[aws] EC2 보안 그룹

 

이 글의 일부는 aws 공식문서의 내용을 참조하였음을 밝힙니다.

 

📌 EC2 보안 그룹

 

EC2 보안 그룹은 하나 혹은 다수의 인스턴스에 대한 트래픽을 통제하는 가상의 방화벽이다. 인스턴스를 생성한 뒤 해당 인스턴스에 하나 혹은 여러 개의 보안 그룹을 연결할 수 있고 언제든 수정이 가능하다. 각 인스턴스에 특정 트래픽이 도달할지 여부는 해당 인스턴스에 연결된 모든 보안 그룹 규칙에 따라 정해진다.

 

보안 그룹의 규칙이 지닌 특징은 다음과 같다.

 

• 기본적으로 보안 그룹은 모든 아웃바운드 트래픽을 허용한다.
• EC2-Classic 의 보안 그룹에 있는 아웃바운드 규칙은 변경할 수 없다.
• 보안 그룹의 규칙은 언제나 허용 여부만 정할 수 있고 거부 여부는 정할 수 없다.

 

 

EC2 인스턴스에 접근하려는 경우 , EC2 인스턴스 주변에 보안 그룹을 설정해주어야 하는데 방화벽을 생성해준다고 생각하면 편하다.

보안 그룹은 포트로의 액세스를 통제할 수 있는 '규칙' 을 갖는데 인바운드 규칙을 외부에서 EC2 인스턴스로 들어오는 것을 허용하거나 불허할 수 있고 아웃바운드 트래픽도 수행할 수 있다. 

 

 

 

 

aws에서 보안 그룹은 아래와 같다. 프로토콜은 TCP 이며 포트 범위는 트래픽이 인스턴스에 통과하는 위치이다. 소스는 IP 주소의 범위 이며 0.0.0.0/0은 전체 IP 즉 모든 IP가 들어올 수 있게 허용한다는 것을 의미한다. 

 

 

 

 

인바운드 규칙과 아웃바운드 규칙이 있는 1개의 보안 그룹을 가진 EC2 인스턴스가 있다고 가정하자. 우리의 컴퓨터의 IP가 위 주소와 같이 122.149.196.85/32 로 port 22에서 허용되었다면 우리 컴퓨터에서 EC2 인스턴스로의 접근이 가능하다. 하지만 만약 port 22로의 접근을 인가되지 않은 IP가 있다면 방화벽이 차단되어 이는 거부될 것이다.  그리고 아웃바운드는 모든 트래픽에 대하여 허용되어 있기 때문에

EC2 인스턴스가 웹사이트에 액세스하고 연결을 시도한다면 보안 그룹에 허용된 접근이기 때문에 이는 가능하다. 

 

 

 

 

보안그룹과 인스턴스는 1:1 대응이 아니기 때문에 여러 개의 보안 그룹 설정이 가능하며, 보안 그룹은 지역과 VPC 결합으로 통제되어있다. 그래서 지역을 전환하면 새로운 보안 그룹을 생성하거나 다른 VPC를 생성해야만 한다.  VPC에 대해서는 추후에 다룰 예정이니 새로운 보안 그룹을 만들어야한다고 생각하면 쉽다. 어쨌든 도식처럼 보안그룹은 EC2 밖에 있으며 트래픽이 차단된다면 인스턴스는 알 수가 없다는 것은 중요한 포인트다. 또한, 보안을 위해서는 SSH 액세스를 위한 보안그룹을 별도로 유지되는 것을 권장한다. 

만약 어떤 EC2 인스턴스에 타임아웃이 생기면 그것은 보안 그룹의 문제일 확률이 높고 연결에 대한 거부에 대한 오류가 생긴다면 그것은 EC2 내부에서 실행되고 있는 어플리케이션의 문제일 가능성이 높다.

 

---

 

 

📌 EC2 보안 그룹 참조 

 

아래는 보안 그룹이 다른 보안 그룹을 참조하는 도식이다. 좌측으로부터 EC2 인스턴스가 있고 보안 그룹 1이라는 보안 그룹이 있다.

보안 그룹 1의 인바운드를 보안그룹 2에 허용한다고 할 때 다른 EC2 인스턴스가 보안 그룹2를 연결하여 생성되면 첫 번째 EC2 인스턴스의 허용된 포트를 통해서 EC2 인스턴스가 바로 연결될 수 있다. 마찬가지로 같은 보안 그룹인 보안그룹 1에 연결된 다른 EC2 인스턴스가 있다면 이 인스턴스 역시도 좌측에 있는 인스턴스와 바로 통신하도록 허용된다.  즉, EC2 인스턴스의 IP와는 상관 없이 올바른 보안 그룹에 연결 되어 있기 때문에 EC2를 중지하고 다시 켜서 IP가 바뀌더라도 바로 통신할 수 있게 된다. IP를 신경쓰지 않는 다는 점이 보안 그룹 참조이 갖는 가장 큰 장점이 되겠다. 보안 그룹3으로 연결된 3번째 인스턴스는 보안 그룹1의 인바운드 규칙으로 보안 그룹 3과 연결 되어있지 않기 때문에 거부되고 실행되지 않을 것이다. 

 

 

 

 

 

 

기초적으로 알아야하는 포트 번호는 다음과 같다. 

 

 

 

---

 

 

📌 EC2 보안 그룹 설정하기

 

 

EC2 콘솔에 들어와서 좌측에 보안 그룹 페이지로 이동하면 default 페이지와 처음 EC2 인스턴스를 만들었을 때 체크 박스를 눌러 생성한 보안 그룹이 있다. 인스턴스에 ID 가 있는 것처럼 보안 그룹에도 ID가 존재하며 이는 식별을 위한 것이다.

 

 

 

 

보안 그룹을 클릭하면 인바운드 아웃바운드 규칙을 편집할 수 있는 탭이 뜨며, 버튼을 통해 자유롭게 보안 그룹에 대한 규칙을 편집할 수 있다. 인바운드 규칙은 외부에서 EC2로 연결해줄 수 있게 해주는 규칙이며 이미지에는 3개의 인바운드 룰이 존재한다. 

 

 

 

 

인바운드 규칙 편집에 들어왔다. 위에 포트 번호대로 80 포트를 이용하면 웹서버로의 접근이 가능하고 22번 포트로는 SSH로의 접근이 가능해지는 것을 알 수 있다. 만약 여기서 웹서버를 작동하면 80 포트로 이동하여 EC2 웹서버의 정상적 접근이 가능해지고 삭제할 시 요청에 버퍼링이 계속 생기며 타임 아웃이 발생하게 될 것이다. 

 

 

 

 

 

 

보안 그룹은 한 개 또는 여러 개의 인스턴스에 연결될 수 있으며 하나의 인스턴스가 여러 개의 보안 그룹에도 연결될 수 있다는 점

인바운드와 아웃바운드의 차이, 보안 그룹간의 참조 등을 잘익혀두도록 하자.