Clash Verge Rev Windows 서비스 보안 검사 실패 해결

Windows에 “서비스 코어가 보안 검사를 통과하지 못해 일반 모드(Sidecar)로 전환됨”이 표시될 때 실행 중인 사용자 권한을 기록하세요. 이때 Clash Verge Rev는 현재 사용자로 코어를 시작하므로 연결은 될 수 있지만 시스템 서비스의 높은 권한은 얻지 못합니다. 일반 사용자의 Sidecar는 TUN을 사용할 수 없습니다.

서비스는 시스템 권한으로 코어를 실행하므로 프로젝트는 코어 파일, 설치 디렉터리와 상위 디렉터리의 소유자 및 접근 권한을 확인합니다. 일반 계정이 이런 파일이나 디렉터리를 바꿀 수 있다면 서비스는 권한이 높은 실행 경로를 거부해야 합니다.

프로젝트 issue #8073에는 Windows 11에서 v2.5.5와 v2.5.6을 사용한 사례가 기록되어 있습니다. 일반 사용자로 TUN을 켜면 거부 알림이 뜨고 원본 오류는 C 드라이브 루트를 가리켰지만, 관리자 권한으로 실행하면 TUN을 켤 수 있었습니다. 한 건의 보고이므로 모든 Windows 기기에 같은 원인이 있다고 볼 수는 없습니다.

오류가 C 드라이브 루트의 DELETE 권한만 가리킨다면 아래 v2.5.7 분기를 따르세요. 다른 경로, 소유자 또는 ACL을 읽을 수 없는 오류라면 해당 파일과 디렉터리를 별도로 확인해야 합니다.

공식 Windows FAQ에 따르면 팝업에는 간단한 설명만 표시됩니다. 앱에서 해당 알림을 마우스 오른쪽 버튼으로 클릭해 원본 오류를 복사하고 메모장에 붙여 넣으세요. “Sidecar”라는 말만 보고 서비스 미설치, 설정 오류, C 드라이브 전체의 권한 문제 중 하나로 단정하지 마세요.

오류에서 core path, 파일명과 뒤따르는 원인을 찾으세요. 코어 파일 두 개가 함께 거부됐다면 같은 상위 디렉터리가 기준에 맞지 않는 것일 수 있습니다. 먼저 경로를 기록하고 ACL을 바로 수정하지 마세요.

core path가 C 드라이브 루트를 가리킨다면 검사 과정이 드라이브 루트까지 도달했다는 뜻이지, 앱이 루트에 설치됐다는 뜻은 아닙니다. #8073에서도 기본 Program Files 설치 경로를 사용하면서 이 경로가 표시됐습니다.

실제 클라이언트 버전, 설치 위치, 현재 실행 계정, 서비스 모드 상태와 첫 번째 거부 로그를 함께 보관하세요. 로그나 설정에는 구독 자격 증명과 로컬 사용자 이름이 포함될 수 있으므로 공개 신고 전에는 민감 정보를 가린 사본을 만드세요.

TUN을 끄고 Windows의 일반 연결이 되는지 확인하세요. Sidecar 시스템 프록시로 실제 웹페이지가 열리고 연결 기록에 요청이 보이면 임시로 사용할 수 있습니다. 오류 경로를 확인하지 않은 상태에서 서비스 설치를 반복해서 누르지 마세요.

일시적으로 TUN이 꼭 필요하다면 프로젝트 FAQ의 관리자 실행 방법을 따르세요. 트레이에서 앱을 완전히 종료한 뒤 바로 가기 또는 clash-verge.exe를 마우스 오른쪽 버튼으로 클릭해 “관리자 권한으로 실행”을 선택합니다. 서비스 복구 안내가 나타나면 “Sidecar 계속 사용”을 선택하고 필요한 경우 TUN을 다시 켭니다.

관리자 권한으로 실행하는 것은 임시 사용 방법일 뿐 서비스나 디렉터리 권한을 고치지 않습니다. 앞으로도 이 방법을 사용할 때마다 관리자 권한으로 앱을 시작해야 합니다. TUN이 필요 없으면 일반 사용자 계정과 이미 확인한 시스템 프록시로 돌아가세요.

원본 오류가 바탕 화면, 다운로드 폴더, 사용자 디렉터리 또는 직접 압축을 푼 위치를 가리키면 먼저 “설정 → Verge 고급 설정 → 설정 백업”에서 설정을 저장하고 트레이에서 앱을 완전히 종료하세요. 프로젝트 공식 설치 파일을 사용해 기본 경로인 C:\Program Files\Clash Verge에 설치합니다.

이전 디렉터리의 사용자 지정 권한을 새 설치 위치에 복사하거나 일반 사용자에게 “수정” 또는 “모든 권한”을 추가하지 마세요. 새 디렉터리에서도 거부된다면 오류가 코어 파일, 설치 디렉터리 또는 더 상위 디렉터리 중 어디를 가리키는지 먼저 확인하세요.

이미 기본 경로에 설치했다면 공식 FAQ에 따라 파일 탐색기에서 오류에 나온 경로의 “속성 → 보안 → 고급”을 열어 소유자와 권한 항목을 확인하세요. 코어 파일과 관련 디렉터리의 소유자는 SYSTEM, Administrators 또는 TrustedInstaller여야 합니다. 일반 계정에는 코어 수정, 디렉터리 교체 또는 권한 변경 권한이 없어야 합니다.

권한이 상위 디렉터리에서 상속됐거나 조직에서 관리하는 기기라면 시스템 관리자에게 기존 정책에 맞게 복구해 달라고 요청하세요. 검사 통과만을 위해 권한을 넓히지 마세요. 경로가 안전해진 뒤 “설정 → 서비스 모드”에서 서비스를 다시 설치하고, 필요하다면 이전 서비스를 제거한 뒤 설치해 홈 화면의 상태를 확인하세요.

원본 오류의 core path가 C 드라이브 루트를 가리키고 dangerous=0x00010000만 보인다면 공식 FAQ는 이를 볼륨 루트의 “삭제” 권한 사례로 별도 안내합니다. 먼저 C 드라이브 루트의 권한을 바꾸지 마세요.

서비스 저장소의 커밋 e8f5279는 검사를 조정했습니다. 볼륨 루트는 일반 폴더처럼 삭제하거나 이름을 바꿀 수 없으므로 볼륨 루트에서만 이 DELETE 권한을 무시합니다. 다른 위험한 쓰기 권한은 계속 검사합니다.

v2.5.7 정식 출시 설명은 Windows 시스템 드라이브 루트의 '삭제' 권한 오판으로 서비스 모드와 TUN을 사용할 수 없던 문제를 수정했다고 명시합니다. #8073은 v2.5.5와 v2.5.6에서 발생한 사례입니다. 이 기록만으로 v2.5.7이 모든 디렉터리 권한 또는 소유자 오류에 효과가 있다고 추정할 수는 없습니다.

오류가 볼륨 루트의 DELETE 권한에만 해당한다면 먼저 설정을 백업하고 앱을 완전히 종료한 뒤 프로젝트의 공식 v2.5.7 Release에서 시스템 아키텍처에 맞는 정식 설치 파일을 받으세요. 업데이트 후 '설정 → 서비스 모드'에서 서비스를 한 번 다시 설치하고 새로운 원본 오류를 복사한 다음 일반 사용자 계정에서 TUN을 검증하세요. 여전히 거부된다면 재설치나 드라이브 전체 권한 변경을 반복하지 말고 앞서 설명한 임시 접속 방법으로 되돌린 뒤 새 오류를 기준으로 조사하세요.

새 오류에 다른 위험한 권한, 소유자 오류 또는 ACL 읽기 실패가 나타난다면 “DELETE만 관련된 경우”의 처리 방법을 적용할 수 없습니다. 관리자에게 새 오류의 정확한 경로를 확인해 달라고 요청하고, 일반적인 읽기 권한이나 루트에서 폴더를 만드는 정상 권한까지 제거하지 마세요.

원래 문제가 발생하던 일반 사용자 계정으로 돌아가 검증해야 합니다. 관리자 권한으로 실행한 앱을 완전히 종료하고 일반 사용자로 다시 시작하세요. 홈 화면에 “서비스 모드”가 표시되고 코어 보안 검사 거부 알림이 다시 나타나지 않아야 합니다. 관리자 창에서만 TUN을 켤 수 있다면 복구된 것이 아닙니다.

그다음 기존 Profile과 노드로 TUN을 켜고 같은 실제 HTTPS 사이트에 접속해 연결 기록과 로그에서 요청이 코어로 들어갔는지 확인하세요. 다시 TUN을 끄고 기본 네트워크가 바로 복구되는지도 확인합니다.

마지막으로 앱을 완전히 종료하고 다시 시작한 뒤 일반 사용자, 서비스 모드, TUN과 웹 요청을 다시 확인하세요. 재시작 후 Sidecar로 돌아간다면 재시작 후에도 문제가 발생하는 것입니다. 새로 나타난 원본 오류 메시지를 보관하고 원인을 계속 확인하세요.

업데이트나 서비스 재설치 후에도 거부된다면 먼저 TUN을 끄고 앱을 완전히 종료한 다음, 변경 전에 사용 가능했던 시스템 프록시 또는 Windows 직접 연결을 복구하세요. 설치 위치를 바꾼 뒤 Profile이 사라졌다면 미리 만든 백업에서 설정을 복원하세요. 알림 하나를 없애려고 코어 파일의 쓰기 권한을 넓히지 마세요.

이전 버전의 서비스로 돌아가는 일을 기본 해결책으로 삼지 마세요. 현재 자료에는 이전 버전이 이 거부 오류를 해결한다는 근거가 없습니다. 임시로 TUN이 필요할 때만 프로젝트 FAQ의 관리자 실행 방법을 사용하고, TUN이 필요 없다면 일반 사용자 계정과 검증된 연결 방식을 유지하세요.

프로젝트 issue에 보고할 때는 클라이언트 버전, 설치 경로, 일반 사용자와 관리자 실행 결과의 차이, 원본 core path 및 dangerous 필드, 서비스 재설치 후 새 알림과 실제 요청 결과를 포함하세요. 구독 token, 노드 비밀번호, 개인 경로와 그 밖의 민감한 정보는 먼저 제거합니다.

새 오류가 is owned by, 권한 읽기 실패 또는 다른 쓰기 ACE로 바뀌면 새로 표시된 경로를 확인하세요. 볼륨 루트 DELETE 처리 방법을 그대로 적용하지 마세요. 일반 사용자의 새 오류와 실제 요청 결과로 복구 여부를 판단하세요.