[Infra Ops] Proxy/NAT 구조와 폐쇄망 외부 통신 설정

내부 서버(192.168.10.11)가 외부 API를 호출 — 나가는 경로는 둘

[A] 포워드 프록시(Squid) 경로 ── 앱이 프록시를 알 때(HTTP)
   ① 내부 서버 → Squid(3128)로 요청 (HTTPS면 CONNECT 터널)
   ② Squid가 ACL 검사 · 필요 시 프록시 인증 → 캐시 있으면 캐시로 응답
   ③ 없으면 Squid가 자기 공인 IP로 외부 API에 대신 접속
   ④ 외부 응답 → Squid → 내부 서버   (외부엔 Squid 공인 IP만 보임)

[B] NAT 게이트웨이 경로 ── L3에서 기본 게이트웨이로 그냥 나갈 때
   ① 내부 서버 → 기본 게이트웨이로 송신 (출발지 = 사설 IP)
   ② 게이트웨이가 conntrack에 연결 기록 + SNAT: 출발지를 공인IP:임시포트로 변환
   ③ 변환된 공인 IP로 외부 API에 도달
   ④ 응답이 공인IP:임시포트로 회신 → conntrack 역참조 → 원래 사설 IP로 역변환

# RHEL/CentOS
sudo dnf install -y squid

# Ubuntu/Debian
sudo apt-get install -y squid

# 서비스 시작 및 자동 시작 등록
sudo systemctl enable --now squid

# 버전 및 상태 확인
squid -v
sudo systemctl status squid

# 핵심 설정 항목만 추출
grep -v '^#' /etc/squid/squid.conf | grep -v '^$'

# /etc/squid/squid.conf

# -- Proxy 수신 포트 --
http_port 3128

# -- ACL 정의 --
# 내부 네트워크 대역 정의
acl localnet src 192.168.0.0/16
acl localnet src 10.0.0.0/8
acl localnet src 172.16.0.0/12

# 허용할 목적지 도메인/IP (외부 기관 API 서버)
acl allowed_destinations dstdomain .sms-gateway.example.com
acl allowed_destinations dstdomain .cert-authority.go.kr
acl allowed_destinations dst 203.x.x.x/32     # 특정 IP만 허용 시

# HTTP/HTTPS 포트
acl SSL_ports port 443
acl Safe_ports port 80
acl Safe_ports port 443

# -- 접근 제어 규칙 --
# 위에서 아래로 순서대로 평가됨 (첫 매칭에서 결정)
http_access deny !Safe_ports
http_access allow localnet allowed_destinations
http_access deny all     # 나머지는 모두 차단

# -- HTTPS CONNECT 터널 허용 --
# HTTPS 요청 시 CONNECT 메서드로 터널 요청이 옴
http_access allow CONNECT SSL_ports

# -- 로그 --
access_log /var/log/squid/access.log squid
cache_log /var/log/squid/cache.log

# 캐시 비활성화 (API 서버 연동 시 캐시 불필요한 경우)
no_cache deny all

# Proxy 헤더에 내부 IP 노출 방지
forwarded_for delete
via off

# 설정 파일 문법 검증
sudo squid -k parse

# 설정 재로드 (서비스 중단 없이)
sudo squid -k reconfigure

# 또는
sudo systemctl reload squid

# HTTP/HTTPS Proxy 설정
export http_proxy=http://10.10.1.100:3128
export https_proxy=http://10.10.1.100:3128
export HTTP_PROXY=http://10.10.1.100:3128    # 대문자도 설정 (앱마다 다름)
export HTTPS_PROXY=http://10.10.1.100:3128

# 내부 통신은 Proxy 우회 (매우 중요)
export no_proxy=localhost,127.0.0.1,192.168.0.0/16,10.0.0.0/8,.internal.company.com
export NO_PROXY=$no_proxy

# 영구 적용 (시스템 전체)
echo 'http_proxy=http://10.10.1.100:3128' | sudo tee -a /etc/environment
echo 'https_proxy=http://10.10.1.100:3128' | sudo tee -a /etc/environment
echo 'no_proxy=localhost,127.0.0.1,10.0.0.0/8' | sudo tee -a /etc/environment

# -x 옵션으로 Proxy 지정 (환경변수 무관하게 동작)
curl -x http://10.10.1.100:3128 -v https://sms-gateway.example.com/health

# Proxy 인증이 있는 경우
curl -x http://10.10.1.100:3128 -U proxyuser:proxypass https://api.example.com/

# Proxy 경유 시 연결 과정 상세 확인
curl -x http://10.10.1.100:3128 --trace-ascii /dev/stderr https://api.example.com/ 2>&1 | head -30

# WAS 기동 스크립트에 JVM 옵션 추가
JAVA_OPTS="$JAVA_OPTS \
  -Dhttp.proxyHost=10.10.1.100 \
  -Dhttp.proxyPort=3128 \
  -Dhttps.proxyHost=10.10.1.100 \
  -Dhttps.proxyPort=3128 \
  -Dhttp.nonProxyHosts=localhost|127.0.0.1|10.*|*.internal.company.com"

# Tomcat의 경우 setenv.sh에 추가
# /opt/tomcat/bin/setenv.sh
export CATALINA_OPTS="$CATALINA_OPTS -Dhttp.proxyHost=10.10.1.100 -Dhttp.proxyPort=3128"

# Spring Boot 내장 서버의 경우
java -Dhttp.proxyHost=10.10.1.100 -Dhttp.proxyPort=3128 -jar app.jar

import requests

# 코드에서 직접 설정
proxies = {
    'http': 'http://10.10.1.100:3128',
    'https': 'http://10.10.1.100:3128',
}
response = requests.get('https://api.example.com/', proxies=proxies, timeout=10)

# 또는 환경변수 http_proxy, https_proxy 설정 시 자동 적용

# 내부 서버(192.168.10.0/24)가 eth0(공인 IP)을 통해 외부로 나갈 때
# 출발지 IP를 eth0 IP로 변환 (MASQUERADE: 동적 IP에 적합)
sudo iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE

# 정적 공인 IP가 있는 경우 SNAT 명시
sudo iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j SNAT --to-source 203.x.x.x

# IP 포워딩 활성화 (라우터/NAT 서버에서 필수)
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
# 영구 적용
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-ip-forward.conf
sudo sysctl -p

# 외부에서 이 서버의 8080 포트로 들어오는 트래픽을 내부 WAS로 포워딩
sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.10.11:8080

# 특정 IP에서 오는 트래픽만 포워딩
sudo iptables -t nat -A PREROUTING -s 203.x.x.x -p tcp --dport 443 -j DNAT --to-destination 192.168.10.11:443

# 현재 NAT 규칙 확인
sudo iptables -t nat -L -n -v

# 규칙 영구 저장 (RHEL/CentOS)
sudo service iptables save
# Ubuntu
sudo netfilter-persistent save