보안¶

인프라 전반의 보안 정책과 구현 현황을 정리합니다.

네트워크 보안¶

방화벽 정책¶

인터페이스별 화이트리스트 방식으로 포트를 관리합니다.

기본 정책은 deny all입니다. 단, wg-admin은 networking.firewall.trustedInterfaces에 등록되어 호스트 방화벽이 모든 트래픽을 허용합니다. wg-admin 서비스는 listen address와 WireGuard peer 관리로 노출 범위를 제한합니다. 퍼블릭·Headscale 인터페이스는 각 서비스 모듈이 필요한 포트만 개방합니다.

Bastion 아키텍처¶

eta가 유일한 인터넷 노출 SSH 호스트입니다. Upterm relay도 eta의 2323/tcp에서만 외부에 노출됩니다. 다른 호스트(psi, rho, tau)는 wg-admin 인터페이스에서만 SSH를 수신합니다.

flowchart LR
  inet["인터넷"] -- "포트 10022" --> eta["eta<br/>jump.sjanglab.org"]
  inet -- "포트 2323" --> eta
  eta -- "wg-admin" --> psi["psi<br/>10.100.0.2"]
  eta -- "wg-admin" --> rho["rho<br/>10.100.0.3"]
  eta -- "wg-admin" --> tau["tau<br/>10.100.0.4"]

SSH 연결 보호¶

eta는 공개키 인증만 허용합니다. 순차 연결 횟수 기반 방화벽 제한은 정상적인 관리자 접속과 병렬 배포를 차단하므로 사용하지 않습니다.

flowchart TD
  conn["SSH 연결 시도"] --> startup{"sshd MaxStartups<br/>동시 미인증 연결 용량"}
  startup -- "용량 초과" --> shed["확률적 연결 거부"]
  startup -- "통과" --> sshd["공개키 인증"]
  sshd -- "성공" --> ok["접속 허용"]
  sshd -- "실패" --> f2b["fail2ban sshd"]

재차 차단되는 IP는 전체 jail 이력을 기준으로 차단 시간이 지수 증가하며 최대 7일까지 늘어납니다. 단순 TCP 연결 종료를 공격으로 간주하는 aggressive jail은 사용하지 않습니다.

WireGuard VPN 분리¶

두 네트워크는 독립적입니다. wg-admin peer key는 인프라 호스트와 승인된 관리자 기기에만 배포합니다. 일반 사용자는 wg-admin peer가 되지 않으며, SSH가 허용된 사용자는 eta bastion을 통해 대상 호스트의 wg-admin 주소로 접속합니다.

계정 및 권한 정책¶

사용자 계층¶

Root 접근 정책¶

root의 authorized_keys에는 관리자 키만 등록됩니다 (modules/users/admins.nix).

시스템 계정¶

서비스별로 전용 시스템 계정이 분리되어 있습니다.

Nix 권한¶

일반 연구원·학생 계정은 nix shell, nix run, nix develop을 사용할 수 있지만 trusted user 권한은 없습니다. allowed-users는 SSH 로그인이나 호스트 접근 권한을 부여하지 않습니다.

SSH 보안¶

알고리즘 정책¶

세션 정책¶

SSH CA 인증서¶

호스트 키는 CA로 서명되어 있어 known_hosts에 CA 공개키만 등록하면 모든 호스트를 신뢰할 수 있습니다.

@cert-authority *.sjanglab.org ssh-ed25519 AAAAC3...

설정 위치: modules/sshd/certs/

비밀 관리¶

sops-nix + age¶

모든 비밀은 age(Curve25519) 암호화로 보호됩니다. 호스트별 age 키와 관리자 키가 각 비밀 파일을 복호화할 수 있습니다.

비밀 편집¶

# 비밀 편집 (age 키 자동 사용)
sops hosts/psi.yaml

# 키 교체 후 재암호화
sops updatekeys hosts/psi.yaml

자세한 내용은 비밀 관리를 참조합니다.

TLS 인증서¶

대부분의 도메인은 eta에서 Let's Encrypt ACME + Cloudflare DNS 챌린지로 인증서를 발급합니다. Nixbot 공개 ingress는 eta에서 인증서를 발급하고, psi의 Nixbot 스택도 내부 nginx용 인증서를 유지합니다. 다른 호스트에서 사용하는 인증서는 acme-sync 서비스가 rsync로 동기화하고, 대상 호스트의 systemd path unit이 파일 변경을 감지하여 nginx를 자동 리로드합니다.

인증서 동기화: eta에서 발급 → acme-sync 서비스가 rsync로 대상 호스트에 전송 → systemd path unit이 변경 감지 → nginx 자동 리로드. Nixbot은 eta 공개 edge와 psi 서비스 스택 양쪽에서 인증서를 발급합니다.

데이터 보안¶

PostgreSQL¶

RustFS S3 backup store¶

RustFS root credential은 daemon 시작, bootstrap, break-glass 용도로만 사용합니다. Backup job은 repo별 writer/pruner/reader/mirror credential과 IAM policy를 사용해야 합니다.

감사 및 모니터링¶

auditd¶

Linux 감사 데몬으로 다음을 추적합니다:

로그: /var/log/audit/audit.log (최대 8MB × 2)

로그 파이프라인¶

flowchart LR
  src["auditd / journald"] --> vec["Vector"]
  vec --> loki["Loki (rho)"]
  loki --> graf["Grafana"]

시스템 안정성¶

자동 업그레이드¶

서비스 복구¶

systemd가 서비스 실패 시 자동 재시작합니다. 모니터링은 Gatus(status.sjanglab.org)에서 헬스체크를 수행합니다.