# WireGuard

WireGuard는 현대적이고 경량화된 VPNirtual Private Network)로토콜로,안, 성능,보수 용이성을 목표로 설계되었습니다.존의 복잡하고 오된 VPN 솔루션(예: OpenVPN, IPSec)을 대체하기 위해 개발된 WireGuard는 단순한 아키텍처와 최소한의 코드베이스를 기반으로 하여 빠르고 안정적인 네트워크 보안을 제공합니다. 특히 리눅스 커널에 공식적으로 통합된 점에서 큰 주목을 받고 있으며, 다양한 플랫폼에서 지원되고 있습니다.

## 개요

WireGuard는 2015년 Jason A. Donen에 의해 개발된 오픈소스 VPN 프로토콜입니다. 기존의 복잡한 VPN 구조를 단순화하고, 최신 암호화 기술을 활용하여 고성능과 보안을 동시에 추구합니다. 전체 구현 코드가 약 4,000줄에 불과하며, 이는 OpenVPN의 수십만 줄에 비해 극도로 간결한 수준입니다. 이로 인해 코드 검토가 용이하고, 보안 취약점의 발생 가능성이 낮아집니다.

WireGuard는 UDP 기반으로 작동하며, IP 주소를 기반으로 피어(Peer) 간의 연결을 설정합니다. 키 기반 인증 방식을 사용하며, 공개키 암호화(Public-key cryptography)를 통해 각 사용자의 신원을 인증하고 암호화 통신을 수행합니다.

## 주요 특징

### 1. 단순성과 경량성
WireGuard는 가능한 한 단순한 설계 철학을 따릅니다. 복잡한 설정 파일이나 수많은 옵션 없이도 작동할 수 있도록 설계되어, 구성 및 운영이 매우 직관적입니다. 이는 관리자의 오류 가능성을 줄이고, 시스템의 안정성을 높이는 데 기여합니다.

### 2. 뛰어난 성능
기존의 TLS 기반 VPN(예: OpenVPN)과 비교해 WireGuard는 훨씬 낮은 지연(latency)과 높은 처리 속도를 제공합니다. UDP 기반으로 작동하고, 커널 수준에서 구현되어 사용자 공간과 커널 간의 컨텍스트 스위칭이 최소화되기 때문입니다. 이로 인해 고속 네트워크 환경이나 모바일 장치에서 특히 유리합니다.

### 3. 강력한 보안
WireGuard는 최신 암호화 알고리즘을 사용합니다:
- **ChaCha20**: 스트림 암호로, 데이터 암호화에 사용
- **Poly1305**: 메시지 인증 코드(MAC)로, 데이터 무결성 검증
- **Curve25519**: 키 교환(ECDH)에 사용
- **BLAKE2s**: 해시 함수
- **SipHash24**: 키 확인 및 해시 테이블 보호

이러한 알고리즘들은 암호학적으로 견고하며, 구현도 검증된 라이브러리인 `libwg` 또는 `WireGuard-go`를 통해 제공됩니다.

### 4. 커널 통합
리눅스 5.6 버전부터 WireGuard는 공식적으로 리눅스 커널에 포함되었습니다. 이는 성능 향상과 안정성 확보 측면에서 큰 의미를 가지며, 시스템 부팅 시 자동 로드 및 네트워크 인터페이스로의 통합이 용이해집니다.

## 작동 원리

### 키 기반 인증
WireGuard는 공개키 암호화 방식을 사용합니다. 각 피어는 자신의 **개인키(private key)** 와 상대방의 **공개키(public key)** 를 저장합니다. 연결 시, 피어는 자신의 개인키로 서명하고 상대방의 공개키를 사용해 암호화합니다. 이 방식은 중간자 공격(MITM)을 방지하고, 신뢰할 수 있는 통신을 보장합니다.

```ini
# 예: WireGuard 구성 파일 (wg0.conf)
[Interface]
PrivateKey = <이 장비의 개인키>
Address = 10.0.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <상대방의 공개키>
AllowedIPs = 10.0.0.2/32
Endpoint = 203.0.113.45:51820
```

### 터널링 및 라우팅
WireGuard는 가상 네트워크 인터페이스(`wg0` 등)를 생성하고, 여기에 IP 주소를 할당합니다. 트래픽은 이 인터페이스를 통해 암호화되어 UDP 패킷으로 캡슐화되고, 지정된 엔드포인트로 전송됩니다. 수신 측에서는 복호화 후 원래의 네트워크로 전달합니다.

## 지원 플랫폼

WireGuard는 다음과 같은 주요 플랫폼에서 공식적으로 지원됩니다:
- **Linux**: 커널 모듈 또는 `wireguard-go`를 통해 지원
- **Windows**: WireGuard-Win 앱
- **macOS**: TunnelKit 기반 클라이언트
- **Android**: 공식 WireGuard 앱 (Google Play 스토어)
- **iOS**: App Store에서 제공되는 WireGuard 앱

모든 클라이언트는 동일한 구성 형식을 따르며, 설정 파일을 쉽게 이식할 수 있습니다.

## 장단점

| 항목 | 설명 |
|------|------|
| ✅ 장점 | 빠른 연결, 간단한 설정, 뛰어난 성능, 보안성 우수 |
| ❌ 단점 | 중앙 집중식 관리 도구 부족, 다중 사용자 동시 접속 관리가 복잡할 수 있음, NAT 환경에서의 동적 IP 처리 제한 |

## 활용 사례

- **원격 근무 보안 접속**: 사내 네트워크에 안전하게 접속
- **클라우드 서버 간 연결**: 여러 클라우드 인스턴스를 프라이빗 네트워크처럼 연결
- **모바일 기기 보호**: 공용 와이파이에서 트래픽 암호화
- **네트워크 통합**: 서로 다른 물리적 위치의 네트워크를 하나의 로컬 네트워크처럼 구성

## 관련 문서 및 참고 자료

- [WireGuard 공식 웹사이트](https://www.wireguard.com)
- [Linux Kernel WireGuard 문서](https://www.wireguard.com/quickstart/)
- [RFC 8407: WireGuard: Next Generation Kernel Network Tunnel](https://tools.ietf.org/html/rfc8407)

WireGuard는 단순함과 보안, 성능을 모두 충족하는 차세대 VPN 프로토콜로서, 기업 및 개인 사용자 모두에게 강력한 선택지로 자리 잡고 있습니다.

## Crypto Key Routing
WireGuard는 **Crypto Key Routing**이라는 독특한 보안 메커니즘을 사용합니다. 이는 공개키(Public Key)와 허용된 IP 주소(AllowedIPs)를 1:1 또는 1:N으로 매핑하여 트래픽을 제어하는 방식입니다.

**[개념도]**
`송신 패킷` → `목적지 IP 확인` → `AllowedIPs 테이블에서 해당 IP와 매핑된 공개키 검색` → `해당 공개키로 암호화` → `전송`
`수신 패킷` → `복호화` → `패킷의 소스 IP가 해당 공개키의 AllowedIPs에 포함되는지 검증` → `일치하면 통과 / 불일치하면 폐기`

이 메커니즘을 통해 WireGuard는 단순한 라우팅을 넘어, 인증된 사용자만이 특정 IP 주소를 사용할 수 있도록 강제하는 강력한 필터링 역할을 수행합니다.

## 상태 관리 및 로밍
WireGuard는 기본적으로 **상태 비저장(Stateless)** 설계 철학을 따릅니다. 전통적인 VPN과 달리 세션 유지(Keep-alive)를 위한 복잡한 핸드셰이크를 지속적으로 수행하지 않으며, 데이터가 전송될 때만 암호화 통신이 발생합니다.

이러한 설계 덕분에 **로밍(Roaming)** 기능이 가능합니다. 클라이언트의 IP 주소가 변경되어도(예: Wi-Fi에서 LTE로 전환), 클라이언트가 새로운 IP에서 서버로 인증된 패킷을 보내면 서버는 즉시 해당 피어의 엔드포인트 주소를 업데이트합니다. 사용자는 연결 끊김을 느끼지 않고 끊김 없는(Seamless) 통신을 유지할 수 있습니다.

## 네트워크 제약 및 해결 방안
WireGuard는 성능 최적화를 위해 **UDP 전용 프로토콜**을 사용합니다. 하지만 일부 엄격한 기업 방화벽이나 공공 네트워크 환경에서는 UDP 트래픽을 차단하고 TCP 트래픽만 허용하는 경우가 있어 연결이 불가능할 수 있습니다.

이러한 제약을 해결하기 위해 다음과 같은 **TCP 캡슐화(TCP Encapsulation)** 방법을 사용합니다:
- **UDP-over-TCP 터널링**: `udp2raw`와 같은 도구를 사용하여 UDP 패킷을 TCP 패킷으로 위장하여 전송합니다.
- **HTTP/TLS 프록시**: 트래픽을 HTTPS(TCP 443) 포트로 래핑하여 방화벽의 심층 패킷 검사(DPI)를 우회합니다.

## 에코시스템 및 확장 솔루션
WireGuard 프로토콜 자체는 단순한 '파이프' 역할만 수행하므로, 대규모 환경에서의 키 관리나 중앙 집중식 설정 배포가 어렵다는 단점이 있습니다. 이를 보완하기 위해 WireGuard를 기반으로 한 **Mesh VPN 솔루션**들이 등장했습니다.

### Tailscale vs NetBird 비교
| 비교 항목 | Tailscale | NetBird |
| :--- | :--- | :--- |
| **핵심 기반** | WireGuard | WireGuard |
| **제어 평면** | 중앙 집중식 (SaaS) | 중앙 집중식 (SaaS/Self-hosted) |
| **인증 방식** | SSO (Google, Microsoft, Okta 등) | SSO 및 자체 인증 지원 |
| **설치 편의성** | 매우 높음 (Zero Config) | 높음 |
| **관리 방식** | 관리 콘솔을 통한 ACL 제어 | 관리 콘솔 및 정책 기반 제어 |
| **특징** | MagicDNS, Taildrop 제공 | 오픈소스 지향, 자체 호스팅 용이 |

이러한 솔루션들은 사용자가 일일이 설정 파일을 교환할 필요 없이, 로그인만으로 자동으로 피어 간 연결을 설정하고 관리할 수 있는 환경을 제공합니다.