Firewalld - 리눅스 방화벽! 🔥🧱

100===Dev Ops/Firewalld

Firewalld - 리눅스 방화벽! 🔥🧱

블로글러 2024. 6. 12. 08:45

리눅스 서버를 운영하다 보면 '방화벽'이라는 단어를 꼭 만나게 되죠? 마치 건물의 보안 요원처럼, 우리 서버로 들어오고 나가는 네트워크 트래픽을 통제해서 보안을 책임지는 아주 중요한 녀석인데요. 예전에는 iptables라는 친구를 많이 썼는데, 설정이 좀 복잡하고 어려워서 초보자들에겐 살짝 부담스러웠답니다. 😅 그래서 등장한 것이 바로 Firewalld! 오늘은 이 Firewalld가 무엇이고 어떻게 우리를 편하게 해주는지 쉽고 재미있게 알아볼까요?

등장 배경

과거 리눅스 방화벽의 대표 주자는 iptables였습니다. 강력한 기능을 제공했지만, 규칙(rule)을 하나하나 세세하게 설정해야 했고, 문법도 복잡했죠. 특히, 규칙을 변경할 때마다 방화벽 서비스를 재시작해야 하는 경우가 많아서 서비스 중단 없이 설정을 바꾸기가 까다로웠어요. 😫

이런 불편함을 해소하고자 Firewalld가 등장했습니다! Firewalld는 **동적(dynamic)**으로 방화벽 규칙을 관리할 수 있게 해줘서, 서비스 재시작 없이도 설정을 바로바로 적용할 수 있게 되었어요. 마치 실시간으로 출입 규칙을 바꾸는 똑똑한 보안 시스템 같다고 할까요? 😎

Firewalld의 특징 및 용도: 무엇이 좋아졌을까요?

Firewalld는 기존 방식의 여러 문제점을 해결하며 다음과 같은 편리함을 제공해요.

동적 관리의 편리함: 방화벽 규칙을 변경해도 연결이 끊기거나 서비스를 재시작할 필요가 없어요. 실시간으로 설정 변경 및 적용이 가능합니다! 🚀
Zone 기반 관리: 네트워크 인터페이스나 출발지 IP 주소를 'Zone(영역)'이라는 개념으로 묶어서 관리해요. 예를 들어 'public' Zone은 외부 인터넷 연결에, 'internal' Zone은 내부 네트워크 연결에 할당하는 식으로 신뢰 수준에 따라 다른 규칙을 쉽게 적용할 수 있습니다. 마치 VIP 구역, 일반 구역 나누는 것과 비슷하죠? 😉
미리 정의된 서비스 활용: SSH, HTTP, FTP 등 자주 사용하는 서비스들에 대한 방화벽 규칙이 미리 정의되어 있어요. firewall-cmd --add-service=ssh처럼 간단한 명령어로 필요한 서비스 포트를 쉽게 열 수 있답니다. 복잡한 포트 번호를 외울 필요가 줄어들죠! 👍

핵심 원리: Zone과 Service 이해하기

Firewalld의 핵심은 Zone과 Service 개념이에요.

Zone: 네트워크 연결(인터페이스 또는 IP 주소)에 할당되는 보안 등급 또는 신뢰 수준입니다. 각 Zone에는 미리 정의된 방화벽 규칙 세트가 있어요. 시스템에 연결된 네트워크 인터페이스는 특정 Zone에 속하게 되고, 해당 Zone의 규칙을 따르게 됩니다.
- 주요 Zone 예시:
  - public: 기본값. 신뢰하지 않는 공용 네트워크에 사용. 꼭 필요한 연결만 허용.
  - internal: 내부 네트워크용. 비교적 신뢰하는 환경.
  - trusted: 모든 네트워크 연결을 허용. 매우 신뢰하는 환경 (주의해서 사용!)
  - home: 홈 환경용. 내부 네트워크와 유사하지만 약간 더 제한적일 수 있음.
  - work: 업무 환경용.
  - dmz: 외부 접근이 필요한 서버(웹 서버 등)를 위한 DMZ(Demilitarized Zone)용. 내부 접근은 제한.
  - block: 들어오는 모든 연결을 거부 (ICMP 제외).
  - drop: 들어오는 모든 연결을 알림 없이 차단 (패킷 버림).
Service: 특정 서비스(예: 웹서버 'http', 보안 쉘 'ssh')가 사용하는 포트와 프로토콜에 대한 미리 정의된 규칙 모음입니다. Zone에 특정 서비스를 추가하면, 해당 Zone에 속한 인터페이스를 통해 그 서비스에 접근하는 것을 허용하게 됩니다.

간단한 작동 흐름:

# 1. 네트워크 인터페이스 (예: eth0) 확인
#    -> 이 인터페이스는 어떤 Zone에 속해있나? (기본값: public)

# 2. 외부에서 SSH (포트 22) 접속 시도
#    -> eth0 (public Zone)에 ssh 서비스가 허용되어 있나?

# 3. public Zone 설정 확인
#    -> ssh 서비스가 추가되어 있다면 접속 허용! ✅
#    -> ssh 서비스가 없다면 접속 차단! ❌

# 4. 규칙 변경 (예: public Zone에 http 서비스 추가)
firewall-cmd --zone=public --add-service=http --permanent
firewall-cmd --reload
#    -> 이제 public Zone을 통해 http (포트 80) 접속 허용! ✅

Zone과 인터페이스 관계 시각화:

+---------------------+      +---------------------+      +---------------------+
|      Zone: public     |      |      Zone: internal   |      |      Zone: trusted    |
| (Default)           |      | (내부망)            |      | (모든 연결 허용)    |
| +-----------------+ |      | +-----------------+ |      | +-----------------+ |
| | Interface: eth0 | |      | | Interface: eth1 | |      | | Source: 10.0.1.5| |
| +-----------------+ |      | +-----------------+ |      | +-----------------+ |
|                     |      |                     |      |                     |
| Rules:              |      | Rules:              |      | Rules:              |
| - Allow ssh         |      | - Allow ssh         |      | - Allow ALL         |
| - Allow dhcpv6-client |      | - Allow mdns        |      |                     |
| (- Maybe http?)     |      | - Allow samba-client|      |                     |
+---------------------+      +---------------------+      +---------------------+
       ^                            ^                            ^
       |                            |                            |
+-------------------------------------------------------------------+
|                      Firewalld Daemon                             |
| (네트워크 트래픽 감시 및 Zone 규칙에 따라 허용/차단 결정)           |
+-------------------------------------------------------------------+

Zone별 설정 확인:

명령어	설명
`firewall-cmd --get-default-zone`	기본 Zone 확인
`firewall-cmd --get-active-zones`	현재 활성화된 Zone과 인터페이스 목록 확인
`firewall-cmd --list-all`	기본 Zone의 모든 설정 (인터페이스, 서비스, 포트 등) 확인
`firewall-cmd --zone=[Zone 이름] --list-all`	특정 Zone의 모든 설정 확인

주의사항 및 팁 💡

⚠️ 이것만은 주의하세요!

런타임(Runtime) vs 영구(Permanent) 설정: firewall-cmd로 변경한 설정은 기본적으로 런타임 설정입니다. 즉, Firewalld 서비스를 재시작하거나 시스템을 재부팅하면 사라져요! 변경 사항을 영구적으로 저장하려면 --permanent 옵션을 꼭 추가하고, firewall-cmd --reload 명령어로 영구 설정을 불러와야 합니다.
- 예시: firewall-cmd --zone=public --add-service=http --permanent 후 firewall-cmd --reload
- 해결 방법: 중요한 설정 변경 시에는 항상 --permanent 옵션을 사용하고 reload하는 습관을 들이세요.
기본 Zone 확인: 시스템의 모든 네트워크 인터페이스는 특정 Zone에 할당됩니다. 어떤 Zone이 기본값(Default Zone)으로 설정되어 있는지, 그리고 각 인터페이스가 어떤 Zone에 속해 있는지 파악하는 것이 중요해요. (firewall-cmd --get-default-zone, firewall-cmd --get-active-zones)
다른 방화벽 도구와의 충돌: iptables 서비스나 ufw 같은 다른 방화벽 관리 도구가 동시에 활성화되어 있으면 예상치 못한 문제가 발생할 수 있어요. Firewalld를 사용하기로 했다면 다른 방화벽 서비스는 비활성화하는 것이 좋습니다.

💡 꿀팁

설정 확인은 필수!: 변경 후에는 꼭 firewall-cmd --list-all 이나 특정 Zone 확인 명령어로 의도한 대로 설정되었는지 확인하세요.
미리 정의된 서비스 활용: firewall-cmd --get-services 명령어로 사용 가능한 서비스 목록을 확인하고 적극 활용하세요. 복잡한 포트 번호를 직접 다룰 필요가 줄어듭니다.
나만의 서비스 정의: 미리 정의된 서비스가 없다면 /etc/firewalld/services/ 디렉토리에 XML 파일을 만들어 직접 서비스를 정의할 수도 있어요.
Rich Rule 활용: Zone과 Service만으로 구현하기 어려운 복잡한 규칙은 Rich Rule을 사용하면 더 세밀하게 제어할 수 있습니다. (하지만 조금 더 복잡해요!)

마치며 🙋‍♀️

지금까지 리눅스의 똑똑한 방화벽 관리자, Firewalld에 대해 알아보았습니다. Zone과 Service라는 개념 덕분에 iptables보다 훨씬 직관적이고 편리하게 방화벽을 관리할 수 있죠? 처음에는 Zone 개념이 조금 낯설 수 있지만, 몇 번 사용해보면 금방 익숙해지실 거예요! Firewalld를 통해 여러분의 리눅스 서버 보안을 더욱 튼튼하게 만드시길 바랍니다! 💪

혹시 Firewalld를 사용하시면서 궁금했던 점이나 더 알고 싶은 내용이 있으신가요? 댓글로 알려주세요!

참고 자료 🔖

Firewalld 공식 문서: https://firewalld.org/documentation/
Red Hat Enterprise Linux 문서 - Firewalld 사용하기: https://access.redhat.com/documentation/ko-kr/red_hat_enterprise_linux/7/html/security_guide/sec-using_firewalls
DigitalOcean 튜토리얼 - Firewalld Essentials: https://www.digitalocean.com/community/tutorials/firewalld-essentials-common-firewalld-rules-and-commands

#Firewalld #리눅스 #방화벽 #네트워크보안 #서버관리 #Linux #Firewall #Security

728x90

저작자표시 비영리 변경금지

'100===Dev Ops > Firewalld' 카테고리의 다른 글

Firewalld - Linux 방화벽 관리의 새로운 표준 🔥 (1)	2024.11.17
Firewalld에서 포트 구성 방법 (0)	2024.06.12

현재글Firewalld - 리눅스 방화벽! 🔥🧱

메모리허브