개념 사전 · 프로그램

pfSense

피에프센스

는 ··상태 기반 필터링· 등을 구성하는 방화벽 플랫폼이다. 규칙이 보는 주소와 패킷 캡처 위치가 전후에 따라 달라질 수 있다.

밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.

로고: Netgate / pfSense 공식 자료. 제품 식별을 위해 표시하며 각 상표의 권리는 권리자에게 있습니다.

01무엇이고, 어떤 일을 하나

네트워크 간 허용·거부 정책을 인터페이스와 방향에 맞게 집행한다.
연결 상태와 매핑으로 반환 트래픽의 경로를 관리한다.
규칙·상태표·로그·패킷을 함께 비교해 통신 장애를 좁힌다.

02어떤 순서로 동작하나

진입과 기존 상태
패킷이 들어온 인터페이스·방향과 기존 연결 상태를 함께 본다. 이미 허용된 상태가 있는 연결과 새 연결의 정책 평가 결과는 다를 수 있다.
주소 변환과 필터
일반적인 WAN 는 목적지 변환 뒤 주소에 대해 필터 규칙을 평가한다. 인터페이스 탭 규칙은 보통 해당 인터페이스로 들어오는 트래픽을 기준으로 해석한다.
평가·상태·반환
Floating·group·interface 규칙과 조건을 고려해 허용 여부를 판단한다. 허용된 연결의 상태와 매핑은 반환 패킷 처리와 관련되므로 단순한 화면 순서 하나로 설명하지 않는다.
경로별 관찰
LAN 진입·WAN 출구 등 캡처 위치마다 보이는 주소가 달라질 수 있다. 규칙 로그·상태표의 변환 관계·시각을 결합해 같은 흐름을 추적한다.

03먼저 알아둘 용어와 구성요소

: 허용된 연결의 상태와 연관 정보를 저장하는 표.
: 주소 또는 포트를 통신 경계에서 변환하는 처리.
: 여러 인터페이스·방향에 적용할 수 있는 규칙 유형.
: 일치한 규칙에서 평가를 끝낼지에 영향을 주는 처리 속성.
: 외부 목적지 주소·포트를 내부 서비스 주소·포트로 전달하도록 바꾸는 구성.
: 해당 인터페이스로 들어오는 트래픽을 중심으로 평가하는 규칙.
: 공용 경로 위에서 논리적으로 보호된 네트워크 연결을 구성하는 기술.
: 소프트웨어·제품 생태계와 관련된 기업 이름으로 라는 프로그램 이름과는 구분한다.

LEARN THROUGH PRACTICE

인라인 차단 설정과 Apache 요청 로그를 다른 증거로 읽기

네트워크 차단 경로와 HTTP 내용 검사가 어떤 관찰 자료를 남기는지 구분한다.

실습 구성과 전제

격리 ·웹 서버의 설정과 기존 로그를 읽는다.
설정 화면과 스캔 로그는 서로 다른 환경의 비교 자료다. 한 제품이 같은 요청을 차단한 앞뒤 증거로 연결하지 않는다.

설정된 차단 방식의 위치를 확인한다
- 화면은 패키지의 Block Offenders와 Mode를 보여 준다. Inline 모드는 실제 패킷 경로와 NIC 지원 조건을 요구한다.
- 선택 상자가 켜져 있다는 사실과 드롭이 발생했다는 사실은 다르다. 경보·차단 테이블·클라이언트 결과를 연결해야 한다.
원본 크기로 보기 ↗
- Block Offenders가 체크돼 있고 IPS Mode는 Inline Mode로 선택돼 있다.
- 설명에는 Legacy가 복제 패킷을 보고 Inline은 패킷을 직접 검사한다고 적혀 있으며 지원 NIC 조건도 함께 나온다.
확인 기준
현재 실행 모드·인터페이스·드롭 규칙을 확인한 뒤 차단 효과를 판정한다.
접근 로그가 보는 HTTP 결과를 읽는다
- access log의 요청 경로·상태 코드·시각·User-Agent를 분리한다. 스캔 표식 문자열이 있다고 실제 코드 실행이 일어났다고 단정하지 않는다.
- 404는 해당 경로의 HTTP 응답 상태다. 로그 처리 과정의 취약한 해석이나 다른 부작용까지 안전하다는 뜻은 아니다.
원본 크기로 보기 ↗
- 여러 CGI·PHP 경로에 대한 GET과 대부분의 404, 별도 HEAD 요청의 200이 보인다.
- User-Agent 부분에는 스캐너 표식이 반복된다. 화면 하단의 '대부분 실패' 평가는 실제 취약점 부작용까지 증명하지 못한다.
확인 기준
감사 로그의 규칙 ID·매치 변수·액션을 추가로 확인한다.
요청 ID로 탐지와 차단을 대조한다
- 의 탐지는 변수·연산자·변환·액션 조건으로 결정된다. access log의 상태만 보지 않고 동일 요청의 감사 로그와 응답을 연결한다.
- 관찰 모드에서는 규칙이 맞아도 요청이 통과할 수 있다. 정상 표본도 함께 시험해 오탐을 좁히고 규칙 전체 비활성화를 첫 해결책으로 삼지 않는다.
shell
```
apachectl -t
journalctl -u apache2 --since today --no-pager
```
설정 문법과 서비스 오류를 조회하는 예시. 배포판에 따라 httpd 서비스와 도구를 사용한다.
확인 기준
탐지 로그 존재·disruptive action·사용자 응답을 각각 기록한다.