amnezia-vpn/amnezia-client 딥다이브
— 내 서버에 내 VPN을 심는, 검열을 뚫도록 설계된 오픈소스 VPN

1프로젝트 한 줄 요약

먼저 VPN이 뭔지부터 눈높이를 맞추자. VPN(Virtual Private Network)은 내 컴퓨터와 어떤 서버 사이에 암호화된 터널을 뚫는 기술이다. 내가 보내는 모든 인터넷 트래픽이 이 터널을 지나 그 서버에서 바깥으로 나간다. 그래서 (1) 중간에 있는 통신사·와이파이 주인은 내용을 못 보고, (2) 목적지 사이트 입장에서는 내가 아니라 그 서버가 접속한 것처럼 보인다.

대부분의 VPN 앱은 "서버 목록에서 하나 골라 연결" 버튼만 있다. Amnezia에는 그 앞 단계가 하나 더 있다. 서버의 IP 주소, SSH 아이디, 비밀번호를 입력하면, 앱이 그 서버에 원격 접속해서 필요한 도구(Docker)를 깔고, 선택한 프로토콜의 VPN 서버를 컨테이너로 띄운 뒤, 접속 설정까지 자동으로 받아 온다. 사용자는 클라우드에서 월 몇 천 원짜리 가상 서버(VPS) 하나만 빌리면 된다.

이 "위장"이 Amnezia를 단순 셀프호스트 VPN 그 이상으로 만든다. 뒤에서 자세히 보겠지만, 평범한 WireGuard·OpenVPN은 DPI(심층 패킷 검사)에 쉽게 걸린다. Amnezia는 자체 프로토콜 AmneziaWG와 Xray·Cloak 같은 위장 계층을 붙여, 검열 장비가 "이건 VPN이다"라고 판단하기 어렵게 만드는 데 초점을 둔다.

2왜 지금 주목받는가

Amnezia는 2020년부터 있던 프로젝트지만 꾸준히 트렌딩에 오르는 이유가 분명하다. 상용 VPN에 대한 세 가지 근본 불만을 정면으로 해결하기 때문이다.

① "VPN 회사를 믿어야 한다"는 문제를 없앤다

상용 VPN을 쓰면 결국 통신사 대신 VPN 회사를 믿는 것이다. "무로그 정책"이라고 광고해도 그건 회사의 약속일 뿐이고, 실제로 로그를 넘긴 사례가 여러 번 있었다. Amnezia는 서버 자체가 내 것이라 믿어야 할 제3자가 사라진다. 로그를 남길지 말지도 내가 정한다.

② 유명 VPN이 통째로 차단되는 상황을 우회한다

검열 국가는 상용 VPN 회사의 서버 IP 대역을 통째로 블랙리스트에 올린다. 아무리 좋은 앱이어도 서버 주소가 막히면 끝이다. Amnezia로 세운 서버는 나 혼자 쓰는, 목록에 없는 새 IP라서 개별 차단이 훨씬 어렵다. 서버가 막히면 새 VPS를 파서 다시 세우면 그만이다.

③ "VPN인 걸 들키는" 문제까지 건드린다

최신 검열은 IP 차단을 넘어, 트래픽의 모양을 보고 VPN을 잡아낸다(DPI). WireGuard 핸드셰이크는 구조가 고정돼 있어 지문처럼 식별된다. Amnezia는 이를 정면 대응한 AmneziaWG를 자체 개발했고, 여기에 Xray(VLESS/XTLS), Cloak, Shadowsocks 같은 위장 계층을 클라이언트·서버 양쪽에 통합했다. 이 "검열 저항" 라인업의 폭이 경쟁 오픈소스 VPN(WireGuard 공식 앱, OpenVPN Connect 등) 대비 두드러진 강점이다.

요약하면 Amnezia는 "WireGuard 공식 앱의 자유도"와 "상용 VPN의 설치 편의성"을 합치고, 그 위에 검열 저항을 얹은 포지션이다. 이 조합이 정치적 긴장이 높아질 때마다 이 저장소를 다시 트렌딩으로 밀어 올린다.

3기술 스택 전체 지도

Amnezia의 기술 스택은 "하나의 앱"이 아니라 세 개의 세계가 맞물린 구조다. ① 사용자가 보는 GUI 앱, ② OS 깊은 곳에서 실제 터널을 만드는 백그라운드 데몬, ③ 원격 서버에 VPN을 설치하는 셸/Docker 스크립트. 각각의 재료를 나눠 보자.

프론트엔드 (GUI 계층)

코어 · 백엔드 (C++17 엔진)

VPN 프로토콜 엔진 (Conan으로 주입되는 네이티브 라이브러리)

실제 암호화 터널은 검증된 외부 엔진을 Conan(C++ 패키지 매니저)으로 끌어와 플랫폼별로 다르게 링크한다. conanfile.py를 보면 OS마다 다른 바이너리를 요구하는 게 인상적이다.

플랫폼 통합 계층 (OS의 깊은 곳)

VPN은 OS의 네트워크 스택을 건드려야 하므로, 앱과 별개로 높은 권한을 가진 백그라운드 서비스(데몬)가 필요하다. Amnezia는 이 부분을 상당 부분 Mozilla VPN의 오픈소스 코드(client/mozilla/)를 기반으로 삼았다. 검증된 네트워크 감시·로컬 소켓 통신·핑 측정 로직을 재사용한 것이다.

서버 프로비저닝 계층 (셸 + Docker)

client/server_scripts/에는 프로토콜마다 폴더가 있고, 각 폴더에 Dockerfile·configure_container.sh·run_container.sh가 들어 있다. 앱이 SSH로 이 스크립트들을 서버에 밀어 넣어 실행하면, 해당 VPN 서버가 컨테이너로 뜬다. 예를 들어 AmneziaWG용 Dockerfile은 자체 베이스 이미지 amneziavpn/amneziawg-go 위에 커널 네트워크 튜닝까지 얹는다.

# client/server_scripts/awg/Dockerfile (발췌)
FROM amneziavpn/amneziawg-go:latest
RUN apk add --no-cache bash curl dumb-init

# 대역폭·동시접속을 위한 커널 파라미터 튜닝
net.core.rmem_max = 67108864
net.ipv4.tcp_fastopen = 3
net.ipv4.ip_local_port_range = 10000 65000

4아키텍처 심화 분석 — 앱·데몬·서버 3층 구조

Amnezia의 아키텍처를 이해하는 열쇠는 "권한 분리"다. VPN은 OS의 네트워크를 통째로 바꾸는 위험한 작업이라, 이 권한을 UI 앱이 직접 갖고 있으면 보안상 최악이다. 그래서 세 개의 층으로 나눈다.

흐름 A — "서버 자동 설치"가 실제로 도는 순서

Amnezia의 가장 독특한 기능이 이것이다. core/installers/와 core/controllers/가 협력해 다음을 순서대로 수행한다.

핵심은 이 모든 원격 작업이 "셸 스크립트 + Docker"라는 이식성 높은 조합으로 짜였다는 점이다. 서버 쪽에 Amnezia 전용 소프트웨어를 미리 깔 필요가 없다. 빈 Ubuntu VPS 하나면 앱이 알아서 공장을 짓는다. 이 설계 덕에 사용자는 리눅스 서버 관리를 몰라도 된다.

흐름 B — "연결"이 도는 순서 (권한 상승의 순간)

이미 설치된 서버에 붙을 때는 데몬이 주인공이다. GUI는 직접 네트워크를 못 만지고, 데몬에게 "이 설정으로 터널 열어줘"라고 부탁만 한다.

// 개념 코드 — connectionController가 하는 일
auto config = configurator.generate(server, protocol);  // 설정 생성
daemon.request("activate", config);                    // 데몬에 권한 위임
//  ↓ 여기서부터는 root 권한 데몬의 영역
tun = createTunInterface();      // 가상 네트워크 카드 생성
routingTable.redirectAll(tun);   // 모든 트래픽을 터널로
protocolEngine.start(config);    // awg-go / openvpn 등 구동

5디렉토리 구조 해부

구조를 읽는 요령: 별표(★)를 단 다섯 폴더만 이해하면 90%가 보인다. core는 두뇌, daemon은 실제 손, ui는 얼굴, server_scripts는 원격 공장, platforms는 OS별 어댑터다. 나머지(common·ipc·deploy)는 이들을 잇는 접착제다.

6학습 포인트 — 설계 교훈과 솔직한 한계

배울 점 ① 하나의 코드로 5개 OS를 커버하는 법

Qt/QML + C++의 최대 강점이 여기 있다. UI(QML)와 로직(C++)을 공유하고, OS마다 다른 부분만 platforms/에 격리했다. "공통 로직은 위로, 플랫폼 차이는 아래로"라는 크로스플랫폼 설계의 교과서적 예시다. React Native·Flutter를 쓰지 않고도 네이티브 성능을 얻는 대안 경로를 볼 수 있다.

배울 점 ② 권한 분리(GUI ↔ 데몬)의 실전 구현

보안이 중요한 데스크톱 앱은 거의 다 이 패턴을 쓴다. Docker Desktop, 백업 앱, 시스템 유틸이 전부 "권한 없는 UI + 권한 있는 헬퍼 데몬 + 둘 사이 IPC"로 짜인다. Amnezia의 daemon/과 ipc/는 이 패턴의 읽기 좋은 실물 표본이다.

배울 점 ③ 검증된 오픈소스를 조립하는 안목

Amnezia는 암호화를 직접 구현하지 않는다. OpenVPN·WireGuard·Xray·OpenSSL 같은 이미 검증된 엔진을 가져와 Conan으로 링크하고, 자기 부가가치는 "설치 자동화 + 위장 계층 + 통합 UI"에 집중한다. 보안 소프트웨어에서 "직접 짜지 말고 검증된 걸 조립하라"는 원칙의 모범이다.

배울 점 ④ 프로토콜을 플러그인처럼 추가하는 구조

configurators/ · protocols/ · server_scripts/가 프로토콜 이름으로 대칭을 이룬다. 새 프로토콜을 추가하려면 세 곳에 같은 이름의 짝을 만들면 된다. 이 대칭적 확장점 설계는 규모가 커지는 프로젝트에서 배울 만한 조직화 방식이다.

7하드웨어 / 시스템 요구사항

클라이언트 (내 기기)

클라이언트는 사양을 거의 안 탄다. 일반적인 최신 스마트폰·PC면 충분하다.

서버 (직접 세울 VPS)

8직접 해볼 수 있는 실습 과제

9관련 기술 심화 학습 로드맵

10핵심 키워드 사전

11참고 링크