디바이스 리디렉션: 원격 세션에서 로컬 주변기기를 안전하게 쓰는 법

원격 데스크톱이나 VDI 세션에 접속했을 때 로컬 프린터나 스마트카드가 그대로 잡히는 것은 우연이 아니다. 세션이 클라이언트 단의 물리 디바이스를 인식하고 I/O를 대신 처리해주는 디바이스 리디렉션(Device Redirection) 기술이 그 뒤에서 동작한다. 문제는 이 기능을 얼마나 열어줄지다 — 편의성을 높이면 데이터 유출 경로가 늘고, 막으면 사용자 생산성이 떨어진다.

가상 채널이 하는 일

원격 세션은 접속 시 기능 협상(capability negotiation)을 거친 뒤 정책을 평가해 장치별로 최적화 채널을 열거나 USB 패스스루 채널을 생성한다. USB, 프린터, 오디오/마이크, 카메라, 스마트카드, 드라이브, COM/LPT 같은 자원이 이 범주에 들어간다. I/O는 압축과 QoS가 적용된 프레임으로 터널링되어 전송된다.

표준 프로토콜은 RDP Dynamic Virtual Channel, Citrix HDX, VMware Blast Extreme이고, 일부는 WebRTC 기반 전송을 쓴다. 채널은 크게 두 갈래로 나뉜다 — 프린터·오디오·스마트카드처럼 장치별로 최적화된 채널과, 범용 USB 패스스루 채널이다. 세션은 기능 협상과 대역폭 적응, 재전송·재협상 기반의 회복 메커니즘으로 상태를 관리한다.

최적화 채널과 USB 패스스루, 무엇을 고를까

애플리케이션 호환성만 보면 USB 패스스루가 우수하다. 벤더 드라이버가 필요한 특정 의료·산업 장비는 사실상 패스스루가 유일한 선택지인 경우도 많다. 반면 성능과 보안은 최적화 채널이 우위에 있다 — 서버 드라이버가 필요 없는 Easy Print, Universal Print Class 같은 드라이버리스 모델을 쓸 수 있고, 코덱 기반 압축으로 대역폭도 아낀다. 서버 드라이버리스 프린팅으로 전환하면 드라이버 관리 시간이 월 8시간에서 2시간으로 줄어, 연간으로는 72시간 절감된다는 추정치가 나온다.

성능 최적화 관점에서는 오디오에 AAC/Opus, 카메라에 H.264/H.265, 프린트에 XPS/EMF 드라이버리스 렌더링을 적용한다. 지연에 민감한 장치는 등시성(isochronous) 트래픽 우선순위, 에코 캔슬링, 샘플레이트 최적화가 필요하고, 최적화 채널이 실패하면 USB 패스스루나 서버 측 렌더링으로 자동 전환하는 fallback 설계가 있어야 한다. 다만 RemoteFX vGPU처럼 일부 기능이 폐지된 사례가 있어, 설계 시점에 벤더별 최신 지원 현황을 반드시 확인해야 한다.

정책은 기본 차단에서 시작한다

정책은 장치 클래스, VID/PID, 사용자·그룹·엔드포인트 태그, 위치/네트워크 존 같은 조건으로 단위를 나눈다. 통제 수단으로는 화이트리스트, 읽기 전용 매핑, 파일 형식 제한, 클립보드/프린트 워터마크, 감사 로깅을 쓴다. 목표는 데이터 유출 경감, 멀웨어 유입 방지, 규제 준수 속성 보장이다. 드라이브·클립보드 차단과 감사 로그 활성화만으로도 효과는 크다 — 과거 사고율이 0.5%에서 0.1%로 낮아진다고 가정하면 연간 유출 사고를 80% 줄이는 셈이다(표준 콜센터·지식근로 혼합 조직, LAN~WAN 혼재 환경 기준 가정치).

중앙에서는 GPO/MDM, Citrix/VMware 정책 템플릿, JSON/Registry 기반 구성으로 정책을 관리하고, 장치 이벤트·차단 로그·전송량/지연 지표를 SIEM으로 연계해 가시성을 확보한다. 현장에는 프로파일/포털 기반 셀프 서포트와 장치 클래스별 진단 스크립트를 제공하는 편이 헬프데스크 부담을 줄인다.

어떤 환경에서 어떻게 쓰이나

콜센터·VDI 환경에서는 헤드셋 오디오 입출력을 리디렉션하면서 소음 억제와 지연 보정을 적용하고, 클립보드·드라이브는 차단하되 통화품질 QoS는 유지한다. 네트워크 왕복지연 100ms 이하를 전제로 하면 최적화 채널 도입으로 음성/영상 업무의 지연을 30~50ms 절감할 수 있다는 게 가정치이고, 통화 재시도율이 10%에서 6%로 줄어드는 시나리오라면 일일 1,000콜 기준 성공 콜이 40건 늘어난다는 추정도 나온다.

금융·공공 같은 규제 산업에서는 스마트카드 인증과 OTP 토큰 패스스루만 제한적으로 허용하고, 프린터는 서버 측 드라이버리스 렌더링에 워터마크와 감사를 얹는다.

의료·제조 현장은 카메라·스캐너를 최적화 채널로 실시간 캡처하고, 바코드 스캐너·측정기는 특정 VID/PID를 화이트리스트에 올려 USB 패스스루로 허용한다.

개발·QA에서는 모바일 디바이스 디버깅(ADB)을 전용 격리 세션에서만 허용하고, 대용량 로그는 드라이브 매핑 대신 서버 측 수집 에이전트로 가져간다.

도입 절차

먼저 장치 목록을 클래스·성능·보안 요구 기준으로 정리하고 네트워크 대역폭·지연·Jitter를 측정해 임계치를 정한다. 그다음 기본 차단·필요 최소 허용 원칙 위에서 장치 유형별 모드(최적화 채널 우선, 불가 시 USB 패스스루 예외)와 사용자 그룹·단말 신뢰도·위치 기반 조건부 정책을 설계한다.

아키텍처 단계에서는 게이트웨이/TLS 종단, 브로커, 세션 호스트를 표준 구성으로 잡고 정책 엔진과 디바이스 메타데이터 전송 경로, 감사 로그 파이프라인을 연결한다. 파일럿 사용자·장치로 기능·성능·보안 시나리오를 검증하고, 채널 전환·지연 증가·패킷 손실 같은 장애 주입 테스트도 거친다. 운영 단계에서는 연결 성공률·지연·재협상 빈도·차단 이벤트 같은 KPI를 모니터링하고, 월간 정책 리뷰와 신규 장치 온보딩 자동화를 이어간다.

⤢✕

실제 설정: GPO·FreeRDP·Citrix·Horizon

아래는 사내 테스트 네트워크와 Windows Server 2019 RDS 또는 Linux + FreeRDP 클라이언트를 전제로 한 구성 예시다. 보안 정책 준수는 필수다.

드라이브 리디렉션은 금지하고 스마트카드·프린터만 허용하는 Windows RDP 정책(GPO/Registry)은 다음과 같다.

:: 관리자 권한 CMD
reg add "HKLM\Software\Policies\Microsoft\Windows NT\Terminal Services" /v fDisableCdm /t REG_DWORD /d 1 /f
reg add "HKLM\Software\Policies\Microsoft\Windows NT\Terminal Services" /v RedirectSmartCards /t REG_DWORD /d 1 /f
reg add "HKLM\Software\Policies\Microsoft\Windows NT\Terminal Services" /v RedirectPrinters /t REG_DWORD /d 1 /f
reg add "HKLM\Software\Policies\Microsoft\Windows NT\Terminal Services" /v UseUniversalPrinterDriver /t REG_DWORD /d 1 /f

Linux에서 FreeRDP로 접속하면서 홈 디렉터리는 읽기 전용으로 매핑하고, 프린터·오디오는 활성화하며, 특정 USB 장치만 화이트리스트로 연결하는 예시는 다음과 같다.

xfreerdp /u:user /p:'Passw0rd!' /v:rdsh.example.com /network:lan /log-level:INFO \
  /sound:sys:alsa /microphone:sys:alsa /clipboard \
  /drive:home,/home/user,ro /printers \
  /usb:id,0x0a5c:0x5800;id,0x046d:0x0825

Citrix에서는 "Client USB device redirection"을 Prohibit All로, "Client audio redirection"과 "Client printer redirection", "Smart card"는 Allowed로 설정하고, 벤더 특정 장치만 "Allowed by policy"로 예외를 둔다.

VMware Horizon은 USB Redirection을 Global Disable로 놓고 Allowed Device Rules로 VID/PID 화이트리스트를 구성한다. 웹캠·마이크는 Real-Time Audio-Video(RTAV)를 활성화해 최적화 채널로 처리한다.

리디렉션 모드 비교

리디렉션 모드	성능	확장성	일관성	안정성	운영 편의
최적화 채널(프린터/오디오/스마트카드)	높음. 코덱/압축 최적	높음. 서버 자원 효율	높음. 드라이버리스	높음. 표준화	높음. 중앙 정책
USB 패스스루(범용)	중간~높음(지연 민감 영향)	중간. 세션당 리소스 부담	중간. 드라이버 의존	중간. 장치별 편차	중간. 예외 관리 필요
서버 측 처리/매핑(파일/프린트 서버)	중간. 네트워크 경로 좌우	높음. 서버 집중화	높음. 표준 프로토콜	높음. 서버 보호 용이	높음. 단일 거점 관리

정책은 결국 트레이드오프 선택이다

보안을 최우선에 두면 기본 차단, 화이트리스트, 읽기 전용 드라이브 매핑, 프린트 워터마크·감사를 다 켜야 하고 초기 온보딩 비용이 올라간다. 성능을 우선하면 오디오/카메라는 최적화 채널로, QoS 우선순위를 걸고 USB 패스스루를 최소화해야 하는데 일부 레거시 장치의 호환성이 제한된다. 운영 효율을 우선하면 템플릿 정책과 자동 승인 흐름, 장치 태깅 자동화로 가지만 세밀한 제어는 포기해야 한다. 규정 준수를 우선하면 서버 측 렌더링·서버 근접 프린팅으로 데이터 경계를 지키고 로그 보존 주기를 정하는 대신 사용자 편의가 일부 떨어진다.

결국 정답은 하나의 설정이 아니라 파일럿으로 시작해 정책을 고도화하고 전사로 확산하는 단계적 접근이다. 장치별 최적 채널을 우선하고 USB 패스스루는 예외로만 열며, 드라이버리스를 기본값으로 삼는 원칙이 성능·보안·운영성 사이의 균형을 지키는 가장 실용적인 출발점이다.