이 VPN 초보자 보안 가이드의 핵심부터 살펴보겠습니다. 계정마다 다른 비밀번호를 사용하고, 구독 링크는 로그인 정보처럼 안전하게 보관하세요. 공용 Wi-Fi에서도 웹 주소와 인증서를 확인해야 합니다. 연결에 성공했다는 것은 네트워크 경로가 설정되었다는 뜻일 뿐, 기기와 웹사이트, 결제 페이지가 모두 안전하다는 의미는 아닙니다. 먼저 보호 범위를 이해한 뒤 설정을 점검하는 편이 클라이언트의 연결 아이콘만 확인하는 것보다 중요합니다.
암호화 연결의 보호 범위
일반적인 프록시 클라이언트는 규칙에 따라 지정된 트래픽만 처리하며, 기기 전체의 트래픽을 자동으로 보호하지는 않습니다. HTTP 또는 SOCKS 시스템 프록시는 앱이 해당 설정을 따르도록 구성해야 하는 경우가 많습니다. TUN 모드는 가상 네트워크 인터페이스로 트래픽을 처리하지만, 실제 적용 범위는 라우팅, 앱 제외 설정, DNS 설정에 따라 달라집니다. 모드 이름만으로 개인정보 보호 여부를 판단할 수는 없습니다.
연결 암호화는 주로 기기와 서비스 서버 사이의 전송 구간을 보호합니다. HTTPS 웹사이트를 방문하면 브라우저와 웹사이트 사이에는 별도의 TLS 보호가 적용됩니다. 일반 HTTP 페이지라면 트래픽이 프록시 서버를 벗어난 뒤 후속 네트워크에 노출될 수 있습니다. 전 구간에서 HTTPS를 사용하더라도 악성 웹페이지는 사용자가 직접 입력한 비밀번호를 수집할 수 있으며, 암호화만으로 결제 상대가 진짜인지 확인할 수는 없습니다.
Shadowsocks, VMess, Trojan, VLESS, Hysteria2, TUIC은 인증·암호화·전송 방식이 서로 다릅니다. VLESS 자체는 콘텐츠 암호화를 제공하지 않으므로 구체적인 전송 보안 설정을 함께 확인해야 합니다. 프로토콜 이름만 보고 연결이 안전하다고 단정해서는 안 됩니다. IEPL 전용 회선, 중계, 직결은 회선 구성 방식을 나타낼 뿐, 웹사이트의 신원 인증이나 개인정보 보호 감사를 뜻하지 않습니다.
판단 기준: ‘트래픽이 어떤 경로를 거치는지’, ‘전송이 보호되는지’, ‘접속하려는 웹사이트를 신뢰할 수 있는지’를 각각 확인하세요. 클라이언트에 연결됨으로 표시되어도 나머지 두 가지를 확인한 것은 아닙니다.
계정 비밀번호와 구독 링크는 각각 어떻게 관리해야 할까요?
대시보드 비밀번호는 계정을 관리하는 데 쓰이고, 구독 링크는 회선 설정을 가져오는 데 사용됩니다. 링크에는 계정을 식별하는 토큰이 포함되는 경우가 많아, 링크를 가진 사람이 대시보드 비밀번호를 입력하지 않고도 설정을 가져와 유효한 연결 정보를 사용할 수 있습니다. 따라서 구독 링크는 공개해도 되는 일반 URL이 아니며, 구독 QR 코드도 같은 수준의 민감 정보로 다뤄야 합니다.
| 정보 유형 | 주요 용도 | 관리 시 유의 사항 |
|---|---|---|
| 대시보드 사용자 이름 및 비밀번호 | 계정 로그인, 요금제 및 설정 관리 | 다른 웹사이트에서 사용하지 않는 고유한 비밀번호 사용 |
| 구독 링크 및 QR 코드 | 클라이언트 회선 설정 가져오기 및 업데이트 | 공개 스크린샷, 단체 채팅방, 온라인 변환 사이트에 올리지 않기 |
| 설정 파일 및 개별 노드 | 클라이언트에 연결 매개변수 제공 | 인증 정보가 포함될 수 있으므로 백업하거나 공유하기 전에 내용 확인 |
| 로그 및 오류 스크린샷 | 가져오기, 연결, 규칙 문제 파악 | 토큰, 인증 항목, 계정 및 주문의 민감 정보 가리기 |
비밀번호 관리자는 다른 곳에서 재사용하지 않는 강력한 비밀번호를 보관하는 데 유용합니다. 보호된 메모에 필요한 계정 정보도 기록할 수 있습니다. VPNWhen은 이메일 주소 없이 사용자 이름과 비밀번호만으로 가입할 수 있으므로 로그인 정보를 더욱 안전하게 보관하세요. 이메일로 계정을 복구할 수 있다고 미리 단정하지 말고, 복구 방법은 대시보드와 고객 지원 안내를 확인하세요.
구독 정보를 복사한 뒤에는 클립보드 기록과 기기 간 동기화 기능에 유의하세요. 문제 해결을 위해서라도 구독 링크 전체를 공개 게시판에 붙여넣지 마세요. 클라이언트 화면을 캡처할 때는 주소 표시줄, QR 코드, 노드 편집 창, 로그도 확인해야 합니다. 사용자 이름만 가려도 설정에 포함된 인증 정보가 노출될 수 있습니다.
클라이언트 가져오기 및 업데이트 점검 목록
VPNWhen 대시보드의 다운로드 페이지에서 클라이언트를 받으세요. 검색 광고나 출처가 불분명한 첨부 파일을 통해 설치 파일을 찾지 마세요. iOS를 제외한 환경에서는 로그인 후 클라이언트를 받을 수 있습니다. iOS 이용 조건은 대시보드 안내를 확인하세요. 구독 정보는 로그인 후 가져와야 하며, 출처가 불분명한 공개 구독 정보로 기존 설정을 바꾸지 마세요.
- ✅ 클라이언트가 지원하는 프로토콜과 구독 형식을 확인하세요. 가져오기에 실패하면 먼저 형식과 버전을 점검하고, 모르는 웹사이트에 링크를 올려 ‘수정’하지 마세요.
- ✅ 가져온 항목이 구독 주소인지 로컬 설정인지 확인하세요. 구독 정보는 원본에서 업데이트할 수 있지만, 로컬 파일은 서버 변경 사항이 반영되지 않을 수 있습니다.
- ✅ 업데이트 후 노드 그룹, 분할 터널링 규칙, DNS 설정을 확인하세요. 노드가 표시된다고 해서 기존 규칙까지 교체된 것은 아닙니다.
- ❌ 오류를 없애려고 ‘인증서 확인 건너뛰기’를 바로 켜지 마세요. 출처가 불분명한 안내에 따라 알 수 없는 루트 인증서나 기기 관리 설정을 설치하지 마세요.
Windows와 macOS에서는 시스템 프록시, 가상 인터페이스, 다른 네트워크 도구 사이에 충돌이 없는지 확인하세요. iOS와 Android에서는 현재 활성화된 네트워크 확장 프로그램이나 VPN 설정이 사용하려는 클라이언트에 속하는지 살펴보세요. Linux에서는 데스크톱 프록시 설정과 명령줄 프로그램의 환경 변수가 일치하는지도 확인해야 합니다. 브라우저에서 접속할 수 있어도 터미널, 게임, 백그라운드 동기화 프로그램이 같은 경로를 사용하는 것은 아닙니다.
모든 서비스에 공통으로 적용되는 구독 업데이트 주기는 없습니다. 회선이 바뀌거나 가져오기에 문제가 생겼을 때, 또는 대시보드에서 업데이트를 안내할 때 공식 설명에 따라 진행하세요. 업데이트 버튼을 반복해서 눌러도 로컬 인증서 오류나 잘못된 라우팅 규칙은 해결되지 않습니다. 재설치하기 전에는 오류 정보를 민감한 부분이 보이지 않게 보관해 문제를 파악할 단서를 남겨두세요.
공용 Wi-Fi: 연결 전후에 확인할 보안 사항
공용 Wi-Fi의 위험은 누군가 트래픽을 엿볼 수 있다는 데 그치지 않습니다. 비슷한 이름의 가짜 핫스팟으로 기기를 잘못된 네트워크에 연결하게 만들 수도 있고, 로그인 포털을 사칭할 수도 있습니다. 연결 전에 시설 직원에게 네트워크 이름을 확인하고, 기기가 이름이 비슷한 핫스팟에 자동으로 연결되지 않도록 설정하세요. 사용을 마친 뒤에는 해당 네트워크의 자동 연결을 끄거나 저장된 정보를 삭제하세요.
클라이언트가 연결되기 전에 네트워크 로그인 포털이 나타날 수 있습니다. 포털에서 인증서 설치, 보안 플러그인 다운로드, 인터넷 접속과 무관한 계정 비밀번호 입력을 요구하면 작업을 중단하고 확인하세요. 먼저 네트워크 인증을 마쳐야 한다면 민감한 작업은 미루고, 네트워크 사용이 가능해진 뒤 클라이언트를 연결해 접속 경로를 확인하세요.
브라우저에 인증서 만료, 도메인 불일치, 연결 차단 경고가 표시되면 접속을 계속하려고 무시하지 마세요. HTTPS는 전송을 보호하지만, 사칭 도메인도 유효한 인증서를 보유할 수 있으므로 주소를 함께 확인해야 합니다. 기기 운영체제와 브라우저를 최신 상태로 유지하고, 공용 네트워크에서는 불필요한 파일 공유와 네트워크 검색을 꺼두세요. 결제나 중요한 계정 작업은 신뢰할 수 있는 네트워크에서 하는 편이 안전합니다.
클라이언트 연결이 끊겼을 때 이후 트래픽이 직접 전송되는지는 클라이언트와 시스템 설정에 따라 달라집니다. 직접 연결을 차단해야 한다면 연결 끊김 보호 기능이나 시스템 잠금 기능이 실제로 제공되고 활성화되어 있는지 확인한 뒤, 직접 연결을 끊어 테스트하세요. 기능 이름만으로 동작을 판단해서는 안 됩니다.
DNS 유출 및 분할 터널링 규칙 확인 방법
DNS는 도메인 이름을 네트워크 주소로 변환합니다. 프록시를 거쳐야 하는 도메인 조회가 로컬 네트워크의 DNS 리졸버로 전달되면, 로컬 네트워크에서 해당 조회를 볼 수 있습니다. 이것이 흔히 말하는 DNS 유출입니다. 리졸버가 조회된 도메인을 볼 수 있다는 사실이 HTTPS 페이지 내용을 해독할 수 있다는 뜻은 아닙니다. 두 가지를 구분해야 합니다.
점검에 앞서 어떤 앱과 도메인은 프록시를 사용하고, 어떤 항목은 직접 연결해도 되는지 기준을 정하세요. 그런 다음 클라이언트의 DNS 모드, 도메인 조회 로그, 규칙 적용 기록을 확인하고 신뢰할 수 있는 DNS 검사 페이지를 참고하세요. 검사 페이지에 표시된 리졸버는 해당 테스트 경로만 보여줄 뿐, 모든 앱을 완전히 점검한 결과는 아닙니다. 브라우저의 암호화 DNS 설정도 시스템 설정과 다를 수 있습니다.
분할 터널링 규칙은 도메인, 프로세스, 기본 적용 규칙을 함께 점검해야 합니다. 규칙의 순서에 따라 최종 경로가 달라질 수 있으며, 범위가 지나치게 넓은 직접 연결 규칙은 대상 앱이 프록시를 우회하게 만들 수 있습니다. IPv6 라우팅도 의도한 대로 처리되는지 확인하세요. IPv4 출구만 확인했다고 해서 다른 경로까지 처리된다는 뜻은 아닙니다. 영향을 충분히 이해하지 못한 채 시스템 기능을 끄지 말고, 클라이언트 문서를 참고해 설정한 뒤 다시 점검하세요.
먼저 민감한 내용이 없는 페이지로 브라우저 경로를 확인하고, 실제로 사용할 앱도 따로 점검하세요. 출구 지역이 예상과 일치한다는 것은 해당 요청이 의도한 출구를 사용했다는 뜻일 뿐, DNS 유출이 없다는 증거는 아닙니다. 로그와 검사 결과가 서로 다르면 테스트 조건을 기록하고, 민감한 정보를 가린 뒤 대시보드 문의로 제출하세요.
가입 및 결제 시 함부로 입력하지 말아야 할 정보
사이트 내 링크를 통해 대시보드에 접속한 뒤 브라우저의 도메인과 연결 상태를 확인하세요. 사칭 고객 지원 페이지에 계정 비밀번호를 입력하지 말고, ‘설정 대행’이나 ‘충전 대행’을 이유로 모르는 사람에게 구독 링크를 넘기지 마세요. 결제 전에는 요금제 이름, 금액, 결제 절차가 대시보드와 일치하는지 확인하고, 주문과 관계없는 정보를 요구받으면 먼저 진행을 멈추세요.
VPNWhen은 Alipay, WeChat Pay, USDT를 지원하며, 구체적인 결제 절차는 대시보드의 주문 안내를 따릅니다. 결제 기록과 네트워크 접속 기록은 서로 다른 정보이므로, 특정 결제 수단이 익명성을 보장한다고 여겨서는 안 됩니다. 주문 확인에 필요한 영수증만 보관하고, 문의를 제출할 때는 문제 해결에 필요한 정보만 제공하세요. 결제 계정 비밀번호, 개인 키, 시드 문구는 보내지 마세요.
결제 전에 환불 규정도 확인하세요. VPNWhen의 약관에 따르면 최초 결제 후 14일 이내에 사유를 밝히지 않고 전액 환불을 신청할 수 있습니다. 신청은 대시보드의 고객 지원 메뉴를 통해 진행하세요. 환불 약속을 계정 및 결제 확인 절차를 무시해도 된다는 뜻으로 받아들이지 마세요.
정보 유출이 의심되면 정보 유형에 따라 대응하세요
먼저 노출된 정보가 비밀번호인지, 구독 주소인지, 전체 설정인지 확인하세요. 공개 게시물을 삭제하는 것으로 끝내서는 안 됩니다. 삭제하면 추가 확산을 줄이는 데 도움이 되지만, 다른 사람이 이미 저장한 내용을 회수할 수는 없습니다. 먼저 접근 권한을 무효화한 뒤 증거를 정리하고 기기를 점검한 다음 설정을 복구하세요.
- 비밀번호 유출: 신뢰할 수 있는 기기와 네트워크에서 비밀번호를 변경하세요. 대시보드에 세션 관리 기능이 있다면 의심스러운 세션을 종료하세요. 다른 웹사이트에서 같은 비밀번호를 사용했다면 각 사이트에서도 비밀번호를 바꾸세요.
- 구독 링크 유출: 대시보드에서 재설정 또는 취소 메뉴를 찾으세요. 해당 메뉴가 명확하지 않다면 문의를 제출해 기존 링크와 관련 연결 정보의 효력을 없애는 방법을 확인하세요.
- 설정 또는 노드 인증 정보 유출: 서버 측 인증 정보가 교체되었는지 확인하세요. 구독 주소만 변경해도 다른 사람이 이미 내려받은 노드 설정까지 무효화되는 것은 아닐 수 있습니다.
- 사용 재개: 유효한 구독 정보를 다시 가져오고 이전 설정을 삭제한 뒤, 규칙과 DNS를 재점검하세요. 사용량에 이상이 없는지 살펴보고, 민감한 내용을 가린 시간 및 오류 정보를 고객 지원에 전달하세요.
대시보드 비밀번호를 변경하면 구독 정보도 함께 무효화되는지는 서버 구현에 따라 다르므로 임의로 단정해서는 안 됩니다. 기기에 악성 소프트웨어가 있다고 의심되면 먼저 기기와 브라우저 확장 프로그램을 점검하세요. 그렇지 않으면 새 비밀번호와 새 링크도 다시 노출될 수 있습니다. 평소에는 인증 정보를 공유하지 않고, 신뢰할 수 있는 경로에서만 설정을 가져오며, 네트워크나 규칙을 바꾼 뒤 실제 경로를 확인하는 것이 가장 효과적입니다.