위험과 보호 조치

누구에게 어떤 접근 권한을 부여하는지, 암호화가 어디까지 적용되는지, 연결 공유나 네트워크 설정 변경 전에 무엇을 확인해야 하는지 알아보세요.

네트워크 노출과 인증

0.0.0.0 수신 대기의 위험

0.0.0.0은 현재 Wi-Fi뿐 아니라 모든 IPv4 인터페이스에서 수신 대기한다는 뜻입니다. 이 설정만으로 인터넷에 공개되지는 않으며, 접근 범위는 라우터 포트 전달, 방화벽 및 라우팅에 따라 달라집니다. 인증 없이 접근 가능하면 개방형 프록시가 되어 타인이 대역폭과 Mac 또는 프록시 경로로 접근 가능한 리소스를 사용하고, 악용 행위가 사용자의 공인 IP와 연결될 수 있습니다. 특정 사설 인터페이스 주소를 우선 사용하세요. 0.0.0.0이 필요하면 인증을 켜고 방화벽으로 접근 원본을 제한하세요. 평문 HTTP/SOCKS 포트를 신뢰할 수 없는 네트워크에 직접 노출하지 마세요. 인증만으로 연결이 암호화되지는 않습니다.

인증을 끈 경우의 위험

인증을 끄면 수신 포트의 네트워크 접근 검사를 통과한 클라이언트는 자격 증명 없이 프록시를 사용할 수 있습니다. 사설 주소나 같은 Wi-Fi가 신뢰를 보장하지 않으며, 요청을 개별 사용자에게 확실하게 연결할 수도 없습니다. 타인이 대역폭과 접근 가능한 리소스를 사용하거나 악용 행위가 사용자의 공인 IP와 연결될 수 있습니다. 격리된 네트워크에서 신뢰할 수 있는 기기로만 엄격하게 제한한 경우가 아니라면 인증을 켜세요.

포워딩 및 SOCKS 수신 포트

로컬 포워딩은 Mac을 통해 대상 서비스를 노출하며, 원격 포워딩은 SSH 서버를 통해 Mac에서 접근 가능한 서비스를 노출합니다. 원격 루프백 수신 주소는 Mac이 아닌 서버의 주소입니다. 서버의 다른 허가된 사용자도 접근할 수 있습니다. 더 넓은 원격 수신 범위는 서버 SSH 정책과 방화벽에도 좌우됩니다. 데이터베이스, 원격 데스크톱 및 웹 서비스 자체의 인증을 유지하세요.

일반 SSH SOCKS 수신 포트는 인증된 네트워크 공유와 별도입니다. 공유용 자격 증명이 이를 보호한다고 가정하지 마세요. 127.0.0.1을 우선 사용하고 범위를 넓히기 전에 수신 주소, 서버 권한 및 방화벽을 확인하세요. ::는 IPv6 와일드카드이며 사설망만 허용한다는 의미가 아닙니다. 로컬 포워딩과 원격 포워딩을 참고하세요.

암호화 범위와 SSH 서버 신원

SSH는 Mac과 SSH 서버 사이의 터널을 암호화합니다. 클라이언트에서 수신 포트까지 또는 서버에서 대상까지의 구간이 자동으로 암호화되지는 않습니다. 필요하면 종단 간 HTTPS나 대상 프로토콜의 암호화를 사용하세요. SSH 서버와 대상도 신뢰할 수 있어야 합니다. 터널이 신뢰할 수 없는 서비스를 안전하게 만들거나 익명성을 보장하지는 않습니다.

첫 연결 시 신뢰할 수 있는 경로로 호스트 키 지문을 확인하세요. 키가 바뀌면 원인을 확인한 뒤 신뢰를 재설정하고 경고를 건너뛰려고 엄격한 검사를 끄지 마세요. 암호, 개인 키, OTP는 사용자를 인증하며 호스트 키는 서버를 인증합니다. SSH 호스트 신뢰를 참고하세요.

라우팅과 DNS 적용 범위

규칙 순서, 기본 규칙 및 일치하는 규칙의 DNS 설정을 확인하세요. DIRECT는 명시적인 직접 연결입니다. PROXY 실패 시 자동 직접 연결을 가정하지 말고 대체 경로를 명시적으로 설정하세요. 이름 해석과 앱 연결은 서로 다른 경로를 사용할 수 있습니다. 프록시를 통한 DNS가 일반 TCP/53 업스트림 DNS를 DoH로 바꾸지는 않습니다.

수동 HTTP 프록시, SSH SOCKS 또는 투명 라우팅을 모든 트래픽을 처리하는 VPN이나 킬 스위치로 간주하지 마세요. 앱은 프록시를 무시하거나 자체 DNS, 기존 연결 또는 지원되지 않는 트래픽을 사용할 수 있습니다. HTTP CONNECT는 일반 UDP 포워딩을 제공하지 않습니다. 실제 앱, 프로토콜, IPv4/IPv6 경로를 확인하세요. 라우팅 규칙, DNS, SOCKS 제한을 참고하세요.

게이트웨이 모드의 위험

게이트웨이 모드는 실험적 기능이며 사용자 이름/비밀번호 또는 다중 사용자 인증을 지원하지 않습니다. 프록시 모드의 인증 설정은 게이트웨이 트래픽을 보호하지 않으며, IP 필터링은 기기 접근만 제한할 뿐 사용자 신원을 확인하지 않습니다. 신뢰할 수 있는 격리 LAN에서만 사용하고 허용할 원본 IP를 제한하세요. 관리자 승인을 받아 IP 전달과 패킷 필터 규칙을 변경하므로 네트워크가 중단될 수 있습니다. 기기와 Mac 사이의 연결은 암호화되지 않으며 IPv6가 규칙을 우회할 수 있습니다. 다중 게이트웨이 환경에서 송수신 경로가 다르면 시간 초과, 연결 끊김 또는 포트 전달 실패가 발생할 수 있습니다. Mac 잠자기, 앱 종료 또는 주소 변경 시 공유가 중단됩니다. 중지 후 클라이언트의 원래 게이트웨이와 DNS 설정을 복원하세요. 이 절은 위험 설명이며 검증된 설정 절차가 아닙니다.

기업 관리와 인증서

기업 설정은 기업 버전에서만 사용할 수 있습니다. Web/API 접근은 구성과 허용된 제어 작업을 노출할 수 있으며 콘솔과 파일 접근 권한은 특히 민감합니다. Mac에서 관리자를 초기화하고 네트워크 접근 범위와 역할을 제한하며 필요한 제어 권한만 허용하세요. 앱 화면 잠금은 API, 관리자 또는 프록시 인증을 대신하지 않습니다.

신뢰할 수 없는 경로에서는 검증된 HTTPS를 사용하세요. 사설 CA는 클라이언트가 신뢰해야 하며 연결 이름이 인증서에 포함되어야 합니다. 신뢰할 수 있는 인증서와 키만 가져오고 개인 키를 보호하세요. HTTPS 프록시의 TLS는 해당 수신 포트만 보호하며 별도 HTTP/SOCKS 포트를 암호화하거나 UDP를 지원하게 만들지 않습니다. API 토큰 재설정은 관리자 브라우저 세션과 별개입니다. 기업 접근 및 TLS를 참고하세요.

자격 증명, 백업 및 연결 공유

복사한 프록시 URL과 shell 명령에 암호가 포함될 수 있으며 클립보드 동기화, 터미널 기록 및 로그로 노출될 수 있습니다. 진단 자료를 공유하기 전에 자격 증명, 토큰, 주소 및 개인 정보를 가리세요. SSH 키를 보호하고 필요한 최소 권한의 별도 자격 증명을 사용하세요.

구성 백업의 암호화된 내용에 자격 증명이 포함될 수 있습니다. 백업과 암호는 안전한 별도 장소에 보관하세요. 개인 키 파일 내용, TLS 인증서·키/CA 개인 키, 관리자 계정/API 토큰, 기업 활동 기록 및 앱 잠금 해제 정보는 포함되지 않으므로 별도 복구를 준비해야 합니다. QR 공유는 자격 증명을 제외하지만 구성을 공개합니다. QR과 공유 암호를 가진 사람은 가져올 수 있습니다. 만료되어도 이미 가져온 사본은 취소되지 않습니다. 백업 범위와 QR 공유를 참고하세요.

자동화와 무인 연결

로컬/원격 스크립트와 연결 후 동작은 해당 Mac 또는 SSH 계정 권한으로 실행됩니다. 활성화 전에 검토하세요. 가져온 구성의 대상, 수신 포트, 규칙 및 스크립트도 확인하세요. 시작 그룹과 자동 재시도는 다시 클릭하지 않아도 여러 연결을 다시 열 수 있습니다. 앱 화면 잠금은 기존 터널을 끊지 않습니다. Mac을 두고 떠나기 전에 그룹 구성과 시작/재시도 설정을 확인하세요. 자동화를 참고하세요.

가용성, 개인정보 및 사용 책임

잠자기, 네트워크 변경, 업스트림 제한 및 과도한 동시 연결은 서비스 중단이나 자원 고갈을 일으킬 수 있습니다. SSH가 녹색이어도 대상 서비스의 가용성을 보장하지 않습니다. 트래픽 통계와 연결 기록은 운영 참고 자료이며 보안 증명이나 완전한 청구 기록이 아닙니다. 권한이 있는 네트워크와 서비스만 공유하세요. 대상 제공업체의 접근 규칙은 여전히 적용되며 남용 행위는 출구 IP와 연결될 수 있습니다. 문제 해결을 참고하세요.

서비스를 공개하기 전 확인

• 라우팅된 네트워크와 원격 서버 사용자를 포함하여 각 수신 포트에 접근할 수 있는 대상을 확인하세요.
• 적절한 인증과 대상 서비스 암호화를 켜고 SSH/TLS 신원을 확인하세요.
• 출처 제한, 규칙 순서, 기본 규칙 및 DNS를 확인하고 허가된 클라이언트 한 대로 먼저 테스트하세요.
• 시작, 재시도, 그룹 및 스크립트를 검토하고 원래 네트워크 설정과 별도 키/인증서 복구 수단을 준비하세요.
• 자원 사용과 연결 기록을 살피고 필요하지 않은 공유는 중지하세요.

무단 사용이 의심될 때

1. 영향을 받은 공유, 수신 포트 또는 연결을 중지하세요. 관리 접근이 관련되면 관리 서비스도 중지하세요.
2. 방화벽/라우터 노출 범위를 줄이고 관련 계정, 자격 증명 또는 토큰을 취소하세요. 토큰 재설정만으로 브라우저가 로그아웃되지는 않습니다.
3. 필요한 로그를 비공개로 보존하고 서버와 대상 접근, 규칙, 그룹 및 시작 동작을 확인하세요.
4. 변경한 클라이언트 게이트웨이/DNS를 원상 복구한 뒤 필요한 접근만 다시 허용하고 신뢰하는 클라이언트로 확인하세요.