최고의 5계층 자체 호스팅 프라이버시 스택

2025년 3월, Krebs on Security는 미국 연방 수사관들이 1억 5천만 달러 규모의 암호화폐 절도를 2022년 LastPass 침해와 직접 연결시켰다고 보도했습니다. 메커니즘은 단순했습니다: 일부 고객이 시드 구문을 LastPass Secure Notes에 저장했고, 공격자들이 암호화된 볼트 백업을 입수했으며, 약하거나 오래된 볼트 보호가 일부 볼트 내용을 오프라인에서 크래킹할 수 있게 했습니다.

교훈은 LastPass가 유독 부주의했다는 것이 아닙니다. 교훈은 당신이 읽는 모든 침해가 사과 이메일이 받은편지함에 놓여 있는 동안 누군가의 데이터가 수익화되는 일이라는 것입니다. 자체 호스팅은 누가 당신의 데이터에 그렇게 할 수 있는지를 바꿉니다. 누군가는 언제나 할 수 있다는 사실은 바꾸지 못합니다.

이 글은 위협 모델이 상업적 데이터 노출, 즉 빅테크의 수익화와 벤더 침해인 독자를 위한 것이지, 국가 수준 감시, 고위험 저널리즘, 액티비즘, 법적 증거개시를 위한 것이 아닙니다. 아래 아키텍처는 그 특정 위협 모델을 위한 5계층 스택입니다.

요약

이 스택에는 다섯 계층이 있습니다. 각 계층은 하나의 흔한 빅테크 의존을 제거하지만, 그 어느 것도 당신을 보이지 않게 만들지는 않습니다.

• 네트워크: WireGuard가 상업용 VPN을 대체하고 ISP나 로컬 네트워크의 가시성을 제한합니다.
• 신원: Vaultwarden이 호스팅형 비밀번호 관리자를 대체하고 벤더 측 침해 노출을 줄입니다.
• 검색: SearXNG가 검색을 당신의 VPS를 통해 프록시하고 로그인된 검색 계정 바깥에 두어 검색 프로파일링을 줄입니다.
• 파일과 사진: Nextcloud AIO와 Immich가 Google Drive와 Google Photos를 대체하여, 클라우드 콘텐츠 스캐닝과 제품 간 데이터 결합을 끊습니다.
• 팀 커뮤니케이션: Mattermost나 Rocket.Chat이 팀 채팅 기록을 Slack, Discord, Teams에서 옮겨냅니다.
• 주요 한계: 당신의 VPS 제공업체는 여전히 인프라 메타데이터를 볼 수 있고, 당신의 ISP는 여전히 당신이 서버에 연결한다는 것을 볼 수 있으며, 이 스택은 국가 수준 적대자를 위해 만들어진 것이 아닙니다.
• 관할권 참고: EU 호스팅은 데이터 주권 논거를 강화하지만, 마법의 방패는 아닙니다.

자체 호스팅은 신뢰를 옮길 뿐, 없애지 않는다

에서 오래 이어진 논쟁이 있고 Hacker News, 그것의 표면은 옳습니다: "VPS에서의 자체 호스팅은 프라이버시를 해결하지 않는다, 그저 다른 벤더를 신뢰할 뿐이다." 프라이버시 아키텍처를 설계하는 사람은 누구나 이를 비껴가지 말고 정면으로 다뤄야 합니다. 솔직한 답은 신뢰의 이동이 비대칭적이라는 것입니다. 동등하지 않습니다.

자체 호스팅이 줄이는 것부터 시작합시다. 당신의 SaaS 제공업체의 비즈니스 모델이 더 이상 당신의 데이터를 캐내는 것이 아닌데, 제공업체가 사라졌기 때문입니다. 벤더 측 침해 노출은 형태가 바뀝니다: Vaultwarden의 볼트는 클라이언트 측에서 암호화되지만, Nextcloud, Mattermost, Rocket.Chat 같은 서버에서 읽을 수 있는 서비스는 여전히 제대로 된 하드닝, 백업, 접근 제어가 필요합니다.

LastPass의 교훈은 볼트 암호화가 결코 존재하지 않았다는 것이 아니었습니다. 도난당한 암호화 볼트 백업, 암호화되지 않은 메타데이터, 오래된 KDF 설정, 약한 마스터 비밀번호가 오프라인 크래킹 경로를 만들어냈다는 것이었습니다. 서비스 전반의 행동 프로파일링도 줄어드는데, 한 회사가 조립할 수 있는 서비스 간 데이터가 더 적기 때문입니다. 구독 종속도 떨어집니다.

이제 자체 호스팅이 없애지 못하는 것입니다. 당신의 VPS 제공업체의 하이퍼바이저는 원칙적으로 당신의 VM 메모리를 읽을 수 있습니다. 당신의 VPS 제공업체는 당신의 인프라 수준 메타데이터를 봅니다: 어떤 IP에 언제 연결하는지, 그리고 얼마나 많은 데이터가 오가는지.

당신의 ISP는 여전히 당신이 서버에 연결한다는 것을 봅니다. 관할권 법적 요청은 여전히 VPS 제공업체 수준에서 적용되고, 법원 명령은 여전히 법원 명령입니다. 침해된 VPS, 앱, 데이터베이스, 또는 관리자 계정은 여전히 데이터를 노출할 수 있습니다.

중요한 것은 신뢰의 계산입니다. VPS 제공업체는 Google이나 Meta보다 당신의 데이터를 캐낼 상업적 동기가 적은데, 월 요금이 비즈니스 모델이고 당신의 데이터는 아니기 때문입니다. VPS 제공업체는 당신에 대해 더 적은 집합 데이터를 갖습니다. 즉, 당신의 검색 기록, 위치 기록, 받은편지함이 합쳐진 것이 아니라 당신의 서버 하나입니다.

EU에서는 제공업체가 GDPR과 특정 계약 조건 아래에서 운영됩니다. 이 중 어느 것도 VPS를 모든 차원에서 Google보다 더 안전하게 만들지는 않습니다. 그것은 다른 노출 프로파일을 가진 다른 위협 모델이며, 이 글이 다루는 위협 모델에는 의미 있는 개선입니다.

정확히 짚어둘 만한 구분이 하나 더 있습니다. 프라이버시는 "그들이 내가 무엇을 하는지 모른다"입니다. 익명성은 "그들이 그것을 하는 사람이 나라는 것을 모른다"입니다. 상업용 VPS에서의 자체 호스팅은 SaaS 벤더와 서드파티 플랫폼으로부터의 프라이버시를 개선합니다.

그것은 당신의 VPS 제공업체로부터의 익명성을 주지는 않습니다. 익명성이 필요하다면 당신은 VPS가 아니라 Tor를 쓰고 있는 것이고, 이 글의 나머지는 잘못된 도구입니다.

이 섹션의 핵심 요점: VPS는 당신의 신뢰를, 비즈니스 모델이 당신의 데이터를 수익화하는 것인 SaaS 벤더로부터, 비즈니스 모델이 당신에게 서버를 파는 것인 인프라 제공업체로 옮깁니다. 대부분 독자의 위협 모델에는 그것이 의미 있는 개선이지만, 보이지 않게 되는 것은 아닙니다.

한눈에 보는 5계층 스택

다섯 계층을, 이 순서로 배포합니다: 네트워크, 신원, 검색, 파일, 커뮤니케이션. 각각이 별개의 위협을 다룹니다. 단계적으로 배포할 수 있고, 당신에게 적용되지 않는 계층은 건너뛸 수 있습니다. 이 모델은 앱 목록보다 유용한데, 서버에서 돌아가는 서비스의 수가 아니라 당신의 우려에 맞춰 확장되기 때문입니다.

이 섹션의 핵심 요점: 가장 가벼운 프라이버시 스택을 원한다면 WireGuard, Vaultwarden, SearXNG로 시작하세요. 더 높은 RAM 사용, 스토리지 계획, 백업, 더 많은 관리 작업을 감당할 준비가 된 뒤에만 Nextcloud, Immich, 팀 채팅을 더하세요.

계층 1: 네트워크 계층 (WireGuard)

전형적인 단일 사용자 설정을 위한 WireGuard의 구성 파일은 열두 줄입니다. 핸드셰이크는 한 번의 왕복으로 완료되며 Noise 프로토콜 프레임워크를 사용합니다. 커널 모듈은 5.6 이래로 메인라인 Linux에 들어 있어, 당신이 2026년에 배포하는 프로토콜이 수년간 감사받고 안정적이었던 것과 동일하다는 뜻입니다. 이것이 올바른 기본값입니다.

이 계층이 다루는 것: 그렇지 않았다면 당신이 연결하는 모든 도메인을 봤을 ISP와 로컬 네트워크 관찰자, 공용 Wi-Fi 공격자, 그리고 당신이 방문하는 모든 서비스에 노출되는 집 IP. 당신의 트래픽이 아파트가 아니라 VPS에서 송신됩니다.

이 계층이 다루지 못하는 것: 당신의 트래픽 송신에 대한 VPS 제공업체의 시야. 그들은 당신의 VPN 엔드포인트가 무엇에 언제 얼마나 연결하는지 봅니다. WireGuard는 ISP로부터 트래픽을 숨깁니다. 송신을 운영하는 서버로부터 트래픽을 숨기지는 못합니다.

DNS 누출 또한 별개의 문제이고 자동으로 처리되지 않습니다. VPN 클라이언트가 당신이 신뢰하는 리졸버를 가리키도록 해야 합니다. 같은 VPS에서 Unbound를 돌리거나, DoT 또는 DoH로 신뢰하는 업스트림을 쓰세요. Pi-hole을 통한 완전한 DNS 수준 광고 차단은 별개의 주제이며 대부분의 사용자에게 VPN 송신과 결합할 올바른 것이 아닙니다(아래에서 더 다룹니다).

WireGuard 대 대안들, 간단히. OpenVPN도 여전히 작동합니다. 핸드셰이크가 더 크고, 메타데이터 발자국이 더 크며, 처리량이 더 낮습니다. WireGuard가 제공하지 않는 기능이 특별히 필요하지 않은 한, 새 배포에 그것을 고를 이유가 없습니다.

Tailscale은 다른 도구입니다: WireGuard 위에 구축된 무설정 메시이며 여러 머신에 걸쳐 당신 자신의 자체 호스팅 서비스를 잇는 데 탁월합니다. 인터넷으로의 프라이버시 송신구로 원하는 것은 아닌데, 조정 평면이 Tailscale에 의해 호스팅되기 때문입니다.

참고: 기본 51820/UDP 포트를 바꾸면 저강도 스캔을 줄일 수 있지만, WireGuard를 평범한 HTTPS 트래픽처럼 보이게 하거나 진지한 필터링을 우회하게 만들지는 못합니다. 그것을 은폐가 아니라 스캔 감소로 다루세요.

배포를 위해, 이 아키텍처와 짝을 이루는 단계별 Ubuntu용 WireGuard 설정 가이드 가 있습니다.

이 섹션의 핵심 요점: VPS에서의 WireGuard는 당신의 ISP가 들여다볼 수 없는 비공개 네트워크 송신구를 주지만, 송신을 운영하는 VPS 제공업체로부터 당신의 트래픽을 숨기지는 못합니다.

계층 2: 신원 계층 (Vaultwarden)

Vaultwarden은 200 MB 미만의 RAM에서 실행됩니다. Bitwarden API의 Rust 재구현이며, 모든 공식 Bitwarden 클라이언트(브라우저 확장, 데스크톱 앱, 모바일 앱)와 호환되고, 무거운 Bitwarden 서버 레퍼런스 이미지를 요구하지 않습니다. 단일 사용자나 가정에는 이것이 올바른 크기입니다.

이 계층이 다루는 것: 볼트 내용이 유출되어 결국 오프라인에서 복호화된 LastPass 스타일 실패 같은 벤더 측 비밀번호 침해. 실제로 쓰는 비밀번호 관리자가 생기면 서비스 전반의 자격 증명 재사용이 기계적으로 더 어려워집니다. 어떤 서드파티도 그 목록을 보지 못하므로, 서비스 전반의 신원 프로파일 집계도 떨어집니다.

이 계층이 다루지 못하는 것: 당신 자신의 OpSec. 약한 마스터 비밀번호, 볼트에 2FA 없음, 또는 당신에 대한 성공적인 피싱 공격은 이 계층을 완전히 무력화합니다. 로그인된 브라우저 확장이 있는 침해된 기기는 그것을 더 완전히 무력화합니다. Vaultwarden은 볼트이지, 기본기를 대신하는 것이 아닙니다.

이 스택에서 다른 어떤 것보다 중요한 운영 경고가 하나 있습니다. 비밀번호 관리자를 자체 호스팅한다는 것은 당신이 백업을 책임진다는 뜻입니다. 잘못된 순간에 실패하는 VPS, 또는 실수로 지운 서버는 이 계층이 보호하는 모든 계정에서 당신을 잠가버립니다.

XDA Developers도 이 위험을 직접 다루며, 자체 호스팅 비밀번호 관리자가 접근, 백업, 또는 복구 계획이 실패하면 중요한 계정에서 당신을 잠글 수 있다고 경고했습니다.

경고: Vaultwarden 데이터 디렉터리의 자동 암호화 백업을 돌리세요. 암호화된 오프라인 내보내기를 보관하고, 복구 코드를 별도로 저장하며, 여분 기기나 임시 컨테이너에서 복원을 테스트하세요. 단일 VPS 백업에 의존하지 마세요. 이것은 선택이 아닙니다. 볼트를 벤더 인프라에서 꺼내는 대가입니다.

나중에 여러 자체 호스팅 서비스에 걸쳐 단일 사인온을 중앙화한다면, Authentik이 대부분의 사람이 결국 도달하는 오픈소스 신원 제공자입니다. 그것은 고급 계층이며 핵심 스택의 범위를 벗어납니다.

배포를 위해, 우리의 Vaultwarden 자체 호스팅 가이드 가 배포 동반자입니다. 비밀번호 관리자 지형에 대한 더 깊은 시각은 우리의 최고의 자체 호스팅 비밀번호 관리자.

이 섹션의 핵심 요점: Vaultwarden은 당신의 비밀번호 볼트를 침해에 취약한 벤더 인프라에서 옮겨내지만, 백업과 복구 부담을 당신에게 지우며, 그 부담은 실재합니다.

계층 3: 검색 및 브라우징 계층 (SearXNG)

SearXNG 인스턴스는 당신의 쿼리를 받아 업스트림 엔진(Google, Bing, DuckDuckGo, 당신이 활성화한 다른 것들)으로 부채꼴로 펼치고, 일부 식별 매개변수를 제거한 뒤, 통합된 결과 페이지를 반환합니다.

당신의 쿼리는 Google에 도달하지만, 로그인된 검색 계정이 아니라 당신의 VPS에서 온 쿼리로 도달합니다. 단일 사용자 인스턴스는 큰 익명성 풀을 만들지 못하므로, 업스트림 엔진은 여전히 쿼리 패턴을 그 VPS IP와 연결할 수 있습니다.

이 계층이 다루는 것: 검색 쿼리 프로파일링, 로그인된 검색 기록에 맞춰진 행동 광고 타기팅, 그리고 검색 계정의 긴 기억. "어제 검색한 것의 광고를 왜 보게 되는가" 문제가 검색 계정 수준에서 줄어듭니다.

이 계층이 다루지 못하는 것: 당신이 실제로 클릭해 들어가는 사이트의 추적. 서드파티 페이지의 쿠키, 핑거프린팅, 추적기는 검색 측이 아니라 브라우저 측 문제입니다. 그것을 다루려면 강화된 브라우저 구성을 쓰세요.

SearXNG는 또한 당신의 VPS가 당신의 쿼리만 보낸다면 업스트림 검색 엔진으로부터 당신을 익명화하지 못합니다. 바쁜 인스턴스의 집합 트래픽은 단일 사용자를 잡음 속에 숨기지만, 단일 사용자 인스턴스는 여전히 한 사용자의 검색 패턴처럼 보일 수 있습니다.

Whoogle Search는 더 가벼운 대안입니다. Google 프런트엔드이고, 더 단순하며, 한 가지 일을 합니다. SearXNG는 여러 엔진을 집계하는데, Google을 떠나는 이유가 특별히 Google 때문이 아니었다면 더 유용합니다. 실제로 얼마나 많은 출처를 원하는지를 기준으로 고르세요.

단일 사용자 인스턴스를 위한 운영 참고 하나. SearXNG는 쿼리를 업스트림 엔진으로 전달하고, Google은 의심스러운 트래픽 패턴을 레이트 리밋할 수 있습니다. 단일 사용자는 이에 거의 부딪히지 않습니다. 작은 공개 인스턴스는 부딪힐 수 있습니다. 쿼리가 실패하기 시작하면, 업스트림 엔진 수를 줄이거나, SearXNG의 리미터 설정을 조정하거나, 덜 적대적인 업스트림 엔진에 더 기대세요.

이 섹션의 핵심 요점: SearXNG는 당신의 검색을 VPS를 통해 프록시하고 로그인된 검색 계정 바깥에 둡니다. 직접적인 검색 프로파일링을 줄이지만, 비공개 단일 사용자 인스턴스는 큰 익명성 풀을 만들지 못합니다.

계층 4: 파일 및 사진 계층 (Nextcloud AIO + Immich)

Nextcloud AIO는 Nextcloud의 올인원 Docker 배포이며, 작동하는 파일 동기화, 캘린더, 연락처, 문서 협업 서버로 가는 가장 저항이 적은 경로입니다.

Immich는 사진 측 대응물입니다: 타임라인 보기, iOS와 Android에서의 모바일 자동 업로드, 당신 자신의 서버나 선택한 ML 호스트에서 처리되는 Google Photos 스타일 얼굴 인식, 그리고 현재 출시된 것 중 가장 쓸 만한 Google Photos 대체재라는 솔직한 커뮤니티 합의.

이것들은 가벼운 애플리케이션이 아닙니다. Nextcloud AIO는 4 GB / 2 vCPU 기준선으로 다뤄야 하고, Immich의 머신러닝, 썸네일 생성, 첫 라이브러리 스캔은 당신이 주는 만큼 씁니다.

이 계층이 다루는 것: 민감한 개인 라이브러리를 벤더 계정 안에 두는 클라우드 스토리지 벤더 스캐닝, 사진 콘텐츠 인식, 클라우드 측 처리, 그리고 파일, 사진, 검색, 위치 기록, 신원 신호를 한 회사 계정 아래 두는 계정 수준 데이터 중앙화.

이것을 당신이 통제하는 서버로 대체하면 그 중앙화가 깨집니다.

이 계층이 다루지 못하는 것: 바이트는 여전히 당신의 VPS 제공업체가 운영하는 스토리지 볼륨에 살아 있습니다. 저장 시 암호화는 기본적으로 그들이 아니라 당신의 책임입니다. 기기 측 침해는 별개의 문제입니다. 휴대폰이 루팅되었다면, 거기 있는 Nextcloud 클라이언트는 서버가 어디 있든 노출됩니다.

당신의 유일한 필요가 "이 폴더들을 내 기기 사이에 동기화 상태로 유지"라면, Syncthing이 더 단순한 도구입니다. 피어 투 피어이고, 중간에 서버가 없으며, 그 한 가지 일을 잘 합니다. Nextcloud가 제공하는 캘린더, 연락처, 협업 기능의 대체는 아니고, 파일 동기화 부분집합의 대체입니다.

Immich에 한정해서, 하나의 실용적인 사이징 규칙이 중요합니다. Nextcloud AIO는 4 GB / 2 vCPU 기준선으로 다뤄야 합니다. Immich는 머신러닝, 썸네일, 첫 라이브러리 스캔이 그림에 들어오면 가벼운 사진 사이드카가 아닙니다. Immich 중심 설정에는 6-8 GB RAM 정도를 계획하고, 특히 마이그레이션 중에 그렇습니다.

배포를 위해, 우리에게는 둘 사이에서 아직 고르는 중인 사용자를 위한 Nextcloud vs ownCloud 비교 가 있고, 이 공간을 살펴보고 있다면 더 넓은 웹 UI를 갖춘 자체 호스팅 클라우드 플랫폼 개요도 있습니다.

이 섹션의 핵심 요점: Nextcloud와 Immich는 파일과 사진을 Google 스타일 클라우드 계정에서 옮겨낼 수 있지만, 이 스택에서 진지한 RAM, 스토리지, 백업 계획, 마이그레이션 인내가 필요한 첫 계층입니다.

계층 5: 커뮤니케이션 계층 (Mattermost 또는 Rocket.Chat)

Slack 워크스페이스는 Slack이 검색할 수 있습니다. Discord는 ToS 위반을 위해 콘텐츠를 스캔합니다. Microsoft Teams는 당신의 테넌트 정책 아래 채팅 기록을 보존하며, 그 정책은 당신의 IT 조직이 볼 수 있는 정책입니다.

그런 곳 어디에도 머물러서는 안 되는 팀 또는 가족 채팅에는, 자체 호스팅 Mattermost나 Rocket.Chat이 표준 답입니다. 이 계층은 팀 보관 기록을 SaaS 바깥에 두는 것이지, 비공개 종단 간 채팅에 관한 것이 아닙니다.

이 계층이 다루는 것: 벤더 측 메시지 보관, 벤더 측 콘텐츠 스캐닝, 그리고 벤더가 당신의 계정이 문제라고 결정할 때 일어나는 접근 상실. 당신 팀의 메시지 기록이 당신의 서버에 놓입니다.

이 계층이 다루지 못하는 것, 그리고 이것이 중요합니다: 종단 간 암호화. Mattermost와 Rocket.Chat은 기본적으로 E2EE가 아닙니다. 서버 관리자는 메시지를 읽을 수 있습니다. 서버 관리자는 이제 당신이고, 그것이 SaaS 벤더의 직원인 것보다는 낫지만, 그 원칙은 여전히 당신 팀의 위협 모델에 중요합니다.

일대일 보안 메시징에는 자체 호스팅 서버가 아니라 Signal이 올바른 답입니다. 커뮤니케이션 계층이 기본적으로 E2EE여야 한다면, Matrix/Element를 보거나 개인 채팅에는 Signal을 대신 쓰세요. 자체 호스팅은 벤더 없이 팀 메시징을 해결하지만, 개인 위협 모델을 위해 Signal을 대체하지는 못합니다.

Mattermost 대 Rocket.Chat. 둘 다 유효합니다. Mattermost는 더 단단하고, 더 엔터프라이즈 형태이며, 기본적으로 켜진 선택적 기능이 더 적습니다. Rocket.Chat은 더 넓고, 더 많은 채널 유형을 통합하며, 더 큰 플러그인 생태계를 갖습니다. 소규모 팀이나 가족 채팅이라는 전형적인 프라이버시 스택 용례에는 어느 쪽도 괜찮습니다.

2026년 주의사항: Mattermost를 배포하기 전에 정확한 무료 에디션을 확인하세요. Mattermost Entry에는 10,000 메시지 기록 상한이 있고, Team Edition은 그 상한을 피하지만 자체 한도가 있습니다. Rocket.Chat의 경우, MongoDB, 업로드, 통합이 오버헤드를 더하므로 작은 1 GB VPS보다 더 많이 예산을 잡으세요.

이 섹션의 핵심 요점: 자체 호스팅 Mattermost나 Rocket.Chat은 팀의 채팅 보관 기록을 SaaS 벤더에서 제거하지만, 두 사람 사이의 진정한 종단 간 암호화가 필요하다면 Signal이 여전히 올바른 도구입니다.

무엇을 자체 호스팅하지 말아야 하는가 (그리고 이유)

프라이버시 스택에 속하는 것처럼 보이지만 그렇지 않은 것들이 있습니다. 그것들을 나열하는 것은 신뢰할 가치가 있는 스택을 구축하는 일의 일부입니다.

이메일. 특별히 그러기를 원하는 숙련된 Linux 운영자가 이미 아니라면 이메일을 자체 호스팅하지 마세요. PrivacyGuides는 이에 대해 분명하고 잘 알려진 입장을 갖고 있고, 그것이 옳습니다: 고급 사용자만 자신의 메일 서버를 돌려야 합니다. 이유는 기술적 호기심이 아닙니다. SPF, DKIM, DMARC를 구성하고 계속 올바르게 유지해야 합니다.

IP 평판은 얻고 유지해야 합니다. 스팸 필터링은 영구적인 상태입니다. Gmail과의 도달성 싸움은 설정 단계가 아니라 지속되는 조건입니다. 다른 모든 사람에게는, 관리형 프라이버시 존중 제공업체가 이 계층에 진짜로 올바른 답입니다.

Proton Mail, Tuta(이전 Tutanota), Mailbox.org 모두 좋은 선택입니다. 이것은 이 글의 강한 규칙입니다: 일반 독자의 프라이버시를 위해 이메일을 자체 호스팅하지 마세요.

VPS에서, 집 네트워크의 기본 DNS 리졸버로서의 Pi-hole. Pi-hole은 훌륭합니다. 그것을 집 전체 인터넷의 재귀 리졸버로 VPS에 두는 것은, VPS가 딸꾹질할 때 집 안의 모든 사람을 위한 인터넷을 끊는 단일 장애 지점입니다. Pi-hole은 집의 Raspberry Pi에 속합니다. 이 스택의 일부가 아닙니다.

페더레이션 소셜 미디어. Mastodon, Pleroma, 그리고 나머지는 흥미롭고 인접해 있습니다. 주된 제약은 프라이버시가 아니라 채택입니다. 어떤 사람들에게는 올바른 답이지만, 당신 자신의 데이터를 빅테크의 서버에서 빼내는 데 초점을 둔 프라이버시 스택의 핵심은 아닙니다.

익명성 도구. Tor, I2P, 믹스넷. 다른 위협 모델, 다른 글입니다. 그것들이 필요하다면, 당신은 이미 알고 있습니다.

요약: Proton Mail이나 그에 준하는 것은 하나의 특정 계층을 위한 관리형 대안이고, 그것을 인정하는 것은 쓸 가치가 있는 스택의 일부입니다. 자체 호스팅은 그런 제공업체가 전체 워크플로를 다루지 못하는 곳에서 도움이 됩니다: 사진, 검색, 맞춤 분석, 팀 채팅. 일반 독자의 프라이버시를 위해, 이메일은 이 스택이 외주를 줘야 하는 단 하나의 계층입니다.

이 섹션의 핵심 요점: 대부분의 사용자는 이메일을 자체 호스팅하지 말아야 합니다. Proton Mail 같은 프라이버시 존중 관리형 제공업체가 그 한 계층에는 진짜로 더 나은 답이며, 그것을 인정하는 것은 신뢰할 수 있는 스택을 구축하는 일의 일부입니다.

어디서 돌릴 것인가: VPS 사이징과 관할권

사이징 질문은 추상적이지 않습니다. 이 스택에는 세 가지 실용적 형태가 있습니다: 가벼운 프라이버시 핵심, 파일 계층, 그리고 Immich 머신러닝을 끌어들이는 사진 중심 버전. 하나에서 다음으로의 도약은 겉치레가 아닙니다. 파일, 썸네일, 얼굴 인식, 첫 라이브러리 마이그레이션이 작은 VPS를 제대로 된 서버 예산으로 바꾸는 것들입니다.

이 표를 이렇게 읽으세요:

• 최소 스택 은 가장 수익성 높은 세 계층을 다룹니다: 네트워크, 신원, 검색.
• Nextcloud 기준선 은 PHP, 데이터베이스 작업, 파일 인덱싱, 동기화 작업, 웹 UI가 모두 함께 돌기 때문에 더 많은 여유가 필요합니다.
• 파일 및 사진 스택 는 Immich 머신러닝, 썸네일, 얼굴 인식, 첫 사진 라이브러리 스캔이 마이그레이션 중에 서버를 세게 칠 수 있기 때문에 더 큰 예산이 필요합니다.
• 스토리지 는 컴퓨트가 계획의 절반일 뿐이라서 중요합니다. 파일과 사진은 늘어날 공간, VPS 바깥의 백업, 그리고 서버가 사라져도 여전히 작동하는 복구 경로가 필요합니다.

그다음으로 관할권이 있습니다. 2025년 6월, Microsoft는 프랑스 의회에서 증언하기를 EU에서 호스팅된 데이터가 미국의 법적 접근으로부터 보호될 것을 보장할 수 없다고 했습니다. 그 증언은 데이터 주권 논의를 이론에서 주류 정책 대화로 옮겼습니다.

데이터 주권을 우선시하는 사용자에게는 회사 관할권, 데이터센터 위치, 계약, 암호화 모델, 백업 위치가 모두 중요합니다.

If CLOUD Act 노출은 우려의 일부이니, EU 데이터센터 하나만으로 전체 답으로 다루지 마세요. 유럽 리전을 갖춘 미국 본사가 아닌 제공업체가 미국 본사 하이퍼스케일러의 EU 리전보다 더 깔끔한 선택이지만, 그래도 데이터를 법적으로 건드릴 수 없게 만들지는 않습니다.

주의사항: 관할권은 마찰이지, 무적이 아닙니다. 독일 법원 명령은 여전히 법원 명령입니다. 네덜란드의 것도 그렇습니다. 스위스의 법적 요청도 그렇습니다. 유럽 호스팅은 미국 본사 클라우드 제공업체에 대한 일부 직접 노출을 줄이고 현지 법적 절차를 더할 수 있지만, 데이터를 법적으로 건드릴 수 없게 만들지는 않습니다.

대부분 독자의 위협 모델에는 그 더해진 마찰이 유용합니다. 마법의 방패는 아닙니다.

이 섹션의 핵심 요점: 가벼운 스택은 작은 VPS에서 돌 수 있지만, 파일과 사진이 예산을 바꿉니다. Nextcloud 전용 기준선으로 4 GB / 2 vCPU를 쓰고, 사진 중심 Immich 설정에는 8 GB / 4 vCPU에 가깝게 계획하세요. Cloudzy 마켓플레이스는 핵심 앱의 설정 노력을 낮추는 한편, 관할권은 비가시성이 아니라 법적 마찰을 더합니다.

설정을 프로젝트로 만들지 않고 스택을 배포하는 법

모든 계층을 수동으로 구축할 수 있습니다. 설정 작업이 매력의 일부라면 괜찮습니다. 대부분의 독자에게는 그렇지 않습니다. 이 스택의 요점은 빅테크 데이터 중력에서 벗어나는 것이지, 첫 앱이 돌기도 전에 Docker, 포트, DNS, 서비스 파일을 일주일간 디버깅하는 것이 아닙니다.

마찰이 더 적은 경로는 작동하는 VPS 이미지에서 시작해 거기서 하드닝하는 것입니다. Cloudzy 마켓플레이스 는 WireGuard, Vaultwarden, SearXNG, Nextcloud AIO, 그리고 다른 자체 호스팅 도구를 위한 원클릭 VPS 이미지를 포함하므로, 기본 배포는 주말을 잡아먹는 부분이 아닙니다.

여전히 중요한 작업은 어떤 마켓플레이스도 당신을 대신해 줄 수 없는 작업입니다: DNS, 방화벽 규칙, 백업, 접근 제어, 업데이트, 복구 테스트.

그 밑에 깔린 서버도 여전히 중요합니다. 이 스택은 표 안의 앱 이름만이 아니라 스토리지, 네트워크, 리전 선택, 여유입니다. Cloudzy는 NVMe 기반 VPS 인프라, 완전한 루트 접근, 13개 리전, 40 Gbps 네트워킹, 99.95% 가동 시간, 그리고 14일 환불 기간을 제공합니다.

WireGuard, Vaultwarden, SearXNG에는 작게 시작하세요. Nextcloud에는 한 단계 올리세요. 머신러닝, 썸네일, 사진 마이그레이션이 그림에 들어오면 Immich에는 더 진지하게 계획하세요.

어떻게 시작할 것인가

다섯 계층, 각각이 특정 위협을 다룹니다. 그 어느 것도 당신을 보이지 않게 만든다고 주장하지 않습니다. 모두가 당신이 현재 기본값으로 받아들이는 특정한 상업적 데이터 노출을 줄입니다.

당신의 가장 구체적인 현재 고통을 다루는 한 계층을 고르세요. 침해 통지 이메일을 열어본 적이 있다면, 그것은 신원 계층입니다. 한 번도 방문하지 않은 사이트들에서 광고가 따라다니는 것을 알아챘다면, 그것은 검색 계층입니다. 그 하나를 배포하세요. 아키텍처는 확장됩니다. 시작하겠다는 결정은 그럴 필요가 없습니다.

어떤 단일 계층의 설정도 길어야 주말 하나면 됩니다. 구성 파일은 짧습니다. 이보다 더 복잡할 이유가 없습니다.

자주 묻는 질문

VPS에서의 자체 호스팅이 실제로 내 프라이버시를 보호하나요, 아니면 그저 다른 벤더를 신뢰하는 것인가요?

예, 이 위협 모델에 대해서는요. 그것은 사용자 데이터를 수익화하는 SaaS 벤더로부터 인프라를 파는 VPS 제공업체로 신뢰를 옮깁니다. 그것은 상업적 노출과 서비스 간 프로파일링을 줄이지만, VPS 메타데이터, ISP 연결 기록, 침해된 기기, 또는 국가 수준 감시를 숨기지는 못합니다.

내가 시작해야 할 최소 자체 호스팅 프라이버시 스택은 무엇인가요?

WireGuard, Vaultwarden, SearXNG로 시작하세요. 그것들은 2 GB RAM VPS에서 네트워크 가시성, 비밀번호 벤더 침해 위험, 로그인된 검색 프로파일링을 다룹니다. Nextcloud는 나중에 더하고, Immich는 더 많은 RAM, 스토리지, 백업 규율을 갖춘 뒤에만 더하세요.

Frankfurt나 Amsterdam에서 호스팅하는 것이 미국보다 프라이버시에 실제로 더 나은가요?

유럽 리전은 미국 본사 제공업체에 대한 일부 직접 노출을 줄일 수 있지만, 데이터를 법적으로 건드릴 수 없게 만들지는 않습니다. 회사 관할권, 데이터센터 위치, 계약, 암호화, 백업 위치가 모두 중요합니다. 독일, 네덜란드, 또는 스위스의 법적 요청은 여전히 적용될 수 있습니다.

프라이버시를 위해 내 이메일을 자체 호스팅해야 하나요?

거의 모든 사람에게는 아닙니다. 이메일 자체 호스팅은 SPF, DKIM, DMARC, IP 평판, 스팸 필터링, 그리고 끊임없는 도달성 작업을 요구합니다. Proton Mail, Tuta, 또는 Mailbox.org 같은 관리형 프라이버시 제공업체를 쓰세요. PrivacyGuides는 자체 호스팅 이메일을 고급 사용자에게만 권장합니다.

WireGuard는 실제로 나를 무엇으로부터 보호하나요?

WireGuard는 트래픽을 당신의 VPS를 통해 라우팅하여, 당신의 ISP와 로컬 네트워크가 볼 수 있는 것을 제한합니다. VPS 제공업체로부터 송신 트래픽을 숨기지는 못합니다. 그들은 여전히 연결 메타데이터, 목적지 IP, 타이밍, 양을 볼 수 있습니다. 그것은 당신의 ISP로부터의 프라이버시이지, 비가시성이 아닙니다.