Shadowrocket WireGuard 설정 방법: Private Key, Public Key, Address와 MTU

WireGuard 설정에서는 기기와 상대방의 항목을 구분하세요

WireGuard는 키 쌍으로 통신 양쪽을 식별합니다. 각 기기는 자체 Private Key와 그 키에서 파생된 Public Key를 사용합니다. Private Key는 해당 기기에 보관하고, Public Key는 통신 상대방에게 등록합니다. 따라서 서비스 제공업체가 전달한 클라이언트 설정에서 [Interface]와 [Peer]는 서로 다른 정보를 담고 있습니다. Key라는 이름만 보고 서로 바꿔 입력하면 안 됩니다.

Shadowrocket에서 기기의 Private Key는 기기 신원을 증명하고, Peer의 Public Key는 원격 상대방을 확인합니다. 서버에도 기기의 Private Key에 대응하는 클라이언트 Public Key를 등록해야 합니다. Private Key를 새로 바꿨다면 서버에 등록된 키도 함께 업데이트해야 합니다. 그렇지 않으면 나머지 항목을 그대로 입력해도 올바르게 통신할 수 없습니다.

Private Key, Public Key 및 주소 항목 구분하기

아래에서는 표준 WireGuard 설정 항목을 기준으로 각 정보의 대응 관계를 설명합니다. Shadowrocket 편집 화면의 항목 순서는 변경될 수 있으므로 입력할 때는 항목의 의미를 확인하세요. 특히 Address와 원격 서버 주소를 구분해야 합니다. Address는 터널 내부 주소이며, 원격 서버 주소는 Endpoint에 입력하고 보통 서로 다릅니다.

Private Key는 민감한 인증 정보로 안전하게 보관하세요. 문제를 설명할 때는 오류 메시지, 네트워크 유형, 인증 정보가 포함되지 않은 항목 이름을 공유할 수 있습니다. Private Key 전체, Preshared Key 또는 구독 링크는 올리지 마세요. Public Key는 Private Key처럼 비밀로 보호해야 하는 정보는 아니지만, 공개 기록에 계정 정보나 주소까지 함께 남길 필요는 없습니다.

Home에서 WireGuard를 추가하는 순서

먼저 본인이 보유한 전체 설정 정보를 준비한 다음 입력하세요. Endpoint나 Public Key 하나만으로는 사용할 수 있는 설정을 만들 수 없습니다. 서버에 등록된 클라이언트 정보, 할당된 주소, 허용된 접근 범위가 모두 서로 일치해야 합니다. 아래는 수동으로 추가하는 방법이며, 화면에 표시되는 항목 이름은 영어 그대로 사용합니다.

1. 프로토콜 선택

   Home → 오른쪽 위 ‘+’ → Type → WireGuard로 이동합니다. 먼저 유형을 선택한 뒤 항목을 입력해 다른 프로토콜 편집 화면에 WireGuard 설정을 넣지 않도록 하세요.

2. 원격 서버 입력

   Endpoint의 호스트 부분은 서버 주소 항목에, 포트는 Port에 입력합니다. 예를 들어 자료에 vpn.example.com:51820이라고 되어 있다면 호스트와 51820을 나눠 입력하세요. 형식 예시일 뿐 실제 연결 정보는 아닙니다.

3. 키 확인

   기기의 Private Key와 원격 서버의 Public Key를 입력하고, Preshared Key가 있다면 함께 입력합니다. 원본 자료와 항목별로 대조해 복사 과정에서 따옴표나 공백, 항목 이름이 잘못 포함되지 않았는지 확인하세요.

4. 터널 내부 주소 입력

   자료에 기재된 Address를 접두사 길이와 함께 입력합니다. IPv4와 IPv6 주소는 실제 할당된 값에 따르세요. 현재 기기가 IPv4 네트워크에 연결되어 있다는 이유로 설정에 포함된 IPv6 정보를 삭제하지 마세요.

5. 저장 후 테스트

   MTU 등 선택 항목을 확인한 뒤 저장하고 Home으로 돌아가 해당 항목을 선택합니다. 통제된 짧은 테스트에서는 Global Routing을 Proxy로 설정한 뒤 연결 스위치를 켜세요. 테스트가 끝나면 평소 사용하던 Config 등 원래 설정으로 되돌립니다.

이미 Subscribe 구독에서 생성된 항목이라면 구독에 WireGuard 항목이 포함되어 있는지 먼저 확인하세요. 구독을 업데이트하면 구독에서 관리하는 항목이 다시 입력될 수 있습니다. 직접 수정하기 전에 원본 설정을 보관하고 변경 내용을 기록하세요. 한 번의 테스트 설정을 유지하려고 구독 전체를 반복해서 수정하지 말고, 문제 해결용 스크린샷에 구독 인증 정보를 그대로 넣지 마세요.

Address, AllowedIPs, 규칙 기반 라우팅은 서로 다른 계층입니다

Address는 기기의 터널 인터페이스에 할당된 내부 주소입니다. 예시 10.66.0.2/32에서 /32는 단일 IPv4 호스트 주소를 뜻합니다. 원격 Endpoint를 가리키는 것도 아니며, 모든 네트워크 트래픽이 자동으로 터널을 통과한다는 뜻도 아닙니다. 이 주소는 일반적으로 해당 클라이언트에 대해 서버가 설정한 값과 일치해야 합니다. 임의로 /24로 바꿔도 연결 문제가 해결되지는 않습니다.

표준 WireGuard 설정에서 AllowedIPs는 Peer가 대상으로 삼을 주소의 선택 및 출발지 주소 확인과 관련된 의미를 가집니다. Shadowrocket의 Global Routing과 Config 규칙은 앱 요청에 적용할 정책을 결정합니다. 시스템 수준 WireGuard 설정의 라우팅 동작을 Shadowrocket의 현재 규칙 기반 라우팅과 동일하게 보면 안 됩니다.

• 0.0.0.0/0은 모든 IPv4 주소 범위를, ::/0은 모든 IPv6 주소 범위를 나타냅니다. 주소 범위 표현이며 DNS 서버 주소가 아닙니다.
• Global Routing → Direct는 직접 연결 설정을 사용합니다. 선택한 WireGuard 항목이 요청을 전달하는지 확인하는 테스트 조건으로는 적합하지 않습니다.
• Global Routing → Config는 현재 설정에 따라 요청을 처리합니다. 요청이 DIRECT 규칙에 일치하면 WireGuard 항목을 선택했더라도 해당 요청이 WireGuard를 통해 전송됐다고 볼 수 없습니다.
• DOMAIN-SUFFIX, IP-CIDR, GEOIP, FINAL은 규칙 매칭 키워드입니다. Private Key, Public Key 또는 Address 항목에 입력하면 안 됩니다.

MTU 설정 기준과 테스트 방법

MTU는 인터페이스가 처리할 수 있는 IP 패킷의 최대 크기입니다. WireGuard 캡슐화에는 바깥쪽 IP, UDP 및 프로토콜 오버헤드가 추가되므로 터널 내부에서 사용할 수 있는 크기는 보통 외부 링크의 MTU보다 작습니다. 경로에 다른 캡슐화가 있을 수도 있으므로 Wi-Fi 신호 세기나 인터넷 회선 속도만으로 MTU를 계산할 수 없습니다.

1420은 WireGuard에서 흔히 사용하는 MTU 시작값이고, 1280은 패킷 크기를 줄여 진단할 때 참고할 수 있는 값입니다. 어느 쪽도 모든 네트워크에 적용되는 고정값은 아닙니다. 기존 설정에 값이 명시되어 있다면 먼저 그대로 입력하고, 값이 없다면 기본값을 유지하세요. 작은 요청은 되지만 큰 페이지나 대용량 전송이 멈추는 현상이 있을 때 MTU를 점검 항목에 포함하세요.

1. 기존 MTU, 현재 네트워크, Global Routing 설정, 테스트 대상을 기록하고 원래 상태로 복원할 수 있도록 기준을 남겨 두세요.
2. 먼저 현재 네트워크에서 같은 항목으로 실제 요청을 처리할 수 있는지 확인하세요. 통신이 전혀 되지 않는다면 MTU를 여러 값으로 바꾸기보다 키, Endpoint, UDP 연결 가능 여부를 먼저 점검해야 합니다.
3. 기본값 또는 1420에서 대용량 전송이 반복해서 멈춘다면 1380을 시험해 볼 수 있습니다. 여전히 문제가 있으면 진단을 위해 1280과 비교하세요. 한 번에 MTU만 하나 바꾸고, 연결을 다시 설정한 뒤 같은 작업을 반복합니다.
4. Wi-Fi와 셀룰러 네트워크에서 각각 결과를 기록하세요. 특정 값이 한쪽 네트워크에서만 작동한다면 경로 조건이 다를 가능성이 큽니다. 이를 근거로 다른 네트워크의 설정이 잘못됐다고 판단해서는 안 됩니다.

여기 나온 값은 테스트 순서의 예시이며, 이 사이트에서 측정한 결과가 아닙니다. MTU를 낮춘 뒤 접속이 회복되더라도 경로 MTU, 패킷 분할 또는 관련 패킷 처리 문제일 가능성을 시사할 뿐입니다. 반복해서 확인해야 합니다. 값 변경 후에도 차이가 없다면 원래대로 돌리고 다른 계층을 점검하세요. MTU를 낮출수록 안정적이라고 보고 계속 낮게 설정하지 마세요.

DNS 서버와 연결 경로를 함께 확인하세요

WireGuard에는 DNS 설정을 배포하는 단일 표준 프로토콜이 없습니다. 일반적인 설정 파일의 DNS 항목은 클라이언트나 설정 도구에서 참고하는 정보이며, WireGuard 핸드셰이크로 자동 협상되는 DNS 서버가 아닙니다. Shadowrocket에서 실제로 어떤 DNS 설정을 사용하는지는 현재 Config의 DNS 항목과 앱 설정을 함께 확인해야 합니다.

Endpoint에 도메인을 사용하는 경우 터널을 연결하기 전에 해당 도메인을 조회할 수 있어야 합니다. 터널 안에서만 접근할 수 있는 DNS에 전적으로 의존하면 ‘터널을 연결해야 DNS 조회가 되고, 터널을 연결하려면 먼저 DNS 조회가 필요한’ 문제가 생길 수 있습니다. 반대로 서비스 제공업체가 안내한 내부 DNS는 주소 형식이 올바르더라도 Direct 연결로는 접근하지 못할 수 있습니다.

• Endpoint 도메인만 확인되지 않는 경우: 철자를 확인하고 현재 네트워크에서 해당 이름을 조회할 수 있는지 점검하세요. 도메인 조회 오류를 해결하려고 Public Key를 바꾸지 마세요.
• 터널은 연결되지만 일반 도메인이 조회되지 않는 경우: 현재 설정에서 사용하는 DNS 주소와 연결 경로를 확인하세요. 내부 DNS 요청이 도달할 수 없는 직접 연결로 전송되고 있지 않은지도 점검합니다.
• 일부 사이트에서만 문제가 발생하는 경우: IPv4와 IPv6 연결 가능 여부, 규칙이 일치한 결과를 함께 확인하세요. AAAA 레코드가 있다고 해서 현재 터널에 해당 IPv6 출구가 있다는 뜻은 아닙니다.
• DNS 서버를 변경한 뒤 테스트하는 경우: 연결을 다시 설정하고 같은 대상을 다시 확인하세요. 앱이나 시스템의 캐시도 고려해야 합니다. 이전에 열어 둔 페이지가 한 번 표시됐다는 이유만으로 새 설정이 적용됐다고 판단하지 마세요.

자주 발생하는 입력 오류와 점검 순서

연결 스위치가 켜져 있다는 사실만으로 시스템 VPN 세션이 해당 상태임을 알 수 있을 뿐, WireGuard가 데이터를 성공적으로 주고받았다고 단정할 수는 없습니다. 문제를 확인할 때는 ‘설정 정보 확인 → Endpoint와 UDP → 키 일치 여부 → 주소와 라우팅 정책 → DNS → MTU’ 순서로 진행하세요. 모든 항목을 무작위로 바꾸는 것보다 원인을 명확히 파악하기 쉽습니다.