Windows Server 2022에 Clash Verge Rev: RDP로 설치·구독 가져오기·방화벽까지

① 왜 서버에서는 Verge Rev와 RDP 이야기가 한 묶음인가요?

Windows Server 2022를 개발·빌드·중계 용도로 두는 팀은 GUI를 최소화하고 관리 도구·원격 세션만 남기는 경우가 많습니다. 이때 사용자 입장에서 가장 자연스러운 첫 경로가 원격 데스크톱(RDP)입니다. 콘솔에 앉아 설치 마법사를 누르는 대신, 노트북에서 서버에 붙어 Clash Verge Rev 설치 파일을 실행하고 구독을 넣고, 필요하면 Windows Defender 방화벽에서 프록시 포트를 허용하는 식으로 일처리를 끝냅니다.

Clash Verge Rev는 보통 Mihomo(Clash Meta) 코어를 얹은 그래픽 클라이언트이므로, 서버에만 얹어도 내부 앱이 HTTP·SOCKS 포트로 붙을 수 있고, 규칙 기반 분류를 그대로 가져올 수 있습니다. 다만 “서버에서 나가는 트래픽”과 “내부 다른 PC가 서버를 프록시로 쓰는 트래픽”은 방화벽 허용 범위가 달라지므로, 이 글에서는 두 경우를 번갈아 짚겠습니다.

② 시작 전 점검: 역할, 라이선스, 보안 정책

엔터프라이즈 환경이라면 그룹 정책이나 엔드포인트 보안이 서드파티 드라이버·로컬 프록시 바인딩을 막을 수 있습니다. TUN을 켜려면 가상 어댑터 설치가 따라오기도 하니, 변경 관리 일정에 “재부팅 가능 여부”까지 넣어 두는 편이 덜 헛걸음입니다. 개인 VPS라면 제공업체 패널의 외부 방화벽이 윈도우보다 앞단에 있을 수 있어, “윈도우에서 열었는데도 밖에서 안 붙는다”는 증상의 첫 가설은 클라우드 보안 그룹입니다.

원격 데스크톱 자체가 막혀 있으면 GUI 설치 경로가 없으므로, 최소한 관리 계정으로 세션을 열 수 있는지 먼저 확인합니다. PowerShell 전용으로만 운영한다면 별도로 msiexec나 조용한 설치 스위치를 쓰는 방법도 있지만, 이 글은 RDP 안에서 눈으로 확인할 수 있는 순서에 맞췄습니다.

③ 설치 파일 받기와 SmartScreen·UAC

브라우저로 받은 설치 파일을 처음 실행하면 Windows SmartScreen이 “알 수 없는 앱” 경로를 택할 수 있습니다. 발행자와 해시를 확인한 뒤에도 조직 정책이 막으면 IT에 요청해야 합니다. UAC 창이 뜨면 코어·서비스 등록을 위해 관리자 승인이 필요한 빌드가 많습니다. 한 번 거부해 두면 드라이버나 서비스가 반쯤만 올라가 “앱은 뜨는데 포트가 안 열린다” 같은 상태가 나올 수 있으니, 신뢰 경로라면 안내에 따라 진행합니다.

백신·EDR은 로컬 프록시를 의심 스택으로 분류하기도 합니다. 차단 로그에 실행 파일 이름이 찍혀 있으면 예외를 넣되, 가능한 한 경로 한정으로 좁혀 감사 친화적으로 유지합니다.

④ RDP 세션에서 첫 실행과 프로필 화면까지

설치가 끝나면 바로 Clash Verge Rev를 실행해 메인 창이 뜨는지 확인합니다. 서버에는 불필요한 앱을 안 깔았다가 처음이라 창 테마·글자 크기가 달라 당황할 수 있는데, 중요한 것은 코어 시작 버튼, 프로필(Profiles) 메뉴, 포트 표기 세 가지가 보이는지입니다. 빌드마다 레이블이 조금씩 다르지만 큰 줄기는 Clash 생태계 글에서 설명한 것과 같습니다.

원격 세션에서 GPU 가속이 없어도 UI는 대체로 문제없습니다. 다만 세션을 끊었다가 다시 붙을 때 트레이 아이콘만 남고 창이 안 보인다면 작업 관리자에서 프로세스를 확인해 중복 실행을 정리합니다.

⑤ 구독(Subscription) URL로 프로필 가져오기

프로필 화면에서 새 구독·URL로 가져오기류의 항목을 찾아 공급자가 준 구독 주소를 붙여 넣습니다. 복사 과정에서 앞뒤 공백·숨은 줄바꿈이 섞이면 실패가 흔하므로 메모장에 한 번 정리한 뒤 넣습니다. 붙여 넣은 뒤에는 업데이트·갱신을 눌러 노드 목록이 채워졌는지 확인합니다.

갱신이 안 되면 만료·차단·User-Agent 요구·요청 빈도 제한 같은 구독 측 이슈를 의심합니다. 공통 패턴은 구독 FAQ에 모아 두었습니다. 서버에서만 실패한다면 먼저 시스템 프록시가 꺼진 채 앱이 구독 서버에 직접 붙으려다 막힌 경우가 많습니다. 이때는 잠시 글로벌·직결·다른 노드를 시험해 “프로필 문제인지 네트워크 문제인지”를 갈라 냅니다.

⑥ Windows 방화벽: 무엇을 열어야 할까요?

핵심은 Clash Verge Rev가 실제로 리슨하는 TCP 포트입니다. 빌드와 프로필에 따라 다르지만, 흔히 mixed·HTTP·SOCKS 포트가 안내문이나 설정 화면에 적혀 있습니다. 용도별로 나눠 보면 다음과 같습니다.

• 서버 안의 브라우저·앱만 프록시를 쓸 계획이면, 방화벽을 넓게 열 필요가 적고 앱이 127.0.0.1로만 붙는지 확인하면 됩니다.
• 같은 서브넷의 다른 PC가 서버 IP의 포트로 붙게 하려면, Windows Defender 방화벽 인바운드 규칙에서 해당 TCP 포트를 허용해야 합니다. 이때 프로필을 “도메인/개인/공용” 중 어디에 둘지 서버 네트워크 분류를 함께 봅니다.
• 클라우드 VPS라면 OS 방화벽뿐 아니라 패널의 외부 방화벽도 같은 포트를 통과시켜야 합니다.

PowerShell에 익숙하다면 관리자 창에서 netsh advfirewall 계열로 규칙을 추가할 수 있고, GUI를 선호하면 고급 보안이 포함된 Windows Defender 방화벽에서 인바운드 규칙 새로 만들기로 포트 형식을 고릅니다. 이름에 서비스와 포트 번호를 박아 두면 나중에 감사할 때 도움이 됩니다.

⑦ 시스템 프록시 vs TUN: 서버에서는 무엇을 고르나요?

데스크톱과 마찬가지로 시스템 프록시는 “시스템 설정을 따르는 앱”에 잘 맞고, TUN은 프록시를 무시하는 스택까지 넓게 잡고 싶을 때 고릅니다. 서버에서 IIS·SQL·백그라운드 서비스만 돌고 사용자가 직접 앱을 거의 안 켠다면 시스템 프록시만으로도 충분한 경우가 많습니다. 반대로 컨테이너 런타임·특정 에이전트가 자체 경로로 나가 분류 규칙이 안 먹는다면 TUN을 검토합니다.

개념 정리는 TUN 모드 심화 글과 입문 튜토리얼을 함께 보면 DNS·fake-ip 이슈까지 한 번에 잡기 쉽습니다. 프로필 DNS가 로컬 캐시와 충돌하면 “브라우저만 이상하다”는 패턴이 나오니, 서버에 루프백 DNS나 상위 포워더 설정이 얽혀 있지 않은지도 봅니다.

⑧ 설치 직후 증상별로 빠르게 가르기

아래는 한 번에 여러 가설을 섞지 말고 위에서부터 적용하는 순서입니다.

1. 클라이언트에서 코어 실행과 시스템 프록시·TUN 스위치가 의도대로인지 확인합니다.
2. 구독 갱신이 성공했는지, 활성 프로필이 맞는지 확인합니다.
3. 다른 VPN·필터 드라이버와 겹치면 충돌합니다. 한쪽을 끄고 다시 시도합니다.
4. Windows 방화벽·클라우드 보안 그룹이 동시에 막고 있지 않은지 확인합니다.
5. 포트 충돌이 의심되면 클라이언트에 표시된 값을 기준으로 netstat로 리슨 여부를 봅니다.
6. 프록시 그룹이 빈 참조를 가리키지 않는지, 프록시 그룹 구조를 맞춥니다.

⑨ 원격으로 “서버 프록시”를 쓰는 PC 쪽 설정 요령

방화벽을 열었다면 클라이언트 PC에서는 브라우저나 OS 설정에 서버의 사설·공인 IP와 열어 둔 포트 번호를 넣습니다. HTTPS 프록시와 SOCKS는 지원 앱이 다르므로, 앱이 무엇을 요구하는지 먼저 확인합니다. 팀에서 표준화해 두었다면 GPO나 패키지 관리로 배포하는 편이 실수를 줄입니다.

WSL2나 가상머신을 같은 서버에 올렸다면 게스트 쪽 네임스페이스가 달라 “호스트만 된다”는 증상이 나올 수 있습니다. 이때는 호스트 IP를 정확히 짚거나, 게스트 안에서도 프록시를 한 번 더 설정하는 식으로 맞춥니다. 관련 맥락은 WSL2·Clash 글을 참고하세요.

⑩ 레거시 사용자 참고: CFW에서 넘어올 때

예전에 Clash for Windows를 쓰던 팀이라면 포트 번호·프로필 위치가 헷갈릴 수 있습니다. 용어와 이전 절차는 CFW에서 Verge로 글에 모아 두었고, Windows 10 전용 설치 문은 Win10 CFW 설치 글과 비교하면 플랫폼 차이가 분명해집니다.

⑪ 자주 묻는 질문

RDP만으로 충분한가요, 콘솔 접속이 필요한가요?

대부분의 GUI 설치는 RDP로 끝납니다. 드라이버나 부팅 단계 이슈만 콘솔·아웃오브밴드가 필요한 경우가 있으니, IaaS라면 제공업체의 웹 콘솔을 미리 확보해 두세요.

구독은 넣었는데 노드가 비어 보여요

갱신 로그·HTTP 오류 코드를 먼저 보고, 구독 문자열과 만료를 확인합니다. 서버 아웃바운드가 제한됐다면 프록시를 켠 뒤 앱을 재시작해 보는 것도 방법입니다.

방화벽 규칙을 넣었는데도 외부에서 안 붙어요

윈도우 규칙, 라우터, 클라우드 ACL, 바인딩 주소(0.0.0.0 vs 127.0.0.1)를 차례로 의심합니다. 리슨이 루프백에만 잡혀 있으면 외부에서 절대 도달할 수 없습니다.

⑫ 정리

Windows Server 2022에서 Clash Verge Rev를 쓰는 흐름은 “원격으로 깔고 끝”이 아니라 구독 → 코어 → 방화벽 → 연결 방식을 한 줄로 이어야 한다는 점에서 데스크톱과 같습니다. 다만 서버는 인바운드 노출과 운영 정책이 한 단계 더 엄격해, RDP 안에서의 첫 구독과 포트 화이트리스트를 같은 체크리스트에 넣어 두면 재작업이 줄어듭니다.

일부 전통적인 원클릭 VPN 도구는 앱 안에서만 스위치를 바꿀 수 있어 편하지만, 규칙 세분화나 스크립트 친화적인 YAML 프로필 관리는 상대적으로 빈약한 경우가 많습니다. 반면 Clash 계열은 동일한 구독이라도 도메인·프로세스·지역 기준으로 흐름을 나누고, Mihomo 코어 생태계와 맞물려 장기적으로도 업데이트 경로가 분명합니다. 서버에 두고 팀 단위로 표준 프로필을 굴리려면, 먼저 신뢰할 수 있는 빌드를 고른 뒤 Clash 다운로드 페이지에서 배포 흐름을 확인하고 설치해 보시길 권합니다.