Windows VPN 추천: 전역 프록시와 분할 터널링 실측 비교

Windows VPN 추천에서 어려운 지점은 보통 어떤 클라이언트를 설치하느냐가 아니라 두 가지입니다. 어떤 앱이 회선을 타게 할지, 그리고 그 회선이 저녁 피크 시간에도 안정적인지. 데스크톱에서는 이 두 가지를 전역 프록시와 분할 규칙이라는 독립된 옵션으로 나누고, 그 위에 시스템 프록시와 TUN 가상 어댑터라는 두 가지 접속 계층을 얹습니다. 아래에서는 접속 방식, 클라이언트와 프로토콜, 게임·업무 앱 호환성, 부팅 시 자동 시작 네 가지 항목을 차례로 비교하고, 마지막에 용도별 회선·요금제 선택 순서를 정리합니다.

전역 프록시와 분할 터널링: 두 모드가 각각 맡는 역할

전역 프록시는 로컬 네트워크를 제외한 모든 트래픽을 회선으로 넘기고, DNS 조회도 클라이언트가 함께 처리합니다. 장점은 규칙을 관리할 필요 없이 설치하면 바로 쓸 수 있다는 것이고, 대가는 국내 사이트까지 한 바퀴 돌아야 한다는 점입니다. 실제 속도는 회선의 리턴 경로 품질에 좌우됩니다.

분할 터널링(규칙 모드)은 도메인, IP 대역, 프로세스, 지리 DB를 기준으로 판단합니다. 직결 규칙에 걸린 요청은 로컬 네트워크로, 나머지는 회선으로 나갑니다. 국내 사이트는 직결, 해외 사이트는 회선으로 보내고 DNS도 두 갈래로 각각 처리합니다. 규칙이 세밀할수록 관리 비용은 올라가지만, 일상적인 브라우징에서 체감 차이도 그만큼 커집니다.

두 방식의 핵심 차이는 DNS와 UDP에 있습니다. 시스템 프록시 모드에서는 DNS를 보통 앱이 직접 조회하기 때문에 질의가 로컬 통신사로 향합니다. TUN 모드에서는 클라이언트가 DNS를 넘겨받아 fake-ip 같은 방식과 결합해 조회 결과를 출구와 일치시킵니다. 현재 출구를 확인하려면 본 사이트의 내 IP 페이지를 열어 지역이 선택한 회선 라벨과 같은지 보면 됩니다.

DNS 누출 자가 점검

먼저 클라이언트의 연결 상세에서 DNS 항목이 회선 쪽을 가리키는지 확인하고, 출구 지역과 회선 라벨을 비교합니다. 둘이 맞지 않으면 대개 시스템 프록시가 남아 있거나, 분할 규칙이 조회를 직결로 되돌린 경우입니다.

Windows에서 흔한 세 가지 접속 방식

Windows에는 통합 스위치가 없고, 클라이언트마다 트래픽을 넘겨받는 계층이 달라 적용 범위 차이가 큽니다. 아래 표는 접속 계층별로 흔한 세 가지 방식을 정리한 것입니다.

접속 계층	적용 범위	적합한 용도	주의할 점
시스템 프록시(HTTP / SOCKS5)	시스템 프록시 설정을 따르는 브라우저와 일부 데스크톱 앱	잠깐 자료를 찾을 때, 브라우저만 회선을 타게	게임과 일부 클라이언트는 인식하지 못함, DNS는 앱이 직접 조회
TUN 가상 어댑터	모든 TCP / UDP 트래픽, 게임과 명령줄 도구 포함	PC 전체에 적용해야 할 때	가상 어댑터 드라이버를 설치해야 하고, 첫 설정에는 관리자 권한이 필요
브라우저 확장 / 프로세스 프록시	브라우저만, 또는 지정한 단일 프로세스만	한 가지 도구만 회선을 타게 하고 싶을 때	시스템 프록시와 충돌할 수 있고, 다른 앱에는 영향 없음

접속 계층은 어떤 트래픽을 넘겨받을지만 정하고, 실제 경로는 회선 유형이 결정합니다. 직결은 로컬 출구에서 착지 지점으로 바로 연결되고, 중계는 제3지를 거쳐 포워딩하므로 비용이 낮은 대신 대역폭을 공유합니다. IEPL 전용선은 별도의 국제 이더넷 채널을 사용해 공용 출구를 혼잡하게 만들지 않으므로 저녁 피크 시간대의 안정성이 대체로 좋고 가격도 높습니다.

선택 순서: 브라우저 하나에서만 자료를 찾는다면 시스템 프록시로 충분합니다. 게임, 명령줄 도구, 데스크톱 클라이언트를 함께 적용하려면 TUN을 선택하세요. 저녁 피크 안정성이 중요하다면 회선을 직결이나 중계에서 IEPL 전용선으로 바꾸면 됩니다.

클라이언트와 프로토콜: 구독을 가져온 뒤 먼저 확인할 네 가지

Windows 클라이언트는 크게 두 종류입니다. 시스템 수준 VPN 클라이언트와, 구독 링크를 가져와 쓰는 규칙 기반 클라이언트입니다. 후자는 v2rayN, Clash Verge Rev, NekoRay 등이 흔하며, 화면은 달라도 흐름은 같습니다. 구독 링크를 복사하고, 새 구독을 만들고, 노드를 업데이트하고, 회선을 선택하면 됩니다. 프로토콜 지원은 Shadowsocks, VMess, Trojan, VLESS가 기본이고, Hysteria2와 TUIC는 QUIC을 사용하므로 비교적 최신 커널 버전이 필요합니다.

✅ 구독이 온전히 받아졌는지: 노드 수와 회선 목록이 맞고, 수동으로 한 번 업데이트했을 때 새 노드가 보이는지 확인합니다.
✅ 규칙이 적용되는지: 국내 사이트를 열었을 때 연결 화면에 DIRECT가 표시되어야 하며, 회선을 타면 안 됩니다.
✅ DNS가 넘겨받아졌는지: TUN 모드에서 DNS 조회는 로컬 통신사가 아니라 클라이언트를 가리켜야 합니다.
✅ 자동 연결이 켜져 있는지: 꺼져 있으면 재부팅할 때마다 직접 눌러야 합니다.
❌ 프록시 클라이언트 두 개를 동시에 켜지 마세요: 시스템 프록시와 TUN이 서로 자리를 다투며, 흔히 연결은 되는데 웹 페이지가 열리지 않는 증상으로 나타납니다.
❌ 구독 링크를 공개된 곳에 붙여넣지 마세요: 링크는 계정 자격 증명과 같습니다.

프로토콜에 절대적인 우열은 없고, 전송 방식과 쓰임새에서 차이가 납니다.

프로토콜	전송 방식	적합한 용도	주의할 점
Shadowsocks	TCP 중심, UDP 중계는 서버 구현에 따름	가벼운 프록시, 지원 클라이언트가 많음	일반 HTTPS 트래픽으로 위장하려면 플러그인이 필요
VMess	TCP、WebSocket、gRPC	범용 구독, 클라이언트 지원 폭이 넓음	시간 검증에 의존하므로 시스템 시간 오차가 크면 연결되지 않음
VLESS	TCP + TLS / XTLS	웹 브라우징과 장시간 연결	프로토콜 자체에 암호화가 없어 보안은 외부 TLS에 의존
Trojan	TLS, HTTPS와 포트를 공유	443 포트 트래픽과 함께 운영해야 함	인증서를 반드시 설정해야 하고 도메인과 인증서가 일치해야 함
Hysteria2	QUIC, UDP 기반	패킷 손실이 많은 네트워크	UDP가 속도 제한을 받으면 오히려 성능이 떨어짐
TUIC	QUIC, UDP 기반	핸드셰이크 지연에 민감한 환경	마찬가지로 UDP 채널 품질에 의존

게임과 업무 앱의 호환성

대부분의 게임은 Windows 시스템 프록시 설정을 읽지 않기 때문에, 시스템 프록시만 사용하는 클라이언트로는 게임에 전혀 효과가 없습니다. 게임을 회선에 태우려면 TUN 모드로 모든 트래픽을 넘겨받거나, 프로세스 분할을 지원하는 클라이언트에서 게임 실행 파일을 따로 지정해야 합니다. 안티치트가 있는 게임은 가상 어댑터에 민감하게 반응하므로, 먼저 싱글 플레이 모드로 정상 실행되는지 확인하는 편이 좋습니다.

UDP는 두 번째 관문입니다. 음성 채팅과 실시간 대전은 UDP를 사용하므로 규칙에서 허용해야 합니다. Hysteria2와 TUIC는 그 자체가 QUIC 기반 프로토콜이라, UDP가 속도 제한을 받는 네트워크에서는 VLESS나 Trojan처럼 TCP 기반인 프로토콜보다 오히려 불안정할 수 있습니다.

업무 환경의 충돌은 대부분 라우팅에서 생깁니다. 회사 VPN과 구독 클라이언트를 동시에 켜면 사내 도메인이 분할 규칙에 걸려 회선으로 빠지고, 그 결과 사내 시스템이 열리지 않는 식입니다. 사무실 네트워크의 프린터나 NAS도 마찬가지이므로 규칙에서 사설 대역을 제외해야 합니다.

rules:
  - DOMAIN-SUFFIX,corp.internal,DIRECT
  - IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
  - IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

규칙은 위에서 아래로 매칭되고, 걸리는 순간 멈춥니다. 사내 도메인과 사설 대역을 맨 앞에 두는 이유는 뒤쪽 지리 DB 규칙에 먼저 잡혀 가지 않게 하기 위해서입니다.

부팅 시 자동 시작과 백그라운드 상주

부팅 시 자동 시작에는 세 가지 방법이 있고, 아래로 갈수록 안정성이 높아집니다.

클라이언트에 내장된 시작 프로그램 등록과 자동 연결. 설정이 가장 간단하지만, 클라이언트 기동이 느리면 네트워크에 의존하는 앱이 먼저 요청을 보내버립니다.
Windows 작업 스케줄러. 트리거를 로그인 시로 두고 최고 권한으로 실행을 체크하면, TUN 모드에서 부팅할 때마다 권한을 한 번 더 확인하지 않아도 됩니다.
TUN을 서비스로 실행. 일부 클라이언트는 서비스 설치를 지원하며, 한 번 설치하면 로그인 전에 시스템이 시작해 주므로 장시간 켜 두는 PC에 적합합니다.

부팅 후 아이콘은 연결됨으로 보이는데 브라우저에서 페이지가 열리지 않는다면, 먼저 Windows 설정의 프록시 스위치가 지난번 비정상 종료 때 기록된 주소로 고정되어 있지 않은지 확인하세요. 클라이언트가 비정상 종료되면 시스템 프록시를 직결로 되돌릴 틈이 없어, 직접 끌 때까지 남은 값이 계속 적용됩니다.

구독 링크는 계정 자격 증명과 같습니다

구독 링크에는 계정 식별자가 들어 있으므로 가져온 뒤 포럼, 스크린샷, 공유 문서에 올리지 마세요. 링크가 유출되면 패널에서 구독 주소를 재설정해 기존 링크를 무효화한 다음, 클라이언트에서 다시 가져오면 됩니다.

용도별 회선 선택의 판단 순서

위의 선택지를 하나의 판단 흐름으로 정리하면, 순서대로 따라가는 것만으로도 대체로 틀리지 않습니다.

먼저 적용 범위를 정합니다. 브라우저만 쓴다면 시스템 프록시로 충분하고, PC 전체에 적용하려면 TUN을 선택합니다.
다음은 모드입니다. 손이 덜 가는 쪽을 원하면 전역, 국내 사이트를 자주 쓰고 속도가 중요하면 분할을 선택합니다.
그다음 착지 지역을 고릅니다. 목표 서비스가 있는 지역을 기준으로 선택하며, 물리적 거리가 가깝다고 해서 빠른 것은 아니고 리턴 경로 품질이 더 중요합니다.
이어서 회선 유형입니다. 저녁 피크에도 안정적이어야 하면 IEPL 전용선, 예산이 한정적이면 중계, 짧은 작업이라면 직결로 충분합니다.
다음은 프로토콜입니다. 게임과 음성 채팅에는 UDP가 필요하므로 UDP를 지원하는 프로토콜을 우선합니다. 웹 페이지만 연다면 VLESS, Trojan처럼 TCP와 TLS 기반인 쪽이 더 편합니다.
마지막으로 요금제입니다. 월 실제 사용량에 따라 ¥9.9/60GB, ¥18/250GB, ¥28/500GB 세 가지 중에서 고르고, 사용량이 일정하지 않다면 ¥158/300GB부터 시작하는 트래픽 패키지로 바꾸면 됩니다. 잔여량을 다 쓸 때까지 유효하며 만료되지 않습니다.

VPNUJ의 사양과 견줘 볼 수 있습니다. 110+ 국가, 160+ 회선을 커버하고 동시 접속 대수 제한이 없으며, 가입에는 사용자 이름과 비밀번호만 있으면 되고 이메일 주소를 입력할 필요가 없습니다. 개인정보 보호 방침은 로그를 기록하지 않는 것입니다.

110+

국가 / 지역

160+

회선

무제한

동시 접속 대수

14일

이유 불문 환불

결론: Windows에서의 체감 차이는 클라이언트 화면이 얼마나 예쁜지가 아니라 접속 계층과 회선에서 나옵니다. PC 전체에 적용하려면 TUN과 분할의 조합을, 저녁 피크 안정성이 중요하면 IEPL 전용선을 선택하고, 요금제는 월 실제 사용량에 따라 세 가지 중에서 고르되 사용량이 일정하지 않다면 트래픽 패키지로 바꾸면 됩니다. 먼저 14일 이유 불문 환불 기간을 활용해 자주 쓰는 앱을 모두 돌려 보고 장기 요금제를 결정하세요.

이 글에는 속도 측정 수치를 넣지 않았습니다. 같은 회선이라도 지역과 시간대에 따라 결과 차이가 크기 때문에, 다른 사람의 스크린샷은 참고 가치가 제한적입니다. 더 신뢰할 수 있는 방법은 위 순서대로 접속 계층과 회선 유형을 고정한 뒤, 자신의 네트워크에서 항목별로 검증하는 것입니다.