1nfratech1nfra Tech

[Azure] Azure Firewall, NSG, WAF 역할 정리

NSG는 서브넷과 NIC에서 IP와 포트로 거르는 L4 방화벽, Azure Firewall은 Hub에서 VNet 간 통신과 인터넷 출구를 FQDN까지 검사하는 관리형 방화벽, WAF는 웹 요청 내용을 보고 SQL 인젝션 같은 공격을 막는 L7 방화벽입니다. 셋은 대체 관계가 아니라 막는 위치가 다르기 때문에 함께 씁니다.1. 세 가지를 모두 쓰는 이유Azure에서 "방화벽"이라고 부르는 서비스가 여러 개라 처음에는 무엇을 써야 할지 헷갈립니다. 온프레미스에 비유하면 NSG는 스위치와 서버의 ACL, Azure Firewall은 데이터센터 경계의 방화벽 장비, WAF는 웹 서버 앞의 웹 방화벽 장비에 가깝습니다. 중요한 점은 각자 볼 수 있는 정보가 다르다는 것입니다. NSG는 출발지, 목적지, 포트만 보..

[Azure] VPN Gateway와 ExpressRoute 비교

VPN Gateway는 인터넷 위에 IPsec 터널을 만들어 빠르게 온프레미스와 연결하는 방식이고, ExpressRoute는 연결 공급자를 통한 전용 회선으로 대역폭과 지연을 안정적으로 가져가는 방식입니다. 둘 다 GatewaySubnet에 게이트웨이를 두고 BGP로 경로를 주고받으며, 실무에서는 ExpressRoute를 주 경로로, VPN을 백업으로 함께 쓰는 구성이 많습니다.1. 하이브리드 연결이란하이브리드 연결은 회사 데이터센터(온프레미스)와 Azure VNet을 사설 IP로 잇는 것입니다. 연결이 되면 온프레미스 서버가 Azure VM에 10.x 사설 주소로 바로 접속할 수 있고, 반대로 Azure 워크로드가 사내 DB나 AD를 쓸 수도 있습니다. Azure에서 쓰는 방법은 크게 두 가지입니다. ..

[Azure] Private Endpoint와 Service Endpoint 비교

Service Endpoint는 서브넷에서 Azure PaaS로 가는 트래픽을 Azure 백본으로 보내 주지만 목적지는 여전히 공용 엔드포인트입니다. Private Endpoint는 PaaS 리소스 하나에 VNet의 사설 IP를 붙이는 방식이라 온프레미스에서도 쓸 수 있고 공용 접근을 끌 수 있습니다. 대신 Private DNS Zone 설계가 함께 필요합니다.1. 두 방식이 필요한 이유Storage Account, SQL Database 같은 PaaS(관리형 서비스)는 기본적으로 인터넷에 열린 공용 엔드포인트로 접속합니다. VM이 VNet 안에 있어도 PaaS로 가는 연결은 공용 이름과 Public IP를 거치기 때문에, 보안 검토에서 "DB가 인터넷에 열려 있다"는 지적을 자주 받습니다. Azure는..

[Azure] Hub-Spoke 네트워크 구성

Hub-Spoke는 방화벽, VPN Gateway 같은 공용 네트워크 자원을 Hub VNet 한 곳에 모으고, 워크로드는 Spoke VNet으로 나눠 VNet Peering으로 잇는 구조입니다. Peering은 전이되지 않기 때문에 Spoke끼리의 통신과 인터넷 출구는 UDR로 Hub의 Azure Firewall을 거치게 만드는 것이 핵심입니다.1. Hub-Spoke란지난 글에서 VNet 하나에 웹과 DB 서브넷을 두는 기본 구성을 정리했습니다. 서비스가 늘어나면 VNet마다 방화벽과 VPN Gateway를 따로 두게 되는데, 이렇게 하면 비용이 VNet 수만큼 늘고 보안 정책도 여러 곳에서 따로 관리해야 합니다. Hub-Spoke(Hub 앤 Spoke)는 이 문제를 공용 자원을 한곳에 모으는 방식으로 ..

[Azure] Azure 기본 구조 정리

Azure의 모든 리소스는 테넌트 → Management Group → Subscription → Resource Group → 리소스 계층에 속하고, 정책과 권한은 이 계층을 따라 아래로 상속됩니다. 이 구조와 리전, Availability Zone, VNet만 이해하면 어떤 서비스를 쓰든 설계의 뼈대를 잡을 수 있습니다.1. Azure란Azure는 Microsoft의 퍼블릭 클라우드입니다. VM 같은 인프라(IaaS)부터 App Service, Azure SQL Database 같은 관리형 서비스(PaaS)까지 제공하며, 계정과 권한은 Microsoft Entra ID(구 Azure AD)로 관리합니다. AWS를 먼저 써 봤다면 서비스 이름보다 리소스를 묶고 관리하는 방식이 가장 낯설게 느껴집니다. ..

네이버 클라우드 플랫폼(NCP)에서 만든 리눅스 서버에 처음 접속할 때는, 콘솔에서 인증키(pem)로 관리자 비밀번호를 확인한 뒤 root로 로그인합니다.1. 관리자 비밀번호 확인1.1 비밀번호 확인 메뉴콘솔에서 접속할 서버를 선택하고 서버 관리 및 설정 변경 > 관리자 비밀번호 확인을 누릅니다.서버 관리 및 설정 변경 > 관리자 비밀번호 확인1.2 인증키 입력서버를 만들 때 받은 인증키(.pem) 파일을 넣으면 관리자 비밀번호를 알려 줍니다.인증키(pem) 파일 넣기확인된 관리자 비밀번호2. 서버 접속PuTTY 등 SSH 클라이언트로 접속해 root와 방금 확인한 비밀번호로 로그인합니다.PuTTY로 root 로그인3. 정리처음 접속할 때는 콘솔에서 인증키(pem)로 관리자 비밀번호를 확인합니다.확인한 ..

네이버 클라우드 플랫폼(NCP) 콘솔에서 공인 IP를 신청해, 이전에 만든 Micro 서버(ubuntu-server)에 연결했습니다. 공인 IP는 연결할 서버와 같은 Zone으로 신청해야 합니다.1. 공인 IP 신청1.1 신청 메뉴콘솔 왼쪽 메뉴에서 Server > Public IP > 공인 IP 신청을 누릅니다.Server > Public IP > 공인 IP 신청1.2 Zone과 적용 서버 선택Zone(KR-1 / KR-2)을 고르고, 적용 서버로 이전에 만든 Micro 서버(ubuntu-server)를 선택합니다. Zone은 서버가 있는 Zone과 같아야 합니다.Zone과 적용 서버 선택1.3 최종 확인내용을 확인하고 생성을 누릅니다.최종 확인공인 IP 신청 완료2. 결과Public IP 화면에서 공..

네이버 클라우드 플랫폼(NCP)을 체험하려고 Ubuntu Micro 서버를 만들었습니다. Micro 서버는 결제 수단 등록일로부터 1년간 무료이며, 인증키 생성과 SSH(22번 포트)를 허용한 ACG 설정까지 포함해 5~10분이면 운영 상태가 됩니다.1. 준비NCP에 회원가입 후 로그인하고 콘솔로 이동합니다. NAVER CLOUD PLATFORMcloud computing services for corporations, IaaS, PaaS, SaaS, with Global region and Security Technology Certificationwww.ncloud.com2. 서버 생성2.1 서버 생성 시작왼쪽 메뉴의 Server > Server에서 + 서버 생성을 누릅니다.2.2 이미지와 서버 타입..

KT Cloud에서 웹 서버 두 대를 만들고 로드밸런서를 연결해 Round Robin 방식으로 트래픽을 나눠 봤습니다. 헬스 체크는 HTTP로 /index.html을 확인하도록 설정했습니다.1. 배경로드밸런서는 여러 서버에 요청을 나눠 부하를 분산하는 장비입니다. 개념은 아래 글에 정리해 두었습니다. 로드밸런서(Load Balancer)로드밸런서는 서버의 부하(로드)를 분산(밸런싱)해주는 기술을 말한다. 클라이언트와 서버 사이에 위치하며, 한 대의 서버로 부하가 집중되지 않도록 트래픽을관리해 한 서버에 트래픽이 집중alsrbdmsco0409.tistory.com실습을 위해 웹 서버 두 대가 필요합니다. KT Cloud 서버 생성 방법은 아래 글을 참고해 주세요. [KT-CLOUD] 서버 생성하기오늘은 K..

AWS를 처음 접할 때 자주 보는 서비스와 용어를 온프레미스 장비에 대응시켜 정리했습니다.1. 컴퓨팅서비스대응 개념설명EC2 (Elastic Compute Cloud)서버기본이 되는 가상 서버AMI (Amazon Machine Image)OS 이미지EC2를 만들 때 사용하는 서버 이미지2. 네트워크서비스대응 개념설명VPC (Virtual Private Cloud)네트워크외부와 분리된 사설 네트워크.서브넷으로 나눠 구성Security Group방화벽인터넷에서 서버로의 접속을 허용·차단ELB (Elastic Load Balancer)로드밸런서(L4/L7)서버 이중화와 트래픽 분산인터넷 게이트웨이(IGW)라우터VPC가 외부와 통신하는 통로Public IP동적 공인 IP인스턴스를 재시작하면 바뀔 수 있음Elas..