macOS에서 VPN을 고를 때 걸리는 지점은 대개 가격이 아니라 시스템 권한입니다. 설치가 된다고 권한 승인이 끝나는 것도 아니고, 승인이 끝났다고 M 시리즈 칩에서 재연결이 안정적인 것도 아닙니다. 이 글은 '권한, 확장, 칩 호환, 구독 가져오기, 분할 라우팅' 순서로 하나씩 풀어 가며 각 단계마다 확인 가능한 결과를 제시합니다. 읽고 나면 자신의 맥에서 바로 점검해 볼 수 있습니다.
대상은 두 부류입니다. 처음으로 맥에 클라이언트를 설치하는 사람, 그리고 설치해 봤지만 '시스템 확장이 차단되었습니다'라는 메시지에 막혔거나 시스템 메이저 업데이트 후 갑자기 연결이 안 되는 사람입니다.
macOS의 VPN은 어떤 계층으로 이루어지는가
macOS에서 터널 하나는 보통 세 부분으로 구성됩니다. 메뉴 막대의 클라이언트 화면, 터널을 만드는 네트워크 확장, 그리고 시스템 네트워크 스택에 추가되는 utun 인터페이스와 그에 따라 바뀌는 라우팅·DNS입니다. 화면은 리모컨일 뿐이고 실제로 일하는 것은 확장입니다.
macOS에서 VPN 설치가 일반 앱 설치보다 한 단계 많은 이유도 여기에 있습니다. 클라이언트가 시스템 수준 구성 요소를 시스템에 등록하고 사용자가 직접 승인해야 하기 때문입니다. 초기 방식은 커널 확장(kext)으로 구현되어 부팅 보안을 낮춰야 로드할 수 있었지만, Apple은 이미 이 경로를 폐기 예정으로 표시했고 Apple silicon에서는 사실상 불가능합니다. 지금 정상적인 클라이언트는 시스템 확장과 NetworkExtension 프레임워크를 사용하며, 권한 모델이 더 좁고 로드 전에 서명 검증을 반드시 거칩니다.
'시스템 설정 → 일반 → 로그인 항목 및 확장 프로그램 → 네트워크 확장 프로그램'에서 보이는 항목이 바로 터널 본체입니다. 이것이 꺼져 있으면 클라이언트 화면은 열리고 연결 버튼도 눌리지만, 연결은 즉시 실패하거나 계속 로딩만 돕니다. '서비스가 죽었다'고 오해하기 가장 쉬운 장면입니다.
설치 후 반드시 거쳐야 하는 세 가지 승인
처음 설치하고 클라이언트를 실행한 뒤에는 아래 항목을 순서대로 확인하세요. 하나라도 빠지면 나중에 '연결 안 됨'의 형태로 나타납니다.
- ✅ 시스템 확장 승인: 시스템이 특정 확장이 '차단되었습니다'라고 알리면 '시스템 설정 → 개인정보 보호 및 보안' 하단에서 '허용'을 누르고, 안내에 따라 암호를 입력하거나 재시동하세요.
- ✅ 네트워크 확장 스위치: '로그인 항목 및 확장 프로그램 → 네트워크 확장 프로그램'에서 클라이언트 항목을 체크하세요. macOS 13 이전에는 이 스위치가 '보안 및 개인정보 보호 → 일반'에 있었습니다.
- ✅ 로그인 항목 및 백그라운드 실행: 부팅 시 자동 연결이 필요하면 클라이언트를 '로그인 항목'에 추가하고 백그라운드 실행을 허용하세요.
- ✅ 첫 연결 시 네트워크 구성 승인: 시스템이 한 번 승인 창을 띄웁니다. 여기서 거부하면 이후 모든 연결이 실패합니다.
- ❌ SIP를 끄거나 부팅 보안을 낮추지 마세요. 정상적인 클라이언트는 이 두 단계를 요구하지 않으며, 이를 요구하는 클라이언트는 과감히 버려야 합니다.
- ❌ 전역 트래픽을 모두 가져가는 클라이언트를 두 개 동시에 켜지 마세요. 라우팅 테이블이 서로를 덮어써서 연결이 됐다 안 됐다 하고, 점검할수록 상황만 꼬입니다.
확장 목록에 이름은 같지만 버전이 더 오래된 항목이 보이면 먼저 제거한 뒤 다시 설치하세요. 잔여 항목이 등록 자리를 차지하고 있어서 새 버전을 설치해도 적용되지 않으며, 오류 메시지도 보통 원인을 알려주지 않습니다.
승인 실패 시 점검 순서
'허용'을 눌렀는데도 연결이 안 되면 아래 순서대로 진행하세요. 보통 5분 안에 어느 단계가 문제인지 찾을 수 있습니다.
- 재시동이 정말 필요한지 확인: 일부 시스템 버전은 재시동 후에야 확장이 로드되며, 안내 창에 그 내용이 적혀 있습니다. 건너뛰지 마세요.
- '로그인 항목 및 확장 프로그램 → 네트워크 확장 프로그램'을 열어 항목이 체크 상태인지, 회색으로 비활성인지 확인하세요. 회색은 보통 서명 검증 실패 또는 지원되지 않는 시스템 버전을 뜻합니다.
- 기기가 구성 프로필이나 MDM으로 관리되고 있지 않은지 확인하세요. 관리 중인 기기는 확장 허용 목록이 관리자 쪽에서 내려오기 때문에 개인이 직접 승인할 수 없습니다.
- 서드파티 보안 프로그램과 정리 도구를 잠시 종료한 뒤 다시 시도하세요. 이런 프로그램은 시스템 수준 구성 요소의 등록 과정을 가로챕니다.
- 완전히 삭제한 뒤 재설치: 클라이언트에 내장된 제거 메뉴를 쓰거나, 앱을 삭제한 뒤 그 확장 항목까지 함께 정리하세요. 아이콘을 휴지통에 끌어다 놓는 것으로 끝내면 안 됩니다.
판단 순서: 확장이 승인되지 않으면 클라이언트는 열리지만 연결되지 않고, 확장은 승인됐는데 네트워크 확장이 체크되지 않으면 연결이 즉시 끊기며, 둘 다 정상이라면 문제는 회선, DNS, 분할 라우팅 규칙에 있습니다.
M 시리즈 칩 호환 핵심
Apple silicon으로 넘어온 뒤 호환성 문제는 대체로 아래 네 곳에 모입니다. 하나씩 대조해 보면 됩니다.
네이티브 arm64와 Rosetta 2
Intel 전용 버전 클라이언트는 Rosetta 2 변환으로 실행할 수 있지만, 네트워크 확장은 시스템 수준 구성 요소라 변환 계층에서의 등록과 깨우기 동작이 충분히 안정적이지 않습니다. arm64와 x86_64를 함께 제공하는 유니버설 버전을 우선 선택하세요. kext만 제공하는 구형 클라이언트는 Apple silicon에서 바로 제외하면 됩니다.
잠자기에서 깨어난 뒤의 재연결
덮개를 닫아 잠자기에 들어가면 터널이 해제되며, 좋은 클라이언트는 깨어날 때 자동으로 다시 만듭니다. 매번 수동으로 연결을 눌러야 한다면 먼저 '로그인 항목'에서 클라이언트의 백그라운드 실행이 허용되어 있는지, 그다음 클라이언트 자체의 '깨어난 뒤 자동 연결' 스위치가 켜져 있는지 확인하세요.
에너지 효율과 저전력 모드
암복호화는 CPU가 처리하므로 터널을 오래 켜 두면 배터리 지속 시간에 눈에 띄는 영향이 있습니다. 저전력 모드를 켜면 시스템이 백그라운드 활동을 억제하는데, 깨어난 뒤 재연결이 느려졌다면 먼저 저전력 모드를 꺼서 비교해 보고 클라이언트 자체 문제인지 판단하세요.
시스템 버전
네트워크 확장 승인 화면은 메이저 버전마다 위치가 바뀌었고, 구형 시스템은 최신 확장 API 지원도 불완전합니다. 시스템을 보안 업데이트 지원 기간 내 버전으로 유지하면 '이유 없이 연결이 안 되는' 문제의 절반 이상을 줄일 수 있습니다.
구독을 macOS 클라이언트로 가져오는 방법
macOS 클라이언트는 크게 두 종류입니다. 제조사가 직접 만든 네이티브 앱은 설치 후 로그인하거나 구독 링크를 붙여 넣으면 되고, 구성 파일 기반의 범용 클라이언트는 규칙을 직접 관리해야 합니다. 둘 다 구독 링크를 지원하며 차이는 메뉴 위치뿐입니다.
- 사용자 패널에서 구독 링크를 복사하세요. 한 줄 전체를 복사하고 잘라내지 말고, 다른 사람에게 전달하지도 마세요. 링크 자체가 자격 증명입니다.
- 클라이언트에서 '구독 추가' 또는 '링크에서 가져오기'를 찾아 붙여 넣고 저장한 뒤 한 번 업데이트해서 노드 목록을 새로 고치세요.
- 회선 하나를 골라 연결하세요. 첫 연결 시 네트워크 구성 승인 창이 한 번 더 뜨는데 허용을 선택하면 됩니다.
- 트래픽이 실제로 넘어갔는지 아래 세 명령으로 확인하세요.
ifconfig | grep -E "^utun"
scutil --dns | grep nameserver
route -n get default판단 기준: 새로운 utun 인터페이스가 나타나고, scutil --dns 출력의 첫 번째 resolver가 터널 내부 주소를 가리키며, route -n get default의 interface가 utun으로 시작하면 됩니다. 분할 라우팅 모드를 쓰는 경우 기본 라우트가 물리 네트워크 카드에 남아 있을 수 있는데 이는 정상이며, 이때는 대상 대역이 별도로 터널로 라우팅되는지를 봐야 합니다.
분할 라우팅 규칙과 DNS 유출
DNS 유출은 터널이 이미 만들어졌는데도 도메인 조회가 여전히 로컬 통신사로 나가는 상황을 말합니다. 조회 패킷이 물리 네트워크 카드로 빠져나가면 결과가 오염될 수 있고, 어떤 사이트를 찾는지가 로컬 네트워크에 노출되며, '연결은 됐는데 페이지가 안 열린다'가 일상이 됩니다. 확인 방법은 간단합니다. scutil --dns로 첫 번째 resolver의 nameserver가 터널 내부 주소인지 보거나, 기기 두 대로 각각 출구와 DNS 소속을 조회해 비교하면 됩니다.
분할 라우팅(규칙 모드)은 macOS에서 더 실용적인 기본값입니다. 자주 쓰는 사이트는 직접 연결하고 나머지는 터널로 보내면 속도와 호환성이 모두 좋아집니다. 전역 모드는 문제 해결용으로 남겨 두세요. '규칙이 잘못된 건가' 싶을 때 전역으로 바꿔 한 번 시도하면 문제가 규칙 탓인지 회선 탓인지 빠르게 가려낼 수 있습니다.
어느 모드든 사설 대역은 직접 연결로 허용해야 합니다. 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16입니다. 그렇지 않으면 AirDrop, 같은 네트워크의 프린터, NAS가 함께 끊기는데, 많은 사람이 이를 'VPN이 네트워크 카드를 망가뜨렸다'고 오해합니다.
Apple 서비스와 공존할 때의 네 가지 주의점
iCloud 비공개 릴레이
비공개 릴레이 자체도 프록시를 거치므로 VPN과 동시에 켜면 프록시 설정을 두고 경쟁합니다. 일부 사이트는 열리고 일부는 계속 로딩만 도는 형태로 나타납니다. 둘 중 하나만 쓰거나, VPN을 쓸 때 비공개 릴레이는 꺼 두세요.
IP 주소 추적 제한
Safari의 이 기능은 일부 요청 경로를 바꿔 놓습니다. '브라우저에서만 안 열린다'를 점검할 때는 먼저 이 기능을 꺼서 비교해 보고, 그다음 터널의 DNS 문제인지 판단하세요.
스토어와 미디어 보관함 지역
App Store와 Apple Music의 지역은 계정을 따르며 출구 IP를 따르지 않습니다. 회선을 바꿔도 스토어 지역은 바뀌지 않고 이미 구매한 콘텐츠가 다시 승인되지도 않습니다. 자주 오해되는 부분입니다.
시간과 인증서
시스템 시간이 어긋나면 TLS 핸드셰이크가 실패합니다. 증상은 '연결됨으로 표시되지만 모든 웹페이지가 안 열린다'입니다. 먼저 '날짜 및 시간'이 자동 동기화인지 확인하고, 그다음에 회선을 의심하세요.
회선 유형과 사용 시나리오 대조
회선을 고르기 전에 시나리오부터 나누세요. 세 가지 회선의 차이는 '빠르냐'가 아니라 경로와 혼잡도에 있습니다.
| 회선 유형 | 경로 특성 | 적합한 시나리오 | 주의할 점 |
|---|---|---|---|
| 직접 연결 | 입구와 출구가 같은 지역에 있어 경로가 가장 짧음 | 근거리 접속, 가벼운 웹페이지와 문서 | 국제 구간 품질은 로컬 통신사에 좌우됨 |
| 중계 | 중계 노드에 먼저 접속한 뒤 국제 구간으로 나감 | 로컬에서 출구까지 링크 품질이 나쁠 때의 절충안 | 홉이 하나 늘어 지연이 전용선보다 약간 높음 |
| IEPL 전용선 | 공용 인터넷 혼잡 구간을 거치지 않는 독립 링크 | 화상 회의, 라이브 방송, 피크 시간대 장시간 연결 | 비용이 높아 보통 고가치 지역에만 배치됨 |
경험을 하나 더 보태면, 화상 회의는 지연보다 패킷 손실에 더 민감하고 라이브 방송은 지터에 약하며, 대용량 다운로드는 대역폭만 봅니다. 세 가지 요구에 맞는 회선 선택은 각각 다르므로 하나의 회선으로 모든 상황을 감당할 필요는 없습니다. 지역과 도시 단위의 구체적인 내용은 회선 페이지에서 시나리오별로 걸러 볼 수 있습니다.
VPNAF에서는 어떻게 고르나
VPNAF는 90+ 국가, 160+ 회선을 제공하며 macOS 클라이언트는 시스템 확장을 사용합니다. 한 번 승인하면 부팅 시 자동 연결로 설정할 수 있고, 이후에는 필요할 때 회선만 바꾸면 됩니다.
요금은 월 구독이 세 단계입니다. ¥9.9에 60GB, ¥18에 250GB, ¥28에 500GB이며, 트래픽은 개통일 기준으로 매달 초기화되고 중간에 업그레이드하면 남은 일수만큼 차액을 정산합니다. 트래픽 패키지는 세 단계로 ¥158/300GB, ¥358/1000GB, ¥658/3000GB이며, 소진될 때까지 사용하고 만료되지 않습니다. 결제는 알리페이, 위챗, USDT를 지원하며 갱신과 업그레이드는 모두 패널에서 처리합니다.
가입에는 사용자 이름과 비밀번호만 필요하며 이메일 주소는 필요하지 않습니다. 같은 계정으로 기기 수 제한 없이 Mac과 모바일 기기를 동시에 접속 상태로 둘 수 있습니다. 구독 기간 중 불만족스러우면 60일 이내에 이유 없이 환불받을 수 있습니다. 요금제 단계와 트래픽 패키지의 전체 비교는 요금제 페이지에서 확인하세요.
자주 묻는 질문 빠른 확인
연결됨으로 표시되는데 브라우저에서 페이지가 안 열림
DNS, 시스템 시간, 분할 라우팅 규칙 세 가지를 차례로 확인하세요. 셋 다 배제한 뒤 회선을 바꿔 비교하면 문제가 터널에 있는지 회선에 있는지 거의 판별됩니다.
부팅할 때마다 수동으로 연결해야 함
클라이언트를 로그인 항목에 추가하고 '부팅 시 자동 연결'을 켜세요. 그래도 적용되지 않으면 저전력 모드나 서드파티 정리 도구가 백그라운드 실행을 제한하고 있지 않은지 확인하세요.
시스템 메이저 업데이트 후 연결 안 됨
업데이트는 일부 확장 승인을 초기화합니다. '로그인 항목 및 확장 프로그램'으로 돌아가 한 번 다시 승인하면 보통 복구되며, 클라이언트를 재설치할 필요는 없습니다.
Intel Mac도 계속 쓸 수 있나
가능합니다. 아직 유지 관리되고 유니버설 바이너리를 제공하는 클라이언트를 고르면 됩니다. 커널 확장만 제공하는 구버전은 계속 쓰지 않는 편이 좋으며, 이후 시스템 업데이트에서 언제든 완전히 동작하지 않을 수 있습니다.
한 줄 결론: macOS에서 VPN이 연결되지 않으면 먼저 권한을 확인하세요. 확장이 허용되었는지, 네트워크 확장이 체크되었는지입니다. 권한에 문제가 없다고 확인되면 그때 회선과 요금제를 비교하세요.