돌미나리

웹 서비스를 개발하다 보면, 새로운 기능을 배포하기 전에 실제 서버와 동일한 환경에서 미리 테스트해 볼 공간이 필요합니다. 이때 기존 도메인을 활용하여 dev나 test 같은 머리말을 붙인 서브도메인을 생성하면 비용 추가 없이 독립적인 환경을 구축할 수 있습니다.

오늘은 Route 53과 Nginx를 활용하여 하나의 도메인으로 여러 개의 서비스를 스마트하게 관리하는 방법을 알아보겠습니다.

1. 서브도메인이란 무엇인가?

서브도메인은 루트 도메인(Root Domain, 예: example.com)의 왼쪽에 마침표로 구분하여 추가하는 이름입니다.

• 운영 서버 (Production): www.example.com 또는 example.com
• 개발 서버 (Development): dev.example.com
• API 서버 (API): api.example.com

이들은 각각 서로 다른 IP 주소(다른 EC2 인스턴스)를 가리키거나, 한 서버 내에서 서로 다른 포트로 연결될 수 있습니다.

2. AWS Route 53에서 서브도메인 레코드 추가하기

가장 먼저 해야 할 일은 DNS 설정에서 서브도메인이 어디로 가야 할지 이정표를 세워주는 것입니다.

1. Route 53 호스팅 영역으로 이동합니다.
2. [레코드 생성] 버튼을 클릭합니다.
3. 레코드 이름: dev (원하는 서브도메인 이름)를 입력합니다.
4. 레코드 유형: A - IPv4 주소를 선택합니다.
5. 값: 개발용으로 사용할 서버의 IP 주소를 입력합니다.

이제 dev.your-domain.com을 입력하면 해당 IP의 서버로 접속 신호가 전달됩니다.

3. Nginx 서버 블록(Virtual Host) 설정

서버에 신호가 도착했다면, Nginx가 "이건 dev로 들어온 요청이니 이 폴더를 보여줘!"라고 판단할 수 있게 설정해야 합니다.

3.1 운영 서버와 개발 서버 설정 분리

/etc/nginx/sites-available/ 디렉토리에 각각의 설정 파일을 만듭니다.

운영 서버 설정 (my-app-prod):

server {
    listen 80;
    server_name your-domain.com www.your-domain.com;

    location / {
        proxy_pass http://localhost:3000; # 운영 포트
    }
}

개발 서버 설정 (my-app-dev):

server {
    listen 80;
    server_name dev.your-domain.com;

    location / {
        proxy_pass http://localhost:4000; # 개발용 포트 또는 다른 폴더
    }
}

이렇게 server_name을 기반으로 요청을 분기하면 하나의 서버(Nginx) 안에서도 여러 서비스를 완벽히 분리하여 운영할 수 있습니다.

4. 서브도메인 활용의 장점

1. 비용 절감: 도메인을 추가로 구매할 필요가 없습니다.
2. 독립적인 테스트: 운영 중인 서비스에 영향을 주지 않고 새로운 기능을 마음껏 테스트할 수 있습니다.
3. 브랜드 통일성: 서비스의 성격에 따라 주소를 나누더라도 메인 도메인의 브랜드 가치를 유지할 수 있습니다.
4. SSL 통합 관리: Wildcard SSL 인증서(*.example.com)를 사용하면 모든 서브도메인에 한 번에 HTTPS를 적용할 수 있어 관리가 편리합니다.

5. 실무 꿀팁: 개발 서버 보안 강화

개발 서버(dev.)는 외부인에게 노출되어서는 안 되는 공간입니다. 서브도메인을 만들었다면 반드시 아래 설정을 추가하세요.

• IP 제한: 사내 IP나 본인의 IP에서만 접속할 수 있도록 Nginx 설정에서 allow 기능을 사용하세요.
• 검색 엔진 차단: 구글 봇이 개발 서버의 내용을 수집하지 않도록 robots.txt에 Disallow: / 설정을 추가하세요.
• 기본 인증: ID/PW를 입력해야 접속할 수 있는 HTTP Basic Auth를 걸어두는 것도 좋은 방법입니다.

6. 결론: 체계적인 배포 프로세스의 완성

서브도메인을 활용한 환경 분리는 단순한 기술을 넘어 배포의 안전성을 책임지는 중요한 전략입니다. 이제 dev 서버에서 충분히 테스트하고 확신이 섰을 때 www 서버로 코드를 옮기는 안전한 개발 문화를 시작해 보세요.

도메인을 구매하는 곳(가비아, 고대디 등)과 서버가 위치한 곳(AWS)이 다를 때, 초보 개발자들은 어떻게 이 둘을 연결해야 할지 막막해하곤 합니다. 단순히 IP만 연결할 수도 있지만, AWS의 Route 53을 활용하면 DNS 응답 속도가 빨라질 뿐만 아니라 SSL 인증서 발급이나 로드 밸런싱 연동이 훨씬 간편해집니다.

오늘은 외부에서 구매한 도메인을 AWS Route 53으로 가져와 내 EC2 서버와 연결하는 전 과정을 상세히 알아보겠습니다.

1. Route 53 호스팅 영역(Hosted Zone) 생성

먼저 AWS가 내 도메인 정보를 관리할 수 있도록 '방'을 만들어주어야 합니다.

1. AWS 콘솔에서 Route 53 서비스로 접속합니다.
2. [호스팅 영역 생성] 버튼을 클릭합니다.
3. 도메인 이름: 본인이 구매한 도메인(예: yumina-dev.com)을 입력합니다.
4. 유형: '퍼블릭 호스팅 영역'을 선택하고 생성을 완료합니다.

생성이 완료되면 NS(네임서버) 유형의 레코드 4개가 나타납니다. 이 주소들이 바로 외부 업체에 알려줘야 할 AWS의 주소입니다.

2. 외부 업체(가비아 등)에서 네임서버 변경하기

이제 도메인 구매 업체 사이트로 이동하여 "이 도메인의 관리 권한을 AWS에 넘기겠다"고 설정해야 합니다.

1. 가비아(또는 해당 업체) 로그인 후 **[도메인 관리] -> [네임서버 설정]**으로 이동합니다.
2. 기존에 적혀 있던 네임서버를 지우고, Route 53에서 확인한 4개의 NS 레코드를 차례대로 입력합니다.
   • 주의: 주소 끝에 있는 마침표(.)는 제외하고 입력해야 합니다.
3. 변경 내용을 저장합니다. (네임서버 정보가 전 세계로 전파되는 데는 최소 5분에서 최대 48시간이 소요될 수 있습니다.)

3. 레코드 생성을 통한 EC2 IP 연결 (A 레코드)

네임서버 연결이 끝났다면, 이제 도메인 주소를 입력했을 때 내 EC2 서버로 접속되도록 설정해야 합니다.

1. Route 53 호스팅 영역 안에서 **[레코드 생성]**을 누릅니다.
2. 레코드 이름: 비워두면 루트 도메인(example.com), www를 입력하면 www.example.com이 됩니다.
3. 레코드 유형: A - IPv4 주소 및 일부 AWS 리소스에 트래픽 라우팅을 선택합니다.
4. 값: 내 EC2 인스턴스의 탄력적 IP(Elastic IP) 주소를 입력합니다.

이제 잠시 후 브라우저에 도메인을 입력하면 내 서버의 페이지가 뜨는 것을 확인할 수 있습니다!

4. Route 53 활용의 장점: CNAME과 Alias

단순히 IP만 연결하는 것이 아니라, Route 53은 더 스마트한 기능을 제공합니다.

• CNAME 레코드: 도메인을 다른 도메인 이름으로 연결할 때 사용합니다. (예: blog.example.com을 tistory.com으로 연결)
• 별칭(Alias): AWS의 고유 기능으로, 로드 밸런서(ALB)나 CloudFront 같은 서비스의 주소가 바뀌더라도 Route 53이 알아서 추적하여 연결해 줍니다. 별도의 쿼리 비용이 들지 않아 경제적입니다.

5. 결론: 전문적인 도메인 관리의 시작

Route 53은 단순한 주소 연결 도구를 넘어, 전 세계 사용자에게 가장 빠른 경로로 서비스를 안내하는 길잡이 역할을 합니다. 가비아에서 네임서버를 한 번만 옮겨두면, 이후에는 AWS 콘솔 안에서 모든 네트워크 설정을 제어할 수 있어 관리 효율성이 극대화됩니다.

클라우드 서비스의 대명사인 AWS(Amazon Web Services)는 신규 가입자에게 12개월간 프리티어(Free Tier) 혜택을 제공합니다. 하지만 '무료'라는 말만 믿고 설정을 소홀히 했다가는 예상치 못한 과금 고지서를 받을 수 있습니다.

오늘은 내 소중한 지갑을 지키면서 AWS EC2 인스턴스를 스마트하게 운영하는 5가지 핵심 전략을 정리해 보겠습니다.

1. 프리티어 한도 정확히 이해하기

가장 먼저 내가 쓸 수 있는 자원의 양을 알아야 합니다. EC2 프리티어의 핵심 조건은 다음과 같습니다.

• 인스턴스 사용 시간: 매달 750시간 무료 (t2.micro 또는 t3.micro 기준).
• 저장 공간(EBS): 총 30GB까지 무료.
• 데이터 전송(Outbound): 인터넷으로 나가는 데이터 매달 100GB까지 무료.

2. 요금 폭탄 방지의 핵심: '결제 대시보드'와 '예산 알림'

과금을 방지하는 가장 강력한 방법은 미리 **알람(Alarm)**을 설정하는 것입니다.

2.1 Billing Alert 설정

1. AWS 콘솔에서 **[Billing & Cost Management]**로 이동합니다.
2. **[Billing preferences]**에서 'Receive Free Tier Usage Alerts'와 'Receive Billing Alerts'를 체크합니다.

2.2 AWS Budgets 활용

특정 금액(예: $1) 이상 요금이 발생할 기미가 보이면 내 이메일로 즉시 알림이 오도록 설정하세요.

• 설정 방법: [Budgets] -> [Create budget] -> [Cost budget] 선택 -> 한도 금액 설정 후 알림 수신 이메일 등록.

3. 리소스 관리의 기술: 쓰지 않는 자원 정리

의외로 많은 과금이 '인스턴스' 자체가 아닌 부수적인 자원에서 발생합니다.

• Elastic IP (탄력적 IP): 인스턴스에 연결되지 않은 채 할당만 되어 있는 고정 IP는 시간당 요금이 부과됩니다. 인스턴스를 삭제했다면 반드시 탄력적 IP도 '릴리스(Release)' 하세요.
• EBS 스냅샷: 백업을 위해 만든 스냅샷도 용량에 따라 비용이 발생합니다. 오래된 스냅샷은 주기적으로 정리하세요.
• 미사용 볼륨: 인스턴스를 삭제할 때 '종료 시 삭제' 옵션을 체크하지 않으면, 인스턴스는 사라져도 저장 장치(EBS)는 남아 계속 과금됩니다.

4. 인스턴스 유형 선택 시 주의사항

프리티어 대상은 보통 t2.micro (일부 지역은 t3.micro)입니다. 인스턴스를 생성할 때 반드시 아래와 같이 녹색으로 표시된 'Free tier eligible' 문구를 확인하세요. 실수로 다른 사양을 선택하면 생성 직후부터 요금이 발생합니다.

5. 보안 그룹(Security Group) 최적화로 트래픽 보호

악의적인 사용자가 내 서버에 무차별적인 요청을 보내 트래픽(Outbound Data Transfer)을 과도하게 발생시키면 이 또한 요금으로 이어집니다.

• 불필요한 포트 폐쇄: 앞서 배운 UFW 설정이나 AWS 보안 그룹 설정을 통해 꼭 필요한 포트만 개방하세요.
• IP 제한: 관리자 페이지나 특정 서비스는 화이트리스트 IP만 허용하여 불필요한 트래픽 낭비를 막으세요.

6. 결론: 클라우드 관리는 모니터링에서 시작됩니다

AWS 프리티어는 공부와 테스트를 위한 아주 좋은 환경이지만, 관리에 소홀하면 독이 될 수 있습니다. 매주 한 번은 Billing Dashboard에 접속하여 사용량을 체크하는 습관을 들이세요.

리눅스 서버를 운영하며 로그를 살펴보면, 전 세계에서 수많은 IP가 내 서버의 SSH 포트(22번 등)로 접속하기 위해 끊임없이 로그인을 시도하는 것을 볼 수 있습니다. 이를 **무차별 대입 공격(Brute-force Attack)**이라고 합니다.

비밀번호를 아무리 어렵게 설정해도 수만 번의 시도가 반복되면 서버 자원이 낭비되고 보안 위협이 커집니다. 오늘은 이러한 공격을 실시간으로 감시하고, 일정 횟수 이상 실패하면 해당 IP를 자동으로 차단해 주는 든든한 파수꾼, Fail2Ban의 설치 및 설정법을 알아보겠습니다.

1. Fail2Ban이란 무엇인가?

Fail2Ban은 로그 파일을 분석하여 악의적인 활동을 하는 IP를 찾아내고, 방화벽(UFW, iptables 등)을 통해 해당 IP의 접속을 일정 시간 동안 금지(Ban)시키는 보안 프레임워크입니다.

1.1 주요 작동 방식

1. 로그 모니터링: SSH, Nginx, MySQL 등 서비스의 로그 파일을 실시간으로 읽습니다.
2. 패턴 매칭: 'Password fail' 같은 특정 실패 패턴이 반복되는지 확인합니다.
3. 자동 차단: 설정된 횟수(예: 5회)를 초과하면 해당 IP를 방화벽 규칙에 추가하여 차단합니다.

2. Fail2Ban 설치 및 기본 설정

2.1 설치하기

우분투 환경에서는 패키지 매니저를 통해 간단히 설치할 수 있습니다.

sudo apt update
sudo apt install fail2ban -y

2.2 설정 파일 관리 (.local 파일 생성)

Fail2Ban의 기본 설정 파일은 /etc/fail2ban/jail.conf입니다. 하지만 업데이트 시 초기화될 수 있으므로, 복사본인 .local 파일을 만들어 수정하는 것이 관례입니다.

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

3. 핵심 보안 정책 설정 (jail.local)

설정 파일 내의 [DEFAULT] 섹션에서 전역 정책을 결정합니다.

• ignoreip: 차단에서 제외할 IP (본인의 PC IP를 등록하여 본인이 차단되는 것을 방지하세요).
• bantime: 차단할 시간 (예: 1h는 1시간, -1은 영구 차단).
• findtime: 실패 횟수를 계산할 시간 범위 (예: 10m 동안 5번 실패 시 차단).
• maxretry: 허용되는 최대 실패 횟수.

3.1 SSH 보호 활성화 예시

파일 하단의 [sshd] 섹션을 찾아 아래와 같이 활성화합니다.

[sshd]
enabled = true
port    = ssh
filter  = sshd
logpath = %(sshd_log)s
maxretry = 5
bantime = 1d

(위 설정은 10분 내에 5번 로그인 실패 시 해당 IP를 하루 동안 차단합니다.)

4. 서비스 실행 및 상태 확인

설정을 마쳤다면 서비스를 재시작하여 적용합니다.

sudo systemctl restart fail2ban
sudo systemctl enable fail2ban

4.1 현재 차단된 IP 목록 확인

Fail2Ban이 열일하고 있는지 확인해 봅시다.

# SSH 서비스에 대한 차단 상태 확인
sudo fail2ban-client status sshd

명령어를 실행하면 현재 감시 중인 IP 수와 실제로 차단된(Banned) IP 목록이 나타납니다.

4.2 실수로 차단된 내 IP 해제하기

만약 본인이 차단되었다면 다른 네트워크에서 접속하여 아래 명령어로 해제할 수 있습니다.

sudo fail2ban-client set sshd unbanip [내IP주소]

5. 결론: 자동화된 보안의 힘

Fail2Ban은 관리자가 잠든 사이에도 서버를 공격으로부터 지켜주는 가장 효율적인 보안 도구입니다. UFW 방화벽이 성벽이라면, Fail2Ban은 성벽을 넘으려는 침입자를 감시하고 포획하는 경비병과 같습니다.

서버를 운영하다 보면 매일 특정 시간에 데이터베이스를 백업하거나, 매주 월요일마다 임시 파일을 정리해야 하는 상황이 생깁니다. 이런 반복적인 작업을 사람이 일일이 수동으로 하는 것은 비효율적일 뿐만 아니라 실수할 위험도 큽니다.

리눅스 시스템에는 이러한 작업을 예약하고 자동으로 실행해 주는 **크론(Cron)**이라는 강력한 도구가 있습니다. 오늘은 크론의 설정 파일인 **크론탭(Crontab)**의 문법부터 실전 활용 사례까지 상세히 알아보겠습니다.

1. 크론탭(Crontab)이란 무엇인가?

**크론(Cron)**은 리눅스용 시간 기반 잡 스케줄러입니다. 그리고 **크론탭(Crontab)**은 크론 작업(Cron Job)을 설정하는 테이블(Table) 형태의 파일을 말합니다.

사용자가 크론탭에 특정 시간과 실행할 명령어를 등록해 두면, 시스템은 백그라운드에서 대기하다가 정해진 시간에 맞춰 해당 명령을 자동으로 수행합니다.

2. 크론탭 기본 명령어

터미널에서 크론탭을 관리하기 위한 기본 명령어 3가지는 다음과 같습니다.

• crontab -e: 크론탭 설정을 편집합니다. (가장 많이 사용)
• crontab -l: 현재 예약된 크론 작업 목록을 출력합니다.
• crontab -r: 예약된 모든 크론 작업을 삭제합니다. (주의해서 사용)

3. 크론탭 주기 설정 문법 (별 5개의 의미)

크론탭 설정은 한 줄에 5개의 시간 단위와 실행할 명령어를 공백으로 구분하여 작성합니다.

* * * * * [실행할 명령어]
┬  ┬  ┬  ┬  ┬
│  │  │  │  └─ 요일 (0-6, 0:일요일)
│  │  │  └─ 월 (1-12)
│  │  └─ 일 (1-31)
│  └─ 시 (0-23)
└─ 분 (0-59)

3.1 실전 설정 예시

• 매분 실행: * * * * * /path/to/script.sh
• 매일 새벽 3시에 실행: 0 3 * * * /path/to/backup.sh
• 매주 월요일 오전 9시에 실행: 0 9 * * 1 /path/to/report.sh
• 10분마다 실행: */10 * * * * /path/to/check.sh
• 평일(월~금) 오후 6시에 실행: 0 18 * * 1-5 /path/to/work.sh

4. 크론탭 작성 시 주의사항 (트러블슈팅)

초보자들이 크론탭을 설정하고 가장 당황하는 순간은 "명령어가 제대로 실행되지 않을 때"입니다. 이를 방지하기 위한 팁입니다.

4.1 절대 경로 사용

크론은 일반적인 터미널 환경과 환경 변수(PATH)가 다릅니다. 따라서 python이나 node 같은 명령어를 쓸 때도 반드시 절대 경로를 사용해야 합니다.

• 잘못된 예: python3 script.py
• 올바른 예: /usr/bin/python3 /home/user/script.py

4.2 실행 로그 남기기

크론은 백그라운드에서 돌아가기 때문에 성공 여부를 알기 어렵습니다. 리다이렉션을 사용해 로그를 남기는 습관을 들이세요.

0 3 * * * /home/user/backup.sh >> /home/user/logs/cron.log 2>&1

4.3 권한 확인

실행하려는 스크립트 파일(.sh 등)에 실행 권한(chmod +x)이 있는지 확인해야 합니다.

5. 실전 활용 사례: DB 자동 백업 및 로그 정리

서버 관리자가 가장 흔히 사용하는 자동화 조합입니다.

# 매일 밤 12시에 DB 백업 스크립트 실행
0 0 * * * /home/user/scripts/db_backup.sh

# 매주 일요일 새벽 4시에 7일 지난 임시 파일 삭제
0 4 * * 0 find /tmp -mtime +7 -delete

6. 결론: 자동화로 서버 관리의 자유를 찾으세요

크론탭은 한 번 제대로 설정해 두면 서버가 돌아가는 동안 묵묵히 제 역할을 수행하는 든든한 조수입니다. 반복 업무를 자동화함으로써 여러분은 더 중요한 개발 업무에 집중할 수 있는 시간을 벌게 됩니다.

데이터베이스(DB)에는 서비스의 가장 소중한 자산인 사용자 정보와 비즈니스 데이터가 담겨 있습니다. 하지만 로컬 개발 환경에서 서버의 DB에 접속하기 위해 3306(MySQL)이나 5432(PostgreSQL) 포트를 전 세계에 개방하는 것은 매우 위험한 행동입니다.

오늘은 DB 포트를 외부에 노출하지 않고도, 마치 내 컴퓨터에 있는 DB처럼 안전하게 접속할 수 있게 해주는 SSH 터널링(SSH Tunneling) 기법을 상세히 알아보겠습니다.

1. 왜 DB 포트를 직접 열면 안 되는가?

대부분의 DB 엔진은 보안 취약점이 발견될 수 있으며, 기본 포트가 널리 알려져 있어 무차별 대입 공격(Brute-force)의 주 타겟이 됩니다.

• 보안 위험: 포트가 열려 있다는 것만으로도 해커는 공격의 실마리를 찾습니다.
• 데이터 유출: 암호화되지 않은 연결을 사용할 경우 중간에서 데이터가 탈취될 수 있습니다.

따라서 가장 권장되는 방식은 방화벽에서 DB 포트를 완전히 차단하고, 인증된 사용자만 SSH라는 보안 통로를 통해 우회 접속하는 것입니다.

2. SSH 터널링(포트 포워딩)의 원리

SSH 터널링은 내 PC(Local)와 서버(Remote) 사이에 암호화된 '터널'을 뚫는 기술입니다. 내 PC의 특정 포트로 보내는 신호를 SSH 터널을 통해 서버 내부의 DB 포트로 전달하는 방식입니다.

사용자 입장에서는 localhost:3307로 접속하지만, 실제로는 서버의 3306 포트에 안전하게 연결되는 마법 같은 일이 일어납니다.

3. 터미널 명령어로 SSH 터널 뚫기

별도의 도구 없이 터미널(Terminal)이나 CMD에서 아래 명령어로 터널을 생성할 수 있습니다.

# 기본 명령어 구조
ssh -L [로컬포트]:localhost:[서버DB포트] [서버계정]@[서버IP]

# 예시: 내 PC의 3307 포트를 서버의 3306(MySQL) 포트와 연결
ssh -L 3307:localhost:3306 yumina@1.23.456.78

• -L: 로컬 포트 포워딩을 의미합니다.
• 3307: 내 PC에서 사용할 임시 포트입니다. (기존 DB와 충돌을 피하기 위해 보통 다른 번호를 씁니다.)
• localhost:3306: 서버 입장에서 본 DB의 주소와 포트입니다.

이 명령어를 실행한 채로 터미널을 열어두면 터널이 유지됩니다.

4. GUI 도구(DBeaver, MySQL Workbench) 설정법

명령어가 익숙하지 않다면, 자주 사용하는 DB 관리 도구에서도 클릭 몇 번으로 설정이 가능합니다.

4.1 DBeaver 기준 설정 단계

1. Connection Settings에서 상단 탭의 SSH를 선택합니다.
2. Use SSH Tunnel 체크박스를 활성화합니다.
3. 서버의 IP, 사용자 이름, 인증 방식(비밀번호 또는 SSH Key)을 입력합니다.
4. 다시 Main 탭으로 돌아와서 Host는 localhost, Port는 서버 내부의 포트(3306 등)를 입력합니다.

이렇게 설정하면 연결 버튼을 누를 때마다 DBeaver가 자동으로 터널을 생성하고 접속해 줍니다.

5. 실무 적용 팁: 보안 강화하기

SSH 터널링을 사용할 때 방화벽(UFW) 설정을 함께 챙겨야 보안이 완성됩니다.

• DB 포트 차단: sudo ufw deny 3306 명령어로 외부에서의 직접 접속을 원천 차단하세요.
• SSH 전용 계정: DB 접속 전용 SSH 계정을 만들고 권한을 최소화하면 더욱 안전합니다.
• SSH 키 인증: 비밀번호 대신 SSH 키(Key) 방식을 사용하면 터널링의 보안 수준이 비약적으로 상승합니다.

6. 결론: 보안과 편리함은 공존할 수 있습니다

SSH 터널링은 인프라 보안의 정석과도 같은 기술입니다. 처음에는 조금 번거롭게 느껴질 수 있지만, 소중한 데이터를 보호하기 위해 반드시 익혀야 할 필수 스킬입니다.