클라이언트는 '연결됨'으로 표시되는데 브라우저가 페이지를 열지 못하거나, 접속 IP가 전혀 바뀌지 않는 증상은 대개 확장 승인과 구성 승인 두 단계에서 생깁니다. macOS는 서드파티 VPN의 터널을 시스템의 NetworkExtension 프레임워크로 흡수했습니다. 클라이언트가 터널을 직접 구현하지 않고 시스템 확장을 설치한 뒤 시스템에 VPN 구성을 요청하는 구조입니다. 두 단계 중 하나라도 거부되면 연결 상태는 그대로 표시되면서 트래픽은 터널로 들어가지 않을 수 있습니다.
macOS에서 VPN 설치가 막히는 세 곳
이 세 곳을 순서대로 짚어 보면 '설치가 안 된다'는 문제는 대부분 이 단계에서 해결됩니다.
걸림 지점 1: 시스템 확장이 활성화되지 않음
설치를 마친 뒤 시스템 설정 → 일반 → 로그인 항목 및 확장 → 확장 프로그램 → 네트워크 확장으로 들어가면 클라이언트 항목이 보이는데, 기본값은 꺼진 상태입니다. 켤 때 시스템이 관리자 암호를 요구하고, 일부 클라이언트는 재시동을 안내합니다. 이 항목이 꺼져 있으면 클라이언트의 TUN 모드를 세울 수 없어 '연결은 되는데 웹페이지가 안 열린다'는 증상이 나타납니다.
걸림 지점 2: VPN 구성 승인이 거부됨
처음 연결할 때 시스템이 VPN 구성을 추가할지 묻는 창을 띄웁니다. 실수로 '허용 안 함'을 누르면 창이 다시 뜨지 않고, 클라이언트는 추가 실패만 반복해서 표시합니다. 되돌리는 경로는 시스템 설정 → 개인정보 보호 및 보안에서 해당 항목을 찾아 직접 허용하는 것입니다. 목록에 항목이 남아 있지 않다면 스위치를 뒤지는 것보다 클라이언트를 삭제하고 다시 설치하는 편이 빠릅니다.
걸림 지점 3: iCloud 비공개 릴레이 중첩
iCloud 비공개 릴레이를 켜면 Safari 트래픽이 먼저 Apple의 중계 노드를 거칩니다. VPN과 동시에 켜면 두 개의 프록시가 겹쳐, 클라이언트는 연결됨으로 표시되는데 접속 IP는 그대로이거나 일부 사이트에서 인증서·지역 판정이 이상해지는 증상이 흔합니다. 점검할 때는 시스템 설정 → Apple 계정 → iCloud → 비공개 릴레이에서 잠시 끄고 접속 IP를 다시 측정하세요.
'허용 안 함'을 잘못 누르면 시스템이 다시 창을 띄우지 않는다는 점이 macOS에서 가장 놓치기 쉬운 부분입니다. 'VPN 구성 추가 실패'가 뜨면 클라이언트 자체를 의심하기 전에 개인정보 보호 및 보안의 스위치를 먼저 확인하세요.
| 걸림 지점 | 전형적인 증상 | 확인 위치 | 재시동 필요 여부 |
|---|---|---|---|
| 시스템 확장 미활성화 | 연결됨으로 표시되지만 메뉴 막대에 VPN 표시가 없고 웹페이지가 열리지 않음 | 시스템 설정 → 일반 → 로그인 항목 및 확장 → 네트워크 확장 | 대부분 필요 |
| VPN 구성 승인 거부 | 구성 추가 실패 알림이 반복되고 연결 버튼이 반응하지 않음 | 시스템 설정 → 개인정보 보호 및 보안 | 아니요 |
| iCloud 비공개 릴레이 | 연결은 되지만 접속 IP가 그대로이고 일부 사이트가 비정상 | 시스템 설정 → Apple 계정 → iCloud → 비공개 릴레이 | 아니요 |
칩 호환: M 시리즈와 Intel 기종 차이
Apple 칩과 Intel 기종은 같은 macOS를 쓰지만 바이너리 패키지와 확장 로드 방식이 다릅니다. 같은 클라이언트가 두 플랫폼에서 다르게 동작한다면 보통 이 두 곳이 원인입니다.
패키지 아키텍처와 변환 오버헤드
클라이언트가 Intel 패키지만 제공한다면 Apple 칩에서는 Rosetta 변환 계층 위에서 실행됩니다. 터널 포워딩은 시스템 호출이 많은 경로라 변환 계층이 하나 더 끼면 핸드셰이크가 느려지고 CPU 사용량이 늘며, 오래 켜 둘수록 배터리 소모도 빨라집니다. arm64 또는 Universal 패키지를 제공하는 클라이언트를 고르면 이 계층을 없앨 수 있습니다.
시스템 확장과 커널 확장
초기 VPN 클라이언트는 커널 확장으로 터널을 구현했습니다. Apple 칩 기종에서 이런 확장을 로드하려면 시동 보안을 낮추고 복구 모드로 재시동해야 해서 일반 사용자에게는 부담이 큽니다. 지금 주류 방식은 NetworkExtension 시스템 확장으로 옮겨가 시동 보안을 건드릴 필요가 없습니다. 어떤 클라이언트가 여전히 '보안 낮추기'를 요구한다면 전환을 마치지 못했다고 봐도 되며, 주력 기기에는 권하지 않습니다.
시스템 확장은 서명과 공증도 거쳐야 합니다. 서명이 유효하지 않은 확장은 로드가 곧바로 거부되는데, 오류는 보통 '개인정보 보호 및 보안' 하단의 한 줄 안내로만 표시됩니다. 클라이언트 자체의 오류 문구는 오히려 두루뭉술해서 점검 방향을 잃기 쉽습니다.
| 항목 | Apple 칩(M 시리즈) | Intel 기종 |
|---|---|---|
| 권장 패키지 | arm64 또는 Universal | x86_64 |
| 변환 계층 | Intel 전용 패키지는 Rosetta 변환을 거쳐 핸드셰이크와 포워딩에 오버헤드가 한 겹 더 붙음 | 해당 없음 |
| 시스템 확장 로드 | 로그인 항목 및 확장에서 직접 활성화해야 함 | 마찬가지로 직접 활성화해야 함 |
| 커널 확장 | 시동 보안을 낮춰야 하므로 권장하지 않음 | 로드는 가능하지만 역시 권장하지 않음 |
| 서명 요구 사항 | 확장은 서명과 공증을 거쳐야 하며, 그렇지 않으면 로드가 거부됨 | 위와 동일 |
프로토콜과 클라이언트: macOS에서 고르기
macOS용 클라이언트는 대부분 Clash/mihomo 또는 sing-box 커널을 기반으로 하고, 화면은 껍데기에 불과합니다. 실제 경험을 좌우하는 것은 커널이 지원하는 프로토콜과 분할 처리 능력입니다. 구독 링크를 가져오면 커널이 규칙에 따라 어떤 도메인을 터널로 보내고 어떤 도메인을 직결할지 결정합니다. 같은 구독이 클라이언트마다 다르게 동작하는 이유도 여기에 있습니다.
구독 링크의 장점은 노드가 조정될 때 클라이언트에서 한 번만 업데이트하면 된다는 것입니다. 직접 가져온 구성 파일은 서버 쪽이 바뀌면 무효가 되어 다시 내보내야 합니다. 오래 쓸 생각이라면 구독 링크를 쓰는 편이 좋습니다.
프로토콜 자체에 절대적인 우열은 없고, 놓인 네트워크 환경에 따라 달라집니다.
| 프로토콜 | 전송 | 특징 | 적합한 상황 |
|---|---|---|---|
| Shadowsocks | TCP / UDP | 구조가 단순하고 추가 오버헤드가 적음 | 일상적인 웹 서핑, 문서 작업, 다운로드 |
| VMess | TCP, WebSocket, gRPC 등 | 전송 조합이 다양하고 설정 항목도 많음 | 전송 방식을 유연하게 조합해야 할 때 |
| Trojan | TLS over TCP | 겉보기에는 일반 HTTPS 트래픽과 유사 | 위장 요구가 높은 네트워크 |
| VLESS | TLS / XTLS | 내장 암호화 계층이 없고 TLS로 보안을 확보 | TLS와 조합해 사용 |
| Hysteria2 | QUIC(UDP) | 약전계·고손실 환경에서 핸드셰이크가 더 빠름 | 모바일 네트워크, 장거리 국제 구간 |
| TUIC | QUIC(UDP) | 지연이 낮지만 UDP 품질에 민감 | UDP가 제한되지 않은 네트워크 |
TUN 모드와 시스템 프록시 모드
TUN 모드는 가상 네트워크 인터페이스로 모든 트래픽을 가로챕니다. 시스템 프록시 설정을 읽지 않는 명령줄 도구까지 포함됩니다. 반면 시스템 프록시 모드는 주소를 시스템 프록시 설정에 기록할 뿐이라 터미널의 curl, git은 기본적으로 프록시를 타지 않습니다. Mac에서 클라이언트가 어느 모드인지 확인하려면 메뉴 막대 아이콘과 네트워크 설정에 가상 인터페이스가 하나 더 생겼는지 보면 됩니다.
분할 규칙이 실제 체감을 좌우
전역 모드는 모든 트래픽을 터널에 밀어 넣기 때문에 국내 사이트에 접속할 때도 한 바퀴 돌아야 해서 속도가 오히려 나빠집니다. 규칙 모드는 도메인과 IP로 분할해 국내는 직결, 해외는 터널로 보내는 방식이며 Mac에서 흔히 쓰는 구성입니다. 규칙 목록은 주기적으로 갱신해야 합니다. 오래된 규칙은 새 도메인을 잘못 판정해 특정 사이트가 열리지 않거나 로딩이 느려지는 원인이 됩니다.
설치 후 검증: 네 단계 점검 순서
연결 성공이 곧 적용은 아닙니다. 아래 순서대로 짚어 보면 어느 계층에서 문제가 생겼는지 특정할 수 있습니다.
- 접속 IP 확인: 연결 전후로 IP 조회 페이지를 각각 열어 접속 IP와 소속 지역을 비교합니다. 주소가 그대로라면 트래픽이 터널로 들어가지 않은 것이므로 권한 항목으로 돌아가야 합니다.
- DNS 조회 확인: DNS 유출 테스트로 조회 요청이 터널 출구 쪽에서 나가는지 확인합니다. 여전히 통신사 DNS가 보인다면 분할 규칙이 DNS를 직결로 빼고 있는 것입니다.
- 분할 규칙 확인: 규칙 모드에서 국내 도메인이 직결되는 것은 정상 동작입니다. 특정 도메인이 터널을 타는지 확인하려면 페이지가 열리는 속도가 아니라 클라이언트 연결 로그에서 어떤 규칙에 매칭됐는지를 봐야 합니다.
- 프로토콜 교체 후 재측정: TCP 계열 프로토콜의 핸드셰이크는 정상인데 속도가 불안정하면 Hysteria2나 TUIC로 바꿔 시험해 보세요. 반대로 네트워크가 UDP를 엄격히 제한한다면 Trojan이나 VLESS over TCP로 되돌리는 편이 안정적입니다.
- ✅ 접속 IP가 선택한 노드의 소재지와 일치
- ✅ DNS 조회 결과가 터널 출구 쪽 리졸버로 표시
- ✅ 클라이언트 로그에서 대상 도메인이 프록시 규칙에 매칭
- ✅ 터미널의 curl도 해외 주소를 반환한다면 TUN 모드로 동작 중
- ❌ 접속 IP가 여전히 통신사 주소 → 트래픽이 터널로 들어가지 않음
- ❌ 브라우저에서만 적용되고 다른 앱은 프록시를 타지 않음 → 시스템 프록시 모드에 머문 경우가 대부분
결제 전에 검증부터: 접속 IP와 DNS 조회 두 항목이 모두 기대대로 나온 뒤 장기 구독을 결정하세요. VPN31은 14일 무조건 환불을 제공하므로 검증에 드는 시간 부담이 크지 않습니다.
Mac에서 VPN 고를 때 보는 지표
권한과 프로토콜이 '쓸 수 있느냐'를 결정한다면, 아래 항목은 '얼마나 쾌적하게 쓰느냐'를 결정합니다.
커버리지와 회선 수는 선택할 수 있는 노드의 여유를, 대수는 가족과 구독 하나를 함께 쓸 수 있는지를 결정합니다. VPN31 계정은 대수 제한이 없어 같은 구독으로 Mac, 태블릿, TV 박스에 동시에 로그인할 수 있습니다. 가입에는 사용자 이름과 비밀번호만 있으면 되고 이메일 주소는 필요하지 않습니다. 결제 쪽은 14일 무조건 환불을 제공하므로 앞 절의 방법으로 검증한 뒤 장기 사용을 결정해도 됩니다.
또 하나는 로그 정책입니다. VPN31은 로그를 기록하지 않으며, 이는 개인정보 보호 설명에 적혀 있는 입장 표명이지 기술적 보장은 아닙니다. 개인정보에 민감한 사용자라면 클라이언트 로컬 연결 로그가 업로드되는지도 직접 확인하는 것이 좋습니다.
회선 유형: 직결, 중계, IEPL 전용선
- 직결: 클라이언트가 해외 노드에 바로 접속하는 방식으로 경로가 가장 짧지만, 국제 출구의 혼잡에 그대로 노출되어 저녁 피크 시간대 변동이 가장 큽니다.
- 중계: 중계 진입점을 거쳐 해외로 나가므로 홉이 하나 늘지만, 혼잡한 경로를 일부 우회해 직결보다 안정적입니다.
- IEPL 전용선: 통신사 전용 회선을 사용해 공용 인터넷 국제 출구를 거치지 않으므로 저녁 피크의 패킷 손실과 지터가 가장 적고, 비용도 가장 높습니다.
Mac에서 웹 서핑만 하고 가끔 4K 영상을 본다면 직결과 중계로 충분합니다. 회의를 오래 켜 두거나 파일을 전송하고, 저녁 피크 시간대가 신경 쓰인다면 IEPL 전용선이 포함된 회선을 우선 선택하세요.
트래픽 요금제 선택
| 요금제 | 가격 | 트래픽 | 설명 |
|---|---|---|---|
| 월 구독 | ¥9.9/월 | 60GB | 트래픽은 개통일 기준으로 매월 초기화 |
| 월 구독 | ¥18/월 | 250GB | 트래픽은 개통일 기준으로 매월 초기화 |
| 월 구독 | ¥28/월 | 500GB | 트래픽은 개통일 기준으로 매월 초기화 |
| 트래픽 패키지 | ¥158 | 300GB | 소진될 때까지 사용, 기간 만료 없음 |
| 트래픽 패키지 | ¥358 | 1000GB | 소진될 때까지 사용, 기간 만료 없음 |
| 트래픽 패키지 | ¥658 | 3000GB | 소진될 때까지 사용, 기간 만료 없음 |
선택 결론: Mac에서만 쓰고 웹과 문서 작업이 중심이라면 ¥9.9/월 60GB 요금제로 충분합니다. 4K를 자주 보거나 TV·태블릿을 함께 연결한다면 ¥18/월 250GB 요금제가 더 적합합니다. 매달 갱신하고 싶지 않다면 트래픽 패키지를 선택하세요. 소진될 때까지 쓸 수 있고 기간이 만료되지 않습니다. 사용 중 요금제를 업그레이드하면 차액은 남은 일수로 계산해 정산합니다.
자주 묻는 질문과 마무리 조언
브라우저는 되는데 터미널은 프록시를 타지 않음
시스템 프록시 모드는 시스템 프록시 설정에만 주소를 기록하므로 터미널의 curl, git, brew는 기본적으로 이를 읽지 않습니다. 셸에서 프록시 환경 변수를 직접 지정하거나, 가상 네트워크 인터페이스가 모든 트래픽을 처리하는 TUN 모드로 바꾸세요.
삭제 후에도 VPN 구성이 남아 있음
클라이언트를 삭제해도 VPN 구성은 자동으로 정리되지 않습니다. 시스템 설정 → VPN에서 남은 항목을 삭제하고, 로그인 항목 및 확장에서 해당 확장을 제거해야 다음 클라이언트를 설치할 때 구성 충돌이 생기지 않습니다.
macOS 업그레이드 후 작동하지 않음
메이저 버전 업그레이드는 확장 승인을 초기화합니다. 업그레이드 후 로그인 항목 및 확장에서 네트워크 확장을 다시 활성화하고 한 번 더 연결하면 되며, 클라이언트를 재설치할 필요는 없습니다.
같은 구독을 다른 기기에도 쓸 수 있나요
가능합니다. 계정은 대수 제한이 없어 Mac, 태블릿, TV 박스가 하나의 구독을 함께 쓰면 되고, 기기마다 따로 결제할 필요가 없습니다. 약관 범위 내 동시 사용은 서로 연결을 끊지 않습니다.
항상 켜 두어야 하나요
Mac에서 VPN을 상시 켜 두면 대기 전력 소모가 늘고, 프린터·화면 미러링·LAN 공유 같은 로컬 서비스에 접근할 수 없습니다. 더 현실적인 방법은 LAN과 국내 도메인을 직결 규칙에 넣고 필요한 트래픽만 터널로 보내는 것입니다. 전역 프록시보다 이쪽이 낫습니다.
결론: macOS에서 VPN을 고를 때는 먼저 클라이언트가 시스템 확장 전환을 마쳤는지 확인하고, 다음으로 회선 유형과 트래픽 요금제를 보고, 마지막으로 접속 IP와 DNS 조회 두 가지로 실제 적용 여부를 검증하세요. 권한이 열려 있지 않으면 어떤 프로토콜로 바꿔도 동작하지 않습니다.