387. WireGuard (와이어가드)

핵심 인사이트 (3줄 요약)

본질: WireGuard는 라우팅과 경로 제어에서 핵심 동작과 제약을 이해하게 해 주는 개념이다.

가치: WireGuard를 이해하면 수렴 속도과 확장성 사이의 균형을 더 정확히 볼 수 있다.

판단 포인트: 설계 시에는 개념 자체보다 적용 조건, 운영 복잡도, 인접 기술과의 경계를 함께 판단해야 한다.

Ⅰ. 개요 및 필요성

개념: Jason A. Donenfeld가 기존 VPN 기술의 비대함과 느린 속도를 비판하며 개발한 오픈소스 기반의 최신 레이어 3 보안 터널링 프로토콜 (2020년 리눅스 커널 5.6에 공식 병합됨).
필요성: IPsec이나 OpenVPN을 세팅해 본 엔지니어들은 안다. 설정 코드가 100줄이 넘어간다. 게다가 C언어로 코드가 수십만 줄이라 보안 감사를 하다가 버그를 놓쳐 매년 제로데이 해킹이 터진다. 모바일 환경에선 폰을 쓰다가 와이파이에서 LTE로 바뀌면 IPsec VPN은 바로 툭 하고 끊어져서 다시 로그인해야 했다. "야, 복잡한 기능 싹 다 빼! 세팅은 딱 3줄로 끝내고, 모바일에서 망이 바뀌어도 절대 안 끊기고, 코드 길이는 4천 줄로 압축해서 해커가 틈입할 구멍을 없앤 초고속 VPN을 만들자!"
💡 비유:
- IPsec / OpenVPN: 수만 개의 부품과 센서로 이루어진 **"초거대 우주왕복선"**입니다. 뭐 하나 고장 나면 고치기도 힘들고 띄우는 데 시간(협상)도 오래 걸립니다.
- WireGuard: 오직 모터, 배터리, 바퀴 딱 3개의 초경량 부품으로만 만든 **"최고급 전기 자전거"**입니다. 고장 날 부품 자체가 없고, 페달을 밟으면 0.1초 만에 최고 속도로 튀어 나갑니다.

[DMVPN]
    │
    ▼
[WireGuard]
    │
    └──▶ [QoS]

📢 섹션 요약 비유: ** WireGuard는 복잡한 코스 요리 전문점(IPsec)을 밀어내고 등장한 **"단일 메뉴 국밥집"**입니다. 짜장면, 짬뽕(다양한 암호화 알고리즘) 다 버리고 무조건 "국밥 한 그릇(단일 최신 암호화)"만 팔기 때문에, 주방장(라우터)이 요리(패킷 처리)하는 속도가 타의 추종을 불허합니다.

Ⅱ. 아키텍처 및 핵심 원리

1. 군더더기 없는 암호화 체계 (No Agility)

IPsec은 통신 전에 IKE 협상을 한다. "우리 암호화 뭐 쓸래? AES? 3DES?" (이러다 맨날 에러 난다). WireGuard는 협상이라는 개념 자체가 아예 없다. (Crypto Agility의 배제).

무조건 자기가 박아놓은 "ChaCha20 for 암호화, Poly1305 for 인증" 최신 조합 딱 하나만 쓴다.
선택권이 없으니 설정이 꼬일 일이 0%이고, 이 알고리즘들은 ARM 칩셋(스마트폰)이나 저사양 공유기에서도 미치도록 가볍게 돌아가는 현존 최고 스피드의 알고리즘이다.

2. 크립토키 라우팅 (Cryptokey Routing)

이것이 WireGuard 라우팅의 핵심 사상이다. "공개키(Public Key)" 자체가 곧 그 사람의 "신분증"이자 "IP 라우팅 룰"이 된다.

내 WireGuard 인터페이스(wg0) 설정 파일에 적어둔다. Peer(상대방): [상대방의 공개키 = abcde...], [허용된 IP = 10.1.1.2/32]
들어올 때 (Inbound): 어떤 놈이 나한테 패킷을 쐈는데, 암호 덩어리를 뜯어보니(복호화) 그 열쇠가 아까 적어둔 공개키 abcde...와 완벽히 맞아떨어졌고 그 안의 알맹이 출발지 IP가 10.1.1.2다? "암호가 풀렸네? 넌 100% 믿을 수 있는 놈이야! 통과!" (별도의 라우팅이나 방화벽 검사 싹 다 생략).
나갈 때 (Outbound): 목적지가 10.1.1.2인 패킷을 쏴야 한다면? "아까 그 공개키(abcde...)로 묻지도 따지지도 않고 바로 암호화해서 던진다!"

 ┌─────────────────────────────────────────────────────────────┐
 │                WireGuard의 로밍(Roaming) 불사신 능력             │
 ├─────────────────────────────────────────────────────────────┤
 │                                                             │
 │   [ 스마트폰 (재택근무) ]                                        │
 │   1) 카페 와이파이 연결 중 (출발지 IP: 1.1.1.1)                    │
 │      -> VPN 서버와 UDP로 짱짱하게 암호화 통신 중.                 │
 │                                                             │
 │   2) 카페를 나서서 5G(LTE)로 전환됨! (출발지 IP: 2.2.2.2로 바뀜!)     │
 │                                                             │
 │   * IPsec의 반응: "어? IP가 바뀌었네? 보안 위협이다! 연결 끊어!!" (접속 튕김)│
 │                                                             │
 │   * WireGuard의 뇌구조:                                       │
 │     "IP가 2.2.2.2로 바뀌어서 날아왔네? 상관없어, 암호화 풀어보자...    │
 │      오! 암호가 원래 쓰던 그놈 열쇠(Public Key)로 완벽하게 풀리네?     │
 │      그럼 얜 IP만 바뀐 거고 아까 그놈 맞네! 연결 계속 유지해!!"         │
 │                                                             │
 │   ▶ 결과: 모바일 환경에서 와이파이와 셀룰러를 넘나들어도 VPN이 절대 끊기지 않음.│
 └─────────────────────────────────────────────────────────────┘

3. 리눅스 커널 스페이스 동작 (무자비한 속도)

OpenVPN은 유저 스페이스(User Space)라는 일반 프로그램 영역에서 돌아가서, 패킷이 올 때마다 커널과 유저 영역을 왔다 갔다 하며 속도를 다 갉아먹는다(Context Switching). WireGuard는 아예 4천 줄짜리 코드를 리눅스 커널(Kernel) 심장부에 직접 이식해 버렸다. 랜카드로 패킷이 들어오자마자 커널 바닥에서 빛의 속도로 암호화를 풀고 바로 튕겨내 버리므로 기가비트 트래픽도 씹어 먹는 퍼포먼스가 나온다.

📢 섹션 요약 비유: ** WireGuard의 로밍 능력은 **"얼굴 인식 아파트 출입구"**와 같습니다. 내가 무슨 옷(IP 주소)을 입고 있든, 우산을 쓰고 있든 간에, 내 얼굴(Public Key 암호화)만 카메라에 정확히 인식되면 경비원(라우터)은 묻지도 따지지도 않고 문을 열어줍니다. 옷을 갈아입었다고 다시 주민등록등본(IPsec IKE 협상)을 떼오라고 닦달하지 않습니다.

Ⅲ. 비교 및 연결

WireGuard를 볼 때는 앞뒤 개념과의 경계를 함께 봐야 전체 흐름이 선명해진다. DMVPN가 기반 조건을 만든다면, WireGuard는 그 위에서 핵심 메커니즘을 구현하고, QoS는 이를 더 확장된 적용 단계로 연결한다. 따라서 단일 정의보다 수렴 속도과 확장성에 어떤 차이를 만드는지 비교하는 것이 중요하다.

관점	선행 개념	현재 개념	확장 개념
초점	DMVPN의 기반 정리	WireGuard의 핵심 동작	QoS의 확장 적용
자원 관점	기본 조건 확보	수렴 속도 최적화	규모와 범위 확대
판단 포인트	도입 가능성 확인	현재 메커니즘의 적합성 판단	운영·확장 전략 연결

📢 섹션 요약 비유: WireGuard는 비슷한 기술들 사이의 차선을 구분하는 분기점과 같다. 어디서 갈라지는지 알아야 헷갈리지 않는다.

Ⅳ. 실무 적용 및 기술사 판단

실무에서는 WireGuard를 단독 개념으로 외우기보다 어떤 병목을 줄이기 위한 선택인지 먼저 따져야 한다. 특히 DMVPN 수준의 기본 대책으로 충분한지, 아니면 WireGuard가 제공하는 메커니즘이 실제로 필요한지 구분해야 한다. 이후 확장 단계에서는 QoS와 같은 후속 기술, 자동화 체계, 표준 호환성까지 함께 검토해야 한다.

실무 체크리스트

현재 문제의 핵심이 수렴 속도 부족인지, 확장성 악화인지 먼저 분리한다.
WireGuard가 추가하는 복잡도와 운영 이득이 균형을 이루는지 확인한다.
도입 후에는 인접 기술인 QoS와의 연계 방식을 함께 검증한다.

안티패턴

WireGuard의 장점만 보고 트래픽 패턴이나 운영 비용을 무시한 채 과도 도입하는 설계
DMVPN와의 경계를 정리하지 않아 중복 투자나 정책 충돌을 만드는 설계
📢 섹션 요약 비유: WireGuard를 실제로 쓰는 판단은 도구 상자를 고르는 일과 비슷하다. 좋아 보이는 도구보다 지금 문제에 맞는 도구가 중요하다.

Ⅴ. 기대효과 및 결론

WireGuard는 라우팅과 경로 제어를 이해할 때 핵심 축을 잡아 주는 개념이다. 올바르게 적용하면 수렴 속도 개선과 구조적 단순화에 기여하지만, 조건을 잘못 잡으면 오히려 복잡도와 운영 부담이 커질 수 있다. 앞으로는 QoS, 의도 기반 라우팅, 자동화 운영과의 결합을 통해 더 정교하게 발전할 가능성이 크다. 따라서 이 개념은 정의 자체보다 “언제 쓰고 언제 다른 방법으로 넘길 것인가”의 관점으로 기억하는 것이 좋다. 향후에는 의도 기반 라우팅 같은 자동화 흐름과 결합되어 더 정교한 형태로 확장될 가능성이 크다.

📢 섹션 요약 비유: WireGuard는 큰 흐름 속에서 기억해야 오래 남는다. 지금의 장점과 다음 확장 방향을 같이 보면 전체 그림이 선명해진다.

📌 관련 개념 맵

개념	연결 포인트
DMVPN	현재 개념이 등장하기 전에 갖춰야 할 배경이나 인접 선행 개념이다.
라우팅 테이블 (Routing Table)	패킷 전달 의사결정의 기준이 된다.
메트릭 (Metric)	최적 경로를 선택하는 비교 척도다.
QoS	현재 개념이 확장되거나 적용 단계로 이어질 때 자주 함께 언급된다.

📈 관련 키워드 및 발전 흐름도

[선행 개념: DMVPN]
    │
    ▼
[현재 개념: WireGuard]
    │
    ├──▶ [확장 A: QoS]
    └──▶ [확장 B: 의도 기반 라우팅]

WireGuard는 DMVPN에서 출발해 현재 메커니즘을 정교화하고, 이후 QoS와 의도 기반 라우팅 같은 확장 흐름으로 이어진다고 보면 기억이 오래간다.

👶 어린이를 위한 3줄 비유 설명

여러 갈림길이 있는 미로에서 가장 좋은 길을 고르는 게임과 같아요.
이 개념은 길이 막히면 다른 길로 빨리 바꾸는 규칙도 알려줘요.
그래서 인터넷 길찾기가 덜 헤매고 더 똑똑해져요.