안녕하세요.
현재 인텔 누크로 개인용 서버를 구축하고 있습니다.
서버의 목적은,
1) 오픈소스 게임 서버 가동,
2) DB와 서버 프로그램에 값을 넘겨주는 간단한 웹페이지 하나 게시
이렇게 두 개 입니다.
운영체제는 우분투 18.04를 사용하기로 했습니다.
구조는,
이렇게 계획 중입니다.
예전에 iptime 공유기에서 twinip 기능으로 하나의 맥주소에 외부아이피 물려줬던 경험이 있어서 같은 방식으로 서버에 외부아이피 물려주려고 합니다.
현재 생각 중인 보안 계획은,
방화벽에서 http(또는 https) 포트와 서버 프로그램 포트 두 개만 열어두고, 나머지 포트는 혹시 몰라서 incoming, outgoing 모두 닫을 계획입니다.
굳이 원격 제어는 필요 없을 것 같아서 ssh 포트도 모두 닫을 계획입니다.
또 중국발 ip는 모두 차단할 예정이고요,
서버 프로그램 포트 번호는 임의대로 설정 가능하고, http(또는 https) 포트 번호도 임의로 변경 가능하면(ssh 포트 번호 바꾸듯이) 임의대로 바꿀 계획입니다.
제가 리눅스 서버 구축이나 보안쪽으로는 배운 적이 없어서 지식이 짧아 현재까지 이렇게 계획을 짰는데요,
혹시 더 필요한 보안 조치가 있을까요?
사실 서버는 털려도 크게 상관 없는데 서버 털리면서 무선으로 사용 중인 PC와 스마트폰까지 털릴까봐 그게 가장 걱정됩니다...
도움 말씀 부탁드립니다.
그리고 안정성이랑 보안, 성능등 모든 측면에서 그런 제조사제 라우터는 무조건 걸러주세요 (가격빼면 시체고, 그조차 TP-Link보다 가성비 나은것도 아님)
방화벽은 아무짓 안 하면 기본이 차단이니 딱히 뭔가 만질 필요 없습니다 (서비스용 포트만 열면 됨)
서버를 어떻게 관리하실지는 불명이지만, SSH 필요하긴 할껍니다 (단 기본 포트는 금지고, 외부에서 접근도 못하게 하세요)
브라우저용 포트는 어지간하면 임의 지정하지마세요 (접속 귀찮고, 아무런 보템 안 됨)
그리고 저런 구조면 하나 털리면 로컬에 있는 모든 장비가 다 위험합니다
이런게 싫다면 외부에 서비스할 서버는 다른 VLan에 격리해주시고, 가능하다면 프록시 서버를 따로 둬서 패킷을 거쳐서 가게 하면 조금은 보안이 나아집니다
이외에 서버 사항이 조금 여유가 된다면 KVM 써서 각 서비스별 VM 따로 만들어서 각각 분리하면 하나가 털렸을떄 서버 전체가 털리는걸 막을 수 있습니다
사실 조금 더 고민해본 결과... 웹 서비스는 그냥 관두기로 했습니다.
웹 서비스 포트 더 열어서 웹 페이지 띄울바에 차라리 서버 프로그램에 필요한 값들을 전송하는 작은 클라이언트 프로그램을 하나 짜서 실제 서버 사용자들에게 배포하는 쪽으로 가려고요. 다소 무모한 방법 같긴 한데... 결과적으로 웹 페이지는 불특정 다수가 접속할 수 있는 반면에 추가 클라이언트로 서버에 값 보내는 것은 정말 소수(많아봐야 한국인 사용자 10명 내외)만 사용하게 될 것 같습니다. 애초에 사용자들도 한국인 10명 내외일 것 같아요.
서버 관리는 원격 제어 없이 그냥 필요할 때마다 서버 컴퓨터에 모니터랑 키보드 마우스 연결해서 제어할 생각이라 SSH는 없어도 될 것 같습니다.
결과적으로 서버 프로그램에 접속할 임의의 tcp 포트 하나만 열어두면 될 것 같습니다.
그런데 서버를 밖으로 노출 시키지 않는다는게 어떤 개념인지 잘 모르겠습니다.
혹시 서버를 밖으로 노출 시키지 않은 경우에 대한 예시를 조금 들어주실 수 있나요?
장기적으로 관리해보면 원격 되는게 편하지만, 바로 옆에 있다면 편한 방법을 쓰시면 됩니다
DMZ/Twin IP같은거 쓰지말란 애기입니다
이미 공유기를 사용하던 환경에서 서버를 추가하던거라... DMZ/Twin IP 같은 기능을 쓰지 않고 외부에서 접속할 수 있는 방법을 알아봐야겠습니다.
감사합니다.