포트포워딩 없이 외부에서 윈도우11 VNC 접속하기 (Cloudflare 터널 & WARP)

안녕하세요! 지난 홈서버 구축 시리즈 4편에서는 Cloudflare Tunnel을 이용해 포트포워딩 없이 우분투 서버의 웹 서비스(Samba, Jellyfin 등)를 외부로 안전하게 노출하는 방법을 알아보았습니다. 이번 5편에서는 조금 방향을 틀어, 집에 켜둔 윈도우 11(Windows 11) PC에 VNC 서버를 구축하고 외부에서 안전하게 원격 접속하는 방법을 다뤄보겠습니다.

일반적으로 외부에서 내부망의 VNC나 RDP에 접속하려면 공유기 설정에서 5900(VNC), 3389(RDP) 포트를 개방(포트포워딩)해야 합니다. 하지만 이는 해킹 시도에 무방비로 노출되는 매우 위험한 방식입니다. 오늘 소개할 Cloudflare Tunnel과 WARP(Zero Trust)를 결합하면, 포트 개방 없이 완벽한 보안 환경에서 내 PC를 원격 제어할 수 있습니다.

홈서버 시리즈 다시 보기

• 1편: 구형 PC로 나만의 우분투 홈서버 구축하기
• 2편: 우분투 홈 NAS 만들기: Samba 설치 및 설정 가이드
• 3편: 나만의 미디어 서버 구축: 우분투 젤리핀(Jellyfin) 설치 가이드
• 4편: 포트포워딩 없이 외부 접속: Cloudflare Tunnel 구축 가이드

1. 왜 Cloudflare Tunnel과 WARP를 사용해야 할까요?

기존의 DDNS와 포트포워딩 방식은 편리하지만 치명적인 보안 취약점을 가집니다. VNC 포트가 스캐너에 발각되면 무차별 대입 공격(Brute-force)의 타겟이 됩니다. 반면 Cloudflare Tunnel을 사용하면 내부망에서 Cloudflare 서버로 아웃바운드 연결만 맺기 때문에 방화벽에 구멍을 뚫을 필요가 없습니다.

또한, 포트포워딩 없이 외부 접속을 지원하는 기존 원격 제어 프로그램(TeamViewer, AnyDesk 등)들은 자체 중계 서버를 거쳐야 하므로 해당 중계 서버의 컨디션에 따라 속도 저하, 끊김 현상 등 연결이 불안정할 때가 종종 있습니다. 하지만 이 방식은 전 세계적으로 거대한 글로벌 엣지 네트워크를 갖춘 Cloudflare의 압도적으로 안정적인 인프라를 통신망으로 활용하기 때문에, 훨씬 더 쾌적하고 끊김 없는 원격 제어 환경을 경험할 수 있다는 것이 개인적으로 꼽는 가장 큰 장점입니다.

특히 Cloudflare WARP 클라이언트를 Zero Trust와 연동하면, 마치 집에 있는 공유기에 VPN으로 연결한 것처럼 외부에서도 내부망 IP(예: 192.168.0.x)로 직접 통신이 가능해집니다. 이를 Private Network Routing이라고 부릅니다.

2. 윈도우 11에 VNC 서버 설치하기

먼저 원격 제어를 당할(?) 윈도우 11 PC에 VNC 서버를 설치해야 합니다. 무료로 널리 쓰이는 TightVNC나 UltraVNC를 추천합니다.

1. TightVNC 공식 홈페이지에 접속하여 Windows 용 설치 파일을 다운로드합니다.
2. 설치 과정에서 TightVNC Server 항목을 체크하여 설치합니다.
3. 설치 완료 후 설정 창이 뜨면 Primary password(원격 제어용 비밀번호)를 설정합니다. 가급적 복잡하게 설정하세요.
4. 윈도우 방화벽 설정이 뜨면 허용해줍니다. 기본적으로 VNC는 TCP 5900 포트를 사용합니다.

이제 내부망(같은 공유기에 연결된 스마트폰 등)에서 VNC Viewer 앱을 켜고 윈도우 PC의 내부 IP(예: 192.168.0.10)로 접속 테스트를 해봅니다. 정상적으로 화면이 보인다면 성공입니다.

3. Cloudflare Tunnel에 Private Network 추가하기

지난 4편에서 구축한 Cloudflare Zero Trust 대시보드에 다시 접속할 차례입니다. 아직 터널이 없다면 4편을 참고하여 윈도우 PC에 cloudflared를 설치하고 터널을 생성해주세요.

1. Cloudflare Zero Trust 대시보드에 로그인합니다.
2. 좌측 메뉴에서 Networks > Tunnels 로 이동하여 기존에 생성한 터널을 클릭하고 Configure를 누릅니다.
3. 상단의 Private Network 탭을 클릭합니다.
4. Add a private network 버튼을 누르고, 윈도우 PC의 로컬 IP를 입력합니다. 예를 들어 PC IP가 192.168.0.10 이라면, 192.168.0.10/32 (단일 IP 지정) 또는 전체 서브넷인 192.168.0.0/24를 입력하고 Save를 누릅니다.

이제 이 터널은 입력된 내부망 IP 대역의 트래픽을 처리할 수 있게 되었습니다.

4. Zero Trust 설정 및 WARP 클라이언트 연동

터널에서 트래픽을 처리할 준비가 되었으니, 이제 외부 기기(노트북, 스마트폰)에서 WARP 앱을 통해 접속할 수 있도록 권한을 설정해야 합니다.

1) Device Enrollment 설정

• Zero Trust 대시보드의 Settings > WARP Client로 이동합니다.
• Device enrollment permissions 섹션에서 Manage를 클릭합니다.
• Add a rule을 눌러 누가 WARP에 로그인할 수 있는지 지정합니다. (예: 특정 이메일 주소만 허용, Action은 Allow)

2) Split Tunnels (분할 터널링) 설정 확인

• 다시 Settings > WARP Client 화면으로 돌아와 Device settings 하단의 프로필(Default) 우측 점 3개를 누르고 Configure를 선택합니다.
• Split Tunnels 항목이 Exclude IPs and domains로 되어 있다면, Manage를 눌러 리스트를 확인합니다.
• 방금 등록한 로컬 IP 대역(192.168.0.0/24 등)이 Exclude 리스트에 있다면 반드시 삭제(Delete)해야 합니다. 그래야 해당 IP로 가는 트래픽이 WARP 터널을 타고 집으로 향합니다. (또는 모드를 Include IPs and domains로 바꾸고 내부망 대역만 포함시켜도 됩니다.)

5. 외부 기기에서 WARP 실행 및 VNC 접속 완료!

모든 클라우드 설정이 끝났습니다. 이제 카페나 회사 등 외부 네트워크에 연결된 기기에서 접속을 시도해봅시다.

1. 원격으로 접속할 기기(노트북, 스마트폰 등)에 Cloudflare 1.1.1.1 (WARP) 클라이언트 앱을 설치합니다.
2. 앱 설정 메뉴(기어 아이콘)를 열고 Account > Login with Cloudflare Zero Trust를 선택합니다.
3. 자신의 Zero Trust 팀 도메인(예: myteam.cloudflareaccess.com)을 입력하고, 앞서 설정한 규칙(이메일 인증 등)에 따라 로그인합니다.
4. 인증이 완료되면 앱 중앙의 거대한 버튼을 눌러 WARP를 켭니다(Connected 상태).
5. 마지막으로 VNC Viewer (RealVNC, TightVNC 등) 프로그램을 실행하고 주소창에 윈도우 PC의 내부망 IP (예: 192.168.0.10:5900)를 입력하여 접속합니다!

마무리

수고하셨습니다! 이제 여러분은 포트포워딩이라는 위험한 문을 열지 않고도, Cloudflare WARP를 켜기만 하면 언제 어디서든 우리 집 내부망에 안전하게 잠입할 수 있는 강력한 인프라를 갖추게 되었습니다.

이 방식은 VNC뿐만 아니라 RDP(원격 데스크톱), 내부망 NAS 관리자 페이지 접근, SSH 접속 등 모든 로컬 네트워크 통신에 동일하게 응용할 수 있는 만능 치트키입니다. 홈서버 시리즈 5편이 여러분의 윈도우 원격 제어 구축에 큰 도움이 되길 바랍니다. 다음 포스팅에서 뵙겠습니다!