처음 만나는 클라우드 보안

[Zero Trust] 제로트러스트란?

영민하게 — Fri, 12 Jan 2024 20:59:30 +0900

NIST Zero Trust 800-207 (2020)

정적인 네트워크 경계기반 보안의 관점을 사용자, 자산 등 개별 리소스로 바꾸는 새로운 패러다임

제로트러스트= 보안 관점의 전환

ZT (Zero Trust)는 리소스를 보호하는데 초점을 맞춘다. 네트워크 요소나 위치는 보안에 있어 더 이상 유일한 중요요소가 아니게 되었다. 네트워크의 경계에 머물던 보안이 이제는 개별 리소스에 관점을 두기 시작했다. 네트워크 인증을 거친 트래픽은 끝까지 신뢰하지 않고 내부 검증을 이어나간다.

이전 정적인 보안의 예시( Implicit trust zone)=> 비행기 탑승 수속, 티켓만 검사하면 끝

Zero Trus의 원칙

1. 모든 데이터와 서비스는 자원이다.
2. 네트워크의 어떤 위치이던 모든 통신은 보호되야 한다.
3. 하나의 자원에 대한 접근 하나의 세션으로 관리되어야 한다.
4. 자원에 대한 접근은 동적인 보안정책에 의해 관리된다.
5. 조직은 관련된 모든 자산에 대한 모니터링을 지속한다.
6. 모든 권한과 인증부여는 항상 적용되어야 한다.
7. 조직은 자신의 자산, 네트워크 및 통신에 대한 정보를 끊임없이 수집하여 개선 작업에 사용한다.

제로 트러스트 아키텍처

구성요소

PE: Policy Engine (사용자에게 자원 접근 권한을 부여하는 주체, 뇌에 비유)
PA: Policy Addministrator (주체와 자원 간 연결을 형성하고 끊는 주체)
PEP: Policy Enforcement Point (자원에 대한 접근을 감지하며 접속을 차단하는 시스템)

3.2.1 디바이스 에이전트 / 게이트웨이 모델
: 자원 접근을 위한 프록시 역할

3.2.2 고립모델
: PE,PA에 의해 자원이 고립된 형태모델

3.2.3 포털 베이스 모델
: 별도의 소프트웨어 설치 없이(로컬 에이전트 필요 X), PEP포털을 통해 자원에 접근 (AWS의 IAM Identity Center)

3.2.4 샌드박스 모델
: 사용자는 가상환경(SandBox)상에 구동하는 신뢰할 수 있는 앱을 통해 PEP에 접속, 자원에 접근할 수 있다.

참고자료

NIST. (2020). Zero Trust Architecture. https://www.nist.gov/publications/zero-trust-architecture

Zero Trust Architecture

Zero trust (ZT) is the term for an evolving set of cybersecurity paradigms that move defenses from static, network- based perimeters to focus on users, assets,

www.nist.gov

오라클DB 설치

영민하게 — Thu, 10 Aug 2023 13:12:16 +0900

https://heekng.tistory.com/86

[CentOS7] 리눅스 서버에 오라클DB 설치하기

[CentOS7] 리눅스 서버에 오라클DB 설치하기 리눅스 CentOS7에 오라클DB를 설치하는 방법입니다. 2021.04.26 - [개발관련/오라클 클라우드] - 오라클 클라우드 VM 설치(CentOS7) 및 기본 설정 오라클 클라우드

heekng.tistory.com

FTP, SFTP, SSH 구분

영민하게 — Thu, 18 May 2023 22:58:32 +0900

1. 서비스 구분

	FTP	SFTP	SSH
명칭	File Transfer Protocol	Secure File Transer Protocol	Secure Shell
기본 포트	21 (제어), 20 (데이터 전송)	22번	22번
설명	일반 파일 전송 프로토콜 (취약)	ssh방식을 이용한 안전한 ftp기능 구현	암호화 전송으로 안전한 통신 구현

2. 무료 SSH 프로그램

: MobaXterm(SFTP 포함)

https://mobaxterm.mobatek.net/

MobaXterm free Xserver and tabbed SSH client for Windows

The ultimate toolbox for remote computing - includes X server, enhanced SSH client and much more!

mobaxterm.mobatek.net

CentOS 7 ssh설정

영민하게 — Thu, 18 May 2023 22:44:02 +0900

CentOS7에는 기본적으로 openssh가 설치되어 있다.

1. openssh 확인

1) 상태 확인

service sshd status

systemctl status sshd

2. ssh config 파일 설정

vi /etc/ssh/sshd_config

#Port 22 (주석 제거)

#PermitRootLogin yes (root 로그인 허용)

3. 방화벽 정책 허용

firewall-cmd --zone=public --add-port=22/tcp --permanet

4. openssh 재시작

service sshd restart

systemctl restart sshd

active (running) 확인되면 ip 확인 후 root 권한 접속

[Linux보안] 취약한 기본 서비스 - Finger , NIS, Tftp, Talk, SNMP

영민하게 — Fri, 10 Mar 2023 09:27:25 +0900

리눅스가 제공하는 다양한 기본 서비스들이 취약한 경우가 많다.

오늘은 취약하기로 알려진 기능들을 살펴보고, 보안적인 측면에서 권고되는 조치 방법에 대해 알아보자.

1. Finger 서비스

Finger 서비스는 리눅스에서 기본적으로 제공되는 사용자 정보 제공 프로토콜이다. 사용자 이름 입력 시 해당 사용자의 정보를 출력해 주는 기능을 제공합니다. 예시로, 터미널에서 "finger [username]"을 입력하면, 해당 사용자의 로그인 정보, 메일함, 마지막으로 로그인 시간 등이 출력된다.

하지만, Finger 서비스 정보는 암호화 없이 평문으로 전달되므로 악의적인 의도를 가진 사용자에게 정보가 노출될 위험이 따른다. 따라서, Finger 서비스 기능은 미사용 시 비활성화시키거나, 방화벽과 같은 추가적인 보안 조치를 통한 외부 접근 통제가 권고된다.

2. NIS(Network Information System)

NIS (NIS+) 서비스는 여러 대의 시스템에 존재하는 사용자 정보 및 설정 정보 등을 중앙에서 관리하기 위한 프로토콜이다. 중앙에서 관리되는 정보가 노출될 경우, 전체 시스템 보안에 영향을 끼칠 수 있기 때문에 보안상 취약한 서비스로 알려진다. 해당 서비스를 사용할 경우, 인증 정보 암호화, 방화벽 차단 등 추가적인 보안 강화 조치가 필요하다.

3. Tftp(Trivial File Transfer Protocol)

리눅스에서 간단한 파일 전송을 위한 프로토콜이다. UDP통신을 기반으로 동작하여, 파일 전송 시 TCP에 비해 적은 오버헤드 발생으로 전송 속도가 더 빠르다는 장점이 있다. 하지만, 비인가자 또한 파일전송이 가능하기 때문에 취약한 서비스로 분류된다.

보안 조치로 Tffp 서비스 비활성화가 권고되며, 파일전송 서비스를 사용할 경우 암호화기능이 포함된 TFTP-secure를 사용이 권고된다.

4. Talk 서비스

Linux 시스템에서 사용되는 채팅 프로그램이다. 사용자간 대화 및 알림 기능을 제공한다. 하지만, 해당 Talk 서비스는 외부 사용자와의 통신이 가능하다는 측면에서 보안상 취약한 서비스이다. 따라서, Talk 서비스를 사용할 경우, 방화벽을 이용해 외부로부터 인가된 접속만을 허용하는 조치를 취하는 것이 권고된다.

5. SNMP(Simple Network Management Protocol)

네트워크 장비의 상태 정보나 성능 정보 등을 모니터링하고 관리하기 위한 프로토콜이다. 주로 시스템 관리자나 네트워크 관리자에게 유용하게 사용되지만, 네트워크 상의 장비 정보가 노출될 수 있는 위험으로 추가적인 보안조치가 요구된다. SNMP 서비스를 사용할 경우, SNMPv3와 같은 암호화 프로토콜을 사용하거나, 방화벽을 통한 접근 통제 등이 권고된다.

"요약"

위와 같이 취약한 서비스들은 기능을 꺼두거나 보안이 강화된 대체 서비스 사용이 우선적으로 추천된다.

서비스 사용시 '암호화 프로토콜' 사용 또는 '방화벽 활성화' 등의 추가적인 보안 조치법이 있다.

[정보보안] 위험관리란? (위험대책, 위험분석 기법 정리)

영민하게 — Tue, 21 Feb 2023 23:36:06 +0900

위험관리란?

위험관리(Risk Management)란 조직의 자산에 대한 위험을 수용할 수 있는 수준으로 관리하기 위하여 위험을 분석하고 이러한 위험으로부터 자산을 보호하기 위해 효과적인 보호대책을 마련하는 일련의 과정을 말한다.

위험관리 전략 수립 => 위험분석 => 위험평가 => 대책수립 => 계획수립

위험대책 및 예시

1) 위험감소 (완화)

: 기술적, 관리적, 물리적 통제를 통해 위험 수준을 감소시킨다.

2) 위험전가 (전가)

: 위험에 대한 책임을 제3자와 공유한다. (ex. 보험 가입)

3) 위험회피

: 위험이 존재하는 프로세스나 사업을 포기한다. (ex. 자산 매각, 설계 변경)

4) 위험수용

: 비즈니스 목적상 위험을 그대로 수용한다. 관리부서는 위험의 결과에 따른 책임을 받아들여야 한다. (CISO승인 필수)

위험분석 기법

1) 기준선 접근법(Base Line Approach)

: 국내외 표준이나 법령, 가이드를 기준으로 최소한의 기준 수준을 정한다.

2) 비정형 접근법(Informal Approach)

: 경험자의 지식을 사용해 위험분석 수행

3) 상세위험분석(Detailed Risk Analysis)

: 정립된 모델에 기초하여 자산분석, 위협분석, 취약성분석 각 단계를 수행하여 위험평가

4) 복합적 접근법(Combined Approach)

: 위 분석기법들을 비용과 자원의 효율성을 고려하여 복합적으로 사용

참고자료: KISA 정보보호관리체계 위험관리 가이드

[DB] 관계 데이터 언어 - 관계대수 & 관계해석

영민하게 — Fri, 30 Dec 2022 11:04:14 +0900

릴레이션(Relation) = 테이블(Table), 표

관계 데이터 언어

1. 관계대수 (Relational Algebla)

원하는 데이터를 얻기 위해 데이터를 어떻게 찾을지 과정을 명시한 절차적 언어

- 일반 집합 연산(Set Operation) : 수학적 집합이론에 해당하는 (합집합, 교집합, 차집합 등) 집합연산
ex) 합집합∪, 교집합∩, 차집합—, 교차곱Х
- 순수 관계 연산(Relational Operation) : 관계 데이터베이스에 적용할 수 있도록 특별히 개발된 연산
ex) SELECT(σ), PROJECT(π), JOIN(▷◁), DIVISION(÷)

2. 관계해석(Relational Calculus)

관계 데이터 베이스에 대해서 원하는 데이터가 무엇인지만 정의하는 비절차적 언어

- 정형식 기호

구분	구성	기호	설명
연산자	OR	∧	또는
	AND	∨	그리고
	NOT	¬¬	부정
정량자	전칭 정량자	∀∀	For All
정량자	존재 정령자	∃∃	There Exists

참고자료
https://m.blog.naver.com/k97b1114/140152644090
https://kingnamji.tistory.com/48

[NCP] NCA대비 기출문제 정리

영민하게 — Wed, 28 Dec 2022 15:43:31 +0900

본 포스팅에선 NCP Associate 자격시험을 대비한 연습문제를 정리해 보겠습니다.

모든 문제들의 출처는 단락 별 상단 URL과 같으며, 추가 캡처는 모두 NCP공식 사이트를 참조하였습니다.

[NCP 퀴즈 - 출처] https://redplug.notion.site/NCA-NCP-ac134df7a07f49878262ab8dea871cc7

Q 100 - Overview

다음에서 설명하는 상품의 이름은 무엇인가요?

사용자의 웹사이트에 검색 기능을 제공하는 상품으로 네이버 형태소 분석 처리기를 기반으로 만들어진 상품

=> Cloud Search

Q 101 - Compute / Storage

다음이 설명하는 내용은 Auto Scaling의 어떤 할 목일까요?

"새로운 서버가 생성되었다고 해도, Init-Script 실행이나 업데이트 설치 등의 이유로 실제 서비스를 수행할 수 있을 정도로 준비되기까지는 시간이 소요될 수 있습니다. 이것은 실제 Scaling이 수행 중이거나 수행 완료된 이후에 모니터링 이벤트 알람이 발생하더라도 무시하도록 설정한 기간입니다."

=> 쿨다운 (Cooldown)

Q 102 - Network / Media

네이버클라우드 플랫폼 로드밸런서에서 제공되지 않는 로드 분배 알고리즘은?

=> Weigthed Round Robin (제공되지 않음)

Q. 200 - Compute/Storage

네이버클라우드 플랫폼 추가스토리지에 대한 설명 중 옳은 것을 모두 고르시오.

=> 생성된 스토리지는 용량 증설 가능하다 & 스냅숏을 바탕으로 추가 스토리지 생성이 가능하다.

Q. 202 - Network/Media

네이버클라우드 CDN+에 대한 설명으로 잘못된 것을 고르시오

=> 오리진으로 네이버 클라우드 플랫폼의 Object Storage만 사용할 수 있다. (다른 곳도 사용 가능)

옳은 것들 => 국내 서비스에 최적화된 CDN상품이다.(콘텐츠 제공지역은 한국, Global CDN이라는 서비스 별도 존재) / 개인 소장 도메인을 CDN서비스 도메인으로 사용할 수 있다. / CDN도메인을 HTTPS로 사용하기 위해서는 오리진에서도 HTTPS를 지원해야 한다.

Q. 200 - Overview

다음 중 Zone에 종속적이지 않은 상품은?

=> Loadbalancer

추가) NCP 로드벨런 서 종류

Classic LB: Classic 플랫폼의 LB

Network LB: VPC환경의 TCP프로토콜에 대한 DSR(트래픽 직접전송) 지원

Network Proxy LB: VPC환경의 TCP프로토콜에서 DSR미지원 LB

Application LB: VPC환경의 HTTP/HTTPS프로토콜 지원 LB

Zone에 종속적인 서비스 정리

1. Secue Zone

구성도 예시 / SSL-VPN접속 필수

2. GPU Server

3. IPSEC VPN

Q. 202 - Database/Management/Analytics

Cloud DB for MySQL 생성 시 자동 생성되는 항목을 모두 고르시오.

=> Private Domain(기본적으로 사설망), CLoud DB ACG(기본으로 주어지는 방화벽)

Q. 207 - Troubleshooting

리눅스에서 네트워크 트래픽을 확인할 수 있는 명령어

=> netstat -i, ifconfig

[NCP 샘플 문제 - 출처] https://certking.tistory.com/816

Q1. Bare Metal 서비스를 이용할 수 없는 리전은?

=> 홍콩, 미국서부, 독일 서비스 이용 불가

Q2. Cloud DB로 제공 중인 서비스가 아닌 것은?

=> Oracle (제공서비스 - MS SQL, Redis, MonggoDB, Redis, Tiberom, MySQL, PostgreSQL)

Q3. TCO의 설명으로 알맞은 것은?

TCO: Total cost of ownership, 효율적인 총 소유 비용

Q4. 네이버클라우드플랫폼 챗봇 서비스와 연동되는 서비스는?

=> 라인

Q5. 한국리전 출시 후 다음으로 싱크를 맞추는 리전은 어디일까요?

=> 싱가포르

Q6. 무료로 사용할 수 있는 구간은?

=> 로드밸런서와 서버 간의 통신 (유료: KR1에서 KR2, KR2에서 KR1, KR1에서 CDN통신)

Q7. 서버 정지 없이 사용할 수 있는 서비스는?

=> 서버 이미지 생성

Q8. RPA서비스에서 사용하고 있는 설루션은?

=> UIPath

Q9. Cloud Function에서 연동할 수 있는 네이버클라우드플랫폼 서비스가 아닌 것은?

=> Bare Metal (연동할 수 있는 것: Cloud Log Analytics, Object Storage, API Gateway, Cloud IoT Core, Cloud Insight)

Q10. Cloud Function 설명으로 옳지 않은 것은?

=> 1개의 액션만을 트리거할 수 있다.

옳은 것: JavaScript, Python, PHP 등 원하는 언어 지원 / 요금은 총 요청개수에 따라 부과 / 웹 액션을 통해 웹기반 응용 프로그램 구성가능

예시 속 다수의 트리거 존재

Q11. RUA에서 제공되지 않는 지표는 무엇인가?

=> Unique Views추이 (제공되는 것: Page View추이, 주요 나라 및 국가, 주요 OS)

[NCP 핵심내용 - 출처] https://cloudlog.kr/programming/ncloud/nca-short-answer-question.html

서버 - Server

1. SSD Server가 보장하는 기본 IOPS는 얼마인가?

=> 4,000 IOPS (표준 서버보다 10~20배 이상의 고성능 I/O를 제공한다.)

2. 이미지 프로세싱 / 렌더링 /과학 연산 /머신 러닝 등 고성능 연산처리에 최적화된 서버는?

=> GPU 서버

3. 단독으로 제공된 서버 위에서 하나의 클라우드 서버만을 생성해 제공하는 서비스의 서버는?

=> VDS (Virtual Dedicated Server - 물리 서버 제공 방식이지만 클라우드 서비스 형태로 제공, 일반 서버처럼 기존 NCP서비스와 연동해 서비스 이용 가능)

4. 물리 서버를 가상화 환경 없이 단독으로 제공하는 서비스의 서버는?
=> Bare Metal Server (물리 서버를 단독으로 사용하는 방식이지만 클라우드 서비스 형태로 사용 가능함)

5. 방대한 양의 데이터를 분석하여 정보를 생산하고 복잡한 연산을 빠르게 해결하기 위한 대규모 컴퓨팅 서비스의 서버는?

=> High Performance Computing (NCP의 전용 HPC인프라 구성 가능, 고객의 인프라로 사용하는 Hybrid 환경도 구축 가능, 금융권 및 증권사에서 많이 사용하는 설루션)

6. 100TB 규모의 스토리지 용량을 가진 전용 어플라이언스를 통해 대용량 데이터를 이전해주는 서비스는?

=> Data Teleporter (어플라이언스 장비는 기본적으로 고객이 직접 수령하고 반납해야 함)

7. 네이버 클라우드 Load Balancer가 지원하는 부하 분산 방식은?

=> Round Robin-순환순서, Least Connection-최소연결, Source IP Hash-해시값

8. 외부에 있는 고객의 네트워크와 네이버 클라우드 플랫폼에 있는 네트워크를 암호화된 터널링 통신으로 연결하여 서비스를 구성할 수 있게 해주는 서비스는?

=> IPsec VPN

9. 비공인 IP를 가진 다수의 서버를 인터넷상의 공인 IP를 가진 고객의 호스트와 연결해주는 서비스는?

=> NAT Gateway

10. DNS 기반의 다양한 방법을 통해 네트워크 트래픽을 안정적으로 로드 밸런싱하는 GSLB (Global Server Load Balancer) 상품은?

=> Glbal Route Manager

11. Global Route Manager가 지원하는 로드밸런싱 방식은?

=> Round Robin, Weight Based, Geolocation, CIDR, (Fail Over)

데이터베이스 - Database

1. Cloud DB for MySQL의 자동백업 데이터는 최대 며칠까지 보관되나요?

=> 최대 30일까지 보관 (1달 보관)

2. Cloud DB for Redis의 자동백업 데이터는 최대 몇일까지 보관되나요?

=> 최대 7일까지 보관 (일주일)

3. Cloud DB for Redis의 Shared구성은 최소 몇 개 ~ 몇 개까지 구성 가능한가요?

=> 동일 스펙으로 최소 3개부터 최대 10개까지 구성 가능

4. CloudDB for Redis의 Shard구성에서 각 Shard당 Slave Node는 최대 몇개까지 가능한가요?

=> 최대 4개까지 구성 가능

5. Cloud DB for MSSQL의 자동백업 데이터는 최대 며칠까지 보관되나요?

=> 최대 30일까지 보관

6. Cloud DB for MSSQL의 읽기 가능 슬레이브는 최대 몇 대까지 가능한가요?

=> 최대 5대

7. Classic환경에서 이용 가능한 Cloud DB for MSSQL의 버전은?

=> MSSQL 2016 Standard edition

8. VPC환경에서 이용 가능한 Cloud DB for MSSQL의 버전은?

=> MSSQL 2019 Standard edition

기본 포트 정리
MySQL (대표적인 오픈소스 데이터베이스)	3306
MSSQL(윈도우 서버 구동 데이터베이스)	1433
CUBRID(관계형 데이터베이스 관리 시스템)	8001
Redis(비관계형 데이터베이스 관리 시스템)	6379
PostgreSQL(객체-관계형 데이터베이스)	5432
MariaDB	3306
MongoDB	27017

보안 - Security

1. 개인정보 등 중요 정보 자원을 보안이 한층 강화된 별도 Zone에서 관리하게 해주는 서비스는?

=> Secure Zone

2. 모든 고객에게 기본으로 제공되는 무료 보안 서비스는?

=> Basic Security

3. IP 주소/포트 기반 필터링 기능으로 서버로의 네트워크 접근을 관리하는 Security 서비스는?

=> ACG(Access Control Group)

4. 바이너리 위변조, 메모리변조, 후킹, 디바이스 환경 조작 등 모바일 애플리케이션 실행 중 발생할 수 있는 보안 위협을 탐지하는 Security 서비스는?

=> App Safer

5. 회원이 개발한 웹사이트가 해킹 또는 다른 보안문제로 인해 악성코드를 배포하는지 검사하는 서비스는?

=> Site Safer

서비스 중지 예정

6. 고객의 웹 사이트에 업/다운로드되는 파일의 악성코드 여부를 손쉽게 검사할 수 있는 서비스는?

=> File Safer

7. IDS, Anti-DDoS, Anti-Virus, IPS, WAF와 같은 다양한 보안 상품들을 제공하는 서비스는?

8. 외부에서 기업 내부 네트워크에 접속할 때 암호화 된 터널링 통신 구축을 위한 Security 서비스는?

=> SSL VPN

9. Security Monitoring에서 제공되는 대표적인 보안상품은?

=> IDS, IPS, Anti-DDoS, Anti-Virus, WAF

10. 고객의 웹 서비스에 대한 주요 취약점을 자동으로 진단하는 Security 서비스는?

=> Web Security Checker

보안이 클라우드의 일부로 흡수

11. 서버의 운영체제 및 WAS의 보안 설정이 올바르게 되어 있는지 점검하는 Security 서비스는?

12. System Security Checker에서 WAS 취약점 진단 대상은?

=> Apache, Tomcat, Nginx

13. 모바일 앱의 정보 유출 위험을 비롯하여 잠재적인 보안 취약점에 대응할 수 있도록 점검하는 서비스는?

=> App Security Checker

고가의 보안 컨설팅 비용이 부담스러운 고객을 위함

14. 고객이 보안 인증이나 규제에 대응하는데 필요한 사항들을 알기 쉽게 정리한 가이드를 제공하는 Security 서비스는?

=> Compliance Guide

15. 고객의 중요 정보 암호화에 사용된 키를 고객이 설정한 보안 정책에 따라 엄격히 관리하고 안전하게 보호할 수 있게 해주는 서비스는?

=> Key Management Service

16. SSL인증서의 손쉬운 등록 및 관리를 할 수 있게 해주는 서비스는?

=> Certificate Manager

17. 네이버 클라우드 내 리소스에 대한 액세스를 제어할 수 있는 기한 제한이 있는 임시 Access Key 생성 서비스는?

=> Secure Token Service(STS)

[NCP] VPC환경에서 Web-DB 연동서버 구축하기 (2)

영민하게 — Tue, 27 Dec 2022 17:09:39 +0900

이번 포스팅에선 VPC환경에서 DB서버를 구축하고, 이전 포스팅에서 구축된 웹서버와 연동시켜 보자.

DB서버생성

콘솔 > DB Server > '+ DB Server 생성'

서버 설정

DB서버의 보안을 위해 사설(Private) 서브넷 선택

DB설정

DB로 접속 가능한 HOST IP는 같은 네트워크의 웹서버 사설 IP값을 입력했다.

최종확인

DB정보 확인 후 '+생성' 선택

약 10분 소요

생성완료 확인

웹-DB 접속확인

$ apt update

$ apt install mysql-client

$ mysql -h Private 도메인 -u ykim -P 3306 -p // db-ei6g1.vpc-cdb.ntruss.com입력

ACG규칙 설정

인바운드 규칙에 접속IP (192.168.0.6) 추가

참고) 같은 VPC 내부 접속이기 때문에 Network ACL 수정 불필요

VPC내 웹서버에서 DB서버로의 접속 확인

웹서비스(gnuboard5) 설치

웹서버에서 구동될 서비스로 오픈소스 'Gnuboard5'를 활용한다. 추후 간편한 설치를 위해 스크립트 작성하여 Object Storage에 업로드하면 여러 사용자가 필요시 다운로드하여 설치할 수 있다.

스크립트 작성

#! /bin/bash
apt update -y #
apt install -y apache2 #웹서버 설치
apt install -y php #php설치
apt install -y php-gd #php-gd라이브러리 설치
apt install -y php-mysql php-common php-gd php-fpm php-xml php-json php-curl #
systemctl start apache2 #
systemctl enable apache2 #자동시작

cd /var/www/html #
apt install -y git #
git clone https://github.com/gnuboard/gnuboard5 #그누보드 소스코드 다운
cd gnuboard5/ #
mkdir data #
chmod 707 data #
systemctl restart apache2 #아파치 재시작

Object Management 업로드

이전 포스팅에서 생성한 Object Storage의 버킷에 해당 스크립트를 업로드한다.

[버킷 생성 참고] 2022.12.26 - [클라우드 기초/Naver Cloud] - [NCP] 처음 만나는 네이버 클라우드 - Object Storage 만들기

[NCP] 처음 만나는 네이버 클라우드 - Object Storage 만들기

이번 포스팅에선 NCP가 제공하는 파일 저장 공간 서비스 'Object Storage'를 생성해 보자. 타 클라우드의 비슷한 서비스로 AWS의 S3, MS Azure의 스토리지 계정이 있다. NCP Object Storage란? 여러 사용자로 하

cloudinfosec.tistory.com

콘솔 > Object Storage > Bucket Management > '파일 업로드' 선택

추후 스크립트 다운로드에 사용될 Link주소 복사

권한관리 공개로 전환

스크립트 다운 및 실행

$ sudo wget https://kr.object.ncloudstorage.com/ykim-bucket-test/service.sh

$ sudo chmod 700 service.sh // 소유자에게 실행권한 부여

$ sudo sh service.sh // 셸 스크립트 시작

그누보드 5 설치

웹(80) 공개 IP주소/gnuboard5 접속

DB서버 정보 입력

Host: Private 도메인

User/Passwd: DB사용자 계정

DB: DB서버 기본 DB명 (ykim-db로 수정)

비밀번호: 서비스 관리자 비밀번호

접속확인

파일 업로드 확인

지금까지 NCP의 주요 서비스들을 응용하여 간단한 웹서비스를 구축해 보았다.

공개된 웹서버와 달리, Private Subnet에 위치한 DB서버는 웹서버를 통해서만 데이터를 입/출력을 받는다.

[NCP] VPC환경에서 Web-DB 연동서버 구축하기 (1)

영민하게 — Tue, 27 Dec 2022 10:39:44 +0900

이번 포스팅에선 VPC환경에서 Web-DB 연동 서버를 구축해보자.

네트워크 설정

서버 구축 전 구상된 아키텍처에 따라 VPC와 Subnet을 비롯한 네트워크 환경을 구성한다.

VPC생성

콘솔 > Service탭 > VPC (Virtual Private Cloud) > '+ VPC 생성' 선택

VPC IP 범위 선정

VPC 생성 확인

서브넷 생성

콘솔 > Service탭 > VPC > Subnet Management > '+ Subnet 생성' 선택

웹서버용 Subnet

웹서버의 외부 접속 허용을 위해 인터넷 게이트 전용여부를 Y(Public) 선택한다.

DB용 Subnet 설정

DB서버는 보안을 위해 내부 사설 IP만을 통해 접속하도록 N(Private)을 선택한다.

서브넷 생성 확인

시나리오 2. Public과 Private Subnet

guide-gov.ncloud-docs.com

Network ACL 생성

이전 단계에서 생성된 Subnet에는 Network ACL의 기본값이 부여되었다. 이번 단계에선 만족시켜야 할 보안사항에 맞는 Network ACL을 구성하고 각 서브넷에 적용해 보자.

참고) ACG와 Network ACL 차이점

ACG = 서버 방화벽(Stateful) / Network ACL = 서브넷방화벽(Stateless)

콘솔 > Service탭 > VPC > Network ACL > 'Network ACL 생성' 선택

웹서버용 Network ACL 생성

인바운드 규칙 설정 (웹서버)

생성 > 해당 Network ACL > 'Rule 설정' 선택

DB용 Network ACL 설정

인바운드 규칙 설정 (DB서버)

생성 > 해당 Network ACL > 'Rule 설정' 선택

동일한 VPC에서 접속할 예정이기 때문에 ACL에 대한 별도 설정은 우선 보류

Subnet 별 ACL적용

콘솔 > VPC > Subnet Management > Network ACL '변경' 선택

기존 Default값에서 해당 ACL로 적용

Web Server 구축

웹서버 생성

콘솔 > Service탭 > '서버 생성' 선택

서버이미지 선택

OS, Standard, ubuntu-18.04 선택

서버 설정

Web서버를 위해 생성된 Subnet을 선택한다.

웹서버용으로 생성된 Public Subnet 선택

외부 접속을 위한 공인IP를 할당 활성화

인증키 설정

기존에 생성한 인증키로 진행

네트워크 접근 설정

우선 주어진 default값으로 설정

최종 확인 후 생성

ACG설정은 추후 정리하도록 하자

웹서버 생성 확인

웹서버 접속

관리자 비밀번호 확인

콘솔 > Server > 해당 서버 > '서버 관리 및 설정 변경' 스크롤 > '관리자 비밀번호 확인' 선택

인증키 선택

비밀번호 확인

공인IP입력, 22번 포트 선택

SSH 접속 확인

관리자 권한 접속 확인

웹서버 설치

$ sudo apt update // apt업데이트

$ sudo apt install apache2 // 웹서버 설치

$ systemctl status apache2 // 웹서버 구동 확인

80포트를 통한 웹서버 접속 확인

다음 포스팅 => DB서버 구축 & 웹-DB 연동확인