WIREGUARD VPN
가벼운 VPN으로
안전하게 연결.
SSLH는 WireGuard 패킷 판별을 지원하며, UDP 수신 설정을 사용해 WireGuard 서버로 전달할 수 있습니다.
WIREGUARD VPN
ROUTE PREVIEW
사용자 기기
Client
UDP · 포트 별도 설정
연결 중계
사설 네트워크
SSlh → WireGuard
UDP 지원 SSLH 실행 모델, WireGuard 서버, 클라이언트 피어와 방화벽 규칙이 필요합니다.
PACKET FLOW
DEPLOYMENT & OPERATIONS
05 IMPLEMENTATION STEPS
WireGuard 설치·연동 가이드
WireGuard는 공개키 피어를 이용하는 VPN이며 일반적으로 UDP 전송을 사용합니다. TCP/443을 받는 일반 SSLH 구성만으로는 WireGuard가 통과하지 않으므로 UDP 모델과 포트를 따로 검증해야 합니다.
시작 전 준비사항
- WireGuard 커널 모듈 또는 지원 구현체와 서버 인터페이스
- 기기별 개인키·공개키 피어 관리
- UDP 수신·전달 지원이 확인된 SSLH 모델과 방화벽
설치 및 연결 순서
-
UDP 지원 확인
사용 중인 SSLH 버전, 빌드 옵션, 실행 모델의 공식 문서에서 UDP 수신 및 WireGuard 프로브 지원을 확인합니다. 현재 443/TCP 리스너가 UDP도 자동으로 받는다고 가정하지 말고 별도 포트·소켓을 설계합니다.
-
WireGuard 서버 준비
서버 키 쌍을 생성하고 터널 인터페이스 주소와 내부 라우팅 범위를 정합니다. 개인키는 서버에서만 보호하고, 외부 공개키와 피어별 허용 IP를 관리 가능한 목록에 기록합니다.
-
피어별 프로필 발급
각 기기에 별도 키와 주소를 할당하고 허용 IP를 필요한 목적지로 제한합니다. 사전 공유 키를 추가한다면 안전하게 전달·회전하고 QR 코드나 설정 파일이 노출되지 않도록 관리합니다.
-
UDP 전달·방화벽 설정
SSLH의 UDP 리스너와 WireGuard 백엔드 주소·포트를 명시하고 외부 방화벽, 서버 방화벽, NAT 반환 경로를 함께 맞춥니다. TCP TLS 트래픽과 UDP VPN 트래픽이 동일하게 처리된다는 전제를 두지 않습니다.
-
핸드셰이크·접근 테스트
승인된 기기로 최근 핸드셰이크 시간, 송수신 바이트, DNS와 필요한 내부 서비스 접근만 확인합니다. 피어 폐기 후 새 패킷이 거부되는지 테스트하고 라우팅 우회가 없는지 확인합니다.
운영 전 확인 목록
- UDP 패킷이 외부에서 백엔드까지 왕복하는가
- 피어별 AllowedIPs가 필요한 주소만 포함하는가
- 비밀키 회수 후 핸드셰이크가 더 이상 성립하지 않는가