[aws] SSL 인증 및 인증 방법 / 연결 드레이닝 (Connection Draining)

이 글의 일부는 aws 공식문서의 내용을 참조하였음을 밝힙니다.

 

📌 ELB SSL 인증

 

SSL 인증서는 클라이언트와 로드 밸런서 사이에서 트래픽이 이동하는 동안 암호화해준다. 이를 전송 중 (in-flight) 암호화라고 하는데 데이터는 네트워크를 이동하는 중에는 암호화되고, 송신자 수신자 측에서만 이를 복호화 할  수 있다. SSL은 '보안 소켓 계층'을 의미하고 연결을 암호화하는데 사용하는데 TLS는 새로운 버전의 SSL로 '전송 계층 보안'을 의미 한다. 이러한 인증서는 인증 기관(CA)에서 발급 받아야 하는데 그 기관에는 코모도, 고 대디, Let's Encypt 등이 있다. 이렇게 인증 발급서를 로드 밸런서에 추가하면 클라이언트와 로드 밸런서 사이의 연결을 암호화 할 수 있게 된다. 

 

작동 방식은 유저가 인터넷을 통해 로드 밸런서에 접속하면 로드 밸런서에서는 내부적으로  백앤드와 암호화 되지 않은 HTTP로 EC2 인스턴스와 통신하게 되는데 VPC로 이동하는 프라이빗 네트워크를 쓰기 때문에 안전하게 보호된다. AWS 에서는 이 인증서들을 관리하는 ACM이 있으며 원한다면 가지고 있는 인증서를 업로드 할 수 도 있다. 

 

 

 

 

 

SNI(Serve Name Indication)

 

서버 이름 지정 SNI (Serve Name Indication)는 여러 개의 SSL 인증서를 하나의 웹 서버에 로드해 여러 개의 웹 사이트의 인증을 지원해준다. 이것은 확장된 프로토콜로 최초의 SSL 핸드셰이크 단계에서 클라이언트가 대상 서버의 호스트 이름을 지정하도록 하여 클라이언트가 접속할 웹사이트에 필요한 인증서를 로드해준다. 이 프로토콜은 ALB와 NLB 그리고 CloundFront에서만 동작한다. 아래 이미지와 같이 ALB가 두 개의 SSL 인증서를 갖고 있을 때 클라이언트가 요청한 주소 이름을 파악하여  해당하는 SSL 인증서를 인증해줄 것이다.

 

📌 SSL 인증하는 법

 

SSL 인증서를 발급 받은 후에 과정만 서술하도록 하겠다. 우선 로드 밸런서에 들어가 SSL 인증 받을 로드 밸런를 선택해준 후 리스너 및 규칙에 들어가 리스너를 추가해준다. 

 

 

 

리스너에 HTTPS 를 추가해 준 후 옵션을 이미지와 같이 맞춰준다. (여기서 리스너는 클라이언트에서 로드 밸런서에게 요청하는 통신 주체를 의미한다.) 중요한건 로드 밸런서에 보안 그룹의 인바운드 룰은 HTTPS 만의 통신을 허용해야하고 대상 그룹인 EC2 인스턴스 묶음들에겐  HTTP 포트를 허가하게 끔 해야한다는 것이다.

추가로 대상 그룹의 HTTP 통신 포트인 80포트의 소스에서는 0.0.0.0/0 이 아닌  ALB의 보안 그룹을 통해서만 들어오게해야한다는 것이다. 이렇게하면 유저들은 로드 밸런서를 우회한 트래픽으로는 접근하지 못할 것이다.

 

 

 

보안 리스너 설정도 아래와 같이 옵션을 맞춰준다. 저장하였던 인증서를 ACM 에 넣어주었다면 인증서를 선택해주고 추가 해주면 성공적으로 SSL 인증을 마칠 수 있다.

 

📌 연결 드레이닝이란 .. ? (Connection Draining)

 

인스턴스가 등록 취소, 혹은 비정상인 상태에 있을 때 인스턴스에 어느 정도의 시간을 주어 인-플라이트 요청, 즉 활성된 요청을 완료할 수 있도록 하는 기능으로 인스턴스가 연결 드레이닝이 되면 ELB는 등록 취소 중인 EC2 인스턴스로 새로운 요청을 보내지 않는다. 

이미지 처럼 하나의 인스턴스가 드레이닝 모드일 때 그럼 EC2 인스턴스에 이미 연결된 유저는 충분한 드레이닝 시간을 얻게될 것이고  기존 연결 및 기존 요청을 완료할 수 있다. 그리고 작업이 끝나면 모든 연결이 정지된다. 만약 새로운 유저가 ELB에 연결하려고 하면 드레이닝 상태가 아닌 다른 EC2 인스턴스와만 연결이 될 것이다.  연결 드레이닝은 1부터 3,600 초 사이의 값으로 설정할 수 있으며 기본적으로는 300초, 즉 5분이다.