Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
Rayfish는 중앙 제어 평면과 계정 없이 동작하는 Iroh 기반의 P2P 메시 VPN입니다. 사용자가 네트워크 상태를 서명된 기록으로 직접 관리하여, 운영 주체가 사라져도 네트워크가 지속되는 탈중앙화된 사설 네트워크 환경을 제공합니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 GeekNews의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기많은 현대 VPN은 회사가 운영하는 제어 평면 (Control Plane)에 의존함
회사가 네트워크 멤버와 정책을 결정함
기기들이 통신하는 동안에도 회사가 흐름 안에 남아 있음
회사가 중단되거나 가격을 올리거나 고객 관계를 끊으면 사설 네트워크가 완전히 사용자 소유로 남기 어려움
Rayfish는
**계정 (Account)**과 중앙 운영자를 제거함
네트워크 상태는 멤버 누구나 다른 멤버에게 전달할 수 있는
**서명된 기록 (Signed Record)**임
Rayfish 제작자가 사라져도 기존 네트워크는 계속 동작함
Rayfish는 전송 계층의 어려운 부분을 Iroh에 맡김
피어 간 암호화된
QUIC 연결 (QUIC Connection)
NAT 통과
홀 펀칭 (Hole Punching)
직접 경로가 없을 때의 릴레이 폴백 (Relay Fallback)
Iroh v1은 빌드 도중 전송 계층이 흔들리지 않을 안정성을 제공해 이번 릴리스를 가능하게 함
다음 과제는 초기 도구를 프로덕션에서 부담 없이 실행할 수 있는 도구로 다듬는 것임
Rayfish는 허브 앤드 스포크 (Hub and Spoke)가 아니라
점대점 (Peer-to-Peer) 구조임
모든 멤버가 다른 모든 멤버와 직접 연결됨
멤버십은 서버에 묻는 값이 아니라 각 멤버가 들고 다니는 서명된 기록임
네트워크를 만든 조정자는 새 멤버를 받아들일 때만 필요하고, 가입 이후에는 중앙의 누군가 없이 네트워크가 동작함
네트워크는 기본적으로
**닫힌 상태 (Closed State)**임
조정자는 두 가지 방식으로 새 멤버를 들일 수 있음
1회용 초대 코드
가입 요청에 대한 실시간 승인
공개 네트워크가 필요하면
ray create --open
으로 게이트를 열 수 있으며, 이 경우 room id만으로 가입할 수 있음
ray up --hostname dario처럼 설정할 수 있고, 네트워크별로 --hostname을 덮어쓸 수 있음
ray up --hostname dario
ray create --name prod
ray invite prod --hostname web
...
각 기기는 자체 방화벽을 가지며, 무엇을 누구로부터 받을지 스스로 결정함
조정자 (Orchestrator)는 네트워크별 권장 방화벽 규칙을 게시할 수 있음
각 호스트는 규칙을 수락하거나 자동 설치를 선택할 수 있음
모두가 반드시 따라야 하는 중앙 정책 서버 없이 **공유 기본값 (Shared Defaults)**을 제공하는 방식임
networks: 맵이며, 각 네트워크 아래에 호스트별 허용 피어 (Peer)와 포트를 작성함networks:
prod:
web:
...
ray apply deploy.yaml --dry-run
ray apply deploy.yaml --invite-missing
ray invite prod --reusable
ray join <key> --hostname web01 --auto-accept-firewall
키를 폐기하면 새로운 가입만 차단되며, 이미 접속한 서버에는 영향을 주지 않음
ray apply는 멱등적 (Idempotent)으로 동작하여 명세 파일이 플릿의 기준 상태 (Desired State)로 유지됨
ray connect를 통해 연락처 ID (Contact ID) 기반의 1:1 연결을 만들 수 있음ray contact id
ray connect <their-contact-id>
ray connections approve <id>
ray status에는 [direct]로 표시됨ray send ./build.tar.gz web01
ray files accept 1
Tailscale과 Rayfish는 모두 안정적인 IP, Magic DNS, NAT 통과 (NAT Traversal), P2P 데이터 평면 (Data Plane)을 제공함
가장 큰 차이점은 **제어 위치 (Control Location)**임
Tailscale은 Tailscale 조정 서버나 self-hosted Headscale 같은 제어 평면 (Control Plane)을 사용함
Rayfish는 중앙 제어 평면 없이, 네트워크 상태를 P2P로 전달되는 서명된 기록 (Signed Records)으로 관리함
데이터 평면도 다름
Tailscale은 커널 (Kernel)에서 동작하는 WireGuard를 사용함
Rayfish는 사용자 공간 (User Space)의 Iroh/QUIC 데이터그램을 사용함
속도는 보통 Tailscale이 유리함
WireGuard가 커널에서 동작하므로 빠른 링크에서 대용량 전송 시 차이가 뚜렷할 수 있음
Rayfish는 중앙 당사자가 없는 구조를 위해 약간의 원시 처리량 (Raw Throughput)을 양보하는 형태임
Rayfish는 계정이나 SSO가 아니라 디스크의 **키쌍 (Keypair)**을 정체성으로 사용함
Rayfish는 초기 단계이며 최소 기능 중심(Minimalist)인 반면, Tailscale은 성숙하고 기능 폭이 넓음
Yggdrasil은 중앙 권한이 없는 종단 간 암호화 (End-to-End Encrypted) IPv6 네트워크를 제공함
사용자가 직접 다뤄야 하는 마지막 단계에서 차이가 남
Yggdrasil은 하나의 전역 네트워크와 IPv6 주소를 제공함
Rayfish는 사용자가 만들고 멤버를 들이는 별도 사설 네트워크를 제공함
Rayfish는 초대 코드, 친숙한 DNS 이름, 네트워크별 방화벽, 가입 승인 프롬프트 같은 편의 기능을 포함함
Yggdrasil은 네트워크 지식이 있는 엔지니어에게 적합하고, Rayfish는 몇 명이 쓰는 사설 네트워크를 쉽게 만들려는 사용자까지 겨냥함
Rayfish는 라이브러리가 아니라
완성된 도구임
애플리케이션 안에 SDK처럼 임베드할 수 없음
Rayfish가 설치된 기기끼리 사적으로 통신해야 하는 용도에 맞음
친구들이 이름으로 접속하는 P2P 게임 서버
공개 인터넷에 닿지 않는 내부 API
백업 대상
네트워크 멤버 간 채팅이나 통화 앱
서로 보지 않아야 하는 두 팀이 공유하는 데이터베이스
애플리케이션은
name.network.ray
로 피어 (Peer)에 접근할 수 있음
payments
와 analytics
를 별도 네트워크로 두면 두 부서는 서로를 볼 수 없음
networks:
payments:
db:
...
db.payments.ray또는 db.analytics.ray
로 접근함
두 네트워크는 서로 존재를 알지 못하며, 중앙 ACL (Access Control List) 감사 없이 네트워크 분리와 공유 호스트로 접근 제어가 구성됨
ray create --name mc
ray invite mc
mc-host.mc.ray:25565를 대상으로 접속함
ray firewall suggest mc --subject '*' --allow '*:tcp:6969'
ray firewall pending mc
ray firewall accept mc
prod
와 dev
를 격리하려면 두 네트워크로 만들면 됨
현재 데스크톱과 서버에서는 명령줄 도구 (Command-line tool)로 제공됨
다음 작업은 사용자가 실제로 들고 다니는 기기로 확장하는 것임
동시에 프로덕션 (Production) 환경에서 부담 없이 쓸 수 있도록 기존 기능을 단단하게 만드는 작업을 진행함
이미 Tailscale, 회사 VPN, 직접 구성한 WireGuard 메시 (Mesh)가 잘 동작한다면 Rayfish로 바꿀 이유는 크지 않음
Rayfish는 더 젊고 기능이 적으며, 기존 도구들이 더 매끄럽게 제공하는 기능도 많음
Rayfish가 제거하는 것은 하나임
curl -fsSL https://rayfish.xyz/install.sh | sh