WireGuard를 활용한 멋진 VPN 서버 구축하기 - 2

WireGuard는 공개키 기반 인증을 사용하므로 편리하지만, 키 유출 시 보안에 취약할 수 있다. 이를 보완하기 위해 Keycloak SSO를 연동한 Web UI를 구축하여, 사용자가 디바이스를 직접 **'활성화'**하고 일정 시간 동안만 연결을 유지하도록 설계했다.

활성화되지 않은 디바이스의 패킷을 효율적으로 차단하기 위해 eBPF 기술을 도입했다. eBPF는 리눅스 커널 내에서 안전하게 실행되는 샌드박스된 바이트코드로, eBPF Verifier를 통해 시스템 안정성을 보장하며 JIT 컴파일을 통해 빠른 성능을 제공한다.

패킷 필터링 구현에는 XDP 대신 **tc(traffic control)**를 사용한다. XDP는 암호화된 패킷 단계에서 동작하여 유저 식별이 어렵지만, tc는 WireGuard 인터페이스에서 복호화된 패킷의 Source IP를 기반으로 유저를 정확히 구분할 수 있기 때문이다.

구체적으로는 clsact qdisc와 direct-action 플래그를 활용하여 eBPF 프로그램이 패킷을 분류하는 수준을 넘어 직접 drop 등의 액션을 수행하도록 구현하며, LLVM의 BPF 백엔드를 통해 코드를 컴파일한다.