배스천 호스트를 사용하여 원격 인스턴스에 안전하게 액세스

서브넷 작성

1. 왼쪽 분할창의 네트워크 아래에 있는 서브넷을 클릭한 후 작성을 클릭하십시오.

   1. 위치에서 지역, 지역 및 구역을 선택하십시오.
   2. vpc-secure-bastion-subnet을 이름으로 입력한 후 작성한 Virtual Private Cloud를 선택하십시오.
   3. VPC와 동일한 리소스 그룹을 선택합니다.
   4. 주소 접두사는 그대로 두고 총 IP 주소를 256으로 선택합니다.

2. 퍼블릭 게이트웨이를 접속됨으로 전환하십시오.

   퍼블릭 게이트웨이를 서브넷에 접속하면 접속된 모든 리소스가 공용 인터넷과 통신할 수 있습니다.

3. 서브넷 작성을 클릭하여 이를 프로비저닝하십시오.

배스천 보안 그룹 작성 및 구성

보안 그룹을 만들고 바스티온 VSI(가상 서버 인스턴스)에 대한 인바운드 규칙을 구성해 보겠습니다.

1. 네트워크에서 보안 그룹을 선택한 다음 만들기를 클릭합니다.

2. vpc-secure-bastion-sg를 이름으로 입력한 후 이전에 작성한 VPC를 선택하십시오.

3. VPC와 동일한 리소스 그룹을 선택합니다.

4. 이제 인바운드 섹션에서 추가를 클릭하여 다음과 같은 인바운드 규칙을 작성하십시오. 이 규칙은 SSH 액세스 및 Ping(ICMP)을 허용합니다. 값은 아래 표에 표시되어 있습니다.

   배스천: 인바운드 규칙

   프로토콜	포트 / 값	소스 유형
   TCP	포트 범위: 22-22	임의
   ICMP	유형: 8, 코드: 공백으로 둠	임의

   보안을 더 강화하기 위해 인바운드 트래픽을 회사 네트워크 또는 일반적인 홈 네트워크로 제한할 수 있습니다. curl ipecho.net/plain ; echo을(를) 실행하여 네트워크의 외부 IP 주소를 확보한 후 이 주소를 대신 사용할 수 있습니다.

5. 보안 그룹 작성을 클릭하여 작성하십시오.

배스천 인스턴스 작성

서브넷 및 보안 그룹이 이미 준비된 경우 다음으로 배스천 가상 서버 인스턴스를 작성하십시오.

1. 왼쪽 분할창의 서브넷 아래에서 vpc-secure-bastion-subnet을 선택하십시오.
2. 연결된 리소스를 클릭하고 연결된 인스턴스 아래에서 만들기를 클릭하여 서브넷과 동일한 리소스 그룹 아래에 vpc-secure-bastion-vsi라는 새 가상 서버를 프로비저닝합니다.
3. 위치를 선택하고 나중에 같은 위치를 다시 사용해야 합니다.
4. 이미지 아래에서 이미지 변경을 클릭하십시오. 검색 필드를 사용하여 Ubuntu Linux 를 운영 체제로 선택하십시오. 이미지의 임의의 버전을 선택할 수 있습니다.
5. 프로파일 변경을 클릭하고 컴퓨팅 을 카테고리로 선택한 후 cx2-2x4 (2 vCPUs 및 4GB RAM) 를 프로파일로 선택하십시오.
6. 새 SSH 키를 만들고 새 키를 클릭합니다
   1. vpc-ssh-key를 키 이름으로 입력하십시오.
   2. VSI와 동일한 리소스 그룹을 선택합니다.
   3. 지역은 그대로 두십시오.
   4. 기존 로컬 SSH 키의 컨텐츠를 복사하여 공개 키 아래에 붙여넣으십시오.
   5. SSH 키 추가를 클릭하십시오.
7. 스크롤하여 네트워킹 아래에서 VPC를 선택하십시오.
8. 가상 네트워크 인터페이스 가 선택되고 vpc-secure-bastion-subnet 이 서브넷으로 나열되는지 확인하십시오. 해당 서브넷에 대한 편집 아이콘을 클릭하십시오.
   1. 먼저 네트워크 연결 및 가상 네트워크 인터페이스 세부사항에서 vpc-secure-bastion-subnet 이 선택되어 있는지 확인하십시오. 다음을 클릭하십시오.
   2. 보안 그룹 섹션의 네트워크 의 경우, 기본 보안 그룹을 선택 취소하고 vpc-secure-bastion-sg 를 표시하십시오. 다음을 클릭하십시오.
   3. IP 구성 대화 상자에서 모든 것을 그대로 두고 다음을 클릭하십시오.
   4. 마지막으로 모든 것을 검토하고 저장을 클릭하여 완료하십시오.
9. 가상 서버 생성을 클릭합니다.
10. 인스턴스가 작동되어 실행 중이 되면 네트워크 인터페이스아래의 편집 아이콘을 클릭한 후 부동 IP 주소 아래에서 새 부동 IP 예약을 선택하여 vpc-secure-bastion-vsi 및 예약 부동 IP를 클릭하십시오. 저장을 클릭하여 완료하십시오.

배스천 테스트

배스천의 유동 IP가 활성 상태가 되면 ssh를 사용하여 연결을 시도하십시오.

ssh -i ~/.ssh/<PRIVATE_KEY> root@<BASTION_FLOATING_IP_ADDRESS>

서브넷 작성

새 서브넷을 작성하려면 다음을 수행하십시오.

1. 왼쪽 분할창의 네트워크 아래에 있는 서브넷을 클릭한 후 작성을 클릭하십시오.
   1. vpc-secure-private-subnet을 이름으로 입력한 후 작성된 VPC를 선택하십시오.
   2. VPC와 동일한 리소스 그룹을 선택합니다.
   3. 위치를 선택하십시오.
   4. 주소 접두사는 그대로 두고 총 IP 주소를 256으로 선택합니다.
2. 퍼블릭 게이트웨이를 접속됨으로 전환하십시오.
3. 서브넷 작성을 클릭하여 이를 프로비저닝하십시오.

보안 그룹 작성

새 보안 그룹을 작성하려면 다음을 수행하십시오.

1. 네트워크 아래에서 보안 그룹을 클릭한 후 작성을 클릭하십시오.
2. vpc-secure-private-sg를 이름으로 입력한 후 이전에 작성한 VPC를 선택하십시오.
3. 보안 그룹 작성을 클릭하십시오.

가상 서버 인스턴스 작성

새로 작성되는 서브넷에서 가상 서버 인스턴스를 작성하려면 다음을 수행하십시오.

1. 서브넷 아래에서 이전에 작성된 서브넷 vpc-secure-private-subnet을 클릭하십시오.
2. 접속된 리소스를 클릭하고 첨부된 인스턴스 아래에서 작성을 클릭하십시오.
3. 인스턴스를 구성하려면 다음을 수행하십시오.
   1. 고유 이름(vpc-secure-private-vsi) 및 리소스 그룹을 이전과 같이 입력하십시오.
   2. bastion Virtual Server에서 이미 사용한 이름과 같은 위치를 선택하십시오.
   3. 공용 유형의 가상 서버를 선택하십시오.
   4. 이미지 아래에서 이미지 변경을 클릭하십시오. 검색 필드를 사용하여 Ubuntu Linux 를 운영 체제로 선택하십시오. 이미지의 임의의 버전을 선택할 수 있습니다.
   5. 프로파일 변경을 클릭하고 컴퓨팅 을 카테고리로 선택한 후 cx2-2x4 (2 vCPUs 및 4GB RAM) 를 프로파일로 선택하십시오.
   6. SSH 키에 대해 배스천에 대해 이전에 작성한 SSH 키를 선택하십시오.
4. 더 아래에서 작성한 VPC를 선택하십시오. 위와 유사하게 네트워크 연결 및 가상 네트워크 인터페이스 세부사항에서 vpc-secure-private-subnet 에 대한 편집 아이콘을 클릭하십시오.
   1. 그런 다음 vpc-secure-private-subnet 이 선택되어 있는지 확인하십시오. 다음을 클릭하십시오.
   2. 보안 그룹 섹션의 네트워크 의 경우, 기본 보안 그룹을 선택 취소하고 vpc-secure-private-sg 를 표시하십시오. 다음을 클릭하십시오.
   3. IP 구성 대화 상자에서 모든 것을 그대로 두고 다음을 클릭하십시오.
   4. 마지막으로 모든 것을 검토하고 저장을 클릭하여 완료하십시오.
5. 가상 서버 생성을 클릭합니다.

유지보수 보안 그룹에 가상 서버 인스턴스 추가

서버에서 관리 작업을 수행하려면 특정 가상 서버를 유지보수 보안 그룹과 연관시켜야 합니다. 다음에서는 유지보수를 사용으로 설정하고 개인용 서버에 로그인하고 소프트웨어 패키지 정보를 업데이트한 후 다시 보안 그룹의 연관을 해제합니다.

서버에 대해 유지보수 보안 그룹을 사용으로 설정해 봅니다.

1. 보안 그룹으로 이동한 후 vpc-secure-maintenance-sg 보안 그룹을 선택하십시오.
2. 연결된 자원 탭을 클릭하고 필터에서 가상 서버 인터페이스를 선택하십시오.
3. VSI 목록을 보려면 가상 서버 인터페이스 편집 을 클릭하십시오. 목록을 펼치고 vpc-secure-private-vsi 의 인터페이스 열 옆에 있는 선택사항을 확인하십시오.
4. 저장을 클릭하여 변경사항을 적용하십시오.

인스턴스에 연결

사설 IP를 사용하여 인스턴스에 SSH를 통해 접속하기 위해 배스천 호스트를 점프 호스트로 사용합니다.

1. 왼쪽 메뉴의 계산 섹션에서 가상 서버 인스턴스 를 선택하십시오. vpc-secure-private-vsi 에 대한 예약된 IP (사설 IP) 주소를 기록하십시오.

2. Ssh 명령어에 -J 붙여 앞서 사용한 바스티온 유동 IP 주소와 방금 조회한 서버 비공개 IP 주소로 서버에 로그인합니다.

   ssh -J root@<BASTION_FLOATING_IP_ADDRESS> root@<PRIVATE_IP_ADDRESS>
   

   -J 플래그는 OpenSSH 버전 7.3+에서 지원됩니다. 이전 버전에서는 -J을(를) 사용할 수 없습니다. 이 경우 가장 안전하고 간단한 방법은 ssh의 stdio 전달(-W) 모드를 사용하여 배스천 호스트를 통해 연결을 "바운스"하는 것입니다(예: ssh -o ProxyCommand="ssh -W %h:%p root@<BASTION_FLOATING_IP_ADDRESS" root@<PRIVATE_IP_ADDRESS>).

소프트웨어 설치 및 유지보수 태스크 수행

연결되면 가상 서버에 소프트웨어를 설치하거나 유지보수 태스크를 수행할 수 있습니다.

1. 먼저 소프트웨어 패키지 정보를 업데이트하십시오.

   apt-get update
   

2. 원하는 소프트웨어(예: Nginx, MySQL 또는 IBM Db2)를 설치하십시오.

완료되면 exit 명령을 사용하여 서버와의 연결을 끊으십시오.

인터넷 사용자로부터의 HTTP/HTTPS 요청을 허용하려면 유동 IP를 VSI에 지정하고 개인용 VSI의 보안 그룹에 있는 인바운드 규칙을 통해 필수 포트(80 - HTTP 및 443 - HTTPS)를 여십시오.

유지보수 보안 그룹 사용 안함

소프트웨어 설치 또는 유지보수 수행이 완료되면 가상 서버를 유지보수 보안 그룹에서 제거하여 격리된 상태를 유지해야 합니다.

1. 보안 그룹으로 이동한 후 vpc-secure-maintenance-sg 보안 그룹을 선택하십시오.
2. 연결된 자원을 클릭한 후 가상 서버 인터페이스 편집을 클릭하십시오.
3. 가상 서버 인스턴스를 확장하고 인터페이스 열 옆의 vpc-secure-private-vsi에 대한 선택 항목을 선택 취소합니다.
4. 저장을 클릭하여 변경사항을 적용하십시오.

점프 호스트 옵션을 사용하여 위에서부터 ssh 명령을 반복할 수 있습니다. 지금은 실패해야 합니다.