[AWS] Bastion Host 를 활용한 SSH 접근통제 #1

작성자: -


AWS 에서 Instance 를 생성하여 사용하고 있다면 유지관리를 위하여 서버에 SSH 접속을 하는 경우가 생기게 됩니다.
기본적으로 무료로 제공되는  Security Group(SG) 을 Chaining으로 구성 하게 되면 간략하게  특정 EC2 인스턴스 에게만 SSH 접속을 허용하는 보안 구성이 가능합니다.

구성하고자 하는 모형은 아래와 같습니다.
cloudcraft - Web App Reference Architecture (1)

















[SecurityGroup을 통한 SSH 접근제어 구성]


AWS 보안 구성을 하기전에는 먼저 Security Group을 생성한 후 EC2 인스턴스 생성시 해당 Security 그룹을 적용하는 방법을 사용하는 것이 순서입니다.
하지만 이미 서버가 운영중에  추가 보안구성을 하는 경우를 감안해서 EC2 인스턴스를 먼저 생성한 후에 Security Group 설정을 진행 하겠습니다.


우선 Bastion Host 역할을 할 EC2 인스턴스를 생성해 보도록 하겠습니다.

EC2 Dashboard 로 이동해 Launch Instance 를 선택합니다.
image



Amazone Linux 를 선택 합니다.
image


Free Tier 가 적용되는 T2 Micro 를 선택하고 Review and Launch 를 선택 합니다.
image


Review 화면이 나오면 Launch 를 선택합니다.
image


Key Pair 를 새로 생성하고 Download Key Pair 를 선택하여 Key 파일을 다운로드 한후
Launch Instance 를 선택합니다.
image


View Instance를 선택하여 생성된 EC2 인스턴스를 확인 합니다.
image


인스턴스가 정상적으로 생성되었습니다.
image
접속 IP가  54.157.118.232 인  Instance 가 생성되었습니다.


동일한 방법으로 Web Server 역할을 수행할 EC2 Instance 를 생성해 보도록 하겠습니다.
image
접속 IP 가 34.224.165.38 인 instance가 생성되었습니다.
분류하기 쉽게 Name 태크에 Bastion , Web 이라고 각각 설정하였습니다. 



새로 생성된 Instance 는 아직까지 아무런 보안설정을 적용하지 않았으므로 기본적으로 SSH 접속이 가능합니다.

image



이제 두개의 인스턴스의 Security 그룹 설정을 각각 진행하도록 하겠습니다.

EC2 Dashboard 좌측 메뉴에 Security Group 을 선택하고 Create SecurityGroup을 선택  합니다.
image
Group Name 을 SG_Bastion으로 설정 하겠습니다.


Inbound TAB 에서 Add Rule 을 선택합니다.
Type 을 SSH 로 선택한 후
Source  영역에 MyIP  를 선택하면 현재 접속중인 네트워크의  공인 IP 주소가 자동으로 등록됩니다.
image
이렇게 설정하게 되면 Security Group 에서 현재 지정된 IP만 접속을 허용하게 됩니다.
별도로 특정 IP나 대역을 설정하고 싶다면 Custom 으로 입력이 가능합니다.



Create 를 선택하여 그룹 생성을 완료 합니다.
image
WebSVR 의 SecurityGroup 설정시 필요하므로
생성된 SecurityGroup의 Group-ID 를 따로 메모해 둡니다.



동일한 방법으로 Web 서버에 사용할 Security Group을
SG_Web 으로  생성하겠습니다.
image
Source 항목에 Custom 을 선택하고 아까 메모해 두었던 SG_Bastion 의 Group-ID 를 입력합니다.

이렇게 되면
SG_Bastion 그룹에 속해있는 인스턴스만 SG_Web 그룹에 속해 있는 인스턴스에 접속 가능 합니다.



이제 각각의 인스턴스에 Security-Group을 적용 하도록 하겠습니다.
다시 EC2 메뉴로 이동합니다.


Bastion Instance 를 선택하고
Action – Networking- Change Security Groups 을 선택합니다.
image



좀전에 생성한 SG_bastion 을 선택합니다.
image

같은 방식으로 Web instance 를 선택하고 SG_Web으로 SecurityGroup을 설정합니다.



이제 다시 Web 서버로 SSH 접속을 시도해 보겠습니다.
image
접속이 되지 않고  Network Error 가 발생하는 것을 확인 할 수 있습니다.



그럼 Bastion instance 로 접속해 보겠습니다.
image
Bastion Host 에 정상적으로 접속 되었습니다.



이제 Bastion Host 에서 Web 서버로 접속이 가능한지 확인해 보겠습니다.

현재 Default VPC 에서 모든 작업이 이루어 졌으므로 생성된 모든 Instance 간에는
내부 IP 를 통해 통신이 가능합니다.

Web Server 상세 정보에서 Private IPs 를 확인하여 해당 IP로 접속하도록 하겠습니다.

image

* VPC 와 Subnet 구성에 관한 내용은 차후 별도의 포스팅으로 정리하도록 하겠습니다. 



Bastion Host 에서 Web 서버로 SSH 접속을 진행합니다.

image


BastionHost 와 동일한 Key 를 사용하여 서버가 생성 되었지만 BastionHost 가 해당 키를 소유하고 있지 않기 때문에 Permission denied 가 호출되며 서버 접속이 되지 않습니다.


아래와 같이 접속이 가능하도록 인프라 설정은 모두 마무리 되었습니만 실제 서버 접속을 위해서는 Putty Pageant  설정을 추가로 진행해 주셔야 합니다.





Bastion Host : 관리자 IP 만 SSH 접속허용
Web Server   : Bastion Host 만 SSH 접속허용


Windows에서 Putty 를 활용하여 인스턴스에 접속하는 방법과
Pageant 를 활용해 EC2 접속 Key 를 분리하여 보안을 강화하는 방법은 다음 포스팅을 통해 다시 설명하도록 하겠습니다.


다음 포스팅 보러가기 ->  [AWS] Bastion Host 를 활용한 SSH 접근통제 #2







댓글

  1. Unknown2018년 10월 12일 오후 4:03

    글 잘 보았습니다. 그런데 마지막 글에 대하여 문의드릴게 있어서 코멘트 남겨요.
    "
    Bastion Host 에서 Web 서버로 SSH 접속을 진행합니다.
    동일한 서버 접속 Key로 서버가 생성되었기 때문에 별도의 설정없이 서버 접속이 가능합니다.
    "
    라고 글을 적고 사진을 하단에 넣어두셨는데요.

    사진을 보면 172.31.30.139서버에서 172.31.16.161 으로 permission denied로 접속을 못한것으로 보여서요. bash명도 [ec2-user@ip-172-31-30-139 ~] 로
    보이는데 어떤 부분으로 172.31.16.161서버로 접속되었다고 얘기하신건지 문의 드립니다.

    답글삭제
    답글
    1. 남산도서관2020년 4월 27일 오후 1:23

      내용에 일부 오류가 있었네요
      동일한 Key 로 서버가 생성되었지만 관리자가 서버 접속시에는 Pageant 설정을 통한 Key 관리가 필요합니다.
      다음 포스팅에 있는 Pageant 사용방법을 통해 Key 정보 입력 후 접속 시 문제 없이 진행 가능합니다.
      (내용 수정하였습니다)

      삭제
  2. Brogrammer Dongsuk2018년 10월 22일 오후 5:25

    캡처화면에 permission denied 라고 나오는데 접속이 안된거 아닐까요?

    답글삭제
  3. Unknown2018년 12월 28일 오후 3:50

    이거 마지막 부분 SSH permission denied 떠서 실패하셧는데요?

    답글삭제
  4. MunJu2019년 1월 30일 오후 4:10

    마지막 사진처럼 Permission denied (Publickey). 라고 뜨는데 혹시 해결 하셨나요?

    답글삭제
  5. 익명2019년 2월 13일 오전 8:43

    올리신 글 잘 보고있습니다. 다만 크롬에서 게시글이 제대로 표시되지 않는 이슈가 있는것 같네요. 잘 모르고 계신듯하여 글 남겼습니다.

    답글삭제
  6. 이런개발자2019년 11월 4일 오전 11:16

    bastion에서 instance로 ssh 연결 하실때 permission denied 되신 것 같습니다

    답글삭제

댓글 쓰기

주간 인기글

[정보] 인스타그램은 당신의 소리를 '듣고' 있을 수도 있습니다

작성자: -
이미지
[그림출처]  https://medium.com/@damln/instagram-is-listening-to-you-97e8f2c53023 인스타그램은 당신의 소리를 '듣고' 있을 수도 있습니다. 문자 그대로. SNS는 사용자들이 자발적으로 공유하는 글, 사진 등의 정보를 모아서 그 데이터를 기반으로 어떤 사용자가 무엇에 관심이 있는지 파악하여 사용자들에게 가장 관심 있을 만한 광고를 보여주곤 합니다. 몇 년 전부터 페이스북은 앱의 마이크 접근 권한 을 사용하여 핸드폰 주위의 모든 대화 등의 소리를 수집.파악하여 폰 사용자가 무엇에 관심 있는지 데이터를 얻고, 타겟 맞춤 광고에 이 정보를 활용한다고 하는 의혹을 받아왔습니다. 페이스북에 인수된 인스타그램도 마찬가지로요. 저도 가끔 의아했습니다. 어떻게 내가 검색창에서 검색한 적도 없고, 사진도 찍은 적 없고, 글로 쓴 적도 없는 어떤 것에 대해서 인스타그램이 나에게, 그것에 관해 얘기한 지 10분 만에 정확히 그와 관련된 상품을 광고로 보여줄 수가 있지? 그런데 동일한 의문을 품은 유저들이 여러 명 있었던 것 같습니다. (관련글  https://www.imore.com/how-stop-facebook-accessing-your-microphone https://medium.com/@damln/instagram-is-listening-to-you-97e8f2c53023  ) 물론  페이스북이나 인스타그램은 공식적으로 '절대로 그렇지 않다' 고 발표하지만, 그렇다고 하더라도 혹시 있을 수 있는 사생활 침해에서 앱의 마이크 접근 권한을 차단하는 것은 나쁘지 않은 것 같습니다. 만약을 위해 사생활을 보호하려면, 페이스북이나 인스타그램 앱 설정 부분에서 페이스북 앱, 인스타그램 앱의 마이크 접근 권한을 비활성화 하시면 됩니다. 1. 아이폰 또는 설정에서 아래로 스크롤해서, 인스타그램 앱을 선택한 다음, 해당 앱의 마이크 권한 비활성화를 해도...
자세한 내용 보기

[Angular] 모델, 값이 바뀌었는데 화면 template 이 업데이트 되지 않을 때 조치 팁

작성자: -
안녕하세요. 명동섞어찌개입니다. Angular 로 화면을 만들다 보면 종종 서버에서 값을 읽어와서 비동기로 화면이 업데이트 되는 상황에서, 화면에 바뀐 값이 반영되지 않는 경우가 생깁니다. 분명 ts (typescript) 의 값은 바뀌었고, 서버에도 문제가 없는데 html template 화면만 값이 제대로 표시되지 않는 경우가 있습니다. 이럴 때 사용할 수 있는 간단한 방법을 공유하려고 합니다. 1. ngIf = "flag == true" 를 씁니다. data.html 1 2 3 4 5 < div * ngIf = "data.length > 1" > < span * ngFor = "let item of data; let idx=index" > < span >{{ item }}</ span > </ span > </ div > data.ts 1 2 3 4 5 6 7 8 9 10 11 12 13 14 data = null ; . . . getData () { this . dataService . getDatas (). subscribe ( data => { this . data = data . result ; }, ( { error } ) => { } ) } 비동기로 서버에서 값을 읽어올 때, 값이 들어온 시점에 (data.length > 1) 정확히 데이터를 들고 화면을 그려주기 위해 template 쪽에 ngIf 문을 이용해서 그려줍니다. 저런식으로 화면 일부가 데이터가 계속 바뀜에 따라 지속적으로 업데이트 되어야 하는데, 값은 잘 들어오지만 template 은 새로 그려지지 않을...
자세한 내용 보기

[AWS] Lambda + API GateWay를 이용해 간단한 RESTful API 만들기 #1

작성자: -
이미지
안녕하세요. '남산 아래 개발자들' 블로그에서 막내를 담당하고 있는 남산돈가스 입니다. 이번 블로그에선 AWS에서 제공하고 있는 서비스인 API Gateway와 Lambda를 이용해 간단한 RESTful API를 만들어보는 시간을 가질 예정입니다. 내용의 이해를 돕기 위해서 #1, #2를 각각 나누어 Lambda와 API Gateway를 나누어 게시하도록 하겠습니다. 그렇다면 우선 Lambda는 무엇인가 싶으실텐데요. Lambda란? AWS Lambda를 사용하면 서버를 프로비저닝하거나 관리할 필요 없이 코드를 실행할 수 있습니다. 사용한 컴퓨팅 시간만큼만 비용을 지불하고, 코드가 실행되지 않을 때는 요금이 부과되지 않습니다. Lambda에서는 사실상 모든 유형의 애플리케이션이나 백엔드 서비스에 대한 코드를 별도의 관리 없이 실행할 수 있습니다. 코드를 업로드하기만 하면, Lambda에서 높은 가용성으로 코드를 실행 및 확장하는 데 필요한 모든 것을 처리합니다. 다른 AWS 서비스에서 코드를 자동으로 트리거하도록 설정하거나 웹 또는 모바일 앱에서 직접 코드를 호출할 수 있습니다. [출처] https://aws.amazon.com/ko/lambda/ 이 정도 설명으론 Lambda를 이해하기엔 조금 어려울 수 있을텐데요. 쉽게 얘기하자면 기존의 AWS 사용자는 EC2인스턴스를 통해서 그들의 컴퓨팅 환경을 구성하고 그 안에서 각자의 런타임환경을 통해 코드를 실행하여 백엔드서비스를 제공해왔습니다. 하지만 Lambda를 이용하면 EC2환경이 아닌 단순히 소스코드를 업로드함으로써 Lambda에서 제공하는 Runtime환경 내에서 코드들을 실행할 수 있다는 얘기입니다. 그럼, 이제부터 실제 Lambda를 이용해 간단한 소스코드를 등록하고 실행해보겠습니다. 1. AWS Console에 접속해 Lambda 검색하여 서비스 이동 2. 처음 시작한다면 Get Started No...
자세한 내용 보기

[AWS] Lambda + API GateWay를 이용해 간단한 RESTful API 만들기 #2

작성자: -
이미지
지난 시간에 이어서 Lambda + API Gateway를 이용해 간단한 RESTful API 만들기 2편을 진행하겠습니다. 이전 포스팅에서 Lambda를 이용하여 함수를 작성해보는 것 까지 진행했었는데요. 그렇다면 이번 포스팅에서는 API Gateway를 통해 요청 된 리소스들을 작성한 Lambda Function이 실행되도록 연결해보도록 하겠습니다. 먼저 API Gateway 서비스로 이동합니다. 시작을 누르고 나오는 화면에서 우리는 새로운 API를 만드려고하니까 새 API를 체크하시고 이름과 설명을 작성합니다. 작성 후 API 생성 버튼을 누르면 새로운 API Gateway가 생성됩니다. 여기까지 왔다면, 이제 실제 API를 정의하고 만들어봐야겠죠? 상단의 작업 버튼을 누르면 여러가지 작업들의 목록이 보여집니다. 여기서 먼저 리소스를 생성하겠습니다. 리소스는 말 그대로 이 API가 어떤 내용을 가지고 있는 것인지를 나타내는데요. 예를 들어 회원에 대한 API를 만드실거면 리소스이름을 member로 설정하시면 이 API의 경로는 /(루트) 하위의 member 라는 리소스를 가지게되는 것입니다. 여기선 실제로 member라는 리소스를 사용하겠습니다. 리소스를 생성하면 아래와 같이 /member라는 리소스가 생성됩니다. 그럼 이제 이 member라는 리소스에 메서드를 추가시킬 건데요. 여기서 메서드는 HTTP 메소드를 의미합니다. 기본적으로는 GET, POST, PUT, DELETE 등이 있습니다. 간단하게 알아보자면. GET – URL이 가진 정보를 검색하기 위해 서버 측에 요청하는 메소드 POST – URL에 폼 입력을 처리하기 위해 구성한 메소드 PUT – POST와 유사한 방식이며 일반적으로 웹서버에 변경을 요청하는 메소드 DELETE – 말 그대로 URL에 삭제를 요청하는 메소드 로 정리할 수 있다. 우리는 먼저 POST 메소드 부터 추가해보겠습니다. 위와 같이 작업목록에서 이번엔 메서드 생성 버튼을 누르고...
자세한 내용 보기

안드로이드에서 당겨서 새로고침(SwipeRefreshLayout) 쉽게 구현하기

작성자: -
앱을 개발 하다보면 필수 기능중에 하나가 보고 있는 리스트나 상세 페이지등을 새로고침 하는 것 입니다. 몇년 전 까지만 하더라도 새로 고침 기능이라고 하면 아이폰 처럼 뷰를 당기면 공간이 벌어지면서 새로고침 하는 방식을 많이 사용 했습니다.(여전히 이 방법을 사용하는 앱은 많습니다.) 해당 새로고침을 기능을 제공 하려면 개발가 하나하나 구현 해야해서 쉽지 않은 기능 중 하나였습니다. 하지만 지금은 android 레이아웃중 SwipeRefreshLayout을 제공하여 레이아웃만 추가한다면 별다른 구현 없이도 위에서 아래로 내려오는 새로고침 기능을 사용 할수 있게 되었습니다. SwipeRefreshLayout을 간단하게 구현하는 샘플 코드를 작성해 보겠습니다. 1단계 : 레이아웃 새로고침이 될 뷰를 SwipeRefreshLayout으로 자식뷰로 만듭니다.       <android.support.v4.widget.SwipeRefreshLayout android:layout_width="match_parent" android:layout_height="match_parent" android:id="@+id/swipe_refresh"> <WebView android:layout_width="match_parent" android:layout_height="match_parent" android:id="@+id/webView"></WebView> </android.support.v4.widget.SwipeRefreshLayout> 2단계 : 새로고침 이벤트 해당 뷰 영역을 위에서 아래로 당기면...
자세한 내용 보기