센바스 터치에 적용된 VPN 기술 — Tailscale과 Funnel로 안전한 원격 접속

센바스 터치(SENVAS Touch)의 원격 접속은 Tailscale VPN 위에 올렸습니다. 고객 현장에 설치된 디바이스를, 회사 망 구성을 건드리지 않고도 안전하게 원격 관리하기 위해서입니다. 이 글은 센바스 터치에 적용된 VPN 기술을 정리합니다.

산업용 HMI의 숙제 — 현장 디바이스 원격 접속

“고객 현장에 설치한 디바이스에 어떻게 원격으로 들어가지?”는 산업용 HMI의 영원한 숙제입니다. 흔한 방법은 저마다 한 가지씩 걸립니다.

• 포트 포워딩 — 고객 라우터를 건드려야 하고, 공유기 NAT 환경에서 자주 막히며, 외부에 포트를 여는 보안 위험이 있습니다.
• TeamViewer · AnyDesk — 사람이 보는 화면 공유는 되지만, 자동화·프로그램 연동이 어렵습니다.
• OpenVPN 자체 호스팅 — 인증서 관리에 VPN 서버 운영까지, 부담이 큽니다.

Tailscale — WireGuard 기반 메시 VPN

센바스 터치는 Tailscale을 택했습니다. 최신 VPN 프로토콜인 WireGuard 위에 만든 메시 VPN으로, 양쪽이 인터넷만 되면 NAT를 알아서 통과합니다.

• 포트 포워딩 불필요 — 고객 라우터를 건드릴 필요가 없습니다.
• VPN 서버 운영 불필요 — 직접 굴리는 서버가 없습니다. 기기를 내 네트워크(tailnet)에 등록만 하면 됩니다.
• 종단간 암호화 — WireGuard 암호화로 연결 구간이 보호됩니다.

두 가지 모드 — 안전과 편의

flowchart LR
    Device["센바스 터치<br/>고객 현장"]
    TS["Tailscale<br/>WireGuard 메시 VPN"]
    Device --- TS
    TS -->|"기본 · 안전"| Admin["관리자<br/>VPN 멤버만"]
    TS -.->|"Funnel ON · 필요 시"| Pub["인터넷 누구나<br/>공개 HTTPS"]

• Tailnet 모드 (기본) — 내 VPN에 들어온 멤버만 디바이스에 접속합니다. 외부엔 닫혀 있어 안전합니다.
• Funnel 모드 (필요할 때만) — 출장지나 외부 점검처럼 VPN 없이 바로 들어가야 할 때, 디바이스를 공개 인터넷에 HTTPS로 잠깐 엽니다. 인증서(TLS)는 자동으로 발급돼 별도 설정이 없습니다.

두 모드 모두 웹 관리 콘솔에서 토글로 켜고 끕니다. 평소엔 닫아두고, 필요할 때만 여는 식입니다.

보안 — 기본은 “닫혀 있음”

기본 상태에서 디바이스는 외부에 열린 포트가 없습니다. 원격 접속은 VPN(tailnet) 안에서만 이뤄지고, 공개 노출(Funnel)은 운영자가 직접 켤 때만 잠깐 열립니다. 접속에는 비밀번호 인증이 걸려 있어, 편의를 위해 열어둘 때도 한 겹의 방어가 유지됩니다.

정리

별도 VPN 서버도, 고객 망 변경도 없이 — 출장 없이 원격으로 점검하고 설정합니다. 이 원격 접속을 띄우는 관리 런처의 웹 기술은 센바스 터치의 관리 런처에 적용된 웹 기술에서 다룹니다.