원격 포트 포워딩 설정

원격 포트 포워딩 개념

원격 포트 포워딩(remote port forwarding)은 원격 서버에서 로컬 서버로의 트래픽을 전달하는 기술로, 이를 통해 클라이언트가 원격 서버에 특정 포트를 열어 두고, 그 포트로 들어오는 트래픽을 클라이언트 측의 로컬 서버로 전달하는 방식이다. 원격 포트 포워딩은 보안이 필요한 통신이나 접근이 어려운 서버에 대한 우회 접근에 유용하다.

원격 포트 포워딩은 SSH 클라이언트를 사용하여 설정되며, SSH 서버는 포트를 열어 두고 해당 포트로 들어오는 연결을 클라이언트 측에서 지정한 서버로 전달한다. 이를 통해 로컬 네트워크에 속한 서버나 서비스에 외부에서 접근이 가능해진다.

SSH를 이용한 원격 포트 포워딩

SSH를 통해 원격 포트 포워딩을 설정하기 위해서는 -R 옵션을 사용해야 한다. 이 옵션은 SSH 서버에서 지정된 포트를 열고, 이 포트로 들어오는 모든 트래픽을 클라이언트 측의 지정된 호스트와 포트로 전달한다.

ssh -R [원격 포트]:[로컬 IP]:[로컬 포트] [원격 사용자]@[원격 호스트]

원격 포트: 원격 서버에서 열 포트
로컬 IP: 로컬 네트워크 내에서 접근할 호스트의 IP 주소
로컬 포트: 전달할 트래픽을 수신할 로컬 서버의 포트
원격 사용자: 원격 서버의 사용자 계정
원격 호스트: 원격 서버의 주소

예를 들어, 원격 서버의 8080 포트를 열고, 그 포트로 들어오는 모든 트래픽을 로컬 서버의 3000 포트로 전달하려면 다음 명령을 사용할 수 있다:

ssh -R 8080:localhost:3000 user@remote_server

이 명령을 실행하면, 원격 서버에서 8080 포트로 들어오는 트래픽은 클라이언트의 로컬 서버(여기서는 localhost)의 3000 포트로 전달된다.

수학적 모델링

포트 포워딩을 수학적으로 표현하면, 원격 서버의 포트 $\mathit{P_R}$ 에서 들어오는 트래픽이 로컬 서버의 포트 $\mathit{P_L}$ 로 전달된다고 할 수 있다. 이때 전달되는 트래픽은 다음과 같은 관계로 표현될 수 있다:

$\mathbf{T_R} \rightarrow \mathbf{T_L}$

여기서, - $\mathbf{T_R}$ : 원격 서버의 포트 $\mathit{P_R}$ 로 들어오는 트래픽 - $\mathbf{T_L}$ : 로컬 서버의 포트 $\mathit{P_L}$ 로 전달되는 트래픽

따라서, 원격 포트 포워딩은 트래픽 $\mathbf{T_R}$ 가 SSH 터널을 통해 로컬 서버로 안전하게 전달되도록 한다.

SSH 서버 설정 변경

원격 포트 포워딩을 사용하려면 SSH 서버의 설정을 변경해야 할 수도 있다. 일반적으로 SSH 서버는 기본적으로 원격 포트 포워딩을 허용하지 않으므로, /etc/ssh/sshd_config 파일에서 설정을 수정해야 한다. 해당 파일에서 GatewayPorts 옵션을 활성화해야 한다:

GatewayPorts yes

이 옵션을 활성화하면 SSH 서버가 원격 포트 포워딩을 허용하게 된다. 설정 변경 후에는 SSH 데몬을 재시작해야 한다:

sudo systemctl restart sshd

원격 포트 포워딩의 보안 고려 사항

원격 포트 포워딩은 매우 유용하지만, 보안상 주의할 점이 있다. 원격 서버에 포트를 열어 두고 그 포트로 들어오는 모든 트래픽을 로컬 서버로 전달하게 되므로, 신뢰할 수 없는 클라이언트가 이 포트를 사용하여 공격을 시도할 수 있다.

이러한 보안 위협을 방지하기 위해, 다음과 같은 방어 조치를 고려할 수 있다:

SSH 인증 방법 강화: 비밀번호 대신 공개키 인증 방식을 사용하여 SSH 접속의 보안을 강화할 수 있다.
IP 제한: 원격 포트 포워딩을 사용하는 경우, 특정 IP 주소에서만 포트를 사용할 수 있도록 제한을 걸 수 있다. AllowUsers 또는 AllowGroups 설정을 사용하여 SSH 접근을 제한할 수 있다.
포트 제한: 너무 많은 포트를 열어두면 보안 위협이 커질 수 있으므로, 포트 포워딩에 사용할 포트 수를 제한하거나, 접근 가능한 포트를 명시적으로 설정하는 것이 좋다.
방화벽 사용: 원격 서버의 방화벽을 사용하여 외부에서 포트로 접근할 수 있는 IP 범위를 제한하거나, 포트 포워딩이 필요하지 않은 경우에는 해당 포트를 차단할 수 있다.

원격 포트 포워딩의 사용 사례

원격 포트 포워딩은 다양한 상황에서 유용하게 사용될 수 있다. 특히 내부 네트워크에 있는 서버나 서비스를 외부에서 접근해야 할 때 주로 사용된다.

사례 1: 내부 웹 서버에 접근하기

클라이언트는 원격 서버의 8080 포트를 열고, 이 포트를 통해 로컬 네트워크의 내부 웹 서버에 접근할 수 있다. 예를 들어, 로컬 서버의 웹 애플리케이션이 3000 포트에서 실행 중이라고 가정한다면, 원격 서버의 8080 포트에 접속하여 웹 애플리케이션에 접근할 수 있다.

ssh -R 8080:localhost:3000 user@remote_server

이 명령은 외부 사용자가 http://remote_server:8080으로 접속하면 로컬 서버의 3000 포트에서 실행 중인 웹 애플리케이션으로 트래픽을 전달하게 한다.

사례 2: 로컬 데이터베이스에 원격 접근 허용

로컬 네트워크에서만 접근 가능한 데이터베이스를 외부에서 사용해야 하는 경우, 원격 포트 포워딩을 설정하여 안전하게 외부에서 데이터베이스에 접근할 수 있다. 예를 들어, 로컬 데이터베이스가 5432 포트에서 실행 중이라면, 다음 명령을 통해 외부에서 접근할 수 있다:

ssh -R 5432:localhost:5432 user@remote_server

이 경우 원격 서버의 5432 포트로 들어오는 모든 트래픽은 로컬 서버의 데이터베이스로 전달된다. 외부 사용자는 remote_server의 5432 포트로 접속하여 로컬 데이터베이스에 접근할 수 있게 된다.

포트 재사용 및 중복 방지

원격 포트 포워딩을 사용할 때 같은 원격 서버에서 동일한 포트를 여러 개 열 수는 없다. 이는 시스템 자원 충돌을 일으킬 수 있으며, SSH 서버는 동일 포트가 여러 번 바인딩되는 것을 허용하지 않는다.

따라서, 포트 포워딩을 설정할 때 원격 서버에서 사용할 포트를 신중히 선택해야 하며, 충돌을 방지하기 위해 포트가 이미 사용 중인지 확인해야 한다.

다중 원격 포트 포워딩

원격 포트 포워딩을 동시에 여러 개 설정할 수도 있다. 이는 특히 여러 서비스나 서버에 동시에 접근해야 하는 경우 유용하다. 다중 포트 포워딩을 설정하려면, 각 포트에 대해 별도의 -R 옵션을 지정하면 된다.

예를 들어, 다음과 같이 여러 포트를 포워딩할 수 있다:

ssh -R 8080:localhost:3000 -R 5432:localhost:5432 user@remote_server

이 명령은 원격 서버의 8080 포트는 로컬 서버의 3000 포트로, 5432 포트는 로컬 서버의 5432 포트로 트래픽을 전달하게 된다. 즉, 원격 서버에서 두 개의 다른 포트를 사용하여 각기 다른 로컬 서비스에 접근할 수 있게 된다.

원격 포트 포워딩과 로컬 포트 포워딩 비교

원격 포트 포워딩과 로컬 포트 포워딩은 비슷한 개념이지만, 트래픽 흐름의 방향이 다르다.

로컬 포트 포워딩: 클라이언트 측에서 포트를 열고, 그 포트로 들어오는 트래픽을 원격 서버로 전달한다. 로컬 포트 포워딩은 클라이언트가 외부의 특정 서비스에 접근할 때 주로 사용된다.

예:

$\mathbf{T_L} \rightarrow \mathbf{T_R}$

여기서 $\mathbf{T_L}$ 는 로컬 포트에서 들어오는 트래픽, $\mathbf{T_R}$ 는 원격 서버로 전달되는 트래픽이다.

원격 포트 포워딩: 원격 서버 측에서 포트를 열고, 그 포트로 들어오는 트래픽을 클라이언트의 로컬 서버로 전달한다. 원격 포트 포워딩은 외부에서 로컬 네트워크에 있는 서비스에 접근할 때 유용하다.

예:

$\mathbf{T_R} \rightarrow \mathbf{T_L}$

여기서 $\mathbf{T_R}$ 는 원격 포트에서 들어오는 트래픽, $\mathbf{T_L}$ 는 로컬 서버로 전달되는 트래픽이다.

이 두 방식 모두 SSH를 통해 보안 터널을 사용하여 데이터를 전송하지만, 사용 목적에 따라 선택해야 한다.

포트 사용 충돌 방지

여러 클라이언트가 동시에 동일한 원격 서버에서 포트 포워딩을 설정하는 경우, 포트 충돌이 발생할 수 있다. 같은 포트 번호를 두 번 이상 사용할 수 없으므로, 각 클라이언트는 다른 포트를 사용해야 한다.

충돌을 방지하기 위해 다음과 같은 방법을 고려할 수 있다:

포트 범위 설정: 클라이언트 간의 협의 또는 설정을 통해 서로 다른 포트 범위를 사용할 수 있도록 지정할 수 있다.
자동 포트 할당: SSH 클라이언트의 -R 옵션에서 원격 포트 번호를 0으로 설정하면, 시스템이 사용 가능한 포트를 자동으로 할당한다.

ssh -R 0:localhost:3000 user@remote_server

이 명령은 원격 서버에서 사용 가능한 임의의 포트를 선택하여 포워딩을 설정한다. 실제로 할당된 포트 번호는 SSH 클라이언트에 출력된다.

원격 포트 포워딩에서 사용할 수 있는 추가 옵션

SSH 원격 포트 포워딩을 더욱 세밀하게 설정할 수 있는 몇 가지 추가 옵션이 있다. 이러한 옵션들은 포트 포워딩을 좀 더 안전하고 효율적으로 관리할 수 있도록 도와준다.

GatewayPorts 옵션

기본적으로 SSH는 원격 포트 포워딩을 설정할 때, 원격 서버의 로컬 인터페이스(127.0.0.1)만 포워딩을 허용한다. 즉, 원격 서버의 로컬 네트워크에서만 포트에 접근할 수 있다. 그러나 GatewayPorts 설정을 사용하면, 외부 네트워크에서도 이 포트에 접근할 수 있도록 허용할 수 있다.

/etc/ssh/sshd_config 파일에서 GatewayPorts 옵션을 수정하여 이를 활성화할 수 있다.

GatewayPorts yes

GatewayPorts는 다음과 같이 설정할 수 있다:

no: 원격 서버의 로컬 인터페이스에서만 포워딩 허용 (기본값)
clientspecified: 클라이언트가 포트 포워딩을 설정할 때 외부 인터페이스에 접근할 수 있는지 결정
yes: 모든 인터페이스에서 포워딩 허용

예를 들어, 원격 서버에서 외부 네트워크에서도 포트 포워딩을 허용하려면 GatewayPorts yes로 설정하고 SSH 데몬을 재시작하면 된다.

sudo systemctl restart sshd

PermitOpen 옵션

SSH 포트 포워딩을 허용할 때, SSH 서버가 어느 호스트와 포트로 연결을 허용할지를 PermitOpen 옵션을 통해 제한할 수 있다. 이 설정은 SSH 포트 포워딩의 보안을 강화하는 데 유용하다. /etc/ssh/sshd_config 파일에서 이 설정을 적용할 수 있다.

PermitOpen host:port

여러 개의 호스트와 포트를 지정하려면 공백으로 구분하여 나열하면 된다:

PermitOpen host1:port1 host2:port2

또한, 모든 포트 포워딩을 허용하지 않으려면 PermitOpen none으로 설정할 수 있다.

PermitOpen none

이 설정을 통해 특정 호스트와 포트로만 트래픽이 전달되도록 제한할 수 있어, 포트 포워딩 사용 시 보안 위협을 줄일 수 있다.

AllowTcpForwarding 옵션

SSH 서버에서 포트 포워딩 자체를 허용하거나 금지하는 설정이다. 이를 통해 서버 관리자는 원격 포트 포워딩뿐만 아니라 로컬 포트 포워딩도 제어할 수 있다. /etc/ssh/sshd_config 파일에서 이 설정을 제어할 수 있다.

AllowTcpForwarding yes

yes: TCP 포트 포워딩 허용 (기본값)
no: TCP 포트 포워딩 비활성화

이 옵션은 보안 정책에 따라 TCP 포트 포워딩을 비활성화하고자 할 때 유용하다. 예를 들어, 특정 상황에서 포트 포워딩을 제한해야 할 경우 이 설정을 통해 간편하게 비활성화할 수 있다.

SSH 원격 포트 포워딩의 실전 예제

원격 포트 포워딩은 다양한 상황에서 사용될 수 있으며, 특히 보안이 필요한 환경에서 유용하다. 실제 환경에서 사용할 수 있는 몇 가지 예제를 통해 그 활용 방법을 살펴보자.

예제 1: 외부 네트워크에서 내부 서비스에 접근하기

내부 네트워크에서만 접근 가능한 서비스(예: 사내 CRM 시스템)를 외부에서 사용하려면 원격 포트 포워딩을 설정할 수 있다. 예를 들어, CRM 시스템이 로컬 네트워크의 8080 포트에서 실행 중인 경우, 외부 사용자가 원격 서버의 9000 포트를 통해 CRM 시스템에 접근할 수 있도록 설정할 수 있다.

ssh -R 9000:localhost:8080 user@remote_server

이 명령을 실행하면 원격 서버의 9000 포트로 들어오는 트래픽이 내부 네트워크의 8080 포트로 전달되므로, 외부 사용자는 http://remote_server:9000을 통해 CRM 시스템에 접근할 수 있다.

예제 2: 외부에서 데이터베이스 서버에 접근하기

회사 내부에서만 접근할 수 있는 데이터베이스 서버에 원격으로 접근해야 하는 상황이 있을 수 있다. 이 경우 원격 포트 포워딩을 사용하여 외부에서 안전하게 데이터베이스에 연결할 수 있다.

예를 들어, 로컬 네트워크에서 5432 포트에서 실행 중인 PostgreSQL 서버에 원격 서버의 15432 포트를 통해 접근하려면 다음 명령을 사용할 수 있다.

ssh -R 15432:localhost:5432 user@remote_server

이 명령을 통해 원격 서버의 15432 포트로 들어오는 트래픽이 로컬 네트워크의 5432 포트로 전달되므로, 외부 사용자는 remote_server:15432를 통해 PostgreSQL 서버에 접근할 수 있다.