테일스케일(Tailscale) 2026 완벽 가이드: 무료 6명·기기 무제한 개편, 원리·보안·NAS 설정

최종 기준일: 2026년 11월 4일 (Tailscale Pricing v4 공식 명세 · v1.104.5 체인지로그 · 공식 DERP 맵 · 보안 공지 교차 검증 완료)

공유기 관리자 페이지에 들어가 5001번, 22번 포트포워딩을 하나씩 열고 DDNS 주소를 갱신하던 외부 접속 방식은 빠르게 자취를 감추고 있습니다. 통신사 모뎀 밑에 사설 공유기가 물린 이중 NAT나 CGNAT 환경에서도 프로그램만 설치하면 내 기기들을 하나의 사설 랜선처럼 묶어주는 테일스케일(Tailscale) 덕분입니다.

테일스케일은 오픈소스 WireGuard 암호화 프로토콜 위에 자동 키 교환과 NAT 홀펀칭 기술을 얹은 제로트러스트 메시(Mesh) 오버레이 네트워크입니다. 하지만 국내 검색 결과에 남아 있는 가이드 상당수는 과거 기준에 머물러 있습니다. 2026년 4월 8일 요금제 전면 개편(Pricing v4)으로 “무료 3명·100대”라는 공식이 깨졌고, 2026년 2월 전 플랜에 정식 출시된 ‘Peer Relays’와 2026년 10월 말 패치된 ‘Tailworm(v1.104.4)’ SSH 보안 이슈까지 굵직한 변화가 잇달았기 때문입니다.

이번 글에서는 2026년 11월 기준 최신 무료 한도와 요금 경계선을 먼저 바로잡고, 포트포워딩 없이 뚫리는 기술 원리와 ‘서울 중계 서버 부재’ 해결책, Cloudflare Tunnel·ZeroTier와의 실전 분업 공식, 그리고 시놀로지 NAS·맥미니 로컬 LLM·해외 애플TV Exit Node 설정과 필수 보안 수칙까지 한 페이지에 정리합니다.

1. 30초 핵심 구조: 조정 서버는 ‘전화번호부’일 뿐 데이터는 기기끼리 직결된다

기존 중앙집중형 VPN(상용 프라이버시 VPN이나 구형 사내 VPN 게이트웨이)은 모든 기기의 트래픽을 중앙 서버 한 곳으로 모았다가 다시 내보내므로 병목이 생기고 운영사가 트래픽 흐름을 볼 수 있습니다. 반면 테일스케일은 컨트롤 플레인(조정 서버)과 데이터 플레인(실제 통신 경로)을 철저히 분리합니다.

• 컨트롤 플레인이 아는 것: 구글·애플·GitHub 등 SSO 로그인 신원, 각 기기가 기기 내부에서 직접 생성한 공개키(Public Key), 현재 통신 가능한 공인 IP·포트 후보(Endpoint), 그리고 관리자가 작성한 접근 권한 규칙(Grants/ACL)뿐입니다. 개인키(Private Key)는 단 한 순간도 기기 밖으로 나가지 않습니다.
• 데이터 플레인이 하는 일: 번호표를 교환한 내 노트북과 집 서버는 테일스케일 중앙 서버를 거치지 않고 기기 대 기기(P2P)로 직접 WireGuard 암호화 터널을 맺습니다. 각 기기에는 공인 인터넷과 격리된 CGNAT 예약 대역(100.64.0.0/10)의 고정 사설 IP와 기억하기 쉬운 MagicDNS 도메인(기기명.테일넷이름.ts.net)이 부여됩니다.

즉, 별도로 Exit Node(출구 노드) 기능을 켜지 않는 한 평소 웹 서핑이나 유튜브 트래픽은 테일스케일을 전혀 타지 않고 원래 쓰던 와이파이·LTE로 곧장 나가며, 오직 내 테일넷 주소(100.x.y.z)를 호출할 때만 암호화 직통 회선이 작동합니다.

2. 2026 요금제 팩트체크: “무료 3명·100대”는 옛말, ‘6명·기기 무제한’ 시대

국내 블로그와 유튜브에 가장 널리 퍼진 오정보가 “테일스케일 무료 플랜은 3명·100대까지”라는 설명입니다. 이 기준은 2026년 3월까지 적용되던 구 요금제(Pricing v3)이며, 2026년 4월 8일 시행된 ‘Pricing v4’ 개편으로 무료 범위와 과금 단위가 완전히 재편되었습니다.

<g transform="translate(28, 84)" font-family="Pretendard, Apple SD Gothic Neo, Noto Sans KR, sans-serif">
  <rect x="0" y="0" width="176" height="142" rx="12" fill="#1e293b" stroke="#334155"/>
  <text x="16" y="28" fill="#94a3b8" font-size="13" font-weight="700">구버전 (Pricing v2)</text>
  <text x="16" y="58" fill="#cbd5e1" font-size="16" font-weight="700">사용자 1명</text>
  <text x="16" y="84" fill="#94a3b8" font-size="13.5">• 기기 최대 20대</text>
  <text x="16" y="106" fill="#94a3b8" font-size="13.5">• 서브넷 라우터 1개</text>

  <text x="190" y="76" fill="#64748b" font-size="18" font-weight="700" text-anchor="middle">➔</text>

  <rect x="204" y="0" width="176" height="142" rx="12" fill="#1e293b" stroke="#475569"/>
  <text x="220" y="28" fill="#94a3b8" font-size="13" font-weight="700">~2026.03 (구 v3)</text>
  <text x="220" y="58" fill="#cbd5e1" font-size="16" font-weight="700">사용자 3명</text>
  <text x="220" y="84" fill="#94a3b8" font-size="13.5">• 기기 최대 100대</text>
  <text x="220" y="106" fill="#fca5a5" font-size="12.5" font-weight="600">(흔한 구식 블로그 정보)</text>

  <text x="394" y="76" fill="#38bdf8" font-size="18" font-weight="800" text-anchor="middle">➔</text>

  <rect x="408" y="0" width="176" height="142" rx="12" fill="#172554" stroke="#3b82f6" stroke-width="2"/>
  <text x="424" y="28" fill="#93c5fd" font-size="13" font-weight="700">2026.04.08~ (현행 v4)</text>
  <text x="424" y="58" fill="#f8fafc" font-size="16.5" font-weight="800">최대 6명 ($0)</text>
  <text x="424" y="84" fill="#6ee7b7" font-size="13.5" font-weight="700">• 사용자 기기 무제한(∞)</text>
  <text x="424" y="106" fill="#e2e8f0" font-size="13">• 태그 리소스 50개 포함</text>
  <text x="424" y="126" fill="#93c5fd" font-size="12">• 비상업 개인·가족 용도</text>

  <rect x="0" y="156" width="584" height="38" rx="8" fill="#1e293b"/>
  <text x="16" y="180" fill="#e2e8f0" font-size="12.5" font-weight="600">무료 플랜 부가 옵션: Mullvad Exit Node 애드온(5대당 월 $5) · Tailnet Lock 이용 가능</text>
</g>

2026년 11월 공식 요금표 기준 4개 티어의 정확한 스펙과 과금 경계는 다음과 같습니다. 기존 유료 가족용이었던 Personal Plus($5/월)는 폐지되어 그 혜택이 무료 플랜으로 흡수되었고, 기존 Starter(월간 활성 사용자당 $6)는 구매한 좌석(Seat)당 과금되는 Standard($8/좌석)로 바뀌었습니다.

여기서 홈랩·개발자 독자가 꼭 짚고 넘어가야 할 세 가지 포인트가 있습니다.

1. ‘사용자 기기(무제한)’와 ‘태그 리소스(50개)’의 차이: 내 개인 계정으로 로그인한 아이폰, 맥북, 집의 맥미니나 애플TV처럼 태그(tag:*)가 붙지 않은 개인 기기는 대수 제한이 아예 없습니다. 관리 목적상 소유권을 개인에서 분리해 tag:server, tag:nas처럼 태그를 부여한 공유 인프라만 50개 무료 쿼터에서 차감됩니다(초과 시 개당 월 $1, 임시 컨테이너용 Ephemeral 노드는 월 1,000분 무료 · 공식 안내상 현재는 하드 리밋 미적용 상태이며 수개월 내 도입 예정).
2. 개인·가족 사용자는 유료 결제 이유가 사실상 제로: 과거에는 서브넷 라우터 개수나 사용자 3명 제한 때문에 유료를 고민했지만, 이제 핵심 네트워킹 기능은 전부 무료 Personal에 열려 있습니다. 심지어 조정 서버가 해킹당해도 내 서명 없이는 새 기기 침투를 막는 최고급 보안 기능 Tailnet Lock조차 무료 Personal과 Enterprise에만 제공됩니다. 단, 무료 플랜은 비상업적 용도 전용이므로 회사 도메인 이메일 대신 개인 Gmail·Apple·GitHub 계정으로 생성해야 합니다.
3. Mullvad VPN 애드온과 SSH 녹화 변경: 해외 상용 VPN 출구가 필요할 때는 별도 앱 설치 없이 테일스케일 관리자 콘솔에서 기기 5대당 월 $5에 Mullvad 글로벌 서버를 Exit Node로 붙일 수 있습니다(무료 플랜 구매 가능, 베타). 반면 옛 가이드에서 무료로 소개되던 SSH 세션 녹화(tsrecorder)는 현재 지원 중단(deprecated, 2027년 8월 종료)되어 기업용 PAM 확장 영역으로 이관되었습니다.

3. 포트포워딩 없이 뚫리는 원리와 한국 사용자의 ‘서울 DERP 부재’ 해법

통신사 공유기 뒤에 사설 공유기를 또 물린 이중 NAT 환경이나 LTE·5G 모바일 망(CGNAT)에서도 인바운드 포트 개방 없이 어떻게 직결이 성립할까요? 비밀은 STUN 기반 동시 송신 홀펀칭(UDP Hole Punching)과 3단계 폴백 사다리에 있습니다.

1. STUN 탐색 및 동시 발사: 두 기기는 먼저 STUN 서버에 패킷을 보내 “내가 인터넷 바깥에서 어떤 공인 IP와 포트로 보이는지” 확인하고 이 좌표를 조정 서버로 맞교환합니다. 그 직후 양쪽 기기가 상대 좌표를 향해 동시에 UDP 패킷을 쏩니다. 방화벽은 ‘안에서 밖으로 먼저 보낸 패킷의 응답’만 통과시키는데, 양쪽이 먼저 쏜 패킷이 각자의 방화벽에 상대 패킷이 들어올 구멍을 뚫어주는 원리입니다.
2. 대칭형 NAT(Hard NAT)와 생일 역설 탐색: 목적지마다 외부 포트를 무작위로 바꾸는 까다로운 Hard NAT이 한쪽에만 있을 때는 생일 역설(Birthday Paradox) 원리를 응용해 포트 후보군을 빠르게 두드려 높은 확률(1,024회 탐색 시 약 98%, 2,048회 시 99.9%)로 직결을 성사시킵니다. 하지만 양쪽 모두 Hard NAT이거나 회사·호텔 방화벽이 UDP 자체를 막아두면 직결이 불가능해져 중계(Relay) 경로로 내려갑니다.

<g transform="translate(28, 82)" font-family="Pretendard, Apple SD Gothic Neo, Noto Sans KR, sans-serif">
  <rect x="0" y="0" width="584" height="58" rx="10" fill="#064e3b" stroke="#10b981" stroke-width="1.5"/>
  <text x="18" y="25" fill="#6ee7b7" font-size="14.5" font-weight="700">1순위: WireGuard P2P 직결 (UDP · 국내 통신망 직통 · 최고 속도)</text>
  <text x="18" y="45" fill="#d1fae5" font-size="12.5">양쪽 중 최소 한쪽이 Easy NAT이거나 포트 탐색 성공 시 (일반적인 가정 회선 ↔ 외부 연결)</text>

  <text x="292" y="78" fill="#94a3b8" font-size="13.5" font-weight="700" text-anchor="middle">▼ 양쪽 Hard NAT 등으로 직결 실패 시</text>

  <rect x="0" y="90" width="584" height="62" rx="10" fill="#172554" stroke="#3b82f6" stroke-width="1.5"/>
  <text x="18" y="115" fill="#93c5fd" font-size="14.5" font-weight="700">2순위: 내 Peer Relay 경유 (UDP · 2026.02 정식 출시 · 전 플랜 지원)</text>
  <text x="18" y="137" fill="#dbeafe" font-size="12.5">공인 UDP 포트가 열린 내 홈서버·국내 VM 지정 시 도쿄·홍콩 우회 없이 국내 고속 중계</text>

  <text x="292" y="172" fill="#94a3b8" font-size="13.5" font-weight="700" text-anchor="middle">▼ 피어 릴레이 미설정 또는 망에서 UDP 전면 차단 시</text>

  <rect x="0" y="184" width="584" height="76" rx="10" fill="#450a0a" stroke="#ef4444" stroke-width="1.5"/>
  <text x="18" y="210" fill="#fca5a5" font-size="14.5" font-weight="700">3순위(최후 보루): 공식 DERP 중계 서버 (TCP 443 · ★ 서울 리전 없음!)</text>
  <text x="18" y="232" fill="#fecaca" font-size="12.5">공식 28개 리전 중 한국이 없어 도쿄(tok)·홍콩(hkg)을 왕복 ➔ 지연시간 상승 및 처리량 저하</text>
  <text x="18" y="250" fill="#fca5a5" font-size="12">진단 명령어: tailscale status  |  tailscale ping 기기명  |  tailscale netcheck</text>
</g>

모바일 독자를 위해 테일스케일이 연결을 수립하는 3단계 폴백 순서를 텍스트로 요약하면 다음과 같습니다.

• 1단계 (P2P UDP 직결): 홀펀칭에 성공해 국내 통신망 안에서 기기끼리 직접 통신합니다(tailscale status에 direct 표기).
• 2단계 (Peer Relay UDP 중계): 양쪽 모두 Hard NAT이라 직결이 실패했을 때, 내가 미리 지정해 둔 테일넷 내부 릴레이 노드를 경유합니다.
• 3단계 (공식 DERP TCP 443 중계): 피어 릴레이가 없거나 방화벽이 아웃바운드 UDP 자체를 차단했을 때 HTTPS(443) 위에서 동작하는 공식 중계 서버를 거칩니다(종단간 암호화는 그대로 유지).

한국 사용자가 꼭 알아야 할 ‘서울 DERP 부재’와 2026년식 해법 (Peer Relays)

2026년 11월 현재 테일스케일이 운영하는 전 세계 28개 공식 DERP(Designated Encrypted Relay for Packets) 중계 리전 중 아시아·중동 거점은 도쿄(tok), 홍콩(hkg), 싱가포르(sin), 벵갈루루(blr), 두바이(dbi)뿐이며 서울 리전은 존재하지 않습니다.

따라서 터미널에서 tailscale status를 쳤을 때 direct 대신 relay "tok"가 떠 있다면, 옆방에 있는 서버에 접속하더라도 암호화된 패킷이 도쿄까지 다녀오느라 응답성이 둔해집니다. 예전에는 이를 해결하려고 도메인과 인증서를 직접 세팅해 커스텀 derper 서버를 구축해야 했지만, 2026년 2월 정식 출시(GA)된 Peer Relays(클라이언트 v1.86 이상, 무료 Personal 포함 전 플랜 지원 · 2025년 베타 발표 기준 무료 2개 안내) 덕분에 공인 UDP 포트 하나만 열 수 있는 국내 리눅스·맥·윈도우 노드에서 tailscale set --relay-server-port=<포트>와 tailscale.com/cap/relay 권한만 부여하면 양쪽 Hard NAT 환경에서도 한국 내 전용 고속 UDP 중계소를 쓸 수 있습니다(iOS·애플TV·안드로이드는 릴레이를 ‘이용’만 가능하며, UDP 자체가 막힌 망에서는 TCP 443 DERP로 폴백).

4. Tailscale vs Cloudflare Tunnel vs WireGuard vs ZeroTier: 정답은 ‘이원화’

홈서버나 NAS를 운용할 때 자주 비교되는 다섯 가지 도구(Headscale·NetBird 포함)는 우열을 가리는 대체재가 아니라 네트워크 계층과 공개 대상이 전혀 다른 상호보완재입니다.

<g transform="translate(28, 60)" font-family="Pretendard, Apple SD Gothic Neo, Noto Sans KR, sans-serif">
  <rect x="0" y="0" width="584" height="40" rx="8" fill="#1e293b"/>
  <text x="14" y="25" fill="#cbd5e1" font-size="13.5" font-weight="700">활용 시나리오</text>
  <text x="222" y="25" fill="#93c5fd" font-size="13" font-weight="700" text-anchor="middle">Tailscale</text>
  <text x="302" y="25" fill="#fcd34d" font-size="13" font-weight="700" text-anchor="middle">CF Tunnel</text>
  <text x="382" y="25" fill="#cbd5e1" font-size="13" font-weight="700" text-anchor="middle">WireGuard</text>
  <text x="462" y="25" fill="#6ee7b7" font-size="13" font-weight="700" text-anchor="middle">ZeroTier</text>
  <text x="540" y="25" fill="#d8b4fe" font-size="13" font-weight="700" text-anchor="middle">Headscale</text>

  <line x1="0" y1="84" x2="584" y2="84" stroke="#1e293b" stroke-width="1.5"/>
  <text x="14" y="68" fill="#f8fafc" font-size="13.5" font-weight="600">내 기기 SSH · NAS · LLM</text>
  <text x="222" y="68" fill="#34d399" font-size="14" font-weight="700" text-anchor="middle">● 최적</text>
  <text x="302" y="68" fill="#94a3b8" font-size="13" text-anchor="middle">◐ 웹위주</text>
  <text x="382" y="68" fill="#fbbf24" font-size="13" text-anchor="middle">◐ 공인IP</text>
  <text x="462" y="68" fill="#fbbf24" font-size="13" text-anchor="middle">◐ 10대</text>
  <text x="540" y="68" fill="#34d399" font-size="14" font-weight="700" text-anchor="middle">● 최적</text>

  <line x1="0" y1="128" x2="584" y2="128" stroke="#1e293b" stroke-width="1.5"/>
  <text x="14" y="112" fill="#f8fafc" font-size="13.5" font-weight="600">가족 영상 스트리밍·대용량</text>
  <text x="222" y="112" fill="#34d399" font-size="14" font-weight="700" text-anchor="middle">● 최적</text>
  <text x="302" y="112" fill="#f87171" font-size="12.5" font-weight="700" text-anchor="middle">✕ 약관리스크</text>
  <text x="382" y="112" fill="#34d399" font-size="14" font-weight="700" text-anchor="middle">● 최적</text>
  <text x="462" y="112" fill="#fbbf24" font-size="13" text-anchor="middle">◐ 가능</text>
  <text x="540" y="112" fill="#34d399" font-size="14" font-weight="700" text-anchor="middle">● 최적</text>

  <line x1="0" y1="172" x2="584" y2="172" stroke="#1e293b" stroke-width="1.5"/>
  <text x="14" y="156" fill="#f8fafc" font-size="13.5" font-weight="600">불특정 다수 공개 웹사이트</text>
  <text x="222" y="156" fill="#94a3b8" font-size="13" text-anchor="middle">◐ 데모용</text>
  <text x="302" y="156" fill="#34d399" font-size="14" font-weight="700" text-anchor="middle">● 최적</text>
  <text x="382" y="156" fill="#64748b" font-size="13" text-anchor="middle">✕ 부적합</text>
  <text x="462" y="156" fill="#64748b" font-size="13" text-anchor="middle">✕ 부적합</text>
  <text x="540" y="156" fill="#64748b" font-size="13" text-anchor="middle">✕ 부적합</text>

  <line x1="0" y1="216" x2="584" y2="216" stroke="#1e293b" stroke-width="1.5"/>
  <text x="14" y="200" fill="#f8fafc" font-size="13.5" font-weight="600">구형 LAN 브로드캐스트 게임</text>
  <text x="222" y="200" fill="#64748b" font-size="13" text-anchor="middle">✕ L3전용</text>
  <text x="302" y="200" fill="#64748b" font-size="13" text-anchor="middle">✕ 불가</text>
  <text x="382" y="200" fill="#64748b" font-size="13" text-anchor="middle">✕ L3전용</text>
  <text x="462" y="200" fill="#34d399" font-size="14" font-weight="700" text-anchor="middle">● L2지원</text>
  <text x="540" y="200" fill="#64748b" font-size="13" text-anchor="middle">✕ L3전용</text>

  <rect x="0" y="228" width="584" height="36" rx="8" fill="#172554"/>
  <text x="14" y="251" fill="#bfdbfe" font-size="12.5" font-weight="600">표준 구성: 공개 웹은 Cloudflare Tunnel + 사설 SSH·NAS·AI 서버는 Tailscale 병행</text>
</g>

왜 NAS 영상 스트리밍과 파일 백업에 Cloudflare Tunnel을 쓰면 안 될까?

Cloudflare Tunnel은 클라이언트 앱 설치 없이 브라우저만으로 내 웹서비스에 접속하게 해주는 훌륭한 도구지만, NAS 미디어 서버(Plex·Jellyfin)나 대용량 파일 전송에 쓰면 세 가지 장벽에 막힙니다.

1. 약관 위반 소지: 2026년 9월 28일 갱신된 Cloudflare 서비스별 약관은 별도 유료 서비스(Developer Platform·Images·Stream) 없이 CDN을 통해 동영상이나 불균형적인 대용량 파일을 제공할 경우 이용을 제한할 수 있다고 규정하고 있으며, Tunnel로 공개한 호스트명 역시 CDN 프록시를 거치므로 약관 위반 소지가 있습니다.
2. 업로드 100MB 상한(413 오류): Free 및 Pro 도메인 플랜은 단일 HTTP 요청 본문이 100MB로 제한되어, 분할 업로드를 지원하지 않는 웹앱에서 대용량 동영상을 올리면 실패합니다.
3. 국내 트래픽 해외 우회 현상: 한국의 높은 대역폭(트랜짓) 비용 탓에 국내 방문자가 Cloudflare 무료·하위 플랜 도메인에 접속할 때 서울(ICN) 엣지 대신 도쿄(NRT)나 미국 서부(LAX/SJC)로 우회 라우팅되어 체감 지연이 커지는 현상이 커뮤니티에 널리 보고되고 있습니다. 반면 국내 기기끼리 P2P로 직결된 테일스케일은 패킷이 국내 통신사 망을 벗어나지 않고 회선 속도에 가깝게 통신합니다.

(참고로 테일스케일에도 외부 공개용 Tailscale Funnel이 있으나 포트 443·8443·10000 제한과 비공개 대역폭 스로틀링이 걸린 베타 기능이므로 웹훅 테스트나 임시 데모 공유용으로만 쓰는 것이 적합하며, ZeroTier는 2025년 11월 이후 가입한 신규 계정의 무료 한도가 기존 25대에서 10대·네트워크 1개로 축소되었습니다.)

5. 한국 독자 맞춤 3대 킬러 시나리오와 실전 설정법

① 맥미니·미니PC 로컬 LLM (Ollama + Open WebUI) & 원격 코딩 환경 구축

집에 M5 Max 맥북·맥 스튜디오나 RTX 5090·DGX Spark 기반 로컬 LLM 서버를 구축해 두고 카페나 이동 중에 접속하려는 수요가 급증하고 있습니다. 이때 가장 위험한 실수가 OLLAMA_HOST=0.0.0.0 설정과 함께 공유기 11434번 포트를 인터넷에 열어두는 것입니다. Cisco 보안팀이 Shodan으로 스캔한 결과 인터넷에 노출된 Ollama 서버 1,100여 대 중 약 20%가 아무런 인증 없이 외부에 모델을 내어주고 있었습니다.

• 안전한 표준 구성 (tailscale serve): Ollama는 기본값인 로컬 루프백(127.0.0.1:11434)에만 묶어두고 같은 기기에 띄운 Open WebUI 포트(예: 3000 또는 8080)만 tailscale serve 3000 명령으로 게시하세요(첫 실행 시 콘솔에서 MagicDNS·HTTPS 인증서 활성화 필요). 공유기 포트를 하나도 열지 않고도 내 테일넷 기기들에서만 접속 가능한 정식 Let’s Encrypt HTTPS 주소(https://기기명.테일넷명.ts.net)가 생성됩니다.
• macOS 원격 SSH 코딩 주의점: 밖에서 맥북 프로로 VS Code Remote-SSH나 Claude Code 터미널을 열어 집 맥미니에 붙을 때, 앱스토어·공식 홈페이지에서 설치하는 GUI용 macOS 테일스케일 앱은 Tailscale SSH ‘클라이언트’만 지원하고 ‘서버’ 역할은 하지 않습니다. 맥에서는 번거롭게 데몬형을 따로 깔 필요 없이 macOS 시스템 설정의 기본 ‘원격 로그인(sshd)’을 켜고 공유기 22번 포트는 닫은 채 MagicDNS 호스트명으로 SSH 접속하는 것이 가장 깔끔합니다.

② 시놀로지(Synology) NAS 5000·5001 포트 완전 폐쇄 체크리스트

2026년 10월 시놀로지 PHP 기반 앱 취약점 패치와 같은 시기에 국내외 커뮤니티에서 'LOCK3D' 감염 피해 보고가 이어졌고(두 사안의 직접적 연관성은 미확인), 한국인터넷진흥원(KISA) 역시 일관되게 “NAS 운영 시 인터넷을 통한 직접 접속 지양 및 접근 권한 최소화”를 권고하고 있습니다.

1. 수동 SPK 설치 권장: 공식 문서 기준 시놀로지 패키지 센터 내 버전은 더 이상 지원되지 않으므로, pkgs.tailscale.com에서 본인 NAS CPU 아키텍처에 맞는 최신 DSM 7용 .spk 파일을 받아 수동 설치합니다.
2. DSM 7 아웃바운드 제한 해제 (configure-host): DSM 7 샌드박스 권한 제약 때문에 기본 설치만으로는 NAS 내부 앱(Hyper Backup 등)이 테일넷의 다른 기기로 먼저 나가는 아웃바운드(Outbound) 연결이 막힙니다. 제어판 ➔ 작업 스케줄러 ➔ 생성 ➔ 트리거된 작업(사용자 정의 스크립트)에서 사용자를 root, 이벤트를 부팅 시로 두고 아래 두 줄을 등록해 1회 실행해 주세요(Tailscale 패키지를 업그레이드한 뒤에는 다시 실행 필요).

   /var/packages/Tailscale/target/bin/tailscale configure-host
   synosystemctl restart pkgctl-Tailscale.service

3. 공유기 포트 폐쇄 및 방화벽 정리: 스마트폰 LTE 상태에서 100.x.y.z:5000으로 DSM 접속이 잘 되는 것을 확인했다면, 공유기의 5000, 5001, 445(SMB), 22번 포트포워딩과 UPnP 자동 포트 개방, 불필요한 QuickConnect를 끄고 DSM 방화벽에서 100.64.0.0/255.192.0.0(100.64.0.0/10) 대역을 허용합니다. (단, 포트 폐쇄는 인터넷 정면 노출만 줄여줄 뿐이므로 내부 PC 감염에 대비한 스냅샷·오프라인 백업은 별도로 유지해야 합니다.)

③ 해외여행·출장 시 집 ‘애플TV’를 상시 Exit Node로 활용하기

해외 자유여행이나 출장을 준비할 때 별도 미니PC가 없더라도 거실에 꽂혀 있는 애플TV(tvOS 17 이상)에 테일스케일 앱을 설치해 Run as Exit Node를 켜고 관리자 콘솔에서 승인하면 훌륭한 상시 출구 노드가 됩니다. 이때 애플TV가 잠자기 모드로 들어가며 연결이 끊기지 않도록 반드시 애플 홈 앱에서 ‘홈 허브(Home Hub)’로 활성화된 상태인지 확인하세요.

공항·호텔의 불안한 개방형 와이파이에서 캡티브 포털 로그인을 마친 뒤 Exit Node를 켜면 모든 패킷이 집 공유기까지 암호화되어 전달됩니다. 다만 해외에서 체감하는 다운로드 속도의 상한은 한국 집 인터넷 회선의 ‘업로드 속도’에 묶이며(구형 Apple TV HD 모델은 유선랜 100Mbps 한계 존재), OTT 지역 제한 우회는 서비스 약관 위반 소지가 있고 국내 은행·증권사의 ‘해외IP차단’ 서비스는 접속 IP 외 요소를 함께 점검할 수 있으므로(차단 시 영업점 대면 해제 필요) 금융 업무는 출국 전 각 금융사 정책을 확인하는 것이 안전합니다.

6. 2026.10 ‘Tailworm’ 보안 이슈 점검과 초기 설정 5대 함정

테일스케일은 설치 직후 기본값 그대로 방치할 때 생기는 보안·운용 허점이 명확합니다. 지금 당장 관리자 콘솔(login.tailscale.com)에서 아래 다섯 항목을 점검해 보세요.

1. ‘Tailworm’ 보안 패치(v1.104.4 이상) 즉시 업데이트: 2026년 10월 24일(미국 시간) 공개된 Tailscale 보안 공지 묶음(TS-2026-014~017) 중 핵심인 TS-2026-014는 외부 해커가 테일넷을 뚫고 들어오는 취약점이 아니라, 이미 테일넷 내부에 들어와 있고 SSH 및 포워딩 권한까지 부여받은 노드에서 클라이언트 tailscaled가 유닉스 소켓 포워딩을 root 권한으로 수행해 발생하던 권한 상승 결함이었습니다(015는 SSH 메모리 고갈, 016·017은 Serve 관련 결함이며 Headscale 환경도 클라이언트 업데이트 필요). 10월 28일 배포된 v1.104.4(최신 v1.104.5)에서 인증된 사용자 권한으로 실행되도록 수정되었으므로, Tailscale SSH 서버로 쓰는 리눅스 노드를 최우선으로 올리고 수동 업데이트가 필요한 시놀로지 NAS도 함께 최신 버전으로 유지하세요.
2. 기본 ‘전체 허용(Allow All)’ 정책을 단방향 Grants로 좁히기: 새 테일넷을 만들면 기본적으로 내 테일넷 안의 모든 기기가 서로의 모든 포트를 찌를 수 있습니다. 상대적으로 보안 업데이트가 느린 IoT 기기나 미디어 서버가 역으로 내 메인 노트북에 접속하지 못하도록, 2025년 정식 도입된 Grants 정책에서 내 노트북·폰 ➔ 서버·NAS 단방향으로만 길을 열어두는 것이 정석입니다.
3. 서버 노드의 ‘180일 키 만료(Key Expiry)’ 해제: 기본 설정상 태그가 없는 일반 사용자 기기는 180일마다 재로그인을 요구합니다(태그가 부여된 기기는 기본 해제). 장기 출장 중 개인 계정으로 로그인해 둔 집의 애플TV나 NAS 키가 만료되면 원격 접속이 끊기므로, 상시 서버 역할 기기는 콘솔 메뉴에서 Disable key expiry를 켜고 분실 위험이 있는 휴대용 기기는 만료를 유지하세요.
4. iOS 배터리 및 타 VPN 충돌 관리: 아이폰은 OS 정책상 동시에 하나의 일반 VPN 터널만 유지할 수 있어 광고 차단용 로컬 VPN 앱이나 사내 VPN과 충돌합니다. 상시 연결 대신 테일스케일 앱의 VPN On Demand 기능을 활용해 집 와이파이를 벗어날 때만 켜지도록 조건을 걸면 배터리 소모와 충돌을 줄이는 데 도움이 됩니다.
5. 업무용 단말 임의 설치 금지: 금융권 망분리 환경이나 일반 기업의 보안 관제 하에 있는 사내 PC에 개인 테일스케일을 설치하면 비인가 우회 터널(DLP 우회 시도)로 경보가 발생할 수 있으므로 철저히 개인 소유 단말에서만 사용해야 합니다.

7. 상황별 10초 최종 선택 가이드

• “외부에서 집 시놀로지 NAS·맥미니·로컬 LLM에 나 포함 최대 6명만 안전하게 붙고 싶다” ➔ Tailscale 무료 Personal 플랜 (+ 공유기 포트포워딩 전면 폐쇄 & 서버 키 만료 해제)
• “양쪽 Hard NAT 때문에 직결이 안 되고 도쿄 DERP를 거쳐 속도가 답답하다” ➔ 공인 UDP 포트가 열린 국내 노드에 Tailscale Peer Relays(전 플랜 무료 지원) 활성화
• “직접 만든 블로그나 웹앱을 앱 설치 없는 불특정 다수에게 내 도메인으로 공개하고 싶다” ➔ 웹 포트만 Cloudflare Tunnel로 열고, 서버 SSH·파일 관리는 Tailscale로 이원화
• “조정 서버까지 외부 클라우드에 맡기기 싫고 100% 자체 서버에서 통제하고 싶다” ➔ 오픈소스 조정 서버 Headscale(공식 클라이언트 호환) 또는 NetBird 자체 호스팅