Linux on Joonlog

SSH Config 옵션 정리

Fri, 01 May 2026 09:00:00 +0900

~/.ssh/config SSH 접속 편의성

매번 ssh -i key user@host -p port 처럼 옵션을 직접 입력하는 대신, ~/.ssh/config에 설정을 저장해두면 ssh <Host명> 만으로 접속 가능하다.

Windows: C:\\Users\\<계정명>\\.ssh\\config
Linux/Mac: ~/.ssh/config

1. 기본 구조

1
2


Host <별칭>
 옵션 값

Host에 지정한 별칭으로 ssh <별칭> 접속
와일드카드 사용 가능 (Host *, Host node*)

2. 주요 옵션

HostName

실제 접속 대상 주소 (IP 또는 도메인)
Host에 별칭을 쓰고 실제 주소는 여기에 기입

1
2


Host mgt
 HostName ssh-mgt.joonlog.store

User

접속할 계정명
설정하지 않으면 현재 로컬 계정으로 접속 시도

1

 User root

IdentityFile

사용할 개인키 파일 경로
설정하지 않으면 ~/.ssh/id_rsa 등 기본 키 파일을 순서대로 시도

1

 IdentityFile ~/.ssh/pve

Port

접속할 SSH 포트
기본값은 22이며 커스텀 포트 사용 시 지정

1

 Port 2222

ServerAliveInterval / ServerAliveCountMax

연결 유지 설정
ServerAliveInterval: 지정한 초마다 서버에 alive 패킷 전송
ServerAliveCountMax: 응답 없을 때 최대 재시도 횟수, 초과 시 연결 종료
idle 상태에서 연결이 끊기는 것을 방지

1
2


 ServerAliveInterval 60
 ServerAliveCountMax 3

ProxyCommand

SSH 연결 전에 실행할 명령어로 연결을 중계
Cloudflare Tunnel SSH 접속 시 사용

1

 ProxyCommand cloudflared access ssh --hostname %h

%h는 HostName 값으로 자동 치환

ProxyJump

점프 호스트를 거쳐서 접속할 때 사용
VSCode Remote SSH나 내부망 서버 접속 시 유용
ProxyJump <Host별칭> 형식으로 이미 config에 정의된 Host 재사용 가능

1
2
3
4
5


Host node1
 HostName <IP>
 User root
 IdentityFile ~/.ssh/pve
 ProxyJump mgt

위 설정 시 ssh node1 하면 mgt를 경유해서 node1에 접속

GitLab Container Registry에 Docker Push 실패 TroubleShooting

Thu, 04 Dec 2025 09:00:00 +0900

GitLab Omnibus 설정 간 URL에 공인/사설 IP 혼용 시 Docker Push 실패 문제 해결

문제 상황

GitLab 웹 콘솔은 외부에서 접근해야 하니 공인 IP로 접근 필요
Jenkins나 다른 WAS 서버에서 이미지 Pull/Push할때 사설 IP로 접근 필요
- 그래서 gitlab.rb 파일에 external_url은 공인 IP, registry_external_url은 사설 IP 로 설정한 상황
- 여기서 docker push 테스트 시 푸시가 중간에서 끊김

원인 분석

GitLab Container Registry는 push 과정에서 이미지 blob을 업로드할 때, GitLab의 canonical URL(=external_url)을 기준으로 내부 리다이렉트 동작을 수행
동작 과정
1. 사용자는 사설 IP(registry_external_url)로 push 요청을 보냄
2. Registry는 manifest 처리 과정에서 GitLab API 엔드포인트를 호출함 → 이때 GitLab의 external_url(공인 IP)을 참조
3. 사설 → 공인으로 트래픽 루프가 발생
4. 클라우드 서버라 루프백이 막혀 있어 트래픽이 중간에 끊김
즉 GitLab의 두 URL이 서로 다른 네트워크 망을 가리킴으로 인해 redirect loop 구조가 발생

조치

external_url, registry_external_url을 IP가 아닌 도메인으로 설정
도메인은 공인 IP와 매핑하고, 사설 IP가 필요한 WAS 서버나 Jenkins 서버에서는 hosts 설정으로 IP를 사설 IP로 지정되도록 설정

결론

GitLab Container Registry는 push 과정에서 canonical URL을 기반으로 내부 API 호출 및 redirect가 발생하기 때문에 external_url과 registry_external_url 이 서로 다른 네트워크를 가리키면 push 실패가 발생할 수 있다.

이를 해결하려면 url을 도메인으로 설정해서 리다이렉트가 발생하지 않도록 해야 한다.

Nginx 리버스 프록시 템플릿

Mon, 01 Dec 2025 09:00:00 +0900

Nginx 리버스 프록시 템플릿

HTTPS 리다이렉트 / SSL Termination / PHP-FPM / Java WAS 공통 패턴 정리

아래 상황에 대한 Nginx 설정 정리
- HTTP → HTTPS 리다이렉트
- SSL termination + WAS 프록시
- PHP-FPM 앞단의 Nginx (fastcgi)
- Java Tomcat 앞단의 Nginx (proxy_pass)
- LB를 통해 거쳐오는 실제 클라이언트 IP 식별
- 로그 포맷 / gzip / timeout 등 공통 설정

1. Nginx 전체 구성 개요

HTTPS 리다이렉트나 SSL Termination 설정은 별도 server블럭으로 분리

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log;
pid /run/nginx.pid;

include /usr/share/nginx/modules/*.conf;

events {
 worker_connections 4096;
}

http {
 # 공통 설정 (X-Forwarded-For, 로그, gzip, timeout 등)
 # HTTPS 리다이렉트 + SSL 서버 블록
 # PHP-FPM 서버
 # Java Tomcat 서버 
}

2. HTTPS 리다이렉트

80 포트 HTTP로 들어온 요청을 443 포트 HTTPS로 리다이렉션

1
2
3
4
5
6
7


server {
 listen 80;
 server_name <도메인>;

 # 모든 HTTP 요청을 HTTPS로 강제 이동
 return 301 https://$host$request_uri;
}

3. HTTPS 서버 + SSL Termination + WAS 프록시

SSL Termination 수행

클라이언트가 HTTPS로 접속 → 인증서 로드 후 TLS 핸드셰이크 → Nginx가 복호화된 HTTP를 WAS로 전달

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34


server {
 listen 443 ssl http2;
 server_name <도메인>;

 ssl_certificate /etc/nginx/ssl/<crt 파일>;
 ssl_certificate_key /etc/nginx/ssl/<key 파일>;

 ssl_protocols TLSv1.2 TLSv1.3;
 ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
 ssl_prefer_server_ciphers on;

 location / {
 # WAS로는 HTTP로 프록시 (Termination 이후)
 proxy_pass http://<WAS 서버 IP>:<포트>;

 # LB를 통해 트래픽이 들어올 경우 LB 정보가 아닌 실제 클라이언트 정보를 수신하도록 설정
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Port $server_port;

 proxy_http_version 1.1;
 proxy_set_header Connection "";

 # 버퍼/타임아웃 (앱에 맞게 조정)
 proxy_buffers 8 16k;
 proxy_buffer_size 32k;
 proxy_connect_timeout 300;
 proxy_send_timeout 600;
 proxy_read_timeout 600;
 send_timeout 600;
 }
}

4. HTTP 블록 공통 설정

Real IP / 로그 / gzip / timeout / buffer 등

모든 server 블록이 공유할 설정
set_real_ip_from / real_ip_header
- LB 뒤에서 실제 클라이언트 IP 로그 복원, 안 하면 전부 LB IP로 찍힘
timeout / buffer는 서비스에 맞춰서 조정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42


http {
 include /etc/nginx/mime.types;
 default_type application/octet-stream;

 # LB를 통해 트래픽이 들어올 경우 LB 정보가 아닌 실제 클라이언트 정보를 수신하도록 설정
 set_real_ip_from <LB IP 대역>/24;
 real_ip_header X-Forwarded-For;
 real_ip_recursive on;

 # 로그 포맷
 log_format main '$remote_addr - $remote_user [$time_local] "$request" '
 '$status $body_bytes_sent "$http_referer" '
 '"$http_user_agent" "$http_x_forwarded_for" "$request_time"';

 access_log /var/log/nginx/access.log main;

 # gzip 압축
 gzip on;
 gzip_vary on;
 gzip_proxied any;
 gzip_comp_level 6;
 gzip_types text/plain text/css text/xml text/javascript
 application/json application/javascript application/xml+rss
 application/rss+xml font/truetype font/opentype
 application/vnd.ms-fontobject image/svg+xml;
 gzip_min_length 1000;

 # 버퍼/타임아웃 (앱에 맞게 조정)
 keepalive_timeout 15;
 keepalive_requests 200;

 send_timeout 30s;
 client_body_timeout 30s;
 proxy_read_timeout 60s;
 proxy_connect_timeout 5s;
 proxy_send_timeout 60s;

 proxy_buffering on;
 proxy_buffer_size 4k;
 proxy_buffers 8 4k;

}

5. PHP-FPM 앞단 Nginx 패턴

SCRIPT_FILENAME 잘못 설정하면 빈 화면 404 에러 발생
fastcgi_param으로 IP/스킴 안 넘기면 로그인/도메인 등 의존 코드가 꼬임

정적 리소스 캐싱 안걸어두면 모든 js/css 요청이 PHP로 들어가서 부하 증가

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47


server {
 listen 80;
 server_name <도메인>;

 root /home/<프로젝트>/public;
 index index.php index.html;

 # 보안 헤더
 add_header X-UA-Compatible "IE=Edge,chrome=1";
 add_header X-XSS-Protection "1; mode=block";
 add_header X-Frame-Options "SAMEORIGIN";
 add_header X-Content-Type-Options "nosniff";

 # 정적 리소스 캐싱
 location ~* \.(jpg|jpeg|png|gif|css|pdf|js|ico|svg|woff|woff2|ttf|eot|otf|map)$ {
 access_log off;
 log_not_found off;
 try_files $uri =404;
 expires 1M;
 add_header Cache-Control "public";
 }

 charset utf-8;
 error_page 404 /error/404;

 # PHP-FPM FastCGI 연동
 location / {
 include fastcgi_params;

 fastcgi_pass <WAS 서버 IP>:9000;
 fastcgi_index index.php;

 # PHP에서 실제 실행할 스크립트 경로
 fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

 # 버퍼
 fastcgi_buffers 16 16k;
 fastcgi_buffer_size 32k;

 # X-Forwarded 설정
 fastcgi_param X-Real-IP $remote_addr;
 fastcgi_param X-Forwarded-For $proxy_add_x_forwarded_for;
 fastcgi_param X-Forwarded-Proto $scheme;
 fastcgi_param X-Forwarded-Host $host;
 fastcgi_param X-Forwarded-Port $server_port;
 }
}

6. Java Tomcat 앞단 Nginx 패턴

Java WAS는 proxy_pass로 전달하는 구조라 PHP보다 단순하지만 X-Forwarded 헤더가 중요
- Spring Security, OAuth redirect 등

6-1. Upstream 정의

1
2
3
4


upstream was_backend {
 server <WAS 서버 IP>:8080;
 keepalive 200;
}

6-2. server 블록

X-Forwarded-Proto 로 넘기지 않으면 Spring이 redirect URL을 http로 만들어서 https 접속인데 http로 튕기는 현상 발생
Host를 내부 IP로 넘기면 외부 링크/Redirect URI에 내부 IP가 노출됨

/healthz 같은 헬스체크 URL이 없으면 LB가 임의 URL(예: /) 헬스체크하면서 불필요 부하 발생

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


server {
 listen 80;
 server_name <도메인>;

 # --- 헬스체크 엔드포인트 ---
 location = /healthz {
 add_header Content-Type text/plain;
 return 200 'ok';
 }

 # --- 기본 프록시 ---
 location / {
 proxy_pass http://was_backend;

 # 원본 정보 전달
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Port $server_port;

 proxy_http_version 1.1;
 proxy_set_header Connection "";

 # 파일 업로드/다운로드가 크다면 필요에 따라 조정
 # client_max_body_size 50m;
 }
}

Linux에서 디스크 추가 시에 LVM 증설

Fri, 28 Nov 2025 09:00:00 +0900

20GB 추가디스크가 서버에 부탁됐을 때 디스크를 LVM으로 /data 경로에 마운트하는 방법

0. 디스크 초기화

1
2


fdisk /dev/xvdb
n p 1 enter enter t 8e 2

1. PV 생성

1

pvcreate /dev/xvdb1

2. VG 생성

1

vgcreate vgdata /dev/xvdb1

3. LV 생성

1
2
3
4
5


# 용량 지정해서 사용
lvcreate -L 20G -n lvdata vgdata

# 남은 전체 공간 사용
lvcreate -l 100%FREE -n lvdata vgdata

4. 파일시스템 생성

1

mkfs.ext4 /dev/vgdata/lvdata

5. 마운트 및 fstab 등록

1
2
3
4


mkdir -p /data
mount /dev/vgdata/lvdata /data

echo "/dev/vgdata/lvdata /data ext4 defaults 0 2" >> /etc/fstab

Apache 버전 업그레이드

Thu, 27 Nov 2025 09:00:00 +0900

기존 Apache가 설치된 환경에서 버전 업그레이드

Apache 2.4.63 신규 버전을 소스 컴파일로 설치하고 심볼릭 링크 기반 전환으로 서비스 다운타임 최소화

1
2
3


httpd -t: 설정 문법을 테스트
httpd -S: 가상호스트 등 서버 설정을 확인
httpd -V: 컴파일 옵션과 버전을 조회

기존 apache 경로: /etc/httpd

신규 apache 경로: /usr/local/apache

0. 고려사항

기존 Apache 패키지 경로: /etc/httpd
- 새 버전은 /usr/local/apache 아래에 설치해 충돌 방지
심볼릭 링크 기반 버전 관리

/usr/sbin/httpd → /usr/local/apache/bin/httpd 로 링크하여 서비스 파일 수정 최소화
conf, modules, workers.properties 등 핵심 설정만 이관
logs 경로는 기존 경로를 그대로 사용

/usr/local/apache/logs → /etc/httpd/logs 로 링크
업그레이드 중 필수 검증:
- httpd -t 설정 문법 체크
- httpd -S 가상호스트 및 include 파일 존재 여부 확인
- 없는 파일은 cp -arup 로 보완

1. 신규 버전 다운로드 및 배포 준비

/usr/local에 신규 파일 배치

1
2
3
4


cd /usr/local
tar -zxvf apache.2.4.63.tar.gz
mv apache apache-2.4.63
ln -sfn /usr/local/apache-2.4.63 /usr/local/apache

2. 기존 설정 및 모듈 이관

conf / conf.d / conf.modules.d 파일 복사

신규 버전에 기본 제공되지 않는 파일(proxy-html.conf 등)은 httpd -S에서 오류가 나는지 확인하고 불필요하면 삭제

1
2
3
4
5
6
7
8


# httpd.conf
cp -arup /etc/httpd/conf/httpd.conf /usr/local/apache/conf/

# conf.d → extra/ 로 이관
cp -arup /etc/httpd/conf.d/* /usr/local/apache/conf/extra/

# conf.modules.d
cp -arup /etc/httpd/conf.modules.d/ /usr/local/apache/conf.modules.d

모듈 복사

1
2
3
4
5
6
7


cp -arup /etc/httpd/modules/mod_jk.so /usr/local/apache/modules/
cp -arup /etc/httpd/modules/mod_ssl.so /usr/local/apache/modules/
cp -arup /etc/httpd/modules/mod_rpaf.so /usr/local/apache/modules/
cp -arup /etc/httpd/modules/mod_proxy_http2.so /usr/local/apache/modules/
cp -arup /etc/httpd/modules/mod_brotli.so /usr/local/apache/modules/
cp -arup /etc/httpd/modules/mod_suexec.so /usr/local/apache/modules/
cp -arup /etc/httpd/modules/mod_systemd.so /usr/local/apache/modules/

workers.properties

1

cp -arup /etc/httpd/conf/workers.properties /usr/local/apache/conf/

3. 로그 경로 유지

기존 경로 재사용

1
2


rm -rf /usr/local/apache/logs
ln -s /etc/httpd/logs /usr/local/apache/logs

4. httpd.conf 설정 변경

ServerRoot 경로 수정 및 모듈 적용

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


vim /usr/local/apache/conf/httpd.conf

ServerRoot "/usr/local/apache"

ServerSignature Off
ServerTokens Prod

LoadModule jk_module modules/mod_jk.so
LoadModule rpaf_module modules/mod_rpaf.so

Include conf.modules.d/*.conf

5. 설정 검증

Missing file 오류가 나오면 해당 파일을 /etc/httpd/ 기준으로 찾아 복사

syntax 오류가 나면 conf 파일 수정 후 재검증

1
2


/usr/local/apache/bin/httpd -t # 설정 문법 검증
/usr/local/apache/bin/httpd -S # 가상호스트 및 include 파일 확인

6. systemd 서비스 연결

기존 서비스 파일(/usr/lib/systemd/system/httpd.service)은 수정하지 않고, 바이너리만 신규 httpd 로 연결

1
2
3
4
5
6
7


service httpd stop

cd /usr/sbin
mv httpd httpd.bak
ln -s /usr/local/apache/bin/httpd httpd

service httpd start

7. 확인 필요 사항

httpd -t 정상
httpd -S 에 missing 파일 없음
mod_jk, mod_ssl, mod_rpaf 등 필수 모듈 로딩 정상
서비스 기동 후
- /etc/httpd/logs/error_log
- 애플리케이션 로그
- SSL 인증서 로드 정상 여부
- 가상호스트 매핑 정상 작동 여부
원복 필요 시 /usr/sbin/httpd.bak 로 즉시 롤백

SSL 인증서를 사용한 MySQL/MariaDB 암호화 통신

Sat, 22 Nov 2025 09:00:00 +0900

App-DB 연동 간 사설 IP로 연동 불가 + VPN 사용 불가한 상황에서 공인 IP를 통한 암호화 통신 설정하는 방법

App 서버에서 DB 서버로 공인 IP로 통신할 경우 평문으로 통신하기에 데이터 탈취 위험이 존재
SSL 인증서를 사용한 암호화 통신으로 데이터 보호

환경

App 서버: PHP-FPM 8.3

DB 서버: MariaDB 10.3

연결 방식: App 서버 → DB 서버 공인 IP

작업 과정

DB 서버에서 SSL 인증서로 사용할 CA 인증서 생성
DB에서 인증서를 사용하도록 설정
생성한 인증서를 앱 서버로 복사
앱 서버에서 인증서를 사용하도록 설정
- PHP DB 연동 설정 + DB 연동 소스 코드 수정 필요

전체 과정

1. DB 서버 - SSL 인증서 생성 및 설정

디렉토리 생성

1
2


mkdir -p /etc/mysql/ssl
cd /etc/mysql/ssl

CA Private Key / 인증서 생성

1
2


openssl genrsa 2048 > ca-key.pem
openssl req -new -x509 -days 3650 -key ca-key.pem -out ca-cert.pem -subj "/CN=MariaDB-CA"

서버용 인증서 생성

1
2
3
4


openssl genrsa 2048 > server-key.pem
openssl req -new -key server-key.pem -out server-req.pem -subj "/CN=MariaDB-Server"
openssl x509 -req -in server-req.pem -CA ca-cert.pem -CAkey ca-key.pem \
 -CAcreateserial -out server-cert.pem -days 3650

권한 설정

1
2


chmod 600 server-key.pem
chown mysql:mysql server-key.pem server-cert.pem ca-cert.pem

MariaDB 설정 추가

/etc/my.cnf.d/server.cnf

1
2
3
4


[mysqld]
ssl-ca=/etc/mysql/ssl/ca-cert.pem
ssl-cert=/etc/mysql/ssl/server-cert.pem
ssl-key=/etc/mysql/ssl/server-key.pem

MariaDB 재시작
1

systemctl restart mariadb

SSL 활성화 확인

1
2
3


SHOW VARIABLES LIKE 'have_ssl';
SHOW SESSION STATUS LIKE 'Ssl_cipher';
SHOW SESSION STATUS LIKE 'Ssl_version';

2. 앱 서버 - CA 인증서 적용 및 PHP SSL 사용 설정

디렉토리 생성
1

mkdir -p /etc/mysql/ssl
DB 서버에서 CA 인증서 복사
- /etc/mysql/ssl/ca-cert.pem

환경파일 설정

.env 파일일 경우

1
2
3


DB_SSL=true
DB_SSL_CA=/etc/mysql/ssl/ca-cert.pem
DB_SSL_VERIFY=false

PHP SSL 옵션 적용

PDO로 DB와 연동할 경우

DB.php

1
2
3
4
5
6
7
8


if (getenv('DB_SSL') === 'true') {
 if ($ca = getenv('DB_SSL_CA')) {
 $options[\PDO::MYSQL_ATTR_SSL_CA] = $ca;
 }
 if (getenv('DB_SSL_VERIFY') === 'false') {
 $options[\PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT] = false;
 }
}

php-fpm 재시작

3. SSL 적용 검증

DB 계정에 SSL 강제 적용하도록 설정
- 애플리케이션이 SSL 적용이 정상적이지 않다면 에러 발생
  - EX) SQLSTATE[HY000] [1045] Access denied for user
1 2

ALTER USER 'gill'@'%' REQUIRE SSL; FLUSH PRIVILEGES;

리눅스 CMD 로그, 시스템 로그 logrotate, openfile, sar 로그 설정

Thu, 30 Oct 2025 09:00:00 +0900

Redhat 계열 리눅스에서 시스템 로그 및 openfile, sar 등 기본 설정하는 방법

환경

OS: Rocky 8.10

개요

명령어 실행 기록은 history로도 볼수있지만 각 계정마다 저장 위치가 다르고 없어질 수도 있음
명령어 추적을 위해 CMD 로그를 활성화
로그 파일 용량 문제를 방지하기 위해 logrotate 설정
운영 중 파일이 동시에 열릴 수 있는 파일 디스크럽터 값 증설
- open file limit

설정

01. CMD 로그 설정

/etc/profile.d/cmd_logging.sh

cmd 로그 생성 스크립트

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


function logging
{
 stat="$?"
 cmd=$(history|tail -1)
 remoteaddr=$(who am i)
 if [ "$cmd" != "$cmd_old" ]; then
 logger -p local1.notice "[2] STAT=$stat"
 logger -p local1.notice "[1] $USER=$remoteaddr, PID=$$, PWD=$PWD, CMD=$cmd"
 fi
 cmd_old=$cmd
}
trap logging DEBUG

권한 설정

1
2


chmod 700 /etc/profile.d/cmd_logging.sh
source /etc/profile.d/cmd_logging.sh

rsyslog 설정 변경

1

cp -aurp /etc/rsyslog.conf /home/ncloud24/rsyslog.conf.$(date +%Y%m%d)

/etc/rsyslog.conf
- 파일 하단에 추가
1

local1.notice /var/log/cmd.log
rsyslog 재기동
1

systemctl restart rsyslog

02. Logrotate 설정

1

cp /etc/logrotate.conf /etc/logrotate.conf.bak

vim /etc/logrotate.conf

1
2
3
4
5
6
7
8


daily # 매일 회전
rotate 365 # 365일(1년) 보관
create # 회전 후 새 파일 생성
dateext # 파일명에 날짜 확장자 사용
compress # 압축 활성화
compresscmd /bin/gzip
compressext .gz
include /etc/logrotate.d

로그 회전 대상에 cmd.log 추가

vim /etc/logrotate.d/syslog

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/spooler
/var/log/cmd.log
{
 missingok
 sharedscripts
 postrotate
 /usr/bin/systemctl -s HUP kill rsyslog.service >/dev/null 2>&1 || true
 endscript
}

03. 로그 관리 설정

로그 백업 디렉토리 추가
1

mkdir -p /var/log/backup

/home/scripts/logMoveDelete.sh

로그 관리 스크립트

1
2
3
4
5
6
7
8


#!/bin/bash
PATH=/usr/sbin:/usr/bin:/sbin:/bin

source_dir="/var/log"
backup_dir="/var/log/backup"

mv "$source_dir"/*.tar.gz "$backup_dir" 2>/dev/null || true
find "$backup_dir" -name "*.tar.gz" -type f -mtime +365 -exec rm {} \;

권한 설정

1

chmod 700 /home/scripts/logMoveDelete.sh

cron 등록

1
2
3


crontab -e

0 1 * * * /home/scripts/logMoveDelete.sh

04. open file limit 설정

로그 및 서비스에서 파일 디스크립터 제한이 발생하지 않도록 상한값을 조정

1
2


echo '* soft nofile 65535' | sudo tee -a /etc/security/limits.conf
echo '* hard nofile 65535' | sudo tee -a /etc/security/limits.conf

/etc/systemd/user.conf
1

DefaultLimitNOFILE=65535

05. sar log 설정

sysstat 설정 변경

/etc/sysconfig/sysstat

1
2
3


HISTORY=365 # 데이터 보존 기간 (일 단위)
COMPRESSAFTER=90 # 90일 경과 시 gzip 압축
ZIP="gzip" # 압축 방식

/etc/cron.d/sysstat

1
2


*/1 * * * * root /usr/lib64/sa/sa1 1 1 # 1분마다 sa1 실행
53 23 * * * root /usr/lib64/sa/sa2 -A # 매일 23:53에 sa2 실행 (일간 요약)

sysstat 서비스 활성화
1

systemctl enable --now sysstat

Linux 환경에서 GitLab Omnibus 설치

Sat, 25 Oct 2025 09:00:00 +0900

로컬 리눅스 환경에서 GitLab Omnibus를 설치하는 방법

컨테이너 이미지를 저장하기 위한 이미지 레지스트리 사용

환경

OS: Rocky 8.10

설치

패키지 설치

1

dnf install -y ca-certificates tzdata policycoreutils-python-utils

GitLab Omnibus 설치

Comunity Edition

1
2
3


curl -sS https://packages.gitlab.com/install/repositories/gitlab/gitlab-ce/script.rpm.sh | sudo bash

EXTERNAL_URL="http://<IP/도메인>" dnf install -y gitlab-ce

GitLab 설정

/etc/gitlab/gitlab.rb

콘솔 접근 경로

1
2


# 기본 외부 URL 설정 
external_url "http://<IP/도메인>"

이미지 레지스트리

1
2


gitlab_rails['registry_enabled'] = true
registry_external_url "http://<IP/도메인>:5050"

레지스트리 경로가 https가 아닌 http이므로, 이미지를 푸시할 때 해당 서버에서 docker insecure 설정이 필요함

1
2
3
4
5
6
7


vim /etc/docker/daemon.json
---------------------------
{
 "insecure-registries": [
 "<ip/도메인>:5050"
 ]
}

(선택) 리포지토리 저장 위치 변경

1
2
3
4
5
6
7
8


gitaly['configuration'] = {
 storage: [
 {
 name: 'default',
 path: '/data/gitlab/repositories',
 },
 ],
}

(선택) 이미지 레지스트리 저장 위치 변경

1

gitlab_rails['registry_path'] = "/data/gitlab/registry"

설정 적용
1

gitlab-ctl reconfigure

루트 비밀번호 확인
- 루트 비밀번호가 저장된 파일은 24시간 뒤에 자동 삭제
1

cat /etc/gitlab/initial_root_password
http://로 콘솔 접근
- 정상 접근 확인!

참고

GitLab Omnibus Install 공식 문서: https://docs.gitlab.com/install/package/almalinux/

Linux 환경에서 Jenkins 설치

Thu, 23 Oct 2025 09:00:00 +0900

로컬 리눅스 환경에서 Jenkins 설치하는 방법

환경

OS: Rocky 8.10
java: OpenJDK 21

설치

패키지 설치

1
2
3
4


wget -O /etc/yum.repos.d/jenkins.repo https://pkg.jenkins.io/redhat-stable/jenkins.repo
rpm --import https://pkg.jenkins.io/redhat-stable/jenkins.io-2023.key

yum install fontconfig java-21-openjdk

(선택) OpenJDK 21이 아닌 다른 버전으로 선택되어 있을 시 변경 필요

1
2
3
4


java --version
# java 21 선택
alternatives --config java
java --version

jenkins 설치

1
2
3


yum install jenkins
systemctl daemon-reload
systemctl enable --now jenkins

http://:8080으로 콘솔 접근
Install wizard 진행
- jenkins는 최초 접근 시 unlock 되어 있음
  - 비밀번호 확인 필요
  1
  
  cat /var/lib/jenkins/secrets/initialAdminPassword
- 이후 자동 설치 진행

참고

Jenkins Install 공식 문서: https://www.jenkins.io/doc/book/installing/linux/

Linux logrotate를 통한 로그 관리

Fri, 03 Oct 2025 09:00:00 +0900

/etc/cron.daily/logrotate에 설정된 스크립트를 통해 자동으로 동작
예시
- mariadb general.log 대상

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44


vim /etc/logrotate.d/mariadb

/data/mariadb_log/general.log {

 # Depends on a mysql@localhost unix_socket authenticated user with RELOAD privilege
 su mysql mysql

 # If any of the files listed above is missing, skip them silently without
 # emitting any errors
 missingok

 # If file exists but is empty, don't rotate it
 notifempty

 # 달에 1번 보관
 monthly

 # 6개월 보관
 rotate 6

 # 500M 초과할 경우 달에 상관없이 즉시 보관
 maxsize 500M

 # 50M 미만일 경우 달에 상관없이 보관 X
 minsize 50M

 # 압축해서 보관
 compress

 # 가장 최근 보관한 로그는 압축하지 않음
 delaycompress

 # Don't run the postrotate script for each file configured in this file, but
 # run it only once if one or more files were rotated
 sharedscripts

 # redhat 계열 flush
 postrotate
 if command -v mariadb-admin >/dev/null 2>&1; then
 mariadb-admin --user=root --password='<PASSWORD>' --host=localhost \
 --local flush-error-log flush-engine-log flush-general-log flush-slow-log
 fi
 endscript
}

Linux Swap 메모리 증설 방법

Thu, 02 Oct 2025 09:00:00 +0900

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


# 현재 스왑 메모리 확인
free -mh

# Swap 파일 생성
fallocate -l 2G .swapfile
# fallocate 안되면 dd
dd if=/dev/zero of=/swapfile2 bs=1M count=2048

# Swap 파일 권한 변경
chmod 600 .swapfile

# Swap 파일 포맷 설정 및 Swap 파일 등록
mkswap .swapfile
swapon .swapfile

# Swap Memory 가 정상적으로 등록 되었는지 확인
swapon -s
free -m

# 부팅시에도 Swap 연결이 되도록 Swap 파일 영구적 마운트 하는 방법
vim /etc/fstab
 .swapfile swap swap defaults 0 0

# Swap Memory 비활성화 및 삭제
swapoff .swapfile
rm .swapfile

# Swap 파일 마운트 해제
vim /etc/fstab
 [swap파일경로] swap swap defaults 0 0 << 문구 주석 처리

HAproxy 동시 재기동 오류 TroubleShooting

Tue, 16 Sep 2025 09:00:00 +0900

두 서버의 HAProxy를 동시에 재기동하는 과정에서 VIP FAULT 현상이 발생
- keepalived/corosync/pacemaker 같은 클러스터 프로세스가 VIP 소유권을 제어하는 앱에서 자주 있는 일
- VIP(Virtual IP) 소유권 충돌이 발생하여 이로 인해 VIP가 정상적으로 할당되지 않고 모두 FAULT 상태로 전환 이후 BACKUP 상태로 변경됨
- 이후 순차적으로 keepalived를 재기동해서 정상적으로 Master 상태로 전환 확인
  - systemctl restart keepalived

위 현상 방지하기 위해 한 HAproZxy 재기동 후, 재기동하지 않은 서버가 MASTER 승격되었는지, VIP 활성화 되었는지 확인 필수

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# HAProxy 재기동 시 로그

Reloading HAProxy Load Balancer...
Stopping proxy haproxy-ssl...
Stopping proxy haproxy...

Keepalived_vrrp[####]: (VI_1) received an invalid passwd!
Keepalived_vrrp[####]: (VI_1) Dropping received VRRP packet...
Keepalived_vrrp[####]: VRRP_Instance(VI_1) Entering FAULT STATE
Keepalived_vrrp[####]: VRRP_Script(chk_haproxy) failed
Keepalived_vrrp[####]: VRRP_Instance(VI_1) Now in FAULT state
Keepalived_vrrp[####]: VRRP_Instance(VI_1) Entering BACKUP STATE

# haproxy_test.sh 실행 결과
/keepalived/haproxy_test.sh exited with status 1
/keepalived/haproxy_test.sh exited with status 0

# BACKUP 전환 확인
Keepalived_vrrp[####]: VRRP_Instance(VI_1) Entering BACKUP STATE

HikariCP 개발자가 제안한 커넥션 풀 사이즈 공식

Thu, 11 Sep 2025 09:00:00 +0900

https://joonlog.github.io/posts/TroubleShootingHikariCPConnectionError/에서 이슈가 됐던 설정 중 최적 커넥션 풀 설정 방법에 대한 글 발견

출처: https://www.threads.com/@codevillains/post/DFj2-wQSREJ?xmt=AQF0jSXFspf2rIJ-PoZij1A2Xy3Ak_g0vjc0SNxC2kYoOA

원본: https://github.com/brettwooldridge/HikariCP

서버 스펙으로 계산
- Pool Size = (( CPU 코어 수 * 2) + 스토리지 디스크 (또는 SSD) 갯수)
- 코어가 8개고 스토리지 디스크가 2개라면 ((8*2)+2) = 18 가 최적의 커넥션 풀 사이즈
TPS로 계산
- (TPS × 평균 응답 시간) / (1 - DB 사용률)
- 500TPS에 평균 응답시간이 0.05초 일 경우 서버 자원 사용률이 70퍼라고 가정하면 500 * 0.05 / 1-0.7 이 되고, 83.3 개가 최적의 커넥션 풀 사이즈

HikariCP connection is closed 에러 TroubleShooting

Wed, 10 Sep 2025 09:00:00 +0900

MySQL은 wait_timeout 설정값에 따라 커넥션 중 일정 시간이상 사용하지 않은 커넥션을 종료
HikariCP는 maxLifetime 설정값에 따라 스스로 미사용된 커넥션을 제거하고 새로 생성하는 방식으로 동작
- 커넥션 누수 발생 시 connection closed 되지 않으므로 Hikari는 커넥션을 activate 상태로 파악하여 maxLifetime 에 따른 커넥션 갱신하지 않음
  - 따라서 wait_timeout 으로 인해 닫힌 커넥션을 재사용하려다 connection is closed 오류가 발생
  - HikariCP는 maxLifetime값을 DB의 wait_timeout보다 몇 초 정도 짧게 설정하라고 권장

connection is closed 에러 히스토리

connection pool 수치 점검
- default 10개, 필요시 20~30개로 설정
1

spring.datasource.hikari.maximum-pool-size=30
- 현재 실행 중인 쿼리의 Que 값이 connection Pool 최대 값까지 도달하여 다음 실행할 쿼리를 처리하지 못해 발생
- APM 솔루션으로 Connection Pool 자원 모니터링을 통해 증설이 필요할 시 즉시 증설, 쿼리 최적화 필요 언급
  - 이건 임시 조치만 반복할 뿐, 커넥션 누수는 코드를 수정해야 함
db 파라미터 wait_timeout = 500 설정

이후 재발

1
2
3
4
5
6
7


spring.datasource.hikari.minimum-idle=10 // 최소 커넥션 수
spring.datasource.hikari.idle-timeout=300000 // 유휴 커넥션 타임아웃 (5분)
spring.datasource.hikari.max-lifetime=1800000 // 최대 커넥션 생명 주기 (30분)
spring.datasource.hikari.connection-timeout=30000 // 커넥션 대기 시간 (30초)

# db 파라미터 max_connection = 2000으로 확인됨
spring.datasource.hikari.maximum-pool-size=60 // 30에서 60으로 변경

이후 재발
- HikariCP는 maxLifetime값을 DB의 wait_timeout보다 몇 초 정도 짧게 설정하라고 권장
  1
  
  spring.datasource.hikari.max-lifetime=497000 // 최대 커넥션 생명 주기 (497초)

이후 재발

was 서버 로그 확인 시 maxLifetime 값을 더 짧게 설정하는 것을 권장하는 로그 확인

1

[WARN ] [PoolBase.javalisConnectionAlive(184) : HikariPool-1 - Failed to connection org.mariadb.jdbc.MariaDbConnection@14441ec9 ((conn=8360) Connection.setNetworkTimeout cannot be called on a closed connection). Possibly consider using a shorter maxLifetime value.

maxLifetime 값 변경

1

spring.datasource.hikari.max-lifetime=470000 // 최대 커넥션 생명 주기 (470초)

동일오류 재발
- spring.datasource.hikari.connection-init-sql 프로퍼티를 추가하여 세션 wait_timeout을 설정
- wait_timeout 값을 설정된 hikari MaxLifetime 값 + 5초 형식으로 설정
  1
  
  spring.datasource.hikari.connection-init-sql=SET wait_timeout = 500

커넥션 누수 사례

https://jaehoney.tistory.com/337

wait_timeout 이 15초로 설정되어 있는데 레거시 코드 때문에 높이지 못함

따라서 세션의 wait_timeout을 설정

1

spring.datasource.hikari.connection-init-sql=SET wait_timeout = 500

https://do-study.tistory.com/97

EntityManager를 Bean으로 설정함
- EntityManager는 스레드간 절대 공유하면 안됨
QueryDSL 구현 Resitory에서 특정 datasource의 EntityManager를 받기 위해 setEntityManager를 재정의하지 않고 별도 setting 메소드 작성

같은 Tibero DB 안에서 스키마 복제하는 방법

Thu, 04 Sep 2025 09:00:00 +0900

Tibero DB에서 스키마를 복제할 경우 기존 DB와의 테이블스페이스 및 데이터파일 중복을 고려해서 작업 필요

복제 원본 스키마 정보 확인

대상 스키마에서 사용하는 테이블스페이스, 데이터파일, 크기 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


-- 원본 스키마가 쓰는 테이블스페이스 목록
SELECT DISTINCT tablespace_name
FROM dba_segments
WHERE owner = <대상 스키마명>
ORDER BY 1;

-- 각 TS에 대해 현재 데이터파일 경로와 크기
SELECT tablespace_name,
file_id,
file_name,
ROUND(bytes/1024/1024) AS size_mb,
autoextensible,
ROUND(maxbytes/1024/1024) AS max_mb
FROM dba_data_files
WHERE tablespace_name IN (
SELECT DISTINCT tablespace_name FROM dba_segments WHERE owner=<대상 스키마명>
)
ORDER BY tablespace_name, file_id;

-- 각 TS에서 대상 스키마가 실제 사용 중인 용량(세그먼트 기준)
SELECT tablespace_name,
ROUND(SUM(bytes)/1024/1024) AS used_mb
FROM dba_segments
WHERE owner=<대상 스키마명>
GROUP BY tablespace_name
ORDER BY tablespace_name;

대상(복제) 스키마 구성

대상 스키마 생성, 권한 부여, 쿼터 부여

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


-- 대상 테이블 스페이스 생성
 CREATE TABLESPACE <대상TS1> DATAFILE '<경로>/<대상TS1>.dbf' SIZE <사이즈>M <여부 예: AUTOEXTEND ON>;
 CREATE TABLESPACE <대상TS2> DATAFILE '<경로>/<대상TS2>.dbf' SIZE <사이즈>M <여부 예: AUTOEXTEND ON>;
-- 복제 적용할 대상 전부 동일하게 구성(원본 스키마와 테이블 스페이스를 공유할 경우 적용X)

-- 대상 스키마 생성
CREATE USER <대상 스키마명> IDENTIFIED BY "<패스워드>"
 DEFAULT TABLESPACE <대상TS, 예: <복제 스키마>>
 TEMPORARY TABLESPACE TEMP;

-- 권한 부여(필요시)
GRANT CONNECT, RESOURCE TO <대상 스키마명>;

-- 대상 스키마에 각 대상 TS 쿼터 부여
ALTER USER <대상 스키마명> QUOTA UNLIMITED ON <대상TS>;
-- 복제 적용할 대상 전부 구성

tbexport 백업 파일 생성

테이블스페이스 리맵 적용

1
2
3
4
5
6
7



tbexport \
 username=<계정명> password=<비밀번호> sid=<DB명> \
 file=<덤프 파일 경로 예: /data/db_dump/src_full_remap.dmp> \
 user=<원본 스키마명> \
 remap_tablespace=<원본TS1>:<대상TS1>,<원본TS2>:<대상TS2>
 -- 원본 스키마와 테이블 스페이스를 분리할 테이블 스페이스만 적용

tbimport 데이터 적재

1
2
3
4
5


tbimport \
 username=<계정명> password=<비밀번호> sid=<DB명> \
 file=<덤프 파일 경로 예: /data/db_dump/src_full_remap.dmp> \
 fromuser=<원본 스키마명> touser=<대상 스키마명> \
 rows=y constraint=n index=n trigger=n ignore=Y

tbimport 메타데이터 적재

1
2
3
4
5
6


tbimport \
 username=<계정명> password=<비밀번호> sid=<DB명> \
 file=<DUMP_FILE> \
 log=<LOG_META> \
 fromuser=<원본 스키마명> touser=<대상 스키마명> \
 rows=n constraint=y index=y trigger=y ignore=Y

검증

1
2
3
4
5
6
7


-- 테이블 수 비교
SELECT COUNT(*) FROM dba_tables WHERE owner=<대상 스키마>;
SELECT COUNT(*) FROM dba_tables WHERE owner=<복제 스키마>;

-- 인덱스 수 비교
SELECT COUNT(*) FROM dba_indexes WHERE owner=<대상 스키마>;
SELECT COUNT(*) FROM dba_indexes WHERE owner=<복제 스키마>;

외부 스키마의 권한 부여(선택)

복제 스키마 외에 다른 스키마가 존재하고, 해당 스키마가 복제한 스키마를 참조할 경우 권한을 별도로 부여해야 함

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39


1) 오브젝트 권한(테이블/뷰/시퀀스/프로시저/펑션/패키지 등)
-- <대상 스키마>에는 있고 <복제 스키마>에는 없는 권한
SELECT privilege, owner, table_name
FROM dba_tab_privs
WHERE grantee=<대상 스키마>
MINUS
SELECT privilege, owner, table_name
FROM dba_tab_privs
WHERE grantee=<복제 스키마>;

2) 컬럼 단위 권한(있을 수 있음: SELECT/UPDATE 컬럼 권한)
-- <대상 스키마>에는 있고 <복제 스키마>에는 없는 컬럼 권한
SELECT privilege, owner, table_name, column_name
FROM dba_col_privs
WHERE grantee=<대상 스키마>
MINUS
SELECT privilege, owner, table_name, column_name
FROM dba_col_privs
WHERE grantee=<복제 스키마>;

3) 시스템 권한(필요시)
-- <대상 스키마>에는 있고 <복제 스키마>에는 없는 시스템 권한
SELECT privilege
FROM dba_sys_privs
WHERE grantee=<대상 스키마>
MINUS
SELECT privilege
FROM dba_sys_privs
WHERE grantee=<복제 스키마>;

4) 롤(역할) 부여 비교(필요시)
-- <대상 스키마>에는 있고 <복제 스키마>에는 없는 롤
SELECT granted_role
FROM dba_role_privs
WHERE grantee=<대상 스키마>
MINUS
SELECT granted_role
FROM dba_role_privs
WHERE grantee=<복제 스키마>;

Tibero DB에서 begin/end모드를 사용한 물리적 백업 및 복구 방법

Wed, 03 Sep 2025 09:00:00 +0900

백업 모드 시작 - 데이터파일 복사 - 백업 모드 종료의 구조로 백업하는 방식
백업 스크립트
- DB내 존재하는 테이블스페이스 리스트를 읽어 반복문으로 풀 백업
- pigz 명령어를 사용한 멀티스레드 압축
  - 다수의 대용량 데이터 파일을 압축해야하는 현재 상황에서는 pigz를 사용하지 않고 tar로만 압축하면 24시간 이상 소요 ⇒ pigz 사용 시 6시간 소요
- 백업 파일과 DB 메타데이터 비교를 통한 누락 파일 감지
- 이전 백업 파일 및 로그 정리

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214


#!/bin/bash

set -euo pipefail

########## 환경설정 ##########
export TB_HOME=/tibero/tibero6
export TB_SID=<sid명>
export PATH="$TB_HOME/client/bin:/usr/bin:/bin"
export LD_LIBRARY_PATH="$TB_HOME/client/lib:${LD_LIBRARY_PATH:-}"
TBSQL="$TB_HOME/client/bin/tbsql"

USER=<계정명>
PASS=<비밀번호>

DATE=$(date +%Y%m%d)
BACKUP_ROOT="/data/db_dump"
BACKUP_DIR="$BACKUP_ROOT/$DATE"
DATA_DIR="/data/<db명>"
ARCHIVE_DIR="/data/archive"
LOGFILE="$BACKUP_ROOT/<db명>_backup_$DATE.log"
LOG_DIR="$BACKUP_ROOT"
LOG_FILE="$BACKUP_ROOT/<db명>_backup_check_$DATE.log"
PIGZ="/usr/bin/pigz"
export LC_ALL=C

mkdir -p "$BACKUP_DIR"

########## 유틸 ##########
log() { echo "[$(date '+%Y-%m-%d %H:%M:%S')] $*" | tee -a "$LOGFILE" ; }
tbq() { echo "$1" | "$TBSQL" "$USER/$PASS" >> "$LOGFILE" 2>&1 ; }

########## 1) DB에서 TS,파일 경로 Spool ##########
MAP_FILE="$BACKUP_DIR/_filemap_${DATE}.csv" # 원본 Spool
MAP_CLEAN="$BACKUP_DIR/_filemap_${DATE}.clean.csv" # 정제본
log "===== DBA_DATA_FILES Spool 시작 ====="
"$TBSQL" "$USER/$PASS" <<EOF >> "$LOGFILE" 2>&1
SET ECHO OFF
SET PAGESIZE 0
SET FEEDBACK OFF
SET HEADING OFF
SET TRIMSPOOL ON
SPOOL $MAP_FILE
SELECT TRIM(tablespace_name) || ',' || TRIM(file_name)
FROM dba_data_files
ORDER BY tablespace_name, file_name;
SPOOL OFF
EXIT;
EOF

# 정제: CR 제거 → 앞의 "SQL> [번호]" 제거 → 공백 Trim → 패턴 필터링
sed -E 's/\r$//' "$MAP_FILE" \
| sed -E 's/^SQL>[[:space:]]*([0-9[:space:]]+)?//' \
| awk -F, 'NF==2 {
 gsub(/^[[:space:]]+|[[:space:]]+$/,"",$1);
 gsub(/^[[:space:]]+|[[:space:]]+$/,"",$2);
 if ($1 ~ /^[A-Z0-9_]+$/ && $2 ~ /^\//) print $1","$2
}' > "$MAP_CLEAN"

if [[ ! -s "$MAP_CLEAN" ]]; then
 log "ERROR: 파일 맵 정제 결과가 비었습니다. ($MAP_CLEAN)"
 exit 1
fi
log "Spool 원본 라인수: $(wc -l < "$MAP_FILE"), 정제 후 라인수: $(wc -l < "$MAP_CLEAN")"
log "===== Spool 완료(정제 적용): $(wc -l < "$MAP_CLEAN") rows ====="

########## 2) TS별 파일 목록 구성 ##########
declare -A TS_FILES
declare -a TS_ORDER
while IFS=, read -r TS F; do
 [[ -z "$TS" || -z "$F" ]] && continue
 [[ "$TS" =~ ^[A-Z0-9_]+$ ]] || continue
 [[ "$F" =~ ^/.*$ ]] || continue
 if [[ -z "${TS_FILES[$TS]+_}" ]]; then
 TS_FILES[$TS]="$F"
 TS_ORDER+=("$TS")
 else
 TS_FILES[$TS]="${TS_FILES[$TS]} $F"
 fi
done < "$MAP_CLEAN"

log "감지된 테이블스페이스 수: ${#TS_ORDER[@]}"

########## 3) TS 하나 백업(복사/압축) ##########
backup_one_ts() {
 local TS="$1"; shift
 local FILES=("$@")
 local BASENAMES=()
 local MANIFEST="${TS}${DATE}.manifest"
 local TGZ="${TS}_${DATE}.tar.gz"

 log "===== ${TS} BEGIN BACKUP ====="
 tbq "ALTER TABLESPACE ${TS} BEGIN BACKUP;"

 for f in "${FILES[@]}"; do
 if [[ -r "$f" ]]; then
 cp "$f" "$BACKUP_DIR/" >> "$LOGFILE" 2>&1
 BASENAMES+=("$(basename "$f")")
 else
 log "WARN: ${TS} 데이터파일 읽기 불가: $f"
 fi
 done

 tbq "ALTER TABLESPACE ${TS} END BACKUP;"

 if (( ${#BASENAMES[@]} == 0 )); then
 log "WARN: ${TS} 복사된 파일이 없어 압축을 생략합니다."
 return 0
 fi

 (
 cd "$BACKUP_DIR" || exit 1
 tar --index-file="$MANIFEST" -cvf - "${BASENAMES[@]}" 2>>"$LOGFILE" \
 | "$PIGZ" -p 8 > "$TGZ"
 rm -f "${BASENAMES[@]}" 2>>"$LOGFILE" || true
 ) >> "$LOGFILE" 2>&1 &
}

########## 4) 병렬 폭 조절(PARALLEL=2: 두 개씩) ##########
PARALLEL=2
running=0
for TS in "${TS_ORDER[@]}"; do
 read -r -a arr <<< "${TS_FILES[$TS]}"
 backup_one_ts "$TS" "${arr[@]}"
 ((++running))
 if (( running >= PARALLEL )); then
 wait
 running=0
 log "===== 직전 ${PARALLEL}개 TS 백업/압축 완료(wait) ====="
 fi
done
wait
log "===== 모든 TS 백업/압축 완료 ====="

########## 5) MISC 묶음 ##########
MISC_DIR="$BACKUP_DIR/.misc_tmp"
mkdir -p "$MISC_DIR"

log "===== 컨트롤파일 SQL 백업 ====="
tbq "ALTER DATABASE BACKUP CONTROLFILE TO TRACE AS '${MISC_DIR}/crectl.sql' REUSE NORESETLOGS;"

log "===== 컨트롤파일 물리 백업 ====="
cp /data/<db명>/c1.ctl "$MISC_DIR/" 2>> "$LOGFILE" || true
cp /tibero/tibero6/config/c2.ctl "$MISC_DIR/" 2>> "$LOGFILE" || true

log "===== 아카이브 로그 스위치 및 복사 ====="
tbq "ALTER SYSTEM SWITCH LOGFILE;"
cp "$ARCHIVE_DIR"/*.arc "$MISC_DIR/" 2>> "$LOGFILE" || true

log "===== 리두로그/.passwd 백업 ====="
cp /data/<db명>/log*.log "$MISC_DIR/" 2>> "$LOGFILE" || true
cp /data/<db명>/.passwd "$MISC_DIR/" 2>> "$LOGFILE" || true

tar -czf "${BACKUP_DIR}/MISC_${DATE}.tar.gz" -C "$MISC_DIR" . >> "$LOGFILE" 2>&1
rm -rf "$MISC_DIR"

log "===== 전체 백업 완료(MISC 포함) ====="

########## 6) LABEL 생성 및 검증(오탐 방지) ##########
: > "$BACKUP_DIR/LABEL${DATE}.manifest"
cat "$BACKUP_DIR"/*"${DATE}.manifest" 2>/dev/null \
 | awk -F/ '{print $NF}' \
 | sort -u > "$BACKUP_DIR/LABEL${DATE}.manifest"

if [[ ! -s "$BACKUP_DIR/LABEL${DATE}.manifest" ]]; then
 log "ERROR: LABEL${DATE}.manifest is empty (no fallback by policy)"
 exit 1
fi

: > "$LOG_DIR/backup_filelist.txt"
awk -F/ '{print $NF}' "$BACKUP_DIR/LABEL${DATE}.manifest" | sort -u > "$LOG_DIR/backup_filelist.txt"

# expect 목록 재생성 (tbsql 출력은 메인 로그만)
$TBSQL "$USER/$PASS" <<EOF >> "$LOGFILE" 2>&1
SET ECHO OFF
SET PAGESIZE 0
SET FEEDBACK OFF
SET HEADING OFF
SET TRIMSPOOL ON
SPOOL $LOG_DIR/expected_filelist_full.txt
SELECT file_name FROM dba_data_files ORDER BY 1;
SPOOL OFF
EXIT;
EOF

awk -F/ '{print $NF}' "$LOG_DIR/expected_filelist_full.txt" | sort > "$LOG_DIR/expected_filelist.txt"

# 체크 로그 초기화 후 누락만 기록
: > "$LOG_FILE"
comm -23 "$LOG_DIR/expected_filelist.txt" "$LOG_DIR/backup_filelist.txt" > "$LOG_FILE"

if [[ -s "$LOG_FILE" ]]; then
 log "누락된 데이터파일이 있습니다. ($LOG_FILE 참조)"
else
 log "DB expect 목록 대비 누락 없음"
fi

rm -f "$LOG_DIR/backup_filelist.txt" \
 "$LOG_DIR/expected_filelist.txt" \
 "$LOG_DIR/expected_filelist_full.txt"

########## 7) 하우스키핑 ##########
log "Deleting .arc archive logs older than 7 days..."
find "$ARCHIVE_DIR" -type f -name "*.arc" -mtime +7 -print -exec rm -f {} \; >> "$LOGFILE" 2>&1

log "Deleting .log files older than 1 day..."
find "$LOG_DIR" -maxdepth 1 -type f -name "*.log" -mtime +1 -print -exec rm -f {} \; >> "$LOGFILE" 2>&1

YESTERDAY=$(date -d "1 day ago" +%Y%m%d)
if [[ -d "$BACKUP_ROOT/$YESTERDAY" ]]; then
 log "Deleting backup directory: $BACKUP_ROOT/$YESTERDAY"
 rm -rf "$BACKUP_ROOT/$YESTERDAY" >> "$LOGFILE" 2>&1
else
 log "No backup directory to delete for $YESTERDAY"
fi

백업 복구 방법

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


### 파일 이름은 백업본 생성 일자에 따라 변경 필요

# DB 중지
tbdown immediate

# 압축 해제
tar -xzf /data/db_dump/20250806.tar.gz -C /data/db_dump

# 파일 복구(운영 경로로 이동)
cp /data/db_dump/<날짜>/*.arc /data/archive/
cp /data/db_dump/<날짜>/*.dtf /data/<SID명>/
cp /data/db_dump/<날짜>/*.dbf /data/<SID명>/
cp /data/db_dump/<날짜>/.passwd /data/<SID명>/
cp /data/db_dump/<날짜>/*.log /data/<SID명>/

#인스턴스 NOMOUNT
tbboot nomount

#컨트롤파일 재생성
@/data/db_dump/<날짜>/crectl.sql

#MOUNT로 변경
tbdown
tbboot mount

#복구
ALTER DATABASE RECOVER AUTOMATIC DATABASE;

#오픈
ALTER DATABASE OPEN RESETLOGS;

Tibero DB에서 tbrmgr 명령어를 사용한 물리적 백업 및 복구 방법

Wed, 03 Sep 2025 09:00:00 +0900

백업한 데이터파일을 압축 및 변형하지 않고, 지속적으로 증분하여 백업할 경우에 유용한 방식

백업 스크립트

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59


#!/bin/bash

# 오늘 날짜
today=$(date +%Y%m%d)

# 백업 루트 디렉토리
backup_dir="/data/db_dump"

# 오늘 백업 디렉토리 및 압축 파일 경로
today_dir="$backup_dir/$today"
today_tar="$backup_dir/<db명>_backup_${today}.tar.gz"

# 아카이브 로그 디렉토리
archive_log_dir="/data/archive"

# 로그 기록용 파일
log_file="$backup_dir/<sid명>_backup_${today}.log"

echo "[$(date '+%Y-%m-%d %H:%M:%S')] === Tibero Hot Backup Script Start ===" | tee -a "$log_file"

# 1. 오늘 날짜 디렉토리 생성
mkdir -p "$today_dir"

# 2. 백업 실행
echo "[$(date '+%Y-%m-%d %H:%M:%S')] Starting backup to $today_dir" | tee -a "$log_file"
tbrmgr backup --compress=HIGH -u -o "$today_dir"

du -sh "$today_dir" | tee -a "$log_file"

if [ $? -eq 0 ]; then
 echo "[$(date '+%Y-%m-%d %H:%M:%S')] Backup succeeded. Compressing..." | tee -a "$log_file"
 tar -czf "$today_tar" -C "$backup_dir" "$today"
 if [ $? -eq 0 ]; then
 echo "[$(date '+%Y-%m-%d %H:%M:%S')] Compression successful: $today_tar" | tee -a "$log_file"
 rm -rf "$today_dir"
 else
 echo "[$(date '+%Y-%m-%d %H:%M:%S')] Compression failed!" | tee -a "$log_file"
 fi
else
 echo "[$(date '+%Y-%m-%d %H:%M:%S')] Backup failed!" | tee -a "$log_file"
 exit 1
fi

# 3. 1일 초과된 백업 파일 삭제 (.tar.gz)
echo "[$(date '+%Y-%m-%d %H:%M:%S')] Deleting .tar.gz backups older than 1 days..." | tee -a "$log_file"
find "$backup_dir" -maxdepth 1 -type f -name "*.tar.gz" -mtime +1 -print -exec rm -f {} \; >> "$log_file" 2>&1

du -sh "$today_tar" | tee -a "$log_file"

# 4. 7일 초과된 아카이브 로그(.arc) 삭제
echo "[$(date '+%Y-%m-%d %H:%M:%S')] Deleting .arc archive logs older than 7 days from $archive_log_dir..." | tee -a "$log_file"
find "$archive_log_dir" -type f -name "*.arc" -mtime +7 -print -exec rm -f {} \; >> "$log_file" 2>&1

# 5. 1일 초과된 백업 로그 파일 삭제 (.log)
echo "[$(date '+%Y-%m-%d %H:%M:%S')] Deleting .log files older than 1 day..." | tee -a "$log_file"
find "$backup_dir" -maxdepth 1 -type f -name "*.log" -mtime +1 -print -exec rm -f {} \; >> "$log_file" 2>&1

echo "[$(date '+%Y-%m-%d %H:%M:%S')] === Tibero Hot Backup Script Complete ===" | tee -a "$log_file"
### 백업스크립트 완료

복구 스크립트

1
2
3
4
5


압축 해제
tar -xvzf /data/db_dump/<db명>_backup_<날짜>.tar.gz -C /data/db_dump/

복구 실행
tbrmgr recover -o /data/db_dump/<날짜>/

Tomcat 마이너 버전 업그레이드 (Tomcat 9)

Tue, 02 Sep 2025 09:00:00 +0900

Tomcat 9.0 버전대에서 9.0.108 버전으로의 마이너 버전 업그레이드
- 마이너 버전 업그레이드는 전/후 버전의 설정이 대부분 호환됨

0. 고려사항

심볼릭 링크 방식으로 버전을 관리해서 롤백을 용이하게 설정
conf, lib, bin 일부 스크립트만 선별적으로 이관
로그/웹앱 경로는 기존 디렉토리를 링크해 데이터 손실을 방지
업그레이드 후에는 반드시 catalina.out과 애플리케이션 로그를 확인해 정상 구동 여부를 검증

1. 새 버전 다운로드 및 설치

1
2
3
4


cd /usr/local
curl -O https://dlcdn.apache.org/tomcat/tomcat-9/v9.0.108/bin/apache-tomcat-9.0.108.tar.gz
tar xzf apache-tomcat-9.0.108.tar.gz
mv apache-tomcat-9.0.108 tomcat-9.0.108

2. 설정 및 배포물 이관

업그레이드 시 필요한 설정/라이브러리만 이관

conf
- 웬만하면 전부 복사
bin
- 이전 버전에서 catalina.sh 파일이 수정된 흔적이 있을 경우 반드시 파악해서 setenv.sh에 이관
  - setenv.sh로 관리하면 추후 작업시에도 이 파일만 옮기면 됨
- setenv.sh 파일 존재할 시 복사
lib
- 이전 버전에서 기본 라이브러리 외에 추가된 라이브러리가 있다면 복사

1
2
3


rsync -a /usr/local/tomcat/conf/ /usr/local/tomcat-9.0.108/conf/
rsync -a /usr/local/tomcat/bin/setenv.sh /usr/local/tomcat-9.0.108/bin/
cp /usr/local/tomcat/lib/tibero6-jdbc.jar /usr/local/tomcat-9.0.108/lib/

기존 버전에서 log, webapps 경로가 심볼릭 링크로 되어 있다면 신규 버전에서도 동일하게 설정
1 2

rmdir /usr/local/tomcat-9.0.108/logs ln -sfn /data/tomcat/logs /usr/local/tomcat-9.0.108/

3. 서비스 전환

구버전 종료 후 새 버전으로 심볼릭 링크 전환

1
2
3
4
5
6
7


su - tomcat
/usr/local/tomcat/bin/shutdown.sh

mv /usr/local/tomcat /usr/local/tomcat-9.0.102
ln -sfn /usr/local/tomcat-9.0.108 /usr/local/tomcat

/usr/local/tomcat/bin/startup.sh

Rocky8.10 Cacti 설치

Sat, 26 Jul 2025 09:00:00 +0900

참고: https://ko.linux-console.net/?p=2502

Apache 웹서버

1
2


sudo dnf install httpd -y
sudo systemctl enable --now httpd

MariaDB

1
2


sudo dnf install -y mariadb-server mariadb
sudo systemctl enable --now mariadb

PHP

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


sudo dnf install dnf-utils http://rpms.remirepo.net/enterprise/remi-release-8.rpmmi
sudo dnf module reset php
sudo dnf module enable php:remi-7.4
sudo dnf install @php
sudo dnf install -y php php-{mysqlnd,curl,gd,intl,pear,recode,ldap,xmlrpc,snmp,mbstring,gettext,gmp,json,xml,common}
sudo systemctl enable --now php-fpm

sudo vim /etc/opt/remi/php74/php.ini

date.timezone = Africa/Nairobi
memory_limit = 512M
max_execution_style = 60

SNMP & RRDtool

1
2


sudo dnf install -y net-snmp net-snmp-utils net-snmp-libs rrdtool
sudo systemctl enable --now snmpd

Cacti DB 생성

cacti 사용자 생성 및 cacti DB ALL 권한 부여
cacti 사용자에 timezone 조회 권한 부여

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


mysql -u root -p

MariaDB [(none)]> CREATE DATABASE cactidb;
MariaDB [(none)]> GRANT ALL ON cactidb.* TO cacti_user@localhost IDENTIFIED BY 'passwd123';
MariaDB [(none)]> FLUSH PRIVILEGES;
MariaDB [(none)]> EXIT;

mysql -u root -p mysql < /usr/share/mariadb/mysql_test_data_timezone.sql

MariaDB [(none)]> GRANT SELECT ON mysql.time_zone_name TO cacti_user@localhost;
MariaDB [(none)]> FLUSH PRIVILEGES;
MariaDB [(none)]> EXIT;

선택 - DB 파라미터 튜닝

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


sudo vi /etc/my.cnf.d/mariadb-server.cnf

collation-server=utf8mb4_unicode_ci
character-set-server=utf8mb4
max_heap_table_size=32M
tmp_table_size=32M
join_buffer_size=64M
25% Of Total System Memory
innodb_buffer_pool_size=1GB
pool_size/128 for less than 1GB of memory
innodb_buffer_pool_instances=10
innodb_flush_log_at_timeout=3
innodb_read_io_threads=32
innodb_write_io_threads=16
innodb_io_capacity=5000
innodb_file_format=Barracuda
innodb_large_prefix=1
innodb_io_capacity_max=10000

Cacti 설치 및 테이블 생성

1
2
3
4
5
6
7


sudo dnf install epel-release -y
sudo dnf install cacti -y
rpm -qi cacti
 cacti 1.12.17
rpm -ql cacti | grep cacti.sql
 /usr/share/doc/cacti/cacti.sql
mysql -u root -p cactidb < /usr/share/doc/cacti/cacti.sql

Cacti MariaDB 연동

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


sudo vim /usr/share/cacti/include/config.php

$database_type = 'mysql';
$database_default = 'cactidb';
$database_hostname = 'localhost';
$database_username = 'cacti_user';
$database_password = '<PASSWORD>';
$database_port = '3306';
$database_retries = 5;
$database_ssl = false;
$database_ssl_key = '';

Cacti 풀링 설정

1
2
3


sudo vim /etc/cron.d/cacti

*/5 * * * * apache /usr/bin/php /usr/share/cacti/poller.php > /dev/null 2>&1

Cacti 웹페이지 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


sudo vim /etc/httpd/conf.d/cacti.conf

Alias /cacti /usr/share/cacti

<Directory /usr/share/cacti/>
 <IfModule mod_authz_core.c>
 # httpd 2.4
 # Require all granted
 Require ip 192.168.0.0/24
 </IfModule>
 <IfModule !mod_authz_core.c>
 # httpd 2.2
 Order deny,allow
 Deny from all
 # Allow from all
 Allow from 192.168.0.0/24
 </IfModule>
</Directory>

<Directory /usr/share/cacti/install>
</Directory>

sudo systemctl restart httpd
sudo systemctl restart php-fpm
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload

Cacti 웹페이지 접근

1
2


http://server-ip/cacti
 admin/admin

Tomcat Thread Stuck으로 인한 사이트 접근 불가 TroubleShooting

Thu, 24 Jul 2025 09:00:00 +0900

문제 개요

최근 특정 새벽 시간에 웹 서비스 접근 불가 현상이 반복 발생
Tomcat 로그 확인 시 Thread Stuck으로 요청 처리가 지연되었으며, 일정 시간 지난 후 자동 해소

1
2


WARNING argo.server.valves.LenaStuckThreadDetectionValve.notifyStuckThreadDetected ...
at com.tmax.tibero.jdbc.common.TbStream.readMsgDs(Unknown Source)

원인 추적

왜 Thread Stuck이 발생했는가?

Tibero DB를 사용 중인 DB 서버의 문제 발생 시간대에 sys.log에서 대량의 임시 테이블이 생성된 것을 확인
매일 01시에 tbexport full=Y 명령어를 수행하는 cronjob 설정된 상태
Full 백업 시 전체 용량이 몇백 GB가 넘는데, 백업 간 DB 리소스 고갈로 인해 Tomcat의 스레드가 응답 받지 못해 Thread Stuck이 발생한 것으로 확인

조치

백업 방식을 아래와 같이 논리적(tbexport) → 물리적 백업으로 전환
- 대용량의 DB 백업 시에는 물리적 백업이 모든 면에서 유리
  - 무중단 Hot Backup 가능
    - 단, Hot Backup은 archive log 모드에서만 가능
  - 내부 자원 사용 최소화
  - 복구 및 운영 안정성 향상

물리적 백업 방안

tbrmgr

사용해보니 매일 풀백업을 사용하는 현재의 환경에선 맞지 않고, 백업한 파일을 압축하지 않고 그대로 보관하면서 증분 백업을 통해 보관하는 환경에서 맞는 방안인 것으로 확인
- 현재는 매일 풀백업 + 풀백업한 파일 압축하여 보관하는 환경에서 사용 가능한 방법 필요

begin/end 백업

백업 모드 시작 - 데이터파일 복사 - 백업 모드 종료의 구조로 백업하는 방식
이 방식으로 해결

CentOS 7.9 Yum Repository

Wed, 23 Jul 2025 09:00:00 +0900

/etc/yum.repos.d/CentOS-Base.rep

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


[base]
name=CentOS-$releasever - Base
baseurl=http://vault.centos.org/7.9.2009/os/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

[updates]
name=CentOS-$releasever - Updates
baseurl=http://vault.centos.org/7.9.2009/updates/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

[extras]
name=CentOS-$releasever - Extras
baseurl=http://vault.centos.org/7.9.2009/extras/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

[centosplus]
name=CentOS-$releasever - Plus
baseurl=http://vault.centos.org/7.9.2009/centosplus/$basearch/
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

CentOS 7.6 Yum Repository

Tue, 22 Jul 2025 09:00:00 +0900

/etc/yum.repos.d/CentOS-Base.rep

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


[base]
name=CentOS-$releasever - Base
baseurl=http://centos.mirror.cdnetworks.com/7/os/x86_64
gpgcheck=1
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

#released updates
[updates]
name=CentOS-$releasever - Updates
baseurl=http://centos.mirror.cdnetworks.com/7/updates/x86_64
gpgcheck=1
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

#additional packages that may be useful
[extras]
name=CentOS-$releasever - Extras
baseurl=http://centos.mirror.cdnetworks.com/7/extras/x86_64
gpgcheck=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

#additional packages that extend functionality of existing packages
[centosplus]
name=CentOS-$releasever - Plus
baseurl=http://centos.mirror.cdnetworks.com/7/centosplus/x86_64
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

CentOS 6.5 Yum Repository

Mon, 21 Jul 2025 09:00:00 +0900

/etc/yum.repos.d/CentOS-Base.repo

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37



[base]
name=CentOS-\$releasever - Base
baseurl=http://centos.mirror.cdnetworks.com/6/os/x86_64/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#released updates
[updates]
name=CentOS-\$releasever - Updates
baseurl=http://centos.mirror.cdnetworks.com/6/updates/x86_64/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#additional packages that may be useful
[extras]
name=CentOS-\$releasever - Extras
baseurl=http://centos.mirror.cdnetworks.com/6/extras/x86_64/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#additional packages that extend functionality of existing packages
[centosplus]
name=CentOS-\$releasever - Plus
baseurl=http://centos.mirror.cdnetworks.com/6/centosplus/x86_64/
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#contrib - packages by Centos Users
[contrib]
name=CentOS-\$releasever - Contrib
baseurl=http://centos.mirror.cdnetworks.com/6/contrib/x86_64/
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6
EOF

직렬화 기능을 사용중인 Tomcat의 세션 만료로 인한 강제 로그아웃 Troubleshooting

Mon, 23 Jun 2025 09:00:00 +0900

문제 상황

웹 서비스 사용 중 세션이 갑자기 만료되며 강제 로그아웃되는 현상 발생

원인 분석

Catalina 로그에서 ClassNotFoundException 확인

1
2
3
4
5
6
7


SEVERE [Catalina-utility-1] org.apache.catalina.session.StoreBase.processExpires
Error processing session expiration for key [BA8BFEFE...JVM1]
java.lang.ClassNotFoundException: egovframework.com.utl.slm.EgovHttpSessionBindingListener
 at org.apache.catalina.session.StandardSession.doReadObject(StandardSession.java:1268)
 at org.apache.catalina.session.StandardSession.readObjectData(StandardSession.java:846)
 at org.apache.catalina.session.FileStore.load(FileStore.java:203)
 at org.apache.catalina.session.StoreBase.processExpires(StoreBase.java:138)

Tomcat의 세션 직렬화 기능으로 인해, 서버가 재기동되거나 일정 시간이 경과한 후 세션 정보가 디스크에 저장된 파일(SESSIONS.ser)을 통해 복원 중
SESSIONS.ser에는 EgovHttpSessionBindingListener라는 클래스가 포함되어 있었으나, 현재 애플리케이션에는 이 클래스가 존재하지 않아 역직렬화 과정에서 오류 발생한 것으로 추정
Tomcat이 해당 세션을 복원하지 못해 세션을 강제 만료 처리 → 사용자 입장에서는 강제 로그아웃으로 인식됨

조치 내용

세션 복원 실패에 따른 반복적인 오류를 차단하기 위해 다음과 같은 조치 수행

Tomcat 세션 파일 SESSIONS.ser 삭제
Tomcat 재기동

→ 이후 세션 관련 오류 재발 없음, 사용자 세션 정상 유지 확인

결론

Tomcat은 세션 정보를 디스크에 저장 후 복원하는 과정에서, 클래스 누락 등으로 인해 세션 역직렬화에 실패할 수 있음
이 경우 해당 세션이 강제 만료되는 문제 발생
이후에도 세션 직렬화 기능을 사용한다면, 애플리케이션 배포 전 ser 파일 삭제 권장

죽은 Connection 사용 중인 Tomcat Troubleshooting

Thu, 19 Jun 2025 09:00:00 +0900

문제 상황

웹 서비스 접근 시 500 에러 출력

원인 분석

웹 서비스에 DB 서버 2대를 이중화하여 구성 중, 2번 서버로 DB Failover된 후 장애 발생

application log 확인

1
2
3
4


org.springframework.jdbc.support.SQLErrorCodesFactory] Error while extracting database product name - falling back to empty error codes
org.springframework.jdbc.support.SQLStateSQLExceptionTranslator] Extracted SQL state class 'JD' from value 'JDBC-90405:ERRJD'
org.springframework.transaction.interceptor.TransactionInterceptor] Application exception overridden by rollback exception
org.apache.catalina.core.StandardWrapperValve.invoke Servlet.service() for servlet [...] threw exception [...] with root cause

Tomcat에서 Failover 이전 DB 서버로의 Connection을 계속 사용해서 SQLException 오류 발생하여 500 에러 출력

조치 내용

즉각적인 웹 서비스 정상화를 위한 임시 조치

Tomcat 재기동 후 웹 서비스 정상 접근 확인

추가 조치 방안

Tomcat의 server.xml 혹은 context.xml에서 testWhileIdle 설정
- testWhileIdl: Tomcat이 Connection을 반환하기 전, 주기적으로 유휴 Connection 생존 여부를 검사
- timeBetweenEvictionRunsMillis: 30초마다 검사

1
2


testWhileIdle="true"
timeBetweenEvictionRunsMillis="30000"

결론

Tomcat의 JDBC Connection Pool은 testWhileIdle 옵션이 false일 경우, 장애 이후에도 죽은 Connection을 계속 사용할 수 있어 장애가 지속됨. 이 설정을 true로 변경하고 timeBetweenEvictionRunsMillis를 설정해서 DB Failover 시 자동적으로 Connection을 복구하도록 설정

참고

https://blog.naver.com/wasgosu-2010/90189771881

Apache AJP Localhost 연결 에러 TroubleShooting

Sat, 07 Jun 2025 09:00:00 +0900

증상

웹 접속 시 503 오류 발생

mod_jk.log에 AJP 연결 실패 로그 다수 출력

1
2
3


[error] ajp_connect_to_endpoint::jk_ajp_common.c (127.0.0.1:8009) (errno=111)
[error] jk_open_socket::jk_connect.c Failed socket to (127.0.0.1:8009)
[error] ajp_send_request::jk_ajp_common.c (worker1) Connecting to backend failed

netstat 기준으로 Tomcat은 AJP 포트(8009)를 정상적으로 Listen 중
1

tcp 0 0 127.0.0.1:8009 ::1 LISTEN [java 프로세스]

workers.properties 설정

기존 설정
1 2

worker.worker1.type=ajp13 worker.worker1.host=localhost
- host가 정상적으로 localhost로 되어 있는데, mod_jk.log에서는 ajp 연동 오류가 나오고, netstat은 IPv6에서만 LISTEN중
- /etc/hosts에도 정상적으로 localhost와 127.0.0.1이 명시된 것으로 확인
  - localhost를 127.0.0.1로 변경
이후 설정
1 2

worker.worker1.type=ajp13 worker.worker1.host=127.0.0.1
- host 값 변경 후 httpd 재기동 시 503 에러 해결

결론

로그를 종합했을 때, Tomcat은 127.0.0.1:8009에서 AJP를 수신하고 있었지만, workers.properties에 설정된 localhost가 내부적으로 ::1(IPv6)로 해석되어 연결이 실패한 것으로 추정

Ubuntu22 MariaDB 11.4.5 버전 설치

Wed, 21 May 2025 09:00:00 +0900

방법 1: 수동으로 저장소 구성 후 설치

MariaDB의 서명 키와 저장소를 수동으로 등록한 뒤 패키지를 설치하는 방식

1
2
3


sudo apt-get install apt-transport-https curl
sudo mkdir -p /etc/apt/keyrings
sudo curl -o /etc/apt/keyrings/mariadb-keyring.pgp 'https://mariadb.org/mariadb_release_signing_key.pgp'

APT 저장소 설정 파일을 /etc/apt/sources.list.d/mariadb.sources에 생성

1
2
3
4
5
6


X-Repolib-Name: MariaDB
Types: deb
URIs: https://tw1.mirror.blendbyte.net/mariadb/repo/11.4/ubuntu
Suites: jammy
Components: main main/debug
Signed-By: /etc/apt/keyrings/mariadb-keyring.pgp

리눅스 커널 관련 패키지 자동 업데이트를 방지하고 설치

1
2


apt-mark hold linux-image-generic linux-headers-generic
apt-get install mariadb-server

방법 2: MariaDB 공식 설치 스크립트 사용

MariaDB에서 제공하는 설치 스크립트를 통해 저장소 등록과 설치를 한 번에 처리하는 방식

1
2
3
4


curl -LsS https://downloads.mariadb.com/MariaDB/mariadb_repo_setup | bash -s -- --mariadb-server-version=11.

apt-mark hold linux-image-generic linux-headers-generic
apt install mariadb-server mariadb-client -y

초기 공통 설정

mysql_secure_installation

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


mysql_secure_installation

Enter current password for root (enter for none):
# 현재 root 계정의 비밀번호
# 비밀번호가 설정되어 있지 않은 경우 엔터

Switch to unix_socket authentication [Y/n]:
# root 로그인을 비밀번호가 아니라 시스템 계정(sudo)으로만 허용할지 결정
# Y를 선택하면 root로 로그인할 때 비밀번호 대신 sudo mysql로 접속
# 일반적으로는 Y(보안성 향상). 비밀번호로 로그인할 수 있게 하려면 n 입력.

Change the root password? [Y/n]:
# root 계정의 비밀번호를 변경할지 여부
# 새로 설정하거나, 이전 비밀번호가 없는 경우 새로 설정하는 데 사용

Remove anonymous users? [Y/n]:
# 익명 사용자 계정을 삭제할지 여부
# 익명 계정은 인증 없이 접속할 수 있으므로 Y 입력 권장

Disallow root login remotely? [Y/n]:
# root 계정으로 원격 접속을 막을지 여부
# 보안상 Y 권장. 필요한 경우 n 선택 후 방화벽 등으로 제한하는 방식 고려

Remove test database and access to it? [Y/n]:
# 테스트용 test 데이터베이스를 삭제할지 여부
# 기본으로 생성되는 샘플 데이터베이스로, 불필요하므로 Y 입력 권장

Reload privilege tables now? [Y/n]:
# 앞서 설정한 변경 사항들을 즉시 적용할지 여부
# Y 선택하면 권한 테이블이 즉시 갱신

계정 생성 및 권한 부여

1
2
3
4
5


mysql -u root
CREATE DATABASE test;
CREATE USER 'admin'@'localhost' IDENTIFIED BY '비밀번호';
GRANT ALL PRIVILEGES ON *.* TO 'admin'@'localhost' WITH GRANT OPTION;
FLUSH PRIVILEGES;

binary log 활성화

1
2
3
4
5
6
7
8
9


vim /etc/mysql/my.cnf

[mysqld]
log-bin = mariadb-bin
binlog-format = MIXED
server-id = 1

systemctl restart mariadb
SHOW VARIABLES LIKE 'log_bin';

MariaDB를 완전 제거

1
2


apt purge mariadb-server mariadb-client
rm -rf /etc/mysql /var/lib/mysql

RSA Key를 사용한 SSH 불가 TroubleShooting

Tue, 20 May 2025 09:00:00 +0900

문제 요약

Ubuntu 24.04, Amazon Linux 2023 등 최신 리눅스에서 기존 RSA 키로 접속 불가
특히 SecureCRT는 ssh-rsa 알고리즘만 사용해서 오류 발생
Putty는 rsa-sha2-256 지원 → 같은 키로도 접속 가능

원인

최신 OpenSSH는 ssh-rsa (SHA-1 기반) 비활성화 → 보안상 위험
Amazon Linux 2023은 /etc/crypto-policies/back-ends/opensshserver.config를 통해 강제로 막음
Ubuntu는 기본 정책에선 막히진 않지만, OpenSSH 자체가 기본으로 제외시킴

해결 방법 (서버 측 설정 변경)

1

vim /etc/ssh/sshd_config

아래 두 줄을 추가
- Amazon Linux 2023: 반드시 Include보다 위쪽에
- Ubuntu 24.04: 위치는 무관 (보통 맨 아래 추가)

1
2


HostkeyAlgorithms +ssh-rsa
PubkeyAcceptedAlgorithms +ssh-rsa

1
2
3


# 설정 확인 및 sshd 재시작
sshd -t
systemctl restart sshd

주의사항

ssh-rsa는 보안 취약점 있음 (SHA-1 기반)
이 설정은 임시 방편일 뿐, 장기적으론 권장되지 않음

대안: 새 키 생성 시 최신 알고리즘 사용

1
2

ssh-keygen -t ed25519 -C "your@email.com"

추후 key 생성 시 RSA 보단 ESDSA 같은 알고리즘 사용 필요

MySQL / MariaDB 덤프 및 복원

Fri, 16 May 2025 09:00:00 +0900

서비스 운영 중에 DB 백업/복원 작업할 때 주의할 점 정리
옵션에 따라 백업/복원 기능이 다르니 주의 필요

1. DB 접근

1

mysql -u 사용자 -p -h 도메인명

2. DB 덤프 (백업)

1
2
3
4
5
6


mysqldump -h 도메인명 -u 사용자 -p \
 --single-transaction \
 --routines \
 --triggers \
 --events \
 BASE_DB > DB명_날짜.sql

옵션 설명

-single-transaction: InnoDB 전용. 덤프 중 트랜잭션 시작해서 일관된 스냅샷 유지. 서비스 중에도 락 없이 가능.
-routines: 저장 프로시저, 함수 포함.
-triggers: 각 테이블의 트리거 포함.
-events: 이벤트 스케줄러 이벤트 포함.

3. 덤프 파일 확인 (USE 문 유무)

mysqldump 시 --databases 옵션 사용하면 .sql 파일에 CREATE DATABASE + USE DB명; 구문 포함됨
복원 시 다른 DB에 덮어씌어짐

반드시 확인 필요

1

head -n 30 DB명_날짜.sql | grep -i "^USE"

만약 USE DB명; 이 있을 경우 → 주석 처리

1
2


-- Before: USE BASE_DB;
-- After : -- USE BASE_DB;

4. 덤프 파일을 통한 복원

1

mysql -h 도메인명 -u 사용자 -p 생성한DB명 < DB명_날짜.sql

신규 DB는 복원 전 DB 생성 필요

5. 기존/신규 DB 확인

기존/신규 DB 내 테이블의 rows 수가 동일한지 확인

1
2
3


mysql> SELECT 기존DB명 AS source, COUNT(*) FROM 기존DB명.PTNT_RSRV_HIST_BACK
 -> UNION ALL
 -> SELECT 신규DB명, COUNT(*) FROM 신규DB명.PTNT_RSRV_HIST_BACK;

주의사항 요약

mysqldump에 -databases 옵션 쓰면 USE 문 포함됨 → 다른 DB 덮어씌우는 원인.
클라우드 DB는 SUPER 권한 없을 수 있음 → -set-gtid-purged=OFF 넣어야 에러 안남.
복원할 DB명과 .sql 파일 내 USE 구문 다를 경우 조심해야 함.

Apache OPTIONS * 루프백 요청으로 인한 CPU 과부하 TroubleShooting

Fri, 25 Apr 2025 09:00:00 +0900

문제 상황

운영 중인 CentOS 서버에서 너무 많은 수의 httpd 프로세스가 CPU를 과점유하고, Load Average가 30 이상까지 치솟는 현상이 발생

원인 분석

access_log 확인 결과, 루프백 주소(::1)에서 OPTIONS * HTTP/1.0 요청이 수 초 간격으로 다수 발생
User-Agent는 "Apache/... (internal dummy connection)"으로, Apache 자체가 생성하는 dummy connection임을 확인
- 이 요청은 Apache의 internal dummy connection이며, 일반적으로는 MPM이 유휴 프로세스를 관리하기 위해 보내는 내부 테스트용 요청
- 하지만 일정 이상 발생하게 되면, 해당 요청을 처리하기 위한 httpd 프로세스가 과도하게 생성되고 정리되지 않아, 리소스를 점유

1
2
3
4
5
6
7
8


# tail -n 1000 /var/log/httpd/access_log | grep "::1"

::1 - - [22/Apr/2025:07:01:55 +0000] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips (internal dummy connection)"
::1 - - [22/Apr/2025:07:02:34 +0000] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips (internal dummy connection)"
::1 - - [22/Apr/2025:07:02:35 +0000] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips (internal dummy connection)"
::1 - - [22/Apr/2025:07:02:36 +0000] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips (internal dummy connection)"
::1 - - [22/Apr/2025:07:02:42 +0000] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips (internal dummy connection)"
::1 - - [22/Apr/2025:07:02:56 +0000] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips (internal dummy connection)"

1
2
3
4


# httpd -V | grep MPM

[Fri Apr 25 04:35:44.665826 2025] [so:warn] [pid 31382] AH01574: module rewrite_module is already loaded, skipping
Server MPM: prefork

MPM 관련 설정(StartServers, MaxRequestWorkers)이 명시되지 않은 상태
- Apache 기본값(최대 256개 프로세스)이 적용된 것으로 추정

조치 내용

하기 내용은 Apache 설정을 수정하지 않고 즉시 대응 가능한 임시 조치

IPv6 루프백 dummy connection 차단을 위한 ip6tables 규칙 추가

루프백(::1)에서 들어오는 OPTIONS * 요청만 차단
외부 요청이나 정상적인 HTTP 트래픽에는 영향 없음

1

ip6tables -I INPUT -s ::1 -p tcp --dport 80 -m string --algo bm --string "OPTIONS *" -j DROP

Apache 재기동

이미 생성되어 남아 있는 과도한 httpd 프로세스를 정리하고 초기화
신규 요청부터는 차단 규칙이 적용된 상태로 운영

1

systemctl restart httpd

CPU 사용률 및 Load Average 수 분 내로 정상화

결론

httpd 프로세스 수 안정화, 더 이상 루프백 OPTIONS * 요청 발생하지 않음

추가 조치 방안

문제의 근본 원인을 해결하기 위해서는 Apache 설정 최적화 필요
특히, 현재 서버는 prefork MPM을 사용하고 있으며, 기본 설정값으로 운영중
이로 인해 부하 상황에서 과도한 프로세스 생성 및 dummy connection 폭주 현상이 발생한 것으로 분석됨
mpm 설정 추가
- MaxRequestWorkers를 서버 사양에 맞게 제한

1
2
3
4
5
6
7
8
9


# /etc/httpd/conf.modules.d/00-mpm.conf

<IfModule mpm_prefork_module>
 StartServers 5
 MinSpareServers 5
 MaxSpareServers 10
 MaxRequestWorkers 150
 ServerLimit 150
</IfModule>

Yum Proxy 설정

Fri, 20 Dec 2024 09:00:00 +0900

목표

pub 1대, priv 1대 서버 생성 후 yum proxy 통하여 priv 서버에서 yum 설치 가능하게 설정
외에도 pub 서버에서 yumdownloader 명령어 통해서 rpm 빼와서 priv 서버로 옮긴 후 rpm 통한 설치
- mariadb 최신버전 설치로 테스트

환경 설정

OS: Rocky Linux 8.10

작업 과정

1. Yum Proxy

1) Public 서버

사용자 생성

1
2


useradd -m -G wheel yumpub
echo "yumpub" | passwd --stdin yumpub

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-port=3128/tcp
sudo firewall-cmd --reload

squid 설치

1
2
3


sudo dnf update --exclude=kernel* -y
sudo dnf install -y squid
sudo systemctl enable --now squid

squid.conf 수정

1
2
3
4
5
6
7
8


sudo vi /etc/squid/squid.conf

# private server 허용
acl priv_network src <pri-server-ip>/24
http_access allow priv_network
http_access deny all

sudo systemctl restart squid

2) Private 서버

사용자 생성

1
2
3
4
5
6
7


ssh root@<pri-server-ip>

useradd -m -G wheel yumpri
echo "yumpri" | passwd --stdin yumpri
exit

ssh yumpri@<pri-server-ip>

방화벽 설정

1
2


sudo systemctl enable --now firewalld
sudo firewall-cmd --reload

yum.conf 수정
- pub 서버를 프록시로 사용

1
2
3


sudo vi /etc/yum.conf

proxy=http://<public-server-ip>:3128

기존에 하던 대로 dnf update 혹은 repo 생성해서 패키지 설치
- repo 생성

1
2
3
4
5
6
7
8
9


sudo vi /etc/yum.repos.d/Rocky-Extras.repo

[extras]
name=Rocky Linux $releasever - Extras
mirrorlist=https://mirrors.rockylinux.org/mirrorlist?arch=$basearch&repo=extras-$releasever
gpgcheck=1
enabled=1
countme=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-rockyofficial

extras의 패키지 epel-release 검색

1
2
3


sudo dnf clean all
sudo dnf repolist
sudo dnf search epel-release

2. yumdownloader

1) Public 서버

yumdownloader로 rpm 다운로드

1
2
3
4
5
6


sudo dnf update --exclude=kernel* -y
sudo dnf install -y yum-utils perl
# --resolve는 의존성 포함
yumdownloader --resolve mariadb
yumdownloader --resolve mariadb-server
yumdownloader --resolve perl-DBD-MySQL perl-DBI

rpm 파일 private 서버로 복사

1
2


scp mariadb*.rpm yumpri@<priv-server-ip>:/tmp
scp perl*.rpm yumpri@<priv-server-ip>:/tmp

2) Private 서버

rpm 파일로 mariadb 설치

1
2
3
4


sudo rpm -ivh /tmp/perl*.rpm
sudo rpm -ivh /tmp/mariadb*.rpm

sudo rpm -qa | grep mariadb

MariaDB 테스트

1
2
3
4
5
6
7


mysql --version

sudo systemctl enable --now mariadb

mysql_secure_installation

mysql -u root

로그 확인

squid 로그

1

sudo tail -f /var/log/squid/access.log

트러블슈팅

yum proxy 실패

/var/log/squid/access.log 확인 시 priv 서버 ip 가 없고 모르는 사설 ip가 있음
- tail 걸고 priv에서 yum search했을 때 로그가 발생한걸로 봐서 모르는 사설 ip가 priv 서버의 트래픽인 것으로 확인
- /etc/yum.conf에 공인 IP로 설정해서 공인 IP에서 pub 서버로 트래픽이 이동하는 과정에서 자동으로 NAT되어 새로운 사설 ip가 할당 된 것으로 보임
- 애초에 yum.conf에 공인 IP 말고 사설 IP를 설정해야 했지만 proxy가 안되는 원인은 아님
yum은 자신이 활성화한 repo만 squid 프록시를 통해 접근
- priv에 repo가 없어도 pub에 있는 repo를 통해 priv에 설치가 되는 줄 앎
- 그게 아니고, squid는 단순히 proxy만 해주고 pub는 squid 서버의 역할(NAT 서버)
- 기존에 하던 대로 dnf update 하거나 repo 만들어서 해결

참고

yum proxy: https://hgko1207.github.io/2020/09/28/linux-3/

yumdownloader: https://wldnjd2.tistory.com/53

OpenVPN 구축

Thu, 19 Dec 2024 09:00:00 +0900

목표

Linux 서버에 OpenVPN 서버를 구축
OpenVPN 클라이언트와 서버 간의 연결 테스트 수행
- 서버와 동일한 랜(KT)의 윈도우에서 연결
- 윈도우 호스트(내 컴퓨터)에서 연결
- AWS 리눅스(외부 서브넷)에서 연결
연결 후 VPN 서버와 동일한 랜의 리눅스로 SSH

환경 설정

OS
- Rocky 8.10
- AL 2023
- Window 2019
VPN: openvpn 2.4.12

개념 및 설정

OpenVPN

VPN 클라이언트와 서버 간 보안 터널 제공
포트 변경: 1194/UDP → 443/TCP
- HTTPS 트래픽으로 위장 (차단 회피)
  - 기업 네트워크나 공공 네트워크(호텔, 카페 등)에서 VPN 연결을 허용하지 않는 경우, VPN 트래픽이 HTTPS 트래픽처럼 보이도록 설정할 수 있어, 네트워크 방화벽이 VPN을 차단하는 것을 방지
- TCP 기반 트래픽을 허용
  - UDP(기본 1194)보다 느리긴 하지만, 패킷 손실이나 불안정한 네트워크에서도 더 신뢰할 수 있는 통신을 제공
VPN 서버 방화벽에서 NAT 설정 필요
- SNAT: 서버의 특정 NI를 통해 나가는 트래픽의 **소스 IP**를 해당 NI의 IP로 변경
- DNAT: 외부에서 서버의 특정 NI로 들어오는 트래픽의 **목적지 IP**를 원래의 내부 IP로 복원
OpenVPN 서버에서 필요한 파일
- /etc/openvpn/server
- ca.crt,server.key,server.crt,ta.key ,server.conf
OpenVPN 클라이언트에서 필요한 파일
- client1.ovpn
  - Window: C:\Program Files\OpenVPN\config\client1.ovpn
  - Linux: openvpn --config <경로>/client1.ovpn --daemon

작업 과정

1. CA 인증서/키 생성

사용자 생성

1
2


useradd -m -G wheel vpnlin
echo "vpnlin" | passwd --stdin vpnlin

패키지 설치

1
2
3
4


sudo dnf update --exclude=kernel* -y

sudo dnf install -y epel-release
sudo dnf install -y easy-rsa

easy-rsa 설정
- 루트 인증서 ca.crt, 개인 키 ca.key 생성

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


mkdir ~/easy-rsa
ln -s /usr/share/easy-rsa/3/* ~/easy-rsa/
chmod 700 ~/easy-rsa
cd ~/easy-rsa
./easyrsa init-pki

vi vars

set_var EASYRSA_REQ_COUNTRY "KR"
set_var EASYRSA_REQ_PROVINCE "Seoul"
set_var EASYRSA_REQ_CITY "Seoul"
set_var EASYRSA_REQ_ORG "ncloud24"
set_var EASYRSA_REQ_EMAIL "<Domain>"
set_var EASYRSA_REQ_OU "Cloud"
set_var EASYRSA_ALGO "ec"
set_var EASYRSA_DIGEST "sha512"

./easyrsa build-ca
 CA Passphrase: capass

2. VPN 서버 인증서 서명

패키지 설치

1

sudo dnf install -y openvpn

1) VPN 서버 키 생성

개인키 server.key, 인증서 서명 요청(CSR) server.req 생성

1
2
3


./easyrsa gen-req server nopass

sudo cp ~/easy-rsa/pki/private/server.key /etc/openvpn/server/

2) CA서버에서 VPN CSR 서명

CSR 서명

1
2
3
4
5
6


cd ~/easy-rsa

# ca와 vpn이 같은 서버에 있다면 import 불필요
# ./easyrsa import-req ~/easy-rsa/pki/reqs/server.req server
./easyrsa sign-req server server
 CA 개인키 암호 입력

3) VPN 서버에서 OpenVPN 암호화 자료 구성

사전공유키 ta.key 생성
- 사전공유키 ta.key도 위 경로로 복사
현재 /etc/openvpn/server 경로의 파일들
- 서버 개인키 server.key
- 서버 인증서 server.crt
- 루트 인증서 ca.crt
- 사전공유키 ta.key

1
2
3
4
5
6


cd ~/easy-rsa
openvpn --genkey --secret ta.key

sudo cp ta.key /etc/openvpn/server
sudo cp ~/easy-rsa/pki/issued/server.crt /etc/openvpn/server
sudo cp ~/easy-rsa/pki/ca.crt /etc/openvpn/server

3. VPN 클라이언트 인증서 서명

1) VPN 서버에서 클라이언트 키 생성

VPN 서버에서 클라이언트 설정
- client1.key, client1.req 생성

1
2
3
4
5
6
7


mkdir -p ~/client-configs/keys
chmod -R 700 ~/client-configs
cd ~/easy-rsa

./easyrsa gen-req client1 nopass

cp pki/private/client1.key ~/client-configs/keys/

2) CA 서버에서 VPN 클라이언트 CSR 서명

CSR 서명

1
2
3
4
5
6


cd ~/easy-rsa

# ca와 vpn이 같은 서버에 있다면 import 불필요
# ./easyrsa import-req ~/easy-rsa/pki/reqs/client1.req client1
./easyrsa sign-req client client1
 CA 개인키 암호 입력

3) VPN 서버에서 VPN 클라이언트용 키 관리

~/client-configs/keys 밑의 파일들
- 클라이언트 개인키 client1.key
- 클라이언트 인증서 client1.crt
- 루트 인증서 ca.crt
- 사전공유키 ta.key
서버에서 사용하는 파일들이 아닌, 클라이언트에 전달하기 전 모으기

1
2
3
4
5


cp ~/easy-rsa/ta.key ~/client-configs/keys/
cp ~/easy-rsa/pki/issued/client1.crt ~/client-configs/keys/
sudo cp /etc/openvpn/server/ca.crt ~/client-configs/keys/

sudo chown vpnlin.vpnlin ~/client-configs/keys/*

4. VPN 서버 설정

1) 서버 server.conf 설정

VPN 가상 서브넷 대역은 기본 설정인 <VPN-IP>/24로 설정

1
2


sudo cp /usr/share/doc/openvpn/sample/sample-config-files/server.conf /etc/openvpn/server/
sudo vi /etc/openvpn/server/server.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53


;tls-auth ta.key 0
# tls 보안 설정. crypt는 핸드셰이크 패킷의 암호화 인증도 수행
tls-crypt ta.key

;cipher AES-256-CBC
cipher AES-256-GCM

# SHA256 알고리즘 추가
auth SHA256

# Diffie-Hellman 제거
;dh dh2048.pem
dh none

# 권한 없이 실행
user nobody
group nobody

### 클라이언트에게 172 대역의 트래픽을 VPN을 경유하도록 라우팅 규칙 추가
### 아래의 redirect-gateway가 활성화 되어 있다면 의미 없음
# push "route <Private IP> 255.255.0.0"

# VPN 클라이언트 기본 게이트웨이를 VPN 게이트웨이로 변경하여 모든 트래픽을 VPN 서버를 통해 리디렉션하도록 강제
# VPN 클라이언트에서 인바운드는 제약이 되지 않음
# 아웃바운드가 VPN 게이트웨이를 사용하게 되는 것 고려(SSH)
push "redirect-gateway def1 bypass-dhcp"

# 클라이언트에게 OpenDNS resolvers 사용하라고 지시
# VPN 서버에서 신뢰할 수 있는 DNS 서버 지정
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"

# 클라이언트 간 통신 허용 시 주석 해제
;client-to-client

# OpenVPN은 기본적으로 1194/UDP 사용. 포트 변경 가능
# 443/tcp를 사용한다면 아래 설정
port 443

proto tcp
;proto udp

# tcp 사용하면 0로 변경
explicit-exit-notify 0

# 키 발급 다른 이름으로 했다면 수정
ca ca.crt
cert server.crt
key server.key

# 로그 위치 변경
# 기본 경로는 /run/openvpn/openvpn-status.log인데 selinux가 활성화되어있다면 문제 발생
status /var/log/openvpn-status.log

2) 네트워킹 구성 조정

VPN 서버가 내부 네트워크(10…)와 실제 네트워크(172…)를 연결할 수 있도록 IP 포워딩을 활성화

1
2
3
4


sudo vi /etc/sysctl.conf
net.ipv4.ip_forward=1

sudo sysctl -p

3) 방화벽 구성

openvpn 방화벽 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


sudo systemctl enable --now firewalld

# VPN 가상 인터페이스 tun0의 트래픽은 VPN 클라이언트에서 온 트래픽으로 암호화 되어 있다고 판단됨
# trusted 존은 지정된 NI나 IP 대역에 대해 방화벽 필터링을 생략
sudo firewall-cmd --get-active-zones
sudo firewall-cmd --permanent --zone=trusted --add-interface=tun0
sudo firewall-cmd --permanent --zone=trusted --add-service openvpn
sudo firewall-cmd --reload

# 모든 트래픽에 대해 클라이언트와 외부 네트워크 간의 트래픽을 중계
# 어떤 트래픽이든 목적지 ip로의 
sudo firewall-cmd --permanent --add-masquerade

### eth0인 NI로의 NAT 설정하는 명령어
### 다른 NI로의 NAT은 허용하지 않게 됨 => 현재 환경에서는 불필요한 명령어
# DEVICE=$(ip route | awk '/^default via/ {print $5}')
# sudo firewall-cmd --permanent --direct --passthrough ipv4 -t nat -A POSTROUTING -s 10.8.0.0/24 -o $DEVICE -j MASQUERADE
### NAT 규칙 확인
# sudo iptables -t nat -L POSTROUTING -n -v

sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --reload

4) OpenVPN 서버 시작

1

sudo systemctl enable --now openvpn-server@server

5) VPN 클라이언트 설정

클라이언트 base.conf 설정

1
2
3


mkdir -p ~/client-configs/files
cp /usr/share/doc/openvpn/sample/sample-config-files/client.conf ~/client-configs/base.conf
vi ~/client-configs/base.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


# 서버 ip/port 지정
remote <공인 IP> 443

proto TCP

# 권한 없이 실행
user nobody
group nobody

# client1.ovpn 파일에 인증 파일들을 다 포함시키기 때문에 주석처리
;ca ca.crt
;cert client.crt
;key client.key
;tls-auth ta.key 1

cipher AES-256-GCM
auth SHA256

key-direction 1

# 비밀번호 캐싱 방지
auth-nocache

6) client1.ovpn 파일 생성

client1.opvn 파일 생성하는 쉘 스크립트 작성
- 기본 구성 파일 base.conf
- <ca> 태그 사이에 서버의 루트 인증서 ca.crt
- <cert> 태그 사이에 클라이언트 인증서 client1.crt
- <key> 태그 사이에 클라이언트 키 client1.key
- <tls-crypt> 태그 사이에 사전공유키 ta.key

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


vi ~/client-configs/make_config.sh

#!/bin/bash 
# 첫 번째 인수: 클라이언트 식별자 
# ex) ./make_config.sh client1

KEY_DIR=~/client-configs/keys
OUTPUT_DIR=~/client-configs/files
BASE_CONFIG=~/client-configs/base.conf

TEMP_FILE=/tmp/temp_ovpn_config

cat ${BASE_CONFIG} > ${TEMP_FILE}
echo -e '<ca>' >> ${TEMP_FILE}
cat ${KEY_DIR}/ca.crt >> ${TEMP_FILE}
echo -e '</ca>\n<cert>' >> ${TEMP_FILE}
cat ${KEY_DIR}/${1}.crt >> ${TEMP_FILE}
echo -e '</cert>\n<key>' >> ${TEMP_FILE}
cat ${KEY_DIR}/${1}.key >> ${TEMP_FILE}
echo -e '</key>\n<tls-crypt>' >> ${TEMP_FILE}
cat ${KEY_DIR}/ta.key >> ${TEMP_FILE}
echo -e '</tls-crypt>' >> ${TEMP_FILE}

# 최종 파일 생성
mv ${TEMP_FILE} ${OUTPUT_DIR}/${1}.ovpn

client1.opvn 생성

1
2
3



chmod 700 ~/client-configs/make_config.sh
. ~/client-configs/make_config.sh client1

5. VPN 클라이언트 연결 테스트

1) KT Cloud 같은 공인 ip를 사용하는 윈도우

Window OpenVpn 설치
samba opvn 파일 전송
- Rocky8 Samba 파일 공유
- client1.ovpn /samba로 복사

1
2


sudo cp ~/client-configs/files/client1.ovpn /samba
sudo chown smbuser1.smbuser1 /samba/client1.ovpn

client1.ovpn C:\Program Files\OpenVPN\config로 복사
OpenVPN 연결 성공

💡
연결됐지만 같은 공인 ip를 쓰기 때문에 암호화 통신 이외에 다른 이점이 전무

2) 호스트 윈도우

VPN 클라이언트 SSH → VPN 서버 → Private 서버
SSH 패킷 흐름
1. VPN 클라이언트
  - VPN 연결로 가상 IP 부여받음
  - Private 서버로 SSH 요청
2. VPN 서버
  - NAT 규칙이 없다면, 클라이언트의 소스 IP를 그대로 전달
  - Private 서버는 가상 IP<VPN IP> 대역을 인식하지 못하므로, 응답을 클라이언트로 되돌릴 방법이 없음
  - (SNAT) NAT는 클라이언트 패킷의 소스 IP를 VPN 서버의 사설 IP로 변경
3. Private 서버
  - VPN 서버의 사설 IP에서 오는 패킷으로 인식하고 응답을 다시 VPN 서버로 반환
4. VPN 서버
  - (NAT 복원) 패킷을 받아 다시 NAT를 통해 원래의 클라이언트 IP로 변경한 후 클라이언트로 전달
연결 성공

3) AWS 리눅스

VPN 서버 server.conf 수정
- VPN 클라이언트에서 내 PC IP로의 트래픽은 기본 게이트웨이를 사용하도록 설정
  - 내 PC에서 VPN 클라이언트로 SSH하기 위함

1

push "route <회사 IP> 255.255.255.255 net_gateway"

VPN 서버에서 VPN 클라이언트 AWS Linux에 client1.ovpn 전송

1

scp -i pjt-keypair.pem ~/client-configs/files/client1.ovpn ec2-user@<AWS IP>:~

AWS에서 생성한 linux에서 클라이언트 연결
VPN 클라이언트 AWS Linux에서 openvpn 연결

1
2
3
4


sudo dnf install -y openvpn

sudo openvpn --config client1.ovpn --daemon
ps aux | grep openvpn

VPN 클라이언트에서 VPN 서버를 통해 CSP의 Private 서버로 SSH
- 내 PC → (SSH 연결) → AWS Linux → (VPN 연결) → VPN 서버

1

ssh root@<VPN 서버 위치의 다른 서버 IP>

연결 성공

로그 확인 명령어

server.conf에서 수정한 경로로 로그 확인

1

tail -f /var/log/openvpn-status.log

트러블슈팅

openvpn 실행 시 오류

Thu Nov 28 10:49:47 2024 disabling NCP mode (–ncp-disable) because not in P2MP client or server mode Options error: You must define TUN/TAP device (–dev)

clinet1.ovpn 파일에 base.conf 가 누락돼서 발생한 오류

클라이언트 연결 경고

WARNING: this configuration may cache passwords in memory – use the auth-nocache option to prevent this

기본적으로 OpenVPN은 클라이언트 인증 시 사용된 인증 정보를 메모리에 캐시
- base.conf에 auth-nocache 추가하여 해결

sudo firewall-cmd --permanent --direct --passthrough ipv4 -t nat -A POSTROUTING -s <VPN-IP>/24 -o $DEVICE -j MASQUERADE 방화벽 NAT 룰 추가 시 명령어로 삭제 불가

/etc/firewalld/direct.xml 파일 열고 직접 삭제로 해결

vpn 연결 시 클라이언트에서 서버의 사설 ip대역의 다른 서버로 접속 불가

vpn 가상 사설 ip 10 대역에서 vpn 서버 사설 ip 172 로의 NAT 설정이 안돼 있기 때문
- ~~sudo firewall-cmd --permanent --direct --passthrough ipv4 -t nat -A POSTROUTING -s <VPN-IP>/24 -d <Private-IP>/24 -o $DEVICE -j MASQUERADE 방화벽 NAT 추가~~
  - sudo firewall-cmd --permanent --add-masquerade 로 해결
- ~~server.conf에서 push “route <Private-IP> 255.255.0.0” 라우팅 추가~~
  - push "redirect-gateway def1 bypass-dhcp” 명령어로 인해 위의 route 규칙 추가는 무의미

ssh로 접속한 aws linux에서 openvpn 실행 시 ssh 연결 끊김

vpn을 실행하면 vpn 클라이언트의 디폴트 게이트웨이 설정이 변경되어 모든 트래픽이 VPN 게이트웨이를 통해 라우팅됨
push "redirect-gateway def1 bypass-dhcp” 이 설정 때문
- ssh 세션의 응답 패킷이 vpn 게이트웨이를 통해 전송됨
  - SSH 요청은 공인 IP → AWS 리눅스
  - SSH 응답은 VPN 터널 → VPN 서버 → 잘못된 경로
    - 요청은 잘 가는데 응답이 VPN게이트웨이로 가는 게 문제
      - push "route <회사-IP> 255.255.255.255 net_gateway"
      - AWS 리눅스(VPN 클라이언트)에 PC 공인IP로의 트래픽은 기본 게이트웨이를 사용하도록 라우팅하여 해결

참고

OpenVPN 설치 https://openvpn.net/community-resources/installing-openvpn/

OpenVPN 구축 https://www.howtoforge.com/how-to-install-and-configure-openvpn-server-on-rocky-linux-9/

FirewallD

Wed, 18 Dec 2024 09:00:00 +0900

목표

특정 포트를 포워딩하여 외부 클라이언트가 내부 리소스에 접근 가능하도록 구성
특정 웹사이트에 대한 외부 접속을 방화벽 규칙을 통해 차단

환경 설정

OS: Rocky 8.10

개념 및 설정

FirewallD

firewalld는 내부적으로 iptables를 사용하여 규칙을 관리
iptables 명령으로 추가한 규칙은 firewalld에서 생성한 규칙보다 우선 적용됨
AllowZoneDrifting은 하나의 NI가 여러 Zone에 속한 경우 Zone 간 규칙을 드리프트
- Zone 경계 간 규칙을 느슨하게 만들어 의도치 않은 트래픽 허용 가능성
- 이후 버전에서는 제거될 예정
L4 방화벽이기 때문에 NAT를 통해 ip가 변환되는 공인 ip들은 제어하기 어려움
- firewalld의 한계

작업 과정

1. Firewall 포트포워딩

1) FW1 방화벽 설정

사용자 생성

1
2


useradd -m -G wheel fw1
echo "fw1" | passwd --stdin fw1

패키지 설치

1
2
3
4


sudo dnf update --exclude=kernel* -y

echo "<FW1-IP> FW1" | sudo tee /var/www/html/index.html
sudo systemctl enable --now httpd

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload

2) FW2 방화벽 설정

사용자 생성

1
2


useradd -m -G wheel fw2
echo "fw2" | passwd --stdin fw2

패키지 설치

1
2
3
4


sudo dnf update --exclude=kernel* -y

echo "<FW2-IP> FW2 " | sudo tee /var/www/html/index.html
sudo systemctl enable --now httpd

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload

3) 포트포워딩

방화벽 설정

1
2
3


sudo firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=80:toaddr=<FW2-IP>
sudo firewall-cmd --permanent --add-masquerade
sudo firewall-cmd --reload

포트포워딩 테스트

1
2
3


sudo firewall-cmd --list-all
curl <공인 IP>:8080
curl <공인 IP>:8081

두 curl 모두 FW2 서버가 응답

4) 웹사이트 외부 접속 차단 - rich rule

1. FW2에서 목적지가 FW2 ip인 모든 트래픽 거부

FW2로의 모든 트래픽 거부

1
2
3
4
5
6
7


# FW2 
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" destination address="<FW2-IP>" reject'
sudo firewall-cmd --reload

# 위에서 포트포워딩 했기 때문에 아래 명령어 둘 모두 차단됨
curl <Domain>:8080
curl <Domain>:8081

FW2 ip로의 접속 차단됨

2. 출발지가 FW2 사설 ip인 모든 트래픽 거부

FW1에서 FW2 사설 ip로 포트포워딩된 공인 ip로 요청한다면 차단 안됨
트러블슈팅 참고

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# FW1 포트포워딩 제거
sudo firewall-cmd --permanent --remove-forward-port=port=80:proto=tcp:toport=80:toaddr=<FW2-IP>
sudo firewall-cmd --reload

# FW2 
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="<FW1-IP>" reject’
sudo firewall-cmd --reload

# FW1
curl <Domain>:8080

FW1에서 FW2 사설 ip로의 접속 차단됨

3. FW2에서 목적지가 FW1인 트래픽 거부

트러블슈팅 참고
- iptable 사용

1
2
3
4
5
6
7
8


# FW2 
sudo iptables -I OUTPUT -s <FW2-IP> -d <FW1-IP> -j REJECT

# FW2
# 포트포어딩후 NAT으로 ip가 달라지기 때문에 차단 불가
curl <Domain:8080
# 차단 성공
curl <FW1-IP>

트러블슈팅 참고
- firewalld 사용

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


sudo vi /etc/firewalld/firewalld.conf
AllowZoneDrifting=no

sudo systemctl restart firewalld
sudo firewall-cmd --reload

sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="<FW2-IP>" destination address="<FW1-IP>" reject'
sudo firewall-cmd --reload

# 차단 성공
curl <FW1-IP>

로그 확인 명령어

1
2
3
4
5
6
7
8


# 패킷 캡쳐
sudo tcpdump -i eth0 host <FW1-IP> -n

# Connection Tracking 초기화
sudo conntrack -F

# firewall-cmd --reload 적용시 로그 발생 가능성
sudo tail -f /var/log/messages

트러블슈팅

KT VM에 포트포워딩중인 공인 ip를 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" destination address="공인ip" reject'로 차단 시 여전히 curl <Domain>:8080 이 동작

공인 ip로 요청이 오면 사설 ip로 변환된 후 vm에 전달됨
firewalld는 VM 내부 트래픽에만 영향을 미침
- 따라서 공인 ip를 차단하지 못함

FW2 에서 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="<FW1-IP>" reject’ 로 FW1 ip차단 시 FW1에서 curl <FW2-IP> 은 차단 되지만 curl <Domain>:8081 / curl <공인 IP>:8081 은 차단되지 않음

공인ip:8081은 포트포워딩 되어있기 때문에 kt cloud가 요청이 FW2 에 도달하기 전에 NAT 수행
NAT는 출발지 ip를 공인ip가 아닌 kt cloud에서 자체적으로 사설 ip를 임의로 설정
- firewalld 만으로는 FW2 에 매핑된 공인 ip를 통한 트래픽은 차단하기 어려움
  - sudo tcpdump -i eth0 port 80 -n 명령어로 NAT변환된 ip를 추가 차단하거나
  - zone을 drop으로 변경해서 화이트리스트 방식으로 변경하거나
  - kt가 nat하는 ip의 대역을 전체 차단하거나

FW2 에서 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" destination address="<FW1-IP>" reject’ 설정 시 curl <FW1-IP> 차단 불가

아웃바운드 트래픽 차단 불가
iptable 명령어 sudo iptables -I OUTPUT -d <FW1-IP> -j ACCEPT 는 정상 작동
/var/log/messages 로그 확인해보니 –reload 시에 WARNING: AllowZoneDrifting is enabled. This is considered an insecure configuration option. It will be removed in a future release. Please consider disabling it now. 로그 발생.
- AllowZoneDrifting 설정 때문에 발생하는 문제로 판단
- firewalld.conf 에 AllowZoneDrifting no로 설정 후 해결

참고

firewalld 사용법: https://www.freekb.net/Article?id=2141

Samba 파일 공유 구축

Tue, 17 Dec 2024 09:00:00 +0900

목표

리눅스 1대와 윈도우 1대를 Samba로 연동
리눅스/윈도우 모두 같은 사용자가 공유 폴더 제어하게 설정

환경 설정

OS
- Rocky 8.10
- Windows 2019
SAMBA: SMB 4.19.4

개념 및 설정

Samba

smbd(139/tcp, 445/tcp)
nmbd(137/udp, 138/udp)

/etc/samba/smb.conf

주설정파일

/etc/samba/lmhosts

samba 호스트파일

작업 과정

1. Samba Linux

사용자 생성

1
2


useradd -m -G wheel smblinux
echo "smblinux" | passwd --stdin smblinux

1) Samba Linux 설정

패키지 설치

1
2
3
4


sudo dnf update --exclude=kernel* -y
sudo dnf install -y samba samba-client cifs-utils

sudo systemctl enable --now smb nmb

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=samba
sudo firewall-cmd --reload

smb.cnf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


cd /etc/samba
sudo cp -p smb.conf.example smb.conf
sudo vi /etc/samba/smb.conf

 workgroup = WORKGROUP
 server string = server1

 hosts allow = 127. <Client-IP>

 ...

# samba-share: window에서 뜨는 폴더명
# 윈도우 접속시: \\ip\samba-share
# 계정명: smbuser1
[samba-share]
 comment = Samba Test
 path = /samba
 public = yes
 writable = yes

 printable = no
 valid users = smbuser1

smb.conf 파일 설정 확인

1

testparm -s

공유 디렉토리 설정

1
2


sudo mkdir -p /samba
sudo echo "test written in linux" >> /samba/test.txt

Samba 사용자 생성

1
2
3
4
5
6
7


sudo useradd -M -s /sbin/nologin smbuser1
sudo smbpasswd -a smbuser1
sudo pdbedit -L

sudo chown -R smbuser1:smbuser1 /samba

sudo systemctl restart smb nmb

Samba 테스트

1
2


smbclient -L localhost -N
smbclient -L localhost -U smbuser1

2. Samba Windows

1) 원격 데스크탑 연결

ip: 공인 ip
사용자: Administrator

2) Samba 서버 공유 디렉토리 연결

smb.cnf에서 설정한 대로 네트워크 드라이브 연결

윈도우에서 작성한 파일 리눅스에서 확인

3. Samba Server에서 Client 설정

서버에서 클라이언트 설정 하는 이유

samba 사용자 smbuser1을 보안을 위해 nologin으로 생성
따라서 서버에서 공유 디렉토리에 작업하면 사용자가 smbuser1이 될 수 없지만 윈도우에선 smbuser1으로 작업하게 되므로 권한이 달라짐
- 서버에서 smbuser1으로 작업하기 위해 Samba 클라이언트 설정

1) Samba 서버 테스트

1
2
3


smbclient //<samba-server-ip>/samba-share -U smbuser1
smb: \> ls
smb: \> get linux1.txt

2) Samba 마운트

1
2
3


sudo mkdir -p /mnt/smb

sudo mount -t cifs //<Server-IP>/samba-share /mnt/smb -o username=smbuser1,password=<password>

3) Samba 영구 마운트

noauto,x-systemd.automount 옵션
- samba가 disable일 때 재부팅 시 위 옵션이 설정되어 있지 않다면 부팅 에러 발생
- noauto: 부팅 시에 자동으로 마운트 X
- x-systemd.automount: 파일/디렉토리에 접근할 때 자동 마운트
⇒ 부팅 시에 마운트하지 않고, 접근 시에 자동 마운트

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


sudo umount /mnt/smb

sudo vi /etc/samba/credentials
username=smbuser1
password=<password>

sudo chmod 600 /etc/samba/credentials

sudo vi /etc/fstab

# samba mount
//<Server-IP>/samba-share /mnt/smb cifs credentials=/etc/samba/credentials,noauto,x-systemd.automount 0 0

x-systemd.automount 동작

1
2
3


sudo systemctl daemon-reload
sudo systemctl restart mnt-smb.automount
systemctl status mnt-smb.automount

마운트된 디렉터리 /mnt/smb에서 작업해야지만 smbuser1 사용자로 작업 취급

참고

samba: https://ujia.tistory.com/70#google_vignette

x-systemd automount: https://docs.redhat.com/ko/documentation/red_hat_enterprise_linux/8/html/managing_file_systems/proc_using-systemd-automount-to-mount-a-file-system-on-demand-with-etc-fstab_mounting-file-systems-on-demand

Munin 모니터링 구축

Mon, 16 Dec 2024 09:00:00 +0900

목표

Munin 서버 1대, 클라이언트 1대로 모니터링 구축
웹 인터페이스를 통해 실시간 데이터 시각화

환경 설정

OS: Rocky 8.10
Monitoring: munin 2.0.73

개념 및 설정

Munin

/etc/munin/munin.conf

주 설정 파일
모니터링할 노드 설정

/etc/httpd/conf.d/munin.conf

munin용 Apache 설정
비밀번호 설정

/etc/munin/munin-node.conf

클라이언트에서의 서버 연결 설정 파일

/etc/cron.d/munin

munin 모니터링 주기 설정

작업 과정

1. Munin Server

사용자 생성

1
2


useradd -m -G wheel moserver
echo "moserver" | passwd --stdin moserver

1) Munin 설정

패키지 설치

1
2
3
4
5


sudo dnf update --exclude=kernel* -y
sudo dnf config-manager --set-enabled powertools
sudo dnf install -y epel-release
sudo dnf install -y munin munin-node
sudo dnf install -y httpd

munin.conf 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


sudo vi /etc/munin/munin.conf

# 주석해제
dbdir /var/lib/munin
htmldir /var/www/html/munin
logdir /var/log/munin
rundir /var/run/munin

[localhost]
 address 127.0.0.1
 use_node_name yes

[pjt-moclient]
 address <Client-IP>
 use_node_name yes

2) Munin 웹 인터페이스 설정

munin 패스워드 설정

1

sudo htpasswd -s -c /etc/munin/munin-htpasswd muninadmin

apache munin.conf 생성

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


sudo vi /etc/httpd/conf.d/munin.conf

# /munin으로 온 요청 /var/www/html/munin으로 매핑
alias /munin /var/www/html/munin
# 이 코드가 있어야 상세 그래프 페이지에서 그래프가 나타남
ScriptAlias /munin-cgi/munin-cgi-graph /var/www/html/munin/cgi/munin-cgi-graph

<Directory /var/www/html/munin>
 AuthUserFile /etc/munin/munin-htpasswd
 AuthName munin-auth
 AuthType Basic
 <RequireAll>
 Require valid-user
 Require ip 127.0.0.1 <내 현재 IP>
 </RequireAll>
</Directory>

3) Munin Node(localhost) 설정

munin-node.conf 수정
- 서버도 모니터링 할 시 추가

1
2
3
4
5
6
7
8
9


# vi 편집기를 이용해 수정
vi /etc/munin/munin-node.conf

# 해당 부분 아래에 모니터링 서버 IP를 추가
allow ^127\.0\.0\.1$
allow ^::1$
allow ^172\.27\.0\.74$

sudo systemctl enable --now munin-node

4) Munin Cron 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


sudo vi /etc/cron.d/munin

# cron 작업 출력 메세지를 root에게 메일로 보냄
MAILTO=root
# 1분마다 동작
# munin 사용자 권한으로 실행
# test -x /usr/bin/munin-cron: 파일이 실행 가능한 상태인지 확인
* * * * * munin test -x /usr/bin/munin-cron && /usr/bin/munin-cron

sudo systemctl restart crond
sudo systemctl enable --now httpd

방화벽

1
2
3
4


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-port=80/tcp
sudo firewall-cmd --permanent --add-port=4949/tcp
sudo firewall-cmd --reload

2. Munin Client

사용자 생성

1
2


useradd -m -G wheel moclient
echo "moclient" | passwd --stdin moclient

1) Munin Node(Client) 설정

패키지 설치

1
2
3
4


sudo dnf update --exclude=kernel* -y
sudo dnf config-manager --set-enabled powertools
sudo dnf install -y epel-release
sudo dnf install -y munin-node

munin-node.conf 수정

1
2
3
4
5
6
7
8
9


# vi 편집기를 이용해 수정
vi /etc/munin/munin-node.conf

# 해당 부분 아래에 모니터링 서버 IP를 추가
allow ^127\.0\.0\.1$
allow ^::1$
allow ^172\.27\.0\.74$

sudo systemctl enable --now munin-node

방화벽

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-port=4949/tcp
sudo firewall-cmd --reload

로그 확인 명령어

1
2


sudo tail -f /var/log/munin/munin-update.log
sudo tail -f /var/log/munin-node/munin-node.log

트러블슈팅

epel-release 설치 후 perl 의존성 에러 발생

epel 공식문서 참조 https://docs.fedoraproject.org/en-US/epel/getting-started/
sudo dnf config-manager --set-enabled powertools 명령어로 powertools 활성화 필요

localhost와 client의 그래프가 동일하게 나오는 현상

1
2
3


[moserver@pjt-moserver ~]$ sudo tail -f /var/log/munin/munin-update.log
2024/11/20 08:40:01 [INFO] node pjt-moclient advertised itself as pjt-moooooo instead.
2024/11/20 08:40:01 [INFO] node localhost advertised itself as pjt-moooooo instead.

/etc/munin/munin.conf의 address를 172를 설정해야 하는데 127로 기입하는 오타로 인해 생긴 문제

munin 페이지에 htpasswd가 적용되지 않는 문제

Require ip가 Require valid-user보다 우선되어 Require valid-user는 검사를 안하는 상황
ReruireAll 태그 안으로 넣어 모든 조건 만족하도록 변경 후 해결

1
2
3
4
5
6
7
8
9


<Directory /var/www/html/munin>
 AuthUserFile /etc/munin/munin-htpasswd
 AuthName munin-auth
 AuthType Basic
 <RequireAll>
 Require valid-user
 Require ip 127.0.0.1 <내 현재 IP>
 </RequireAll>
</Directory>

참고

munin 설치: https://guide.munin-monitoring.org/en/latest/installation/install.html

epel-release 공식문서: https://docs.fedoraproject.org/en-US/epel/getting-started/

DNS Master-Slave 구축

Fri, 13 Dec 2024 09:00:00 +0900

목표

DNS master 1대, slave1대 구조로 네임서버 구성
- DNS 서버 고가용성 및 부하분산
도메인 하나 IP 변경했을때 정상적으로 변경돼서 나오는 지 확인

환경 설정

OS: Rocky 8.10

개념 및 설정

/etc/named.conf

DNS 메인 설정 파일
named.rfc1912.zones 파일 지정
포워딩(forwarding) 및 캐싱 정책 설정
ACL 및 보안 관련 정책 정의

/etc/named.rfc1912.zones

로컬 도메인 및 내부 네트워크용 기본 샘플 존 설정 파일
도메인 등록 (pjt.com)
zone 파일 지정 (pjt.com.zone)
각 서버에서 Master/Slave 연동 설정

/var/named/pjt.com.zone

DNS 레코드 설정
주 네임서버는 zone 데이터의 원본을 관리
- zone 데이터는 다른 권한 있는 네임서버로 복사됨
권한 있는 네임서버는 도메인의 레코드 정보를 제공
Serial 값이 변경(증가)되면 Slave의 slaves/pjt.com.zone과 동기화

/var/named/slaves/pjt.com.zone

pjt.com 도메인의 Slave 존 파일
Master의 pjt.com.zone에서 데이터를 복제

DNS 레코드 유형

레코드 유형	설명	형식	예시
NS	도메인에 대한 권한을 가진 네임서버를 정의	`<domain> IN NS <nameserver>`	`@ IN NS ns1.example.com.`
A	도메인 이름을 IPv4 주소와 매핑	`<hostname> IN A <IPv4 address>`	`@ IN A 192.168.1.10`
AAAA	도메인 이름을 IPv6 주소와 매핑	`<hostname> IN AAAA <IPv6 address>`	`www IN AAAA 2001:0db8:85a3::8a2e:0370:7334`
CNAME	도메인 이름에 대한 별칭을 설정	`<alias> IN CNAME <canonical name>`	`mail IN CNAME www.example.com.`
MX	메일 서버를 정의하며, 우선순위는 preference로 결정	`<domain> IN MX <preference> <mail server>`	`@ IN MX 10 mail.example.com.`
TXT	도메인에 대한 텍스트 정보를 저장	`<domain> IN TXT "<text>"`	`@ IN TXT "v=spf1 ip4:192.168.1.0/24 -all"`
PTR	IP 주소를 도메인 이름으로 매핑 (Reverse DNS)	`<IP-in-reverse>.in-addr.arpa. IN PTR <domain>`	`10.1.168.192.in-addr.arpa. IN PTR example.com.`
SRV	특정 서비스의 위치를 정의	`<service>.<protocol>.<domain> IN SRV <priority> <weight> <port> <target>`	`_sip._tcp.example.com. IN SRV 10 60 5060 sipserver.example.com.`

작업 과정

1. DNS Master 설정

사용자 생성

1
2


useradd -m -G wheel dnsmaster
echo "dnsmaster" | passwd --stdin dnsmaster

bind 설치

1
2


sudo dnf update --exclude=kernel* -y
sudo dnf install -y bind bind-chroot bind-utils

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --add-port=53/tcp --permanent
sudo firewall-cmd --reload

1) named.conf 수정

dns로 접근할 수 있도록 any로 수정

1
2
3
4
5
6


sudo vi /etc/named.conf

options {
 listen-on port 53 { any; };
 ...
 allow-query { any; };

2) named.rfc1912.zones에 zone 등록

dns에 zone 파일 등록

1
2
3
4
5
6
7
8


sudo vi /etc/named.rfc1912.zones

zone "pjt.com" IN {
 type master;
 # Zone 파일 경로. /var/named 밑에 저장됨
 file "pjt.com.zone";
 also-notify { <Slave IP>; };
};

3) zone 파일 생성

zone 업데이트 시 serial 값이 증가해야 slave에 반영

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


sudo vi /var/named/pjt.com.zone

# Primary NS: ns1.pjt.com
# Email: admin.pjt.com. 관리자 이메일 주소 (`@`는 `.`으로 표기. 실제: admin@pjt.com)
$TTL 86400 ; 1일
@ IN SOA ns1.pjt.com. admin.pjt.com. (
 2024111301 ; Serial. Zone 파일의 버전 번호. 이 번호가 변경될 때 Slave 서버가 Zone 파일을 동기화
 3600 ; Refresh (1시간). Slave 서버가 Master 서버로부터 Zone 데이터를 주기적으로 업데이트하는 주기
 1800 ; Retry (30분). Slave 서버가 Master 서버와 연결에 실패했을 때 재시도하는 주기
 1209600 ; Expire (2주). Master 서버와 연결이 되지 않을 때 Slave 서버가 Zone 정보를 유효하게 유지할 기간
 86400 ; Minimum TTL (1일). Negative caching을 위한 기본 TTL 값
 )

# Authorized NS(네임서버) 설정
@ IN NS ns1.pjt.com.
@ IN NS ns2.pjt.com.

# A 레코드 설정 pjt.com / www.pjt.com
@ IN A 192.168.1.10
www IN A 192.168.1.10

# 네임서버 A 레코드 ns1.pjt.com / ns2.pjt.com
ns1 IN A 192.168.1.10
ns2 IN A 192.168.100.100

dns 파일 검증

1
2
3
4
5
6


## named.conf 파일 검증
named-checkconf /etc/named.conf

## zone 파일 검증
#named-checkzone [domain] [zone file]
named-checkzone nirsa.com nirsa.zone

dns 재시작

1
2
3


sudo named-checkconf
sudo named-checkzone pjt.com /var/named/pjt.com.zone
sudo systemctl restart named

2. DNS Slave 설정

사용자 생성

1
2


useradd -m -G wheel dnsslave
echo "dnsslave" | passwd --stdin dnsslave

bind 설치

1
2


sudo dnf update --exclude=kernel* -y
sudo dnf install -y bind bind-chroot bind-utils

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --add-port=53/tcp --permanent
sudo firewall-cmd --reload

1) named.conf 수정

dns로 접근할 수 있도록 any로 수정

1
2
3
4
5
6


sudo vi /etc/named.conf

options {
 listen-on port 53 { any; };
 ...
 allow-query { any; };

2) named.rfc1912.zones에 zone 등록

dns에 zone 파일 등록

1
2
3
4
5
6
7
8


sudo vi /etc/named.rfc1912.zones

zone "pjt.com" IN {
 type slave;
 # Zone 파일 경로. /var/named 밑에 저장됨
 file "slaves/pjt.com.zone";
 masters { <Master IP>; };
};

slave 파일 경로 생성

1

sudo mkdir -p /var/named/slaves

dns 시작

1
2


sudo named-checkconf
sudo systemctl enable --now named

master-slave 동기화 확인

1

sudo ls -l /var/named/slaves

3. DNS 테스트

dig 명령어로 dns 쿼리

1
2
3
4


dig @<Master IP> pjt.com
dig @<Slave IP> pjt.com

dig @<Slave IP> ns1.pjt.com

1) IP 변경 후 테스트

pjt.com.zone 파일 serial 넘버 변경
ns2.pjt.com ip 변경

1
2
3


sudo vi /var/named/pjt.com.zone

dig @<Slave IP> ns2.pjt.com

트러블슈팅

named.conf의 listen 기본값은 127.0.0.1이다.

master-slave 구성 후 slave에서 /var/named/slaves에 zone 파일 동기화되지 불가
/var/log/messages 확인 결과 failed to connect: connection refused가 발생
named.conf의 listen on이 로컬호스트인 127.0.0.1 설정되어 있어 any로 변경하여 해결

named.conf의 allow-transfer 설정은 Serial 값이 변경되어도 Slave에 즉각적으로 동기화하지 않음

ip 변경 후 Serial 넘버 변경(증가)해도 slave에 반영이 안되는 문제가 발생
조사해보니, allow-transfer은 Master-Slave 연동을 허용하기만 하는 설정이고, 동기화 시기는 .zone 파일의 SOA 레코드의 refresh 설정에 따라 달라짐
allow-transfer 대신 serial변경 후 slave에 즉각적으로 알려주는 also-notify로 변경하여 해결
- also-notify 설정이 되어 있다면 refresh가 쓸모 없다고 생각할 수 있음
  - 그래도 refresh는 Serial 값 변경 시 장애가 발생했을 때를 위한 백업 설정으로 여전히 유효

참고

https://m.blog.naver.com/host365/222983239445

https://nirsa.tistory.com/128

also-notify 설정: https://bono915.tistory.com/entry/Linux-named-DNS-MasterSlave-서버-구축-및-동기화-설정-방법

Nagios 모니터링 구축

Thu, 12 Dec 2024 09:00:00 +0900

목표

Nagios 서버 1대, 클라이언트 1대, private 클라이언트 1대로 시스템 모니터링 환경 구성
NRPE와 check_tcp 플러그인을 활용한 포트 및 기본 시스템 리소스 모니터링 구현
Nagios 웹 인터페이스를 통한 모니터링 결과 시각화
커스텀 플러그인 작성을 통한 특정 메모리 모니터링 기능 추가
Nagios 서버에서 bastion 노드를 거쳐 private 노드 모니터링

환경 설정

OS: Rocky 8.10
Monitoring: nagios 4.4.6
nagios-plugins 2.2.1
nrpe 4.1.0

개념 및 설정

Nagios

/usr/local/nagios/var/nagios.log

메인 로그 파일
웹에서 alerts history, notifications, Event log가 이 파일 참조

/usr/local/nagios/etc/nagios.cfg

메인 설정 파일

/usr/local/nagios/etc/objects/localhost.cfg

로컬호스트 설정 파일

/usr/local/nagios/etc/objects/commands.cfg

설정 파일에서 사용하는 command 정의 파일

/usr/local/nagios/libexec/

command의 실제 쉘 스크립트가 저장되어 있는 경로

NRPE

/etc/nagios/nrpe.cfg

서버와의 연결 설정
클라이언트에서 사용할 /usr/local/nagios/libexec/ 경로의 플러그인 스크립트를 command로 지정

NRPE 플러그인 적용 흐름

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# 아래 파일들을 참조해 check_nrpe!check_load가 동작 가능
# 서버 client.cfg 
define service {
 use generic-service
 host_name moclient
 service_description CPU Load
 check_command check_nrpe!check_load
}

# checp_nrpe는 아래 경로 참조
# 서버 commands.cfg
define command {
 command_name check_nrpe
 command_line /usr/local/nagios/libexec/check_nrpe -H $HOSTADDRESS$ -c $ARG1$
}

# check_load는 아래 경로 참조
# 클라이언트 nrpe.cfg
command[check_load]=/usr/local/nagios/libexec/check_load -r -w .15,.10,.05 -c .30,.25,.20

작업 과정

1. Nagios Server 설정

사용자 생성

1
2


useradd -m -G wheel moserver
echo "moserver" | passwd --stdin moserver

소스 설치 준비

1
2


sudo dnf update --exclude=kernel* -y
sudo dnf install -y httpd httpd-tools php gcc glibc glibc-common gd gd-devel make net-snmp

유저, 그룹 생성
- nagios 유저 없으면 make install 에서 오류
- 위에서 설치한 httpd 사용자 apache 유저에게 nagios 접근 권한을 nagcmd 그룹으로 부여
  - nagios 웹 인터페이스에서 nagios 작업할 때 apache가 nagios 외부 파일에 접근해야 함

1
2
3
4
5


sudo groupadd nagcmd
sudo useradd nagios

sudo usermod -G nagcmd nagios
sudo usermod -G nagcmd apache

nagios 패키지 다운로드
- nagios, nagios 플러그인 패키지 다운로드

1
2
3
4
5
6
7


mkdir /home/moserver/nagios && cd /home/moserver/nagios

sudo wget https://assets.nagios.com/downloads/nagioscore/releases/nagios-4.4.6.tar.gz
sudo wget https://nagios-plugins.org/download/nagios-plugins-2.2.1.tar.gz

sudo tar -xvf nagios-4.4.6.tar.gz
sudo tar -xvf nagios-plugins-2.2.1.tar.gz

1) Nagios 소스 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


cd nagios-4.4.6/
# 소스파일에 대한 환경설정을 해주는 명령어. 서버환경에 맞춰 makefile 생성
sudo ./configure --with-command-group=nagcmd
# 소스 컴파일
sudo make all
# 컴파일한 소스 설치
sudo make install

# /etc/init.d 에 등록됨
sudo make install-init
# nagios라는 user가 없으면 여기서 에러 발생
sudo make install-commandmode
# /usr/local/nagios 에 설정파일이 생성됨
sudo make install-config

nagios 웹 인터페이스

1
2
3
4
5
6
7


# /etc/httpd/conf.d/nagios.conf 생성됨
sudo make install-webconf

sudo htpasswd -s -c /usr/local/nagios/etc/htpasswd.users nagiosadmin

sudo systemctl enable --now httpd
sudo systemctl enable --now nagios

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --add-port=80/tcp --permanent
sudo firewall-cmd --reload

(선택) 이메일 알림

1

vi /usr/local/nagios/etc/objects/contacts.cfg

웹 인터페이스 접근

1

http://<domain>:8080/nagios/

플러그인 설치 안하면 critical로 표시됨

2) Nagios 플러그인 소스 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


cd /home/moserver/nagios/nagios-plugins-2.2.1/

# 소스파일에 대한 환경설정을 해주는 명령어. 서버환경에 맞춰 makefile 생성
sudo ./configure --with-nagios-user=nagios --with-nagios-group=nagios
# 소스 컴파일
sudo make all
# 컴파일한 소스 설치
sudo make install

# nagios 설정 파일 검사
sudo /usr/local/nagios/bin/nagios -v /usr/local/nagios/etc/nagios.cfg

index.html 생성

1

echo "http check" | sudo tee /var/www/html/index.html

nagios 재시작

1
2


sudo systemctl restart nagios
sudo systemctl restart httpd

플러그인 반영까지 수 분 소요

2. Nagios Client 설정

1) Server NRPE 소스 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


sudo cd /home/moserver/nagios

sudo wget https://github.com/NagiosEnterprises/nrpe/releases/download/nrpe-4.1.0/nrpe-4.1.0.tar.gz

sudo tar zxvf nrpe-4.1.0.tar.gz

sudo cd nrpe-4.1.0
# -–enable-command-args 옵션을 사용하면 NRPE를 통해 인수를 전달할 수 있습니다. 
# 생략하면 인수를 nrpe 구성 파일 nrpe.cfg에 명시적으로 설정해야 합니다.
# -–with-nrpe-user=nagios –with-nrpe-group=nagios는 구성 파일의 소유권을 설정합니다.
sudo ./configure --enable-command-args --with-nrpe-user=nagios --with-nrpe-group=nagios

sudo make install-groups-users
sudo make all
sudo make install

방화벽 설정

1
2


sudo firewall-cmd --add-port=5666/tcp --permanent
sudo firewall-cmd --reload

nrpe 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


sudo vi /usr/local/nagios/etc/nagios.cfg
# 주석 제거
cfg_dir=/usr/local/nagios/etc/servers

sudo mkdir -p /usr/local/nagios/etc/servers
sudo vi /usr/local/nagios/etc/servers/client.cfg

define host{

 use linux-server
 host_name moclient
 alias moclient
 address <Client-IP>
 max_check_attempts 5
 check_period 24x7
 notification_interval 30
 notification_period 24x7
}

sudo systemctl enable --now nrpe

2) Client NRPE 설정

사용자 생성

1
2


useradd -m -G wheel moclient
echo "moclient" | passwd --stdin moclient

1

sudo dnf install -y nrpe

nrpe 설정

1
2
3
4


sudo vi /etc/nagios/nrpe.cfg
 allowed_hosts=127.0.0.1,::1,<Server IP>

sudo systemctl enable --now nrpe

3) Client Nagios 플러그인 소스 설치

소스 설치 준비

1
2


sudo dnf update --exclude=kernel* -y
sudo dnf install -y httpd httpd-tools php gcc glibc glibc-common gd gd-devel make net-snmp

nagios 플러그인 패키지 다운로드

1
2
3
4
5


mkdir /home/moclient/nagios && cd /home/moclient/nagios

sudo wget https://nagios-plugins.org/download/nagios-plugins-2.2.1.tar.gz

sudo tar -xvf nagios-plugins-2.2.1.tar.gz

1
2
3
4
5
6
7
8


cd /home/moclient/nagios/nagios-plugins-2.2.1/

# 소스파일에 대한 환경설정을 해주는 명령어. 서버환경에 맞춰 makefile 생성
sudo ./configure --with-nagios-user=nagios --with-nagios-group=nagios
# 소스 컴파일
sudo make all
# 컴파일한 소스 설치
sudo make install

방화벽 설정

1
2
3
4


sudo systemctl enable --now firewalld
sudo firewall-cmd --add-port=5666/tcp --permanent

sudo firewall-cmd --reload

3. Nagios 모니터링 추가 설정

1) Server local check_tcp 모니터링 추가

period, max_check_attemps 등 명시 안하면 templates.cfg 에 명시된 기본값 사용됨

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


sudo vi /usr/local/nagios/etc/objects/localhost.cfg

define service {
 use local-service
 host_name localhost
 service_description HTTP Port
 check_command check_tcp!80
}

define service {
 use local-service
 host_name localhost
 service_description SSH Port
 check_command check_tcp!22
}

service에서 HTTP Port, SSH Port 항목 OK 확인

2) Client 여러 서비스 모니터링 추가

Server에서 check_nrpe 플러그인 command 등록

1
2
3
4
5
6


sudo vi /usr/local/nagios/etc/objects/commands.cfg

define command {
 command_name check_nrpe
 command_line /usr/local/nagios/libexec/check_nrpe -H $HOSTADDRESS$ -c $ARG1$
}

Server의 client.cfg

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


sudo vi /usr/local/nagios/etc/servers/client.cfg

define service {
 use generic-service
 host_name moclient
 service_description CPU Load
 check_command check_nrpe!check_load
}

define service {
 use generic-service
 host_name moclient
 service_description Disk Usage
 check_command check_nrpe!check_disk
}

define service {
 use generic-service
 host_name moclient
 service_description Memory Usage
 check_command check_nrpe!check_mem
}

define service {
 use generic-service
 host_name moclient
 service_description SSH Port
 check_command check_tcp!22
}

Client의 nrpe.cfg

1
2
3
4
5
6


sudo vi /etc/nagios/nrpe.cfg

command[check_load]=/usr/local/nagios/libexec/check_load -r -w .15,.10,.05 -c .30,.25,.20
command[check_disk]=/usr/local/nagios/libexec/check_disk -w 20% -c 10% -p /
# 커스텀 플러그인
command[check_mem]=/usr/local/nagios/libexec/custom_check_mem 80 90

custom_check_mem 플러그인 커스텀

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


sudo vi /usr/local/nagios/libexec/custom_check_mem

#!/bin/bash
# Memory check script for Nagios

# Set warning and critical thresholds
WARN=$1
CRIT=$2

# Get total and free memory
TOTAL_MEM=$(free -m | grep Mem: | awk '{print $2}')
USED_MEM=$(free -m | grep Mem: | awk '{print $3}')
USED_MEM_PERCENT=$((USED_MEM * 100 / TOTAL_MEM))

if [ "$USED_MEM_PERCENT" -ge "$CRIT" ]; then
 echo "CRITICAL - Memory usage is ${USED_MEM_PERCENT}% | memory=${USED_MEM_PERCENT}%"
 exit 2
elif [ "$USED_MEM_PERCENT" -ge "$WARN" ]; then
 echo "WARNING - Memory usage is ${USED_MEM_PERCENT}% | memory=${USED_MEM_PERCENT}%"
 exit 1
else
 echo "OK - Memory usage is ${USED_MEM_PERCENT}% | memory=${USED_MEM_PERCENT}%"
 exit 0
fi

sudo chmod +x /usr/local/nagios/libexec/custom_check_mem
sudo systemctl restart nrpe

4. Private Host 모니터링

1) Private NRPE 설정

서버에서 ssh 접속

1

ssh root@<Private IP>

사용자 생성

1
2


useradd -m -G wheel moprivate
echo "moprivate" | passwd --stdin moprivate

1
2
3


sudo dnf update --exclude=kernel* -y
sudo dnf install -y epel-release
sudo dnf install -y nrpe

nrpe 설정

1
2
3
4


sudo vi /etc/nagios/nrpe.cfg
 allowed_hosts=127.0.0.1,::1,<Server IP>

sudo systemctl enable --now nrpe

2) Private Nagios 플러그인 소스 설치

소스 설치 준비

1

sudo dnf install -y httpd httpd-tools php gcc glibc glibc-common gd gd-devel make net-snmp

nagios 플러그인 패키지 다운로드

1
2
3
4
5


mkdir /home/moprivate/nagios && cd /home/moprivate/nagios

sudo wget https://nagios-plugins.org/download/nagios-plugins-2.2.1.tar.gz

sudo tar -xvf nagios-plugins-2.2.1.tar.gz

1
2
3
4
5
6
7
8


cd /home/moprivate/nagios/nagios-plugins-2.2.1/

# 소스파일에 대한 환경설정을 해주는 명령어. 서버환경에 맞춰 makefile 생성
sudo ./configure --with-nagios-user=nagios --with-nagios-group=nagios
# 소스 컴파일
sudo make all
# 컴파일한 소스 설치
sudo make install

방화벽 설정

1
2
3
4


sudo systemctl enable --now firewalld
sudo firewall-cmd --add-port=5666/tcp --permanent

sudo firewall-cmd --reload

3) Server Private 등록

서버에 private host 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


sudo vi /usr/local/nagios/etc/servers/private.cfg

define host{

 use linux-server
 host_name moprivate
 alias moprivate
 address <Private IP>
 max_check_attempts 5
 check_period 24x7
 notification_interval 30
 notification_period 24x7
}

sudo systemctl enable --now nagios

4) Private 모니터링 등록

Server의 client.cfg

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


sudo vi /usr/local/nagios/etc/servers/private.cfg

define service {
 use generic-service
 host_name moprivate
 service_description CPU Load
 check_command check_nrpe!check_load
}

define service {
 use generic-service
 host_name moprivate
 service_description Disk Usage
 check_command check_nrpe!check_disk
}

define service {
 use generic-service
 host_name moprivate
 service_description Memory Usage
 check_command check_nrpe!check_mem
}

define service {
 use generic-service
 host_name moprivate
 service_description SSH Port
 check_command check_tcp!22
}

sudo systemctl restart nrpe

Private 의 nrpe.cfg

1
2
3
4
5
6


sudo vi /etc/nagios/nrpe.cfg

command[check_load]=/usr/local/nagios/libexec/check_load -r -w .15,.10,.05 -c .30,.25,.20
command[check_disk]=/usr/local/nagios/libexec/check_disk -w 20% -c 10% -p /
# 커스텀 플러그인
command[check_mem]=/usr/local/nagios/libexec/custom_check_mem 80 90

custom_check_mem 플러그인 커스텀

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


sudo vi /usr/local/nagios/libexec/custom_check_mem

#!/bin/bash
# Memory check script for Nagios

# Set warning and critical thresholds
WARN=$1
CRIT=$2

# Get total and free memory
TOTAL_MEM=$(free -m | grep Mem: | awk '{print $2}')
USED_MEM=$(free -m | grep Mem: | awk '{print $3}')
USED_MEM_PERCENT=$((USED_MEM * 100 / TOTAL_MEM))

if [ "$USED_MEM_PERCENT" -ge "$CRIT" ]; then
 echo "CRITICAL - Memory usage is ${USED_MEM_PERCENT}% | memory=${USED_MEM_PERCENT}%"
 exit 2
elif [ "$USED_MEM_PERCENT" -ge "$WARN" ]; then
 echo "WARNING - Memory usage is ${USED_MEM_PERCENT}% | memory=${USED_MEM_PERCENT}%"
 exit 1
else
 echo "OK - Memory usage is ${USED_MEM_PERCENT}% | memory=${USED_MEM_PERCENT}%"
 exit 0
fi

sudo chmod +x /usr/local/nagios/libexec/custom_check_mem
sudo systemctl restart nrpe

임의로 스트레스 주입

private host에서 uptime 시에 0.00, 0.02, 0.11이 나왔기 때문에 설정한 15분 평균 0.05보다 크므로 warning 발생

5. 회사 플러그인 추가

Server의 private.cfg

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


sudo vi /usr/local/nagios/etc/servers/private.cfg

define service {
 use generic-service
 host_name moprivate
 service_description Ncloud24 CPU Usage
 check_command check_nrpe!check_cpu_usage
}

define service {
 use generic-service
 host_name moprivate
 service_description Ncloud24 MEM Usage
 check_command check_nrpe!check_mem_usage
}

sudo systemctl restart nagios

Private에서 플러그인 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


wget http://service.ncloud24.com/app/nagios/check_mem.pl
wget http://service.ncloud24.com/app/nagios/check_stats.pl
sudo mv check_mem.pl /usr/local/nagios/libexec/
sudo mv check_stats.pl /usr/local/nagios/libexec/
sudo chmod 755 /usr/local/nagios/libexec/check_mem.pl
sudo chmod 755 /usr/local/nagios/libexec/check_stats.pl

sudo vi /usr/local/nagios/libexec/check_stats.pl

# 플러그인 경로 추가
use lib "/usr/local/nagios/libexec";

sudo yum install perl-Sys-Statistics-Linux -y

Private 의 nrpe.cfg

1
2
3
4
5
6
7


sudo vi /etc/nagios/nrpe.cfg

# 회사 플러그인
command[check_cpu_usage]=/usr/local/nagios/libexec/check_stats.pl -C -w 90 -c 95
command[check_mem_usage]=/usr/local/nagios/libexec/check_mem.pl -u -C -w 85 -c 90

sudo systemctl restart nrpe

트러블슈팅

Nagios

nagios 웹 인터페이스 services - HTTP warning 표시

HTTP WARNING: HTTP/1.1 403 Forbidden - 7928 bytes in 0.001 second response time

HTTP status는 /usr/local/nagios/etc/objects/localhost.cfg 의 check_http가 관리
- /var/www/html/ 경로에 파일이 없어서 못읽기 때문
- check_http는 nagios 사용자 권한으로 Apache에 접근하기 때문에 index.html페이지가 없을 때 나오는 Apache 기본 페이지를 제공받지 못하고 403 오류 반환
  - index.html 생성으로 해결

브라우저에서 http://:8080/ 이 경로는 timeout 오류

도메인을 Apache의 virtualhost servername에 등록하지 않은 경우 도메인을 처리할 수 없음
하지만 check_http!-H
-u / 이건 정상 작동
- 도메인을 Apache에서 해석하냐, Nagios에서 해석하냐의 차이

NRPE

dnf install nrpe 실행 시 클라이언트용 nrpe만 설치 되고 check_nrpe 플러그인은 설치되지 않음

nrpe 소스 설치

클라이언트의 서비스 모니터링 작성 시 UNKNOWN / NRPE: Unable to read output 오류

nrpe 설치 시 경로는 /usr/local
nrpe.cfg 파일의 command 경로를 /usr/lib64/nagios/plugins/에서 /usr/local/nagios/libexec/로 수정

회사 플러그인 추가

회사 플러그인 check_stats.pl 추가 후 실행 시 Can't locate utils.pm in @INC (you may need to install the utils module) (@INC contains: /usr/lib64/nagios/plugins /usr/local/lib64/perl5 /usr/local/share/perl5 /usr/lib64/perl5/vendor_perl /usr/share/perl5/vendor_perl /usr/lib64/perl5 /usr/share/perl5) at /usr/local/nagios/libexec/check_stats.pl line 33.

내가 설치한 플러그인들의 경로가 /usr/local/nagios/libexec 이기 때문에 check_stats.pl에서 해당 경로를 찾지 못했기 때문에 발생한 문제
- 경로 수정 없이 플러그인 설치했는데 다른 사람들과 플러그인 경로가 다름
  - 소스 설치 경로는 /usr/local/nagios/libexec
  - 패키지 설치 경로는 /usr/lib64/nagios/plugins
    - 소스 설치 시 ./configure --libexecdir=/usr/lib64/nagios/plugins 명령어로 경로 수정 가능
- 플러그인에 경로 추가로 해결

위 경로 추가 후 재실행 시 Can't locate Sys/Statistics/Linux.pm in @INC (you may need to install the Sys::Statistics::Linux module) (@INC contains: /usr/local/nagios/libexec /usr/lib64/nagios/plugins /usr/local/lib64/perl5 /usr/local/share/perl5 /usr/lib64/perl5/vendor_perl /usr/share/perl5/vendor_perl /usr/lib64/perl5 /usr/share/perl5) at /usr/local/nagios/libexec/check_stats.pl line 37.

Sys:Statistics::Linux 모듈이 없기 때문에 발생한 오류
- sudo yum install perl-Sys-Statistics-Linux -y 설치 후 해결

참고

nagios 설치: https://wiki.crowncloud.net/?how_to_install_nagios_on_rockylinux8 상세 해설: https://www.oss.kr/storage/app/public/oss/22/df/[Nagios] Solution Guide V0.95.pdf

nrpe 설치: https://kifarunix.com/how-to-install-nagios-nrpe-agent-on-rhel-centos-oracle-linux/

Apache SSL HTTPS Redirection

Wed, 11 Dec 2024 18:00:00 +0900

목표

Let’s encrypt에서 ssl 인증서 발급해 전송 보안 강화
apache virtual host로 http -> https 리디렉션 설정
- 웹사이트의 모든 트래픽이 안전한 프로토콜을 사용하도록 강제
인증서의 자동 갱신을 설정하여 만료되지 않도록 유지

환경 설정

OS: Rocky 8.10
WEB: Apache 2.4.6
SSL: Let’s encrypt certbot

개념 및 설정

Let’s encrypt

HTTPS Everywhere 를 추구하는 비영리 프로젝트
IdenTrust cross-sign 됨
SSL 인증서 100% 무료화
인증기관 연장 및 인증서 재발급 무료
콘솔상에서 인증서 발급/갱신/설치/자동화
멀티도메인 지원, SAN 기능(여러 도메인을 한 인증서로 묶어주는 기능) 지원

SSL 인증서 인증 방식

Webroot

certbot이 지정된 웹 서버의 루트 디렉토리에 인증 파일을 생성
Let’s Encrypt가 도메인에 HTTP 요청을 보내서 인증 파일을 확인
기존 웹 서버가 실행 중이어야 함
무중단 설정 가능

Webserver

Certbot이 Apache/Nginx 서버 플러그인을 사용해 직접 인증 파일 관리, HTTP 요청 처리
인증 요청을 처리하는 동안 certbot이 웹 서버를 재구성하거나 중단할 수 있음
설정/리다이렉션 자동화

Standalone

certbot이 자체적으로 HTTP 서버를 실행하여 인증 요청을 처리.
주로 웹서버 없이 테스트 용도로 사용
웹서버가 실행중이면 중단해야 함

DNS

DNS에 TXT 레코드 추가로 소유권 확인
와일드카드 인증서 사용 가능
Private 네트워크에서도 사용 가능

해당 과제에서는 webserver 방식 사용

Bind

/etc/httpd/conf.d/<Domain>.conf

도메인용의 VirtualHost 파일
VirtualHost 태그에서 Apache가 수신할 트래픽의 IP/Domain, Port 를 설정
HTTP 설정만 있는 파일에 발급받은 SSL 인증서를 사용해 HTTPS 리다이렉션 설정

/etc/cron.d/certbot-renew

cron을 사용해 인증서 발급 자동화

작업 과정

1. HTTP 실행

사용자 생성

1
2


useradd -m -G wheel sslhttps
echo "sslhttps" | passwd --stdin sslhttps

apache 설치

1
2
3


sudo dnf update --exclude=kernel* -y
sudo dnf install httpd -y
sudo systemctl enable --now httpd

방화벽 설정

1
2
3
4


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

httpd-vhosts.conf 설정

1

sudo vi /etc/httpd/conf.d/<Domain>.conf

1
2
3
4


<VirtualHost *:80>
 ServerName <Domain>
 DocumentRoot /var/www/html
</VirtualHost>

http 동작 테스트

1

sudo systemctl restart httpd

2. SSL 실행

certbot 설치

1
2


sudo dnf install epel-release -y
sudo dnf install certbot python3-certbot-apache -y

SSL 인증서 생성
- webserver 방식

1

sudo certbot --apache -d <Domain>

3. HTTPS 실행

httpd-vhosts.conf 설정

1

sudo vi /etc/httpd/conf.d/<Domain>.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


<VirtualHost *:80>
 ServerName <Domain>
 DocumentRoot /var/www/html

 # http를 https로 리다이렉션
 Redirect permanent / https://<Domain>/
</VirtualHost>

<VirtualHost *:443>
 ServerName <Domain>
 DocumentRoot /var/www/html

 # SSL 인증서 적용
 SSLEngine on
 SSLCertificateFile /etc/letsencrypt/live/<Domain>/fullchain.pem
 SSLCertificateKeyFile /etc/letsencrypt/live/<Domain>/privkey.pem

 <Directory /var/www/html>
 AllowOverride All
 Require all granted
 </Directory>
</VirtualHost>

Apache 서버 재시작

1
2


sudo apachectl configtest
sudo systemctl restart httpd

4. SSL 인증서 갱신 자동화

만료 기간 3개월
crontab으로 자동 갱신 설정
만료일 30일 이내일 때 인증서 갱신 가능
갱신 테스트

1

sudo certbot renew --dry-run

갱신 스크립트 작성

1
2
3
4


sudo vi /etc/cron.d/certbot-renew

# 매일 새벽 3시 갱신 시도
0 3 * * * root /usr/bin/certbot renew --quiet --deploy-hook "systemctl reload httpd"

트러블슈팅

Let’s Encrypt를 사용한 HTTP1.1 방식의 인증서 발급은 도메인에 80포트로 접근 가능해야 한다.

공인 ip에 8080→80으로 포워딩해서 진행했었는데, ssl 인증서 발급에 오류가 발생
알아보니 Let’s Encrypt 인증 기관에서 HTTP1.1(webserver) 방식을 사용한 인증서 발급에는 80포트로 고정됨
- 80 외에 다른 포트를 사용하려면 아래 세 방법 뿐
  - DNS TXT 레코드를 사용한 인증 사용
  - 이미 HTTPS가 적용되어 있다면 HTTPS를 사용하는 ALPN-01 인증 방식을 사용
  - 다른 인증 기관을 사용
이후에 포워딩을 80→80으로 수정해서 해결

참고

https://www.owl-dev.me/blog/42#

MySQL Replication & HAproxy 연동

Tue, 10 Dec 2024 09:00:00 +0900

목표

mysql master 1대, slave 2대로 replication 구성
haproxy + mysql 연동
HAProxy Stat 페이지와 Sysbench 부하 테스트를 통해 시스템 성능과 트래픽 분산이 올바르게 작동하는지 확인
- 애플리케이션 로직에서 읽기/쓰기 요청을 3306/3307 포트로 분리해서 요청한다고 가정하고 테스트

환경 설정

OS: Rocky 8.10
DB: mysql 8.0.40
LB: haproxy 1.8.27

개념 및 설정

MySQL

DB 작업은 쓰기(삽입, 삭제, 수정)는 드물고, 읽기(조회) 작업이 대부분
- 이를 해소할 수 있는 것이 읽기/쓰기 분리를 적용한 Master-Slave Replication
- Master에는 모든 작업을 가능하게 설정하고, Slave에는 읽기 작업만 수행
MySQL의 Binary Log를 이용한 Replication 연동

/etc/my.cnf

MySQL의 Binary Log, 식별 id, 읽기 전용 여부 등 설정
Master와 Slave의 id는 달라야 함

HAproxy

L7 로드밸런싱도 가능하지만 여기선 L4기능만 사용 IP, Port를 기준으로 로드밸런싱
애플리케이션 단에서 분리한 읽기/쓰기 요청을 각각 라우팅

/etc/haproxy/haproxy.cfg

ip, port를 통해 분리하여 수신한 트래픽을 처리하는 frontend
frontend에서 수신한 트래픽을 ip, port를 통해 로드밸런싱하는 backend
- Slave 서버 간의 로드밸런싱
Master와 Slave의 연결 상태, 트래픽 분산 모니터링하는 stat

작업 과정

1. MySQL Master 설정

1) Mysql 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


useradd -m -G wheel mysqladmin
echo "mysqladmin" | passwd --stdin mysqladmin

sudo dnf update --exclude=kernel* -y
sudo dnf install -y https://dev.mysql.com/get/mysql80-community-release-el8-9.noarch.rpm

# rhel 8 이상은 mysql 기본 모듈이 활성화되어 있어 모듈 리셋
sudo dnf module reset mysql
sudo dnf module disable mysql -y
sudo dnf install -y mysql-community-server

sudo systemctl enable --now mysqld

# 초기화 시 생성되는 임시 비밀번호 출력
sudo grep 'temporary password' /var/log/mysqld.log
# mysql 보안 설치
mysql_secure_installation

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --add-port=3306/tcp --permanent
sudo firewall-cmd --reload

2) MySQL 설정

Mysql DB, 계정, slave 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


mysql -u root -p

CREATE DATABASE replica_db DEFAULT CHARACTER SET utf8;

# 레플리케이션 전용 계정
CREATE USER 'replica_user'@'%' IDENTIFIED BY '<PWD>';
GRANT REPLICATION SLAVE ON *.* TO 'replica_user'@'%';
FLUSH PRIVILEGES;

# 관리자 계정
CREATE USER 'admin_user'@'%' IDENTIFIED BY '<PWD>';
GRANT ALL PRIVILEGES ON *.* TO 'admin_user'@'%' WITH GRANT OPTION;
FLUSH PRIVILEGES;

Mysql Master 설정

1
2
3
4
5
6
7
8


sudo vi /etc/my.cnf

# master와 slave의 이름 통일
log-bin=mysql-bin
# master id을 1로 설정
server-id=1

systemctl restart mysqld

master 서버 정보 확인

1
2
3


# slave에서 replication 할 때 필요한 값
show master status;
 mysql-bin.000001 | 1833

mysql dump로 binary log를 생성하여 Slave 서버에 전송

1
2
3


mysqldump -u admin_user -p replica_db > replica_db.sql1
scp -P 22 replica_db.sql mysqladmin@<Slave1 IP>:/home/mysqladmin
scp -P 22 replica_db.sql mysqladmin@<Slave2 IP>:/home/mysqladmin

2. MySQL Slave1,2 설정

1) Mysql 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


useradd -m -G wheel mysqladmin
echo "mysqladmin" | passwd --stdin mysqladmin

sudo dnf update --exclude=kernel* -y
sudo dnf install -y https://dev.mysql.com/get/mysql80-community-release-el8-9.noarch.rpm

# rhel 8 이상은 mysql 기본 모듈이 활성화되어 있어 모듈 리셋
sudo dnf module reset mysql
sudo dnf module disable mysql -y
sudo dnf install -y mysql-community-server

sudo systemctl enable --now mysqld

# 초기화 시 생성되는 임시 비밀번호 출력
sudo grep 'temporary password' /var/log/mysqld.log
# mysql 보안 설치
mysql_secure_installation

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --add-port=3306/tcp --permanent
sudo firewall-cmd --reload

2) Mysql DB

1
2
3


mysql -u root -p

CREATE DATABASE replica_db DEFAULT CHARACTER SET utf8;

Mysql Slave 설정

1
2
3
4
5
6
7
8


sudo vi /etc/my.cnf

# slave1은 2, slave2는 3으로 설정
server-id = 2
# 읽기 전용으로 설정 (쓰기 불가능, root예외)
read_only = 1
max_binlog_size = 100M
expire_logs_days = 10

Master에서 전송받은 binary log로 MySQL 복원

1
2


mysql -u root -p replica_db < replica_db.sql
mysql -u root -p

slave에서 master로 연결
위의 master에서 show master status; 결과로 나온 log, Position 입력

1
2
3
4
5
6


change master to
master_host='<Master IP>',
master_user='replica_user',
master_password='<Master PW>',
master_log_file='mysql-bin.000001',
master_log_pos=1833;

1

systemctl restart mysqld

slave 설정 확인
- Slave_IO_Running/Slave_SQL_Running Yes인지 확인
- Seconds_Behind_Master이 0인지 확인

1
2
3
4


show slave status\G;

# root 포함 read_only 설정
SET GLOBAL super_read_only = 1;

(선택) caching_sha2_password 에러 발생시 조치

1
2


ALTER USER 'replica_user'@'%' IDENTIFIED WITH 'mysql_native_password' BY '<PASSWORD>';
FLUSH PRIVILEGES;

3. Replication 테스트

Master에서 데이터를 추가/변경하여 Slave 서버에서 동기화가 잘 이루어지는지 확인
Master에서 데이터 생성

1
2
3
4


USE replica_db;
CREATE TABLE test_replication (id INT PRIMARY KEY, value VARCHAR(50));
INSERT INTO test_replication (id, value) VALUES (4, 'Replication Test4');
select * from test_replication;

Slave에서 데이터 조회

1
2


USE replica_db;
select * from test_replication;

4. HAproxy 설정

haproxy 설치

1
2
3
4
5


useradd -m -G wheel haproxy
echo "haproxy" | passwd --stdin haproxy

sudo dnf update --exclude=kernel* -y
sudo dnf install -y haproxy

haproxy.cfg 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60


sudo vi /etc/haproxy/haproxy.cfg

# defaults: 이후 section에 적용되는 공통 설정
# frontend: 클라이언트 연결에 관한 설정
# bakend: frontend 에서 접속된 트래픽을 전달할 프록시 서버에 대한 설정 과 HealthCheck 등의 설정
# listen: 프론트엔드와 백엔드의 기능이 결합된 완전한 프록시를 정의
#---------------------
# default tcp
#---------------------
defaults tcp
 mode tcp
 log global
 option tcplog
 retries 3
 timeout connect 10s
 timeout client 1m
 timeout server 1m
 timeout check 10s
 maxconn 3000
#-----------------
# haproxy stat 페이지
#-----------------
listen stats
 # 모든 NI에서 9000포트로의 트래픽 수신
 bind *:9000
 mode http
 option dontlog-normal
 stats enable
 stats refresh 60s
 stats realm Haproxy\ Statistics
 stats uri /haproxy
#---------------------------------------------------------------------
# HAproxy
#---------------------------------------------------------------------
# 위에서 정의한 tcp defaults 사용
defaults tcp
# C/U/D (Master)
frontend mysql_write
 # 모든 NI에서 3306포트로의 트래픽 수신
 bind *:3306
 default_backend mysql_master

backend mysql_master
 balance roundrobin
 option tcp-check
 # 수신한 트래픽을 Master 서버로 라우팅
 server mysql-master <Master IP>:3306 check

# R (Slave)
frontend mysql_read
 # 모든 NI에서 3307포트로의 트래픽 수신
 bind *:3307
 default_backend mysql_slaves

backend mysql_slaves
 balance roundrobin
 option tcp-check
 # 수신한 트래픽을 Slave 서버로 로드밸런싱 하면서 라우팅
 server mysql-slave1 <Slave1 IP>:3306 check
 server mysql-slave2 <Slave2 IP>:3306 check

haproxy 로그 설정

1
2
3
4
5
6
7


sudo vi /etc/rsyslog.conf

# HAProxy 로그 설정
local2.* /var/log/haproxy.log

sudo systemctl restart rsyslog
sudo systemctl restart haproxy

방화벽 설정

1
2
3
4
5
6
7
8


sudo systemctl enable --now firewalld
# 3306 포트 허용 (쓰기 전용)
sudo firewall-cmd --add-port=3306/tcp --permanent
# 3307 포트 허용 (읽기 전용)
sudo firewall-cmd --add-port=3307/tcp --permanent
# 9000 포트 허용 (스탯)
sudo firewall-cmd --add-port=9000/tcp --permanent
sudo firewall-cmd --reload

haproxy 실행

1
2
3


sudo systemctl enable --now haproxy

http://<공인 IP>:9000/haproxy

5. 부하 테스트

sysbench 설치

1
2


sudo dnf install -y epel-release
sudo dnf install -y sysbench

sysbench 테스트

1
2
3
4
5


CREATE DATABASE test_db;

sysbench --db-driver=mysql --mysql-host=<HAproxy IP> --mysql-port=3306 \
 --mysql-db=test_db oltp_read_write prepare \
 --mysql-user=admin_user --mysql-password=<password>

쓰기 테스트 (HAProxy 3306 포트, 마스터로 라우팅 확인)

1
2
3
4
5
6


# oltp_write_only: 쓰기 작업만 수행하여 마스터에 부하가 걸리는지 확인
# time=60: 테스트를 60초 동안 수행
# threads=10: 10개의 쓰레드로 동시에 요청
sysbench --db-driver=mysql --mysql-host=<HAproxy IP> --mysql-port=3306 \\
 --mysql-db=test_db oltp_write_only --time=60 --threads=10 run \\
 --mysql-user=admin_user --mysql-password=<password>

읽기 테스트 (HAProxy 3307 포트, 슬레이브로 라우팅 확인)

1
2
3
4


# **oltp_read_only**: 읽기 작업만 수행하여 슬레이브에 부하가 걸리는지 확인
sysbench --db-driver=mysql --mysql-host=<HAproxy IP> --mysql-port=3307 \
 --mysql-db=test_db oltp_read_only --time=60 --threads=10 run \
 --mysql-user=admin_user --mysql-password=<password>

결과 분석

sysbench 결과가 HAproxy stat 페이지에 반영 되는지 확인
쓰기 요청은 마스터로, 읽기 요청은 슬레이브로 분배되는지, 세션 수와 데이터 전송량 등을 확인

로그 확인

haproxy 로그 확인

1

sudo haproxy -c -f /etc/haproxy/haproxy.cfg

트러블슈팅

Replication

change master to 로 Slave 설정 후 오류 Last_IO_Error: Authentication plugin 'caching_sha2_password' reported error: Authentication requires secure connection.

마스터에서 사용하는 인증 플러그인(caching_sha2_password)으로 인해 슬레이브가 인증에 실패
Master에서 기본 인증 플러그인이 caching_sha2_password로 설정된 경우 발생할 수 있다. Slave는 기본적으로 mysql_native_password 플러그인을 사용하므로, 인증 불일치 문제 발생
계정 인증 방식을 변경하고 재시작 필요

1
2
3
4
5
6
7


# Master
ALTER USER 'replica_user'@'%' IDENTIFIED WITH 'mysql_native_password' BY '<비밀번호>';
FLUSH PRIVILEGES;

# Slave
STOP SLAVE;
START SLAVE;

Slave에서 my.cnf의 read_only 설정은 root를 제외한 제약이다.

만약 root로 데이터를 생성하면 replication 설정이 끊김
SET GLOBAL super_read_only = 1; 를 MySQL에서 입력해 root를 포함해 읽기 전용 설정

HAproxy

haproxy.cfg의 defaults는 사용 전 정의

listen, front/backend 부분에 tcp를 사용중인데 defaults가 http만 있다면 에러가 발생

haproxy.cfg에서 defaults는 listen, front/backend보다 상위에 위치해야 함

haproxy stats 모니터링 시에 sysbench로 테스트한 내용이 반영이 안되는 문제 발생
defaults tcp가 listen stat보다 아래에 위치해서 제대로 반영되지 않았기 때문

참고

mysql 설치: https://www.servermon.kr/m/board.html?code=servermon_board2&page=3&type=v&board_cate=&num1=999619&num2=00000&number=363&lock=N

mysql replication: https://wooj-coding-fordeveloper.tistory.com/63 https://www.didim365.com/blog/20200424b-blog/

haproxy: https://velog.io/@parrineau/MySQL-HAproxy-MHA

haproxy 상세: https://hoing.io/archives/2196

Apache-Tomcat 설치 및 연동

Mon, 09 Dec 2024 18:08:00 +0900

목표

Apache-Tomcat을 사용한 WEB-WAS 연동
Proxy / AJP 방식 둘 모두 수행
AJP는 mod_jk 사용

환경 설정

OS: Rocky 8.10
WEB: Apache 2.4.6
WAS: Tomcat 9.0.97

개념 및 설정

Proxy / AJP 비교

연동 방식	Proxy	AJP (Apache JServ Protocol)
프로토콜 유형	HTTP (텍스트 기반), HTTPS 가능	AJP (바이너리 프로토콜)
성능	HTTP 오버헤드로 인해 상대적으로 느림	바이너리 프로토콜로 더 빠르고 효율적임
보안 설정	HTTPS로 SSL/TLS 암호화 가능	AJP 자체 암호화 미지원, `secret` 옵션으로 보안 강화
주 사용 목적	간단한 설정, 외부 요청 처리	내부 네트워크에서의 고성능 요청 처리
호환성	Tomcat 외 서버와도 연동 가능	Tomcat 전용 프로토콜

Apache

/etc/httpd/conf/httpd.conf

Apache 메인 설정 파일
proxy-vhosts.conf, ajp-vhosts.conf, httpd-modjk.conf 등 하위 파일 Include
mod_jk 와 같은 모듈 로드

/etc/httpd/conf/extra/proxy-vhosts.conf /etc/httpd/conf/extra/ajp-vhosts.conf

Proxy / AJP 용으로 생성한 VirtualHost 파일
VirtualHost 태그에서 Apache가 수신할 트래픽의 IP/Domain, Port 를 설정
- 여기서 도메인 / 경로 / 포트 기반 라우팅을 설정 이 실습에선 포트 기반 라우팅 사용
ProxyPass에서 트래픽을 전달할 WAS 경로, IP/Domain 등을 설정
AJP는 JkMount에서 WAS 경로, 워커를 설정

Apache-Tomcat 연동에 필요한 proxy_module, proxy_http_module 모듈은 기본 설치

AJP는 mod_jk, mod_proxy_ajp 두 모듈 중 하나만 있으면 연동 가능

모듈	mod_jk	mod_proxy_ajp
설치	별도 설치 필요	Apache 기본 모듈로 제공
설정	복잡 (별도 설정 파일 필요)	간단 (Apache 설정 파일에서 구성)
로드 밸런싱	강력 (다양한 알고리즘 지원)	제한적 (별도 모듈 필요)
클러스터링	세션 스티키니스 및 고급 기능 지원	제한적
성능	고성능 (대규모 환경에 적합)	단순 연동 시 적합
사용 사례	대규모 클러스터, 고급 로드 밸런싱이 필요한 경우	간단한 AJP 연동 및 소규모 환경

/etc/httpd/conf/extra/httpd-modjk.conf\\

mod_jk 모듈 설정 파일
태그로 Apache에 mod_jk가 로드된 경우에만 적용
workers.properties 파일 경로 지정
로그 경로, 로그 레벨 지정

/etc/httpd/conf/extra/workers.properties

mod_jk 워커(worker1 포함)의 IP, Port 등을 설정하는 파일
여러 워커 설정 가능

Tomcat

/etc/systemd/system/tomcat.service

rocky 8.1에서는 Tomcat이 systemd에 등록된 패키지가 없음
Tomcat을 systemd 서비스로 관리하기 위한 설정

/usr/local/apache-tomcat-9.0.97/conf/server.xml

Proxy Connector은 기본 설정 사용
AJP Connector 포트, 허용 IP, Secret 설정
- 이 실습에서 Secret은 false로 설정
  - Secret을 사용 한다면 Apache에도 Secret 설정 필수

작업 과정

1. Proxy 방식

1) Apache 서버 설정

Apache 설치/실행

1
2
3


sudo dnf update --exclude=kernel*
sudo dnf install httpd -y
sudo systemctl enable --now httpd

모듈 활성화 확인 (proxy_module, proxy_http_module)

1

httpd -M | grep proxy

Apache 서버에서 HTTP 트래픽을 허용하도록 방화벽 설정 추가

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --reload

proxy-vhosts.conf 설정 파일 추가

1

sudo vi /etc/httpd/conf/httpd.conf

1
2


# 별도의 파일에서 Virtual Host 설정 관리
Include conf/extra/proxy-vhosts.conf

Apache가 Tomcat 서버로 프록시 역할을 수행하도록 설정

1
2


sudo mkdir -p /etc/httpd/conf/extra
sudo vi /etc/httpd/conf/extra/proxy-vhosts.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# Apache가 8080 포트에서 수신된 요청 처리
<VirtualHost *:8080>
 # Apache 서버의 IP 또는 도메인 지정
 ServerName <WEB IP>

 # Apache가 수신한 요청을 WAS 8080 포트로 프록시 처리
 ProxyRequests Off
 ProxyPass / http://<WAS IP>:8080/
 ProxyPassReverse / http://<WAS IP>:8080/
</VirtualHost>

Apache 서버 재시작

1

sudo systemctl restart httpd

2) Tomcat 서버 설정

Java 설치

1
2
3
4


sudo dnf update --exclude=kernel*
sudo dnf install java-11-openjdk -y

java -version

~/.bashrc 환경 변수 추가

1
2


export JAVA_HOME=$(dirname $(dirname $(readlink -f $(which java))))
export PATH=$PATH:$JAVA_HOME/bin

Tomcat 설치

1
2
3


wget <https://dlcdn.apache.org/tomcat/tomcat-9/v9.0.97/bin/apache-tomcat-9.0.97.tar.gz>
tar xvzf apache-tomcat-9.0.97.tar.gz apache-tomcat-9.0.97
sudo mv apache-tomcat-9.0.97 /usr/local

tomcat 사용자 설정

1
2
3


sudo groupadd tomcat
sudo useradd -g tomcat -d /usr/local/apache-tomcat-9.0.97 -s /bin/false tomcat
sudo chown -R tomcat:tomcat /usr/local/apache-tomcat-9.0.97

Tomcat 서비스 등록

1

vi /etc/systemd/system/tomcat.service

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


[Unit]
Description=tomcat 9
After=network.target syslog.target

[Service]
Type=forking
# JDK와 Tomcat 설치 경로 지정
Environment="JAVA_HOME=/usr/lib/jvm/java-11-openjdk-11.0.25.0.9-2.el8.x86_64"
Environment="CATALINA_HOME=/usr/local/apache-tomcat-9.0.97"
User=tomcat
Group=tomcat
ExecStart=/usr/local/apache-tomcat-9.0.97/bin/startup.sh
ExecStop=/usr/local/apache-tomcat-9.0.97/bin/shutdown.sh

[Install]
WantedBy=multi-user.target

Tomcat 실행

1
2
3


sudo systemctl daemon-reload
sudo systemctl enable --now tomcat
sudo systemctl status tomcat

방화벽 HTTP 8080 포트 허용

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --reload

3) 설정 확인

브라우저에서 Apache 서버의 IP 주소로 접근하여 Tomcat의 기본 페이지가 나타나는지 확인

http://<공인 ip>:8080

2. AJP 방식

1) Apache 서버 설정

Apache 설치/실행

1
2
3


sudo dnf update --exclude=kernel*
sudo dnf install httpd -y
sudo systemctl enable --now httpd

tomcat-connectors 설치(mod_jk)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


sudo yum install autoconf libtool httpd-devel -y

wget <https://dlcdn.apache.org/tomcat/tomcat-connectors/jk/tomcat-connectors-1.2.50-src.tar.gz>
tar -zxvf tomcat-connectors-1.2.50-src.tar.gz
cd tomcat-connectors-1.2.50-src/native
./configure --with-apxs=/usr/bin/apxs

sudo dnf install make -y
sudo dnf install redhat-rpm-config -y

make
sudo make install

모듈 활성화 확인

1
2


sudo systemctl restart httpd
httpd -M | grep jk

Apache 서버에서 HTTP 트래픽을 허용하도록 방화벽 설정 추가

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-port=8090/tcp
sudo firewall-cmd --reload

httpd.conf에 mod_jk 모듈 추가
httpd.conf에 httpd-modjk.conf 설정 파일 추가

1

sudo vi /etc/httpd/conf/httpd.conf

1
2
3
4
5


# 설치한 mod_jk 모듈 로드
LoadModule jk_module modules/mod_jk.so

# ajp 설정 파일 포함
Include conf/extra/httpd-modjk.conf

vhosts.conf 에 jkmount 추가

1
2


sudo mkdir -p /etc/httpd/conf/extra
sudo vi /etc/httpd/conf/extra/ajp-vhosts.conf

1
2
3
4
5
6
7
8


# Apache가 8090 포트에서 수신된 요청 처리
<VirtualHost *:8090>
 # AJP 요청을 수신할 Apache 서버 IP 지정
 ServerName <WEB IP>

 # 모든 요청(/*)을 worker1으로 라우팅
 JkMount /* worker1
</VirtualHost>

httpd-modjk.conf 파일 설정
- 로그 레벨 debug로 변경 후 mod_jk.log에서 로그 확인 가능

1

sudo vi /etc/httpd/conf/extra/httpd-modjk.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


<IfModule jk_module>
 # ajp worker 설정 파일 지정
 JkWorkersFile conf/extra/workers.properties
 # 상태 정보 파일 경로 지정
 JkShmFile logs/mod_jk.shm
 # 로그 파일 경로 지정
 JkLogFile logs/mod_jk.log
 # 로그 레벨 지정
 JkLogLevel debug
 JkLogStampFormat "[%a %b %d %H:%M:%S %Y]"
</IfModule>

workers.properties 파일 설정

1

sudo vi /etc/httpd/conf/extra/workers.properties

1
2
3
4
5
6
7
8
9


# 워커 목록
worker.list=worker1

# AJP 포트 
worker.worker1.port=8009
# Tomcat 서버 IP
worker.worker1.host=<WAS IP>
# 프로토콜 버전 지정
worker.worker1.type=ajp13

workers.properties, httpd-modjk.conf 권한 설정

1
2


sudo chmod 755 /etc/httpd/conf/extra/workers.properties
sudo chmod 755 /etc/httpd/conf/extra/httpd-modjk.conf

Apache 서버 재시작

1

sudo systemctl restart httpd

2) Tomcat 서버 설정

Java 설치

1
2
3
4


sudo dnf update --exclude=kernel*
sudo dnf install java-11-openjdk -y

java -version

~/.bashrc 환경 변수 추가

1
2


export JAVA_HOME=$(dirname $(dirname $(readlink -f $(which java))))
export PATH=$PATH:$JAVA_HOME/bin

Tomcat 설치

1
2
3


wget <https://dlcdn.apache.org/tomcat/tomcat-9/v9.0.97/bin/apache-tomcat-9.0.97.tar.gz>
tar xvzf apache-tomcat-9.0.97.tar.gz apache-tomcat-9.0.97
sudo mv apache-tomcat-9.0.97 /usr/local

tomcat 사용자 설정

1
2
3


sudo groupadd tomcat
sudo useradd -g tomcat -d /usr/local/apache-tomcat-9.0.97 -s /bin/false tomcat
sudo chown -R tomcat:tomcat /usr/local/apache-tomcat-9.0.97

Tomcat 서비스 등록

1

vi /etc/systemd/system/tomcat.service

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


[Unit]
Description=tomcat 9
After=network.target syslog.target

[Service]
Type=forking
# JDK와 Tomcat 설치 경로 지정
Environment="JAVA_HOME=/usr/lib/jvm/java-11-openjdk-11.0.25.0.9-2.el8.x86_64"
Environment="CATALINA_HOME=/usr/local/apache-tomcat-9.0.97"
User=tomcat
Group=tomcat
ExecStart=/usr/local/apache-tomcat-9.0.97/bin/startup.sh
ExecStop=/usr/local/apache-tomcat-9.0.97/bin/shutdown.sh

[Install]
WantedBy=multi-user.target

Tomcat AJP 커넥터 설정
Tomcat의 server.xml 파일을 열어 AJP 커넥터 활성화

1

sudo vi /usr/local/apache-tomcat-9.0.97/conf/server.xml

1
2
3


# AJP를 수신을 허용할 Source IP 지정
# AJP 키 인증 비활성화
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" address="<WAS IP>" secretRequired="false"/>

Tomcat 실행

1
2
3


sudo systemctl daemon-reload
sudo systemctl enable --now tomcat
sudo systemctl status tomcat

방화벽 AJP 8080 포트 허용

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-port=8009/tcp
sudo firewall-cmd --reload

3) 설정 확인

브라우저에서 Apache 서버의 IP 주소로 접근하여 Tomcat의 기본 페이지가 나타나는지 확인

http://<공인ip>:8090

로그 확인

연동 시의 오류도 tomcat에 찍히기 때문에 catalina 로그를 가장 많이 확인

Apache 로그 확인

1
2
3
4
5
6


# 에러 로그
tail -f /var/log/httpd/error_log
# 액세스 로그
tail -f /var/log/httpd/access_log
# mod_jk 로그
tail -f /var/log/httpd/mod_jk.log

Tomcat 로그 확인

1
2
3
4


# tomcat 로그
tail -f /usr/local/apache-tomcat-9.0.97/logs/catalina.out
# localhost 로그
tail -f /usr/local/apache-tomcat-9.0.97/logs/localhost.log

트러블슈팅

VirtualHost에서 / 경로는 webapps/ROOT를 가리킨다.

/ajp/* 와 같이 경로를 지정하면 apache-tomcat-9.0.97/webapps/ajp 폴더에 페이지가 존재해야 함

Apache의 httpd.conf는 모듈이 앞에 있지 않으면 해당 모듈을 사용하는 설정은 무시된다.

httpd.conf에서 LoadModule이 Include보다 앞에 위치해야 함

JkMount는 VirtualHost 내부에 위치해야 한다.

*https://ineastdev.tistory.com/entry/apache-tomcat-을-modjk-로-연동시-주의사항*

VirtualHost를 설정한 적이 없다면 httpd.conf에 Include된 파일 중에 VirtualHost가 있는지 확인 필수
이 실습에서는 proxy 연동을 동시에 진행했기 때문에 proxy_vhosts.conf파일에 VirtualHost가 존재했고, AJP 연동에서 VirtualHost 없이 JkMount만 작성했기 때문에 오류가 발생

Apache는 /ajp 를 입력받으면 내부적으로 /ajp/ 경로로 리다이렉션 한다.

경로 끝에 / 가 없는 URL을 입력할 경우, Apache에서는 DirectorySlash Off 설정으로 인해, 이 경로를 디렉토리로 간주하여 / 을 추가하여 리다이렉션 한 후에 내부에서 처리
만약 실제 디렉토리가 존재한다면 / 을 추가한 상태로 리다이렉션을 응답하고, 존재하지 않는다면 다른 리소스로 처리(기존 경로 응답)
DirectorySlash Off 설정으로 수정할 수 있지만, 대부분의 WEB의 기본값이기 때문에 수정을 권장하지 않음
따라서 JkMount의 경로에 /ajp 대신 /ajp/* 로 기입해 해결
만약 실제 디렉토리가 존재한다면 / 을 추가한 상태로 리다이렉션을 응답하고, 존재하지 않는다면 다른 리소스로 처리(기존 경로 응답)
DirectorySlash Off 설정으로 수정할 수 있지만, 대부분의 WEB의 기본값이기 때문에 수정을 권장하지 않음
따라서 JkMount의 경로에 /ajp 대신 /ajp/* 로 기입해 해결

참고

proxy 방식:

https://velog.io/@ela__gin/리눅스-서버에서-ApacheTomcat-mod-proxy-방식-연동-웹소켓-푸시-알림-연동-포함

ajp 방식:

https://nahosung.tistory.com/121

https://lilo.tistory.com/83

https://ineastdev.tistory.com/entry/apache-tomcat-을-modjk-로-연동시-주의사항

tomcat 서비스 등록: https://getchu.tistory.com/14

파일 경로	설명	생성 명령어
`ca.key`	인증서 서명을 위한 개인 키	`./easyrsa init-pki`
`ca.crt`	공개 인증서 (클라이언트/서버 공통)	`./easyrsa init-pki`
`server.key`	서버 개인 키	`./easyrsa gen-req server nopass`
`server.req`	서버 인증서 서명 요청 (CSR)	`./easyrsa gen-req server nopass`
`server.crt`	서버 인증서	`./easyrsa gen-req server nopass`
`ta.key`	사전 공유 키. OpenVPN의 TLS용 추가 보안. `server.conf`에 사용 설정	`openvpn --genkey --secret ta.key`
`client1.key`	클라이언트 개인 키	`./easyrsa gen-req client1 nopass`
`client1.req`	클라이언트 인증서 서명 요청 (CSR)	`./easyrsa gen-req client1 nopass`
`client1.crt`	클라이언트 인증서	`./easyrsa gen-req client1 nopass`
`client1.ovpn`	`base.conf`, `ca.crt`, `client1.key`, `client1.crt`, `ta.key` 클라이언트 설정 파일과 4개의 인증 파일을 사용하는 OpenVPN 클라이언트 파일	쉘 스크립트 사용
server.conf	서버 설정 파일	/usr/share/doc/openvpn/sample/sample-config-files/ 복사
base.conf	클라이언트 설정 파일	/usr/share/doc/openvpn/sample/sample-config-files/ 복사