어떤 서버는 MySQL과 Redis 가 필요하고 어떤 서버는 MySQL과 PostgreSQL, RabbitMQ가 필요한데
모두 도커 컨테이너를 사용하지만 DB서버를 따로 지정할 수 있습니다. 이때 DB 서버에 MySQL, Redis, PostgreSQL, RabbitMQ를 모두
설치하고 도커 컨테이너에서는 DB서버를 가동하지 않게하여 서버를 분리하는게 보안에 이익이 있을런지요?
서버 구조는 다음과 같습니다.
Hypervisor - VM (PVHVM) -> Docker Container (WAS) - Router (I/O) - Public Internet
| | (10.0.0.0/24, 255.255.255.0)
└ VM (PVHVM) -> DB Server - Router (Outbound Only) - Public Internet
VM 간의 통신은 모두 vSwitch를 통한 내부 가상네트워크를 연결하여 이루어지고 개별 VM에 Firewalld를 설치하여 인터페이스마다 다른 Zone을 할당하였고 내부 네트워크의 통신에 필요한 포트와 소스 주소를Rich rule로 할당하고 그 외에는 모두 Drop 되도록 설정했습니다.
도커 컨테이너에서 외부로 통하는 연결은 OPNsense(pfSense 포크)의 IPS/IDS 룰을 거쳐 바깥으로 나가거나 들어오도록 되어있습니다.
이런 구조가 과연 효과가 있을지는 의문이라 이렇게 글 올려봅니다.
이 쪽 전공자도 아니고 취미로 하는 일이지만 정말 열심히 하고 있고 재미도 있습니다.
언제나 좋은 답변 감사합니다 ^-^
둘 다 해보세요.
(저는 본문의 내용중 조금만 이해되는 관계로..)
분리를 해놓으시면 물리적 기기를 두대로 분리할 때 훨씬 간편하지 않을까 싶은데..
다른 회원님들의 의견이 궁금하네요
웹서버는 공인망에 물려있고, 웹서버와 DB서버 간에는 사설망으로 연결하는 형태네요.
방화벽을 이용해서 방화벽을 이용해서 DB 서비스의 외부 접근을 차단했다면
DB서버를 분리하든, 웹서버 안에 DB서비스를 올리든 보안 측면에서는 큰 차이가 없습니다.
외부에서는 웹서버에 DB 서비스가 있는지 없는지 알 수 없기 때문입니다.
관리나 성능 측면에서는 차이가 있을 수 있어요.
한 서버에 모두 몰아 넣으면 네트워크 I/O에 대한 비용이 줄어듭니다,
근데 하나의 서비스 장애가 다른 서비스에 영향을 줄 수도 있습니다.
근데 항상 통하는 명확한 정답은 없고요, 상황에 따라 판단할 수 밖에 없습니다.
집에 pfSense 쓰는데...IPS/IDS 때문에 한번 바꿔볼까...했다가...(기억이 잘 안나는데...) 필요한 기능 중 하나가 안되어서...포기했었습니다. ㅠㅠ;;
현재는 pfSense + snort 해서...snort 룰은 유료구매해서 사용 중입니다.
(이것도 참...국내 active x 는 거의 전부 차단해서...예외처리 하느라 엄청 힘들었습니다. ㅠㅠ;;)
덧) snort 룰이 suricata 에 100% 호환되지는 않는다고 해서...일단 snort 로 구동중입니다. 가정이라서 굳이 suricata 까지 필요치는 않을것으로 생각하기도 했구요.
현재까지는 문제없이 잘 돌아가고 있습니다. ^^