# TUN 장치 (TUN Device)

## 1. 개요
**TUN 장치(TUN Device)**는 운영체제 커널 내에서 구현된 가상 네트워크 인터페이스로, 네트워크 계층 IP 패킷을 사용자 공간(User Space)의 애플리케이션으로 전달하거나 그 반대로 전달하는 소프트웨어 기반의 네트워크 장치입니다.

물리적 네트워크 카드(NIC, Network Interface Card)가 전기적 신호를 통해 실제 케이블로 데이터를 송수신하는 것과 달리, TUN 장치는 하드웨어 없이 커널의 네트워크 스택과 사용자 애플리케이션 사이를 연결하는 '가상 통로' 역할을 합니다. 이를 통해 개발자는 물리적인 하드웨어 변경 없이 소프트웨어만으로 네트워크 프로토콜을 정의하거나 패킷을 조작할 수 있습니다.

## 2. 동작 원리 및 계층
TUN 장치는 OSI 7계층 중 **3계층(네트워크 계층, Network Layer)**에서 동작합니다. 이 장치를 통해 주고받는 데이터의 기본 단위는 **IP 패킷(Packet)**입니다.

커널이 TUN 장치로 패킷을 보내면, 해당 패킷은 물리적 매체로 나가는 대신 TUN 장치와 연결된 파일 디스크립터(File Descriptor)를 통해 사용자 공간의 프로세스로 전달됩니다. 반대로 사용자 애플리케이션이 TUN 장치에 데이터를 쓰면, 커널은 이를 수신된 IP 패킷으로 간주하여 네트워크 스택으로 처리합니다.

### TUN과 TAP 장치의 차이점
가상 네트워크 인터페이스는 크게 TUN과 TAP으로 나뉘며, 가장 큰 차이는 동작하는 계층과 처리하는 데이터 단위에 있습니다.

| 구분 | TUN (Network TUNnel) | TAP (Network TAP) |
| :--- | :--- | :--- |
| **동작 계층** | 3계층 (Network Layer) | 2계층 (Data Link Layer) |
| **처리 단위** | IP 패킷 (Packet) | 이더넷 프레임 (Frame) |
| **데이터 형태** | IP 헤더부터 시작 | MAC 주소 포함 이더넷 헤더 포함 |
| **주요 용도** | VPN, 터널링, 라우팅 시뮬레이션 | 가상 머신(VM) 브리지, L2 스위칭 에뮬레이션 |
| **특징** | 하드웨어 독립적, IP 기반 통신 | 물리 NIC와 유사하게 동작, ARP 처리 필요 |

### TUN/TAP 선택 기준 가이드
- **TUN을 선택해야 하는 경우:**
    - IP 패킷만 처리하면 되는 경우 (예: VPN 서버 구현).
    - 서로 다른 네트워크 간의 라우팅을 구현하고자 할 때.
    - 오버헤드를 줄이기 위해 이더넷 헤더(MAC 주소 등)가 필요 없을 때.
- **TAP을 선택해야 하는 경우:**
    - 가상 머신(VM)이 실제 물리 네트워크의 일원처럼 동작해야 할 때 (L2 브리징).
    - IP 외의 다른 2계층 프로토콜(예: ARP, PPPoE)을 처리해야 할 때.
    - 네트워크 스위치나 브리지의 동작을 시뮬레이션해야 할 때.

## 3. 데이터 흐름 (Data Path)
TUN 장치의 핵심은 **커널 공간(Kernel Space)**과 **사용자 공간(User Space)** 사이의 데이터 교환입니다.

### 패킷 전달 경로
1. **송신 경로 (Kernel $\rightarrow$ User):**
   `[App A]` $\rightarrow$ `[Kernel Network Stack]` $\rightarrow$ `[Routing Table (TUN 장치로 경로 지정)]` $\rightarrow$ `[TUN Device]` $\rightarrow$ `[VPN App (User Space)]` $\rightarrow$ `[Physical NIC]`
2. **수신 경로 (User $\rightarrow$ Kernel):**
   `[Physical NIC]` $\rightarrow$ `[VPN App (User Space)]` $\rightarrow$ `[TUN Device]` $\rightarrow$ `[Kernel Network Stack]` $\rightarrow$ `[App A]`

### 패킷 흐름 시퀀스 다이어그램
```mermaid
sequenceDiagram
    participant App as Application (App A)
    participant Kernel as Kernel Network Stack
    participant TUN as TUN Device
    participant VPN as VPN App (User Space)
    participant NIC as Physical NIC

    Note over App, NIC: [송신 흐름]
    App->>Kernel: IP 패킷 전송
    Kernel->>TUN: 라우팅 결과에 따라 TUN으로 전달
    TUN->>VPN: read() 시스템 콜을 통해 패킷 전달
    VPN->>NIC: 캡슐화/암호화 후 물리 NIC로 전송

    Note over App, NIC: [수신 흐름]
    NIC->>VPN: 암호화된 패킷 수신
    VPN->>VPN: 복호화 및 캡슐화 해제
    VPN->>TUN: write() 시스템 콜을 통해 IP 패킷 주입
    TUN->>Kernel: 수신된 패킷으로 처리
    Kernel->>App: 최종 목적지 애플리케이션으로 전달
```

## 4. `/dev/net/tun` 장치 파일의 상세 동작
리눅스에서 TUN 장치는 `/dev/net/tun`이라는 특수 캐릭터 장치 파일을 통해 제어됩니다. 이 파일은 실제 하드웨어 장치가 아니라, 커널의 TUN/TAP 드라이버에 접근하기 위한 **제어 인터페이스(Control Interface)** 역할을 합니다.

1. **장치 오픈:** 애플리케이션이 `/dev/net/tun` 파일을 `open()` 하면, 커널은 해당 프로세스를 위한 파일 디스크립터(FD)를 생성합니다.
2. **인터페이스 바인딩:** `ioctl()` 시스템 콜과 `TUNSETIFF` 명령을 사용하여, 생성된 FD를 특정 인터페이스 이름(예: `tun0`)과 모드(TUN 또는 TAP)에 연결합니다.
3. **데이터 교환:**
    - **`read(fd, buf, len)`**: 커널 네트워크 스택이 TUN 인터페이스로 보낸 패킷이 큐에 쌓이면, 사용자 공간 애플리케이션이 이를 읽어갑니다.
    - **`write(fd, buf, len)`**: 사용자 공간 애플리케이션이 IP 패킷 데이터를 쓰면, 커널은 이를 TUN 인터페이스를 통해 들어온 패킷으로 인식하여 네트워크 스택의 수신 경로로 태웁니다.

## 5. 주요 활용 사례
TUN 장치는 네트워크 패킷을 소프트웨어적으로 완전히 제어할 수 있다는 점 때문에 다음과 같은 분야에서 필수적으로 사용됩니다.

- **VPN (Virtual Private Network):** OpenVPN과 같은 솔루션은 TUN 장치를 사용하여 가상 IP를 할당하고, 캡슐화(Encapsulation) 및 암호화를 거쳐 원격지로 패킷을 전송합니다.
- **터널링 프로토콜:** GRE, SIT 등 서로 다른 네트워크 프로토콜을 감싸서 전송하는 터널링 구현 시 사용됩니다.
- **가상 네트워크 시뮬레이터:** 실제 하드웨어 없이 복잡한 네트워크 토폴로지를 구성하여 라우팅 알고리즘을 테스트하는 환경에서 활용됩니다.
- **사용자 공간 TCP/IP 스택:** 커널의 네트워크 스택을 사용하지 않고, 사용자 공간에서 직접 TCP/IP 프로토콜을 구현하여 처리하고자 할 때 사용합니다.

## 6. 구현 및 설정 예시

### 리눅스 환경 장치 생성
리눅스에서는 `ip tuntap` 명령어를 통해 간단히 가상 인터페이스를 생성하고 활성화할 수 있습니다.

```bash
# tun0라는 이름의 TUN 장치 생성
sudo ip tuntap add mode tun dev tun0

# 인터페이스에 IP 주소 할당
sudo ip addr add 10.0.0.1/24 dev tun0

# 인터페이스 활성화
sudo ip link set dev tun0 up
```

### Python을 이용한 TUN 장치 제어 및 패킷 수신 전체 코드
**주의:** 아래 코드의 `TUNSETIFF` 등 상수는 리눅스 x86_64 환경 기준이며, 아키텍처나 커널 버전에 따라 다를 수 있습니다.

```python
import os
import fcntl
import struct
import select

# TUN 장치 설정을 위한 상수 (Linux x86_64 기준)
TUNSETIFF = 0x400454ca
IFF_TUN = 0x0001
IFF_NO_PI = 0x1000 # 패킷 정보(Packet Information) 헤더 제외

def run_tun_device():
    # 1. TUN 장치 파일 오픈
    try:
        tun = os.open('/dev/net/tun', os.O_RDWR)
    except PermissionError:
        print("오류: 루트 권한이 필요합니다. sudo를 사용하여 실행하세요.")
        return

    # 2. 인터페이스 이름 및 모드 설정 (tun0)
    # ifr 구조체: 16바이트 이름 + 2바이트 플래그
    ifr = struct.pack('16sH', b'tun0', IFF_TUN | IFF_NO_PI)
    fcntl.ioctl(tun, TUNSETIFF, ifr)

    print("TUN 장치(tun0) 연결 성공. 패킷 수신 대기 중...")
    print("테스트 방법: 'ping 10.0.0.1' 명령어를 실행해 보세요.")

    try:
        while True:
            # select를 사용하여 데이터 읽기 가능 상태 확인
            ready = select.select([tun], [], [], 1.0)
            if ready[0]:
                # 3. 커널로부터 패킷 읽기 (Kernel -> User)
                packet = os.read(tun, 2048)
                print(f"수신된 패킷 크기: {len(packet)} bytes")
                
                # [예시] 수신된 패킷을 다시 커널로 돌려보내기 (Echo/Loopback)
                # 실제 VPN에서는 여기서 복호화 후 다른 경로로 전송합니다.
                # os.write(tun, packet) 
    except KeyboardInterrupt:
        print("\n종료합니다.")
    finally:
        os.close(tun)

if __name__ == "__main__":
    run_tun_device()
```

## 7. 주요 OS별 구현 차이
TUN/TAP의 개념은 유사하나, 운영체제별로 구현 방식과 인터페이스가 다릅니다.

| OS | 구현 방식 및 특징 |
| :--- | :--- |
| **Linux** | `/dev/net/tun` 캐릭터 장치 파일을 통해 제어하며, `ioctl` 시스템 콜을 사용하여 설정합니다. 가장 유연하고 널리 사용됩니다. |
| **Windows** | 커널 모드 드라이버가 필요합니다. 주로 **TAP-Windows** (OpenVPN 제공) 또는 **Wintun** 드라이버를 설치하여 API를 통해 제어합니다. |
| **macOS/BSD** | `/dev/tun` 장치를 사용하며, 유닉스 계열과 유사하지만 드라이버 설치(utun) 방식이 다소 상이합니다. |

## 8. 보안 및 고려사항

### 성능 오버헤드: 컨텍스트 스위칭 (Context Switching)
TUN 장치를 사용할 때 가장 큰 성능 저하 요인은 **컨텍스트 스위칭**입니다. 패킷이 발생할 때마다 `커널 공간 $\leftrightarrow$ 사용자 공간` 사이를 이동해야 하므로, CPU 오버헤드가 발생합니다.
- **최적화 방안:** 대량의 패킷 처리 시 `mmap`을 이용한 메모리 공유 방식이나, 최신 리눅스 커널의 `XDP (Express Data Path)` 또는 `DPDK`와 같은 커널 우회(Kernel Bypass) 기술을 검토해야 합니다.

### MTU 설정 및 단편화 문제
TUN 장치를 이용한 터널링(VPN) 시 가장 빈번하게 발생하는 문제는 **MTU(Maximum Transmission Unit) 초과로 인한 패킷 단편화(Fragmentation)**입니다.
- **원인:** 원본 IP 패킷을 캡슐화하여 전송할 때, 외부 헤더(UDP/TCP, 암호화 헤더 등)가 추가되면서 전체 패킷 크기가 물리 NIC의 MTU(통상 1500 bytes)를 초과하게 됩니다.
- **해결 방안:** 
    - **MTU 조정:** TUN 인터페이스의 MTU를 물리 NIC보다 낮게 설정(예: 1400 bytes)하여 헤더 공간을 확보합니다.
    - **MSS Clamping:** TCP 연결 설정 단계에서 MSS(Maximum Segment Size) 값을 강제로 낮추어 패킷 크기를 제한합니다.

### 보안 취약점
- **권한 관리:** TUN 장치를 생성하고 설정하려면 루트(root) 권한이 필요합니다. 애플리케이션 전체를 루트로 실행하기보다, 장치 생성 후 권한을 낮추는(Privilege Dropping) 설계가 필요합니다.
- **패킷 주입:** 사용자 공간 애플리케이션이 임의의 IP 패킷을 생성하여 커널에 주입할 수 있으므로, 입력 데이터에 대한 엄격한 검증이 필요합니다.

## 9. 패킷 캡처 도구 활용법
TUN 장치는 가상 인터페이스이므로, 표준 네트워크 분석 도구인 `tcpdump`나 `Wireshark`를 통해 패킷을 캡처할 수 있습니다.

- **tcpdump 활용:**
  ```bash
  # tun0 인터페이스의 패킷을 실시간으로 캡처
  sudo tcpdump -i tun0 -X
  ```
- **Wireshark 활용:**
  1. Wireshark 실행 후 인터페이스 목록에서 `tun0` (또는 생성한 장치 이름)를 선택합니다.
  2. 일반 물리 NIC와 동일하게 패킷의 헤더와 페이로드를 분석할 수 있습니다.
  3. VPN 구현 시, **물리 NIC**에서 캡처하면 암호화된 패킷이 보이고, **TUN 장치**에서 캡처하면 복호화된 원본 IP 패킷이 보임을 통해 터널링 동작을 검증할 수 있습니다.