Linux 방화벽과 패킷 경로

01규칙 관리 프로그램과 커널의 패킷 처리 지점

• NetfilterNetfilter는 커널 네트워크 처리 중 특정 지점에서 필터링·주소 변환 등을 수행할 수 있게 하는 틀이다.
• nftables·iptablesnftables와 iptables는 규칙을 표현하고 관리하는 인터페이스 계열이고, firewalld나 UFW는 서비스·영역 같은 더 높은 수준의 정책을 관리한다.

  • 따라서 패킷이 firewalld, iptables, Netfilter라는 독립된 세 방화벽을 차례로 통과한다고 그리면 구현 관계를 오해하게 된다.
• nftablesnftables에서는 테이블 아래 체인이 있고, base chain을 hook과 priority에 연결하여 실제 처리 위치를 정한다.
• 체인·규칙일반 체인은 다른 규칙이 jump 또는 goto로 호출해야 방문한다.
• 우선순위·체인같은 hook 안에서도 우선순위와 여러 체인의 평가 관계가 있으므로 한 체인의 accept가 언제나 뒤의 모든 정책을 무시하는 전역 허용이라는 뜻은 아니다.

  • drop은 그 패킷을 버리는 판단이다.

02입력·전달·출력 경로를 라우팅 결정으로 나누기

• 패킷·PREROUTING외부에서 들어온 패킷은 PREROUTING을 지나 목적지가 이 호스트인지 라우팅 판단을 받는다.
• INPUT로컬 주소로 전달되면 INPUT을 지나 소켓으로 향하고, 다른 호스트로 전달되면 FORWARD를 거쳐 POSTROUTING으로 나간다.
• 패킷·OUTPUT호스트 프로세스가 직접 생성한 패킷은 OUTPUT 경로를 사용한다.
• INPUT·규칙INPUT 규칙만 수정해도 모든 중계 트래픽이 제어된다고 생각하면 라우터나 컨테이너 환경을 설명할 수 없다.
• DNATDNAT가 목적지 주소를 바꾸면 이후 라우팅 판단이 달라질 수 있다.

  • 예를 들어 외부의 호스트 포트로 들어온 연결을 컨테이너 주소로 DNAT하면 최종 처리 경로는 호스트 INPUT이 아니라 전달 경로가 될 수 있다.
• SNATSNAT 또는 MASQUERADE는 보통 나가는 경로에서 출발지 주소를 바꾸고 응답은 연결 추적 정보에 따라 역변환된다.

  • NAT는 라우팅과 필터 정책을 자동으로 대체하지 않는다.

03연결 추적과 첫 패킷·응답 패킷의 차이

• 연결 흐름 식별conntrack은 프로토콜과 주소·포트 등의 정보를 이용하여 패킷을 연결 흐름에 연결한다.
• 연결 추적 상태NEW는 새 연결을 시작하는 흐름, ESTABLISHED는 이미 추적하는 양방향 통신의 후속 흐름, RELATED는 추적 연결과 관련된 별도 흐름, INVALID는 유효하게 연결하기 어려운 패킷이라는 정책상 분류다.
• TCP 상태와의 차이TCP 소켓의 상태 이름과 conntrack 상태가 정확히 같은 상태 기계는 아니다.
• established·related상태 기반 방화벽에서 established,related를 허용하는 규칙을 두면 허용된 요청의 응답을 간단하게 처리할 수 있다.
• 응답 허용 규칙첫 패킷을 통과시켰다는 사실만으로 방화벽이 모든 응답을 자동 허용하는 것은 아니다.

  • 허용 규칙이 실제로 있어야 한다.
• NAT·규칙NAT 규칙은 일반적으로 첫 패킷에서 연결의 변환 관계를 만들고 후속 패킷에 그 관계를 사용하므로 규칙을 바꿔도 기존 연결의 동작이 남아 있을 수 있다.

sudo nft list ruleset
sudo conntrack -L
ss -tan
# 방화벽 연결 추적과 프로세스의 TCP 소켓을 서로 다른 관점으로 읽는다.

교육용 설정·명령 예시. 실행 환경과 대상 경로를 가정하며 이 페이지를 만들면서 실행하지 않았다.

04firewalld의 zone·service·runtime·permanent

• zone·인터페이스zone은 인터페이스 또는 출발지와 정책을 연결한다. 같은 ssh 서비스 허용이라도 어떤 zone에 적용했는지, 실제 인터페이스가 그 zone에 속하는지에 따라 결과가 달라진다.
• serviceservice는 필요한 프로토콜·포트 등을 이름으로 묶어 표현하는 설정 단위이며 애플리케이션 프로세스를 시작하는 systemd service와는 다르다.
• Zone 간 정책정책 객체는 zone 사이의 전달 정책을 표현하는 데 사용할 수 있다.
• runtimeruntime은 현재 적용 중인 규칙 상태이고 permanent는 다음 로드에 사용할 저장 상태다.
• permanent--permanent로 설정을 바꾸어도 즉시 커널 규칙에 반영되지 않으며 reload가 저장 구성을 불러온다.

  • 반대로 runtime 변경을 저장하지 않으면 reload나 재부팅 때 없어질 수 있다.
• 겹치는 허용 규칙출발지 제한 rich rule을 추가해도 같은 zone 전체에 더 넓은 ssh 허용이 남아 있으면 원한 제한이 되지 않으므로 규칙 하나의 문법보다 전체 허용 집합을 보아야 한다.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --permanent --zone=public --list-all
# 두 출력은 현재 정책과 저장 정책이라는 서로 다른 상태다.

교육용 설정·명령 예시. 실행 환경과 대상 경로를 가정하며 이 페이지를 만들면서 실행하지 않았다.

05작은 nftables 예제로 규칙의 순서를 읽기

• 입력 정책 예제아래는 실습용 입력 정책의 개념 예시다.
• 기본 허용 조건loopback과 이미 허용된 연결의 응답을 처리한 뒤 문서용 관리 대역의 SSH 신규 요청을 허용하고 나머지는 기본 정책으로 버린다.
• 192.0.2.0/24192.0.2.0/24는 실제 배포에 쓰는 주소가 아니라 문서용 예시다.
• 예제의 적용 범위전체 규칙 집합을 교체하는 명령이 아니며 IPv6·ICMP·DNS·DHCP·서비스 요구를 모두 포함한 운영 정책도 아니다.
• accept·연결 추적첫 SYN이 출발지 대역과 TCP 목적지 포트 조건을 만족하면 accept되고 연결 추적 상태가 이어진다.
• 불일치 후 다음 규칙다른 출발지의 SYN은 해당 규칙에 일치하지 않아 다음 규칙 또는 체인 정책으로 간다.
• 패킷로컬 웹 서버가 127.0.0.1에만 listen한다면 외부 패킷이 방화벽을 통과해도 그 주소에서 서비스가 제공되지 않는다. 패킷 정책, listen 주소, 애플리케이션 인증은 각각 다른 조건이다.

table inet lesson {
  chain input {
    type filter hook input priority 0; policy drop;
    iifname "lo" accept
    ct state established,related accept
    ip saddr 192.0.2.0/24 tcp dport 22 ct state new accept
  }
}

교육용 설정·명령 예시. 실행 환경과 대상 경로를 가정하며 이 페이지를 만들면서 실행하지 않았다.

09통신 실패의 분리

• 통신 실패의 계층이름 해석, 경로와 게이트웨이, 소켓 바인딩, 방화벽, 애플리케이션 응답을 차례로 확인한다.
• 원격 접속 유지 조건원격 관리 중 정책을 바꿀 때는 관리 경로와 복구 수단을 먼저 확보해야 한다.
• 규칙문제 해결을 위해 전체 규칙을 지우는 방식은 다른 서비스까지 노출할 수 있다.

ss -lnt
firewall-cmd --get-active-zones
firewall-cmd --list-all

TCP 리스닝 소켓과 활성 zone, 기본 zone의 현재 규칙을 조회한다. 방화벽 조회에는 권한이 필요할 수 있다.

10호스트가 받는 패킷과 통과시키는 패킷

• 외부 클라이언트외부 클라이언트가 이 서버 자체의 웹 서비스에 접속하는 경우와 이 서버를 게이트웨이로 삼아 다른 서버에 접속하는 경우를 비교한다.
• 패킷·라우팅수신된 패킷은 관련 처리와 라우팅 판단을 거쳐 목적지가 로컬인지 전달 대상인지 결정된다.
• 인터페이스전자는 로컬 입력 경로에서 애플리케이션 소켓으로 향하고, 후자는 전달 경로를 통해 다른 인터페이스로 나간다.

  • 따라서 로컬 서비스 허용 규칙을 고쳤다고 라우터를 통과하는 트래픽도 같은 방식으로 허용된다고 볼 수 없다.
• NAT·라우팅목적지 NAT가 적용되면 라우팅 판단에 쓰이는 목적지가 원래 패킷의 목적지와 달라질 수 있다.
• NAT출발지 NAT는 응답이 돌아올 수 있도록 주소 관계를 추적하는 구성과 연결된다.
• conntrackconntrack은 원래 방향과 응답 방향의 흐름 관계를 관리하지만 패킷 내용의 안전성을 검증하는 인증 장치가 아니다.
• 라우팅·규칙도식은 설명을 위해 일반적인 IPv4 라우팅 경로를 축약했으며 실제 규칙 순서와 우선순위는 사용 중인 nftables·firewalld 설정에서 확인한다.

1. 전달 패킷 수신다른 호스트로 전달할 패킷 한 건을 가정한다. 수신 경로의 PREROUTING 처리에서 연결 추적 및 설정된 목적지 변환 등이 적용될 수 있다.
2. 라우팅으로 출력 경로 선택현재 목적지에 대한 라우팅 결과가 로컬 호스트가 아니라 다른 호스트를 가리키면 전달 경로를 선택한다. 로컬 목적지의 INPUT 경로와는 별도 분기다.
3. 전달 허용과 필터 판정IP forwarding 등 전달 조건과 FORWARD 경로에 적용되는 필터 정책을 만족해야 한다. 경로가 있어도 전달이 금지되거나 필터가 drop하면 나가지 못한다.
4. 송신 전 변환과 출력허용된 패킷은 POSTROUTING 처리를 거쳐 출력 인터페이스로 나간다. SNAT·masquerade 규칙이 있으면 그 조건에 맞춰 출발지를 변환한다.
5. 응답의 반대 방향 처리응답은 자신의 라우팅·필터 경로를 따른다. 연결 추적을 사용하는 NAT라면 기존 연결의 대응 정보로 반대 방향 변환을 적용하며, 응답 허용 정책도 필요하다.

11차단처럼 보이는 여러 실패

• 패킷연결 시간 초과는 패킷 차단뿐 아니라 잘못된 경로, 응답 경로 문제, 대상 무응답에서도 나타난다.
• 연결 거절연결 거절은 해당 지점에서 소켓이 없거나 명시적인 거절 응답을 보낸 경우의 단서이며, 둘을 동일한 방화벽 차단으로 묶지 않는다.

  • 먼저 ss로 실제 리스닝 주소와 프로토콜을 확인한다.
• 인터페이스루프백에만 듣는 서버는 외부 인터페이스의 포트를 허용해도 외부 접속을 받을 수 없다.
• firewalld·zonefirewalld에서는 기본 zone 이름만 보지 말고 현재 인터페이스와 출발지에 적용되는 zone을 대조한다.
• serviceservice 허용은 프로그램의 실행을 뜻하지 않고 포트·프로토콜 같은 정책 묶음을 뜻한다.
• runtime·permanentruntime과 permanent의 차이를 기록해 재적용 뒤 결과가 달라지는지 확인한다.
• 규칙컨테이너 포트 공개나 다른 규칙 관리 도구가 함께 사용되면 생성된 규칙과 적용 경로가 추가되므로 한 도구의 간단한 목록만으로 전체 정책을 단정하지 않는다.