Clash 혼합 포트와 LAN 연결 허용: 휴대폰·TV에서 PC 프록시 사용하기

먼저 확인하세요: 공유되는 것은 프록시 연결 지점이지, PC의 인터넷 전체가 아닙니다

휴대폰이나 TV에서 PC의 Clash를 함께 사용하려면 보통 세 가지가 필요합니다. PC의 혼합 포트가 연결을 수신하고, 클라이언트에서 LAN 연결을 허용하며, 시스템 방화벽이 신뢰할 수 있는 기기의 해당 포트 접근을 허용해야 합니다. 그런 다음 기기에서 PC의 LAN IP 주소와 포트를 입력하면 됩니다. PC 전원이 켜져 있어야 하며, 클라이언트와 현재 설정도 계속 실행 중이어야 합니다.

이는 PC 핫스팟을 켜거나 라우터 게이트웨이를 변경하는 것과는 다릅니다. HTTP 프록시를 직접 설정하면 해당 프록시 설정을 따르는 앱의 트래픽만 Clash를 거칩니다. 게임 통신이나 일부 TV 앱, 자체 네트워크 스택을 사용하는 프로그램은 계속 직접 연결될 수 있습니다. PC에서 TUN 모드를 켜도 같은 무선 네트워크에 연결된 다른 기기의 트래픽까지 자동으로 처리하지는 않습니다.

이 문서의 예시 설정값

• PC의 LAN IPv4 주소: 192.168.50.10.
• 홈 네트워크 서브넷: 192.168.50.0/24, 서브넷 마스크: 255.255.255.0.
• Clash 혼합 포트: 7890.
• 휴대폰이나 TV와 PC를 신뢰할 수 있는 동일한 LAN에 연결하고, 기기 간 통신을 허용합니다.

이 주소는 입력 위치를 설명하기 위한 예시이며 실제 네트워크 값과 다를 수 있습니다. 뒤의 단계에서는 예시 IP와 서브넷을 직접 확인한 값으로 바꾸세요. 포트도 클라이언트의 현재 설정을 따라야 하며, 흔히 쓰이는 기본값만 보고 판단해서는 안 됩니다.

mixed-port, allow-lan, 수신 주소의 역할

mixed-port는 HTTP 프록시와 SOCKS5 프록시가 함께 사용하는 수신 포트입니다. 두 유형의 클라이언트가 같은 포트에 연결하면 코어가 연결 내용을 확인해 프로토콜을 구분합니다. HTTP와 SOCKS5를 서로 변환하는 스위치가 아니며, 기기의 모든 트래픽이 자동으로 프록시를 거친다는 뜻도 아닙니다.

allow-lan: true와 수신 주소를 함께 확인해야 합니다. 포트가 127.0.0.1에서만 수신 대기하면 다른 기기에서는 연결할 수 없습니다. 루프백 주소는 해당 주소를 입력한 기기 자신을 가리킵니다. 휴대폰에 127.0.0.1을 입력하면 PC가 아니라 휴대폰을 가리킵니다.

bind-address: "*"는 더 넓은 범위에서 수신한다는 뜻이며, 둘 이상의 네트워크 어댑터에서 연결을 받을 수 있습니다. 고정된 홈 네트워크라면 먼저 PC의 특정 LAN 주소에 바인딩해 연결이 노출되는 범위를 줄일 수 있습니다. PC 주소가 바뀌면 설정도 함께 수정해야 하므로 라우터에서 PC의 DHCP 주소 예약을 설정하는 것이 좋습니다.

HTTPS 사이트에도 HTTP 프록시를 사용할 수 있습니다

휴대폰의 ‘HTTP 프록시’ 설정으로 HTTPS 사이트에 연결할 수도 있습니다. 앱이 프록시에 CONNECT 요청을 보내고, 이후 TLS 데이터는 터널을 통해 전송됩니다. 일반적인 사용에 별도 인증서를 설치할 필요는 없습니다. 프록시 유형은 기기와 프록시 연결 지점 사이의 통신 방식을 뜻하며, 대상 사이트가 HTTP를 사용해야 한다는 의미가 아닙니다.

PC 설정: IP 확인, 프록시 연결 허용, 수신 상태 점검

1단계: 사용 중인 네트워크 어댑터의 주소 확인

Windows 터미널에서 ipconfig를 실행하고 현재 연결된 무선 LAN 어댑터 또는 이더넷 어댑터를 찾아 IPv4 주소, 서브넷 마스크, 기본 게이트웨이를 기록하세요. 가상 어댑터, TUN 어댑터 또는 연결이 끊긴 어댑터의 주소를 잘못 사용하지 않도록 주의하세요. macOS에서는 ‘시스템 설정’ → ‘네트워크’ → 현재 연결 → ‘세부사항’ → ‘TCP/IP’에서 주소를 확인할 수 있습니다.

휴대폰이 게스트 네트워크에 연결되어 있으면 무선 네트워크 이름이 비슷해도 PC에 접속하지 못할 수 있습니다. 먼저 두 기기를 서로 통신할 수 있는 홈 네트워크에 연결하세요. 서로 다른 서브넷 간 접속이 꼭 필요하다면 프록시 개방 범위를 무작정 넓히지 말고 네트워크 관리자에게 라우팅과 접근 제어를 확인하세요.

2단계: 혼합 포트와 LAN 연결 설정

클라이언트 설정에서 ‘혼합 포트’와 ‘LAN 연결 허용’을 찾으세요. 그래픽 클라이언트마다 메뉴 이름이 다를 수 있으므로 특정 화면 경로를 그대로 따르기보다 실제로 적용된 설정을 확인하는 편이 정확합니다. mihomo 코어를 사용한다면 아래 최상위 항목을 기존 설정에 병합하세요. 기존 노드, 프록시 그룹, 규칙은 유지하고 이 몇 줄로 구독 설정 전체를 덮어쓰지 마세요.

mixed-port: 7890
allow-lan: true
bind-address: "192.168.50.10"
mode: rule

YAML 들여쓰기에 유의하세요. 위 네 항목은 모두 같은 단계에 있어야 합니다. 클라이언트에 설정 덮어쓰기 또는 병합 기능이 있다면 그곳에 로컬 설정을 저장하는 편이 좋습니다. 그러면 다음 구독 업데이트에서 수정 사항이 덮어써지는 일을 막을 수 있습니다. 일부 클라이언트는 그래픽 인터페이스의 포트 옵션으로 실행 설정을 생성하므로, 수정한 뒤 설정을 다시 불러오고 실제 적용된 수신 주소를 확인하세요.

3단계: 포트가 실제로 수신 대기하는지 확인

Windows PowerShell에서 다음 명령을 실행해 TCP 수신 상태를 확인하세요.

Get-NetTCPConnection -State Listen -LocalPort 7890 |
  Select-Object LocalAddress, LocalPort, OwningProcess

• 192.168.50.10이 표시됨: 이 예시의 특정 주소에 바인딩된 상태입니다.
• 0.0.0.0 또는 ::가 표시됨: 와일드카드 주소에서 수신 중입니다. IPv4, IPv6 및 방화벽 범위를 추가로 확인하세요.
• 127.0.0.1만 표시됨: 아직 로컬 연결만 허용된 상태입니다. LAN 설정을 확인하세요.
• 수신 결과가 없음: 클라이언트 실행 여부, 설정 로드 성공 여부, 다른 프로세스의 포트 사용 여부를 확인하세요.

포트가 이미 사용 중이어도 정체를 알 수 없는 프로세스를 바로 종료하지 마세요. 먼저 OwningProcess로 프로세스를 확인한 다음 어떤 프로그램의 포트를 변경할지 결정하세요. 포트를 바꾸면 휴대폰, TV, 방화벽 규칙도 함께 업데이트해야 합니다.

방화벽 허용: 네트워크 유형과 출발지 서브넷 제한

PC에서 프록시를 사용할 수 있다고 해서 LAN 기기에서도 접속할 수 있는 것은 아닙니다. PC에서 루프백 주소로 접속할 때는 일반적으로 동일한 인바운드 검사를 거치지 않으므로 방화벽을 별도로 확인해야 합니다. 먼저 현재 연결이 신뢰할 수 있는 홈 네트워크인지 확인한 뒤 해당 네트워크 프로필을 ‘개인’으로 설정하세요. 프록시를 공유하려고 공용 무선 네트워크를 신뢰할 수 있는 네트워크로 바꾸지 마세요.

Windows 인바운드 규칙 예시

관리자 권한으로 PowerShell을 열고 실제 주소에 맞춰 TCP 인바운드 규칙을 만드세요. 실행 전에 LocalAddress와 RemoteAddress를 확인하세요. 각각 PC에서 연결을 받는 주소와 원격 연결의 출발지 서브넷을 제한합니다.

New-NetFirewallRule `
  -DisplayName "Clash LAN TCP 7890" `
  -Direction Inbound `
  -Action Allow `
  -Protocol TCP `
  -LocalPort 7890 `
  -LocalAddress 192.168.50.10 `
  -RemoteAddress 192.168.50.0/24 `
  -Profile Private

이 규칙은 이 문서의 HTTP 프록시 테스트용이며 모든 네트워크에 포트를 개방하는 설정이 아닙니다. 시스템에 범위가 더 넓은 유사 허용 규칙이 이미 있다면 함께 검토하세요. 범위가 좁은 규칙을 추가해도 기존 규칙의 허용 범위가 자동으로 좁아지지는 않습니다. 공유를 중지한 뒤 아래 명령으로 이번에 만든 규칙을 삭제할 수 있습니다.

Remove-NetFirewallRule -DisplayName "Clash LAN TCP 7890"

macOS에서는 ‘시스템 설정’ → ‘네트워크’ → ‘방화벽’ → ‘옵션’으로 이동해 실제 프록시 서비스를 제공하는 클라이언트 또는 코어 프로세스의 수신 연결이 허용되어 있는지 확인하세요. macOS 버전에 따라 메뉴 이름이 조금 다를 수 있습니다. 별도의 네트워크 필터링 도구를 사용한다면 해당 접근 규칙도 확인하세요. 시스템 방화벽만 확인해서는 충분하지 않습니다.

휴대폰·TV·게임기에 프록시 주소 입력

휴대폰: 현재 Wi-Fi 네트워크에서 수동 프록시 설정

1. PC와 서로 통신할 수 있는 Wi-Fi 네트워크에 연결하세요.
2. 현재 네트워크의 세부 설정을 열고 ‘프록시’ 또는 ‘프록시 구성’을 찾아 ‘수동’을 선택하세요.
3. ‘서버’ 또는 ‘프록시 호스트 이름’에 192.168.50.10을 입력하세요. http://를 붙이거나 라우터 게이트웨이를 입력하지 마세요.
4. ‘포트’에 7890을 입력하고 저장한 뒤 웹페이지를 다시 열어 확인하세요.

일부 휴대폰에서는 ‘설정’ → ‘Wi-Fi’ → 현재 네트워크의 정보 버튼 → ‘프록시 구성’으로 이동할 수 있습니다. 다른 기기에서는 현재 네트워크의 ‘네트워크 수정’ 또는 ‘고급 옵션’에 있을 수 있습니다. 이 설정은 보통 해당 Wi-Fi 네트워크에만 적용되며, 모바일 데이터로 전환하면 LAN 프록시 연결을 계속 사용할 수 없습니다.

클라이언트에서 프록시 인증을 설정했다면 해당 사용자 이름과 비밀번호도 입력해야 합니다. 인증을 설정하지 않았다면 휴대폰에서 인증 옵션을 임의로 켜지 마세요. 일부 앱이나 기기는 인증이 필요한 수동 프록시를 지원하지 않을 수 있으므로 호환성을 먼저 확인한 뒤 사용 방법을 결정하세요.

TV: 운영체제와 앱의 프록시 지원 여부 확인

TV의 현재 네트워크 고급 옵션에서 HTTP 프록시 설정을 찾으세요. 호스트와 포트를 입력할 수 있다면 휴대폰과 같은 값을 사용하면 됩니다. 일부 TV는 네트워크에 연결할 때만 프록시를 설정할 수 있고, 일부 앱은 시스템 프록시를 전혀 사용하지 않습니다. TV가 인터넷에 연결되고 브라우저에서 웹페이지가 열려도 동영상 앱이 프록시를 사용한다는 뜻은 아닙니다.

네트워크 메뉴에 IP, 서브넷 마스크, 게이트웨이, DNS만 있고 프록시 옵션이 없다면 7890을 DNS나 게이트웨이 입력란에 넣지 마세요. DNS 서버 주소와 HTTP 프록시 주소는 서로 다릅니다. 앱에서 지원하는 자체 프록시 설정을 사용하거나 별도의 게이트웨이 구성을 마련해야 합니다.

게임기: HTTP 프록시는 게임 UDP 트래픽을 처리하지 않습니다

게임기의 네트워크 설정에 프록시 서버 옵션이 있다면 PC IP와 혼합 포트를 입력해 볼 수 있습니다. 이 설정은 로그인, 스토어, 다운로드, 시스템 점검 등의 일부 요청에만 영향을 줄 수 있습니다. 실시간 대전에는 UDP가 흔히 사용되므로 스토어에 한 번 접속했다고 게임 트래픽까지 프록시를 거친다고 판단해서는 안 됩니다.

SOCKS5의 UDP 릴레이를 사용하려면 앱의 UDP ASSOCIATE 지원, 코어 설정, 노드 기능, UDP 방화벽 규칙도 모두 고려해야 합니다. 이 문서의 TCP 허용 예시는 이러한 조건을 다루지 않습니다. 명확한 필요가 없다면 UDP를 추가로 개방하지 말고, allow-lan을 켜는 것만으로 게임 트래픽 전체가 우회된다고 생각하지 마세요.

연결 확인: 포트 접속, 요청 수신, 규칙 적용

노드를 반복해서 바꾸기보다 단계별로 확인하는 편이 문제를 찾기 쉽습니다. 먼저 PC에서 해당 포트를 통해 대상에 접속되는지 확인하고, 다음으로 다른 기기에서 프록시 연결 지점에 도달하는지 테스트한 뒤 규칙과 노드를 확인하세요. 한 번에 조건 하나만 바꾸고 변경 전후 결과를 기록하세요.

1. PC의 외부 연결을 확인합니다. 클라이언트에서 현재 노드를 사용해 정상 작동하는 HTTPS 페이지에 접속하세요. PC에서도 실패한다면 구독, 노드 또는 규칙부터 해결하고 휴대폰 설정은 계속 변경하지 마세요.
2. LAN 포트 연결을 확인합니다. 다른 Windows PC를 사용할 수 있다면 Test-NetConnection 192.168.50.10 -Port 7890을 실행하고 TcpTestSucceeded를 확인하세요. 성공은 TCP 연결 지점에 도달했다는 뜻일 뿐, 노드가 작동한다는 의미는 아닙니다.
3. 실제 프록시 요청을 확인합니다. curl이 설치된 다른 기기에서 다음 명령을 실행해 HTTP 프록시를 명시적으로 지정하세요.
4. 연결 기록을 확인합니다. 클라이언트의 연결 패널에서 원격 기기의 출발지 주소, 대상 도메인, 적용된 규칙과 최종 정책이 표시되는지 확인하세요.

curl --proxy http://192.168.50.10:7890 --connect-timeout 10 --max-time 20 -I https://clash67.com/

여기서 10과 20은 초 단위 테스트 제한 시간이며, 예상 지연 시간이나 성능을 보장하는 값이 아닙니다. 사이트에서 HTTP 응답을 받았다면 요청이 응답 단계까지 도달한 것입니다. 구체적인 상태 코드는 사이트 자체의 영향을 받을 수 있습니다. 프록시 인증 오류가 반환되면 인증 설정을 확인하세요. 포트를 더 개방할 필요는 없습니다.

규칙 모드에서는 휴대폰과 TV에서 들어온 연결도 PC의 현재 설정에 따라 분기됩니다. DIRECT가 표시되더라도 규칙에 따라 직접 연결로 처리되었을 수 있으며, 이는 LAN 프록시가 작동하지 않는다는 뜻이 아닙니다. SOCKS5로 테스트할 때 socks5h://192.168.50.10:7890을 사용하면 curl이 도메인 조회를 프록시에 맡깁니다. 일반적인 socks5://와는 도메인 조회 위치가 다르므로 DNS 문제를 확인할 때 구분해야 합니다.

자주 발생하는 문제: 증상별로 원인 좁히기

외부 제어 포트를 열어야 하나요?

아니요. 휴대폰에서 프록시를 사용하려면 혼합 포트만 있으면 됩니다. external-controller는 관리 인터페이스로, 기기가 사용하는 프록시 연결 지점과 다릅니다. LAN 공유를 위해 이 포트까지 열지 마세요. 관리 인터페이스는 로컬 주소에만 바인딩하고 클라이언트에서 요구하는 접근 키를 설정하세요.

TUN을 켜거나 휴대폰 DNS를 변경해야 하나요?

수동 HTTP 프록시 사용을 위해 PC에서 TUN을 켤 필요는 없으며, 일반적으로 휴대폰 DNS를 먼저 변경할 필요도 없습니다. 프록시가 받은 도메인 요청을 어떻게 조회하는지는 프로토콜과 코어 설정에 따라 달라집니다. 프록시를 우회하는 앱은 자체적으로 도메인을 조회할 수도 있습니다. 먼저 프록시를 명시한 요청으로 확인한 뒤 DNS 문제가 있는지 판단하세요.

공유를 중지한 뒤 설정을 어떻게 되돌리나요?

먼저 휴대폰과 TV의 프록시 설정을 ‘사용 안 함’으로 바꾸거나 수동 프록시를 끈 다음, 클라이언트에서 LAN 연결 허용을 해제하고 임시 방화벽 규칙을 삭제하세요. 그렇지 않으면 PC를 끈 뒤에도 기기가 오프라인 상태인 프록시에 계속 접속하려고 해 Wi-Fi 연결은 되어 있지만 웹페이지가 열리지 않을 수 있습니다.

마지막으로 PC의 고정 주소, 혼합 포트, 허용된 서브넷, 프록시를 사용하는 기기를 간단히 기록해 두세요. 클라이언트나 구독을 업데이트한 뒤에는 수신 상태와 규칙만 다시 확인하면 됩니다. 네트워크 권한을 다시 넓힐 필요는 없습니다. 구독 가져오기와 규칙의 기본 내용을 알아보려면 Clash 설정 시작 가이드를 참고하세요.