도리도리 감자도리

네트워크 기초 정리 :: 라우팅 재분배(Redistribution)

네트워크 기초 정리 :: 라우팅 재분배(Redistribution)라우팅 재분배란서로 다른 라우팅 프로토콜(정적 라우팅, OSPF, RIP, BGP 등)이 알고 있는 경로 정보를 서로 주고받게 만드는 설정각 프로토콜은 원래 자기들끼리만 대화하는데, 재분배를 설정하면 “OSPF가 알고 있는 경로를 정적 라우팅 쪽에도 알려줘라” 같은 게 가능해짐왜 필요한가실무 네트워크는 보통 여러 프로토콜이 섞여있음 — 예를 들어 회사 내부는 OSPF로 관리하는데, 특정 서버 구간은 정적 라우팅으로 관리하는 경우재분배가 없으면, OSPF를 쓰는 라우터들은 정적으로 설정된 구간의 존재 자체를 모름(서로 다른 언어를 쓰는 것과 비슷)실습: 정적 라우팅 경로를 OSPF에 재분배하기VM 구성라우터 A — OSPF로 관리되는 네트워..

네트워크 기초 정리 :: ARP 스푸핑 방어 (DAI, 정적 ARP)

네트워크 기초 정리 :: ARP 스푸핑 방어 (DAI, 정적 ARP)ARP 스푸핑 복습가짜 ARP 응답을 보내서 피해자의 ARP 캐시에 잘못된 IP-MAC 매핑을 심는 공격이전 실습에서는 공격자 관점으로 스푸핑을 직접 재현해봤는데, 이번엔 방어자 관점으로 실제 대응 방법을 다룸Dynamic ARP Inspection(DAI)이란스위치가 DHCP 서버로부터 “어떤 IP가 어떤 MAC에 정상적으로 할당됐는지” 정보(DHCP 스누핑 바인딩 테이블)를 기록해두고, 그 정보와 일치하지 않는 ARP 응답은 자동으로 차단하는 기능정상적으로 DHCP를 통해 IP를 받은 기기가 아니면, 아무리 그럴듯한 ARP 응답을 보내도 스위치가 걸러냄DAI 동작 원리1단계, DHCP 스누핑을 먼저 활성화 — 스위치가 DHCP 요청/..

네트워크 기초 정리 :: QoS를 tc 명령어로 직접 구현하기QoS(Quality of Service) 복습네트워크 트래픽에 우선순위를 매겨서, 중요한 트래픽을 먼저 처리하는 기술Rate Limiting은 “트래픽의 속도 자체를 제한”하는 거였다면, QoS는 “여러 트래픽 종류 중 뭘 먼저 처리할지 순서를 정하는” 것 — 목적이 다름tc(traffic control)란리눅스 커널에 내장된 트래픽 제어 도구, 네트워크 인터페이스를 지나가는 패킷의 속도·우선순위·대기열을 세밀하게 제어기본 상태 확인tc qdisc show dev eth0현재 이 인터페이스에 적용된 큐잉 규칙(qdisc)을 확인하는 명령어결과: 기본값(pfifo_fast 등)이 표시됨 — 지금은 모든 트래픽이 동등하게 처리되는 상태HTB(Hi..

CIS Benchmark 기반 정리 :: AppArmor vs SELinux두 도구 복습둘 다 강제 접근 제어(MAC) 도구 — 파일 권한(rwx)보다 상위 레벨에서 프로세스가 접근 가능한 자원을 제한AppArmor: 우분투 계열 기본, 파일 경로 기반으로 정책 작성(이전 실습에서 이미 다룸)SELinux: 레드햇/CentOS 계열 기본, 레이블(라벨) 기반으로 훨씬 정교하지만 복잡경로 기반 vs 레이블 기반 차이AppArmor는 “/home/사용자/secret.txt 파일에 대한 접근을 허용”처럼 파일 경로 자체를 정책에 직접 명시SELinux는 모든 파일과 프로세스에 보이지 않는 라벨(컨텍스트)을 붙여두고, “이 라벨을 가진 프로세스는 저 라벨을 가진 파일에 접근 가능”이라는 식으로 라벨끼리의 관계로..

네트워크 기초 정리 :: RIP vs OSPF 경로 선택 방식 비교RIP(Routing Information Protocol) 복습가장 오래된 동적 라우팅 프로토콜 중 하나. 경로를 선택하는 기준이 단 하나 — 홉 수(경유하는 라우터 개수)“라우터를 가장 적게 거치는 경로”를 무조건 최적 경로로 판단(그 경로의 실제 속도나 안정성은 전혀 고려 안 함)OSPF와의 근본적 차이RIP: 홉 수만 봄 — 3홉짜리 저속 회선과 2홉짜리 초고속 회선이 있으면, 무조건 2홉짜리를 선택(설령 그게 더 느려도)OSPF: 각 링크의 비용(대역폭 기반으로 자동 계산되는 cost)까지 고려해서 진짜 “효율적인” 경로를 선택이전 라우팅 심화 실습에서 다뤘던 메트릭 개념이 RIP에는 사실상 없는 셈 — 그래서 RIP는 소규모 네..

Kubernetes 보안 심화 :: NetworkPolicy로 Pod 간 통신 제한NetworkPolicy란RBAC 실습에서는 “누가 API에 접근 가능한지(get, delete 같은 동작)“를 제한했는데, NetworkPolicy는 “어떤 Pod가 어떤 Pod와 네트워크 통신 가능한지”를 제한기본적으로 Kubernetes는 아무 정책이 없으면 모든 Pod가 서로 자유롭게 통신 가능 — VLAN 실습에서 다룬 “기본은 전부 열려있다”는 문제의식이 클러스터 내부에도 그대로 적용됨왜 필요한가웹 Pod가 뚫리면, 기본 상태에서는 그 Pod가 클러스터 안의 DB Pod든 다른 팀의 Pod든 다 접근할 수 있음VLAN 실습에서 웹서버망과 DB망을 물리적으로 나눴던 것처럼, NetworkPolicy는 Kuberne..

네트워크 기초 정리 :: DHCP 이중화와 네트워크 네임스페이스DHCP Failover (DHCP 서버 이중화)왜 필요한가DHCP 서버가 하나뿐이면, 그 서버가 죽는 순간 새 기기들이 IP를 못 받아서 네트워크에 못 들어옴DHCP Failover는 DHCP 서버 두 대를 이중화해서, 하나가 죽어도 나머지가 계속 IP를 나눠주게 만드는 구성VM 구성VM 1 — Primary DHCP 서버 (192.168.50.5)VM 2 — Secondary DHCP 서버 (192.168.50.6)Primary 서버 설정 파일에 failover 블록 추가vi /etc/dhcp/dhcpd.conffailover peer “dhcp-failover” {primary;address 192.168.50.5;port 647;pee..

네트워크 기초 정리 :: BGP 소규모 피어링 실습BGP(Border Gateway Protocol) 복습인터넷 전체를 구성하는 핵심 라우팅 프로토콜, AS(Autonomous System, 자율 시스템) 간의 경로를 결정OSPF와 근본적으로 다른 철학 — OSPF는 “가장 빠른 경로”를 자동으로 계산하지만, BGP는 라우터 관리자가 정책으로 “어떤 경로를 선호할지” 직접 결정할 수 있음이번 실습의 한계진짜 인터넷 규모의 BGP는 재현 불가능 — AS 번호도 실제 등록된 것 대신 사설로 예약된 번호(64512~65534)를 임의로 사용BGP 프로토콜 자체가 어떻게 동작하는지, 핵심 원리를 소규모로 확인하는 목적VM 구성 (임의의 AS 번호 부여)VM 1 — 라우터 A, AS 65001 (192.168.1..