<div id="readability-page-1" class="page"><div><div><p id="4a7a"><strong>#1) 계층적 방화벽 정책 설명</strong></p><p id="22d1">계층적 방화벽 설정에 대해서 조금 더 보충 설명을 드리면, 계층적 방화벽 정책 규칙은 방화벽 규칙의 컨테이너 역할을하는 방화벽 정책 리소스에 정의되어 있으며 방화벽 정책에 정의된 규칙은 정책이 노드(조직 또는 폴더)와 연결되어야만 실제로 적용됩니다. (하나의 방화벽 정책만 노드와 연관 될 수 있음)</p><p id="b753">계층적 방화벽 정책 규칙은 VPC 방화벽 규칙과 마찬가지로 VM 수준에서 적용되며 다음과 같은 순서로 계층적 방화벽 정책 규칙 및 VPC 방화벽 규칙을 평가합니다.</p><p id="adea"><a href="https://cloud.google.com/vpc/docs/firewall-policies" rel="noopener nofollow">https://cloud.google.com/vpc/docs/firewall-policies</a></p><figure><p><img alt="" src="https://miro.medium.com/max/440/0*Dx1ROb5j_OLSJNzG" width="220" height="573" role="presentation"></p></figure><ol><li id="3209">방화벽 정책이 조직과 연결된 경우 Google Cloud 는 해당 정책의 규칙을 VM에 적용한 것으로 평가합니다. 각 규칙에 따라 연결이 허용 또는 거부되거나 방화벽 평가에서 폴더 또는 VPC 네트워크 인 계층의 다음 레벨로 이동하도록 방화벽 평가를 지시 할 수 있습니다.</li><li id="8dc0">Google Cloud 는 각 폴더와 관련된 정책 규칙을 평가합니다. 조직의 최상위 폴더부터 시작하여 하위 폴더가있는 경우 아래로 내려갑니다. 각 규칙을 평가하면 연결이 허용 또는 거부되거나 규칙이 방화벽 평가에서 다른 폴더 또는 VPC 네트워크 인 계층의 다음 수준으로 이동하도록 지시 할 수 있습니다.</li><li id="73d1">마지막으로 VPC 방화벽 규칙이 평가됩니다. VPC 방화벽 규칙은 연결을 허용하거나 거부합니다.</li></ol><p id="078f">결국, 계층적 방화벽 정책을 이용하면 조직 관점에서 전체 프로젝트에 원하는 형태로 방화벽 규칙을 공통으로 적용할 수 있습니다. 예를 들어, 하단에 소개된 예제와 같이 분산된 프로젝트의 모든 VM 에 상태 체크나 모니터링을 위하여 prober 가 접속을 해야 한다면 계층적 방화벽 정책을 통해서 한번에 설정할 수 있습니다. (해당 링크에 다른 사용 사례도 소개되어 있으니 관심있는 분들은 참고하시기 바라겠습니다.)</p><p id="774c"><a href="https://cloud.google.com/vpc/docs/firewall-policies-examples" rel="noopener nofollow">https://cloud.google.com/vpc/docs/firewall-policies-examples</a></p><figure><div><p><img alt="" src="https://miro.medium.com/max/772/0*xBOCfttasrRppDGp" width="386" height="215" sizes="386px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*xBOCfttasrRppDGp?q=20"></p></div></figure></div><div><p id="83c7"><strong>#2) 계층적 방화벽 정책 설정</strong></p><p id="bc18">계층적 방화벽 정책을 설정하기 위해서는 GCP 관리콘솔 상단의 프로젝트 선택기에서 조직을 선택한 후 GCP 관리콘솔에서 “VPC 네트워크 &gt; 방화벽” 메뉴를 클릭합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*VVcE92i3g-YmJsov" width="1600" height="926" role="presentation"></p></div></figure><p id="e058">상단에 있는 “방화벽 정책 만들기” 를 클릭하면 마법사가 하단과 같이 나타납니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3180/0*a502bDLDop4HM89q" width="1590" height="984" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*a502bDLDop4HM89q?q=20"></p></div></figure><p id="bb0f">마법사의 다음 단계에서 방화벽 정책 안에 다양한 방화벽 규칙을 만들 수 있습니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*AnAsX1TYPAhALB5N" width="1600" height="891" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*AnAsX1TYPAhALB5N?q=20"></p></div></figure><p id="8afe">예를 들어, 특정 외부 IP(104.132.152.72/32) 에 있는 prober 가 모든 VM 의 1234 포트에 접속하기를 원한다면 하단과 같이 방화벽 규칙을 만들 수 있습니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1808/0*lNBOB2POoUTYOH5Y" width="904" height="1600" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/34/0*lNBOB2POoUTYOH5Y?q=20"></p></div></figure><p id="b438">하단과 같이 규칙이 추가된 것을 확인할 수 있습니다. 지금은 테스트라 방화벽 규칙을 하나만 만들었지만 여러개를 복합적으로 만드는 것도 가능합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*nJHArbqGP5pER61A" width="1600" height="915" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*nJHArbqGP5pER61A?q=20"></p></div></figure><p id="5ee4">방화벽 정책 설명 부분에서 언급했지만 방화벽 정책은 노드와 연결되어야만 사용이 가능해지므로 노드 연결을 위해서 ‘추가’ 버튼을 클릭합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*C_oMqFRqX1ZxvcL1" width="1600" height="875" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*C_oMqFRqX1ZxvcL1?q=20"></p></div></figure><p id="9040">조직이나 폴더를 연결할 수 있는 화면이 나타나며 여기서는 조직을 선택하고 ‘추가’ 버튼을 클릭합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/2228/0*g22UoFaf-AqWuiuG" width="1114" height="654" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*g22UoFaf-AqWuiuG?q=20"></p></div></figure><p id="7ee4">방화벽 정책에 대한 설정이 완료되었고 마지막으로 설정을 확인 후 ‘만들기’ 를 클릭해서 완료합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*SoScjHW9aiGJOP6e" width="1600" height="1091" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*SoScjHW9aiGJOP6e?q=20"></p></div></figure><p id="cd65">정상적으로 수행이 되었다면 GCP 관리콘솔 화면에서 계층적 방화벽 정책이 잘 만들어진 것을 확인 가능합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*KIP5sLJ7cHihgF55" width="1600" height="804" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*KIP5sLJ7cHihgF55?q=20"></p></div></figure><p id="b532">계층적 방화벽 정책을 생성한 후에 조직 내의 실제 프로젝트로 이동해서 방화벽을 확인해보면, 조직에 매핑한 방화벽 정책이 “이 프로젝트에서 상속한 방화벽 정책” 화면에서 동일하게 확인할 수 있습니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*EvFu0XB2SVTkk2_0" width="1600" height="634" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*EvFu0XB2SVTkk2_0?q=20"></p></div></figure></div><div><p id="09a2"><strong>#3) 계층적 방화벽 정책 테스트</strong></p><p id="910c">계층적 방화벽 정책을 생성했으니 이제 이를 실제로 테스트 해보도록 하겠습니다. 테스트용 GCE(VM) 하나를 만들고 그 안에서 1234 포트를 listen 할 수 있는 간단한 프로그램을 작성해서 구동합니다. (여기서는 테스트를 위해 단순한 node.js 샘플을 사용했으나 편하신 형태로 하시면 됩니다.)</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/2804/0*_sYrUJNzu67DbN39" width="1402" height="338" role="presentation"></p></div></figure><p id="57e2">GCP 관리콘솔에서 Cloud Shell 을 열어서 telnet 으로 1234 포트에 대한 접속을 시도해 보면 기본 방화벽 규칙에 막혀서 접속이 안되는 것을 확인할 수 있습니다. (기본적으로 GCE 는 방화벽 규칙을 추가하지 않는한 네트워크 인입에 대해서는 거부하도록 설정되어 있습니다. (SSH, RDP, ICMP 용 포트 제외))</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/2100/0*0mCFGA_yIetgjOs3" width="1050" height="134" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*0mCFGA_yIetgjOs3?q=20"></p></div></figure><p id="cdf0">다음으로 테스트를 위해서 데스크탑 컴퓨터의 IP 를 확인해 봅니다. (여기서 확인된 IP 를 이전 파트에서 방화벽 규칙을 설정할 때 입력으로 넣었었습니다.)</p><p id="667f"><a href="https://whatismyipaddress.com/" rel="noopener nofollow">https://whatismyipaddress.com/</a></p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*3pFsKAzxgrVPMSzQ" width="1600" height="822" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*3pFsKAzxgrVPMSzQ?q=20"></p></div></figure><p id="4218">데스크탑 컴퓨터에서 telnet 을 이용해서 1234 포트에 접속해 보면 GCE 에서 별도의 추가적인 방화벽을 열어주는 작업을 하지도 않았는데 하단과 같이 정상적으로 접속이 가능한 것을 확인 가능합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/2300/0*AjT1nfpX9Z3q1Qnk" width="1150" height="162" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*AjT1nfpX9Z3q1Qnk?q=20"></p></div></figure><p id="aad3">동작을 더블 체크해보기 위해서 이전에 생성한 계층적 방화벽 정책의 상세 메뉴로 들어가서 1234 포트를 허용한 방화벽 규칙을 삭제 합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*XOHcLQKsHAR2BWk5" width="1600" height="812" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*XOHcLQKsHAR2BWk5?q=20"></p></div></figure><p id="b14a">그뒤 다시 한번 동일하게 테스트 해보시면 telnet 을 통한 1234 포트 접속 허용이 안되는 것을 확인할 수 있습니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/2212/0*loPcPpOC8vu-E_oO" width="1106" height="146" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*loPcPpOC8vu-E_oO?q=20"></p></div></figure></div><div><p id="1071">여기까지 잘 따라오셨다면, 계층적 방화벽 정책 생성 및 테스트를 통해서 해당 기능이 어떤 기능을 수행할 수 있으며 조직에서 어떤 이점을 줄 수 있는지 직접 확인해 볼 수 있는 시간이 되었을 것입니다. 계층적 방화벽 정책은 GCP 의 조직 구조에서 분산된 프로젝트들의 공통적인 방화벽 규칙을 적용할 때 쉽게 활용될 수 있으며 조직에서 정책을 만들어서 계층적으로 내려주는 구조라 거버넌스를 높일 수 있는 장점이 있습니다. 그럼 이번 포스팅은 여기서 마무리하고 다음에 다른 포스팅으로 다시 돌아오겠습니다.</p><p id="9bbf"><strong>Disclaimer</strong>: 본 글의 작성자는 Google 직원이지만 Google cloud 를 공부하는 한 개인으로서 작성된 글입니다. 본 글의 내용, 입장은 Google 을 대변하지 않으며 Google 이 해당 콘텐츠를 보장하지 않습니다.</p><p id="bde2"><strong>참고 자료 #1</strong></p><p id="1368">Hierarchical firewall policies overview<br><a href="https://cloud.google.com/vpc/docs/firewall-policies" rel="noopener nofollow">https://cloud.google.com/vpc/docs/firewall-policies</a></p><p id="b8bf">Hierarchical firewall policy examples<br><a href="https://cloud.google.com/vpc/docs/firewall-policies-examples" rel="noopener nofollow">https://cloud.google.com/vpc/docs/firewall-policies-examples</a></p></div></div></div>

Stories by 이정운 (Jungwoon Lee) on Medium

[GCP]GCP 에서 조직(Organization) 활용하기 7부 — 계층적 방화벽 정책(Hierarchical firewall policies)
안녕하세요 이정운 입니다.
지금까지 GCP 에서 조직(Organization) 활용하기 주제로 총 6부의 시리즈가 포스팅 되었습니다.
GCP 에서 조직(Organization) 활용하기 1부 — Cloud Identity
GCP 에서 조직(Organization) 활용하기 2부 — 조직 마이그레이션
GCP 에서 조직(Organization) 활용하기 3부 — 조직 정책
GCP 에서 조직(Organization) 활용하기 4부 — 지원 케이스(Support case)
GCP 에서 조직(Organization) 활용하기 5부 — 보안센터(Security Command Center)
GCP 에서 조직(Organization) 활용하기 6부 — VPC 서비스 제어
지금까지 포스팅된 시리즈로 조직에 대해서 그리고 조직을 사용한 경우에만 사용할 수 있는 서비스를 통해서 조직을 사용할 경우의 이점을 확인했습니다. 이번 포스팅에서는 그 7번째 시리즈로 새롭게 베타로 출시된 계층적 방화벽 정책(Hierarchical firewall policies) 에 대한 부분을 테스트 해보면서 다루려고 합니다.
계층적 방화벽 정책을 사용하면 조직 전체에서 일관된 방화벽 정책을 만들고 시행 할 수 있습니다. 계층적 방화벽 정책을 조직 전체 또는 개별 폴더에 할당 할 수 있습니다. 이러한 정책에는 VPC 방화벽 규칙과 마찬가지로 연결을 명시적으로 거부하거나 허용 할 수있는 규칙이 포함되어 있습니다. 또한, 계층적 방화벽 정책 규칙은 goto_next 작업을 통해 평가를 하위 수준 정책 또는 VPC 네트워크 방화벽 규칙에 위임 할 수 있습니다.
https://cloud.google.com/vpc/docs/firewall-policies
설명도 그렇지만 상단의 그림을 보시면 계층적 방화벽 정책이 어떻게 동작하는지 대략적인 이해가 되실 것이라고 판단됩니다. 그럼 실제 테스트를 통해서 조직안에서 계층적 방화벽을 어떻게 사용하고 활용할 수 있는지 확인해보도록 하겠습니다.
#1) 계층적 방화벽 정책 설명
계층적 방화벽 설정에 대해서 조금 더 보충 설명을 드리면, 계층적 방화벽 정책 규칙은 방화벽 규칙의 컨테이너 역할을하는 방화벽 정책 리소스에 정의되어 있으며 방화벽 정책에 정의된 규칙은 정책이 노드(조직 또는 폴더)와 연결되어야만 실제로 적용됩니다. (하나의 방화벽 정책만 노드와 연관 될 수 있음)
계층적 방화벽 정책 규칙은 VPC 방화벽 규칙과 마찬가지로 VM 수준에서 적용되며 다음과 같은 순서로 계층적 방화벽 정책 규칙 및 VPC 방화벽 규칙을 평가합니다.
https://cloud.google.com/vpc/docs/firewall-policies
방화벽 정책이 조직과 연결된 경우 Google Cloud 는 해당 정책의 규칙을 VM에 적용한 것으로 평가합니다. 각 규칙에 따라 연결이 허용 또는 거부되거나 방화벽 평가에서 폴더 또는 VPC 네트워크 인 계층의 다음 레벨로 이동하도록 방화벽 평가를 지시 할 수 있습니다.
Google Cloud 는 각 폴더와 관련된 정책 규칙을 평가합니다. 조직의 최상위 폴더부터 시작하여 하위 폴더가있는 경우 아래로 내려갑니다. 각 규칙을 평가하면 연결이 허용 또는 거부되거나 규칙이 방화벽 평가에서 다른 폴더 또는 VPC 네트워크 인 계층의 다음 수준으로 이동하도록 지시 할 수 있습니다.
마지막으로 VPC 방화벽 규칙이 평가됩니다. VPC 방화벽 규칙은 연결을 허용하거나 거부합니다.
결국, 계층적 방화벽 정책을 이용하면 조직 관점에서 전체 프로젝트에 원하는 형태로 방화벽 규칙을 공통으로 적용할 수 있습니다. 예를 들어, 하단에 소개된 예제와 같이 분산된 프로젝트의 모든 VM 에 상태 체크나 모니터링을 위하여 prober 가 접속을 해야 한다면 계층적 방화벽 정책을 통해서 한번에 설정할 수 있습니다. (해당 링크에 다른 사용 사례도 소개되어 있으니 관심있는 분들은 참고하시기 바라겠습니다.)
https://cloud.google.com/vpc/docs/firewall-policies-examples
#2) 계층적 방화벽 정책 설정
계층적 방화벽 정책을 설정하기 위해서는 GCP 관리콘솔 상단의 프로젝트 선택기에서 조직을 선택한 후 GCP 관리콘솔에서 “VPC 네트워크 > 방화벽” 메뉴를 클릭합니다.
상단에 있는 “방화벽 정책 만들기” 를 클릭하면 마법사가 하단과 같이 나타납니다.
마법사의 다음 단계에서 방화벽 정책 안에 다양한 방화벽 규칙을 만들 수 있습니다.
예를 들어, 특정 외부 IP(104.132.152.72/32) 에 있는 prober 가 모든 VM 의 1234 포트에 접속하기를 원한다면 하단과 같이 방화벽 규칙을 만들 수 있습니다.
하단과 같이 규칙이 추가된 것을 확인할 수 있습니다. 지금은 테스트라 방화벽 규칙을 하나만 만들었지만 여러개를 복합적으로 만드는 것도 가능합니다.
방화벽 정책 설명 부분에서 언급했지만 방화벽 정책은 노드와 연결되어야만 사용이 가능해지므로 노드 연결을 위해서 ‘추가’ 버튼을 클릭합니다.
조직이나 폴더를 연결할 수 있는 화면이 나타나며 여기서는 조직을 선택하고 ‘추가’ 버튼을 클릭합니다.
방화벽 정책에 대한 설정이 완료되었고 마지막으로 설정을 확인 후 ‘만들기’ 를 클릭해서 완료합니다.
정상적으로 수행이 되었다면 GCP 관리콘솔 화면에서 계층적 방화벽 정책이 잘 만들어진 것을 확인 가능합니다.
계층적 방화벽 정책을 생성한 후에 조직 내의 실제 프로젝트로 이동해서 방화벽을 확인해보면, 조직에 매핑한 방화벽 정책이 “이 프로젝트에서 상속한 방화벽 정책” 화면에서 동일하게 확인할 수 있습니다.
#3) 계층적 방화벽 정책 테스트
계층적 방화벽 정책을 생성했으니 이제 이를 실제로 테스트 해보도록 하겠습니다. 테스트용 GCE(VM) 하나를 만들고 그 안에서 1234 포트를 listen 할 수 있는 간단한 프로그램을 작성해서 구동합니다. (여기서는 테스트를 위해 단순한 node.js 샘플을 사용했으나 편하신 형태로 하시면 됩니다.)
GCP 관리콘솔에서 Cloud Shell 을 열어서 telnet 으로 1234 포트에 대한 접속을 시도해 보면 기본 방화벽 규칙에 막혀서 접속이 안되는 것을 확인할 수 있습니다. (기본적으로 GCE 는 방화벽 규칙을 추가하지 않는한 네트워크 인입에 대해서는 거부하도록 설정되어 있습니다. (SSH, RDP, ICMP 용 포트 제외))
다음으로 테스트를 위해서 데스크탑 컴퓨터의 IP 를 확인해 봅니다. (여기서 확인된 IP 를 이전 파트에서 방화벽 규칙을 설정할 때 입력으로 넣었었습니다.)
https://whatismyipaddress.com/
데스크탑 컴퓨터에서 telnet 을 이용해서 1234 포트에 접속해 보면 GCE 에서 별도의 추가적인 방화벽을 열어주는 작업을 하지도 않았는데 하단과 같이 정상적으로 접속이 가능한 것을 확인 가능합니다.
동작을 더블 체크해보기 위해서 이전에 생성한 계층적 방화벽 정책의 상세 메뉴로 들어가서 1234 포트를 허용한 방화벽 규칙을 삭제 합니다.
그뒤 다시 한번 동일하게 테스트 해보시면 telnet 을 통한 1234 포트 접속 허용이 안되는 것을 확인할 수 있습니다.
여기까지 잘 따라오셨다면, 계층적 방화벽 정책 생성 및 테스트를 통해서 해당 기능이 어떤 기능을 수행할 수 있으며 조직에서 어떤 이점을 줄 수 있는지 직접 확인해 볼 수 있는 시간이 되었을 것입니다. 계층적 방화벽 정책은 GCP 의 조직 구조에서 분산된 프로젝트들의 공통적인 방화벽 규칙을 적용할 때 쉽게 활용될 수 있으며 조직에서 정책을 만들어서 계층적으로 내려주는 구조라 거버넌스를 높일 수 있는 장점이 있습니다. 그럼 이번 포스팅은 여기서 마무리하고 다음에 다른 포스팅으로 다시 돌아오겠습니다.
Disclaimer: 본 글의 작성자는 Google 직원이지만 Google cloud 를 공부하는 한 개인으로서 작성된 글입니다. 본 글의 내용, 입장은 Google 을 대변하지 않으며 Google 이 해당 콘텐츠를 보장하지 않습니다.
참고 자료 #1
Hierarchical firewall policies overview
https://cloud.google.com/vpc/docs/firewall-policies
Hierarchical firewall policy examples
https://cloud.google.com/vpc/docs/firewall-policies-examples
[GCP]GCP 에서 조직(Organization) 활용하기 7부 — 계층적 방화벽 정책(Hierarchical firewall policies) was originally published in google-cloud-apac on Medium, where people are continuing the conversation by highlighting and responding to this story.

[GCP]GCP 에서 조직(Organization) 활용하기 7부 — 계층적 방화벽 정책(Hierarchical firewall policies)

댓글