WireGuard 국경 초과 원격 제어: MTU·비대칭 라우팅·DNS 분할·지연 관측

핵심 요약

경로 MTU부터 의심하세요. WireGuard는 UDP 기반이라 TCP처럼 자동으로 크기를 줄여 주지 않으며, 큰 TLS 레코드에서 “가끔 멈춤”처럼 보입니다.
비대칭 라우팅(들어온 공인 IP와 나가는 공인 IP가 다름)은 ping은 통과해도 장기 세션만 깨지는 패턴을 만듭니다. 양방향을 각각 추적하세요.
Split DNS는 제품 결정입니다. 사내 리졸버를 터널로 보낼지, 공용 리졸버를 로컬에 둘지는 AllowedIPs 의도와 반드시 일치해야 합니다.
지연 관측은 CPU 그래프와 같은 대시보드에 두세요. 얇은 원격 UI에서는 코어 수보다 리전·경로의 꼬리 지연이 지배적입니다.

네트워크 스위치와 케이블, 국경을 넘는 안전한 연결을 상징 — 이미지는 참고용입니다. 실제로는 `wg` 카운터, 양단 traceroute, 리졸버 추적로 검증하세요.

1. MTU: 장거리·고대역 회선에서의 첫 용의자

WireGuard는 UDP 안에서 암호화합니다. 터널 MTU와 헤더 오버헤드 합이 중간 링크가 허용하는 크기를 넘으면, DF가 걸렸거나 단편화가 어긋난 구간에서 소리 없는 블랙홀이 됩니다. SSH 짧은 명령은 되는데 git push나 대용량 동기화에서 멈추거나, 웹이 반쯤만 뜨고 VNC가 큰 영역만 그리는 식이면 CPU 탓보다 먼저 MTU를 의심합니다. 인터페이스 MTU를 낮추거나 게이트웨이 쪽에서 관련 TCP 흐름에 MSS 클램프를 걸고, 집 ISP·테더링·공항 Wi-Fi마다 상한을 문서화하세요.

# macOS 클라이언트 예시(인터페이스 이름은 환경에 맞게)
ifconfig utun9 | grep mtu
ping -D -s 1400 gateway.example.com   # DF 실패 지점까지 이분 탐색

클라우드 Mac에서 사이드카 컨테이너까지 올리면 오버레이 헤더가 한 겹 더 쌓여 같은 호스트에서도 MTU·디스크·CPU 예산을 같이 씁니다. 자세한 운영 관점은 Apple Silicon 클라우드 Mac에서 프로덕션 Docker: arm64/amd64 이미지, 바인드 마운트·빌드 캐시 문제 해결 핸드북(요금제 리소스 한계 포함)를 함께 보세요.

2. 비대칭 라우팅과 “대부분 되는데 가끔…”

들어온 트래픽의 공인 IP와 나가는 트래픽의 공인 IP가 다르면 단순 방화벽 규칙이나 NAT 바인딩이 깨질 수 있습니다. WireGuard 핸드셰이크는 성공하는데 애플리케이션만 불안정한 경우, 두 번째 기본 경로나 정책 라우팅이 개입했는지 확인하세요. 클라이언트·게이트웨이·(게이트웨이와 다른 경우) 클라우드 Mac 각각의 시점에서 양방향을 잡습니다. 터널 앞단에 다른 VPN·SD-WAN이 있으면 PostUp 규칙이 마킹 순서만 바꿔 반쪽 흐름만 다른 인터페이스로 보내지 않는지 점검합니다.

3. DNS 분할 터널과 풀 터널

내부 리졸버를 DNS =로 지정해 놓고 해당 프리픽스를 WireGuard로 보내지 않으면 누설이나 스플릿 호라이즌 설계에 따라 NXDOMAIN이 납니다. 사내 이름만 터널 안, 공용 이름은 로컬 리졸버, 혹은 게이트웨이에서 포워딩 체인—중 하나를 명시적으로 고르고 AllowedIPs 스토리와 맞춥니다. 넓은 라우트는 화상 회의처럼 로컬에 두고 싶은 트래픽까지 터널로 끌고 와 지연을 바꿉니다. 연결 후·수면 깨움 후 macOS에서 scutil --dns 순서를 스크린샷이나 런북에 남기세요.

4. 지연 관측과 리전 선택

대화형 원격에서는 처리량과 별도로 RTT·지터·손실을 봅니다. 200Mbps 요금제는 ICMP·QUIC에 가까운 UDP 패턴에서 피크 시간대 80ms 스파이크가 나온다면 의미가 줄어듭니다. WireGuard 카운터(transfer, latest handshake)와 TLS 연결 시간, 화면 공유 프레임 드롭을 같은 타임라인에 겹쳐 보관하세요. 클라우드 Mac 리전은 운용자가 매일 앉는 위치와 가까운 POP을 우선하고, 아티팩트·레지스트리 미러가 중요하면 그 워크로드에 맞춘 리전을 따로 두는 식으로 분리할 수 있습니다.

5. 증상·원인·조치(빠른 참고)

증상	가능성 높은 원인	권장 조치
대용량 전송만 멈춤, 작은 ping은 정상	MTU / PMTUD 블랙홀	터널 MTU 하향; DF ping 사다리; 필요 시 MSS 클램프
핸드셰이크는 되는데 앱만 들쭉날쭉	비대칭 경로·정책 라우팅	입·출력 공인 IP 추적; 마킹·기본 경로 정렬
사내 호스트명 실패	DNS가 터널 라우트와 불일치	리졸버를 `AllowedIPs`와 맞춤; 스플릿 호라이즌 검증
부하 시 UI만 느림	RTT·지터(코어 부족이 아님)	리전 이동 또는 풀 터널 영역 축소

6. 네트워크가 정직해진 뒤의 클라우드 Mac 사양

MTU·라우팅·DNS가 합의되면 남은 느림은 코어·메모리·SSD로 돌려도 됩니다. 화면 녹화, Xcode 인덱싱, 병렬 시뮬레이터는 통합 메모리와 NVMe 여유가 와이어 속도 VPN보다 더 자주 병목입니다. 깨끗한 RTT 기준선을 잡은 뒤 요금제 및 사양에서 티어를 비교하세요. 그렇지 않으면 지리가 만든 지연을 하드웨어 비용으로 덮으려다 예산만 키우게 됩니다.