최고의 자체 호스팅 VPN 솔루션, 장단점, 사용 사례 및 세부 사항

"자체 호스팅 VPN"은 세 부류의 독자에게 각기 다른 세 가지를 의미하며, 대부분의 목록형 글은 이를 하나로 묶어 다루기 때문에 실패합니다. 프라이버시를 중시하며 상용 VPN 서비스를 자신만의 출구 노드로 대체하려는 사용자는, 홈 랩을 AWS에 연결하려는 4인 엔지니어링 팀과 같은 문제를 해결하는 것이 아닙니다. 도구는 서로 겹치지만, 한 작업에 적합한 도구가 다른 작업에도 적합한 경우는 드뭅니다.

이 가이드는 그 구분을 중심으로 구성되어 있습니다. 세 가지 사용 사례, 세 가지 주요 권장 사항, 그리고 각각에 따르는 솔직한 트레이드오프입니다. 여기에는 설치 안내가 없습니다. 작업에 적합한 도구가 확인되면 전체 설치 가이드 링크가 이어집니다.

요약

• 자신만의 출구 노드로 개인 프라이버시를 확보하려면, Five Eyes에 속하지 않는 관할권의 소형 VPS에 WireGuard를 배포하세요. 원한다면 WireGuard Easy가 웹 UI를 추가해 줍니다. OpenVPN은 네트워크가 UDP를 차단할 때만 사용하세요.
• 노트북, 홈 랩, 클라우드 VPC를 연결하는 팀 메시의 경우, Tailscale이 대부분의 팀에게 실용적인 답입니다. Headscale이나 Netmaker는 컨트롤 플레인을 직접 소유하는 것이 위협 모델의 일부일 때만 운영하세요.
• 제한적인 인터넷 환경에 있는 사용자에게는 Hiddify Manager가 현재 가장 좋은 답입니다. WireGuard와 OpenVPN은 단독으로는 심층 패킷 검사(DPI)를 견뎌내지 못합니다.
• 1 vCPU, 512 MB VPS로도 개인용 WireGuard 서버를 여유롭게 처리할 수 있습니다. 병목은 연산이 아니라 대역폭입니다.

VPN 자체 호스팅이 실제로 타당한 경우

상용 VPN은 수천 개의 공유 출구 IP와 유지 관리 부담 제로를 제공합니다. 자체 호스팅 VPN은 정확히 하나의 IP, 하나의 위치, 그리고 서버에 대한 전적인 책임을 줍니다. 흔히 마케팅되는 방식과 달리, 이 둘은 서로 다른 제품입니다.

다음 중 하나에 해당할 때 자체 호스팅이 올바른 선택입니다:

• 암호화되지 않은 트래픽을 볼 수 있는 당사자의 수를 최소화하고자 합니다. 상용 VPN에서는 제공업체가 볼 수 있습니다. 자체 호스팅 VPN에서는 오직 본인만 볼 수 있습니다.
• 특정 관할권이 필요합니다. GDPR 적용을 위한 프랑크푸르트, 지역 제한된 호주 서비스를 테스트하기 위한 시드니, 더 강력한 데이터 보호법을 위한 스위스(재고가 있을 때)가 그 예입니다. 상용 제공업체는 이를 모호하게 가리지만, 자체 호스팅은 이를 명확하게 만듭니다.
• 단순히 개인 브라우징을 라우팅하는 것이 아니라 팀 인프라를 연결하고 있습니다.
• 상용 VPN 자체가 차단되는 검열 환경에 있습니다.

스트리밍을 위해 최대한 다양한 IP를 원할 때, Linux 서버를 유지 관리하고 싶지 않을 때, 또는 위협 모델이 순전히 "내 ISP가 내 브라우징 데이터를 파는 것을 막는다"일 때는 자체 호스팅이 잘못된 선택입니다. 세 번째 경우에는 암호화된 DNS와 기존 브라우저만으로 대부분의 일이 해결됩니다.

자체 호스팅 VPN에 대한 많은 솔직한 논의에서 떠오르기 때문에 일찍 짚어둘 만한 한 가지 한계가 있습니다. WireGuard는 설계상, 마지막으로 확인된 IP 주소를 유지합니다 모든 피어의 정보를 커널 상태에 유지합니다. 상용 VPN 제공업체는 "로그 없음"을 주장할 수 있지만, 이를 검증할 방법이 없습니다. 자체 호스팅을 하는 사람은 이를 검증할 수 있으며, 그 검증을 통해 커널이 실제로 당신의 휴대폰이 오늘 아침에 접속한 IP를 알고 있다는 사실을 확인하게 됩니다. 완화책은 이를 무시하는 것이 아니라, 키를 교체하고, 정해진 일정에 따라 커널 상태를 삭제하며, 그 트레이드오프를 받아들이는 것입니다.

사용 사례 1: 개인 프라이버시 출구 노드

간단한 결론: Five Eyes에 속하지 않는 관할권의 소형 VPS에 WireGuard를 사용하세요. 명령줄 없이 웹 UI를 원한다면 WireGuard Easy를 쓰세요. OpenVPN은 접속하는 네트워크에서 UDP가 차단될 때만 사용하세요.

WireGuard: 기본 선택

WireGuard는 프라이버시 출구 노드 사용 사례에 대한 올바른 답입니다.

이 프로토콜은 키 교환에 Noise 프레임워크를 사용하며 단일 왕복으로 핸드셰이크를 완료합니다. OpenVPN은 TLS를 사용하는데, 이는 여러 번의 왕복을 필요로 하고 그 과정에서 더 많은 메타데이터를 노출합니다. WireGuard의 지연 시간 오버헤드는 일반적으로 1~3밀리초 기저 연결 위에 추가됩니다. OpenVPN은 20~30퍼센트 지연 시간 오버헤드를 동일한 조건에서 추가합니다.

동료 심사를 거친 2025년 벤치마크의 처리량 수치는 MDPI의 Computers 저널에 실렸습니다: 동일한 TCP 터널링 VM 조건에서 WireGuard는 약 210 Mbps, OpenVPN은 약 110 Mbps였습니다. 커널 모듈이 활성화된 베어메탈 하드웨어에서, 순수 WireGuard는 기가비트급 하드웨어에서 약 8 Gbps를 냅니다. 여기서의 한계는 프로토콜이 아니라 네트워크 카드입니다.

코드베이스는 약 4,000줄입니다. OpenVPN의 코드베이스는 그보다 몇 배 더 큽니다. 작은 코드베이스 자체가 보안은 아니지만, 감사를 현실적으로 만들어 줍니다. WireGuard는 감사를 받았으며, 5.6에서 메인라인 Linux 커널에 포함되었고 대부분의 배포판에서 기본값입니다.

설정은 12줄짜리 텍스트 파일입니다. 이보다 더 복잡할 이유가 없습니다. 전체 설치 안내는 문서로 정리되어 있습니다 저희 블로그에서. 여기서는 패키지 설치, 키 생성, 피어 설정, 방화벽 규칙을 다룹니다.

저렴하고 단순한 VPS로도 개인용 WireGuard 서버를 대역폭에 여유를 두고 처리할 수 있습니다. 병목은 서버가 아니라 가정용 인터넷 연결이 될 것입니다. 대부분의 독자에게는 저렴한 VPS로도 WireGuard 설정을 운영하기에 충분하고도 남습니다.

프로 팁: WireGuard는 각 피어의 마지막으로 확인된 IP 주소를 커널 상태에 기록합니다. 진정한 무로그 프라이버시를 위해서는 이를 받아들이고 키를 교체하거나, 정해진 일정에 따라 커널 상태를 삭제하세요. 이 한계가 존재하지 않는 척하지 마세요. Proton VPN의 WireGuard 프라이버시 기술 노트는 자사 배포에서 이를 인정하고 있습니다.

웹 UI를 갖춘 WireGuard

명령줄에서 피어를 관리하는 것이 마음에 들지 않는다면, 알아둘 만한 두 가지 래퍼가 있습니다.

WireGuard Easy는 웹 관리자 패널을 제공하는 Docker 컨테이너입니다. 피어 설정을 생성하고, 모바일 클라이언트용 QR 코드를 출력하며, 모든 것을 단일 설정 볼륨에 저장합니다. 설치가 빠릅니다. 개인 용도와 소규모 가정에 적합합니다.

WGDashboard은 더 무거운 대안입니다. 더 많은 피어를 지원하고, 더 많은 관리 기능을 제공하며, 설치 시간도 더 깁니다. 20개 이상의 피어를 관리한다면 그만한 가치가 있고, 그렇지 않다면 WireGuard Easy로 충분합니다.

OpenVPN이 여전히 자리를 차지하는 경우

OpenVPN은 한물간 것이 아닙니다. 두 가지 구체적인 시나리오에서 살아남습니다.

첫째는 UDP를 차단하는 제한적인 네트워크입니다. WireGuard는 설계상 UDP만으로 동작합니다. 기업 네트워크, 호텔 WiFi, 일부 모바일 통신사는 DNS를 제외한 모든 UDP 트래픽을 차단합니다. OpenVPN은 port 443에서 TCP로 동작할 수 있어, 많은 제한적인 방화벽을 통과하는 데 도움이 됩니다. UDP에서 자주 막히는 네트워크에서 정기적으로 접속한다면, OpenVPN이 대안입니다.

둘째는 폭넓은 레거시 클라이언트 지원입니다. OpenVPN 클라이언트는 지난 15년간 구동된 모든 운영체제용으로 존재하며, 여기에는 WireGuard가 대상으로 삼지 않는 플랫폼도 포함됩니다. 대상 사용자층에 구형 휴대폰이나 어플라이언스가 포함된다면, OpenVPN의 호환성이 더 넓습니다.

OpenVPN Access Server는 프로토콜 위에 웹 관리자 UI를 추가하며 동시 연결 2개까지 무료입니다. 연결 2개를 초과하면 라이선스는 사용자당 과금됩니다. Pritunl은 세 번째 선택지로, OpenVPN과 WireGuard 모두에 대해 유사한 관리자 대시보드를 사용자당 라이선스 없이 추가합니다. 개인 용도라면 OpenVPN AS의 무료 등급으로 충분합니다. Tailscale을 거부한 소규모 팀에게는 Pritunl이 더 깔끔한 선택입니다. 순수 OpenVPN의 전체 설치 안내는 다음 글에서 다룹니다 VPS에 OpenVPN 설치하기.

위치 선택하기

이 규모에서는 처리량보다 관할권이 더 중요합니다. 자체 호스팅의 이유 중 하나가 정보 공유 협정에 대한 노출을 줄이는 것이라면, 관련된 집단은 Five Eyes 동맹(US, UK, Canada, Australia, New Zealand)과 그 확장 파트너입니다. 프랑크푸르트와 암스테르담은 유럽에서 흔한 비(非)Five Eyes 선택지입니다. 트래픽이 중동 지역에 있다면 두바이가 흥미로운 선택입니다. 스위스와 싱가포르는 더 강력한 데이터 보호 체계를 갖추고 있지만, 소규모 제공업체에서는 종종 재고가 없습니다.

WireGuard가 당신의 필요에 맞는다면, 저희 원클릭 WireGuard VPS 는 설치 과정을 건너뛰게 해 주고 몇 분 만에 설치됩니다.

사용 사례 2: 팀 메시 네트워킹

간단한 결론: 대부분의 팀에게는 Tailscale입니다. 컨트롤 플레인을 직접 소유해야 한다면 Headscale이나 Netmaker를 쓰세요. 순수 WireGuard 메시는 노드가 10개 미만이고 인내심이 있을 때만 사용하세요.

원격 엔지니어 3명, 홈 랩 하나, AWS의 스테이징 서버 하나, 그리고 코로케이션 랙에 있는 데이터베이스 VM 하나. 이 다섯 대의 머신은 공용 포트를 노출하지 않고 서로 통신해야 합니다. 어느 것도 안정적인 공용 IP를 가지고 있지 않습니다. 그중 둘은 Carrier-Grade NAT 뒤에 있습니다.

이것은 WireGuard 메시가 대규모에서 우아하게 해결하도록 설계된 문제가 아닙니다.

순수 WireGuard 메시가 규모가 커지면 고통스러운 이유

메시는 모든 피어가 다른 모든 피어를 알아야 합니다. WireGuard의 설정 형식은 이를 직접적으로 반영합니다: 각 피어는 통신하는 모든 노드에 대해 [Peer] 섹션을 갖습니다. 노드가 5개라는 것은 각 설정 파일이 4개의 [Peer] 블록을 갖는다는 뜻이며, 메시 전체에서 유지 관리해야 하는 설정의 총 개수는 N 곱하기 (N 빼기 1) 나누기 2입니다.

노드 5개면 연결 쌍이 10개입니다. 노드 10개면 45개, 20개면 190개입니다. 증가는 2차 함수적입니다. 20노드 메시에 노드 하나를 추가하려면 설정 파일 20개를 업데이트하고 데몬 20개를 재시작해야 합니다. 키 하나를 제거할 때도 마찬가지입니다.

wg-meshconf와 Netmaker 같은 도구가 이를 자동화하기 위해 존재합니다.

Tailscale: 대부분의 팀을 위한 솔직한 추천

Tailscale은 대부분의 팀에게 진정으로 충분히 좋습니다. 컨트롤 플레인은 Tailscale이 호스팅하고, 데이터 플레인은 직접적인 피어 투 피어이며, 무료 등급은 100개 디바이스를 포함합니다. 설치는 5분 미만입니다. NAT 트래버설은 대부분의 네트워크 환경에서 별도 설정 없이 작동합니다. ACL은 중앙에서 관리됩니다.

솔직한 주의 사항: 컨트롤 플레인은 제3자 의존성입니다. Tailscale은 당신의 디바이스를 연결하는 WireGuard 키를 배포합니다. Tailscale의 조정 서버가 침해되면, 원칙적으로 공격자가 메시에 자신을 끼워 넣을 수 있습니다. Tailscale은 이를 인정하는 상세한 위협 모델 문서를 공개하며, tailnet 잠금과 노드 증명을 사용해 이에 대비합니다. 대부분의 팀에게 이 의존성은 받아들일 만합니다. 위협 모델에 국가 차원의 공격자가 포함되거나 조정 메타데이터에 대한 엄격한 규제 요건이 있는 팀에게는 그렇지 않습니다.

Tailscale의 데이터 플레인은 가능한 경우 회사 서버를 우회합니다. 직접적인 피어 투 피어가 실패하면, 트래픽은 약 5 Mbps로 제한된 Tailscale의 DERP 릴레이 서버로 폴백됩니다. NAT 문제로 인해 두 노드가 항상 DERP로 귀결된다면, 릴레이 제한이 병목이 됩니다.

프로 팁: 가정용 ISP가 Carrier-Grade NAT를 사용한다면, 집에서 들어오는 연결을 받을 수 없습니다. Tailscale과 Headscale은 홀 펀칭과 DERP 폴백을 통해 이를 자동으로 처리합니다. 순수 WireGuard는 공개적으로 도달 가능한 VPS를 릴레이로 필요로 하며, 홈 노드가 아웃바운드 연결을 시작하는 클라이언트 역할을 합니다.

Headscale: 컨트롤 플레인을 직접 소유해야 할 때

Headscale은 Tailscale 조정 서버를 오픈소스로 재구현한 것입니다. Tailscale의 공식 클라이언트가 Tailscale의 호스팅 서버 대신 Headscale에 연결하며, 사용자 입장에서의 경험은 비슷합니다. 하지만 한 가지 결정적인 트레이드오프가 있습니다: 컨트롤 플레인을 직접 운영하므로, 가동 시간, 업그레이드, 보안 패치가 당신의 책임이 됩니다.

Headscale은 Tailscale의 완성도를 일부 갖추지 못합니다. ACL 설정은 웹 UI가 아니라 YAML과 CLI입니다. 호스팅 버전에서는 공식 클라이언트가 조용히 처리하는 MagicDNS 엣지 케이스가 가끔 드러납니다. 이 프로젝트는 잘 관리되고 있고, 그것을 필요로 하는 조직에서 프로덕션으로 운영되며, 위협 모델이나 컴플라이언스 태세상 자체 호스팅 조정이 필요한 팀에 적합합니다.

Headscale 유지 관리는 지속적인 작업입니다. 그 부담을 덜고 싶다면, Linux VPS 는 99.95% 가동 시간 SLA와 연중무휴 지원으로 온콜 부담 없이 컨트롤러 워크로드를 처리합니다. 컨트롤러 자체는 조정만 담당하기 때문에 가볍습니다. 실제 메시 트래픽은 피어 투 피어입니다.

Netmaker

Netmaker는 Tailscale을 재구현하는 대신 WireGuard 위에서 동작하는 대안 조정 계층입니다. 아키텍처상의 차이가 의미 있습니다: 직접적인 피어 투 피어가 실패하면, Netmaker는 Tailscale의 DERP가 부과하는 5 Mbps 제한 없이 자체 호스팅 릴레이 노드를 통해 라우팅할 수 있습니다. NAT 장애 전반에서 일관된 처리량이 필요한 팀 메시에는 이것이 중요합니다.

Netmaker의 개발자 경험은 Tailscale보다 거칠습니다. 커뮤니티 에디션은 단일 VPS에서 동작하며 대부분의 소규모 팀이 가진 사용 사례를 지원합니다. Netmaker의 상용 에디션은 기업용 기능을 추가하지만 이 논의의 대상은 아닙니다.

저희 원클릭 Netmaker VPS 는 빠른 인프라에서의 신속한 설치를 제공합니다.

사용 사례 3: 검열 우회

간단한 결론: 적극적인 검열 환경에는 Hiddify Manager입니다. 더 단순한 지역에는 Outline입니다. WireGuard와 OpenVPN은 심층 패킷 검사(DPI)를 견뎌내지 못합니다. 이들을 검열 우회 도구로 배포하지 마세요.

WireGuard의 트래픽은 UDP 패킷 구조로 식별이 가능하므로 차단될 수 있습니다. 문제는 WireGuard의 암호화가 약하다는 것이 아닙니다. 암호화는 괜찮습니다. 문제는 암호화된 패킷이 VPN처럼 보인다는 점이며, 현대의 검열은 페이로드 내용뿐만 아니라 패킷의 형태, 타이밍, 프로토콜 지문을 검사합니다.

유일한 검열 우회 도구로서의 자체 호스팅 VPN은 적극적인 심층 패킷 검사(DPI)가 이루어지는 어떤 환경에서도 실패합니다. 올바른 접근은 다른 범주의 도구입니다: 검열자가 실제 웹사이트로 향하는 진짜 HTTPS 트래픽과 구별할 수 없을 만큼 평범한 웹 브라우징을 잘 모방하는 트래픽입니다.

이 범주는 이 가이드의 나머지 부분보다 더 빨리 낡습니다. 검열자는 적응합니다. 프로토콜은 차단됩니다. REALITY와 Hysteria2 같은 새로운 난독화 방식이 지난 2년 사이에 등장했고, 앞으로 2년은 더 많은 것을 가져올 것입니다. 난독화 수준을 검열 환경에 맞춘다는 선택 논리는 오래 유효합니다. 오늘 당신의 나라에서 작동하는 특정 도구가 6개월 후에는 작동하지 않을 수도 있습니다. Hiddify의 GitHub 저장소와 이슈 트래커 는 배포 전에 현재 상태를 확인할 곳입니다.

Hiddify Manager: 현재 가장 좋은 답

Hiddify Manager는 메타 도구입니다. 그 자체가 단일 VPN 프로토콜은 아닙니다. 단일 VPS에서 20개가 넘는 하위 검열 우회 프로토콜을 배포, 관리, 교체하는 관리 계층입니다. 2026년 2월의 Hiddify v12 릴리스는 다음을 지원합니다:

• Reality (VLESS 위의 XTLS)
• Hysteria2
• TLS 변형을 갖춘 Shadowsocks-2022
• WS, gRPC, H2 전송을 갖춘 V2Ray와 Xray
• 폴백용 WireGuard

웹 관리자 패널은 사용자 관리, 트래픽 한도, 사용자별 프로토콜 라우팅을 처리합니다.

프로토콜 교체 기능은 실제로 중요한 부분입니다: 특정 국가에서 한 프로토콜이 작동하지 않기 시작하면, 관리자는 서버를 재배포하지 않고 사용자를 다른 프로토콜로 전환합니다. 이것이 Hiddify와 단일 프로토콜 스택의 운영상 차이입니다.

배포 전에 이해할 만한 두 가지 프로토콜 참고 사항이 있습니다. Reality는 현재 TLS 지문 회피 분야에서 최첨단입니다. 이것은 실제 공개 웹사이트(운영자가 선택하며, 보통 cloudflare.com 같은 트래픽이 많은 사이트)로의 진짜 HTTPS 연결을 모방하며, 핸드셰이크를 검사하는 검열자는 해당 사이트로의 평범한 연결처럼 보이는 것을 보게 됩니다. Hysteria2는 내장 난독화를 갖춘 UDP 기반 프로토콜로 손실이 많은 네트워크에서 좋은 성능을 냅니다. 네트워크가 불안정할 때 TCP 기반 대안보다 빠르며, 이는 제한적인 환경의 대부분의 소비자 연결을 묘사합니다.

Cloudzy의 마켓플레이스는 동일한 Linux VPS 인프라에서 몇 분 만에 배포 가능한 원클릭 Hiddify 이미지도 제공합니다.

이 사용 사례의 위치 선택은 프라이버시 사용 사례와 다릅니다. 탐지가 심한 지역의 사용자를 서비스할 때는 US와 주요 EU 출구 지점을 피하세요. 두바이, 프랑크푸르트, 암스테르담, 싱가포르가 좋은 선택지이며, 이들은 폭넓은 지리적 커버리지를 제공합니다.

V2Ray, Xray, Shadowsocks: 그 아래의 계층

V2Ray 와 그 포크인 Xray는 Hiddify가 감싸는 프로토콜 계열입니다. Hiddify가 너무 과도한 추상화이고 수동 설정으로 단일 프로토콜을 배포하고 싶다면, V2Ray나 Xray를 직접 쓰는 것이 길입니다. 트레이드오프는 운영상의 것입니다: 데몬, TLS 인증서, 난독화 설정, 그리고 장애 모드를 혼자 관리하게 됩니다. 대부분의 독자에게는 Hiddify가 더 나은 선택일 것입니다.

Shadowsocks 는 더 오래되었습니다. 원래 프로토콜은 여전히 많은 환경에서 작동하지만 현대의 DPI에 점점 더 탐지되고 있습니다. Shadowsocks-2022는 일부 부류의 탐지를 막는 스트림 암호 업그레이드를 추가했지만, 프로토콜 지문 공격을 단독으로 해결하지는 못합니다. Hiddify 배포 내의 한 가지 옵션으로는 합리적이지만, 2026년에 독립형 도구로는 덜 합리적입니다.

Outline: 더 단순한 지역

Outline은 친근한 관리자 UI를 갖춘, Shadowsocks를 둘러싼 Jigsaw의 래퍼입니다. 2026년에 독립 프로젝트로서 Outline Foundation으로 이관되었습니다. Outline은 검열이 덜 공격적이고, 단순한 Shadowsocks급 난독화가 여전히 작동하며, 배포자가 비기술적이고 패키지화된 경험을 원하는 환경의 사용자에게 합리적인 선택입니다. Hiddify는 대부분의 환경에서 더 넓은 범위를 다룹니다.

나란히 비교하기

사용 사례를 먼저 고르세요

결정은 도구보다 상위에 있습니다.

• WireGuard를 배포하세요 사용 사례가 자신만의 출구 노드로서의 개인 프라이버시일 때.
• Tailscale을 사용하세요 사용 사례가 팀의 머신들을 연결하는 것이라면. 다만 컨트롤 플레인을 직접 소유하는 것이 위협 모델의 일부라면, Headscale이나 Netmaker를 선택하세요.

이 도구들은 서로 바꿔 쓸 수 없습니다. 한 도구를 다른 사용 사례에 쓸 때의 실패 양상은 실재합니다.

어느 경로에 해당하든, 배포와 유지 관리라는 어려운 부분은 여전히 남습니다. Cloudzy의 마켓플레이스는 위에서 다룬 모든 도구에 대한 원클릭 배포를 제공합니다. 어려운 부분은 도구를 위협 모델에 맞추는 것입니다. 그 부분은 어떤 배포 버튼보다도 상위에 있습니다.

자주 묻는 질문

자체 호스팅 VPN에 WireGuard와 OpenVPN 중 무엇을 써야 하나요?

거의 모든 경우에 WireGuard입니다. 더 빠르고, 지연 시간이 더 낮으며, Linux 커널에 포함되어 있고, 설정이 훨씬 단순합니다. OpenVPN은 UDP를 차단하는 방화벽을 통과해야 할 때(TCP port 443에 설정) 또는 WireGuard가 아직 대상으로 삼지 않는 폭넓은 레거시 클라이언트 지원이 필요할 때만 사용하세요.

Tailscale은 정말 자체 호스팅인가요?

아닙니다. Tailscale의 데이터 플레인은 피어 투 피어이지만, 컨트롤 플레인(키 배포, 신원 조정)은 Tailscale이 호스팅합니다. 많은 팀에게 Tailscale의 호스팅 컨트롤 플레인은 받아들일 만합니다. 문제는 당신의 위협 모델이 그것을 받아들일 수 있는 의존성으로 취급하는지 여부입니다.

자체 호스팅 VPN을 운영하기 위한 최소 VPS 크기는 얼마인가요?

512 MB of RAM and one virtual CPU is enough for personal WireGuard or OpenVPN. For team mesh controllers like Headscale or Netmaker, 1 GB of RAM is comfortable. For anti-censorship multi-user setups like Hiddify, 1 to 2 GB of RAM handles a small group of users. None of these workloads need a CPU-optimised plan.

가정용 ISP가 CGNAT를 사용해도 WireGuard를 운영할 수 있나요?

외부에서 연결을 시작하는 서버로는 안 됩니다. Carrier-Grade NAT는 가정용 IP로 들어오는 연결을 전적으로 차단합니다. 이를 우회하는 두 가지 경로가 있습니다: 공개적으로 도달 가능한 릴레이로 소형 VPS를 임대하고 가정용 디바이스가 그쪽으로 아웃바운드 연결을 하도록 하는 방법, 또는 홀 펀칭을 통해 NAT 트래버설을 자동으로 처리하는 Tailscale이나 Headscale을 사용하는 방법입니다. 둘 다 작동합니다. VPS 방식은 안정적인 IP를 제공하고, Tailscale 방식은 메시를 제공합니다.