저 세션을 만들고 기존 연결을 종료하세요. 필요하다면 대상 사이트의 캐시와 사이트 데이터도 삭제합니다. 그런 다음 클라이언트 로그에서 실제로 새 회선에 연결되었는지, 현재 규칙이 조회 사이트를 직접 연결로 처리하는지 확인하세요. 출구가 이미 바뀌었는데도 웹사이트의 지역이 그대로라면 계정 설정과 사이트 자체의 지역 판정 방식도 고려해야 하며, 하나의 페이지만으로 결론을 내리지 마세요.
구독 관리 및 시스템 네트워크 복구
일상적으로는 클라이언트의 구독 업데이트 기능으로 회선 변경 사항을 가져오고, 반복해서 삭제한 뒤 다시 추가하지 마세요. 업데이트 전 현재 사용할 수 있는 회선 이름을 보관하고, 업데이트 후에도 정상적으로 해석되는지 확인하세요. 서비스 측에서 구독 자격 증명을 변경했다면 기존 링크를 삭제하여 클라이언트가 만료된 주소를 백그라운드에서 계속 요청하지 않도록 하세요.
클라이언트를 더 이상 사용하지 않을 때는 먼저 앱에서 연결을 끊고 시스템 프록시 또는 가상 네트워크 인터페이스를 종료한 뒤 프로그램을 끝내세요. 그다음 macOS 네트워크 설정에서 프록시 항목이 남아 있지 않은지 확인합니다. 클라이언트가 별도의 VPN 구성이나 네트워크 확장을 설치했다면 클라이언트의 제거 안내에 따라 삭제하세요. 앱을 휴지통으로 드래그하는 것만으로는 시스템 네트워크 설정까지 함께 철회되지 않을 수 있습니다.
네트워크를 완전히 복구해야 한다면 관련 네트워크 확장을 먼저 비활성화하고, DNS를 기존의 자동 설정 또는 원래 설정으로 되돌린 다음 현재 네트워크에 다시 연결하세요. 용도를 모르는 상태에서 모든 네트워크 서비스를 일괄 삭제하지 마세요. 기업 접속, 로컬 개발 환경과 기타 정상적인 도구도 이러한 설정에 의존할 수 있습니다.