Linux 방화벽 보안: iptables 대 nftables

이 블로그 글의 AI 요약으로 바로 가기

주요 내용

nftables는 리눅스 방화벽의 최신 표준으로, 대부분의 주요 배포판에서 iptables를 대체하고 있습니다.
기본적으로 모든 연결을 차단하고 필요한 포트만 허용하며, 재부팅 후에도 규칙이 유지되는 것이 안전한 리눅스 방화벽 설정의 기본 원칙입니다.
방화벽 설정은 한 번만 해두면 끝나는 작업이 아닙니다. 규칙을 정기적으로 검토하고, 로그를 모니터링하며, 소프트웨어를 최신 상태로 유지하는 것이 필수적입니다.

방화벽이 잘못 설정되면 데이터 유출의 주요 원인이 됩니다. 특히 리눅스를 사용 중이라면 방화벽을 올바르게 설정하는 것이 매우 중요합니다. 리눅스 방화벽은 무단 접근을 막는 첫 번째 방어선이며, 다행히도 리눅스는 시스템을 신속하게 보호할 수 있는 강력하고 유연한 도구를 제공합니다. 이 가이드에서는 가장 효과적인 리눅스 방화벽 옵션과 단계별 설정 방법, 그리고 보안 팀이 시스템을 안전하게 보호하기 위해 따르는 모범 사례를 알아보겠습니다.

Linux 방화벽 이해

리눅스 방화벽은 미리 정의된 보안 규칙에 따라 패킷을 검사하여 네트워크 트래픽을 제어합니다. 이러한 필터링은 Netfilter 프레임워크를 통해 커널 수준에서 적용됩니다. 오랫동안 iptables는 Netfilter와 상호작용하는 업계 표준이었으나, 더 나은 성능과 간결한 구문을 제공하는 nftables로 대체되었습니다.
오늘날 nftables는 RHEL 9, Debian 11, Ubuntu 22.04와 같은 최신 배포판의 기본 백엔드입니다. 그러나 많은 관리자는 복잡한 구문을 직접 작성하지 않고도 이러한 규칙을 관리할 수 있는 UFW(Uncomplicated Firewall)나 firewalld와 같은 고수준 프론트엔드 도구를 선호합니다.

아이피테이블 및 엔피테이블 개요

iptables는 수십 년 동안 리눅스 사용자들이 가장 선호해 온 방화벽 솔루션입니다. 이 도구는 일련의 테이블과 체인을 통해 작동하며, 패킷은 미리 정의된 규칙에 따라 평가되어 처리 방식이 결정됩니다. 이러한 규칙은 발신 IP, 수신 포트, 프로토콜 유형 등 다양한 기준에 따라 트래픽을 허용, 차단 또는 제어하도록 구성할 수 있습니다.

nftables는 iptables의 최신 후속 버전으로, 통일된 구문, 더 효율적인 규칙 처리(특히 대규모 규칙 집합의 경우), 그리고 유지보수가 용이한 설계를 제공합니다. 많은 최신 배포판에서 iptables 명령어는 내부적으로 nftables로 변환하는 호환성 계층으로 구현되어 있습니다.

기능	iptables	nftables
초판	2001	2014
상태	기존 버전 (여전히 널리 지원됨)	대부분의 최신 배포판에서 기본 설정
구문	프로토콜별(IPv4/IPv6) 명령어 분리	모든 프로토콜에 적용되는 통합 구문
성능	대규모 규칙 집합에서는 처리 속도가 느려집니다	더 효율적인 규칙 평가
사용 편의성	더 복잡하고 단편적인 문법	더 깔끔하고 가독성 높은 구문

iptables와 nftables의 차이점에 대해 자세히 알아보세요.

리눅스 방화벽 설정 방법

이 섹션에서는 nftables와 iptables를 사용하여 리눅스 시스템에서 방화벽을 구성하는 방법을 살펴보겠습니다.

⚠️ 경고: 원격 SSH 연결을 통해 방화벽을 구성하는 경우, 기본 정책을 DROP. 이를 준수하지 않을 경우 즉시 접속이 차단됩니다.

nftables를 사용하여 리눅스 방화벽 구성하기

먼저 SSH, HTTP, HTTPS는 허용하고 그 외의 모든 인바운드 트래픽은 차단하는 기본적인 nftables 규칙 세트부터 시작해 보겠습니다.

1단계: nftables 시작 및 활성화하기

대부분의 최신 배포판에서는 nftables가 기본적으로 제공됩니다. 이 서비스는 부팅 시 저장된 규칙을 불러오는 데 사용됩니다.

다음 명령어로 활성화하세요:

sudo systemctl 시작 nftables
sudo systemctl nftables 활성화

2단계: 테이블 만들기

nftables는 규칙을 정리하기 위해 테이블을 사용합니다. 테이블은 체인과 규칙을 담는 용도로 사용됩니다.

다음 명령은 my_firewall.

sudo nft 추가 테이블 inet 내_방화벽 추가

inet: 단일 규칙 세트를 IPv4 및 IPv6 트래픽 모두에 적용할 수 있습니다.

다른 주소군으로는 IP, IP6, ARP, BRIDGE, NETDEV가 있습니다.

3단계: 체인 생성 (안전한 기본 정책)

체인은 순서대로 평가되는 규칙들의 연속입니다.

우리는 다음 이름의 체인을 생성할 것입니다 INPUT 그리고 다음으로 policy accept 잠김 현상을 방지하기 위해. 나중에 드롭 방식으로 전환하겠습니다.

sudo nft add chain inet my_firewall INPUT { type filter hook input priority 0 \; policy accept \; }

type filter hook input: 들어오는 트래픽에 규칙을 적용합니다

priority 0: 표준 처리 우선순위를 설정합니다

policy accept: 임시 안전 기본값

4단계: 필수 안전 수칙 추가하기

규칙은 네트워크 트래픽을 필터링하기 위한 구체적인 기준을 정의하고, 취할 조치(예: 허용, 거부, 삭제)를 지정합니다. 규칙은 위에서 아래로 평가되므로 순서가 중요합니다. 따라서 가장 구체적인 규칙을 맨 앞에, 범위가 넓은 규칙을 맨 뒤에 배치해야 합니다.

시스템의 접근성을 유지하기 위해 필요한 규칙을 추가해 봅시다:

루프백 트래픽 허용 (로컬 프로세스 간 통신에 필요함):

sudo nft add rule inet my_firewall INPUT iif lo accept

설정된 연결 및 관련 연결 허용 (반환 트래픽에 필요):

sudo nft add rule inet my_firewall INPUT ct state established,related accept

SSH(포트 22)를 허용합니다:

sudo nft 추가 규칙 인넷 내_방화벽 입력 tcp dport 22 수락

5단계: 추가 규칙 추가

이제 필수 서비스를 허용하세요.

ICMP(IPv4) 및 ICMPv6 허용:

sudo nft add rule inet my_firewall INPUT ip protocol icmp accept
sudo nft add rule inet my_firewall INPUT ip6 nexthdr icmpv6 accept

HTTP(포트 80) 및 HTTPS(포트 443) 허용:

sudo nft add rule inet my_firewall INPUT tcp dport { 80, 443 } accept

6단계: 보안 기본 정책(DROP) 적용

필요한 모든 규칙이 설정되면 보안 기본 정책으로 전환하십시오.

sudo nft add chain inet my_firewall INPUT { policy drop \; }

이렇게 하면 다른 모든 트래픽이 차단됩니다. 이 시점에서는 명시적으로 허용된 트래픽(SSH, HTTP, HTTPS)만 허용됩니다.

7단계: 규칙 확인하기

활성화된 규칙을 확인하려면 다음 명령어를 사용하세요:

sudo nft 목록 규칙 집합

출력 결과는 다음과 비슷해야 합니다:

table inet my_firewall {
    chain INPUT {
        type filter hook input priority filter; policy drop;
        iif "lo" accept
        ct state established,related accept
        tcp dport 22 accept
        ip protocol icmp accept
        ip6 nexthdr ipv6-icmp accept
        tcp dport { 80, 443 } accept
    }
}

8단계: 규칙 저장하기

명령줄을 통해 추가한 규칙은 시스템을 재부팅하면 사라집니다. 재부팅 후에도 규칙이 유지되도록 설정 파일에 저장하세요:

sudo nft list ruleset | sudo tee/etc/nftables.conf >/dev/null

필요한 경우 수동으로 다시 불러오세요:

sudo nft -f/etc/nftables.conf

iptables를 사용하여 Linux 방화벽 설정하기

SSH, HTTP, HTTPS는 허용하고 그 외의 모든 인바운드 트래픽은 차단하는 기본적인 iptables 방화벽을 설정하겠습니다.

1단계: iptables가 사용 가능한지 확인하기

iptables는 CentOS 7과 같은 구형 및 레거시 시스템을 포함한 대부분의 리눅스 배포판에서 기본적으로 제공됩니다. 설치되어 있지 않다면 아래 명령어를 사용하여 설치할 수 있습니다.

RHEL 기반 시스템에서:

sudo dnf install iptables   # RHEL8 이상/9, Rocky Linux, AlmaLinux
sudo yum install iptables   # CentOS 7

데비안/우분투 기반 시스템에서는 다음 명령을 실행하십시오:

sudo apt install iptables

2단계: 기존 규칙 확인

변경 사항을 적용하기 전에, 현재 적용 중인 규칙이 무엇인지 확인하십시오:

sudo iptables-L -v -n

3단계: 필수 규칙 추가

nftables와 마찬가지로 규칙의 순서가 중요합니다. iptables는 규칙을 위에서 아래로 평가합니다.

방화벽을 잠그기 전에, 시스템에 접속할 수 없게 되는 상황을 방지하기 위해 현재 필요한 연결(예: SSH)은 반드시 허용해야 합니다.

루프백 트래픽 허용:

sudo iptables-A INPUT -ilo -j ACCEPT

설정된 연결 및 관련 연결 허용:

sudo iptables-A INPUT -mconntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

ICMP(핑) 허용:

sudo iptables-A INPUT -picmp -j ACCEPT

시스템에서 IPv6가 활성화된 경우:

sudo ip6tables-A INPUT -p ipv6-icmp -j ACCEPT

SSH(포트 22)를 허용합니다:

sudo iptables-A INPUT -ptcp --dport 22 -j ACCEPT

HTTP(포트 80) 및 HTTPS(포트 443) 허용:

sudo iptables-A INPUT -ptcp --dport 80 -j ACCEPT
sudo iptables-A INPUT -ptcp --dport 443 -j ACCEPT

4단계: 기본 정책 설정

모든 수신 및 전달 트래픽을 차단하고, 발신 트래픽만 허용하도록 기본 정책을 설정합니다:

sudo iptables-P INPUT DROP
sudo iptables-P FORWARD DROP
sudo iptables-P OUTPUT ACCEPT

5단계: 규칙 확인

규칙이 활성화되어 있는지 확인하세요:

sudo iptables-L -v -n

6단계: 규칙 저장하기

데비안/우분투 기반 시스템에서:

sudo apt install iptables-persistent
sudo netfilter-persistentsave

이 기능은 규칙을 다음 위치에 저장합니다. /etc/iptables/rules.v4 (그리고 rules.v6 (IPv6용)을 저장하고 재부팅 시 이를 다시 불러옵니다.

최신 RHEL 기반 시스템(RHEL 8/9, Rocky Linux, AlmaLinux)에서는:

이러한 시스템에서, 일반적인 iptables 대신 firewalld를 사용하는 경우:

sudo firewall-cmd--runtime-to-permanent

RHEL 7에서 (그리고 레거시 iptables를 사용하는 경우 선택적으로 RHEL 8/9에서):

firewalld와 같은 프론트엔드 대신 iptables 명령어를 직접 사용하는 경우, 반드시 iptables-services 데이터를 영구적으로 저장하기 위한 패키지:

sudo dnf install iptables-services
sudo systemctl enable iptables
sudo service iptables save

이 기능은 규칙을 다음 위치에 저장합니다. /etc/sysconfig/iptables 그리고 재부팅 시에도 다시 로드되도록 보장합니다.

방화벽 구성 문제 해결 방법

방화벽 설정 문제로 인해 연결이 끊기거나 서비스에 접속할 수 없게 될 수 있습니다. 문제 해결 단계를 시작하기 전에, 어떤 문제가 발생했을 가능성이 높은지 파악하기 위해 가장 흔한 문제점들을 먼저 살펴보겠습니다.

차단된 서비스: 의도치 않게 차단되는 정상적인 서비스 또는 애플리케이션
규칙 충돌: 예기치 않은 동작을 유발하는 중복되거나 상충되는 규칙
열린 포트 / 노출된 서비스:설정 오류로 인해 의도치 않게 노출된 포트 또는 서비스
성능 저하: 과도하거나 체계적이지 않은 규칙으로 인해 네트워크 트래픽이 느려짐

다음은 문제 해결 방법입니다:

1. 방화벽 상태 확인

다음과 같은 명령을 사용합니다. firewall-cmd --state, iptables -L또는 ufw status 를 클릭하여 방화벽의 현재 상태를 확인하세요.

전문가 팁: 활성 규칙 및 패킷 수에 대한 더 자세한 정보를 보려면 다음을 사용하십시오. iptables -L -v -n 또는 nft list ruleset – 이를 통해 어떤 항목이 일치하는지, 그리고 얼마나 자주 일치하는지 정확히 확인할 수 있습니다.

2. 활성화된 규칙 검토

현재의 규칙을 꼼꼼히 검토하여 의도한 트래픽 정책과 일치하는지 확인하십시오. 잘못 구성된 규칙은 문제를 일으키는 흔한 원인입니다.

3. 네트워크 연결 상태 확인

ping, traceroute 또는 netcat과 같은 도구를 사용하여 내부 및 외부 리소스에 대한 연결 상태를 테스트하십시오. 이렇게 하면 차단된 트래픽을 정확히 파악하는 데 도움이 됩니다.

4. 방화벽 로그 확인

방화벽 설정에 따라 방화벽 로그에서 차단된 패킷이나 시스템 메시지를 확인하십시오.

sudo journalctl -ufirewalld
sudo journalctl -u nftables (시스템에서 nftables 서비스 로깅이 활성화된 경우에만)

5. 방화벽을 일시적으로 비활성화합니다

방화벽을 일시적으로 비활성화하여 이것이 문제의 원인인지 확인해 보십시오.

서비스를 일시적으로 중지하려면:

sudo systemctl stop firewalld
sudo systemctl stop nftables
sudo ufw disable

⚠️ 경고: 이 작업은 통제된 환경이나 비생산 시스템에서만 수행하십시오. 테스트가 끝나면 즉시 방화벽을 다시 활성화하십시오.

리눅스 방화벽 설정: 꼭 알아야 할 7가지 핵심 팁

리눅스에서 방화벽을 설정하는 데는 어느 정도 학습 과정이 필요할 수 있지만, 올바른 방법을 사용한다면 설정 과정을 간소화할 수 있습니다. 다음은 방화벽 설정을 효율적으로 관리하고 시스템 보안을 강화하는 데 도움이 될 7가지 실용적인 팁입니다.

팁 1: 설정을 진행하기 전에 보안 정책을 수립하세요

명령어를 하나도 실행하기 전에, 무엇을 보호해야 하는지, 그리고 무엇으로부터 보호해야 하는지 명확히 파악해야 합니다. 어떤 서비스가 공개적으로 접근 가능해야 하고, 어떤 서비스는 특정 IP 범위로만 제한해야 하는지, 그리고 알 수 없는 트래픽을 아무런 알림 없이 차단할지 아니면 응답을 보내며 거부할지 결정해야 합니다. 명확한 보안 정책이 있다면 방화벽 구성은 추측에 의존하는 것이 아니라 신중하고 검증 가능한 결정으로 바뀝니다.

팁 2: 간단한 정책부터 시작하세요

기본적으로 모든 연결을 차단하는 정책으로 시작하고, 필요한 항목만 명시적으로 허용하십시오. 단, 이 규칙을 적용하기 전에 시스템에 접속할 수 없게 되는 상황을 방지하기 위해 SSH 연결이 명시적으로 허용되어 있는지 반드시 확인하십시오. 이렇게 하면 다른 모든 연결을 차단하기 전에 먼저 본인의 접속을 보장할 수 있습니다.

팁 3: 필요한 포트만 열어두세요

열려 있는 모든 포트는 공격의 잠재적 진입점으로 간주되므로 어떤 포트를 열어 두는지 주의해야 합니다. 애플리케이션이나 서비스에 필요한 포트만 액세스하도록 제한하고 사용하지 않는 포트는 닫을 수 있습니다.

시스템에서 현재 노출된 포트를 확인하려면 다음 명령을 실행하세요:

sudo ss -tulnp

팁 4: 나가는 트래픽도 관리하세요

들어오는 트래픽을 차단하는 데 많은 중점을 두지만, 일부 환경에서는 나가는 트래픽을 모니터링하고 제어하는 것 또한 마찬가지로 중요합니다. 네트워크 내부의 제한 없이 노출된 시스템은, 이를 막을 수 있는 인바운드 규칙이 없다면 데이터를 유출하거나 공격자가 제어하는 서버와 통신할 수 있습니다. 최소한 민감한 서비스에서 발생하는 나가는 트래픽을 기록하여 비정상적인 행동을 조기에 탐지해야 합니다.

팁 5: 구역이나 체인을 활용해 체계적으로 정리하기

영역(방화벽) 또는 체인(아이피테이블, 엔피테이블)으로 방화벽 규칙을 구성할 수 있습니다. 이렇게 하면 네트워크 인터페이스 또는 신뢰 수준에 따라 서로 다른 규칙을 적용할 수 있습니다. 구조화된 규칙을 사용하면 구성을 더 쉽게 관리하고 오류 발생 가능성을 줄일 수 있습니다.

팁 6: 규칙을 정기적으로 검토하고 테스트하세요

방화벽 규칙은 “한 번 설정하고 잊어버려서는 안 됩니다.” 현재 요구 사항을 충족하는지 확인하기 위해 주기적으로 검토해야 합니다. 변경 사항이 있을 때마다 철저한 테스트를 통해 규칙이 의도한 대로 작동하며, 정상적인 트래픽이 실수로 차단되지 않는지 확인해야 합니다. 전반적인 보안 유지 관리 절차의 일환으로 분기별 검토를 일정으로 잡는 것이 좋은 습관입니다.

팁 7: 방화벽 소프트웨어를 최신 상태로 유지하세요

nftables, UFW, firewalld 등 사용 중인 방화벽 도구의 업데이트 소식을 꾸준히 확인하세요. 업데이트에는 효과적인 방화벽 보호를 유지하는 데 필수적인 보안 패치와 안정성 개선 사항이 포함되어 있는 경우가 많습니다.

효과적인 리눅스 방화벽 관리를 위한 추가 모범 사례

선택한 리눅스 방화벽 솔루션에 관계없이, 다음의 추가적인 조치들은 방화벽 설정을 한층 더 강화할 수 있는 광범위한 보안 고려 사항들을 다루고 있습니다:

애플리케이션 수준 필터링: 지원되는 경우 애플리케이션 수준 필터링을 활용하여 특정 소프트웨어나 서비스를 기반으로 보안 정책을 적용함으로써, 단순한 포트 및 프로토콜 규칙을 넘어선 제어를 구현하십시오. 이를 통해 보다 세분화된 제어가 가능하며, 특히 여러 서비스가 동일한 포트를 공유하는 경우에 유용합니다.
로깅 및 모니터링 활성화: 네트워크 트래픽을 추적하고 잠재적인 보안 사고를 탐지하기 위해 로깅을 활성화하십시오. 방화벽 로그를 정기적으로 모니터링하여 이상 징후와 의심스러운 활동을 확인하십시오. 비정상적인 패턴을 조기에 포착하는 것이 사소한 사고와 심각한 침해 사고를 가르는 결정적인 요소가 되는 경우가 많습니다.
침입 탐지 시스템(IDS) 구축: 방화벽에 침입 탐지 및 방지 도구를 추가하여 악의적인 활동을 식별하고 대응하십시오. Fail2ban이나 Suricata와 같은 도구는 방화벽과 연동되어, 탐지된 위협에 대응하여 규칙을 자동으로 업데이트하거나(Fail2ban의 경우) 관리자에게 경고를 전송합니다(Suricata와 같은 IDS 도구의 경우).
네트워크 세그멘테이션: 네트워크를 서로 분리된 구역으로 분할하면 보안 침해를 차단하고 보안 사고의 영향을 최소화할 수 있습니다. 한 구역이 침해되더라도 분할 구조를 통해 전체 네트워크로의 수평 이동이 차단됩니다.
방화벽 구성 백업하기: 중요한 변경을 적용하기 전에 항상 현재 규칙 세트를 백업하십시오. 이렇게 하면 문제가 발생했을 때 신속하게 복원할 수 있는 정상 작동하는 구성을 확보할 수 있습니다.
관리자 접근 제한: 엄격한 접근 제어를 적용하여 방화벽 규칙을 수정할 수 있는 사용자를 제한하십시오. sudo 정책이나 역할 기반 접근 제어를 사용하여 승인된 관리자만 방화벽 구성을 변경할 수 있도록 하십시오.

리눅스 방화벽의 보안 수준은 설정에 달려 있습니다

방화벽은 올바르게 구성되었을 때만 효과를 발휘합니다. 레거시 시스템이나 호환성이 필요한 경우를 위한 iptables, 최신 배포판을 위한 nftables, 혹은 간편성을 중시하는 경우의 UFW와 firewalld 등 적합한 도구를 선택하는 것은 단지 시작에 불과합니다. 정의한 규칙, 적용하는 정책, 그리고 지속적으로 유지 관리하는 관행이야말로 리눅스 환경이 진정으로 보호받고 있는지 여부를 결정짓는 요소입니다.

보안은 지속적인 과정이며, 끊임없이 변화하는 위협 환경에서 위험을 최소화하기 위해서는 항상 경계를 늦추지 않는 것이 중요합니다. 규칙을 정기적으로 검토하고, 로그를 모니터링하며, 방화벽 소프트웨어를 최신 상태로 유지함으로써 시스템과 요구 사항이 변화함에 따라 방어 체계를 견고하게 유지할 수 있습니다.

더 자세히 알아보고 싶으시다면, 재부팅 없이 패치를 적용하는 방식이 어떻게 가동 중단 시간 없이 안전한 리눅스 환경을 유지하는 데 도움이 되는지 확인해 보세요. 이 방법을 통해 시스템을 오프라인 상태로 전환하지 않고도 정기 유지보수 시간 외에도 시스템을 안전하게 보호할 수 있습니다.

요약