Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

Azure VM의 서비스를 Azure Web App Service에서만 접근하도록 NSG 설정을 제한하는 방법

NSG(Network Security Group)에 특정 포트를 여는 경우, 가능한 접속을 하는 측의 대역을 제한하는 것이 좋습니다. 왜냐하면, RDP 서비스의 경우에도 예전에 썼던 글처럼,

Azure VM의 RDP 접속 위치 제한
; https://www.sysnet.pe.kr/2/0/12322

NSG에서 다음과 같이 설정해 포트를 열면,

Source: Any
Source port ranges: *
Destination: Any
Service: RDP
Action: Allow

이후, 엄청난 해킹 시도를 하는 것을 이벤트 뷰어를 통해 확인할 수 있습니다. 마찬가지로 Azure VM에 띄워놓은 서비스(예를 들어 SQL Server)를 NSG 설정으로 Any 접근을 허용해 두면,

Source: Any
Source port ranges: *
Destination: Any
Service: MS SQL
Action: Allow

이후 무수한 해킹 시도를 경험할 수 있습니다. ^^; 따라서 이것도 가능한 제약을 하는 것이 좋은데요, 물론 IP를 특정할 수 있으면 좋겠지만 일부 환경에서는 그게 안 됩니다. 일례로 같은 Azure에서 호스팅하는 Azure Web App Service에서 VM이 제공하는 서비스를 접속하고 싶다면, App Service 측의 IP가 공개돼 있지 않기 때문에 제약을 걸 수 없습니다.

따라서 이런 경우에는 Source의 제약을 "IP Addresses"가 아닌 "Service Tag"로 설정하는 것이 좋습니다. 그리고, 그 대상을 Web App Service로 제한하고 싶다면 "AzureCloud"로 두면 됩니다.

Source: Service Tag
Source service tag: AzureCloud
Source port ranges: *
Destination: Any
Service: MS SQL
Action: Allow

여기서 한 가지 직관적이지 않은 것이 있는데, Service Tag의 목록에 보면 "AppService"도 있는데요, 사실 Azure Web App Service가 그 유형일 텐데 그걸로 설정하면 통신이 되지 않습니다. (혹시 AppService 태그가 어느 유형을 대표하는지 아시는 분은 덧글 부탁드립니다. ^^)




그나저나 Azure Web App에서 외부로의 통신이 안 되는 경우 이를 진단할 수 있는 방법을 살펴볼까요? ^^ 이를 위해 우선 (가령 SQL Server를 호스팅하고 있는) 서버와 통신이 되나 확인해야 하는데, 아쉽게도 이 과정에서 전통적인 ping을 사용할 수는 없습니다. 왜냐하면, Web App Service의 메뉴에서 제공하는 "Console" 환경은 ping뿐만 아니라 기타 거의 모든 네트워크 관련 프로그램들이 동작하지 않기 때문입니다.

D:\home\site\wwwroot> ping testvm.koreacentral.cloudapp.azure.com
Unable to contact IP driver. General failure.

D:\home\site\wwwroot> ipconfig
Access is denied.

D:\home\site\wwwroot> netstat
Access is denied.

대신 App service의 Console은 tcpping이라는 도구를 제공합니다.

How to ping from an Azure App service with TCPPING
; https://www.code4it.dev/blog/tcpping-azure-portal

하지만 말이 tcpping일 뿐, 기존에 telnet으로 대상 서버의 주소와 포트를 명시해 접근하는 것을 단순화한 도구라면 보면 됩니다. 따라서 대상 VM의 ICMP 포트를 열 필요는 없고, 대상 서비스의 포트가 열려 있어야 합니다. 기본적으로는 포트 명시가 없으면 80 포트를 가정하므로,

D:\home\site\wwwroot> tcpping testvm.koreacentral.cloudapp.azure.com
Connected to testvm.koreacentral.cloudapp.azure.com:80, time taken: 139ms
Connected to testvm.koreacentral.cloudapp.azure.com:80, time taken: <1ms
Connected to testvm.koreacentral.cloudapp.azure.com:80, time taken: <1ms
Connected to testvm.koreacentral.cloudapp.azure.com:80, time taken: <1ms
Complete: 4/4 successful attempts (100%). Average success time: 34.75ms

위의 경우는 웹 서버를 대상으로 결과가 나온 것입니다. 그렇다면 SQL Server가 접근 가능한지 알려면 1433 포트를 지정하면 되는데,

D:\home\site\wwwroot> tcpping testvm.koreacentral.cloudapp.azure.com:1433
Connection attempt failed: Connection timed out.
Connection attempt failed: Connection timed out.
Connection attempt failed: Connection timed out.
Connection attempt failed: Connection timed out.
Complete: 0/4 successful attempts (0%). Average success time: 0ms

열려 있지 않군요. ^^ 이제부터 방화벽 설정과의 싸움을 시작하시면 됩니다.




혹시나 Azure Web App Servvice가 사용하는 공용 IP를 알고 싶을까요? 그걸 알고 싶다면 AppService의 공용 DNS로 외부에서 ping을 해보면 됩니다.

C:\temp> ping testvm.azurewebsites.net

Pinging waws-prod-se1-001.cloudapp.net [52.231.32.120] with 32 bytes of data:
Request timed out.
Request timed out.
Request timed out.
Request timed out.

Ping statistics for 52.231.32.120:
    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

ping 동작은 안 되도 저렇게 공용 IP는 출력을 해줍니다. 이 IP 주소를 NSG의 Source 측에 해제를 위한 설정값으로 써도 되지만, 몇 번 하다 보면 IP가 바뀌는 것을 볼 수 있는데요, 그래서 굳이 (당연히 임시로) 지정해야 한다면 52.231.32.0/24와 같은 식으로 열어야 합니다.

참고로, Azure Web App Service의 Consoole에도 curl 도구를 제공하기 때문에 공용 IP를 알려주는 서비스를 사용해 볼 수도 있겠지만,

D:\home\site\wwwroot> curl https://api.ipify.org?format=json
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed

  0     0    0     0    0     0      0      0 --:--:-- --:--:-- --:--:--     0
  0     0    0     0    0     0      0      0 --:--:-- --:--:-- --:--:--     0
100    22  100    22    0     0     26      0 --:--:-- --:--:-- --:--:--    27

보다시피 응답을 출력해 주지 않습니다. 대신, "Advanced Tools"로 들어가 "Kudu" 서비스에서 제공하는 "Debug Console"에서는 다음과 같은 식으로 응답을 제공합니다. (도대체가 일관성이 없군요. ^^;)

D:\home>curl https://api.ipify.org?format=json
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100    22  100    22    0     0     25      0 --:--:-- --:--:-- --:--:--    26{"ip":"52.231.32.121"}




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]


donaricano-btn



[최초 등록일: ]
[최종 수정일: 7/12/2021]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 쓴 사람
 




1  2  3  4  5  6  [7]  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12786정성태8/16/20211001.NET Framework: 1091. C# - Python range 함수 구현 (2) INumber<T>를 이용한 개선 [1]파일 다운로드1
12785정성태8/16/2021752.NET Framework: 1090. .NET 6 Preview 7에 추가된 숫자 형식에 대한 제네릭 연산 지원파일 다운로드1
12784정성태8/15/2021578오류 유형: 757. 구글 메일 - 아웃룩에서 메일 전송 시 Sending' reported error (0x800CCC0F, 0x800CCC92)
12783정성태8/15/2021699.NET Framework: 1089. C# - Indexer에 Range 및 람다 식을 이용한 필터 구현파일 다운로드1
12782정성태8/14/2021774오류 유형: 756. 파이썬 - 윈도우 환경에서 pytagcloud의 한글 출력 방법
12781정성태8/14/2021941오류 유형: 755. 파이썬 - konlpy 사용 시 JVM과 jpype1 관련 오류
12780정성태8/13/2021613.NET Framework: 1088. C# - 버스 노선 및 위치 정보 조회 API 사용을 위한 기초 라이브러리 [2]
12779정성태8/13/2021831개발 환경 구성: 596. 공공 데이터 포털에서 버스 노선 및 위치 정보 조회 API 사용법
12778정성태8/12/2021369오류 유형: 755. PyCharm - "Manage Repositories"의 목록이 나오지 않는 문제
12777정성태8/12/2021496오류 유형: 754. Visual Studio - Input or output cannot be redirected because the specified file is invalid.
12776정성태8/12/20211183오류 유형: 753. gunicorn과 uwsgi 함께 사용 시 ERR_CONNECTION_REFUSED
12775정성태8/12/20211217스크립트: 22. 파이썬 - 윈도우 환경에서 개발한 Django 앱을 WSL 환경의 gunicorn을 이용해 실행
12774정성태8/11/20211050.NET Framework: 1087. C# - Collection 개체의 다중 스레드 접근 시 "Operations that change non-concurrent collections must have exclusive access" 예외 발생
12773정성태8/11/20211227개발 환경 구성: 595. PyCharm - WSL과 연동해 Django App을 윈도우에서 리눅스 대상으로 개발
12772정성태8/11/20211211스크립트: 21. 파이썬 - 윈도우 환경에서 개발한 Django 앱을 WSL 환경의 uwsgi를 이용해 실행 [1]
12771정성태8/11/20211024Windows: 196. "Microsoft Windows Subsystem for Linux Background Host" / "Vmmem"을 종료하는 방법
12770정성태8/11/20211074.NET Framework: 1086. C# - Windows Forms 응용 프로그램의 자식 컨트롤 부하파일 다운로드1
12769정성태8/11/2021807오류 유형: 752. Python - ImportError: No module named pip._internal.cli.main 두 번째 이야기
12768정성태8/10/20211097.NET Framework: 1085. .NET 6에 포함된 신규 BCL API [1]파일 다운로드1
12767정성태8/10/20211334오류 유형: 752. Python - ImportError: No module named pip._internal.cli.main
12766정성태8/9/20211058Java: 32. closing inbound before receiving peer's close_notify
12765정성태8/9/2021623Java: 31. Cannot load JDBC driver class 'org.mysql.jdbc.Driver'
12764정성태8/9/2021505Java: 30. XML document from ServletContext resource [/WEB-INF/applicationContext.xml] is invalid
12763정성태8/9/2021777Java: 29. java.lang.NullPointerException - com.mysql.jdbc.ConnectionImpl.getServerCharset
12762정성태8/8/20211186Java: 28. IntelliJ - Unable to open debugger port 오류
12761정성태8/8/2021758Java: 27. IntelliJ - java: package javax.inject does not exist [2]
1  2  3  4  5  6  [7]  8  9  10  11  12  13  14  15  ...