도리도리 감자도리

[Linux]로그 관련 디렉터리

gamjadori — Sat, 31 Aug 2024 11:31:19 +0900

1. /var/log/syslog (Ubuntu 같은 데비안) 또는 /var/log/messages (CentOS 같은 레드햇)

시스템 전체의 메시지와 정보 기록 (커널 메시지, 장치 드라이버, 서비스 상태, 네트워크 이벤트, 데몬 등의 메시지)
- 커널이란?
- 하드웨어와 소프트웨어 사이에서 중개 역할로, 소프트웨어가 하드웨어에 직접 접근하지 않고도 작업을 수행할 수 있게 해줌
자격 증명 해킹이나 무차별 대입 공격과 같은 의심되는 행위 조사

>> sysyemd[1843] 로그 메시지를 생성한 프로세스의 이름과 PID(프로세스 ID)

메시지 내용: systemd이 수행한 작업

2. /var/log/auth.log (Ubuntu 같은 데비안) 또는 /var/log/secure (CentOS 같은 레드햇)

인증 및 보안 관련 이벤트를 기록하는 로그 파일 (비정상적인 로그인 시도, 권한 변경 활동, 사용자 인증 실패)
login이나 tcp_wrappers, xinetd 관련 로그 / useradd, userdel, su 로그 기록
- tcp_wrappers이란?
- 네트워크 접속 제어를 제공하는 도구
- xinetd이란?
- 인터넷 서비스의 데몬으로, 요청에 따라 서비스를 시작하고 종료하는 슈퍼 데몬 역할

>> /etc/polkit-1/rules.d에서 PolicyKit 데몬이 3개의 규칙 실행 → SSH 서버가 포트 22에서 연결을 수신 대기 → 루트 계정 비밀번호 변경 → PolicyKit이 정책 규칙을 로드 및 3개의 규칙 실행 → 외부 IP 주소에서 루트 계정으로 SSH 로그인 성공

PolicyKit 데몬이란?
리눅스 기반 시스템에서 권한 관리를 위한 프레임워크

3. /var/log/boot.log

시스템 부팅 과정에서 발생하는 로그 메시지(데몬 시작, 성공 또는 실패 여부) 기록

4. /var/log/dmesg

시스템 부팅 과정 이후 커널에서 발생하는 메시지 기록
장치 드라이버 통신을 위한 중앙 위치 역할
dmesg 명령어 사용

5. /var/log/cron

크론 작업과 관련된 활동을 추적하며 작업의 시작, 완료, 실패 기록

>> cron데몬이 시작되었고, 시스템 로그를 사용하여 로그 메시지 기록

6. /var/log/btmp

실패한 모든 로그인 시도 기록
last 명령어를 사용하여 확인 가능 (바이너리 형식)
- 바이너리 형식이란?
- 기계가 읽고 처리할 수 있는 형식을 말하며 텍스트 형식과 대비되는 개념 해석하려면 전용 프로그램이나 도구가 필요
- cat으로 확인 안 되고 다른 명령어 사용

>> root 사용자가 pts/0 터미널에서 IP 주소 211.168.63.220에서 로그인하여 현재도 로그인 중

8월 22일 14시 18분에 시스템이 부팅되었고, 현재도 실행 중

7. /var/log/utmp

현재 로그인 세션과 활동 중인 사용자에 대한 정보 (현재 로그인한 사용자와 터미널, 로그인 시간, 로그인 상태 기록)
w, uptime, who 명령어 사용

>> root 계정에서 pts/0 터미널을 통해 서버에 로그인하였으며 w 명령어 실행 중

시스템이 31분 동안 실행 중이며 부하 평균이 낮음

root 사용자가 211.168.63.220에서 pts/0 터미널을 통해 로그인

8. /var/log/wtmp

로그인, 로그아웃, 시스템 부팅 및 종료 등의 이벤트를 기록하는 로그 파일
last(이전 로그인 세션) 명령어 사용

root 사용자가 pts/0 터미널에서 IP 주소 211.168.63.220에서 로그인하여 현재도 로그인 중

8월 22일 14시 18분에 시스템이 부팅되었고, 현재도 실행 중

9. /var/log/lastlog

사용자의 마지막 로그인 시간, 호스트명, 포트 기록
lastlog 명령어 사용 (바이너리 형식 파일)

>> root 사용자가 로그인한 기록이 있으며 다른 사용자는 로그인 기록 없음

10. /var/log/yum.log 또는 /var/log/dnf.log

yum(dnf) 명령 기반 패키지 설치에 대한 정보 관련 로그 파일 (패키지의 설치, 업데이트, 삭제 작업에 대한 상세 로그 포함)
dnf update 해야 폴더가 생김

11. /var/log/httpd/

Apache HTTP 서버(웹 서버)의 로그 파일이 저장되는 디렉토리
error_log 파일: httpd에서 발생하는 오류 기록
access_log 파일: HTTP를 통해 들어오는 요청 기록
yum install httpd로 해야 관련 디렉터리 생성

[root@sechoi-server httpd]# tail -f access_log
211.***.63.*** - - [21/Aug/2024:13:15:51 +0900] "GET / HTTP/1.1" 200 425 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36"
211.***.63.*** - - [21/Aug/2024:13:15:52 +0900] "GET /favicon.ico HTTP/1.1" 404 196 "<http://211.188.52.119/>" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36"
211.***.63.*** - - [21/Aug/2024:13:16:40 +0900] "-" 408 - "-" "-"

>> 첫 번째 요청: 성공

두 번째 요청: favicon.ico 파일이 없어 404 오류 발생

404 오류란?
클라이언트가 서버에 특정 파일이나 페이지를 요청했지만, 해당 파일이나 페이지가 없어서 발생

세 번째 요청: 클라이언트의 응답 시간이 초과되어 408 오류

408 오류란?클라이언트가 서버에 요청을 보내고 일정 시간 내에 요청을 완료하지 못함
Request Timeout 오류

12. /var/log/audit/

시스템에서 발생한 감사 이벤트를 기록하는 로그 파일
시스템 호출, 파일 접근, 사용자 로그인 및 로그아웃, 권한 변경 등의 보안 관련 활동이 포함

서버 이중화 및 HA / OPS / RAC

gamjadori — Wed, 28 Aug 2024 11:10:19 +0900

서버 이중화 (Duplication): 서버나 장치를 두 대 두는 것

목적

1. 장비의 성능 향상

로드밸런싱을 통해 이루어지며, Active-Active 방식으로 다운타임이 없도록 하는 것을 목표로 함.

2. 서비스의 지속성 보장

Failover이란?
장애 조치 기능으로, 평소에 사용하는 서버와 클론 서버를 가지고 있음

하나가 다운되면 다른 곳에서 서비스를 해 Failover를 하고자 하며, Active-Standby 방식

<서버 구성 방법>

1. HA (High Availability)

Active 서버와 Standby 서버에 따로 스토리지가 있기 때문에 데이터 동기화 문제 (성능 저하)
서버 2개를 이용하여 하나는 Acticve 상태, 하나는 Standby 상태로 구성하며 거의 모든 부하는 Active에서 부담 (Standby는 장애 발생 시 가동)

2. OPS (Oracle Parallel Server)

서버 모두 Active 상태로 가동되어 부하를 분산할 수 있고, 하나의 스토리지를 사용하여 HA에 있었던 동기화 문제를 해결하지만, RAC Ping 문제 발생
RAC Ping이란?
서버 1의 스토리지에서 데이터에 변경사항이 발생했을 경우, 서버 2에서 데이터를 가져오기 위해서는 반드시 디스크에 저장된 후 가져갈 수 있음. 이 과정이 작업 사항을 지연시켜 성능 저하 발생

3. RAC (Real Application Cluster)

2개 이상의 인스턴스가 하나의 스토리지에 연결된 형태로, 변경된 데이터를 디스크에 거치지 않고 바로 가져올 수 있는 Cache Fusion 기능 사용

FTP / SFTP + SFTP 서버 구축 실습

gamjadori — Tue, 27 Aug 2024 11:07:25 +0900

FTP(File Transfer Protocol) 파일 전송 프로토콜

21번 포트 (제어 포트): 클라이언트의 접속 관련 포트이며 명령어로 제어를 담당하고 있고 FTP를 사용하는 동안은 연결이 지속적으로 유지됨
20번 포트 (데이터 포트): 데이터 전송 포트로 파일을 전송할 때만 연결이 유지됨반이중 전송 방식을 이용하여 단방향 전송

A. 액티브 모드 (20 포트 사용): 21번 포트로 클라이언트에서 서버로 연결 요청 및 1024 이상의 포트로 데이터 관련 정보를 전달 → 서버에서 클라이언트로 20번 포트를 이용하여 직접 연결

- 반이중 전송 방식이란?
- 두 대의 단말기 중 한쪽이 수신하면 한쪽은 받는 방식으로, 하나의 통신 채널을 이용한다. 하지만 송수신이 정해져 있는 것은 아니며 일방통행 방식

** 서버에서 클라이언트로 연결을 하는 것이 특징이고 방화벽 문제로 연결이 안 될 가능성전이중 전송 방식을 이용해 양방향 전송

B. 패시브 모드 (1024 이상의 포트 사용): 21번 포트를 이용해 클라이언트가 서버로 연결을 요청하며 서버에 등록된 포트를 이용하여 데이터 관련 정보를 전달 → 클라이언트에서 서버로 연결

전이중 전송 방식을 이용해 양방향 전송

전이중 전송 방식이란?
동시에 데이터를 송수신하는 것이 가능하며 두 개의 통신 채널을 사용

** 단방향 전송 방식: 한 방향만으로 통신이 가능하며 송신과 수신이 고정되어 있음

SFTP(Secure File Transfer Protocol) SSH를 기반으로 한 파일 전송 프로토콜

SSH를 이용하기 때문에 데이터가 암호화되어 전송되므로 데이터의 기밀성과 무결성 보장
22번 포트 사용: 클라이언트가 서버로 22번 포트를 이용하여 연결을 요청하고 서버에서 공개키를 전송하여 신원을 증명

<SFTP 서버 구축해 보기>

ssh가 활성화 되어 있어야 함. (systemctl status ssh로 확인)
보안그룹에 22번 포트가 열려 있어야 함.

SFTP 서버의 시스템 관리 계정 추가 및 공유할 디렉터리 생성 (adduser stfptest / mkdir sftp) >> SFTP 서버는 stfptest 계정이 관리하게 하며, 공유 디렉터리는 sftp
공유 디렉터리 권한 설정 sudo chown stfptest:stfptest sftp

root@sechoi-server:~# ls -al
.
.
drwxr-xr-x  2 stfptest stfptest 4096 Aug 19 10:59 sftp

vi /etc/ssh/sshd_config로 ssh에 대한 설정 변경

Match User sftptest <사용자 ID>
		ChrootDirectory <공유할 폴더 경로>
		ForceCommand internal-sftp >> 다른 곳으로 갈 수 없고 오직 SFTP 인터페이스만 사용
		AllowTcpForwarding no >> 사용자가 SSH 포트 포워딩을 사용하지 못하게 하여, 터널링을 통한 네트워크 서비스 접근을 방지
		X11Forwarding no >> 사용자가 그래픽 사용자 인터페이스(GUI) 애플리케이션을 원격으로 실행하는 것을 방지
		PermitTunnel no
		AllowAgentForwarding no

systemctl restart ssh로 서비스 재시작으로 설정 적용

<SFTP 확인해 보기>

내 컴퓨터의 CMD로 SFTP 접속 시도 후, 디렉터리(mkdir test2)를 만들어 공유되는지 확인

sftp root@223.130.***.*** (sftp 서버 IP 주소)

cmd 창과 sftp 서버 콘솔 창에서 생성된 test2 디렉터리 생성 확인

사용할 수 있는 명령어 목록

ls 서버의 디렉토리 목록

ls	서버의 디렉토리 목록
get + 파일 명	서버에서 로컬로 파일 다운로드
put + 파일 명	로컬에서 서버로 파일 업로드
cd	위치 이동
mkdir	디렉러티 생성
rmdir	디렉터리 삭제
rm	파일 삭제
chmod	파일의 권한 변경
exit	세션 종료

[Linux] 리눅스 명령어 정리 3

gamjadori — Sun, 25 Aug 2024 10:58:45 +0900

<패킷 경로 추적> tracepath / traceroute / tcpdump

<형식>

tracepath [옵션] [도메인 또는 IP]

Best Effort 방식: 노력은 하지만 결과는 보장되지 않음
TTL을 1에서부터 하나씩 늘려가며 패킷 경로 추적
- TTL(Time to Live)이란?
  - 패킷이 폐기될 때까지의 홉 개수
  - 네트워크에서 데이터의 유효 기간을 나타내기 위한 방법으로, 라우터 간 무한정으로 패킷이 전달되는 것을 막음
  - TTL이 소진되면 해당 패킷은 폐기되고, ICMP 프로토콜로 에러 송신
tcpdump: 네트워크 트래픽을 캡처하고 분석

<옵션>

-c + 숫자	지정한 수만큼 패킷 수신
-i + 인터페이스 (eth0)	지정한 인터페이스를 통하는 패킷들의 내역 출력
-w + 파일명	캡쳐한 패킷의 정보를 지정한 파일에 바이너리 포맷으로 출력
-r + 파일명	-w 옵션으로 만들어진 파일에 기록되어 있는 정보 확인
-nn	패킷 내용 출력 시, 호스트/서비스 명이 아닌 IP 주소와 포트 번호로 출력

이더넷 인터페이스란?
- 데이터 패킷을 수신하고 송신하는 역할을 하며, 장치와 네트워크 간 통신 가능
- 네트워크 장치가 네트워크와 연결되는 물리적 또는 가상 연결 지점

<범위 지정>

scr + ip	특정 IP를 소스로 갖는 패킷 캡쳐
dst + ip	특정 IP를 목적지로 하는 패킷만 캡쳐
port + 포트숫자	특정 포트를 사용하는 패킷만 캡쳐
host + 호스트명	특정 호스트로 접속 요청한 패킷 캡쳐
network + ip / mask 서브넷마스크	네트워크와 마스크 정보 설정
tcp / udp	TCP 또는 UDP 패킷을 지정해서 캡쳐

tcpdump -r tcpdump.log: 기록된 패킷 로그 파일을 읽고 그 내용을 출력
-w 옵션으로 기록된 패킷 로그는 cat이 아닌 tcpdump -r로 출력할 수 있음

[root@sechoi ~]# tcpdump -r tcpdump.log
reading from file tcpdump.log, link-type EN10MB (Ethernet)
dropped privs to tcpdump
14:54:15.856893 IP sechoi.telnet > 223.130.157.11.58280: Flags [P.], seq 2328113098:2328113208, ack 18988359, win 209, options [nop,nop,TS val 742400039 ecr 782880544], length 110
14:54:15.858080 IP 223.130.157.11.58280 > sechoi.telnet: Flags [.], ack 110, win 845, options [nop,nop,TS val 782880568 ecr 742400039], length 0

<파일 전송>

wget / curl -O: 지정한 URL 다운로드
curl + http://주소 하면 서버의 상태를 파악할 수 있음
ftp: 파일 전송
사용 가능 명령어: ls / cd / mget / mput
scp: 파일 전송 프로토콜
scp + 보낼 파일 + 보내는ID@보내는 곳 IP:받는 위치)

<파티션 및 마운트>

parted + 대상 디바이스 > select + 대상 디바이스 > mkpart: 파티션 작성 > print 작성 확인

mount + -t (파일시스템 종류) + 디바이스 + 마운트 할 디렉터리
unmount + 마운트 디렉터리
mkfs: 파일 시스템 초기화 (mkfs -t + 파일명)
fsck: 파일 시스템 검사 (파일 시스템을 마운트 해제한 상태로 실행)

<패키지 관리 도구>

데비안 계열: apt
레드햇 계열: yum, dnf

[Linux] 리눅스 명령어 정리 2

gamjadori — Fri, 23 Aug 2024 12:55:08 +0900

<which / where>

<형식>

which / where + 명령어

which: 실행 프로그램의 위치 출력

>> /usr/bin: 쉘 명령의 실행 파일을 갖고 있는 디렉토리

whereis: 명령어 관련 파일이 어디에 위치하고 있는지

<작업 관리>

ps: 프로세스 ID 확인

ps avxw | grep + 명령어 명: 특정 명령어 프로세스 확인

>>여기서 3642가 프로세스 ID이므로, 프로세스 종료하려면 kill 프로세스 ID

&: 백그라운드에서 명령어 실행 (명령어 + &)
[1] 작업 번호 / 2571 프로세스 ID

jobs: 실행 중인 프로그램을 표시하는 명령어
- 해당 명령어로 작업 목록 확인 후, fg나 bg로 작업할 위치 지정 가능 (fg %작업번호)

프로그램 종료 방법

ctrl + z: 일시 정지 / ctrl + c: 강제 종료
kill + 프로세스 ID (ps로 확인 가능) / 작업 번호 (jobs로 확인 가능)

프로그램 작업 순서 변경

nice + NI 순서(-20~19) + 명령어: 작업 순서 변경

<crontab>

cron을 사용하려면 crond라는 데몬이 실행 중이어야 함. (처음에 이걸 몰라서 실행이 안 됐음.)

yum install -y cronie
systemctl start crond
systemctl enable crond

-e: 크론 편집기 실행 (분 시 일 월 요일)

0 1,15 * * * date >> /home1/ncloud/cron_log.txt

-l: 설정한 cron 리스트 확인 가능

-r: 등록한 cron 등록 취소

<사용자 정보 표시 (whoami / groups / id / w) 및 계정 변환>

id 했을 때 나타나는 숫자는 ID로, 사용자 ID는 겹치지 않게 표시됨
id + 사용자 입력하면 특정 사용자에 대한 로그인 상세 정보 출력
w: 로그인한 사용자 정보 표시

<디스크 용량 확인 > df, du

df: 현재 남은 용량 확인

[root@sechoi-server test]# df
Filesystem     1K-blocks        Used     Available     Use%         Mounted on
devtmpfs         3945684           0       3945684       0%         /dev
tmpfs            3964184           0       3964184       0%         /dev/shm
tmpfs            3964184        8668       3955516       1%         /run
tmpfs            3964184           0       3964184       0%         /sys/fs/cgroup
/dev/xvda2      51354116     3623548      47730568       8%         /
/dev/xvda1       1038336      257140        781196      25%         /boot
tmpfs             792836           0        792836       0%         /run/user/0
								전체 디스크  사용한 용량   여유 용량 디스크사용률     마운트 정보

du (+ 디렉터리 명): 어떤 디렉터리가 디스크를 얼마나 사용하는지

[root@sechoi-server test]# du
0       ./sechoi
0       ./sechoi2
4       .
>> 여기서 0 / 0 / 4의 숫자가 얼마나 사용하는지 표시

<환경변수 설정>

echo: 변수에 설정한 값을 확인 (echo + $환경변수)

[root@sechoi-server ~]# echo $USER
root

declare: 변수를 선언하고 속성 설정 (declare 변수명=값)
환경변수 설정
1. [변수명]=설정할 값
2. export [변수명]=설정할 값
unset: 환경 변수 삭제
source: 환경변수 적용 (source + 파일 명)
sed: 파일에서 텍스트의 패턴을 검색해 내용을 치환 / 삭제 (편집기 기능과 흡사)
1. sed ‘s/a/b’ >> 파일 명: a를 b로 바꾼 뒤 ‘파일 명’으로 파일을 만들어 저장 (첫번째로 일치하는 a를 b로 치환)
2. sed ‘s/a/b/g’ >> 파일 명: a와 일치하는 모든 내용을b로 치환하고 ‘파일 명’을 만들어 저장

[Linux] 리눅스 명령어 정리 1

gamjadori — Thu, 22 Aug 2024 17:47:58 +0900

ls -F: 파일, 디렉터리(/), 실행 파일(*), 심볼릭 링크(@) 구분 가능

cat - n: 표시할 내용에 줄 번호 추가

alias: 명령어 단축어 지정 (alias ls='ls -F')

ssh + 사용자명@ip주소: ssh 접속 방법

<파일 관리>

cp + 복사할 파일 (혹은 디렉터리) + 복사될 장소
- -i: 덮어쓰기 여부 확인
- -r: 디렉터리 통째로 복제
- -f: 강제 덮어쓰기
mv + 이동할 파일 (혹은 디렉터리) + 이동할 장소
- -f: 강제 덮어쓰기
- -i: 덮어쓰기 여부 확인
- 이름 변경 가능: mv + 이동할 파일 + 이동할 경로/변경될 이름
  - 기존에 mv 파일을 mvtest로 변경하여 파일 복사

- touch: 빈 파일 생성 / 파일 (디렉터리) 최종 갱신일 변경
  - touch + 파일 명: 파일이 기존에 존재하지 않으면 입력 시 빈 파일 생성
  - 갱신일 변경 옵션 -t: 임의 시간 지정 가능
- ls -lF로 시간 확인 가능 (기존: 8월 7일 13:21 > 변경: 2021년 11월 3일 2시 3분 변경)

find와 grep 명령어 차이점: find는 서버에서 파일 찾는 명령어고, grep는 파일 내부에 있는 내용 찾을 때 사용

[root@sechoi-server ~]# find -name mvtest
./test/mvtest

rm 명령어는 파일을 삭제하고, rmdir는 디렉터리를 삭제하지만, rm 명령어에 옵션 -r하면 비어있지 않은 디렉터리도 삭제 가능
rm -rf: 묻지 않고 파일이나 디렉터리 삭제 가능
ln -s + 파일 명: 심볼릭 링크 지정

[root@sechoi-server test]# ls -l
total 24
-rw-r--r-- 1 root root   428 Aug 16 10:55 aaaa
-rw-r--r-- 1 root root   100 Aug 16 10:52 bbb
lrwxrwxrwx 1 root root     4 Aug 16 11:15 link -> aaaa
-rw-r--r-- 1 root root    11 Aug 16 09:51 mvtest
drwxr-xr-x 2 root root     6 Aug 16 10:22 sechoi
drwxr-xr-x 2 root root     6 Aug 16 10:24 sechoi2
-rw-r--r-- 1 root root 10240 Aug 16 11:02 test.tar
[root@sechoi-server test]# ls -F
aaaa  bbb  link@  mvtest  sechoi/  sechoi2/  test.tar

sort: 텍스트 파일 내용 정렬
- 필드: 스페이스나 탭으로 구분한 텍스트 부분

uniq: 텍스트 파일 중복 제거해서 내용 출력
- (Minnesota가 두 개인 이유: 연속해서 중복됐을 때만 중복 제거됨)

wc: 파일 길이 표시 (줄 단어 글자 순서대로 표시)

diff: 파일 내 차이점 비교 (동일 이름을 가진 파일 내용 비교 가능)

diff 파일1 파일2
[결과] 2(south1)c2(south2)
파일1의 4번째 라인과 파일2의 4번째 라인이 다르다.
< Lousiana / > Texas는 두 파일의 차이점

<파일 압축>

1. 확장자: .gz

파일 압축: gzip (파일 압축하면 기존에 있던 파일은 사라지고 압축된 파일만 남음)

압축 해제: gungip
압축 풀지 않고 내용 출력: zcat

2. 확장자: .bz2

파일 압축: bzip2
압축 해제: bunzip2
압축 풀지 않고 내용 출력: bzcat

3. 확장자: .xz

파일 압축: xz
압축 해제: unzx
압축 풀지 않고 내용 출력: xzcat

.gz / .bz2 / .xz 차이점: .gz는 압축 속도가 빠르고 .bz는 큰 파일의 장기 저장과 압축률이 중요할 때 사용하며, .xz는 압축률이 중요하고 큰 파일의 저장 및 전송이 중요할 때 사용

4. tar: 여러 파일을 하나로 묶어 아카이빙 (묶은 파일이나 디렉터리 등이 사라지지 않음)

-cf: 아카이브를 생성하고, 생성된 아카이브 파일의 이름 지정
tar -cf test.tar aaaa bbb mvtest sechoi sechoi2

-x: 아카이브 풀기
아카이브 기능 뿐만 아니라 압축 기능도 제공 (gzip 압축: -z / bzip: -j)

Timeout과 3 Way-Handshake

gamjadori — Wed, 21 Aug 2024 15:02:30 +0900

<Timeout>

프로그램이 특정한 시간 내에 성공적으로 수행되지 않아서 진행이 자동적으로 중단되는 것
서버와 클라이언트가 데이터를 주고 받는 과정(3 Way-Handshake)을 수행 중, 원활하지 않으면 타임아웃이 발생

3 Way-Handshake이란?

client와 server가 본격적으로 데이터에 대한 요청과 응답을 주고 받기 전에 연결을 맺는 과정
해당 과정이 수행되면 양쪽 모두 데이터를 전송할 준비가 되었다(신뢰성 보장)는 것을 보장

<Timeout 종류>

1. Connection timeout

SYN을 보내고 ACK가 올 때까지 기다리는 동안 발생할 수 있는 타임아웃으로 서버에 연결되기까지의 소요 시간

2. Socket timeout

Server에서 데이터를 여러 개의 패킷으로 나눠 보내는 과정에서 발생할 수 있는 타임아웃으로, 나눠 보낸 각 패킷의 도착 시간이 지정한 시간을 넘기면 발생 (개별 패킷 응답 시간)

3. Read timeout: Connection 이후, 응답 받을 때까지의 소요 시간

4. Request timeout: Connection 이후, 서버가 일정 시간 동안 클라이언트가 request하지 않으면 사용하지 않는다고 간주해 Connection 단절

VPC Peering과 Transit Gateway(TGW)

gamjadori — Mon, 19 Aug 2024 15:00:06 +0900

<VPC Peering>

서로 다른 VPC 간 사설 통신을 제공하는 서비스로, 목적에 의해 VPC를 구별해 놓았다가 VPC 간 통신이 필요하거나 구성한 VPC에 사용할 수 있는 IP가 없을 때 사용
각 VPC의 CIDR 대역이 겹치면 통신이 불가능함
다른 계정 간 생성도 가능하며 다른 리전 간에도 생성 가능
실제 통신을 하기 위해서는 AWS 콘솔의 VPC의 Route Table에서 별도의 설정 필요
VPC와 VPC, VPC의 일대일 연결만 가능하기 때문에 여러 VPC를 사용하면 VPC Peering의 개수 증가

<Transit Gateway>

서로 다른 VPC 간 통신이 가능하게 하는 서비스
중앙 허브를 통해 여러 VPC의 연결 정책을 관리할 수 있고, VPN을 통해 VPC와 온프레미스 네트워크 연결 가능 >> VPC Peering보다 간소화된 네트워크 구성 가능
다른 리전 간의 Transit Gateway와 피어링 연결 가능
온프레미스와 연결 가능
- CGW(Customer Gateway)란?
- 온프레미스 네트워크의 CGD(Customer Gateway Device)의 설정 값을 VGW에 제공하기 위한 가상 게이트웨이
CGW(Customer Gateway)와 Transit Gateway를 연결하게 되면 Transit Gateway에 연결된 VPC는 VPN을 통해 온프레미스 네트워크와 통신 가능

>> VPC Peering은 VPC 일대일 통신이고 Transit Gateway는 여러 개의 VPC끼리 통신할 수 있음

가상사설망 VPN과 IPSec VPN / SSL VPN

gamjadori — Sun, 18 Aug 2024 12:00:50 +0900

<VPN> 가상사설망

IPv4의 대역 중 일부를 Private IP로 지정하여 근거리 통신망(LAN)에서 사용
IP 주소를 절약하고 별도의 네트워크를 구성해 외부와 내부의 네트워크를 분리하여 내부 네트워크 보호 > 내부 네트워크는 필요한 경우에 NAT을 이용해 사설 IP를 공인 IP로 변경해 인터넷 통신
전용회선을 사용하는 것보다 더 폭넓은 대역을 저렴하게 사용 가능
터널링 Tunneling: 공인 인터넷에서 IP 패킷을 캡슐화하고 데이터를 암호화하여 주고받는 기술

<VPN 종류>

IPSec VPN: Site to Site 방식
- 예를 들어 기업의 본사와 지사 네트워크 연결(장소 - 장소)로, 사설망과 사설망을 연결하고자 할 때도 사용
<IPSec> IP 패킷을 인증하고 암호화하는 프로토콜
1. 전송 모드(Transport): IP 헤더를 변형하지 않고 그대로 사용하면서 데이터 부분만 인증하고 보호
2. 터널 모드(Tunnel): 새로운 IP 헤더를 추가적으로 씌워 캡슐화하고 IP 패킷 전체를 인증하고 보호
- IPSec VPN의 대부분은 터널 모드를 사용
- 프라이빗 서브넷에 생성하고 라우팅 테이블 셋팅 후 IPsec VPN 설정하여 ping 테스트 진행하여 설정
<IPSec 알고리즘>
- 터널 모드를 사용할 때, 패킷에 특정 헤더를 추가하면서 암호화하며 인터넷 프로토콜의 취약점을 보완하는데, 여기에 사용되는 기술
1. AH: 패킷의 무결성 (패킷이 변질되지 않았다)과 인증에만 사용되어 암호화에는 관여하지 않음
2. ESP: 패킷 암호화 기능을 갖춘 프로토콜 헤더
3. IKE: 키 관리 프로토콜로 패킷 암호화/인증할 알고리즘과 암호화 키를 안정적으로 교환할 수 있는 과정
SSL VPN: Client to Site 방식
- 사용자가 어느 장소에서든 VPN을 통해 사설 네트워크로 접속할 수 있는 방법으로 사용 예시는 재택근무를 생각하면 됨 (웹 브라우저를 통해 접속하는 경우가 많음)
- VPN 장비를 2대 이상 필요로 하지 않음
- 접속하고자 하는 SSL VPN이 진짜인지, 인가된 사용자인지 검증하며 암호화 프로토콜 제공
- 주로 DMZ 네트워크에 존재하는데, 내부와 외부 네트워크를 모두 접하고 있어야 하기 때문 > 외부와 접하는 것은 외부 공격에 취약하기 때문에 방화벽을 함께 설치하여 운영
- SSL VPN에 공인 IP를 설정하여 SSL VPN을 외부 직접 목적지로 설정 /
- 외부 통신: SSL VPN에 공인 IP를 설정
- 내부 통신: 방화벽에서 SSL VPN의 공인 IP 보유
- 트래픽을 모두 방화벽이 감당해야 하기 때문에 트래픽 사용량이 많음
<VPN 정책 설정>
1. 사용자 트래픽 제어: 사용자의 내부 및 외부 접근 제어를 의미하며, 사용자가 인터넷 사용 시 SSL VPN이 정한 라우팅 정책을 준수해야 함
2. 사용자 인증 제어: MFA, OTP
3. 사용자 사용 환경 제어: OS 버전이나 백신 설치 여부>> 사용 환경이 보안 기준을 충족하지 않으면 접근 거부나 사용 환경을 갖출 수 있는 사이트로 리다이렉트

백업과 스냅샷의 개념 및 차이점

gamjadori — Fri, 16 Aug 2024 11:57:21 +0900

<백업 Backup>

스토리지에 저장된 데이터의 사본을 만들어 다른 곳에 위치시키는 것
데이터를 복제하는 동안 데이터가 수정/변경될 수 있어 데이터 연속성을 유지하는 데 주의

<백업 종류>

전체 백업: 데이터 변경 유무랑 상관없이 전체 데이터의 복사본을 만드는 백업 방식
차등 백업: 전체 백업 이후에 변경/추가된 데이터를 모두 포함하여 백업
증분 백업: 마지막 백업 (어떤 백업이든 상관없이) 이후에 변경/추가된 데이터만 백업하는 방식

>> 차등 백업과 증분 백업의 차이: 차등 백업은 전체 백업 기준이고, 증분 백업은 맨 처음에는 전체 백업하고, 그 뒤로 차등이든 증분이든 백업 진행된 마지막 백업을 기준으로 하여 수정된 데이터 백업 진행

<스냅샷 Snapshot>

특정 시점에 스토리지의 파일 시스템을 포착해 보관하는 기술로, 장애나 데이터 손상 시 스냅샷을 생성한 시점으로 데이터 복구 (게임 체크 포인트랑 비슷한 개념)
원본 데이터를 그대로 복사해 다른 곳에 저장하는 백업과 달리 초기 생성 시 혹은 데이터의 변경이 있기 전까지는 스토리지의 공간을 차지하지 않음
메타데이터(데이터에 대한 부가적인 정보)의 복사본에 해당하기 때문에 생성하는 데 오랜 시간이 걸리지 않고, 장애 상황이 발생해도 빠르게 데이터 복원 가능

<스냅샷 방식>

1. CoW(Copy on Write)

쓰기 작업(Write)이 있을 때 미리 확보해 놓은 스냅샷 할당 공간에 데이터를 복제(copy)

>> 실질적인 데이터 처리는 데이터가 변경되는 시점에서 이루어짐.

스냅샷 생성 시 데이터를 바로 복제하지 않고 스냅샷에 대한 메타데이터만 만들어 놓기 때문에 생성 시점에서 부하는 거의 발생하지 않음

2. RoW(Redirect on Write)

쓰기 요청(write) 발생 시 변경된 데이터 블록을 새로운 공간으로 쓰기 위치를 재지정(redirect) 하는 방식
별도의 스냅샷 할당 공간을 가지는 CoW 스냅샷과는 다르게 변경되는 데이터를 여분의 공간에 직접 쓰기를 진행해 '복사-붙여넣기' 과정 하나를 생략할 수 있어 스토리지와 CPU의 오버헤드를 줄임

<스냅샷과 백업의 차이점>

원본 데이터 종속성: 스냅샷은 원본의 완벽한 복사본이 아니기 때문에 원본 데이터가 저장된 공간에 오류가 발생할 경우 복구 불가능(스냅샷의 단점)하지만, 반면 백업의 경우 데이터 전체를 완전한 형태의 사본으로 복제해 저장하기 때문에 원본 데이터가 사라져도 백업된 시점의 데이터 복구 가능
작업에 따른 부하 및 소요 시간: 스냅샷은 전체 데이터를 복제하지 않기 때문에 스냅샷 생성 및 데이터 복원에 소요되는 시간 단축 가능 및 수정이 필요한 부분의 원본 데이터만을 입력해두기 때문에 전체를 복제하는 백업보다 오버헤드를 줄일 수 있음

>> 빈번한 업데이트를 진행하거나 데이터 수정이 잦은 경우에 스냅샷 활용