Orch term
기능 검색…Ctrl K

대형 기능 · 원격 오크텀 Tailscale

원격 오크텀

집 PC와 회사 PC의 오크텀을 Tailscale 위에서 짝지어, 한쪽 PC의 claude·codex가 다른 쪽 PC의 에이전트와 메시지와 파일(스크린샷·로그·큰 파일)을 주고받게 합니다. Windows와 macOS를 서로 섞어 쓸 수 있습니다.

메시지·파일이 기본이고, 「터미널 허용」을 켠 기기에는 원격 공간도 열립니다. 에이전트 메시지와 파일 외에, 받는 PC에서 기기별 「터미널 허용」을 켜면 그 PC의 터미널 탭과 파일·Git·검색·할 일·노트를 집 PC에서 볼 수 있습니다(아래 절). Linux에서는 이 기능이 꺼져 있습니다(설정에 항목이 보이지 않습니다).

무엇을 하는가

준비 1 — Tailscale 설치

  1. 두 PC에 Tailscale 설치·로그인

    두 PC 모두 tailscale.com/download에서 설치하고 같은 tailnet에 로그인합니다. 각 PC에 회사-win, home-mac 같은 Tailscale 이름이 붙습니다. 짝지을 때 이 이름(또는 100.x.y.z 주소)을 씁니다.

준비 2 — Tailnet Lock 켜기 (권장)

Tailscale은 PC를 tailnet에 들이는 일을 Tailscale 서버가 도와줍니다. 그 서버나 내 Tailscale 계정이 뚫리면 공격자가 내 tailnet에 가짜 PC를 끼워 넣을 수 있습니다. Tailnet Lock을 켜면 새 PC는 이미 믿는 내 PC가 서명해 줘야만 tailnet에 들어올 수 있어서, Tailscale 서버나 계정이 뚫려도 가짜 PC가 들어오지 못합니다.

오크텀은 Tailscale 위에 자체 인증을 한 번 더 두므로(짝지은 기기 키만 통과) Tailnet Lock이 없다고 바로 뚫리는 것은 아닙니다. 그래도 겹겹이 막는 것이 목적이라, 회사 PC를 받는 쪽으로 켜는 분은 Tailnet Lock을 켜 두기를 권합니다. 켜는 방법은 Tailscale 문서의 Tailnet Lock을 따르세요.

준비 3 — ACL로 범위 좁히기

Tailscale의 접근 규칙(ACL)으로 집 PC가 회사 PC의 오크텀 포트 하나에만 닿게 좁힐 수 있습니다. PC에 태그(tag:home, tag:work)를 붙이고 태그끼리의 규칙을 씁니다. 태그는 관리 콘솔에서 PC에 붙이는 이름표입니다. 이름은 마음대로 정해도 됩니다.

{
  "tagOwners": { "tag:home": ["autogroup:admin"], "tag:work": ["autogroup:admin"] },
  "acls": [
    { "action": "accept", "src": ["tag:home"], "dst": ["tag:work:9620"] }
  ]
}

위 예시는 tag:home PC가 tag:work PC의 9620 포트로만 갈 수 있게 합니다. 핵심 한 줄은 {"src":["tag:home"],"dst":["tag:work:9620"]}입니다. 포트는 정식 빌드에서 9620입니다(개발 빌드는 9620에 인스턴스 번호가 더해집니다). 양방향으로 쓰려면 반대 방향 규칙을 한 줄 더 둡니다. 위 규칙은 기존 acls 배열에 한 줄을 더하는 것입니다. 기본 허용 규칙을 통째로 바꾸면 tailnet의 다른 통신이 끊깁니다. 또 PC에 태그를 붙이면 그 PC는 사용자가 아니라 태그가 소유하게 되어 다시 인증해야 할 수 있습니다.

짝짓기

짝짓기는 받는 PC 앞에 있는 사람이 직접 승인할 때만 됩니다. 원격에서 새 기기를 짝짓는 길은 없습니다.

  1. 받는 PC: 받기 켜고 짝짓기 창 열기

    설정 → 원격 접속 → 「이 PC로 원격 접속 받기」를 켭니다(Tailscale 주소가 표시됩니다). 「새 기기 짝짓기」를 누르고 Touch ID / Windows Hello로 본인 확인을 하면 2분 동안, 요청 1번만 받는 창이 열립니다.

  2. 하는 PC: 원격 PC 추가

    설정 → 원격 접속 → 「원격 PC 추가」에 받는 PC의 Tailscale 이름(또는 주소)과 알아보기 쉬운 표시 이름(예: 회사-Win)을 적고 요청합니다.

  3. 6자리 숫자를 비교하고 승인

    두 PC 화면에 같은 6자리 숫자가 뜹니다. 받는 PC에서 두 숫자가 같을 때만 「승인」을 누릅니다. 다르면 누르지 마세요 — 중간에 누가 끼어들었다는 뜻일 수 있습니다. 승인하면 양쪽 「등록 기기」 목록에 서로가 생깁니다.

등록 기기는 받는 PC의 설정에서 언제든 삭제할 수 있고, 삭제하면 그 기기의 현재 연결도 바로 끊깁니다.

메시지 — 허락은 보내는 쪽에서

파일

원격 공간에서 회사 PC 파일·Git·검색·할 일·노트 보기

받는 PC(예: 회사 PC)에서 설정 → 원격 접속 → 해당 기기의 「터미널 허용」을 켜면(본인 확인 필요), 하는 PC(집 PC)의 타이틀바에 그 PC의 원격 공간이 생깁니다. 원격 공간을 보는 동안에는 터미널만이 아니라 사이드바와 파일 보기도 회사 PC를 가리킵니다. 별도로 켤 항목은 없고, 「터미널 허용」에 파일 보기·고치기, Git 변경 보기, 검색, 할 일·노트가 함께 들어 있습니다.

할 수 없는 것: Git 쓰기(커밋·푸시 등), 노트·할 일 삭제, 할 일 수정, 파일·폴더 만들기·이름 바꾸기·지우기·끌어 옮기기, 파일 내려받기, 회사 PC 터미널 배치에 편집기 탭 만들기. 파일 전달은 위의 「파일」(chat_send_file)을 쓰세요.

본인 확인 — 12시간과 잠자기

받는 PC의 잠금 화면

하는 PC가 연결되어 있는 동안 받는 PC의 오크텀 화면 전체가 「원격 사용 중」 잠금 화면으로 가려집니다(메시지가 터미널에 타이핑되는 모습이 사무실 사람에게 보이지 않게 합니다). 인앱 브라우저 화면도 함께 가려집니다.

설정에서 볼 수 있는 것

설정 → 원격 접속에서 받기 켜기, 새 기기 짝짓기, 등록 기기 목록(마지막 연결·삭제), 원격 PC 추가, 메시지 속도·파일 크기 한도, 모든 연결 끊기, 감사 기록 보기를 합니다. 감사 기록에는 짝짓기·연결·끊김·본인 확인·메시지(본문은 저장하지 않음, 길이만)·파일(이름·크기·해시)·거절된 연결 시도가 30일 남습니다. 연결이 생기면 상태바에도 표시됩니다.

문제 해결 — 사내 VPN을 켜면 연결이 안 될 때

일부 사내 VPN(실측: Windows의 SECUI VPN)은 켜질 때 Windows 경로 표를 다시 쓰면서 Tailscale 경로(100.x)를 지웁니다. 그러면 Tailscale 앱에는 「연결됨」으로 보여도 상대 PC에 닿지 않습니다.

위험과 한계

집 PC가 장악되면, 그 PC의 에이전트가 할 수 있던 일을 공격자도 할 수 있습니다. 악성코드가 사용자 몰래 본인 확인을 통과할 수는 없지만, 사용자가 확인을 해 준 상태에서 장악된 PC는 정상 연결과 구분되지 않습니다. 그 PC의 에이전트가 허용된 대화로 회사 에이전트에게 일을 시킬 수 있고, 회사 에이전트가 읽을 수 있는 파일(차단 목록 밖)을 가져올 수 있습니다. 그래서 권한은 chat(메시지·파일)으로 좁게 두고, 위의 허용·속도 제한·잠금 화면·감사 기록으로 피해를 줄입니다.

관련 기능

에이전트 오케스트레이션 SSH · SFTP 인앱 브라우저