보안¶

인프라 전반의 보안 정책과 구현 현황을 정리합니다.

네트워크 보안¶

방화벽 정책¶

인터페이스별 화이트리스트 방식으로 포트를 관리합니다.

기본 정책은 deny all이며, 각 서비스 모듈이 필요한 포트만 인터페이스별로 개방합니다.

Bastion 아키텍처¶

eta가 유일한 인터넷 노출 SSH 호스트입니다. 다른 호스트(psi, rho, tau)는 wg-admin 인터페이스에서만 SSH를 수신합니다.

flowchart LR
  inet["인터넷"] -- "포트 10022" --> eta["eta<br/>jump.sjanglab.org"]
  eta -- "wg-admin" --> psi["psi<br/>10.100.0.2"]
  eta -- "wg-admin" --> rho["rho<br/>10.100.0.3"]
  eta -- "wg-admin" --> tau["tau<br/>10.100.0.4"]

SSH 속도 제한¶

eta에 적용되는 방어 계층:

flowchart TD
  conn["SSH 연결 시도"] --> ipt{"iptables<br/>60초 내 NEW 5회 초과?"}
  ipt -- "초과" --> drop["즉시 DROP"]
  ipt -- "통과" --> sshd["sshd 인증"]
  sshd -- "성공" --> ok["접속 허용"]
  sshd -- "실패" --> log["sshd 로그 기록"]
  log --> f1["fail2ban sshd<br/>10분 내 3회 → 24시간 차단"]
  log --> f2["fail2ban aggressive<br/>24시간 내 공격 패턴 → 7일 차단"]

iptables(연결 빈도)와 fail2ban(인증 실패 로그)은 독립적인 병렬 계층입니다. iptables는 TCP 연결 시점에 즉시 판단하고, fail2ban은 sshd 로그를 감시하여 사후 차단합니다.

화이트리스트: 10.0.0.0/8 (내부 네트워크), 다른 호스트의 공인 IP.

WireGuard VPN 분리¶

두 네트워크는 독립적이며, wg-admin은 관리자(wheel 그룹)만 접근합니다.

계정 및 권한 정책¶

사용자 계층¶

Root 접근 정책¶

root의 authorized_keys에는 관리자 키만 등록됩니다 (modules/users/admins.nix).

시스템 계정¶

서비스별로 전용 시스템 계정이 분리되어 있습니다.

Nix 권한¶

SSH 보안¶

알고리즘 정책¶

세션 정책¶

SSH CA 인증서¶

호스트 키는 CA로 서명되어 있어 known_hosts에 CA 공개키만 등록하면 모든 호스트를 신뢰할 수 있습니다.

@cert-authority *.sjanglab.org ssh-ed25519 AAAAC3...

설정 위치: modules/sshd/certs/

비밀 관리¶

sops-nix + age¶

모든 비밀은 age(Curve25519) 암호화로 보호됩니다. 호스트별 age 키와 관리자 키가 각 비밀 파일을 복호화할 수 있습니다.

비밀 편집¶

# 비밀 편집 (age 키 자동 사용)
sops hosts/psi.yaml

# 키 교체 후 재암호화
sops updatekeys hosts/psi.yaml

자세한 내용은 비밀 관리를 참조합니다.

TLS 인증서¶

모든 도메인은 eta에서 Let's Encrypt ACME + Cloudflare DNS 챌린지로 인증서를 발급합니다. 다른 호스트에서 사용하는 인증서는 acme-sync 서비스가 rsync로 동기화하고, 대상 호스트의 systemd path unit이 파일 변경을 감지하여 nginx를 자동 리로드합니다.

인증서 동기화: eta에서 발급 → acme-sync 서비스가 rsync로 대상 호스트에 전송 → systemd path unit이 변경 감지 → nginx 자동 리로드.

데이터 보안¶

PostgreSQL¶

Borgbackup¶

감사 및 모니터링¶

auditd¶

Linux 감사 데몬으로 다음을 추적합니다:

로그: /var/log/audit/audit.log (최대 8MB × 2)

로그 파이프라인¶

flowchart LR
  src["auditd / journald"] --> vec["Vector"]
  vec --> loki["Loki (rho)"]
  loki --> graf["Grafana"]
  graf --> ntfy["ntfy (알림)"]

시스템 안정성¶

자동 업그레이드¶

서비스 복구¶

systemd가 서비스 실패 시 자동 재시작합니다. 모니터링은 Gatus(gatus.sjanglab.org)에서 헬스체크를 수행합니다.