Tailscale, WireGuard 메시로 재설계한 VPN 아키텍처
Tailscale이 허브-앤-스포크 VPN을 메시 네트워크로 대체한 방식과 컨트롤 플레인·데이터 플레인 구조, 보안 모델을 정리한다.
2026-08-12 · 최초 발행 2026-03-13
전통적인 VPN은 허브-앤-스포크(Hub-and-Spoke) 구조로 동작한다. 모든 트래픽이 중앙 서버를 한 번 거치기 때문에 서버가 병목이 되고, 인증서·방화벽 규칙 같은 설정도 함께 늘어난다. Tailscale은 이 구조를 WireGuard 프로토콜 위의 메시 네트워크로 바꿔, 디바이스끼리 직접 암호화 터널을 맺도록 만든 제로 설정(Zero-Config) VPN이다. 2019년 캐나다 토론토에서 설립된 이후, 2025년 Accel 주도로 1억 6천만 달러 규모의 시리즈 C 투자를 유치하며 AI·IoT·멀티 클라우드 환경의 보안 연결 솔루션으로 영역을 넓히고 있다.
클라이언트는 BSD 3-Clause 오픈소스로 공개되어 있고, 컨트롤 서버는 SaaS로 제공된다. 컨트롤 플레인까지 완전히 자체 호스팅하고 싶다면 오픈소스 대안인 Headscale을 쓸 수 있다. Tailscale이 내세우는 문구는 "The VPN That Doesn't Suck" — 기존 VPN의 설정 복잡도를 걷어내고 몇 분 안에 배포 가능한 보안 네트워크를 만드는 것이 핵심 지향점이다.
허브-앤-스포크와 무엇이 다른가
가장 큰 차이는 트래픽 경로다. 전통적 VPN은 중앙 서버를 경유하기 때문에 지연 시간이 늘어나고 서버 용량이 곧 확장성의 한계가 된다. Tailscale은 디바이스 간 직접 연결이 기본이라 지연이 낮고, 노드가 추가되면 메시가 자동으로 확장된다. 설정도 계정을 만들고 디바이스를 인증하는 것으로 끝나며, 인증은 자체 인증서 대신 Google·Okta·Azure AD 같은 SSO/IdP 연동으로 처리한다. 암호화 프로토콜 역시 IPsec·OpenVPN 대신 WireGuard를 쓴다.
| 특성 | 전통적 VPN | Tailscale |
|---|---|---|
| 토폴로지 | 허브-앤-스포크 (중앙 집중) | 메시 네트워크 (P2P) |
| 트래픽 경로 | 중앙 서버 경유 | 디바이스 간 직접 연결 |
| 설정 복잡도 | 높음 (서버 구성, 인증서, 방화벽 규칙) | 제로 설정 (계정 생성 후 디바이스 인증) |
| 지연 시간 | 높음 (중앙 서버 경유) | 낮음 (직접 P2P 연결) |
| 확장성 | 서버 용량에 제한 | 노드 추가 시 자동 메시 확장 |
| 암호화 | IPsec, OpenVPN 등 | WireGuard (최신 암호화) |
| 인증 방식 | 자체 인증서/계정 | SSO/IdP 연동 (Google, Okta, Azure AD 등) |
컨트롤 플레인과 데이터 플레인의 분리
Tailscale의 아키텍처는 인증·정책을 담당하는 컨트롤 플레인과, 실제 트래픽이 흐르는 데이터 플레인을 분리해 설계했다.
Coordination Server는 사용자 인증과 노드 인가, 피어 디스커버리, 네트워크 맵 배포, ACL 정책 적용을 맡는다. WireGuard 공개키 교환을 중계하지만 개인키는 로컬 디바이스에만 보관되므로 서버가 트래픽을 들여다볼 수 없다. 실제 데이터 전송은 Go 언어로 작성된 userspace WireGuard 구현체(wireguard-go)가 담당하며, Noise 프로토콜 프레임워크로 핸드셰이크를 하고 ChaCha20-Poly1305로 대칭 암호화한다.
직접 연결이 막힐 때를 대비한 폴백이 DERP(Designated Encrypted Relay for Packets)다. TLS 기반 TCP 443 포트로 동작하며, 이미 WireGuard로 암호화된 패킷을 그대로 전달만 할 뿐 복호화는 하지 못한다. 여러 리전에 IPv4/IPv6 듀얼스택으로 배치되어 있다.
연결이 맺어지는 과정
Tailscale은 연결을 시도할 때 처음부터 최적 경로를 찾는 것이 아니라, 릴레이로 우선 연결한 뒤 더 나은 경로로 단계적으로 업그레이드한다.
우선순위는 세 단계다. STUN 디스커버리와 UDP 홀 펀칭으로 NAT를 통과하는 직접 연결이 지연·처리량 모두 가장 낫고, 이게 안 되면 자체 호스팅 가능한 고처리량 릴레이인 Peer Relay를 거친다. 둘 다 불가능할 때 마지막 수단으로 Tailscale이 운영하는 DERP 릴레이에 남는다 — QoS가 제한적인 최후의 경로다.
메시를 실제로 쓰게 하는 기능들
메시 토폴로지 자체는 배경이고, 실무에서 체감하는 건 그 위에 얹힌 기능들이다.
Tailnet은 하나의 Tailscale 계정에 연결된 모든 디바이스가 형성하는 가상 사설 네트워크다. 100.x.y.z 대역의 CGNAT IP가 자동 할당되고, MagicDNS를 켜면 my-server.tailnet-name.ts.net 같은 디바이스명으로 접근할 수 있다.
**ACL(Access Control List)**은 JSON 또는 HuJSON 형식으로 사용자·그룹·태그 기반 접근 권한을 정의한다. 정책 파일을 코드로 관리하는 GitOps 방식도 지원한다.
Subnet Router는 Tailscale 클라이언트를 설치할 수 없는 레거시 장비나 네트워크에 대한 접근 통로다. 특정 노드가 게이트웨이 역할을 맡아 서브넷 트래픽을 라우팅하며, 온프레미스 데이터센터나 IoT 디바이스 네트워크 연결에 쓰인다.
Exit Node는 반대로 모든 인터넷 트래픽을 특정 노드로 몰아준다. 공용 Wi-Fi에서 트래픽을 보호하거나, 특정 지역의 IP로 나가고 싶을 때 쓴다.
Taildrop은 Tailnet 안의 디바이스끼리 중앙 서버 없이 P2P로 파일을 직접 전송하는 기능으로, Windows·macOS·Linux·iOS·Android를 모두 지원한다.
SSH 연결은 Tailscale SSH를 통해 별도 키 관리 없이도 IdP 인증만으로 접속할 수 있게 해주며, 세션 레코딩 기능도 제공한다.
보안 모델: 신원 기반의 지속적 검증
Tailscale의 보안 모델은 제로 트러스트를 축으로 한다. 인증은 Google·Okta·Azure AD·OneLogin 같은 기존 SSO 제공자와 연동하는 신원 기반 방식이고, 모든 연결에 대해 인증과 인가를 매번 요구하는 지속적 디바이스 검증을 적용한다. WireGuard 기반의 종단 간 암호화 덕분에 DERP 서버조차 트래픽을 복호화할 수 없고, ACL 정책으로 필요한 리소스에만 접근을 허용하는 최소 권한 원칙을 지킨다.
키 관리 쪽에서는 WireGuard 개인키가 로컬 디바이스에서만 생성·보관되고, Coordination Server는 공개키만 수집해 피어 간 교환을 중계한다. 키는 주기적으로 자동 로테이션되며, 키 만료(Key Expiry) 정책도 설정할 수 있다.
어디에 쓰이는가
원격 근무 환경에서는 분산된 팀이 파일 서버·데이터베이스·내부 SaaS 같은 사내 리소스에 VPN 설정 없이 디바이스 인증만으로 접속한다. 여러 사무실을 사이트 투 사이트로 연결하는 용도로도 쓴다.
CI/CD 파이프라인에서는 GitHub Actions·GitLab CI 러너가 내부 테스트 데이터베이스에 접근할 때 활용한다. 컨테이너가 종료되면 자동으로 정리되는 에피메럴(Ephemeral) 노드를 지원하고, 인증 키를 프로그래밍 방식으로 생성하면서 ACL 태그도 자동 적용할 수 있다.
의료기관·금융기관처럼 보안 요건이 엄격한 규제 산업에서는 Subnet Router로 에이전트 설치 없이 백엔드 시스템에 접근하고, 감사 로그와 세션 레코딩으로 컴플라이언스를 충족한다.
홈랩·IoT 영역에서는 가정 내 서버·NAS·미디어 서버 원격 접근, Raspberry Pi 같은 IoT 디바이스 관리, 클라우드 VPS와 홈 네트워크 간 보안 연결에 쓰이고, AI 워크로드에서는 GPU 클러스터 간 보안 연결, 멀티 클라우드 학습 파이프라인 네트워킹, 모델 서빙 인프라의 접근 제어에 활용된다.
경쟁 솔루션과 비교하면
메시 VPN 카테고리에는 ZeroTier, Nebula(Slack 개발), Netmaker 등이 있다.
| 특성 | Tailscale | ZeroTier | Nebula (Slack) | Netmaker |
|---|---|---|---|---|
| 기반 프로토콜 | WireGuard | 자체 프로토콜 | 자체 프로토콜 (Noise) | WireGuard |
| 토폴로지 | 메시 | 메시 | 메시 | 메시 |
| 컨트롤 플레인 | SaaS (자체 호스팅: Headscale) | SaaS + 자체 호스팅 | 자체 호스팅 전용 | 자체 호스팅 전용 |
| 설정 난이도 | 매우 낮음 | 낮음 | 중간 | 중간 |
| SSO/IdP 연동 | 기본 지원 | 유료 플랜 | 미지원 | 유료 플랜 |
| 무료 플랜 | 100 디바이스, 3 사용자 | 25 디바이스 | 오픈소스 | 오픈소스 |
| 엔터프라이즈 기능 | ACL, 감사 로그, SCIM | 유사 기능 제공 | 제한적 | 제한적 |
Tailscale의 차별점은 SSO 연동을 기본 지원하면서도 설정 난이도가 낮고, SaaS와 자체 호스팅(Headscale) 두 경로를 모두 열어둔다는 점이다.
2026년 기준 최신 동향
Peer Relay가 GA로 전환되어, 직접 연결이 안 될 때 자체 호스팅한 고처리량 릴레이 서버를 쓸 수 있게 됐다. Workload Identity Federation을 통해 서드파티 OIDC 워크로드 ID로 Tailscale API를 인증하는 기능도 추가됐다. TailscaleUp 2026이라는 엔지니어링·보안·IT 리더 대상 플래그십 컨퍼런스도 열렸고, 회사의 포지셔닝 슬로건은 "Secure Connectivity for AI, IoT & Multi-Cloud"로 바뀌었다.
생태계 확장도 이어지고 있다. Kubernetes Operator로 클러스터 내부에 Tailscale을 통합하고, Terraform Provider로 IaC 기반 네트워크 관리를 하며, Pulumi·Ansible 등 자동화 도구와도 연동된다. VS Code·JetBrains 같은 IDE에서 원격 개발 환경을 지원하는 것도 최근 확장 방향 중 하나다.
도입 전에 확인할 것들
컨트롤 플레인이 SaaS 기반 Coordination Server에 의존한다는 점은 완전한 자체 호스팅이 필요한 조직이라면 Headscale 대안을 검토해야 한다는 뜻이다. 무료 플랜은 100 디바이스·3 사용자로 제한되어 있어 중규모 이상 조직은 유료 플랜이 필요하다. NAT 통과에 실패해 DERP를 거치게 되면 성능이 떨어질 수 있는데, 이는 Peer Relay를 자체 호스팅해 완화할 수 있다. Tailscale 클라이언트를 설치할 수 없는 레거시 시스템은 Subnet Router 구성이 필요하고, 데이터 주권 요건이 있는 규제 환경이라면 DERP 서버의 위치와 트래픽 경로를 미리 검토해야 한다.