VPN을 켜면 통신사에는 무엇이 보일까: 가려지는 것과 안 가려지는 것 (2026)

짧게 답하면, VPN 안으로 지나가는 내용은 통신사가 읽을 수 없어요. 하지만 VPN이 있다는 것, 어느 주소에 연결돼 있는지, 언제 켜져 있었는지, 얼마나 많은 데이터가 지나갔는지는 보여요. 이동통신사와 카페 와이파이를 운영하는 사람도 마찬가지예요. VPN은 나에 대해 보이는 것을 크게 줄이지만 0으로 만들지는 않아요. 오해는 대부분 이 차이에서 생겨요.

VPN 없이 보이는 것

터널이 없으면 통신사는 모든 패킷이 지나가는 길목에 있어요. 접속한 서버의 주소와 시각, 통신사 DNS로 이름을 조회한다면 그 DNS 질의, 그리고 거의 모든 HTTPS 연결의 첫머리에 있는 사이트 이름(SNI)이 보여요. SNI는 DNS를 암호화해도 보여요. Encrypted Client Hello가 이를 바꾸고 있지만 아직 어디서나 쓰이지는 않아요. HTTPS 사이트의 페이지, 입력 양식, 메시지 내용은 보이지 않아요.

VPN을 켜도 보이는 것: 서버, 시간, 양

VPN을 켜면 모든 패킷이 서버 한 대로 가요. 긴 접속 주소 목록이 하나의 흐름으로 바뀌는 셈이에요. 하지만 그 서버의 주소는 그대로 보이고, 거기서 알 수 있는 것도 있어요. 데이터센터 네트워크는 가정용이나 모바일 회선과 모습이 달라요. 집 회선에서 데이터센터의 한 대로 오래 이어진 연결은 그것만으로도 알아볼 수 있는 모양이에요.

암호화는 내용물을 지킬 뿐 봉투를 지키지는 않아요. 연결이 언제 열리고 닫혔는지, 방향별로 몇 바이트가 오갔는지, 어떤 덩어리로 오갔는지는 통신사에 계속 보여요. 양방향으로 고른 흐름이 30분 이어지면 통화처럼, 한 방향으로 몇 GB가 흐르면 다운로드처럼 보여요. 어떤 사이트를 열었는지는 드러나지 않지만 생활 리듬은 드러나요. 솔직하게 말하면 VPN이 숨기는 것은 그 안을 지나가는 내용이지, VPN을 쓴다는 사실이 아니에요.

터널 자체의 핸드셰이크

내가 여는 사이트의 핸드셰이크는 터널 안으로 지나가요. 하지만 터널 자체의 핸드셰이크는 바깥에 있고, 거기서 무엇이 보이는지는 프로토콜에 따라 달라요.

• VLESS Reality: 실제로 있는 제3자 사이트를 향한 핸드셰이크라서 그 사이트의 이름을 담아요. 기록될 만한 내 도메인이 없어요. 약점은 다른 데 있어요. 연결이 그 이름의 주인이 아닌 주소로 가기 때문에 둘을 비교할 수 있어요.
• Hysteria2 등 QUIC 기반 프로토콜: 첫 QUIC 패킷은 RFC 9001에 공개된 값에서 만든 키로 보호돼요. 경로에 있는 누구나 이를 풀어 이름을 읽을 수 있어요. QUIC만으로는 이름이 가려지지 않아요.
• 자기 도메인으로 일반 TLS를 쓰는 VLESS나 Trojan: 핸드셰이크에 그 도메인이 평문으로 실려요. 트래픽에 붙은 고정된 꼬리표가 되는 셈이에요.
• WireGuard: TLS가 없으니 이름도 없어요. 그렇다고 안 보이는 건 아니에요. 핸드셰이크가 첫 바이트가 정해진 148바이트와 92바이트 메시지라서, 길이를 보는 간단한 규칙으로 알아볼 수 있어요.

트래픽이 터널 밖으로 새는 길

• 터널 밖 DNS: 클라이언트가 이름 조회를 맡지 않으면 질의가 통신사 DNS로 가요. 그건 VPN이 숨겨야 했던 사이트 목록 거의 전부예요.
• IPv6: 터널이 IPv4만 나르는데 회선에 IPv6가 있으면, IPv6를 지원하는 사이트에는 바로 연결돼요. 국내 회선의 주소 구조는 국내 회선의 IPv6와 NAT 계층에서 설명했어요.
• 예외 설정: VPN 밖으로 보내도록 설정한 사이트와 앱은 VPN이 없을 때처럼 보여요.
• 켤 때와 다시 연결할 때: 터널이 올라오는 동안, 즉 켤 때와 네트워크가 바뀔 때마다 트래픽은 평소 경로로 가요. 끊김 차단 기능이 없으면 이 몇 초가 보여요.

저희 앱은 이렇게 처리해요

• 현재 위치: 「Where are you?」 화면에 모드가 두 가지 있어요. 「I am abroad」에서는 러시아 사이트를 포함해 모든 트래픽이 저희를 거쳐요. 「I am in Russia」에서는 러시아 사이트가 바로 열리고, 통신사에는 VPN이 없을 때처럼 보여요. 러시아 밖이라면 「I am abroad」를 고르세요. 앱 화면은 지금은 영어와 러시아어만 있어요.
• iPhone과 iPad의 DNS: 사이트 이름은 Cloudflare가 VPN 서버를 거쳐 DNS-over-HTTPS로 조회해요. 바로 열리는 사이트의 이름은 VPN 밖에서 Yandex 공개 DNS가 조회해요.
• 컴퓨터의 DNS: 사이트 이름은 Cloudflare와 Google이 조회하고, 질의는 VPN 서버를 거쳐요. IPv6도 IPv4와 함께 터널에 넣어요.
• 서버 주소는 연결하기 전에 지금 쓰는 네트워크의 DNS로 알아내요. 그러지 않으면 연결할 곳이 없으니까요. 이 한 번의 질의는 통신사에 보여요.
• 끊김: iPhone과 iPad에는 「Block the internet if the VPN drops」 스위치가 있어서, VPN이 켜져 있는 동안 그 밖으로는 아무것도 지나가지 않아요.

보는 사람은 사라지지 않고 자리를 옮길 뿐이에요

통신사가 더 이상 보지 못하는 것은 다른 누군가가 보게 돼요. 트래픽은 VPN 서버에서 인터넷으로 나가므로, 그 서버를 운영하는 쪽이 예전에 통신사가 있던 자리에 서요. 그래서 「통신사에 무엇이 보이나」라는 질문은 늘 「VPN 서비스에는 무엇이 보이나」와 함께 따져야 해요. 무료 와이파이에서 무엇이 보이는지는 카페·지하철 무료 와이파이에서 다뤘어요.

통신사가 무엇을 보관해야 하는지는 법이 정해요. 한국에서는 통신비밀보호법에 따라 통신사가 인터넷 로그 기록과 접속지 추적 자료를 3개월간 보관해야 해요. VPN을 쓰면 이 기록에 남는 것은 VPN 서버와의 연결이지, 내가 본 사이트가 아니에요.

내 연결 확인하기

1. 1VPN을 켜고 저희 유출 테스트를 여세요. 사이트에 보이는 주소와 국가, WebRTC 유출, 시간대를 보여 줘요. DNS는 아직 확인하지 않아요.
2. 2컴퓨터에서 curl -6 https://ifconfig.co로 IPv6를 확인하세요. 집 주소가 나오면 IPv6가 터널 밖으로 가는 거예요. 연결 오류가 나면 IPv6가 아예 없다는 뜻이고, 그것도 괜찮아요.
3. 3다시 연결되는 순간을 확인하세요. 와이파이를 껐다 켜고 바로 테스트를 다시 여세요. 끊김 차단이 작동하는지는 바로 이 몇 초에 드러나요.
4. 4확인은 매주 할 필요 없이, 클라이언트를 바꿨을 때, 운영체제를 업데이트했을 때, 회선을 바꿨을 때 다시 하세요.

자주 묻는 질문