[📊정보] 나스 포트 포워딩, VPN 쓸까말까 (질문글 답변 겸 정보글)

[메카닉수붕이(dcsmi)]

원본 질문 글:

https://gall.dcinside.com/mgallery/board/view/?id=sff&no=674460

나스 뉴비 몇개 질문좀 받아주세오

질문 :

1. 공유기 포트포워딩 + 시놀방화벽(해외IP차단) + HTTPS 인증서 + 리버스프록시

1번은 말그대로

공유기에 443/80포트를 포트포워딩해주고 리버스프록시(nginx)가 내부 프로그램으로 연결해줌

접속은 사실상 역방향프록시로만 되기 때문에 HTTPS 인증서를 하나만 관리해도 돼서 편리하다.

단점은 보안이 VPN보다 취약하다?

추가)

DDNS 설정하기 귀찮으면 [설정 -> 외부 엑세스 -> DDNS 추가] 들어가서 DDNS 호스팅 업체 있는걸로 쓰면 충분함

클라우드플레어나 가비아처럼 나름 유명하거나, 한국 서비스는 없어서 어려울 순 있지만

클플 같은 경우에 파이썬 스크립트 한 번 실행하면 추가할 수 있고(ssh 한번 들어가야됨)

가비아는 모름, 서버 관련된 것들 기능 쓰려면 일단 한국 업체는 98.765% 지원이 안되니깐 그냥 구글 DNS 쓰셈

답변 1:

시놀로지 웹 서비스 포트 5000, 5001번 노출해주고

리버스프록시

80번 포트 -> <님 헤놀 IP>:5000번 포트

443번 포트 -> <님 헤놀 IP>:5001번 포트

매핑(1대1 연결)을 해주면 되는건 맞음

여기서 리버스프록시를 어디에 설치하는지가 정확히 안나와서 잘 모르겠지만

실제 nginx.conf 파일 수정이 가능한 경우 HTTP 요청을 HTTPS로 보내게끔 만드는 리다이렉트(redirect)하게끔 만들어서

80번 포트, 즉 HTTP로 들어오는 요청을 HTTPS로 다시 보내게끔 만들면 안전함

여기까지 안전하다는 의미는 HTTPS로만 접속할 수 있는 상황에서의 "안전"을 의미함

HTTPS 접속되고 나서 브루트포스(Brute Froce, 무차별 대입 기법 ; 비밀번호 다 때려박기)로 접속을 시도하는 경우의 문제가 발생할 수 있는데

이거는 시놀 패키지 따로 설치안해도 ~분 이내 자동으로 로그인 접속차단 때릴거라서 괜찮음

단, 프록시 설정 시에 클라이언트(접속하는 사람의 IP) 주소를 시놀로지가 알아볼 수 있게끔 포워딩(전달) 해야하는데

이게 x-forward option 이라고 있음. 찾아보는게 더 유용할 거 같으니 혹시나 nginx 직접 구성해야할 경우 저 옵션을 추가해야함

왜냐면 시놀로지 입장에서는 리버스프록시(말 그대로 대리자)가 대신 요청을 전달하는 상황이라 실제 외부 IP, 쉽게 말하면 통피를 볼 수 없는 상황임.

+

HTTP(80번 포트)를 열어둬야하는 이유는 브라우저 도메인에 주소 입력하면

예를 들어 주소에 www.naver.com 이라고 엔터를 치면

브라우저는 자동으로 HTTP://www.naver.com 으로 해석하기 때문에 80번 포트는 리다이렉트(redirect)하는 용도로만 열어두는 것이 옳음

+

아수스 공유기 기능에 nginx 설치하는건지 아니면 시놀로지의 리버스 프록시를 의미하는지는 불분명해서

일단은 리버스프록시가 따로 있다는 것을 전제하에 설명했는데

그런게 아닌 경우에는 그냥 공유기 들어가서

80번 포트 - <시놀 IP>:5000

443번 포트 - <시놀 IP>:5001

이렇게 바로 1:1로 매핑하는게 더 안전하고 쉬움

nginx가 유명한건 알지만 홈서버를 따로 둬서 시놀로지 기능 외에 본인 웹사이트를 띄우는게 아니라면 저게 더 안전함

시놀도 서버니깐 자체적으로 방어 기능은 가지고 있음.

악의적으로 누가 DDOS를 걸어도 아마 시놀이 뻗기 전에 집 통신망 요금제 500Mbps 대역폭 꽉차서 공격도 제대로 못들어옴

그리고 시놀이라도 500Mbps 정도는 처리할 수 있음

+

단점으로 VPN보다 취약하다는 건 맞음

왜냐면 VPN 프로파일이 아무래도 비밀번호 평문(그냥 손으로 타이핑하는거 10~32글자)보다 길고 복잡하기 때문에 VPN만 쓸 경우 안전한건 맞음

------------

2. VPN

2번은

단말기에 VPN서버(내 경우 WireGuard)를 구축하고, 해당 VPN서버의 포트를 공유기에 포트포워딩

이후 해당 VPN서버에 인증서를 통해 접속하면 내부망에 접속된것처럼 내부서비스를 사용가능

이렇게 이해했는데 이게 맞다면 궁금한게

1번 방법으로 접속하는 경우에는 내가 리버스프록시에 등록해둔 내부프로그램만 접속가능한거고 등록안한 내부망의 경우는 접속이 불가능한건가?

거의 혼자 쓸 예정인데 만약에 웹드라이브들처럼 NAS에 올라간 파일을 공유해줄일이 있을경우에는 1번을 통해 외부접속을 열어둬야 가능한거지?

괜히 열었다가 마구마구 털릴까봐 무섭다..

나스에는 아직 뭐 정보들 올려둔게 없긴한데..

그리고 ASUS공유기에 방화벽 설정하는게 있던데 여기에도 나스에 설정해둔거처럼 해외IP접속 차단 걸어두는게 좋을까용

답변 2:

시놀로지 웹으로 들어가서 서비스 이용하는 거라면 위에 5000, 5001 포트 열어두는 것으로 충분

구글 드라이브 웹으로 접속하는 거처럼 ㅇㅇ

파일 공유는 [ 시놀 웹 페이지 -> File Station -> 우클릭 -> 공유 ] 하면 링크 만들어주는데

본인이 접속하는 본인 시놀 DDNS(도메인) 접속 권한을 해지하고(시놀 계정 없이) 볼 수 있는 링크를 만들어줌

고급 옵션에 언제까지 접속할 수 있는지 시간 설정할 수 있으니깐 만져보셈

[컨트롤캐럿(controlcaret)]

설명굳

[흰오리(lameduck1)]

이렇게보면 DSM이 GUI기반주제에 할수있는게 개많고 잘만들긴했어

[메카닉수붕이(dcsmi)]

ㅇㅇ 근데 시스템이 기형적이라 그냥 쓸 줄 알면 트루나스 쓰거나 흙수저 시놀 2베이 사는게 정신건강에 이롭다는게 내 결론

[해당 댓글은 삭제되었습니다.]

해당 댓글은 삭제되었습니다.

[메카닉수붕이(dcsmi)]

근데 이건 님 집 네트워크 구성 보여주는거 아닌 이상 뭘 알려줘도 쓸모없을 가능성이 큼

[메카닉수붕이(dcsmi)]

자려고 누우려다가 댓글로 질문글 받아주려다 답답해서 일단 놋북 켜서 쓰긴했는데 사진 첨부가 귀찮아서 못했다

[메카닉수붕이(dcsmi)]

내부 기능별로 도메인 주소처럼 따로 쓰려고 nginx, NPM(Nginx Proxy Manager) 쓰는 글 본거 같은데 맞음. 틀린거 아님 시놀 내부 기능에 [역방향 프록시], 없으면 패키지 매니저 찾아보면 있는데 그게 곧 nginx임

[메카닉수붕이(dcsmi)]

시놀한테 님 집ip 주소의 닉네임(유동닉) == 도메인

[메카닉수붕이(dcsmi)]

일단 시놀한테 80,443 트래픽으로 네트워크 요청이 오는데, 도메인+서브도메인으로 요청하는데 a.dc.com 으로 오는 요청은 PLEX로~ , ss.dc.com은 시놀로지 포토스테이션으로~ 해주는게 리버스 프록시의 기능

[메카닉수붕이(dcsmi)]

nginx 가 유명한 리버스프록시라서 표현을 저렇게 한거고(혼동 ㅈㅅ) 리버스폭시는 DSM(시놀 OS) 기능에 있어서 따로 설치안하고 시놀 DDNS 기능 사용 동시에 기본으로 깔려있는 프록시 기능쓰면 더 편할것이다 라는 의미

[메카닉수붕이(dcsmi)]

시놀로지 내부 프로세스를 까보진 않았지만 리버스 프록시 기능은 높은확률로 어차피 개나소나 nginx으로 만들었을게 뻔해서 그냥 nginx==리버스프록시 라고 부른것 (관용적 표현)