Clash mixed-port·allow-lan 설정: 휴대폰·TV에서 PC 프록시 공유

프록시 공유에 필요한 조건: 수신 포트, 로컬 네트워크 연결, 앱의 프록시 설정 준수

휴대폰이나 TV에서 PC의 Clash를 이용하려면 보통 로컬 네트워크에 프록시 포트 하나를 열고, 기기의 Wi-Fi 설정에 PC 주소와 포트를 입력하면 됩니다. PC는 프록시 서버 역할을 하며, 라우터 역할까지 할 필요는 없습니다. 기기와 PC가 연결되면 PC에 설정된 규칙과 정책에 따라 트래픽이 직접 연결되거나 프록시 노드로 전달됩니다.

이 글에서는 혼합 포트로 7890, PC의 로컬 네트워크 IPv4 주소로 192.168.1.10을 사용합니다. 값은 설정 예시일 뿐 모든 네트워크에 그대로 적용되는 고정값이 아닙니다. 설정 전에 PC의 현재 IP 주소를 확인하고 해당 포트를 다른 프로세스가 사용 중인지 확인하세요.

PC와 휴대폰·TV가 서로 통신할 수 있는 로컬 네트워크에 연결되어 있어야 합니다. Wi-Fi 이름이 같아도 기기 간 통신이 항상 가능한 것은 아닙니다.
PC의 클라이언트는 계속 실행 중이어야 하며, 선택한 설정과 노드가 PC에서 정상 작동하는지 먼저 확인해야 합니다.
Wi-Fi 수동 프록시는 시스템 HTTP 프록시 설정을 따르는 앱에서 주로 사용합니다. 기기의 모든 트래픽을 처리하는 기능은 아닙니다.
PC가 절전 모드에 들어가거나 종료되거나, 네트워크 또는 IP 주소가 바뀌면 기기에 설정한 프록시가 작동하지 않을 수 있습니다.

mixed-port와 allow-lan 설정 방법

세 필드의 기능

필드	예시 값	기능
`mixed-port`	`7890`	하나의 수신 포트에서 HTTP와 SOCKS 프록시 연결을 모두 받습니다.
`allow-lan`	`true`	로컬 네트워크 기기가 프록시 수신 서비스에 접속하도록 허용합니다.
`bind-address`	`192.168.1.10`	지정한 로컬 네트워크 인터페이스 주소에 바인딩합니다. 해당 주소가 실제로 존재해야 합니다.

아래 설정은 이미 정상 작동하는 설정이 있는 경우에 사용할 수 있습니다. 필드를 YAML 최상위에 추가해 rules, proxies와 같은 깊이에 두세요. 특정 정책 그룹 안에 들여쓰거나 같은 키를 중복해서 작성하지 마세요.

config.yaml · 추가할 설정

mixed-port: 7890
allow-lan: true
bind-address: 192.168.1.10
mode: rule

이 부분은 단독으로 사용할 수 있는 설정 파일이 아니며 노드, 정책 그룹, 규칙을 포함하지 않습니다. 기존의 정상 작동 설정을 유지한 채 합쳐서 사용하세요. mode: rule은 공유 요청에도 PC의 규칙이 적용된다는 뜻입니다. 로컬 네트워크 공유를 켜도 규칙 모드가 전역 프록시로 자동 변경되지는 않습니다.

모든 네트워크 인터페이스 바인딩과 고정 주소 바인딩의 차이

bind-address: '*'는 모든 주소에서 수신하는 일반적인 설정이지만, 접속 가능한 인터페이스 범위를 넓힙니다. PC가 이더넷, Wi-Fi, 가상 머신 네트워크에 동시에 연결되어 있다면 공유할 로컬 네트워크 주소에 바인딩하고 방화벽으로 접속 출처를 제한하세요. 127.0.0.1에 바인딩하면 PC에서만 사용할 수 있어 휴대폰이 해당 주소로 PC에 접속할 수 없습니다.

GUI 클라이언트는 시작할 때 코어 설정을 다시 생성할 수 있습니다. 임시 실행 파일만 수정하지 말고 클라이언트에서 제공하는 영구 설정 재정의 또는 병합 기능을 사용하세요. 클라이언트마다 메뉴 이름은 다를 수 있습니다. 저장 후 설정을 다시 불러오고 실제 실행 설정과 수신 상태를 확인하세요. 구독 업데이트 후에도 이 세 필드가 계속 적용되는지 다시 확인해야 합니다.

PC의 로컬 IP 주소 확인 및 7890 수신 상태 점검

Windows: 현재 네트워크 어댑터와 가상 어댑터 구분하기

PowerShell 또는 명령 프롬프트에서 ipconfig를 실행하고 현재 연결된 “무선 LAN 어댑터 WLAN” 또는 이더넷 어댑터의 IPv4 주소와 서브넷 마스크를 확인하세요. VPN, 가상 머신 또는 연결이 끊긴 어댑터는 선택하지 마세요. PC 주소가 192.168.1.10이고 마스크가 255.255.255.0이면 해당 네트워크 대역은 192.168.1.0/24입니다.

ipconfig

이어서 포트를 확인합니다. 아래 명령은 Windows PowerShell에서 사용할 수 있습니다. 결과의 LocalAddress는 예상한 로컬 네트워크 주소이거나 모든 IPv4 인터페이스를 나타내는 0.0.0.0이어야 합니다. 127.0.0.1만 표시된다면 서비스가 PC 내부에서만 접속 가능하다는 뜻입니다.

Get-NetTCPConnection -State Listen -LocalPort 7890 |
  Select-Object LocalAddress, LocalPort, OwningProcess

macOS·Linux: 인터페이스와 프로세스 확인하기

macOS에서는 “시스템 설정” → “네트워크”에서 현재 연결을 선택한 뒤 “세부사항” → “TCP/IP”에서 IP 주소를 확인할 수 있습니다. 터미널에서 아래 명령을 실행해 수신 프로세스를 확인하세요. 프로세스 정보가 충분하지 않을 때만 필요에 따라 sudo를 사용합니다.

lsof -nP -iTCP:7890 -sTCP:LISTEN

Linux에서는 IPv4 주소와 TCP 수신 상태를 각각 확인할 수 있습니다.

ip -4 addr show
ss -lntp 'sport = :7890'

라우터의 DHCP 설정에서 PC의 주소 예약을 설정해 같은 네트워크 어댑터가 항상 같은 IP를 받도록 하는 것이 좋습니다. DHCP 주소 풀과 게이트웨이 설정을 확인하지 않은 채 PC에 임의로 고정 주소를 입력하면 다른 기기와 충돌할 수 있습니다.

신뢰할 수 있는 출처만 방화벽에서 허용하고 전체 보호 기능은 끄지 마세요

allow-lan: true를 설정해도 운영체제 방화벽 규칙이 자동으로 만들어지지는 않습니다. 수신 상태는 정상인데 연결 시간이 초과되면 PC의 인바운드 방화벽과 라우터의 클라이언트 격리를 먼저 확인하세요. 이 글의 Wi-Fi HTTP 수동 프록시에서는 TCP 7890만 허용하면 됩니다. UDP나 외부 제어 포트까지 추가로 열 필요는 없습니다.

Windows: 개인 네트워크와 출발지 네트워크 대역만 허용하기

아래 예시는 신뢰할 수 있는 가정용 네트워크에서만 사용하세요. 현재 네트워크 프로필이 “개인”인지 확인한 다음 관리자 권한으로 PowerShell을 엽니다. 이 명령은 로컬 주소 192.168.1.10의 TCP 7890에 대한 접속을 192.168.1.0/24 대역에서만 허용합니다.

New-NetFirewallRule `
  -DisplayName "Clash LAN TCP 7890" `
  -Direction Inbound `
  -Action Allow `
  -Protocol TCP `
  -LocalAddress 192.168.1.10 `
  -LocalPort 7890 `
  -RemoteAddress 192.168.1.0/24 `
  -Profile Private

공유를 중단할 때는 해당 표시 이름을 지정해 규칙을 삭제할 수 있습니다.

Get-NetFirewallRule -DisplayName "Clash LAN TCP 7890" |
  Remove-NetFirewallRule

클라이언트 프로그램 전체에 광범위한 인바운드 허용 규칙이 이미 있다면, 범위를 좁힌 규칙을 추가해도 기존 규칙의 허용 범위가 자동으로 줄어들지 않습니다. “고급 보안이 포함된 Windows Defender 방화벽”의 기존 인바운드 규칙도 확인해 다른 허용 규칙이 더 넓은 출처에 포트를 열어 두지 않는지 살펴보세요.

macOS·Linux: 운영체제의 기존 방화벽 사용하기

macOS에서는 “시스템 설정” → “네트워크” → “방화벽” → “옵션”에서 실제 연결을 받는 클라이언트 또는 코어 프로그램의 인바운드 연결 허용 여부를 확인할 수 있습니다. 내장 앱 방화벽은 주로 프로그램별로 관리합니다. 출발지 네트워크 대역을 세밀하게 제한하려면 아래의 mihomo 접근 제어 필드를 함께 사용할 수 있습니다.

Linux에서 UFW를 이미 사용하고 있다면 아래와 같이 출발지를 제한하는 규칙을 추가할 수 있습니다. UFW를 사용하지 않는 시스템은 기존 방화벽 관리 체계에서 설정하세요. 이 명령 하나 때문에 다른 방화벽 관리 도구를 새로 활성화하지 마세요.

sudo ufw allow from 192.168.1.0/24 to 192.168.1.10 port 7890 proto tcp

휴대폰·TV에 HTTP 수동 프록시 설정하기

iPhone·iPad

“설정” → “Wi-Fi”를 열고 현재 연결된 Wi-Fi 오른쪽의 정보 버튼을 탭합니다.
“프록시 구성”으로 이동해 “수동”을 선택합니다.
“서버”에 192.168.1.10, “포트”에 7890을 입력합니다.
프록시 인증을 설정하지 않았다면 “인증”을 끄고 저장한 다음 Safari에서 웹 페이지를 열어 테스트합니다.

서버 입력란에는 PC의 IP만 입력하세요. http://나 경로를 덧붙이지 말고 포트 번호를 주소에 함께 넣지 마세요. 이 설정은 현재 Wi-Fi에만 적용됩니다. 셀룰러 네트워크나 다른 Wi-Fi로 전환하면 같은 연결이 자동으로 이어지지 않습니다.

Android 휴대폰

일반적으로 “설정” → “네트워크 및 인터넷” → “인터넷”에서 현재 Wi-Fi의 수정 화면을 열고, “고급 옵션”에서 “프록시”를 “수동”으로 바꿉니다. 제조사에 따라 “WLAN” 또는 “네트워크 수정”에 메뉴가 있을 수 있습니다. 입력할 값은 동일합니다.

프록시 호스트 이름: 192.168.1.10.
프록시 포트: 7890.
프록시 우회 주소: 처음 테스트할 때는 대상이 제외되지 않도록 비워 두세요.

Android TV 및 기타 TV 운영체제

TV 네트워크 설정에 “프록시 설정” → “수동” 메뉴가 있다면 같은 주소와 포트를 입력하세요. 일부 시스템에서는 현재 Wi-Fi를 다시 수정하거나 연결해야 합니다. 시스템 프록시 설정을 제공하지 않는 TV도 있습니다. 이런 경우 이 두 필드만으로 연결할 수 없으며, 앱 자체의 프록시 지원을 사용하거나 별도의 게이트웨이 구성을 마련해야 합니다.

Wi-Fi 설정의 프록시는 보통 HTTP 프록시입니다. mixed-port가 HTTP와 SOCKS를 모두 지원한다고 해서 여기서 SOCKS를 선택해야 하는 것은 아닙니다. HTTPS 웹 페이지는 일반적으로 HTTP 프록시의 CONNECT 터널을 통해 접속하므로 휴대폰에 복호화 인증서를 설치할 필요가 없습니다.

mihomo: 지정한 네트워크 대역 또는 기기만 허용하기

mihomo에서는 lan-allowed-ips와 lan-disallowed-ips를 사용해 접속 출처를 추가로 제한할 수 있습니다. 이 필드는 사용하는 코어의 설정 문서를 기준으로 하세요. 구버전 원본 Clash나 모든 파생 클라이언트가 지원한다고 가정해서는 안 됩니다. 아래 예시는 IPv4 네트워크 대역 하나를 허용하고 그 안의 기기 한 대를 제외합니다. 거부 목록이 허용 목록보다 우선 적용됩니다.

mihomo · 로컬 네트워크 접속 출처 제한

mixed-port: 7890
allow-lan: true
bind-address: 192.168.1.10

lan-allowed-ips:
  - 192.168.1.0/24

lan-disallowed-ips:
  - 192.168.1.50/32

휴대폰 한 대와 TV 한 대에만 공유하려면 전체 네트워크 대역 대신 허용 목록을 두 개의 단일 주소로 좁힐 수 있습니다. 예를 들어 휴대폰이 192.168.1.21, TV가 192.168.1.31인 경우 다음과 같이 설정합니다.

lan-allowed-ips:
  - 192.168.1.21/32
  - 192.168.1.31/32

/32는 IPv4 주소 하나를, /24는 이 예시에서 서브넷 전체를 나타냅니다. 출발지 주소가 바뀌면 접근 권한을 잃을 수 있으므로 DHCP 예약으로 주소를 안정적으로 유지하세요. IPv6를 사용하거나 모든 인터페이스에서 수신할 때는 IPv6 수신 및 접근 규칙도 별도로 검토해야 합니다. IPv4 제한만으로 IPv4·IPv6 모두에 대한 보안 경계가 완성되는 것은 아닙니다.

authentication을 사용해 HTTP/SOCKS 사용자 이름과 비밀번호를 설정할 수도 있지만, 일부 휴대폰·TV의 시스템 프록시 화면은 인증을 지원하지 않습니다. 구독 공유 화면에 사용자 이름과 비밀번호가 보이지 않도록 주의하세요. 가정용 기기만 공유하는 경우에는 네트워크 대역 제한, 단일 주소 제한, 방화벽을 우선 설정하는 것이 좋습니다.

연결 경로별 문제 해결: 수신, 연결, 프록시, 규칙

먼저 PC 자체의 프록시 연결 확인하기

PC에서 프록시를 명시해 요청을 보내면 브라우저 캐시나 시스템 프록시 설정의 영향을 배제할 수 있습니다. Windows에서는 이전 PowerShell의 curl 별칭과 혼동되지 않도록 curl.exe를 사용하세요.

curl.exe -I --connect-timeout 5 --max-time 15 --proxy http://192.168.1.10:7890 https://example.com/

macOS·Linux에서는 명령의 curl.exe를 curl로 바꾸면 됩니다. 명령이 HTTP 응답을 반환하면 해당 요청이 지정한 프록시를 거쳐 처리된 것입니다. 다만 규칙에 따라 DIRECT를 선택했을 수도 있으므로 원격 프록시 노드를 사용했다는 증거는 아닙니다.

다른 로컬 네트워크 기기에서 프록시 연결 확인하기

두 번째 Windows PC가 있다면 아래 명령으로 TCP 연결 여부를 테스트할 수 있습니다. TcpTestSucceeded가 True이면 포트에 연결할 수 있다는 뜻일 뿐 노드, 도메인 이름 확인, 대상 웹사이트까지 정상이라는 의미는 아닙니다.

Test-NetConnection -ComputerName 192.168.1.10 -Port 7890

증상	우선 확인할 항목
연결 거부됨	코어 실행 여부, 포트 입력 오류, 루프백 주소에만 바인딩되어 있는지 확인합니다.
연결 시간 초과	인바운드 방화벽, 게스트 네트워크 격리, VLAN 격리, PC 절전 여부를 확인합니다.
HTTP 407 응답	프록시 인증이 필요한지, 기기에 올바른 사용자 이름과 비밀번호를 입력했는지 확인합니다.
포트에는 연결되지만 웹 페이지가 열리지 않음	PC에서 노드가 정상 작동하는지, 로그에 이름 확인 오류가 있는지, 규칙에 어떤 정책 그룹이 적용됐는지 확인합니다.
브라우저는 되지만 TV 앱은 작동하지 않음	앱이 시스템 프록시를 따르는지, 처리되지 않는 UDP 또는 별도 네트워크 연결에 의존하는지 확인합니다.

마지막으로 클라이언트의 연결 목록이나 로그에서 휴대폰·TV의 출발지 IP를 찾아 요청이 코어에 도달했는지, 어떤 규칙과 정책이 적용됐는지 확인하세요. 프록시 출구를 검증하려면 프록시를 사용하도록 명확히 지정된 테스트 대상에 요청을 보내고 연결 기록을 함께 확인해야 합니다. 웹 페이지가 열린다는 이유만으로 모든 기기의 트래픽이 프록시를 거친다고 판단하지 마세요.

문제를 해결하는 동안에는 한 번에 하나씩만 변경하세요. 먼저 PC 자체에서 프록시가 작동하는지 확인하고, 다음으로 다른 기기에서 포트에 연결되는지 점검한 뒤, 마지막으로 해당 앱을 살펴보세요. 그러면 모든 설정을 한꺼번에 초기화하지 않고도 수신 설정, 방화벽, 앱의 프록시 지원, 규칙 선택 중 어디에 문제가 있는지 좁힐 수 있습니다.

공유 중단 및 설정 관리

공유를 중단할 때는 먼저 휴대폰이나 TV의 Wi-Fi 프록시를 “끔” 또는 “없음”으로 변경하세요. PC가 꺼진 뒤에도 기기가 사용할 수 없는 프록시로 요청을 보내는 일을 막을 수 있습니다. 다음으로 PC 설정에서 allow-lan을 false로 바꾸고 설정을 다시 불러온 다음, 더 이상 필요하지 않은 방화벽 허용 규칙을 삭제합니다.

장기간 공유하려면 PC의 DHCP 예약 주소, 실제 혼합 포트, 접속을 허용한 기기 주소 세 가지를 기록해 두세요. 구독 업데이트, 클라이언트 업그레이드 또는 네트워크 어댑터 변경 후에는 실행 설정과 수신 상태를 다시 확인하세요. 기본 필드의 의미는 고급 설정에서 확인할 수 있으며, 처음 설치하고 설정을 가져오려면 사용 가이드를 참고하세요.

설정 참고 자료

mihomo 문서: 인바운드 설정에서 혼합 포트, 로컬 네트워크 접근, 바인딩 주소, 인증 필드를 확인할 수 있습니다.
Microsoft Learn: New-NetFirewallRule에서 인바운드 규칙, 출발지 주소, 네트워크 프로필 매개변수를 확인할 수 있습니다.