도리도리 감자도리

HA 구성 완결편 :: Keepalived로 HAProxy 이중화

HA 구성 완결편 :: Keepalived로 HAProxy 이중화문제의식지금까지 만든 3계층 HA 구조에서, DB(Galera)와 캐시(Redis Sentinel)는 이중화했지만 HAProxy 자체는 1대뿐이었음클라이언트가 HAProxy 주소 하나로만 접속하는 구조였는데, 그 HAProxy 서버 자체가 죽으면 뒤에 Galera가 아무리 멀쩡해도 서비스 전체가 끊김 — 유일하게 남아있던 단일 장애점(SPOF)Keepalived와 VRRP란VRRP(Virtual Router Redundancy Protocol): 여러 대의 서버가 하나의 가상 IP(VIP)를 공유하고, Active 서버가 죽으면 Standby가 즉시 그 IP를 넘겨받는 프로토콜Keepalived: 리눅스에서 VRRP를 구현해주는 도구HA 노..

네트워크 기초 정리 :: DHCP Relay로 여러 네트워크 IP 관리DHCP Relay란DHCP 서버와 클라이언트가 서로 다른 네트워크(다른 VLAN)에 있을 때, 그 사이에서 DHCP 요청을 중계해주는 기능DHCP 요청은 원래 브로드캐스트 방식이라 같은 네트워크 안에서만 도달함 — 다른 네트워크에 있는 DHCP 서버까지는 자동으로 전달 안 됨Relay는 라우터가 이 브로드캐스트 요청을 받아서, DHCP 서버가 있는 네트워크로 유니캐스트(1대1)로 다시 전달해주는 중간 다리 역할왜 필요한가VLAN 실습에서 웹서버망(VLAN 10)과 DB망(VLAN 20)을 분리했는데, 이 각각의 네트워크에 클라이언트가 새로 추가될 때마다 DHCP 서버를 네트워크마다 따로 두는 건 비효율적DHCP 서버 한 대만 어딘가에..

IoT 구성 방법홈게이트웨이 연결 : PC에서 홈게이트웨이를 통해 IoT 장치 제어서버 연결 : 일반 서버가 등록 기능을 담당, PC에서 서버 통해 제어 홈게이트웨이를 이용한 CO 감지망기능 : CO 농도가 임계치(0.05) 넘으면 창문 자동 닫기구성 노드 : 홈게이트웨이, 창문(Window), CO센서(Carbon Dioxide Detector), 자동차(Old Car), PC장치 연결 : 각 장치의 FastEthernet0 – 홈게이트웨이 Ethernet(LAN) 포트홈게이트웨이 IP : 192.168.25.1 (DHCP 서버 역할)창문·CO센서 설정 : [Config] - [Settings] - Gateway/DNS IPv4를 DHCP, IoT Server를 Home Gateway자동차는 연결·설..

Docker 컨테이너 보안 심화 :: Docker Content Trust로 이미지 위변조 검증Docker Content Trust(DCT)란컨테이너 이미지에 전자서명을 붙여서, 받은 이미지가 진짜 게시자가 만든 것이 맞는지, 중간에 변조되지 않았는지 검증하는 기능GPG 실습에서 다룬 “개인키로 서명하고 공개키로 검증한다”는 개념이 컨테이너 이미지에 그대로 적용된 것왜 필요한가docker pull로 이미지를 받을 때, 그 이미지가 진짜 원본 게시자가 만든 게 맞는지 기본적으로는 검증할 방법이 없음누군가 이미지 저장소를 해킹해서 악성코드가 심어진 이미지로 바꿔치기해도, 사용자는 알아챌 방법이 없었음DCT를 활성화하면, 서명이 없거나 검증에 실패한 이미지는 아예 받아지지 않음실습: DCT 활성화하고 서명 검..

네트워크 기초 정리 :: 라우팅 재분배(Redistribution)라우팅 재분배란서로 다른 라우팅 프로토콜(정적 라우팅, OSPF, RIP, BGP 등)이 알고 있는 경로 정보를 서로 주고받게 만드는 설정각 프로토콜은 원래 자기들끼리만 대화하는데, 재분배를 설정하면 “OSPF가 알고 있는 경로를 정적 라우팅 쪽에도 알려줘라” 같은 게 가능해짐왜 필요한가실무 네트워크는 보통 여러 프로토콜이 섞여있음 — 예를 들어 회사 내부는 OSPF로 관리하는데, 특정 서버 구간은 정적 라우팅으로 관리하는 경우재분배가 없으면, OSPF를 쓰는 라우터들은 정적으로 설정된 구간의 존재 자체를 모름(서로 다른 언어를 쓰는 것과 비슷)실습: 정적 라우팅 경로를 OSPF에 재분배하기VM 구성라우터 A — OSPF로 관리되는 네트워..

네트워크 기초 정리 :: ARP 스푸핑 방어 (DAI, 정적 ARP)ARP 스푸핑 복습가짜 ARP 응답을 보내서 피해자의 ARP 캐시에 잘못된 IP-MAC 매핑을 심는 공격이전 실습에서는 공격자 관점으로 스푸핑을 직접 재현해봤는데, 이번엔 방어자 관점으로 실제 대응 방법을 다룸Dynamic ARP Inspection(DAI)이란스위치가 DHCP 서버로부터 “어떤 IP가 어떤 MAC에 정상적으로 할당됐는지” 정보(DHCP 스누핑 바인딩 테이블)를 기록해두고, 그 정보와 일치하지 않는 ARP 응답은 자동으로 차단하는 기능정상적으로 DHCP를 통해 IP를 받은 기기가 아니면, 아무리 그럴듯한 ARP 응답을 보내도 스위치가 걸러냄DAI 동작 원리1단계, DHCP 스누핑을 먼저 활성화 — 스위치가 DHCP 요청/..

네트워크 기초 정리 :: QoS를 tc 명령어로 직접 구현하기QoS(Quality of Service) 복습네트워크 트래픽에 우선순위를 매겨서, 중요한 트래픽을 먼저 처리하는 기술Rate Limiting은 “트래픽의 속도 자체를 제한”하는 거였다면, QoS는 “여러 트래픽 종류 중 뭘 먼저 처리할지 순서를 정하는” 것 — 목적이 다름tc(traffic control)란리눅스 커널에 내장된 트래픽 제어 도구, 네트워크 인터페이스를 지나가는 패킷의 속도·우선순위·대기열을 세밀하게 제어기본 상태 확인tc qdisc show dev eth0현재 이 인터페이스에 적용된 큐잉 규칙(qdisc)을 확인하는 명령어결과: 기본값(pfifo_fast 등)이 표시됨 — 지금은 모든 트래픽이 동등하게 처리되는 상태HTB(Hi..

CIS Benchmark 기반 정리 :: AppArmor vs SELinux두 도구 복습둘 다 강제 접근 제어(MAC) 도구 — 파일 권한(rwx)보다 상위 레벨에서 프로세스가 접근 가능한 자원을 제한AppArmor: 우분투 계열 기본, 파일 경로 기반으로 정책 작성(이전 실습에서 이미 다룸)SELinux: 레드햇/CentOS 계열 기본, 레이블(라벨) 기반으로 훨씬 정교하지만 복잡경로 기반 vs 레이블 기반 차이AppArmor는 “/home/사용자/secret.txt 파일에 대한 접근을 허용”처럼 파일 경로 자체를 정책에 직접 명시SELinux는 모든 파일과 프로세스에 보이지 않는 라벨(컨텍스트)을 붙여두고, “이 라벨을 가진 프로세스는 저 라벨을 가진 파일에 접근 가능”이라는 식으로 라벨끼리의 관계로..