[Infra Ops] Proxy/NAT 구조와 폐쇄망 외부 통신 설정

[내부망]                [DMZ]              [인터넷/외부기관]
내부 WAS 서버           Proxy 서버          SMS API 서버
192.168.10.x   ───►   10.10.1.100   ───►  203.x.x.x:443
                       (Squid 3128)
                       
방화벽 규칙:
- 내부→DMZ Proxy: ALLOW 10.10.1.100:3128
- DMZ→외부: ALLOW 특정 IP:443만 허용
- 내부→외부: 직접 연결 DENY

# RHEL/CentOS
sudo dnf install -y squid

# Ubuntu/Debian
sudo apt-get install -y squid

# 서비스 시작 및 자동 시작 등록
sudo systemctl enable --now squid

# 버전 및 상태 확인
squid -v
sudo systemctl status squid

# 핵심 설정 항목만 추출
grep -v '^#' /etc/squid/squid.conf | grep -v '^$'

# /etc/squid/squid.conf

# ── Proxy 수신 포트 ────────────────────────────────
http_port 3128

# ── ACL 정의 ──────────────────────────────────────
# 내부 네트워크 대역 정의
acl localnet src 192.168.0.0/16
acl localnet src 10.0.0.0/8
acl localnet src 172.16.0.0/12

# 허용할 목적지 도메인/IP (외부 기관 API 서버)
acl allowed_destinations dstdomain .sms-gateway.example.com
acl allowed_destinations dstdomain .cert-authority.go.kr
acl allowed_destinations dst 203.x.x.x/32     # 특정 IP만 허용 시

# HTTP/HTTPS 포트
acl SSL_ports port 443
acl Safe_ports port 80
acl Safe_ports port 443

# ── 접근 제어 규칙 ────────────────────────────────
# 위에서 아래로 순서대로 평가됨 (첫 매칭에서 결정)
http_access deny !Safe_ports
http_access allow localnet allowed_destinations
http_access deny all     # 나머지는 모두 차단

# ── HTTPS CONNECT 터널 허용 ───────────────────────
# HTTPS 요청 시 CONNECT 메서드로 터널 요청이 옴
http_access allow CONNECT SSL_ports

# ── 로그 ──────────────────────────────────────────
access_log /var/log/squid/access.log squid
cache_log /var/log/squid/cache.log

# 캐시 비활성화 (API 서버 연동 시 캐시 불필요한 경우)
no_cache deny all

# Proxy 헤더에 내부 IP 노출 방지
forwarded_for delete
via off

# 설정 파일 문법 검증
sudo squid -k parse

# 설정 재로드 (서비스 중단 없이)
sudo squid -k reconfigure

# 또는
sudo systemctl reload squid

# HTTP/HTTPS Proxy 설정
export http_proxy=http://10.10.1.100:3128
export https_proxy=http://10.10.1.100:3128
export HTTP_PROXY=http://10.10.1.100:3128    # 대문자도 설정 (앱마다 다름)
export HTTPS_PROXY=http://10.10.1.100:3128

# 내부 통신은 Proxy 우회 (매우 중요)
export no_proxy=localhost,127.0.0.1,192.168.0.0/16,10.0.0.0/8,.internal.company.com
export NO_PROXY=$no_proxy

# 영구 적용 (시스템 전체)
echo 'http_proxy=http://10.10.1.100:3128' | sudo tee -a /etc/environment
echo 'https_proxy=http://10.10.1.100:3128' | sudo tee -a /etc/environment
echo 'no_proxy=localhost,127.0.0.1,10.0.0.0/8' | sudo tee -a /etc/environment

# -x 옵션으로 Proxy 지정 (환경변수 무관하게 동작)
curl -x http://10.10.1.100:3128 -v https://sms-gateway.example.com/health

# Proxy 인증이 있는 경우
curl -x http://10.10.1.100:3128 -U proxyuser:proxypass https://api.example.com/

# Proxy 경유 시 연결 과정 상세 확인
curl -x http://10.10.1.100:3128 --trace-ascii /dev/stderr https://api.example.com/ 2>&1 | head -30

# WAS 기동 스크립트에 JVM 옵션 추가
JAVA_OPTS="$JAVA_OPTS \
  -Dhttp.proxyHost=10.10.1.100 \
  -Dhttp.proxyPort=3128 \
  -Dhttps.proxyHost=10.10.1.100 \
  -Dhttps.proxyPort=3128 \
  -Dhttp.nonProxyHosts=localhost|127.0.0.1|10.*|*.internal.company.com"

# Tomcat의 경우 setenv.sh에 추가
# /opt/tomcat/bin/setenv.sh
export CATALINA_OPTS="$CATALINA_OPTS -Dhttp.proxyHost=10.10.1.100 -Dhttp.proxyPort=3128"

# Spring Boot 내장 서버의 경우
java -Dhttp.proxyHost=10.10.1.100 -Dhttp.proxyPort=3128 -jar app.jar

import requests

# 코드에서 직접 설정
proxies = {
    'http': 'http://10.10.1.100:3128',
    'https': 'http://10.10.1.100:3128',
}
response = requests.get('https://api.example.com/', proxies=proxies, timeout=10)

# 또는 환경변수 http_proxy, https_proxy 설정 시 자동 적용

# 내부 서버(192.168.10.0/24)가 eth0(공인 IP)을 통해 외부로 나갈 때
# 출발지 IP를 eth0 IP로 변환 (MASQUERADE: 동적 IP에 적합)
sudo iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE

# 정적 공인 IP가 있는 경우 SNAT 명시
sudo iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j SNAT --to-source 203.x.x.x

# IP 포워딩 활성화 (라우터/NAT 서버에서 필수)
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
# 영구 적용
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-ip-forward.conf
sudo sysctl -p

# 외부에서 이 서버의 8080 포트로 들어오는 트래픽을 내부 WAS로 포워딩
sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.10.11:8080

# 특정 IP에서 오는 트래픽만 포워딩
sudo iptables -t nat -A PREROUTING -s 203.x.x.x -p tcp --dport 443 -j DNAT --to-destination 192.168.10.11:443

# 현재 NAT 규칙 확인
sudo iptables -t nat -L -n -v

# 규칙 영구 저장 (RHEL/CentOS)
sudo service iptables save
# Ubuntu
sudo netfilter-persistent save