[RHEL8-9] TCP Wrapper 없이 방화벽(Firewall)과 SSH로 IP 및 포트 제한하기

리눅스 서버의 보안 취약점 조치 항목 중 하나는 '접속 IP 및 포트 제한'입니다. SSH, Telnet, FTP 같은 주요 서비스는 외부로 노출될 경우 시스템 정보가 탈취될 위험이 있기 때문에, 방화벽(Firewall)을 통해 허용된 IP만 접근하도록 제어하는 것이 필요합니다.

RHEL 7까지는 TCP Wrappers 기능을 통해 이런 접근 제어를 설정했습니다. 하지만 RHEL 8부터는 hosts.allow 및 hosts.deny 파일이 제거되면서, 이제는 방화벽을 통해 접근 제한을 구현해야 합니다.


TCP Wrappers 제거와 그 대안

기존에는 아래와 같은 방식으로 sshd 접근을 제한할 수 있었습니다 <RHEL7 이하>
# cat /etc/hosts.deny
sshd : 59.63.166.102
sshd : 141.
sshd : 50.

이 설정은 지정된 IP 또는 IP 대역의 클라이언트만 SSH 접근을 차단하는 효과가 있었으며, 방화벽 설정과는 별개로 동작했습니다.

그러나 RHEL 8부터는 TCP Wrappers 기능이 더 이상 지원되지 않습니다. Fedora 프로젝트에서도 아래와 같은 이유로 해당 기능의 제거를 공식화했습니다.

TCP Wrappers는 20년 전에는 유용한 보안 도구였지만, 오늘날의 리눅스 환경에서는 iptables나 nftables 같은 네트워크 레벨 방화벽 도구가 더 효과적이며, TCP Wrappers는 유지 관리나 보안 대응 측면에서 더 이상 적절하지 않습니다.

 

TCP Wrappers 없이 SSH 접근 제한하기

TCP Wrappers가 사라진 이후, SSH 접근 제어는 주로 방화벽(firewalld)을 통해 수행해야 합니다. 다만 방화벽을 사용하지 않거나 별도의 보안 정책이 필요한 경우, 다음과 같은 대안이 있습니다

  1. 서비스 자체의 접근 제한 기능 활성화
  2. 리눅스 방화벽 설정
  3. 외부 방화벽 설정

서비스가 자체적으로 제공하는 접근 제한 기능이 있다면 해당 기능을 우선적으로 활용하는 것이 좋습니다. 그렇지 않은 경우에는 시스템 수준에서 방화벽을 통해 IP 접근을 제어해야 합니다.

 

SSH 자체 접근 제한 기능 활성화

환경

Red Hat Enterpriese Linux 7

Red Hat Enterpriese Linux 8

Red Hat Enterpriese Linux 9

 

SSH 데몬(sshd)은 AllowUsers 지시어를 통해 특정 사용자 또는 IP 대역에서만 접근을 허용하는 기능을 제공합니다. 아래는 해당 기능에 대한 man 페이지 설명입니다

# man sshd_config
...
     AllowUsers
             This keyword can be followed by a list of user name patterns, separated by spaces.  If speci‐
             fied, login is allowed only for user names that match one of the patterns.  Only user names are
             valid; a numerical user ID is not recognized.  By default, login is allowed for all users.  If
             the pattern takes the form USER@HOST then USER and HOST are separately checked, restricting
             logins to particular users from particular hosts.  HOST criteria may additionally contain
             addresses to match in CIDR address/masklen format.  The allow/deny directives are processed in
             the following order: DenyUsers, AllowUsers, DenyGroups, and finally AllowGroups.

즉, USER@HOST 형식을 사용하면 IP 주소(CIDR 포함) 기준으로 SSH 접근을 제한할 수 있습니다.

 

/etc/ssh/sshd_config 파일에 AllowUsers 항목을 추가하면 특정 IP 또는 IP 대역에서만 SSH 접근을 허용할 수 있습니다. 기본적으로 해당 항목은 비어 있으므로 직접 추가해야 합니다.

# vim /etc/ssh/sshd_config
...
AllowUsers *@192.168.180.*
AllowUsers *@192.168.155.92
AllowUsers *@192.168.155.88

# systemctl reload sshd

sshd의 경우 reload를 제공합니다. reload는 restart와 다르게 프로세스 종료 없이 설정을 불러오기 때문에 PID가 변경되지 않습니다. 따라서 연결되어 있는 다른 서비스와의 관계를 유지하게 해주는 유용한 기능입니다.

 

AllowUsers를 사용하게 되면 이제 지정된 IP 이외의 다른 곳으로부터의 접속은 차단되게 됩니다. 만약 차단된 대역에서 접근하면 아래와 같이 Permission denied로 표시되게 됩니다.

# ssh 192.168.155.76
root@192.168.155.76's password:
Permission denied, please try again.

 

Firewalld 를 이용한 SSH 접근 제한

firewalld는 매우 유연한 방화벽 도구로, 사용자의 목적에 따라 다양한 IP 제한 정책을 설정할 수 있습니다. 이 절에서는 두 가지 대표적인 방식으로 접근 제한 방법을 설명합니다.

  1. 모든 서비스를 활성화하고 SSH만 IP를 제한하는 방법
  2. firewalld의 다른 서비스는 건드리지 않고 SSH만 제한하는 설정

 

[Firewall 방법-1] 모든 대역 허용하고 SSH만 제한하기

이 방법은 방화벽 사용을 원하지 않고 SSH만 접근 제어하고 싶은 경우에 사용할 수 있습니다. Firewalld를 안 쓰는 것이 아니라 Firewalld를 기동한 뒤에 모든 포트를 허용하는 방식입니다. 대부분의 기업들이 외부 방화벽을 사용 중이기 때문에 리눅스 방화벽은 꺼두는 그런 환경에서 유용합니다. 이렇게 리눅스에서 모든 포트를 오픈하면 외부 방화벽에 의해서만 제어가 가능합니다.

 

순서

  • 방화벽 활성화
  • SSH를 제외한 모든 포트 허용
  • SSH 포트 IP 제한

 

설정을 시작하기 전에 방화벽을 잘못 건드리면 SSH 접속이 안될 수 있으므로 콘솔에서 작업을 권장 드립니다.

  1. 방화벽 시작: 가장 처음 방화벽 서비스를 기동합니다.
    [root@rhel8 ~]# systemctl enable firewalld --now
Created symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service → /usr/lib/systemd/system/firewalld.service.
Created symlink /etc/systemd/system/multi-user.target.wants/firewalld.service → /usr/lib/systemd/system/firewalld.service.
  2. SSH 서비스 차단SSH의 경우 기본으로 활성화되어 있을 수 있는데, 22번 포트는 나중에 특정 IP 대역에서만 오픈할 예정이므로 미리 차단합니다.
    [root@rhel8 ~]# firewall-cmd --remove-service=ssh --permanent
success
[root@rhel8 ~]# firewall-cmd --reload
success

[root@rhel8 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: enp1s0
  sources:
  services: cockpit dhcpv6-client dns
  ports:
  protocols:
  forward: no
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

    --list-all 명령을 이용해 현재 설정 내역을 확인해 보면 “ssh”가 사라진 걸 보실 수 있습니다. 이제 리눅스 방화벽에 의해 22번의 접근은 모두 차단됩니다.

  3. ssh를 제외한 모든 포트 오픈
    [root@rhel8 ~]# firewall-cmd --permanent --add-port=1-21/tcp
success
[root@rhel8 ~]# firewall-cmd --permanent --add-port=1-21/udp
success
[root@rhel8 ~]#  firewall-cmd --permanent --add-port=23-65535/tcp
success
[root@rhel8 ~]# firewall-cmd --permanent --add-port=23-65535/udp
success
[root@rhel8 ~]# firewall-cmd --reload
success

    [root@rhel8 ~]# firewall-cmd --permanent --add-port=1-21/tcp
success
[root@rhel8 ~]# firewall-cmd --permanent --add-port=1-21/udp
success
[root@rhel8 ~]#  firewall-cmd --permanent --add-port=23-65535/tcp
success
[root@rhel8 ~]# firewall-cmd --permanent --add-port=23-65535/udp
success
[root@rhel8 ~]# firewall-cmd --reload
success

    --permanent 옵션을 추가하면 설정 파일에만 룰이 적용되므로, 현재 런타임 환경에 적용하려면 firewall-cmd --reload 명령을 사용해야 합니다.

    이제 다시 조회해보면 22번 포트를 제외한 전체 포트가 오픈되어 있는 것을 확인할 수 있습니다.

    [root@rhel8 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: enp1s0
  sources:
  services: cockpit dhcpv6-client dns
  ports: 1-21/tcp 1-21/udp 23-65535/tcp 23-65535/udp
  protocols:
  forward: no
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
  4. 특정 대역만 ssh허용 <rich Rule>firewalld는 리치 규칙(Rich Rule)을 이용해 기본 firewalld 구문으로 할 수 없는 유연한 사용자 지정 방화벽 규칙을 작성할 수 있습니다.
    [root@rhel8 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.155.0/24 service name=ssh accept' --permanent
success
[root@rhel8 ~]# firewall-cmd --reload
success

    위 명령은 192.168.155.0/24 대역에서 접근하는 IP만 허용하는 리치 규칙을 설정하는 예제입니다.

    <리치규칙 사용 방법>

    • -add-rich-rule='<RULE>': 지정된 영역 또는 기본 영역에 <RULE>을 추가합니다.
    • -remove-rich-rule='<RULE>': 지정된 영역 또는 기본 영역에서 <RULE>을 제거합니다.

    리치 규칙 제거는 아래와 같이 생성 명령어에서 add를 remove로 변경하면 됩니다.

    # firewall-cmd --remove-rich-rule='rule family=ipv4 source address=192.168.155.0/24 service name=ssh accept' --permanent

    적용된 방화벽 규칙을 조회하면 맨 아래에 리치 규칙이 정상적으로 설정된 것을 확인할 수 있습니다. 이제 이 서버의 SSH는 192.168.155.0/24 소스를 가진 서버에서만 가능합니다.

    [root@rhel8 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: enp1s0
  sources:
  services: cockpit dhcpv6-client dns ftp
  ports: 1-21/tcp 1-21/udp 23-65535/tcp 23-65535/udp
  protocols:
  forward: no
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="192.168.155.0/24" service name="ssh" accept

 

[Firewall 방법-2] 기존 방화벽 설정 유지, SSH만 별도 제한

이미 firewalld가 활성화되어 있고 다른 서비스도 방화벽을 통해 제어 중이라면, 기존 설정을 유지하면서 SSH에 대해서만 접근 제어를 추가하는 방식이 적절합니다. 이때도 Rich Rule을 사용하여 IP별 접근을 지정할 수 있습니다.

 

순서:

  • firewalld에서 SSH 포트 제거
  • 리치 규칙을 이용해 SSH 포트에 접속할 IP 추가

  1. 기존 SSH 포트 제거
    [root@rhel8 ~]# firewall-cmd --remove-service=ssh --permanent
success
[root@rhel8 ~]# firewall-cmd --reload
success
  2. rich Rule 추가리치 규칙은 원하는 만큼 계속 추가할 수 있습니다. 접근 가능한 IP 대역은 물론 특정 IP를 지정해서도 추가할 수 있습니다.
    [root@rhel8 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.155.92 service name=ssh accept' --permanent
success
[root@rhel8 ~]# firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.155.76 service name=ssh accept' --permanent
success

[root@rhel8 ~]# firewall-cmd --reload
success

    아래는 두 개의 리치 규칙이 설정된 모습입니다.

    [root@rhel8 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: enp1s0
  sources:
  services: cockpit dhcpv6-client dns ftp
  ports: 1-21/tcp 1-21/udp 23-65535/tcp 23-65535/udp
  protocols:
  forward: no
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="192.168.155.76" service name="ssh" accept
        rule family="ipv4" source address="192.168.155.92" service name="ssh" accept

    방화벽에서 접근이 거부되는 경우 아래와 같은 오류가 발생합니다.

    [root@rhel82 ~]# ssh 192.168.155.88
ssh: connect to host 192.168.155.88 port 22: No route to host

     

마치며

TCP wrappers 기능은 이제 firewalld로 대체되었지만, 대부분의 리눅스 시스템에서 firewalld를 사용하지 않아 보안 취약점 조치 시 처리 방안에 대한 고민이 생기기 마련입니다. sshd는 자체적으로 접속 제한 기능을 제공하지만, vsftpd와 같이 그런 기능이 없는 경우 리눅스 firewalld로 진행하거나 예외 처리를 고려해야 합니다. 다행히 많은 사람들이 사용하는 sshd는 IP 제한 기능을 제공하고 있습니다.

 

참고

https://access.redhat.com/documentation/ko-kr/red_hat_enterprise_linux/9/html/securing_networks/making-openssh-more-secure_assembly_using-secure-communications-between-two-systems-with-openssh [ssh AllowUsers]

https://www.notion.so/RHEL8-TCP-Wrapper-SSH-IP-c09ef1069a874de5bc0d95894ef6cf24?pvs=4#9019224341c6416c9f7e69b12b3c1456 [rich Rule]

https://fedoraproject.org/wiki/Changes/Deprecate_TCP_wrappers [fedora TCP Wrappers]

댓글

댓글 쓰기

이 블로그의 인기 게시물

[Linux] RHEL Local YUM Repository 구성

이미지
RHEL(Redhat Enterprise Linux)에 Local YUM Repository 구성하는 방법에 대하여 설명합니다. 레드햇 리눅스 같은 경우 기업환경의 인터넷이 되지 않는 환경에서 사용되는 경우가 많은데 Local YUM Repository를 구성하여 패키지를 쉽게 설치할 수 있습니다.   테스트 환경 • Red Hat Enterprise Linux (RHEL)   Local YUM Repository 구성 목적 Local YUM Repository를 구성하는 방법에 여러 가지가 있지만 가장 간단한 방법인 설치 CD를 이용해 구성하는 방법에 대해 소개합니다. 주로 이 방법은 OS 엔지니어가 RHEL을 설치 후 사용하며, local repo를 서버에 구성한 뒤 철수합니다. 그러면 애플리케이션 측에서 추가 패키지를 요청하여도 서버 관리자분들이 yum 명령어를 사용하여 쉽게 서버에 설치할 수 있습니다.   Local YUM Repository 설정 레드햇 설치 CD에는 기본 RHEL 서브스크립션에서 제공하는 RPM 패키지들이 모두 포함되어 있습니다. 따라서 RHEL을 설치한 버전과 동일한 ISO 파일 이 준비되어 있어야 하며, 이를 통해 로컬 저장소를 구성할 수 있습니다.   VMware Workstation을 기준으로 설명하자면, RHEL ISO 파일을 가상 머신에 마운트 하면 됩니다. ISO 파일이 마운트되면 시스템은 자동으로 /dev/sr0 장치를 생성하게 되며, 이는 udev 에 의해 처리됩니다.   CD가 삽입되면 시스템에서는 /dev/sr0 장치를 자동으로 생성합니다. 이 장치는 **광학 디스크 장치(CD/DVD)**로 인식되며, 이를 확인하는 가장 쉬운 방법은 lsblk 명령어를 사용하는 것입니다. # lsblk NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINTS sda 8:0 0 2G 0 disk └─mpatha ...
자세한 내용 보기

[Linux Command] sudo command 설명

이미지
  이번 글에서는 Linux 명령어 중 sudo 명령어에 대해 알아보겠습니다. 일반 사용자에게 "root" 권한을 부여하려면 보통 root 계정의 비밀번호를 제공해야 합니다. 이후 사용자는 su 명령어를 통해 root 계정으로 로그인할 수 있습니다. root 계정은 시스템 내 모든 명령을 실행할 수 있는 강력한 권한을 가지고 있기 때문에, 신중한 관리가 필요합니다. 리눅스에 익숙하지 않은 사용자가 root 권한을 사용할 경우, 시스템 운영에 필요한 핵심 파일이 삭제되거나 권한 설정이 변경되는 등의 사고가 발생할 수 있습니다. sudo 기능을 사용하면 root 전체 권한이 아닌 특정 명령어만 일반 사용자에게 허용할 수 있어 이러한 위험을 줄일 수 있습니다. 또한, 사용 권한은 부여하되 root 비밀번호를 공개하지 않아도 된다는 점도 sudo 의 중요한 장점 중 하나입니다.   환경 : Red Hat Enterprise Linux (RHEL)   sudo command 개념 명령어 사용법을 보기 전에, sudo 명령어로 어떤 작업이 가능한지 먼저 알아보겠습니다. 일반 사용자가 /etc/shadow 파일을 열려고 하면 권한 부족으로 인해 파일을 열 수 없습니다. 아래는 실제 출력 예시입니다. 일반유저로 shadow파일 오픈 실패 [user1@localhost ~]$ cat /etc/shadow cat: /etc/shadow: Permission denied 또한 mount 명령어도 일반 사용자 권한으로는 실행할 수 없습니다. 일반 유저로 mount 명령 실패 [user1@localhost sbin]$ mount /dev/sr0 /media mount: only root can do that 이제 일반 사용자에게 mount 명령어만 sudo 를 통해 root 권한으로 실행할 수 있도록 설정해보겠습니다. [user1@localhost ~]$ sudo mount /dev/...
자세한 내용 보기

[Ansible Modules] Fetch module 설명 및 활용

이미지
  Ansible modules 중 하나인 Fetch module에 대해 알아보겠습니다. Fetch는 관리 대상 노드에서 제어 노드로 파일을 복사해 오는 데 사용되는 모듈입니다 Fetch module 이란 Fetch는 영어로 "가져오다"라는 의미입니다. Ansible의 copy 모듈과 반대로 동작하는 기능으로, copy 가 제어 노드에서 관리 노드로 파일을 전송하는 데 사용된다면, fetch 는 그 반대 방향으로, 관리 대상 노드의 파일을 제어 노드로 복사해 오는 데 사용됩니다. 여기서 제어 노드(control node)는 Ansible을 실행하는 노드를, 관리 노드(managed node)는 Ansible로 관리되는 대상 시스템을 의미합니다. Ansible modules(fetch_module) Fetch module 옵션   fetch 모듈에서 주로 사용되는 주요 옵션은 다음과 같습니다: src : 관리 대상 노드에서 복사해 올 파일의 경로입니다. dest : 제어 노드에 파일을 저장할 경로입니다. flat (기본값: false ) false : {{ inventory_hostname }}/path/to/file 형태의 디렉토리 구조로 파일이 저장됩니다. 호스트별로 디렉토리가 생성되므로 여러 노드에서 같은 파일 경로를 가져올 때 유용합니다. true : 파일 경로 구조 없이 파일만 단순 복사됩니다. 이름이 같은 파일은 덮어써지기 때문에, 관리 노드가 하나이거나 파일명이 충돌하지 않는 경우에 적합합니다. 또한 디렉토리를 지정할 경우 dest 경로 끝에 슬래시( / )를 반드시 붙여야 합니다. Fetch module 사용 방법 예제에서는 다음과 같은 인벤토리 파일을 사용합니다. [test] rocky86.lab.example.com rocky84.lab.example.com   예제 1. 기본값( flat: false )으로 파일 가져오기 fetch  모듈을 이용해 관리 노드의...
자세한 내용 보기