디바이스 리디렉션 프로토콜 비교: RDP·Citrix HDX·VMware Blast는 무엇이 다른가
RDP·Citrix HDX·VMware Blast/PCoIP의 디바이스 리디렉션 성능·안정성 차이와 콜센터·의료·POS·개발 보안 업무별 적용 시나리오, 장애 대응 절차를 정리한다.
2026-08-13 · 최초 발행 2025-12-03
콜센터 상담원에게는 헤드셋 오디오 채널 하나가 전부지만, 방사선사가 쓰는 의료 영상 스캐너는 USB 프로토콜 자체를 원격 세션까지 그대로 끌고 가야 한다. 원격 데스크톱, VDI, DaaS 환경에서 이 둘을 같은 정책으로 다루면 어느 한쪽은 반드시 불편해진다. 로컬 단말의 입출력 자원을 원격 세션으로 논리적 연결하는 디바이스 리디렉션(Device Redirection)은 이 차이를 프로토콜과 정책 설계로 흡수하는 기술이다.
고수준 채널과 USB 패스스루
디바이스 리디렉션은 로컬 클라이언트에 연결된 주변기기와 데이터 경로를 원격 세션에 매핑하는 가상화 메커니즘이다. 세션 수립 시 프로토콜(RDP/ICA(HDX)/Blast/PCoIP)의 버추얼 채널(virtual channel) 위에 장치 클래스별 채널이 생성되고, 데이터는 압축·암호화를 거쳐 서버 측 드라이버/서비스로 전달된 뒤 OS/앱 API로 노출된다. 어떤 경로를 허용·차단·대체할지는 대역폭, 지연(latency), 장치 특성(isochronous vs bulk), DLP·USB 필터링 같은 보안 정책이 결정한다.
여기서 갈리는 것이 고수준 리디렉션과 저수준(USB) 리디렉션이다. 고수준 리디렉션은 프린터 매핑, 오디오 입출력, 클립보드/파일 전송, 카메라/마이크 가상 장치를 제공하며 프로토콜 최적화가 적용돼 있고 관리가 쉽다. 저수준 USB 리디렉션은 USB 프로토콜 자체를 프록시해 원격 OS에 직접 연결하는 방식으로, 동글·스마트카드·스캐너 같은 특수 장치를 지원하지만 보안 리스크와 대역폭 요구가 함께 늘어난다. 오디오/비디오/카메라 같은 미디어는 코덱과 샘플링 레이트를 동적으로 조정하고, 지연이나 패킷 손실이 발생하면 FEC/재전송 정책이 개입한다.
정책·성능·보안은 한 축에서 설계한다
정책은 장치 클래스·VID/PID·사용자/그룹·네트워크 구간(사내/외부)을 기준으로 허용(Allow)·차단(Deny)·조건부 허용(Prompt)을 나눈다. 특정 기능만 고수준 리디렉션으로 열고 나머지는 차단하거나 USB 패스스루로 분리하는 필터링·스플릿 방식을 쓰며, 감사 로깅과 알림을 연동한다.
성능 최적화는 음성·스마트카드 인증 채널을 우선하고 대용량 파일 전송은 낮은 우선순위로 두는 QoS 설계에서 시작한다. 대역폭 캡과 임계치 기반 기능 자동 축소를 걸어두고, 프린터는 드라이버 모델 변화를 최소화하는 차등 전송을, 미디어는 하드웨어 가속을 활용한다.
보안 측면에서는 드라이브·클립보드를 단방향으로 제어하거나 특정 파일 형식을 차단하고, USB 스토리지는 금지한 뒤 승인 목록만 운영하는 방식으로 데이터 유출을 막는다. 인증서 검증, 장치 핑거프린팅, 세션 격리로 신뢰 연결을 강제하고 표준 감사 이벤트를 SIEM과 연계한다. 이런 정책 중심 제어를 도입하면 로컬 수준의 주변기기 경험 덕에 업무 처리시간이 10~30% 단축되고, 프린터 통합·드라이버 표준화로 헬프데스크 티켓이 20% 이상 줄어드는 효과를 기대할 수 있다. 데이터센터 내 처리를 유지하고 에지 단말을 무신뢰화하면 DLP 리스크도 함께 낮아진다.
업무 현장마다 다른 조합이 필요하다
콜센터·원격 상담은 헤드셋 오디오/마이크를 고수준으로 리디렉션하면서 50~100ms 지연 환경에서 MOS 4.0 이상을 유지하는 것을 목표로 삼는다. 소프트폰·WebRTC를 쓸 때는 카메라/마이크 리디렉션에 에코 캔슬링·AGC 정책 튜닝이 따라붙는다.
설계·의료·제조 현장은 3D 마우스, 하드웨어 라이선스 동글, 의료 스캐너 같은 USB 기반 특수 장치를 리디렉션해야 해서 대역폭·지연에 민감하고 전용 네트워크·QoS가 필요하다. DICOM/PACS 뷰어는 디스플레이 가속과 프린터 고수준 리디렉션을 함께 쓴다.
리테일·물류 POS는 바코드 스캐너·영수증 프린터·서명 패드를 매핑하고, 장애 시 로컬 프린팅으로 폴백하는 경로와 오프라인 구간을 대비한 스토어-앤드-포워드·재연결 정책을 준비해둔다.
개발·보안 업무는 스마트카드·FIDO2 기반 다중인증 장치를 리디렉션하되 서명·암호화 작업은 서버 측 CSP/KSP를 쓰도록 권장한다. 소스 유출을 막기 위해 드라이브·클립보드는 단방향 또는 차단하고, 세션 녹화·워터마킹을 함께 건다.
도입 절차와 장애 대응
도입은 장치 목록·클래스, 대역폭·지연 예측, 보안·규제 항목을 정의하는 요구 분석에서 시작한다. 이어서 허용 매트릭스(사용자×장치×구간), 고수준/USB 분기, 로깅 레벨을 정하는 정책 설계, 표준·비표준 장치를 교차 테스트하며 실패율·지연·MOS 지표를 수집하는 파일럿, 기능 토글을 두고 단계적으로 확대하는 전개, 마지막으로 SIEM·NetFlow 모니터링과 이상치 탐지·주기적 재검토로 이어지는 운영 단계를 거친다.
운영 중에는 세 갈래 장애를 준비해야 한다. 인증/TLS 실패는 연결을 차단하고 재시도 백오프를 걸며 CA/CRL을 점검한다. 장치가 VID/PID로 식별되지 않으면 고수준 대체나 차단으로 처리하고 헬프데스크 티켓을 자동 생성한다. 대역폭이 부족하면 파일 전송 우선순위를 낮추고 미디어 비트레이트·프레임레이트를 줄이며, 임계치를 넘으면 기능을 일시 비활성화한다.
RDP·Citrix HDX·VMware Blast 비교
| 항목 | RDP (Windows/AVD) | Citrix HDX (ICA) | VMware Blast/PCoIP |
|---|---|---|---|
| 성능 | 고수준 리디렉션 성숙, 미디어 최적화 양호 | 광범위한 미디어/USB 최적화, WAN 성능 우수 | 영상/이미지 품질 강점, 지연 환경에서 안정적 |
| 확장성 | Windows 네이티브, AVD와 연계 용이 | 대규모 엔터프라이즈에 검증됨 | 하이브리드/멀티클라우드 배치 유연 |
| 일관성 | OS/버전 간 차이 존재, 일부 USB 제한 | 이기종 단말/OS에서 일관성 높음 | 다양한 단말 지원, 기능 가변성 존재 |
| 안정성 | 표준 장치에 안정적, RemoteFX USB는 폐기(최신 정보 확인 필요) | 정책/드라이버 스택 견고 | 네트워크 품질 변화에 강건 |
| 운영 편의 | GPO·Intune로 일괄 관리 용이 | 세밀한 정책·프로파일 제공 | 콘솔 중심 일괄 정책 관리 |
USB 패스스루는 프로토콜과 무관하게 보안상 제한·규제가 많고, RDP의 RemoteFX USB는 보안 이슈로 비활성화됐다(최신 정보 확인 필요).
실제 설정: FreeRDP·RDP 파일·PowerShell
Ubuntu 22.04, FreeRDP 2.10+ 환경에서 서버가 RDS/VDI에 RDP를 활성화했다고 전제하면, 드라이브·오디오·마이크·특정 USB 장치(웹캠 0x046d:0x0825)를 한 번에 리디렉션하는 명령은 다음과 같다.
# 드라이브, 오디오, 마이크, 특정 USB 장치(예: 0x046d:0x0825 웹캠) 리디렉션
xfreerdp /v:rdp.example.com /u:USER /p:PASS \
/drive:home,$HOME \
/sound:sys:alsa /microphone:sys:alsa \
/usb:id,dev:046d:0825 \
/clipboard /dynamic-resolution /network:autoWindows 10/11의 MSTSC 클라이언트에서는 .rdp 파일 설정으로 고수준 리디렉션만 지정할 수 있다.
full address:s:rdp.example.com
redirectprinters:i:1
redirectcomports:i:0
drivestoredirect:s:*
audiocapturemode:i:1
redirectsmartcards:i:1
redirectclipboard:i:1
USB 패스스루는 보안·지원 제한이 있고, 조직 정책으로 차단되면 우회할 수 없다는 점은 주의해야 한다.
Windows Server 2019/2022에 관리자 권한으로 접속했다면, 로컬 컴퓨터 정책에서 드라이브·프린터·클립보드·마이크 리디렉션을 허용하는 PowerShell 스크립트는 다음과 같다.
# 로컬 컴퓨터 정책 경로
$ts = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services'
# 드라이브/프린터/클립보드 리디렉션 허용(=비활성화 정책 0)
New-Item -Path $ts -Force | Out-Null
New-ItemProperty -Path $ts -Name 'fDisableCdm' -Value 0 -Type DWord -Force | Out-Null # 드라이브
New-ItemProperty -Path $ts -Name 'fDisableCpm' -Value 0 -Type DWord -Force | Out-Null # 프린터 매핑
New-ItemProperty -Path $ts -Name 'DisableClipboardRedirection' -Value 0 -Type DWord -Force | Out-Null # 클립보드
New-ItemProperty -Path $ts -Name 'fDisableAudioCapture' -Value 0 -Type DWord -Force | Out-Null # 마이크조직 GPO/MDM이 우선 적용될 수 있고, RemoteFX USB 관련 설정은 사용을 피하는 편이 좋다(최신 정보 확인 필요).
정책은 결국 트레이드오프다
원칙은 명확하다. 고수준 리디렉션을 우선하고 USB 패스스루는 예외 승인제로 운영하며, 네트워크 QoS와 우선순위 정책으로 음성·인증 채널을 지키고, 양방향 데이터 경로는 최소화한다.
다만 어느 쪽을 택하든 대가가 따른다. USB를 차단하면 보안은 높아지지만 특수 장치 호환성이 떨어진다. 낮은 지연을 확보하려면 비트레이트·품질을 희생해야 한다. 규칙을 단순화하면 관리는 쉬워지지만 예외 상황 대응이 어려워진다. 장치 유형별로 고수준 리디렉션을 기본값으로 삼고, 정책 기반 예외로 USB 패스스루를 제한 적용하는 전략이 성능·보안·운영 편의 사이에서 가장 실용적인 균형점이다.