Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

Azure VM의 서비스를 Azure Web App Service에서만 접근하도록 NSG 설정을 제한하는 방법

NSG(Network Security Group)에 특정 포트를 여는 경우, 가능한 접속을 하는 측의 대역을 제한하는 것이 좋습니다. 왜냐하면, RDP 서비스의 경우에도 예전에 썼던 글처럼,

Azure VM의 RDP 접속 위치 제한
; https://www.sysnet.pe.kr/2/0/12322

NSG에서 다음과 같이 설정해 포트를 열면,

Source: Any
Source port ranges: *
Destination: Any
Service: RDP
Action: Allow

이후, 엄청난 해킹 시도를 하는 것을 이벤트 뷰어를 통해 확인할 수 있습니다. 마찬가지로 Azure VM에 띄워놓은 서비스(예를 들어 SQL Server)를 NSG 설정으로 Any 접근을 허용해 두면,

Source: Any
Source port ranges: *
Destination: Any
Service: MS SQL
Action: Allow

이후 무수한 해킹 시도를 경험할 수 있습니다. ^^; 따라서 이것도 가능한 제약을 하는 것이 좋은데요, 물론 IP를 특정할 수 있으면 좋겠지만 일부 환경에서는 그게 안 됩니다. 일례로 같은 Azure에서 호스팅하는 Azure Web App Service에서 VM이 제공하는 서비스를 접속하고 싶다면, App Service 측의 IP가 공개돼 있지 않기 때문에 제약을 걸 수 없습니다.

따라서 이런 경우에는 Source의 제약을 "IP Addresses"가 아닌 "Service Tag"로 설정하는 것이 좋습니다. 그리고, 그 대상을 Web App Service로 제한하고 싶다면 "AzureCloud"로 두면 됩니다.

Source: Service Tag
Source service tag: AzureCloud
Source port ranges: *
Destination: Any
Service: MS SQL
Action: Allow

여기서 한 가지 직관적이지 않은 것이 있는데, Service Tag의 목록에 보면 "AppService"도 있는데요, 사실 Azure Web App Service가 그 유형일 텐데 그걸로 설정하면 통신이 되지 않습니다. (혹시 AppService 태그가 어느 유형을 대표하는지 아시는 분은 덧글 부탁드립니다. ^^)




그나저나 Azure Web App에서 외부로의 통신이 안 되는 경우 이를 진단할 수 있는 방법을 살펴볼까요? ^^ 이를 위해 우선 (가령 SQL Server를 호스팅하고 있는) 서버와 통신이 되나 확인해야 하는데, 아쉽게도 이 과정에서 전통적인 ping을 사용할 수는 없습니다. 왜냐하면, Web App Service의 메뉴에서 제공하는 "Console" 환경은 ping뿐만 아니라 기타 거의 모든 네트워크 관련 프로그램들이 동작하지 않기 때문입니다.

D:\home\site\wwwroot> ping testvm.koreacentral.cloudapp.azure.com
Unable to contact IP driver. General failure.

D:\home\site\wwwroot> ipconfig
Access is denied.

D:\home\site\wwwroot> netstat
Access is denied.

대신 App service의 Console은 tcpping이라는 도구를 제공합니다.

How to ping from an Azure App service with TCPPING
; https://www.code4it.dev/blog/tcpping-azure-portal

하지만 말이 tcpping일 뿐, 기존에 telnet으로 대상 서버의 주소와 포트를 명시해 접근하는 것을 단순화한 도구라면 보면 됩니다. 따라서 대상 VM의 ICMP 포트를 열 필요는 없고, 대상 서비스의 포트가 열려 있어야 합니다. 기본적으로는 포트 명시가 없으면 80 포트를 가정하므로,

D:\home\site\wwwroot> tcpping testvm.koreacentral.cloudapp.azure.com
Connected to testvm.koreacentral.cloudapp.azure.com:80, time taken: 139ms
Connected to testvm.koreacentral.cloudapp.azure.com:80, time taken: <1ms
Connected to testvm.koreacentral.cloudapp.azure.com:80, time taken: <1ms
Connected to testvm.koreacentral.cloudapp.azure.com:80, time taken: <1ms
Complete: 4/4 successful attempts (100%). Average success time: 34.75ms

위의 경우는 웹 서버를 대상으로 결과가 나온 것입니다. 그렇다면 SQL Server가 접근 가능한지 알려면 1433 포트를 지정하면 되는데,

D:\home\site\wwwroot> tcpping testvm.koreacentral.cloudapp.azure.com:1433
Connection attempt failed: Connection timed out.
Connection attempt failed: Connection timed out.
Connection attempt failed: Connection timed out.
Connection attempt failed: Connection timed out.
Complete: 0/4 successful attempts (0%). Average success time: 0ms

열려 있지 않군요. ^^ 이제부터 방화벽 설정과의 싸움을 시작하시면 됩니다.




혹시나 Azure Web App Servvice가 사용하는 공용 IP를 알고 싶을까요? 그걸 알고 싶다면 AppService의 공용 DNS로 외부에서 ping을 해보면 됩니다.

C:\temp> ping testvm.azurewebsites.net

Pinging waws-prod-se1-001.cloudapp.net [52.231.32.120] with 32 bytes of data:
Request timed out.
Request timed out.
Request timed out.
Request timed out.

Ping statistics for 52.231.32.120:
    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

ping 동작은 안 되도 저렇게 공용 IP는 출력을 해줍니다. 이 IP 주소를 NSG의 Source 측에 해제를 위한 설정값으로 써도 되지만, 몇 번 하다 보면 IP가 바뀌는 것을 볼 수 있는데요, 그래서 굳이 (당연히 임시로) 지정해야 한다면 52.231.32.0/24와 같은 식으로 열어야 합니다.

참고로, Azure Web App Service의 Consoole에도 curl 도구를 제공하기 때문에 공용 IP를 알려주는 서비스를 사용해 볼 수도 있겠지만,

D:\home\site\wwwroot> curl https://api.ipify.org?format=json
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed

  0     0    0     0    0     0      0      0 --:--:-- --:--:-- --:--:--     0
  0     0    0     0    0     0      0      0 --:--:-- --:--:-- --:--:--     0
100    22  100    22    0     0     26      0 --:--:-- --:--:-- --:--:--    27

보다시피 응답을 출력해 주지 않습니다. 대신, "Advanced Tools"로 들어가 "Kudu" 서비스에서 제공하는 "Debug Console"에서는 다음과 같은 식으로 응답을 제공합니다. (도대체가 일관성이 없군요. ^^;)

D:\home>curl https://api.ipify.org?format=json
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100    22  100    22    0     0     25      0 --:--:-- --:--:-- --:--:--    26{"ip":"52.231.32.121"}




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]


donaricano-btn



[최초 등록일: ]
[최종 수정일: 7/12/2021]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 쓴 사람
 




1  2  3  4  5  [6]  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12738정성태7/28/2021607오류 유형: 745. Azure Active Directory - Client credential flows must have a scope value with /.default suffixed to the resource identifier (application ID URI).
12737정성태7/28/2021419오류 유형: 744. Azure Active Directory - The resource principal named api://...[client_id]... was not found in the tenant
12736정성태7/28/2021380오류 유형: 743. Active Azure Directory에서 "API permissions"의 권한 설정이 "Not granted for ..."로 나오는 문제
12735정성태7/27/2021480.NET Framework: 1081. C# - Azure AD 인증을 지원하는 데스크톱 애플리케이션 예제(Windows Forms)파일 다운로드1
12734정성태7/26/20211422스크립트: 20. 특정 단어로 시작하거나/끝나는 문자열을 포함/제외하는 정규 표현식 - Look-around
12733정성태7/23/2021461.NET Framework: 1081. Self-Contained/SingleFile 유형의 .NET Core/5+ 실행 파일을 임베딩한다면? [1]파일 다운로드2
12732정성태7/23/2021301오류 유형: 742. SharePoint - The super user account utilized by the cache is not configured.
12731정성태7/23/2021322개발 환경 구성: 584. Add Internal URLs 화면에서 "Save" 버튼이 비활성화 된 경우
12730정성태7/23/2021474개발 환경 구성: 583. Visual Studio Code - Go 코드에서 입력을 받는 경우
12729정성태7/22/2021379.NET Framework: 1080. xUnit 단위 테스트에 메서드/클래스 수준의 문맥 제공 - Fixture
12728정성태7/22/2021348.NET Framework: 1079. MSTestv2 단위 테스트에 메서드/클래스/어셈블리 수준의 문맥 제공
12727정성태7/21/2021574.NET Framework: 1078. C# 단위 테스트 - MSTestv2/NUnit의 Assert.Inconclusive 사용법(?)
12726정성태7/21/2021497VS.NET IDE: 169. 비주얼 스튜디오 - 단위 테스트 선택 시 MSTestv2 외의 xUnit, NUnit 사용법
12725정성태7/21/2021593오류 유형: 741. Failed to find the "go" binary in either GOROOT() or PATH
12724정성태7/21/2021918개발 환경 구성: 582. 윈도우 환경에서 Visual Studio Code + Go (Zip) 개발 환경 [1]
12723정성태7/21/2021456오류 유형: 740. SharePoint - Alternate access mappings have not been configured 경고
12722정성태7/20/2021464오류 유형: 739. MSVCR110.dll이 없어 exe 실행이 안 되는 경우
12721정성태7/20/2021472오류 유형: 738. The trust relationship between this workstation and the primary domain failed. - 세 번째 이야기
12720정성태7/19/2021428Linux: 43. .NET Core/5+ 응용 프로그램의 Ubuntu (Debian) 패키지 준비
12719정성태7/19/2021410오류 유형: 737. SharePoint 설치 시 "0x800710D8 The object identifier does not represent a valid object." 오류 발생
12718정성태7/19/2021421개발 환경 구성: 581. Windows에서 WSL로 파일 복사 시 root 소유권으로 적용되는 문제파일 다운로드1
12717정성태7/18/2021414Windows: 195. robocopy에서 파일의 ADS(Alternate Data Stream) 정보 복사를 제외하는 방법
12716정성태7/17/2021448개발 환경 구성: 580. msbuild의 Exec Task에 robocopy를 사용하는 방법파일 다운로드1
12715정성태7/17/20211238오류 유형: 736. Windows - MySQL zip 파일 버전의 "mysqld --skip-grant-tables" 실행 시 비정상 종료
12714정성태7/16/2021477오류 유형: 735. VCRUNTIME140.dll, MSVCP140.dll, VCRUNTIME140.dll, VCRUNTIME140_1.dll이 없어 exe 실행이 안 되는 경우
12713정성태7/16/2021620.NET Framework: 1077. C# - 동기 방식이면서 비동기 규약을 따르게 만드는 Task.FromResult파일 다운로드1
1  2  3  4  5  [6]  7  8  9  10  11  12  13  14  15  ...