macOS VPN 초보자 가이드: 설치·승인부터 작동 확인까지

macOS에서 VPN을 쓰는 데 걸림돌은 ‘연결’ 버튼을 누르는 것이 아니라 세 가지입니다. 시스템 확장이 승인됐는지, 구독이 실제로 가져와졌는지, 트래픽이 정말 그 회선으로 나가는지. 이 가이드는 설치 순서를 그대로 따라가며 각 단계마다 직접 재현할 수 있는 확인 방법을 제시합니다. 감으로 판단하지 않습니다.

아래 수치는 이 글에서 인용하는 기준값이며, 이후 단계에 나오는 용량·가격·환불 기간도 이 값을 따릅니다.

시스템 VPN과 클라이언트: 연결 방식부터 구분하기

macOS에는 완전히 다른 두 가지 접속 경로가 있습니다. 먼저 자신이 어느 쪽을 쓰는지 확인해야 이후 단계가 어긋나지 않습니다.

첫 번째는 시스템에 내장된 VPN 설정으로, 시스템 설정 → 네트워크 → VPN에서 추가하며 IKEv2, L2TP over IPSec 같은 표준 프로토콜을 지원합니다. 설정을 마치면 시스템이 utun 인터페이스를 만들어 트래픽을 전역으로 처리하며 별도 클라이언트가 필요 없습니다. 대신 분할 처리가 없어 연결하면 모든 트래픽이 같은 터널로 지나갑니다.

두 번째는 구독 서비스가 제공하는 클라이언트입니다. Network Extension으로 터널을 만들고 로컬에 프록시 포트를 열어 도메인이나 지역에 따라 어떤 트래픽을 회선으로 보내고 어떤 것을 직접 연결할지 결정합니다. 해외 접속 환경에서는 대부분 이 방식을 씁니다.

세 방식에 우열은 없고 상황에 맞는지가 중요합니다. 고정 회선 하나면 충분하고 분할이 필요 없다면 시스템 설정으로 족합니다. 브라우저·터미널·데스크톱 앱을 모두 회선으로 보내려면 TUN 모드를, 잠깐 쓰려면 시스템 프록시 모드가 가장 가볍습니다.

다운로드와 설치: 서명과 공증부터 확인

설치 파일은 서비스 공식 사이트에서만 받으세요. macOS는 앱을 열 때 개발자 서명과 Apple 공증 두 가지를 검사합니다. 서명이 맞지 않거나 공증이 없는 설치 파일은 차단되며 “Apple이 악성 코드가 있는지 확인할 수 없기 때문에 열 수 없습니다”라는 안내가 표시됩니다.

올바른 순서는 다음과 같습니다.

1. 디스크 이미지나 설치 파일을 내려받아 더블클릭해 마운트합니다.
2. 앱을 “응용 프로그램” 폴더로 끌어다 넣고, 마운트된 이미지 안에서 바로 실행하지 않습니다.
3. 처음 열 때 차단되면 시스템 설정 → 개인정보 보호 및 보안으로 가서 페이지 아래의 “그래도 열기”를 누르고 한 번 더 확인합니다.
4. Gatekeeper를 끄고 경고를 무시하는 방식은 쓰지 마세요. 서명되지 않은 모든 프로그램을 허용하는 것과 같습니다.

Apple Silicon 기종에서 네이티브 클라이언트는 유니버설 바이너리입니다. 설치 파일이 Intel 버전뿐이라면 시스템이 Rosetta로 변환해 실행합니다. 쓸 수는 있지만 계층이 하나 더 늘어나므로 장기적으로는 네이티브 버전으로 바꾸는 편이 좋습니다.

권한 승인: 팝업 세 곳과 스위치 하나

네트워크 앱은 권한을 받지 못하면 동작하지 않는데, 권한 안내는 보통 한 번만 뜨고 지나가면 다시 나오지 않습니다. 설치 후 아래 세 곳을 확인하세요.

네트워크 확장

처음 “연결”을 누르면 시스템이 어떤 앱이 VPN 설정을 추가하려 한다고 알리며 Touch ID나 로그인 암호 확인을 요구합니다. 이 단계에서 동의하는 것은 “터널 생성을 허용한다”는 뜻입니다.

시스템 확장

macOS 11 이후 클라이언트는 초기 커널 확장 대신 System Extension을 쓰는 것이 일반적입니다. 설치 후 시스템 설정에 “로드가 차단됨” 안내가 나타나며 직접 “허용”을 눌러야 하고, 일부 버전은 재시작해야 적용됩니다.

로그인 항목 및 확장

macOS 13 이상에서는 시스템 설정 → 일반 → 로그인 항목 및 확장에서 네트워크 확장 스위치를 확인할 수 있으니 켜져 있는지 보세요.

권한이 온전히 부여되지 않았을 때의 전형적인 증상은 세 가지입니다. 연결 버튼이 계속 돌기만 하거나, 화면에는 연결됐다고 나오는데 외부 IP가 그대로이거나, 클라이언트 로그에 provider 시작 실패 같은 문구가 뜨는 경우입니다. 이럴 때는 재설치를 반복하기보다 위 세 곳을 먼저 확인하세요.

구독 가져오기: 링크에서 회선 목록까지

구독 링크는 보통 https 주소 뒤에 긴 토큰이 붙은 형태입니다. 설정이면서 동시에 자격 증명입니다.

1. 서비스 패널에서 구독 링크를 복사할 때 불필요한 공백이나 줄바꿈이 섞이지 않게 주의합니다.
2. 클라이언트의 “구독” 또는 “설정” 항목을 열고 URL에서 가져오기를 선택합니다.
3. 링크를 붙여넣고 이 설정을 알아볼 수 있는 이름으로 저장합니다.
4. 수동으로 한 번 업데이트하고 회선 목록이 나타날 때까지 기다립니다.
5. 자동 업데이트를 켜고 간격을 24시간으로 설정합니다.

가져오기에 성공했다는데 목록이 비어 있다면 대부분 형식이 맞지 않는 경우입니다. 구독이 base64로 인코딩된 노드 목록, Clash의 YAML, sing-box의 JSON 중 무엇을 반환하는지에 맞춰 클라이언트에서 유형을 골라야 파싱됩니다. 링크가 메신저에서 잘려 나간 것도 흔한 원인이니 다시 복사하면 됩니다.

검증: 명령 네 개로 회선 작동 확인

클라이언트 화면의 “연결됨”은 터널이 만들어졌다는 뜻일 뿐, 트래픽이 실제로 그 회선으로 나간다는 뜻은 아닙니다. “터미널”을 열고 아래 네 줄을 차례로 붙여넣으세요.

curl -s https://ipinfo.io/ip
route -n get default
scutil --dns | grep nameserver
scutil --proxy

DNS 유출이 없는지 더 확인하려면 dig +short whoami.akamai.net을 실행하세요. 실제로 조회를 수행한 서버 주소가 반환됩니다. 이 주소가 국내 통신사에 속한다면 DNS 요청이 회선을 타지 않았다는 뜻이므로, 클라이언트에서 DNS를 터널로 넘겨야 합니다.

연결이 안 될 때: 순서대로 점검

연결 실패는 대략 세 갈래이며, 순서대로 걸러내는 편이 재설치를 반복하는 것보다 빠릅니다.

“연결 중”에서 멈출 때

먼저 권한 세 곳을 되짚어 보세요. 권한에 문제가 없다면 프로토콜을 봅니다. QUIC 기반인 Hysteria2, TUIC는 UDP에 의존하는데 호텔·회사 네트워크와 일부 공용 Wi-Fi는 UDP 443을 그냥 버리기 때문에 계속 연결되지 않는 증상이 나타납니다. TCP 기반인 VLESS, Trojan, VMess, Shadowsocks로 바꾸면 대개 연결됩니다.

연결은 되는데 페이지가 안 열릴 때

빈도 높은 원인 세 가지입니다. 첫째, DNS를 넘겨받지 않아 도메인이 여전히 로컬에서 해석되는 경우로, 해석에 실패하거나 현재 회선에 맞지 않는 주소로 해석됩니다. 둘째, 시스템 시간 오차가 커서 TLS 핸드셰이크가 그대로 실패하는 경우로, 시스템 설정 → 일반 → 날짜 및 시간에서 자동 설정을 켜세요. 셋째, 분할 규칙이 해당 도메인을 직접 연결로 판정한 경우로, 그 도메인을 임시로 회선 경유로 바꿔 다시 시도해 보세요.

일부 앱만 안 될 때

시스템 프록시 모드는 시스템 프록시 설정을 읽는 앱에만 적용됩니다. 터미널의 curl, 적지 않은 개발 도구와 게임 클라이언트는 이 설정을 읽지 않습니다. 전역으로 덮어야 한다면 TUN 모드로 바꾸거나 터미널에만 프록시 환경 변수를 지정하세요. 회선 고장이 아니라 모드 차이입니다.

• ✅ 외부 IP가 선택한 회선의 소속 지역과 일치
• ✅ scutil --dns의 첫 번째 리졸버가 국내 통신사가 아님
• ✅ 연결을 끊으면 페이지가 곧바로 직접 연결로 돌아오고 잔여 라우트가 없음
• ✅ 구독 자동 업데이트가 켜져 있고 간격은 24시간
• ❌ “열 수 없음” 문제를 Gatekeeper를 끄는 방식으로 해결하지 않기
• ❌ 구독 링크를 공개 단체 대화방이나 문의 스크린샷에 남기지 않기

장기 사용: 프로토콜 선택과 분할 규칙

일상 사용에서 한 번쯤 제대로 설정해 둘 만한 세 가지가 있습니다.

필요할 때 연결

노트북 덮개를 닫았다 열거나 Wi-Fi를 바꾸면 클라이언트가 터널을 다시 만들어야 합니다. 필요할 때 연결을 켜 두면 네트워크가 바뀔 때 시스템이 자동으로 다시 연결해 주므로 직접 누를 일이 줄어듭니다.

프로토콜 선택

TCP 계열 프로토콜(VLESS, Trojan, VMess, Shadowsocks)은 패킷 손실이 심한 네트워크에서 더 안정적입니다. QUIC 계열인 Hysteria2, TUIC는 지연이 큰 회선에서 처리량이 좋지만 UDP가 차단되지 않아야 합니다. 같은 구독에 보통 둘 다 들어 있으니 현재 네트워크에 맞춰 바꿔 가며 시험하는 편이 하나만 고집하는 것보다 현실적입니다.

분할과 DNS

분할 규칙은 “도메인 우선, 지역 보조” 순서로 작성하고 자주 쓰는 사이트는 직접 연결해 불필요한 경유를 줄입니다. DNS는 클라이언트가 처리하도록 맡겨 시스템 리졸버와 클라이언트가 따로 놀지 않게 합니다.

회선 유형 읽는 법

IEPL 전용선은 공용 인터넷의 혼잡 구간을 거치지 않는 점대점 전용 회선이고, 중계는 입구 노드에서 출구로 다시 전달하는 방식, 직접 연결은 클라이언트가 출구 서버에 바로 붙는 방식입니다. 차이는 안정성과 경유 경로의 길이에 있으며, 어느 쪽이 빠른지는 자신이 주로 쓰는 네트워크에서 직접 시험해야 알 수 있고 남의 속도 측정 수치는 참고 가치가 제한적입니다.

VPNVL은 이런 설정에서 추가 구성이 필요 없습니다. 120+ 국가, 180+ 회선, 대수 제한 없이 여러 기기를 동시에 연결할 수 있습니다. 가입에는 사용자 이름과 비밀번호만 있으면 되고 이메일 주소는 필요하지 않습니다. 월 구독은 ¥9.9부터 60GB, ¥18에 250GB, ¥28에 500GB이며 트래픽은 개통일 기준으로 매월 초기화됩니다. 트래픽 패키지는 다 쓸 때까지 유효하고 만료되지 않습니다. 첫 결제 후 60일 이내에는 이유를 묻지 않는 환불을 신청할 수 있습니다. 결제는 알리페이, 위챗, USDT를 지원합니다. 서비스 측 개인정보 보호 방침은 로그를 기록하지 않는 것입니다.