WireGuard NAT 문제, wpex로 간편하게 해결!

WireGuard의 NAT 트래버설 문제를 해결하는 wpex가 등장, 별도 에이전트 없이 작동

기존 TURN/DERP 방식의 단점인 클라이언트 설치, Hub-and-spoke 방식의 보안 취약점 극복

커뮤니티는 MTU 오버헤드 없이 WireGuard를 사용할 수 있다는 점에 주목하며, DoS 공격 방지 기능에 관심

wpex 아키텍처: 패킷 릴레이의 원리

wpex는 WireGuard 패킷을 릴레이하여 NAT 환경에서도 연결을 가능하게 한다. 구체적으로 각 WireGuard 세션 내에서 피어의 32비트 인덱스를 학습하고, 해당 인덱스를 기반으로 패킷을 전달한다. 따라서, 핸드셰이크 메시지를 브로드캐스팅하여 초기 연결을 설정하고, 공개 키를 활용한 인증을 통해 보안을 강화한다.

wpex vs. 기존 NAT 트래버설 방식

기존 TURN/DERP 방식은 클라이언트 설치가 필요하고, Hub-and-spoke 방식은 보안 취약점이 존재한다. 반면, wpex는 별도의 에이전트 설치 없이 MTU 오버헤드 없이 작동한다. 따라서, DoS 공격 방지를 위해 --broadcast-rate 설정 또는 공개 키 기반의 접근 제어를 제공하여 보안을 강화한다.

wpex 실전 적용 가이드

wpex를 사용하기 위해서는 WireGuard 피어의 엔드포인트 설정을 wpex 서버로 변경하고, PersistentKeepalive 설정을 활성화해야 한다. 구체적으로, Docker를 사용하여 간편하게 배포하거나, Go 바이너리를 직접 빌드하여 사용할 수 있다. 결과적으로, NAT 환경에서도 안전하고 효율적인 WireGuard 연결을 구축할 수 있다.